该论文提出 DART（Data Augmentation of Rare ATT&CK Techniques Using LLM Agents）框架，旨在解决网络安全数据分析中罕见 ATT&CK 技术样本不足的问题。由于真实环境中某些攻击技术出现频率极低，导致基于机器学习的威胁检测模型难以有效训练和评估。DART 利用大语言模型（LLM）智能体生成高质量的合成数据，对稀有技术进行数据增强，从而扩充训练集。论文详细描述了 DART 的系统架构，包括如何使用 LLM 智能体模拟攻击行为、生成符合 ATT&CK 技术特征的文本序列或日志数据，并通过迭代优化确保数据的真实性和多样性。实验部分（基于摘要推断）验证了 DART 在增强下游检测模型性能方面的有效性，表明该方法能够显著提升对稀有攻击技术的检测能力。该研究的核心贡献在于提出了一种新兴的数据增强范式，将 LLM 的生成能力与安全领域知识相结合，为数据稀缺条件下的威胁检测提供了可行方案。适合安全数据科学家、机器学习工程师以及关注 ATT&CK 框架的蓝队研究人员阅读。

该论文提出了一种可复现的流水线，用于从自由文本的漏洞描述中将 CVE 映射到 MITRE ATT&CK 企业技术。传统方法依赖 CWE->CAPEC->ATT&CK 的推导链，但论文量化了该链在表扩展过程中产生的伪影。作者基于 MITRE 威胁情报防御中心专家人工标注的 1,207 个 CVE 构建了金标准数据集，并训练了一个多标签分类器。实验表明，该模型在 recall@5 上比零样本嵌入相似度基线提升了约一倍，且所有排序指标均有改善。随后论文研究了是否可以利用 LLM 辅助标注来扩展金标准数据集。初步实验出现矛盾结论：单次运行显示性能下降，而五次随机种子平均显示小幅提升。然而，独立复现和扩展规模研究（新增 100 至 984 个 CVE）表明，表面的改进实际上是评估伪影。LLM 生成的标签与专家标注的一致性约为 0.39，在任何扩展规模下都无法提供可靠的改进，并且在新增约 1000 个 CVE 时降低了稀有技术的覆盖率（macro-F1 下降 0.04）。根本原因是评估噪声：在小测试集上选择检查点等效于在多次噪声评估上最大化，导致完全相同的运行之间 recall@5 差异高达 0.05。通过基于验证集检查点选择的修正协议，仅使用金标准数据的模型达到 recall@5 = 0.673 ± 0.019，重复决定性实验确认了 LLM 扩展的零结果。最终扩展研究表明，增加专家人工标注数据能够持续提升性能，而 LLM 标注的数据则不能，表明该分类器受限于标签质量而非数据集规模。所有数据集、模型、代码和训练日志均已公开。适合安全研究人员、威胁情报分析师以及参与 ATT&CK 映射自动化工作的蓝队成员阅读。

该论文针对多阶段网络攻击检测中缺乏同时覆盖系统、网络和浏览器日志的标注数据集的问题，构建了一个包含约230万条事件、870个会话（70个攻击会话、800个正常会话）的多源日志数据集。数据集在Windows端点同时捕获系统、网络和浏览器活动，并利用MITRE ATT&CK框架为恶意事件标注了12种战术和53种技术的技术ID。攻击数据使用真实工具生成，包括远程访问木马、命令与控制隧道和云数据泄露。为验证数据集的可学习性，论文使用低秩适配（LoRA）微调了三个小语言模型（SLM）：Qwen2.5-1.5B、Llama-3.2-3B和Phi-4-Mini，在分块分类和ATT&CK技术识别两个任务上评估性能。结果显示，微调后所有模型在所有指标上均优于基础版本，分块分类准确率从约8%提升至90%-97%，但技术精确匹配准确率最高仅为42%，部分匹配分数较高表明模型学到了大部分推理逻辑。该研究填补了现有数据集在涵盖三种日志源并具备ATT&CK技术级别标注方面的空白，为多阶段攻击检测的机器学习方法提供了宝贵资源。

本文提出一个将网络安全治理框架（如NIST CSF）转化为可操作的缓解决策的系统。核心挑战在于治理框架虽能评估组织成熟度，但无法直接指导在资源约束下对防御策略进行选择和优先级排序。该方法首先将CSF成熟度评估映射到MITRE ATT&CK缓解能力，使组织安全态势与以攻击者为中心的防御规划直接集成。为了处理对手行为的复杂性，采用可变阶马尔可夫模型（VOMM）在观察到的ATT&CK技术序列上训练，以在深度强化学习（DRL）环境中实现可扩展的对手模拟。通过集束搜索重构可能的攻击路径和防御响应，然后在明确预算约束下联合优化缓解措施的选择。该环境支持并发对手和现实缓解成本。实验在多种奖励设定和配置下表明，该方法能产生稳定的策略、有意义的成本-风险权衡以及与组织成熟度一致的可解释缓解计划。研究证明了攻击者感知的DRL能够生成基于实际框架和威胁行为的、资源受限的实用防御策略。