feat(agent): add rust telemetry agent v0.3

2026-06-04 09:19:08 +03:00
parent 9f47dcaefa
commit 3f19efb7e3
23 changed files with 1949 additions and 4 deletions
@@ -0,0 +1,79 @@
+# Workforce / UEBA Model
+
+## Позиционирование
+
+AWatch-rus v0.3 использует Workforce-first подход:
+
+```text
+Телеметрия -> Активность -> Риск -> Расследование -> Отчет
+```
+
+Это не сертифицированная СЗИ, не промышленная SIEM и не полнофункциональная DLP. Корректная формулировка для v0.3:
+
+```text
+UEBA-compatible rule-based risk scoring v1.
+```
+
+## Workforce scoring
+
+Расчетные поля:
+
+- `activity_index`;
+- `active_today`;
+- `department_activity_index`;
+- `owner_activity_index`;
+- `trend_status`;
+- `anomaly_status`;
+- `risk_level`.
+
+Базовая proxy-формула:
+
+```text
+Индекс активности = active_seconds / planned_seconds * 100
+```
+
+Взвешенный индекс использует роли и веса приложений, если задан workforce policy.
+
+## Статусы
+
+- `OK` - состояние в норме;
+- `WARN` - требуется внимание;
+- `FAIL` - требуется действие.
+
+Каждый риск обязан объяснять:
+
+- что произошло;
+- почему это риск;
+- что проверить;
+- рекомендуемое действие.
+
+## UEBA risk v1
+
+Риск рассчитывается по правилам, а не по скрытой ML-модели.
+
+Поля объяснимости:
+
+- `confidence`;
+- `risk_sources`;
+- `baseline_status`;
+- `policy_version`;
+- `calculated_from`;
+- `baseline_window_days`;
+- `user_baseline_available`;
+- `department_baseline_available`;
+- `deviation_score`;
+- `baseline_samples`.
+
+## Evidence
+
+Evidence повышает достоверность вывода, но само по себе не является фактором риска. Риск должен исходить из события, отклонения, тренда или правила.
+
+## Не реализуется
+
+- перехват содержимого документов;
+- запись экрана;
+- кейлоггер;
+- скрытый агент;
+- контентный DLP-анализ;
+- автоматическое редактирование инцидентов;
+- автоматическое наказание или блокировка сотрудника.