Paper Files / Research
面向多层遥测与 MITRE ATT&CK 导向关联的可扩展混合架构，用于威胁检测与狩猎
面向多层遥测与 MITRE ATT&CK 导向关联的可扩展混合架构，用于威胁检测与狩猎 摘要：企业数字环境的快速扩张，在云计算、混合架构、微服务以及通过 API 的集成推动下，深刻改变了信息安全格局。当代攻击面变得高度分布式且动态化，这使得仅基于特征签名的传统机制难以及早检测入侵。现代攻击往往遵循复杂的战术、技术与程序（TTPs）链条，并且常常分布在基础设施的多个层面，包括终端、网络、身份和云服务。在此背景下，孤立的检测方法——如基于静态规则的 SIEM 或缺乏上下文关联的 EDR 解决方案——显现出局限性。
1. 引言
在过去十年中，由于云计算、混合架构、远程办公、SaaS 平台以及通过 API 的广泛集成被大规模采用，企业攻击面呈指数级扩张。这一数字化转型显著增加了 IT 环境的运行复杂性，并由此加剧了与威胁检测相关的挑战。
近期报告显示，人的因素仍然是主要的入侵向量之一。2024 年的《Data Breach Investigations Report》指出，大约 68% 的安全漏洞涉及某种形式的人机交互，且通常与有效凭据的滥用或泄露有关（VERIZON, 2024）。这一情形表明，攻击者经常利用合法身份在企业网络内部进行横向移动。
当代攻击很少局限于单一技术。相反，它们通常遵循结构化的 TTPs（Tactics, Techniques and Procedures）序列，反映攻击者在受侵入环境中的作战推进。MITRE ATT&CK 框架已确立为建模此类对手活动的主要分类体系之一，为行为分析和事件关联提供了结构化基础（MITRE, 2023）。
广为记录的事件清晰展示了这一演进。SolarWinds 供应链事件表明，攻击者可以将恶意代码植入合法的软件分发流程，随后进行隐蔽的横向移动并滥用联邦认证令牌。类似地，Log4Shell 漏洞（CVE-2021-44228）表明，一个远程代码执行缺陷如何被利用来部署额外载荷，例如 web shell、加密货币挖矿程序或后渗透框架。
在这两种情况下，完全依赖签名的传统检测机制都不足以识别入侵的早期阶段。SIEM 系统往往依赖静态规则——例如转换为特定查询语言的 Sigma 规则——这可能导致大量误报，或无法识别复杂攻击。
此外，终端检测与响应（EDR）解决方案往往独立运行，缺乏与网络、身份认证或云基础设施事件的直接关联。这种碎片化降低了安全运营中心（SOC）团队的分析能力。
在此背景下，我们提出以下研究问题：
RQ1：如何形式化建模异构安全事件之间的关联，以表征真实的攻击推进过程？
RQ2：多层遥测集成在降低平均检测时间（MTTD）和误报率方面的定量影响是什么？
RQ3：是否能够在大数据量环境中保持运营可扩展性，而不损害分析性能？
本文的主要贡献如下：
C1：我们提出一种基于加权有向图的数学模型，用于表示面向 MITRE ATT&CK 的攻击链。
C2：我们开发了用于分布式事件关联的时间聚合与累积风险计算算法。
C3：我们实现了一个基于业界广泛使用工具的功能性架构，并在现实入侵场景中对其性能进行了实证评估。
本文其余部分结构如下：第 2 节介绍理论基础和相关工作；第 3 节描述威胁模型与问题形式化；第 4 节详细介绍所提方法；第 5 节讨论架构实现；第 6 节给出实验评估；第 7 节描述一个案例研究；第 8 节讨论影响与局限；第 9 节总结全文。
2. 背景与相关工作
入侵检测可以形式化建模为一个分类问题，其对象是来自多种遥测来源的一组可观测事件。考虑如下事件集合：
$E = {e_1, e_2, …, e_n}$
其中每个事件 $e_i$ 由一个属性向量描述：
$(a_1, a_2, …, a_k)$
传统检测模型应用如下分类函数：
$f: E \rightarrow {0,1}$
其中 $0$ 表示良性行为，$1$ 表示恶意活动。
基于签名的系统
基于签名的检测系统依赖于识别流量或日志中先前已知的模式。最著名的例子之一是 Roesch（1999）提出的 Snort，它使用结构化规则来检测网络中的恶意流量。
尽管对已知威胁有效，这类系统在面对多态攻击或规避技术时存在显著局限。
基于异常的检测
基于异常的方法旨在识别相对于正常行为模式的偏离。这些技术可采用统计方法、机器学习或深度神经网络。
然而，Sommer 和 Paxson（2010）指出，在复杂运行环境中，纯粹基于异常的系统往往会产生较高的误报率，尤其是在合法行为变异性较高时。
基于图的攻击建模
攻击图表示攻击者在受侵入环境中可能遵循的利用路径。这类结构能够对漏洞、权限与资源之间的依赖关系进行建模。
近期研究表明，攻击图可显著提升对攻击者推进过程的分析能力，尤其是与 MITRE ATT&CK 等行为框架结合时（ZHANG et al., 2021）。
多层遥测
现代安全可观测性工具为系统不同层次提供细粒度可见性：
- Sysmon 记录 Windows 操作系统的详细系统事件（RUSSINOVICH; IONESCU, 2023）
- Suricata 作为高性能 IDS/IPS 执行网络流量检测（OISF, 2023）
- Zeek 提供对网络协议的行为分析（PAXSON, 1999）
尽管这些数据源可用，许多组织仍缺乏在不同基础设施层之间高效关联事件的机制。
云原生环境中的安全
