Add Prometheus operations metrics

Author: ewilhelm1979-netizen

Makefile

@@ -73,6 +73,8 @@ rust-smoke:
 		sleep 1; \
 	done; \
 	curl -fsS "$$url/health/live" >/dev/null; \
+	curl -fsS "$$url/status/operations.json" >/dev/null; \
+	curl -fsS "$$url/metrics" >/dev/null; \
 	curl -fsS -c "$$cookie_file" -H "content-type: application/json" -d '{"tenant_id":1,"username":"admin","password":"Admin123!"}' "$$url/api/v1/auth/sessions" >/dev/null; \
 	curl -fsS -b "$$cookie_file" "$$url/api/v1/auth/session" >/dev/null; \
 	curl -fsS -b "$$cookie_file" "$$url/dashboard/" >/dev/null; \
@@ -98,6 +100,7 @@ rust-smoke:
 	curl -fsS -H "x-iscy-tenant-id: 1" -H "x-iscy-user-id: 1" "$$url/api/v1/incidents/1/nis2-export.html" >/dev/null; \
 	curl -fsS -H "x-iscy-tenant-id: 1" -H "x-iscy-user-id: 1" "$$url/api/v1/incidents/1/nis2-export.pdf" >/dev/null; \
 	curl -fsS -H "x-iscy-tenant-id: 1" -H "x-iscy-user-id: 1" "$$url/api/v1/product-security/overview" >/dev/null; \
+	curl -fsS -H "x-iscy-tenant-id: 1" -H "x-iscy-user-id: 1" "$$url/api/v1/status/metrics?tenant_id=1&user_id=1" >/dev/null; \
 	echo "Rust smoke OK: $$url"
 
 canary-daily:

README.md

@@ -1,4 +1,4 @@
-# ISCY V23.7.4 / Rust 0.3.0
+# ISCY V23.7.5 / Rust 0.3.1
 
 ISCY ist eine ISMS-/Cybersecurity-Plattform mit ISO 27001-, NIS2- und KRITIS-Unterstuetzung, Incident-/Meldeworkflow, Product Security, Zero-Trust-Agent-Posture, lokalem CVE-Enrichment und lokalem LLM-Betrieb.
 
@@ -44,6 +44,22 @@ Healthcheck:
 curl -fsS http://127.0.0.1:9000/health
 ```
 
+Maschinenlesbarer Betriebsstatus:
+
+```bash
+curl -fsS http://127.0.0.1:9000/status/operations.json
+curl -fsS http://127.0.0.1:9000/metrics
+```
+
+Mit Tenant-Kontext liefert ISCY zusaetzlich fachliche Drilldowns fuer ISCY-27-Gaps, CVE-Review-Rueckstand, Evidence-Luecken, Migrationen, Runtime-Flags und Modulstatus:
+
+```bash
+curl -fsS -H 'x-iscy-tenant-id: 1' -H 'x-iscy-user-id: 1' \
+  'http://127.0.0.1:9000/api/v1/status/operations?tenant_id=1&user_id=1'
+curl -fsS -H 'x-iscy-tenant-id: 1' -H 'x-iscy-user-id: 1' \
+  'http://127.0.0.1:9000/api/v1/status/metrics?tenant_id=1&user_id=1'
+```
+
 Kurzpruefung fuer Betrieb und Regression:
 
 ```bash
@@ -123,7 +139,7 @@ Evidence-Links aus Risks, Roadmap, Incidents und Product Security fuellen Titel,
 
 ## Zero-Trust Agent
 
-ISCY `0.3.0` enthaelt einen read-only Agent fuer Windows, macOS und Linux. Der Agent meldet Inventar, Heartbeats sowie OS-/MDM-/EDR- und Zero-Trust-Findings an die Rust-Plattform. Die Plattform stellt dazu `/zero-trust/` sowie API-Endpunkte unter `/api/v1/agents/...` bereit.
+ISCY `0.3.1` enthaelt einen read-only Agent fuer Windows, macOS und Linux. Der Agent meldet Inventar, Heartbeats sowie OS-/MDM-/EDR- und Zero-Trust-Findings an die Rust-Plattform. Die Plattform stellt dazu `/zero-trust/` sowie API-Endpunkte unter `/api/v1/agents/...` bereit.
 
