rustinel v1.3.0 — Endpoint detection for Windows, Linux, and macOS. Sigma, YARA, and IOC rules on native telemetry. Written in Rust. No cloud account required.

Rustinel

オープンソースのエンドポイント検出。3つのプラットフォーム。あなたのルール。
ネイティブの Windows、Linux、macOS テレメトリ上で Sigma、YARA、IOC 検出を実行します。
Rust で書かれており、アラートはローカルに保存され、クラウドアカウントは不要です。

ダウンロード | ドキュメント | 検出パック | ウェブサイト

Rustinel demo

なぜ Rustinel なのか？

Sigma と YARA ルールを使用できます。 動作には Sigma、実行ファイルとプロセスメモリには YARA、ハッシュ、IP、ドメイン、パスには IOC リストを使用します。
Windows、Linux、macOS で動作します。 1つのエンジン、1つの設定フォーマット、そしてどこでも同じ Sysmon 形式のフィールド名。カバレッジはプラットフォームによって異なります。
データを手元に保持できます。 エージェントは何も外部に送信しません。アラートはローカルの ECS NDJSON ファイルであり、Elastic、Splunk、または任意のログパイプラインで取り込めます。
記録された動作に対してルールをテストできます。 アクティビティを一度キャプチャすれば、ルールの変更に合わせて任意のマシンで再生できます。
ギャップを可視化できます。 rustinel sigma doctor はどのルールが発火可能かを説明し、rustinel doctor はランタイムの健全性と負荷時にドロップされたイベントを報告します。

クイックスタート

ローカルの rustinel フォルダにインストールしてから、起動します。

Linux（カーネル 5.8 以上）:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows の場合、管理者権限で昇格した PowerShell で:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS（実験的）は、まずフルディスクアクセスが必要です。macOS permissions を参照してください:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

別のターミナルで whoami を実行します。デモルールが発火し、アラートが rustinel/logs/alerts.json.<date> に記録されます。

実際のルールパックを備えたサービスとしてインストールするには、Ctrl-C で停止し、rustinel フォルダから sudo ./rustinel setup --yes を実行します（Windows では .\rustinel.exe setup --yes）。エンドポイントへのデプロイを参照してください。

一度キャプチャすれば、ルールの改善に合わせてリプレイ可能

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

Replay は権限を必要とせず、クロスプラットフォームで動作します。Windows で記録したものを Linux で再生できます。 replay を使ったルールのテストを参照してください。

プラットフォームサポート

プラットフォーム	センサー	テレメトリ	ステータス
Windows 10/11, Server 2016+	ETW + Windows イベントログ	プロセス、イメージ読み込み、ネットワーク、ファイル、レジストリ、DNS、PowerShell、WMI、サービス、タスク、セキュリティ監査イベント	安定
Linux 5.8+	eBPF	プロセス、ネットワーク、ファイル、DNS	安定
macOS 11+	Endpoint Security + `/dev/bpf`	プロセス、ファイル、ネットワーク、DNS	実験的

詳細: プラットフォームカバレッジおよび制限事項。

境界を理解する

Rustinel はエンドポイント監視、検知エンジニアリング、ラボ、SIEM パイプラインのテスト向けに構築されています。商用 EDR の代替ではありません。耐タンパー機能、実行前ブロック、管理コンソールはありません。セキュリティモデルを参照してください。

コード署名ポリシー

Windows バイナリ向けの無償コード署名は SignPath.io が提供し、証明書は SignPath Foundation が提供します。役割とプライバシーについてはコード署名ポリシーを参照してください。

コントリビュート

バグ報告、検知テスト、プラットフォーム関連の作業を歓迎します。どのような監視を行っているか、どこで行き詰まっているかを教えてください。

コントリビュート | Issues | 開発ガイド | ロードマップ

ライセンス

Apache 2.0。