cyberfw 2.0.0__tar.gz

cyberfw-2.0.0/.gitignore

@@ -0,0 +1,62 @@
+# Среда выполнения и кэш
+__pycache__/
+*.py[cod]
+.venv/
+.pytest_cache/
+.mypy_cache/
+.ruff_cache/
+.coverage
+.coverage.*
+htmlcov/
+
+# IDE / local editor state
+.idea/
+.vscode/
+
+# Build and packaging artifacts
+build/
+dist/
+*.egg-info/
+
+# Динамические артефакты
+tools_bin/
+!tools_bin/.gitkeep
+reports/
+!reports/.gitkeep
+logs/
+!logs/.gitkeep
+screenshots/
+nuclei-templates/
+
+# Конфиденциальные данные
+.env
+config.local.yaml
+
+# Secrets and keys — never commit (this is a security tool)
+*.key
+*.pem
+*.pfx
+*.p12
+id_rsa
+id_rsa.*
+id_ed25519
+id_ed25519.*
+*.ovpn
+
+# Telegram bot runtime state (scan history DB)
+*.sqlite3
+bot-scans.sqlite3
+
+# Local handoff / scratch files
+PROGRESS.md
+test_script
+
+# Personal SSH-tunnel launcher (holds the key path + server IP)
+/tunnel.bat
+
+# Техническое задание (не публикуется)
+тз/
+
+# Системные файлы
+.DS_Store
+Thumbs.db

cyberfw-2.0.0/CHANGELOG.md

@@ -0,0 +1,489 @@
+# Changelog
+
+Формат — [Keep a Changelog](https://keepachangelog.com/ru/1.1.0/), версии —
+[SemVer](https://semver.org/lang/ru/). Изменения копятся в «Unreleased»; при
+выпуске раздел получает номер и дату, а релиз на GitHub публикует его на PyPI.
+
+## [Unreleased]
+
+## [2.0.0] — 2026-11-02
+
+### Changed
+- Оркестрация прогона переехала из CLI в ядро `cyberfw/core/`: подготовка и
+  запуск пайплайна, одиночный `run`, проверки после скана, триаж, сравнение с
+  прошлым прогоном и запись отчётов. Ядро ничего не печатает и не спрашивает, а
+  сообщает о ходе работы событиями; CLI рисует их тем же текстом, что и раньше.
+  Это основа будущего публичного Python API.
+- `cyberfw/cli.py` (~2850 строк) разрезан на пакет `cyberfw/cli/`: команды
+  разложены по модулям (`tools`, `scan`, `reports`, `triage`, `schedule`),
+  общие помощники — в `common`, отрисовка — в `views`, интерактивное меню — в
+  `launcher`. Код перенесён без изменений: команды, флаги, вывод, коды выхода и
+  порядок в `cyberfw --help` прежние; `python -m cyberfw.cli` работает.
+- `cyberfw init` ставит инструменты из `tools.lock`: ровно залоченный релиз, а
+  архив сверяется с залоченным SHA-256 до того, как трогать прежнюю установку.
+  Новые релизы больше не приезжают сами — только через `cyberfw lock --upgrade`.
+  Инструменты, поставленные до lock-файла (без записанного хэша), один раз
+  перекачиваются и проверяются.
+- Движок пайплайна выполняет независимые этапы параллельно. Зависимость этапа —
+  это его `input_from` (а если не задан — предыдущий этап по порядку); этапы без
+  ребра между ними (например `nmap` и `httpx` по одним и тем же открытым портам
+  naabu, или `nuclei`/`ffuf`/`gowitness` по живым хостам httpx) теперь идут
+  одновременно, а не друг за другом, — прогон ощутимо быстрее. Настройка
+  `concurrency` стала общим лимитом процессов **на все этапы сразу** (как и
+  обещал её docstring), а не только внутри одного fan-out. Итоговый результат
+  (узлы, записи, исключённые хосты) по-прежнему в порядке плана, так что прогон
+  воспроизводим независимо от того, как этапы переслоились.
+- Поиск бинарника инструмента начинается с его каталога `tools_bin/<tool>/` и
+  только потом обходит весь `tools_bin/`: инвентарь в `status` и в меню больше
+  не перебирает сотни файлов Chromium ради каждого инструмента.
+
+### Added
+- cyberfw публикуется на PyPI: `uv tool install cyberfw` или `pip install cyberfw`.
+  Релиз на GitHub собирает пакет и выкладывает его через trusted publishing,
+  без хранимого токена.
+- Плагины инструментов. Пакет, установленный рядом с cyberfw, добавляет
+  инструменты через entry points: `cyberfw.tools` — адаптер на Python по
+  контракту `cyberfw.plugin` (версия 1), `cyberfw.manifests` — YAML-манифест,
+  который исполняет общий адаптер, без кода плагина. Установленный плагин
+  выключен, пока его не включить: `cyberfw plugins` показывает пакеты, их
+  инструменты и состояние (с причиной, если инструмент не работает),
+  `cyberfw plugins enable <пакет>` включает, `disable` выключает; выбор
+  хранится в `plugins.yaml`. Пакет с кодом включается только с `--allow-code`:
+  его код выполняется внутри cyberfw с доступом ко всему, что доступно
+  cyberfw. Коды выхода: `0` — включён, `1` — включён, но инструмент не
+  работает, `2` — не включён. Включённые инструменты работают в `run`,
+  пайплайнах, меню и дополнении по Tab; `status` и меню показывают, откуда
+  инструмент, а `status` — строку `plugins` со счётом по состояниям;
+  `report.json` записывает `tool_plugins` — пакет каждого плагинного
+  инструмента прогона. `cyberfw.api.list_plugins()` отдаёт то же данными.