 Die produktive Agent-Aufnahme ist gehaertet:
 
@@ -191,6 +207,8 @@ NVD_API_BASE_URL=https://services.nvd.nist.gov
 NVD_API_KEY=
 ```
 
+Fuer lokale Tests und air-gapped Prueflaeufe kann `NVD_API_BASE_URL` auch auf eine einzelne NVD-JSON-Datei zeigen, zum Beispiel `file:///tmp/nvd-response.json`.
+
 ## CI
 
 GitHub Actions prueft:

docs/GUI_SCREENSHOTS.md

@@ -1,6 +1,6 @@
 # ISCY GUI Screenshots
 
-Stand: ISCY V23.7.2 / Rust 0.3.0
+Stand: ISCY V23.7.5 / Rust 0.3.1
 
 Diese Screenshots dokumentieren die aktuelle serverseitige ISCY-Weboberflaeche fuer die wichtigsten Tabs und Funktionsbereiche.
 

docs/ISCY_Handbuch.md

@@ -1,6 +1,6 @@
 # ISCY Handbuch
 
-Version: Arbeitsstand Juni 2026 (ISCY V23.7.4 / Rust 0.3.0)
+Version: Arbeitsstand Juni 2026 (ISCY V23.7.5 / Rust 0.3.1)
 
 Dieses Handbuch erklaert ISCY fachlich und in einfacher Sprache. Es ist fuer Menschen geschrieben, die nicht aus einem ISMS-, Compliance- oder Informationssicherheits-Umfeld kommen.
 
@@ -531,6 +531,8 @@ Was der Bereich jetzt leisten soll:
 - Git-/Repository- und Paketkontext speichern
 - Risiko- und Vulnerability-Objekte automatisch verknuepfen
 
+Fuer lokale Tests und air-gapped Prueflaeufe kann der NVD-Import statt eines HTTP-Endpunkts auch eine lokale NVD-JSON-Datei lesen, wenn `NVD_API_BASE_URL` als `file:///pfad/zur/nvd-response.json` gesetzt wird.
+
 Fachlicher Nutzen:
 
 - bessere Priorisierung als nur CVSS
@@ -644,6 +646,23 @@ nix run .#iscy-backend -- init-demo
 DATABASE_URL=sqlite:///db.sqlite3 RUST_BACKEND_BIND=127.0.0.1:9000 nix run .#iscy-backend
 ```
 
+Maschinenlesbarer Betriebsstatus fuer lokale Pruefung, Monitoring und Agenten:
+
+```bash
+curl -fsS http://127.0.0.1:9000/health/live
+curl -fsS http://127.0.0.1:9000/status/operations.json
+curl -fsS http://127.0.0.1:9000/metrics
+```
+
+Mit Tenant-Kontext enthaelt der Betriebsstatus zusaetzlich fachliche Signale zu ISCY-27, Product Security, offenen CVE-Reviews, fehlender Evidence, Migrationen, Runtime-Flags und verbundenen Rust-Modulen:
+
+```bash
+curl -fsS -H 'x-iscy-tenant-id: 1' -H 'x-iscy-user-id: 1' \
+  'http://127.0.0.1:9000/api/v1/status/operations?tenant_id=1&user_id=1'
+curl -fsS -H 'x-iscy-tenant-id: 1' -H 'x-iscy-user-id: 1' \
+  'http://127.0.0.1:9000/api/v1/status/metrics?tenant_id=1&user_id=1'
+```
+
 Wichtige lokale Pruefbefehle:
 
 ```bash

docs/ISCY_Handbuch.pdf

@@ -15,6 +15,8 @@ ISCY startet produktiv und lokal ueber den Rust-Axum-Service in `rust/iscy-backe
 - Compose-App-Service: Rust-Backend auf Port `9000`
 - Stage/Production-Reverse-Proxy: Nginx -> `app:9000`
 - Healthchecks: `/health/live`, `/health/ready`
+- Operations-Drilldown: `/status/operations.json` und `/api/v1/status/operations`
+- Prometheus-kompatible Metriken: `/metrics` und `/api/v1/status/metrics`
 
 ## Abgedeckte Rust-Web-/API-Bereiche
 

docs/RUST_CUTOVER_STATUS.md

@@ -1,6 +1,6 @@
 # Zero-Trust Agent
 
-Version: ISCY Rust Backend `0.3.0`
+Version: ISCY Rust Backend `0.3.1`
 
 ## Zielbild
 
@@ -147,7 +147,7 @@ Die Plattform kann zusaetzlich diese Zero-Trust-Pruefpunkte ueber dieselben Find
 - Softwareinventar fuer CVE-Korrelation
 - Removable-Media-Policy
 
-Wichtig: In `0.3.0` liest der Agent lokale OS-/MDM-/EDR-Signale nur read-only und konservativ. Wenn ein Signal nicht sicher bestaetigt werden kann, wird das als offene Evidenzluecke gemeldet statt als erfundener Compliance-Nachweis.
+Wichtig: In `0.3.1` liest der Agent lokale OS-/MDM-/EDR-Signale nur read-only und konservativ. Wenn ein Signal nicht sicher bestaetigt werden kann, wird das als offene Evidenzluecke gemeldet statt als erfundener Compliance-Nachweis.
 
 ## Deployment-Zielpfade
 

docs/ZERO_TRUST_AGENT.md

@@ -1,6 +1,6 @@
 [package]
 name = "iscy-backend"
-version = "0.3.0"
+version = "0.3.1"
 edition = "2021"
 
 [dependencies]