Pacchetti di contenuti per Eventum

Progetti generatore pronti all'uso per Eventum che producono eventi sintetici realistici che imitano fonti dati SIEM reali. Ogni generatore produce JSON compatibile con ECS che può essere ingerito direttamente in Elasticsearch, OpenSearch o qualsiasi piattaforma SIEM.

Avvio rapido

Con Docker (consigliato)

git clone https://github.com/eventum-generator/content-packs.git
cd content-packs
docker compose up -d

Questo avvia il server Eventum sulla porta 9474 con tutti i generatori disponibili. Gestisci le istanze tramite la REST API a http://localhost:9474.

Con CLI

# Installa Eventum
uv tool install eventum-generator

# Clona questo repository
git clone https://github.com/eventum-generator/content-packs.git
cd content-packs

# Esegue un generatore (output in generators/windows-security/output/events.json)
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

Gli eventi vengono scritti in output/events.json all'interno della directory del generatore come JSON, uno per riga:

{
    "@timestamp": "2026-02-21T12:00:01.234567+00:00",
    "event": {
        "action": "logged-in",
        "category": ["authentication"],
        "code": "4624",
        "kind": "event",
        "outcome": "success"
    },
    "user": {
        "domain": "CONTOSO",
        "name": "jsmith"
    },
    "winlog": {
        "channel": "Security",
        "event_id": "4624",
        "logon": { "type": "Network" }
    }
}

Generatori disponibili

Ogni directory del generatore contiene un README.md con i tipi di evento coperti, i parametri, gli esempi di utilizzo e l'output di esempio.

Struttura del repository

content-packs/
├── config/
│   ├── eventum.yml              # Configurazione del server Eventum
│   └── startup.yml              # Configurazione di avvio delle istanze generatore
├── generators/
│   └── <categoria>-<fonte>/     # es. windows-security
│       ├── generator.yml        # Configurazione della pipeline (input → evento → output)
│       ├── README.md            # Documentazione della fonte dati, parametri, utilizzo
│       ├── templates/           # Template Jinja2 (.json.jinja)
│       ├── samples/             # File di dati CSV/JSON
│       └── scripts/             # Script Python (se necessari)
├── logs/                        # Output dei log di runtime
├── docker-compose.yml           # Docker Compose per il server Eventum
└── LICENSE                      # Apache 2.0

Ogni generatore è autonomo — tutti i percorsi dei file sono relativi alla directory del generatore, quindi i generatori possono essere copiati, spostati o combinati indipendentemente.

Utilizzo

Generatore singolo (CLI)

# Modalità live — genera eventi in continuazione
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode true

# Modalità live — genera il più velocemente possibile fino all'arresto
eventum generate \
  --path generators/windows-security/generator.yml \
  --id winlog \
  --live-mode false

Gli eventi vengono scritti in output/events.json all'interno della directory del generatore.

Più generatori (modalità server)

Definisci le istanze in config/startup.yml ed esegui il server:

# config/startup.yml
- id: winlog
  path: windows-security

# Con CLI
eventum run

# Oppure con Docker
docker compose up -d

La configurazione Docker monta config/, generators/ e logs/ nel container. La configurazione del server si trova in config/eventum.yml.

Regolazione della frequenza degli eventi

Modifica la sezione input in qualsiasi generator.yml:

input:
  - cron:
      expression: "* * * * * *"
      count: 5    # 5 eventi/secondo (~18K/ora)

Output

Per impostazione predefinita, i generatori scrivono gli eventi in output/events.json all'interno della directory del generatore. Per cambiare la destinazione di output (es. OpenSearch, ClickHouse, HTTP), modifica la sezione output in generator.yml. Consulta la documentazione di Eventum per i dettagli sui plugin di output disponibili.

Tecniche di realismo

• Distribuzioni ponderate — I tipi di evento, i tipi di utente e i codici di stato seguono rapporti di frequenza realistici
• Eventi correlati — Lo stato condiviso tiene traccia delle sessioni e dei processi attivi in modo che gli eventi di login/logout e creazione/terminazione dei processi siano correlati
• Dati di esempio — I file CSV e JSON forniscono nomi utente, hostname, alberi di processo e altro realistici
• Contatori monotoni — ID record sequenziali su tutti gli eventi, corrispondenti al comportamento reale dei log
• Parametrizzazione — Hostname, domini, SID e connessioni di output sono configurabili senza modificare i template

Contribuire

I contributi sono benvenuti! Se hai creato un generatore per il tuo caso d'uso e pensi che altri possano trarne vantaggio, saremo felici di includerlo.

Convenzioni per i generatori

• Nomenclatura: <categoria>-<fonte> in minuscolo con trattini (es. linux-auditd, web-nginx)
• Formato di output: JSON compatibile con ECS che corrisponde agli schemi di campo di Elastic Integration
• Template: Denominati come <id-o-tipo-evento>.json.jinja
• Configurazione: Deve funzionare immediatamente con eventum generate (output su file in output/events.json)
• Parametrizzazione: Usa params per valori specifici dell'ambiente (hostname, domini, ecc.) — non hardcodarli mai nei template
• Documentazione: Includi un README.md con tipi di evento, parametri, esempi di utilizzo e output di esempio

Riferimenti

• Documentazione di Eventum
• Eventum su GitHub
• Integrazioni Elastic — riferimento per schemi di campo e struttura degli eventi
• Elastic Common Schema (ECS)

Licenza

Questo progetto è concesso in licenza con Apache License 2.0.