Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →178 papers
标题：基于证据的AppSec：一个形式化且可扩展的框架，用于基于威胁建模和持续混合分析的应用安全编排
标题：基于证据的AppSec：一个形式化且可扩展的框架，用于基于威胁建模和持续混合分析的应用安全编排 摘要：由于对分布式架构、微服务、公开API以及复杂的开源依赖链的日益依赖，应用安全已成为现代网络安全的核心组成部分。当代系统的攻击面与组件之间的互联程度成比例增长，这使得仅孤立分析漏洞的传统方法显得不足。在当代DevSecOps环境中，静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）等工具会产生大量告警，且常常表现出较高的误报率和不恰当的风险优先级排序。本文提出一个名为EO-AppSec（Evidence-Oriented Application Security，面向证据的应用安全）的正式框架，它将多种安全证据来源整合到一个统一的概率模型中，以实现漏洞优先级排序。我们使用贝叶斯推断结合上下文化的CVSS度量以及由有向图表示的组件依赖建模，对该问题进行了形式化。该框架关联SAST、DAST和SCA工具的结果，以及运行时遥测，以估计漏洞被利用的概率并计算条件风险评分。所提出的架构集成了CI/CD流水线和云原生基础设施，包括Kubernetes环境以及基于eBPF的可观测性平台和现代遥测技术栈。我们在一个包含47个应用程序、约320万行代码的工业环境中评估了该系统，并将其与基于孤立分析的传统方法进行了比较。结果表明，漏洞优先级排序的准确性显著提高（0.89），误报减少了42.3%，同时平均修复时间从14.2天降至8.7天。我们讨论了对软件安全治理以及与当代安全框架集成的实际影响，包括NIST Secure Software Development Framework以及DevSecOps流水线中的现代安全实践。我们还分析了方法学上的局限性，以及对纳入人工智能组件和大语言模型的现代应用环境的影响。结果表明，基于证据的编排为减少运行噪声并提升工业规模AppSec项目的有效性提供了一条可行路径。
Read paper →AppSec标题：基于证据的 AppSec：一种形式化且可扩展的应用安全编排框架，基于威胁建模与连续混合分析
标题：基于证据的 AppSec：一种形式化且可扩展的应用安全编排框架，基于威胁建模与连续混合分析 摘要：由于对分布式架构、微服务、公开 API 以及复杂的开源依赖链的日益依赖，应用安全已成为现代网络安全的核心组成部分。当代系统的攻击面随着组件之间的互联程度成比例增长，这使得将漏洞孤立分析的传统方法已显不足。在当代 DevSecOps 环境中，静态分析（SAST）、动态分析（DAST）和软件组成分析（SCA）等工具会产生大量告警，且常常表现出较高的误报率和不恰当的风险优先级排序。本文提出一个名为 EO-AppSec（Evidence-Oriented Application Security）的形式化框架，该框架将多种安全证据源集成到统一的概率模型中，用于漏洞优先级排序。我们使用结合情境化 CVSS 指标和以有向图表示的组件依赖建模的贝叶斯推断对该问题进行形式化。该框架关联 SAST、DAST 和 SCA 工具的结果，以及运行时遥测数据，以估计漏洞被利用的概率并计算条件风险分数。所提出的架构集成了 CI/CD 流水线和 cloud-native 基础设施，包括 Kubernetes 环境以及基于 eBPF 的可观测性平台和现代遥测栈。我们在一个包含 47 个应用程序、约 320 万行代码的工业环境中对该系统进行了评估，并将其与基于孤立分析的传统方法进行了比较。结果表明，漏洞优先级排序的准确率显著提升（0.89），误报减少了 42.3%，平均修复时间从 14.2 天缩短至 8.7 天。我们讨论了该方法对软件安全治理的实际影响，以及与当代安全框架的集成，包括 NIST Secure Software Development Framework 和 DevSecOps 流水线中的现代安全实践。我们还分析了方法学局限性，以及在现代应用中包含人工智能组件和大语言模型时的相关影响。结果表明，基于证据的编排为减少运营噪声并提升工业规模 AppSec 项目的有效性提供了一条可行路径。
Read paper →AppSec标题：一种基于在 DevSecOps 生命周期中集成 SAST、DAST、SCA 和 Threat Intelligence 的定量与操作化 Application Security 架构
标题：一种基于在 DevSecOps 生命周期中集成 SAST、DAST、SCA 和 Threat Intelligence 的定量与操作化 Application Security 架构 摘要：应用安全（Application Security – AppSec）已成为现代数字环境中风险管理的核心组成部分。基于微服务、暴露 API、容器以及持续交付流水线的架构日益普及，显著扩大了组织的攻击面。尽管各种安全分析工具已被广泛采用，许多组织仍然难以根据真实的利用风险来优先排序漏洞。静态分析（SAST）、动态分析（DAST）以及软件组成分析（SCA）工具往往会产生大量结果，其中许多具有较低的运行影响或较高的误报率。本文提出一种面向风险的 AppSec 项目的定量架构，通过将 SAST、DAST 和 SCA 的结果与外部威胁情报源进行整合。我们提出了一个形式化的优先级排序模型，该模型基于一个风险函数，结合 CVSS 评分、公开 exploit 证据、应用暴露上下文以及与 MITRE ATT&CK 框架技术的映射。所提出的架构集成到 DevSecOps 流水线中，并通过 DefectDojo 等管理平台使用漏洞关联与归一化机制。我们在由 42 个真实应用组成的集合上对该方法进行了实证评估，这些应用使用 Java、Python 和 Node.js 开发。结果表明，重复漏洞显著减少，误报率降低，平均修复时间（MTTR）显著改善。观察到 MTTR 降低了 63%，在扫描器关联之后，结果数量减少了 44.7%。我们还表明，纳入威胁情报——包括公开 exploit 的存在以及对对手活动的观察——能够改善修复优先级排序，并将资源导向实际可利用的漏洞。结果表明，当与 DevSecOps 生命周期集成时，风险驱动的 AppSec 项目能够在降低攻击面和提高安全团队运营效率方面带来可衡量的收益。
