docs(detmir): clarify optional dlp and velociraptor boundaries

2026-06-29 13:33:13 +03:00
parent f4bdcee459
commit c1e470ce4d
4 changed files with 72 additions and 4 deletions
@@ -36,6 +36,9 @@ logical host id остаётся `SHARKON2025`. Подробный post-restore
 - Live DLP runtime state after 2026-06-25 controlled disable:
  `AW_DLP_ENABLED=false`, `AW_DLP_INFLUX_ENABLED=false`;
  active/enabled DLP units: `0/0`.
+- Reason: DLP runtime materially increases Proxmox VM/LXC, InfluxDB, Grafana,
+  ClickHouse and AW server load. In production DetMir it is currently kept
+  disabled, but remains a documented optional module that can be enabled later.
 - Health после деплоя: `/healthz` возвращал `status=ok`.
 - Readiness после деплоя: `/readyz` возвращал `status=ready`.

@@ -171,6 +174,18 @@ detmir_portal_dlp_module_enabled_override: false
 Отдельный `detmir-portal-evidence` сервис не отключается этим флагом и остается
 самостоятельным контуром evidence/API при наличии отдельной конфигурации.

+Hayabusa/Velociraptor boundary:
+
+- Hayabusa/Sigma and Velociraptor are optional security findings / forensics
+  sources, not Workforce hot path dependencies.
+- Heavy DLP runtime can remain disabled while Hayabusa/Velociraptor findings
+  are imported into Security Finding Inbox / ClickHouse.
+- Velociraptor server/client mode must be enabled explicitly
+  (`disabled|offline_collector|server_clients`) and must not be auto-started by
+  routine production deploy on the small DetMir Proxmox contour.
+- Findings from Velociraptor/Hayabusa support `decide -> plan -> approve ->
+  apply -> verify`, but do not imply automatic remediation without approval.
+
 Server-side optional DLP runtime описан отдельно:

 - [DLP_OPTIONAL_RUNTIME_RU.md](DLP_OPTIONAL_RUNTIME_RU.md).
@@ -290,6 +305,8 @@ curl -sS --max-time 5 http://10.10.10.2:8720/healthz
 ## Что не менять без отдельной задачи

 - Не удалять DLP collectors и warehouse ради ускорения портала.
+- Не включать heavy DLP или Velociraptor server runtime автоматически при
+  обычном deploy без ресурсного решения.
 - Не менять UI/API несовместимо: новые поля должны быть additive.
 - Не заявлять completed DLP decoupling до live deploy и browser/API smoke.
 - Не позиционировать AWatch-rus как сертифицированную DLP/SIEM/EDR/СЗИ.
@@ -31,6 +31,11 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`.
  `security_finding_inbox`.
 - `check-aw-full` обновлен: env-aware RDP host, корректный CORS origin,
  AFK freshness через `bucket.metadata.end`.
+- DLP runtime зафиксирован как optional disabled contour: отключён для снижения
+  нагрузки на Proxmox/InfluxDB/Grafana/ClickHouse/AW server, но оставлен
+  подключаемым через documented enable flow.
+- Hayabusa/Velociraptor зафиксированы как optional security findings /
+  forensics layer, отдельный от DLP runtime и Workforce hot path.

 ## Проверенный статус по 7 пунктам

@@ -48,8 +53,9 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`.
   reduce resource usage.
 6. Hayabusa/Velociraptor layer: Hayabusa doctor OK, drop.path active,
   incoming/drop backlog empty, latest intake `2026-06-29T09:00:23Z`,
-   bad zip сохранен только в quarantine как evidence. Velociraptor остаётся
-   addon/source path; live service не заявляется как подтвержденный.
+   bad zip сохранен только в quarantine как evidence. Velociraptor integration
+   is treated as optional findings source; no always-on Velociraptor runtime is
+   required for Workforce/AW core.
 7. Baseline зафиксирован в этом документе и связан с operational docs/skills.

 ## Остаточные риски
@@ -62,6 +68,9 @@ AWatch-rus/DetMir после возврата RDP-сервера `SHARKON2025`.
  LXC `202 loki-logs` is stopped, active config has `onboot: 0`, and TCP
  `10.10.10.12:3100` is closed. This is an operator decision to save resources
  and does not break core AW/worktime/ClickHouse.
+- DLP runtime is intentionally disabled for the current production profile and
+  must not be auto-enabled by routine deploys. Re-enable only after resource
+  budget check and explicit operator decision.

