adversarial-detection-engineering/adversarial-detection-engineering-frameworkSIEM、EDR、XDRルールにおける検出ロジックのバグを特定、分類、推論するためのフレームワークと分類法。具体的な例と実際のバイパス手法を含む。
偽陰性を先回りする - 脅威アクターが悪用する前に、検知ロジックがどのように失敗するかを理解しましょう。
ウェブサイトをチェック: https://adeframework.org/
敵対的検知エンジニアリング (ADE) は、検知ルールにおける偽陰性について推論する学問分野です。ADEフレームワークは、検知ロジックバグ - 検知ルールが検知しようと意図しているものと、実際に検知しているものとの間の不一致 - を現代的なオープンソースの形式で定式化します。
実際の偽陰性を待つのではなく、検知エンジニアは積極的に次のように問いかけることができます:
「このルールの検知ロジックが、検知することを意図していたものを取り逃す原因となるようなバリエーションは何か？」
この敵対的な推論の流れは、脅威アクターが検知ロジックの弱点をどのように悪用し得るかを反映しています。
ADEの目的は、設計における完璧さを強制することではありません - それは理想的な目標ではありますが - むしろ、意図的なものであっても、認識を高め、制限を追跡することです:
ADEは初めてですか？ ここから始めましょう:
深く掘り下げる準備はできましたか？
このフレームワークは、検知ロジックバグの4つの主要カテゴリと16のサブカテゴリを特定します:
🌳 ADE1 – Reformatting in Actions
├─ ADE1-01 Substring Manipulation
└─ ADE1-02 Normalization Asymmetry
🌳 ADE2 – Omit Alternatives
├─ ADE2-01 Method/Binary
├─ ADE2-02 Versioning
├─ ADE2-03 Locations
└─ ADE2-04 File Types
🌳 ADE3 – Context Development
├─ ADE3-01 Process Cloning
├─ ADE3-02 Aggregation Hijacking
├─ ADE3-03 Timing and Scheduling
├─ ADE3-04 Event Fragmentation
├─ ADE3-05 Lineage Spoofing
└─ ADE3-06 Limit Saturation
🌳 ADE4 – Logic Manipulation
├─ ADE4-01 Gate Inversion
├─ ADE4-02 Conjunction Inversion
├─ ADE4-03 Incorrect Expression
└─ ADE4-04 Field Mismapping & Semantics
形式的定義と理論的基礎:
明確な用語を伴う包括的な分類:
本番ルールセットからの具体的な例:
例のカテゴリ:
ADEは既存の検知エンジニアリングプラクティスと統合し、強化します:
| フレームワーク | 焦点 | ADE統合 |
|---|---|---|
| MITRE ATT&CK | 攻撃テクニックと戦術 | ADEはATT&CKテクニックに対して検知がなぜ失敗するかを説明する |
| MITRE CAR | 検知分析リポジトリ | ADEはCAR分析のためのバグ分類法を提供する |
| 検知エンジニアリングライフサイクル | エンジニアリングワークフロー段階 | ADEは改善段階のための推論フレームワークである |
| Sigma/YARA/KQL | ルール構文とフォーマット | ADEはすべてのクエリ言語にわたるセマンティックロジックバグを分析する |
ADEの独自の価値: 偽陰性の原因の形式的なロジックレベルの分類
コントリビューションを歓迎します！活発に開発が進められている領域は以下の通りです:
静的アナライザー開発 - 潜在的なロジックバグについて検知ルールを分析するツール
バグリポジトリの拡張 - 特定されたバグのキュレーションされたコレクション
計画されている開発: