Lucas RayanandClaude Sonnet 5
8a80504c45
Release / Plan (reuse the published image?) (push) Successful in 3s
CI / Docker image (build and smoke test) (push) Skipped
CI / Format and clippy (push) Successful in 4m32s
CI / Dependency audit (push) Successful in 11s
CI / Tests (Linux) (push) Successful in 9m15s
Release / ci (push) Successful in 9m18s
Release / Build image (arm64) (push) Failing after 7m7s
Release / Build image (amd64) (push) Failing after 13m53s
Release / Publish tags (push) Skipped
Release / Gitea release (push) Skipped
Acaua is a collective SOC daemon consuming only Zeek log files, not a single-user tool needing local hardware like its siblings. Drop the Tauri desktop shell, installers and self-update entirely; the server and its web dashboard ship as a container, updated by pulling a new image tag. Link against the official prebuilt libduckdb instead of compiling it from source via the bundled feature, cutting image build time from 15+ minutes to about 3. Fix a real bug found along the way: as PID 1 in a container, the daemon ignored SIGTERM and was always killed after the stop timeout; it now shuts down gracefully. Also corrects the Pillar 1 beaconing score: the period estimate had a harmonic alias (a perfectly periodic 4h series resolved to 600s), and the old score formula flagged pure random traffic as suspicious (p95 = 0.839 on Poisson noise). The new formula was validated against 300 samples per scenario. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
2.1 KiB
2.1 KiB
Roadmap
English · Português
Este roadmap separa o que existe do que está planejado. Os quatro pilares estão em desenvolvimento; eles representam o trabalho analítico principal.
Feito
- Workspace Rust com
acaua-coreeacaua-cli. - Comandos CLI, API Axum e dashboard web embutido.
- Containerização 100% Docker, implantação Compose, perfil endurecido não-root.
- Linkagem da DuckDB pré-compilada e fundações de armazenamento Parquet.
- Stubs dos quatro pilares, fusão de evidências e ingestão Zeek.
- Documentação em inglês/português, workflows de CI/release e
scripts/check.sh. - Testes determinísticos de fumaça e checagem de tradução bilíngue da UI.
Próximo
- Pilar 1 — beaconing. Implementar o periodograma de Rayleigh/Schuster sobre timestamps de eventos, resistência a harmônicos e validação com fixtures determinísticas.
- Pilar 2 — sessões persistentes. Detectar conexões longas que nunca produzem intervalos curtos, com limiares explícitos sem sobreposição ao pilar 1.
- Parser Zeek real. Ler
conn.log,dns.log,ssl.loge logs de protocolo com memória delimitada, confinamento de caminhos e ordem determinística. - Registro de evidência. Emitir registro JSON por alerta contendo entradas, valores intermediários, versão do código e hash do dataset.
Depois
- Pilar 3 — anomalias determinísticas de protocolo, incluindo identidade e movimentação lateral.
- Pilar 4 — fusão limitada e simétrica com pesos reproduzíveis.
- Otimizações no store analítico, particionamento diário Parquet e limpeza por TTL.
- Ingestão agendada e tratamento automático de rotação de logs em modo daemon.
- NetFlow/IPFIX como modo degradado documentado e Suricata EVE JSON como entrada secundária.
- Metadados assinados de release, SBOM e builds reproduzíveis.
Fora de plano
- Pontuação por IA opaca que não consiga explicar um alerta.
- Serviço em nuvem obrigatório ou pipeline de telemetria.
- Python no runtime distribuído.
- Tratar registros de fluxo como equivalentes a logs Zeek completos.
- Shell desktop nativo ou auto-modificação de binário.