DUPIN: Attack Learning Is Still Needed! Demonstrating Few-Shot after Unsupervised Pretraining Is A Nimble Forensics Learner
本文提出一种名为 DUPIN 的新型学习型攻击取证方法。其核心思路是：先在海量的审计事件（以溯源图形式表示）上进行无监督预训练，使模型学习正常系统行为和通用结构模式；随后进入小样本学习阶段，仅利用少量带标注的攻击样例即可完成微调，从而获得针
#provenance-graph
共收录 6 条相关情报。
← 返回所有主题NODLINK: An Online System for Fine-Grained APT Attack Detection and Investigation.
本文提出并实现了一个名为 NODLINK 的在线 APT 攻击检测系统，旨在解决现有在线溯源图检测系统为了降低计算复杂度而牺牲检测粒度，导致生成的溯源图包含超过 10 万个节点、难以被安全运维人员解读的问题。作者的核心洞察是：在线溯源图检测
TGL-APT: Temporal Graph Learning with Graph Distillation for Efficient APT Investigation
本文提出了一种面向高级持续性威胁（APT）调查的自适应框架 TGL-APT。APT 攻击具有隐蔽性和多阶段特性，传统检测方法难以奏效。虽然溯源图（provenance graph）能为攻击调查提供丰富的行为上下文，但攻击相关证据往往稀疏地埋
SherAgent: Scaling Attack Investigation in the Wild via LLM-Empowered Iterative Query-Filter Backtracking
该论文提出了一种基于LLM的自动化攻击调查系统SherAgent，旨在解决实际企业安全运营中心（SOC）中基于溯源图的攻击调查面临的依赖爆炸和因果链碎片化问题。通过与服务数亿用户的互联网公司SOC合作，作者分析了现有LLM驱动的调查工作流（
ProvGuard: Detecting SDN Control Policy Manipulation via Contextual Semantics of Provenance Graphs.
本文提出了一种基于溯源图的检测框架 PROVGUARD，用于识别软件定义网络（SDN）中的控制策略操纵（CPM）攻击。SDN 通过将控制平面与数据平面解耦提升了网络灵活性，但逻辑集中的控制平面易受 CPM 攻击，攻击者通过操纵控制器的网络视
Sometimes, You Aren't What You Do: Mimicry Attacks against Provenance Graph Host Intrusion Detection Systems.
本论文针对基于溯源图的主机入侵检测系统（HIDS）提出了模仿攻击（Mimicry Attacks），旨在揭示这类系统在面对精心构造的恶意行为时存在的脆弱性。作者首先形式化地定义了模仿攻击问题，即攻击者通过模仿正常系统行为模式来绕过基于溯源图