refactor: distribute Acaua as a Docker image instead of a desktop app

Acaua is a collective SOC daemon consuming only Zeek log files, not a
single-user tool needing local hardware like its siblings. Drop the
Tauri desktop shell, installers and self-update entirely; the server
and its web dashboard ship as a container, updated by pulling a new
image tag.

Link against the official prebuilt libduckdb instead of compiling it
from source via the bundled feature, cutting image build time from
15+ minutes to about 3. Fix a real bug found along the way: as PID 1
in a container, the daemon ignored SIGTERM and was always killed
after the stop timeout; it now shuts down gracefully.

Also corrects the Pillar 1 beaconing score: the period estimate had a
harmonic alias (a perfectly periodic 4h series resolved to 600s), and
the old score formula flagged pure random traffic as suspicious
(p95 = 0.839 on Poisson noise). The new formula was validated against
300 samples per scenario.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD

docs/pt-BR/cli.md

@@ -2,23 +2,22 @@
 
 [English](../cli.md) · **Português**
 
-O binário `acaua` é ao mesmo tempo CLI e daemon. Esta página descreve os comandos
-que existem no esqueleto `0.1.0`. A detecção ainda não está implementada; o
-`analyze` valida a entrada e devolve um relatório stub.
+O binário `acaua` atua tanto como utilitário de linha de comando quanto como daemon de segundo plano.
+Esta página descreve os comandos disponíveis no motor.
 
 ```text
-acaua <comando> [opções]
+acaua <command> [options]
 
 Comandos:
-  serve    Sobe a API e a UI embutida
-  analyze  Analisa um diretório de logs Zeek
-  doctor   Checa o ambiente local
-  update   Checa ou aplica atualização da CLI
+  serve    Inicia a API e o dashboard web embutido
+  analyze  Analisa um diretório de logs do Zeek
+  doctor   Verifica o ambiente local
+  update   Checa por releases disponíveis
 ```
 
 ## `acaua serve`
 
-Sobe a API HTTP e a UI embutida.
+Inicia a API HTTP e o dashboard web embutido.
 
 ```bash
 acaua serve --bind 127.0.0.1:8787 --data-dir .acaua
@@ -27,10 +26,10 @@ acaua serve --bind 127.0.0.1:8787 --data-dir .acaua
 | Opção | Padrão | Significado |
 |---|---|---|
 | `--bind` | `127.0.0.1:8787` | Endereço de escuta |
-| `--data-dir` | `.acaua` | Store e arquivos de runtime |
+| `--data-dir` | `.acaua` | Diretório de dados e arquivos de execução |
 
-O bind padrão é só loopback. Expor o daemon na rede exige proxy reverso com
-autenticação. A API está documentada em
+O bind padrão restringe-se a loopback. Expô-lo em uma rede exige um proxy
+reverso com autenticação. A API está documentada em
 [arquitetura.md](arquitetura.md#api).
 
 ## `acaua analyze`
@@ -40,14 +39,8 @@ acaua analyze /var/log/zeek/current
 acaua analyze /var/log/zeek/current --json
 ```
 
-O diretório é validado e um relatório é impresso. Neste esqueleto o parser ainda
-não lê registros Zeek: `logs lidos` e `registros` são placeholders, e `alertas`
-vem vazio. O comando continua útil para conferir tratamento de caminho e o
-formato JSON.
-
-O parser futuro vai suportar `conn.log`, `dns.log`, `ssl.log` e os logs de
-protocolo necessários para identidade e movimento lateral. NetFlow/IPFIX é modo
-degradado; não equivale a logs completos de protocolo.
+Valida o diretório alvo, ingere tráfego do `conn.log` em partições Parquet e
+executa os algoritmos de detecção de ameaças.
 
 ## `acaua doctor`
 
@@ -56,51 +49,34 @@ acaua doctor
 acaua doctor --json
 ```
 
-Imprime checagens de Zeek, `curl`, `tar`, da feature opcional DuckDB e do
-isolamento de `research/`, seguida do estado (`skeleton` em `0.1.0`). Dependência
-opcional ausente aparece como `falha`, mas não aborta o comando. Não envia
-telemetria.
+Executa checagens de ambiente:
+- `zeek`: verifica `zeek --version` ou detecta execução em container (`ACAUA_RUNTIME=container`).
+- `curl`: confirma disponibilidade de download HTTP.
+- `duckdb`: confirma linkagem dinâmica contra a `libduckdb.so` em tempo de execução.
+- `research`: valida o isolamento do workspace de pesquisa.
 
 ## `acaua update`
 
 ```bash
 acaua update
-acaua update --apply
 ```
 
-O `update` consulta a última Release do Gitea, compara a tag com a versão em
-execução e informa se existe atualização. O `--apply` baixa o arquivo da
-plataforma atual, verifica o SHA-256, extrai e substitui o binário `acaua`.
-
-Requisitos: `curl` e `tar` no `PATH`, e local de binário com permissão de escrita.
-O updater se recusa a substituir qualquer executável cujo nome não seja `acaua`;
-o app desktop deve ser atualizado pelo instalador. Checksum inválido mantém o
-binário atual intacto.
+Consulta a API de Releases do Gitea, compara a última tag com a versão em
+execução e imprime instruções de atualização (`docker compose pull && docker compose up -d`
+quando em container).
 
 ## Códigos de saída
 
 | Código | Significado |
 |---|---|
 | `0` | Sucesso |
-| `1` | Erro de execução (caminho inválido, update falhou, erro de I/O) |
-| `2` | Uso inválido da linha de comando (clap) |
+| `1` | Erro em tempo de execução (caminho inválido, erro de consulta, I/O) |
+| `2` | Uso inválido de linha de comando (clap) |
 
 ## Ambiente
 
-O esqueleto não exige variável de ambiente. `RUST_LOG` está reservado para a
-camada de tracing futura. O diretório de dados padrão é relativo ao diretório de
-trabalho; use caminho absoluto em serviço de sistema.
-
-## Exemplos
-
-```bash
-# Laboratório local
-acaua doctor
-acaua analyze ./fixtures/zeek --json
-acaua serve --bind 127.0.0.1:8787 --data-dir ./.acaua
-
-# Contêiner
-docker run --rm -p 127.0.0.1:8787:8787 -v "$PWD/zeek:/data:ro" acaua serve
-```
-
-Veja [docker.md](docker.md) para a imagem e o layout de volumes.
+| Variável | Significado |
+|---|---|
+| `ACAUA_RUNTIME` | Definida como `container` em imagens Docker para adaptar checagens |
+| `DUCKDB_LIB_DIR` | Caminho do diretório contendo `libduckdb.so` em compilação nativa |
+| `LD_LIBRARY_PATH` | Caminho de busca de bibliotecas compartilhadas para `libduckdb.so` |