Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →16 papers
云安全攻击面测量、配置漂移检测与零信任控制联动：面向2026年的云原生防御研究
云已经从“基础设施承载层”演化为企业身份、数据、软件供应链与运行时控制平面的核心枢纽，因此其安全问题不再局限于虚拟机隔离或存储加密，而是扩展到API权限蔓延、控制面误配置、容器逃逸、工作负载身份劫持、CI/CD供应链投毒以及云服务商与租户之间的责任边界失配。本文面向2026年的云威胁态势，提出一套以攻击面测量、配置漂移检测与零信任控制联动为核心的云安全防御方法。我们首先建立云风险形式化模型，将资产暴露度、身份权限熵、配置偏差、运行时异常与供应链可信度统一纳入可计算框架，并用 $R=\alpha E+\beta P+\gamma D+\delta B$ 表示综合风险评分，其中 $E$ 为暴露面，$P$ 为权限膨胀，$D$ 为漂移程度，$B$ 为基线偏差。随后，我们设计一个可落地的多层检测管线：在控制面侧利用云审计日志与配置快照进行差分分析，在数据面侧结合 eBPF 运行时遥测与容器行为剖面进行异常关联，在身份侧将短时令牌、角色切换与服务间调用图进行图谱化建模，并在策略执行层与 Zero Trust、CNAPP、CIEM、CSPM、CWPP 能力联动。本文给出实现架构、规则与统计模型、以及基于AWS、Azure和Kubernetes环境的实验评估。实验结果表明，该方法可在不依赖侵入式代理的前提下显著降低误报并提高对跨账户访问、过宽IAM策略、公开对象存储、Kubernetes权限提升与供应链异常的检出率。最后，本文结合一则真实世界风格的云入侵案例，讨论2026年云安全从“静态合规”向“动态可信执行”的范式转移，并总结在AI驱动攻击、后量子迁移、平台工程和云治理背景下的未来研究方向。
Read paper →Cloud云安全攻防一体化研究：面向多云、容器与生成式AI时代的云工作负载威胁建模、检测与响应框架
云计算在2026年已成为企业关键业务与数据处理的基础设施，但其攻击面也从传统虚拟机与API扩展到Kubernetes、服务网格、无服务器、SaaS集成、供应链镜像、身份联邦以及面向生成式AI的工作负载。与此同时，攻击者利用云控制平面暴露面、错误配置、临时凭证滥用、容器逃逸链、CI/CD注入、云原生日志规避与模型接口滥用，构建了比以往更隐蔽、更快速的横向移动路径。本文提出一个面向2026年威胁格局的云安全研究框架，聚焦多云环境中“身份—配置—运行时—遥测”四层联动的攻防闭环。首先，我们对云威胁进行形式化建模，将攻击链抽象为状态转移图，并以风险函数刻画暴露面、可利用性与检测延迟之间的耦合关系。其次，提出一种融合CNAPP、eBPF运行时遥测、IAM图分析与云审计日志关联的检测方法，能够同时覆盖静态错误配置、凭证泄露、异常API行为和容器内可疑进程树。再次，给出可复现实装方案，包括基于Terraform、OPA、Falco、CloudTrail、Azure Activity Logs、GCP Audit Logs、OpenTelemetry与Sigma规则的工程化落地路径。实验部分基于多云沙箱与公开攻击样本验证该框架，结果表明该方法在保持较低误报的同时，显著提升了对云工作负载横向移动、权限提升与数据外传行为的检测率。最后，结合一则真实风格的云入侵案例，讨论生成式AI时代下的云安全治理、零信任收敛、后量子迁移与AI治理对云防御体系的影响。本文的核心贡献在于为2026年的云安全运营提供一套兼具理论严谨性、工程可部署性与实战可操作性的统一方法。
Read paper →Cloud云安全攻防一体化研究：面向2026年的多云、容器与身份边界威胁建模、检测与响应框架
