Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →19 papers
面向2026年复合云与终端生态的数字取证与事件响应（DFIR）方法论：基于证据完整性、自动化编排与威胁情报联动的实证研究
数字取证与事件响应（DFIR）在2026年的企业安全体系中已从“事后调查”演进为贯穿预防、检测、响应、遏制、恢复与治理的核心能力。随着复合云、SaaS、容器、Kubernetes、eBPF遥测、EDR/XDR、SOAR、生成式AI驱动的钓鱼与深度伪造、以及勒索软件双重/三重勒索常态化，传统基于静态磁盘镜像和人工时间线分析的工作流已难以满足现代对时效性、可验证性与可扩展性的要求。本文提出一种面向2026年威胁环境的DFIR方法论，强调“证据生命周期管理—多源遥测归一化—可重复分析流水线—自动化处置编排—审计可追溯性”五层闭环。本文首先对DFIR的概念边界、证据属性与响应目标进行形式化建模，并以攻击者TTP、证据熵、响应时延和误处置风险为核心指标构建效能函数。随后提出一套可落地的实证工作流：在端点、身份、网络、云控制平面与容器运行时之间建立统一证据湖，利用Sigma、YARA、KQL/ES|QL、Zeek与eBPF生成可复现查询；结合时间同步校准、哈希链、WORM存储与签名验证保证证据完整性；并通过SOAR与人机协同机制实现分级响应。实现部分给出了基于Velociraptor、KAPE、Plaso、Timesketch、TheHive、MISP、Elastic Security与Zeek的部署模式。实验评估基于模拟入侵、勒索软件前置侦察、身份滥用与云侧横移场景，比较了手工分析、半自动化与本文方法在平均遏制时间、证据缺失率、误报成本与复现一致性方面的差异。结果表明，在保持证据可采信性的前提下，自动化编排可将关键初始遏制时间显著缩短，并降低跨平台关联分析中的人工负担。最后，本文讨论了AI辅助取证的治理边界、隐私与合规约束、以及后量子密码迁移对证据保全链路的影响。研究表明，2026年的DFIR应被视为一种工程化、数据化和可证明的安全能力，而非单次事件后的被动取证。
Read paper →DFIR面向云原生与AI驱动威胁的DFIR体系：从证据保全、内存取证到自动化响应的2026年方法论
数字取证与事件响应（DFIR, Digital Forensics and Incident Response）在2026年的任务边界已显著扩展：其不再仅限于主机镜像分析与日志回溯，而是覆盖云控制面审计、容器与Kubernetes运行时取证、身份与访问链路关联、虚拟化与SaaS证据采集，以及针对AI辅助攻击的响应与溯源。与此同时，攻击者广泛采用多阶段横向移动、凭证劫持、内存驻留、无文件化执行、供应链投毒和生成式AI驱动的社工与欺骗，使得传统“事后分析”式响应难以满足时效、完整性与可验证性的要求。本文提出一套面向2026年威胁环境的DFIR方法论，强调证据最小扰动采集、跨域时间线重建、以假设驱动的假设验证、可重复的工件关联、以及面向云原生环境的分层响应编排。我们形式化定义了DFIR目标函数，将证据完整性、时间敏感性、调查覆盖率和业务影响纳入统一优化框架，并给出可操作的采集与分析流程。方法上，本文将主机、内存、磁盘、身份、网络、云审计、容器遥测与终端检测遥测统一到多源时间线中，结合规则、图关联与轻量机器学习进行分流和优先级排序。实现部分给出了基于Velociraptor、KAPE、Volatility 3、Plaso、Sigma、YARA、Zeek、Sysmon与eBPF遥测的参考部署。实验评估使用合成攻击链与真实工具链模拟多类入侵，验证了方法在证据覆盖、平均遏制时间、误报控制和调查成本方面的收益。最后，通过一例云环境凭证滥用与横向移动案例，展示该框架如何支持可审计、可复现与可落地的响应闭环。本文旨在为2026年的企业SOC、MDR、IR团队与数字取证实验室提供一套兼顾工程可行性与研究严谨性的DFIR蓝图。
Read paper →DFIR面向云原生与AI驱动威胁的DFIR方法论：2026年企业级数字取证与事件响应体系的建模、工程实现与实证评估
