# Roadmap

[English](ROADMAP.md) · **Português**

Este roadmap separa o que existe do que está planejado. Os quatro pilares de detecção
estão implementados em sua **versão inicial (v1)** e validados contra tráfego público.

## Feito

- Workspace Rust com `acaua-core` e `acaua-cli`.
- Comandos da CLI (`analyze`, `serve`, `doctor`, `update`), API Axum e dashboard web embutido.
- Containerização 100% Docker, implantação Compose, perfil endurecido não-root.
- Linkagem da DuckDB pré-compilada e armazenamento Parquet particionado diariamente por Hive com isolamento sandbox.
- Parser real de logs Zeek para `conn.log` e `dns.log` mapeando colunas por nome.
- **Pilar 1 (v1.2):** Periodograma de Rayleigh/Schuster com grade limitada ($T \le \text{span}/3$), portão de significância por regularidade e exclusões de infraestrutura.
- **Pilar 2 (v1.0):** Sessões TCP persistentes com encadeamento de timeouts de inatividade (intervalos $\le 3600$s sem novo SYN), score logarítmico de persistência e métricas de PCR e tentativas falhas na evidência.
- **Pilar 3 (v1.0):** Capacidade de informação DNS (entropia de Shannon $\times$ caracteres de subdomínio únicos por hora UTC) para detecção de túneis, com JSD na evidência.
- **Pilar 4 (v1.0):** Fusão noisy-OR ponderada por host ($w_1=w_2=w_3=0.75$) com evidência determinística em JSON e ordenação de prioridade (saída `hosts:`).
- Relato de alertas em memória em `/api/alerts` e interface web atualizada.
- Documentação em inglês/português, workflows de CI/release e `scripts/check.sh`.
- Suíte determinística de testes e scripts de validação contra capturas do IoT-23 e CTU-Normal.

## Próximo

1. **Ingestão contínua:** rotação automática de logs e monitoramento de diretório em modo daemon.
2. **Alertas persistentes:** persistência de alertas em SQLite/DuckDB entre reinícios do daemon.
3. **Rastreamento de conexões longas ao vivo:** registro de conexões longas no sensor antes do encerramento TCP.
4. **Public Suffix List (PSL):** substituição da heurística de domínio-base pela PSL oficial.
5. **Allowlist e baselining:** redução de falsos positivos em polling de dispositivos IoT benignos em nuvem (ex.: Philips HUE).

## Depois

- Sessões UDP e parsers adicionais de protocolo (`ssl.log`, `smb_mapping.log`, `dce_rpc.log`, `rdp.log`, `ssh.log`, `kerberos.log`, `ntlm.log`).
- Rastreamento de identidade, detecção de movimentação lateral e grafos de pivô.
- NetFlow/IPFIX como modo degradado documentado e Suricata EVE JSON como entrada secundária opcional.
- Metadados assinados de release, SBOM e builds reproduzíveis.

## Fora de plano

- Pontuação por IA opaca que não consiga explicar um alerta.
- Serviço em nuvem obrigatório ou pipeline de telemetria.
- Python no runtime distribuído.
- Tratar registros de fluxo como equivalentes a logs Zeek completos.
- Shell desktop nativo ou auto-modificação de binário.