AWatch-rus/docs/demo/DEMO_SCENARIO_SECURITY_RU.md

Demo Scenario: ИБ

Цель: показать пользу AWatch-rus для ИБ как explainable security analytics слоя без заявления продукта как SIEM, EDR или классической DLP.

Данные: только синтетический dataset docs/fixtures/pilot-v1-demo/demo-seed-data.json и demo evidence pack.

Что показывать

• роль Безопасность;
• UEBA Score v1;
• incident candidates;
• Risk Narrative;
• Рекомендуемые действия ИБ;
• security correlation, если она есть в текущем отчете;
• ограничения pfSense readiness как contract_only.

Порядок показа

1. Выбрать роль Безопасность.
2. Показать UEBA Score v1: numeric score, severity и reason codes.
3. Показать кандидата на проверку sec-demo-004.
4. Объяснить, что severity является сигналом для ручной проверки, а не автоматическим вердиктом.
5. Показать Risk Narrative: как Workforce KPI, UEBA, coverage и candidate складываются в общий риск.
6. Показать Рекомендуемые действия ИБ: передать кандидата в ИБ, провести проверку и зафиксировать решение.
7. При необходимости открыть demo evidence pack: docs/fixtures/pilot-v1-demo/evidence-pack/security-technical-summary.md.

Какие выводы делать

• ИБ получает объяснимую очередь проверки без ML/LLM.
• UEBA Score v1 rule-based: причины видны через reason codes.
• Кандидаты отделены от подтвержденных инцидентов.
• pfSense показан честно: contract/readiness layer, не production ingestion.
• Action Center помогает не потерять ручное действие и срок.

Какие вопросы ожидать

Вопрос заказчика	Ответ
Это SIEM-корреляция?	Нет. Это security analytics и readiness-контракты поверх существующих сигналов.
UEBA использует ML?	Нет. UEBA Score v1 rule-based, детерминированный и объяснимый.
Что значит incident candidate?	Это кандидат на ручную проверку, не подтвержденный инцидент.
pfSense уже собирается в production?	Нет. Для Pilot v1 pfSense readiness обозначен как contract_only, если ingestion отдельно не включен и не принят.
Можно ли автоматически блокировать пользователя?	Нет. Auto-remediation и блокировки не реализуются в этом demo-pack.

Границы демонстрации

• Не заявлять DLP/SIEM/EDR функциональность.
• Не обещать автоматическую блокировку, карантин или изменение политик.
• Не показывать реальные сетевые адреса; использовать только TEST-NET примеры.
• Не смешивать ИБ-экран с управленческим Workforce Dashboard.