Lucas RayanandClaude Sonnet 5
c64bbbf775
Pillar 1 v1.1 (shipped earlier) flagged benign browsing bursts as beaconing: on short captures, grid periods longer than the observed span never complete a cycle, so significance saturates to 1 and the score sticks at exactly 0.5. v1.2 caps the grid at a third of the observed span, requires a minimum number of completed cycles, and excludes protocols that are periodic by nature (NTP, DNS, mDNS, ICMP). Validated against 300 seeds per scenario: false positives on bursty traffic drop from the 290-300/300 that v1.1 produced to 0/300, with every beacon-detection scenario scoring unchanged. Add Pillar 2 (persistent/long-lived sessions, with Zeek's fragmented TCP sessions rejoined after a 5-minute gap), Pillar 3 (DNS tunneling via Shannon-entropy information volume per subdomain per hour; the Jensen-Shannon divergence was measured and does not separate tunnels from benign CDN subdomains, so it stays in the evidence at zero weight instead of in the score), and Pillar 4 (deterministic noisy-OR fusion across the three pillars). The fusion formula was validated against 8 labeled real-traffic vectors (IoT-23, CTU-Normal) with tolerance <= 1e-4. A known limitation is kept, not hidden: a benign Philips HUE bulb's strict periodic polling and a 21.9h session score it above three real C2 hosts. No weight or threshold was tuned to mask this; it is documented in the architecture docs instead. Also fixes real bugs found along the way: ingest_dir's partition count summed file names instead of distinct dates, DuckDB errors were counted as bad rows, /api/alerts always returned an empty list regardless of the last analysis, and the dashboard still claimed every pillar was unimplemented. Restores four design corrections that were missing from docs/architecture.md (KL to Jensen-Shannon, the persistent-session detector, the JA4 licensing boundary, and deterministic reduction order), and catalogs the public datasets used for validation (IoT-23, CTU-Normal, Mendeley DTQBC) with their licenses and SHA-256 checksums under research/validation/. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
2.9 KiB
2.9 KiB
Roadmap
English · Português
Este roadmap separa o que existe do que está planejado. Os quatro pilares de detecção estão implementados em sua versão inicial (v1) e validados contra tráfego público.
Feito
- Workspace Rust com
acaua-coreeacaua-cli. - Comandos da CLI (
analyze,serve,doctor,update), API Axum e dashboard web embutido. - Containerização 100% Docker, implantação Compose, perfil endurecido não-root.
- Linkagem da DuckDB pré-compilada e armazenamento Parquet particionado diariamente por Hive com isolamento sandbox.
- Parser real de logs Zeek para
conn.logedns.logmapeando colunas por nome. - Pilar 1 (v1.2): Periodograma de Rayleigh/Schuster com grade limitada (
T \le \text{span}/3), portão de significância por regularidade e exclusões de infraestrutura. - Pilar 2 (v1.0): Sessões TCP persistentes com encadeamento de timeouts de inatividade (intervalos $\le 3600$s sem novo SYN), score logarítmico de persistência e métricas de PCR e tentativas falhas na evidência.
- Pilar 3 (v1.0): Capacidade de informação DNS (entropia de Shannon
\timescaracteres de subdomínio únicos por hora UTC) para detecção de túneis, com JSD na evidência. - Pilar 4 (v1.0): Fusão noisy-OR ponderada por host (
w_1=w_2=w_3=0.75) com evidência determinística em JSON e ordenação de prioridade (saídahosts:). - Relato de alertas em memória em
/api/alertse interface web atualizada. - Documentação em inglês/português, workflows de CI/release e
scripts/check.sh. - Suíte determinística de testes e scripts de validação contra capturas do IoT-23 e CTU-Normal.
Próximo
- Ingestão contínua: rotação automática de logs e monitoramento de diretório em modo daemon.
- Alertas persistentes: persistência de alertas em SQLite/DuckDB entre reinícios do daemon.
- Rastreamento de conexões longas ao vivo: registro de conexões longas no sensor antes do encerramento TCP.
- Public Suffix List (PSL): substituição da heurística de domínio-base pela PSL oficial.
- Allowlist e baselining: redução de falsos positivos em polling de dispositivos IoT benignos em nuvem (ex.: Philips HUE).
Depois
- Sessões UDP e parsers adicionais de protocolo (
ssl.log,smb_mapping.log,dce_rpc.log,rdp.log,ssh.log,kerberos.log,ntlm.log). - Rastreamento de identidade, detecção de movimentação lateral e grafos de pivô.
- NetFlow/IPFIX como modo degradado documentado e Suricata EVE JSON como entrada secundária opcional.
- Metadados assinados de release, SBOM e builds reproduzíveis.
Fora de plano
- Pontuação por IA opaca que não consiga explicar um alerta.
- Serviço em nuvem obrigatório ou pipeline de telemetria.
- Python no runtime distribuído.
- Tratar registros de fluxo como equivalentes a logs Zeek completos.
- Shell desktop nativo ou auto-modificação de binário.