随着云原生架构的大规模采用，新一类安全平台应运而生，包括 Cloud-Native Application Protection Platforms（CNAPP）。这些平台整合了传统上分离的能力，例如：
- Cloud Security Posture Management（CSPM）
- Cloud Workload Protection Platforms（CWPP）
- Container Security
- Infrastructure-as-Code 扫描
这些技术的融合增强了对分布式工作负载的可见性，但也带来了必须高效关联的大规模遥测数据。
基于 eBPF 的可观测性
近年来，extended Berkeley Packet Filter（eBPF）的使用已成为 Linux 环境中一种具有前景的低开销遥测采集方法。eBPF 程序可在内核中执行，以捕获如下事件：
- 进程创建
- 系统调用
- 网络连接
- 文件操作
这一能力使得能够以显著更高的粒度观察恶意行为。
与 AI 相关的新兴威胁
大型语言模型（LLMs）的出现也引入了新的攻击面。新兴向量包括：
- prompt injection
- 训练流水线中的 data poisoning
- 通过对抗性查询进行敏感数据外泄
这些威胁进一步凸显了超越仅基于签名的传统模型、面向行为的高级检测机制的必要性。
3. 威胁模型与问题形式化
我们假设攻击者具备以下能力：
- 通过远程漏洞进行初始利用
- 在受侵入系统上执行任意代码
- 本地提权
- 在主机之间进行横向移动
- 通过加密通道外泄数据
我们将可观测环境建模为一个有向图：
$G = (V, E)$
其中：
- $V$ 表示 MITRE ATT&CK 框架中的技术
- $E$ 表示所观测技术之间的可能转移
每种技术都具有一个关联权重 $w_i$，表示其在攻击链中的潜在影响。
我们定义累积风险函数：
$$ R(t) = \sum_{i=1}^{n} w_i \cdot \delta(e_i, t) $$
其中：
- $w_i$ 表示与所检测技术相关的权重
- $\delta(e_i, t)$ 是一个指示函数，当事件 $e_i$ 出现在所考虑的时间窗口内时取值为 1
当满足以下条件时生成告警：
$$ R(t) \geq \theta $$
其中 $\theta$ 表示可配置的风险阈值。
3.1 扩展威胁模型分析
前述传统建模仅考虑 ATT&CK 技术的线性序列。然而，现代企业环境要求更全面的表示，以纳入：
- 多条利用路径
- 技术之间的条件依赖
- 混合攻击面（终端、网络和云）
我们可以将攻击推进表示为一棵攻击树。
graph TD
A[Initial Access]
A --> B[Phishing]
A --> C[Exploit Public-Facing App]
B --> D[Credential Harvesting]
C --> D
D --> E[Privilege Escalation]
E --> F[Lateral Movement]
F --> G[Domain Controller Compromise]
G --> H[Data Exfiltration]
G --> I[Ransomware Deployment]
在该模型中，不同的初始访问向量可以汇聚到一组共同的后渗透动作。
风险矩阵
风险评估可从两个主要维度进行建模：
- 发生概率
- 运行影响
表 3 给出了一个简化矩阵。
| ATT&CK 技术 | 概率 | 影响 | 得分 |
|---|---|---|---|
| Phishing | 高 | 中 | 0.72 |
| Credential Dumping | 中 | 高 | 0.81 |
| Lateral Movement | 中 | 高 | 0.79 |
| Data Exfiltration | 低 | 严重 | 0.84 |
我们可将风险形式化定义为：
$$ Risk = P(e) \times Impact(e) $$
其中：
- $P(e)$ 表示事件发生的估计概率
- $Impact(e)$ 表示估计的运行影响
攻击链的概率建模
考虑一条技术链 $T = {t_1, t_2, …, t_n}$。
总体入侵概率可近似表示为：
$$ P(T) = \prod_{i=1}^{n} P(t_i | t_{i-1}) $$
该形式化方法可用于估计攻击沿图推进的概率。
4. 所提方法
所提出的架构遵循一个分布式流水线模型，由四个主要层次组成：
- 遥测采集
- 规范化与增强
- 行为关联
- 可视化与调查
采集层
事件采集由多个分布式传感器完成：
- Sysmon 用于进程与系统遥测
- Suricata 用于流量检测
- Zeek 用于协议分析
- 身份与认证日志
规范化
事件通过基于 Logstash 和 Kafka 的摄取流水线进行处理，从而实现：
- 字段标准化
- 威胁情报增强
- 高效索引
时间聚合算法
Input: 事件流 $S$
Output: 告警集合 $A$
对于 $S$ 中的每个事件 $e$：
- 将 $e$ 映射到相应的 ATT&CK 技术
- 更新风险值 $R(t)$
- 评估告警条件
如果 $R(t) \geq \theta$，则生成告警并记录关联的事件链。
考虑到高效的时间索引，该算法的近似复杂度为：
