本文针对企业网络中高级持续性威胁（APT）的横向移动问题，指出现有网络防御机制通常无法在进程级别跟踪用户跨网络的行为，而是对主机内所有进程授予“环境信任”（ambient trust）。这种粗粒度的信任模型存在根本缺陷：一旦主机被攻陷，恶意进程会自动继承受害者的合法权限，导致攻击者能够逐步扩大访问范围并继续横向移动。为弥补这一空白，作者提出了 NetZone——一种网络内访问控制系统，将每个用户进程限制在固定的访问范围内，并且该范围在用户跨网络移动时保持不变。NetZone 引入了一个名为 AccessScope 的新抽象，它表示绑定到用户进程的轻量级访问能力，编码了用户身份被授权访问的主机集合，并嵌入到进程的出站网络流量中，在到达目的地之前进行验证。当用户在不同主机间切换时，AccessScope 随流量传播，重新绑定到接收进程，并跨主机持续存在。这确保了无论用户处于网络中的哪个位置，其进程始终受绑定的 AccessScope 约束，访问权限不会扩大。为了处理进程产生的海量网络流量，作者设计了数据平面协同方案，将可编程交换机与 eBPF 相结合。NetZone 采用一组网络内优化和轻量级 AccessScope 持久化技术，以线速动态检查嵌入的 AccessScope，在几乎不引入延迟开销的情况下处理高流量负载。实验表明，NetZone 能有效防御复杂的攻击场景，且不产生明显开销。本文的主要贡献包括：首次提出进程级、跨主机的网络访问控制抽象；实现交换机与 eBPF 的协同数据平面；验证了在真实网络流量下能够以线速执行细粒度访问控制的可行性。适合研究网络防御、零信任架构、可编程网络和安全基线的学者与工程师阅读。

SysComb 提出了一种基于 eBPF 的细粒度系统调用过滤方案，旨在通过限制应用程序可用的系统调用来缩小内核攻击面，从而缓解被入侵程序带来的影响。现有系统调用过滤生成技术虽然在静态分析或动态追踪方面有所进展，但大多需要修改内核或应用程序代码才能激活过滤器，这在代码由第三方维护时往往不可行或过于侵入。SysComb 完全基于 eBPF，无需修改应用或内核源码，即可根据应用程序状态实施时间特化的系统调用过滤。它支持两种强制策略：类似 seccomp 的策略，确保状态转换后不获得新权限；以及最小权限策略，为每个状态应用最严格的过滤器。作者在常用软件上进行了评估，展示了准确的状态感知过滤能力，且开销与内核内置方案相当，证明了该方法的实用性。本文主要贡献包括：提出无需代码修改的透明过滤机制、两种灵活的强制策略选择，以及通过实际软件验证了低开销和有效性。适合系统安全研究人员、Linux 内核安全工程师以及需要为第三方应用加固的蓝队人员阅读。

该论文针对现代高级网络攻击中审计日志采集系统存在的性能与安全问题展开研究。作者首先通过实验评估了当前主流的审计数据采集工具（如Linux auditd、sysdig以及其他研究原型），发现它们普遍存在三大缺陷：一是运行时开销过高，可使工作负载变慢2至8倍；二是在持续高负载下会丢失大部分事件；三是日志在写入持久化存储之前存在被篡改的窗口，攻击者可能趁机关闭或删除尚未落盘的日志条目，导致关键取证数据缺失。为克服上述挑战，论文提出了一种基于eBPF（扩展伯克利包过滤器）框架的新型审计数据采集系统eAudit。eBPF已内置于现代Linux内核，因此无需修改内核代码即可在大多数发行版上直接部署，具备良好的可移植性与易用性。论文详细介绍了其系统设计、内核态与用户态协同的采集架构，以及多项调优和优化技术（包括事件批量提交、高效的缓冲区管理、数据压缩与去重等），从而实现了高吞吐、低开销的审计日志采集。实验结果表明，eAudit能够承载比现有系统导致严重数据丢失的负载强度高一个数量级的工作负载，且开销仅为现有系统的一小部分，同时大幅降低了数据冗余，并将日志篡改窗口缩短了约100倍。该研究的主要贡献在于提供了一种快速、可扩展且易于部署的审计数据采集方案，为后续的溯源分析和入侵取证奠定了坚实的数据基础。适合系统安全研究人员、蓝队工具开发者以及需要高保真审计日志的SOC工程师阅读。

