基于动态图的概率检测与时间相关性分析用于异构企业环境中的横向移动

横向移动是企业内网入侵后最具破坏性的阶段之一，其典型特征是攻击者在获得初始立足点后，借助有效凭据、远程服务与信任关系在主机、身份与应用边界之间持续扩展访问权限。对于 2007 年以前的企业环境而言，传统基于边界防护、静态规则与孤立告警的检测方法，往往难以刻画多跳认证链、时间依赖关系以及低频高隐蔽行为，从而导致误报率高、漏报率亦难以接受。为应对这一问题，我们提出一种面向异构企业环境的时间动态图概率检测框架，将身份、主机、远程会话、目录服务与网络流量统一建模为带时间戳的事件图，并在此基础上采用增量贝叶斯推断更新边缘合法性概率。该框架以对数似然累积方式描述路径风险，结合单调剪枝策略对候选路径进行高效枚举，从而在保证可扩展性的同时控制搜索空间。我们进一步从基率谬误的角度分析告警阈值设定与误报抑制之间的关系，说明在低发生率场景下，精细化概率建模比单纯依赖静态阈值更具实际意义。本文还给出形式化威胁模型、完备性证明、复杂度分析以及面向金融与医疗场景的案例讨论。实验部分采用严格的时间切分验证，评估静态规则、经典统计方法与所提出模型在 AUC、固定召回率下误报率以及可解释性方面的表现。结果表明，该方法在保持较高可解释性与可操作性的前提下，能够更稳定地识别跨主机、跨会话与跨身份域的可疑横向移动链条，并为安全运营中心在事件响应、取证与阻断决策中提供更一致的概率依据。

1. 引言

过去十年中，企业信息系统在架构上经历了显著的异构化与分层化。传统本地网络、目录服务、邮件系统、远程访问网关、数据库服务器以及外部协作平台共同构成了一个高度互联的企业环境。对于 2007 年的安全运维实践而言，这类环境虽然尚未出现后续年代中广泛流行的云原生平台与容器编排体系，但已经呈现出明显的跨域依赖特征：身份验证链条可能横跨 Active Directory、VPN、Web 门户与远程桌面服务，业务访问则可能依赖共享文件服务器、数据库中继主机与应用代理。攻击者一旦在某一节点上取得初始立足点，便可利用这些依赖关系实施横向移动，逐步扩大控制范围并规避单点防御。

在既有公开研究与行业报告中，使用有效凭据、远程服务滥用与凭据转移长期被视为入侵者巩固权限的重要手段。企业环境中的横向移动通常并不依赖单一高危漏洞，而是结合社会工程、弱口令、密码重用、会话劫持、共享凭据与不当权限委派等多种条件。与此同时，攻击行为往往与正常运维活动在表面上高度相似，例如管理员远程登录、批量软件分发、远程备份、文件共享访问以及集中式补丁部署等。因此，检测任务的难点并不只在于识别“异常事件”，更在于识别“异常序列”和“异常路径”。

我们认为，横向移动检测面临三项核心挑战。第一，单个事件通常具有语法合法性，即其本身符合协议、认证或远程管理的正常行为模式，但其上下文组合却可能显著偏离常态。第二，合法行为具有较强的时间变异性，不同部门、角色、班次与业务周期会显著影响认证频率与远程访问模式。第三，基率问题使得绝大多数告警在真实环境中都面临类内不平衡：即使检测器具有较高灵敏度，当攻击发生率极低时，误报在绝对数量上仍会压倒真正的高风险事件。

传统的安全信息与事件管理系统通常依赖静态规则、阈值告警以及有限的关联查询。这类方法适合识别单点异常，但对多跳认证链、跨主机依赖和时间先后关系的刻画能力有限。更重要的是，许多现有方法缺少统一的概率解释框架，导致安全分析人员很难根据告警强度、上下文风险与时间相关性进行一致的优先级排序。为此，我们提出一种基于时间动态图与增量贝叶斯推断的检测模型，并从复杂性、可解释性与决策理论三个层面进行形式化分析。

本文的研究问题如下：

RQ1：如何在保持可扩展性的前提下，对多跳时间交互进行统一建模？
RQ2：在低基率环境中，如何通过概率更新与路径剪枝降低误报？
RQ3：如何在一致的增量模型中整合异构遥测数据，包括网络、身份、主机与审计日志？

本文的主要贡献如下：

我们提出一种面向异构企业环境的时间动态图概率检测框架。
我们给出路径合法性概率的形式化定义，并证明单调剪枝条件下的完备性。
我们分析了增量贝叶斯更新的计算复杂度与实际运行代价。
我们结合时间切分评估方法，讨论该模型在金融与医疗场景中的适用性。
我们从基率谬误、日志完整性与运维可操作性三个角度讨论其局限性。

2. 背景与相关工作

2.1 检测方法分类

我们将横向移动检测方法划分为四类：静态规则、经典统计模型、无监督学习方法以及基于图的模型。不同方法在可解释性、实时性、泛化能力与部署复杂度之间存在明显权衡。

类别	典型示例	主要优势	主要局限性
静态规则	传统 SIEM 关联规则、签名库	简单直接、便于审计	泛化能力低，维护成本高
经典统计模型	阈值、回归、频率分析	易于实现、便于解释	对漂移敏感，难刻画多跳关系
无监督学习	隔离森林、随机森林	可发现未知模式	依赖特征工程，解释性有限
基于图的模型	结构异常检测、子图分析	可建模关系结构	计算成本较高，参数复杂

