检测防御库

一个整合的防御工程库。攻击类别、检测它们的模式、已提交的 Sigma 规则，以及 Windows 信任边界模型，全部汇集于单一仓库。

本仓库合并了五个此前的同级仓库：

原仓库	合并至	内容
detection-engineering-patterns	patterns/ + METHODOLOGY.md	实战模式：从攻击类别到可观测项、数据源和 Sigma 规则
all-the-sigma-you-need	sigma/	3,141 条 Sigma 规则，按 MITRE ATT&CK 技术和战术索引
windows-trust-boundary-blueprint	boundaries/ + TRUST-MODEL.md	按组件索引的 Windows 信任边界模型
windows-driver-surface	drivers/	带日期的驱动攻击面：661 条 BYOVD/易受攻击驱动记录、HVCI + 阻止列表、检测映射
splunk-cheatsheet	splunk/	实用 Splunk 参考：SPL、检测/告警、ES、调查模式

本库解决的问题

检测工程知识分散在模式、Sigma 规则、信任边界模型和工具之中，缺乏统一的主线。本仓库将它们融合：对于任何攻击类别，你都能获得攻击工作原理的模型、需要监视的可观测项、能够捕获它的已提交 Sigma 规则，以及加固/隔离/清除路径。它是 HackTricks 的反面：一部防御百科全书，而非攻击资料堆砌。

快速开始（这是参考资料；无需安装）

git clone [email protected]:WattoCyber/detection-defense-library.git
cd detection-defense-library

# 1. start by attack class (the fused view)
less classes/c01-uac-bypass.md # e.g. UAC bypass

# 2. or browse by continent / platform
less CONTINENTS.md

# 3. or find a technique
less TECHNIQUE-INDEX.md

每个 classes/cN-*.md 页面都是端到端的：建模、加固、检测、狩猎、隔离、欺骗、驱逐、恢复，外加应优先启用的 Sigma 规则 ID。从 INDEX.md 开始查看完整的类别地图，然后查看 classes/_TEMPLATE.md 了解每个页面遵循的约定。

目录结构

• classes/ - 按攻击类别浏览（融合视图）。每个类别一个文件，即端到端防御页面（从建模到恢复）。清单计数位于 INDEX.md。
• patterns/ - 方法论模式（p01-p11、p14-p34）。
• CONTROL-MAP.md - ATT&CK 缓解措施 / D3FEND / CIS / NIST 叠加层。
• METHODOLOGY.md - 检测开发工作流。
• boundaries/ - Windows 信任边界文档（b01 服务..b10 令牌完整性）。
• TRUST-MODEL.md - 信任边界综合模型。
• drivers/ - 驱动攻击面：661 条带日期的驱动记录、BYOVD CVE 目录、HVCI + 易受攻击驱动阻止列表，以及检测映射。
• splunk/ - Splunk 参考：SPL 基础、检测与告警、Enterprise Security，以及调查模式。
• sigma/ - 完整的 Sigma 语料库，按 MITRE ATT&CK 技术和战术索引（INDEX.md、TACTICS.md、DETECTION-GAPS.md）。
• LIBRARY-GAPS.md - 库形态与完整防御百科全书的差距（HackTricks 的对立面）。规则数量差距保留在 sigma/DETECTION-GAPS.md。
• CONTINENTS.md - 平台 → 原语 → 页面（HackTricks 主干）。
• TECHNIQUE-INDEX.md - ATT&CK 技术 → 融合类别。
• classes/_TEMPLATE.md - 融合类别页面的完成定义（建模、加固、检测、狩猎、隔离、欺骗、驱逐、恢复）。
• 大陆（ad/、linux/、macos/、identity/、cloud/、email/、web/、network/、c2/、cicd/、mobile/、ics/、physical/、ai/、telemetry/、hunts/）- 信任模型 + 类别索引。

