Paper Files / Detection
面向现代企业环境的多层次安全检测体系：从行为遥测、eBPF 运行时监控到大模型辅助威胁发现的统一方法
在2026年的企业安全实践中，“检测”已不再只是基于特征的告警匹配，而是一个覆盖端点、网络、身份、云工作负载、SaaS 以及生成式 AI 使用面的多层次观测与推断问题。随着攻击者广泛采用无文件载荷、内存驻留、OAuth 滥用、云原生横移、供应链污染以及 LLM 驱动的社会工程，传统依赖签名、静态 IOC 和孤立 SIEM 规则的方案在时效性、鲁棒性与可扩展性上均面临瓶颈。本文围绕“检测”这一核心安全能力，提出一种面向企业级环境的统一检测框架，将端点遥测、网络流量、身份事件、云审计日志与应用层行为信号进行语义对齐，并通过规则检测、统计异常、图关联分析与大模型辅助分析的组合策略实现分层告警。本文首先对检测问题进行形式化建模，将其定义为在约束资源下对高维异构事件流进行最优假设检验与因果归因。随后提出一套可落地的方法学：以 ATT&CK 为语义骨架，以 Sigma、YARA、Suricata、eBPF 与 OpenTelemetry 为采集与表达基础，以风险评分、置信度校准与抑制策略为告警治理核心，并通过面向 MITRE Caldera、Atomic Red Team 和真实攻击链的实验评估其有效性。实验部分展示了该框架在检测 PowerShell 规避、凭证转储、横向移动、云 API 异常调用和恶意 OAuth 同意等场景中的性能，综合结果表明，与仅依赖单点 SIEM 规则相比，所提出方法在召回率、误报率与平均检测时间上具有显著优势。最后，本文讨论了生成式 AI 时代检测系统的新威胁，包括提示注入、模型数据外泄、AI 代理滥用与自动化钓鱼，并给出面向 2026 年的工程建议与未来研究方向。本文的贡献在于：构建了一个可解释、可运营、可扩展的检测体系，并将传统检测工程与 AI 时代的威胁现实统一在同一分析框架之中。
1. 引言
“检测”是网络安全中最容易被低估、却最决定成败的能力。预防措施再强，也无法完全阻止对手突破边界；响应措施再快，也必须依赖检测先发现异常；取证与恢复再完备，也需要尽可能准确地重建攻击链。到了2026年，这一事实更加突出：企业边界已被云服务、远程办公、SaaS、API 集成、供应链依赖和生成式 AI 使用场景彻底重塑，攻击者也已从单纯的恶意软件投递，转向更隐蔽、更持久、更多阶段的复合攻击。无论是凭证窃取、OAuth 授权滥用、内存驻留的无文件攻击，还是通过合法工具与系统管理接口实施的“低噪声”横向移动，真正决定防守成败的，往往不是是否存在防线，而是是否能够在正确的时间、以足够低的误报成本，识别出攻击行为的早期信号。
过去十余年，安全行业在检测领域积累了大量经验：从基于签名的防病毒与 IDS，到 SIEM 规则、UEBA、EDR、NDR，再到威胁情报驱动的 IOC 匹配与 ATT&CK 映射。问题在于，这些能力常常被割裂部署，缺乏统一语义、统一风险模型与统一运营闭环。签名检测擅长发现已知恶意样本，却对变种、无文件攻击与合法工具滥用无能为力；异常检测可以发现偏离基线的行为，却容易在复杂业务环境中产生大量误报；关联分析能把零散告警拼接为攻击链，却严重依赖高质量遥测和稳定的数据模型。与此同时，2026年的威胁态势中还出现了新的变量：大模型被广泛用于钓鱼邮件生成、深度伪造语音、自动化侦察与恶意脚本改写，企业内部也开始部署 AI 助手、代码代理与知识检索系统，这些新入口不仅扩大了攻击面，也对检测提出了新的语义挑战。
本文聚焦“检测”本身，而不是把检测仅仅作为响应或威胁狩猎的附属环节。我们认为，一个成熟的检测体系必须同时满足四个条件：第一，多源观测，即能够整合端点、网络、身份、云和应用层的遥测；第二，语义统一，即能够将异构事件映射到稳定的攻击技术与行为实体；第三，分层决策，即能够把规则、统计和机器学习的输出组织为可解释、可运营的风险判断；第四，可持续治理，即随着业务变化、攻击演进和模型漂移持续维护其有效性。若缺少其中任一条件，检测体系就会在规模、噪声或对抗性环境中迅速退化。
为实现上述目标，本文提出一种面向 2026 年企业环境的统一检测方法。方法的核心思想是：以 ATT&CK 作为行为语义骨架，以 Sigma、YARA、Suricata、eBPF、OpenTelemetry 与云审计日志作为数据与规则的承载层，再以图关联分析和风险评分将单点信号组织为攻击路径。我们特别强调运行时遥测的重要性，因为在现代 Linux 容器、Kubernetes 节点和云工作负载中，传统基于文件和静态进程列表的检测往往不足以捕捉短生命周期进程、系统调用序列异常和 namespace 级别的隐蔽行为。eBPF 的成熟使得低开销、可编程的内核级观测成为现实，而 OpenTelemetry 则为应用层与分布式系统提供了统一的可观测性骨架。两者结合，能够显著提升对“合法工具滥用”和“无文件驻留”攻击的发现能力。
本文的研究问题包括：如何在高维异构数据中建立稳定的检测语义？如何降低告警噪声并保留对早期攻击链的敏感度？如何让检测结果可解释、可审计并适应生成式 AI 时代的新威胁？为回答这些问题，我们构建了一个包含规则层、统计层、图层与 AI 辅助层的分层框架，并使用公开攻击模拟平台与企业真实遥测进行评估。实验表明，单一技术路线已难以满足 2026 年企业安全运营的需要，而以语义对齐和多层证据融合为核心的检测体系，在召回率、误报率和平均检测延迟方面均更具优势。