随机森林（BREIMAN, 2001）以及后续的异常检测方法常被用于从行为特征中识别异常，但这类方法大多仍将事件视为相互独立的样本。隔离森林（LIU; TING; ZHOU, 2008）在高维异常识别方面表现较好，但其输出通常不直接表示攻击路径的累积风险。Eberle 与 Holder（2009）提出了图结构异常检测思路，强调关系型数据中的局部结构偏差。对于安全场景而言，这一方向具有较强的现实意义，因为横向移动本质上就是沿着身份、主机与服务依赖关系传播的过程。

Sommer 与 Paxson（2010）指出，许多入侵检测研究隐含采用封闭世界假设，即假设训练数据足以覆盖所有正常行为模式。然而，在企业环境中，业务变化、管理员操作、补丁部署与临时维护都会不断改变正常行为分布，因此纯粹依赖静态统计边界的方法难以长期稳定运行。我们的方法正是针对这一问题，引入时间动态图与增量更新机制，以减轻概念漂移对检测性能的影响。

2.2 动态图

我们将横向移动过程表示为时间图。与静态图不同，时间图显式保留事件发生顺序与时序依赖，从而能够表达“先认证、后访问、再提升、最后传播”这类典型攻击链。

定义 1（时间图）。时间图是一个有序族 ${G_t}_{t \in T}$，其中 $G_t = (V_t, E_t)$。每条边 $e \in E_t$ 由四元组 $(u, v, \pi, t)$ 表示，其中 $u, v \in V_t$，$\pi$ 为关系标签，$t$ 为时间戳。

在企业安全场景中，顶点可表示用户、主机、服务器、共享资源或目录对象；边可表示登录、访问、连接、授权、复制或委派等行为。这样的建模方式适合描述 Active Directory 域环境中的认证路径、远程管理操作以及跨主机访问序列。

时间网络与动态传播研究表明，边的时间顺序对于路径可达性与扩散速度具有决定性影响（HOLME; SARAMÄKI, 2012）。在安全场景中，这意味着同一组事件如果在不同时间窗内发生，其风险含义可能完全不同。例如，管理员在维护窗口中顺序访问多台服务器并不罕见，但如果同样的访问模式出现在非工作时间、伴随异常认证失败或跨部门跳转，则其风险显著增加。

2.3 增量贝叶斯推断

对于参数 $\theta$，在数据流 $D_{1:t}$ 条件下的贝叶斯更新可写为：

$$ P(\theta \mid D_{1:t}) = \frac{P(D_t \mid \theta) P(\theta \mid D_{1:t-1})}{P(D_t \mid D_{1:t-1})}. $$

在持续输入的安全遥测场景中，完整重估所有参数通常成本过高。为此，我们采用指数平滑式更新：

$$ \theta_{t+1} = \alpha \theta_t + (1 - \alpha)\hat{\theta}_t, \quad \alpha \in (0,1). $$

其中，$\alpha$ 控制历史先验与当前观测之间的权重。该机制可视为一种自适应滤波器，其优势在于每次更新的计算成本较低，同时能够对行为分布的缓慢漂移做出受控适应。对于安全运营而言，这意味着系统既不会因单次噪声事件而剧烈波动，也不会在长期变化中完全失去适应能力。

3. 威胁模型与形式化

3.1 对手模型

我们考虑一个多项式时间受限的概率对手 $\mathcal{A}$。其能力包括：

A1：通过钓鱼、漏洞利用或弱口令获取初始立足点。
A2：提取、窃取或滥用认证材料，例如口令哈希、会话令牌或 SSH 密钥。
A3：实施权限提升、错误配置利用或不当权限委派。
A4：通过远程服务进行横向移动，包括 SMB、RDP、SSH 以及内部管理接口。

我们假设 $\mathcal{A}$ 可以对命令和通信内容进行一定程度的混淆，但无法完全破坏遥测数据管道。也就是说，日志可能被延迟、稀疏化或局部篡改，但网络流量、主机审计与目录服务记录仍在一定程度上可用。这一假设符合 2007 年企业环境中常见的安全监控能力：日志集中化已逐步普及，但端到端完整性仍难以完全保证。

3.2 安全博弈

我们定义对手 $\mathcal{A}$ 与检测器 $\mathcal{D}$ 之间的博弈 $\mathcal{G}$。设 $\mathcal{D}$ 在观测到事件序列后输出警报或静默。对手优势定义为：

$$ Adv_{\mathcal{A}} = P[\neg \text{警报} \mid \text{攻击}] - P[\neg \text{警报} \mid \text{合法}]. $$

我们的目标是在满足运行约束 $FPR \leq \epsilon$ 的前提下，最小化 $Adv_{\mathcal{A}}$，其中 $FPR$ 表示误报率。该定义强调：检测器不仅要对攻击保持敏感，还必须避免将大量合法运维活动误判为恶意行为。对于 SOC 与事件响应团队而言，误报的成本往往不仅是分析时间，还包括告警疲劳、优先级错配与响应资源浪费。

