Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →12 papers
面向现代企业环境的多层次安全检测体系：从行为遥测、eBPF 运行时监控到大模型辅助威胁发现的统一方法
在2026年的企业安全实践中，“检测”已不再只是基于特征的告警匹配，而是一个覆盖端点、网络、身份、云工作负载、SaaS 以及生成式 AI 使用面的多层次观测与推断问题。随着攻击者广泛采用无文件载荷、内存驻留、OAuth 滥用、云原生横移、供应链污染以及 LLM 驱动的社会工程，传统依赖签名、静态 IOC 和孤立 SIEM 规则的方案在时效性、鲁棒性与可扩展性上均面临瓶颈。本文围绕“检测”这一核心安全能力，提出一种面向企业级环境的统一检测框架，将端点遥测、网络流量、身份事件、云审计日志与应用层行为信号进行语义对齐，并通过规则检测、统计异常、图关联分析与大模型辅助分析的组合策略实现分层告警。本文首先对检测问题进行形式化建模，将其定义为在约束资源下对高维异构事件流进行最优假设检验与因果归因。随后提出一套可落地的方法学：以 ATT&CK 为语义骨架，以 Sigma、YARA、Suricata、eBPF 与 OpenTelemetry 为采集与表达基础，以风险评分、置信度校准与抑制策略为告警治理核心，并通过面向 MITRE Caldera、Atomic Red Team 和真实攻击链的实验评估其有效性。实验部分展示了该框架在检测 PowerShell 规避、凭证转储、横向移动、云 API 异常调用和恶意 OAuth 同意等场景中的性能，综合结果表明，与仅依赖单点 SIEM 规则相比，所提出方法在召回率、误报率与平均检测时间上具有显著优势。最后，本文讨论了生成式 AI 时代检测系统的新威胁，包括提示注入、模型数据外泄、AI 代理滥用与自动化钓鱼，并给出面向 2026 年的工程建议与未来研究方向。本文的贡献在于：构建了一个可解释、可运营、可扩展的检测体系，并将传统检测工程与 AI 时代的威胁现实统一在同一分析框架之中。
Read paper →Detection面向云原生与AI驱动威胁的多层检测体系：从遥测融合、行为建模到可解释告警压缩的2026年研究
2026年的企业攻击面已经从传统终端与边界网络扩展到云原生平台、身份系统、软件供应链、生成式AI工作流以及大量机器可读的API接口。攻击者普遍采用低噪声、分段式、身份滥用优先的策略，传统以单点特征、静态规则和孤立日志为核心的检测方法，面对横向移动、令牌窃取、云控制面滥用、LLM提示注入与自动化钓鱼时，往往出现高误报、高漏报与不可解释三重问题。本文围绕“检测”这一网络安全核心能力，提出一套面向2026年威胁环境的多层检测体系，强调遥测标准化、行为图建模、时间序列异常检测、证据相关性推理与告警压缩。该体系将终端、网络、身份、云控制面与AI应用遥测统一映射到规范化事件空间，并使用风险评分函数 $R=\alpha A+\beta C+\gamma I+\delta T$ 对攻击链中的异常行为进行连续评估，其中 $A$ 表示异常强度，$C$ 表示上下文敏感性，$I$ 表示身份与权限偏离程度，$T$ 表示时间一致性破坏程度。实验部分基于公开攻击数据集、企业仿真遥测与若干实际工具链，比较了基线Sigma规则、传统监督学习、孤立森林与本文方法在检测率、误报率、平均告警压缩比与分析延迟方面的差异。结果表明，多层融合方法在保持较低误报的同时，显著提升了对慢速渗透、云侧持久化、凭证滥用与AI辅助社工行为的检出能力，并能够将高重复、低价值告警压缩为可操作调查任务。最后，本文讨论了检测系统在对抗样本、遥测投毒、隐私约束与模型漂移条件下的局限，并提出面向2026年之后的自适应检测、eBPF级细粒度遥测、PQC时代身份验证与AI治理结合方向。
Read paper →Detection标题：基于端点、网络和内存遥测、并结合面向 MITRE ATT&CK 的概率时间相关性的多层混合检测架构