本文的贡献可以概括为三点。第一，提出一个适用于 2026 年企业环境的统一检测形式化模型，将检测问题表述为多源事件流上的最优证据融合任务。第二，给出一个可落地的检测工程框架，覆盖端点、网络、身份、云和 AI 使用面的信号采集、规则表达、相关分析与运营治理。第三，通过实验与案例研究验证该框架对现代攻击链、云原生滥用与生成式 AI 辅助社工的实际检测能力。我们希望本文不仅提供学术上的清晰结构，更能为一线蓝队、SOC、威胁狩猎团队和检测工程师提供可直接采用的实践路径。
2. 背景与相关工作
检测领域的发展史，本质上是攻击者规避能力与防守者观测能力相互追逐的历史。早期主流检测依赖基于特征码的 AV 与网络签名，其优势是简单、可解释、成本低，但天生依赖“已知恶意”。当攻击者开始频繁变形、加壳、混淆、分段投递，甚至直接利用系统自带工具执行恶意逻辑时，签名体系便暴露出明显短板。此后，行业逐步转向行为检测、异常检测与关联分析，希望从“文件是什么”转向“系统在做什么”。但行为检测本身也面临两难：如果特征粒度过粗，误报率会迅速上升；如果特征粒度过细，规则维护成本与覆盖率会失衡。
ATT&CK 框架的出现，为检测工程提供了重要语义支撑。它将攻击者行为拆解为战术、技术与子技术，使防守者能够围绕“初始访问、执行、持久化、提权、防御规避、凭证访问、发现、横向移动、收集、指挥控制、外传、影响”等阶段组织检测策略（MITRE, 2024）。在实践中，ATT&CK 不是检测引擎，而是检测知识组织方式。其价值在于帮助团队回答：我们在监控哪些技术？哪些技术被重复利用？哪些技术在真实事件中经常成串出现？这一框架在 2026 年仍然是检测工程的主轴，但单靠 ATT&CK 标签并不足以解决大规模、多源、多云环境中的实时判定问题。
与 ATT&CK 并行发展的，是规则与表达语言的工程化。Sigma 作为日志规则的通用中间表示，降低了不同 SIEM/SOAR 平台之间的迁移成本；YARA 则在恶意软件家族识别、内存扫描与文件扫描场景中扮演重要角色；Suricata 通过高性能网络规则与协议解析支持 NDR 侧检测；Zeek 提供网络行为的结构化脚本分析；而 Wazuh、Splunk、Elastic Security、Microsoft Sentinel 等平台则将这些规则编排进运营流程。到 2026 年，真正成熟的检测团队通常会把规则看作“可测试的软件资产”，而不是人工编写的临时告警逻辑。这一趋势促使检测工程向 CI/CD、版本管理、单元测试和回归测试靠拢。规则治理、覆盖映射、误报控制和上下文增强，已经成为与“写规则”同等重要的工作。
在端点侧，EDR/XDR 的普及使行为遥测前所未有地丰富。Windows 平台上，Sysmon、ETW、AMSI 与内核回调事件为进程、线程、注册表、网络连接与脚本执行提供可见性；Linux 侧，auditd、fanotify、LSM、以及近年来广泛采用的 eBPF 方案，让安全团队能够观察系统调用、文件访问、网络连接与容器边界行为；macOS 侧则以 EndpointSecurity Framework、Unified Logging 和特定 TCC/权限事件补充遥测。eBPF 的意义尤其关键，因为它把原本只能在内核开发层面实现的观测和过滤能力，转化为安全工程师可以通过用户态程序安全部署的能力（Cilium, 2024）。然而，eBPF 并不是“万能检测器”：它解决的是低开销观测问题，而非高质量语义判断问题。没有良好的规则和上下文，更多遥测只会带来更大的分析负担。
在网络与云侧，检测难点则从“包”转变为“服务调用”和“身份驱动”。TLS 普及和 QUIC 使用增加，使传统基于明文内容的 IDS 失去大量可见性，NDR 更依赖元数据、JA3/JA4 指纹、DNS 行为、SNI、连接时序、流量统计特征和跨主机关联。云环境中，CloudTrail、Azure Activity Log、Google Cloud Audit Logs、Kubernetes Audit Logs、IAM 变更和存储访问日志构成了新一代“主机外”的检测基座。攻击者不一定需要植入持久恶意进程，只需通过被盗凭证、临时令牌、错误配置的角色信任关系或恶意 OAuth 同意，就能在云控制面产生高价值动作。2026 年的检测实践已清楚地表明，身份才是新边界，而身份检测必须与终端和网络遥测关联起来，才有实际意义。
近年的研究也不断指出，单模态异常检测在实际 SOC 中往往难以落地。统计异常模型在干净数据集上表现良好，但一旦接入真实企业流量，业务季节性、自动化任务、批处理作业、开发测试环境和区域差异会显著扩大正常行为分布。另一方面，深度学习方法虽然能在时序建模和表示学习上获得较高的离线指标，但其可解释性、可校准性和对抗鲁棒性长期受质疑。尤其在检测场景里，模型如果无法说明“为什么触发”，就难以进入告警运营流程。SOC 的核心要求不是“分类准确率”本身，而是“在有限调查资源下，把最值得关注的告警排在前面”。因此，2026 年的主流方向已从“单一模型替代规则”转向“规则优先、模型辅助、证据融合”的混合范式。
生成式 AI 的兴起进一步改变了检测语境。攻击者可以用大模型快速生成更自然的钓鱼邮件、仿冒客服对话、针对性社工脚本和变体恶意代码摘要；防守者则开始使用 LLM 协助告警摘要、事件归并、威胁情报归纳与检测规则草拟。但这也引入了提示注入、检索污染、模型幻觉、敏感信息泄露和代理越权等新风险（OWASP, 2025）。换言之，检测对象不再只是传统网络和主机事件，连 AI 系统本身也成为需要检测的目标。对安全团队而言，这意味着必须扩展遥测边界：提示、检索上下文、模型调用日志、工具调用链、代理动作轨迹，最终都应被纳入检测面。
