Rustinel

Detecção de endpoint open-source. Três plataformas. As suas regras.
Execute detecções Sigma, YARA e IOC em telemetria nativa de Windows, Linux e macOS.
Escrito em Rust, com alertas locais e sem necessidade de conta na cloud.

Download | Documentação | Pacotes de detecção | Website

Porquê o Rustinel?

• Use regras Sigma e YARA. Sigma para comportamento, YARA para executáveis e memória de processos, e listas IOC para hashes, IPs, domínios e caminhos.
• Execute em Windows, Linux e macOS. Um motor, um formato de configuração e os mesmos nomes de campos ao estilo Sysmon em todo o lado. A cobertura varia consoante a plataforma.
• Mantenha os seus dados. O agente não envia nada para fora. Os alertas são ficheiros ECS NDJSON locais que o Elastic, o Splunk ou qualquer pipeline de logs pode ingerir.
• Teste regras contra comportamento gravado. Capture a atividade uma vez e depois reproduza-a em qualquer máquina à medida que as suas regras mudam.
• Veja as lacunas. rustinel sigma doctor explica quais regras podem disparar, enquanto rustinel doctor reporta a saúde em tempo de execução e os eventos descartados sob carga.

Início rápido

Instale numa pasta local rustinel e depois inicie-o.

Linux (kernel 5.8+):

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows, em um PowerShell com privilégios elevados:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS (experimental) precisa primeiro de Acesso Total ao Disco, consulte permissões do macOS:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Execute whoami em outro terminal. A regra de demonstração é acionada e o alerta chega em rustinel/logs/alerts.json.<date>.

Para instalá-lo como serviço com um pacote de regras real, pare-o com Ctrl-C e execute sudo ./rustinel setup --yes a partir da pasta rustinel (.\rustinel.exe setup --yes no Windows). Consulte Deploy on an endpoint.

Capture uma vez, reproduza conforme suas regras melhoram

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

O replay não requer privilégios e funciona em várias plataformas: uma gravação do Windows é reproduzida no Linux. Consulte Testar regras com replay.

Suporte de plataformas

Plataforma	Sensores	Telemetria	Estado
Windows 10/11, Server 2016+	ETW + Windows Event Log	Processo, carregamento de imagem, rede, ficheiro, registo, DNS, PowerShell, WMI, serviço, tarefa, eventos de auditoria de Segurança	Estável
Linux 5.8+	eBPF	Processo, rede, ficheiro, DNS	Estável
macOS 11+	Endpoint Security + /dev/bpf	Processo, ficheiro, rede, DNS	Experimental

Detalhes: Cobertura de plataformas e Limitações.

Conheça os limites

O Rustinel foi concebido para monitorização de endpoints, engenharia de deteção, laboratórios e testes de pipelines SIEM. Não substitui um EDR comercial: não tem anti-tamper, não tem bloqueio pré-execução e não tem consola de gestão. Consulte o Modelo de segurança.

Política de assinatura de código

A assinatura de código gratuita para o binário Windows é fornecida pela SignPath.io, com certificado da SignPath Foundation. Consulte a Política de assinatura de código para funções e privacidade.

Contribuir

Relatórios de bugs, testes de deteção e trabalho de plataforma são bem-vindos. Diga-nos o que monitoriza e onde fica bloqueado.

Contribuir | Issues | Guia de desenvolvimento | Roadmap

Licença

Apache 2.0.