+- Публичный Python API `cyberfw.api`: `run_pipeline`, `plan_pipeline`, `run_tool`,
+  `load_run`, `compare_runs`, `export_sarif`, `export_csv` и их типы результатов
+  (`RunOutcome`, `Plan`, `SavedRun`), ошибка `PreflightError`. Ничего не печатает
+  и не спрашивает: результат — данными, ход прогона — через наблюдатель
+  `RunObserver`. Команды `pipeline`, `run`, `pipeline --plan`, `diff` и `export`
+  теперь работают через него. Описание — в README, раздел «Python API».
+- `tools.lock` и `cyberfw lock [TOOLS...] [--upgrade]`: каждый скачиваемый
+  инструмент закреплён на одном релизе с SHA-256 ассета для linux/amd64,
+  linux/arm64, darwin/amd64, darwin/arm64, windows/amd64 и windows/arm64 (без
+  нативной сборки — x64 под эмуляцией на Windows on ARM и x86_64 под Rosetta на
+  Apple silicon). Хэш берётся из `digest` GitHub API или `checksums.txt` релиза
+  (при расхождении lock отказывает), а без них — скачиванием ассета.
+  `--upgrade` показывает «было → стало» и отклоняет релиз, у которого под тем
+  же тегом поменялись файлы. Запись помнит отпечаток правил выбора ассета:
+  правка `asset_patterns` делает её устаревшей, и `cyberfw lock` перерезолвит
+  её, а не поднимает тревогу о подмене. Lock лежит рядом с `registry.yaml` и
+  коммитится; wheel везёт его копию рядом с упакованным реестром.
+- `cyberfw pipeline <name> --plan` — сухой прогон: печатает граф этапов (что из
+  чего получает), состояние инструмента каждого этапа, заданные у этапа опции
+  (severity/tags/rate/max) и вердикт готовности, затем выходит, ничего не
+  сканируя. Работает и без `--target`.
+- Ванильный прогон `pipeline` показывает больше без флагов: в итоговой сводке
+  блок **Findings** — разбивка находок по severity, счётчики по категориям
+  (hosts/live/ports/services/secrets) и **Fix first** (самые важные находки
+  с целью и названием); в шапке живой карты/таблицы — пометка худшей severity
+  (`N vulns (M crit)`); а gowitness-скриншоты теперь включены по умолчанию,
+  когда могут отработать (инструмент установлен и найден Chrome/Chromium) —
+  иначе этап просто не добавляется, прогон не падает. Выключить —
+  `--no-gowitness`; `--gowitness` форсирует (как раньше, с префлайтом).
+- Опции этапа в YAML-пайплайне: узел может задать `severity`, `tags`,
+  `rate_limit` (и `max_records`) прямо у себя. Опция этапа перекрывает общий
+  контроль (`--severity`/`--tags`/`--rate-limit`/настройки) для этого этапа;
+  этап без опции берёт общее значение — так в одном файле собирается «профиль»
+  скана. Валидируются как и прочие ключи (`rate_limit >= 1`, лишние ключи
+  отвергаются).
+- Экспорт сохранённого прогона: `cyberfw export <run> --sarif | --csv [-o файл]`
+  читает `report.json` (id сессии / каталог / путь) и переводит без повторного
+  скана. `--sarif` — находки (nuclei, gitleaks, posture TLS/почта/takeover) в
+  SARIF 2.1.0 для GitHub code scanning / CI (severity → error/warning/note);
+  `--csv` — все записи таблицей (`tool, kind, severity, target, detail, muted`).
+  По умолчанию stdout, `-o` пишет файл; нужен ровно один формат. Новые модули
+  `cyberfw/report/sarif.py` и `cyberfw/report/csv_report.py`.
+- Контроль скана (всё опционально, по умолчанию выключено — без флагов прогон
+  прежний): `--severity` / `--tags` → nuclei `-severity`/`-tags`; `--rate-limit N`
+  → предел запросов/сек в собственный флаг инструмента (nuclei/httpx `-rate-limit`,
+  naabu/ffuf `-rate`); `--exclude "<glob>"` (повторяемый у `pipeline`) → найденный
+  хост под glob не сканируется дальше (запись о находке остаётся), печатается
+  `scope: N host(s) excluded`, seed не трогается. `--severity/--tags/--rate-limit`
+  есть у `pipeline` и `run`. Настройки-эквиваленты: `severity`, `tags`,
+  `rate_limit`, `exclude` (через `CYBERFW_*` / `config.local.yaml`); флаг
+  перекрывает настройку на запуск.