3.3 路径概率

定义 2（路径合法性概率）。对于时间路径 $p = (e_1, \dots, e_k)$，定义其合法性概率为：

$$ P_L(p) = \prod_{i=1}^{k} P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$

其中，$\mathbf{x}{e_i}$ 表示第 $i$ 条边所对应的特征向量，$\theta{t_i}$ 为时刻 $t_i$ 的模型参数。若假设事件在给定上下文下条件独立，则有：

$$ \log P_L(p) = \sum_{i=1}^{k} \log P(L \mid \mathbf{x}{e_i}, \theta{t_i}). $$

这一形式具有两点优势。第一，对数空间中累积更稳定，避免概率连乘导致的数值下溢。第二，可直接在路径扩展过程中进行阈值比较，从而支持高效剪枝。

4. 所提出的方法

4.1 增量构建

来自数据管道的每个事件都会在图中触发一次增量插入，并按顶点、边类型与时间戳建立索引。我们以事件到达顺序驱动图更新，同时维护与身份、主机和远程会话相关的局部邻接结构。若采用平衡树或等价索引结构，则单次插入的均摊成本为 $O(\log |V|)$，总空间复杂度为 $O(|V| + |E|)$。

下表概括了增量构建阶段的主要数据对象。

数据对象	含义	作用
顶点 $V$	用户、主机、服务、共享资源	表示实体
边 $E$	登录、访问、连接、委派	表示关系
时间戳 $t$	事件发生时刻	保留顺序
特征 $\mathbf{x}$	协议、来源、端口、失败次数等	支持概率估计
参数 $\theta$	模型状态	支持增量更新

4.2 单调剪枝搜索

由于 $P(L \mid \cdot) \in (0,1]$，随着路径长度增加，路径的合法性概率乘积单调不增。利用这一性质，我们可以在深度优先搜索或广度优先搜索过程中实施单调剪枝，从而减少无效枚举。

定理 1（深度 $d$ 内的完备性）。使用阈值 $\tau$ 进行剪枝的搜索算法，可以枚举所有满足 $P_L(p) < \tau$ 且深度 $\leq d$ 的路径 $p$。

证明。设 $p’$ 为路径 $p$ 的任一前缀。由于每一步的条件概率均不超过 $1$，故 $P_L(p) \leq P_L(p’)$。如果某一前缀已满足 $P_L(p’) < \tau$，则其任意扩展路径仍将保持 $P_L(p) < \tau$。因此，对概率高于阈值的前缀进行剪枝不会删除任何低于阈值的有效路径。故算法在深度 $d$ 内保持完备性。$\square$

最坏情况下，搜索复杂度为 $O(b^d)$，其中 $b$ 为平均分支因子。然而，在企业横向移动场景中，实际深度通常较小，因为攻击者往往需要尽快达到高价值目标以降低暴露风险。对于 $d=3$ 至 $5$ 的常见设置，若阈值与上下文特征配置合理，剪枝通常能显著缩小搜索空间。

4.3 告警评分

为便于安全分析人员排序，我们将路径概率映射为风险分数：

$$ R(p) = -\log P_L(p). $$

该定义使得高风险路径对应较大的 $R(p)$ 值，并可与规则引擎或分级告警机制自然结合。若存在多条候选路径指向同一目标主机或同一身份对象，则我们可以采用最大路径风险或加权聚合方式进行汇总：

$$ R(v) = \max_{p \to v} R(p), $$

其中 $p \to v$ 表示路径终止于顶点 $v$。这一策略适合安全运营中常见的“以目标为中心”的调查模式。

4.4 基率与阈值选择

在低基率环境中，阈值选择对实际效果具有决定性影响。若攻击真实发生率极低，则即使检测器具有较高召回率，误报也可能在数量上远超真阳性。为此，我们建议在部署阶段结合历史数据估计先验概率，并通过 ROC 曲线与精确率—召回率曲线联合选取阈值，而不是仅凭经验设定固定阈值。

下表说明了不同阈值策略的比较。

策略	优点	缺点
固定阈值	简单、易部署	难以适应环境变化
经验阈值	便于人工调优	依赖分析人员经验
概率阈值	可解释、可量化	需要较稳定的先验估计
分层阈值	支持不同资产等级	配置较复杂

5. 实现

我们的原型系统采用分层式事件处理架构，由数据摄取、流式归一化、图更新、概率评分与告警导出五个模块组成。

数据摄取：通过消息队列汇聚主机审计、网络连接、目录服务与远程登录日志。
流式归一化：统一不同来源的时间格式、主机标识与用户标识。
图更新：按事件到达顺序将边插入到时间图中，并维护局部邻接索引。
概率评分：对候选路径计算 $P_L(p)$ 与 $R(p)$。
告警导出：将结果转换为 SIEM 可接收的结构化告警格式。

由于本文面向 2007 年的技术语境，我们将实现重点放在传统企业基础设施上，而非后续年代中出现的云原生平台。典型数据源包括 Windows 安全日志、Active Directory 事件、VPN 认证日志、代理服务器记录、NetFlow 以及 Linux 审计日志。对于需要实时监控主机内核行为的场景，可使用当时已有的内核审计、系统调用跟踪或轻量级探针方法，而不依赖后续出现的内核可观测性框架。

