Detection Defense Library

Uma biblioteca de engenharia de defesa, consolidada. Classes de ataque, os padrões que as detectam, as regras Sigma versionadas e o modelo de fronteira de confiança do Windows, tudo em um único repositório.

Este repositório incorpora cinco repositórios irmãos anteriores:

Repositório anterior	Incorporado em	O que contém
detection-engineering-patterns	patterns/ + METHODOLOGY.md	Padrões trabalhados: da classe de ataque ao observável, fonte de dados e regra Sigma
all-the-sigma-you-need	sigma/	3.141 regras Sigma indexadas por técnica + tática do MITRE ATT&CK
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	Modelo de fronteira de confiança do Windows indexado por componente
windows-driver-surface	drivers/	Superfície de ataque de drivers datada: 661 registros de drivers BYOVD/vulneráveis, HVCI + blocklist, mapa de detecção
splunk-cheatsheet	splunk/	Referência prática de Splunk: SPL, detecção/alertas, ES, padrões de investigação

O problema que isto resolve

O conhecimento de engenharia de detecção está fragmentado entre padrões, regras Sigma, modelos de fronteira de confiança e ferramentas, sem uma espinha dorsal única. Este repositório os funde: para qualquer classe de ataque, você obtém o modelo de como o ataque funciona, o observável a monitorar, as regras Sigma versionadas que o detectam e o caminho de endurecimento/isolamento/expulsão. É o inverso do HackTricks: uma enciclopédia de defesa em vez de um depósito de ofensiva.

Início rápido (é uma referência; nada para instalar)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

Cada página classes/cN-*.md é ponta a ponta: modelar, endurecer, detetar, caçar, isolar, enganar, expulsar, restaurar, mais os IDs de regras Sigma a ativar primeiro. Comece em INDEX.md para ver o mapa completo de classes, depois classes/_TEMPLATE.md para o contrato que cada página segue.

Estrutura

• classes/ - navegue por classe de ataque (a visão fundida). Um ficheiro por classe é a página de defesa ponta a ponta (do modelo à restauração). As contagens de inventário residem em INDEX.md.
• patterns/ - padrões de metodologia (p01-p11, p14-p34).
• CONTROL-MAP.md - sobreposição de mitigações ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md - o fluxo de trabalho de desenvolvimento de deteção.
• boundaries/ - documentos de fronteiras de confiança do Windows (b01 serviços..b10 integridade de tokens).
• TRUST-MODEL.md - o modelo de síntese de fronteiras de confiança.
• drivers/ - a superfície de ataque de drivers: 661 registos de drivers datados, catálogo de CVE BYOVD, HVCI + lista de bloqueio de drivers vulneráveis, e o mapa de deteção.
• splunk/ - a referência Splunk: fundamentos de SPL, deteção e alerta, Enterprise Security, e padrões de investigação.
• sigma/ - o corpus Sigma completo, indexado por técnica e tática MITRE ATT&CK (INDEX.md, TACTICS.md, DETECTION-GAPS.md).
• LIBRARY-GAPS.md - lacunas na forma da biblioteca vs uma enciclopédia de defesa completa (a antítese do HackTricks). As lacunas de contagem de regras permanecem em sigma/DETECTION-GAPS.md.
• CONTINENTS.md - plataforma → primitiva → página (a espinha do HackTricks).
• TECHNIQUE-INDEX.md - técnica ATT&CK → classe fundida.
• classes/_TEMPLATE.md - definição de concluído para uma página de classe fundida (modelar, endurecer, detetar, caçar, isolar, enganar, expulsar, restaurar).
• Continentes (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) - modelos de confiança + índices de classes.

Navegar por classe de ataque

Classe	Ataque	Padrão	Diretórios de técnicas Sigma	Regras
c01	Bypass de UAC	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	Carregamento de driver BYOVD	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	Roubo de LSASS / token	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	Abuso de serviços	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	Persistência via registro	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	Proxy de binário assinado (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	Prejuízo de defesas	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	Sequestro de ordem de busca de DLL	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	Execução / persistência via WMI	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	Tarefas agendadas	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	Representação de token	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Print spooler	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	disperso
c20	Movimento lateral	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	Phishing / execução pelo usuário	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	Contas válidas	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Escalação de privilégios no Linux	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	Escape de contêiner	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	Plano de controle em nuvem	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 arquivos k8s
c27	Web / webshell	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / túnel / exfiltração	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / cadeia de suprimentos	patterns/p29-cicd-supply-chain.md	t1195*	escasso
c30	Confiança no macOS	(fundido na classe)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	Móvel / MDM	patterns/p31-mobile-mdm.md	Matriz móvel	sem Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	Matriz ICS	sem Sigma
c33	Físico / firmware / sem fio	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	Agentes de IA / MCP	patterns/p34-ai-agent-mcp.md	emergente	sem Sigma

As classes de AD c14-c19 ficam em ad/classes/ (Kerberos, DCSync, AD CS, delegação, persistência via ACL, coerção). Tabela completa com divisão por status: INDEX.md.

Como usar