Read paper →AppSec标题：一种基于正式威胁建模、SAST/DAST/SCA 集成以及 DevSecOps 环境中运行时遥测的定量 Application Security 架构
标题：一种基于正式威胁建模、SAST/DAST/SCA 集成以及 DevSecOps 环境中运行时遥测的定量 Application Security 架构 摘要：对 Web 应用、API 和基于微服务的架构日益增长的依赖，显著扩大了现代系统的攻击面。近期事件报告表明，暴露于互联网的应用程序被利用仍然是最常见的入侵向量之一，攻击者通常利用已知的库漏洞、输入验证缺陷或不当配置。尽管静态分析（SAST）、动态分析（DAST）以及软件组成分析（SCA）等应用安全工具已广泛用于 DevSecOps 管道，但这些机制通常以碎片化方式运行，且缺乏一种能够估计系统残余风险的定量框架。本文提出一种集成式 Application Security 架构，基于正式威胁建模、多源分析结果聚合以及运行时实时遥测的引入。我们将漏洞优先级排序问题形式化为一个加权残余风险最小化过程，其中每个漏洞都依据可利用性概率、潜在影响和运行上下文等指标进行评估。所提出的架构将静态、动态和依赖关系分析工具与安全可观测性机制相集成，包括运行时行为检测和持续事件采集。我们在一个由故意设计为存在漏洞的应用程序和运行于容器化基础设施中的真实微服务组成的环境中，对该方法进行了实验评估。结果表明，该方法在识别实际可利用漏洞方面能力显著提升，平均召回率提高至 91.3%，且相较于孤立方法，平均检测时间（MTTD）降低了 63.4%。观察到的计算开销保持在 20% 以下，符合现代 CI/CD 管道的运行要求。此外，我们讨论了其对企业级 AppSec 项目的影响，强调代码分析、运营监控与威胁情报之间集成的重要性。所提出的架构表明，将正式建模与运行时遥测相结合，可为情境化漏洞优先级排序以及有效降低当代软件系统中的残余风险提供坚实基础。
Read paper →AppSec标题: 基于形式化威胁建模、SAST/DAST/SCA 集成与运行时遥测的 DevSecOps 环境下定量化 Application Security 架构
标题: 基于形式化威胁建模、SAST/DAST/SCA 集成与运行时遥测的 DevSecOps 环境下定量化 Application Security 架构 摘要: Web 应用、API 以及基于微服务的架构日益增长的依赖，显著扩大了现代系统的攻击面。近期事件报告表明，针对互联网暴露应用的利用仍然是最常见的入侵向量之一，且往往通过利用库中的已知漏洞、输入验证缺陷或配置不当来实现。尽管静态分析（SAST）、动态分析（DAST）以及软件成分分析（SCA）等应用安全工具已在 DevSecOps 流水线中得到广泛使用，但这些机制通常以碎片化方式运行，缺乏能够估计系统残余风险的定量化框架。本文提出一种集成式 Application Security 架构，基于形式化威胁建模、多源分析结果聚合以及实时执行遥测的纳入。我们将漏洞优先级排序问题形式化为一个加权残余风险最小化过程，其中每个漏洞都依据可利用性概率、潜在影响和运行上下文等指标进行评估。所提出的架构将静态、动态和依赖项分析工具与安全可观测性机制相集成，包括运行时行为检测和持续事件采集。我们在由故意构造漏洞的应用和运行于容器化基础设施上的真实微服务组成的环境中，对该方法进行了实验评估。结果表明，该方法在识别实际可利用漏洞方面能力显著提升，平均召回率提高至 91.3%，并且与孤立式方法相比，平均检测时间（MTTD）降低了 63.4%。观察到的计算开销保持在 20% 以下，符合现代 CI/CD 流水线的运行要求。此外，我们讨论了其对企业级 AppSec 项目的影响，强调代码分析、运行监控与威胁情报之间集成的重要性。所提出的架构表明，将形式化建模与运行时遥测相结合，能够为漏洞的上下文化优先级排序以及现代软件系统中残余风险的有效降低提供坚实基础。
Read paper →DFIR标题：具有密码学保障和可验证验证的现代基础设施数字事件响应形式化与操作架构
标题：具有密码学保障和可验证验证的现代基础设施数字事件响应形式化与操作架构 摘要：当代数字生态系统的日益复杂性，因云计算、微服务架构、人工智能以及分布式基础设施的广泛采用而进一步加剧，要求对数字取证与事件响应（Digital Forensics and Incident Response, DFIR）采取更为严格的方法。传统的事件响应框架主要侧重于操作流程和组织治理，而在证据完整性的数学形式化以及保管链可验证性方面留下了重要空白。本文提出一种集成架构，将应用密码学基础、形式化验证方法以及用于企业环境、关键基础设施和云平台事件响应的遥测采集与关联操作机制相结合。我们基于对手能力类别形式化了一个面向DFIR的特定威胁模型，并定义了安全博弈，以捕获证据链完整性、真实性和不可篡改性的属性。我们引入了一种基于抗碰撞哈希函数和Merkle树的密码学链式机制，并结合现代数字签名和不可变存储。此外，我们提出了一种取证关联算法，将其建模为有向无环图，并对其复杂性及可证明正确性性质进行分析。该架构旨在与当代安全运营中广泛使用的工具集成，包括YARA、Sigma、Suricata、SIEM/SOAR中的遥测管道，以及基于Linux环境中eBPF的可观测性机制。我们进行了定性实验评估，将所提出的方法与传统事件响应流程进行比较，考察了摄取延迟、计算开销以及对对手篡改的抵抗能力。两个案例研究——一个发生在数字化医院环境中，另一个发生在工业ICS/SCADA网络中——证明了该模型在具有强监管和操作约束领域中的适用性。我们得出的结论是，在DFIR实践中系统性引入密码学保障和形式化规范，能够显著提高证据可信度和调查可审计性，但代价是中等程度的计算开销和更高的操作复杂度。本文为应用密码学、形式化验证与运营安全工程的融合做出了贡献，并与2024年当代网络安全需求相一致。
