internal/

Package buffer 提供 Agent 数据传输的环形缓冲区

Package cache 提供本地缓存功能，用于断网时暂存数据

Package cli 实现 Agent 辅助命令行子功能（--status / --logs / --config / --diag）

Package config 提供配置引导功能

Package connection 提供连接管理功能（服务发现、mTLS）

Package dependency 管理 Agent 端外部依赖的安装、卸载和状态检测

Package edr implements the built-in EDR engine for the MxCwpp Agent.

Package antidebug 实现 Agent 自我加固 (M1-6)。

Package clamav — clamd UDS / TCP 客户端 (B8).

Package bde implements the Behavior Detection Engine (BDE) profiler.

Package canary — 反勒索 / 反横移 蜜罐诱饵文件 (B9).

Package collector defines the interface and mode detection for EDR event collectors.

Package container provides container metadata resolution for EDR events.

Package elfparse — ELF 二进制解析 + strings 抽取 + entropy 反混淆 (C8).

Package event defines unified EDR event types for process, file, and network events.

Package fanotify 实现 Agent 端 fanotify 文件监控 (P3-2).

Package forensics — Memory Forensics: live mem dump + volatility 集成 (EDR-3).

Package honeypot — SSH/HTTP 假回应蜜罐 (C1).

Package ioc provides an in-memory IOC (Indicator of Compromise) store for the EDR engine.

Package isolate provides host network isolation via iptables.

loader_linux.go — BPF LSM 用户态 (C10 骨架).

detector_linux.go — memfd_create→execveat 用户态事件 (C9).

dirtypipe_pwnkit_linux.go — Userspace loader / event consumer for DirtyPipe + PwnKit eBPF probes (P4-9).

Package afpacket — AF_PACKET v3 (TPACKET_V3) mmap ring buffer reader (P3-K').

Package probe — kernel 特性探测 (P3-K').

Package quarantine 实现 Agent 端 文件隔离箱 (M1-8)。

dkom_linux.go — DKOM (Direct Kernel Object Manipulation) rootkit 检测 (C2).

Package rule implements the agent-side YAML rule engine for EDR event detection.

Package storyline implements the Agent-side CausalTracker for attack storyline correlation.

Package weakpass 实现 Agent 端弱口令检测 (P2-19).

Package yara provides an async YARA-X scanner for the EDR engine.

Package forensics provides remote forensic capabilities for the Agent.

Package gctune — Agent 端 GC 调优 (P3-B).

Package heartbeat 提供心跳上报功能

Package id 提供 Agent ID 管理功能

Package logger 提供结构化日志功能（基于 Zap） 默认配置：按天轮转，保留30天

Package metrics 实现 Agent /metrics Prometheus 暴露 (P2-5)。

Package plugin 提供插件生命周期管理和 Pipe 通信功能

Package resource 提供资源监控功能（CPU、内存、磁盘、网络）

Package runtime 提供运行时环境检测功能（容器/VM/K8s） 全局单例：检测一次，Agent 全生命周期复用

Package transport 提供 gRPC 传输功能（双向流）

Package updater 实现 Agent 自更新功能 selfupdate.go 提供 CLI 主动更新能力（mxcwpp-agent --update）

Package wal provides a Write-Ahead Log for EDR events.

Package certissue 提供按 AgentID 在线签发单机客户端证书的能力。

Package compressor 提供 gRPC 流压缩支持

Package fileutil 提供通用文件工具函数

Package jsonx — JSON 热点高性能替代 (P3-A).

