Detection Defense Library

एक रक्षा-इंजीनियरिंग लाइब्रेरी, समेकित। आक्रमण वर्ग, उन्हें पहचानने वाले पैटर्न, कमिट किए गए Sigma नियम, और Windows ट्रस्ट-बाउंड्री मॉडल, सब एक ही रिपॉज़िटरी में।

यह रिपॉज़िटरी पाँच पूर्व सहोदर रिपॉज़िटरियों को समाहित करती है:

पूर्व रिपॉज़िटरी	इसमें समाहित	इसमें क्या है
detection-engineering-patterns	patterns/ + METHODOLOGY.md	कार्य-प्रदर्शित पैटर्न: आक्रमण वर्ग से अवलोकनीय, डेटा स्रोत, और Sigma नियम तक
all-the-sigma-you-need	sigma/	MITRE ATT&CK तकनीक + रणनीति द्वारा अनुक्रमित 3,141 Sigma नियम
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	घटक-अनुक्रमित Windows ट्रस्ट-बाउंड्री मॉडल
windows-driver-surface	drivers/	तिथि-अंकित ड्राइवर आक्रमण-सतह: 661 BYOVD/भेद्य ड्राइवर रिकॉर्ड, HVCI + ब्लॉकलिस्ट, डिटेक्शन मैप
splunk-cheatsheet	splunk/	व्यावहारिक Splunk संदर्भ: SPL, डिटेक्शन/अलर्टिंग, ES, अन्वेषण पैटर्न

यह किस समस्या का समाधान करता है

डिटेक्शन इंजीनियरिंग ज्ञान पैटर्न, Sigma नियम, ट्रस्ट-बाउंड्री मॉडल, और टूलिंग में बिना किसी एकल रीढ़ के बिखरा हुआ है। यह रिपॉज़िटरी उन्हें जोड़ती है: किसी भी आक्रमण वर्ग के लिए आपको यह मिलता है कि आक्रमण कैसे काम करता है उसका मॉडल, निगरानी करने योग्य अवलोकनीय, उसे पकड़ने वाले कमिट किए गए Sigma नियम, और हार्डन/आइसोलेट/एविक्ट पथ। यह HackTricks का उल्टा है: आक्रमण डंप के बजाय एक रक्षा विश्वकोश।

त्वरित शुरुआत (यह एक संदर्भ है; इंस्टॉल करने के लिए कुछ नहीं)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

प्रत्येक classes/cN-*.md पृष्ठ एंड-टू-एंड है: मॉडल, हार्डन, डिटेक्ट, हंट, आइसोलेट, डिसीव, एविक्ट, रिस्टोर, साथ ही पहले सक्षम करने के लिए Sigma नियम ID। पूरा क्लास मैप देखने के लिए INDEX.md से शुरू करें, फिर प्रत्येक पृष्ठ के अनुसार अनुबंध के लिए classes/_TEMPLATE.md देखें।

लेआउट

• classes/ - आक्रमण क्लास के अनुसार ब्राउज़ करें (फ्यूज़्ड दृश्य)। प्रति क्लास एक फ़ाइल एंड-टू-एंड डिफ़ेंस पृष्ठ है (मॉडल से रिस्टोर तक)। इन्वेंटरी गणना INDEX.md में रहती है।
• patterns/ - कार्यप्रणाली पैटर्न (p01-p11, p14-p34)।
• CONTROL-MAP.md - ATT&CK शमन / D3FEND / CIS / NIST ओवरले।
• METHODOLOGY.md - डिटेक्शन डेवलपमेंट वर्कफ़्लो।
• boundaries/ - Windows ट्रस्ट-बाउंड्री दस्तावेज़ (b01 सेवाएँ..b10 टोकन इंटीग्रिटी)।
• TRUST-MODEL.md - ट्रस्ट-बाउंड्री संश्लेषण मॉडल।
• drivers/ - ड्राइवर आक्रमण-सतह: 661 दिनांकित ड्राइवर रिकॉर्ड, BYOVD CVE कैटलॉग, HVCI + कमजोर-ड्राइवर ब्लॉकलिस्ट, और डिटेक्शन मैप।
• splunk/ - Splunk संदर्भ: SPL मूल बातें, डिटेक्शन और अलर्टिंग, Enterprise Security, और जाँच पैटर्न।
• sigma/ - पूरा Sigma कॉर्पस, MITRE ATT&CK तकनीक और रणनीति द्वारा अनुक्रमित (INDEX.md, TACTICS.md, DETECTION-GAPS.md)।
• LIBRARY-GAPS.md - एक पूर्ण डिफ़ेंस एनसाइक्लोपीडिया की तुलना में लाइब्रेरी-आकार के अंतराल (HackTricks का विलोम)। नियम-गणना अंतराल sigma/DETECTION-GAPS.md में रहते हैं।
• CONTINENTS.md - प्लेटफ़ॉर्म → प्रिमिटिव → पृष्ठ (HackTricks रीढ़)।
• TECHNIQUE-INDEX.md - ATT&CK तकनीक → फ्यूज़्ड क्लास।
• classes/_TEMPLATE.md - फ्यूज़्ड क्लास पृष्ठ के लिए डन-डेफिनिशन (मॉडल, हार्डन, डिटेक्ट, हंट, आइसोलेट, डिसीव, एविक्ट, रिस्टोर)।
• महाद्वीप (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) - ट्रस्ट मॉडल + क्लास इंडेक्स।