标题：基于端点、网络和内存遥测、并结合面向 MITRE ATT&CK 的概率时间相关性的多层混合检测架构 摘要：在现代企业环境中观察到的入侵活动日益复杂，这对基于孤立传感器的传统检测架构提出了挑战。当代攻击往往利用 living-off-the-land（LOLBins）技术、广泛可用的后渗透框架以及被混淆的命令与控制通道，导致事件链分散于网络、端点和易失性内存之间。尽管 IDS/IPS、EDR 和 SIEM 平台已被广泛采用，其分析集成仍受限于以语法为主的关联模型，难以捕获异构事件之间的时间依赖与语义依赖。MITRE ATT&CK 框架已作为描述战术、技术与程序（TTPs）的操作本体而确立，但其在检测系统中的使用往往仅限于静态映射或描述性可视化。本文提出一种多层混合检测架构，将网络、端点和内存遥测与一种在语义上对齐 ATT&CK 模型的形式化概率时间相关机制相结合。该架构结合了广泛使用的传感器，包括 Suricata、Sysmon、Volatility 3 以及 Sigma/YARA 规则，并配备基于 Kafka 的摄取层和按照 Elastic Common Schema 进行结构化索引的机制。我们将检测过程形式化为一个不确定性下的推断问题，采用加权时间图进行建模，其中事件表示带有 ATT&CK 技术标注的顶点，边表示在预定义时间窗口内语义兼容的转移。我们引入一个条件风险函数，用于整合单个技术的上下文概率以及 TTP 之间的转移权重，从而估计完整攻击链的合理性。我们从分析上证明，借助按时间索引的数据结构，这些图的增量构建可在每个时间窗口内以 O(n log n) 的复杂度完成。实验评估使用了文献中广泛引用的数据集（CIC‑IDS2017 和 UNSW‑NB15）以及在隔离实验室中执行恶意软件的受控场景。结果表明，与孤立传感器相比，在 F1-score 相对指标上有稳定提升，并且在操作噪声方面有定性降低。额外的案例研究在模拟企业环境和医院基础设施中表明，涉及 credential dumping 和 lateral movement 的攻击链检测时间有所缩短。本研究贡献了一个面向 ATT&CK 的时间相关性数学形式化、一个基于广泛采用工具的可复现架构，以及对低攻击发生率环境中入侵检测所面临统计限制的批判性分析。
Read paper →Detection标题：基于多层遥测与语义关联的混合架构，用于企业环境中的高级威胁检测
标题：基于多层遥测与语义关联的混合架构，用于企业环境中的高级威胁检测 摘要：随着网络攻击日益复杂，以及混合云和多云基础设施的扩展，现代安全运营中心（Security Operations Centers，SOCs）面临重大挑战。当前攻击技术利用零日漏洞、滥用合法身份、living-off-the-land binaries（LOLBins）以及复杂的横向移动链条，这些活动通常分布于终端、企业网络和云服务之间。在此背景下，传统仅基于签名或孤立异常检测的机制表现出显著局限，尤其是在运营可扩展性和降低误报方面。本文提出一种基于多层遥测和语义事件关联的混合检测架构，该架构由基于图的战术、技术与程序（Tactics, Techniques, and Procedures，TTPs）驱动，并来源于 MITRE ATT&CK 框架。该方案整合了网络传感器、终端遥测、身份事件以及来自 cloud-native 环境的日志，并纳入了基于 eBPF 的仪表化和与 CNAPP（Cloud-Native Application Protection Platform）平台的集成等当代组件。我们将检测过程形式化为一个针对动态事件图的推理问题，其中可观测活动序列被映射到 ATT&CK 技术，并通过语义关联识别攻击链。该模型结合了三种互补范式：基于签名的检测（YARA 和 Suricata）、结构化行为规则（Sigma）以及行为模式的统计分析。我们使用由广泛采用的学术基准（UNSW-NB15 和 CIC-IDS2017）及在模拟企业环境中开展的受控红队演练活动组成的数据集，对该架构进行了实验评估。结果显示性能指标显著提升：准确率为 0.89、召回率为 0.83、F1 分数为 0.86，并且与孤立方法相比，误报率降低了 38.2%。同时，平均检测时间（MTTD）从 6.1 分钟降至 4.2 分钟。研究结果表明，基于 TTP 图的语义关联与多层遥测相结合，是一种有前景的方法，可在复杂企业场景中提升现代 SOC 的运营效能。
Read paper →Detection标题：基于贝叶斯遥测融合与攻击时序图的自适应多级网络威胁检测
标题：基于贝叶斯遥测融合与攻击时序图的自适应多级网络威胁检测 摘要：当代数字基础设施日益复杂，其特征包括混合云环境、分布式架构以及海量运行遥测流，这给网络威胁的早期检测带来了重大挑战。传统基于确定性规则的安全信息与事件管理（SIEM）系统在识别多阶段攻击活动方面存在结构性局限，尤其是在对手利用合法凭证、隐蔽横向移动和规避技术时。与此同时，纯粹基于机器学习的方法往往会因分布漂移而性能退化，并且缺乏运行层面的可解释性。本文提出一种自适应多级检测架构，将证据的增量式贝叶斯融合与基于攻击时序图的结构建模相结合。该方案能够关联来自终端、网络、身份和云环境的异构遥测数据，同时保持事件之间显式的时间依赖关系，并与 MITRE ATT&CK 分类体系保持语义对齐。我们将该问题形式化为对动态图 G_t=(V_t,E_t,w_t) 中攻击链的概率推断，其中权重表示恶意行为的条件概率。我们开发了一种增量贝叶斯更新机制，可处理超过每分钟 10^6 条事件的流量，同时保持概率收敛并降低运行时延。该实现基于 Apache Kafka 和 Apache Flink 的流式处理架构，采用 Neo4j 进行图持久化，并使用 RocksDB 进行状态管理。实验评估使用了 UNSW-NB15、CIC-IDS2017 数据集以及一个包含约 4 亿条事件的匿名化企业语料库。与基于规则的方法、Random Forest 和 LSTM 网络相比，所提方法取得了 0.91 的平均精确率、0.88 的召回率和 0.89 的 F1-score，同时相较于传统 SIEM 系统将误报率降低了 42%。结果表明，将遥测数据的概率融合与攻击链的结构化表示相结合，可显著提升鲁棒性、可解释性和可扩展性。我们还讨论了其对现代云安全架构、与 CNAPP 平台集成以及与对手假设预建模相关的局限性。
Read paper →Detection标题：基于语义关联、多源遥测与自适应统计模型的高级威胁主动检测多层混合架构
标题：基于语义关联、多源遥测与自适应统计模型的高级威胁主动检测多层混合架构 摘要：高效检测高级威胁仍然是当代网络安全中的主要运营挑战之一。现代企业环境以混合基础设施为特征，结合本地部署（on-premise）资源、公有云和容器化工作负载，产生来自端点、网络和身份平台的大量异构遥测数据。在此背景下，仅基于签名的传统检测机制在面对多阶段攻击、无文件（fileless）恶意软件以及“living-off-the-land”技术时表现出显著局限性。本文提出一种用于高级威胁主动检测的多层混合架构，集成基于 MITRE ATT&CK 本体的语义关联、事件时间分析以及自适应统计模型，用于识别异常行为。我们将检测问题形式化为对异构事件流中攻击链的概率推断，并考虑延迟和可接受误报率等运行约束。所提出的架构将检测过程组织为三层：(i) 收集并规范化来自网络传感器、端点代理和身份日志的多源遥测；(ii) 基于 ATT&CK 技术图的语义关联，能够识别合理的对手活动序列；以及 (iii) 使用异常检测算法（如 Isolation Forest）的自适应统计建模，以识别此前未观察到的行为偏移。我们使用 Elastic Stack、Suricata、Sysmon 和 Wazuh 实现了一个可运行原型，并通过 MISP 集成威胁情报源。实验评估在一个受控环境中进行，该环境包含多台 Windows 和 Linux 虚拟机，并执行了文献中广泛记录的真实攻击场景，使用的工具包括 Metasploit、Cobalt Strike 和 Mimikatz。结果表明，与仅基于网络 IDS 的方法相比，该方案在平均检测时间（MTTD）方面有显著提升，同时 ATT&CK 技术覆盖率更高。我们观察到 MTTD 约降低 37%，检测到的技术覆盖率提升 21%。结果表明，将语义关联、统计分析与分布式遥测相结合的混合架构，是现代 Security Operations Center（SOC）运营的一种有前景的方法，尤其适用于混合与 cloud-native 环境。
Read paper →Detection标题：基于异构遥测与时间图贝叶斯融合的多层自适应高级威胁检测