+- Локальные инструменты в реестре: запись с `source: local` (и опц. `path`)
+  описывает инструмент, который фреймворк не качает, а берёт из `PATH`
+  (ставит пользователь). `init` и автоустановка их пропускают; `status`
+  показывает `ready`/`not installed` по наличию в `PATH`, в колонке source —
+  `local`; пайплайн с отсутствующим локальным инструментом не стартует.
+- `nmap` как локальный инструмент: определение сервисов и версий (`nmap -sV`)
+  по уже найденным открытым портам. Адаптер буферизует XML (`-oX -`, разбор
+  через `defusedxml`); встроенный `ports-to-vuln` получил этап `services`
+  (nmap по портам naabu, рядом с httpx). Новая зависимость — `defusedxml`.
+- Мониторинг. `pipeline --alert [--alert-severity critical|high|medium|low]`
+  выходит с кодом `3` и печатает строку `ALERT: …`, когда по сравнению с прошлым
+  сохранённым прогоном той же цели появились новые находки не ниже порога
+  (дефолт `low`). Коды: `0` чисто, `1` упал этап (важнее алерта), `2` ошибка
+  аргументов (в т.ч. `--alert` с `--no-baseline`), `3` есть новое; первый скан
+  не алертит. Наружу ничего не шлётся — только код выхода и лог.
+- `cyberfw schedule <pipeline> -t <target>` ставит такой скан на штатный
+  планировщик ОС: по умолчанию печатает запись под текущую систему (`crontab`
+  на Linux/macOS, `schtasks` на Windows), `--install` ставит, `--remove`
+  снимает (по имени `cyberfw-<pipeline>-<target>`). Частота — `--every
+  daily|weekly|hourly` + `--at HH:MM` или `--cron "…"` (только POSIX); флаги
+  скана пробрасываются; запись несёт `CYBERFW_ROOT_DIR` и пишет в
+  `logs/schedule.log`. Новый модуль `cyberfw/schedule.py`. Цель попадает в
+  команду, которую позже выполняет cron/schtasks, поэтому она ограничена
+  безопасным набором (буквы, цифры, `. _ - : /`), а все подстановки
+  экранируются (`shlex.quote` / `list2cmdline`) — чтобы цель не могла внедрить
+  команду в запись планировщика.
+- Флаг `-v` / `--verbose` у `init`, `run`, `pipeline`, `status`: поднимает
+  уровень логов до `DEBUG` только для этого запуска и печатает трассировку
+  установки — разрешение релиза, URL и размер загрузок, выбранный под платформу
+  ассет, каталог распаковки и путь к бинарнику (для Chromium — платформу CfT,
+  версию и URL). Постоянный `log_level` не меняется.
+- Автозагрузка portable Chromium (Chrome for Testing) для gowitness: `cyberfw
+  init` докачивает браузер в `tools_bin/chromium/`, если gowitness в наборе, а
+  системного Chrome нет. Скачанный Chromium имеет приоритет над системным,
+  виден в `cyberfw status` и передаётся gowitness через `--chrome-path`. Уже
+  имеющийся Chrome (системный или portable) повторно не качается (строка
+  `present`); платформа без сборки CfT помечается `skipped`. Пропустить —
+  `cyberfw init --no-chromium`.
+- Живая таблица прогона: состояние каждого этапа, счётчик записей, прогресс
+  fan-out по целям, время этапа и причина падения обновляются на месте, под
+  ними — последние находки. Цвет записей отражает severity nuclei и класс
+  HTTP-кода. По завершении — панель-сводка (статус, записи по инструментам,
+  длительность, сессия, пути к отчётам).
+- `PipelineEngine.set_stage_callback` — события жизненного цикла этапа
+  (`start` / `progress` / `done`) для внешних представлений.
+- Единая таблица инвентаря для лаунчера и `status`: колонка версии, состояние
+  `ready` / `blocked` / `not installed` и сводка `N/M ready`; `init` печатает
+  результат таблицей.
+- Пре-флайт `pipeline`: недоступные инструменты (`not installed` / `blocked`)
+  и отсутствующие жёсткие внешние зависимости (Chrome для gowitness)
+  называются до старта, команда выходит с кодом 2; `--force-start` запускает
+  всё равно. Необязательные зависимости (`nmap` для rustscan) выводятся
+  предупреждением и не мешают прогону. Упавший этап и зависящие от него `skipped` перечислены в сводке.
+- `stage_timeout` (`CYBERFW_STAGE_TIMEOUT` / `config.local.yaml`): зависший
+  инструмент останавливается, этап помечается `failed`, pipeline идёт дальше.
+- Pipeline из файла: любой `pipelines/<name>.yaml` запускается по имени и
+  появляется в лаунчере; пример `pipelines/ports-to-vuln.yaml`.
+- `version:` в `registry.yaml` — пин релиза (теперь ограничение для
+  `cyberfw lock`); `init` пропускает уже установленную версию (`up to date`),
+  `init --force` переустанавливает.
+- Блок провенанса в отчётах (`run` в JSON, таблица «Run» в HTML): pipeline,
+  seed, сессия, платформа, время и длительность, версии инструментов.
+- `PipelineEngine.run_single` — публичный вход для одиночного запуска.
+- Адаптеры несут свои подсказки и проверку цели (`target_prompt`,
+  `extra_input_prompt`, `validate_target`); `adapter_class(name)`.
+- CI гоняет ubuntu × Python 3.10–3.14 плюс windows и macos; порог покрытия 80 %.
+  Dependabot для `uv.lock` и actions, `.pre-commit-config.yaml` (ruff + mypy).
+- VirusTotal: `cyberfw vt <цель>` (домен, IP, URL или хэш; `--json` для
+  скриптов) и обогащение `pipeline` репутацией найденных доменов, IP и URL —
+  по умолчанию, со своим бесплатным ключом пользователя (`--no-vt` выключает,
+  `--vt-limit` ограничивает число запросов, 4 в минуту). Ключ ищется в
+  `CYBERFW_VT_API_KEY` / `.env` / `VT_API_KEY` / `VTCLI_APIKEY` / `~/.vt.toml`;
+  если его нет, интерактивный запуск один раз показывает, где его взять, и
+  сохраняет в `.env`. В HTML-отчёте у хостов появляется колонка репутации.
+- Оценка опасности CVE: находки nuclei с CVE сверяются с CISA KEV
+  (эксплуатируется в реальных атаках, используется ransomware), EPSS
+  (вероятность атаки за 30 дней) и Exploit-DB (публичный эксплойт, модуль
+  Metasploit) и получают приоритет `fix now` / `fix soon`; в HTML — панель
+  «Fix first» и плитка «exploited». Ключи не нужны; KEV и Exploit-DB
+  кешируются на сутки в `cache_dir`. `--no-intel` выключает.
+- Проверка TLS-сертификатов: httpx запускается с `-tls-grab`, и по уже
+  полученным сертификатам отчёт показывает инвентарь (срок, издатель, версия
+  протокола) и находки — истёк, истекает в ближайшие 7 / 30 дней,
+  недоверенный, выдан на другое имя, сервер умеет только TLS 1.1 и старше.
+  То, что уже нашли `ssl/`-шаблоны nuclei, не дублируется.
+- Проверка подделки почты seed-домена: SPF, DMARC (`p`, `sp`, `pct`,
+  наследование от родительского домена, `redirect=`) и MX через
+  DNS-over-HTTPS, вердикт `protected` / `partial` / `spoofable` и находки с
+  рекомендациями; раздел «Email» в HTML. `--no-mail` выключает.
+- Проверка захвата поддомена: у найденных поддоменов ищется «висящий» CNAME на
+  чужой сервис (GitHub Pages, Heroku, S3, Shopify, Azure, Elastic Beanstalk и
+  др.), ресурс на котором не занят и может быть перехвачен (severity high).
+  Для сервисов с wildcard-доменом признак — характерная строка на странице-
+  ошибке сервиса (один GET на его edge, не на origin цели), для Azure/EB —
+  NXDOMAIN цели. Фингерпринты из can-i-take-over-xyz; только CNAME-поддомены,
+  до 300 за прогон. `--no-takeover` выключает.
+- Карточки находок в HTML показывают рекомендацию (`info.remediation`)
+  строкой «Fix:».
+- Сравнение с прошлым сканом: `pipeline` находит в `reports/` самый свежий
+  прогон того же pipeline по той же цели и показывает, что изменилось, — новые
+  и исчезнувшие находки, поддомены, веб-сервисы, порты, пути, секреты; находку,
+  попавшую с тех пор в CISA KEV; смену HTTP-кода; продлённые сертификаты;
+  вердикт по почте; флаги VirusTotal. Раздел «Changes» и плитка в HTML, блок
+  `changes` в `report.json`, сводка в консоли. Отсутствие засчитывается только
+  если нужный инструмент отработал в обоих прогонах. `--baseline <сессия>` /
+  `--no-baseline`; `cyberfw diff <старый> <новый> [--json]` сравнивает любые
+  два сохранённых прогона.
+- Триаж: приглушение находок (ложное срабатывание / принятый риск) правилами в
+  `triage.yaml` — `cyberfw mute <шаблон> [--target --reason --note --expires]`,
+  `cyberfw unmute <id>`, `cyberfw mutes`. Приглушённая находка показывается в
+  свёрнутом блоке «muted», не попадает в «Fix first», кольцо severity и плитку
+  findings (но остаётся в таблице записей и на карте хостов) и не считается
+  «новой» при сравнении с прошлым прогоном; при этом попадание приглушённой
+  уязвимости в CISA KEV всё равно сообщается. Правило сопоставляется по шаблону
+  (без учёта регистра, `*` — любой) и необязательной цели (fnmatch по хосту и
+  URL); истёкшие правила не применяются и называются в прогоне. Путь к файлу —
+  настройка `triage_file`.
+- Шпаргалка по `?` в меню: клавиша `?` (или слово `help`) показывает карточку
+  с клавишами меню, расшифровкой каждой настройки и командами запуска из
+  терминала (`cstool status`, `cstool run`, `cstool pipeline recon-to-vuln`,
+  `diff`, `vt`, `mute`) — тем, чего в меню не видно. Карточка висит до Enter,
+  потом меню перерисовывается. В строке Keys появилась подсказка `?  help`
+  (на достаточно широком окне).
