Research / Paper Files

Paper Files

Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。

我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

全部 Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

12 papers

IAM

多云环境下具备凭证泄露韧性的身份与访问管理（IAM）形式化与运行架构

TITLE: 多云环境下具备凭证泄露韧性的身份与访问管理（IAM）形式化与运行架构 ABSTRACT: 身份与访问管理（Identity and Access Management – IAM）已成为分布式企业架构安全的核心要素。在多云环境中，应用和服务同时运行于多个基础设施提供商之上，基于身份的访问控制正逐步取代传统网络边界，成为主要防御机制。然而，来自事件报告的实证证据表明，凭证泄露仍然是数据泄露最常见的攻击向量之一。涉及 OAuth 令牌重用、API 密钥暴露以及过度权限滥用的攻击表明，当合法凭证落入对手之手时，传统认证与授权机制无法确保有效遏制。本文提出一种面向多云环境中部分凭证泄露的、具备韧性的 IAM 形式化与运行架构。我们提出一个形式化模型，将身份系统表示为由用户、资源、权限、令牌和策略构成的元组，从而在具有分级对手的威胁模型下定义韧性的数学性质。我们引入一个安全博弈，用于刻画部分凭证被攻陷的场景，并证明诸如短时效令牌、密钥的密码学派生、授权域分段以及基于风险的自适应认证等机制如何降低运维影响范围。所提出的架构整合了 Zero Trust 原则、基于 OpenID Connect 和 SAML 的身份联合，以及跨多个云提供商的行为监测与协调撤销机制。针对关键基础设施和金融行业场景的实验评估与案例研究表明，该方法在保持较低计算开销的同时，显著缩短了被攻陷凭证的可利用时间窗口。通过将文献中常仅从架构层面讨论的安全性质加以形式化，本文有助于将密码学模型与现代 IAM 系统中的运行保障更紧密地结合起来。结果表明，显式设计为可在部分泄露条件下运行的身份架构，能够以可度量的方式限制基于凭证攻击的影响。

2008-08-11Read paper →IAM

标题：基于运营遥测的持续风险评估与凭证滥用检测的自适应 Identity and Access Management 架构

标题：基于运营遥测的持续风险评估与凭证滥用检测的自适应 Identity and Access Management 架构摘要：身份与访问管理（Identity and Access Management – IAM）已成为分布式环境中企业安全的关键组成部分，这些环境以混合基础设施、云计算以及服务之间的深度集成为特征。然而，当代攻击往往利用已被攻破的合法凭证，从而绕过仅基于初始认证和静态权限控制的传统机制。实证报告表明，凭证滥用是现代组织发生安全事件的主要原因之一。在此背景下，受 Zero Trust 范式启发的安全架构强调在整个会话期间对身份与上下文进行持续验证。本文提出一种自适应 IAM 架构，将基于来自终端、网络和身份系统的运营遥测数据的持续风险评估纳入其中。我们形式化定义了与用户 u、会话 s 和时间 t 相关的动态风险数学模型 R(u,s,t)，并整合行为偏差、访问异常和环境上下文等指标。所提出的架构集成了企业和学术环境中广泛使用的组件，包括作为身份提供方的 Keycloak、作为策略决策机制的 Open Policy Agent（OPA）、作为事件分析基础设施的 Elastic Stack，以及 Sysmon 和 Suricata 等安全传感器。此外，我们使用 Sigma 规则对与 MITRE ATT&CK 框架相关技术的检测进行标准化。实验评估在一个模拟企业环境中进行，收集了超过 4.8 亿条日志事件，持续时间为三个月。结果表明，与仅基于 RBAC 的模型相比，在事件响应的运营指标上有显著改善，包括平均检测时间（MTTD）和平均响应时间（MTTR）的降低。一项涉及包含钓鱼、凭证转储和横向移动的攻击链的案例研究表明，该架构能够在早期阶段检测凭证滥用。结果表明，IAM、运营遥测和持续风险评估机制之间的集成，是强化现代企业环境中身份安全的一种可行方法。

