ciberfauna/acaua
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 1 Wiki Activity
Files
v0.1.0
acaua/ROADMAP.pt-BR.md
T
Lucas RayanandClaude Sonnet 5 c64bbbf775 feat: implement Pillars 2-4 and fix a production false-positive in Pillar 1 
Pillar 1 v1.1 (shipped earlier) flagged benign browsing bursts as
beaconing: on short captures, grid periods longer than the observed
span never complete a cycle, so significance saturates to 1 and the
score sticks at exactly 0.5. v1.2 caps the grid at a third of the
observed span, requires a minimum number of completed cycles, and
excludes protocols that are periodic by nature (NTP, DNS, mDNS,
ICMP). Validated against 300 seeds per scenario: false positives on
bursty traffic drop from the 290-300/300 that v1.1 produced to 0/300,
with every beacon-detection scenario scoring unchanged.

Add Pillar 2 (persistent/long-lived sessions, with Zeek's fragmented
TCP sessions rejoined after a 5-minute gap), Pillar 3 (DNS tunneling
via Shannon-entropy information volume per subdomain per hour; the
Jensen-Shannon divergence was measured and does not separate tunnels
from benign CDN subdomains, so it stays in the evidence at zero
weight instead of in the score), and Pillar 4 (deterministic
noisy-OR fusion across the three pillars).

The fusion formula was validated against 8 labeled real-traffic
vectors (IoT-23, CTU-Normal) with tolerance <= 1e-4. A known
limitation is kept, not hidden: a benign Philips HUE bulb's strict
periodic polling and a 21.9h session score it above three real C2
hosts. No weight or threshold was tuned to mask this; it is
documented in the architecture docs instead.

Also fixes real bugs found along the way: ingest_dir's partition
count summed file names instead of distinct dates, DuckDB errors
were counted as bad rows, /api/alerts always returned an empty list
regardless of the last analysis, and the dashboard still claimed
every pillar was unimplemented.

Restores four design corrections that were missing from
docs/architecture.md (KL to Jensen-Shannon, the persistent-session
detector, the JA4 licensing boundary, and deterministic reduction
order), and catalogs the public datasets used for validation
(IoT-23, CTU-Normal, Mendeley DTQBC) with their licenses and SHA-256
checksums under research/validation/.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
2026-11-01 00:28:54 -03:00

2.9 KiB
Raw Permalink Blame History

Roadmap

English · Português

Este roadmap separa o que existe do que está planejado. Os quatro pilares de detecção estão implementados em sua versão inicial (v1) e validados contra tráfego público.

Feito

  • Workspace Rust com acaua-core e acaua-cli.
  • Comandos da CLI (analyze, serve, doctor, update), API Axum e dashboard web embutido.
  • Containerização 100% Docker, implantação Compose, perfil endurecido não-root.
  • Linkagem da DuckDB pré-compilada e armazenamento Parquet particionado diariamente por Hive com isolamento sandbox.
  • Parser real de logs Zeek para conn.log e dns.log mapeando colunas por nome.
  • Pilar 1 (v1.2): Periodograma de Rayleigh/Schuster com grade limitada (T \le \text{span}/3), portão de significância por regularidade e exclusões de infraestrutura.
  • Pilar 2 (v1.0): Sessões TCP persistentes com encadeamento de timeouts de inatividade (intervalos $\le 3600$s sem novo SYN), score logarítmico de persistência e métricas de PCR e tentativas falhas na evidência.
  • Pilar 3 (v1.0): Capacidade de informação DNS (entropia de Shannon \times caracteres de subdomínio únicos por hora UTC) para detecção de túneis, com JSD na evidência.
  • Pilar 4 (v1.0): Fusão noisy-OR ponderada por host (w_1=w_2=w_3=0.75) com evidência determinística em JSON e ordenação de prioridade (saída hosts:).
  • Relato de alertas em memória em /api/alerts e interface web atualizada.
  • Documentação em inglês/português, workflows de CI/release e scripts/check.sh.
  • Suíte determinística de testes e scripts de validação contra capturas do IoT-23 e CTU-Normal.

Próximo

  1. Ingestão contínua: rotação automática de logs e monitoramento de diretório em modo daemon.
  2. Alertas persistentes: persistência de alertas em SQLite/DuckDB entre reinícios do daemon.
  3. Rastreamento de conexões longas ao vivo: registro de conexões longas no sensor antes do encerramento TCP.
  4. Public Suffix List (PSL): substituição da heurística de domínio-base pela PSL oficial.
  5. Allowlist e baselining: redução de falsos positivos em polling de dispositivos IoT benignos em nuvem (ex.: Philips HUE).

Depois

  • Sessões UDP e parsers adicionais de protocolo (ssl.log, smb_mapping.log, dce_rpc.log, rdp.log, ssh.log, kerberos.log, ntlm.log).
  • Rastreamento de identidade, detecção de movimentação lateral e grafos de pivô.
  • NetFlow/IPFIX como modo degradado documentado e Suricata EVE JSON como entrada secundária opcional.
  • Metadados assinados de release, SBOM e builds reproduzíveis.

Fora de plano

  • Pontuação por IA opaca que não consiga explicar um alerta.
  • Serviço em nuvem obrigatório ou pipeline de telemetria.
  • Python no runtime distribuído.
  • Tratar registros de fluxo como equivalentes a logs Zeek completos.
  • Shell desktop nativo ou auto-modificação de binário.
Reference in new issue View Git Blame Copy Permalink