Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →10 papers
标题：面向混合环境的事件响应数据驱动架构：基于 MITRE ATT&CK 的形式化、自动化与编排
标题：面向混合环境的事件响应数据驱动架构：基于 MITRE ATT&CK 的形式化、自动化与编排 摘要：事件响应（Incident Response, IR）已成为现代网络安全的关键组成部分，原因在于定向攻击、勒索软件即服务（ransomware-as-a-service）以及国家行为体主导行动的指数级增长。近期报告显示，即便采用先进的 EDR 和 SIEM，复杂企业环境中对手的平均驻留时间（dwell time）仍超过 16 天。本文提出一种面向混合环境（本地部署和云）的 IR 数据驱动架构，集成威胁的形式化建模、基于 MITRE ATT&CK 的关联、多层检测以及与 SOAR 的自动化。我们将响应过程形式化为一个多目标优化问题，在满足取证精确性和业务连续性约束的前提下，最小化遏制时间和运营影响。 我们的方法结合了结构化日志摄取（Sysmon、CloudTrail、Zeek）、基于签名的检测（Suricata、YARA）、基于图的行为分析以及通过参数化 playbooks 实现的自动化编排。我们实现了两种主要算法：（i）一种基于条件于已观测到的 TTPs 的贝叶斯评分的自适应事件优先级排序机制；（ii）一种用于重建攻击链的时间相关引擎，复杂度为 $O(n \log n)$。我们在一个受控环境中对该方案进行了评估，该环境包含 120 个端点、15 台服务器以及 AWS 负载，模拟了 42 个真实场景（包括 T1059、T1027、T1486）。与传统 SIEM 基线相比，我们获得了 MTTR 平均降低 37.4% 以及上下文化检测率提高 28.6%，标准差低于 4.1%。 结果表明，威胁建模、丰富遥测与编排式自动化之间的形式化集成可显著减少人工工作量，并提高运营决策的一致性。我们得出结论，所提出的方法为在资源受限且威胁高度多变条件下运行的 CSIRT 和 SOC 团队建立了一个可复用的框架。
Read paper →IR面向证据的 Incident Response（IR）架构：基于多层相关性和响应循环数学形式化
面向证据的 Incident Response（IR）架构：基于多层相关性和响应循环数学形式化 摘要：在勒索软件、APT 侦察活动、关键漏洞大规模利用（例如 CVE-2021-44228 – Log4Shell）呈指数级增长的背景下，Incident Response（IR）已成为当代网络安全的战略支柱之一。尽管 NIST SP 800-61 和 MITRE ATT&CK 等框架已趋于成熟，IR 的实际运作仍然面临多源相关性、告警优先级排序以及在高时间压力下证据保全等方面的缺口。本文提出一种面向证据的 IR 架构，基于多层相关性（网络、终端、身份和易失性内存），并将其形式化为一个关于时间事件图的优化问题。我们的方法整合了自动化采集（Suricata、Zeek、Sysmon）、基于规则的检测（Sigma、YARA）、内存分析（Volatility 3）、结合威胁情报（MISP）的增强，以及通过与 MITRE ATT&CK 的显式映射进行的行为建模。 我们定义了一个形式化模型，其中事件 E = {e_1, e_2, ..., e_n} 被表示为有向时间图 G=(V, A, T) 中的顶点，边表示因果或上下文关系。我们提出了两种算法：（1）加权时间相关性（CTP），其复杂度为 O(n log n)；以及（2）贝叶斯事件优先级排序（PBI），使用增量更新来估计被攻陷的后验概率 P(C|E)。在包含 12.4 TB 真实日志和公共数据集（CIC-IDS2017 和 DARPA TC）的受控实验中，我们将平均分诊时间（MTTT）降低了 37%，真正率（TPR）提高了 22%，同时将 FPR 维持在 4.8% 以下。 