云计算已成为2026年企业信息系统的默认承载底座，但其安全边界早已从“基础设施硬化”转向“身份、配置、供应链、运行时与数据流的系统性治理”。本文围绕公有云、混合云与多云环境中的核心攻击面，提出一套面向实战的云安全攻防一体化研究框架，系统分析从控制平面滥用、IAM权限漂移、容器逃逸、Kubernetes配置失误、无服务器函数供应链污染，到生成式AI辅助社工与云原生数据泄露的完整威胁链条。我们基于2026年的技术格局，结合零信任、CNAPP、eBPF运行时监控、CIEM、CSPM、SSPM与态势感知日志分析等能力，构建可形式化表达的威胁模型，并提出分层检测与响应方法。该方法将攻击路径表示为有向图上的风险传播过程，通过权限距离、配置暴露面与运行时异常度共同建模，定义综合风险函数 $R=\alpha P+\beta C+\gamma B+\delta D$，其中分别代表权限、配置、基线偏离与数据敏感度因素。实验部分采用真实云原生组件、公开漏洞样本与对照基线，评估了不同防护策略在检测覆盖率、误报率、响应延迟和攻击路径收敛时间上的效果。结果表明，结合身份治理、最小权限、实时审计与运行时策略强制的方案，可显著降低横向移动成功率与高危暴露窗口。最后，本文通过一起多云环境中由密钥泄露引发的控制平面入侵案例，展示了从初始访问、权限提升到数据外传的完整取证与处置过程，并讨论了AI时代云安全治理、后量子加密迁移与自治防御编排的发展方向。本文旨在为2026年的云安全研究、红队评估与蓝队防护提供一套兼具理论严谨性与操作可行性的参考框架。
Read paper →Cloud云安全攻防一体化：面向2026年云原生环境的威胁建模、检测与响应框架
云计算已成为企业数字化基础设施的核心承载形态，但其攻击面也随着多云、容器、Kubernetes、无服务器、身份联邦与AI工作负载的普及而持续扩张。到2026年，云安全的关键矛盾已不再是“是否上云”，而是“如何在高度动态、强耦合、强依赖身份与控制面的环境中，建立可验证、可监测、可响应的安全体系”。本文围绕云环境中的实际攻防问题，提出一套面向2026年的云安全攻防一体化研究框架，系统覆盖威胁建模、控制面与数据面风险、身份与密钥暴露、供应链投毒、容器逃逸、Kubernetes滥用、云API横向移动、日志对抗与AI增强钓鱼等关键场景。本文首先梳理2020—2026年云安全相关研究、工具与典型事件，指出传统边界防护模型在云原生架构下失效的根本原因；随后将云环境形式化为由身份图、资源图、权限图和观测图组成的多层图模型，并据此定义风险传播函数与可检测性约束。基于该模型，本文提出一种融合CNAPP、CSPM、CIEM、CWPP、eBPF遥测、Kubernetes准入控制、云审计日志关联与行为基线学习的检测与响应方法，并给出可操作的实现细节。实验部分使用公开基准、模拟云环境与真实工具链，对比了仅依赖配置审计、仅依赖主机检测、以及融合图关联与行为分析的方案在检测率、误报率、平均发现时间和攻击路径重建完整度上的差异。结果表明，在常见云攻击链中，融合方法可显著提升对低噪声身份滥用、短时无服务器滥用与跨账户横移的可见性。最后，本文结合一起云控制面凭证泄露导致的多阶段入侵案例，分析了攻击者如何利用短期令牌、角色信任链与日志缺口实现持久化，并讨论了零信任、后量子密码迁移、AI治理与eBPF级检测在2026年之后的演进方向。
Read paper →Cloud标题：基于统一遥测与对手建模的多云环境威胁检测与响应形式化与运行时架构
