Pour cabinets d'audit et firmes de compliance les preuves dans un seul ZIP signé

Ce qu'il y a dans le bundle

Spec ouverte : un manifest.json + un vérifieur Python + tous les evidence packs de la période. Aucun outil propriétaire requis.

monsys-auditor-bundle-d2f60e21.zip
├── manifest.json              # bundle metadata + pack list + signing keys
├── verify.py                  # offline Ed25519 verifier (pynacl)
├── signing_keys.json          # public keys + rotation reasons in periode
├── compliance_summary.md      # markdown audit-rapport
└── evidence_packs/
    ├── 1234.tar.gz            # signed pack from period
    ├── 1235.tar.gz
    └── ...

verify.py n'a que pynacl comme dépendance. Le script renvoie exit code 0 si tous les packs sont valides, 1 si quelque chose casse.

Patches autonomes : comment les auditer

Certains clients activent l'auto-patch par hôte pour les paquets OS et les dépendances d'application. Chaque patch produit quatre entrées d'attestation dans le bundle, cryptographiquement liées à l'utilisateur qui l'a activé.

• ✓
  auto_flag_set · L'entrée de consentement : quel utilisateur, quel hôte, quelle catégorie, quelle sévérité minimum, quand.
• ✓
  auto_proposed · Chaque plan de patch avec CVE-id, paquet, version cible, sévérité, plus une référence vers l'entrée auto_flag_set.
• ✓
  auto_applied · Confirmation de succès depuis l'hôte : exit code 0, paquet installé.
• ✓
  auto_rolled_back · Si l'install ou le redémarrage a échoué. Le wrapper côté agent snapshot en amont et effectue le rollback automatiquement.