评估结果表明，多层取证的形式化集成可显著降低与 ATT&CK 技术 T1059（Command and Scripting Interpreter）、T1027（Obfuscated Files）和 T1003（Credential Dumping）相关的误报。一个涉及 LockBit 3.0 勒索软件的案例研究表明，在不到 45 分钟内完成遏制具有明确的操作效益。我们得出结论：数学形式化结合面向证据的自动化构成了 SOC 和 CSIRT 团队在操作成熟度方面的重要进步，有助于缩短 dwell time 并提升组织韧性。
Read paper →IR标题：基于 ATT&CK 的事件响应（IR）证据驱动架构与形式化建模：多层遥测集成、自动化编排与可扩展取证分析
标题：基于 ATT&CK 的事件响应（IR）证据驱动架构与形式化建模：多层遥测集成、自动化编排与可扩展取证分析 摘要：勒索软件活动、国家支持的间谍行动以及供应链攻击——如 SolarWinds（CVE-2020-10148）、ProxyLogon（CVE-2021-26855）和 Log4Shell（CVE-2021-44228）——的日益复杂，暴露了传统事件响应（Incident Response, IR）流程中的结构性局限。尽管 NIST SP 800-61r2 和 MITRE ATT&CK 等框架已被广泛采用，许多组织仍在使用静态 playbook、不同遥测层之间的关联性较弱，并且缺乏对决策过程的数学形式化。本文提出一种面向证据的 IR 架构，集成多模态采集（网络、终端、身份和内存）、将响应周期建模为不确定性下的优化问题，以及基于 SOAR 的自动化编排。 我们的方法结合了：(i) 将检测与遏制建模为加权有向时序图的形式化模型；(ii) 基于贝叶斯评分的优先级排序算法，以降低 Mean Time to Detect (MTTD) 和 Mean Time to Respond (MTTR)；以及 (iii) 与 Suricata、Zeek、Wazuh、Elastic SIEM、Sigma、YARA 和 Volatility 等真实工具的实际集成。我们在一个受控实验室环境中评估了该提议，进行了 420 次对抗场景执行，场景映射至 MITRE ATT&CK 战术（TA0001–TA0009），包括 T1059（Command and Scripting Interpreter）、T1003（Credential Dumping）和 T1486（Data Encrypted for Impact）等技术。 结果表明，与仅依赖静态关联的传统 SIEM 管道相比，MTTR 平均降低 37.4%（从 9 小时 12 分降至 5 小时 45 分），早期检测率提高 22.8%，误报减少 31%。在分布式环境中，该架构可扩展至每秒 25,000 个事件，平均延迟低于 480 ms。 我们得出结论：将 IR 过程进行数学形式化，结合适当的运行时仪表化和基于证据的自动化，可带来可衡量的效率与准确性提升。本文为中大型 SOC 提供了理论与操作层面的贡献，并提出了一个可在企业和政府环境中复现的模型。
Read paper →IR标题：IR-GraphSec：一种面向图和威胁情报的正式且可扩展的事件响应框架
标题：IR-GraphSec：一种面向图和威胁情报的正式且可扩展的事件响应框架 摘要：入侵活动日益复杂，其特征包括隐蔽的横向移动、凭证滥用以及多阶段持久化，这给事件响应（Incident Response – IR）团队带来了重大挑战。传统方法高度依赖静态 playbook 和人工日志分析，在分布式和大规模环境中存在局限性。本文提出 IR-GraphSec，一种基于时序图建模和持续威胁情报增强的、用于事件响应编排的正式且可扩展的框架。我们将安全事件建模为有向时序图 G = (V, E, τ)，其中顶点表示实体（主机、用户、进程、工件），边表示所观察到的交互。