+- Tab в меню: в приглашении `» Select tool or action` Tab дописывает имя
+  инструмента или действия по первым буквам, а на пустой строке открывает
+  список всех вариантов с их клавишами и назначением (Tab / Shift+Tab / стрелки,
+  Enter). Имена принимаются наравне с клавишами (`nuclei` = `6`, `pipeline` =
+  `r`, `exit` = `q`). Вопрос `» Pipeline` дописывается так же, со списком этапов
+  каждого pipeline рядом, — его имя больше не нужно набирать целиком. Без
+  терминала ввод прежний. Новая зависимость — `prompt_toolkit`.
+
+### Changed
+- Больше анимаций в консоли. Долгие шаги показывают живую строку активности
+  (`motion.Activity`): спиннер, бегущая полоса или — где известно, сколько
+  всего, — заполняющаяся со счётчиком и блеском, секундомер и пояснение; по
+  окончании строка исчезает, остаётся обычный результат. Она есть у скачивания
+  инструментов, проверки почты, захвата поддоменов (`N/всего` хостов), рейтинга
+  CVE, VirusTotal (`N/всего` — при лимите 4 запроса в минуту это минуты, а не
+  тишина) и у `cyberfw vt`. Меню при возврате «впечатывается» заново, как на
+  старте; «Goodbye.» проявляется из шума (`motion.decode`). Всё подчиняется
+  настройке `animations`; в пайпе и CI вывод не меняется. `vt.enrich` и
+  `takeover.scan` получили необязательный колбэк `progress`.
+- Интерфейс открывается в чистом окне: launcher ставит зависимости и
+  докачивает инструменты (новая скрытая команда `cyberfw prepare`) в окне
+  запуска, а затем на Windows открывает интерактивное меню в новом окне
+  Windows Terminal (120×36, заголовок «CS-TOOL») — там интерфейс рисуется в
+  truecolor и с плавными анимациями, в отличие от старого conhost; окно
+  установки закрывается. Уже внутри Windows Terminal, без него или при
+  `CYBERFW_NO_WT=1` — в текущем окне на очищенном экране; на Linux/macOS — в том
+  же терминале на очищенном экране. В меню экран остаётся чистым: после
+  действия — пауза до Enter, затем меню сверху; Ctrl+C в меню — выход с кодом 0
+  (а не «Aborted!»), чтобы окно Windows Terminal закрывалось. Команды с
+  аргументами выполняются в текущем окне, как раньше. Очистка экрана при
+  возврате в меню теперь стирает и буфер прокрутки (`CSI 3J`), так что выше
+  не остаётся предыдущих кадров; на dumb-терминале и в пайпе/CI — как раньше.
+- Терминальный интерфейс перерисован в едином «приборном» стиле: двойная
+  рамка с градиентом бренда, ярлыки секций в рамке, градиентная полоса
+  заголовка таблиц, клавиши-кейкапы, `■`-индикаторы состояния со словом.
+  Меню: таблица инструментов с колонкой `capability`, строки Keys и Settings;
+  карточка инструмента с состоянием, версией и источником; `status` — одна
+  панель из трёх секций; живая таблица прогона — в рамке с индикаторами
+  этапов; итоговая панель с полосами по инструментам, блоком Issues (этап и
+  причина падения) и путями, которые переносятся только по разделителям;
+  таблица записей `run` с колонкой severity и подсчётом в рамке. Для окон ниже
+  баннера с меню — компактная трёхстрочная шапка, и интро больше не
+  пропускается молча. Вопросы начинаются с `» `. Приглушённый текст теперь
+  серый `grey58` вместо `dim`, который классическая консоль Windows не рисует
+  (там Rich понижает его до `bright_black`).
+- Анимации в терминале. Баннер появляется с интро: логотип проявляется из шума
+  слева направо, градиентная линия прорисовывается, квадратики инструментов
+  загораются по одному, счётчик готовых считает вверх. Живая таблица прогона
+  обновляется сама: спиннер у работающего этапа, полоса прогресса с бликом
+  (fan-out) или «сканер» (одиночный процесс), вспышка счётчика записей,
+  гаснущая метка `█▓▒░` у свежих находок. Карта топологии получила квадратик
+  на этап в шапке и «остывающую» подсветку новых хостов. `init` показывает
+  растущую таблицу и общий прогресс, итоговая панель досчитывает числа.
+  Отключается настройкой `animations: false` (`CYBERFW_ANIMATIONS`, клавиша
+  `a` в меню); в пайпе, CI и на «тупом» терминале выводится только финальный
+  кадр, как раньше. Глифы — из кодовой страницы 437, их рисуют Consolas и
+  Lucida Console; брайлевский спиннер карты заменён на полублочный `▀▐▄▌`.
+- HTML-отчёт переделан в анимированный дашборд: шапка с радаром найденных
+  хостов, плитки KPI со счётчиками, диаграмма severity, записи по
+  инструментам, распределение HTTP-кодов, граф pipeline с учётом `input_from`,
+  сводка по хостам, карточки уязвимостей и секретов, галерея скриншотов
+  gowitness и таблица записей с поиском, фильтром по инструменту и сортировкой.
