本文提出了 SecRespond，据作者称这是首个用于评估大语言模型（LLM）智能体在后渗透（post-compromise）事件响应工作流中能力的基准测试。当前大多数网络安全基准测试聚焦于攻击发生前的“预渗透”场景，智能体被放置在一个干净且理想化的环境中，而真实世界中更常见的场景是主机已经被入侵，安全分析师必须基于磁盘快照、告警、漏洞扫描和基线条目来还原入侵路径、评估风险并制定修复方案。SecRespond 针对这一缺口，构建了包含 10 个网络靶场的任务集，每个靶场基于一个真实受损的云主机镜像，覆盖 4 种初始入口类型、21 个 ATT&CK 技术和 5 种操作系统。智能体需要根据主机安全产品提供的告警、漏洞扫描结果和基线检查结果，对磁盘快照进行取证分析，输出入侵取证报告、基线风险报告、漏洞风险报告以及修复计划。作者在 OpenCode agent harness 上评估了 23 个前沿 LLM（包括各类闭源和开源模型）。实验结果显示，当前智能体虽然能够可靠地发现告警直接暴露的问题，但在主动探查磁盘上未告警的“静默入侵”方面表现不佳，并且难以产出全面且经过验证的修复计划。没有任何一个模型能在任何一个靶场上同时实现完整的检测和修复。这表明在构建面向真实世界事件响应的智能体时，仍存在根本性瓶颈。该基准已开源，项目地址为 https://github.com/Alibaba-NLP/qqr/tree/main/data/secrespond。本文适合安全运营研究者、LLM 智能体开发者以及事件响应工具设计者阅读，以了解当前模型在后渗透场景下的能力边界和未来改进方向。

该论文对网络安全事件响应剧本（playbooks）进行了系统性的实证研究。事件响应剧本是组织用于指导人工或自动化系统执行安全对抗措施的结构化操作流程，通常整合了威胁信息与组织特定上下文。尽管实践者对剧本兴趣浓厚，但学术界对其特性缺乏深入探讨。为此，研究者采用混合方法：首先从公开来源收集并分析了1217个剧本（包括结构化与非结构化格式），进行内容编码与主题分析；随后开展了一项包含147名安全从业者的在线问卷调查，量化了剧本定义、使用与共享中的共性模式；最后通过与9名资深安全专家的半结构化访谈，验证并深化了定量发现。主要发现包括：1）组织与从业者对“剧本”的定义存在内在歧义，缺乏统一标准；2）现有剧本无法直接套用，往往需要大量自定义修改，这限制了跨组织共享与自动化执行；3）组织虽然声称“按本操作”，但实际上各自为政，内部定义剧本内容与覆盖的事件响应阶段（如检测、遏制、根除）差异显著。研究贡献在于揭示了剧本管理与标准化中的现实挑战，为未来制定更可互操作的剧本格式与最佳实践提供了实证基础。

该论文提出了一个名为 Secret Scanner Agent (SSA) 的多智能体大语言模型系统，旨在从非结构化的暴露文档（如电子邮件、聊天记录、工单、事件笔记）中提取泄漏的凭据及其关联的访问上下文（即“门”）。传统的秘密扫描器依赖正则表达式或训练分类器，在格式化代码上表现良好，但当凭据被碎片化、重新格式化或远离其解锁的资源时，难以有效工作，且仅报告秘密字符串而不指明其开启的资源。SSA 采用两个智能体协作：一个检测智能体优先保证高召回率，一个审查智能体负责过滤误报并恢复缺失的上下文。由于真实凭据数据敏感，研究团队在生成的合成基准上评估 SSA，涵盖 23 种秘密类型和多种文档格式，并通过程序匹配、LLM 裁判和人工审核的三步流水线评分。实验表明，跨六个模型，多智能体 SSA 相比单智能体变体提高了提取精度，尤其在门提取上提升了最多 16 个百分点。与正则表达式扫描器相比，SSA 的召回率提高了三倍以上，同时保持相当的精度；与十三名安全分析师相比，SSA 更精确，恢复的秘密-门对数量接近两倍，且速度快 5 至 17 倍。SSA 最终输出秘密、其对应的门以及支持证据，将凭据检测转化为可操作的发现，便于分类和修复。该工作为安全运营中的凭据泄漏检测提供了新的自动化方法，尤其适用于事件响应场景。

本文是一篇系统化知识综述（SoK），旨在解决网络安全事件响应领域缺乏统一框架来系统组织累积知识的问题。事件响应涉及技术、人机交互、组织理论和人为因素等多个领域，需要一个综合性的视角。作者通过对417篇学术文献和40篇非科学出版物的系统回顾，推导出“网络安全事件响应影响因素分类法”（CIR-IF Taxonomy）。该分类法将现有的实证研究结果纳入其中，提供了从1999年到2024年中期的全面知识概览。作者还将该分类法与七种既有的科学框架以及NIST SP 800-61r3事件响应概况中引用的NIST网络安全框架要素进行了系统比较。比较结果显示，CIR-IF分类法在事件响应驱动和塑造因素方面提供了更丰富、更严谨、更系统化的视图。该研究适合事件响应研究人员、安全从业人员以及希望提升组织事件响应准备度的管理者阅读。主要贡献在于建立了一个统一、可扩展的分类体系，有助于识别未充分探索的研究方向，并指导未来的实证和理论研究。

