検出・防御ライブラリ

統合された単一の防御エンジニアリングライブラリ。攻撃クラス、それらを検出するパターン、採用済みの Sigma ルール、そして Windows トラスト境界モデルを、すべてひとつのリポジトリにまとめています。

このリポジトリは、4 つの旧兄弟リポジトリを統合したものです:

構成

• classes/ — 攻撃クラスごとに閲覧 (統合ビュー)。クラスごとに 1 ファイルが エンドツーエンドの防御ページ (モデルから復旧まで)。インベントリの 件数は INDEX.md にあります。
• patterns/ — 方法論パターン (p01–p11, p14–p34)。
• CONTROL-MAP.md — ATT&CK 緩和策 / D3FEND / CIS / NIST オーバーレイ。
• METHODOLOGY.md — 検出開発ワークフロー。
• boundaries/ — Windows トラスト境界ドキュメント (b01 サービス..b10 トークン整合性)。
• TRUST-MODEL.md — トラスト境界統合モデル。
• drivers/ — ドライバ攻撃面: 661 件の日付付きドライバ記録、BYOVD CVE カタログ、HVCI + 脆弱ドライバブロックリスト、検出マップ。
• splunk/ — Splunk リファレンス: SPL の基礎、検出とアラート、Enterprise Security、調査パターン。
• — 完全な Sigma コーパス。MITRE ATT&CK テクニックと戦術でインデックス化 (、、)。

攻撃クラス別に閲覧

AD クラス c14–c19 は ad/classes/ にあります (Kerberos、DCSync、AD CS、委任、ACL 永続化、強制認証)。ステータス内訳付きの完全な表: INDEX.md。

使用方法

1. CONTINENTS.md から大陸を選ぶか、TECHNIQUE-INDEX.md からテクニックを選ぶか、INDEX.md から攻撃クラスを選びます。
2. classes/cN-*.md (または ad/classes/) を開いて統合ページを確認します: 名前付きの強化策、データソース前提条件、最初に有効化する Sigma ID、ハント、隔離、追放、復旧、名前付きラボテスト。classes/_TEMPLATE.md はすべてのクラスが満たすべき契約です。
3. patterns/ に移動して観測可能要素/データソースの骨格を確認するか、sigma/ で完全なルールセットを確認します。
4. システムレベルの視点を得るには、大陸の TRUST-MODEL.md と (Windows では) boundaries/ を読みます。
5. ドライバ/BYOVD の深掘りには drivers/ を使用します: 日付付きドライバカタログ、名前付き BYOVD CVE、HVCI + 脆弱ドライバブロックリスト、検出マップ。
6. SIEM/検出ロジックの深掘りには splunk/ を使用します: SPL の基礎、アラート、Enterprise Security、調査パターン (sigma/ 内の Sigma ルールの一般的なデプロイ先)。

スコープ

読者が所有する、またはテストを許可されたシステム向けの防御エンジニアリングリファレンス。二重用途: 攻撃 (兄弟の攻撃用ライブラリ) と検出 (このライブラリ) を組み合わせます。ここでは Sigma 検出ルールとリファレンス方法論以外のペイロードはホストされません。

憲章: 防御の百科事典 — HackTricks の逆。主張されたすべての大陸には、classes/_TEMPLATE.md を満たすトラストモデルと統合クラスがあります。モバイル/ICS/AI はスコープ内ですが、「Sigma コーパスなし」と正直に注記されています。ブロックチェーン、ステガノグラフィー、エクスプロイト開発チュートリアルはスコープ外です。元のギャップマップについては LIBRARY-GAPS.md を参照してください。

出典とメンテナンス

PROVENANCE.md はすべての情報源と Sigma コーパスの生成方法を記録しています。sigma/gen_bridge.py は新しい SigmaHQ クローンからテクニックインデックスツリーを再生成します。ルートの gen_bridge.py はクラスごとの件数を再生成します。