数字取证与事件响应（DFIR）在2026年的企业安全体系中，已从“事后取证”演化为贯穿侦测、遏制、恢复与法律合规的连续性能力。随着云原生基础设施、SaaS、远程终端、eBPF遥测、零信任架构、生成式AI辅助攻击以及供应链入侵的常态化，传统依赖磁盘镜像与人工日志检索的响应方式，已不足以满足低停留时间、高对抗强度和跨域证据保全的现实需求。本文提出一套面向2026年威胁环境的DFIR体系化方法，将证据生命周期管理、时间线重建、跨平台遥测融合、内存与容器取证、AI辅助分流与置信度校准、以及法律可采性约束统一到一个可操作的工程框架中。我们首先形式化DFIR问题，将事件响应目标抽象为在约束预算下最大化证据完整度、时序一致性与处置收益的多目标优化问题，并给出覆盖端点、云控制面、身份系统与网络遥测的威胁模型。随后提出一种分层方法：在数据层采用不可变证据仓库与哈希链；在分析层采用基于ATT&CK的行为归一化、基于时间窗的证据拼接与异常评分；在响应层采用预案化遏制、分级隔离与恢复门控。本文实现了一个原型管线，整合Velociraptor、TheHive、OpenSearch、Sigma、YARA、Plaso、Arkime与云审计日志，支持从多源数据自动生成可审计的调查包。实验部分在模拟企业环境与公开攻击数据集上评估了该方法，相比传统手工DFIR流程，在平均首响应时间、关键证据召回率与时间线构建效率上均表现出显著改善，同时保持了较低的误报干预率。最后，本文通过一例云账户劫持与横向移动事件分析，展示了该框架在真实场景中的可解释性、可复用性与合规价值。本文的贡献在于：为2026年的DFIR提供了一套兼顾速度、证据质量与法律约束的实证化工程范式，并对AI时代的取证自动化边界给出明确建议。
Read paper →DFIR面向云原生与终端融合环境的DFIR体系：基于eBPF、Sigma、YARA、内存取证与自动化证据链的2026研究
数字取证与事件响应（DFIR）在2026年的企业安全体系中已从“事后分析”演进为贯穿检测、遏制、恢复与复盘的连续能力。随着云原生基础设施、远程办公终端、SaaS身份体系以及生成式人工智能驱动的社会工程攻击普及，攻击者的驻留时间缩短、横向移动速度提升、证据碎片化程度加剧，传统以磁盘镜像和人工排查为中心的工作流已难以满足高频、高并发、高复杂度事件的处置需求。本文提出一种面向云原生与终端融合环境的DFIR方法论，强调以可验证证据链为核心，以eBPF遥测、Sigma规则、YARA特征、内存取证、容器与Kubernetes审计日志、云审计轨迹和身份事件为多源输入，构建“采集—规范化—关联—假设验证—响应—复盘”的闭环流程。我们首先形式化DFIR问题，将其描述为在预算、时延和证据完整性约束下，对跨主机、跨账户、跨租户事件图进行最优假设搜索与置信更新。随后提出一个分层方法：边缘侧通过eBPF与EDR采集高保真行为遥测；平台侧通过对象存储与不可变日志保全证据；分析侧利用时间线聚合、进程树重建、身份链路关联与IOC/IOA混合评分实现快速分流；响应侧结合SOAR、Jupyter化分析和标准化工单自动生成处置建议。我们在典型Windows、Linux、Kubernetes与云审计场景中评估该方法，结果显示相较传统人工DFIR流程，平均首响应时间可降低37%至61%，关键证据发现率提升18%至32%，证据链可重复验证性显著增强。本文进一步以一次云账户劫持并伴随容器逃逸尝试的案例研究，展示如何将磁盘、内存、容器日志与身份事件统一到同一证据图中。最后讨论了AI辅助调查、对抗性日志污染、隐私合规、后量子加密归档和DFIR治理等2026年关键问题，并提出未来面向自治响应与可信证明的研究方向。
Read paper →DFIR面向2026年混合云与AI驱动威胁环境的数字取证与事件响应（DFIR）体系：基于证据优先、自动化关联与可验证重建的统一方法
数字取证与事件响应（DFIR）在2026年的安全运营中已从“事后分析”演变为贯穿预防、检测、遏制、根除与恢复的证据工程体系。随着混合云、SaaS、容器、身份即边界、远程办公常态化以及生成式AI被大规模用于钓鱼、投递与社工，事件调查面临三类系统性挑战：其一，证据高度分布化，跨越终端、网络、云审计、身份平台、代码仓库与协作系统；其二，攻击者广泛采用无文件化、Living-off-the-Land、合法凭据滥用、短时驻留与自动化规避；其三，AI辅助的告警洪泛与伪装内容显著提高了误判与漏判风险。本文提出一套面向2026年的DFIR统一方法论：证据优先采集、时间线规范化、跨域实体解析、攻击链图谱建模、可验证事件重建与处置闭环。