按攻击类别浏览

类别	攻击	模式	Sigma 技术目录	规则数
c01	UAC 绕过	patterns/p01-uac-bypass.md	sigma/rules/t1548.002	56
c02	BYOVD 驱动加载	patterns/p02-byovd-driver-load.md	sigma/rules/t1068, t1547.008	16
c03	LSASS / 令牌窃取	patterns/p03-token-theft-lsass.md	sigma/rules/t1003*	185
c04	服务滥用	patterns/p04-service-abuse.md	sigma/rules/t1543.003	38
c05	注册表持久化	patterns/p05-registry-persistence.md	sigma/rules/t1547.001	31
c06	签名二进制代理（LOLBins）	patterns/p06-lolbins.md	sigma/rules/t1218*	179
c07	PowerShell	patterns/p07-powershell.md	sigma/rules/t1059.001	180
c08	防御削弱	patterns/p08-defense-impairment.md	sigma/rules/t1685*, t1686.003	200
c09	DLL 搜索顺序劫持	patterns/p09-dll-hijack.md	sigma/rules/t1574.001	80
c10	WMI 执行 / 持久化	patterns/p10-wmi-persistence.md	sigma/rules/t1047, t1546.003	58
c11	计划任务	patterns/p11-scheduled-tasks.md	sigma/rules/t1053.005	31
c12	令牌模拟	patterns/p03-token-theft-lsass.md	sigma/rules/t1134*	23
c13	打印后台处理程序	patterns/p02-byovd-driver-load.md	t1068 / t1547.010 / t1134.001	分散
c20	横向移动	patterns/p20-lateral-movement.md	t1021.002 .001 .006 .003, t1047	36+15+10+13+47
c21	钓鱼 / 用户执行	patterns/p21-phishing.md	t1566.001, t1566, t1566.002, t1204.002	19+11+3+28
c22	有效账户	patterns/p22-valid-accounts.md	t1078, t1078.004	51+37
c23	Linux 权限提升	patterns/p23-linux-privesc.md	t1548.001, t1548.003, t1053.003, t1543.002	1+1+6+2
c24	容器逃逸	patterns/p24-container-escape.md	t1611, t1609, t1552.007	2+3+4
c25	云控制平面	patterns/p25-cloud-control-plane.md	t1078.004, t1098	37+31
c26	Kubernetes	patterns/p26-kubernetes.md	t1611, t1609, t1552.007	20 个 k8s 文件
c27	Web / webshell	patterns/p27-web-webshell.md	t1190, t1505.003	46+23
c28	C2 / 隧道 / 数据外泄	patterns/p28-c2-tunnel-exfil.md	t1572, t1090, t1105	23+21+70
c29	CI/CD / 供应链	patterns/p29-cicd-supply-chain.md	t1195*	薄弱
c30	macOS 信任	（融合于类别中）	t1553.001, t1547.015, t1569.001, t1543.001/.004	1+1+1+2+2
c31	移动 / MDM	patterns/p31-mobile-mdm.md	移动矩阵	无 Sigma
c32	ICS / OT	patterns/p32-ics-ot.md	ICS 矩阵	无 Sigma
c33	物理 / 固件 / 无线	patterns/p33-physical-firmware-wireless.md	t1200, t1542.001, t1495	3+2+1
c34	AI 代理 / MCP	patterns/p34-ai-agent-mcp.md	新兴	无 Sigma

AD 类别 c14-c19 位于 ad/classes/ 下（Kerberos、DCSync、AD CS、委派、ACL 持久化、强制认证）。含状态拆分的完整表格：INDEX.md。

使用方法

1. 从 CONTINENTS.md 中选择一个大陆，或从 TECHNIQUE-INDEX.md 中选择一种技术，或从 INDEX.md 中选择一个攻击类别。
2. 打开 classes/cN-*.md（或 ad/classes/）查看融合页面：命名的加固措施、数据源前提条件、优先启用的 Sigma ID、狩猎、隔离、驱逐、恢复，以及命名的实验测试。classes/_TEMPLATE.md 是每个类别都必须通过的契约。
3. 进入 patterns/ 查看可观测项 / 数据源骨架，或进入 sigma/ 查看完整规则集。
4. 如需系统级视图，请阅读大陆的 TRUST-MODEL.md 以及（在 Windows 上）boundaries/。
5. 如需驱动 / BYOVD 深度内容，请使用 drivers/：带日期的驱动目录、命名的 BYOVD CVE、HVCI + 易受攻击驱动阻止列表，以及检测映射。
6. 如需 SIEM / 检测逻辑深度内容，请使用 splunk/：SPL 基础、告警、企业安全，以及调查模式（sigma/ 中 Sigma 规则的常见部署目标）。

范围

面向读者拥有或获授权测试的系统的防御工程参考。双用途：将攻击（同类攻击性库）与检测（本库）配对。除 Sigma 检测规则和参考方法论外，此处不托管任何载荷。

章程：一部防御百科全书——HackTricks 的逆向。每个声称覆盖的大陆都有信任模型和融合类，且通过 classes/_TEMPLATE.md。移动/ICS/AI 在范围内，并附有诚实的“无 Sigma 语料库”说明。区块链、隐写和漏洞利用开发教程不在范围内。参见 LIBRARY-GAPS.md 了解原始缺口图。

来源与维护

PROVENANCE.md 记录每个来源以及 Sigma 语料库是如何生成的。sigma/gen_bridge.py 从全新的 SigmaHQ 克隆重新生成按技术索引的树。根目录下的 gen_bridge.py 重新生成每个类的计数。