Read paper →DFIR标题：面向高保真 DFIR 的证据驱动架构：多层关联、数学形式化与企业环境中的实证评估
标题：面向高保真 DFIR 的证据驱动架构：多层关联、数学形式化与企业环境中的实证评估 摘要：企业网络攻击日益复杂，要求 Digital Forensics and Incident Response (DFIR) 方法能够基于多种异构证据源重建复杂的攻击链。现代企业环境会产生来自终端、网络、云服务以及安全平台的大量遥测数据，包括 EDR、SIEM 和可观测性工具。然而，这些证据在运营层面的集成以及严格的时间关联仍然是重大挑战。本文提出一种面向证据的高保真数字取证架构，基于可验证的时间图形式化建模。该模型引入一个数学结构，用于表示数字工件、因果关系以及依据 MITRE ATT&CK 框架标注的对抗技术，同时保持密码学完整性属性与时间一致性。该操作架构集成了业界广泛采用的工具，包括 Sysmon、Suricata、Auditd、Elastic Stack、Volatility 3 和 YARA，以及事件响应编排机制。我们提出两个核心算法：EviGraph-Builder，负责从规范化事件构建取证图；以及 CausalPath-Reconstruct，旨在重建多阶段攻击链的概率路径。实验评估基于 49 个场景开展，这些场景包含真实事件与基于 Atomic Red Team 的受控环境。结果表明，与传统人工流程相比，平均调查时间降低超过 50%，且对对抗技术的正确关联率显著提升。此外，本文讨论了对安全运营中心（SOC）的运行影响、时间同步要求、证据链保全，以及与现代云安全平台和混合环境的集成。结果表明，数学形式化与证据关联自动化相结合，为企业 DFIR 带来了显著进展，有助于实现更快速、可重复且可验证的调查。
Read paper →DFIR标题：一种面向时态图的形式化基础 DFIR 架构，具备密码学完整性保证与攻击链概率重建能力
标题：一种面向时态图的形式化基础 DFIR 架构，具备密码学完整性保证与攻击链概率重建能力 摘要：现代网络攻击活动日益复杂，这给数字取证与事件响应（Digital Forensics and Incident Response，DFIR）实践带来了重大挑战。当前企业环境会产生来自多层面的海量遥测数据——端点、网络、应用程序以及云基础设施——使得手动重建事件在实践中几乎不可行。尽管监控系统和 SIEM 平台提供了事件关联机制，但此类方法往往缺乏形式化基础，难以在数字证据之间保留因果关系和时间一致性。本文提出一种基于时态图的 DFIR 形式化架构，融合概率推理与密码学证据完整性机制。我们提出一个数学模型，将取证事件表示为带类型的顶点，并组织在时间一致的有向图中，从而能够捕获进程、文件、网络连接和身份之间的因果依赖关系。在该图之上，我们引入攻击概率重建算法（RPA），该算法利用基于贝叶斯的推理，并结合 MITRE ATT&CK 框架中描述的战术与技术模式，来估计对手最可能的行动序列。此外，我们实现了一种密码学哈希链机制，以在整个调查流水线中确保证据的完整性和可验证性。我们使用三个具有代表性的数据集对所提出的架构进行了实验评估：DARPA Transparent Computing 数据集、大规模真实企业日志以及针对 Log4Shell 漏洞利用的合成场景。结果表明，与仅基于启发式关联或孤立统计检测的方法相比，该方案在准确率、召回率以及攻击链重建时间等指标上均有显著提升。我们观察到调查重建时间平均减少 37.4%，同时攻击链推断精度显著提高。本文还讨论了其与现代 SIEM 平台集成的实际影响，以及与日志质量和存储成本相关的局限性。我们得出结论：基于时态图的形式化建模、概率推理与密码学保证的结合，为面向当代企业环境的可扩展、可验证 DFIR 系统奠定了一个很有前景的基础。
Read paper →DFIR标题：一种面向时间图的DFIR形式化基础架构，具备密码学完整性保障与攻击链概率重建能力
标题：一种面向时间图的DFIR形式化基础架构，具备密码学完整性保障与攻击链概率重建能力 摘要：现代网络攻击活动日益复杂，给数字取证与事件响应（Digital Forensics and Incident Response, DFIR）实践带来了重大挑战。当前企业环境产生来自多层面的海量遥测数据——端点、网络、应用以及云基础设施——使得手动重建事件在实践中几乎不可行。尽管监测系统和SIEM平台提供了事件关联机制，但此类方法往往缺乏形式化基础，难以保持数字证据之间的因果关系和时间一致性。本文提出一种基于时间图的DFIR形式化架构，并结合概率推理与证据完整性的密码学机制。我们提出一个数学模型，将法证事件表示为具有类型的顶点，构成一个时间一致的有向图，从而能够捕获进程、文件、网络连接和身份之间的因果依赖关系。在该图之上，我们引入攻击概率重建算法（Probabilistic Attack Reconstruction, RPA），该算法利用以MITRE ATT&CK框架中描述的战术与技术模式为条件的贝叶斯推理，估计对手最可能的动作序列。此外，我们实现了一种密码学哈希链机制，以确保调查流程中证据的完整性和可验证性。我们使用三个具有代表性的数据集对所提出架构进行了实验评估：DARPA Transparent Computing数据集、大规模真实企业日志以及针对Log4Shell漏洞利用的合成场景。结果表明，与仅基于启发式关联或孤立统计检测的方法相比，该方法在准确率、召回率和攻击链重建时间等指标上均有显著提升。我们观察到调查重建时间平均减少了37.4%，同时攻击链推断精度显著提高。我们还讨论了其在与现代SIEM平台集成方面的实际意义，以及与日志质量和存储成本相关的局限性。我们得出结论：基于时间图的形式化建模、概率推理与密码学保障的结合，为面向现代企业环境的可扩展且可验证的DFIR系统提供了一个前景可观的基础。