标题：基于统一遥测与对手建模的多云环境威胁检测与响应形式化与运行时架构 摘要：多云和云原生架构的整合深刻改变了组织的攻击面，将传统的外围安全重点转移至身份治理、API、供应链、分布式控制平面以及软件定义基础设施。广为记录的事件——例如 2019 年 Capital One 数据泄露，其中涉及 Server-Side Request Forgery (SSRF) 的利用以及对 AWS Instance Metadata Service 的未授权访问——以及 Log4Shell 漏洞（CVE-2021-44228）的大规模利用，表明过度特权身份、碎片化可见性与异构遥测的结合可能导致大规模系统性失陷。与此同时，云服务提供商及独立组织发布的威胁情报报告指出，滥用有效凭证、OAuth 令牌和 API 密钥是现代云环境攻击中的反复出现的向量。本文提出一种面向多云环境威胁检测与响应的形式化与运行时架构，其建立在三个互补支柱之上：(i) 来自控制平面、网络和运行时的遥测语义统一；(ii) 通过带注释的有向时序图对对手行为进行形式化建模；(iii) 采用混合相关机制，将声明式规则（Sigma）、网络签名（Suricata）、基于 eBPF 的仪表化（Falco）以及结合 Elastic Stack 和标准化摄取流水线的结构化分析相结合。我们将检测问题形式化为定义在带注释的时序图上的决策函数 $f: G(E,T) \rightarrow \{0,1\}$，并在关于遥测完整性和时间粒度的显式假设下，引入条件完备性与假阳性受限的形式化性质。我们在涉及 Amazon Web Services、Microsoft Azure 和 Google Cloud Platform 的多云环境中对该架构进行了实证评估，实验对象包括经过仪表化的 Kubernetes 集群以及基于 MITRE ATT&CK for Cloud 框架并结合 Atomic Red Team 执行的实验场景。与仅基于控制平面日志的基线相比，我们观察到平均检测时间（MTTD）持续下降，并且对于涉及身份操纵、容器执行和数据外泄的攻击链，检测率显著提升。结果表明，将遥测语义统一与攻击链形式化建模相结合，可在保持与成熟安全运营中心（SOC）运行相适应的假阳性率的同时，带来可衡量的检测收益。
Read paper →Cloud标题：2023年云计算环境中的安全性：CNAPP集成、基于eBPF的可观测性以及生成式AI的新兴风险
标题：2023年云计算环境中的安全性：CNAPP集成、基于eBPF的可观测性以及生成式AI的新兴风险 摘要：云计算的快速采用已改变当代数字基础设施，使IaaS、PaaS和SaaS等模型成为数字经济的支柱。2023年，这一技术演进与云原生架构、微服务、容器以及持续集成流水线的扩展同时发生，显著扩大了组织的攻击面。本文系统性地考察了现代云环境中的主要安全挑战，并对截至2023年安全生态系统中观察到的三项核心趋势进行了综合分析：Cloud-Native Application Protection Platform（CNAPP）平台、基于eBPF的可观测性与威胁检测，以及与采用生成式人工智能模型和大语言模型（LLMs）相关的新兴风险。首先，我们讨论云安全的架构基础，包括共享责任模型、资源隔离以及用于数据保护的密码机制。随后，我们分析当代攻击向量，如基础设施配置错误、凭证泄露、API利用以及针对开发流水线的攻击。我们还提出了一个面向多云环境的正式风险评估模型，该模型整合了暴露度、资产关键性和可利用性概率等指标。该模型能够量化弹性且高度分布式基础设施中的运营风险。此外，我们实证评估了CNAPP平台在CSPM、CWPP与应用安全之间的融合中所发挥的作用，展示了这些解决方案如何减少可见性缺口并提升事件响应能力。我们还探讨了eBPF在Linux内核底层监控中的应用，使得能够以最小的性能影响实现对威胁的实时行为检测。最后，我们研究了在企业工作流中集成基于LLM系统所带来的新风险，包括prompt injection、数据外泄和上下文操纵。我们得出结论，2023年的云安全需要一种综合方法，将形式化验证、深度可观测性和AI治理结合起来。结果表明，密码技术、行为分析与基于策略的自动化之间的融合，对于缓解现代分布式基础设施中的威胁至关重要。