该论文是首个针对eBPF生态系统内存安全风险的系统性分析。eBPF允许在不修改内核代码的情况下扩展内核功能，广泛应用于网络、追踪和安全检查等领域。为确保安全，eBPF包含一个验证器，对每个程序执行前进行校验，旨在防止因内存错误导致的内核内存修改。然而，eBPF子系统（包括验证器本身）已被发现存在大量漏洞，严重违背了安全预期。论文聚焦于eBPF验证器局限性及当前内核防御面临的挑战，评估了三种研究缓解策略：隔离技术、运行时检查和静态验证，并指出了它们的贡献与不足。研究发现，在公开的eBPF程序中，只有1.62%-3.74%（即37-85个）的内存操作无法被全面证明是内存安全的。该发现为在兼顾性能与兼容性的前提下实施全面的内存安全提供了可行的见解。

本文提出了一种面向部署的可解释人工智能辅助 eBPF/XDP 缓解框架，专门针对物联网边缘网关设计。物联网环境由异构、资源受限的设备组成，这些设备安全配置薄弱、服务暴露、日志记录有限、补丁更新困难且生命周期长。传统的基于签名和阈值的控制方法在动态物联网网络中作为独立机制是不够的，而离线人工智能基准性能无法直接转化为实际部署能力。为此，本文设计了一个概念框架和研究路线图，该框架在基于 Linux 的物联网边缘网关上实现资源感知的流级人工智能辅助风险评分、事件级可解释性以及通过 eBPF/XDP 进行的有限缓解。控制器应用可逆、有时间限制的动作，并包含关键设备保护机制，更新数据包级执行状态并记录结构化日志。架构将用户空间的复杂推理和策略控制与内核中简洁的数据包处理决策分离。此外，还定义了未来硬件感知评估路径，涵盖检测质量、资源成本、响应时间、回滚行为以及合法流量保留等方面。本文未报告新的实验结果，但为后续研究和实际部署提供了理论框架。

该论文聚焦于Linux内核扩展程序eBPF的安全迁移问题。eBPF程序被广泛用于网络、可观测性及安全策略执行，但其内核验证器仅检查低级内存安全和终止性，未强制许多高级源级属性，如初始化规则、schema一致性或错误处理。作者识别出六类源级bug，这些bug能够通过编译和内核验证，但会导致数据静默损坏、将先前跟踪的事件泄露至用户空间，或产生错误的执行结果。其中，作者发现了十款开源eBPF程序中此前未报道的信息泄露：这些程序中的环形缓冲区或栈驻留事件记录会将完全可解码的先前跟踪事件（包括用户标识路径和足以恢复每个事件KASLR偏移的内核返回地址）泄露到用户空间。为加固这些被验证器接受的缺陷程序并支持安全迁移，作者提出了Heimdall——一个自动化流水线，利用大语言模型（LLM）将遗留的libbpf C程序翻译为基于Aya Rust的eBPF程序。Heimdall迭代修复编译和内核验证失败，通过静态分析安全引擎拒绝Rust-Aya中不安全的逃逸机制，并借助符号执行和Z3等价性检查逐程序证明翻译后程序与原始程序行为等价。在102个eBPF程序上的实验表明，Heimdall成功生成了96个经形式化验证等价（94.1%）的翻译版本。Heimdall是首个能够自动化地将生产级eBPF程序迁移到内存安全语言，并为每个翻译程序提供形式化保证保持可观测行为的系统。

WOOTdroid 是一种面向 Android 原生系统的全设备在线追踪方案，旨在解决现有系统审计面临的两大问题。第一，现有系统调用追踪器（如 ftrace）在负载较高时无法及时读取事件，导致缓冲区溢出，造成事件静默丢失。第二，Android 中安全相关的应用行为通过 Binder（内核 IPC 机制）进行，而内核看到的 Binder 数据包（parcel）不包含方法名或类型化参数，导致底层事件与高层语义之间存在“语义鸿沟”。现有方案要么修改 Android 框架（难以适配系统更新），要么在用户态插桩追踪应用（易被绕过）。WOOTdroid 不需要 OS 修改或应用插桩，包含两个核心组件：WDSys 和 WDBind。WDSys 是将 eAudit 风格系统调用审计移植到 eBPF 的实现，可在当前 Android 系统上运行，Geekbench 开销不超过 3.6%，且相比 ftrace 可多追踪 33% 的系统调用。WDBind 在内核中捕获 Binder 数据包，并通过 Java 反射提取的框架签名表在进程外解码。作者在运行 Android 16 的 Pixel 9 设备上进行了端到端案例研究，成功重建了十个安全相关的 Binder 事务。该工作为 Android 安全监控提供了低开销、高语义还原度的新途径。