Библиотека обнаружения и защиты

Единая консолидированная библиотека инженерии защиты. Классы атак, паттерны их обнаружения, готовые Sigma-правила и модель доверительных границ Windows — всё в одном репозитории.

Этот репозиторий объединяет четыре бывших родственных репозитория:

Структура

• classes/ — просмотр по классам атак (объединённое представление). Один файл на класс — сквозная страница защиты (от model до restore). Счётчики инвентаризации — в INDEX.md.
• patterns/ — методологические паттерны (p01–p11, p14–p34).
• CONTROL-MAP.md — наложение смягчающих мер ATT&CK / D3FEND / CIS / NIST.
• METHODOLOGY.md — рабочий процесс создания правил обнаружения.
• boundaries/ — документация по доверительным границам Windows (b01 services..b10 token integrity).
• TRUST-MODEL.md — модель синтеза доверительных границ.
• drivers/ — поверхность атаки драйверов: 661 датированная запись о драйверах, каталог CVE BYOVD, блок-лист HVCI + уязвимых драйверов и карта обнаружения.
• splunk/ — справочник по Splunk: основы SPL, обнаружение и оповещение, Enterprise Security, паттерны расследований.

Просмотр по классам атак

Классы AD c14–c19 находятся в ad/classes/ (Kerberos, DCSync, AD CS, делегирование, персистентность через ACL, принудительная аутентификация). Полная таблица с разбивкой по статусам: INDEX.md.

Как использовать

1. Выберите континент из CONTINENTS.md, технику из TECHNIQUE-INDEX.md или класс атаки из INDEX.md.
2. Откройте classes/cN-*.md (или ad/classes/) для объединённой страницы: именованный шаг harden, предусловие по источникам данных, Sigma-идентификаторы для включения в первую очередь, hunt, isolate, evict, restore, а также именованный лабораторный тест. classes/_TEMPLATE.md — это контракт, который должен пройти каждый класс.
3. Переходите в patterns/ за каркасом «наблюдаемый артефакт / источник данных» или в sigma/ за полным набором правил.
4. Для представления на уровне системы читайте TRUST-MODEL.md континента и (в Windows) boundaries/.
5. Для углублённой работы с драйверами/BYOVD используйте drivers/: датированный каталог драйверов, именованные CVE BYOVD, блок-лист HVCI + уязвимых драйверов и карту обнаружения.
6. Для углублённой работы с SIEM/логикой обнаружения используйте : основы SPL, оповещение, Enterprise Security и паттерны расследований (распространённая цель развёртывания Sigma-правил из ).

Область применения

Справочник по инженерии защиты для систем, которыми читатель владеет или которые уполномочен тестировать. Двойное назначение: сочетайте атакующий инструментарий (родственные библиотеки для наступательной безопасности) с обнаружением (эта библиотека). Здесь не размещаются никакие payload, кроме Sigma-правил обнаружения и справочной методологии.

Хартия: энциклопедия защиты — инверсия HackTricks. Каждый заявленный континент имеет модель доверия и объединённые классы, проходящие classes/_TEMPLATE.md. Mobile/ICS/AI входят в область применения с честными пометками «нет корпуса Sigma». Блокчейн, стеганография и туториалы по разработке эксплойтов остаются вне области применения. Исходную карту пробелов см. в LIBRARY-GAPS.md.

Происхождение и сопровождение

PROVENANCE.md фиксирует каждый источник и то, как был сгенерирован корпус Sigma. sigma/gen_bridge.py пересоздаёт дерево, индексированное по техникам, из свежего клона SigmaHQ. gen_bridge.py в корне пересчитывает количество правил по классам.