该论文针对企业环境下的网络安全研究方法论碎片化问题展开叙述性综述。作者指出，企业安全研究往往需要综合运用系统综述、设计科学、受控检测实验、访谈研究、攻击图建模等多种方法，但研究者首先面临的不是技术问题，而是方法选择问题。论文基于对151篇已验证文献的综述，归纳出11个方法家族，逐一说明每个家族回答的问题类型、证据强度及常见失败模式。进一步地，作者将每个方法家族转化为可执行的研究协议，包含有序步骤、所需工具、评估标准、效度威胁和报告清单，并配以可视化映射以便研究者快速理解流程与决策点。论文还讨论了文献中的矛盾现象，例如入侵检测算法性能排名在不同研究中高度不一致，并论证这种差异主要源于评估设计的变化而非算法本身。最终，作者主张以显式效度推理约束下的方法论多元主义，强调要根据研究目标匹配合适的评估设计，将技术与组织证据三角验证，明确结果可推广的人群，并报告结果不成立的条件。论文适合安全研究人员、实践者和学术评审者阅读，作为开展企业安全研究的方法论指南。

该论文针对企业安全软件（如端点监控、行为分析、数据防泄漏等）在提升组织安全性的同时可能侵犯员工个人隐私这一矛盾，开展了一项以员工为中心的隐私感知与期望研究。研究采用问卷调查和/或半结构化访谈的方法，收集了不同行业、不同岗位员工对于企业部署安全监控工具时的态度、担忧和期望。核心问题包括：员工如何理解这些安全软件的数据收集范围？他们是否知晓监控的存在与具体内容？在什么条件下愿意接受监控（例如明确告知、最小化收集、用途限定）？研究发现，尽管员工普遍认同安全软件对组织防护的必要性，但对透明度、数据保留期限、访问权限以及潜在滥用风险表现出显著关切。许多参与者希望拥有对个人数据的控制权，并期望企业能够提供清晰的隐私政策和退出机制。论文还探讨了员工在‘用我的隐私换他们的安全’这一框架下的权衡逻辑，指出信任是影响接受度的关键因素。研究的主要贡献在于：首次系统化揭示了企业安全软件场景下员工的隐私诉求与组织安全需求之间的张力；提出了改进安全软件设计和管理实践的建议，如增强透明性、实施数据最小化策略和引入隐私影响评估。该论文适合安全政策制定者、企业安全团队、隐私合规人员以及安全软件设计者阅读，有助于在设计监控方案时兼顾员工权益，避免因隐私顾虑导致员工抵触或影子IT行为。

本文提出了一种针对企业共享存储环境中加密勒索软件（crypto-ransomware）的混合检测框架。传统的端点检测主要关注本地系统行为，但勒索软件变种已将攻击面扩展至网络驱动器和共享存储资源，受感染的客户端可加密共享数据而不直接在服务器端触发行为变化。该框架结合了基于Region of Interest（RoI）的新技术，用于分析网络流量并提取入侵指标（IoC），这些IoC可作为规则集增强现有安全工具（如EDR、IDS）。同时，基于RoI的特征用于训练机器学习模型，以检测高度规避性的变种。研究涵盖了多种勒索软件家族，并通过领域专家知识精心选择了良性行为样本，确保覆盖可能干扰检测的常见用户操作。实验结果表明，机器学习模块实现了99.64%的检测精度，0%假阴性率（FNR）和极低的假阳性率（FPR）。此外，该方法能够在重大损害发生前早期检测勒索软件入侵，准确率达99.44%。该框架适用于企业安全团队，特别是需要保护共享存储环境免受勒索软件攻击的场景。

本文对政府发布的企业安全指南进行了首次系统性分析。研究收集了来自多个国家政府（如美国、英国、加拿大、澳大利亚等）的公开企业安全指南，包括NIST、CISA、NCSC等机构的文档。研究采用内容分析方法，对指南的覆盖范围、推荐措施、优先级排序、实施难度等维度进行编码和比较。主要发现包括：1）不同政府指南在安全控制推荐上存在显著差异，例如对多因素认证（MFA）、端点检测与响应（EDR）等技术的侧重不同；2）多数指南缺乏明确的优先级排序，导致企业难以确定最关键的投入方向；3）许多指南未能充分结合威胁情报或攻击者战术来指导防御决策；4）部分指南与行业最佳实践（如CIS控制）存在不一致。研究还提出一套评估框架，帮助企业根据自身风险场景选择更合适的指南组合。论文贡献在于揭示了当前政府安全指南的碎片化问题，并为改进指南制定和跨政府协调提供了数据驱动的建议。

本文提出一种基于清单（manifest）的安全框架，用于在企业级软件系统中实现受限的权限提升委派。大型企业软件通常以低权限服务账户运行以遵循最小权限原则，但仍需少数特权组件（如具有提升所有权、权限或能力的可执行文件）执行窄范围操作。这导致维护期间的安全与运营冲突：自动化补丁工具若无完整管理员权限则无法安全更新特权组件，而手动干预又增加运维负担。作者设计的核心是一个最小化的特权中介（mediator），该中介验证加密保护的元数据（manifest），允许无特权进程仅提升厂商批准的文件。系统通过文件描述符绑定的验证与提升有效缓解了TOCTOU（检查时间到使用时间）攻击，支持离线密钥轮换与撤销，并通过原子替换实现零宕机自更新。该框架已作为大型企业数据库系统（同时服务云部署和本地部署）的生产环境组件部署。实验表明，该系统在保证安全性的同时，显著降低了特权操作的手动干预需求。适合系统安全研究员、DevSecOps工程师及企业软件架构师阅读。

本文提出了一种名为Hopper的横向移动检测系统。在企业网络攻击中，攻击者常在初始入侵后通过横向移动访问更多内部机器。Hopper利用企业常见的登录日志，构建内部机器之间的登录活动图，然后识别异常的登录序列。为了理解每个登录的上下文，Hopper使用推理算法识别每个登录所属的移动路径以及执行路径登录的因果用户。结合推理算法、检测规则和新的异常评分算法，Hopper能够高亮最可能反映横向移动的登录路径。在包含超过7.8亿次内部登录的15个月企业数据集上，Hopper在300多个真实攻击场景（包括一次红队攻击）中达到了94.5%的检测率，平均每天产生少于9个警报。相比之下，为了检测相同数量的攻击，先前最先进的系统需要产生近8倍的误报。