Detection Defense Library

防御エンジニアリングのライブラリを一つに統合。攻撃クラス、それらを検知するパターン、コミット済みの Sigma ルール、そして Windows の信頼境界モデルを、すべて単一のリポジトリにまとめました。

このリポジトリは、かつての 5 つの兄弟リポジトリを統合したものです:

旧リポジトリ	統合先	収録内容
detection-engineering-patterns	patterns/ + METHODOLOGY.md	実践パターン: 攻撃クラスから観測可能な事象、データソース、Sigma ルールへ
all-the-sigma-you-need	sigma/	MITRE ATT&CK のテクニック + 戦術ごとに索引付けされた 3,141 件の Sigma ルール
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	コンポーネント単位で索引付けされた Windows 信頼境界モデル
windows-driver-surface	drivers/	日付付きのドライバー攻撃対象領域: 661 件の BYOVD/脆弱なドライバーのレコード、HVCI + ブロックリスト、検知マップ
splunk-cheatsheet	splunk/	実践的な Splunk リファレンス: SPL、検知/アラート、ES、調査パターン

これが解決する課題

検知エンジニアリングの知識は、パターン、Sigma ルール、信頼境界モデル、ツール群に分散しており、一本の背骨がありません。このリポジトリはそれらを融合します。あらゆる攻撃クラスについて、攻撃がどのように機能するかのモデル、監視すべき観測可能な事象、それを捕捉するコミット済みの Sigma ルール、そして強化/隔離/排除の道筋が得られます。これは HackTricks の逆を行くものです。攻撃の寄せ集めではなく、防御の百科事典です。

クイックスタート (これはリファレンスです。インストールするものはありません)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

各 classes/cN-*.md ページはエンドツーエンドです：モデル化、堅牢化、検知、ハンティング、隔離、欺瞞、排除、復旧、さらに最初に有効化すべき Sigma ルール ID を含みます。まず INDEX.md でクラスマップ全体を確認し、次に classes/_TEMPLATE.md で各ページが従う契約を確認してください。

レイアウト

• classes/ - 攻撃クラス別に閲覧（統合ビュー）。1 クラスにつき 1 ファイルがエンドツーエンドの防御ページ（モデル化から復旧まで）です。インベントリの件数は INDEX.md にあります。
• patterns/ - 方法論パターン（p01-p11、p14-p34）。
• CONTROL-MAP.md - ATT&CK 緩和策 / D3FEND / CIS / NIST のオーバーレイ。
• METHODOLOGY.md - 検知開発ワークフロー。
• boundaries/ - Windows の信頼境界ドキュメント（b01 サービス..b10 トークン整合性）。
• TRUST-MODEL.md - 信頼境界の統合モデル。
• drivers/ - ドライバー攻撃面：日付付きドライバーレコード 661 件、BYOVD CVE カタログ、HVCI + 脆弱なドライバーのブロックリスト、および検知マップ。
• splunk/ - Splunk リファレンス：SPL の基礎、検知とアラート、Enterprise Security、および調査パターン。
• sigma/ - Sigma コーパス全体。MITRE ATT&CK テクニックと戦術別にインデックス化（INDEX.md、TACTICS.md、DETECTION-GAPS.md）。
• LIBRARY-GAPS.md - 完全な防御百科事典（HackTricks の対極）と比較したライブラリ構成のギャップ。ルール件数のギャップは sigma/DETECTION-GAPS.md に残ります。
• CONTINENTS.md - プラットフォーム → プリミティブ → ページ（HackTricks の背骨）。
• TECHNIQUE-INDEX.md - ATT&CK テクニック → 統合クラス。
• classes/_TEMPLATE.md - 統合クラスページの完了定義（モデル化、堅牢化、検知、ハンティング、隔離、欺瞞、排除、復旧）。
• 大陸（ad/、linux/、macos/、identity/、cloud/、email/、web/、network/、c2/、cicd/、mobile/、ics/、physical/、ai/、telemetry/、hunts/） - 信頼モデル + クラスインデックス。

攻撃クラス別に閲覧

クラス	攻撃	パターン	Sigma テクニックディレクトリ	ルール数
c01	UAC バイパス	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	BYOVD ドライバ読み込み	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	LSASS / トークン窃取	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	サービス悪用	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	レジストリ永続化	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	署名済みバイナリプロキシ (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	防御機能の無効化	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	DLL 検索順序ハイジャック	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	WMI 実行 / 永続化	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	スケジュールされたタスク	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	トークン偽装	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	プリントスプーラー	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	分散
c20	横展開	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	フィッシング / ユーザー実行	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	正規アカウント	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Linux 権限昇格	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	コンテナエスケープ	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	クラウドコントロールプレーン	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 k8s ファイル
c27	Web / ウェブシェル	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / トンネル / 外部送信	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / サプライチェーン	patterns/p29-cicd-supply-chain.md	t1195*	少数
c30	macOS トラスト	(クラス内に統合)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	モバイル / MDM	patterns/p31-mobile-mdm.md	モバイルマトリクス	Sigma なし
c32	ICS / OT	patterns/p32-ics-ot.md	ICS マトリクス	Sigma なし
c33	物理 / ファームウェア / 無線	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	AI エージェント / MCP	patterns/p34-ai-agent-mcp.md	新興	Sigma なし

AD クラス c14-c19 は ad/classes/ 配下にあります (Kerberos、DCSync、AD CS、 委任、ACL 永続化、強制認証)。ステータス別の完全な表: INDEX.md。

使い方

1. CONTINENTS.md から大陸を選ぶか、TECHNIQUE-INDEX.md からテクニックを、 または INDEX.md から攻撃クラスを選びます。
2. 統合ページとして classes/cN-*.md (または ad/classes/) を開きます: 名前付きの ハードニング、データソースの前提条件、最初に有効化すべき Sigma ID、ハント、 隔離、排除、復旧、および名前付きのラボテスト。classes/_TEMPLATE.md はすべてのクラスが満たすべき契約です。
3. 観測可能な要素 / データソースの骨組みについては patterns/ に、完全な ルールセットについては sigma/ に進みます。
4. システムレベルの視点については、大陸の TRUST-MODEL.md と (Windows の場合) boundaries/ を読みます。
5. ドライバ / BYOVD の詳細については drivers/ を使用します: 日付付きのドライバ カタログ、名前付きの BYOVD CVE、HVCI + 脆弱なドライバのブロックリスト、および 検出マップ。
6. SIEM / 検出ロジックの詳細については splunk/ を使用します: SPL の基礎、アラート、 Enterprise Security、および調査パターン (sigma/ 内の Sigma ルールの 一般的なデプロイ先)。

スコープ

所有主張された大陸には信頼モデルと、classes/_TEMPLATE.md を通過する融合クラスが存在します。モバイル/ICS/AI はスコープ内であり、「Sigma コーパスなし」という正直な注記が付されています。ブロックチェーン、ステガノグラフィ、エクスプロイト開発のチュートリアルはスコープ外です。元のギャップマップについては LIBRARY-GAPS.md を参照してください。

来歴とメンテナンス

PROVENANCE.md はすべてのソースと、Sigma コーパスがどのように生成されたかを記録しています。sigma/gen_bridge.py は新規の SigmaHQ クローンからテクニック別に索引付けされたツリーを再生成します。ルートの gen_bridge.py はクラスごとのカウントを再生成します。