Implement reversible Sentinel beta foundation

docs/beta-deployment.md

@@ -0,0 +1,46 @@
+# OCSentinel Beta Deployment
+
+## Ziel
+
+Beta-Pakete werden ausschliesslich an benannte Pilotgeraete verteilt. Der
+Stable-Kanal und die vorhandene Stable-NinjaOne-Aufgabe bleiben unveraendert.
+
+## Beta-Aufgabe in NinjaOne
+
+1. Die bestehende Aufgabe `OCSentinel - Installieren und aktualisieren`
+   duplizieren und eindeutig als `OCSentinel - Beta Pilot` benennen.
+2. Das Script `scripts/bootstrap-ocsentinel-ninja.ps1` verwenden.
+3. Die Script-Variable `releasechannel` als Text mit dem Wert `beta` anlegen.
+4. Webhook und Secret bleiben identisch zum Stable-Task.
+5. Die Aufgabe nur einer Pilot-Richtlinie oder explizit ausgewaehlten Geraeten
+   zuweisen.
+
+Die Stable-Aufgabe verwendet keinen Kanalwert oder den Wert `stable`.
+
+## Passive Ransomware-Beta
+
+Die Beta ist nach der Installation weiterhin deaktiviert. Auf einem
+Pilotgeraet wird in `C:\Program Files\OCSentinel\config\ocsentinel-settings.json`
+der Wert `ransomwareBetaEnabled` auf `true` gesetzt. Die erste Auswertung
+liest nur die letzten 15 Minuten der vorhandenen Prozess- und PowerShell-
+Ereignisse; sie installiert weder Sysmon noch Windows-Dateiauditing.
+
+Ein Hinweis wird nur im JSON-Report und Dashboard sichtbar. Warnung und
+kritisch werden erst nach dem kontrollierten Alarmierungs-Pilot an NinjaOne
+weitergegeben.
+
+## Rueckfall
+
+1. Die Beta-Richtlinie entfernen oder die Beta-Aufgabe nicht mehr ausfuehren.
+2. Auf den Pilotgeraeten die vorhandene Stable-Aufgabe ausfuehren.
+3. Die Ransomware-Beta in der lokalen Konfiguration auf `false` setzen, falls
+   sie aktiviert wurde.
+
+Der Client prueft weiterhin Paket-Hash und Authenticode-Signaturstatus, bevor
+eine Beta installiert wird.
+
+## Pilotprotokoll
+
+Vor dem Start festhalten: Organisation, Geraete, Aktivierungszeit, aktivierte
+Feature-Schalter, verantwortliche Person und geplantes Enddatum. Nach dem
+Pilot Laufzeit, Upload-Volumen, Hinweise und Fehlalarme bewerten.