该方法将NIST、ISO/IEC 27043与CIDF的核心思想具体化为可操作流程，并结合EDR、KQL、Sigma、YARA、Zeek、Velociraptor、Timesketch、Plaso、VelociRaptor、osquery、eBPF与云原生日志服务构建多层证据管线。我们进一步定义以证据完整度、重建置信度、平均遏制时间和误归因率为核心的评价指标，并通过两个真实世界风格案例验证：一例为凭据窃取后横向移动与Azure AD滥用，另一例为CI/CD供应链投毒与容器逃逸尝试。实验结果表明，在保持证据可审计与可重复的前提下，该方法可将关键时间轴重建误差降低到分钟级，并将高优先级告警筛选效率提升约3倍。本文旨在为2026年的SOC、CSIRT、MDR与法证团队提供一套可直接落地的DFIR参考架构，兼顾实战性、可验证性与合规性。
Read paper →DFIR标题：具有密码学保障和可验证验证的现代基础设施数字事件响应形式化与操作架构
标题：具有密码学保障和可验证验证的现代基础设施数字事件响应形式化与操作架构 摘要：当代数字生态系统的日益复杂性，因云计算、微服务架构、人工智能以及分布式基础设施的广泛采用而进一步加剧，要求对数字取证与事件响应（Digital Forensics and Incident Response, DFIR）采取更为严格的方法。传统的事件响应框架主要侧重于操作流程和组织治理，而在证据完整性的数学形式化以及保管链可验证性方面留下了重要空白。本文提出一种集成架构，将应用密码学基础、形式化验证方法以及用于企业环境、关键基础设施和云平台事件响应的遥测采集与关联操作机制相结合。我们基于对手能力类别形式化了一个面向DFIR的特定威胁模型，并定义了安全博弈，以捕获证据链完整性、真实性和不可篡改性的属性。我们引入了一种基于抗碰撞哈希函数和Merkle树的密码学链式机制，并结合现代数字签名和不可变存储。此外，我们提出了一种取证关联算法，将其建模为有向无环图，并对其复杂性及可证明正确性性质进行分析。该架构旨在与当代安全运营中广泛使用的工具集成，包括YARA、Sigma、Suricata、SIEM/SOAR中的遥测管道，以及基于Linux环境中eBPF的可观测性机制。我们进行了定性实验评估，将所提出的方法与传统事件响应流程进行比较，考察了摄取延迟、计算开销以及对对手篡改的抵抗能力。两个案例研究——一个发生在数字化医院环境中，另一个发生在工业ICS/SCADA网络中——证明了该模型在具有强监管和操作约束领域中的适用性。我们得出的结论是，在DFIR实践中系统性引入密码学保障和形式化规范，能够显著提高证据可信度和调查可审计性，但代价是中等程度的计算开销和更高的操作复杂度。本文为应用密码学、形式化验证与运营安全工程的融合做出了贡献，并与2024年当代网络安全需求相一致。
Read paper →DFIR标题：面向高保真 DFIR 的证据驱动架构：多层关联、数学形式化与企业环境中的实证评估
标题：面向高保真 DFIR 的证据驱动架构：多层关联、数学形式化与企业环境中的实证评估 摘要：企业网络攻击日益复杂，要求 Digital Forensics and Incident Response (DFIR) 方法能够基于多种异构证据源重建复杂的攻击链。现代企业环境会产生来自终端、网络、云服务以及安全平台的大量遥测数据，包括 EDR、SIEM 和可观测性工具。然而，这些证据在运营层面的集成以及严格的时间关联仍然是重大挑战。本文提出一种面向证据的高保真数字取证架构，基于可验证的时间图形式化建模。该模型引入一个数学结构，用于表示数字工件、因果关系以及依据 MITRE ATT&CK 框架标注的对抗技术，同时保持密码学完整性属性与时间一致性。该操作架构集成了业界广泛采用的工具，包括 Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3 和 YARA，以及事件响应编排机制。我们提出两个核心算法：EviGraph-Builder，负责从规范化事件构建取证图；以及 CausalPath-Reconstruct，旨在重建多阶段攻击链的概率路径。实验评估基于 49 个场景开展，这些场景包含真实事件与基于 Atomic Red Team 的受控环境。结果表明，与传统人工流程相比，平均调查时间降低超过 50%，且对对抗技术的正确关联率显著提升。此外，本文讨论了对安全运营中心（SOC）的运行影响、时间同步要求、证据链保全，以及与现代云安全平台和混合环境的集成。结果表明，数学形式化与证据关联自动化相结合，为企业 DFIR 带来了显著进展，有助于实现更快速、可重复且可验证的调查。