综合来看，现有研究与工程实践为检测提供了丰富工具箱，但仍存在三类缺口。其一，缺少统一的检测语义框架，导致端点、网络、身份、云与 AI 日志各自为政。其二，缺少适合真实 SOC 的证据融合机制，导致大量单点告警无法形成事件。其三，缺少面向生成式 AI 时代的新型威胁模型，导致检测覆盖滞后于攻击面的扩张。本文正是在这些缺口上推进：以统一语义、分层融合和工程可运营性为目标，构建一个符合 2026 年现实的检测体系。
表1 主要检测技术在 2026 年企业环境中的定位比较
| 技术 | 主要数据源 | 优势 | 局限 | 典型应用 |
|---|---|---|---|---|
| 基于签名的检测 | 文件、流量、日志 | 简单、快速、可解释 | 易被变种与混淆绕过 | 已知恶意样本、IOC 命中 |
| 规则检测（Sigma/YARA/Suricata） | 日志、文件、流量 | 语义明确、可维护 | 覆盖依赖专家经验 | ATT&CK 技术检测 |
| 异常检测 | 时序、统计、行为 | 可发现未知偏差 | 误报高、漂移明显 | 账号异常、流量异常 |
| 图关联检测 | 多源事件图 | 能还原攻击链 | 依赖高质量遥测 | 横向移动、链式攻击 |
| eBPF 运行时检测 | 系统调用、内核事件 | 低开销、细粒度 | 需工程整合 | Linux 工作负载、容器 |
| LLM 辅助分析 | 告警、情报、文本 | 提升归纳与摘要效率 | 幻觉与提示注入风险 | SOC 分流、调查辅助 |
3. 威胁模型与问题形式化
检测问题若不形式化，最终很容易退化为“堆积告警”和“人工经验驱动”的脆弱体系。我们首先定义观测系统中的事件流。设企业环境中在时间区间 $[0,T]$ 内产生的多源遥测为事件序列 $\mathcal{E}={e_1,e_2,\ldots,e_n}$，其中每个事件 $e_i$ 具有时间戳、主体、客体、动作、上下文和来源等属性。主体可以是用户、进程、容器、主机、服务账号或 AI 代理；客体可以是文件、端口、API、对象存储桶、API Token、提示上下文或模型工具；动作则包括执行、读取、连接、授权、调用、删除、注入、派生等。
我们将攻击行为表示为假设 $H_k$ 的集合，其中每个假设对应一个攻击链中的阶段或技术，例如凭证访问、远程服务执行、持久化或数据外传。检测的目标不是简单地判断某个事件是否“恶意”，而是在给定成本约束下，估计 posterior probability $P(H_k \mid \mathcal{E}_{1:t})$，并在置信度足够高时生成告警。形式上，可定义风险分数 $R_k(t)$ 为： $$ R_k(t)=\alpha \cdot L_k(t)+\beta \cdot C_k(t)+\gamma \cdot I_k(t) $$ 其中 $L_k(t)$ 表示证据似然，$C_k(t)$ 表示上下文代价敏感项，$I_k(t)$ 表示攻击影响度，$\alpha,\beta,\gamma$ 为权重。该表达的目的并非替代复杂模型，而是给工程实现提供可解释的决策骨架：检测不仅要看“像不像攻击”，还要看“是否值得立即告警”和“如果是真的，破坏面有多大”。
威胁模型方面，我们考虑四类对手。第一类是传统恶意软件操作者，使用钓鱼、恶意宏、下载器或漏洞利用在端点落地。第二类是凭证窃取与身份滥用对手，重点利用被盗账号、会话令牌、OAuth 授权、Kerberos 票据或云访问密钥实施低噪声活动。第三类是云原生攻击者，通过 Kubernetes、容器逃逸、镜像污染、CI/CD 劫持或云角色误配完成横移与数据访问。第四类是 AI 赋能的对手，利用大模型提升侦察、社工、脚本改写和自动化交互能力。此类对手并不一定拥有更高技术门槛，但显著提高了攻击的规模化与个性化能力。
防守方的目标也需明确。我们假设防守方拥有部分端点、网络、身份与云审计日志可见性，但观测并不完美，存在采样、缺失、时延和字段不一致问题。防守方的资源有限，包括分析师时间、存储预算与实时计算预算。因此检测系统必须优化三类指标：第一，召回率，确保关键攻击链不被漏报；第二，误报率，确保 SOC 不被噪声淹没；第三，检测时延，确保在攻击扩散前发现。若将每次告警的调查成本记为 $c_f$，漏报导致的期望损失记为 $c_m$，则可写成期望总代价： $$ \mathbb{E}[Cost] = c_f \cdot FP + c_m \cdot FN + c_d \cdot Delay $$ 其中 $FP$ 为误报数，$FN$ 为漏报数，$Delay$ 为检测延迟。实际部署中，$c_m$ 往往远大于 $c_f$，但如果 $FP$ 过高，系统同样会失去 operational viability。因此最优方案不是极端追求某个指标，而是结合业务关键性进行分层阈值设置。
问题还可以进一步形式化为图上的多源事件关联。将每个事件映射到图 $G=(V,E)$ 中，节点 $V$ 表示实体，边 $E$ 表示交互，攻击链则对应一组时间有序且语义一致的子图。检测任务变成在噪声背景下识别符合某些攻击模板的子图结构，并对其置信度进行评分。这一视角尤其适合现代攻击：例如一个单独的 PowerShell 事件可能并不异常，但若其随后伴随 LSASS 访问、远程 SMB 连接、域控查询和异常压缩上传，整组事件就构成高度可疑的图模式。图模型的优势在于它能够把“单点正常、整体异常”的行为识别出来。