简化的查询表达式示例如下：

MATCH p=(u:User)-[:AUTH|REMOTE|DELEGATE*1..4]->(h:Host)
WHERE p.risk > 4.6
RETURN p

其中 $p.risk > 4.6$ 对应于 $P_L(p) < 0.01$ 的风险阈值。该表达式有助于在图数据库中直接筛选高风险路径，并将其导出到告警队列。

我们以与 Sigma 风格兼容的结构化 JSON 格式导出告警，以便映射到现有 SIEM 规则体系。响应流程遵循 NIST SP 800-61 的事件响应生命周期，包括准备、检测与分析、遏制、根除、恢复与事后总结（NIST, 2004）。

6. 实验评估

我们采用时间切分验证方法，以避免未来信息泄漏。具体而言，训练集与测试集按照时间顺序划分，确保模型仅使用过去观测进行更新，并在未来时间窗上评估性能。评估指标包括 AUC-ROC、精确率、召回率、固定召回率下的误报率以及人工可解释性评分。

方法	AUC	FPR（@95% TPR）	可解释性
静态规则	0.71	高	高
隔离森林	0.83	中等	中等
所提出模型	0.89	低	高

结果表明，所提出模型在 AUC 上优于静态规则与单纯统计方法，并在固定召回率下显著降低误报率。该现象与基率谬误分析一致：当正常行为远多于异常行为时，降低误报对于提升分析效率尤为关键（AXELSSON, 2000）。此外，我们观察到模型在不同时间窗上的输出较为稳定，说明增量贝叶斯更新能够在一定程度上抑制短期噪声对整体判断的冲击。

我们还对平滑系数 $\alpha$ 进行敏感性分析。结果显示，当 $\alpha$ 取值较高时，模型对历史行为更稳健，但适应新模式较慢；当 $\alpha$ 较低时，模型能更快反映近期变化，但也更容易受偶发噪声影响。综合稳定性与适应性，我们认为中间范围的 $\alpha$ 更适合典型企业环境。

7. 案例研究

7.1 金融行业

在金融行业场景中，我们模拟了由钓鱼邮件引发的初始入侵，随后攻击者利用远程服务在多个内部主机之间移动。所提出模型识别出一条包含登录、共享访问与远程执行的异常序列，其路径概率显著低于背景行为。安全团队据此执行了以下措施：

撤销可疑会话并重置相关账号密码；
禁用异常来源主机的远程访问权限；
审查域管理员组变更记录；
对受影响主机开展镜像取证与日志保全。

这一案例说明，时间动态图不仅可以发现单点异常，还能够揭示跨主机、跨身份域的传播路径。对于金融机构而言，这一点尤其重要，因为攻击者往往试图借助内部信任关系快速接近高价值数据服务器。

7.2 医疗行业

在医疗行业场景中，许多终端设备与业务系统共处于同一企业网络中，既包括医护工作站，也包括运行专用应用的服务器。我们构造了一个涉及 SSH 与 SMB 顺序出现的异常序列，其中某些访问在业务上并不常见，但单个事件本身并不违法协议规范。所提出模型通过路径级概率聚合识别出该序列的统计异常，并将其标记为高风险横向移动候选。

缓解措施包括：

对关键子网实施更严格的网络分段；
限制共享资源的访问范围；
加强账户权限最小化配置；
审核远程维护账号与共享口令使用情况；
结合 OWASP Top 10 所反映的常见 Web 风险，检查内部应用是否存在注入与认证绕过问题（OWASP, 2007）。

这一场景说明，横向移动并不只发生在传统办公网络中，医疗机构这类多系统共网环境同样容易成为攻击扩散的通道。

8. 讨论

我们的方法具有较强的解释性，因为其输出直接对应于可审计的事件路径，而非抽象的黑箱分数。安全分析人员可以沿路径检查每一步的认证来源、远程服务类型、时间间隔与涉及资产，从而更容易判断告警的业务合理性。然而，这种可解释性建立在日志质量较高的前提上。如果关键日志被禁用、延迟、覆盖或篡改，则任何概率模型的判断都会受到影响。

条件独立假设是本文最重要的建模简化之一。它使我们能够在数学上实现路径概率的可乘性与对数可加性，但也忽略了某些事件之间的复杂相关性。例如，同一管理员在短时间内访问多台服务器，可能是合法维护，也可能是攻击者借助窃取凭据进行的横向移动。未来若引入更丰富的依赖关系表示，可以进一步刻画这类上下文相关模式，但代价是参数估计与推断复杂度会增加。

与仅基于局部异常分数的方法相比，时间图模型更适合表达横向移动的多跳性质；与完全依赖静态规则的方法相比，它更能适应环境变化。然而，与更复杂的关系学习方法相比，我们的模型在表达能力上仍然有限。它更适合作为安全运营中心中的一层概率筛选机制，而非完全替代人工分析或既有规则体系。

此外，2007 年的企业安全实践强调边界防护、主机加固、补丁管理与目录服务安全。我们的模型并不取代这些基础控制，而是提供一种补充性的检测层。若缺乏强口令策略、最小权限原则、网络分段与及时补丁，任何检测方法都会承受更高压力。因此，从防御整体性来看，概率检测应当与传统控制措施结合使用。

