rustinel v1.3.0-rc.1 — Open-source cross-platform endpoint detection engine for Windows, macOS, and Linux using ETW, ESF, eBPF, Sigma, YARA, IOCs, and ECS NDJSON alerts.

Rustinel

Windows、Linux、macOS向けのオープンソースエンドポイント検出。
ネイティブテレメトリからSigma、YARA、IOC検出、SIEM対応アラートまで。Rustで記述されています。

Rustinel demo

クイックスタート

Rustinelのリリースアーカイブには、バイナリ、デフォルト設定、デモルール、logs/ディレクトリが含まれています。

Windows - PowerShellからテスト:

irm https://rustinel.io/install.ps1 | iex

次に、管理者PowerShellからデプロイし、管理インストールを診断:

rustinel setup --yes
rustinel doctor

Windowsリリースバイナリには、x64 Microsoft Visual C++ Redistributableが必要です。プロセスが出力を表示する前に終了する場合は、はじめにを参照してください。

Linux - テスト、デプロイ、診断:

curl -fsSL https://rustinel.io/install.sh | sh -s -- --run
sudo rustinel setup --yes
rustinel doctor

macOS (実験的)

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel

macOSでは、Endpoint Securityを起動する前に、一度だけフルディスクアクセスの承認が必要です。最初のテスト以上に使用する前に、はじめにのmacOSの注意事項に従ってください。

sudo ./rustinel run

フルディスクアクセスが許可されたら、管理インストールをデプロイして診断:

sudo ./rustinel setup --yes
./rustinel doctor

エージェントが実行中の状態で、バンドルされているデモルールをトリガー:

whoami

アラートはECS NDJSONとしてlogs/alerts.json.<日付>に書き込まれます。

まずは中身を確認したいですか？インストールスクリプトまたは最新リリースのパッケージをダウンロードしてください。インストーラは公開されているリリースバイナリのみをダウンロードします。

Rustinelの特徴

読んで、実行して、テストして、拡張できる透過的なエンドポイント検出エンジン。

ネイティブテレメトリ: WindowsのETW、LinuxのeBPF、macOSのEndpoint Securityおよび/dev/bpf。
検出フォーマット: 振る舞いにはSigma、ファイルとメモリにはYARA、ハッシュ、IP、ドメイン、パス正規表現のIOCマッチング。
ルールの再利用: 既存のSigmaおよびYARAルールを独自形式に書き直すことなく利用可能。
SIEM出力: Elastic、Splunk、その他のログパイプライン向けのECS 9.4.0 NDJSONアラート。
運用: ルールとIOCのホットリロード、WindowsおよびLinuxではオプションのアクティブレスポンス（macOSは現在検出のみ）。Windowsサービスサポートとlaunchdパッケージ化の注意事項を含む。

プラットフォームサポート

プラットフォーム	センサー	テレメトリ	ステータス
Windows 10/11、Server 2016+	ETW	プロセス、イメージロード、ネットワーク、ファイル、レジストリ、DNS、PowerShell、WMI、サービス、タスク	安定
Linux 5.8+ (BTF)	eBPF	プロセス、ネットワーク、ファイル、DNS	安定
macOS 11+	Endpoint Security + `/dev/bpf`	プロセス、ファイル、ネットワーク、DNS	実験的

Windowsのカバレッジは現在最も広範囲です。LinuxとmacOSはプロセス、ネットワーク、ファイル、DNSテレメトリに焦点を当てています。macOSは実験的です。現在のギャップは制限事項に記載されています。

検出の仕組み

  ETW (Windows) | eBPF (Linux) | ESF + /dev/bpf (macOS)
                        │
              Normalized event model
                        │
        ┌───────────────┼───────────────┐
      Sigma            YARA             IOC
    behavior        files +         hashes, IPs,
      rules          memory         domains, paths
        └───────────────┼───────────────┘
                        │
                ECS NDJSON alerts
                        │
              Optional active response

ルール作成、YARAメモリスキャン、IOCフォーマットについては、検出ドキュメントを参照してください。

検出パック

バンドルされているルールは、パイプラインが動作することを示すだけです。実際のカバレッジを得るには、公式のバージョン管理された検出リポジトリである rustinel-rules からキュレーションされたコンテンツをロードしてください。

rustinel        ->  テレメトリを収集しルールを評価するエンジン
rustinel-rules  ->  ロードするSigma、YARA、IOCパック

各パックは、config.tomlで直接指定するフォルダに展開されます。まずはパックカタログを参照して始めてください。

適している用途 / 適していない用途

適している用途: 検出エンジニアリング、ルール開発とテスト、ブルーチームラボ、クロスプラットフォーム検出研究、SIEMパイプラインの検証。

適していない用途: 成熟した商用EDRの代替にはなりません。Rustinelはカーネルレベルの自己保護、実行前ブロック、改ざん防止保証、管理されたレスポンスを提供しません。十分な権限を持つ攻撃者は、ユーザーモードのテレメトリに干渉する可能性があります。

ソースからビルド

cargo build --release
sudo ./target/release/rustinel run

macOSでは、はじめにで説明されているアプリのような署名付きバンドルが必要です。

ドキュメント

コントリビューション

テスト、フィードバック、検出アイデアを歓迎します。CONTRIBUTING.mdを参照してください。

ライセンス

Apache 2.0