Document Sentinel roadmap and code quality standard

docs/roadmap.md

@@ -0,0 +1,62 @@
+# OfficeCom Sentinel Roadmap
+
+## Leitlinie
+
+OfficeCom Sentinel soll wenige, nachvollziehbare Sicherheitssignale liefern.
+NinjaOne bleibt die Quelle fuer akute Alerts. Die zentrale Plattform sammelt
+Telemetrie, erstellt Wochenberichte und macht Trends je Organisation sichtbar.
+
+## Bereits geliefert
+
+- Endpoint-Client mit signiertem Upload und lokaler NinjaOne-Feldaktualisierung.
+- N8n- und PostgreSQL-Pipeline mit organisationsbezogener Zuordnung.
+- Interne Uebersicht, Empfaengerverwaltung und woechentliche HTML-Berichte.
+- Gestaffelte taegliche Uploads sowie Burst-Pruefung.
+- Version 1.4.0: Fehlanmeldungen werden in 15-Minuten-Fenstern korreliert.
+  Einzelne Tippfehler erzeugen keinen Alarm; Anmelde-Bursts und Password
+  Spraying werden weiterhin als Warnung oder kritisch bewertet.
+
+## Naechste Minor-Version: 1.5
+
+### Ransomware-Frueherkennung
+
+- Beobachtung ungewoehnlicher Serien von Dateioperationen in kurzen Zeitfenstern.
+- Erkennung von Schattenkopie- und Recovery-Manipulationen, soweit sie in
+  Windows-Ereignissen oder Prozessdaten sichtbar sind.
+- Erkennung typischer Verschluesselungs- und Loeschwerkzeuge ueber
+  Prozessnamen, Kommandozeilen und auffaellige Folgeereignisse.
+- Stufenmodell: Hinweis bei schwachen Einzelindikatoren, Warnung bei einer
+  Korrelation, kritisch nur bei mehreren voneinander unabhaengigen Indikatoren.
+- NinjaOne liefert die zeitnahe Alarmierung; die zentrale Plattform dokumentiert
+  Verlauf und Organisationstrend.
+
+### Erkennungsqualitaet
+
+- Konfigurierbare Ausnahmen fuer bekannte Servicekonten, Scanner und Monitoring.
+- Einheitliches Risiko-Scoring fuer Login-, Prozess- und Ransomware-Signale.
+- Begruendung je Bewertung im JSON-Report, damit Alerts nachvollziehbar bleiben.
+
+## Folgende Minor-Versionen
+
+### 1.6: Zusaetzliche Sensoren
+
+- Neue lokale Administratoren und auffaellige Gruppenmitgliedschaften.
+- Remote-Zugriffsmuster wie RDP- und SMB-Fehlanmeldungen mit Quellkorrelation.
+- Sicherheitsrelevante Aenderungen an Diensten, geplanten Aufgaben und
+  Autostart-Mechanismen.
+- Optionaler Import von G DATA-/MXDR-relevanten lokalen Ereignissen, wenn die
+  vorhandene Installation diese verlaesslich bereitstellt.
+
+### 1.7: Betrieb und Auswertung
+
+- Datenqualitaetspruefung fuer fehlende Organisationen und veraltete Clients.
+- Sensor- und Client-Gesundheit in der internen Uebersicht.
+- Berichtsvorlagen je Empfaengergruppe und nachvollziehbare Versandhistorie.
+
+## Qualitaet In Jedem Release
+
+- Keine neue Erkennung ohne Beispielereignisse und Regressionstest.
+- Sicherheitsentscheidungen bleiben im Client lokal nachvollziehbar.
+- Keine internen Zugangsdaten, Datenbankadressen oder Secrets im Clientpaket.
+- Vor jeder Minor-Version: Code-Clean-up, Abhaengigkeiten pruefen, tote Pfade
+  entfernen und die Dokumentation aktualisieren.