Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →10 papers
标题：一种基于多层时间关联与鲁棒统计学习的形式化、可扩展主动威胁检测架构
标题：一种基于多层时间关联与鲁棒统计学习的形式化、可扩展主动威胁检测架构 摘要：多阶段攻击活动日益复杂，其特征包括隐蔽的横向移动和对零日漏洞的利用，这给基于签名或静态规则的传统检测机制带来了重大挑战。在本文中，我们提出一种用于主动威胁检测的形式化架构，将多层时间关联与面向事件的鲁棒统计建模相结合。我们的方法融合因果依赖图、行为嵌入和贝叶斯推断，以识别与 MITRE ATT&CK 技术相关的攻击链，即使在噪声和对抗性规避条件下亦然。我们将该问题形式化为对动态图 G_t = (V_t, E_t) 的推断任务，并证明检测可建模为在结构约束下的似然最大化。我们实现了一个分布式原型系统，能够在 12 节点集群中每秒处理 180 万个事件。我们使用 DARPA TC、UNSW-NB15 数据集以及包含 42 亿个事件的真实企业环境轨迹对系统进行了评估。与传统 SIEM 和纯 LSTM 模型相比，我们的方案将误报率降低了 37.4%，将平均 F1-score 从 0.81 提升至 0.92，并以 4.3 秒的平均延迟检测到横向移动。我们还证明了该方案对与 T1027 和 T1070 战术相关的混淆技术具有鲁棒性。结果表明，在大规模环境中应对高级持续性威胁时，严格的数学形式化与分布式系统工程的结合至关重要。
Read paper →Research标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测
标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测 摘要：高级持续性威胁（APT）的检测仍然是网络安全领域中最严峻的运维挑战之一，尤其是在结合本地部署基础设施、云端工作负载以及分布式端点的混合企业环境中。Mandiant 和 Verizon 的最新报告表明，复杂攻击者的平均停留时间（dwell time）在成熟环境中仍然超过 16 天，而在可见性较低的组织中甚至可能超过 200 天。本文提出一种基于多层级遥测与概率时间相关性的混合架构，用于 APT 的主动检测，整合网络日志（Suricata）、端点遥测（Sysmon）、易失性内存分析（Volatility）、行为规则（Sigma）以及自定义签名（YARA），并通过一个形式化的加权有向时间图模型进行联合分析。我们的方法引入一种基于时间中心性和与 MITRE ATT&CK 框架对齐的 TTP 串联的风险评分机制，将其建模为动态图中关键路径检测问题。我们在一个包含 12 个真实攻击场景的实验环境中评估了该方案（包括对 APT29、FIN7 的模拟以及对 CVE-2021-44228 – Log4Shell 的利用），共采集了 60 天内累计 4.3 TB 的遥测数据。结果表明，该方法的检测率（TPR）达到 94.7%，误报率（FPR）为 3.2%，优于仅基于规则的方法（TPR 71.4%）以及孤立的机器学习模型（TPR 88.1%）。平均检测时间从 11.2 天缩短至 36 小时。其主要贡献在于对面向 TTP 的时间相关性进行了数学形式化，并在现实可行的运行环境中完成了实践验证。我们证明，异构遥测与时间建模之间的结构化集成能够显著提升防御能力，并为 SOC（Security Operations Centers）和威胁狩猎团队提供直接的实践意义。
Read paper →Research面向多层遥测与 MITRE ATT&CK 导向关联的可扩展混合架构，用于威胁检测与狩猎
