Фреймворк Adversarial Detection Engineering (ADE)

Опережайте ложноотрицательные срабатывания, понимая, как логика обнаружения даёт сбои, ещё до того, как это начнут использовать злоумышленники.

Ознакомьтесь с сайтом: https://adeframework.org/

Что такое ADE?

Adversarial Detection Engineering (ADE) — это дисциплина рассуждения о ложноотрицательных срабатываниях в правилах обнаружения. Фреймворк ADE представляет собой современную открытую формализацию багов логики обнаружения — несоответствий между тем, что правило обнаружения намеревается обнаружить, и тем, что оно фактически обнаруживает.

Преимущество ADE

Вместо того чтобы ждать появления реальных ложноотрицательных срабатываний, инженеры по обнаружению могут проактивно задавать вопрос:

«Какие вариации приведут к тому, что логика обнаружения этого правила пропустит то, что оно должно было поймать?»

Такая линия рассуждений от лица противника отражает то, как злоумышленники могут злоупотреблять слабостями в логике обнаружения.

Ключевые возможности

• ✅ Выявлять воспроизводимые баги логики обнаружения и сопоставлять их с формальными категориями ADE
• ✅ Встраивать образ мышления атакующего в процесс проектирования и проверки логики обнаружения
• ✅ Вскрывать структурные слабости в правилах, используемых для охоты или в производственных инструментах MDR (SIEM, XDR, EDR)
• ✅ Вооружать команды безопасности практически применимой информацией о багах логики обнаружения
• ✅ Опережать ложноотрицательные срабатывания до того, как злоумышленники их обнаружат и начнут эксплуатировать

Назначение ADE

Цель ADE — не заставить добиться идеальности в проектировании, хотя это и является идеальной целью, а повысить осведомлённость и отслеживать ограничения, даже если они намеренные:

• ADE не требует идеальных правил обнаружения; она делает риск ложноотрицательных срабатываний видимым.
• Многие правила намеренно содержат ограничения из-за области охвата, качества сигнала или операционных ограничений, и они всё равно могут быть сопоставлены с типами багов ADE, не будучи «неправильными».
• ADE предоставляет единый способ документировать, принимать, смягчать или компенсировать эти риски в рамках всего набора правил, а не оценивать отдельные правила в изоляции.

Связь ADE с Detection Logic Exposures (DLE)

• ADE предоставляет каноническую таксономию и классы багов для багов логики обнаружения.
• DLE предоставляет признанный список публично раскрытых обходов с сопоставлениями ADE.

Быстрый старт

Впервые знакомитесь с ADE? Начните здесь:

1. Введение — Поймите, что такое ADE и почему это важно
2. Основные концепции — Изучите базовую терминологию
3. Руководство по быстрому старту — Примените ADE к вашему первому правилу обнаружения
4. Тест вероятности бага — Быстрый чек-лист для оценки правил на наличие багов

Готовы углубиться?

• Теория багов логики обнаружения — Формальные основы
• Обзор таксономии — Все категории багов
• Примеры — Примеры из реального мира

Таксономия багов логики обнаружения ADE

Фреймворк выделяет 4 основные категории и 16 подкатегорий багов логики обнаружения:

🌳 ADE1 – Reformatting in Actions
    ├─ ADE1-01 Substring Manipulation
    └─ ADE1-02 Normalization Asymmetry

🌳 ADE2 – Omit Alternatives
    ├─ ADE2-01 Method/Binary
    ├─ ADE2-02 Versioning
    ├─ ADE2-03 Locations
    └─ ADE2-04 File Types

🌳 ADE3 – Context Development
    ├─ ADE3-01 Process Cloning
    ├─ ADE3-02 Aggregation Hijacking
    ├─ ADE3-03 Timing and Scheduling
    ├─ ADE3-04 Event Fragmentation
    ├─ ADE3-05 Lineage Spoofing
    └─ ADE3-06 Limit Saturation

🌳 ADE4 – Logic Manipulation
    ├─ ADE4-01 Gate Inversion
    ├─ ADE4-02 Conjunction Inversion
    ├─ ADE4-03 Incorrect Expression
    └─ ADE4-04 Field Mismapping & Semantics

→ Изучите полную таксономию

Что предоставляет фреймворк

1. Теория багов логики обнаружения

Формальные определения и теоретическая основа:

• Что представляет собой баг логики обнаружения
• Как баги создают ложноотрицательные срабатывания
• Взаимосвязь между областью охвата и логикой обнаружения
• Концепция обходов правил

2. Формальная таксономия багов

Всеобъемлющая классификация с чёткой терминологией:

• 4 основные категории
• 16 подробных подкатегорий
• Согласованная система маркировки (ADE1-01, ADE2-01 и т. д.)
• Сопоставление с реальными правилами обнаружения

3. Примеры из реального мира

Конкретные примеры из производственных наборов правил:

• Правила обнаружения Sigma
• Аналитика Microsoft Sentinel
• Правила SIEM и EDR Elastic Security

Категории примеров:

• Примеры ADE1 — Обходы через манипуляцию строками
• Примеры ADE2 — Пропущенные альтернативы
• Примеры ADE3 — Развитие контекста
• Примеры ADE4 — Манипуляция логикой

4. Практические инструменты

• Тест вероятности бага — Быстрый чек-лист для предварительного анализа
• Руководство по быстрому старту — Пошаговый процесс применения