Research / Paper Files
Paper Files
Paper Files 是一种持续进行 cybersecurity 学习的个人实践，它将科学方法作为学习工具。每篇文章都不是为了学术发表而写，而是作为一种有意为之的练习，用来磨快斧头——深化对特定主题的知识，以严谨的方式组织想法，并观察对某些主题的理解如何随时间发展。它相当于一本训练日志的知识版：每一条记录所学内容、分析方式以及得出的结论。
我强烈建议安全专业人员采用这种方法。选择一个你想精通的主题，研究一手资料（RFC、论文、官方文档），按照引言、方法、分析和结论来组织文本，并像是在向同事解释一样写作。写作本身会迫使你思路清晰，并暴露出被动阅读无法揭示的理解空白。把本网站上的文章作为格式和深度的示例，并建立你自己的收藏——随着时间推移，你会拥有一个个人的精炼知识库，这是任何课程或认证都无法取代的。
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →178 papers
标题：一种基于威胁建模和持续风险分析的 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的框架
标题：一种基于威胁建模和持续风险分析的 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的框架 摘要：DevOps 实践的日益采用从根本上改变了软件开发生命周期，但也由于广泛自动化、基础设施即代码以及复杂供应链的引入而带来了新的攻击向量。尽管 DevSecOps 提议将安全持续集成到开发管道中，大多数实现仍然是临时性的，缺乏数学形式化、严格的威胁建模以及自适应的控制优先级机制。本文提出一种用于 DevSecOps 管道中安全控制自适应编排的形式化框架，基于概率风险建模并与 MITRE ATT&CK 矩阵集成。我们正式定义了在延迟和计算成本约束下最小化残余风险的问题，将管道建模为一个带有与各阶段关联风险函数的有向无环图。我们开发了两个主要算法：(i) 一种基于期望边际风险的安全检查动态优先级机制；以及 (ii) 一种可根据执行遥测在运行时重新配置管道的自适应编排器。我们在 GitLab CI/CD、Kubernetes 以及 SAST、DAST、SCA 和 IaC 扫描器等工具上实现了该框架，并在 312 个企业仓库、共 480 万行代码上进行了评估。结果表明，与传统静态管道相比，总管道时间平均减少 37.4%，估计残余风险降低 52.1%，误报减少 41.3%。此外，我们观察到平均修复时间（MTTR）提升 29.6%。结果表明，DevSecOps 编排的数学形式化能够同时带来安全性和运营效率的提升，有助于该领域的科学化巩固。
Read paper →DevSecOps标题：用于云原生 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的架构
标题：用于云原生 DevSecOps 管道中安全控制自适应编排的形式化且经定量评估的架构 摘要：在 DevOps 实践推动下，软件交付周期的加速引入了一个结构性悖论：开发时间的缩短扩大了攻击面并提高了漏洞引入频率。DevSecOps 作为应对方案应运而生，将安全控制集成到持续集成与持续交付（CI/CD）管道的各个阶段。然而，现有方法仍主要依赖启发式策略，缺乏严格形式化、系统化威胁建模以及全面的定量评估。本文提出一种用于云原生 DevSecOps 管道中安全控制自适应编排的形式化架构，基于风险数学建模与多目标优化。我们的方法结合静态分析（SAST）、动态分析（DAST）、依赖项扫描（SCA）、基础设施即代码（IaC）分析以及基于 MITRE ATT&CK 的行为检测，并通过基于风险函数 R = P · I · E 的优先级机制进行集成，其中 P 表示可利用概率，I 表示影响，E 表示时间暴露。我们在 Kubernetes 上使用 GitLab CI、SonarQube、OWASP ZAP、Trivy 和 Open Policy Agent 实现了一个原型，并在 42 个真实微服务（约 180 万行代码）上进行了评估。结果表明，平均修复时间（MTTR）降低了 37.4%，生产环境中的关键漏洞（CVSS ≥ 9.0）减少了 29.1%，且管道平均开销低于 11.6%。与传统 DevSecOps 管道相比，我们观察到优先级判定准确率提升了 22.8%，可操作性假阳性减少了 31.5%。我们证明了安全编排的数学形式化能够在严格性与敏捷性之间实现平衡，在不影响交付吞吐量的前提下，为风险降低提供可度量的保证。本文贡献包括：(i) 一个面向 DevSecOps 的连续风险形式化模型，(ii) 具有复杂度分析的自适应编排算法，以及 (iii) 基于可复现实数量数据的大规模实证评估。
Read paper →DevSecOps基于策略即代码并具有可度量安全保障的DevSecOps流水线的形式化编排与定量评估
