Drie open-source EDR-projecten die de moeite waard zijn: Rustinel, Fibratus, owLSM

Drie open-source endpointdetectieprojecten circuleren deze maand onder verdedigers, elk met een ander deel van de vloot: Rustinel, Fibratus en owLSM. Geen van hen vereist een leverancierscontract, en alle drie zijn gratis te self-hosten en te inspecteren.

Wat elk project omvat

Rustinel is een cross-platform agent voor Windows, Linux en macOS. Het leest de telemetrie die elk besturingssysteem al blootgeeft -- ETW op Windows, eBPF en Endpoint Security op Linux en macOS -- normaliseert deze en evalueert Sigma-regels, YARA-handtekeningen en IOC-lijsten daartegen. Alerts worden weggeschreven als lokale ECS NDJSON-bestanden die in Elastic, Splunk of elke bestaande logpipeline terechtkomen; niets wordt naar een vendorcloud gestuurd. Het wordt geleverd onder de Apache 2.0-licentie.

Fibratus is alleen voor Windows en gebouwd op ETW-kerneltelemetrie. Het combineert een gedragsgestuurde regelengine met een YARA-geheugenscanner die vers aangemaakte procesimages inspecteert, en het ondersteunt Python-gebaseerde "filaments" voor teams die eigen detecties boven op de ruwe eventstream willen schrijven.

owLSM, van het publieke onderzoeksarm van Cybereason, kiest een andere aanpak: het draait Sigma-achtige regels binnen de Linux-kernel zelf met eBPF LSM-hooks, met als doel kwaadaardige activiteit in realtime te blokkeren in plaats van alleen achteraf te loggen. Het is geen labexperiment -- Cybereason zegt dat het al is uitgerold in klantomgevingen bij Cybereason en LevelBlue.

Waar deze passen in een MSP-stack

Geen van de drie is een volledige vervanging voor een commerciële EDR. De eigen documentatie van Rustinel is expliciet over het gat: geen kernel self-protection, geen anti-tamper, dus een bevoorrechte aanvaller kan het gewoon stoppen. Fibratus heeft administrator- of SYSTEM-rechten nodig om ETW te lezen en wordt het best behandeld als een detection-engineering- en forensisch hulpmiddel in plaats van een geharde productiesensor. owLSM is het verst gevorderd richting productiegebruik, maar de preventieregels moeten nog per omgeving worden afgestemd en Sigma-regels geschreven voor loggebaseerde detectie porten niet automatisch over -- velden en ID's moeten worden aangepast aan het formaat van owLSM.

Voor een MSP die een van de drie evalueert, zijn de praktische vragen dezelfde: komt de platformdekking overeen met de vloot die je daadwerkelijk draait, overlapt het regelformaat met wat je SOC al onderhoudt, en deploy je het voor detection engineering en pilotdekking of voor productieblokkering. Behandel alle drie als een aanvulling op bestaande tooling, niet als een vervanging, totdat je ze tegen je eigen omgeving hebt getest.

Bronnen: Rustinel (GitHub), Fibratus, owLSM (GitHub).