Read paper →Cloud标题：基于统一遥测、eBPF和攻击链形式化建模的多云环境威胁检测与响应操作架构
标题：基于统一遥测、eBPF和攻击链形式化建模的多云环境威胁检测与响应操作架构 摘要：云计算的广泛采用深刻改变了企业系统架构，将传统安全边界转移为以身份、API和软件定义基础设施为中心的模型。在多云环境中，云服务提供商、遥测格式和控制机制的异构性使得对分布式攻击进行一致检测变得困难。本文研究如何构建一种能够近实时关联来自多个云服务提供商事件的检测与事件响应操作系统。我们提出一种基于统一遥测、日志语义归一化和攻击序列形式化建模的架构。该方法整合来自原生审计服务（CloudTrail、Azure Activity Logs 和 GCP Cloud Logging）、网络传感器以及基于 eBPF 的低层仪表化数据，以实现对云原生工作负载运行时的可观测性。基于这些异构遥测数据，我们定义了一个基于事件时间窗口的风险评估数学模型，从而能够识别以身份滥用、基础设施篡改和横向移动为特征的攻击链。所实现的关联机制使用 OpenSearch 作为索引和查询引擎，使用 Sigma 规则进行基于行为特征的检测，并使用机器学习模型识别异常。该架构还集成了 MITRE ATT&CK 矩阵，可将观测到的事件映射到已知的对抗技术。我们在一个多云环境中进行了实验评估，收集了来自三个云服务提供商上分布式工作负载的超过十亿条事件。结果表明，在包括平均检测时间（MTTD）和平均响应时间（MTTR）在内的安全运维指标上有显著提升，同时保持了较低的误报率。此外，我们展示了攻击链的数学形式化如何支持对云操作安全进行系统化推理。该研究通过结合形式化严谨性、与安全运营中心常用工具的实际集成以及在真实规模条件下的经验验证，为复杂多云环境中的检测与响应提供了架构指导，并丰富了相关文献。
Read paper →Cloud标题：基于统一遥测与对抗建模的多云环境威胁检测与遏制形式化与操作化架构
标题：基于统一遥测与对抗建模的多云环境威胁检测与遏制形式化与操作化架构 摘要：多云架构的快速采用为分布式企业环境中的威胁检测与遏制引入了重大挑战。基础设施的弹性、API 编程接口的广泛使用，以及身份与访问策略的复杂性，显著扩大了攻击面。诸如 2019 年 Capital One 遭入侵以及全球范围内 Log4Shell 漏洞（CVE-2021-44228）的利用等广为记录的事件表明，配置不当、凭证泄露与服务被利用的组合可导致大规模横向移动。尽管可获得大量遥测数据——包括 API 日志、网络流量、容器审计和安全事件——这些来源往往在不同云提供商和工具之间保持碎片化，限制了上下文关联能力。本文提出一种面向多云环境的威胁检测与遏制形式化与操作化架构，该架构基于统一遥测与面向图的对抗建模。我们提出一种攻击面数学形式化，其中身份、资源和授权策略被表示为加权有向图。在此模型之上，我们引入增量算法，能够关联来自多个云提供商的异构事件，并识别与 MITRE ATT&CK 框架中的战术和技术相关的横向移动路径。该架构采用 2023 年业界广泛使用的工具实现，包括 Elastic Stack、Apache Kafka、Neo4j、Kubernetes 以及用于检测归一化的 Sigma 规则。我们在一个包含 420 个分布于 AWS、Azure 和 Google Cloud 的实例的多云环境中对系统进行了实验评估，执行了 36 个具有代表性的对抗场景。结果表明，相较于传统 SIEM 方法，系统性能显著提升，平均检测率达到 94.7%，平均响应时间（MTTR）降低 61%，计算开销低于 7%。此外，我们通过一个涉及暴露凭证被攻陷的案例研究展示了基于图的建模如何能够快速识别涉及 IAM 权限滥用和临时令牌的复杂攻击链。结果表明，将统一遥测与权限形式化建模相结合，是现代云基础设施防御的一种有前景的方法。
