Biblioteca de Defesa de Detecção

Uma biblioteca consolidada de engenharia de defesa. Classes de ataque, os padrões que as detectam, as regras Sigma incorporadas e o modelo de limites de confiança do Windows, tudo em um único repositório.

Este repositório incorpora quatro antigos repositórios irmãos:

Layout

• classes/ — navegue por classe de ataque (a visão fundida). Um arquivo por classe é a página de defesa ponta a ponta (do modelo à restauração). As contagens do inventário ficam em INDEX.md.
• patterns/ — padrões de metodologia (p01–p11, p14–p34).
• CONTROL-MAP.md — sobreposição de mitigações ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md — o fluxo de trabalho de desenvolvimento de detecções.
• boundaries/ — documentação de limites de confiança do Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md — o modelo de síntese de limites de confiança.
• drivers/ — a superfície de ataque de drivers: 661 registros datados de drivers, catálogo de CVEs BYOVD, lista de bloqueio HVCI + drivers vulneráveis e o mapa de detecção.

Navegue por classe de ataque

As classes de AD c14–c19 ficam em ad/classes/ (Kerberos, DCSync, AD CS, delegação, persistência via ACL, coerção). Tabela completa com divisões de status: INDEX.md.

Como usar

1. Escolha um continente em CONTINENTS.md, uma técnica em TECHNIQUE-INDEX.md ou uma classe de ataque em INDEX.md.
2. Abra classes/cN-*.md (ou ad/classes/) para a página fundida: endurecimento nomeado, pré-requisito de fonte de dados, IDs Sigma para habilitar primeiro, caça, isolamento, remoção, restauração e um teste de laboratório nomeado. classes/_TEMPLATE.md é o contrato que toda classe deve cumprir.
3. Entre em patterns/ para o esqueleto de observáveis / fonte de dados ou em sigma/ para o conjunto completo de regras.
4. Para a visão em nível de sistema, leia o TRUST-MODEL.md do continente e (no Windows) boundaries/.
5. Para aprofundamento em drivers/BYOVD, use drivers/: o catálogo datado de drivers, CVEs BYOVD nomeadas, lista de bloqueio HVCI + drivers vulneráveis e o mapa de detecção.
6. Para aprofundamento em SIEM/lógica de detecção, use splunk/: fundamentos de SPL, alertas, Enterprise Security e padrões de investigação (um alvo de implantação comum para as regras Sigma em ).

Escopo

Referência de engenharia de defesa para sistemas que o leitor possui ou está autorizado a testar. Uso duplo: combine ataque (bibliotecas ofensivas irmãs) com detecção (esta). Nenhum payload é hospedado aqui além das regras de detecção Sigma e da metodologia de referência.

Estatuto: uma enciclopédia de defesa — o inverso do HackTricks. Cada continente reivindicado tem um modelo de confiança e classes fundidas que passam em classes/_TEMPLATE.md. Mobile/ICS/AI estão no escopo com notas honestas de "sem corpus Sigma". Blockchain, esteganografia e tutoriais de desenvolvimento de exploits ficam fora do escopo. Consulte LIBRARY-GAPS.md para o mapa original de lacunas.

Proveniência e manutenção

PROVENANCE.md registra cada fonte e como o corpus Sigma foi gerado. sigma/gen_bridge.py regenera a árvore indexada por técnica a partir de um clone novo do SigmaHQ. O gen_bridge.py na raiz regenera as contagens por classe.