Package signing 提供 Ed25519 签名和验证功能

Package ssrf 提供防 SSRF 的 URL 校验与安全 HTTP 客户端。

Package commandsub 是 AC 的 Engine 命令订阅器。

Package httptrans 提供 AgentCenter HTTP 管理接口 供 Manager 的服务发现模块调用，用于：健康探测、连接统计、命令下发

Package init 提供 AgentCenter 服务的初始化逻辑

Package metrics 提供 AgentCenter 侧的 Prometheus Gauge 指标导出 与 Elkeid 架构一致：AC 收到心跳后更新 in-process Gauge， Prometheus 通过 /metrics 端点抓取，无需额外 Kafka 路径。

Package scheduler 提供任务调度器

Package sdclient 实现 AgentCenter 向 Manager SD 模块注册/心跳/注销的客户端

Package server 提供 gRPC Server 创建和配置

Package service 提供 AgentCenter 的业务逻辑服务

Package setup 提供 AgentCenter 服务的初始化逻辑

Package transfer 实现 Transfer gRPC 服务

Package audit 提供操作审计的中央记录器。

Package canary 提供统一的灰度发布抽象, 让"Agent 升级 / 规则推送 / 基线修复 / 漏洞修复 / 病毒处置 / 配置变更" 6 类写操作共享同一份"分批 → 健康检查 → 失败回滚"调度逻辑。

Package config 统一 6 微服务 (Manager/AgentCenter/Consumer/Engine/VulnSync/LLMProxy) 配置加载。

Package gctune — Go GC + 内存上限统一调优 (P3-B).

Package gmcrypt 实现国密 SM2/SM3/SM4 算法 (P3-12).

Package kms 实现 Manager 内嵌的 envelope encryption KMS。

Package mode 提供 v2.0 observe/protect 双运行模式的状态机与决策抽象。

Package gate 实现 observe → protect 切换的 6 门槛准入校验 (G1-G6)。

Package observability 提供 OpenTelemetry 追踪初始化与 Tracer 全局访问。

Package otel — 5 微服务统一分布式追踪 + metrics 初始化 (B2).

Package tenant 提供多租户上下文与 GORM 行级隔离支持。

Package config 提供 Server 配置管理

Package consumer 实现 Kafka Consumer 服务 从各 Topic 消费 MQMessage，路由到 MySQL / ClickHouse 写入器

Package gcppubsub 实现 GCP Pub/Sub 消费者，从 Cloud Logging 接收 GKE 审计日志

Package metrics 提供 Consumer 进程的 Prometheus 指标暴露。

Package sanitize 提供事件字段脱敏功能 在事件数据写入存储前，对 cmdline 等敏感字段进行凭据遮蔽

Package siem provides SIEM integration via Syslog CEF (Common Event Format).

Package writer 实现 ClickHouse 批量写入（Phase 4）

Package database 提供 ClickHouse 客户端初始化

Package engine 是 v2.0 六微服务架构中检测引擎的实现。

Package adaudit — AD / LDAP 域控审计 (EDR-4).

Package anomaly implements server-side ML anomaly detection.

Package baseline implements the Server-side Behavior Detection Engine (BDE) baseline.

Package celengine 实现基于 CEL-Go 的实时检测规则引擎 支持从数据库加载 CEL 表达式规则，对 Kafka 消费事件进行实时评估并生成告警

Package honeypot 实现反勒索 honeypot 服务端检测逻辑。

Package intrusion 实现入侵检测六件套:

Package kube 提供 K8s/GKE 安全检查能力。

Package microseg 实现微隔离 (Microsegmentation) 流量观察 + 策略推荐 + Enforcement。

Package ml 是 Engine 的本地机器学习推理抽象。

Package rasp 实现 RASP (Runtime Application Self-Protection) 服务端事件接收与检测。

Package rollout — 规则灰度推送 (B6).

Package ruleimport 把 Falco / Sigma / Tetragon 规则转成 mxcwpp CEL 规则。

Package rulesync 实现基于 Git 仓库的检测规则同步 定期从远程 Git 仓库拉取规则 YAML，增量同步到 detection_rules 表

Package scheduler 是 v2.0 Engine 服务的调度器集合,承担:

Package storyline aggregates Agent-side story_id-tagged events into attack storylines on the Server.

Package mql implements the MxCwpp Query Language compiler.

