Lucas RayanandClaude Sonnet 5
8a80504c45
Release / Plan (reuse the published image?) (push) Successful in 3s
CI / Docker image (build and smoke test) (push) Skipped
CI / Format and clippy (push) Successful in 4m32s
CI / Dependency audit (push) Successful in 11s
CI / Tests (Linux) (push) Successful in 9m15s
Release / ci (push) Successful in 9m18s
Release / Build image (arm64) (push) Failing after 7m7s
Release / Build image (amd64) (push) Failing after 13m53s
Release / Publish tags (push) Skipped
Release / Gitea release (push) Skipped
Acaua is a collective SOC daemon consuming only Zeek log files, not a single-user tool needing local hardware like its siblings. Drop the Tauri desktop shell, installers and self-update entirely; the server and its web dashboard ship as a container, updated by pulling a new image tag. Link against the official prebuilt libduckdb instead of compiling it from source via the bundled feature, cutting image build time from 15+ minutes to about 3. Fix a real bug found along the way: as PID 1 in a container, the daemon ignored SIGTERM and was always killed after the stop timeout; it now shuts down gracefully. Also corrects the Pillar 1 beaconing score: the period estimate had a harmonic alias (a perfectly periodic 4h series resolved to 600s), and the old score formula flagged pure random traffic as suspicious (p95 = 0.839 on Poisson noise). The new formula was validated against 300 samples per scenario. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01VAyr8d7HuAdUGB6aA5xmDD
49 lines
2.4 KiB
Markdown
49 lines
2.4 KiB
Markdown
# Política de segurança
|
|
|
|
[English](SECURITY.md) · **Português**
|
|
|
|
O Acauã é software defensivo, mas processa entradas hostis: capturas de pacotes,
|
|
logs Zeek e registros de fluxo podem ser intencionalmente malformados. Trate todo
|
|
dataset como não confiável.
|
|
|
|
## Relatando uma vulnerabilidade
|
|
|
|
Não abra uma issue pública com detalhes de exploração. Abra uma issue mínima
|
|
solicitando canal privado ou contate o mantenedor pelo perfil do Gitea listado
|
|
no repositório. Inclua a versão afetada, o formato da entrada e uma reprodução
|
|
mínima quando o canal privado estiver estabelecido.
|
|
|
|
## Escopo e modelo de ameaças
|
|
|
|
- **Endurecimento do container:** o container executa com usuário não privilegiado
|
|
(`acaua`, UID 10001), filesystem raiz somente leitura (`read_only: true`), todas
|
|
as capabilities revogadas (`cap_drop: [ALL]`), e endurecimento de segurança (`no-new-privileges:true`).
|
|
- **Parsing de entradas:** uma linha de log malformada não deve causar panic no
|
|
daemon, exaurir memória ou escapar do diretório de dados configurado.
|
|
- **Manipulação de caminhos:** caminhos de dataset são resolvidos e confinados à
|
|
raiz configurada; symlinks externos não são seguidos.
|
|
- **Exposição de API:** `serve` escuta em `127.0.0.1` por padrão. Expô-lo em uma
|
|
interface de rede é decisão explícita do operador e exige um proxy reverso com
|
|
autenticação.
|
|
- **Integridade da evidência:** a evidência de um alerta deve ser reproduzível a
|
|
partir da mesma entrada e versão de código. Nãodeterminismo silencioso é falha de
|
|
corretude e segurança.
|
|
- **Atualizações:** atualizações são distribuídas como imagens multi-arch de
|
|
container verificadas. O daemon finaliza de forma limpa ao receber `SIGTERM`
|
|
sem corrupção de dados.
|
|
- **Privacidade:** não há telemetria. A retenção padrão é de sete dias para
|
|
eventos normalizados; o operador é responsável pela conformidade legal local.
|
|
|
|
## Fora de escopo
|
|
|
|
- Vulnerabilidades em pacotes upstream do Zeek, DuckDB ou do sistema operacional
|
|
já corrigidas nas fontes.
|
|
- Ataques que dependam de desativar os controles de segurança documentados
|
|
(como executar `serve` como root em interface pública).
|
|
- Alegações de qualidade de detecção: os pilares são heurísticas defensivas, não garantias absolutas.
|
|
|
|
## Versões suportadas
|
|
|
|
Apenas a linha `0.1.x` mais recente tem suporte durante a fase pré-alfa. Não há
|
|
branch de suporte de longo prazo por enquanto.
|