检测防御库

一个整合的防御工程库。攻击类别、检测它们的模式、已提交的 Sigma 规则以及 Windows 信任边界模型，全部汇集于一个仓库中。

此仓库整合了原先的四个兄弟仓库：

布局

• classes/ — 按攻击类别浏览（融合视图）。每个类别一个文件，即端到端的防御页面（从建模到恢复）。清单计数位于 INDEX.md。
• patterns/ — 方法论模式（p01–p11、p14–p34）。
• CONTROL-MAP.md — ATT&CK 缓解措施 / D3FEND / CIS / NIST 覆盖。
• METHODOLOGY.md — 检测开发工作流程。
• boundaries/ — Windows 信任边界文档（b01 服务 .. b10 令牌完整性）。
• TRUST-MODEL.md — 信任边界综合模型。
• drivers/ — 驱动攻击面：661 条带日期的驱动记录、BYOVD CVE 目录、HVCI + 易受攻击驱动黑名单，以及检测映射。
• splunk/ — Splunk 参考：SPL 基础知识、检测与告警、Enterprise Security，以及调查模式。
• sigma/ — 完整 Sigma 语料库，按 MITRE ATT&CK 技术与战术索引（、、）。

按攻击类别浏览

AD 类别 c14–c19 位于 ad/classes/ 下（Kerberos、DCSync、AD CS、委派、ACL 持久化、强制认证）。包含状态拆分的完整表格：INDEX.md。

使用方法

1. 从 CONTINENTS.md 中选择一个大陆，从 TECHNIQUE-INDEX.md 中选择一项技术，或从 INDEX.md 中选择一个攻击类别。
2. 打开 classes/cN-*.md（或 ad/classes/）查看融合页面：指定的加固（harden）、数据源前提、优先启用的 Sigma ID、狩猎（hunt）、隔离（isolate）、驱逐（evict）、恢复（restore），以及一个指定的实验测试。classes/_TEMPLATE.md 是每个类别都必须通过的契约。
3. 进入 patterns/ 查看可观测性 / 数据源骨架，或进入 sigma/ 查看完整规则集。
4. 如需系统级视角，请阅读对应大陆的 TRUST-MODEL.md，以及（Windows 上的）boundaries/。
5. 如需驱动/BYOVD 层面的细节，请使用 drivers/：带日期的驱动目录、指定的 BYOVD CVE、HVCI + 易受攻击驱动黑名单，以及检测映射。
6. 如需 SIEM/检测逻辑层面的细节，请使用 splunk/：SPL 基础知识、告警、Enterprise Security 和调查模式（sigma/ 中 Sigma 规则的常见部署目标）。

范围

适用于读者拥有或被授权测试的系统的防御工程参考。双重用途：将攻击（配套的攻击库）与检测（本库）配对使用。除 Sigma 检测规则和参考方法论外，本仓库不托管任何载荷。

章程：一部防御百科全书——与 HackTricks 相对。每个声明的大陆都有信任模型和通过 classes/_TEMPLATE.md 的融合类别。移动端/ICS/AI 均在范围内，并附有诚实的“无 Sigma 语料库”说明。区块链、隐写术和漏洞利用开发教程不在范围内。原始缺口映射见 LIBRARY-GAPS.md。

来源与维护

PROVENANCE.md 记录了每个来源以及 Sigma 语料库的生成方式。 sigma/gen_bridge.py 从全新的 SigmaHQ 克隆中重新生成按技术索引的树。 根目录下的 gen_bridge.py 重新生成每个类别的计数。