Bibliothèque de défense par détection

Une seule bibliothèque d'ingénierie de défense, consolidée. Classes d'attaque, patterns qui les détectent, règles Sigma versionnées et modèle de frontière de confiance Windows, le tout dans un seul dépôt.

Ce dépôt intègre quatre anciens dépôts frères :

Structure

• classes/ — parcourir par classe d'attaque (la vue fusionnée). Un fichier par classe constitue la page de défense de bout en bout (du modèle à la restauration). Les décomptes d'inventaire figurent dans INDEX.md.
• patterns/ — patterns méthodologiques (p01–p11, p14–p34).
• CONTROL-MAP.md — correspondance des mesures d'atténuation ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md — le workflow de développement de la détection.
• boundaries/ — documentation des frontières de confiance Windows (b01 services..b10 intégrité des jetons).
• TRUST-MODEL.md — le modèle de synthèse des frontières de confiance.
• drivers/ — la surface d'attaque des pilotes : 661 enregistrements de pilotes datés, catalogue de CVE BYOVD, liste de blocage HVCI + pilotes vulnérables, et la carte de détection.

Parcourir par classe d'attaque

Les classes AD c14–c19 se trouvent sous ad/classes/ (Kerberos, DCSync, AD CS, délégation, persistance ACL, coercition). Table complète avec répartition par statut : INDEX.md.

Comment utiliser

1. Choisissez un continent dans CONTINENTS.md, une technique dans TECHNIQUE-INDEX.md, ou une classe d'attaque dans INDEX.md.
2. Ouvrez classes/cN-*.md (ou ad/classes/) pour la page fusionnée : durcissement nommé, prérequis de source de données, IDs Sigma à activer en premier, chasse, isolation, éviction, restauration, et un test de lab nommé. classes/_TEMPLATE.md est le contrat que chaque classe doit satisfaire.
3. Plongez dans patterns/ pour le squelette observable / source de données, ou dans sigma/ pour le ruleset complet.
4. Pour la vue au niveau système, lisez le TRUST-MODEL.md du continent et (sous Windows) boundaries/.
5. Pour approfondir les pilotes/BYOVD, utilisez drivers/ : le catalogue de pilotes datés, les CVE BYOVD nommées, la liste de blocage HVCI + pilotes vulnérables, et la carte de détection.
6. Pour approfondir le SIEM/la logique de détection, utilisez : fondamentaux SPL, alerting, Enterprise Security, et patterns d'investigation (une cible de déploiement courante pour les règles Sigma dans ).

Périmètre

Référence d'ingénierie de défense pour les systèmes que le lecteur possède ou est autorisé à tester. Double usage : associer l'offensif (les bibliothèques offensives sœurs) à la détection (celle-ci). Aucun payload n'est hébergé ici au-delà des règles de détection Sigma et de la méthodologie de référence.

Charte : une encyclopédie de défense — l'inverse de HackTricks. Chaque continent revendiqué possède un modèle de confiance et des classes fusionnées qui respectent classes/_TEMPLATE.md. Mobile/ICS/IA sont dans le périmètre, avec d'honnêtes mentions « pas de corpus Sigma ». Blockchain, stéganographie et tutoriels de développement d'exploits restent hors périmètre. Voir LIBRARY-GAPS.md pour la carte initiale des lacunes.

Provenance et maintenance

PROVENANCE.md consigne chaque source et la manière dont le corpus Sigma a été généré. sigma/gen_bridge.py régénère l'arborescence indexée par technique à partir d'un clone SigmaHQ frais. gen_bridge.py à la racine régénère les décomptes par classe.