Read paper →DFIR标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排
标题：面向现代 DFIR 的证据驱动架构：多层次关联、时间线的数学形式化以及混合环境中的自动化编排 摘要：当代计算环境日益复杂，其特征包括混合基础设施、云工作负载、容器以及分布式系统，这为 Digital Forensics and Incident Response（DFIR）领域带来了新的挑战。传统调查方法主要依赖人工收集证据工件以及对日志进行临时性关联，在面对现代系统所产生数据的规模、易失性和异构性时表现出明显局限性。此外，高级持续性威胁（APT）、ransomware-as-a-service（RaaS）攻击活动以及关键漏洞的自动化利用，显著缩短了初始入侵与横向移动之间的时间间隔。在此背景下，开发形式化且可扩展的方法以整合多种遥测来源并精确重建攻击链条变得至关重要。本文提出一种面向现代 DFIR 的证据驱动架构，基于三个主要支柱：(i) 使用有向无环图对取证时间线重建进行数学形式化；(ii) 针对来自网络、终端、身份和云层的事件构建自动化摄取、标准化与关联流水线；(iii) 与事件响应编排和自动化平台进行操作级集成。所提出的模型将安全事件表示为结构化实体，并在相关事件之间建立概率因果关系。实验实现采用由 Elastic Stack、Suricata、Zeek、Sysmon、Volatility 3 以及基于 TheHive 和 Cortex 的 SOAR 平台组成的技术栈。我们使用一组与 MITRE ATT&CK 框架对齐的 37 个场景对该架构进行评估，总计 1.2 TB 数据和约 8600 万个事件。结果表明，与仅基于 SIEM 的传统方法相比，该架构显著降低了平均调查时间（MTTI），减少了误报，并提高了攻击链重建的准确性。此外，我们还讨论了该模型对安全运营中心（SOC）的实际影响、模型的局限性，以及结合动态图分析和机器学习技术以支持调查优先级排序的潜在扩展。
Read paper →Detection标题：基于端点、网络和内存遥测、并结合面向 MITRE ATT&CK 的概率时间相关性的多层混合检测架构
标题：基于端点、网络和内存遥测、并结合面向 MITRE ATT&CK 的概率时间相关性的多层混合检测架构 摘要：在现代企业环境中观察到的入侵活动日益复杂，这对基于孤立传感器的传统检测架构提出了挑战。当代攻击往往利用 living-off-the-land（LOLBins）技术、广泛可用的后渗透框架以及被混淆的命令与控制通道，导致事件链分散于网络、端点和易失性内存之间。尽管 IDS/IPS、EDR 和 SIEM 平台已被广泛采用，其分析集成仍受限于以语法为主的关联模型，难以捕获异构事件之间的时间依赖与语义依赖。MITRE ATT&CK 框架已作为描述战术、技术与程序（TTPs）的操作本体而确立，但其在检测系统中的使用往往仅限于静态映射或描述性可视化。本文提出一种多层混合检测架构，将网络、端点和内存遥测与一种在语义上对齐 ATT&CK 模型的形式化概率时间相关机制相结合。该架构结合了广泛使用的传感器，包括 Suricata、Sysmon、Volatility 3 以及 Sigma/YARA 规则，并配备基于 Kafka 的摄取层和按照 Elastic Common Schema 进行结构化索引的机制。我们将检测过程形式化为一个不确定性下的推断问题，采用加权时间图进行建模，其中事件表示带有 ATT&CK 技术标注的顶点，边表示在预定义时间窗口内语义兼容的转移。我们引入一个条件风险函数，用于整合单个技术的上下文概率以及 TTP 之间的转移权重，从而估计完整攻击链的合理性。我们从分析上证明，借助按时间索引的数据结构，这些图的增量构建可在每个时间窗口内以 O(n log n) 的复杂度完成。实验评估使用了文献中广泛引用的数据集（CIC‑IDS2017 和 UNSW‑NB15）以及在隔离实验室中执行恶意软件的受控场景。结果表明，与孤立传感器相比，在 F1-score 相对指标上有稳定提升，并且在操作噪声方面有定性降低。额外的案例研究在模拟企业环境和医院基础设施中表明，涉及 credential dumping 和 lateral movement 的攻击链检测时间有所缩短。本研究贡献了一个面向 ATT&CK 的时间相关性数学形式化、一个基于广泛采用工具的可复现架构，以及对低攻击发生率环境中入侵检测所面临统计限制的批判性分析。
Read paper →Detection标题：基于多层遥测与语义关联的混合架构，用于企业环境中的高级威胁检测
标题：基于多层遥测与语义关联的混合架构，用于企业环境中的高级威胁检测 摘要：随着网络攻击日益复杂，以及混合云和多云基础设施的扩展，现代安全运营中心（Security Operations Centers，SOCs）面临重大挑战。当前攻击技术利用零日漏洞、滥用合法身份、living-off-the-land binaries（LOLBins）以及复杂的横向移动链条，这些活动通常分布于终端、企业网络和云服务之间。在此背景下，传统仅基于签名或孤立异常检测的机制表现出显著局限，尤其是在运营可扩展性和降低误报方面。本文提出一种基于多层遥测和语义事件关联的混合检测架构，该架构由基于图的战术、技术与程序（Tactics, Techniques, and Procedures，TTPs）驱动，并来源于 MITRE ATT&CK 框架。该方案整合了网络传感器、终端遥测、身份事件以及来自 cloud-native 环境的日志，并纳入了基于 eBPF 的仪表化和与 CNAPP（Cloud-Native Application Protection Platform）平台的集成等当代组件。我们将检测过程形式化为一个针对动态事件图的推理问题，其中可观测活动序列被映射到 ATT&CK 技术，并通过语义关联识别攻击链。该模型结合了三种互补范式：基于签名的检测（YARA 和 Suricata）、结构化行为规则（Sigma）以及行为模式的统计分析。我们使用由广泛采用的学术基准（UNSW-NB15 和 CIC-IDS2017）及在模拟企业环境中开展的受控红队演练活动组成的数据集，对该架构进行了实验评估。结果显示性能指标显著提升：准确率为 0.89、召回率为 0.83、F1 分数为 0.86，并且与孤立方法相比，误报率降低了 38.2%。同时，平均检测时间（MTTD）从 6.1 分钟降至 4.2 分钟。研究结果表明，基于 TTP 图的语义关联与多层遥测相结合，是一种有前景的方法，可在复杂企业场景中提升现代 SOC 的运营效能。
