탐지 방어 라이브러리

통합된 하나의 방어 엔지니어링 라이브러리. 공격 클래스, 이를 탐지하는 패턴, 커밋된 Sigma 규칙, 그리고 Windows 트러스트 경계 모델을 모두 단일 저장소에 담았습니다.

이 저장소는 이전의 네 개 형제 저장소를 통합합니다:

구성

• classes/ — 공격 클래스별 탐색(융합된 뷰). 클래스당 하나의 파일이 엔드투엔드 방어 페이지(모델에서 복구까지)입니다. 인벤토리 개수는 INDEX.md에 있습니다.
• patterns/ — 방법론 패턴(p01–p11, p14–p34).
• CONTROL-MAP.md — ATT&CK 완화 / D3FEND / CIS / NIST 오버레이.
• METHODOLOGY.md — 탐지 개발 워크플로.
• boundaries/ — Windows 트러스트 경계 문서(b01 서비스..b10 토큰 무결성).
• TRUST-MODEL.md — 트러스트 경계 종합 모델.
• drivers/ — 드라이버 공격 표면: 날짜가 포함된 드라이버 레코드 661개, BYOVD CVE 카탈로그, HVCI + 취약 드라이버 차단 목록, 탐지 맵.
• splunk/ — Splunk 참조: SPL 기초, 탐지 및 알림, Enterprise Security, 조사 패턴.
• — MITRE ATT&CK 기법 및 전술로 색인된 전체 Sigma 코퍼스 (, , ).

공격 클래스별 탐색

AD 클래스 c14–c19는 ad/classes/ 아래에 있습니다(Kerberos, DCSync, AD CS, 위임, ACL 지속성, 강제(coercion)). 상태별 구분이 포함된 전체 표: INDEX.md.

사용 방법

1. CONTINENTS.md에서 대륙을, TECHNIQUE-INDEX.md에서 기법을, 또는 INDEX.md에서 공격 클래스를 선택합니다.
2. 융합 페이지를 보려면 classes/cN-*.md(또는 ad/classes/)를 엽니다: 명명된 강화, 데이터 소스 전제 조건, 우선 활성화할 Sigma ID, 헌팅, 격리, 축출, 복구, 명명된 랩 테스트가 포함됩니다. classes/_TEMPLATE.md는 모든 클래스가 통과해야 하는 계약입니다.
3. 관찰 가능 항목 / 데이터 소스 골격은 patterns/로, 전체 규칙 세트는 sigma/로 이동합니다.
4. 시스템 수준의 관점이 필요하면 대륙의 TRUST-MODEL.md와 (Windows의 경우) boundaries/를 읽습니다.
5. 드라이버/BYOVD 심화가 필요하면 drivers/를 사용합니다: 날짜가 포함된 드라이버 카탈로그, 명명된 BYOVD CVE, HVCI + 취약 드라이버 차단 목록, 탐지 맵.
6. SIEM/탐지 로직 심화가 필요하면 splunk/를 사용합니다: SPL 기초, 알림, Enterprise Security, 조사 패턴(sigma/의 Sigma 규칙을 위한 일반적인 배포 대상).

범위

독자가 소유하거나 테스트 권한이 있는 시스템을 위한 방어 엔지니어링 참조 자료입니다. 이중 용도: 공격(형제 공격용 라이브러리)과 탐지(이 저장소)를 함께 사용합니다. Sigma 탐지 규칙과 참조 방법론 외에는 페이로드를 여기에 호스팅하지 않습니다.

헌장: 방어 백과사전 — HackTricks의 정반대입니다. 주장하는 모든 대륙에는 classes/_TEMPLATE.md를 통과하는 트러스트 모델과 융합 클래스가 있습니다. 모바일/ICS/AI는 “Sigma 코퍼스 없음”이라는 솔직한 메모와 함께 범위에 포함됩니다. 블록체인, 스테가노그래피, 익스플로잇 개발 튜토리얼은 범위에서 제외됩니다. 원래의 공백 맵은 LIBRARY-GAPS.md를 참조하세요.

출처 및 유지 관리

PROVENANCE.md는 모든 출처와 Sigma 코퍼스가 생성된 방식을 기록합니다. sigma/gen_bridge.py는 새 SigmaHQ 클론에서 기법 색인 트리를 재생성합니다. 루트의 gen_bridge.py는 클래스별 개수를 재생성합니다.