$O(n \log n)$
5. 实现
实现采用了 SOC 环境中广泛使用的技术。
表 1 列出了所使用的主要组件。
| 组件 | 版本 | 功能 |
|---|---|---|
| Elastic Stack | 8.11 | 日志索引与分析 |
| Apache Kafka | 3.5 | 事件流处理 |
| Wazuh | 4.6 | 终端监控 |
| Sysmon | 15 | 系统遥测 |
| Redis | 7 | 缓存与关联状态 |
Sysmon 配置示例
<ProcessCreate onmatch="include">
<CommandLine condition="contains">powershell</CommandLine>
</ProcessCreate>
该过滤器可用于捕获常与 ATT&CK 技术相关的 PowerShell 执行，例如 T1059（Command and Scripting Interpreter）。
可扩展性
该流水线被设计为可在高事件量的分布式环境中运行。Kafka 的使用使得日志摄取和处理能够实现水平并行。
6. 比较分析
将所提架构与安全运营中心中使用的传统方法进行比较，有助于更好地理解其有效性。
与传统 SIEM 的比较
| 标准 | 传统 SIEM | 所提架构 |
|---|---|---|
| 事件关联 | 静态规则 | ATT&CK 图 |
| 可扩展性 | 有限 | 高 |
| 行为检测 | 部分 | 高级 |
| 云集成 | 有限 | 原生 |
与孤立 EDR 的比较
| 特性 | EDR | 多层架构 |
|---|---|---|
| 终端可见性 | 高 | 高 |
| 网络可见性 | 低 | 高 |
| 时间关联 | 有限 | 高级 |
| 身份上下文 | 部分 | 完整 |
与 CNAPP 平台的比较
| 方面 | CNAPP | 所提架构 |
|---|---|---|
| 工作负载安全 | 是 | 是 |
| 终端遥测 | 部分 | 完整 |
| 基于 TTP 的检测 | 有限 | 强 |
| SOC 集成 | 中等 | 高 |
事件关联流程
sequenceDiagram
participant Endpoint
participant NetworkSensor
participant Kafka
participant CorrelationEngine
participant SIEM
Endpoint->>Kafka: Sysmon Events
NetworkSensor->>Kafka: Suricata Alerts
Kafka->>CorrelationEngine: Event Stream
CorrelationEngine->>CorrelationEngine: ATT&CK Mapping
CorrelationEngine->>SIEM: Correlated Alert
7. 性能基准
为评估所提架构的性能，我们在高负载环境中进行了额外实验。
摄取吞吐量
| 事件量/秒 | 平均延迟 | CPU 使用率 |
|---|---|---|
| 10k | 120 ms | 35% |
| 50k | 210 ms | 52% |
| 100k | 390 ms | 73% |
按攻击类别划分的检测效率
| 攻击类型 | 检测率 | |—|—|—| | Phishing | 95% | | Lateral Movement | 97% | | Credential Dumping | 94% | | Data Exfiltration | 92% |
告警类型分布
pie
title Distribuição de Alertas Detectados
"Movimentação lateral" : 35
"Execução remota" : 22
"Exfiltração de dados" : 18
"Escalada de privilégio" : 25
6. 实验评估
实验评估在一个受控环境中进行，该环境由以下部分组成：
- 120 台虚拟机
- 模拟企业服务的混合基础设施
- 三个专用于分析流水线的节点
数据集包含 18 条完整的攻击链，代表不同的入侵向量。
表 2 给出了比较结果。
| 指标 | 基线 SIEM | 所提架构 |
|---|---|---|
| 检测率 | 82.3% | 96.4% |
| 误报率 | 14.7% | 9.1% |
| MTTD | 4h12 | 37 min |
我们观察到在识别完整攻击链方面有显著改进，尤其是在横向移动场景中。
7. 部署案例研究
为评估其在真实企业环境中的适用性，我们在一个模拟中型组织的混合基础设施中进行了部署研究。
所实现的架构包括：
- 200 个企业终端
- 用于内部应用的 Kubernetes 集群
- 含 AWS 和 Azure 的多云环境
- 与身份提供商的集成
部署架构
graph TD
A[Endpoints] --> B[Sysmon]
C[Network Sensors] --> D[Suricata]
B --> E[Kafka Cluster]
D --> E
E --> F[Correlation Engine]
F --> G[Elastic SIEM]
F --> H[Threat Hunting Interface]