TITLE: 基于策略即代码并具有可度量安全保障的DevSecOps流水线的形式化编排与定量评估 ABSTRACT: DevOps实践的日益普及改变了软件开发生命周期，但通过引入高度自动化的流水线、短暂性基础设施以及第三方依赖的持续集成，也显著扩大了攻击面。近期涉及供应链被攻破的事件——如SolarWinds和Log4Shell（CVE-2021-44228）——表明，如果在开发流程中缺乏集成的安全控制，将会导致大规模的系统性影响。本文提出一种基于策略即代码（Policy-as-Code）的DevSecOps形式化框架，提供可度量的合规性与风险降低保障。我们的方法将流水线形式化建模为有向无环图，通过声明式约束对安全属性进行验证，并结合基于CVSS指标和MITRE ATT&CK威胁情报的自适应漏洞优先级机制。 我们实现了一个与Kubernetes环境、GitLab CI/CD以及Open Policy Agent（OPA）、Trivy和SonarQube等工具集成的原型系统。我们在42个真实的开源项目上对系统进行了评估，总计涵盖380万行代码和12,614个容器镜像。结果表明，平均修复时间（MTTR）降低了47.3%，生产环境中引入关键漏洞的比例减少了62.8%，而流水线总执行时间的开销低于8.4%。此外，我们还证明，对安全属性进行形式化可以在部署阶段之前检测到91.6%的策略违规。 我们得出结论：在DevSecOps流水线中系统性地集成轻量级形式化验证与自适应优先级机制，能够在不牺牲运行敏捷性的前提下带来显著的可量化安全收益，从而为高速环境中的安全软件工程建立一种可度量且可复现的范式。
Read paper →DevSecOps标题：基于策略即代码的 DevSecOps 流水线的形式化编排与定量评估：具有可度量安全保证
标题：基于策略即代码的 DevSecOps 流水线的形式化编排与定量评估：具有可度量安全保证 摘要：DevOps 实践的日益采用改变了软件开发生命周期，但也通过引入高度自动化的流水线、短暂性基础设施以及第三方依赖项的持续集成，显著扩大了攻击面。近期涉及供应链被攻破的事件——如 SolarWinds 和 Log4Shell（CVE-2021-44228）——表明，若未将安全控制集成到开发流程中，将会导致大规模系统性影响。本文提出一种面向 DevSecOps 的形式化框架，基于策略即代码（Policy-as-Code），以实现可度量的合规性与风险降低保障。我们的方法将流水线建模为有向无环图，通过声明式约束进行安全属性验证，并采用一种基于 CVSS 指标和 MITRE ATT&CK 威胁情报的自适应漏洞优先级排序机制。 我们实现了一个集成于 Kubernetes、GitLab CI/CD 以及 Open Policy Agent（OPA）、Trivy 和 SonarQube 等工具中的原型系统。我们在 42 个真实开源项目上对该系统进行了评估，总计覆盖 380 万行代码和 12,614 个容器镜像。结果表明，平均修复时间（MTTR）降低了 47.3%，生产环境中关键漏洞的引入减少了 62.8%，且总流水线执行时间的额外开销低于 8.4%。此外，我们还证明了，对安全属性的形式化可在部署阶段之前检测出 91.6% 的策略违反。 我们得出结论：在 DevSecOps 流水线中系统性集成轻量级形式化验证与自适应优先级排序，能够在不损害运营敏捷性的前提下带来显著的定量安全收益，并为高速环境中的安全软件工程建立一种可度量、可复现的范式。
Read paper →DevSecOps题目：一种形式化奠基的用于 DevSecOps 控制自适应编排的架构，具有攻击面降低的定量保证
题目：一种形式化奠基的用于 DevSecOps 控制自适应编排的架构，具有攻击面降低的定量保证 摘要：DevOps 流水线的加速采用显著扩大了企业系统的攻击面，引入了与软件供应链、短暂配置以及仪表化不足的持续集成相关的攻击向量。尽管 DevSecOps 范式提出将安全机制持续集成到开发生命周期中，现有文献仍缺乏能够在现实对手和可复现实测指标下量化其有效性的形式化模型。本文提出一种具有显式数学基础的自适应 DevSecOps 架构，用于实现可度量的风险降低，并将其建模为一个受操作约束的优化问题。我们将流水线形式化为有向无环图 G = (V,E)，其各阶段关联风险函数，并定义基于可被利用漏洞、按 CVSS 严重性加权且通过 MITRE ATT&CK 数据估计利用概率的复合攻击面度量 A(G)。我们在 Kubernetes 环境中实现了该架构，并集成了 GitLab CI、SonarQube、OWASP ZAP、Trivy 和 HashiCorp Vault 等工具。我们在 120 个开源项目和 18 个企业应用上评估了该系统，总代码量达 320 万行。结果表明，在关键漏洞暴露方面（CVSS ≥ 9.0）平均降低了 47.3%，平均修复时间（MTTR）减少了 38.6%，且在总构建时间上的运行开销低于 8.4%。与静态 DevSecOps 流水线相比，我们的自适应机制在可被利用的配置错误的预防性阻断率方面表现出统计显著的提升（p < 0.01）。我们得出结论，定量形式化不仅能够在经济上论证采用 DevSecOps 的合理性，还能够在高频部署环境中动态优化安全控制。
Read paper →DevSecOps一种具有形式化基础并提供攻击面降低定量保证的DevSecOps控制自适应编排架构
TITLE: 一种具有形式化基础并提供攻击面降低定量保证的DevSecOps控制自适应编排架构 ABSTRACT: DevOps流水线的加速采用显著扩大了企业系统的攻击面，引入了与软件供应链、短暂配置以及监控不足的持续集成相关的攻击向量。尽管DevSecOps范式主张将安全机制持续集成到开发生命周期中，但现有文献缺乏能够在现实对手模型和可复现指标下量化其有效性的形式化模型。本文提出一种自适应DevSecOps架构，其具有明确的数学基础，可实现可度量的风险降低，并被建模为在操作约束下的优化问题。我们将流水线形式化为一个有向无环图 G = (V,E)，并为每个阶段关联风险函数，同时定义一种复合攻击面度量 A(G)，该度量基于可利用漏洞，并按CVSS严重性和通过MITRE ATT&CK数据估计的利用概率进行加权。我们在Kubernetes环境中实现了该架构，并集成了GitLab CI、SonarQube、OWASP ZAP、Trivy和HashiCorp Vault等工具。我们在120个开源项目和18个企业应用上评估了该系统，总计3.2百万行代码。结果表明：关键漏洞暴露（CVSS ≥ 9.0）平均降低47.3%，平均修复时间（MTTR）减少38.6%，而构建总时间的运行开销低于8.4%。与静态DevSecOps流水线相比，我们的自适应机制在可利用配置错误的预防性阻断率方面表现出统计显著的提升（p < 0.01）。我们得出结论：定量形式化不仅能够为DevSecOps的采用提供经济上的合理性依据，还能够在高频部署环境中动态优化安全控制。
