Add incident timeline audit events

Author: ewilhelm1979-netizen

README.md

@@ -95,7 +95,7 @@ Das Backend stellt serverseitige Weboberflaechen und APIs fuer die migrierten Pr
 - `/cves/`
 - `/admin/users/`
 
-Incidents werden als Rust-Fallakten unter `/incidents/` gefuehrt. Detailseiten unter `/incidents/{id}` erlauben die Bearbeitung von Typ, Runbook, Status, Severity, Meldezeitpunkten und Behoerdenreferenz; verknuepfte Evidence wird direkt in der Fallakte angezeigt und kann dort hochgeladen werden. Das NIS2-Meldepaket kann als Markdown, HTML oder PDF ueber `/incidents/{id}/nis2-export`, `/incidents/{id}/nis2-export.html`, `/incidents/{id}/nis2-export.pdf` sowie die entsprechenden `/api/v1/incidents/{id}/...` Endpunkte exportiert werden.
+Incidents werden als Rust-Fallakten unter `/incidents/` gefuehrt. Detailseiten unter `/incidents/{id}` erlauben die Bearbeitung von Typ, Runbook, Status, Severity, Meldezeitpunkten und Behoerdenreferenz; Statuswechsel, Anlage und incidentbezogene Evidence-Uploads werden als Timeline-/Audit-Events in der Fallakte dokumentiert. Verknuepfte Evidence wird direkt in der Fallakte angezeigt und kann dort hochgeladen werden. Das NIS2-Meldepaket kann als Markdown, HTML oder PDF ueber `/incidents/{id}/nis2-export`, `/incidents/{id}/nis2-export.html`, `/incidents/{id}/nis2-export.pdf` sowie die entsprechenden `/api/v1/incidents/{id}/...` Endpunkte exportiert werden.
 
 ## Zero-Trust Agent
 

docs/ISCY_Handbuch.md

@@ -561,7 +561,7 @@ Wenn ein Incident als NIS2-meldepflichtig markiert wird, berechnet ISCY die rele
 
 Die Uebersicht zeigt offene Faelle, NIS2-relevante Faelle und ueberfaellige Meldeschritte. Gesendete Meldungen koennen ueber die API als Zeitstempel gepflegt werden.
 
-Die Detailseite `/incidents/{id}` dient als operative Fallakte. Dort koennen berechtigte Rollen Typ, Runbook, Status, Severity, Behoerdenreferenz, Zeitlinie und Meldezeitpunkte pflegen. Evidence-Uploads koennen ueber `incident_id` direkt an einen Incident gekoppelt werden und erscheinen in der Fallakte; fuer berechtigte Rollen steht der Upload direkt auf der Incident-Detailseite bereit. Das Meldepaket unter `/incidents/{id}/nis2-export` buendelt Fallakte, Runbook, verknuepfte Evidence, betroffene Bezuege, 24h-/72h-/30-Tage-Fristen, Stakeholder-Zusammenfassung und Lessons Learned; zusaetzlich stehen HTML und PDF ueber `/incidents/{id}/nis2-export.html` und `/incidents/{id}/nis2-export.pdf` bereit.
+Die Detailseite `/incidents/{id}` dient als operative Fallakte. Dort koennen berechtigte Rollen Typ, Runbook, Status, Severity, Behoerdenreferenz, Zeitlinie und Meldezeitpunkte pflegen. ISCY dokumentiert die Anlage der Fallakte, Statuswechsel und incidentbezogene Evidence-Uploads als Timeline-/Audit-Events mit Actor, Zeitpunkt, Ereignisart und Detailtext. Evidence-Uploads koennen ueber `incident_id` direkt an einen Incident gekoppelt werden und erscheinen in der Fallakte; fuer berechtigte Rollen steht der Upload direkt auf der Incident-Detailseite bereit. Das Meldepaket unter `/incidents/{id}/nis2-export` buendelt Fallakte, Runbook, verknuepfte Evidence, betroffene Bezuege, 24h-/72h-/30-Tage-Fristen, Stakeholder-Zusammenfassung und Lessons Learned; zusaetzlich stehen HTML und PDF ueber `/incidents/{id}/nis2-export.html` und `/incidents/{id}/nis2-export.pdf` bereit.
 
