Lucas RayanandClaude Sonnet 5
8a80504c45
Release / Plan (reuse the published image?) (push) Successful in 3s
CI / Docker image (build and smoke test) (push) Skipped
CI / Format and clippy (push) Successful in 4m32s
CI / Dependency audit (push) Successful in 11s
CI / Tests (Linux) (push) Successful in 9m15s
Release / ci (push) Successful in 9m18s
Release / Build image (arm64) (push) Failing after 7m7s
Release / Build image (amd64) (push) Failing after 13m53s
Release / Publish tags (push) Skipped
Release / Gitea release (push) Skipped
Acaua is a collective SOC daemon consuming only Zeek log files, not a single-user tool needing local hardware like its siblings. Drop the Tauri desktop shell, installers and self-update entirely; the server and its web dashboard ship as a container, updated by pulling a new image tag. Link against the official prebuilt libduckdb instead of compiling it from source via the bundled feature, cutting image build time from 15+ minutes to about 3. Fix a real bug found along the way: as PID 1 in a container, the daemon ignored SIGTERM and was always killed after the stop timeout; it now shuts down gracefully. Also corrects the Pillar 1 beaconing score: the period estimate had a harmonic alias (a perfectly periodic 4h series resolved to 600s), and the old score formula flagged pure random traffic as suspicious (p95 = 0.839 on Poisson noise). The new formula was validated against 300 samples per scenario. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
2.4 KiB
2.4 KiB
Política de segurança
English · Português
O Acauã é software defensivo, mas processa entradas hostis: capturas de pacotes, logs Zeek e registros de fluxo podem ser intencionalmente malformados. Trate todo dataset como não confiável.
Relatando uma vulnerabilidade
Não abra uma issue pública com detalhes de exploração. Abra uma issue mínima solicitando canal privado ou contate o mantenedor pelo perfil do Gitea listado no repositório. Inclua a versão afetada, o formato da entrada e uma reprodução mínima quando o canal privado estiver estabelecido.
Escopo e modelo de ameaças
- Endurecimento do container: o container executa com usuário não privilegiado
(
acaua, UID 10001), filesystem raiz somente leitura (read_only: true), todas as capabilities revogadas (cap_drop: [ALL]), e endurecimento de segurança (no-new-privileges:true). - Parsing de entradas: uma linha de log malformada não deve causar panic no daemon, exaurir memória ou escapar do diretório de dados configurado.
- Manipulação de caminhos: caminhos de dataset são resolvidos e confinados à raiz configurada; symlinks externos não são seguidos.
- Exposição de API:
serveescuta em127.0.0.1por padrão. Expô-lo em uma interface de rede é decisão explícita do operador e exige um proxy reverso com autenticação. - Integridade da evidência: a evidência de um alerta deve ser reproduzível a partir da mesma entrada e versão de código. Nãodeterminismo silencioso é falha de corretude e segurança.
- Atualizações: atualizações são distribuídas como imagens multi-arch de
container verificadas. O daemon finaliza de forma limpa ao receber
SIGTERMsem corrupção de dados. - Privacidade: não há telemetria. A retenção padrão é de sete dias para eventos normalizados; o operador é responsável pela conformidade legal local.
Fora de escopo
- Vulnerabilidades em pacotes upstream do Zeek, DuckDB ou do sistema operacional já corrigidas nas fontes.
- Ataques que dependam de desativar os controles de segurança documentados
(como executar
servecomo root em interface pública). - Alegações de qualidade de detecção: os pilares são heurísticas defensivas, não garantias absolutas.
Versões suportadas
Apenas a linha 0.1.x mais recente tem suporte durante a fase pré-alfa. Não há
branch de suporte de longo prazo por enquanto.