该论文关注基于溯源图（provenance graph）的入侵检测系统（PIDS）在检测高级持续性威胁（APT）时的统计偏差问题。现有 PIDS 方法普遍把系统调用/系统交互形成的各类关系（relation）同等对待，忽略了关系之间巨大的统计异质性——作者指出在 CADETS 数据集中，不同关系类型的出现频率差异可达约 14 万倍。这种极端不平衡带来两个后果：一是模型训练时会被高频关系主导，稀有但往往更具判别力的交互模式被淹没；二是不同关系上正常（良性）行为本身的误差分布本就不同，模型却用同一把尺子衡量重建误差，导致阈值判定失真，既抬高误报率（FPR），又增加漏报风险。针对这一问题，作者提出 RECAL，一个无监督框架。其核心有两点：第一，采用关系平衡的掩码图学习（relation-balanced masked graph learning），在自监督重建任务中平衡各关系类型的贡献，使模型能够更好地刻画和捕获稀有交互模式；第二，对重建误差按关系类型各自的良性误差分布进行校准（calibration），把不同尺度、不同方差的原始误差映射为可相互比较的异常证据，从而更可靠地区分攻击行为与良性行为，降低误报。作者在三个 DARPA E3 数据集上进行了评测：RECAL 的 F1 分数分别达到 99.99%、99.93% 和 99.99%，相较各数据集上最佳基线分别提升 0.88、0.82 和 0.42 个百分点；与报告中 FPR 最低的基线相比，平均 FPR 分别降低约 105 倍、4 倍和 41 倍。整体贡献可概括为：揭示了关系频率不平衡与误差尺度不一致对 PIDS 的负面影响，给出了一种无需攻击标签的关系平衡+误差校准的无监督检测方案，并在标准 APT 数据集上显著改善了误报与检出性能。该工作适合主机侧威胁检测、溯源图分析、EDR/审计日志异常检测方向的研究与工程人员阅读。

本文提出一种名为 DUPIN 的新型学习型攻击取证方法。其核心思路是：先在海量的审计事件（以溯源图形式表示）上进行无监督预训练，使模型学习正常系统行为和通用结构模式；随后进入小样本学习阶段，仅利用少量带标注的攻击样例即可完成微调，从而获得针对特定攻击活动的检测能力。作者在最多 38-52 天的审计日志（总计 7.3TB）上预训练 DUPIN，并在来自四个不同数据源的 25 个 APT（高级持续性威胁）活动中与多种基线方法进行对比评估。实验表明，DUPIN 在仅需少量标注样本的情况下，能够有效提升攻击检测能力，实现了可扩展的评估流程。该方法的主要贡献在于：将无监督预训练与小样本学习结合，缓解了传统监督学习方法对大量人工标注攻击样本的依赖，同时利用溯源图结构捕捉系统级因果关系，提高了对复杂攻击链的取证分析能力。本文适合从事入侵检测、攻击取证、溯源分析和机器学习安全应用的研究人员阅读。

本文提出并实现了一个名为 NODLINK 的在线 APT 攻击检测系统，旨在解决现有在线溯源图检测系统为了降低计算复杂度而牺牲检测粒度，导致生成的溯源图包含超过 10 万个节点、难以被安全运维人员解读的问题。作者的核心洞察是：在线溯源图检测中的 APT 攻击检测过程可以被建模为斯坦纳树问题（Steiner Tree Problem, STP），该问题存在具有理论上界误差的高效在线近似算法，能够恢复出简洁且与攻击相关的溯源子图。为了将 STP 近似算法框架应用到 APT 检测中，文章提出了内存缓存设计、高效的攻击筛选方法，以及一种新的 STP 近似算法，该算法在保持相同复杂度的同时比传统算法更适用于 APT 检测场景。作者在真实生产环境中评估了 NODLINK，开放世界实验表明，与两种最先进的在线溯源分析系统相比，NODLINK 在检测精度和调查精度上均高出数量级，同时保持相同或更高的吞吐量。该研究的主要贡献在于首次实现了不牺牲检测粒度的在线检测系统，同时保持高精度和高效率，为 APT 攻击的实时检测与调查提供了一种可行方案。适合从事系统安全、溯源分析、在线检测研究的学者及需要理解 APT 检测前沿技术的蓝队安全工程师阅读。