Read paper →Detection标题：基于贝叶斯遥测融合与攻击时序图的自适应多级网络威胁检测
标题：基于贝叶斯遥测融合与攻击时序图的自适应多级网络威胁检测 摘要：当代数字基础设施日益复杂，其特征包括混合云环境、分布式架构以及海量运行遥测流，这给网络威胁的早期检测带来了重大挑战。传统基于确定性规则的安全信息与事件管理（SIEM）系统在识别多阶段攻击活动方面存在结构性局限，尤其是在对手利用合法凭证、隐蔽横向移动和规避技术时。与此同时，纯粹基于机器学习的方法往往会因分布漂移而性能退化，并且缺乏运行层面的可解释性。本文提出一种自适应多级检测架构，将证据的增量式贝叶斯融合与基于攻击时序图的结构建模相结合。该方案能够关联来自终端、网络、身份和云环境的异构遥测数据，同时保持事件之间显式的时间依赖关系，并与 MITRE ATT&CK 分类体系保持语义对齐。我们将该问题形式化为对动态图 G_t=(V_t,E_t,w_t) 中攻击链的概率推断，其中权重表示恶意行为的条件概率。我们开发了一种增量贝叶斯更新机制，可处理超过每分钟 10^6 条事件的流量，同时保持概率收敛并降低运行时延。该实现基于 Apache Kafka 和 Apache Flink 的流式处理架构，采用 Neo4j 进行图持久化，并使用 RocksDB 进行状态管理。实验评估使用了 UNSW-NB15、CIC-IDS2017 数据集以及一个包含约 4 亿条事件的匿名化企业语料库。与基于规则的方法、Random Forest 和 LSTM 网络相比，所提方法取得了 0.91 的平均精确率、0.88 的召回率和 0.89 的 F1-score，同时相较于传统 SIEM 系统将误报率降低了 42%。结果表明，将遥测数据的概率融合与攻击链的结构化表示相结合，可显著提升鲁棒性、可解释性和可扩展性。我们还讨论了其对现代云安全架构、与 CNAPP 平台集成以及与对手假设预建模相关的局限性。
Read paper →Detection标题：基于语义关联、多源遥测与自适应统计模型的高级威胁主动检测多层混合架构
标题：基于语义关联、多源遥测与自适应统计模型的高级威胁主动检测多层混合架构 摘要：高效检测高级威胁仍然是当代网络安全中的主要运营挑战之一。现代企业环境以混合基础设施为特征，结合本地部署（on-premise）资源、公有云和容器化工作负载，产生来自端点、网络和身份平台的大量异构遥测数据。在此背景下，仅基于签名的传统检测机制在面对多阶段攻击、无文件（fileless）恶意软件以及“living-off-the-land”技术时表现出显著局限性。本文提出一种用于高级威胁主动检测的多层混合架构，集成基于 MITRE ATT&CK 本体的语义关联、事件时间分析以及自适应统计模型，用于识别异常行为。我们将检测问题形式化为对异构事件流中攻击链的概率推断，并考虑延迟和可接受误报率等运行约束。所提出的架构将检测过程组织为三层：(i) 收集并规范化来自网络传感器、端点代理和身份日志的多源遥测；(ii) 基于 ATT&CK 技术图的语义关联，能够识别合理的对手活动序列；以及 (iii) 使用异常检测算法（如 Isolation Forest）的自适应统计建模，以识别此前未观察到的行为偏移。我们使用 Elastic Stack、Suricata、Sysmon 和 Wazuh 实现了一个可运行原型，并通过 MISP 集成威胁情报源。实验评估在一个受控环境中进行，该环境包含多台 Windows 和 Linux 虚拟机，并执行了文献中广泛记录的真实攻击场景，使用的工具包括 Metasploit、Cobalt Strike 和 Mimikatz。结果表明，与仅基于网络 IDS 的方法相比，该方案在平均检测时间（MTTD）方面有显著提升，同时 ATT&CK 技术覆盖率更高。我们观察到 MTTD 约降低 37%，检测到的技术覆盖率提升 21%。结果表明，将语义关联、统计分析与分布式遥测相结合的混合架构，是现代 Security Operations Center（SOC）运营的一种有前景的方法，尤其适用于混合与 cloud-native 环境。
Read paper →Secrets标题：云原生环境中秘密管理与泄露检测的形式化与操作化架构：一种基于遥测、静态分析与威胁狩猎的集成方法
标题：云原生环境中秘密管理与泄露检测的形式化与操作化架构：一种基于遥测、静态分析与威胁狩猎的集成方法 摘要：敏感秘密的非授权暴露——包括 API 密钥、凭证、OAuth 令牌、私钥证书以及加密秘密——是云原生和 DevSecOps 环境中导致失陷的主要原因之一。近期涉及 AWS 密钥、GitHub 令牌及硬编码凭证泄露的事件表明，随着微服务、CI/CD 和基础设施即代码的采用，与秘密管理不当相关的攻击面呈比例增长。本文提出一种用于秘密泄露预防、检测与响应的集成架构，结合静态代码分析、运行时监控、流量检查、与 MITRE ATT&CK 的关联分析，以及一个基于熵和时间暴露的形式化风险模型。我们的方法包括：(i) 用于量化已暴露秘密风险的数学模型；(ii) 基于启发式规则与轻量级监督学习的检测算法；以及 (iii) 与 GitLeaks、TruffleHog、HashiCorp Vault、Suricata、Sigma 和 SIEM 等工具的操作集成。我们实现了一个功能性原型，并在 12 个具有已知泄露历史的开源仓库以及一个包含 48 个微服务的 Kubernetes 环境中进行了测试。结果显示，平均检测时间（MTTD）降低了 87%，凭证的平均时间暴露减少了 72%，误报率低于 4.8%。我们还证明了秘密泄露与 MITRE ATT&CK 中的 T1552（Unsecured Credentials）和 T1078（Valid Accounts）技术之间存在直接关联。该研究为进攻性与防御性安全团队提供了实践性贡献，包括操作流程、客观指标以及用于系统性风险缓解的技术建议。本研究为希望从技术与操作视角提升其秘密管理（Secret Management）成熟度的组织建立了一个可复制的框架。