Read paper →AppSec标题：基于混合分析、定量威胁建模和风险驱动编排的持续 AppSec 形式化架构
标题：基于混合分析、定量威胁建模和风险驱动编排的持续 AppSec 形式化架构 摘要：现代软件生态系统日益复杂——由微服务、公开暴露的 API、开源依赖以及高度自动化的 CI/CD 流水线构成——显著扩大了应用程序的攻击面。诸如 Log4Shell（CVE-2021-44228）以及反复出现的注入和访问控制不当等漏洞表明，传统应用安全（AppSec）方法在面对自适应对手时仍然不足。本文提出一种集成式持续 AppSec 架构，将静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）和定量威胁建模相结合，并通过风险驱动的编排机制加以耦合。我们将漏洞优先级排序问题形式化为一个受操作约束的多目标优化问题，将风险建模为 R = P(E) × I，其中 P(E) 是基于威胁情报估计的利用概率，I 是通过 CVSS 指标和资产关键性度量的影响。我们在一个 DevSecOps 流水线上实现了原型，并与 GitHub Actions、SonarQube、OWASP ZAP 和 dependabot 集成，在 47 个真实开源应用中进行了评估。结果表明，与传统的非风险驱动流水线相比，该方案在平均修复时间（MTTR）上降低了 38.7%，关键漏洞检测率提高了 24.3%，并将错误优先级排序的误报率降低了 41.2%。其核心贡献在于对优先级排序的数学形式化以及持续的运行时集成，为安全态势改进提供了可度量的保证。结果表明，将定量模型纳入 AppSec 工具编排中，是提升现代开发环境安全成熟度的重要进展。
Read paper →AppSec一种基于混合分析、定量威胁建模与风险导向编排的持续化应用安全形式化架构
一种基于混合分析、定量威胁建模与风险导向编排的持续化应用安全形式化架构 由微服务、公开暴露的API、开源依赖以及高度自动化的CI/CD流水线构成的现代软件生态系统日益复杂，显著扩大了应用程序的攻击面。诸如Log4Shell（CVE-2021-44228）等漏洞，以及反复出现的注入缺陷和访问控制不当问题表明，传统的应用安全（AppSec）方法在面对具有适应性的对手时仍然不足。本文提出一种集成的持续化AppSec架构，将静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及定量威胁建模相结合，并通过一个风险导向的编排机制进行耦合。我们将漏洞优先级排序问题形式化为在操作约束下的多目标优化问题，并将风险建模为 R = P(E) × I，其中 P(E) 表示基于威胁情报估计的利用概率，I 表示通过CVSS指标和资产关键性度量的影响。我们在一个DevSecOps流水线上实现了原型系统，并集成GitHub Actions、SonarQube、OWASP ZAP和dependabot，在47个真实开源应用上进行了评估。结果表明，与传统的非风险导向流水线相比，该方法使平均修复时间（MTTR）降低了38.7%，关键漏洞检测率提高了24.3%，且被错误优先化的误报减少了41.2%。本研究的核心贡献在于漏洞优先级排序的数学形式化以及持续化的运营集成，从而为安全态势改进提供可量化的保证。结果表明，在AppSec工具编排中引入定量模型，是提升现代开发环境安全成熟度的重要进展。
Read paper →AppSec一种形式化基础的持续应用安全架构：DevSecOps流水线中的威胁建模、混合分析与风险定量优先级排序
TITLE: 一种形式化基础的持续应用安全架构：DevSecOps流水线中的威胁建模、混合分析与风险定量优先级排序 ABSTRACT: 由分布式架构、微服务、第三方依赖以及持续交付周期所表征的软件生态系统复杂性的不断增长，显著扩大了现代应用程序的攻击面。Verizon Data Breach Investigations Report（DBIR）的最新报告表明，超过43%的安全泄露利用了Web应用中的漏洞，而国家漏洞数据库（NVD）在2023年记录了超过28,000个CVE，其中许多与可远程利用的缺陷相关。在本研究中，我们从形式化与系统化的视角研究应用安全（AppSec）问题，提出一种用于DevSecOps流水线中持续检测、优先排序与缓解漏洞的集成架构。我们的方法结合了静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）以及基于CVSS和组织情境化指标的概率风险建模。我们提出了一个基于函数 R(v) = P_e(v) · I(v) · C(v) 的漏洞优先级数学模型，其中 P_e 表示被利用的概率，I 表示技术影响，C 表示情境关键性。我们在42个开源应用和8个真实企业系统上评估了该方法，总计3.2百万行代码。结果表明，与仅基于SAST的传统流水线相比，该方法使平均修复时间（MTTR）降低37.4%，关键漏洞检测率提高29.1%，并将误报率降低41.8%。所提出的架构在构建时间上仅带来8.6%的平均开销，保持了运行可行性。我们得出结论：形式化导向的混合技术集成结合情境化的定量优先级排序，能够显著提升高频开发环境中AppSec项目的整体有效性。
