From c1e470ce4d4a90e496c36e70db84808943fa2381 Mon Sep 17 00:00:00 2001 From: igor04091968 Date: Mon, 29 Jun 2026 13:33:13 +0300 Subject: [PATCH] docs(detmir): clarify optional dlp and velociraptor boundaries --- docs/DETMIR_CURRENT_STATE_RU.md | 17 +++++++++ docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md | 13 ++++++- docs/DLP_OPTIONAL_RUNTIME_RU.md | 38 ++++++++++++++++++- docs/PROJECT_STATUS_RU.md | 8 ++++ 4 files changed, 72 insertions(+), 4 deletions(-) diff --git a/docs/DETMIR_CURRENT_STATE_RU.md b/docs/DETMIR_CURRENT_STATE_RU.md index a7482d4..e0cc2e8 100644 --- a/docs/DETMIR_CURRENT_STATE_RU.md +++ b/docs/DETMIR_CURRENT_STATE_RU.md @@ -36,6 +36,9 @@ logical host id остаётся `SHARKON2025`. Подробный post-restore - Live DLP runtime state after 2026-06-25 controlled disable: `AW_DLP_ENABLED=false`, `AW_DLP_INFLUX_ENABLED=false`; active/enabled DLP units: `0/0`. +- Reason: DLP runtime materially increases Proxmox VM/LXC, InfluxDB, Grafana, + ClickHouse and AW server load. In production DetMir it is currently kept + disabled, but remains a documented optional module that can be enabled later. - Health после деплоя: `/healthz` возвращал `status=ok`. - Readiness после деплоя: `/readyz` возвращал `status=ready`. @@ -171,6 +174,18 @@ detmir_portal_dlp_module_enabled_override: false Отдельный `detmir-portal-evidence` сервис не отключается этим флагом и остается самостоятельным контуром evidence/API при наличии отдельной конфигурации. +Hayabusa/Velociraptor boundary: + +- Hayabusa/Sigma and Velociraptor are optional security findings / forensics + sources, not Workforce hot path dependencies. +- Heavy DLP runtime can remain disabled while Hayabusa/Velociraptor findings + are imported into Security Finding Inbox / ClickHouse. +- Velociraptor server/client mode must be enabled explicitly + (`disabled|offline_collector|server_clients`) and must not be auto-started by + routine production deploy on the small DetMir Proxmox contour. +- Findings from Velociraptor/Hayabusa support `decide -> plan -> approve -> + apply -> verify`, but do not imply automatic remediation without approval. + Server-side optional DLP runtime описан отдельно: - [DLP_OPTIONAL_RUNTIME_RU.md](DLP_OPTIONAL_RUNTIME_RU.md). @@ -290,6 +305,8 @@ curl -sS --max-time 5 http://10.10.10.2:8720/healthz ## Что не менять без отдельной задачи - Не удалять DLP collectors и warehouse ради ускорения портала. +- Не включать heavy DLP или Velociraptor server runtime автоматически при + обычном deploy без ресурсного решения. - Не менять UI/API несовместимо: новые поля должны быть additive. - Не заявлять completed DLP decoupling до live deploy и browser/API smoke. - Не позиционировать AWatch-rus как сертифицированную DLP/SIEM/EDR/СЗИ. diff --git a/docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md b/docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md index c1c7310..b462243 100644 --- a/docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md +++ b/docs/DETMIR_RESTORE_BASELINE_2026-06-29_RU.md @@ -31,6 +31,11 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`. `security_finding_inbox`. - `check-aw-full` обновлен: env-aware RDP host, корректный CORS origin, AFK freshness через `bucket.metadata.end`. +- DLP runtime зафиксирован как optional disabled contour: отключён для снижения + нагрузки на Proxmox/InfluxDB/Grafana/ClickHouse/AW server, но оставлен + подключаемым через documented enable flow. +- Hayabusa/Velociraptor зафиксированы как optional security findings / + forensics layer, отдельный от DLP runtime и Workforce hot path. ## Проверенный статус по 7 пунктам @@ -48,8 +53,9 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`. reduce resource usage. 6. Hayabusa/Velociraptor layer: Hayabusa doctor OK, drop.path active, incoming/drop backlog empty, latest intake `2026-06-29T09:00:23Z`, - bad zip сохранен только в quarantine как evidence. Velociraptor остаётся - addon/source path; live service не заявляется как подтвержденный. + bad zip сохранен только в quarantine как evidence. Velociraptor integration + is treated as optional findings source; no always-on Velociraptor runtime is + required for Workforce/AW core. 7. Baseline зафиксирован в этом документе и связан с operational docs/skills. ## Остаточные риски @@ -62,6 +68,9 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`. LXC `202 loki-logs` is stopped, active config has `onboot: 0`, and TCP `10.10.10.12:3100` is closed. This is an operator decision to save resources and does not break core AW/worktime/ClickHouse. +- DLP