Package biz - C2: LLM 告警辅助分析

Package audit 把 LLM 调用日志推到 Kafka mxcwpp.llm.audit Topic。

Package cache 是 LLMProxy 的 Redis 24h 入参缓存。

Package provider 定义 LLM Provider 抽象与多厂商适配实现。

Package quota 提供租户级 LLM 月度 USD 配额检查与累积。

Package redact 提供发往外部 LLM 前的数据脱敏与本地端点判定（批4 合规）。

Package router 是 LLMProxy 的场景路由器。

Package logger 提供 Server 结构化日志功能（基于 Zap）

Package api — AD / LDAP 域控审计 HTTP handler (EDR-4).

Package admission 实现 K8s ValidatingAdmissionWebhook v1。

Package biz — host OS-specific fixed_version lookup

Package audit 实现 AuditLog 多维 enrichment (P4-5).

Package billing — 配额 80% 预警 worker (B4).

Package federation — 多集群联邦管理骨架 (C3).

Package graphql 给 mxcwpp API 暴露 GraphQL 入口 (P4-7).

Package honeypot 实现 Server 端 honeypot 策略管理与白名单过滤。

Package hunting — Threat Hunting DSL (SPL-like) (C4).

Package imagescan 实现镜像/文件 Secret 检测 + Dockerfile lint 等深度扫描。

Package mlmodel 实现 ML 模型分发管理 (复用 component 包体上传/CDN 通道)。

Package mssp 实现 MSSP (Managed Security Service Provider) 父子租户视图 (P2-11).

Package npatch 是 mxcwpp 的虚拟补丁规则模型 (对标青藤云幕 NPatch)。

Package outbound 实现告警/事件外发到 SIEM/SOC 系统 (P2-3)。

Package pocvalidation 实现 PoC (Proof of Concept) 自动验证 (P2-13)。

Package sbom 实现 SBOM CycloneDX 1.5 生成 (P2-4)。

SOAR ApprovalChecker 实际实现 (P3-14).

Package vex — VEX (Vulnerability Exploitability eXchange) 生成器 (B7).

Package client — Manager 跨进程调用 Engine/VulnSync/LLMProxy 的抽象接口 (A8 接口骨架).

Package handler 给 manager HTTP 注册 GraphQL endpoint (P4-7).

Package init 提供 Manager 服务的初始化逻辑

Package middleware 提供 HTTP 中间件

Package router 提供 HTTP 路由配置

Package scheduler 提供任务调度器

Package sd 实现 Manager 内嵌的服务发现模块 负责 AgentCenter 实例的注册、心跳维护、主动健康探测和路由选择

Package setup 提供 Manager 服务的初始化逻辑

Package metrics 提供 Prometheus 指标导出

Package migration 提供数据库迁移功能

Package mvp1 提供 MVP1 → MVP2 数据迁移能力

Package model — AD / LDAP 域控审计事件 + 告警 (EDR-4).

Package notify 提供告警/事件通知派发（邮件/Webhook/Lark），跨服务共享。

Package prometheus 提供 Prometheus 查询客户端

Package remediation 提供漏洞修复任务派发与 Agent 结果/进度处理，跨服务共享。

Package scanner 是独立镜像扫描服务的核心：从 scan_jobs 队列认领任务， 调用 trivy 扫描镜像，结果写回 image_scans / image_vulnerabilities。

Package vulnsync 是 v2.0 漏洞情报融合服务的实现。

Package advisory 提供商业级 CWPP 漏洞数据多源接入。

Package integrity 提供漏洞情报数据源的完整性校验，防供应链投毒（批4）。

Package leader 提供 VulnSync 服务的 Redis-based Leader Election。

Package publisher 把 advisory.AdvisoryMessage 推送到 Kafka mxcwpp.vuln.advisory。

Package ti 实现 STIX/TAXII 2.x 威胁情报订阅 (P2-6)。