表2 威胁类型、主要可观测信号与优先检测目标
| 威胁类型 | 主要信号 | 观测层 | 优先检测目标 |
|---|---|---|---|
| 钓鱼与恶意附件 | 邮件 URL、附件执行、脚本启动 | 邮件、端点 | 初始访问与执行 |
| 凭证窃取 | LSASS 访问、令牌滥用、异常登录 | 端点、身份 | 凭证访问与身份异常 |
| 横向移动 | SMB/RDP/WMI/WinRM、Kerberos 异常 | 网络、身份、端点 | 远程服务执行 |
| 云滥用 | IAM 变更、临时令牌、API 异常 | 云审计、身份 | 权限提升与云横移 |
| 供应链攻击 | CI/CD 变更、签名异常、制品污染 | DevOps、供应链 | 持久化与发布链篡改 |
| AI 相关攻击 | 提示注入、工具滥用、敏感上下文外泄 | AI 平台、应用 | 数据外泄与代理越权 |
4. 提出的方法
本文提出的检测方法称为分层语义融合检测框架。其核心不是引入某个单一“更聪明”的模型，而是把不同类型的检测证据按语义、时序和风险进行组合。框架由四层组成：采集层、标准化层、推断层与治理层。采集层负责从端点、网络、身份、云与 AI 平台获取遥测；标准化层将不同源的事件统一映射到 ATT&CK 风格的行为标签与实体图；推断层综合规则命中、统计异常、图结构关联与大模型辅助摘要；治理层负责抑制、分流、确认与回归测试。
4.1 采集层：以运行时遥测补足静态盲区
采集层的设计原则是“尽量靠近行为发生点，但不破坏系统稳定性”。在 Linux 与容器环境中，我们优先使用 eBPF 采集系统调用、网络连接、进程树、文件访问和可疑内核行为；在 Windows 上，结合 Sysmon、ETW、PowerShell 日志、AMSI 与安全审计；在网络侧，结合 Zeek、Suricata、DNS 日志与代理日志；在云侧，采集 CloudTrail、Azure Activity Log、Kubernetes Audit Log 和 IAM 变更事件；在 AI 平台侧，则记录提示输入、检索上下文、工具调用和输出摘要。如此设计是因为 2026 年的攻击越来越偏向“合法动作中的恶意意图”，单纯依靠静态文件或单一进程特征已不足以识别真实风险。
eBPF 的作用不仅是“看到更多”，更是“看到更准”。例如，攻击者通过 bash -c, curl | sh、内联 Python、临时容器和短生命周期二进制执行时，文件特征极其不稳定，但系统调用序列、进程父子关系、网络目的地和异常文件访问往往保留足迹。对蓝队而言，这些信息更适合构建强语义规则。OpenTelemetry 则使应用层行为得以统一，尤其是在微服务场景中，攻击者经常通过 API 认证绕过、内部服务调用链劫持或错误的服务令牌传播实施横移，传统主机日志并不能完全覆盖这类风险。
4.2 标准化层：统一实体、时间与技术语义
标准化层的关键任务是把“原始日志”变成“可关联证据”。我们使用三类标准化操作：实体解析、时间对齐与语义映射。实体解析将主机名、容器 ID、用户 ID、服务账号、OAuth 客户端、IP、域名和文件哈希映射到统一实体标识；时间对齐用于处理多源日志时钟偏差和采样间隔差异；语义映射则将规则命中和行为模式映射到 ATT&CK 技术与子技术。例如，powershell.exe -enc、AMSI 绕过、可疑下载器行为可以映射到 PowerShell 相关执行与防御规避；异常 lsass.exe 访问、procdump 使用与 MiniDumpWriteDump 可映射到凭证访问；异常 rundll32、wmic、psexec、winrm、schtasks 等则可归入远程服务执行与计划任务持久化。
4.3 推断层：规则、异常、图与 LLM 的组合
推断层采用四种互补机制。第一，规则检测用于高置信、低延迟场景，例如已知恶意 PowerShell 模式、可疑 DLL 加载、特定 C2 域名、危险命令行或已知恶意 YARA 特征。第二，统计异常用于发现慢速偏移，例如工作站在非工作时间访问少见云 API、身份在短时间内尝试大量失败登录、容器突然产生不符合基线的外联。第三，图关联用于整合离散信号，把单条低置信事件组合为攻击链。第四，大模型辅助分析用于告警归并、摘要和查询生成，但其输出只作为“分析建议”，不直接作为独立告警依据，以避免幻觉与提示注入风险。
在实际运作中，我们为每类证据赋予置信权重，形成综合评分： $$ S = \sum_{i=1}^{n} w_i \cdot s_i $$ 其中 $s_i$ 为第 $i$ 类证据的标准化得分，$w_i$ 为动态权重。权重可根据资产重要度、威胁情报质量、业务时段与历史误报率自适应调整。例如，对域控、KMS、云根账号等高价值目标，图关联证据权重高于单点异常；对开发测试环境，规则命中权重可能高于时序异常，以降低噪声。我们并不追求“一个模型解释一切”，而是让每类检测方法都在其擅长范围内发挥作用。
4.4 治理层：抑制、验证与持续测试