Read paper →AppSec标题：面向持续应用安全的形式化基础架构：DevSecOps 管道中的威胁建模、混合分析与风险定量优先级排序
标题：面向持续应用安全的形式化基础架构：DevSecOps 管道中的威胁建模、混合分析与风险定量优先级排序 摘要：软件生态系统的复杂性日益增长，其特征包括分布式架构、微服务、第三方依赖以及持续交付周期，这显著扩大了现代应用程序的攻击面。Verizon Data Breach Investigations Report（DBIR）的最新报告指出，超过 43% 的泄露利用了 Web 应用程序中的漏洞，而 NVD 在 2023 年记录了超过 28,000 个 CVE，其中许多与可远程利用的缺陷相关。本文从形式化和系统化视角研究应用安全（AppSec）问题，提出了一种用于 DevSecOps 管道中漏洞持续检测、优先级排序与缓解的集成架构。我们的方法结合了静态分析（SAST）、动态分析（DAST）、软件组成分析（SCA）以及基于 CVSS 和组织上下文指标的概率风险建模。我们引入了一个基于函数 $R(v) = P_e(v) \cdot I(v) \cdot C(v)$ 的漏洞优先级排序数学模型，其中 $P_e$ 表示利用概率，$I$ 表示技术影响，$C$ 表示上下文关键性。我们在 42 个开源应用和 8 个真实企业系统上评估了该方法，总计 320 万行代码。结果表明，与仅基于 SAST 的传统管道相比，该方法将平均修复时间（MTTR）降低了 37.4%，将关键漏洞检出率提高了 29.1%，并将误报率降低了 41.8%。所提出的架构在构建时间上带来平均 8.6% 的开销，同时保持了运营可行性。我们得出结论：将形式化导向的混合技术与情境化的定量优先级排序相结合，可显著提升高开发频率环境中 AppSec 项目的有效性。
Read paper →AppSec基于证据的AppSec：用于DevSecOps流水线中持续漏洞分析的形式化且可扩展框架
TITLE: 基于证据的AppSec：用于DevSecOps流水线中持续漏洞分析的形式化且可扩展框架 ABSTRACT: 应用安全（Application Security – AppSec）已成为当代数字生态系统中的主要风险向量之一，这一趋势由微服务架构的广泛采用、持续集成以及开源依赖的大量使用所推动。诸如 Log4Shell (CVE-2021-44228) 和 Spring4Shell (CVE-2022-22965) 等被大规模利用的漏洞，揭示了传统静态分析（SAST）、动态分析（DAST）以及软件成分分析（SCA）方法在结构上的局限性。在本文中，我们提出一种面向持续AppSec的形式化、证据驱动框架，称为 EASE（Evidence-Aware Security Enforcement），该框架集成了增量式静态分析、数据流形式化建模以及基于运行遥测数据的概率化风险优先级排序。 我们的方法结合了一个风险数学模型 $R(v) = P_e(v) \cdot I(v) \cdot E(v)$，其中 $P_e$ 表示通过统计学习估计的漏洞被利用概率，$I$ 表示上下文影响，$E$ 表示通过运行时数据测量的动态暴露度。我们在真实的 CI/CD 流水线中实现了该框架，这些流水线包含 312 个代码仓库（Java、Python 和 Node.js），总计 4800 万行代码。 实验结果表明，与传统 SAST 工具相比，误报率平均降低 37.4%，平均修复时间（MTTR）减少 42.1%，并且能够提前检测到随后被归类为关键级别的 91% 漏洞（CVSS ≥ 9.0）。此外，与完整扫描相比，增量分析将执行时间减少了 58%。 本文的贡献包括：(i) 对 DevSecOps 环境中漏洞优先级排序问题的严格形式化；(ii) 具有正确性保证的高效增量分析算法；以及 (iii) 一项大规模实证评估，证明了在准确性和性能方面的显著提升。所提出的框架为基于真实风险的 AppSec 建立了定量基础，使应用安全更加接近以证据为导向的软件工程实践。
Read paper →AppSec基于图导向混合分析与风险定量优先级排序的Application Security（AppSec）形式化可扩展架构
TITLE: 基于图导向混合分析与风险定量优先级排序的Application Security（AppSec）形式化可扩展架构 ABSTRACT: 随着基于微服务的分布式应用以及与大规模开源依赖链的集成日益复杂，攻击面和可被利用漏洞的出现频率显著增加。近期与Log4Shell（CVE-2021-44228）以及不安全反序列化漏洞相关的安全事件表明，仅依赖静态或动态扫描的传统Application Security（AppSec）方法已难以满足需求。本文提出一种形式化且可扩展的AppSec架构，该架构基于图导向的混合分析方法，结合静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及通过语义依赖图和跨过程数据流实现的自动化威胁建模。我们引入一种用于风险定量优先级排序的数学模型，该模型整合了CVSS指标、通过统计学习估计的可利用概率以及调用图中的结构中心性。我们实现了一个分布式原型系统，能够分析超过500万行代码的应用程序，并处理120万个图节点，在CI/CD流水线中平均延迟为38分钟。 我们在42个关键开源项目（包括Apache Struts、Spring PetClinic和NodeGoat）上对系统进行了评估，共计9,317个已知漏洞。与传统SAST工具相比，我们的方法将误报率降低了37.4%，并将真实可利用漏洞路径的检测率提高了28.9%。在受控测试环境中，该优先级机制在两周的Sprint周期内将关键漏洞的修复率提高了41%。结果表明，在统一的图导向模型下对多种技术进行形式化整合能够显著提升精度、可扩展性和操作相关性，从而推动AppSec领域的技术进展，并促进安全在DevSecOps生命周期中的有效集成。
Read paper →AppSec标题：基于图驱动混合分析与定量风险优先级排序的 Application Security（AppSec）正式化可扩展架构
标题：基于图驱动混合分析与定量风险优先级排序的 Application Security（AppSec）正式化可扩展架构 摘要：分布式应用、基于微服务并集成大量 open source 依赖链的日益复杂性，显著扩大了攻击面以及可被利用漏洞的发生频率。近期与 Log4Shell（CVE-2021-44228）以及不安全反序列化漏洞相关的事件表明，传统仅依赖静态或动态单独扫描的 Application Security（AppSec）方法不足以应对当前挑战。本文提出一种正式化且可扩展的 AppSec 架构，基于图驱动的混合分析，结合静态分析（SAST）、动态分析（DAST）、软件成分分析（SCA）以及通过语义依赖图和跨过程数据流图实现的自动化威胁建模。我们引入一种用于定量风险优先级排序的数学模型，整合 CVSS 度量、由统计学习估计的可利用概率以及调用图中的结构中心性。我们实现了一个分布式原型系统，能够分析超过 500 万行代码的应用程序，在 CI/CD pipeline 中处理 120 万个图节点，平均延迟为 38 分钟。 我们在 42 个关键 open source 项目上评估了该系统（包括 Apache Struts、Spring PetClinic 和 NodeGoat），共计 9,317 个已知漏洞。与传统 SAST 工具相比，我们的方法将误报率降低了 37.4%，并将真实可利用数据流的检测率提高了 28.9%。在受控测试环境中，该优先级排序机制使关键漏洞在两周 sprint 周期内的修复率提高了 41%。结果表明，在统一的图驱动模型下正式整合多种技术，可在准确性、可扩展性和运营相关性方面带来显著提升，为 AppSec 的前沿发展以及安全在 DevSecOps 生命周期中的有效集成作出了贡献。
Read paper →DFIRDFIR中的形式化编排与证据概率分析：一种基于时序图的可扩展多源关联架构
TITLE: DFIR中的形式化编排与证据概率分析：一种基于时序图的可扩展多源关联架构 ABSTRACT: 数字取证与事件响应（DFIR）面临着由企业环境日益异构、数字证据易失性以及攻击者采用“living-off-the-land”技术和反取证规避手段所带来的结构性挑战。本文提出一种基于多源时序图的数字证据编排与概率关联形式化架构，并对事件重建问题进行显式数学建模。我们的方法整合了分布式采集、面向 MITRE ATT&CK 的语义规范化、因果图构建以及用于将事件归因于攻击链的贝叶斯推断。我们将该问题形式化为：在给定一组异构取证观测的情况下，最大化一系列失陷状态的后验概率。我们基于 Elastic Stack、Apache Kafka 和 Neo4j 构建了一个可运行原型，并在由 12 TB 真实日志和代表 18 种不同 ATT&CK 技术的合成轨迹组成的数据集上进行了评估。 实验结果表明，与基于规则的确定性方法相比，时间线重建精度提升了 27.4%，平均调查时间（MTTI）降低了 34.1%，在复杂攻击链识别方面 F1-score 提升了 22.8%。在每秒 15,000 个事件的负载下，该架构保持了低于 420 ms/事件的平均处理延迟，并且在扩展至 8 个处理节点时观察到线性可扩展性。我们得出结论：将概率形式化与时序图相结合，可在 DFIR 中带来显著的准确性和运行效率提升，为大规模数字取证调查的可靠与可审计自动化奠定了严格基础。
Read paper →DFIR标题：DFIR 中证据的形式化编排与概率分析：一种基于时序图的可扩展多源关联架构
标题：DFIR 中证据的形式化编排与概率分析：一种基于时序图的可扩展多源关联架构 摘要：数字取证与事件响应（DFIR）面临由企业环境日益异构、数字证据易失性以及采用“living-off-the-land”技术和反取证规避手段的对手所导致的结构性挑战。本文提出一种基于多源时序图的数字证据编排与概率关联形式化架构，并对事件重建问题进行显式数学建模。我们的方法整合了分布式采集、面向 MITRE ATT&CK 的语义规范化、因果图构建以及贝叶斯推理，用于将事件归因于攻击链。我们将该问题形式化为：在给定一组异构取证观测的条件下，最大化妥协状态序列的后验概率。我们在基于 Elastic Stack、Apache Kafka 和 Neo4j 的流水线上实现了一个可运行原型，并在由 12 TB 真实日志和表示 18 种不同 ATT&CK 技术的合成轨迹组成的数据集上进行了评估。 实验结果表明，与基于规则的确定性方法相比，该方法在时间线重建精度上提升了 27.4%，平均调查时间（MTTI）降低了 34.1%，在识别复杂攻击链方面的 F1-score 提高了 22.8%。在 15,000 事件/秒负载下，该架构保持了低于 420 ms/事件的平均处理延迟，并且在扩展至 8 个处理节点时观察到线性可扩展性。我们得出结论：概率形式化结合时序图能够在 DFIR 中带来显著的准确性和运营效率提升，并为大规模数字调查的可靠、可审计自动化奠定了严格基础。