+  Тёмная/светлая тема с переключателем, версия для печати; анимации уважают
+  `prefers-reduced-motion`, без JavaScript отчёт виден целиком.
+  Content-Security-Policy допускает только собственные скрипты отчёта (по
+  хэшу), поэтому данные сканирования не могут выполниться как код.
+- Баннер: вместо строки «Integrated Cybersecurity Framework · v1.0.0» —
+  градиентная линия и полоса состояния с `▰` на каждый инструмент (цвет по
+  `ready` / `blocked` / `not installed`), счётчиком готовых, платформой и
+  версией.
+- Сохранение результата стало выбором пользователя: по окончании `run` и
+  `pipeline` спрашивают, сохранять ли отчёт. «Нет» удаляет каталог сессии,
+  созданный этим прогоном (ранее существовавший не трогается). Ответ можно
+  задать заранее: `--save`/`--no-save` и `--report`/`--no-report`; без TTY
+  вопроса нет и поведение прежнее. Одиночный `run` теперь тоже пишет
+  `report.json` и `report.html`, а не только JSONL.
+- Каждый инструмент ставится в `tools_bin/<tool>/`; архив удаляется после
+  распаковки, каталог инструмента очищается при переустановке, старые архивы
+  и бинарники плоской раскладки убираются.
+- Лаунчер: номера инструментов `1..N` от реестра, pipeline на `r`, выход `0`/`q`.
+- Context Store держит файл этапа открытым на время этапа (flush после каждой
+  записи) вместо open/close на каждую запись.
+- При отмене дочернему процессу даётся 3 с на выход по SIGTERM, затем SIGKILL;
+  ошибки называют сигнал («crashed with SIGSEGV») или NTSTATUS-код на Windows.
+- Известный, но не установленный инструмент — это `failed`-этап, а не обрыв
+  всего прогона без отчёта.
+
+### Removed
+- Ключи `sha256:` и `needs_checksum:` в `registry.yaml`: целостность теперь
+  обеспечивает `tools.lock`, и проверяется каждый залоченный ассет. Старые
+  ключи не ломают загрузку реестра — они игнорируются с предупреждением.
+
+### Fixed
+- Обновление инструмента удаляло рабочую версию до того, как новая была
+  распакована: повреждённый архив, архив без исполняемого файла, превышение
+  лимита распаковки или сетевой сбой оставляли без инструмента и без записи о
+  его версии. Теперь новая версия распаковывается и проверяется рядом со старой
+  и встаёт на её место только целиком; при любом сбое — и при неудачной замене —
+  остаются прежний инструмент и его запись, а запись пишется атомарно. Прерванная
+  замена (Ctrl+C, сбой) тоже возвращает прежнюю версию — сразу или при следующей
+  установке, — а незаконченные копии рядом с ней (`.<tool>.staging-*`,
+  `.<tool>.previous-*`) никогда не принимаются за установленный инструмент.
+- `CYBERFW_ROOT_DIR` и `Settings(root_dir=...)` меняли каталоги отчётов и
+  инструментов, но `registry.yaml` и `tools.lock` по-прежнему брались из
+  текущего каталога — то есть из другого workspace. Теперь первым ищется
+  registry того workspace, который называют настройки, и lock лежит рядом с ним;
+  у workspace без своего registry — поставляемый с cyberfw (в клоне — из
+  репозитория, при установке из wheel — из пакета) и lock рядом с ним.
+- Сравнение с прошлым прогоном выбирало baseline по одному имени хоста: для
+  пайплайна, начинающегося с nuclei или httpx, прогон
+  `https://example.com:8443/admin` сравнивался с прогоном
+  `http://example.com:8080/other` — и находки непроверенного сервиса
+  числились исправленными. Теперь значит то, что сканирует первый этап:
+  у subfinder, naabu и rustscan — хост, у nmap — хост и порт, у остальных —
+  весь URL (схема, хост, порт, путь); регистр хоста, порт по умолчанию и
+  завершающий `/` не различаются.
+- Имя этапа в YAML-пайплайне становилось частью пути: этап `../outside`
+  записывал свой `.input` вне каталога сессии, а имена, различающиеся только
+  `/`, пробелом или `_`, писали в один и тот же файл. Теперь имя этапа должно
+  быть простым — без `/`, `\` и `:`, не `.` и не `..`; пайплайн с таким
+  именем или с двумя этапами, чьи файлы совпали бы, отклоняется до запуска, а
+  файлы этапа всегда лежат в каталоге сессии.
+- `--exclude` не действовал на обогащение VirusTotal: исключённые хосты всё
+  равно отправлялись в VirusTotal. Теперь туда уходят только хосты в области
+  сканирования, как и в takeover-проверку; записи обнаружения остаются в отчёте.