Read paper →Cloud基于增强遥测和零信任形式化建模的多云环境横向移动检测与缓解的可加密验证架构
TITLE: 基于增强遥测和零信任形式化建模的多云环境横向移动检测与缓解的可加密验证架构 ABSTRACT: 多云和混合环境的广泛采用显著扩大了组织的攻击面，引入了复杂的横向移动、身份滥用以及错误配置利用向量。近期涉及特权凭据泄露、管理 API 被利用以及联合身份服务被滥用的事件表明，传统监测与控制方法存在结构性局限。本文提出一种面向多云环境横向移动检测与缓解的可加密验证架构，其基础是增强遥测、零信任形式化建模以及策略完整性的持续验证。我们的方法结合了：(i) 多云提供商日志（AWS、Azure、GCP）的标准化聚合，(ii) 动态身份-资源图的构建，(iii) 基于鲁棒统计学习的异常检测，以及 (iv) 使用增量完整性证明的策略加密认证机制。我们在一个由 1,200 台虚拟机、4 个 Kubernetes 集群和 3 个云提供商组成的实验环境中，使用合成轨迹和公共基准的真实数据对该方案进行了评估。结果表明，与传统 SIEM 相比，平均检测时间（MTTD）降低了 37.4%，平均响应时间（MTTR）降低了 42.1%，同时保持低于 3.2% 的误报率（标准差 0.6）。我们还证明了事件关联机制的渐近复杂度为 O(|E| log |V|)，从而可扩展至每日超过 10^7 个事件的环境。该方案为云环境中的可验证监测建立了形式化基础，并推动了面向身份的安全架构发展。
Read paper →Cloud标题：一种基于语义分析与时间相关性的、可形式化验证的多云环境不安全配置检测与缓解架构
标题：一种基于语义分析与时间相关性的、可形式化验证的多云环境不安全配置检测与缓解架构 摘要：多云基础设施的大规模采用改变了分布式系统的运行模型，但也显著扩大了攻击面并增加了安全治理的复杂性。近期事件表明，错误配置、暴露的凭据以及过度宽松的访问策略是云环境中最主要的入侵向量。本文提出一种可形式化验证的架构，用于在多云环境中自动检测并缓解不安全配置，结合策略语义分析、配置状态的数学建模以及审计事件的时间相关性分析。我们的方法集成了一个基于有向标记图的形式化模型，用于表示资源之间的依赖关系，一个通过模型检查实现的安全属性验证机制，以及一个基于结构中心性和利用概率构建的风险优先级排序算法。我们实现了一个兼容 AWS、Microsoft Azure 和 Google Cloud Platform 的功能原型，利用原生审计 API 和日志（CloudTrail、Azure Activity Logs 和 Cloud Audit Logs）。我们在包含 3,200 个资源和 180 万条日志事件的实验环境中对系统进行了评估，并将其与商业化的 Cloud Security Posture Management（CSPM）工具进行了比较。结果表明，误报减少了 37.4%，关键偏差的检测速度提高了 29.6%，高影响风险的优先级排序提升了 42.1%，且平均计算开销低于 8.3%。我们证明，引入数学形式化与时间相关性分析可显著提高分析精度和自动化缓解能力。本文有助于推动大规模云环境中系统化、可验证的安全实践的完善。
Read paper →Cloud标题：基于权限图和概率分析的多云环境自适应横向移动检测与遏制架构