标题：基于异构遥测与时间图贝叶斯融合的多层自适应高级威胁检测 摘要：2025年网络威胁的日益复杂化，包括多阶段攻击、零日漏洞利用、供应链入侵、身份滥用以及生成式人工智能模型的滥用，对传统检测机制提出了重大挑战。本文提出一种多层自适应检测架构，其基础是对异构遥测数据进行递归贝叶斯融合，并结合动态时间图的结构建模。我们将问题形式化为对一个二元潜在过程的推断，该过程表示恶意活动在时间上的存在性，并由来自网络、终端、身份、应用以及云工作负载的可观测事件进行估计。该方法整合了：(i) 事件语义归一化，(ii) 统计与结构特征提取，(iii) 增量式时间图构建，以及 (iv) 通过对数似然更新实现数值稳定的贝叶斯推断。我们还引入了一种基于观测到的拓扑度量分布与历史基线之间 Kullback–Leibler 散度的结构检测器。我们在广泛使用的公开数据集（CIC-IDS2017 和 UNSW-NB15）以及一个包含23亿条匿名化事件的企业数据集上对该模型进行了实证评估，并将其与 Random Forest、XGBoost 和 LSTM 进行比较。结果表明，在 $F1$-score 上取得了统计显著的提升，并且误报率和横向移动平均检测时间均持续下降。我们讨论了该方法在 Zero Trust 和 CNAPP 环境中的影响、对 concept drift 的鲁棒性以及数据投毒风险。我们证明，将多种弱证据进行一致的概率融合，并结合时间图的结构分析，可在现代分布式架构中保持可扩展性的同时，显著提升精度并降低时延。
Read paper →Detection标题：通过多模态时间建模与大规模概率推断实现高级持续性威胁的自适应检测
标题：通过多模态时间建模与大规模概率推断实现高级持续性威胁的自适应检测 摘要：在混合云和云原生环境中，高级持续性威胁（APT）的日益复杂化，对早期识别入侵构成了重大挑战。到2025年，运行环境已纳入多云架构、CNAPP（Cloud-Native Application Protection Platforms，云原生应用保护平台）、短暂性工作负载、通过 eBPF 的遥测，以及与大语言模型（LLMs）相关的新兴风险。本文提出一种用于 APT 自适应检测的形式化模型，该模型基于多模态动态图与多元 Hawkes 过程的集成，并在显式贝叶斯视角下构建。我们将事件流形式化为异构时间序列，并将恶意活动的传播建模为具有谱稳定性约束的自激过程。在 0–1 损失下并结合显式的假阳性率限制推导最优决策，从而应对基率偏差这一根本问题。我们在分布式环境中基于 Apache Kafka、Apache Flink 和分布式存储实现了该架构，集成了基于 eBPF 的遥测提取以及与 MITRE ATT&CK 对齐的上下文增强。我们在 CIC-IDS2017、DARPA Transparent Computing 数据集以及一个匿名化企业数据集上评估了该模型，后者包含 23 亿条事件。结果表明，相较于 Isolation Forest、LSTM 和 Sigma 规则等基线方法，该模型在 F1-score 上取得了统计显著提升（p < 0.01），假阳性率降低了 38%，AUC 达到 0.97。我们进一步讨论了其对基于 AI 的系统安全、模型治理以及与新兴后量子控制措施集成的影响。我们得出结论：关系概率建模为大规模自适应检测提供了稳健的理论基础和可操作的可行性，能够满足当代对可观测性、合规性和网络韧性的要求。
Read paper →Detection标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境
标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境 摘要：在当代企业环境中，威胁检测由于混合基础设施、多云架构、移动设备、容器化工作负载、由 API 暴露的攻击面以及人工智能系统日益增长的集成而变得结构性复杂。最新报告表明，已被攻陷的凭据、已知漏洞利用以及对合法工具的滥用，仍然是主要入侵向量之一；与此同时，攻击者平均驻留时间（dwell time）仍然显著，表明传统检测机制存在局限（VERIZON, 2024；MANDIANT, 2023）。在本文中，我们将准实时检测问题形式化为关于系统性入侵潜在状态的概率推断，该状态由 Markov 过程建模，并通过来自多层遥测数据的异构证据融合进行估计。我们提出 AMuLeT（Adaptive Multi-Layer Threat detection）框架，该框架将每层的监督式分类器与自编码器相结合，并在近似条件独立假设下通过对数似然比规则进行集成。我们还引入一种带弹性正则化的持续学习机制，以缓解 concept drift 和对抗性演化，同时保留历史上重要的参数。我们在广泛使用的公共数据集以及一个大规模企业数据集上对该方法进行了实证评估，累计涵盖数十亿事件。结果表明，与单独模型相比，该方法在 AUC、F1-score、假阳性率以及平均检测时间缩短方面均取得了统计显著的提升。我们结合 NIST 的建议以及 CNAPP、eBPF 和大语言模型安全等当代趋势讨论其实践意义，并勾勒出未来扩展方向，包括动态图和在具有形式化差分隐私保证的联邦学习。