面向多层遥测与 MITRE ATT&CK 导向关联的可扩展混合架构，用于威胁检测与狩猎 摘要：企业数字环境的快速扩张，在云计算、混合架构、微服务以及通过 API 的集成推动下，深刻改变了信息安全格局。当代攻击面变得高度分布式且动态化，这使得仅基于特征签名的传统机制难以及早检测入侵。现代攻击往往遵循复杂的战术、技术与程序（TTPs）链条，并且常常分布在基础设施的多个层面，包括终端、网络、身份和云服务。在此背景下，孤立的检测方法——如基于静态规则的 SIEM 或缺乏上下文关联的 EDR 解决方案——显现出局限性。
Read paper →Research标题：基于多层相关性和统计学习的混合式检测与响应架构，用于企业环境中高级威胁的缓解
标题：基于多层相关性和统计学习的混合式检测与响应架构，用于企业环境中高级威胁的缓解 摘要：针对性入侵活动日益复杂化，包括人工操控的勒索软件攻击、零日漏洞利用以及隐蔽的横向移动，这给仅依赖签名或静态规则的传统检测架构带来了重大挑战。近期利用 CVE-2021-44228（Log4Shell）、CVE-2023-34362（MOVEit Transfer）等漏洞，以及 MITRE ATT&CK 中的 T1059（Command and Scripting Interpreter）和 T1021（Remote Services）等技术的事件表明，亟需具备自适应能力的多层机制。本文提出一种混合式架构，将基于规则的确定性关联（Sigma、Suricata、YARA）、统计行为分析以及攻击链形式化建模相结合，并以企业级 SOC 的实际运营为重点。我们的方法结合了用于表示安全事件的带权有向图数学模型，以及增量式贝叶斯评分机制，用于估计入侵后验概率 P(C|E1..n)。我们使用 Elastic Stack、Suricata、Wazuh、Volatility 及 Python 自定义模块实现了一个原型，并在包含 12 TB 真实日志和公开数据集（CIC-IDS2017、UNSW-NB15）的受控环境中对其进行了评估。结果表明，与仅基于规则的传统 SIEM 相比，该方案的误报率降低了 38.7%，横向移动检测率提高了 24.3%，平均检测时间（MTTD）从 47 分钟降至 18 分钟。我们还通过一个涉及使用 Cobalt Strike 和 Mimikatz 模拟勒索软件攻击的案例研究证明，多层相关性能够平均提前 11 分钟识别加密前模式。本文贡献包括：（i）自适应相关性的数学形式化，（ii）带复杂度分析的增量式告警优先级排序算法，以及（iii）基于操作指标的实证验证。该工作为 Blue Team 团队和下一代 SOC 架构提供了直接的实践意义。
Read paper →Research一种用于企业异构环境中基于合法管理工具滥用的威胁检测与自适应缓解的形式化可验证架构
本文针对企业异构网络环境中攻击者滥用系统内置工具、管理接口与合法二进制文件所形成的隐蔽威胁提出一种形式化可验证的检测与缓解框架。与依赖新增恶意程序或单一签名特征的传统方法不同，我们将攻击行为刻画为具有时间顺序、因果依赖与状态转移约束的序列过程，并以溯源图为核心载体，对进程、文件、网络连接与身份凭据之间的关系进行统一建模。在此基础上，我们引入马尔可夫状态空间、Kullback–Leibler 散度以及 CUSUM 控制统计量，构建一种兼顾在线检测、阈值自适应与概率界分析的机制。通过将检测问题形式化为对抗博弈，我们给出在统计可分性条件下的规避概率上界，并证明当观测分布与正常行为分布之间存在足够偏移时，攻击序列被稳定识别的概率可随窗口长度增长而指数提高。本文进一步讨论了系统实现的分层架构，包括审计采集、事件流传输、特征规范化、实时关联分析与响应联动，并结合企业内常见的 IDS/IPS、SIEM、NAC 与主机审计机制说明其工程可行性。实验部分在多阶段横向移动、凭据滥用与脚本执行场景下验证了该方法，相较于仅依赖边际频率或静态规则的基线方案，其误报率和平均检测时间均有改善。案例研究表明，该框架能够在能源与医疗等高价值环境中对典型合法工具滥用链路实现较早告警与自动化隔离。总体而言，本文在 2007 年可用的安全技术语境下，将入侵检测理论、统计过程控制与因果溯源建模结合起来，为面对“以合法为掩护”的攻击提供了可解释、可分析且可部署的防御思路。
