rustinel v1.3.0
Open-source кроссплатформенный движок обнаружения на конечных точках для Windows, macOS и Linux, использующий ETW, ESF, eBPF, Sigma, YARA, IOCs и оповещения ECS NDJSON.
Rustinel
Открытая система обнаружения на конечных точках. Три платформы. Ваши правила.
Запускайте обнаружение по Sigma, YARA и IOC на нативной телеметрии Windows, Linux и macOS.
Написан на Rust, локальные оповещения, облачный аккаунт не требуется.
Скачать | Документация | Пакеты обнаружения | Веб-сайт
Почему Rustinel?
- Используйте правила Sigma и YARA. Sigma для поведения, YARA для исполняемых файлов и памяти процессов, а списки IOC для хешей, IP-адресов, доменов и путей.
- Работает на Windows, Linux и macOS. Один движок, один формат конфигурации и одинаковые имена полей в стиле Sysmon везде. Покрытие зависит от платформы.
- Ваши данные остаются у вас. Агент ничего не отправляет наружу. Оповещения — это локальные файлы ECS NDJSON, которые может принимать Elastic, Splunk или любой другой конвейер журналов.
- Проверяйте правила на записанном поведении. Запишите активность один раз, а затем воспроизводите её на любой машине по мере изменения ваших правил.
- Видьте пробелы.
rustinel sigma doctorобъясняет, какие правила могут сработать, аrustinel doctorсообщает о состоянии среды выполнения и событиях, потерянных под нагрузкой.
Быстрый старт
Установите в локальную папку rustinel, затем запустите.
Linux (ядро 5.8+):
curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run
Windows, в PowerShell с повышенными правами:
irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run
macOS (экспериментально) требует предварительного предоставления Full Disk Access, см. разрешения macOS:
curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run
Запустите whoami в другом терминале.
Демонстрационное правило срабатывает, и оповещение попадает в rustinel/logs/alerts.json.<date>.
Чтобы установить его как службу с настоящим набором правил, остановите его с помощью Ctrl-C и выполните sudo ./rustinel setup --yes из папки rustinel (.\rustinel.exe setup --yes в Windows).
См. Deploy on an endpoint.
Захватите один раз, воспроизводите по мере улучшения ваших правил
sudo ./rustinel capture --output ~/captures/session.ndjson # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml
Replay не требует привилегий и работает на разных платформах: запись, сделанная в Windows, воспроизводится в Linux. См. Test rules with replay.
Поддержка платформ
| Платформа | Датчики | Телеметрия | Статус |
|---|---|---|---|
| Windows 10/11, Server 2016+ | ETW + Windows Event Log | Процессы, загрузка образов, сеть, файлы, реестр, DNS, PowerShell, WMI, службы, задачи, события аудита безопасности | Стабильно |
| Linux 5.8+ | eBPF | Процессы, сеть, файлы, DNS | Стабильно |
| macOS 11+ | Endpoint Security + /dev/bpf | Процессы, файлы, сеть, DNS | Экспериментально |
Подробности: Platform coverage и Limitations.
Знайте границы
Rustinel создан для мониторинга конечных точек, detection engineering, лабораторий и тестирования конвейеров SIEM. Он не заменяет коммерческий EDR: в нём нет защиты от несанкционированного изменения, нет блокировки до выполнения и нет консоли управления. См. Security model.
Политика подписи кода
Бесплатная подпись кода для бинарного файла Windows предоставляется SignPath.io, сертификат — SignPath Foundation. См. Code signing policy для описания ролей и конфиденциальности.
Участие в проекте
Сообщения об ошибках, тесты детектирования и работа над платформами приветствуются. Расскажите нам, что вы мониторите и где вы застряли.
Contributing | Issues | Development guide | Roadmap