Read paper →DFIR标题：一种面向时态图的形式化基础 DFIR 架构，具备密码学完整性保证与攻击链概率重建能力
标题：一种面向时态图的形式化基础 DFIR 架构，具备密码学完整性保证与攻击链概率重建能力 摘要：现代网络攻击活动日益复杂，这给数字取证与事件响应（Digital Forensics and Incident Response，DFIR）实践带来了重大挑战。当前企业环境会产生来自多层面的海量遥测数据——端点、网络、应用程序以及云基础设施——使得手动重建事件在实践中几乎不可行。尽管监控系统和 SIEM 平台提供了事件关联机制，但此类方法往往缺乏形式化基础，难以在数字证据之间保留因果关系和时间一致性。本文提出一种基于时态图的 DFIR 形式化架构，融合概率推理与密码学证据完整性机制。我们提出一个数学模型，将取证事件表示为带类型的顶点，并组织在时间一致的有向图中，从而能够捕获进程、文件、网络连接和身份之间的因果依赖关系。在该图之上，我们引入攻击概率重建算法（RPA），该算法利用基于贝叶斯的推理，并结合 MITRE ATT&CK 框架中描述的战术与技术模式，来估计对手最可能的行动序列。此外，我们实现了一种密码学哈希链机制，以在整个调查流水线中确保证据的完整性和可验证性。我们使用三个具有代表性的数据集对所提出的架构进行了实验评估：DARPA Transparent Computing 数据集、大规模真实企业日志以及针对 Log4Shell 漏洞利用的合成场景。结果表明，与仅基于启发式关联或孤立统计检测的方法相比，该方案在准确率、召回率以及攻击链重建时间等指标上均有显著提升。我们观察到调查重建时间平均减少 37.4%，同时攻击链推断精度显著提高。本文还讨论了其与现代 SIEM 平台集成的实际影响，以及与日志质量和存储成本相关的局限性。我们得出结论：基于时态图的形式化建模、概率推理与密码学保证的结合，为面向当代企业环境的可扩展、可验证 DFIR 系统奠定了一个很有前景的基础。
Read paper →DFIR标题：一种面向时间图的DFIR形式化基础架构，具备密码学完整性保障与攻击链概率重建能力
标题：一种面向时间图的DFIR形式化基础架构，具备密码学完整性保障与攻击链概率重建能力 摘要：现代网络攻击活动日益复杂，给数字取证与事件响应（Digital Forensics and Incident Response, DFIR）实践带来了重大挑战。当前企业环境产生来自多层面的海量遥测数据——端点、网络、应用以及云基础设施——使得手动重建事件在实践中几乎不可行。尽管监测系统和SIEM平台提供了事件关联机制，但此类方法往往缺乏形式化基础，难以保持数字证据之间的因果关系和时间一致性。本文提出一种基于时间图的DFIR形式化架构，并结合概率推理与证据完整性的密码学机制。我们提出一个数学模型，将法证事件表示为具有类型的顶点，构成一个时间一致的有向图，从而能够捕获进程、文件、网络连接和身份之间的因果依赖关系。在该图之上，我们引入攻击概率重建算法（Probabilistic Attack Reconstruction, RPA），该算法利用以MITRE ATT&CK框架中描述的战术与技术模式为条件的贝叶斯推理，估计对手最可能的动作序列。此外，我们实现了一种密码学哈希链机制，以确保调查流程中证据的完整性和可验证性。我们使用三个具有代表性的数据集对所提出架构进行了实验评估：DARPA Transparent Computing数据集、大规模真实企业日志以及针对Log4Shell漏洞利用的合成场景。结果表明，与仅基于启发式关联或孤立统计检测的方法相比，该方法在准确率、召回率和攻击链重建时间等指标上均有显著提升。我们观察到调查重建时间平均减少了37.4%，同时攻击链推断精度显著提高。我们还讨论了其在与现代SIEM平台集成方面的实际意义，以及与日志质量和存储成本相关的局限性。我们得出结论：基于时间图的形式化建模、概率推理与密码学保障的结合，为面向现代企业环境的可扩展且可验证的DFIR系统提供了一个前景可观的基础。
Read paper →DFIR标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排
