Detection Defense Library

Единая библиотека по защитной инженерии. Классы атак, паттерны, которые их обнаруживают, зафиксированные правила Sigma и модель доверительных границ Windows — всё в одном репозитории.

Этот репозиторий объединяет пять бывших родственных репозиториев:

Бывший репозиторий	Объединён в	Что содержит
detection-engineering-patterns	patterns/ + METHODOLOGY.md	Проработанные паттерны: от класса атаки к наблюдаемому признаку, источнику данных и правилу Sigma
all-the-sigma-you-need	sigma/	3 141 правило Sigma, проиндексированное по техникам и тактикам MITRE ATT&CK
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	Модель доверительных границ Windows с индексацией по компонентам
windows-driver-surface	drivers/	Датированная поверхность атак через драйверы: 661 запись о BYOVD/уязвимых драйверах, HVCI + блок-лист, карта обнаружения
splunk-cheatsheet	splunk/	Практический справочник по Splunk: SPL, обнаружение/оповещение, ES, паттерны расследования

Какую проблему это решает

Знания по обнаружению разбросаны по паттернам, правилам Sigma, моделям доверительных границ и инструментам без единого стержня. Этот репозиторий объединяет их: для любого класса атак вы получаете модель того, как работает атака, наблюдаемый признак, за которым нужно следить, зафиксированные правила Sigma, которые её ловят, и путь harden/isolate/evict. Это противоположность HackTricks: энциклопедия защиты вместо сборника атак.

Быстрый старт (это справочник; устанавливать ничего не нужно)

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

Каждая страница classes/cN-*.md является сквозной: моделирование, усиление защиты, обнаружение, охота, изоляция, обман, вытеснение, восстановление, а также идентификаторы правил Sigma, которые следует включить в первую очередь. Начните с INDEX.md, чтобы увидеть полную карту классов, затем classes/_TEMPLATE.md — контракт, которому следует каждая страница.

Структура

• classes/ — просмотр по классу атак (объединённое представление). Один файл на класс — это сквозная страница защиты (от моделирования до восстановления). Количество записей инвентаря указано в INDEX.md.
• patterns/ — методологические паттерны (p01-p11, p14-p34).
• CONTROL-MAP.md — наложение ATT&CK mitigations / D3FEND / CIS / NIST.
• METHODOLOGY.md — рабочий процесс разработки обнаружения.
• boundaries/ — документы о границах доверия Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md — синтезирующая модель границ доверия.
• drivers/ — поверхность атаки драйверов: 661 датированная запись драйверов, каталог CVE BYOVD, HVCI + блок-лист уязвимых драйверов и карта обнаружения.
• splunk/ — справочник по Splunk: основы SPL, обнаружение и оповещение, Enterprise Security и паттерны расследования.
• sigma/ — полный корпус Sigma, индексированный по техникам и тактикам MITRE ATT&CK (INDEX.md, TACTICS.md, DETECTION-GAPS.md).
• LIBRARY-GAPS.md — пробелы в структуре библиотеки по сравнению с полной энциклопедией защиты (антитеза HackTricks). Пробелы в количестве правил остаются в sigma/DETECTION-GAPS.md.
• CONTINENTS.md — платформа → примитив → страница (основа HackTricks).
• TECHNIQUE-INDEX.md — техника ATT&CK → объединённый класс.
• classes/_TEMPLATE.md — определение готовности для страницы объединённого класса (моделирование, усиление защиты, обнаружение, охота, изоляция, обман, вытеснение, восстановление).
• Континенты (ad/, linux/, macos/, identity/, cloud/, email/, web/, network/, c2/, cicd/, mobile/, ics/, physical/, ai/, telemetry/, hunts/) — модели доверия + индексы классов.

Просмотр по классу атак

Класс	Атака	Паттерн	Каталоги техник Sigma	Правила
c01	Обход UAC	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	Загрузка драйвера BYOVD	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	Кража LSASS / токенов	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	Злоупотребление службами	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	Закрепление через реестр	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	Прокси через подписанные бинарники (LOLBins)	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	Нарушение работы защитных механизмов	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	Перехват порядка поиска DLL	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	Выполнение / закрепление через WMI	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	Запланированные задачи	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	Олицетворение токенов	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	Print spooler	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	разрознено
c20	Боковое перемещение	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	Фишинг / выполнение пользователем	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	Легитимные учётные записи	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Повышение привилегий в Linux	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	Побег из контейнера	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	Плоскость управления облаком	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 файлов k8s
c27	Веб / веб-шелл	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / туннель / эксфильтрация	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / цепочка поставок	patterns/p29-cicd-supply-chain.md	t1195*	тонкий
c30	Доверие в macOS	(объединено в классе)	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	Мобильные устройства / MDM	patterns/p31-mobile-mdm.md	Мобильная матрица	нет Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	Матрица ICS	нет Sigma
c33	Физический доступ / прошивка / беспроводные сети	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	AI-агенты / MCP	patterns/p34-ai-agent-mcp.md	развивающееся	нет Sigma

Классы AD c14-c19 находятся в ad/classes/ (Kerberos, DCSync, AD CS, делегирование, закрепление через ACL, принуждение). Полная таблица с разбивкой по статусам: INDEX.md.

Как использовать