Read paper →Secrets标题：多云和 DevSecOps 环境中秘密泄露管理、检测与响应的形式化与操作架构
标题：多云和 DevSecOps 环境中秘密泄露管理、检测与响应的形式化与操作架构 摘要：对“秘密”——加密密钥、API 令牌、凭据、证书、Kubernetes secrets 以及嵌入代码中的敏感材料——的不当暴露，已成为当前安全事件中初始入侵的主要原因之一。最新报告显示，超过 80% 的泄露事件涉及凭据滥用（VERIZON，2023），而实证研究表明，Git 仓库中公开暴露的秘密数量达数百万（MELARA et al., 2019）。本文提出一种面向多云环境和 DevSecOps 流水线中秘密泄露管理、检测与响应的形式化与操作架构。我们的方法将问题形式化建模为一个秘密资产暴露的动态系统，结合混合检测算法（结构化正则表达式、熵分析、监督式机器学习和上下文启发式规则），并与 GitGuardian、TruffleHog、Gitleaks、HashiCorp Vault、AWS Secrets Manager、Suricata 和 Sigma 等工具集成，同时引入自动化轮换与吊销机制。我们在包含 120 万条公开和私有提交、87,341 个真实秘密以及 120,000 个合成样本的数据集上对该方案进行了实验评估，获得了 97.3% 的精确率、94.8% 的召回率，并与人工流程相比将平均遏制时间（MTTC）降低了 63%。我们还证明，与基于 OPA 的策略和即时（Just-in-Time）控制的集成，可减少与 MITRE ATT&CK TTPs 相关的攻击面，例如 T1552（Unsecured Credentials）和 T1078（Valid Accounts）。该研究还包括一个涉及 AWS IAM 密钥外泄的真实事件响应案例，详细描述了攻击链、取证指标和根除过程。我们得出结论：有效的秘密管理需要一种系统性方法，将数学形式化、安全工程、持续监控和响应自动化相结合，并为攻防安全团队提供实践指导。
Read paper →Secrets标题：云原生生态系统中用于密钥管理、检测与自动化轮换的形式化且可扩展架构
标题：云原生生态系统中用于密钥管理、检测与自动化轮换的形式化且可扩展架构 摘要：数字密钥——包括密码学密钥、API token、服务凭据和证书——构成了现代分布式系统信任的基础。密钥泄露一贯位列安全事件的主要成因之一，带来重大的财务和运营影响。本文提出一种面向云原生环境的形式化且可扩展的密钥管理、检测与自动化轮换架构，集成静态分析、行为监测以及派生与分隔的密码机制。我们的方法结合了：(i) 基于时序自动机的密钥生命周期形式化模型，(ii) 融合自适应熵与监督学习的混合泄露检测算法，以及 (iii) 一个兼顾可用性与原子性保证的一致性轮换协议。我们在 Kubernetes 上实现了一个可运行原型，并与 HashiCorp Vault、SPIFFE/SPIRE 和 GitHub Advanced Security 集成。我们在包含 1240 万个代码工件和 31 亿条审计事件的数据集上评估了该方案，并将其与市场工具（TruffleHog、GitLeaks、AWS Secrets Manager）进行了比较。结果表明，平均撤销时间（MTTR-S）降低了 47.3%，凭据残余暴露减少了 62.8%，误报率为 3.9%，低于仅基于正则表达式的方法（12.7%）。在生产负载下，运行开销保持在 4.6% CPU 以内。我们的研究结果表明，对密钥生命周期进行形式化建模，并通过密码学基础上的自动化实现其轮换，是提升关键基础设施韧性的重大进展。本文的核心贡献在于将形式化模型、系统工程与大规模实证评估统一起来，为缓解分布式环境中与密钥相关的系统性风险提供了一个严谨的框架。
Read paper →Secrets标题：云原生环境中的秘密管理运营工程：形式化建模、自动化检测与泄露响应
标题：云原生环境中的秘密管理运营工程：形式化建模、自动化检测与泄露响应 摘要：秘密的暴露——加密密钥、API token、服务凭据、证书以及应用程序秘密——已成为现代企业环境中最普遍的入侵向量之一，尤其是在 cloud-native 和 DevSecOps 架构中。近期事件表明，秘密泄露会导致完整的入侵链条，涉及横向移动、数据外泄和 ransomware。本文从运营视角研究秘密管理、检测与泄露响应问题，提出一种集成架构，将敏感资产的形式化建模、CI/CD 流水线中的自动化扫描、运行时行为检测以及自动化密码轮换相结合。 我们的方法论基于三个支柱：(i) 将秘密生命周期形式化建模为一个动态系统 S = (K, U, P, T)，其中 K 表示秘密集合，U 表示授权用户/进程，P 表示策略，T 表示状态转换；(ii) 采用混合检测机制，将静态规则（regex、Shannon 熵）与监督学习模型相结合，用于制品分类；(iii) 构建自动化响应框架，集成 HashiCorp Vault、Kubernetes、Suricata 和 Sigma，用于撤销与持续监控。我们在一个受控环境中对该方案进行了评估，包含 1,200 个 Git 仓库和 3.8 TB 的运行日志，并与 TruffleHog、GitLeaks 和 detect-secrets 等工具进行比较。 结果表明，相较于人工基线，平均检测时间（MTTD）降低了 82%，平均修复时间（MTTR）降低了 67%。采用所提出的混合模型后，误报率从 14.2% 降至 4.8%。此外，自动化轮换将平均暴露窗口从 19.4 天缩短至 3.1 小时。我们得出结论：这种集成且形式化的方法能够显著提升秘密管理的运营成熟度，并为进攻性与防御性安全团队带来可衡量的收益。