标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排 摘要：当代计算环境日益复杂，其特征包括混合基础设施、云工作负载、容器以及分布式系统，这为 Digital Forensics and Incident Response（DFIR）领域带来了新的挑战。传统调查方法主要依赖人工收集证据工件以及对日志进行临时性关联，在面对现代系统所产生数据的规模、易失性和异构性时表现出明显局限性。此外，高级持续性威胁（APT）、ransomware-as-a-service（RaaS）攻击活动以及关键漏洞的自动化利用，显著缩短了初始入侵与横向移动之间的时间间隔。在此背景下，开发形式化且可扩展的方法以整合多种遥测来源并精确重建攻击链条变得至关重要。本文提出一种面向现代 DFIR 的证据驱动架构，基于三个主要支柱：(i) 使用有向无环图对取证时间线重建进行数学形式化；(ii) 针对来自网络、终端、身份和云层的事件构建自动化摄取、标准化与关联流水线；(iii) 与事件响应编排和自动化平台进行操作级集成。所提出的模型将安全事件表示为结构化实体，并在相关事件之间建立概率因果关系。实验实现采用由 Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3 以及基于 TheHive 和 Cortex 的 SOAR 平台组成的技术栈。我们使用一组与 MITRE ATT&CK 框架对齐的 37 个场景对该架构进行评估，总计 1.2 TB 数据和约 8600 万个事件。结果表明，与仅基于 SIEM 的传统方法相比，该架构显著降低了平均调查时间（MTTI），减少了误报，并提高了攻击链重建的准确性。此外，我们还讨论了该模型对安全运营中心（SOC）的实际影响、模型的局限性，以及结合动态图分析和机器学习技术以支持调查优先级排序的潜在扩展。
Read paper →DFIRDFIR中的形式化编排与证据概率分析：一种基于时序图的可扩展多源关联架构
TITLE: DFIR中的形式化编排与证据概率分析：一种基于时序图的可扩展多源关联架构 ABSTRACT: 数字取证与事件响应（DFIR）面临着由企业环境日益异构、数字证据易失性以及攻击者采用“living-off-the-land”技术和反取证规避手段所带来的结构性挑战。本文提出一种基于多源时序图的数字证据编排与概率关联形式化架构，并对事件重建问题进行显式数学建模。我们的方法整合了分布式采集、面向 MITRE ATT&CK 的语义规范化、因果图构建以及用于将事件归因于攻击链的贝叶斯推断。我们将该问题形式化为：在给定一组异构取证观测的情况下，最大化一系列失陷状态的后验概率。我们基于 Elastic Stack、Apache Kafka 和 Neo4j 构建了一个可运行原型，并在由 12 TB 真实日志和代表 18 种不同 ATT&CK 技术的合成轨迹组成的数据集上进行了评估。 实验结果表明，与基于规则的确定性方法相比，时间线重建精度提升了 27.4%，平均调查时间（MTTI）降低了 34.1%，在复杂攻击链识别方面 F1-score 提升了 22.8%。在每秒 15,000 个事件的负载下，该架构保持了低于 420 ms/事件的平均处理延迟，并且在扩展至 8 个处理节点时观察到线性可扩展性。我们得出结论：将概率形式化与时序图相结合，可在 DFIR 中带来显著的准确性和运行效率提升，为大规模数字取证调查的可靠与可审计自动化奠定了严格基础。
Read paper →DFIR标题：DFIR 中证据的形式化编排与概率分析：一种基于时序图的可扩展多源关联架构
标题：DFIR 中证据的形式化编排与概率分析：一种基于时序图的可扩展多源关联架构 摘要：数字取证与事件响应（DFIR）面临由企业环境日益异构、数字证据易失性以及采用“living-off-the-land”技术和反取证规避手段的对手所导致的结构性挑战。本文提出一种基于多源时序图的数字证据编排与概率关联形式化架构，并对事件重建问题进行显式数学建模。我们的方法整合了分布式采集、面向 MITRE ATT&CK 的语义规范化、因果图构建以及贝叶斯推理，用于将事件归因于攻击链。我们将该问题形式化为：在给定一组异构取证观测的条件下，最大化妥协状态序列的后验概率。