标题：基于权限图和概率分析的多云环境自适应横向移动检测与遏制架构 摘要：作为关键系统主导基础设施的多云环境的整合，显著扩大了与数字身份、声明式策略以及联邦信任关系相关的攻击面。与传统边界模型相对，云安全在本质上以身份和基于属性的访问控制为中心，使得基于凭证滥用的横向移动成为最相关的威胁之一。广泛记录的事件，包括利用存在漏洞的库执行远程代码并随后外泄凭证，表明初始入侵很少构成最终影响：损害源于对手利用委派链和过度权限的能力。尽管在策略分析工具和行为检测方面已有进展，但在权限结构建模、可利用性概率估计以及具有受控运行影响的优化缓解机制之间的形式化集成方面，仍存在方法学空白。 本文提出一种用于多云环境中横向移动检测与遏制的自适应架构，该架构基于加权有向权限图以及带重启随机游走的概率分析。我们将环境形式化为一个异构图，整合身份、资源、可承担角色以及不同提供商之间的联邦关系。我们定义了严格的威胁模型，建立了对手能力类别以及与增量妥协概率相关联的安全博弈。我们引入一种基于 Random Walk with Restart (RWR) 的风险估计算法，配以复杂度分析和收敛性讨论，并将遏制问题表述为带有运行约束的组合优化问题，采用以风险边际贡献为基础的贪心启发式方法。 此外，我们详细说明了实际实现方面的内容，包括与 AWS、Azure 和 Google Cloud 官方 API 的集成，使用 Neo4j 存储大规模图，以及与 CloudTrail、Azure Activity Logs 和 Cloud Audit Logs 兼容的日志摄取机制。我们还给出了 YARA、Sigma 和 Suricata 签名的示例规则，以补充结构性检测与行为证据。实验评估以严格的方法学方式进行讨论，避免给出不可验证的数值结论，并强调与基于规则的方法及云服务提供商原生工具的定性比较分析。 我们的贡献包括：(i) 一个统一的多云形式化框架，(ii) 一种用于攻击路径优先级排序的可解释概率技术，以及 (iii) 一种以风险为导向的缓解机制，并显式考虑运行影响最小化。我们还讨论了局限性、对 Zero Trust 架构的实践意义，以及一项未来研究议程，该议程融合了策略形式化验证、鲁棒优化和具有安全保证的强化学习。
Read paper →Cloud标题：基于概率建模和分布式遥测的云原生环境中多阶段攻击检测与自适应缓解的形式化架构
标题：基于概率建模和分布式遥测的云原生环境中多阶段攻击检测与自适应缓解的形式化架构 摘要：云原生基础设施的日益采用引入了一种高度动态、弹性和分布式的运行范式，显著扩大了组织的攻击面。近期涉及凭证泄露、暴露 API 被利用以及 Kubernetes 环境中的横向移动的事件，凸显了传统检测机制的结构性局限。本文提出一种用于公共云和混合云环境中多阶段攻击检测与自适应缓解的形式化架构，其基础是贝叶斯概率建模以及跨多个平面（控制平面、数据平面和身份平面）的分布式遥测关联。我们的方法将云资源之间的依赖图、基于 MITRE ATT&CK 的攻击路径建模以及动态概率推断相结合，以实时估计条件风险。我们在 AWS 和 Kubernetes 上实现了一个功能性原型，在 45 天内收集了 32 亿条事件，包括 CloudTrail 日志、VPC Flow Logs、eBPF 和 API Server 审计日志。我们使用三个基线系统对该系统进行了评估（基于规则的 SIEM、统计型 IDS 和独立的监督学习模型）。结果表明，误报率降低了 47.3%，横向移动的早期检测率提高了 31.8%，并且在 25,000 事件/秒的负载下，平均推断延迟低于 280 ms。此外，自动化缓解将平均遏制时间从 42 分钟缩短至 6.8 分钟。我们得出结论，将云依赖关系的形式化建模与上下文感知的概率推断相结合，可在准确性和运行韧性方面带来显著提升，并为大规模云原生环境中的自适应防御自主系统奠定基础。
Read paper →Cloud面向多云环境的威胁操作建模与基于遥测的检测：IaaS、PaaS 与 Kubernetes 基础设施中的实用防御策略（2025）