 ## Проверки

@@ -21,7 +21,16 @@
  - `aw-dlp-case-management.service`;
  - `detmir-portal-evidence.service`, если DLP evidence upload больше не нужен.

-Worktime, ActivityWatch server, browser/window/AFK collection, Hayabusa and 1C/ClickHouse core не считаются DLP runtime и отдельно не отключаются.
+Worktime, ActivityWatch server, browser/window/AFK collection, Hayabusa,
+Velociraptor findings ingest и 1C/ClickHouse core не считаются DLP runtime и
+отдельно не отключаются.
+
+Важно: отключение DLP runtime не удаляет DLP-контур из проекта. Это
+эксплуатационный режим `disabled`, выбранный для production DetMir из-за
+существенной нагрузки на виртуальную среду Proxmox, InfluxDB, Grafana,
+ClickHouse и AW server. DLP должен оставаться подключаемым обратно через
+описанный ниже enable-процесс, без переустановки продукта и без потери
+исторических артефактов до отдельной retention/cleanup процедуры.

 ## Статистика перед отключением

@@ -118,7 +127,8 @@ AW_DLP_ENABLED=false check-aw-full
 - `detmir-dlp` returned `ok=true`, `dlp:mode=disabled`;
 - `check-aw-full` returned `DLP buckets ... SKIPPED`.

-Отдельные non-DLP findings того же ручного прогона:
+Отдельные non-DLP findings того же ручного прогона, до восстановления
+`192.168.100.19`:

 - AFK/window/worktime buckets were stale and require RDP collector/session
  recovery;
@@ -148,6 +158,30 @@ detmir-dlp
 detmir-check --json
 ```

+Перед возвратом DLP в production обязательно проверить ресурсный бюджет
+Proxmox/InfluxDB/Grafana/ClickHouse. Не включайте DLP timers/services
+автоматически вместе с обычным deploy, если текущая цель - сохранить лёгкий
+Workforce/AW контур.
+
+## Hayabusa/Velociraptor при выключенном DLP
+
+Hayabusa/Sigma и Velociraptor относятся к optional security findings /
+forensics layer, а не к тяжёлому DLP runtime:
+
+- Hayabusa drop/autoprocess может продолжать работать при выключенном DLP;
+- Velociraptor findings ingest может использоваться в offline/server mode, если
+  администратор явно включил соответствующий режим;
+- результаты должны попадать в Security Finding Inbox / ClickHouse как
+  контролируемые findings, а не запускать автоматическую блокировку без
+  approve/apply workflow;
+- portal/workforce first screen не должен ждать Velociraptor или DLP;
+- disabled DLP mode не должен превращаться в FAIL только из-за отсутствия DLP
+  buckets.
+
+Velociraptor server/client runtime не должен стартовать автоматически в
+production DetMir без отдельного ресурсного решения. Для малой виртуальной
+среды предпочтителен `disabled` или `offline_collector` режим.
+
 ## Ansible

 В inventory/group vars:
@@ -77,6 +77,10 @@ backup, registry-readiness документации, плана российск
  `dlp-health-check=dlp:mode disabled`, `detmir-dlp=dlp:mode disabled`,
  active/enabled DLP units `0/0`, history snapshots under
  `/var/lib/activitywatch/health/dlp-runtime-history/`.
+- DetMir DLP contour status: disabled for the current production resource
+  profile, not removed. It remains a documented optional module and must only be
+  re-enabled after explicit operator decision and Proxmox/InfluxDB/Grafana/
+  ClickHouse capacity check.
 - DetMir DLP buckets in manual full check: `SKIPPED` under
  `AW_DLP_ENABLED=false`, not reported as dead.
 - DetMir RDP collector freshness after 2026-06-29 restore: physical RDP target
@@ -97,6 +101,10 @@ backup, registry-readiness документации, плана российск
  events only; approved `apply_requested` can be processed by the fail-closed
  executor through `containment-engine` `decide -> plan -> apply -> verify`
  with rollback on apply failure.
+- Velociraptor/Hayabusa status: implemented as optional findings/forensics
+  sources. They are not required for Workforce hot path, do not replace DLP or
+  SIEM, and must not start heavy always-on runtime in DetMir production unless
+  `offline_collector` or `server_clients` mode is explicitly selected.
 - Security Finding Inbox live schema: applied on ClickHouse 2026-06-29
  (`security_findings`, `security_finding_workflow_events`,
  `security_finding_inbox`).