adversarial-detection-engineering/adversarial-detection-engineering-frameworkSIEM, EDR 및 XDR 규칙에서 탐지 로직 버그를 식별, 분류, 추론하기 위한 프레임워크 및 분류 체계로, 구체적인 예시와 실제 우회 사례를 포함합니다.
위협 행위자가 악용하기 전에 탐지 로직이 어떻게 실패하는지 이해함으로써 False Negative를 사전에 방지하세요.
웹사이트를 확인하세요: https://adeframework.org/
Adversarial Detection Engineering (ADE)은 탐지 규칙의 False Negative에 대해 추론하는 학문입니다. ADE 프레임워크는 탐지 로직 버그(Detection Logic Bugs) - 탐지 규칙이 탐지하려는 것과 실제로 탐지하는 것 사이의 불일치 - 에 대한 현대적인 오픈소스 형식화를 제공합니다.
실제 환경에서 False Negative가 발생할 때까지 기다리는 대신, 탐지 엔지니어는 다음과 같이 능동적으로 질문할 수 있습니다:
"이 규칙의 탐지 로직이 탐지하려던 것을 놓치게 만들 수 있는 변형은 무엇인가?"
이러한 적대적 추론 방식은 위협 행위자가 탐지 로직의 약점을 악용할 수 있는 방법을 그대로 반영합니다.
ADE의 목적은 설계의 완벽성을 강요하는 것이 아닙니다 - 물론 그것이 이상적인 목표이긴 하지만 - 오히려 의도적일지라도 한계에 대한 인식을 높이고 추적하는 것입니다:
ADE가 처음이신가요? 여기서 시작하세요:
심층적으로 알아볼 준비가 되셨나요?
이 프레임워크는 탐지 로직 버그의 4개 주요 카테고리와 16개 하위 카테고리를 식별합니다:
🌳 ADE1 – Reformatting in Actions
├─ ADE1-01 Substring Manipulation
└─ ADE1-02 Normalization Asymmetry
🌳 ADE2 – Omit Alternatives
├─ ADE2-01 Method/Binary
├─ ADE2-02 Versioning
├─ ADE2-03 Locations
└─ ADE2-04 File Types
🌳 ADE3 – Context Development
├─ ADE3-01 Process Cloning
├─ ADE3-02 Aggregation Hijacking
├─ ADE3-03 Timing and Scheduling
├─ ADE3-04 Event Fragmentation
├─ ADE3-05 Lineage Spoofing
└─ ADE3-06 Limit Saturation
🌳 ADE4 – Logic Manipulation
├─ ADE4-01 Gate Inversion
├─ ADE4-02 Conjunction Inversion
├─ ADE4-03 Incorrect Expression
└─ ADE4-04 Field Mismapping & Semantics
형식적 정의와 이론적 기초:
명확한 용어를 갖춘 포괄적 분류:
프로덕션 규칙 세트의 구체적인 예:
예제 카테고리:
ADE는 기존 탐지 엔지니어링 관행과 통합되고 이를 향상시킵니다:
| 프레임워크 | 초점 | ADE 통합 |
|---|---|---|
| MITRE ATT&CK | 공격 기법 및 전술 | ADE는 ATT&CK 기법에 대한 탐지가 왜 실패하는지 설명 |
| MITRE CAR | 탐지 분석 저장소 | ADE는 CAR 분석을 위한 버그 분류 체계를 제공 |
| 탐지 엔지니어링 라이프사이클 | 엔지니어링 워크플로 단계 | ADE는 개선 단계를 위한 추론 프레임워크 |
| Sigma/YARA/KQL | 규칙 구문 및 형식 | ADE는 모든 쿼리 언어에 걸쳐 의미론적 로직 버그를 분석 |
ADE의 고유한 가치: False Negative 원인에 대한 형식적 로직 수준 분류
기여를 환영합니다! 활발히 개발 중인 분야는 다음과 같습니다:
정적 분석기 개발 - 탐지 규칙의 잠재적 로직 버그를 분석하는 도구
버그 저장소 확장 - 식별된 버그의 선별된 컬렉션
자세한 내용은 CONTRIBUTING.md를 참조하세요 →
계획된 개발: