本文提出了一种针对企业共享存储环境中加密勒索软件（crypto-ransomware）的混合检测框架。传统的端点检测主要关注本地系统行为，但勒索软件变种已将攻击面扩展至网络驱动器和共享存储资源，受感染的客户端可加密共享数据而不直接在服务器端触发行为变化。该框架结合了基于Region of Interest（RoI）的新技术，用于分析网络流量并提取入侵指标（IoC），这些IoC可作为规则集增强现有安全工具（如EDR、IDS）。同时，基于RoI的特征用于训练机器学习模型，以检测高度规避性的变种。研究涵盖了多种勒索软件家族，并通过领域专家知识精心选择了良性行为样本，确保覆盖可能干扰检测的常见用户操作。实验结果表明，机器学习模块实现了99.64%的检测精度，0%假阴性率（FNR）和极低的假阳性率（FPR）。此外，该方法能够在重大损害发生前早期检测勒索软件入侵，准确率达99.44%。该框架适用于企业安全团队，特别是需要保护共享存储环境免受勒索软件攻击的场景。

本文对政府发布的企业安全指南进行了首次系统性分析。研究收集了来自多个国家政府（如美国、英国、加拿大、澳大利亚等）的公开企业安全指南，包括NIST、CISA、NCSC等机构的文档。研究采用内容分析方法，对指南的覆盖范围、推荐措施、优先级排序、实施难度等维度进行编码和比较。主要发现包括：1）不同政府指南在安全控制推荐上存在显著差异，例如对多因素认证（MFA）、端点检测与响应（EDR）等技术的侧重不同；2）多数指南缺乏明确的优先级排序，导致企业难以确定最关键的投入方向；3）许多指南未能充分结合威胁情报或攻击者战术来指导防御决策；4）部分指南与行业最佳实践（如CIS控制）存在不一致。研究还提出一套评估框架，帮助企业根据自身风险场景选择更合适的指南组合。论文贡献在于揭示了当前政府安全指南的碎片化问题，并为改进指南制定和跨政府协调提供了数据驱动的建议。

本文提出一种基于清单（manifest）的安全框架，用于在企业级软件系统中实现受限的权限提升委派。大型企业软件通常以低权限服务账户运行以遵循最小权限原则，但仍需少数特权组件（如具有提升所有权、权限或能力的可执行文件）执行窄范围操作。这导致维护期间的安全与运营冲突：自动化补丁工具若无完整管理员权限则无法安全更新特权组件，而手动干预又增加运维负担。作者设计的核心是一个最小化的特权中介（mediator），该中介验证加密保护的元数据（manifest），允许无特权进程仅提升厂商批准的文件。系统通过文件描述符绑定的验证与提升有效缓解了TOCTOU（检查时间到使用时间）攻击，支持离线密钥轮换与撤销，并通过原子替换实现零宕机自更新。该框架已作为大型企业数据库系统（同时服务云部署和本地部署）的生产环境组件部署。实验表明，该系统在保证安全性的同时，显著降低了特权操作的手动干预需求。适合系统安全研究员、DevSecOps工程师及企业软件架构师阅读。

本文提出了一种名为Hopper的横向移动检测系统。在企业网络攻击中，攻击者常在初始入侵后通过横向移动访问更多内部机器。Hopper利用企业常见的登录日志，构建内部机器之间的登录活动图，然后识别异常的登录序列。为了理解每个登录的上下文，Hopper使用推理算法识别每个登录所属的移动路径以及执行路径登录的因果用户。结合推理算法、检测规则和新的异常评分算法，Hopper能够高亮最可能反映横向移动的登录路径。在包含超过7.8亿次内部登录的15个月企业数据集上，Hopper在300多个真实攻击场景（包括一次红队攻击）中达到了94.5%的检测率，平均每天产生少于9个警报。相比之下，为了检测相同数量的攻击，先前最先进的系统需要产生近8倍的误报。