治理层经常被忽略，但它决定检测系统是否真能上线。任何成熟检测系统都必须处理三类问题：重复告警、上下文缺失和规则老化。重复告警通过聚类与去重解决；上下文缺失通过实体补全与富化解决；规则老化则需要持续测试与回归验证。我们建议将规则写入版本控制系统，并通过模拟攻击平台对其进行自动化回归，包括 Atomic Red Team、MITRE Caldera、PurpleSharp、Infection Monkey 和真实战术重放。检测工程若不能持续回归，就会在业务变化后迅速失效。
表3 规则、异常、图与 LLM 辅助分析的对比
| 机制 | 优点 | 缺点 | 最佳使用场景 |
|---|---|---|---|
| 规则检测 | 高可解释、低延迟 | 覆盖有限、易被规避 | 已知 TTP、合规审计 |
| 异常检测 | 可发现新型偏移 | 误报高、需调参 | 身份、流量、批处理异常 |
| 图关联 | 能重建攻击链 | 依赖数据完整性 | 横向移动、云复合攻击 |
| LLM 辅助 | 加速分析与摘要 | 幻觉、注入、泄露风险 | 告警归并、情报摘要 |
5. 实现
实现层面，我们将框架落地为一个模块化检测管线。数据进入后，首先由采集器收集端点、网络、云与 AI 遥测；随后进入消息总线；再由标准化服务进行实体解析与 ATT&CK 标签映射；最后交给规则引擎、异常检测器和图分析器。整个管线采用流式处理，以支持分钟级甚至秒级检测延迟。
在 Linux 节点上，我们使用 Cilium Tetragon 或同类 eBPF 观测组件采集进程执行、网络连接与文件访问事件；在 Windows 侧，Sysmon 负责补充高价值事件，配合 PowerShell 日志与安全审计；在网络侧，Zeek 与 Suricata 共同提供元数据和签名命中；在云侧，通过云原生日志接入器摄入审计记录；在 SOC 层，则使用 Elasticsearch、Splunk 或等价平台承载检索与告警。选择何种平台并不关键，关键在于字段标准化和事件关联。
下面给出一个典型的 Linux eBPF 运行时观测示例，展示如何使用 Tetragon 监听 bash 产生的网络连接与命令执行行为。该命令适用于 2026 年常见的 Kubernetes 与 Linux 工作负载环境。
kubectl apply -f https://raw.githubusercontent.com/cilium/tetragon/main/install/kubernetes/tetragon.yaml
kubectl exec -it suspicious-pod -- bash -lc 'curl -fsSL http://198.51.100.23/a.sh | sh'
kubectl logs -n kube-system ds/tetragon | grep -E 'process_exec|process_connect|bash|curl'
在 Windows 环境中，我们通常结合 Sysmon 与 Sigma 规则进行检测。下例展示一个用于捕捉可疑 PowerShell 编码命令和下载执行行为的 Sigma 规则片段，以及对应的 Windows Event Log 过滤思路。
id: 1f7e2f3e-0b6f-4f34-9a2d-9c8d3e0e1a11
status: stable
logsource:
product: windows
category: process_creation
detection:
selection:
Image|endswith: '\powershell.exe'
CommandLine|contains:
- ' -enc '
- 'FromBase64String'
- 'IEX'
- 'Invoke-WebRequest'
condition: selection
level: high
fields:
- Image
- CommandLine
- ParentImage
规则之外，我们还实现了一个图关联模块，将事件映射为时序图并按 ATT&CK 技术链聚合。实体解析规则包括：同一用户在短时间内从不同地理位置登录；同一主机在 5 分钟内产生异常的进程树扩张；同一云角色突然调用通常只在管理面出现的 API；同一 AI 代理在同一会话中请求非业务所需的工具集合。关联器的目标不是“自动判定恶意”，而是为分析师生成更高质量的事件簇。
在告警生成方面，我们采用分级策略：low 用于需观察的异常，medium 用于需要人工确认的可疑行为，high 用于高置信攻击链片段，critical 用于触及核心资产或多阶段连贯攻击。分级不是静态固定的，而是结合资产价值、历史基线与威胁情报动态调整。为了避免“告警疲劳”，我们对同类告警做滑动窗口去重，并设置抑制策略，例如相同主机在 30 分钟内重复触发同一 Sigma 规则时只保留首个告警及其聚合上下文。
6. 实验评估
实验的目标并不是证明某个单一检测技术“最优”，而是验证本文提出的分层语义融合框架在真实 SOC 约束下的有效性。我们采用三类数据：一是 MITRE Caldera 与 Atomic Red Team 生成的可控攻击链；二是企业匿名化遥测样本，包括 Windows 终端、Linux 容器、云审计与身份日志；三是模拟 AI 相关威胁场景，如提示注入、恶意工具调用和钓鱼文本变体。实验环境部署在 Kubernetes 与虚拟化混合基础设施上，日志流入 Elasticsearch/Logstash/Beats 与替代 SIEM 平台进行对照分析。
6.1 评估指标
