إطار عمل هندسة الكشف الخصومي (ADE)

تقدّم على النتائج السلبية الكاذبة من خلال فهم كيفية فشل منطق الكشف قبل أن يستغله الجهات الفاعلة الخصومية.

تفقّد الموقع الإلكتروني: https://adeframework.org/

ما هو ADE؟

هندسة الكشف الخصومي (ADE) هي disciplina الاستدلال حول النتائج السلبية الكاذبة في قواعد الكشف. يوفّر إطار عمل ADE صياغة رسمية حديثة مفتوحة المصدر لـ أخطاء منطق الكشف - وهي حالات عدم التطابق بين ما تنوي قاعدة الكشف كشفه وما تكشفه فعلياً.

ميزة ADE

بدلاً من انتظار النتائج السلبية الكاذبة في العالم الحقيقي، يمكن لمهندسي الكشف أن يسألوا بشكل استباقي:

"ما التباينات التي قد تجعل منطق كشف هذه القاعدة يفوت ما كان المقصود التقاطه؟"

هذا الخط الاستدلالي الخصومي يحاكي كيفية استغلال الجهات الفاعلة الخصومية لنقاط الضعف في منطق الكشف.

الميزات الرئيسية

• ✅ تحديد أخطاء منطق الكشف القابلة لإعادة الإنتاج وربطها بفئات ADE الرسمية
• ✅ تضمين النموذج الذهني للمهاجم في كيفية تصميم منطق الكشف ومراجعته
• ✅ كشف نقاط الضعف البنيوية في القواعد المستخدمة للبحث أو أدوات MDR الإنتاجية (SIEM، XDR، EDR)
• ✅ تزويد فرق الأمن بمعلومات قابلة للتنفيذ حول أخطاء منطق الكشف
• ✅ التقدّم على النتائج السلبية الكاذبة قبل أن تكتشفها الجهات الفاعلة الخصومية وتستغلها

غرض ADE

غرض ADE ليس فرض الكمال في التصميم، رغم أن ذلك هدف مثالي - بل رفع الوعي وتتبّع القيود، حتى لو كانت مقصودة:

• لا يتعلق ADE بالمطالبة بقواعد كشف مثالية؛ بل بجعل خطر النتائج السلبية الكاذبة مرئياً.
• تحتوي العديد من القواعد عن قصد على قيود بسبب النطاق أو جودة الإشارة أو القيود التشغيلية، وقد تُربط هذه ب أنواع أخطاء ADE دون أن تكون "خاطئة".
• يوفّر ADE طريقة مشتركة لتوثيق هذه المخاطر أو قبولها أو تخفيفها أو التعويض عنها عبر مجموعة قواعد، بدلاً من الحكم على القواعد الفردية بمعزل عن غيرها.

صلة ADE بـ Detection Logic Exposures (DLE)

• يوفّر ADE تصنيفاً معيارياً وفئات أخطاء لأخطاء منطق الكشف.
• يوفّر DLE قائمة معترفاً بها من التجاوزات المعلنة علناً مع تعيينات ADE.

البدء السريع

جديد على ADE؟ ابدأ هنا:

1. المقدمة - افهم ما هو ADE ولماذا يهم
2. المفاهيم الأساسية - تعلّم المصطلحات التأسيسية
3. دليل البدء السريع - طبّق ADE على قاعدة الكشف الأولى لديك
4. اختبار احتمالية الأخطاء - قائمة تحقق سريعة لتقييم القواعد بحثاً عن الأخطاء

مستعد للتعمق؟

• نظرية أخطاء منطق الكشف - الأسس الرسمية
• نظرة عامة على التصنيف - جميع فئات الأخطاء
• أمثلة - أمثلة من العالم الحقيقي

تصنيف أخطاء منطق الكشف في ADE

يحدّد الإطار 4 فئات رئيسية و16 فئة فرعية من أخطاء منطق الكشف:

🌳 ADE1 – Reformatting in Actions
    ├─ ADE1-01 Substring Manipulation
    └─ ADE1-02 Normalization Asymmetry

🌳 ADE2 – Omit Alternatives
    ├─ ADE2-01 Method/Binary
    ├─ ADE2-02 Versioning
    ├─ ADE2-03 Locations
    └─ ADE2-04 File Types

🌳 ADE3 – Context Development
    ├─ ADE3-01 Process Cloning
    ├─ ADE3-02 Aggregation Hijacking
    ├─ ADE3-03 Timing and Scheduling
    ├─ ADE3-04 Event Fragmentation
    ├─ ADE3-05 Lineage Spoofing
    └─ ADE3-06 Limit Saturation

🌳 ADE4 – Logic Manipulation
    ├─ ADE4-01 Gate Inversion
    ├─ ADE4-02 Conjunction Inversion
    ├─ ADE4-03 Incorrect Expression
    └─ ADE4-04 Field Mismapping & Semantics

→ استكشف التصنيف الكامل

ما الذي يوفّره الإطار

1. نظرية أخطاء منطق الكشف

تعريفات رسمية وأساس نظري:

• ما الذي يشكّل خطأ منطق الكشف
• كيف تخلق الأخطاء نتائج سلبية كاذبة
• العلاقة بين النطاق ومنطق الكشف
• مفهوم تجاوزات القواعد

2. تصنيف رسمي للأخطاء

تصنيف شامل بمصطلحات واضحة:

• 4 فئات رئيسية
• 16 فئة فرعية مفصّلة
• نظام تسمية متسق (ADE1-01، ADE2-01، إلخ)
• الربط بقواعد الكشف في العالم الحقيقي

3. أمثلة من العالم الحقيقي

أمثلة ملموسة من مجموعات قواعد إنتاجية:

• قواعد كشف Sigma
• تحليلات Microsoft Sentinel
• قواعد SIEM و EDR من Elastic Security

فئات الأمثلة:

• أمثلة ADE1 - تجاوزات التلاعب بالنصوص
• أمثلة ADE2 - البدائل المحذوفة
• أمثلة ADE3 - تطوير السياق
• أمثلة ADE4 - التلاعب بالمنطق

4. أدوات عملية

• اختبار احتمالية الأخطاء - قائمة تحقق سريعة للتحليل المسبق
• دليل البدء السريع - عملية تطبيق خطوة بخطوة

كيف يكمّل ADE الأطر الحالية

يتكامل ADE مع ممارسات هندسة الكشف الحالية ويعززها:

الإطار	التركيز	تكامل ADE
MITRE ATT&CK	تقنيات وتكتيكات الهجوم	يشرح ADE لماذا يفشل الكشف لتقنيات ATT&CK
MITRE CAR	مستودع تحليلات الكشف	يوفّر ADE تصنيف أخطاء لتحليلات CAR
Detection Engineering Lifecycle	مراحل سير عمل الهندسة	ADE هو إطار الاستدلال لـ مرحلة التحسين
Sigma/YARA/KQL	صياغة القواعد وتنسيقها	يحلّل ADE أخطاء المنطق الدلالي عبر جميع لغات الاستعلام

القيمة الفريدة لـ ADE: تصنيف رسمي على مستوى المنطق لأسباب النتائج السلبية الكاذبة

المشرفون

• Nikolas Bielski - مؤلف الإطار والمشرف الرئيسي
• Daniel Koifman - مشرف مشارك

المساهمة

نرحّب بالمساهمات! تشمل مجالات التطوير النشط:

أولوية عالية