该论文针对现代网络攻击中的“枢轴（pivoting）”技术提出了一种新型检测系统。枢轴攻击是指攻击者利用已攻陷的主机作为跳板，将流量转发到原本无法直接访问的内部目标，从而突破防火墙、入侵检测系统等传统边界安全设备的限制。由于中继流量在形式上与合法流量高度相似，此类攻击极难被感知，而现有防御手段要么处理延迟高，要么准确率低，要么依赖全网协同部署，在实际使用中受限。本文提出的系统名为 Stitch，是一款基于主机（host-based）的实时检测方案，利用可编程内核来观测穿越主机的网络流，并结合进程追踪技术将系统调用、进程行为与网络通信相关联，从而把入站连接和出站连接对应起来，识别出二者之间存在的枢轴特征。Stitch 在两次真实环境部署中实现了较现有最先进防御方法平均 31% 的准确率提升，并且最高误报率仅为 0.006%。其核心价值在于为网络内易受攻击的主机提供了一种准确、轻量级、无需全网协作的独立检测能力，填补了当前枢轴攻击检测方案在实际落地时的空白。本文适合网络安全研究人员、蓝队/SOC工程师以及主机安全产品设计者阅读，重点关注如何利用可编程内核与进程级信息实现高精度低误报的攻击行为识别。