我们引入了按风险加权的中心性度量以及一种复杂度为 O(|E|\log|V|) 的遏制优先级排序算法。 我们在 Apache Kafka、Neo4j 和 Apache Flink 上实现了一个分布式原型系统。我们使用真实数据集（DARPA Transparent Computing、包含 23 亿事件的匿名企业日志）以及基于 MITRE ATT&CK 的合成场景对系统进行了评估。与基于规则相关性的方案（传统 SIEM）和确定性 playbook 相比，IR-GraphSec 将平均遏制时间（MTTC）降低了 37.4%，将误报减少了 28.1%，并通过 AUC-ROC 平均提升 0.19 改善了关键资产优先级排序。 我们的结果表明，将事件响应形式化为时序图上的优化问题，并结合上下文化威胁情报（STIX/TAXII），能够实现更快速、更准确且更具适应性的响应。本文的贡献包括：(i) 将 IR 问题形式化为多目标优化的模型；(ii) 基于风险中心性的优先级排序算法；以及 (iii) 在大规模环境中的广泛实证评估。
Read paper →IR标题：IR-ADAPT：一种用于分布式企业环境中网络事件响应编排与优化的形式化、概率化与自适应框架
标题：IR-ADAPT：一种用于分布式企业环境中网络事件响应编排与优化的形式化、概率化与自适应框架 摘要：事件响应（Incident Response – IR）已成为分布式企业环境中文件安全治理的战略性组成部分，这些环境以多云架构、容器化工作负载、SaaS 集成以及 AI/ML 管道为特征。遥测数据量的指数级增长，加之对手利用有效凭证、已知漏洞和规避技术所带来的复杂性，对事件的优先级排序与及时遏制提出了结构性挑战。在本文中，我们提出 IR-ADAPT，这是一种形式化、概率化与自适应框架，将 IR 建模为部分可观测马尔可夫决策过程（POMDP），从而支持在不确定性下的定量优化。我们将风险形式化为影响的条件期望值，并引入一个多变量成本函数，整合了入侵概率、归一化影响和认识论不确定性。我们证明了基于状态信念的贝叶斯更新与近似强化学习相结合，能够生成最小化期望折扣成本的自适应策略。我们使用 Elastic Stack、Apache Kafka 和 SOAR 平台（TheHive/Cortex）实现了一个原型，集成了 EDR 遥测、网络日志和云事件。我们在包含 320 万条真实与合成事件的数据集上评估了该系统，并将其与基于 CVSS 和静态 SIEM 规则的基线方法进行比较。结果表明，平均遏制时间（MTTC）统计显著降低了 47.3%（±2.1%），准确率提升至 92.4%，人工负担降低了 31.8%。我们讨论了其对受监管环境、与 CNAPP 的集成以及在 OT/ICS 场景中的局限性。我们得出结论，概率化的序列形式化为截至 2025 年的自适应事件响应编排提供了可衡量的收益和坚实的理论基础。
Read paper →IR标题：IR-GraphSec：一种基于概率时态图和贝叶斯推断的形式化架构，用于分布式环境中自动化事件响应编排
标题：IR-GraphSec：一种基于概率时态图和贝叶斯推断的形式化架构，用于分布式环境中自动化事件响应编排 摘要：异构混合云和多云数字基础设施日益复杂，这给事件响应（Incident Response, IR）学科带来了重大挑战，要求形式化模型能够捕获大规模分布式事件之间的时序、语义和概率依赖关系。本文提出 IR-GraphSec，一种基于概率时态图和贝叶斯推断的形式化架构，用于现代企业环境中事件响应的优先级排序与自动化编排。我们将事件形式化为语义增强的时间元组，并定义一个动态有向图，其中顶点表示实体，边表示随时间演化且在因果上相关的交互。我们将资产被入侵建模为二元随机变量，并通过可解释的逻辑回归估计以观测历史为条件的后验概率，从而近似一阶马尔可夫随机场。我们证明，在预算约束下的遏制优先级排序问题可归约为 0-1 背包问题的一个实例，因此是 NP-困难的，并提出具有经典近似保证的贪心启发式算法。