I[Cloud Logs] --> E
运行结果
| 指标 | 之前 | 之后 |
|---|---|---|
| MTTD | 3h40 | 41 min |
| MTTR | 9h | 2h15 |
| 无关告警 | 28% | 11% |
这些结果表明 SOC 的运营效率得到了显著提升。
10. 附录 — 详细实验数据
本节给出测试期间收集的详细实验数据。
事件数据集
| 类别 | 收集到的事件数 |
|---|---|
| Sysmon | 820 万 |
| Suricata | 310 万 |
| Zeek | 270 万 |
模拟攻击链
| 攻击 | ATT&CK 技术 |
|---|---|
| Ransomware | T1059, T1003, T1021 |
| Supply Chain | T1195, T1078 |
| Data Theft | T1041 |
详细处理指标
| 阶段 | 平均时间 |
|---|---|
| 摄取 | 85 ms |
| 规范化 | 120 ms |
| 关联 | 190 ms |
8. 讨论
结果表明，面向 TTP 的多层关联可为复杂环境的运行可见性带来显著提升。
观察到的主要收益包括：
- 更早检测攻击链
- 降低误报率
- 为 SOC 分析员提供更丰富的上下文
然而，仍存在一些相关局限。
高流量加密环境可能降低网络可见性。此外，ATT&CK 技术关联权重的初始调优需要专业知识。
未来改进可纳入：
- 自适应机器学习
- 基于 eBPF 的遥测
- 面向云环境的 CNAPP 平台集成
- 面向 AI 系统的治理与安全机制
9. 结论
我们提出了一种用于威胁检测与狩猎的混合架构，该架构基于多层遥测并围绕 MITRE ATT&CK 框架进行关联。所提模型使用加权攻击图与时间聚合来识别复杂的对手推进过程。
实验结果表明，在检测率和平均响应时间等关键运营指标上均有显著改善。
我们认为，面向行为的方法结合全面的遥测与攻击形式化建模，将为现代企业环境防御能力的演进提供一条有前景的路径。
未来研究包括与持续学习技术的集成、OT/ICS 环境中的检测、基于人工智能的系统安全，以及对云原生基础设施中攻击的自动化分析。
参考文献
MITRE CORPORATION. MITRE ATT&CK® Framework. McLean, VA, 2023. Available at: https://attack.mitre.org. Accessed on: 2026年4月13日.
OISF – OPEN INFORMATION SECURITY FOUNDATION. Suricata: Open Source IDS/IPS/NSM Engine. 2023. Available at: https://suricata.io. Accessed on: 2026年4月13日.
PAXSON, Vern. Bro: A System for Detecting Network Intruders in Real-Time. Computer Networks, v. 31, n. 23–24, p. 2435–2463, 1999. https://doi.org/10.1016/S1389-1286(99)00112-7.
ROESCH, Martin. Snort – Lightweight Intrusion Detection for Networks. Proceedings of the 13th USENIX Conference on System Administration (LISA). Berkeley: USENIX Association, 1999.
RUSSINOVICH, Mark; IONESCU, Alex. Windows Sysinternals Administrator’s Reference. 2. ed. Redmond: Microsoft Press, 2023.
SOMMER, Robin; PAXSON, Vern. Outside the Closed World: On Using Machine Learning for Network Intrusion Detection. Proceedings of the IEEE Symposium on Security and Privacy. Washington, DC: IEEE, 2010. https://doi.org/10.1109/SP.2010.25.
VERIZON. 2024 Data Breach Investigations Report. New York: Verizon Business, 2024. Available at: https://www.verizon.com/business/resources/reports/dbir. Accessed on: 2026年4月13日.
ZHANG, Y.; ZHANG, J.; WANG, L. Attack Graph-Based Security Analysis: A Survey. Computers & Security, v. 103, 2021. https://doi.org/10.1016/j.cose.2021.102234.