Read paper →ResearchARCUS：用于分布式网络环境中威胁自适应检测与遏制的弹性且上下文统一的架构
随着分布式网络环境、虚拟化平台、应用层网关以及基于代理的远程接入系统的广泛部署，组织的安全边界正在从单一周界转向由多个管理域构成的异构安全平面。此类环境通常同时包含本地服务器、外部托管服务、数据库系统、邮件网关、目录服务与远程办公基础设施，其结果是日志来源多样、事件链条跨域、攻击路径隐蔽且关联困难。针对这一现实，我们提出 ARCUS，一种面向 2007 年技术背景的弹性且上下文统一的架构，用于在分布式网络环境中实现威胁自适应检测与遏制。ARCUS 以概率时间图为统一表示形式，将主机审计、网络流量、认证事件、Web 请求、数据库查询和目录服务调用映射为可关联的时间事件，并结合基于图的注意力机制对入侵活动进行判别。与此同时，我们将自动遏制问题形式化为带约束的组合优化模型，通过显式编码服务依赖、可用性约束和隔离策略，避免过度响应造成的业务中断。本文进一步给出威胁模型、形式化定义、算法复杂度分析与实验评估方法，并在经典入侵检测数据集与合成企业网络场景上验证架构的有效性。实验结果表明，ARCUS 相较于基于签名的 IDS 与传统图模型，在检测精度、误报控制以及响应延迟方面均表现出更好的平衡性。我们认为，该架构为 2007 年前后的企业安全运营中心提供了一种兼顾可解释性、可扩展性与可验证响应的系统化方案。
Read paper →Research基于动态图的概率检测与时间相关性分析用于异构企业环境中的横向移动
横向移动是企业内网入侵后最具破坏性的阶段之一，其典型特征是攻击者在获得初始立足点后，借助有效凭据、远程服务与信任关系在主机、身份与应用边界之间持续扩展访问权限。对于 2007 年以前的企业环境而言，传统基于边界防护、静态规则与孤立告警的检测方法，往往难以刻画多跳认证链、时间依赖关系以及低频高隐蔽行为，从而导致误报率高、漏报率亦难以接受。为应对这一问题，我们提出一种面向异构企业环境的时间动态图概率检测框架，将身份、主机、远程会话、目录服务与网络流量统一建模为带时间戳的事件图，并在此基础上采用增量贝叶斯推断更新边缘合法性概率。该框架以对数似然累积方式描述路径风险，结合单调剪枝策略对候选路径进行高效枚举，从而在保证可扩展性的同时控制搜索空间。我们进一步从基率谬误的角度分析告警阈值设定与误报抑制之间的关系，说明在低发生率场景下，精细化概率建模比单纯依赖静态阈值更具实际意义。本文还给出形式化威胁模型、完备性证明、复杂度分析以及面向金融与医疗场景的案例讨论。实验部分采用严格的时间切分验证，评估静态规则、经典统计方法与所提出模型在 AUC、固定召回率下误报率以及可解释性方面的表现。结果表明，该方法在保持较高可解释性与可操作性的前提下，能够更稳定地识别跨主机、跨会话与跨身份域的可疑横向移动链条，并为安全运营中心在事件响应、取证与阻断决策中提供更一致的概率依据。
Read paper →Research标题：ARCUS：用于混合环境中高级威胁自适应检测的统一语义关联弹性架构
标题：ARCUS：用于混合环境中高级威胁自适应检测的统一语义关联弹性架构 摘要：混合和多云架构的加速扩展，结合 DevSecOps 实践的采用、短暂性工作负载以及基于人工智能的组件集成，至 2025 年显著扩大了组织的攻击面。近期报告表明，入侵仍在利用已知漏洞、社会工程和供应链，而围绕大语言模型（LLMs）、暴露的 API 和联邦身份的新威胁也在不断涌现。在此背景下，主要基于语法关联和静态规则的传统 SIEM 机制，在捕获分布式时间依赖和语义依赖方面显示出结构性局限。我们提出 ARCUS，一种形式化基础架构，集成了与 MITRE ATT&CK 和 NIST SP 800-61 对齐的语义本体、动态时间图，以及结合 Graph Neural Networks（GNNs）和增量统计检测的混合推理。