该架构使用 Elastic Stack、Apache Flink、Neo4j、Kubernetes 和 PyTorch 实现，在包含 32 亿条匿名真实事件的实验中可支撑每秒 45,000 个事件。与基于静态规则和传统监督学习模型的方法相比，我们观察到 Mean Time to Detect（MTTD）降低了 37.4%，Mean Time to Respond（MTTR）降低了 42.1%，误报率降低了 22.3%。我们讨论了理论意义、经验局限以及涉及结构因果模型、在线学习和与云原生环境中现代安全技术集成的扩展方向。我们的结果表明，概率时态关系建模为企业规模的 IR 自适应编排奠定了坚实基础。
Read paper →IRIR-GraphSec：一种基于攻击图和多目标优化的正式且可扩展的自动化事件响应编排框架
IR-GraphSec：一种基于攻击图和多目标优化的正式且可扩展的自动化事件响应编排框架 摘要：随着多阶段网络攻击活动日益复杂，并叠加混合环境、云原生环境以及由人工智能驱动的环境的扩展，事件响应（Incident Response – IR）的编排面临重大挑战。尽管诸如 NIST SP 800-61 Rev. 2 和 NIST Cybersecurity Framework 等规范性框架已经建立了成熟的指导原则，但有效的遏制操作仍受复杂拓扑依赖、可用性约束以及多个相互冲突目标的限制。本文将响应编排问题形式化为一种在动态攻击图上的多目标优化问题，并通过与 MITRE ATT&CK 的自动映射以及来自 CNAPP、EDR 和 eBPF 环境的近实时遥测进行增强。我们定义了一个目标函数，综合残余风险、运营成本和停机影响，并受预算和业务连续性约束。我们证明了相关判定问题通过多项式归约可还原为带附加约束的最小割问题变体，因此是 NP-困难的。我们提出 IR-GraphSec 框架，基于 Neo4j、Apache Kafka 和 OR-Tools 实现，能够处理大规模事件流，并通过混合整数规划和 branch-and-bound 启发式生成优化的遏制方案。我们在一个分布式集群上对系统进行了实证评估，数据包括 480 万条真实和合成事件，并包含 MITRE Caldera 仿真。结果表明，与静态 SOAR playbooks 相比，Mean Time to Containment (MTTC) 平均降低 63.4%，残余风险下降 38.9%，估算财务影响降低 41.9%。统计分析确认了显著性，p < 0{,}01。我们讨论了与遥测质量相关的局限性，并探索了涉及鲁棒强化学习、人工智能系统安全以及与后量子密码学集成的扩展方向。我们得出结论：以图为导向的形式化建模是 2025 年实现自适应且可扩展 IR 编排的有前景的方法。
Read paper →IR标题: IR-GraphSec：一种基于攻击图和多目标优化的自动化事件响应编排的形式化且可扩展框架
标题: IR-GraphSec：一种基于攻击图和多目标优化的自动化事件响应编排的形式化且可扩展框架 摘要: 随着多阶段网络攻击活动日益复杂，以及混合云、云原生和人工智能驱动环境的扩展，事件响应（Incident Response – IR）的编排面临重大挑战。尽管NIST SP 800-61 Rev. 2和NIST Cybersecurity Framework等规范性框架已建立成熟指南，但遏制措施的高效落地仍受复杂拓扑依赖、可用性约束以及多重冲突目标的限制。本文将响应编排问题形式化为一个在动态攻击图上的多目标优化问题，该攻击图通过自动映射到MITRE ATT&CK并融合来自CNAPP、EDR和eBPF环境的近实时遥测数据进行增强。我们定义了一个目标函数，整合残余风险、运营成本和不可用性影响，并受到预算和业务连续性约束的限制。我们证明，与该问题相关的决策问题通过对带附加约束的最小割问题变体进行多项式归约而成为NP难问题。