# AWatch-rus Data Collection Framework

Документ фиксирует модель развития сборщиков данных AWatch-rus без заявления
несуществующего функционала.

AWatch-rus рассматривается как платформа:

```text
Source -> Provider -> Normalized Event/API Contract -> Backend -> Portal -> Report
```

Важно: наличие точки расширения не означает, что соответствующий collector уже
реализован. Статус каждого направления указан отдельно.

## Статусы

- `implemented` - есть рабочая реализация в репозитории или текущем runtime.
- `planned` - направление предусмотрено архитектурно, но не является готовым
  универсальным provider.
- `future` - возможное направление развития без готового контракта внедрения.
- `contract_only` - есть схема/API/fixture или модель данных, но нет заявления
  о включенном production ingestion.

## Текущее состояние продукта

| Компонент | Статус | Что есть сейчас | Evidence |
|---|---:|---|---|
| Rust Agent | `implemented` | `awatch-agent-rs` и `aw-windows-telemetry.exe` как Rust-first runtime для агентского сбора, guard/validation и отдельных Windows-путей. Глубина сбора зависит от платформы и текущего parity-этапа. | `adk-rust/crates/awatch-agent-rs`, `adk-rust/crates/aw-windows-telemetry`, `docs/AGENT_ARCHITECTURE_RU.md`, `docs/POWERSHELL_TO_RUST_ROADMAP_RU.md` |
| API Contracts | `implemented` | Портальный слой и Pilot v1 API имеют стабильные JSON-контракты для executive/workforce/security/forensics/ueba/reports; отдельные интеграции могут иметь статус `contract_only`. | `docs/PILOT_V1_RU.md`, `docs/ROLES_RU.md`, `docs/UEBA_SCORE_RU.md` |
| Portal | `implemented` | Rust server-rendered HTML + HTMX-compatible JSON API; ролевые представления Executive / Workforce / Security / Forensics. | `README.md`, `docs/PILOT_V1_RU.md`, `docs/PORTAL_RU.md` |
| Backend | `implemented` | Rust-first серверные helpers для health, worktime, DLP/evidence, install-kit tooling, portal contracts и report layer. | `adk-rust/README.md`, `adk-rust/RUNBOOK.md` |

## Архитектурно предусмотренные точки расширения

| Provider | Статус | Назначение | Граница честного заявления |
|---|---:|---|---|
| PowerShell Provider | `planned` | Агентless/legacy сбор на Windows через существующие PowerShell-скрипты или WinRM-оркестрацию. | В репозитории есть PowerShell scripts и rollback/fallback слой, но формальный универсальный provider Data Collection Framework не заявлен как готовый. |
| SSH Provider | `planned` | Агентless сбор с Linux/Unix/network hosts через SSH-команды, read-only probes и existing logs. | Есть операционные SSH/Rust wrappers и Linux remote worker docs, но нет готового универсального SSH provider для массового пилота без агентов. |
| Syslog Provider | `planned` | Прием событий от сетевых устройств, Linux hosts, DLP/security tools или существующих log sources. | Серверные DLP syslog/CEF направления существуют как интеграционные helpers; полноценный inbound syslog collector для всех источников не заявляется. |
| 1C Provider | `implemented` | File-based 1C analytics через Rust ingest/ClickHouse и связанные отчеты. | Реализованный контур относится к текущему file analytics сценарию; это не универсальный 1C-коннектор ко всем конфигурациям 1C. |
| pfSense Provider | `contract_only` | Контракты для firewall events, VPN events, traffic summary, top destinations. | Есть API/fixture/docs readiness, но реальный ingestion и SIEM-функции не заявляются. |
| VPN Provider | `future` | Обогащение расследований и workforce/security analytics VPN-событиями из корпоративных VPN-шлюзов. | Отдельный production provider не реализован. pfSense VPN events остаются частью `contract_only` readiness. |
| SCUD Provider | `future` | Сопоставление активности рабочего места с событиями физического доступа. | Нет реализованного СКУД collector, схемы конкретного вендора или production ingestion. |
| Future API Providers | `future` | Подключение корпоративных систем через стабильные API-контракты и нормализацию событий. | Направление архитектурно допустимо, но каждый API provider должен получать отдельный контракт, тесты и статус только после реализации. |

## Принципы расширения

1. Provider не должен менять существующие portal/API contracts без обратной
   совместимости.
2. Новые источники должны сначала отдавать обезличенный fixture и JSON schema,
   затем проходить ingestion tests.
3. Статус `implemented` присваивается только после наличия кода, тестов,
   документации и smoke-проверки.
4. Demo data не должны содержать реальные IP, hostname, логины, ФИО,
   подразделения заказчика или реальные события безопасности.
5. AWatch-rus не заявляется как SIEM, классический DLP, EDR/XDR или
   сертифицированная СЗИ.