# Política de segurança

[English](SECURITY.md) · **Português**

O Acauã é software defensivo, mas processa entradas hostis: capturas de pacotes,
logs Zeek e registros de fluxo podem ser intencionalmente malformados. Trate todo
dataset como não confiável.

## Relatando uma vulnerabilidade

Não abra uma issue pública com detalhes de exploração. Abra uma issue mínima
solicitando canal privado ou contate o mantenedor pelo perfil do Gitea listado
no repositório. Inclua a versão afetada, o formato da entrada e uma reprodução
mínima quando o canal privado estiver estabelecido.

## Escopo e modelo de ameaças

- **Endurecimento do container:** o container executa com usuário não privilegiado
  (`acaua`, UID 10001), filesystem raiz somente leitura (`read_only: true`), todas
  as capabilities revogadas (`cap_drop: [ALL]`), e endurecimento de segurança (`no-new-privileges:true`).
- **Parsing de entradas:** uma linha de log malformada não deve causar panic no
  daemon, exaurir memória ou escapar do diretório de dados configurado.
- **Manipulação de caminhos:** caminhos de dataset são resolvidos e confinados à
  raiz configurada; symlinks externos não são seguidos.
- **Exposição de API:** `serve` escuta em `127.0.0.1` por padrão. Expô-lo em uma
  interface de rede é decisão explícita do operador e exige um proxy reverso com
  autenticação.
- **Integridade da evidência:** a evidência de um alerta deve ser reproduzível a
  partir da mesma entrada e versão de código. Nãodeterminismo silencioso é falha de
  corretude e segurança.
- **Atualizações:** atualizações são distribuídas como imagens multi-arch de
  container verificadas. O daemon finaliza de forma limpa ao receber `SIGTERM`
  sem corrupção de dados.
- **Privacidade:** não há telemetria. A retenção padrão é de sete dias para
  eventos normalizados; o operador é responsável pela conformidade legal local.

## Fora de escopo

- Vulnerabilidades em pacotes upstream do Zeek, DuckDB ou do sistema operacional
  já corrigidas nas fontes.
- Ataques que dependam de desativar os controles de segurança documentados
  (como executar `serve` como root em interface pública).
- Alegações de qualidade de detecção: os pilares são heurísticas defensivas, não garantias absolutas.

## Versões suportadas

Apenas a linha `0.1.x` mais recente tem suporte durante a fase pré-alfa. Não há
branch de suporte de longo prazo por enquanto.