我们提出IR-GraphSec框架，基于Neo4j、Apache Kafka和OR-Tools实现，能够处理大规模事件流，并通过混合整数规划和branch-and-bound启发式方法生成优化的遏制方案。我们在一个分布式集群上对系统进行了实证评估，使用了480万个真实和合成事件，包括使用MITRE Caldera的仿真。结果表明，与静态SOAR playbooks相比，Mean Time to Containment (MTTC)平均降低63.4%，残余风险减少38.9%，估计财务影响降低41.9%。统计分析确认结果具有显著性，p < 0{,}01。我们讨论了与遥测质量相关的局限性，并探讨了涉及鲁棒强化学习、AI系统安全以及与后量子密码学集成的扩展方向。我们得出结论：面向图的形式化建模为2025年的自适应、可扩展IR编排提供了一种很有前景的方法。
Read paper →IR标题：IR-GraphShield：一种基于攻击图与时间证据的智能事件响应编排的形式化且可扩展框架
标题：IR-GraphShield：一种基于攻击图与时间证据的智能事件响应编排的形式化且可扩展框架 摘要：2025年数字环境的日益复杂性，以多云架构、微服务、短暂性工作负载以及对人工智能模型的深度集成为特征，给安全事件响应编排带来了重大挑战。我们提出 IR-GraphShield，这是一种基于融入时间证据和概率推理机制的攻击图的形式化且可扩展的智能事件响应编排框架。我们将响应过程形式化建模为一个标记转移系统 $ \mathcal{S} = (Q, \Sigma, \delta, q_0) $，其中状态表示系统的可观测配置，事件对应取证证据，动作则是自动化缓解策略。我们引入带有时间和概率加权的动态攻击图 $ G_t = (V_t, E_t) $，从而能够在新的妥协指标出现时进行持续的贝叶斯更新。我们展示了形式化验证、概率推理和可解释机器学习技术如何与当代 SOAR 和 CNAPP 平台，以及基于 eBPF 的传感器和运行时遥测相集成。该框架涵盖了与 LLM、模型供应链攻击、后量子密码学以及 AI 治理相关的新兴威胁。我们使用线性时序逻辑（LTL）和符号模型检测来评估响应策略的正确性、完备性和安全性属性。概念性实验和比较分析表明，与纯启发式方法相比，该框架可缩短平均遏制时间，并提高对误报的鲁棒性。IR-GraphShield 促进了自动化响应、数学形式化与证据驱动的自适应安全之间的融合，为截至 2025 年的现行技术背景提供了坚实的理论基础和实践可行性。
Read paper →IR面向大规模企业网络的智能化事件响应框架：基于概率攻击图推理与自适应编排的闭环安全处置体系
企业网络结构经历了从传统内网边界防护模式向云原生、混合云与零信任架构的深刻转型。远程办公常态化、SaaS 应用普及、容器与微服务广泛部署，使企业资产分布高度动态化。攻击面（Attack Surface）不再局限于数据中心内部服务器，而扩展至终端设备、API 接口、第三方供应链组件与云服务控制平面。 根据公开行业报告，数据泄露事件的平均识别与遏制周期仍以“月”为单位计量，而攻击者完成横向移动与权限提升往往仅需数小时至数天。在 Log4Shell（CVE-2021-44228）漏洞披露后，多家安全厂商报告在极短时间内观测到自动化扫描与利用活动。类似地，MOVEit Transfer 漏洞（CVE-2023-34362）引发了大规模数据窃取事件，显示出供应链型漏洞对企业组织的系统性风险。 传统事件响应流程通常依据 NIST SP 800-61 Rev.2 所定义的四阶段模型展开：准备、检测与分析、遏制与根除、事后总结。然而，在实际 SOC 运行中，存在如下关键问题： （1）告警爆炸与信号稀释：多源设备产生海量告警，误报比例高，导致分析资源分散； （2）路径关联困难：攻击活动跨主机、跨时间窗口，缺乏统一的因果关联机制； （3）响应策略静态化：SOAR 剧本通常基于固定规则触发，无法根据全局风险动态调整； （4）规模扩展瓶颈：当终端数量达到十万级以上时，攻击图推理与策略优化在计算
Read paper →