Lucas RayanandClaude Sonnet 5
1b974bb90d
Acauã: Network Detection & Threat Hunting, heuristic analysis over a rolling 7-day window using deterministic math (time series, graph theory, information theory) instead of opaque ML models. Third product in the Ciberfauna ecosystem, alongside Guará and Sabiá. Follows the ecosystem's established conventions: OpenWolf project memory, bilingual PT-BR/EN docs and UI, Gitea Actions CI/CD on the same self-hosted runners, Conventional Commits, SemVer, logo and productName handling, MIT OR Apache-2.0 licensing. Architecture decision (made with the project owner after a dedicated consultation, not the original blueprint's suggested stack): Rust throughout, not Python/FastAPI/React. Most of the statistics (Bowley skew, MADM, Shannon entropy, PCR, Z-score, novel-edge detection, pivot chains) reduces to SQL over an embedded DuckDB/Parquet store; only the spectral analysis and graph centrality need host-language code, and both have workable Rust crates. Documented in full, including six corrections to the original blueprint's math (Rayleigh/Schuster instead of a degenerate Lomb-Scargle over bare timestamps, an explicit sentinel for Bowley skew's Q3=Q1 case, Jensen-Shannon instead of unbounded KL, a dedicated long-connection detector, JA4 vs. JA4+ licensing caution, deterministic per-alert evidence), in docs/architecture.md. Skeleton only: crates/acaua-core has the four detection pillars, fusion, storage, zeek log parsing and the updater as typed stubs that compile and return a clear "skeleton" status rather than real detection logic — that is separate, future work. crates/acaua-cli has serve/analyze/doctor/update. apps/gui is a minimal Tauri shell. Also already includes the one-click desktop self-update mechanism shared with Guará and Sabiá (AppImage/.deb/Windows installer), even with no release published yet, for consistency across the ecosystem. No Gitea repository exists for this project yet; this is a local-only commit. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
67 lines
2.2 KiB
Markdown
67 lines
2.2 KiB
Markdown
# Docker
|
|
|
|
[English](../docker.md) · **Português**
|
|
|
|
A imagem é para laboratório e pesquisa. Ela roda o mesmo binário `acaua` de uma
|
|
instalação nativa, com a UI embutida. O esqueleto não liga a feature DuckDB na
|
|
imagem; o armazenamento continua reservado para uma release futura.
|
|
|
|
## Build
|
|
|
|
```bash
|
|
docker build -t acaua .
|
|
docker run --rm -p 127.0.0.1:8787:8787 -v "$PWD/data/acaua:/data/acaua" acaua
|
|
```
|
|
|
|
O estágio de build usa `rust:1-slim-bookworm`; o de runtime usa
|
|
`debian:bookworm-slim` e instala só `ca-certificates`, `curl` e `tar` (o updater
|
|
precisa de `curl` e `tar`).
|
|
|
|
## Compose
|
|
|
|
```bash
|
|
cp .env.example .env # opcional: defina ZEEK_INTERFACE
|
|
docker compose up --build
|
|
```
|
|
|
|
O Compose sobe dois serviços:
|
|
|
|
| Serviço | Função | Notas |
|
|
|---|---|---|
|
|
| `zeek` | Captura e grava logs Zeek em `./data/zeek` | Rede do host e `NET_RAW`/`NET_ADMIN` |
|
|
| `acaua` | Lê logs e serve UI/API | Porta do host presa a `127.0.0.1:8787` |
|
|
|
|
O `acaua` monta `./data/zeek` somente leitura em `/data/zeek` e `./data/acaua`
|
|
leitura-escrita em `/data/acaua`. O daemon dentro do contêiner escuta
|
|
`0.0.0.0:8787`, mas a porta publicada é só loopback no host.
|
|
|
|
## Layout de dados
|
|
|
|
```text
|
|
data/
|
|
zeek/ # logs Zeek, escritos pelo serviço zeek
|
|
acaua/ # store, exportações e arquivos de runtime
|
|
```
|
|
|
|
Não monte a raiz do host nem um diretório com arquivos sensíveis sem relação. O
|
|
parser deve confinar caminhos à raiz do dataset; o esqueleto ainda não lê
|
|
registros.
|
|
|
|
## Notas de segurança
|
|
|
|
- O serviço `zeek` precisa de privilégio de captura. Rode só em interface e rede
|
|
que você tem autorização para monitorar.
|
|
- Não mude o mapeamento de porta do host para `0.0.0.0:8787` sem proxy reverso
|
|
com autenticação.
|
|
- A imagem não tem telemetria e não faz conexão de saída exceto um
|
|
`acaua update` explícito.
|
|
- O contêiner não é sandbox para dataset hostil. Trate captura malformada como
|
|
entrada hostil e mantenha o contêiner sem privilégios.
|
|
|
|
## Limitações
|
|
|
|
- Sem build DuckDB na imagem; o armazenamento analítico não está ativo.
|
|
- A UI é um shell e o `analyze` devolve relatório stub.
|
|
- A imagem não inclui Zeek; o Compose usa a imagem upstream do Zeek.
|
|
- Ainda não há imagem publicada em registry. Compile localmente.
|