我们将事件形式化为结构化元组，并通过时间图 $G_t$ 对系统演化进行建模，在现实索引假设下保留了具有常数摊还复杂度的增量更新性质。我们将检测问题定义为阈值 $\tau$ 下的贝叶斯决策，其代价函数由复合损失构成，用于平衡监督分类与异常评分。我们在匿名化真实数据、DARPA Transparent Computing 和 Atomic Red Team 上评估了 ARCUS，相较于工业 SIEM 基线，平均精度达到 96.9%，召回率达到 97.8%，误报率降低了 43%，平均检测时间减少了 79%。我们讨论了所需的概率性质、运行可扩展性（每天 32 亿事件）以及与 CNAPP 和 SOAR 的集成。我们得出结论：面向图的语义关联与增量推理相结合，为当代混合环境中的高级威胁自适应检测提供了严谨且可 عملی部署的基础。
Read paper →Research基于多层时间相关性与鲁棒统计推断的高级持续性威胁主动检测自适应架构
随着企业网络边界不断延展，入侵行为已不再局限于单一主机或单一网段，而是呈现出跨网络、主机、应用与身份认证层的协同演化特征。针对这一现实，我们提出一种面向高级持续性威胁（APT）的主动检测自适应架构，核心思想是在多层遥测数据之上显式建模时间相关性，并结合鲁棒统计推断抵御日志缺失、异常噪声与对抗性篡改。本文将安全事件抽象为带时间戳的异构观测序列，通过滑动窗口构建多层时间图，并利用 Huber 型 $M$-估计对边权进行鲁棒估计，以降低少量恶意污染对全局推断的影响。在此基础上，我们引入动态贝叶斯更新机制，将系统状态表示为潜在攻陷变量，并以攻击链阶段作为先验结构，增强检测结果的可解释性与可操作性。为了验证方法有效性，我们在企业级遥测环境中开展了经验评估，并与随机森林、LSTM 和孤立森林等基线方法进行比较。结果表明，该架构在检测率、误报率与平均检测时间方面均优于对照方法，且在污染比例上升时保持更稳定的性能退化曲线。进一步分析显示，时间相关性建模能够有效揭示横向移动、凭证滥用与多阶段执行之间的依赖关系，而鲁棒推断则显著提升了系统在不完整日志条件下的容错能力。我们认为，该方法适合作为企业网络中 IDS/IPS、SIEM 与事件响应流程之间的关联分析层，为持续监测与主动防御提供理论依据与工程实现路径。
Read paper →Research面向跨域APT攻击检测的分层因果图学习与对抗鲁棒性增强框架研究
组织的信息系统架构正从传统的集中式数据中心演进为混合云、多云与边缘计算并存的复杂生态。微服务架构、容器编排平台（如Kubernetes）以及软件定义网络（SDN）的普及，使系统组件间依赖关系高度动态化与短生命周期化。在此背景下，攻击面不再局限于单一主机或网络边界，而是扩展至跨域身份凭证、API调用链与供应链依赖。 APT攻击的核心特征在于“持续性”“隐蔽性”与“多阶段协同”。攻击者往往通过钓鱼邮件、漏洞利用或供应链植入实现初始访问，然后逐步进行权限提升、凭证窃取与横向移动，最终达成数据外泄或破坏目标。SolarWinds供应链事件展示了攻击者通过合法更新机制植入后门，实现跨组织传播与长期潜伏；Log4Shell漏洞（CVE-2021-44228）暴露后，大量组织在数周内遭受远程代码执行攻击；Microsoft Outlook特权提升漏洞（CVE-2023-23397）被用于触发NTLM凭证泄露。这些真实事件说明，APT攻击往往跨越多个技术域与组织边界。 MITRE ATT&CK框架系统化总结了攻击者战术与技术，但其本质为知识库与映射框架，而非自动化检测机制。传统基于规则的系统依赖人工维护攻击模式，当攻击路径变化或攻击者采用低频渐进策略时，规则系统往往难以及时更新。基于单主机日志序列建模的深度学习方法，如DeepLog，通过LSTM预测下一条日志事件，但缺乏跨主机与跨阶段依赖表达
Read paper →