refactor: distribute Acaua as a Docker image instead of a desktop app

Acaua is a collective SOC daemon consuming only Zeek log files, not a
single-user tool needing local hardware like its siblings. Drop the
Tauri desktop shell, installers and self-update entirely; the server
and its web dashboard ship as a container, updated by pulling a new
image tag.

Link against the official prebuilt libduckdb instead of compiling it
from source via the bundled feature, cutting image build time from
15+ minutes to about 3. Fix a real bug found along the way: as PID 1
in a container, the daemon ignored SIGTERM and was always killed
after the stop timeout; it now shuts down gracefully.

Also corrects the Pillar 1 beaconing score: the period estimate had a
harmonic alias (a perfectly periodic 4h series resolved to 600s), and
the old score formula flagged pure random traffic as suspicious
(p95 = 0.839 on Poisson noise). The new formula was validated against
300 samples per scenario.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD

SECURITY.pt-BR.md

@@ -2,44 +2,47 @@
 
 [English](SECURITY.md) · **Português**
 
-O Acauã é software defensivo, mas processa entrada hostil: capturas de pacotes,
-logs Zeek e registros de fluxo podem estar malformados de propósito. Trate todo
+O Acauã é software defensivo, mas processa entradas hostis: capturas de pacotes,
+logs Zeek e registros de fluxo podem ser intencionalmente malformados. Trate todo
 dataset como não confiável.
 
-## Reportando uma vulnerabilidade
+## Relatando uma vulnerabilidade
 
-Não abra issue pública com detalhes de exploração. Abra uma issue mínima pedindo
-um canal privado, ou contate o mantenedor pelo perfil no Gitea indicado no
-repositório. Inclua a versão afetada, o formato da entrada e uma reprodução
-mínima quando houver canal privado.
+Não abra uma issue pública com detalhes de exploração. Abra uma issue mínima
+solicitando canal privado ou contate o mantenedor pelo perfil do Gitea listado
+no repositório. Inclua a versão afetada, o formato da entrada e uma reprodução
+mínima quando o canal privado estiver estabelecido.
 
-## Escopo e modelo de ameaça
+## Escopo e modelo de ameaças
 
-- **Parsing de entrada:** uma linha malformada não pode derrubar o daemon,
-  esgotar memória ou escapar do diretório de dados configurado.
-- **Caminhos:** caminhos de dataset são resolvidos e confinados à raiz
-  configurada; links simbólicos não são seguidos para fora dela.
-- **Exposição da API:** o `serve` escuta em `127.0.0.1` por padrão. Expor em uma
-  interface de rede é decisão explícita do operador e exige proxy reverso com
+- **Endurecimento do container:** o container executa com usuário não privilegiado
+  (`acaua`, UID 10001), filesystem raiz somente leitura (`read_only: true`), todas
+  as capabilities revogadas (`cap_drop: [ALL]`), e endurecimento de segurança (`no-new-privileges:true`).
+- **Parsing de entradas:** uma linha de log malformada não deve causar panic no
+  daemon, exaurir memória ou escapar do diretório de dados configurado.
+- **Manipulação de caminhos:** caminhos de dataset são resolvidos e confinados à
+  raiz configurada; symlinks externos não são seguidos.
+- **Exposição de API:** `serve` escuta em `127.0.0.1` por padrão. Expô-lo em uma
+  interface de rede é decisão explícita do operador e exige um proxy reverso com
   autenticação.
-- **Integridade da evidência:** a evidência de um alerta precisa ser reproduzível
-  com a mesma entrada e a mesma versão do código. Não determinismo silencioso é
-  problema de correção e de segurança.
-- **Atualizações:** a CLI consulta Gitea Releases, baixa por HTTPS e verifica
-  SHA-256 antes de substituir o binário. O app desktop não se atualiza sozinho.
-- **Privacidade:** não há telemetria. A retenção padrão é de sete dias de eventos
-  normalizados; o operador responde pela lei e pela política local.
+- **Integridade da evidência:** a evidência de um alerta deve ser reproduzível a
+  partir da mesma entrada e versão de código. Nãodeterminismo silencioso é falha de
+  corretude e segurança.
+- **Atualizações:** atualizações são distribuídas como imagens multi-arch de
+  container verificadas. O daemon finaliza de forma limpa ao receber `SIGTERM`
+  sem corrupção de dados.
+- **Privacidade:** não há telemetria. A retenção padrão é de sete dias para
+  eventos normalizados; o operador é responsável pela conformidade legal local.
 
 ## Fora de escopo
 
-- Vulnerabilidades em pacotes de terceiros (Zeek, Suricata, Tauri ou sistema
-  operacional) já corrigidas upstream.
-- Ataques que exigem desligar controles documentados (por exemplo, rodar `serve`
-  como root em interface pública).
-- Alegações de qualidade de detecção: os pilares não estão implementados neste
-  esqueleto.
+- Vulnerabilidades em pacotes upstream do Zeek, DuckDB ou do sistema operacional
+  já corrigidas nas fontes.
+- Ataques que dependam de desativar os controles de segurança documentados
+  (como executar `serve` como root em interface pública).
+- Alegações de qualidade de detecção: os pilares são heurísticas defensivas, não garantias absolutas.
 
 ## Versões suportadas
 
-Só a linha `0.1.x` mais recente é suportada enquanto o projeto é pré-alfa. Ainda
-não existe branch de suporte de longo prazo.
+Apenas a linha `0.1.x` mais recente tem suporte durante a fase pré-alfa. Não há
+branch de suporte de longo prazo por enquanto.