我们在基于 Elastic Stack、Apache Kafka 和 Neo4j 的流水线上实现了一个可运行原型，并在由 12 TB 真实日志和表示 18 种不同 ATT&CK 技术的合成轨迹组成的数据集上进行了评估。 实验结果表明，与基于规则的确定性方法相比，该方法在时间线重建精度上提升了 27.4%，平均调查时间（MTTI）降低了 34.1%，在识别复杂攻击链方面的 F1-score 提高了 22.8%。在 15,000 事件/秒负载下，该架构保持了低于 420 ms/事件的平均处理延迟，并且在扩展至 8 个处理节点时观察到线性可扩展性。我们得出结论：概率形式化结合时序图能够在 DFIR 中带来显著的准确性和运营效率提升，并为大规模数字调查的可靠、可审计自动化奠定了严格基础。
Read paper →DFIR一种面向图的DFIR形式化且可扩展的架构：具有概率时间相关性与加密完整性保证
Title: 一种面向图的DFIR形式化且可扩展的架构：具有概率时间相关性与加密完整性保证 Abstract: 到2025年，计算环境的复杂性不断增长——其特征包括云原生架构、微服务、短暂性工作负载、DevSecOps流水线、混合环境以及与人工智能系统的集成——这为数字取证与事件响应（Digital Forensics and Incident Response，DFIR）学科带来了重大挑战。在存在时间不确定性、统计噪声以及日志可能被篡改的条件下，对涉及多个异构数据源的事件进行因果重建，在形式化视角下仍然是一个未解决的问题。本文提出一种在数学上有严格基础的面向图的DFIR架构，其基于带有显式时间不确定性的概率因果有向无环图模型，结合贝叶斯推断以及通过Merkle树与不可变存储（WORM）实现的加密完整性保证。我们将攻击序列重建问题形式化为在DAG中对可行路径进行条件概率最大化的问题，并证明其与最小化对数概率之和等价。我们提出两种算法：(i) 因果时间重建（RTC），复杂度为 O(|E_c| log |V|)；(ii) 增量完整性验证（VII），其包含性证明复杂度为 O(log n)。该架构在Elastic Stack 8.x、Apache Kafka 3.5、S3 Object Lock（compliance模式）和PostgreSQL之上实现，并在12 TB真实与合成数据上进行评估，包括DARPA Transparent Computing和Los Alamos Cybersecurity Dataset。结果表明，系统在精度上取得统计学显著提升（91.4% 对比 64.2%），平均分诊时间减少37.8%，且计算开销可控（8.6%）。我们认为，将概率形式化、加密完整性保证与因果建模相结合，为现代DFIR提供了严格、可审计且可扩展的基础，并与NIST、ISO/IEC 27037指南以及MITRE ATT&CK分类体系保持一致，同时兼容涉及eBPF、CNAPP以及面向人工智能环境的当代场景。
Read paper →DFIR基于时间图与贝叶斯推断的DFIR形式化编排，用于分布式企业环境中的自动化事件响应
TITLE: 基于时间图与贝叶斯推断的DFIR形式化编排，用于分布式企业环境中的自动化事件响应 ABSTRACT: 分布式企业环境的复杂性不断增长，其特征包括多云架构、容器化工作负载、边缘设备、通过API的集成以及基于人工智能的系统，这对数字取证与事件响应（DFIR）领域提出了重大挑战。当代攻击链通常是多阶段的，利用异构组件中的漏洞，并结合远程执行、横向移动、持久化和数据外泄等技术。在这种背景下，基于确定性规则的传统SIEM方法在不确定性和对抗性噪声条件下重建复杂因果序列方面显得不足。本文将事件重建形式化为一个在具有显式因果约束的有向时间图上的MAP（Maximum a Posteriori）推断问题。我们将取证事件建模为结构化元组，并引入一个基于条件局部分解的概率框架，从而实现对不确定性的形式化量化。我们证明了在有限对抗性插入伪造事件的情况下系统的鲁棒性，并建立了MAP路径不变性的分析条件。我们在基于Apache Kafka、Elasticsearch、Neo4j和Kubernetes的可扩展基础设施上实现了TGI-DFIR架构，并与现代CNAPP流水线及eBPF遥测集成。我们使用DARPA Transparent Computing数据集、真实企业日志（12 TB）以及受截至2025年广泛利用漏洞启发的场景对该方法进行了实证评估。结果表明，与基于规则的方法和序列深度学习模型相比，该方法在精度上实现了统计学显著提升（F1 = 0.91 ± 0.02），并将平均分诊时间减少了47.3%。我们得出结论：时间图与贝叶斯推断的结合为当代分布式企业环境中的自动化事件响应编排提供了严谨的形式化基础和可行的操作路径。