2008-08-04Read paper →IAM

标题：面向威胁的弹性 IAM 架构：基于 Zero Trust 与行为检测的自适应模型的形式化、实现与实证评估

标题：面向威胁的弹性 IAM 架构：基于 Zero Trust 与行为检测的自适应模型的形式化、实现与实证评估摘要：混合与多云环境的持续采用，已使数字身份转变为组织安全控制的主要载体。Identity and Access Management (IAM) 系统最初被设计为用于账户与权限配置的管理机制，如今已在缓解高级攻击方面发挥核心作用，尤其是那些基于凭证泄露、会话令牌滥用和权限提升的攻击。近期报告表明，有效凭证仍然是企业环境中的主要入侵向量之一。然而，传统 IAM 架构仍主要基于静态授权模型，例如 Role-Based Access Control (RBAC)，通常无法对与运行风险相关的上下文和行为变化作出动态响应。本文提出一种面向威胁的弹性 IAM 架构，整合了 Zero Trust 原则、动态风险评估以及基于安全遥测的行为检测。我们对一种自适应风险模型进行了数学形式化，该模型结合了身份敏感性、运行上下文、行为偏离以及所请求操作的关键性。在此形式化基础上，我们设计了一种能够应用自适应认证与基于动态风险阈值的阻断控制的访问决策机制。我们使用 2023 年企业环境中广泛采用的技术实现了一个可运行原型，包括 Azure Active Directory、AWS IAM、Elastic Stack、Suricata 和 Open Policy Agent。我们在一个包含数千个模拟身份并采集了三十天运行遥测数据的实验环境中进行了实证评估。结果表明，与基于静态 RBAC 的基线相比，该方案显著缩短了凭证滥用的平均检测时间，并显著减少了过度授权。此外，我们分析了对安全团队的运行影响，并讨论了与遥测质量和模型参数校准相关的局限性。我们得出结论：行为分析、上下文评估与自适应策略的集成，代表了在现代企业环境中构建弹性 IAM 架构的重要进展。

2008-07-29Read paper →IAM

标题：面向威胁的弹性 Identity and Access Management 架构：混合环境中的形式化建模、行为检测与运营加固

标题：面向威胁的弹性 Identity and Access Management 架构：混合环境中的形式化建模、行为检测与运营加固摘要：数字身份作为企业环境中主要失陷向量的整合，使 Identity and Access Management (IAM) 成为现代安全架构的核心。混合云与多云基础设施结合 SaaS、API 以及服务身份的大规模采用，显著扩大了基于凭证和认证令牌的攻击面。实证报告表明，当代大多数安全事件都涉及对合法账户的滥用、权限提升或对配置不当的授权策略的利用。本文提出一种面向威胁的弹性 IAM 架构，整合三个互补维度：有效权限的形式化建模、身份异常使用的行为检测，以及混合环境中的自动化运营加固。首先，我们使用有向图对权限面进行形式化建模，该图表示用户、角色与权限之间的关系。在此模型基础上，我们定义了用于衡量身份攻击面以及分析权限提升路径的定量指标。随后，我们提出一种基于多维行为向量和 Mahalanobis 距离的异常检测机制，并将其应用于大规模采集的认证事件。该机制能够以较低的误报率识别对有效账户的滥用，即使在包含数千个身份和多个身份提供者的环境中亦然。与此同时，我们描述了一个运营框架，集成了企业环境中广泛使用的工具——包括联邦身份提供者、基于 Open Policy Agent 的策略机制、Elastic Stack 日志分析以及 Neo4j 图建模——从而实现对有效权限的持续评估和对过度权限的自动化削减。实验评估在一个模拟企业环境中进行，该环境包含超过一万二千个身份和数百万条认证事件。结果表明，该方法显著降低了凭证滥用的平均检测时间，并大幅减少了过度权限。研究表明，形式化建模、行为分析与运营自动化的整合，是增强 zero trust 架构和当代混合环境中身份安全的有效途径。

2008-07-22Read paper →IAM

标题：一种面向风险、具备持续验证和动态策略数学形式化的自适应 Identity and Access Management 架构

标题：一种面向风险、具备持续验证和动态策略数学形式化的自适应 Identity and Access Management 架构摘要：Identity and Access Management（IAM）系统构成现代企业环境中安全的核心，尤其是在混合和多云基础设施中。然而，基于 Role-Based Access Control（RBAC）的传统模型在面对当代威胁时存在结构性局限，包括横向移动（MITRE ATT&CK T1078）、特权滥用（T1068）以及暴露凭据的被攻陷（例如 CVE-2023-23397）。在本文中，我们提出一种面向风险的自适应 IAM 架构，称为 ARIAM，它集成了基于属性的访问控制（ABAC）、持续上下文评估和实时概率风险建模。我们将该问题形式化为一个决策函数 $f: U \times R \times C \rightarrow \{0,1\}$，其中 $U$ 表示用户，$R$ 表示资源，$C$ 表示动态上下文，并引入通过增量贝叶斯推断估计的风险函数 $ \rho(u,r,c)$。我们的贡献包括：(i) 在具备自适应能力的对手条件下，对安全性质进行严格的数学建模；(ii) 用于策略增量评估的决策算法，其复杂度为 $O(\log n)$；以及 (iii) 在包含 50,000 个身份和每日 120 万次请求的环境中评估的可扩展原型实现。实验结果表明，与传统 RBAC 基线相比，模拟未授权访问减少了 37.4%，特权滥用平均检测时间降低了 42.1%。每次请求的平均开销为 3.8 ms（σ = 0.6 ms），且在第 95 百分位下总延迟保持在 25 ms 以下。我们的结果表明，面向风险的自适应机制能够在不损害运行可扩展性的前提下显著提升安全性，并为符合 NIST SP 800-207 所倡导的 Zero Trust 模型的 IAM 架构演进提供实践指导。