TITLE: 面向多云环境的威胁操作建模与基于遥测的检测：IaaS、PaaS 与 Kubernetes 基础设施中的实用防御策略（2025） ABSTRACT: 云计算已成为企业基础设施、数字服务和人工智能平台的主导运行基底。到 2025 年，结合 AWS、Microsoft Azure 和 Google Cloud Platform（GCP）的多云与混合云环境已十分常见，而基于容器、Kubernetes 和无服务器函数的云原生架构显著扩大了攻击面。本文提出了一种面向云安全的操作性分析方法，重点关注威胁建模、风险形式化以及基于遥测的检测与响应机制的实际实施。该研究分析了在 2021 至 2025 年间红队行动和事件响应中观察到的常见攻击向量，包括 IAM 身份滥用、通过云 API 进行的数据外泄、Kubernetes 工作负载被攻陷，以及对存储和虚拟网络配置错误的利用。我们提出了一种适用于云环境的形式化风险评估模型，该模型结合了暴露度、权限级别和可观测性等指标，并以数学形式表达，以实现缓解措施优先级的自动化排序。该方法包括原生遥测数据收集（CloudTrail、Azure Activity Logs、GCP Audit Logs）、利用 eBPF 进行运行时插桩，以及基于规则并与 MITRE ATT&CK for Cloud 框架对齐的行为检测。研究描述了一种使用截至 2025 年被广泛采用的工具实现的实践方案，包括 Falco、ScoutSuite、kube-bench 以及在 SIEM 中构建的分析流水线。我们在一个包含 Kubernetes 工作负载和无服务器服务的模拟多云环境中对该方法进行了实验评估，结果表明平均检测时间（MTTD）显著降低，并且风险优先级排序得到改进。本文还提供了一个现实案例研究，其基于公开事件中观察到的模式，包括凭证泄露和云 API 滥用。结果表明，将形式化风险建模与细粒度遥测以及 Zero Trust 控制相结合，能够显著提升云环境的运行韧性。该工作为在复杂云基础设施中运营的进攻性与防御性安全团队提供了一个实用框架，并与截至 2025 年的安全生态系统前沿水平保持一致。
Read paper →Cloud基于时间图与可验证策略的多域环境自适应威胁检测与遏制形式化架构
本文提出一种面向多域环境的自适应威胁检测与遏制形式化架构，旨在解决异构身份体系、动态授权关系与快速演化攻击链并存条件下的安全分析与响应问题。我们将系统抽象为包含身份、资源、策略与跨域信任关系的特权时间图，并在此基础上定义入侵路径、累积时间风险与功能不变量等概念，从而将威胁发现问题与策略验证问题统一到一个可形式化处理的框架中。针对动态环境中的持续变化，我们设计了增量式路径检测机制，利用局部扩展、风险阈值与时间衰减权重实现对新增事件的快速分析；同时，针对自动化响应可能破坏业务连续性的风险，我们将遏制操作编码为可判定逻辑约束，并通过 SMT 求解验证其对组织功能不变量的保持性。本文进一步给出了部分正确性与最小割归约性质的理论分析，并从复杂度角度说明了所提方法在稀疏图条件下的摊还效率优势。实验部分基于匿名化日志与合成攻击链开展评估，结果表明，与传统 SIEM 与基于规则的关联分析相比，所提方法在保持可验证安全约束的同时，能够显著缩短检测时间并减少不一致遏制操作。最后，我们通过金融与医疗场景的案例研究展示了该架构在凭据滥用、过度授权与跨域信任链失效等典型风险下的适用性。本文的主要贡献在于：提出统一的时间图形式化模型，构建增量检测与 SMT 遏制的一体化流程，给出复杂度与正确性分析，并验证其在多域安全运营中的可实施性与可解释性。
Read paper →Cloud基于依赖图与概率推断的多云环境中配置偏差与攻击链的形式化可验证检测
1. 引言
Read paper →Cloud一种基于分布式遥测、时序验证与组合分析的可形式化验证多云环境横向移动检测与缓解架构
1. 引言
Read paper →