مكتبة الدفاع والكشف

مكتبة واحدة لهندسة الدفاع، موحّدة. فئات الهجوم، والأنماط التي تكشفها، وقواعد Sigma الملتزمة، ونموذج حدود الثقة في Windows، كل ذلك في مستودع واحد.

يجمع هذا المستودع خمسة مستودعات شقيقة سابقة:

المستودع السابق	تم دمجه في	ما يحتويه
detection-engineering-patterns	patterns/ + METHODOLOGY.md	أنماط مُنجزة: من فئة الهجوم إلى الملاحَظ ومصدر البيانات وقاعدة Sigma
all-the-sigma-you-need	sigma/	3,141 قاعدة Sigma مفهرسة حسب تقنية MITRE ATT&CK + التكتيك
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	نموذج حدود الثقة في Windows مفهرس حسب المكوّن
windows-driver-surface	drivers/	سطح هجوم برامج التشغيل مؤرَّخ: 661 سجل BYOVD/برنامج تشغيل ضعيف، HVCI + قائمة الحظر، خريطة الكشف
splunk-cheatsheet	splunk/	مرجع Splunk عملي: SPL، الكشف/التنبيه، ES، أنماط التحقيق

المشكلة التي يحلها هذا

معرفة هندسة الكشف موزّعة بين الأنماط وقواعد Sigma ونماذج حدود الثقة والأدوات دون عمود فقري واحد. يدمج هذا المستودع بينها: لأي فئة هجوم تحصل على نموذج كيفية عمل الهجوم، والملاحَظ الذي يجب مراقبته، وقواعد Sigma الملتزمة التي تلتقطه، ومسار التحصين/العزل/الإخلاء. إنه عكس HackTricks: موسوعة دفاع بدلاً من كومة هجوم.

البدء السريع (إنه مرجع؛ لا شيء لتثبيته)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

كل صفحة classes/cN-*.md شاملة من البداية إلى النهاية: النمذجة، والتحصين، والكشف، والتحري، والعزل، والخداع، والإجلاء، والاستعادة، إضافةً إلى معرّفات قواعد Sigma التي ينبغي تفعيلها أولًا. ابدأ من INDEX.md لرؤية خريطة الفئات الكاملة، ثم classes/_TEMPLATE.md للاطلاع على العقد الذي تتبعه كل صفحة.

البنية

• classes/ - تصفّح حسب فئة الهجوم (العرض المدمج). ملف واحد لكل فئة هو صفحة الدفاع الشاملة من البداية إلى النهاية (من النمذجة حتى الاستعادة). أعداد الجرد موجودة في INDEX.md.
• patterns/ - أنماط المنهجية (p01-p11، p14-p34).
• CONTROL-MAP.md - تراكب تخفيفات ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md - سير عمل تطوير الكشف.
• boundaries/ - مستندات حدود الثقة في Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md - نموذج تركيب حدود الثقة.
• drivers/ - سطح هجوم برامج التشغيل: 661 سجل برنامج تشغيل مؤرّخ، وكتالوج CVE الخاص بـ BYOVD، وقائمة حظر HVCI + برامج التشغيل الضعيفة، وخريطة الكشف.
• splunk/ - مرجع Splunk: أساسيات SPL، والكشف والتنبيه، وEnterprise Security، وأنماط التحقيق.
• sigma/ - مجموعة Sigma الكاملة، مفهرسة حسب تقنية MITRE ATT&CK وتكتيكها (INDEX.md، TACTICS.md، DETECTION-GAPS.md).
• LIBRARY-GAPS.md - فجوات شكل المكتبة مقابل موسوعة دفاع كاملة (نقيض HackTricks). تبقى فجوات عدد القواعد في sigma/DETECTION-GAPS.md.
• CONTINENTS.md - المنصة → البدائية → الصفحة (العمود الفقري لـ HackTricks).
• TECHNIQUE-INDEX.md - تقنية ATT&CK → الفئة المدمجة.
• classes/_TEMPLATE.md - تعريف الإنجاز لصفحة فئة مدمجة (النمذجة، والتحصين، والكشف، والتحري، والعزل، والخداع، والإجلاء، والاستعادة).
• القارات (ad/، linux/، macos/، identity/، cloud/، email/، web/، network/، c2/، cicd/، mobile/، ics/، physical/، ai/، telemetry/، hunts/) - نماذج الثقة + فهارس الفئات.

