adversarial-detection-engineering/adversarial-detection-engineering-framework一个用于识别、分类和推理SIEM、EDR和XDR规则中检测逻辑错误的框架和分类法，包含具体示例和真实世界的绕过案例。
在威胁行为者滥用之前，先于假阴性一步，理解检测逻辑如何失效。
访问网站：https://adeframework.org/
对抗性检测工程（ADE）是一门关于检测规则中假阴性推理的学科。ADE 框架为检测逻辑缺陷——即检测规则意图检测的内容与其实际检测的内容之间的不匹配——提供了现代化的开源形式化定义。
检测工程师无需等待现实世界中的假阴性出现，而是可以主动提出：
“哪些变体会导致该规则的检测逻辑漏掉它本应捕获的内容？”
这种对抗性推理方式与威胁行为者滥用检测逻辑弱点的方式如出一辙。
ADE 的目的并非强制设计上的完美——尽管那是一个理想目标——而是提高认知并追踪局限性，即使这些局限性是有意为之的：
初次接触 ADE？ 从这里开始：
准备深入学习？
该框架识别出检测逻辑缺陷的 4 个主要类别和 16 个子类别：
🌳 ADE1 – 操作中的重格式化
├─ ADE1-01 子字符串操纵
└─ ADE1-02 规范化不对称
🌳 ADE2 – 遗漏替代项
├─ ADE2-01 方法/二进制
├─ ADE2-02 版本控制
├─ ADE2-03 位置
└─ ADE2-04 文件类型
🌳 ADE3 – 上下文构建
├─ ADE3-01 进程克隆
├─ ADE3-02 聚合劫持
├─ ADE3-03 时序与调度
├─ ADE3-04 事件碎片化
├─ ADE3-05 血统欺骗
└─ ADE3-06 限制饱和
🌳 ADE4 – 逻辑操纵
├─ ADE4-01 门控反转
├─ ADE4-02 合取反转
├─ ADE4-03 表达式错误
└─ ADE4-04 字段错误映射与语义
形式化定义与理论基础：
全面分类及清晰术语：
来自生产规则集的具体示例：
示例类别：
ADE 与现有检测工程实践集成并增强它们：
| 框架 | 重点 | ADE 集成 |
|---|---|---|
| MITRE ATT&CK | 攻击技术与战术 | ADE 解释 ATT&CK 技术的检测为何失败 |
| MITRE CAR | 检测分析仓库 | ADE 为 CAR 分析提供缺陷分类法 |
| 检测工程生命周期 | 工程工作流阶段 | ADE 是改进阶段的推理框架 |
| Sigma/YARA/KQL | 规则语法与格式 | ADE 分析所有查询语言中的语义逻辑缺陷 |
ADE 的独特价值： 对假阴性原因进行形式化逻辑层面的分类
我们欢迎贡献！活跃开发领域包括：
静态分析器开发 - 用于分析检测规则潜在逻辑缺陷的工具
缺陷仓库扩展 - 已识别缺陷的精选集合
计划中的开发：
| 特性 | 值 |
|---|---|
| 基于 | MIT 许可证 |
| 分发 | 是 |
| 修改 | 是 |
| 私人使用 | 是 |
| 商业使用 | 是 |
| 责任 | 否 |
| 担保 | 否 |
| 许可证与版权声明 | 是 |
| 作者署名 | 必需 |
⚠️ 重要： 本框架仅用于防御性安全研究、检测工程和风险评估。其目的是帮助防御者识别、推理并修复检测逻辑和安全监控系统中的弱点。
用户须自行负责确保其使用符合所有适用法律、法规和授权要求。作者及合作者不对因使用本框架而导致的误用、损害或伤害承担任何责任。
需要授权： 在您拥有或运营的环境之外测试检测、系统或控制措施之前，请务必获得明确的书面授权。
负责任披露： 示例的提供已考虑负责任披露。检测规则和监控内容通常不在供应商漏洞披露和漏洞赏金计划的范围之内。
无担保： 本框架按“原样”提供，不附带任何形式的明示或暗示担保。