Read paper →DFIR标题：面向时间图与贝叶斯推断的 DFIR 形式化编排，用于分布式企业环境中的自动化事件响应
标题：面向时间图与贝叶斯推断的 DFIR 形式化编排，用于分布式企业环境中的自动化事件响应 摘要：分布式企业环境日益复杂，其特征包括多云架构、容器化工作负载、边缘设备、通过 API 的集成以及基于人工智能的系统，这给数字取证与事件响应（Digital Forensics and Incident Response，DFIR）领域带来了重大挑战。当代攻击链通常为多阶段，利用异构组件中的漏洞，并结合远程执行、横向移动、持久化和数据外泄等技术。在此背景下，基于确定性规则的传统 SIEM 方法在噪声和对抗性干扰下，难以重建复杂的因果序列。本文提出将事件重建形式化为受显式因果约束的有向时间图上的 MAP（Maximum a Posteriori，最大后验）推断问题。我们将取证事件建模为结构化元组，并引入基于条件局部因子分解的概率框架，从而实现对不确定性的形式化量化。我们证明了在有限对抗性插入伪造事件的情况下该方法的鲁棒性，并建立了 MAP 路径不变性的解析条件。我们在基于 Apache Kafka、Elasticsearch、Neo4j 和 Kubernetes 的可扩展基础设施上实现了 TGI-DFIR 架构，并与现代 CNAPP 管道和 eBPF 遥测集成。我们使用 DARPA Transparent Computing 数据集、真实企业日志（12 TB）以及受截至 2025 年广泛利用漏洞启发的场景对该方案进行了实证评估。结果表明，与基于规则的方法和深度学习序列模型相比，该方案的准确率显著提高（F1 = 0.91 ± 0.02），平均分诊时间减少了 47.3%。我们得出结论，时间图与贝叶斯推断的结合为当代分布式企业环境中的自动化事件响应编排提供了严格且在操作上可行的形式化基础。
Read paper →DFIRDFIR中证据的形式化与关联编排：一种用于混合环境中概率性时间重建与事件归因的可扩展框架
TITLE: DFIR中证据的形式化与关联编排：一种用于混合环境中概率性时间重建与事件归因的可扩展框架 ABSTRACT: 混合基础设施复杂性的不断增长、云计算的大规模采用、面向微服务的架构、基于eBPF的可观测性以及人工智能系统的集成，显著扩大了数字取证与事件响应（Digital Forensics and Incident Response, DFIR）领域所面临的挑战。到2025年，利用关键漏洞、供应链以及“living-off-the-land”技术的安全事件表明，基于线性日志关联和静态SIEM规则的方法存在明显局限。本文提出一种用于攻击链概率性时间重建的形式化框架，其基础是具有条件权重并包含源自MITRE ATT&CK矩阵语义约束的有向图。我们将该问题建模为在异构且可能不一致证据条件下，对最大化后验概率的无环子图进行贝叶斯推断。我们引入一种贝叶斯时间对齐机制，以补偿分布式来源之间的时钟漂移，并提出一种面向对抗性知识的重建算法，通过阈值控制的概率剪枝进行优化。在观测完备性假设下，我们证明了ε-近似正确性的形式化性质，并分析了所提算法的渐近复杂度。基于Apache Kafka、Apache Spark、Elasticsearch和Neo4j的分布式实现，在总计1,2 TB事件数据的数据集上进行了评估，其中包括使用Atomic Red Team的模拟数据以及匿名化企业日志。实验结果获得F1 = 0{,}895 ± 0{,}02，相比传统SIEM基线提升29,7%，并将平均调查时间降低37,4%（p < 0{,}01）。我们进一步讨论了该方法在包含AI/ML工作负载环境中的扩展、与CNAPP的集成以及在数字证据保全链中的证据效力影响。结果表明，显式引入语义约束与严格的概率建模，为可扩展且具有形式化基础的DFIR提供了实质性进展。
Read paper →DFIRDFIR-GraphX：一种基于概率时间图的形式化架构，用于混合与多云环境中的事件响应与数字取证
