Detection Defense Library

Una libreria di defense engineering, consolidata. Classi di attacco, i pattern che le rilevano, le regole Sigma versionate e il modello dei confini di fiducia di Windows, tutto in un unico repository.

Questo repository incorpora cinque ex repository fratelli:

Ex repository	Incorporato in	Cosa contiene
detection-engineering-patterns	patterns/ + METHODOLOGY.md	Pattern applicati: dalla classe di attacco all'osservabile, alla sorgente dati e alla regola Sigma
all-the-sigma-you-need	sigma/	3.141 regole Sigma indicizzate per tecnica + tattica MITRE ATT&CK
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	Modello dei confini di fiducia di Windows indicizzato per componente
windows-driver-surface	drivers/	Superficie di attacco dei driver datata: 661 record di driver BYOVD/vulnerabili, HVCI + blocklist, mappa di rilevamento
splunk-cheatsheet	splunk/	Riferimento pratico a Splunk: SPL, detection/alerting, ES, pattern di indagine

Il problema che risolve

La conoscenza del detection engineering è frammentata tra pattern, regole Sigma, modelli dei confini di fiducia e tooling senza una spina dorsale unica. Questo repository li fonde: per qualsiasi classe di attacco ottieni il modello di come funziona l'attacco, l'osservabile da monitorare, le regole Sigma versionate che lo intercettano e il percorso harden/isolate/evict. È l'inverso di HackTricks: un'enciclopedia della difesa invece di un dump offensivo.

Avvio rapido (è un riferimento; nulla da installare)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

Ogni pagina classes/cN-*.md è end-to-end: model, harden, detect, hunt, isolate, deceive, evict, restore, più gli ID delle regole Sigma da abilitare per prime. Inizia da INDEX.md per vedere la mappa completa delle classi, poi classes/_TEMPLATE.md per il contratto che ogni pagina segue.

Struttura

• classes/ - naviga per classe di attacco (la vista fusa). Un file per classe è la pagina di difesa end-to-end (dal modello al ripristino). I conteggi dell'inventario si trovano in INDEX.md.
• patterns/ - pattern metodologici (p01-p11, p14-p34).
• CONTROL-MAP.md - overlay ATT&CK mitigations / D3FEND / CIS / NIST.
• METHODOLOGY.md - il flusso di lavoro per lo sviluppo delle detections.
• boundaries/ - documenti sui confini di fiducia di Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md - il modello di sintesi dei confini di fiducia.
• drivers/ - la superficie di attacco dei driver: 661 record di driver datati, catalogo CVE BYOVD, HVCI + blocklist dei driver vulnerabili, e la mappa delle detections.
• splunk/ - il riferimento Splunk: fondamenti di SPL, detection e alerting, Enterprise Security, e pattern di investigazione.
• sigma/ - il corpus Sigma completo, indicizzato per tecnica e tattica MITRE ATT&CK (INDEX.md, TACTICS.md, DETECTION-GAPS.md).
• LIBRARY-GAPS.md - lacune nella struttura della libreria rispetto a un'enciclopedia di difesa completa (l'antitesi di HackTricks). Le lacune nel conteggio delle regole restano in sigma/DETECTION-GAPS.md.
• CONTINENTS.md - piattaforma → primitiva → pagina (la spina dorsale di HackTricks).
• TECHNIQUE-INDEX.md - tecnica ATT&CK → classe fusa.
• classes/_TEMPLATE.md - definizione di completamento per una pagina di classe fusa (model, harden, detect, hunt, isolate, deceive, evict, restore).
• Continenti (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) - modelli di fiducia + indici delle classi.

Naviga per classe di attacco

Classe	Attacco	Pattern	Directory tecniche Sigma	Regole
c01	UAC bypass	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	Caricamento driver BYOVD	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	Furto LSASS / token	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	Abuso di servizi	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	Persistenza nel registro	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	Proxy binari firmati (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	Compromissione delle difese	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	Hijack dell'ordine di ricerca DLL	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	Esecuzione / persistenza WMI	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	Attività pianificate	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	Impersonificazione di token	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Print spooler	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	sparse
c20	Movimento laterale	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	Phishing / esecuzione utente	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	Account validi	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Escalation di privilegi su Linux	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	Container escape	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	Control plane cloud	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 file k8s
c27	Web / webshell	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / tunnel / esfil	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / supply chain	patterns/p29-cicd-supply-chain.md	t1195*	esiguo
c30	Fiducia macOS	(fuso nella classe)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	Mobile / MDM	patterns/p31-mobile-mdm.md	Matrice Mobile	nessuna Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	Matrice ICS	nessuna Sigma
c33	Fisico / firmware / wireless	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	Agenti AI / MCP	patterns/p34-ai-agent-mcp.md	emergente	nessuna Sigma

Le classi AD c14-c19 si trovano sotto ad/classes/ (Kerberos, DCSync, AD CS, delegation, persistenza ACL, coercion). Tabella completa con suddivisione per stato: INDEX.md.

Come usarlo