Thore CimbalandClaude Fable 5
70e81e2ff1
Gate 4, slice 2: decisions/0001-0011 moved via git mv with schema frontmatter prepended (status and date taken from each body's own Status line - 0007 stays proposed, its decision is open in #20; bodies unchanged except relative links gaining one directory level). The old scheme's README and template retire - their rules already live in AGENTS.md section 6 and the neckbeard ADR template. Every reference to decisions/ across the tree retargeted (root files, not-yet-moved verfahren/hosts/shared files, design doc and session ADR frontmatter). Verified: validate 0 errors (11 ported + 2 session ADRs + duplicate-id guard), gen_status --check current with all 13 ADRs listed, drift check 0 findings, negative test shows a cloned id 0012 firing the duplicate check. Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
1.4 KiB
1.4 KiB
type, id, status, date, supersedes, superseded_by, related
| type | id | status | date | supersedes | superseded_by | related |
|---|---|---|---|---|---|---|
| adr | 0003 | accepted | 2026-08-01 | null | null |
0003 — CVE-Meldeweg: aggregierte Alarme, eigener Security-Raum, gleicher Bot
Status: akzeptiert · Datum: 2026-08-01 · Entscheider: sorb
Kontext
Der erste CVE-Alarmweg (eine Matrix-Nachricht pro CVE) flutete den Raum mit 126
Nachrichten und musste stummgeschaltet werden (gitops#51, AAR in verfahren/aar/).
Gleichzeitig war entschieden (CFGMON-13), Release-/Security-Meldungen von
Betriebsalarmen zu trennen.
Entscheidung
CVE-Alarme werden pro Scan-Ziel aggregiert (count by (target, target_type, host), CRITICAL sofort / HIGH nach 24 h) und in den Security-Raum
(!YRJvcEbVXtRlUIkNld) geroutet; Details liegen im Grafana-CVE-Dashboard, die
Nachricht verlinkt nur dorthin. Absender bleibt der bestehende @alerts-Bot
(ein Bot, Trennung über Räume).
Konsequenzen
- Raum bleibt lesbar; Einzel-CVE-Detail wandert in Dashboard/Metriken
(
trivy_vuln_info{...}mit CVE-ID, Severity, fixed_version, first_seen). - Pflichtfelder je Meldung: CVE-ID, Mitigation/Fix-Version, Zeitstrahl, Ort, Typ.
- Follow-up-Idee (sorb): Grafana-Dashboard als Widget direkt im Matrix-Raum.
Verworfene Alternativen
- Eine Nachricht pro CVE: real erlebter Flood, Raum unbrauchbar.
- Eigener Bot je Meldungsklasse: mehr Betrieb ohne Erkenntnisgewinn, Räume trennen genügt.