تصفّح حسب فئة الهجوم

الفئة	الهجوم	النمط	أدلة تقنيات Sigma	القواعد
c01	تجاوز UAC	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	تحميل برنامج تشغيل BYOVD	patterns/p02-byovd-driver-load.md	sigma/rules/t1068، t1547.008	16
c03	سرقة LSASS / الرموز المميزة	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	إساءة استخدام الخدمات	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	استمرارية السجل	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	وكيل ثنائي موقّع (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	إضعاف الدفاعات	patterns/p08-defense-impairment.md	sigma/rules/t1685*، t1686.003	200
c09	اختطاف ترتيب البحث عن DLL	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	تنفيذ / استمرارية WMI	patterns/p10-wmi-persistence.md	sigma/rules/t1047، t1546.003	58
c11	المهام المجدولة	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	انتحال الرموز المميزة	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Print spooler	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	متفرقة
c20	الحركة الجانبية	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003، t1047	36+15+10+13+47
c21	التصيّد / تنفيذ المستخدم	patterns/p21-phishing.md	t1566.001، t1566، t1566.002، t1204.002	19+11+3+28
c22	حسابات صالحة	patterns/p22-valid-accounts.md	t1078، t1078.004	51+37
c23	تصعيد صلاحيات Linux	patterns/p23-linux-privesc.md	t1548.001، t1548.003، t1053.003، t1543.002	1+1+6+2
c24	الهروب من الحاويات	patterns/p24-container-escape.md	t1611، t1609، t1552.007	2+3+4
c25	مستوى التحكم السحابي	patterns/p25-cloud-control-plane.md	t1078.004، t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611، t1609، t1552.007	20 ملف k8s
c27	الويب / webshell	patterns/p27-web-webshell.md	t1190، t1505.003	46+23
c28	C2 / نفق / تسريب بيانات	patterns/p28-c2-tunnel-exfil.md	t1572، t1090، t1105	23+21+70
c29	CI/CD / سلسلة التوريد	patterns/p29-cicd-supply-chain.md	t1195*	رقيقة
c30	الثقة في macOS	(مدمجة في الفئة)	t1553.001، t1547.015، t1569.001، t1543.001/.004	1+1+1+2+2
c31	الجوال / MDM	patterns/p31-mobile-mdm.md	مصفوفة الجوال	لا Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	مصفوفة ICS	لا Sigma
c33	المادية / البرامج الثابتة / اللاسلكية	patterns/p33-physical-firmware-wireless.md	t1200، t1542.001، t1495	3+2+1
c34	وكلاء الذكاء الاصطناعي / MCP	patterns/p34-ai-agent-mcp.md	ناشئة	لا Sigma

فئات AD c14-c19 موجودة تحت ad/classes/ (Kerberos، DCSync، AD CS، التفويض، استمرارية ACL، الإكراه). الجدول الكامل مع تقسيمات الحالة: INDEX.md.

كيفية الاستخدام

1. اختر قارة من CONTINENTS.md أو تقنية من TECHNIQUE-INDEX.md، أو فئة هجوم من INDEX.md.
2. افتح classes/cN-*.md (أو ad/classes/) للصفحة المدمجة: التصليب المسمّى، متطلب مصدر البيانات، معرّفات Sigma التي يجب تفعيلها أولاً، الصيد، العزل، الإخلاء، الاستعادة، واختبار مختبري مسمّى. classes/_TEMPLATE.md هو العقد الذي يجب أن تجتازه كل فئة.
3. انتقل إلى patterns/ للحصول على الهيكل القابل للملاحظة / مصدر البيانات أو sigma/ لمجموعة القواعد الكاملة.
4. للحصول على العرض على مستوى النظام، اقرأ TRUST-MODEL.md الخاص بالقارة و (على Windows) boundaries/.
5. لعمق برامج التشغيل/BYOVD، استخدم drivers/: كتالوج برامج التشغيل المؤرخ، ثغرات BYOVD المسمّاة، HVCI + قائمة حظر برامج التشغيل الضعيفة، وخريطة الكشف.
6. لعمق SIEM/منطق الكشف، استخدم splunk/: أساسيات SPL، التنبيهات، Enterprise Security، وأنماط التحقيق (هدف نشر شائع لقواعد Sigma في sigma/).

النطاق

مرجع هندسة الدفاع للأنظمة التي يملكها القارئ أو المصرّح له باختبارها. ثنائي الاستخدام: اقرن الهجوم (مكتبات هجومية شقيقة) بالكشف (هذه المكتبة). لا تُستضاف أي حمولات هنا عدا قواعد كشف Sigma والمنهجية المرجعية.