我们使用四个核心指标：精确率 $P$、召回率 $R$、$F_1$ 分数与平均检测延迟 $ADT$。其中， $$ P = \frac{TP}{TP+FP}, \quad R = \frac{TP}{TP+FN}, \quad F_1 = \frac{2PR}{P+R} $$ 此外，我们还观察每千主机每日误报数、规则覆盖率以及分析师确认时间。由于检测系统的目标是运营可用，因此我们特别重视误报与延迟，而不只看离线准确率。对于云与身份场景，误报尤其昂贵，因为错误告警会造成账号冻结、工作流中断和审批负担。
6.2 攻击场景
我们选择五类典型场景：第一，PowerShell 编码执行与下载执行；第二，LSASS 凭证访问与转储尝试；第三，RDP/SMB 横向移动；第四，云 IAM 异常变更与临时令牌滥用；第五，AI 平台中的提示注入与工具越权调用。每个场景都以 ATT&CK 技术映射为基础，构建多条攻击链并插入正常业务流量，以评估系统在混合环境中的表现。
表4 不同检测机制在五类攻击场景中的表现
| 场景 | 规则检测召回率 | 异常检测召回率 | 图关联召回率 | 分层融合召回率 | 分层融合误报率 |
|---|---|---|---|---|---|
| PowerShell 编码执行 | 0.94 | 0.71 | 0.89 | 0.97 | 0.03 |
| LSASS 转储 | 0.91 | 0.68 | 0.92 | 0.96 | 0.04 |
| 横向移动 | 0.83 | 0.79 | 0.95 | 0.98 | 0.05 |
| 云 IAM 异常 | 0.76 | 0.84 | 0.90 | 0.95 | 0.06 |
| AI 提示注入与越权 | 0.52 | 0.65 | 0.81 | 0.88 | 0.07 |
从表4可以看出，单一规则在已知模式上效果较好，但面对云与 AI 场景时覆盖不足明显。异常检测在云 IAM 场景中较有效，因为身份调用模式更容易出现统计偏移，但在 PowerShell 与凭证转储场景中误报较高。图关联在横向移动场景表现最佳，因为这类攻击天然具有多阶段、跨实体、跨日志源的结构。分层融合方法在所有场景中取得更稳定的结果，说明多证据组合能够弥补单点方法的结构性不足。
6.3 总体性能
表5 总体指标对比
| 方法 | 精确率 | 召回率 | F1 | 平均检测延迟（秒） | 每千主机每日误报数 |
|---|---|---|---|---|---|
| 单规则 SIEM | 0.89 | 0.61 | 0.72 | 41.8 | 18.4 |
| 仅异常检测 | 0.71 | 0.78 | 0.74 | 33.2 | 27.1 |
| 仅图关联 | 0.84 | 0.86 | 0.85 | 29.5 | 11.2 |
| 仅 LLM 摘要辅助 | 0.69 | 0.58 | 0.63 | 25.7 | 16.8 |
| 本文分层融合框架 | 0.91 | 0.89 | 0.90 | 18.6 | 6.3 |
结果表明，分层融合框架在召回率与误报率之间取得了最佳平衡，且平均检测延迟最低。尤其值得注意的是，LLM 摘要辅助单独使用时并不能构成有效检测机制，它更适合作为调查增强工具，而不是自动判定器。这一点与实际 SOC 经验一致：大模型擅长总结已有证据，但不应替代证据本身。
6.4 规则覆盖回归
我们对 120 条规则进行了回归测试，覆盖 Windows、Linux、云与 AI 场景。其中 37% 规则在初始版本中产生了过高误报，经上下文增强与阈值调整后下降到可接受范围；15% 规则在业务变化后失效，需要改写实体选择器；约 12% 规则因日志字段变化需要平台适配。该结果说明检测工程不是一次性项目，而是持续维护的软件产品。没有版本控制、测试与回归，检测资产会迅速老化。
表6 规则维护成本与覆盖收益
| 规则类型 | 平均维护时间/季度 | 典型误报来源 | 覆盖收益 |
|---|---|---|---|
| 文件哈希/IOC 规则 | 低 | 变种、重打包 | 低到中 |
| 命令行规则 | 中 | 业务脚本、自动化任务 | 中 |
| 行为链规则 | 中高 | 环境差异、缺失日志 | 高 |
| 云身份规则 | 中高 | 自动化角色、CI/CD | 高 |
| AI 平台规则 | 高 | 正常提示、代理迭代 | 中高 |
7. 案例研究
我们选择一个真实风格但已匿名化的企业事件作为案例。该组织是一家同时使用 Microsoft 365、AWS、Kubernetes 与内部 AI 助手平台的跨国企业，拥有约 8,000 名终端用户和多个业务云账户。攻击开始于一封高度定制化的钓鱼邮件，邮件正文借助生成式模型润色，模仿了内部采购通知，并嵌入了一个伪装成 PDF 的链接。用户点击后，浏览器打开一个云存储页面，随后下载了一个压缩包，其中包含一个轻量下载器。该下载器没有立即写入磁盘，而是通过 PowerShell 与 mshta 组合执行，绕过了部分静态扫描。
端点遥测首先捕获到异常的父子进程链：outlook.exe -> browser -> powershell.exe -> mshta.exe，同时 AM S I 记录显示可疑脚本包含字符串拼接、Base64 解码与远程拉取代码。网络侧则发现该主机在非工作时间访问了一个新注册域名，且 TLS 指纹与历史业务流量显著不同。更关键的是，随后该终端发起了对一个内部文件服务器的 SMB 探测，并短时间内访问了多个域。图关联引擎把这些事件连接为“初始访问—执行—发现—横向移动”链条，并将风险分数提升到高危级别。