Read paper →DFIR一种面向图的DFIR形式化且可扩展的架构：具有概率时间相关性与加密完整性保证
Title: 一种面向图的DFIR形式化且可扩展的架构：具有概率时间相关性与加密完整性保证 Abstract: 到2025年，计算环境的复杂性不断增长——其特征包括云原生架构、微服务、短暂性工作负载、DevSecOps流水线、混合环境以及与人工智能系统的集成——这为数字取证与事件响应（Digital Forensics and Incident Response，DFIR）学科带来了重大挑战。在存在时间不确定性、统计噪声以及日志可能被篡改的条件下，对涉及多个异构数据源的事件进行因果重建，在形式化视角下仍然是一个未解决的问题。本文提出一种在数学上有严格基础的面向图的DFIR架构，其基于带有显式时间不确定性的概率因果有向无环图模型，结合贝叶斯推断以及通过Merkle树与不可变存储（WORM）实现的加密完整性保证。我们将攻击序列重建问题形式化为在DAG中对可行路径进行条件概率最大化的问题，并证明其与最小化对数概率之和等价。我们提出两种算法：(i) 因果时间重建（RTC），复杂度为 O(|E_c| log |V|)；(ii) 增量完整性验证（VII），其包含性证明复杂度为 O(log n)。该架构在Elastic Stack 8.x、Apache Kafka 3.5、S3 Object Lock（compliance模式）和PostgreSQL之上实现，并在12 TB真实与合成数据上进行评估，包括DARPA Transparent Computing和Los Alamos Cybersecurity Dataset。结果表明，系统在精度上取得统计学显著提升（91.4% 对比 64.2%），平均分诊时间减少37.8%，且计算开销可控（8.6%）。我们认为，将概率形式化、加密完整性保证与因果建模相结合，为现代DFIR提供了严格、可审计且可扩展的基础，并与NIST、ISO/IEC 27037指南以及MITRE ATT&CK分类体系保持一致，同时兼容涉及eBPF、CNAPP以及面向人工智能环境的当代场景。
Read paper →DFIR基于时间图与贝叶斯推断的DFIR形式化编排，用于分布式企业环境中的自动化事件响应
TITLE: 基于时间图与贝叶斯推断的DFIR形式化编排，用于分布式企业环境中的自动化事件响应 ABSTRACT: 分布式企业环境的复杂性不断增长，其特征包括多云架构、容器化工作负载、边缘设备、通过API的集成以及基于人工智能的系统，这对数字取证与事件响应（DFIR）领域提出了重大挑战。当代攻击链通常是多阶段的，利用异构组件中的漏洞，并结合远程执行、横向移动、持久化和数据外泄等技术。在这种背景下，基于确定性规则的传统SIEM方法在不确定性和对抗性噪声条件下重建复杂因果序列方面显得不足。本文将事件重建形式化为一个在具有显式因果约束的有向时间图上的MAP（Maximum a Posteriori）推断问题。我们将取证事件建模为结构化元组，并引入一个基于条件局部分解的概率框架，从而实现对不确定性的形式化量化。我们证明了在有限对抗性插入伪造事件的情况下系统的鲁棒性，并建立了MAP路径不变性的分析条件。我们在基于Apache Kafka、Elasticsearch、Neo4j和Kubernetes的可扩展基础设施上实现了TGI-DFIR架构，并与现代CNAPP流水线及eBPF遥测集成。我们使用DARPA Transparent Computing数据集、真实企业日志（12 TB）以及受截至2025年广泛利用漏洞启发的场景对该方法进行了实证评估。结果表明，与基于规则的方法和序列深度学习模型相比，该方法在精度上实现了统计学显著提升（F1 = 0.91 ± 0.02），并将平均分诊时间减少了47.3%。我们得出结论：时间图与贝叶斯推断的结合为当代分布式企业环境中的自动化事件响应编排提供了严谨的形式化基础和可行的操作路径。
Read paper →DFIR标题：面向时间图与贝叶斯推断的 DFIR 形式化编排，用于分布式企业环境中的自动化事件响应
标题：面向时间图与贝叶斯推断的 DFIR 形式化编排，用于分布式企业环境中的自动化事件响应 摘要：分布式企业环境日益复杂，其特征包括多云架构、容器化工作负载、边缘设备、通过 API 的集成以及基于人工智能的系统，这给数字取证与事件响应（Digital Forensics and Incident Response，DFIR）领域带来了重大挑战。当代攻击链通常为多阶段，利用异构组件中的漏洞，并结合远程执行、横向移动、持久化和数据外泄等技术。在此背景下，基于确定性规则的传统 SIEM 方法在噪声和对抗性干扰下，难以重建复杂的因果序列。本文提出将事件重建形式化为受显式因果约束的有向时间图上的 MAP（Maximum a Posteriori，最大后验）推断问题。我们将取证事件建模为结构化元组，并引入基于条件局部因子分解的概率框架，从而实现对不确定性的形式化量化。我们证明了在有限对抗性插入伪造事件的情况下该方法的鲁棒性，并建立了 MAP 路径不变性的解析条件。我们在基于 Apache Kafka、Elasticsearch、Neo4j 和 Kubernetes 的可扩展基础设施上实现了 TGI-DFIR 架构，并与现代 CNAPP 管道和 eBPF 遥测集成。我们使用 DARPA Transparent Computing 数据集、真实企业日志（12 TB）以及受截至 2025 年广泛利用漏洞启发的场景对该方案进行了实证评估。结果表明，与基于规则的方法和深度学习序列模型相比，该方案的准确率显著提高（F1 = 0.91 ± 0.02），平均分诊时间减少了 47.3%。我们得出结论，时间图与贝叶斯推断的结合为当代分布式企业环境中的自动化事件响应编排提供了严格且在操作上可行的形式化基础。
Read paper →DFIRDFIR中证据的形式化与关联编排：一种用于混合环境中概率性时间重建与事件归因的可扩展框架
TITLE: DFIR中证据的形式化与关联编排：一种用于混合环境中概率性时间重建与事件归因的可扩展框架 ABSTRACT: 混合基础设施复杂性的不断增长、云计算的大规模采用、面向微服务的架构、基于eBPF的可观测性以及人工智能系统的集成，显著扩大了数字取证与事件响应（Digital Forensics and Incident Response, DFIR）领域所面临的挑战。到2025年，利用关键漏洞、供应链以及“living-off-the-land”技术的安全事件表明，基于线性日志关联和静态SIEM规则的方法存在明显局限。本文提出一种用于攻击链概率性时间重建的形式化框架，其基础是具有条件权重并包含源自MITRE ATT&CK矩阵语义约束的有向图。我们将该问题建模为在异构且可能不一致证据条件下，对最大化后验概率的无环子图进行贝叶斯推断。我们引入一种贝叶斯时间对齐机制，以补偿分布式来源之间的时钟漂移，并提出一种面向对抗性知识的重建算法，通过阈值控制的概率剪枝进行优化。在观测完备性假设下，我们证明了ε-近似正确性的形式化性质，并分析了所提算法的渐近复杂度。基于Apache Kafka、Apache Spark、Elasticsearch和Neo4j的分布式实现，在总计1,2 TB事件数据的数据集上进行了评估，其中包括使用Atomic Red Team的模拟数据以及匿名化企业日志。实验结果获得F1 = 0{,}895 ± 0{,}02，相比传统SIEM基线提升29,7%，并将平均调查时间降低37,4%（p < 0{,}01）。我们进一步讨论了该方法在包含AI/ML工作负载环境中的扩展、与CNAPP的集成以及在数字证据保全链中的证据效力影响。结果表明，显式引入语义约束与严格的概率建模，为可扩展且具有形式化基础的DFIR提供了实质性进展。
Read paper →Detection标题：基于异构遥测与时间图贝叶斯融合的多层自适应高级威胁检测
标题：基于异构遥测与时间图贝叶斯融合的多层自适应高级威胁检测 摘要：2025年网络威胁的日益复杂化，包括多阶段攻击、零日漏洞利用、供应链入侵、身份滥用以及生成式人工智能模型的滥用，对传统检测机制提出了重大挑战。本文提出一种多层自适应检测架构，其基础是对异构遥测数据进行递归贝叶斯融合，并结合动态时间图的结构建模。我们将问题形式化为对一个二元潜在过程的推断，该过程表示恶意活动在时间上的存在性，并由来自网络、终端、身份、应用以及云工作负载的可观测事件进行估计。该方法整合了：(i) 事件语义归一化，(ii) 统计与结构特征提取，(iii) 增量式时间图构建，以及 (iv) 通过对数似然更新实现数值稳定的贝叶斯推断。我们还引入了一种基于观测到的拓扑度量分布与历史基线之间 Kullback–Leibler 散度的结构检测器。我们在广泛使用的公开数据集（CIC-IDS2017 和 UNSW-NB15）以及一个包含23亿条匿名化事件的企业数据集上对该模型进行了实证评估，并将其与 Random Forest、XGBoost 和 LSTM 进行比较。结果表明，在 $F1$-score 上取得了统计显著的提升，并且误报率和横向移动平均检测时间均持续下降。我们讨论了该方法在 Zero Trust 和 CNAPP 环境中的影响、对 concept drift 的鲁棒性以及数据投毒风险。我们证明，将多种弱证据进行一致的概率融合，并结合时间图的结构分析，可在现代分布式架构中保持可扩展性的同时，显著提升精度并降低时延。
Read paper →Detection标题：通过多模态时间建模与大规模概率推断实现高级持续性威胁的自适应检测
标题：通过多模态时间建模与大规模概率推断实现高级持续性威胁的自适应检测 摘要：在混合云和云原生环境中，高级持续性威胁（APT）的日益复杂化，对早期识别入侵构成了重大挑战。到2025年，运行环境已纳入多云架构、CNAPP（Cloud-Native Application Protection Platforms，云原生应用保护平台）、短暂性工作负载、通过 eBPF 的遥测，以及与大语言模型（LLMs）相关的新兴风险。本文提出一种用于 APT 自适应检测的形式化模型，该模型基于多模态动态图与多元 Hawkes 过程的集成，并在显式贝叶斯视角下构建。我们将事件流形式化为异构时间序列，并将恶意活动的传播建模为具有谱稳定性约束的自激过程。在 0–1 损失下并结合显式的假阳性率限制推导最优决策，从而应对基率偏差这一根本问题。我们在分布式环境中基于 Apache Kafka、Apache Flink 和分布式存储实现了该架构，集成了基于 eBPF 的遥测提取以及与 MITRE ATT&CK 对齐的上下文增强。我们在 CIC-IDS2017、DARPA Transparent Computing 数据集以及一个匿名化企业数据集上评估了该模型，后者包含 23 亿条事件。结果表明，相较于 Isolation Forest、LSTM 和 Sigma 规则等基线方法，该模型在 F1-score 上取得了统计显著提升（p < 0.01），假阳性率降低了 38%，AUC 达到 0.97。我们进一步讨论了其对基于 AI 的系统安全、模型治理以及与新兴后量子控制措施集成的影响。我们得出结论：关系概率建模为大规模自适应检测提供了稳健的理论基础和可操作的可行性，能够满足当代对可观测性、合规性和网络韧性的要求。