आक्रमण क्लास के अनुसार ब्राउज़ करें

वर्ग	आक्रमण	पैटर्न	Sigma तकनीक निर्देशिकाएँ	नियम
c01	UAC बायपास	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	BYOVD ड्राइवर लोड	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	LSASS / टोकन चोरी	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	सेवा दुरुपयोग	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	रजिस्ट्री स्थायित्व	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	हस्ताक्षरित-बाइनरी प्रॉक्सी (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	रक्षा क्षति	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	DLL सर्च-ऑर्डर हाईजैक	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	WMI निष्पादन / स्थायित्व	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	निर्धारित कार्य	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	टोकन प्रतिरूपण	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	प्रिंट स्पूलर	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	बिखरे हुए
c20	पार्श्व गति	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	फ़िशिंग / उपयोगकर्ता निष्पादन	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	वैध खाते	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Linux विशेषाधिकार वृद्धि	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	कंटेनर एस्केप	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	क्लाउड कंट्रोल प्लेन	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 k8s फ़ाइलें
c27	वेब / वेबशेल	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / टनल / एक्सफ़िल	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / आपूर्ति श्रृंखला	patterns/p29-cicd-supply-chain.md	t1195*	पतला
c30	macOS ट्रस्ट	(वर्ग में समाहित)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	मोबाइल / MDM	patterns/p31-mobile-mdm.md	मोबाइल मैट्रिक्स	कोई Sigma नहीं
c32	ICS / OT	patterns/p32-ics-ot.md	ICS मैट्रिक्स	कोई Sigma नहीं
c33	भौतिक / फ़र्मवेयर / वायरलेस	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	AI एजेंट / MCP	patterns/p34-ai-agent-mcp.md	उभरता हुआ	कोई Sigma नहीं

AD वर्ग c14-c19 ad/classes/ के अंतर्गत हैं (Kerberos, DCSync, AD CS, प्रत्यायोजन, ACL स्थायित्व, बाध्यता)। स्थिति विभाजन के साथ पूर्ण तालिका: INDEX.md।

उपयोग कैसे करें

1. CONTINENTS.md से एक महाद्वीप चुनें या TECHNIQUE-INDEX.md से एक तकनीक चुनें, या INDEX.md से एक आक्रमण वर्ग चुनें।
2. संयुक्त पृष्ठ के लिए classes/cN-*.md (या ad/classes/) खोलें: नामित हार्डन, डेटा-स्रोत पूर्वापेक्षा, पहले-सक्षम करें Sigma ID, हंट, आइसोलेट, इविक्ट, रिस्टोर, और एक नामित लैब परीक्षण। classes/_TEMPLATE.md वह अनुबंध है जिसे प्रत्येक वर्ग को पास करना होता है।
3. अवलोकनीय / डेटा-स्रोत कंकाल के लिए patterns/ में जाएँ या पूर्ण नियमसेट के लिए sigma/ में जाएँ।
4. सिस्टम-स्तरीय दृश्य के लिए, महाद्वीप का TRUST-MODEL.md पढ़ें और (Windows पर) boundaries/ पढ़ें।
5. ड्राइवर/BYOVD गहराई के लिए, drivers/ का उपयोग करें: दिनांकित ड्राइवर कैटलॉग, नामित BYOVD CVE, HVCI + कमजोर-ड्राइवर ब्लॉकलिस्ट, और डिटेक्शन मैप।
6. SIEM/डिटेक्शन-लॉजिक गहराई के लिए, splunk/ का उपयोग करें: SPL मूल बातें, अलर्टिंग, Enterprise Security, और जाँच पैटर्न (sigma/ में Sigma नियमों के लिए एक सामान्य डिप्लॉय लक्ष्य)।

दायरा