Biblioteca de Defensa contra Detección

Una biblioteca de ingeniería de defensa, consolidada. Clases de ataque, los patrones que las detectan, las reglas Sigma comprometidas y el modelo de límite de confianza de Windows, todo en un solo repositorio.

Este repositorio integra cuatro repositorios hermanos anteriores:

Estructura

• classes/ — navega por clase de ataque (la vista fusionada). Un archivo por clase es la página de defensa de extremo a extremo (modelo hasta restauración). Los recuentos de inventario viven en INDEX.md.
• patterns/ — patrones de metodología (p01–p11, p14–p34).
• CONTROL-MAP.md — superposición de mitigaciones ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md — el flujo de trabajo de desarrollo de detecciones.
• boundaries/ — documentación de límites de confianza de Windows (b01 servicios..b10 integridad de tokens).
• TRUST-MODEL.md — el modelo de síntesis de límites de confianza.
• drivers/ — la superficie de ataque de controladores: 661 registros de controladores fechados, catálogo de CVEs BYOVD, HVCI + lista de bloqueo de controladores vulnerables, y el mapa de detección.

Navegar por clase de ataque

Las clases de AD c14–c19 viven en ad/classes/ (Kerberos, DCSync, AD CS, delegación, persistencia mediante ACL, coerción). Tabla completa con desglose de estado: INDEX.md.

Cómo usar

1. Elige un continente de CONTINENTS.md, una técnica de TECHNIQUE-INDEX.md o una clase de ataque de INDEX.md.
2. Abre classes/cN-*.md (o ad/classes/) para la página fusionada: acciones de endurecimiento nombradas, prerrequisito de fuente de datos, IDs de Sigma para habilitar primero, caza, aislamiento, desalojo, restauración y una prueba de laboratorio nombrada. classes/_TEMPLATE.md es el contrato que toda clase debe cumplir.
3. Salta a patterns/ para el esqueleto de observable / fuente de datos o a sigma/ para el conjunto completo de reglas.
4. Para la vista a nivel de sistema, lee el TRUST-MODEL.md del continente y (en Windows) boundaries/.
5. Para profundizar en controladores/BYOVD, usa drivers/: el catálogo de controladores fechados, los CVEs BYOVD nombrados, HVCI + lista de bloqueo de controladores vulnerables y el mapa de detección.
6. Para profundizar en SIEM/lógica de detección, usa : fundamentos de SPL, alertas, Enterprise Security y patrones de investigación (un objetivo de despliegue habitual para las reglas Sigma en ).

Alcance

Referencia de ingeniería de defensa para sistemas que el lector posee o está autorizado a probar. De doble uso: combina la ofensiva (bibliotecas ofensivas hermanas) con la detección (esta). No se alojan payloads aquí más allá de las reglas de detección Sigma y la metodología de referencia.

Carta fundacional: una enciclopedia de defensa — lo inverso de HackTricks. Cada continente declarado tiene un modelo de confianza y clases fusionadas que cumplen classes/_TEMPLATE.md. Móvil/ICS/IA están dentro del alcance con notas honestas de "sin corpus Sigma". Blockchain, esteganografía y tutoriales de desarrollo de exploits quedan fuera del alcance. Consulta LIBRARY-GAPS.md para el mapa original de brechas.

Procedencia y mantenimiento

PROVENANCE.md registra cada fuente y cómo se generó el corpus Sigma. sigma/gen_bridge.py regenera el árbol indexado por técnicas a partir de un clon fresco de SigmaHQ. gen_bridge.py en la raíz regenera los recuentos por clase.