本文针对检测规则仓库中误报排除（exclusion）持续累积且很少被撤销的问题展开研究。核心背景是：当一条检测规则频繁产生误报时，分析人员通常会添加排除条件，使规则在该特定场景下不再告警。单次排除决策在局部看是合理的，但其长期累积对规则库整体覆盖能力的影响此前未被系统度量。已有的纵向研究表明规则维护过程并不收敛，但那些研究仅关注后来被回滚的修订，对从未被撤销的规则收窄无法感知。作者在 SigmaHQ 规则语料库中，跨越 9 年共 8,234 条修订记录，提出了一种语义层面的检测方法：通过分析否定谓词集合的增长与规则覆盖范围的补偿性增长之间的不平衡，识别规则被“收窄”的现象。该方法不依赖数据训练，是确定性的，并以代码形式发布定义。作者用盲法人工标注验证了该方法，精确率达到 0.828，召回率达到 0.911。研究发现：排除操作共发生 1,642 次，仅有 304 次被撤回，比率约为 5.4:1；在单条规则层面，这一比率升至 13:1。此外，约 31% 的收窄无法通过结构比较直接看出，现有方法因而明显低估了规则收窄程度。Kaplan-Meier 估计显示，86.7% 的排除在三年后仍然生效，且规则是否为对应 ATT&CK 技术的唯一覆盖与该持久性无关（p=0.49）。路径类排除中有 64.1% 可以被非特权进程通过选择特定文件名而规避。总体表明：误报排除会不断积累、极少被复审，且不按风险后果进行优先级排序。最后作者给出了一个初步决策标准，帮助安全团队决定优先检查哪些排除条件。该研究对检测工程与规则生命周期管理有实际参考价值。

该论文首次对基于日志的检测规则在公共仓库中的演化进行了纵向分析。日志检测规则是现代安全运营的核心，分析师通过迭代调整规则平衡检测覆盖率和告警量。然而，此前研究多关注网络入侵检测签名的演化，对日志检测规则的长期行为缺乏实证研究。作者选取了两个广泛使用的仓库：社区驱动的Sigma项目和精心策划的Splunk安全内容（SSC），对其中6859条规则的历史版本进行分析。为了比较基于检测逻辑而非表面语法的规则版本，作者引入了一种谓词图中间表示，用于规范化规则的逻辑结构，并设计了一个树对齐过程来分析跨版本的变更。研究发现，约56%的规则至少经历了一次检测逻辑修订；规则演化总体上呈非单调趋势，超过一半的规则随时间既添加从句又删除从句；同时存在频繁的还原操作，表明变更常被重新审视而非严格累积。结合结构分析、基于LLM的推理和人工验证操作意图，发现约四分之一到三分之一的规则在扩展覆盖率和减少误报之间交替，而非趋于稳定形式。这些结果揭示了公共仓库中检测规则的演化反映了持续的操作权衡，而非稳定收敛。该研究提出了规则为何如此变化的问题，并支持了制定和部署安全规则更好流程的研究方向。