Read paper →Phishing标题：基于形式化威胁建模与多层关联的混合式网络钓鱼检测与响应架构
标题：基于形式化威胁建模与多层关联的混合式网络钓鱼检测与响应架构 摘要：网络钓鱼仍然是企业入侵活动中最普遍的初始入侵向量，根据近期事件响应报告，其占据了涉及初始访问的事件的70%以上。尽管基于信誉的过滤、DMARC和启发式检测不断发展，现代攻击仍利用 domain shadowing、对抗性机器学习、受损的合法基础设施以及多态钓鱼工具包等技术，绕过传统防御。本文提出一种基于形式化威胁建模、多层关联（电子邮件、DNS、HTTP、端点）和上下文行为分析的混合式网络钓鱼检测与响应架构。我们将该问题形式化为在对抗性不确定性下的监督分类任务，并将攻击者建模为具备自适应能力的行为体，其能力与 MITRE ATT&CK T1566（Phishing）和 T1204（User Execution）技术相一致。我们的方法整合了 URL 静态分析、基于 TF-IDF 向量与 embeddings 的 HTML 内容分类、基础设施特征提取（WHOIS、ASN、域名年龄）、TLS 检查，以及通过 Sysmon 和 EDR 获取的端点遥测。我们使用 Postfix、OpenDMARC、Suricata、Zeek、Elastic Stack、YARA 和 Sigma 实现了该系统，并通过 Python 管道及 Kafka 集成进行编排。我们在由 120 万封电子邮件（Enron 语料库 + PhishTank feeds + Spamhaus DBL）和 8.5 万个恶意 URL 样本组成的数据集上评估了该方案，并与仅基于 SPF/DKIM/DMARC 和贝叶斯过滤器的基线方法进行了比较。结果显示，系统的检测率达到 97.8%，误报率为 0.9%，平均召回率较基线提升 18.4%。端到端平均检测时间为每条消息 420 ms，并在通用商用基础设施上保持了 12,000 封电子邮件/分钟的吞吐量。通过一个现实化案例研究，我们证明多层关联可将 BEC（Business Email Compromise）场景中的 dwell time 从 48 小时缩短至不足 3 小时。我们得出结论：形式化建模、上下文遥测与自动化响应的结合，对于应对高度自适应的现代网络钓鱼至关重要。
Read paper →Phishing标题：基于多层关联、威胁情报与形式统计模型的钓鱼检测与缓解混合架构
标题：基于多层关联、威胁情报与形式统计模型的钓鱼检测与缓解混合架构 摘要：钓鱼仍然是网络安全事件中最常见的初始入侵向量，占企业受侵害、凭证外泄以及后续勒索软件部署的很大比例。近期行业报告表明，超过36%的已确认入侵涉及社会工程和定向钓鱼技术，通常与 MITRE ATT&CK 中的 T1566（Phishing）和 T1204（User Execution）技术相关。本文提出一种基于电子邮件、域名、网络基础设施和用户行为指标之间多层关联的钓鱼检测与缓解混合架构，将形式统计模型与基于威胁情报的规则相结合。 我们将该问题形式化建模为一个二元分类函数 f: X → {0,1}，其中 X 表示由语法、语义、时间和信誉属性组成的特征向量。我们开发了两个核心算法：（i）一种带自适应归一化的特征提取机制；（ii）一种将 Random Forest 与 YARA 和 Sigma 规则结合用于上下文增强的混合分类器。该方案使用真实运行工具实现，包括 Postfix、Suricata、MISP、Elastic Stack，以及使用 Python 和 Scikit-learn 训练的模型。 实验评估基于真实企业环境中六个月内收集的 120 万封电子邮件进行，其中包括 48,372 个已确认的钓鱼样本。我们的模型实现了 97.83% 的检测率、1.94% 的误报率以及 0.992 的 AUC。与仅基于信誉以及 SPF/DKIM/DMARC 的过滤器相比，我们观察到账户接管（Account Takeover）事件减少了 42%。 结果表明，结合威胁情报与统计形式化的多层关联可显著提升组织对现代钓鱼活动的韧性，包括鱼叉式钓鱼和新注册域名攻击。本文贡献了一种可复现的方法、稳健的定量评估以及面向 SOC 和 red team 的操作性建议。
Read paper →Phishing标题：网络钓鱼活动中的形式化建模、多层检测与事件响应：一种集成的密码取证方法
标题：网络钓鱼活动中的形式化建模、多层检测与事件响应：一种集成的密码取证方法 摘要：网络钓鱼仍然是当代数字生态系统中最普遍且经济影响最为显著的攻击向量之一。尽管在电子邮件过滤、域认证（SPF、DKIM、DMARC）和用户培训方面取得了实质性进展，现代攻击活动已演变为融合高度个性化的社会工程技术、基于云的短暂基础设施、对合法服务的滥用以及对端到端加密通道的利用。在本文中，我们提出一种集成方法，将威胁形式化建模、加密认证与验证技术、多层行为分析以及结构化事件响应流程结合起来。不同于将检测与响应割裂处理的研究，我们提出一个统一框架，将理论基础——包括安全博弈与归约论证——与具体操作实践连接起来，例如 YARA、Sigma 规则和 Suricata 签名。 我们的贡献包括：(i) 将网络钓鱼形式化为一个概率性对抗博弈，其中包含社会工程预言机和认证通道；(ii) 一个将对手能力划分为四个渐进层级的分类模型；(iii) 一个带有复杂度分析的多层相关性算法；(iv) 两项案例研究分析——金融行业和医疗行业——并附有详细的操作流程；以及 (v) 域认证策略形式化验证的指导原则。我们讨论了诸如 DMARC 之类机制的结构性局限，以及广泛使用 TLS 对防御性检查所产生的影响。 定性实验评估比较了基于签名、监督学习和行为检测的方法，并讨论了其对同形异义攻击、滥用新注册域名以及使用合法服务（例如云存储平台）等规避手段的敏感性。我们不提供虚构指标；相反，我们的分析建立在同行评审文献和公认技术报告之上。 我们认为，有效缓解网络钓鱼需要应用密码学、认证策略的形式化验证、威胁情报与事件响应工程之间的整合。最后，我们提出一项研究议程，包括基于 FIDO2 的强身份认证、借助 TLA+ 等工具对 DMARC 策略进行形式化验证，以及集成基于图的检测以建模协同攻击活动。