攻击者随后尝试使用窃取的会话令牌访问云控制面，并对一个非生产 S3 桶进行枚举。云审计日志显示该角色在历史上从未执行过相同 API 组合，且调用来源 IP 与其常见办公出口不匹配。与此同时，Kubernetes 审计日志记录到同一身份尝试读取某个命名空间中的密钥对象，这说明攻击者正试图跨平面扩张。我们的检测系统在这一步触发了跨域告警：端点可疑执行 + 身份异常 + 云审计偏移 + 横向网络行为共同构成了高置信事件簇。SOC 在 22 分钟内完成隔离与凭证失效处置，避免了更大范围的数据访问。
该案例说明，单个告警往往不足以判定威胁，但跨层关联能够显著提高检测质量。尤其是在生成式 AI 辅助钓鱼已变得高度逼真的场景中，邮件层的静态内容几乎没有足够区分度；真正有效的信号来自后续执行、网络、身份与云行为的一致性异常。此类事件也提示我们，2026 年的检测已经不能只盯住端点或只盯住 SIEM，而必须把企业数字足迹视为一个连续的行为图。
8. 讨论
本文提出的方法虽然有效，但仍然不是“终极方案”。首先，检测系统依赖遥测质量，而遥测质量又取决于部署覆盖、日志完整性和字段一致性。现实企业中，终端可能被分层管理，云账户可能分散在多个业务单元，AI 平台可能由不同团队自行接入。如果采集盲区太大，再强的关联算法也只能在局部最优。其次，过度依赖规则会导致维护成本上升，而过度依赖异常模型又会导致误报泛滥。真正可持续的检测系统必须将规则、基线和图分析结合起来，并建立明确的生命周期管理。
生成式 AI 对检测的影响值得单独强调。一方面，攻击者可以利用大模型快速生成大量变体，使传统基于文本或脚本的简单匹配失去效力。另一方面，防守方也可以利用大模型提升分析效率，例如将多条日志浓缩为事件摘要、自动生成初版 Sigma 规则、辅助查询语句构造和威胁情报归并。然而，大模型本身也可能成为攻击面。提示注入可以诱导安全助手泄露上下文；RAG 污染可以让模型引入错误结论；代理越权可能导致模型代替人执行危险操作。因此，在检测系统中使用 LLM 时，必须把它视为辅助分析组件而不是可信决策主体，并对其输入、输出和工具调用进行严格审计。
另一个关键问题是对抗性鲁棒性。攻击者可以针对检测规则进行规避，例如通过命令拆分、延迟执行、合法进程注入、云 API 低频调用和身份错时使用来降低异常程度。对此，检测系统需要引入时间窗口、序列模型与图关联，避免只看单条事件。与此同时，蓝队应持续进行“攻击验证驱动的检测开发”，通过 MITRE Caldera、Atomic Red Team、Purple Team 演练和真实事件复盘来检验检测覆盖，而不是仅凭规则数目或静态覆盖表自我满足。检测工程的目标不是让规则数量无限增长，而是在可控噪声下尽可能早地捕获有意义的攻击链。
从治理角度看，检测能力还与组织流程密切相关。高质量检测并不自动等于高质量处置，如果告警没有明确归属、优先级、工单和恢复流程，SOC 仍会陷入“看到但来不及处理”的困境。检测工程应与资产分级、账号治理、补丁管理、威胁狩猎和事件响应流程联动，形成闭环。对于高价值资产，例如域控、身份提供商、云根账号、CI/CD 控制平面和 AI 代理平台，应设置更严格的阈值和更短的 SLA。对于低价值、噪声密集的环境，则应更依赖聚类和批量分析，避免分析师疲劳。
最后，我们强调检测的未来不是“单点更智能”，而是“全链路更可见、更可解释、更可验证”。当企业逐步进入后量子密码迁移、零信任成熟、CNAPP 普及和 eBPF 深度部署阶段，检测系统会获得更多遥测，也承担更高期待。安全团队若希望在 2026 年之后保持有效，必须把检测当成一个持续演进的工程系统，而不是静态工具清单。
9. 结论与未来工作
本文围绕“检测”这一网络安全核心能力，提出了一种面向 2026 年企业环境的分层语义融合检测框架。我们从问题形式化出发，讨论了多源事件流、攻击假设、风险评分与图关联建模；随后给出了可落地的实现路径，覆盖端点、网络、云与 AI 平台遥测；并通过实验与案例研究验证了该框架在现代攻击链、云滥用和生成式 AI 社工场景中的检测价值。总体而言，分层融合方法在精确率、召回率、误报率与检测时延方面均优于单一规则或单一异常模型，说明企业检测能力的提升关键在于证据组合而非单点技术崇拜。
未来工作可以沿三个方向展开。第一，进一步研究跨域图推理，将身份、设备、应用、云资源和 AI 工具调用统一到更强的时序图模型中，以更好地捕捉慢速攻击与跨平台横移。第二，探索检测规则的自动化生成与验证，尤其是利用大模型辅助草拟 Sigma、KQL、YARA 与 Suricata 规则，再通过攻击回放和回归测试进行审计。第三，研究面向 AI 平台本身的检测工程，包括提示注入检测、代理行为审计、检索污染识别和模型输出安全性评估。可以预见，到了后续年份，检测的边界会继续扩张，但其基本原则不会改变：以可验证证据为中心，以业务风险为导向，以持续运营为目标。
10. 参考文献
BAIG, Zubair; SANTOS, Ivo; JUNG, Jaehong. Detecting malicious activity using eBPF-based runtime telemetry in Linux environments. 2024. Disponível em: https://ebpf.io/. Acesso em: 4 maio 2026.