本文提出了一种面向高级持续性威胁（APT）调查的自适应框架 TGL-APT。APT 攻击具有隐蔽性和多阶段特性，传统检测方法难以奏效。虽然溯源图（provenance graph）能为攻击调查提供丰富的行为上下文，但攻击相关证据往往稀疏地埋藏在大量常规系统活动中，导致全图学习计算成本高且难以在长序列攻击中关联。TGL-APT 基于一个关键观察：攻击相关信息在图中呈非均匀分布，且通常经由结构上有影响力或行为上独特的实体（称为信息瓶颈节点）进行传递。框架由三个互补组件构成：（1）基于信息瓶颈的图蒸馏，用于抑制溯源冗余，同时限制结构失真并保留因果可达性；（2）自适应时序图学习，随着节点相关性演变持续精炼核心节点集合；（3）跨时空攻击指纹对齐，将不同实体和时间窗口中的碎片化可疑活动进行关联。最后，通过因果扩展和阶段刻画重建连贯的攻击过程以支持调查。在三个 DARPA E3 数据集上的实验表明，TGL-APT 的 F1 分数分别达到 95.7%、90.9% 和 88.9%，与 KAIROS 相比，训练时间、检测延迟和内存占用分别降低约 39%、33% 和 22%。这些结果证明 TGL-APT 在溯源图 APT 分析中有效平衡了检测性能、计算效率和调查能力。面向的研究问题聚焦于 APT 调查中的效率与关联性瓶颈，核心贡献在于提出信息瓶颈引导的图蒸馏与自适应时序学习相结合的新框架。适合安全研究人员、蓝队分析人员以及从事溯源分析和入侵调查的工程师阅读。

该论文提出了一种基于LLM的自动化攻击调查系统SherAgent，旨在解决实际企业安全运营中心（SOC）中基于溯源图的攻击调查面临的依赖爆炸和因果链碎片化问题。通过与服务数亿用户的互联网公司SOC合作，作者分析了现有LLM驱动的调查工作流（每天处理数万条原始告警，仍需数千条人工分诊）的失败根因与挑战。受此启发，SherAgent采用迭代式“查询-过滤”回溯范式，利用LLM的语义推理能力处理非结构化数据（如调查上下文和威胁情报），以克服因果链碎片化——动态调整查询条件以扩大搜索范围，同时进行精确结果过滤和策略性节点选择以缓解依赖爆炸。在真实环境中的广泛评估显示，相比企业基线方法和最新技术，SherAgent端到端调查成功率分别提升31.1%和63.7%，每次调查API成本低于0.10美元、耗时不到4分钟。用户研究证实，SherAgent提供准确清晰的洞察，显著减轻安全专家分析负担。

本文提出了一种基于溯源图的检测框架 PROVGUARD，用于识别软件定义网络（SDN）中的控制策略操纵（CPM）攻击。SDN 通过将控制平面与数据平面解耦提升了网络灵活性，但逻辑集中的控制平面易受 CPM 攻击，攻击者通过操纵控制器的网络视图引入错误策略。现有异常检测和配置验证方法因仅关注数据平面而存在局限性，某些隐蔽的 CPM 攻击若不分析控制器决策的因果关系则难以与正常行为区分。PROVGUARD 通过监控控制器活动来检测 CPM 攻击，利用静态分析识别与数据平面相关的控制器操作并指导控制器插桩，从捕获的控制平面活动构建溯源图。该框架通过减少冗余并提取溯源图中的路径作为上下文，以捕获简洁且长期的特征。基于序列到序列预测模型，通过识别导致预测误差超出正常范围的路径来标记可疑行为。作者在 Floodlight 控制器上实现了原型，实验证明该方法成功识别了先前方法无法完全处理的四种典型 CPM 攻击，并为攻击行为调查提供了有价值的见解。

本论文针对基于溯源图的主机入侵检测系统（HIDS）提出了模仿攻击（Mimicry Attacks），旨在揭示这类系统在面对精心构造的恶意行为时存在的脆弱性。作者首先形式化地定义了模仿攻击问题，即攻击者通过模仿正常系统行为模式来绕过基于溯源图的异常检测模型。然后设计并实现了一种攻击方法，包含两个核心组件：攻击规划器（Attack Planner）和恶意有效载荷生成器（Malicious Payload Generator）。攻击规划器利用系统溯源图模型，自动搜索能够隐藏恶意活动的正常行为序列；有效载荷生成器则将恶意操作嵌入到这些合法序列中，使得整体执行轨迹与正常行为难以区分。实验基于真实数据集（如UNM、ADFA-LD等）和多个主流溯源图HIDS（如Uni-GNN、StreamSpot、MAGIC等）进行评估，结果表明所提攻击能够以高成功率（平均超过80%）绕过现有检测系统，同时保持较低的检测成本。论文还讨论了潜在的防御策略，包括增加上下文感知的检测维度、利用时序相关性分析等，但未提供完整的防御方案。该研究为HIDS的安全加固提供了新的视角，警示业界需警惕针对溯源图的对抗性攻击。