本文提出了一种将检测工程与数字取证深度融合的统一方法论，基于Velociraptor平台实现。传统上，实时告警与事后取证分析各自独立发展，导致安全运维中两者脱节。作者设计了四阶段方法论：(1) 基线建立——通过收集正常系统状态（如Prefetch、USN日志）构建行为基准；(2) 证据关联——将检测到的异常与具体工件（如WMI事件）建立关联；(3) 攻击链分析——基于时间线还原攻击步骤；(4) 场景标记与置信度评估——将分析结果转化为可复用、可测试的检测规则。该方法的核心贡献有三：一是将工件知识转化为同时适用于事后处置和实时监控的检测规则；二是通过三个实际可部署的Velociraptor VQL日志源（Prefetch、USN、WMI）展示了基于工件的检测如何实现可扩展的取证分诊，而无需完整磁盘采集；三是证明周期性工件分析能提供持续监控，同时大幅减少数据量。两个案例分别展示了：在Windows事件日志被清除或不可用时，利用Prefetch/USN基线进行快速分诊；以及通过WMI持久性关联实现周期性工件的持续监控。实验表明，该方法能有效降低存储成本，提升检测与取证的一体化效率。本文适合安全运维工程师、取证分析师及检测工程研究人员阅读。

该论文研究了网络服务账户被入侵后的修复建议问题。作者通过收集和分析多家主流网络服务提供商（如电子邮件、社交媒体、金融平台等）在其帮助中心、安全指南中提供的账户修复建议，评估了这些建议的完整性、准确性和实用性。研究发现，许多服务商的修复建议存在不一致、缺乏步骤细节、未考虑实际用户情境（如多设备、多账户）等问题。此外，论文还通过用户调研揭示了普通用户在遭受账户入侵后实际采取的修复行为与官方建议之间的差距，指出许多用户依赖非官方来源或自行摸索。作者提出了一套改进修复建议的框架，包括应覆盖的必选步骤（如密码重置、检查登录活动、撤销第三方应用权限等）和可选最佳实践，并呼吁行业统一标准。实验部分包括对100+服务商的建议进行编码分析，以及针对500名用户的问卷调查。主要贡献在于系统性地揭示了当前账户修复建议的不足，为服务商优化安全指南提供了数据驱动的建议。

该论文提出一个端到端统一框架，弥合了威胁检测与可操作响应之间的鸿沟。系统由两个紧密耦合的阶段组成：首先，一个由三个独立训练的二元深度神经网络（DNN）组成的集成模型对网络流量进行分类，区分良性、拒绝服务（DoS）和分布式拒绝服务（DDoS）攻击，在CICIDS2018数据集上达到99.84%的准确率，在UNSW-NB15数据集上达到95.30%的准确率。其次，一个检索增强生成（RAG）管道从排名前五的异常特征构建解释感知的提示，从权威来源的知识库中检索语义和词汇最相关的指导，并引导本地部署的语言模型合成结构化、引用依据的缓解报告。实验表明，RAG增强的缓解报告在所有自动评估指标上均优于普通的大语言模型输出。该框架旨在直接回答安全分析师最关心的问题：下一步该怎么做？

该论文提出 SOCpilot 框架，旨在解决大语言模型（LLM）辅助的应急响应计划中的策略合规性问题。安全运营中心（SOC）开始使用 LLM 作为副驾驶来起草应急响应计划，但这些计划可能包含在目录中有效但违反强制性步骤、顺序要求或审批门控的策略。SOCpilot 在计划边界处使合规性可衡量：它固定了事件包、动作目录、策略规则、验证器和公共证据面，然后验证副驾驶建议的动作轨迹。在金融部门的案例研究中，使用来自匿名化生产 SOC 的 200 个真实事件，评估了两个 LLM 提供商（例如 OpenAI 和 Anthropic 的模型）。将他们的计划与来自同一 SOAR 案例的分析师撰写的参考计划进行比较。发现相同的策略内联文本使两个提供商的合规性表现相反方向变化。确定性验证器移除了 466 个不合规、需要审批的动作，且未降低基线任务召回率。在固定语料库的三次重复运行中，聚合率保持稳定。官方证据侧重于涉及恢复和遏制的审批门控决策。此外，该工件暴露了对强制性和顺序修复的零成本就绪检查。作者发布了可运行的工件，使独立评审者能够在不访问私有事件数据的情况下重新推导公开结果。论文的核心贡献包括：定义了 SOC 中 LLM 辅助应急响应计划的合规性问题；提出了 SOCpilot 框架及其实例化；通过真实世界案例研究证明了方法的有效性；并公开了可复现的工件。

本文提出一种利用轻量级大型语言模型（LLM）进行事件响应规划的新方法，旨在解决现有基于前沿LLM的提示工程方法成本高且易产生幻觉的问题。该方法包含三个步骤：微调、信息检索和前瞻规划。首先，通过微调使模型适应安全领域；其次，检索相关历史事件和响应知识；最后，采用前瞻规划算法生成响应计划。作者在理论上证明了该方法生成的响应计划具有有界的幻觉概率，且通过增加规划时间可以使该概率任意小。实验基于文献报道的真实安全事件日志进行评估，结果表明：与前沿LLM相比，该方法恢复时间缩短最多22%，并能泛化到多种事件类型和响应动作。此外，该方法轻量级，可在普通硬件上运行。本文适合安全运营团队、LLM应用开发者以及关注自动化事件响应的研究人员阅读。