+- Таймаут, отмена или ошибка обработчика останавливали только процесс,
+  запущенный cyberfw, а то, что он сам запустил (обёртка и её сканер,
+  gowitness и Chrome, воркеры), продолжало работать. Теперь каждый инструмент
+  идёт в своей группе процессов — отдельная сессия на POSIX, Job Object на
+  Windows — и останавливается вся группа: на POSIX сначала SIGTERM всем, после
+  паузы SIGKILL. То, что инструмент оставил работать после своего выхода, тоже
+  завершается. Сигналы, которые завершают cyberfw (SIGTERM, SIGHUP, SIGQUIT —
+  `kill`, `timeout`, закрытый терминал, Ctrl+\), сперва останавливают его
+  инструменты, а Ctrl+Z приостанавливает их вместе с cyberfw; сигнал, который
+  велено игнорировать (`nohup`), по-прежнему игнорируется.
+- На macOS с Python 3.14 до 3.14.10 приостановленный инструмент (Ctrl+Z или
+  чужой SIGSTOP) мог заморозить cyberfw: asyncio там принимал остановку
+  процесса за его выход и ждал его завершения, а сигналы до cyberfw не доходили
+  (python/cpython#158287). На этих версиях cyberfw ждёт выхода инструмента
+  сам — через `waitpid()`, на который остановка не действует.
+- Этап ждал бесконечно, если инструмент вышел, а оставленный им процесс держал
+  его вывод открытым. Теперь такой процесс получает 3 секунды после выхода
+  инструмента и завершается вместе с его группой.
+- Этап, читающий другой этап, запускался на исходной цели, если тот ничего
+  не нашёл или всё найденное отсёк `--exclude`: после naabu без портов httpx
+  сканировал seed, после пустого httpx — nuclei. Теперь исходную цель
+  получает только корневой этап; этапу без входов сканировать нечего — его
+  инструмент не запускается, а сам этап считается отработавшим с 0 записей.
+- Строка вывода, которую не принимает схема инструмента (например, порт
+  строкой вместо числа у naabu), роняла весь этап вместе с уже найденными
+  записями. Теперь такая строка отбрасывается и попадает в сводку «did not
+  match the expected schema», как строки не в JSON; этап идёт дальше.
+- Два прогона, начатые в одну секунду (скрипт по списку целей, параллельные
+  задачи CI), получали одну сессию: второй перезаписывал отчёт первого и
+  дописывал свои записи в его JSONL. Новая сессия больше не занимает чужую
+  папку — при совпадении к её id добавляется `-2`, `-3`…
+- Сломанный или отсутствующий `registry.yaml` завершал `pipeline`,
+  `pipeline --plan` и `run` трассировкой Python; теперь — сообщением об ошибке
+  реестра (код 2 у `pipeline`, 1 у `run`).
+- Предупреждения проверок после скана (почта, threat intel, VirusTotal) теряли
+  часть текста ошибки в квадратных скобках: Rich принимал её за разметку.
+  Теперь текст показывается как есть.
+- То же было и с остальными сообщениями CLI: ошибки движка, реестра, проверки
+  инструмента, установки, `cyberfw lock` и записи отчёта, ошибка и категории
+  VirusTotal, причина провала `run`, а также неверное значение `--session`,
+  `--reason`, `--cron` или имени инструмента в `lock` печатались через разметку
+  Rich, и `[...]` в них пропадало («the engine [broke]» → «the engine »; у
+  `--cron` ещё и оставалась лишняя `\`). Сырые строки инструментов под
+  `--no-parse` теперь выводятся ровно так, как их напечатал инструмент: без
+  разметки и без замены `:ok:` на эмодзи.
+- Запланированный скан не запускался, если `cyberfw` нет в PATH: тогда
+  `cyberfw schedule` записывает в задание `python -m cyberfw …`, а у пакета не
+  было `__main__.py`. Теперь `python -m cyberfw` запускает тот же CLI — в том
+  числе в заданиях, записанных раньше.
+- RustScan на x86_64 Linux (в т.ч. WSL) получал aarch64-сборку: запасной поиск
+  по шаблонам реестра смотрел на ОС, но не на архитектуру, а RustScan называет
+  ассеты «арх-ОС» и перечисляет aarch64 первым. Теперь шаблоны чужой
+  архитектуры не используются, а Linux ARM никогда не откатывается на x64.
+- Узкие окна. Карточка инструмента уже ~60 колонок печатала описание по
+  слову или по букве в строке, а строки вылезали за рамку: панели, стоящие
+  рядом, теперь встают друг под другом, если общей остаётся меньше 24 клеток,
+  и каждая строка тела ровно по ширине рамки. Шапка уже ~78 колонок резала
+  логотип многоточиями и теряла счётчик `N/M ready`: теперь сначала убирается
+  `UTM`, потом логотип, а строка состояния переносится только между частями.
+  Итоговая сводка на 42 колонках и уже теряла число записей по инструментам:
+  полоса сужается под окно и убирается, если на неё не осталось места.
+- Та же сводка на 36–40 колонках под rich 13.x (разрешён `rich>=13.7`)
+  по-прежнему теряла счётчики: rich 13 прибавлял к `min_width` колонки имён
+  отступ края таблицы, которого в сетке нет, и таблица выходила на клетку
+  шире расчёта. Имена теперь выравниваются без `min_width`, и раскладка
+  одинакова в rich 13 и 15.
