feat(dlp-phase1): add policy-based incident pipeline and capability gap analysis

docs/windows/deployment.md

@@ -9,11 +9,13 @@
 - `windows/validate-deployment.ps1` — машинная проверка состояния и JSON-отчёт.
 - `windows/browser-domains-native-collector.ps1` — native collector доменов браузера с категоризацией.
 - `windows/web-category-rules.example.json` — пример кастомных правил категоризации.
+- `windows/dlp-policy.example.json` — пример DLP-политики (phase-1: alerting incidents).
 
 ## Что делает пакет
 
 - Ставит `aw-watcher-afk` и `aw-watcher-window` из официального Windows ZIP ActivityWatch.
 - Копирует browser-domain collector в `C:\ProgramData\ActivityWatch`.
+- Копирует DLP policy в `C:\ProgramData\ActivityWatch\dlp-policy.json`.
 - Создаёт per-user задачи `ActivityWatch Launch [...]` с запуском при логоне.
 - Создаёт системную задачу `ActivityWatch Recovery`, которая циклически перезапускает per-user launch tasks.
 - Применяет ACL к `C:\Program Files\ActivityWatch`, `C:\ProgramData\ActivityWatch` и каталогу логов.
@@ -36,7 +38,8 @@ Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope Process
   -ServerHost aw.example.local `
   -ServerPort 5600 `
   -TargetUser 'CONTOSO\svc.activity.user01' `
-  -CustomRulesPath .\windows\web-category-rules.example.json
+  -CustomRulesPath .\windows\web-category-rules.example.json `
+  -CustomPolicyPath .\windows\dlp-policy.example.json
 ```
 
 Локальный пользователь:
@@ -85,7 +88,8 @@ CSV-формат: колонка `User`, `Username`, `SamAccountName` или `Lo
   -ServerPort 5600 `
   -Domain CONTOSO `
   -UserListPath C:\Temp\aw-users.txt `
-  -CustomRulesPath C:\Temp\web-category-rules.json
+  -CustomRulesPath C:\Temp\web-category-rules.json `
+  -CustomPolicyPath C:\Temp\dlp-policy.json
 ```
 
 Если список уже содержит `DOMAIN\user`, параметр `-Domain` не нужен.
@@ -98,6 +102,7 @@ CSV-формат: колонка `User`, `Username`, `SamAccountName` или `Lo
   -ServerPort 5600 `
   -Domain CONTOSO `
   -Users user1,user2,user3,user4,user5 `
+  -CustomPolicyPath C:\Temp\dlp-policy.json `
   -ValidateAfterDeploy
 ```
 
@@ -119,6 +124,7 @@ CSV-формат: колонка `User`, `Username`, `SamAccountName` или `Lo
 - `C:\ProgramData\ActivityWatch\launch-watchers.ps1` — per-user launcher.
 - `C:\ProgramData\ActivityWatch\recovery-loop.ps1` — system recovery loop.
 - `C:\ProgramData\ActivityWatch\browser-domains-native-collector.ps1` — runtime collector.
+- `C:\ProgramData\ActivityWatch\dlp-policy.json` — активная DLP-политика.
 - `C:\ProgramData\ActivityWatch\logs\` — логи collector'а.
 
 ## Повторный прогон

docs/windows/ensemble.md

@@ -22,6 +22,7 @@ C:\Deploy\AWatch-rus\windows\deploy-ensemble.ps1 `
   -ServerPort 5600 `
   -Domain AD `
   -Users user1,user2,user3,user4,user5 `
+  -CustomPolicyPath C:\Deploy\AWatch-rus\windows\dlp-policy.example.json `
   -ValidateAfterDeploy
 ```
 

docs/windows/validation.md

@@ -20,6 +20,7 @@ $report | ConvertTo-Json -Depth 12
 Test-Path 'C:\Program Files\ActivityWatch\aw-watcher-afk\aw-watcher-afk.exe'
 Test-Path 'C:\Program Files\ActivityWatch\aw-watcher-window\aw-watcher-window.exe'
 Test-Path 'C:\ProgramData\ActivityWatch\browser-domains-native-collector.ps1'
+Test-Path 'C:\ProgramData\ActivityWatch\dlp-policy.json'
 Test-Path 'C:\ProgramData\ActivityWatch\deployment-config.json'
 ```
 
@@ -72,6 +73,7 @@ Invoke-WebRequest https://aw.example.local/api/0/info
 - `aw-watcher-window_<hostname>`
 - `aw-watcher-web-edge_<hostname>` или другой browser bucket
 - `aw-detmir-web-category_<hostname>`
+- `aw-dlp-incidents_<hostname>` (при срабатывании policy rule с `action=alert|block|quarantine`)
 
 Проверка через API:
 
@@ -86,6 +88,17 @@ Invoke-WebRequest http://aw.example.local:5600/api/0/buckets | Select-Object -Ex
 3. Проверьте category bucket на сервере.
 4. Убедитесь, что поля `domain`, `rootDomain`, `category`, `categoryGroup`, `categoryRule` заполнены.
 
+## Проверка DLP phase-1
+
+1. В `dlp-policy.json` задайте правило на тестовый домен.
+2. Откройте этот домен в браузере.
+3. Проверьте `aw-dlp-incidents_<hostname>` через API.
+4. Проверьте локальный лог:
+
+```powershell
+Get-Content "C:\ProgramData\ActivityWatch\logs\dlp-incidents-$env:USERNAME.log" -Tail 50
+```
+
 ## Проверка восстановления
 
 1. Завершите `aw-watcher-afk.exe` и `aw-watcher-window.exe` у тестового пользователя.