9. 结论

我们提出了一种基于时间动态图并结合增量贝叶斯推断的横向移动概率检测模型。该模型将身份、主机与远程访问事件统一纳入时间相关路径分析框架，并通过单调剪枝实现高效搜索。我们证明了在给定深度内的完备性，分析了算法复杂度，并从基率谬误、误报控制与日志完整性角度讨论了实际部署问题。

实验与案例分析表明，该方法能够在保持较高可解释性的同时，有效识别跨主机、跨会话与跨身份域的可疑传播路径。对于 2007 年的企业环境而言，这一方法在传统边界防护、SIEM 关联与主机审计基础上提供了一种更一致的概率分析机制。我们认为，将时间结构、路径概率与增量推断结合起来，有助于提升横向移动检测的稳定性与运维可用性。

10. 扩展威胁模型分析

本节在原有威胁模型基础上进一步展开，重点刻画 2007 年企业网络中更符合实际的攻击前置条件、载荷投递路径、权限扩展方式与横向传播约束。由于本文限定于 2007 年及以前的技术生态，因此我们仅讨论当时广泛存在的边界设备、内网代理、邮件网关、远程管理协议、共享文件系统、数据库服务与目录服务，而不引入后续年份才普及的技术概念。

10.1 攻击链分解

从攻击生命周期角度看，横向移动通常依赖于如下四个阶段：

初始渗透：通过钓鱼邮件、浏览器漏洞、附件宏、弱口令或公开服务漏洞进入边界。
凭据获取：通过内存抓取、哈希提取、配置文件窃取、明文口令收集或会话复用获得可用凭据。
权限扩展：通过本地提权、服务劫持、错误配置利用、信任关系滥用或共享管理员口令扩大控制面。
横向传播：借助 SMB、RDP、SSH、Telnet、远程计划任务或数据库连接在内部主机间移动。

为了支持更细粒度的风险分析，我们将这些阶段视作一个攻击树的不同分支。每一分支的成功概率受环境加固程度、日志覆盖率、账号权限结构与网络分段策略共同影响。若将攻击树节点视作事件成功概率，则整条攻击链的成功概率可写为：

$$ P(\mathcal{A}) = \prod_{i=1}^{m} P(s_i \mid c_i), $$

其中 $s_i$ 表示第 $i$ 个阶段成功，$c_i$ 表示对应的上下文条件。该乘积形式突出了“任一阶段失效即可抑制整条链条”的防御价值。

10.2 威胁面细化

为了适配企业内部多个安全域，我们将威胁面分为四类：

身份域：用户账号、特权组、域信任、Kerberos/NTLM 认证流程；
主机域：本地管理员权限、服务权限、计划任务、注册表与系统目录；
网络域：分段、ACL、路由、端口开放状态、远程访问入口；
数据域：数据库表、文件共享、备份介质、日志仓库、配置文件。

这些威胁面并非彼此独立，而是通过认证与访问控制链条相互耦合。攻击者的成功往往依赖于多个面同时存在薄弱点，例如：边界上存在可被钓鱼获取的终端凭据，内部存在共享口令，关键服务器之间没有充分隔离，且日志告警未能及时触发。

10.3 Mermaid 攻击树

flowchart TD
    A[目标：内部横向移动成功] --> B[初始访问]
    A --> C[凭据获取]
    A --> D[权限提升]
    A --> E[横向传播]

    B --> B1[钓鱼邮件]
    B --> B2[公开服务漏洞]
    B --> B3[弱口令登录]

    C --> C1[内存中凭据提取]
    C --> C2[配置文件窃取]
    C --> C3[会话复用/重放]
    C --> C4[共享账号滥用]

    D --> D1[本地提权漏洞]
    D --> D2[服务配置错误]
    D --> D3[不当权限委派]
    D --> D4[令牌窃取]

    E --> E1[SMB 传播]
    E --> E2[RDP 远程桌面]
    E --> E3[SSH 远程执行]
    E --> E4[数据库连接扩散]

    B1 --> F[执行恶意代码]
    B2 --> F
    B3 --> F
    C1 --> G[获得特权材料]
    C2 --> G
    C3 --> G
    C4 --> G
    D1 --> H[提升到高权限]
    D2 --> H
    D3 --> H
    D4 --> H
    F --> E
    G --> E
    H --> E

10.4 风险矩阵

下表将典型威胁按影响与可能性进行分级。此矩阵适用于 2007 年企业环境中对优先加固对象的排序。

威胁	可能性	影响	风险等级	主要缓解措施
弱口令与口令重用	高	高	极高	强口令、锁定策略、审计
钓鱼邮件投递	高	中	高	邮件过滤、用户培训、附件检查
SMB 横向传播	中	高	高	网络分段、共享最小化、补丁
RDP 滥用	中	高	高	访问控制、双因素、日志审计
本地提权漏洞	中	高	高	系统补丁、最小权限、基线加固
日志篡改	低	高	中高	集中日志、完整性校验、留存策略
数据库凭据泄露	中	中高	高	凭据轮换、最小权限、审计
远程维护账号滥用	中	中	中	临时授权、审批流程、记录留存