Read paper →Phishing标题：基于多层关联、监督学习和端点遥测的混合式网络钓鱼检测与响应架构
标题：基于多层关联、监督学习和端点遥测的混合式网络钓鱼检测与响应架构 摘要：网络钓鱼仍然是网络安全事件中最普遍的初始访问向量，对相当大比例的数据泄露、凭证泄露以及勒索软件部署负有责任。近期行业报告表明，超过35%的已分析事件涉及与 MITRE ATT&CK 框架中 T1566（Phishing）相关的技术，且常与 T1059（Command and Scripting Interpreter）和 T1078（Valid Accounts）结合使用。本文提出一种混合式网络钓鱼检测与响应架构，整合多层关联（电子邮件、DNS、HTTP、端点）、监督式机器学习模型以及威胁情报丰富化。该方法结合了对工件（URL、附件、SMTP 头部）的静态与动态分析、词法与行为特征提取，以及基于事件图的时间相关性分析。 我们使用 Postfix、Suricata、Zeek、Elastic Stack、MISP、YARA 以及基于 Sysmon 的端点代理实现了一个可运行原型。我们在受控环境中对系统进行了评估，样本包含120万封电子邮件，其中86,000封被标注为网络钓鱼样本（来自 PhishTank 数据和匿名化内部语料）。Random Forest 模型取得了97.3%的准确率、96.1%的精确率和94.8%的召回率，在检测率方面比仅基于信誉的方法高出18.4%。与单独的电子邮件检查相比，多层关联将误报率降低了32%。 通过一个涉及利用 Microsoft 365 凭证的真实鱼叉式网络钓鱼活动的案例研究，我们证明所提出的方法将平均检测时间（MTTD）从4小时12分钟缩短至11分钟。结果表明，端点遥测、行为分析与上下文情报的集成对于缓解现代网络钓鱼活动至关重要，尤其是那些使用短生命周期基础设施以及基于 HTTPS 和新注册域名的规避技术的攻击。
Read paper →Research标题：一种基于多层时间关联与鲁棒统计学习的形式化、可扩展主动威胁检测架构
标题：一种基于多层时间关联与鲁棒统计学习的形式化、可扩展主动威胁检测架构 摘要：多阶段攻击活动日益复杂，其特征包括隐蔽的横向移动和对零日漏洞的利用，这给基于签名或静态规则的传统检测机制带来了重大挑战。在本文中，我们提出一种用于主动威胁检测的形式化架构，将多层时间关联与面向事件的鲁棒统计建模相结合。我们的方法融合因果依赖图、行为嵌入和贝叶斯推断，以识别与 MITRE ATT&CK 技术相关的攻击链，即使在噪声和对抗性规避条件下亦然。我们将该问题形式化为对动态图 G_t = (V_t, E_t) 的推断任务，并证明检测可建模为在结构约束下的似然最大化。我们实现了一个分布式原型系统，能够在 12 节点集群中每秒处理 180 万个事件。我们使用 DARPA TC、UNSW-NB15 数据集以及包含 42 亿个事件的真实企业环境轨迹对系统进行了评估。与传统 SIEM 和纯 LSTM 模型相比，我们的方案将误报率降低了 37.4%，将平均 F1-score 从 0.81 提升至 0.92，并以 4.3 秒的平均延迟检测到横向移动。我们还证明了该方案对与 T1027 和 T1070 战术相关的混淆技术具有鲁棒性。结果表明，在大规模环境中应对高级持续性威胁时，严格的数学形式化与分布式系统工程的结合至关重要。
Read paper →Research标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测
标题：基于多层级遥测与时间相关性的混合架构，用于企业环境中高级持续性威胁的主动检测 摘要：高级持续性威胁（APT）的检测仍然是网络安全领域中最严峻的运维挑战之一，尤其是在结合本地部署基础设施、云端工作负载以及分布式端点的混合企业环境中。Mandiant 和 Verizon 的最新报告表明，复杂攻击者的平均停留时间（dwell time）在成熟环境中仍然超过 16 天，而在可见性较低的组织中甚至可能超过 200 天。本文提出一种基于多层级遥测与概率时间相关性的混合架构，用于 APT 的主动检测，整合网络日志（Suricata）、端点遥测（Sysmon）、易失性内存分析（Volatility）、行为规则（Sigma）以及自定义签名（YARA），并通过一个形式化的加权有向时间图模型进行联合分析。我们的方法引入一种基于时间中心性和与 MITRE ATT&CK 框架对齐的 TTP 串联的风险评分机制，将其建模为动态图中关键路径检测问题。我们在一个包含 12 个真实攻击场景的实验环境中评估了该方案（包括对 APT29、FIN7 的模拟以及对 CVE-2021-44228 – Log4Shell 的利用），共采集了 60 天内累计 4.3 TB 的遥测数据。结果表明，该方法的检测率（TPR）达到 94.7%，误报率（FPR）为 3.2%，优于仅基于规则的方法（TPR 71.4%）以及孤立的机器学习模型（TPR 88.1%）。平均检测时间从 11.2 天缩短至 36 小时。其主要贡献在于对面向 TTP 的时间相关性进行了数学形式化，并在现实可行的运行环境中完成了实践验证。我们证明，异构遥测与时间建模之间的结构化集成能够显著提升防御能力，并为 SOC（Security Operations Centers）和威胁狩猎团队提供直接的实践意义。
Read paper →