TrystanLitchfield/detection-foundry

# Detection Foundry Detection Foundry 是一个专注于检测工程、安全遥测、对手模拟和威胁调查的实践型网络安全家庭实验室（Homelab）。 其目标是构建并记录一个真实的检测工作流程，而不仅仅是收集工具或上传孤立的告警规则。 ## 项目目标 * 构建一个实用的多系统安全实验室 * 收集有价值的 Windows、Linux、网络和身份验证遥测数据 * 开发并测试检测规则 * 模拟受控的攻击者行为 * 记录误报、局限性和调优决策 * 发布调查案例研究和验证证据 * 随着时间的推移，实现检测开发流程的部分自动化 ## 当前状态 该项目目前处于规划和初始设置阶段。 当前的工作包括： * 定义实验室架构 * 建立仓库标准 * 选择初始的基础设施和遥测技术栈 * 规划首个检测开发工作流程 ## 计划的工作流程 ``` Telemetry ↓ Detection Logic ↓ Controlled Testing ↓ Validation and Tuning ↓ Investigation ↓ Documentation ``` ## 仓库结构 ``` detection-foundry/ ├── detections/ # Detection documentation and engineering packages ├── rules/ # Sigma and platform-specific rules ├── tests/ # Malicious, benign, and validation tests ├── telemetry/ # Logging configurations and sample events ├── adversary-emulation/ # Controlled attack simulations ├── investigations/ # Investigation notes and case studies ├── threat-hunting/ # Hunt hypotheses, queries, and findings ├── automation/ # Testing and validation scripts ├── infrastructure/ # Lab setup and configuration ├── dashboards/ # Dashboards and visualizations ├── coverage/ # MITRE ATT&CK mapping and gap analysis ├── reports/ # Validation and assessment reports ├── diagrams/ # Architecture and data-flow diagrams ├── docs/ # Project documentation └── templates/ # Reusable project templates ``` ## 计划使用的技术 初始实验室预计将包括： * Wazuh * Sysmon * Windows Event Logs * Linux 日志和审计遥测 * Sigma * MITRE ATT&CK * Atomic Red Team * Python * PowerShell * Bash 随着项目的推进，技术栈可能会发生变化。 ## 项目方法 最终添加到此仓库的检测应包含以下内容： * 被检测的行为 * 所需的遥测数据 * ATT&CK 映射 * 检测逻辑 * 测试流程 * 预期结果 * 误报相关的注意事项 * 已知的局限性 * 调查指南 ## 安全声明 所有对手模拟都将仅在项目维护者拥有或授权使用的受控系统中进行。 本仓库中不会发布任何雇主数据、客户数据、真实凭据、私钥或敏感的生产环境信息。 ## 作者 Detection Foundry 是由 **Trystan Litchfield** 创建的独立作品集项目。

标签：AI合规, 安全实验室, 应用安全, 攻击模拟, 网络安全, 逆向工具, 隐私保护, 驱动签名利用