76 lines
6.2 KiB
Markdown
76 lines
6.2 KiB
Markdown
# Модель безопасности DetMir/AWatch-rus
|
|
|
|
Дата фиксации: `2026-06-03`.
|
|
|
|
Документ описывает роли, границы доверия, собираемые данные, хранение и доступ.
|
|
Это не сертифицированная модель угроз ФСТЭК и не юридическое заключение.
|
|
|
|
## 1. Роли
|
|
|
|
| Роль | Назначение | Доступ |
|
|
|---|---|---|
|
|
| Владелец бизнеса | Смотрит управленческие KPI и итоговые отчеты | Portal owner/report views, агрегаты без технических деталей по умолчанию. |
|
|
| Руководитель подразделения | Анализирует загрузку и активность команды | Workforce dashboards, role/app weights, drill-down в рамках подразделения. |
|
|
| Оператор DetMir | Ежедневная эксплуатация и triage | Portal operator views, readiness, incidents, links, acknowledgement workflow. |
|
|
| Администратор системы | Установка, обновления, сервисы, backup/restore | Server shell/systemd/Ansible, конфигурация и runtime paths. |
|
|
| Специалист ИБ | Разбор DLP-lite/ИБ событий | Incident/evidence views, Grafana security dashboards, export reports. |
|
|
| Разработчик/maintainer | Развитие продукта | Source repo, release tooling, CI, SBOM, docs. Не должен иметь customer secrets в Git. |
|
|
|
|
## 2. Границы доверия
|
|
|
|
| Граница | Внутри доверенной зоны | Снаружи/ниже доверие | Контроль |
|
|
|---|---|---|---|
|
|
| Endpoint -> AW server | Windows/RDP collectors | Пользовательская сессия, локальные процессы | Transport queue, heartbeat, server-side validation. |
|
|
| AW server -> Portal/Grafana | Нормализованные события и агрегаты | Browser пользователя портала | Auth gateway, read-only API views, no raw path serving. |
|
|
| Evidence storage -> Evidence API | Files under allowlisted storage area | Raw path/request input | Opaque IDs, canonical path and storage-root allowlist, magic/size/hash checks. |
|
|
| Runtime config -> Public repo | Private inventory/env/systemd secrets | GitHub/public release | `.gitignore`, placeholders, public hygiene scan. |
|
|
| Readiness bundle -> Operator | Signed checksums and public key | Tampered artifacts | SHA-256, detached signature, fingerprint in runbook. |
|
|
| Optional network perimeter | pfSense/firewall context | Enforcement actions | Read-only by default; mutation only by separate change request. |
|
|
|
|
## 3. Какие данные собираются
|
|
|
|
| Категория | Примеры | Назначение | Ограничение |
|
|
|---|---|---|---|
|
|
| Activity telemetry | window/app/activity/AFK/session events | Workforce analytics и техаудит | Не трактовать как абсолютную оценку полезности без role weights. |
|
|
| Worktime/session telemetry | RDP/session presence, active seconds | Индекс активности, загрузка, тренды | Proxy-метрика, требует локальных регламентов. |
|
|
| DLP-lite signals | clipboard/USB/print/file/email/browser metadata | Фиксация возможных ИБ-инцидентов | Не заявлять как enterprise DLP. |
|
|
| Evidence | screenshots/metadata/hashes при включении | Подтверждение и разбор событий | Не публиковать customer evidence в Git/release. |
|
|
| Service health | systemd, datasource, readiness, SLO | Эксплуатационная готовность | Не содержит секретов при корректной настройке. |
|
|
| 1C/business telemetry | file/business event aggregates | Управленческая аналитика | Отдельный профиль доступа и обезличивания. |
|
|
|
|
## 4. Где хранятся данные
|
|
|
|
| Хранилище | Данные | Доступ |
|
|
|---|---|---|
|
|
| ActivityWatch buckets | Endpoint/worktime/DLP events | AW server/API, service users. |
|
|
| SQLite state DB/files | Cases, local state, readiness, helpers | Local service users/admin. |
|
|
| Evidence directory | Screenshots/artifacts | Evidence API через opaque IDs; direct FS только администратору. |
|
|
| InfluxDB/TSDB | Metrics/time-series | Grafana/Prometheus profile. |
|
|
| ClickHouse | 1C/business analytics, если включено | Отдельный business-data contour. |
|
|
| GitHub release assets | SBOM, checksums, docs/screenshots demo | Только обезличенные public artifacts. |
|
|
|
|
## 5. Доступ и контроль
|
|
|
|
- Public repository не должен содержать live inventory, domains, private IPs,
|
|
secrets, runtime DB, customer evidence или реальные forensic paths.
|
|
- Portal/gateway должен требовать аутентификацию для внешнего доступа.
|
|
- Evidence API не должен отдавать raw filesystem paths.
|
|
- Readiness bundle должен иметь checksum и detached signature.
|
|
- Prometheus/Grafana должны сигнализировать при readiness/signature failure.
|
|
- pfSense/network enforcement выключен по умолчанию и не является обязательной
|
|
частью продукта.
|
|
|
|
## 6. Ограничения модели
|
|
|
|
DetMir/AWatch-rus в текущем positioning не заявляется как:
|
|
|
|
- сертифицированная СЗИ;
|
|
- enterprise SIEM;
|
|
- enterprise DLP;
|
|
- EDR/XDR;
|
|
- юридически неизменяемое evidence/WORM-хранилище.
|
|
|
|
Корректная формулировка: платформа операционного контроля, технического аудита,
|
|
мониторинга пользовательской активности, аналитики событий и расследования
|
|
операционных/ИБ-инцидентов.
|