 ### 6.6 SOC-Playbook fuer Phishing- und aehnliche Incident-Faelle
 

docs/RUST_CUTOVER_STATUS.md

@@ -24,8 +24,8 @@ ISCY startet produktiv und lokal ueber den Rust-Axum-Service in `rust/iscy-backe
 - Assessments
 - Organizations
 - Risks
-- Incidents inklusive NIS2-Meldefristen, Fallakten, Detailbearbeitung, Runbooks und Markdown-/HTML-/PDF-Meldepaket
-- Evidence inklusive Upload, Incident-Verknuepfung und direktem Fallakten-Upload
+- Incidents inklusive NIS2-Meldefristen, Fallakten, Detailbearbeitung, Runbooks, Timeline-/Audit-Events und Markdown-/HTML-/PDF-Meldepaket
+- Evidence inklusive Upload, Incident-Verknuepfung, direktem Fallakten-Upload und automatischem Timeline-Ereignis
 - Reports
 - Roadmap
 - Assets

rust/iscy-backend/src/db_admin.rs

@@ -82,6 +82,11 @@ const MIGRATIONS: &[Migration] = &[
         sqlite_sql: SQLITE_INCIDENT_RUNBOOK_EVIDENCE_EXPORT_SCHEMA,
         postgres_sql: POSTGRES_INCIDENT_RUNBOOK_EVIDENCE_EXPORT_SCHEMA,
     },
+    Migration {
+        version: "0011_rust_incident_timeline",
+        sqlite_sql: SQLITE_INCIDENT_TIMELINE_SCHEMA,
+        postgres_sql: POSTGRES_INCIDENT_TIMELINE_SCHEMA,
+    },
 ];
 
 const SQLITE_CATALOG_REQUIREMENTS_SEED: &str =
@@ -432,6 +437,42 @@ SET runbook_template = '1. Scope erfassen; 2. Eindaemmung durchfuehren; 3. Kommu
 WHERE runbook_template = '';
 "#;
 
+const SQLITE_INCIDENT_TIMELINE_SCHEMA: &str = r#"
+CREATE TABLE IF NOT EXISTS incidents_incidentevent (
+    id INTEGER PRIMARY KEY AUTOINCREMENT,
+    tenant_id INTEGER NOT NULL,
+    incident_id INTEGER NOT NULL,
+    actor_id INTEGER NULL,
+    event_type varchar(32) NOT NULL,
+    summary varchar(255) NOT NULL,
+    detail TEXT NOT NULL DEFAULT '',
+    from_status varchar(32) NULL,
+    to_status varchar(32) NULL,
+    evidence_item_id INTEGER NULL,
+    created_at TEXT NOT NULL DEFAULT CURRENT_TIMESTAMP
+);
+CREATE INDEX IF NOT EXISTS idx_incident_events_incident ON incidents_incidentevent(tenant_id, incident_id, created_at);
+CREATE INDEX IF NOT EXISTS idx_incident_events_actor ON incidents_incidentevent(tenant_id, actor_id);
+"#;
+
+const POSTGRES_INCIDENT_TIMELINE_SCHEMA: &str = r#"
+CREATE TABLE IF NOT EXISTS incidents_incidentevent (
+    id BIGSERIAL PRIMARY KEY,
+    tenant_id BIGINT NOT NULL,
+    incident_id BIGINT NOT NULL,
+    actor_id BIGINT NULL,
+    event_type varchar(32) NOT NULL,
+    summary varchar(255) NOT NULL,
+    detail TEXT NOT NULL DEFAULT '',
+    from_status varchar(32) NULL,
+    to_status varchar(32) NULL,
+    evidence_item_id BIGINT NULL,
+    created_at TEXT NOT NULL DEFAULT (CURRENT_TIMESTAMP)::text
+);
+CREATE INDEX IF NOT EXISTS idx_incident_events_incident ON incidents_incidentevent(tenant_id, incident_id, created_at);
+CREATE INDEX IF NOT EXISTS idx_incident_events_actor ON incidents_incidentevent(tenant_id, actor_id);
+"#;
+
 const SQLITE_AUTH_RBAC_SCHEMA: &str = r#"
 CREATE TABLE IF NOT EXISTS accounts_role (
     id INTEGER PRIMARY KEY AUTOINCREMENT,