Detection Defense Library

Eine konsolidierte Defense-Engineering-Bibliothek. Angriffsklassen, die Muster, die sie erkennen, die eingecheckten Sigma-Regeln und das Windows-Vertrauensgrenzen- Modell, alles in einem einzigen Repo.

Dieses Repo führt fünf ehemalige Schwester-Repositories zusammen:

Ehemaliges Repo	Eingefügt in	Was es enthält
detection-engineering-patterns	patterns/ + METHODOLOGY.md	Ausgearbeitete Muster: von der Angriffsklasse zum Observable, zur Datenquelle und zur Sigma-Regel
all-the-sigma-you-need	sigma/	3.141 Sigma-Regeln, indexiert nach MITRE ATT&CK-Technik + Taktik
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	Komponentenindexiertes Windows-Vertrauensgrenzen-Modell
windows-driver-surface	drivers/	Datierte Angriffsfläche für Treiber: 661 BYOVD-/verwundbare Treiber-Datensätze, HVCI + Blocklist, Detection-Map
splunk-cheatsheet	splunk/	Praktische Splunk-Referenz: SPL, Detection/Alerting, ES, Untersuchungsmuster

Das Problem, das dies löst

Wissen im Detection Engineering ist auf Muster, Sigma-Regeln, Vertrauensgrenzen-Modelle und Tooling ohne gemeinsamen roten Faden verteilt. Dieses Repo vereint sie: Für jede Angriffsklasse erhältst du das Modell, wie der Angriff funktioniert, das Observable, das du beobachten musst, die eingecheckten Sigma-Regeln, die ihn erkennen, und den Harden/Isolate/Evict- Pfad. Es ist das Gegenteil von HackTricks: eine Verteidigungs-Enzyklopädie statt eines Offense-Dumps.

Schnellstart (es ist eine Referenz; nichts zu installieren)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

Jede classes/cN-*.md-Seite ist durchgängig: modellieren, härten, erkennen, jagen, isolieren, täuschen, vertreiben, wiederherstellen, plus die Sigma-Regel-IDs, die zuerst aktiviert werden sollten. Beginne bei INDEX.md, um die vollständige Klassenübersicht zu sehen, dann bei classes/_TEMPLATE.md für den Vertrag, dem jede Seite folgt.

Aufbau

• classes/ – nach Angriffsklasse durchsuchen (die fusionierte Ansicht). Eine Datei pro Klasse ist die durchgängige Verteidigungsseite (Modell bis Wiederherstellung). Inventarzahlen stehen in INDEX.md.
• patterns/ – Methodikmuster (p01-p11, p14-p34).
• CONTROL-MAP.md – ATT&CK-Mitigations / D3FEND / CIS / NIST-Overlay.
• METHODOLOGY.md – der Workflow zur Entwicklung von Erkennungen.
• boundaries/ – Windows-Vertrauensgrenzen-Dokumente (b01 Dienste..b10 Token-Integrität).
• TRUST-MODEL.md – das Synthesemodell der Vertrauensgrenzen.
• drivers/ – die Angriffsfläche von Treibern: 661 datierte Treiberdatensätze, BYOVD-CVE-Katalog, HVCI + Blockliste für anfällige Treiber und die Erkennungskarte.
• splunk/ – die Splunk-Referenz: SPL-Grundlagen, Erkennung und Alarmierung, Enterprise Security und Untersuchungsmuster.
• sigma/ – der vollständige Sigma-Korpus, indexiert nach MITRE ATT&CK-Technik und -Taktik (INDEX.md, TACTICS.md, DETECTION-GAPS.md).
• LIBRARY-GAPS.md – Lücken in der Bibliotheksstruktur im Vergleich zu einer vollständigen Verteidigungsenzyklopädie (der Gegenentwurf zu HackTricks). Lücken bei der Regelanzahl bleiben in sigma/DETECTION-GAPS.md.
• CONTINENTS.md – Plattform → Primitiv → Seite (das Rückgrat von HackTricks).
• TECHNIQUE-INDEX.md – ATT&CK-Technik → fusionierte Klasse.
• classes/_TEMPLATE.md – Done-Definition für eine fusionierte Klassenseite (modellieren, härten, erkennen, jagen, isolieren, täuschen, vertreiben, wiederherstellen).
• Kontinente (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) – Vertrauensmodelle + Klassenindizes.

Nach Angriffsklasse durchsuchen

Klasse	Angriff	Muster	Sigma-Technikverzeichnisse	Regeln
c01	UAC-Bypass	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	BYOVD-Treiberladen	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	LSASS / Token-Diebstahl	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	Dienstmissbrauch	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	Registry-Persistenz	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	Signierter-Binärdatei-Proxy (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	Beeinträchtigung der Verteidigung	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	DLL-Suchreihenfolge-Hijacking	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	WMI-Ausführung / -Persistenz	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	Geplante Aufgaben	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	Token-Impersonation	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Druckwarteschlange	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	verstreut
c20	Laterale Bewegung	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	Phishing / Benutzerausführung	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	Gültige Konten	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Linux-Rechteausweitung	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	Container-Escape	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	Cloud-Kontrollfläche	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 k8s-Dateien
c27	Web / Webshell	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / Tunnel / Exfil	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / Lieferkette	patterns/p29-cicd-supply-chain.md	t1195*	dünn
c30	macOS-Vertrauen	(in Klasse integriert)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	Mobil / MDM	patterns/p31-mobile-mdm.md	Mobile-Matrix	kein Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	ICS-Matrix	kein Sigma
c33	Physisch / Firmware / Drahtlos	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	KI-Agenten / MCP	patterns/p34-ai-agent-mcp.md	aufkommend	kein Sigma

AD-Klassen c14-c19 befinden sich unter ad/classes/ (Kerberos, DCSync, AD CS, Delegierung, ACL-Persistenz, Zwang). Vollständige Tabelle mit Statusaufteilung: INDEX.md.

Verwendung