Framework d'Ingénierie de Détection Adversariale (ADE)

Prenez de l'avance sur les Faux Négatifs en comprenant comment la logique de détection échoue avant que les acteurs malveillants ne l'exploitent.

Consultez le site web : https://adeframework.org/

Qu'est-ce que l'ADE ?

L'Ingénierie de Détection Adversariale (ADE) est la discipline consistant à raisonner sur les Faux Négatifs dans les règles de détection. Le Framework ADE fournit une formalisation open-source moderne des Bugs de Logique de Détection - les inadéquations entre ce qu'une règle de détection a l'intention de détecter et ce qu'elle détecte réellement.

L'Avantage de l'ADE

Au lieu d'attendre des Faux Négatifs réels, les ingénieurs en détection peuvent proactivement se demander :

« Quelles variations feraient que la logique de détection de cette règle manquerait ce qu'elle était censée attraper ? »

Ce raisonnement adversarial reflète la façon dont les acteurs malveillants peuvent abuser des faiblesses dans la logique de détection.

Caractéristiques Principales

• ✅ Identifier les bugs de logique de détection reproductibles et les mapper aux catégories formelles ADE
• ✅ Intégrer le modèle mental d'un attaquant dans la conception et la revue de la logique de détection
• ✅ Exposer les faiblesses structurelles dans les règles utilisées pour les chasses ou les outils MDR en production (SIEM, XDR, EDR)
• ✅ Équiper les équipes de sécurité avec des renseignements exploitables sur les bugs de logique de détection
• ✅ Prendre de l'avance sur les Faux Négatifs avant que les acteurs malveillants ne les découvrent et les exploitent

Objectif de l'ADE

Le but de l'ADE n'est pas d'imposer la perfection dans la conception, bien que ce soit un objectif idéal - mais de sensibiliser et de suivre les limitations, même si elles sont intentionnelles :

• L'ADE ne consiste pas à exiger des règles de détection parfaites ; il s'agit de rendre visible le risque de faux négatifs.
• De nombreuses règles contiennent intentionnellement des limitations dues à la portée, la qualité du signal ou les contraintes opérationnelles, et celles-ci peuvent toujours être mappées aux types de bugs ADE sans être « fausses ».
• L'ADE fournit un moyen partagé de documenter, accepter, atténuer ou compenser ces risques à travers un ensemble de règles, plutôt que de juger les règles individuelles de manière isolée.

Lien entre l'ADE et les Expositions de Logique de Détection (DLE)

• L'ADE fournit une taxonomie canonique et des classes de bugs pour les bugs de logique de détection.
• DLE fournit une liste reconnue de contournements divulgués publiquement avec les mappings ADE.

Démarrage Rapide

Nouveau dans l'ADE ? Commencez ici :

1. Introduction - Comprendre ce qu'est l'ADE et pourquoi c'est important
2. Concepts Fondamentaux - Apprendre la terminologie fondamentale
3. Guide de Démarrage Rapide - Appliquer l'ADE à votre première règle de détection
4. Test de Probabilité de Bug - Liste de vérification rapide pour évaluer les règles à la recherche de bugs

Prêt à approfondir ?

• Théorie des Bugs de Logique de Détection - Fondements formels
• Aperçu de la Taxonomie - Toutes les catégories de bugs
• Exemples - Exemples du monde réel

Taxonomie des Bugs de Logique de Détection ADE

Le framework identifie 4 catégories majeures et 16 sous-catégories de bugs de logique de détection :

🌳 ADE1 – Reformatting in Actions
    ├─ ADE1-01 Substring Manipulation
    └─ ADE1-02 Normalization Asymmetry

🌳 ADE2 – Omit Alternatives
    ├─ ADE2-01 Method/Binary
    ├─ ADE2-02 Versioning
    ├─ ADE2-03 Locations
    └─ ADE2-04 File Types

🌳 ADE3 – Context Development
    ├─ ADE3-01 Process Cloning
    ├─ ADE3-02 Aggregation Hijacking
    ├─ ADE3-03 Timing and Scheduling
    ├─ ADE3-04 Event Fragmentation
    ├─ ADE3-05 Lineage Spoofing
    └─ ADE3-06 Limit Saturation

🌳 ADE4 – Logic Manipulation
    ├─ ADE4-01 Gate Inversion
    ├─ ADE4-02 Conjunction Inversion
    ├─ ADE4-03 Incorrect Expression
    └─ ADE4-04 Field Mismapping & Semantics

→ Explorer la Taxonomie Complète

Ce que le Framework Fournit

1. Théorie des Bugs de Logique de Détection

Définitions formelles et fondement théorique :

• Ce qui constitue un bug de logique de détection
• Comment les bugs créent des Faux Négatifs
• Relation entre la portée et la logique de détection
• Concept de Contournements de Règles

2. Taxonomie Formelle des Bugs

Classification complète avec une terminologie claire :

• 4 catégories majeures
• 16 sous-catégories détaillées
• Système d'étiquetage cohérent (ADE1-01, ADE2-01, etc.)
• Mapping vers des règles de détection du monde réel

3. Exemples du Monde Réel

Exemples concrets issus de règles en production :

• Règles de détection Sigma
• Analyses Microsoft Sentinel
• Règles SIEM & EDR Elastic Security

Catégories d'Exemples :

• Exemples ADE1 - Contournements par manipulation de chaînes
• Exemples ADE2 - Alternatives omises
• Exemples ADE3 - Développement de contexte
• Exemples ADE4 - Manipulation de logique

4. Outils Pratiques