Trei proiecte EDR open-source care merită atenție: Rustinel, Fibratus, owLSM

Trei proiecte open-source de detecție endpoint circulă printre apărători luna aceasta, fiecare acoperind un colț diferit al flotei: Rustinel, Fibratus și owLSM. Niciunul nu necesită un contract cu un furnizor, iar toate trei sunt gratuite pentru auto-găzduire și inspecție.

Ce acoperă fiecare

Rustinel este un agent cross-platform pentru Windows, Linux și macOS. Citește telemetria pe care fiecare sistem de operare o expune deja -- ETW pe Windows, eBPF și Endpoint Security pe Linux și macOS -- o normalizează și evaluează reguli Sigma, semnături YARA și liste IOC împotriva ei. Alertele sunt scrise ca fișiere locale ECS NDJSON care alimentează Elastic, Splunk sau orice pipeline de loguri existent; nimic nu este trimis către un cloud al unui furnizor. Este distribuit sub licența Apache 2.0.

Fibratus este doar pentru Windows și construit pe telemetria kernel ETW. Împerechează un motor de reguli bazat pe comportament cu un scaner de memorie YARA care inspectează imaginile de proces nou create și suportă „filamente” bazate pe Python pentru echipele care doresc să-și scrie propriile detecții peste fluxul brut de evenimente.

owLSM, de la brațul public de cercetare al Cybereason, adoptă o abordare diferită: rulează reguli în stil Sigma în interiorul kernelului Linux însuși folosind hook-uri eBPF LSM, vizând blocarea activității malițioase în timp real, nu doar logarea ei după fapt. Nu este un experiment de laborator -- Cybereason spune că este deja implementat în medii de clienți la Cybereason și LevelBlue.

Unde se potrivesc acestea într-un stack MSP

Niciunul dintre cele trei nu este un înlocuitor total pentru un EDR comercial. Documentația proprie a Rustinel este explicită despre acest decalaj: fără auto-protecție kernel, fără anti-tamper, astfel încât un atacator privilegiat îl poate opri pur și simplu. Fibratus necesită drepturi de administrator sau SYSTEM pentru a citi ETW și este cel mai bine tratat ca un instrument de inginerie de detecție și forensics, nu ca un senzor de producție întărit. owLSM este cel mai avansat spre utilizarea în producție, dar regulile sale de prevenție trebuie încă ajustate per mediu, iar regulile Sigma scrise pentru detecția bazată pe loguri nu se portează automat -- câmpurile și ID-urile trebuie adaptate la formatul owLSM.

Pentru un MSP care evaluează oricare dintre cele trei, întrebările practice sunt aceleași: acoperirea platformei se potrivește cu flota pe care o rulați efectiv, formatul regulilor se suprapune cu ceea ce SOC-ul dumneavoastră întreține deja și îl implementați pentru inginerie de detecție și acoperire pilot sau pentru blocare în producție. Tratați toate trei ca o adăugare la instrumentele existente, nu ca o înlocuire, până când le-ați rulat împotriva propriului mediu.

Surse: Rustinel (GitHub), Fibratus, owLSM (GitHub).