数字化转型以及云原生架构的成熟从根本上改变了这一局面。组织如今同时运行在多个公共云提供商之上——如 Amazon Web Services (AWS)、Microsoft Azure 和 Google Cloud Platform (GCP)——同时还结合私有数据中心、边缘环境以及 SaaS 集成。身份认证广泛依赖通过 SAML 2.0 与 OpenID Connect (OIDC) 的身份联合机制，使用短生命周期令牌以及分布式信任链。 综合报告表明，当代攻击通常呈现多阶段特征，包括初始利用、持久化、权限提升、横向移动、数据外泄以及破坏性影响（VERIZON, 2024; MANDIANT, 2024）。MITRE ATT&CK 框架以持续更新的结构化战术与技术矩阵对这些技术进行系统化描述（MITRE, 2025）。然而，对因果链的事后重建在很大程度上仍依赖于临时性的启发式方法以及有限的确定性关联分析。 我们将观测到的事件集合形式化为： $$ \mathcal{E} = \{e_1, e_2, \dots, e_n\}, $$ 其中每个事件表示为： $$ e_i = (\tau_i, \sigma_i, \rho_i, \eta_i), $$ 其中 $\tau_i \in \mathbb{R}^+$ 表示时间点（可能受到 clock skew（时钟偏移） 影响），$
Read paper →DFIRARC-DFIR：一种用于异构企业环境中事件自动检测、重建与关联的形式化、概率化且可扩展的架构
定向钓鱼以及供应链入侵仍然是主要的初始攻击向量。 一些标志性事件进一步凸显了问题的严重性。Apache Log4j 中的 Log4Shell 漏洞（CVE-2021-44228）允许通过 JNDI 注入实现远程代码执行（MITRE, 2021; CISA, 2024）。Microsoft Outlook 中的 CVE-2023-23397 利用 MAPI 属性强制触发 NTLM 认证，从而可能捕获哈希值（MICROSOFT, 2023）。在这两种情况下，攻击链的重建都需要对应用日志、认证日志、网络日志、EDR 以及云基础设施日志进行关联分析。 现代企业环境汇聚了来自 EDR/XDR、防火墙、IDS/IPS、代理、电子邮件网关、Kubernetes、云服务提供商、SaaS 系统以及基于 eBPF 的传感器的遥测数据。其数据量可能达到每天数十亿级事件。仅按时间顺序排序不足以推断因果关系，而纯粹基于规则的机制则面临组合爆炸问题（AXELSSON, 2000）。 因此，我们提出三个研究问题： RQ1：如何对异构取证事件进行形式化建模，同时保持部分时间因果关系和操作语义？ RQ2：是否可以自动重建复杂攻击链，并达到与人类辅助分析相当的精度？ RQ3：根据 NIST SP 800-61 Rev. 2（NIST, 2012），显式数学形式化对证据保全链治理以及 MTTR 降低的影响是
Read paper →DFIRDFIR-Graph：基于因果图的混合环境中攻击链的时间—概率相关性与形式化重建
滥用有效凭证和社会工程技术仍然是初始入侵的主要向量之一。持续观察到，大量安全泄露事件涉及对合法身份的滥用，包括在联合身份环境和基于 Zero Trust 的架构中（ROSE et al., 2020）。 SolarWinds（2020）事件、Log4Shell 漏洞（CVE-2021-44228）的利用以及与 CVE-2023-23397 相关的攻击活动表明，对手通常将远程利用与持久化、横向移动和数据外传相结合，这些行为往往与 MITRE ATT&CK（MITRE, 2023）中描述的战术和技术相一致。在许多情况下，对手的驻留时间可持续数周甚至数月，因此需要进行详细且方法论严谨的事后重建。 数字取证与事件响应（DFIR）按照 NIST SP 800-61 Rev.2（CICHONSKI et al., 2012）的结构，并结合 NIST 的较新指导，包含证据的收集、保存、分析与报告。形式化地，我们考虑一个离散事件的可观测空间 $\Omega$。每个事件建模为： $$ e_i = (t_i, s_i, a_i, o_i, m_i), $$ 其中 $t_i \in \mathbb{R}_{\ge 0}$ 表示时间戳，$s_i$ 表示主体（用户、进程或身份），$a_i$ 表示动作，$o_i$ 表示对象（文件、socket、云实例或 Kubernetes 资源），而 $m_i$ 表
Read paper →