Read paper →Detection标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境
标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境 摘要：在当代企业环境中，威胁检测已因混合基础设施、多云架构、移动设备、容器化工作负载、通过 API 暴露的攻击面以及基于人工智能系统的日益集成而成为一个结构性复杂问题。近期报告表明，受损凭证、已知漏洞利用以及对合法工具的滥用仍然是主要入侵向量之一，而攻击者平均驻留时间（dwell time）依然显著，这表明传统检测机制存在局限（VERIZON, 2024；MANDIANT, 2023）。本文将近实时检测问题形式化为对系统性受损潜在状态的概率推断，该状态由 Markov 过程建模，并通过来自多层遥测数据的异构证据融合进行估计。我们提出 AMuLeT（Adaptive Multi-Layer Threat detection）框架，它结合了按层的监督分类器与自编码器，并在近似条件独立假设下通过对数似然比规则进行集成。我们还引入一种带弹性正则化的持续学习机制，以缓解 concept drift 和对抗性演化，同时保留历史上相关的参数。我们在广泛使用的公开数据集以及一个大规模企业数据集上对该方法进行了实证评估，累计涵盖数十亿事件。结果表明，与单独模型相比，该方法在 AUC、F1-score、假阳性率以及平均检测时间缩短方面均取得了统计显著的提升。我们结合 NIST 的建议以及 CNAPP、eBPF 和大型语言模型安全等当代趋势讨论其实践意义，并勾勒出未来可扩展方向，包括动态图和具有差分隐私形式化保障的联邦学习。
Read paper →Detection利用多层时间关联与自监督表征学习的企业环境中混合自适应网络威胁检测
TITLE: 利用多层时间关联与自监督表征学习的企业环境中混合自适应网络威胁检测 ABSTRACT: 在当代企业环境中进行网络威胁检测，需要能够关联异构事件、建模复杂时间依赖关系，并能够适应利用有效凭证、fileless 技术以及与 MITRE ATT&CK 对齐的多阶段攻击链的对手。本文提出一种混合架构，融合自监督表征学习、层次化时间建模以及动态图中的概率相关分析，旨在在概念漂移条件下减少误报而不降低检测灵敏度。我们将该问题形式化为对 $P(Y=1 \mid G_{t-k:t})$ 的估计，其中 $G_{t-k:t}$ 表示从多种遥测数据源（认证日志、终端事件、网络流量以及云遥测）提取的时间图滑动窗口。自监督组件基于轻量级 Transformers 的时间上下文预测，使得在缺乏大量标签的情况下仍能够学习稳健的语义嵌入。多层关联阶段利用在与 ATT&CK 技术一致的子图上定义的对数线性势函数，从而确保操作层面的可解释性。我们在基于 Apache Kafka、Apache Flink、PyTorch 和 Neo4j 的分布式基础设施上实现了该方案，在 24 节点集群上实现了每秒 12 万事件的持续吞吐量。我们在 CIC-IDS2017、LANL Cybersecurity Dataset 以及一个包含 42 亿事件的企业数据集上评估了该模型。实验结果表明平均 AUC 为 0.982，F1 为 0.941，TPR 为 96.4%，FPR 为 3.1%，相较于 Isolation Forest、DeepLog 和 LSTM Autoencoders 等基线方法，在误报率方面实现了 38% 的相对降低（$p < 0{,}01$）。我们讨论了与 SIEM 和 CNAPP 平台集成的意义，以及涉及差分隐私的联邦学习和对抗鲁棒性的扩展方向。结果表明，将自监督表征与概率结构关联相结合，是实现大规模自适应检测的一种有前景的方法，代表了截至 2025 年的前沿技术水平。
Read paper →Detection基于异构遥测概率相关性的多级自适应高级持续性威胁检测
1. 引言
Read paper →