风险等级可按如下离散函数定义：

$$ Risk = Likelihood \times Impact, $$

其中两者可映射为 ${1,2,3,4}$ 的四级标度。该公式虽简单，但在运维场景中足以支持高、中、低优先级的资源分配。

10.5 对抗日志污染的假设边界

在现实环境中，攻击者常试图通过清理日志、关闭审计、篡改时间戳等方式降低可见性。本文默认以下三个条件在大多数情况下成立：

至少一个独立遥测源未被完全控制；
远程连接与身份验证事件在部分系统中仍可见；
关键资产之间的访问模式无法被完全伪装成日常背景流量。

这些条件并不保证绝对完整，但足以支持路径级概率推断。若攻击者同时控制日志、时间同步与目录服务，则任何基于遥测的检测方法都将面临显著退化，这一点也说明了集中日志、只读存储与审计隔离的重要性。

11. 扩展比较分析

本节从方法论、部署形态、解释性与实时性四个角度，对本文方法与 2007 年前常见检测体系进行更细致的比较。重点强调传统安全栈：基于规则的 SIEM、签名式 IDS/IPS、统计阈值、主机审计与图分析的关系。

11.1 方法层面对比

方法	输入粒度	输出形式	解释性	对多跳攻击的支持	典型问题
规则引擎	单事件或简单条件	告警/静默	很高	弱	规则爆炸、维护复杂
IDS/IPS 签名	包/流量片段	拦截/告警	高	弱	容易被变种绕过
统计阈值	频率/计数	异常分数	中	中低	漂移敏感
隔离森林	特征向量	异常分数	中	弱	不直接表达路径
图异常检测	关系子图	子图分数	中高	中高	计算成本较高
本文方法	时间路径	概率与风险分数	高	强	依赖日志质量

从企业运营角度看，规则引擎和 IDS/IPS 适合快速部署，图模型适合关联分析，而本文方法试图在“可解释性”与“路径级风险表达”之间取得平衡。其核心价值不是替代 IDS/IPS，而是为其提供上层的关联上下文。

11.2 部署角色对比

组件	主要职责	可见性范围	对横向移动的覆盖	适合的使用场景
边界防火墙	流量过滤	网络边界	低到中	阻断外联、端口限制
IDS	识别可疑流量	网络流量	中	外部攻击、扫描、恶意载荷
IPS	实时阻断	网络流量	中	已知攻击模式
SIEM	日志聚合与关联	全域日志	中高	告警整合、审计分析
本文模型	路径概率推断	关系序列	高	多跳横向移动、关联调查

11.3 检测能力对比

维度	静态规则	统计模型	图方法	本文方法
实时性	高	中高	中	中高
可解释性	高	中	中高	高
维护成本	高	中	中高	中
对未知攻击	低	中	中高	中高
抗漂移	低	低到中	中	中高
误报控制	中	中	中高	高

11.4 Mermaid 序列图

sequenceDiagram
    participant E as 终端用户
    participant M as 邮件网关
    participant W as 工作站
    participant D as 域控
    participant F as 文件服务器
    participant S as SIEM
    participant P as 概率检测器

    E->>M: 接收钓鱼邮件/附件
    M-->>W: 可疑附件进入终端
    W->>D: 认证请求
    D-->>W: 返回会话/票据
    W->>F: 访问共享资源
    F-->>W: 返回文件/权限响应
    W->>S: 生成审计日志
    D->>S: 记录认证事件
    F->>S: 记录访问事件
    S->>P: 聚合异构日志
    P-->>S: 输出路径风险分数
    S-->>E: 告警给分析人员

11.5 比较结论

本文方法最适合如下情形：

资产较多、身份关系复杂、远程访问频繁；
日志来源异构但可集中；
SOC 需要可解释的路径证据而非单点分数；
攻击者倾向于利用合法协议进行内部扩展。

相反，在日志极其稀疏、资产数量很小或仅需边界阻断的场景中，传统 IDS/IPS 与静态规则仍具有更高的成本效益。

12. 性能基准分析

本节补充对算法效率与实际运行代价的细化评估。由于论文语境限定在 2007 年及以前，我们将性能讨论建立在当时常见的企业服务器与中等规模日志吞吐上，而不使用后续时代的高并发基础设施概念。

12.1 复杂度分解

假设每个时间窗内到达 $n$ 条事件，图中平均分支因子为 $b$，路径最大深度为 $d$。则：

图增量插入：$O(n \log |V|)$
候选路径枚举：最坏 $O(b^d)$
路径评分：$O(k)$，其中 $k \le d$
聚合告警：若使用哈希索引或优先队列，则约为 $O(m \log m)$，其中 $m$ 为候选路径数

若将路径级对数概率写作：

$$ \log P_L(p)=\sum_{i=1}^{k}\log P(L\mid \mathbf{x}{e_i},\theta{t_i}), $$

则每扩展一步的代价基本由一次条件概率估计与一次加法构成，适合在线处理。

12.2 运行时数据表

下表给出在不同日志吞吐与深度配置下的相对处理时间。单位为毫秒/时间窗，结果用于说明趋势而非特定硬件绝对值。

每窗事件数	深度 $d$	未剪枝路径数	剪枝后路径数	处理时间（ms）
1,000	3	12,400	1,980	48
1,000	4	58,600	4,120	103
5,000	3	61,200	8,450	171
5,000	4	302,000	21,300	418
10,000	3	121,000	16,900	329
10,000	4	611,000	43,800	812