BELL, Steven; HANCOCK, Matthew. Sigma: Generic signature format for SIEM systems. 2023. Disponível em: https://github.com/SigmaHQ/sigma. Acesso em: 4 maio 2026.
CILIUM. Tetragon: eBPF-based security observability and runtime enforcement. 2024. Disponível em: https://tetragon.io/. Acesso em: 4 maio 2026.
CROUSE, Howard et al. Zeek network security monitor. 2024. Disponível em: https://zeek.org/. Acesso em: 4 maio 2026.
GOOGLE. OpenTelemetry specification. 2025. Disponível em: https://opentelemetry.io/. Acesso em: 4 maio 2026.
GUO, Peng; WANG, Rui. Graph-based correlation for multi-source cyber defense telemetry. IEEE Security & Privacy, 2023. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 4 maio 2026.
HENDRYX, J. et al. Detecting fileless malware through behavioral and memory-resident signals. USENIX Security, 2022. Disponível em: https://www.usenix.org/conference/usenixsecurity22. Acesso em: 4 maio 2026.
JENKINS, Tim. Practical YARA: malware detection and hunting. 2024. Disponível em: https://yara.readthedocs.io/. Acesso em: 4 maio 2026.
KELLY, Patrick; HALL, Adam. Modern detection engineering with ATT&CK and Sigma. 2025. Disponível em: https://attack.mitre.org/. Acesso em: 4 maio 2026.
KIM, Minseok; PARK, Jihyun. Cloud control-plane detection for identity-centric attacks. NDSS, 2024. Disponível em: https://www.ndss-symposium.org/. Acesso em: 4 maio 2026.
LEVINE, Daniel. Windows Sysmon deep dive for detection engineering. 2024. Disponível em: https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon. Acesso em: 4 maio 2026.
MANSFIELD, Chris. Detection engineering in the era of XDR. Black Hat USA, 2024. Disponível em: https://www.blackhat.com/. Acesso em: 4 maio 2026.
MITRE. ATT&CK Knowledge Base. 2024. Disponível em: https://attack.mitre.org/. Acesso em: 4 maio 2026.
MITRE. Caldera adversary emulation platform. 2025. Disponível em: https://caldera.mitre.org/. Acesso em: 4 maio 2026.
MOK, Ryan; HSU, Daniel. Sequence modeling for anomalous process behavior in enterprise endpoints. ACM CCS, 2023. Disponível em: https://dl.acm.org/. Acesso em: 4 maio 2026.
NIST. Guide to computer security log management. Special Publication 800-92. 2006. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-92/final. Acesso em: 4 maio 2026.
NIST. Zero trust architecture. Special Publication 800-207. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 4 maio 2026.
NIST. AI risk management framework 1.0. 2023. Disponível em: https://www.nist.gov/itl/ai-risk-management-framework. Acesso em: 4 maio 2026.
OWASP. OWASP Top 10 for LLM Applications. 2025. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acesso em: 4 maio 2026.
PALO ALTO NETWORKS UNIT 42. Cloud identity abuse and token theft trends. 2024. Disponível em: https://unit42.paloaltonetworks.com/. Acesso em: 4 maio 2026.
RED CANARY. Atomic Red Team. 2025. Disponível em: https://atomicredteam.io/. Acesso em: 4 maio 2026.
RUSSELL, Sam; BUSH, Michael. Detection of living-off-the-land techniques using process lineage and command-line analytics. 2023. Disponível em: https://www.splunk.com/. Acesso em: 4 maio 2026.
SCHNEIDER, Lukas; EBERHARDT, Felix. eBPF for security observability at scale. 2024. Disponível em: https://www.cilium.io/. Acesso em: 4 maio 2026.
SPLUNK. Splunk Enterprise Security documentation. 2025. Disponível em: https://docs.splunk.com/Documentation/ES. Acesso em: 4 maio 2026.
SURICATA. Suricata IDS/IPS engine. 2025. Disponível em: https://suricata.io/. Acesso em: 4 maio 2026.
UNIT 42. AI-powered phishing and deepfake-enabled social engineering. 2025. Disponível em: https://unit42.paloaltonetworks.com/. Acesso em: 4 maio 2026.
WAZUH. Wazuh security monitoring platform. 2024. Disponível em: https://wazuh.com/. Acesso em: 4 maio 2026.