Detection Defense Library

Une bibliothèque d'ingénierie défensive, consolidée. Les classes d'attaque, les motifs qui les détectent, les règles Sigma versionnées et le modèle de frontière de confiance Windows, le tout dans un seul dépôt.

Ce dépôt intègre cinq anciens dépôts frères :

Ancien dépôt	Intégré dans	Ce qu'il contient
detection-engineering-patterns	patterns/ + METHODOLOGY.md	Motifs travaillés : de la classe d'attaque à l'observable, la source de données et la règle Sigma
all-the-sigma-you-need	sigma/	3 141 règles Sigma indexées par technique + tactique MITRE ATT&CK
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	Modèle de frontière de confiance Windows indexé par composant
windows-driver-surface	drivers/	Surface d'attaque des pilotes datée : 661 enregistrements de pilotes BYOVD/vulnérables, HVCI + liste de blocage, cartographie de détection
splunk-cheatsheet	splunk/	Référence pratique Splunk : SPL, détection/alerting, ES, motifs d'investigation

Le problème résolu

Les connaissances en ingénierie de détection sont éparpillées entre motifs, règles Sigma, modèles de frontière de confiance et outillage, sans colonne vertébrale unique. Ce dépôt les fusionne : pour toute classe d'attaque, vous obtenez le modèle du fonctionnement de l'attaque, l'observable à surveiller, les règles Sigma versionnées qui la détectent, et le chemin de durcissement/isolation/éviction. C'est l'inverse de HackTricks : une encyclopédie défensive plutôt qu'un dépotoir offensif.

Démarrage rapide (c'est une référence ; rien à installer)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

Chaque page classes/cN-*.md est de bout en bout : modéliser, durcir, détecter, chasser, isoler, tromper, expulser, restaurer, plus les identifiants de règles Sigma à activer en premier. Commencez par INDEX.md pour voir la carte complète des classes, puis classes/_TEMPLATE.md pour le contrat que suit chaque page.

Arborescence

• classes/ - parcourir par classe d'attaque (la vue fusionnée). Un fichier par classe est la page de défense de bout en bout (de la modélisation à la restauration). Les décomptes d'inventaire se trouvent dans INDEX.md.
• patterns/ - patrons méthodologiques (p01-p11, p14-p34).
• CONTROL-MAP.md - superposition ATT&CK mitigations / D3FEND / CIS / NIST.
• METHODOLOGY.md - le flux de travail de développement de la détection.
• boundaries/ - documentation sur les frontières de confiance Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md - le modèle de synthèse des frontières de confiance.
• drivers/ - la surface d'attaque des pilotes : 661 enregistrements de pilotes datés, catalogue de CVE BYOVD, HVCI + liste de blocage des pilotes vulnérables, et la carte de détection.
• splunk/ - la référence Splunk : fondamentaux SPL, détection et alerting, Enterprise Security, et patrons d'investigation.
• sigma/ - le corpus Sigma complet, indexé par technique et tactique MITRE ATT&CK (INDEX.md, TACTICS.md, DETECTION-GAPS.md).
• LIBRARY-GAPS.md - lacunes de forme de la bibliothèque par rapport à une encyclopédie de défense complète (l'antithèse de HackTricks). Les lacunes de décompte de règles restent dans sigma/DETECTION-GAPS.md.
• CONTINENTS.md - plateforme → primitive → page (la colonne vertébrale de HackTricks).
• TECHNIQUE-INDEX.md - technique ATT&CK → classe fusionnée.
• classes/_TEMPLATE.md - définition de « terminé » pour une page de classe fusionnée (modéliser, durcir, détecter, chasser, isoler, tromper, expulser, restaurer).
• Continents (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) - modèles de confiance + index des classes.

Parcourir par classe d'attaque

Classe	Attaque	Motif	Répertoires de techniques Sigma	Règles
c01	Contournement UAC	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	Chargement de pilote BYOVD	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	Vol de LSASS / de jeton	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	Abus de services	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	Persistance par registre	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	Proxy par binaire signé (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	Affaiblissement des défenses	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	Détournement d'ordre de recherche DLL	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	Exécution / persistance WMI	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	Tâches planifiées	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	Emprunt d'identité de jeton	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Spouleur d'impression	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	dispersé
c20	Mouvement latéral	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	Hameçonnage / exécution par l'utilisateur	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	Comptes valides	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Élévation de privilèges sous Linux	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	Évasion de conteneur	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	Plan de contrôle cloud	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 fichiers k8s
c27	Web / webshell	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / tunnel / exfiltration	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / chaîne d'approvisionnement	patterns/p29-cicd-supply-chain.md	t1195*	mince
c30	Confiance macOS	(fusionné dans la classe)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	Mobile / MDM	patterns/p31-mobile-mdm.md	Matrice mobile	pas de Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	Matrice ICS	pas de Sigma
c33	Physique / firmware / sans fil	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	Agents IA / MCP	patterns/p34-ai-agent-mcp.md	émergent	pas de Sigma

Les classes AD c14-c19 se trouvent sous ad/classes/ (Kerberos, DCSync, AD CS, délégation, persistance ACL, coercition). Tableau complet avec répartition par statut : INDEX.md.

Comment l'utiliser