这篇论文聚焦一个长期被学术界忽视、却对安全运营中心（SOC）日常运转至关重要的环节：基于签名的网络入侵检测系统（如 Suricata）的检测规则工程。作者指出，尽管大量 SOC 依赖 Suricata 这类签名式 NIDS 进行流量侧告警，但“人如何写出规则”这一过程本身缺乏系统性研究，导致管理者难以评估工程师能力、难以设定合理的产能与质量预期。 为此，研究团队做了两件事。第一，他们开发了 SuriCap——一个专为规则工程训练与实验设计的平台，能够记录参与者在编写检测规则时的操作轨迹、迭代过程与产出结果。第二，他们以 CTF（夺旗赛）式工作坊的形式组织实验，共招募 60 名参与者，其中包括受过专业训练的硕士研究生以及具备实战经验的 SOC 从业人员，让他们针对四个给定的检测场景编写 Suricata 规则。 实验结果相当丰富：参与者累计产出了 3146 条通过校验的有效规则，使作者得以对规则编写的方法、表现质量与迭代模式进行定量与定性分析。其中最反直觉的发现是，既有从业经验对规则质量的提升作用有限——经验较少的学生所写规则的质量可与资深 SOC 专家相当。这暗示规则工程的瓶颈可能并不在“专家直觉”，而更多取决于场景信息、测试样本与流程规范。另一个关键观察是：参与者普遍难以把规则从已有的测试样本泛化到更广泛的真实流量上，作者据此强调充足且带标注的数据是提升规则泛化能力的前提条件。 基于上述观察，论文归纳出规则工程普遍存在的三个阶段性环节，并识别出一种贯穿全过程的共性模式，为 SOC 管理者提供了改进流程、合理设定对工程师专业度预期的依据。论文归类为 cs.HC（人机交互），属于以人为中心的实证安全研究，阅读对象主要是 SOC 管理者、检测工程（detection engineering）团队负责人、安全运营流程设计者，以及对安全自动化与人因研究感兴趣的学术研究者。需要注意，本次仅获取到摘要，未包含实验设计细节、四个场景的具体内容、规则质量评价指标定义与统计显著性分析，因此相关结论应视为方向性参考而非可直接落地的量化基线。

论文提出 RuleAutoPilot，一个端到端的智能体（agentic）框架，可直接从恶意软件网络流量（PCAP）中合成可部署的 Suricata 检测规则，且不依赖任何事先准备好的威胁情报。研究背景是：以 Suricata 为代表的基于规则的入侵检测系统在网络安全中处于核心地位，但手工编写高质量检测规则需要深厚的专家知识，产出速度远远跟不上新兴威胁的演化。已有的基于大语言模型（LLM）的方案虽然能减轻分析师负担，却存在两类缺陷：一是依赖精选威胁情报，而这类情报往往是在底层流量痕迹已经产生之后才被整理出来，存在时间差；二是需要昂贵的 LLM 调用却缺乏充分的质量管控，生成的规则未必可用。本文识别的关键工程挑战是流量噪声：真实抓包中安全相关流量往往只占很小比例，绝大部分是背景流量，这会显著降低 LLM 的推理质量并抬高推理成本。为此，RuleAutoPilot 设计了“良性流量指纹（Benign Traffic Fingerprinting）”阶段，在送入 LLM 之前先剔除已知的良性背景流，从而压缩上下文、提升信噪比。在规则生成之后，框架还引入自动修复闭环：凡是语法检查不通过、无法在源流量上触发、或在良性语料上产生误报的规则，都会依据结构化反馈被自动重写修复，而无需人工介入。实验部分在 1,296 个恶意软件 PCAP 上验证，基于实际执行（execution-grounded）的验证机制把规则质量 F1 从 0.443 提升到 0.539。在分层抽样的 200 个 PCAP 子集上，使用开源权重模型 gpt-oss-120b 的 RuleAutoPilot 取得 0.524 F1，接近以 Claude Opus 5 为骨干、运行在 Claude Code 中的 0.623 F1，但计费 token 成本低 52 倍；仅将骨干模型替换为 Claude Opus 5 后，RuleAutoPilot 以 0.656 F1 反超 Claude Code 的 0.623，且 token 消耗少 40 倍。论文进一步表明，更强的骨干模型会抬高 RuleAutoPilot 自身的性能上限，但在相同骨干模型条件下，该脚手架仍然优于 Claude Code，说明其增益独立于骨干模型本身。适合读者：蓝队检测工程与 IDS/Suricata 规则维护人员、SOC 自动化方向的安全工程师、以及研究 LLM 智能体在安全运维中落地的研究者。

本文针对安全运营中一个长期存在的痛点：当安全研究员发布网络攻击报告后，检测工程师需要将其转化为可用的检测规则。然而，现有自动化方法大多只能从报告中提取最浅层的威胁指标（如恶意IP、域名、文件哈希）并生成封禁列表，这种策略极易被攻击者通过更换基础设施绕过，导致检测规则很快失效。安全社区用“痛苦金字塔”（Pyramid of Pain）来描述这一现象：越往塔顶的指标（如TTP、工具、行为特征）越难改变，也就越有检测价值。该研究提出将微软GraphRAG（一种基于知识图谱的检索增强生成系统）而非传统向量相似度检索（Naive RAG）用于CTI报告的处理，以生成更依赖高层级、持久性指标的检测计划。实验中，两个系统使用相同的报告、相同的生成指令和相同的语言模型，仅检索方式不同。在一份APT28报告的详细案例研究中，GraphRAG生成的计划在所有IP、域名和文件哈希都被轮换后仍能保持100%的检测触发率，而Naive RAG仅剩29%。随后对四家厂商的九份真实CTI报告进行重复比较，验证了相同模式：GraphRAG生成的计划在痛苦金字塔上达到更高、更难绕过的层级，即使两者总分接近。研究结论认为，知识图谱感知的检索可作为自动生成SOC可部署狩猎计划的架构正确基础，同时提示生成提示词的措辞与检索后端几乎同等重要。本文适合检测工程、威胁情报分析、SOC自动化平台研发人员阅读，尤其对关注LLM+RAG在安全运营落地效果的团队具有参考价值。

本文提出了一种将检测工程与数字取证深度融合的统一方法论，基于Velociraptor平台实现。传统上，实时告警与事后取证分析各自独立发展，导致安全运维中两者脱节。作者设计了四阶段方法论：(1) 基线建立——通过收集正常系统状态（如Prefetch、USN日志）构建行为基准；(2) 证据关联——将检测到的异常与具体工件（如WMI事件）建立关联；(3) 攻击链分析——基于时间线还原攻击步骤；(4) 场景标记与置信度评估——将分析结果转化为可复用、可测试的检测规则。该方法的核心贡献有三：一是将工件知识转化为同时适用于事后处置和实时监控的检测规则；二是通过三个实际可部署的Velociraptor VQL日志源（Prefetch、USN、WMI）展示了基于工件的检测如何实现可扩展的取证分诊，而无需完整磁盘采集；三是证明周期性工件分析能提供持续监控，同时大幅减少数据量。两个案例分别展示了：在Windows事件日志被清除或不可用时，利用Prefetch/USN基线进行快速分诊；以及通过WMI持久性关联实现周期性工件的持续监控。实验表明，该方法能有效降低存储成本，提升检测与取证的一体化效率。本文适合安全运维工程师、取证分析师及检测工程研究人员阅读。