Lucas RayanandClaude Sonnet 5
1b974bb90d
Acauã: Network Detection & Threat Hunting, heuristic analysis over a rolling 7-day window using deterministic math (time series, graph theory, information theory) instead of opaque ML models. Third product in the Ciberfauna ecosystem, alongside Guará and Sabiá. Follows the ecosystem's established conventions: OpenWolf project memory, bilingual PT-BR/EN docs and UI, Gitea Actions CI/CD on the same self-hosted runners, Conventional Commits, SemVer, logo and productName handling, MIT OR Apache-2.0 licensing. Architecture decision (made with the project owner after a dedicated consultation, not the original blueprint's suggested stack): Rust throughout, not Python/FastAPI/React. Most of the statistics (Bowley skew, MADM, Shannon entropy, PCR, Z-score, novel-edge detection, pivot chains) reduces to SQL over an embedded DuckDB/Parquet store; only the spectral analysis and graph centrality need host-language code, and both have workable Rust crates. Documented in full, including six corrections to the original blueprint's math (Rayleigh/Schuster instead of a degenerate Lomb-Scargle over bare timestamps, an explicit sentinel for Bowley skew's Q3=Q1 case, Jensen-Shannon instead of unbounded KL, a dedicated long-connection detector, JA4 vs. JA4+ licensing caution, deterministic per-alert evidence), in docs/architecture.md. Skeleton only: crates/acaua-core has the four detection pillars, fusion, storage, zeek log parsing and the updater as typed stubs that compile and return a clear "skeleton" status rather than real detection logic — that is separate, future work. crates/acaua-cli has serve/analyze/doctor/update. apps/gui is a minimal Tauri shell. Also already includes the one-click desktop self-update mechanism shared with Guará and Sabiá (AppImage/.deb/Windows installer), even with no release published yet, for consistency across the ecosystem. No Gitea repository exists for this project yet; this is a local-only commit. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
3.1 KiB
Terminal
English · Português
O binário acaua é ao mesmo tempo CLI e daemon. Esta página descreve os comandos
que existem no esqueleto 0.1.0. A detecção ainda não está implementada; o
analyze valida a entrada e devolve um relatório stub.
acaua <comando> [opções]
Comandos:
serve Sobe a API e a UI embutida
analyze Analisa um diretório de logs Zeek
doctor Checa o ambiente local
update Checa ou aplica atualização da CLI
acaua serve
Sobe a API HTTP e a UI embutida.
acaua serve --bind 127.0.0.1:8787 --data-dir .acaua
| Opção | Padrão | Significado |
|---|---|---|
--bind |
127.0.0.1:8787 |
Endereço de escuta |
--data-dir |
.acaua |
Store e arquivos de runtime |
O bind padrão é só loopback. Expor o daemon na rede exige proxy reverso com autenticação. A API está documentada em arquitetura.md.
acaua analyze
acaua analyze /var/log/zeek/current
acaua analyze /var/log/zeek/current --json
O diretório é validado e um relatório é impresso. Neste esqueleto o parser ainda
não lê registros Zeek: logs lidos e registros são placeholders, e alertas
vem vazio. O comando continua útil para conferir tratamento de caminho e o
formato JSON.
O parser futuro vai suportar conn.log, dns.log, ssl.log e os logs de
protocolo necessários para identidade e movimento lateral. NetFlow/IPFIX é modo
degradado; não equivale a logs completos de protocolo.
acaua doctor
acaua doctor
acaua doctor --json
Imprime checagens de Zeek, curl, tar, da feature opcional DuckDB e do
isolamento de research/, seguida do estado (skeleton em 0.1.0). Dependência
opcional ausente aparece como falha, mas não aborta o comando. Não envia
telemetria.
acaua update
acaua update
acaua update --apply
O update consulta a última Release do Gitea, compara a tag com a versão em
execução e informa se existe atualização. O --apply baixa o arquivo da
plataforma atual, verifica o SHA-256, extrai e substitui o binário acaua.
Requisitos: curl e tar no PATH, e local de binário com permissão de escrita.
O updater se recusa a substituir qualquer executável cujo nome não seja acaua;
o app desktop deve ser atualizado pelo instalador. Checksum inválido mantém o
binário atual intacto.
Códigos de saída
| Código | Significado |
|---|---|
0 |
Sucesso |
1 |
Erro de execução (caminho inválido, update falhou, erro de I/O) |
2 |
Uso inválido da linha de comando (clap) |
Ambiente
O esqueleto não exige variável de ambiente. RUST_LOG está reservado para a
camada de tracing futura. O diretório de dados padrão é relativo ao diretório de
trabalho; use caminho absoluto em serviço de sistema.
Exemplos
# Laboratório local
acaua doctor
acaua analyze ./fixtures/zeek --json
acaua serve --bind 127.0.0.1:8787 --data-dir ./.acaua
# Contêiner
docker run --rm -p 127.0.0.1:8787:8787 -v "$PWD/zeek:/data:ro" acaua serve
Veja docker.md para a imagem e o layout de volumes.