Rustinel

オープンソースのエンドポイント検知。3つのプラットフォーム。あなたのルール。
ネイティブの Windows、Linux、macOS テレメトリ上で Sigma、YARA、IOC 検知を実行します。
Rust で書かれており、ローカルアラートを備え、クラウドアカウントは不要です。

検知コンテンツを持ち込み、エンドポイントを監視し、すでに使用しているツールにアラートを送信できます。

ダウンロード | ドキュメント | 検知パック | ウェブサイト

なぜ Rustinel なのか？

エンドポイント検知は、あなたが運用しているプラットフォームと、すでに理解しているルールで動作すべきです。

Rustinel は、ネイティブテレメトリ、確立された検知フォーマット、共通のアラートフォーマットを 1 つのオープンソースエンジンに統合します。

• Sigma と YARA ルールを使用できます。 Sigma で振る舞いを検知し、YARA でファイルとプロセスメモリをスキャンし、ハッシュ、IP、ドメイン、パスのインジケータを照合します。
• Windows、Linux、macOS で実行できます。 共有された設定モデルと正規化されたイベントを備えた 1 つのエンジンを使用します。センサーと検知カバレッジはプラットフォームによって異なります。
• データの管理権を維持できます。 ライブエージェントは外部へのネットワーク接続を行いません。アラートはローカルファイルであり、自分で検査したり転送したりできます。
• 既存のツールと連携できます。 ECS 9.4.0 NDJSON 出力は Elastic、Splunk、その他のログパイプラインで動作します。
• 記録された振る舞いに対して検知をテストできます。 テレメトリを一度キャプチャし、ルールの変更に合わせて再生することで、同じアクティビティを繰り返す必要がありません。
• エンジンを検査し拡張できます。 Rust で書かれており、Apache 2.0 の下でライセンスされています。

最初のアラートを取得する

リリースアーカイブにはバイナリ、デフォルト設定、デモルールが含まれているため、サービスをデプロイする前に検知を確認できます。

Linux

BTF サポートを備えた Linux 5.8+ が必要です。

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run

Windows

管理者権限の PowerShell で実行します：

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel
.\rustinel.exe run

x64 Microsoft Visual C++ 再頒布可能パッケージが必要です。詳細は Windows の前提条件を参照してください。

macOS

macOS のサポートは実験的です。センサーを開始する前に 署名とフルディスクアクセスの設定を完了してください。

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel
sudo ./rustinel run

デモルールをトリガーする

Rustinel の実行中に、別のターミナルを開いて次を実行します：

whoami

同梱のデモルールがこのプロセスを検知します。アラートは、展開したリリースディレクトリ内の logs/alerts.json.<date> にあります。

デモルールはパイプラインが動作することを確認するものです。より広範なカバレッジを得るには、検知パックをインストールするか、独自のルールを追加してください。

手動インストールを希望しますか？リリースアーカイブを参照するか、 インストールスクリプトを確認してください。

継続的な監視のためにデプロイする

Ctrl-C でフォアグラウンドエージェントを停止し、展開したリリースディレクトリからセットアップを実行します。

Linux と macOS：

sudo ./rustinel setup --yes
./rustinel doctor

Windows、管理者権限の PowerShell で：

.\rustinel.exe setup --yes
.\rustinel.exe doctor

セットアップは、管理対象設定の書き込み、Essential ルールパックのインストール、ネイティブサービスの登録、起動、およびヘルスチェックを行います。

より大きなパックには --pack advanced を、サービスを起動せずに登録するには --no-start を使用します。

ルールと IOC はホットリロードをサポートしています。オプションのプロセス終了機能が利用可能で、デフォルトでは無効になっています。

設定 | 運用 | SIEM の例

あなたのルールを、文書化されたカバレッジとともに

独自の検知コンテンツを使用するか、公式のバージョン管理された Sigma、YARA、IOC パックである rustinel-rules から始めてください。

パックはダウンロードされ、SHA-256 で検証され、検証後にアトミックに有効化されます。ダウンロードに失敗した場合、現在のルールはそのまま維持されます。

ルールの互換性は、各プラットフォームで利用可能なテレメトリとフィールドに依存します。Windows のルールが自動的に Linux の検知になるわけではありません。

固定された SigmaHQ コーパスに対する Sigma カバレッジ測定を公開しており、欠落しているコレクタや利用できないフィールドも含まれます。これらは、ルールが発火するために必要なデータがあるかどうかを測定するものであり、すべての攻撃を検知するかどうかを測定するものではありません。

ルール作成 | パックカタログ | カバレッジとギャップ

一度キャプチャ。ルールの改善に合わせて再生。

エンドポイントのアクティビティを記録し、同じアクティビティを繰り返したり開発マシンでセンサーを実行したりすることなく、同じイベントを新しいルールに対して評価します。

Linux または macOS のリリースディレクトリから：

# Start recording, perform the activity, then press Ctrl-C.
sudo ./rustinel capture --output session.ndjson

# Evaluate the recording without elevated privileges.
./rustinel replay session.ndjson

# Compare another configuration.
./rustinel replay session.ndjson --config candidate.toml

# Export results for automated comparison.
./rustinel replay session.ndjson --output results.ndjson

Windows では、.\rustinel.exe を使用し、キャプチャには管理者権限の PowerShell を使用します。

Windows の記録は Linux または macOS で再生できます。再生は Sigma ルーティングに記録されたプラットフォームを使用し、同じ記録と設定に対して再現可能な結果を生成します。

記録とその .manifest.json サイドカーは一緒に保管してください。記録には、コマンドライン、パス、ネットワーク宛先、ユーザー名など、機密性の高いエンドポイントデータが含まれます。

再生は Sigma と IP、ドメイン、パスの IOC チェックを評価します。記録にはファイルの内容ではなくイベントが含まれるため、YARA とハッシュのチェックはスキップされます。アクティブレスポンスは再生中に実行されることはありません。

キャプチャと再生のリファレンス

プラットフォームサポート

Windows が現在最も広範なカバレッジを持っています。プラットフォーム固有の詳細については 要件と 制限事項を参照してください。

ローカル運用、明示的なダウンロード

ライブエージェントはテレメトリをローカルで収集および評価します。テレメトリを外部に送信したり、ベンダーアカウントを要求したりすることはありません。

インストーラは公開されたリリースをダウンロードします。setup、rules list、rules install はルールカタログを取得し、セットアップとルールのインストールはパックもダウンロードします。

アラートは、独自のパイプラインを通じて転送しない限り、エンドポイント上に残ります。

境界を理解する

Rustinel は、エンドポイント監視、検知エンジニアリング、セキュリティラボ、SIEM パイプラインの検証をサポートします。

成熟した商用 EDR のドロップイン代替品ではありません。カーネルレベルの自己保護、実行前ブロック、改ざん防止の保証、管理されたレスポンスは提供しません。十分な権限を持つ攻撃者は、ユーザーモードのテレメトリに干渉する可能性があります。

あなたの環境で評価する際は、現在の制限事項をお読みください。

コントリビュート

プラットフォームカバレッジの改善、検知のテスト、バグの報告、セットアップの簡素化にご協力ください。

Rustinel を使用している場合は、何を監視しているか、どのルールが重要か、どこで行き詰まるかを教えてください。実際のデプロイからのフィードバックがプロジェクトの指針となります。

コントリビュート | イシュー | 開発ガイド | ロードマップ

ライセンス

Apache 2.0。