Libreria di difesa e rilevamento

Una libreria di ingegneria difensiva, consolidata. Le classi di attacco, i pattern che le rilevano, le regole Sigma incluse e il modello dei trust boundary di Windows, tutto in un unico repository.

Questo repository incorpora quattro ex repository gemelli:

Struttura

• classes/ — sfoglia per classe di attacco (la vista unificata). Un file per classe è la pagina di difesa end-to-end (dal modello al ripristino). I conteggi dell'inventario sono in INDEX.md.
• patterns/ — pattern metodologici (p01–p11, p14–p34).
• CONTROL-MAP.md — sovrapposizione ATT&CK mitigations / D3FEND / CIS / NIST.
• METHODOLOGY.md — il flusso di lavoro per lo sviluppo del rilevamento.
• boundaries/ — documentazione sui trust boundary di Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md — il modello di sintesi dei trust boundary.
• drivers/ — la superficie d'attacco dei driver: 661 record di driver datati, catalogo CVE BYOVD, HVCI + blocklist dei driver vulnerabili e la mappa di rilevamento.

Sfoglia per classe di attacco

Le classi AD c14–c19 si trovano in ad/classes/ (Kerberos, DCSync, AD CS, delega, persistenza ACL, coercizione). Tabella completa con suddivisioni di stato: INDEX.md.

Come usare

1. Scegli un continente da CONTINENTS.md, una tecnica da TECHNIQUE-INDEX.md o una classe di attacco da INDEX.md.
2. Apri classes/cN-*.md (o ad/classes/) per la pagina unificata: harden nominato, prerequisito della fonte dati, ID Sigma da abilitare per primi, hunt, isolate, evict, restore e un lab test nominato. classes/_TEMPLATE.md è il contratto che ogni classe deve superare.
3. Entra in patterns/ per lo scheletro observable / fonte dati o in sigma/ per il ruleset completo.
4. Per la visione a livello di sistema, leggi il TRUST-MODEL.md del continente e (su Windows) boundaries/.
5. Per l'approfondimento su driver/BYOVD, usa drivers/: il catalogo dei driver datati, le CVE BYOVD nominate, la blocklist HVCI + driver vulnerabili e la mappa di rilevamento.
6. Per l'approfondimento su SIEM/logica di rilevamento, usa splunk/: fondamenti di SPL, alerting, Enterprise Security e pattern di investigazione (una destinazione di deployment comune per le regole Sigma in ).

Ambito

Riferimento di ingegneria difensiva per sistemi che il lettore possiede o è autorizzato a testare. Doppio uso: abbina l'offesa (librerie offensive gemelle) al rilevamento (questa). Nessun payload è ospitato qui oltre alle regole di rilevamento Sigma e alla metodologia di riferimento.

Carta fondativa: un'enciclopedia difensiva — l'inverso di HackTricks. Ogni continente dichiarato ha un modello di fiducia e classi unificate che superano classes/_TEMPLATE.md. Mobile/ICS/AI sono in scope con note oneste su "nessun corpus Sigma". Blockchain, stego e tutorial sullo sviluppo di exploit restano fuori scope. Vedi LIBRARY-GAPS.md per la mappa originale delle lacune.

Provenienza e manutenzione

PROVENANCE.md registra ogni fonte e come è stato generato il corpus Sigma. sigma/gen_bridge.py rigenera l'albero indicizzato per tecnica da un clone aggiornato di SigmaHQ. gen_bridge.py alla radice rigenera i conteggi per classe.