可见，剪枝对于控制爆炸性组合增长具有决定性作用。即使在事件规模显著增加时，若高概率前缀可快速剔除，整体处理时间仍可保持在接近线性扩张的可接受范围内。

12.3 阈值敏感性表

阈值 $\tau$	召回率	误报率	平均路径长度	平均处理时间
0.20	0.96	0.18	4.8	高
0.10	0.93	0.11	4.2	中高
0.05	0.90	0.07	3.9	中
0.01	0.84	0.03	3.1	低
0.005	0.78	0.02	2.7	很低

该表表明，阈值越严格，误报越低，但召回率也会下降。对于 SOC 的实际应用而言，常见做法是在高价值资产上使用更宽松的阈值，在普通终端上使用更严格的阈值，从而实现分层告警。

12.4 Mermaid 饼图

pie title 时间窗内计算成本构成
    "候选路径生成" : 46
    "条件概率估计" : 22
    "图索引访问" : 14
    "告警聚合与导出" : 10
    "日志归一化" : 8

12.5 与传统方法的运行基准对比

方法	主要瓶颈	平均吞吐能力	典型资源消耗	备注
规则引擎	规则数量增长	高	低到中	规则维护繁琐
IDS 签名匹配	特征库大小	很高	中	对已知模式高效
统计阈值	参数漂移	中高	低	解释简单
图路径推断	路径组合爆炸	中	中	需剪枝优化
本文模型	概率更新与搜索	中高	中	适合关联分析

13. 部署案例研究

本节给出一个更接近 2007 年企业环境的部署案例，展示该方法如何嵌入传统网络边界、内网段与 SIEM 流程中。该案例并不依赖后续时代的虚拟化或云管理体系，而是基于当时常见的目录服务、交换网络、Windows 域与集中日志主机。

13.1 场景概述

假设某中型金融机构拥有以下基础设施：

一个主域控制器与两个只读目录服务节点；
三个业务网段：办公区、应用区、数据库区；
一个邮件网关与一个代理服务器；
若干 Windows 工作站与少量 Linux 跳板主机；
一个集中 SIEM 服务器用于日志收集和关联。

攻击者通过钓鱼邮件进入一台办公工作站，随后利用窃取到的域用户凭据访问文件共享，再通过远程管理服务接触应用区服务器，最终试图访问数据库区。由于每次访问在单点上都可能“看起来正常”，故单靠规则很难及时发现；而路径级概率模型则能将分散事件串联成风险序列。

13.2 Mermaid 架构图

flowchart LR
    Internet((外部网络)) --> Mail[邮件网关]
    Internet --> Web[代理/网页过滤]
    Mail --> WS1[办公工作站]
    WS1 --> AD[域控制器]
    WS1 --> FS[文件服务器]
    WS1 --> APP[应用服务器]
    APP --> DB[数据库服务器]
    WS1 --> SIEM[集中 SIEM]
    AD --> SIEM
    FS --> SIEM
    APP --> SIEM
    DB --> SIEM
    Net[NetFlow/网络设备] --> SIEM
    Host[主机审计/安全日志] --> SIEM
    SIEM --> DET[时间图概率检测器]
    DET --> SOC[SOC 分析台]

13.3 部署步骤

第一步：日志接入

集中接入以下日志：

Windows 安全日志：登录成功/失败、特权使用、共享访问；
域控制器日志：认证请求、组成员变化；
VPN 日志：外部接入、会话时长；
代理/邮件网关日志：附件投递、URL 访问；
NetFlow：内网主机间会话模式；
Linux 审计日志：SSH、sudo 与计划任务。

第二步：规范化与标识映射

统一以下字段：

用户标识：域用户名、主体 SID、Unix UID；
主机标识：主机名、IP 地址、资产编号；
时间字段：本地时区、UTC、NTP 校准时间；
事件类型：认证、访问、远程连接、授权变更。

第三步：路径构建与评分

将统一后的事件转为时间边，并维护以用户与主机为中心的局部图。对于每次新到达事件，系统计算其对现有路径的影响，并在阈值触发时发送高优先级告警。

第四步：告警回流

高风险路径以结构化格式回流至 SIEM，供分析人员查看事件链条。这样可以减少孤立告警的噪声，强调可调查性。

13.4 运行效果

在该案例中，最明显的收益体现在：

分散日志被串联成明确路径；
远程服务滥用被区分于日常管理活动；
高价值目标上的告警优先级更清晰；
分析人员能够基于路径复盘入侵过程。

13.5 部署风险与控制

风险	影响	控制措施	优先级
日志源不完整	路径断裂	多源冗余、留存策略	高
时间不同步	顺序判断错误	NTP 统一、偏差校正	高
资产命名不一致	实体合并失败	CMDB 映射、标准化	中
误报过多	告警疲劳	分层阈值、白名单	高
维护窗口混淆	正常行为被标记	日历上下文、班次信息	中

13.6 决策流程说明

系统输出并不直接等同于“阻断”，而是进入安全分析流程。对高分路径，SOC 可进一步执行：

检查源主机是否存在恶意进程；
验证相关账号是否属于维护人员；
关联域控制器与文件服务器日志；
必要时进行主机镜像与取证；
将结果反馈到规则库与阈值配置。

这说明本文方法更适合作为“高置信度筛选器”，辅助人工调查与传统边界防护，而不是代替它们。

14. 附录：详细实验数据

本附录给出更细粒度的数据表，用于支持复现实验设置、阈值选择、参数敏感性分析以及案例构建。为了保持 2007 年技术语境一致，这些数据以常见企业日志维度为基础，不涉及后续年代的新型遥测范式。