Read paper →Detection标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境
标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境 摘要：在当代企业环境中，威胁检测由于混合基础设施、多云架构、移动设备、容器化工作负载、由 API 暴露的攻击面以及人工智能系统日益增长的集成而变得结构性复杂。最新报告表明，已被攻陷的凭据、已知漏洞利用以及对合法工具的滥用，仍然是主要入侵向量之一；与此同时，攻击者平均驻留时间（dwell time）仍然显著，表明传统检测机制存在局限（VERIZON, 2024；MANDIANT, 2023）。在本文中，我们将准实时检测问题形式化为关于系统性入侵潜在状态的概率推断，该状态由 Markov 过程建模，并通过来自多层遥测数据的异构证据融合进行估计。我们提出 AMuLeT（Adaptive Multi-Layer Threat detection）框架，该框架将每层的监督式分类器与自编码器相结合，并在近似条件独立假设下通过对数似然比规则进行集成。我们还引入一种带弹性正则化的持续学习机制，以缓解 concept drift 和对抗性演化，同时保留历史上重要的参数。我们在广泛使用的公共数据集以及一个大规模企业数据集上对该方法进行了实证评估，累计涵盖数十亿事件。结果表明，与单独模型相比，该方法在 AUC、F1-score、假阳性率以及平均检测时间缩短方面均取得了统计显著的提升。我们结合 NIST 的建议以及 CNAPP、eBPF 和大语言模型安全等当代趋势讨论其实践意义，并勾勒出未来扩展方向，包括动态图和在具有形式化差分隐私保证的联邦学习。
Read paper →Detection标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境
标题：基于概率融合与持续学习的高级威胁自适应多层检测，面向异构企业环境 摘要：在当代企业环境中，威胁检测已因混合基础设施、多云架构、移动设备、容器化工作负载、通过 API 暴露的攻击面以及基于人工智能系统的日益集成而成为一个结构性复杂问题。近期报告表明，受损凭证、已知漏洞利用以及对合法工具的滥用仍然是主要入侵向量之一，而攻击者平均驻留时间（dwell time）依然显著，这表明传统检测机制存在局限（VERIZON, 2024；MANDIANT, 2023）。本文将近实时检测问题形式化为对系统性受损潜在状态的概率推断，该状态由 Markov 过程建模，并通过来自多层遥测数据的异构证据融合进行估计。我们提出 AMuLeT（Adaptive Multi-Layer Threat detection）框架，它结合了按层的监督分类器与自编码器，并在近似条件独立假设下通过对数似然比规则进行集成。我们还引入一种带弹性正则化的持续学习机制，以缓解 concept drift 和对抗性演化，同时保留历史上相关的参数。我们在广泛使用的公开数据集以及一个大规模企业数据集上对该方法进行了实证评估，累计涵盖数十亿事件。结果表明，与单独模型相比，该方法在 AUC、F1-score、假阳性率以及平均检测时间缩短方面均取得了统计显著的提升。我们结合 NIST 的建议以及 CNAPP、eBPF 和大型语言模型安全等当代趋势讨论其实践意义，并勾勒出未来可扩展方向，包括动态图和具有差分隐私形式化保障的联邦学习。
Read paper →Detection利用多层时间关联与自监督表征学习的企业环境中混合自适应网络威胁检测
TITLE: 利用多层时间关联与自监督表征学习的企业环境中混合自适应网络威胁检测 ABSTRACT: 在当代企业环境中进行网络威胁检测，需要能够关联异构事件、建模复杂时间依赖关系，并能够适应利用有效凭证、fileless 技术以及与 MITRE ATT&CK 对齐的多阶段攻击链的对手。本文提出一种混合架构，融合自监督表征学习、层次化时间建模以及动态图中的概率相关分析，旨在在概念漂移条件下减少误报而不降低检测灵敏度。我们将该问题形式化为对 $P(Y=1 \mid G_{t-k:t})$ 的估计，其中 $G_{t-k:t}$ 表示从多种遥测数据源（认证日志、终端事件、网络流量以及云遥测）提取的时间图滑动窗口。自监督组件基于轻量级 Transformers 的时间上下文预测，使得在缺乏大量标签的情况下仍能够学习稳健的语义嵌入。多层关联阶段利用在与 ATT&CK 技术一致的子图上定义的对数线性势函数，从而确保操作层面的可解释性。我们在基于 Apache Kafka、Apache Flink、PyTorch 和 Neo4j 的分布式基础设施上实现了该方案，在 24 节点集群上实现了每秒 12 万事件的持续吞吐量。我们在 CIC-IDS2017、LANL Cybersecurity Dataset 以及一个包含 42 亿事件的企业数据集上评估了该模型。实验结果表明平均 AUC 为 0.982，F1 为 0.941，TPR 为 96.4%，FPR 为 3.1%，相较于 Isolation Forest、DeepLog 和 LSTM Autoencoders 等基线方法，在误报率方面实现了 38% 的相对降低（$p < 0{,}01$）。我们讨论了与 SIEM 和 CNAPP 平台集成的意义，以及涉及差分隐私的联邦学习和对抗鲁棒性的扩展方向。结果表明，将自监督表征与概率结构关联相结合，是实现大规模自适应检测的一种有前景的方法，代表了截至 2025 年的前沿技术水平。
Read paper →