+- CJK, эмодзи и комбинируемые диакритики в ярлыке, подписи или подвале рамки
+  (`cyberfw pipeline recon-to-vuln -t 例え.jp`) сдвигали или срезали угол
+  `╗`/`╝`: текст в рамке раскладывается по клеткам экрана.
+- Ярлыки, подписи и подвал затирали стыки `╤`/`╧` соседних панелей. Ярлык,
+  которому мешает стык, переезжает за него, а подпись или подвал, которые
+  накрыли бы стык, не рисуются.
+- Лид-ин `» ` у вопросов был без цвета: `Prompt` и `Confirm` спрашивали через
+  глобальную консоль Rich, у которой нет темы приложения.
+- Финальный кадр живой таблицы в низком терминале обрезал последние находки
+  (при высоте 12 строк оставалось 3 из 8), а с `--no-report` они больше нигде
+  не выводятся. Завершённый кадр теперь печатается целиком.
+- Ярлыки проваленного прогона в 16 цветах были чёрными по тёмно-красному
+  (контраст около 2:1 на классической консоли Windows): градиент теперь
+  начинается с ярко-красного.
+- Приглушённый текст (`bright_black`) пропадал в Solarized Dark, где цвет 8
+  совпадает с фоном. Теперь это серый `grey58` (246 в 256 цветах); на
+  классической консоли Windows Rich сам понижает его до `bright_black`.
+- В неинтерактивном выводе (пайп, CI) строка после живой таблицы прогона
+  приклеивалась к её последней строке.
+- Записи gowitness v3 теряли имя скриншота и HTTP-код: v3 пишет `file_name` и
+  `response_code`, а схема ждала `filename` и `status_code`. Теперь читаются
+  оба варианта.
+- Этап падал с `Separator is not found, and chunk exceed the limit`, если
+  инструмент печатал одну строку stdout длиннее 64 КиБ (лимит ридера asyncio
+  по умолчанию) — например крупная находка `nuclei -jsonl`. Лимит поднят до
+  8 МиБ, а строка сверх него теперь отбрасывается с предупреждением, не убивая
+  этап.
+- Windows: инструменты-скрипты с shebang не запускались, если bash находился
+  как `Git\bin\bash.exe` (так его видят PowerShell и раннер GitHub) — путь
+  конвертировался по WSL-схеме `/mnt/c/...`, и Git Bash отвечал
+  `No such file or directory` (exit 127). Теперь `cygpath` ищется и в соседнем
+  `usr\bin`, а без него схема выбирается по тому, какой bash найден:
+  `/mnt/c/...` только для WSL-шима, `/c/...` для MSYS/Git.
+- naabu получал URL целиком (`-host https://999.md`) и падал с `no valid ipv4
+  or ipv6 targets were found`; теперь и seed, и цели предыдущего этапа
+  приводятся к имени хоста — общий `cyberfw/tools/targets.hostname_of`,
+  которым пользуется и rustscan.
+- Этап, чей источник упал, больше не подставляет seed вместо результатов
+  этого источника (httpx сканировал сам seed и рапортовал успех).
+- `Settings.max_archive_size` не доходил до установщика (читался приватный
+  `CYBERFW_MAX_ARCHIVE`).
+- `UnicodeEncodeError` при перенаправлении вывода на Windows (`status > out.txt`,
+  `init | tee`): не-UTF-8 stdout/stderr переконфигурируются в UTF-8.
+- Три Windows-ориентированных теста падали на Linux-раннере CI.
+- `append_raw` в Context Store не закрывал файл.
+
+### Security
+- Инструменты больше не получают всё окружение cyberfw. Процесс инструмента
+  видит только то, что нужно любой программе (`PATH`, домашний и временные
+  каталоги, системные каталоги Windows, прокси, сертификаты, локаль), и
+  переменные, перечисленные в его записи `registry.yaml` под новым ключом
+  `env:`. Токен GitHub, ключ VirusTotal и прочие секреты из окружения до
+  скачанных бинарников больше не доходят. Если инструменту нужна своя
+  переменная (например, `PDCP_API_KEY` для nuclei), добавьте её в `env:`.
+- Секреты, найденные gitleaks, по умолчанию маскируются: gitleaks запускается с
+  `--redact`, а адаптер ещё и заменяет значение на `REDACTED` при разборе, так
+  что живой ключ не попадает ни в JSONL сессии, ни в `report.json`/`report.html`.
+  Сырые значения — `cyberfw run gitleaks --show-secrets` или настройка
+  `redact_secrets: false` (`CYBERFW_REDACT_SECRETS=false`).
+
+## [1.0.0] — 2026-09-21
+
+Первая версия: кроссплатформенный CLI для установки прекомпилированных
+инструментов из GitHub Releases и их оркестрации (subfinder, naabu, httpx,
+nuclei, ffuf, rustscan, gitleaks, gowitness), pipeline `recon-to-vuln`,
+интерактивный лаунчер, JSON/HTML-отчёты, checksum-верифицированный bootstrap uv.

cyberfw-2.0.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Daniil Sirbu
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.