ciberfauna/acaua
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 1 Wiki Activity
Files
c64bbbf775f2981d6f637544717d31bf2f88ad4b
acaua/CHANGELOG.pt-BR.md
T
Lucas RayanandClaude Sonnet 5 c64bbbf775 feat: implement Pillars 2-4 and fix a production false-positive in Pillar 1 
Pillar 1 v1.1 (shipped earlier) flagged benign browsing bursts as
beaconing: on short captures, grid periods longer than the observed
span never complete a cycle, so significance saturates to 1 and the
score sticks at exactly 0.5. v1.2 caps the grid at a third of the
observed span, requires a minimum number of completed cycles, and
excludes protocols that are periodic by nature (NTP, DNS, mDNS,
ICMP). Validated against 300 seeds per scenario: false positives on
bursty traffic drop from the 290-300/300 that v1.1 produced to 0/300,
with every beacon-detection scenario scoring unchanged.

Add Pillar 2 (persistent/long-lived sessions, with Zeek's fragmented
TCP sessions rejoined after a 5-minute gap), Pillar 3 (DNS tunneling
via Shannon-entropy information volume per subdomain per hour; the
Jensen-Shannon divergence was measured and does not separate tunnels
from benign CDN subdomains, so it stays in the evidence at zero
weight instead of in the score), and Pillar 4 (deterministic
noisy-OR fusion across the three pillars).

The fusion formula was validated against 8 labeled real-traffic
vectors (IoT-23, CTU-Normal) with tolerance <= 1e-4. A known
limitation is kept, not hidden: a benign Philips HUE bulb's strict
periodic polling and a 21.9h session score it above three real C2
hosts. No weight or threshold was tuned to mask this; it is
documented in the architecture docs instead.

Also fixes real bugs found along the way: ingest_dir's partition
count summed file names instead of distinct dates, DuckDB errors
were counted as bad rows, /api/alerts always returned an empty list
regardless of the last analysis, and the dashboard still claimed
every pillar was unimplemented.

Restores four design corrections that were missing from
docs/architecture.md (KL to Jensen-Shannon, the persistent-session
detector, the JA4 licensing boundary, and deterministic reduction
order), and catalogs the public datasets used for validation
(IoT-23, CTU-Normal, Mendeley DTQBC) with their licenses and SHA-256
checksums under research/validation/.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
2026-11-01 00:28:54 -03:00

3.6 KiB
Raw Blame History

Changelog

English · Português

Formato baseado no Keep a Changelog; versões seguem SemVer.

[Unreleased]

Adicionado

  • Pilar 1 (v1.2): Periodograma de Rayleigh/Schuster com grade limitada ao intervalo observado (T \le \text{span}/3), portão de significância por regularidade e exclusões de infraestrutura (NTP, mDNS/LLMNR/NBNS, SSDP, não-TCP/UDP).
  • Pilar 2 (v1.0): Detector de sessões TCP persistentes com encadeamento de timeouts de inatividade (intervalos $\le 3600$s sem novo SYN), score logarítmico de persistência e métricas de PCR e tentativas falhas na evidência.
  • Pilar 3 (v1.0): Detector de capacidade de informação em subdomínios DNS (I = H \times C bits/h) para identificar túneis de alta entropia, com Divergência Jensen-Shannon (JSD) registrada na evidência.
  • Pilar 4 (v1.0): Fusão noisy-OR ponderada por host (w_1=w_2=w_3=0.75) com vínculo determinístico de evidências, ranqueando hosts na saída humana do acaua analyze via seção hosts:.
  • Ingestão de dns.log do Zeek: Particionamento diário Hive Parquet para consultas DNS com mapeamento determinístico de colunas pelo cabeçalho TSV.
  • Esquema de armazenamento Parquet (v1.2): Esquema de 15 colunas para conn.log suportando conn_state, history, orig_pkts, resp_pkts, orig_ip_bytes, resp_ip_bytes.
  • Relato de alertas em memória: Rota /api/alerts do daemon web agora serve os alertas da análise mais recente.

Modificado

  • Breaking (0.x): A fórmula v1.2 do Pilar 1 altera pontuações e a geração de Alert.id para refletir a grade limitada e a agregação por inícios de sessão.
  • Distribuição migrada para 100% Docker e docker-compose (daemon servidor e dashboard web); tarballs binários nativos e instaladores desktop descontinuados.
  • DuckDB agora é dependência obrigatória em tempo de execução, linkada dinamicamente contra a libduckdb.so oficial pré-compilada (v1.5.6) com SHA-256 fixado via scripts/fetch-libduckdb.sh.
  • MSRV do workspace atualizado para Rust 1.88 (exigido pelo duckdb ~1.10506.1).
  • Runtime do container e imagem base atualizados para Debian 13 trixie.

Corrigido

  • Correção de falsos positivos críticos em capturas curtas onde candidatos a período excediam a duração observada.
  • Correção na contagem de partições em ingest_dir para utilizar a união dos conjuntos de datas em vez de somar contagens de arquivos.
  • Erros de execução do DuckDB agora são contabilizados em files_failed em vez de linhas ruins.
  • Atualização do status da checagem do doctor de "skeleton" para "ok" / "degraded".
  • Encerramento limpo em SIGTERM ao rodar como PID 1 em ambientes de container.

Removido

  • Aplicativo desktop Tauri (apps/gui/src-tauri) e scripts de build desktop associados.
  • Flag de autoatualização (acaua update --apply) e sobrescrita de binário em disco. Atualizações agora são feitas via pull de imagem (docker compose pull).

[0.1.0] - 2026-10-31

Adicionado

  • Workspace Rust com acaua-core e acaua-cli.
  • Esqueleto da CLI com serve, analyze, doctor e update [--apply].
  • Esqueleto da API Axum com rotas de health, status, alertas, análise e checagem de atualização.
  • UI vanilla embutida e shell desktop Tauri.
  • Stubs determinísticos de pilares, fusão, armazenamento, Zeek e updater com testes de fumaça.
  • Documentação em inglês/português, workflows de CI/release e script local de verificação.

Notas

  • Os quatro pilares matemáticos não estão implementados.
  • O parser Zeek e o armazenamento DuckDB são stubs.
  • Nenhum artefato de release foi publicado.
Reference in new issue View Git Blame Copy Permalink