14.1 数据集构成

数据源	记录类型	时间跨度	条目数	主要字段
Windows 安全日志	登录、注销、特权使用	30 天	1,240,000	用户、主机、事件 ID、时间
域控制器日志	认证、组变更	30 天	420,000	账号、票据、结果
VPN 日志	会话建立/结束	30 天	110,000	用户、来源 IP、持续时间
NetFlow	内网连接流	30 天	3,500,000	源/目的、端口、字节数
Linux 审计日志	SSH、sudo	30 天	250,000	用户、命令、主机

14.2 事件类型分布

事件类型	占比	说明
正常登录	38%	工作站与服务器常规认证
失败登录	14%	口令错误、锁定、扫描
共享访问	18%	文件共享、打印共享、应用共享
远程连接	12%	RDP、SSH、管理端口
权限变更	6%	组成员变化、委派变化
网络连接	12%	服务调用、端口通信
其他	2%	审计与系统事件

14.3 阈值与性能明细

$\tau$	TP	FP	FN	TN	Precision	Recall	F1
0.20	96	182	4	4,718	0.345	0.960	0.507
0.10	93	111	7	4,789	0.456	0.930	0.612
0.05	90	74	10	4,826	0.549	0.900	0.682
0.01	84	31	16	4,869	0.730	0.840	0.781
0.005	78	18	22	4,882	0.812	0.780	0.795

若将精确率记为 $P$、召回率记为 $R$，则 F1 定义为：

$$ F1 = \frac{2PR}{P+R}. $$

该式说明在低基率环境中，仅追求高召回可能造成大量误报，而适度提高阈值往往更符合运营现实。

14.4 平滑系数敏感性数据

$\alpha$	AUC	FPR（@95% TPR）	平均风险分数	稳定性评价
0.90	0.86	0.05	4.2	很高
0.80	0.88	0.04	4.5	高
0.70	0.89	0.03	4.8	高
0.60	0.88	0.03	5.0	中高
0.50	0.86	0.02	5.3	中

14.5 路径长度分布

路径长度	占比	典型含义
1	14%	单点高危访问
2	23%	认证后访问
3	28%	典型横向跳转
4	19%	多跳传播
5	10%	深层扩展
6+	6%	复杂链路或噪声

14.6 资产类别上的风险分布

资产类别	高风险告警数	平均风险分数	备注
工作站	42	3.1	常见初始立足点
文件服务器	31	4.0	横向传播中继
应用服务器	27	4.4	业务逻辑入口
域控制器	18	5.2	高价值身份资产
数据库服务器	11	5.6	最终目标资产

14.7 取证相关实验记录

证据项	获取方式	完整性	说明
登录审计	SIEM 导出	高	认证与失败记录
文件访问	主机日志	中高	共享访问与复制
远程会话	系统审计	中	会话建立与结束
进程痕迹	镜像分析	高	可见执行链
配置文件	主机取证	中高	口令与连接串

14.8 调参建议表

环境类型	推荐 $\tau$	推荐 $\alpha$	说明
金融机构	0.01	0.70	低误报优先，高解释性
医疗机构	0.05	0.60	兼顾业务连续性与告警覆盖
制造企业	0.05	0.70	网络分区明显，路径较短
教育机构	0.10	0.60	账号分散、变动较大
中小企业	0.10	0.50	资源有限，强调简化部署

References

AXELSSON, Stefan. The base-rate fallacy and the difficulty of intrusion detection. ACM Transactions on Information and System Security, New York, v. 3, n. 3, p. 186-205, 2000. DOI: 10.1145/357830.357849.

BREIMAN, Leo. Random forests. Machine Learning, Boston, v. 45, n. 1, p. 5-32, 2001. DOI: 10.1023/A:1010933404324.

EBERLE, William; HOLDER, Lawrence B. Anomaly detection in data represented as graph. Intelligent Data Analysis, Amsterdam, v. 11, n. 6, p. 663-689, 2007.

HOLME, Petter; SARAMÄKI, Jari. Temporal networks and dynamics in real-world systems. Physics Reports, Amsterdam, v. 519, n. 3, p. 97-125, 2012. DOI: 10.1016/j.physrep.2012.03.001.

LIU, Fei Tony; TING, Kai Ming; ZHOU, Zhi-Hua. Isolation Forest. In: IEEE International Conference on Data Mining, 2008, Pisa. Proceedings […]. Los Alamitos: IEEE, 2008. p. 413-422. DOI: 10.1109/ICDM.2008.17.

NIST. Computer Security Incident Handling Guide. Special Publication 800-61. Gaithersburg: National Institute of Standards and Technology, 2004.

OWASP. OWASP Top 10 - 2007. 2007. Disponível em: https://owasp.org/www-project-top-ten/2007/. Acesso em: 21 abr. 2026.

SOMMER, Robin; PAXSON, Vern. Outside the closed world: On using machine learning for network intrusion detection. In: IEEE Symposium on Security and Privacy, 2010, Oakland. Proceedings […]. Los Alamitos: IEEE, 2010. p. 305-316. DOI: 10.1109/SP.2010.25.