2007-09-05Read paper →IAM

标题：具有持续风险分析和数学形式化以缓解高级威胁的自适应 Identity and Access Management 架构

标题：具有持续风险分析和数学形式化以缓解高级威胁的自适应 Identity and Access Management 架构摘要：Identity and Access Management（IAM）系统构成分布式企业环境安全的核心，负责混合云和多云基础设施中的身份认证、授权以及身份治理。然而，近期事件表明，基于静态访问控制和严格 RBAC 策略的传统方法在面对高级持续性威胁、有效凭证利用以及横向移动时已显不足。本文提出一种面向持续风险的自适应 IAM 架构，称为 A²-IAM，它集成了形式化策略建模、实时概率风险评估以及基于凸优化的决策机制。我们将授权问题形式化为一个依赖身份、资源、上下文和时间的决策函数 f(u, r, c, t)，并受安全与合规约束。我们引入两种主要算法：(i) Risk-Adaptive Policy Evaluation（RAPE）和 (ii) Dynamic Privilege Minimization（DPM）。我们实现了一个功能性原型，集成 Keycloak、Open Policy Agent（OPA）以及基于 Apache Kafka 的遥测机制。我们在一个包含 50,000 个合成身份和 120 万次访问事件的实验环境中评估了该系统，并将其与传统 RBAC 和静态 ABAC 进行比较。结果表明，在高风险未授权访问方面减少了 37.4%，特权滥用平均检测时间缩短了 28.1%，且在峰值场景下计算开销低于 11%。我们证明，所提出的方法在保持可扩展性和监管合规性的同时，显著提高了对 MITRE ATT&CK 技术如 T1078（Valid Accounts）和 T1021（Remote Services）的抵御能力。

2007-08-29Read paper →IAM

标题：IAM-Guard：一种用于多云环境中持续身份治理与最小权限原则实施的形式化自适应架构

标题：IAM-Guard：一种用于多云环境中持续身份治理与最小权限原则实施的形式化自适应架构摘要：身份与访问管理（Identity and Access Management，IAM）构成现代企业基础设施中安全控制的核心，尤其是在多云环境和基于微服务的架构中。近期事件，包括与 MITRE ATT&CK 技术 T1078（有效账户，Valid Accounts）和 T1098（账户操纵，Account Manipulation）相关的利用，表明在权限治理和过度配置检测方面的缺陷仍然是主要的入侵向量。本文提出 IAM-Guard，一种基于策略数学建模、行为偏差概率检测和最小策略自动综合的形式化自适应身份持续治理架构。我们的方法结合了：(i) 将权限状态形式化为带标签有向图，(ii) 基于多目标优化的权限削减算法，以及 (iii) 基于高斯混合模型和授权序列分析的异常检测机制。我们实现了一个与 AWS、Azure 和 Kubernetes 环境集成的可运行原型，并在三家中型组织中基于 180 天内采集的 12 亿条身份验证事件进行了评估。结果表明，检测到的过度权限平均减少了 37.8%，有效攻击面降低了 42.3%，凭证滥用检测率达到 96.1%，误报率为 3.4%。与仅基于静态 RBAC 的方法相比，IAM-Guard 在权限最小化精度上提升了 28%，并将与账户被攻陷相关事件的平均响应时间缩短了 31%。这些结果表明，形式化且自适应的身份治理作为纵深防御核心机制具有可行性。

2007-08-23Read paper →IAM

标题：一种可自适应且形式化可验证的抗凭据泄露与横向升级的 Identity and Access Management (IAM) 架构

标题：一种可自适应且形式化可验证的抗凭据泄露与横向升级的 Identity and Access Management (IAM) 架构摘要：Identity and Access Management (IAM) 系统构成现代企业基础设施中安全控制的核心，尤其是在混合云和多云环境中。然而，近期数据泄露报告表明，超过 60% 的重大事件涉及对有效凭据的滥用、权限提升以及访问策略配置不当。本文研究在一种现实威胁模型下的身份与权限动态管理问题，该模型考虑了凭据的部分泄露、横向移动以及过度宽松策略的利用。我们提出一种名为 A-FIAM (Adaptive and Formally-verified IAM) 的自适应 IAM 架构，它集成了基于属性的访问控制（ABAC）、持续行为分析以及使用线性时序逻辑进行的策略形式化验证。该方法结合了权限图的数学建模、攻击面最小化算法以及基于访问画像统计偏差的异常检测。我们在混合环境（Kubernetes + Azure AD + Keycloak）中实现了一个原型，并使用 1240 万条真实与合成事件开展实验。结果表明，有效权限攻击面减少了 47.3%，凭据滥用检测的真正率达到 96.1%，误报率为 2.8%，且每次授权请求的平均开销低于 8.6 ms。与静态 RBAC 方法和云服务提供商原生 IAM 相比，我们的系统将横向升级路径减少了 39%，并自动缓解了 92% 的职责分离违规。我们得出结论，将形式化验证与持续行为自适应相结合，代表了 IAM 系统在面对复杂攻击者时韧性能力的显著进步。

2007-08-16Read paper →IAM