Framework de Ingeniería de Detección Adversaria (ADE)

Anticípate a los Falsos Negativos comprendiendo cómo falla la lógica de detección antes de que los actores de amenazas la exploten.

Visita el sitio web: https://adeframework.org/

¿Qué es ADE?

La Ingeniería de Detección Adversaria (ADE) es la disciplina de razonar sobre los Falsos Negativos en las reglas de detección. El Framework ADE proporciona una formalización moderna de código abierto de los Bugs de Lógica de Detección - discrepancias entre lo que una regla de detección pretende detectar y lo que realmente detecta.

La Ventaja de ADE

En lugar de esperar a que ocurran Falsos Negativos en el mundo real, los ingenieros de detección pueden preguntarse proactivamente:

"¿Qué variaciones harían que la lógica de detección de esta regla pase por alto lo que pretendía capturar?"

Esta línea de razonamiento adversaria refleja cómo los actores de amenazas pueden abusar de las debilidades en la lógica de detección.

Características Clave

• ✅ Identificar bugs de lógica de detección reproducibles y mapearlos a categorías formales de ADE
• ✅ Incorporar el modelo mental de un atacante en cómo se diseña y revisa la lógica de detección
• ✅ Exponer debilidades estructurales en reglas utilizadas para cacerías o herramientas de MDR en producción (SIEM, XDR, EDR)
• ✅ Equipar a los equipos de seguridad con inteligencia accionable sobre bugs de lógica de detección
• ✅ Anticiparse a los Falsos Negativos antes de que los actores de amenazas los descubran y exploten

Propósito de ADE

El propósito de ADE no es forzar la perfección en el diseño, aunque ese sea un objetivo ideal, sino aumentar la concienciación y rastrear las limitaciones, incluso si son intencionales:

• ADE no se trata de exigir reglas de detección perfectas; se trata de hacer visible el riesgo de falsos negativos.
• Muchas reglas contienen limitaciones intencionales debido al alcance, la calidad de la señal o las restricciones operativas, y estas aún pueden mapearse a tipos de bugs de ADE sin ser "incorrectas".
• ADE proporciona una forma compartida de documentar, aceptar, mitigar o compensar esos riesgos en un conjunto de reglas, en lugar de juzgar reglas individuales de forma aislada.

Vínculo de ADE con las Exposiciones de Lógica de Detección (DLE)

• ADE proporciona una taxonomía canónica y clases de bugs para bugs de lógica de detección.
• DLE proporciona una lista reconocida de bypasses divulgados públicamente con mapeos de ADE.

Inicio Rápido

¿Eres nuevo en ADE? Empieza aquí:

1. Introducción - Comprende qué es ADE y por qué es importante
2. Conceptos Fundamentales - Aprende la terminología fundacional
3. Guía de Inicio Rápido - Aplica ADE a tu primera regla de detección
4. Test de Probabilidad de Bugs - Lista de verificación rápida para evaluar reglas en busca de bugs

¿Listo para profundizar?

• Teoría de Bugs de Lógica de Detección - Fundamentos formales
• Visión General de la Taxonomía - Todas las categorías de bugs
• Ejemplos - Ejemplos del mundo real

Taxonomía de Bugs de Lógica de Detección de ADE

El framework identifica 4 categorías principales y 16 subcategorías de bugs de lógica de detección:

🌳 ADE1 – Reformatting in Actions
    ├─ ADE1-01 Substring Manipulation
    └─ ADE1-02 Normalization Asymmetry

🌳 ADE2 – Omit Alternatives
    ├─ ADE2-01 Method/Binary
    ├─ ADE2-02 Versioning
    ├─ ADE2-03 Locations
    └─ ADE2-04 File Types

🌳 ADE3 – Context Development
    ├─ ADE3-01 Process Cloning
    ├─ ADE3-02 Aggregation Hijacking
    ├─ ADE3-03 Timing and Scheduling
    ├─ ADE3-04 Event Fragmentation
    ├─ ADE3-05 Lineage Spoofing
    └─ ADE3-06 Limit Saturation

🌳 ADE4 – Logic Manipulation
    ├─ ADE4-01 Gate Inversion
    ├─ ADE4-02 Conjunction Inversion
    ├─ ADE4-03 Incorrect Expression
    └─ ADE4-04 Field Mismapping & Semantics

→ Explora la Taxonomía Completa

Qué Proporciona el Framework

1. Teoría de los Bugs de Lógica de Detección

Definiciones formales y fundamento teórico:

• Qué constituye un bug de lógica de detección
• Cómo los bugs crean Falsos Negativos
• Relación entre el alcance y la lógica de detección
• Concepto de Bypasses de Reglas

2. Taxonomía Formal de Bugs

Clasificación exhaustiva con terminología clara:

• 4 categorías principales
• 16 subcategorías detalladas
• Sistema de etiquetado consistente (ADE1-01, ADE2-01, etc.)
• Mapeo a reglas de detección del mundo real

3. Ejemplos del Mundo Real

Ejemplos concretos de conjuntos de reglas en producción:

• Reglas de detección de Sigma
• Analíticas de Microsoft Sentinel
• Reglas de SIEM y EDR de Elastic Security

Categorías de Ejemplos:

• Ejemplos de ADE1 - Bypasses de manipulación de cadenas
• Ejemplos de ADE2 - Alternativas omitidas
• Ejemplos de ADE3 - Desarrollo de contexto
• Ejemplos de ADE4 - Manipulación de lógica

4. Herramientas Prácticas