Rustinel

Windows、Linux、macOS向けのオープンソースエンドポイント検知。
ネイティブテレメトリからSigma、YARA、IOC検知、SIEM対応アラートまで。Rustで記述。

Webサイト | ドキュメント | ダウンロード | SIEMデモ

クイックスタート

Rustinelのリリースアーカイブには、バイナリ、デフォルト設定、デモルール、logs/ディレクトリが同梱されています。

Windows - PowerShellからテスト:

irm https://rustinel.io/install.ps1 | iex

その後、管理者権限のPowerShellからデプロイし、管理インストールを診断:

rustinel setup --yes
rustinel doctor

Windowsリリースバイナリには、x64版Microsoft Visual C++ 再頒布可能パッケージが必要です。 プロセスが出力を表示せずに終了する場合は、Getting Startedを参照してください。

Linux - テスト、デプロイ、診断:

curl -fsSL https://rustinel.io/install.sh | sh -s -- --run
sudo rustinel setup --yes
rustinel doctor

macOS (実験的)

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel

macOSでは、Endpoint Securityを開始する前に、一度だけフルディスクアクセス（Full Disk Access）の承認が必要です。最初のテスト以外で使用する前に、Getting StartedのmacOSに関する注意事項に従ってください。

sudo ./rustinel run

フルディスクアクセスが許可されたら、管理インストールをデプロイして診断:

sudo ./rustinel setup --yes
./rustinel doctor

エージェントが実行されている状態で、同梱のデモルールをトリガー:

whoami

アラートはECS NDJSON形式でlogs/alerts.json.<date>に書き込まれます。

まず中身を確認したいですか？インストールスクリプトまたは最新リリースからパッケージをダウンロードしてください。インストーラーは公開済みのリリースバイナリのみをダウンロードします。

Rustinelの特長

読み、実行、テスト、拡張が可能な透過的なエンドポイント検知エンジン。

• ネイティブテレメトリ: WindowsではETWとWindowsイベントログ、LinuxではeBPF、macOSではEndpoint Securityと/dev/bpf。
• 検知フォーマット: 動作検知にSigma、ファイルとメモリ検知にYARA、ハッシュ・IP・ドメイン・パス正規表現のマッチングにIOC。
• ルールの再利用: 独自フォーマットに書き直す代わりに、既存のSigmaおよびYARAルールをそのまま利用可能。
• SIEM出力: Elastic、Splunk、その他のログパイプライン向けのECS 9.4.0 NDJSONアラート。
• 運用: ルールとIOCのホットリロード、3プラットフォームすべてでオプションのアクティブレスポンス（デフォルトではオフ）、SCM・systemd・launchdによるネイティブサービス管理。

プラットフォームサポート

現在、Windowsのカバレッジが最も広範です。LinuxとmacOSはプロセス、ネットワーク、ファイル、DNSテレメトリに焦点を当てています。macOSは実験的なステータスのままです。現在のギャップはLimitationsに記載されています。

検知の仕組み

  ETW (Windows) | eBPF (Linux) | ESF + /dev/bpf (macOS)
                        │
              正規化されたイベントモデル
                        │
        ┌───────────────┼───────────────┐
      Sigma            YARA             IOC
    動作ルール      ファイル +        ハッシュ、IP、
                     メモリ         ドメイン、パス
        └───────────────┼───────────────┘
                        │
                ECS NDJSONアラート
                        │
              オプションのアクティブレスポンス

ルールの作成、YARAメモリスキャン、IOCフォーマットについては、detection docsを参照してください。

検知パック

同梱のルールはパイプラインが動作することを証明するだけのものです。実際のカバレッジを得るには、公式のバージョン管理された検知リポジトリである**rustinel-rules**から厳選されたコンテンツを読み込んでください。

rustinel        ->  テレメトリを収集しルールを評価するエンジン
rustinel-rules  ->  読み込むSigma、YARA、IOCパック

各パックは、config.tomlで直接参照できるフォルダに展開されます。パックカタログを参照して始めてください。

適している用途 / 適さない用途

適している用途: 検知エンジニアリング、ルール開発とテスト、ブルーチームラボ、クロスプラットフォーム検知研究、SIEMパイプラインの検証。

適さない用途: 成熟した商用EDRのドロップイン代替品ではありません。Rustinelはカーネルレベルの自己保護、実行前ブロッキング、改ざん防止の保証、管理されたレスポンスを提供しません。十分な権限を持つ攻撃者はユーザーモードのテレメトリに干渉する可能性があります。

ソースからのビルド

cargo build --release
sudo ./target/release/rustinel run

macOSでは、Getting Startedに記載されているアプリ風の署名付きバンドルが必要です。

ドキュメント

Webサイト | ドキュメントホーム | Getting Started | 設定 | 検知 | アーキテクチャ | 運用 | トラブルシューティング | FAQ | 検知ルール | ロードマップ

コントリビューション

テスト、フィードバック、検知アイデアを歓迎します。CONTRIBUTING.mdを参照してください。

ライセンス

Apache 2.0。