runtime is intentionally disabled for the current production profile and + must not be auto-enabled by routine deploys. Re-enable only after resource + budget check and explicit operator decision. ## Проверки diff --git a/docs/DLP_OPTIONAL_RUNTIME_RU.md b/docs/DLP_OPTIONAL_RUNTIME_RU.md index 68d4c9e..1d8976f 100644 --- a/docs/DLP_OPTIONAL_RUNTIME_RU.md +++ b/docs/DLP_OPTIONAL_RUNTIME_RU.md @@ -21,7 +21,16 @@ - `aw-dlp-case-management.service`; - `detmir-portal-evidence.service`, если DLP evidence upload больше не нужен. -Worktime, ActivityWatch server, browser/window/AFK collection, Hayabusa and 1C/ClickHouse core не считаются DLP runtime и отдельно не отключаются. +Worktime, ActivityWatch server, browser/window/AFK collection, Hayabusa, +Velociraptor findings ingest и 1C/ClickHouse core не считаются DLP runtime и +отдельно не отключаются. + +Важно: отключение DLP runtime не удаляет DLP-контур из проекта. Это +эксплуатационный режим `disabled`, выбранный для production DetMir из-за +существенной нагрузки на виртуальную среду Proxmox, InfluxDB, Grafana, +ClickHouse и AW server. DLP должен оставаться подключаемым обратно через +описанный ниже enable-процесс, без переустановки продукта и без потери +исторических артефактов до отдельной retention/cleanup процедуры. ## Статистика перед отключением @@ -118,7 +127,8 @@ AW_DLP_ENABLED=false check-aw-full - `detmir-dlp` returned `ok=true`, `dlp:mode=disabled`; - `check-aw-full` returned `DLP buckets ... SKIPPED`. -Отдельные non-DLP findings того же ручного прогона: +Отдельные non-DLP findings того же ручного прогона, до восстановления +`192.168.100.19`: - AFK/window/worktime buckets were stale and require RDP collector/session recovery; @@ -148,6 +158,30 @@ detmir-dlp detmir-check --json ``` +Перед возвратом DLP в production обязательно проверить ресурсный бюджет +Proxmox/InfluxDB/Grafana/ClickHouse. Не включайте DLP timers/services +автоматически вместе с обычным deploy, если текущая цель - сохранить лёгкий +Workforce/AW контур. + +## Hayabusa/Velociraptor при выключенном DLP + +Hayabusa/Sigma и Velociraptor относятся к optional security findings / +forensics layer, а не к тяжёлому DLP runtime: + +- Hayabusa drop/autoprocess может продолжать работать при выключенном DLP; +- Velociraptor findings ingest может использоваться в offline/server mode, если + администратор явно включил соответствующий режим; +- результаты должны попадать в Security Finding Inbox / ClickHouse как + контролируемые findings, а не запускать автоматическую блокировку без + approve/apply workflow; +- portal/workforce first screen не должен ждать Velociraptor или DLP; +- disabled DLP mode не должен превращаться в FAIL только из-за отсутствия DLP + buckets. + +Velociraptor server/client runtime не должен стартовать автоматически в +production DetMir без отдельного ресурсного решения. Для малой виртуальной +среды предпочтителен `disabled` или `offline_collector` режим. + ## Ansible В inventory/group vars: diff --git a/docs/PROJECT_STATUS_RU.md b/docs/PROJECT_STATUS_RU.md index 31ee701..d6eae68 100644 --- a/docs/PROJECT_STATUS_RU.md +++ b/docs/PROJECT_STATUS_RU.md @@ -77,6 +77,10 @@ backup, registry-readiness документации, плана российск `dlp-health-check=dlp:mode disabled`, `detmir-dlp=dlp:mode disabled`, active/enabled DLP units `0/0`, history snapshots under `/var/lib/activitywatch/health/dlp-runtime-history/`. +- DetMir DLP contour status: disabled for the current production resource + profile, not removed. It remains a documented optional module and must only be + re-enabled after explicit operator decision and Proxmox/InfluxDB/Grafana/ + ClickHouse capacity check. - DetMir DLP buckets in manual full check: `SKIPPED` under `AW_DLP_ENABLED=false`, not reported as dead. - DetMir RDP collector freshness after 2026-06-29 restore: physical RDP target @@ -97,6 +101,10 @@ backup, registry-readiness документации, плана российск events only; approved `apply_requested` can be processed by the fail-closed executor through `containment-engine` `decide -> plan -> apply -> verify` with rollback on apply failure. +- Velociraptor/Hayabusa status: implemented as optional findings/forensics + sources. They are not required for Workforce hot path, do not replace DLP or + SIEM, and must not start heavy always-on runtime in DetMir production unless + `offline_collector` or `server_clients` mode is explicitly selected. - Security Finding Inbox live schema: applied on ClickHouse 2026-06-29 (`security_findings`, `security_finding_workflow_events`, `security_finding_inbox`).