santamon

Santamon 轻量级 macOS 检测侧车，用于 Santa，在本地使用 CEL 规则评估 Endpoint Security 遥测数据，并仅将匹配的检测信号转发到后端服务器。 实验性。 专为家庭实验室和小规模机群构建。早期版本——可能存在错误和 API 变更。 功能概述 Santamon 读取 Santa 的 protobuf 遥测流，使用 CEL 表达式评估检测规则，并将安全信号发送到后端。原始遥测数据保留在终端上——只转发检测结果。 核心能力： 本地检测： 基于 CEL 的规则在设备上评估事件 三种规则类型： 简单匹配、时间窗口关联、基线（首次出现） 进程谱系：...