本文提出 MAGIC，一种基于掩码图表示学习的自监督高级持续性威胁（APT）检测方法。现有基于数据起源图分析的 APT 检测方法存在三个主要缺陷：一是依赖包含攻击的数据和先验知识，难以应对未知攻击；二是无法充分提取起源图中丰富的上下文信息；三是计算开销和内存消耗过大，实际部署困难。MAGIC 通过掩码图表示学习对正常系统实体和行为进行建模，在起源图上执行高效的深度特征提取和结构抽象，从而在不依赖攻击样本的情况下学习正常行为模式。检测阶段，MAGIC 利用异常检测方法识别偏离正常模式的系统行为，支持系统实体级和批量日志级两种粒度的 APT 检测。此外，MAGIC 专门设计了模型自适应机制以应对概念漂移，提高在动态环境中的鲁棒性，适用于多种检测场景。作者在三个广泛使用的数据集（包含真实攻击和模拟攻击）上进行了评估，结果显示 MAGIC 在所有场景下均取得了有竞争力的检测效果，并且在性能开销上显著优于现有的最先进 APT 检测方法。该研究的核心贡献包括：提出一种灵活的自监督 APT 检测框架，无需攻击样本；利用掩码图表示学习捕获深层语义；支持多粒度检测和概念漂移适应；在多个数据集上验证了有效性和高效性。适合安全研究人员、SOC 分析师以及对 APT 检测和溯源分析感兴趣的从业者阅读。

本文提出 KnowHow，一种自动化应用 CTI 报告高级知识的在线溯源分析方法。现有攻击检测系统（如溯源分析）依赖底层系统事件（文件访问、网络连接等），而 CTI 报告中的知识以自然语言形式（如 ATT&CK 技术）描述，两者之间存在语义鸿沟。手动关联耗时且易错。KnowHow 的核心是一种新的攻击知识表示——gIoC（graph of Indicators of Compromise），它抽象了攻击的主体、客体和动作。通过将系统标识符（如文件路径）提升为自然语言术语，KnowHow 能够将系统事件与 gIoC 匹配，进而与自然语言描述的技术关联。然后，基于匹配的技术，KnowHow 推理攻击步骤的时间逻辑，检测潜在 APT 攻击。实验使用开源和工业数据集，KnowHow 准确检测了全部 16 个 APT 活动，而现有方法均产生大量误报。同时，KnowHow 将节点级误报最多减少 90%，且节点级召回率更高，对未知攻击和模仿攻击具有鲁棒性。该方法有效地弥合了高级 CTI 知识与低级日志之间的鸿沟，提升了溯源分析的准确性和可解释性。