How It's Made: Uncovering Detection Engineering Processes for Network Intrusion Detection Rules
这篇论文聚焦一个长期被学术界忽视、却对安全运营中心（SOC）日常运转至关重要的环节：基于签名的网络入侵检测系统（如 Suricata）的检测规则工程。作者指出，尽管大量 SOC 依赖 Suricata 这类签名式 NIDS 进行流量侧告警，
#detection-engineering
共收录 4 条相关情报。
← 返回所有主题RuleAutoPilot: Synthesizing Deployable Suricata Rules from Network Traffic
论文提出 RuleAutoPilot，一个端到端的智能体（agentic）框架，可直接从恶意软件网络流量（PCAP）中合成可部署的 Suricata 检测规则，且不依赖任何事先准备好的威胁情报。研究背景是：以 Suricata 为代表的基于
Operationalizing Cyber Threat Intelligence with GraphRAG
本文针对安全运营中一个长期存在的痛点：当安全研究员发布网络攻击报告后，检测工程师需要将其转化为可用的检测规则。然而，现有自动化方法大多只能从报告中提取最浅层的威胁指标（如恶意IP、域名、文件哈希）并生成封禁列表，这种策略极易被攻击者通过更换
Extending Detection Engineering to Digital Forensics: The Velociraptor Unified Detection-Forensics Methodology
本文提出了一种将检测工程与数字取证深度融合的统一方法论，基于Velociraptor平台实现。传统上，实时告警与事后取证分析各自独立发展，导致安全运维中两者脱节。作者设计了四阶段方法论：(1) 基线建立——通过收集正常系统状态（如Prefe