Rustinel

Открытая система обнаружения на конечных точках. Три платформы. Ваши правила.
Запускайте обнаружение по Sigma, YARA и IOC на нативной телеметрии Windows, Linux и macOS.
Написан на Rust, локальные оповещения, облачный аккаунт не требуется.

Скачать | Документация | Пакеты обнаружения | Веб-сайт

Rustinel demo

Почему Rustinel?

Используйте правила Sigma и YARA. Sigma для поведения, YARA для исполняемых файлов и памяти процессов, а списки IOC для хешей, IP-адресов, доменов и путей.
Работает на Windows, Linux и macOS. Один движок, один формат конфигурации и одинаковые имена полей в стиле Sysmon везде. Покрытие зависит от платформы.
Ваши данные остаются у вас. Агент ничего не отправляет наружу. Оповещения — это локальные файлы ECS NDJSON, которые может принимать Elastic, Splunk или любой другой конвейер журналов.
Проверяйте правила на записанном поведении. Запишите активность один раз, а затем воспроизводите её на любой машине по мере изменения ваших правил.
Видьте пробелы. rustinel sigma doctor объясняет, какие правила могут сработать, а rustinel doctor сообщает о состоянии среды выполнения и событиях, потерянных под нагрузкой.

Быстрый старт

Установите в локальную папку rustinel, затем запустите.

Linux (ядро 5.8+):

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Windows, в PowerShell с повышенными правами:

irm https://rustinel.io/install.ps1 | iex
Set-Location rustinel; .\rustinel.exe run

macOS (экспериментально) требует предварительного предоставления Full Disk Access, см. разрешения macOS:

curl -fsSL https://rustinel.io/install.sh | sh
cd rustinel && sudo ./rustinel run

Запустите whoami в другом терминале. Демонстрационное правило срабатывает, и оповещение попадает в rustinel/logs/alerts.json.<date>.

Чтобы установить его как службу с настоящим набором правил, остановите его с помощью Ctrl-C и выполните sudo ./rustinel setup --yes из папки rustinel (.\rustinel.exe setup --yes в Windows). См. Deploy on an endpoint.

Захватите один раз, воспроизводите по мере улучшения ваших правил

sudo ./rustinel capture --output ~/captures/session.ndjson   # Ctrl-C when done
sudo chown -R "$USER" ~/captures
./rustinel replay ~/captures/session.ndjson
./rustinel replay ~/captures/session.ndjson --config candidate.toml

Replay не требует привилегий и работает на разных платформах: запись, сделанная в Windows, воспроизводится в Linux. См. Test rules with replay.

Поддержка платформ

Платформа	Датчики	Телеметрия	Статус
Windows 10/11, Server 2016+	ETW + Windows Event Log	Процессы, загрузка образов, сеть, файлы, реестр, DNS, PowerShell, WMI, службы, задачи, события аудита безопасности	Стабильно
Linux 5.8+	eBPF	Процессы, сеть, файлы, DNS	Стабильно
macOS 11+	Endpoint Security + `/dev/bpf`	Процессы, файлы, сеть, DNS	Экспериментально

Подробности: Platform coverage и Limitations.

Знайте границы

Rustinel создан для мониторинга конечных точек, detection engineering, лабораторий и тестирования конвейеров SIEM. Он не заменяет коммерческий EDR: в нём нет защиты от несанкционированного изменения, нет блокировки до выполнения и нет консоли управления. См. Security model.

Политика подписи кода

Бесплатная подпись кода для бинарного файла Windows предоставляется SignPath.io, сертификат — SignPath Foundation. См. Code signing policy для описания ролей и конфиденциальности.

Участие в проекте

Сообщения об ошибках, тесты детектирования и работа над платформами приветствуются. Расскажите нам, что вы мониторите и где вы застряли.

Contributing | Issues | Development guide | Roadmap

Лицензия

Apache 2.0.

rustinel

Популярное