Know the Normal, Track the Attack: Context-Grounded and Stateful LLM Investigation over System Provenance
该论文关注基于溯源（provenance）的入侵检测系统（PIDS）在落地环节的一个核心痛点：PIDS 虽然能在系统审计流中识别可疑活动，但其输出通常只是孤立的异常点或子图，难以被转化为连贯、可读的攻击叙事，安全分析师仍需大量人工拼接。作者
#SOC
共收录 28 条相关情报。
← 返回所有主题HESP: Separating What to Probe from When to Stop in Local LLM Alert-Triage Agents
该论文针对安全运营中心（SOC）告警量远超分析师处理能力的现实困境，聚焦于一类特殊但普遍受限的部署场景：组织因合规或数据主权要求，无法将遥测数据上传到托管式大模型，只能在本机构硬件上使用小参数开放权重模型（如 Qwen2.5、Llama-3
SoK: You Find What You Seek: Rethinking Oracles, Guidance, and Input Generation in Hardware Fuzzing
本论文是一篇针对硬件模糊测试(hardware fuzzing)的系统化知识综述(SoK)。作者指出,硬件模糊测试虽已成为安全验证研究中的活跃方向,但其工业界落地仍处于早期阶段,研究结论与实际部署之间存在明显断层。为厘清这一差距,论文系统考
Toward Responsible AI-Augmented Cyber Defense: Pattern Recognition, Defense-in-Depth, and the Case for Human-AI Collaboration
网络安全文献长期记录 AI 在威胁检测、事件响应与预防方面的运营收益，同时也提出过度自动化、算法偏见与分析师技能退化等定性担忧，但一直缺少一个形式化、可证伪的模型，用来连接三组反复出现的构念：纵深防御理论（Defense-in-Depth）
How It's Made: Uncovering Detection Engineering Processes for Network Intrusion Detection Rules
这篇论文聚焦一个长期被学术界忽视、却对安全运营中心（SOC）日常运转至关重要的环节：基于签名的网络入侵检测系统（如 Suricata）的检测规则工程。作者指出，尽管大量 SOC 依赖 Suricata 这类签名式 NIDS 进行流量侧告警，
Reasoning Topology Matters: A Controlled Study of LLM-Based Cybersecurity Analysis
该论文针对大语言模型在网络安全分析中的推理结构问题展开研究。背景是：LLM 已被广泛用于网络安全场景，而准确的安全分析往往需要跨复杂、异构数据（如网络流量、威胁情报文本、漏洞描述）进行多步、依赖上下文的推理。现有提示词（prompting）
Toss If Perishable: An Ethnographic Study on Building Scenario-Based Training for Non-Perishable Skills
该论文关注安全运营中心（SOC）人员培训中长期存在的结构性问题：SOC 普遍依赖“在岗培训”，内容高度绑定具体工具与流程，工具的复杂性往往掩盖了底层的调查推理过程，导致分析员虽能熟练操作界面，却难以形成可迁移的调查能力。作者据此提出“非易腐
Architecting the Secure AI-SOC: A Neurosymbolic Framework for Pipeline Integrity and Threat Mitigation
该论文聚焦于大语言模型（LLM）被引入安全运营中心（SOC）后所引入的新型攻击面。作者指出，将 LLM 用于威胁情报的聚合、解读与优先级排序虽然显著提升了分析效率，但同时也打开了间接提示注入（indirect prompt injectio
It is Not Yet Another Tool: Creating and Deploying an Agentic AI Companion in a Security Operations Center
本文介绍了作者团队在真实安全运营中心（SOC）中设计、开发并部署一个智能体式 AI 助手（agentic AI companion）的长期实地研究成果。SOC 每天需要处理大量工单，其中绝大多数是低关注度事件，不值得深入调查，而这类重复性劳
Can Risk-Based Alerting Mitigate Cybersecurity Alert Fatigue?
本文针对安全运营中心（SOC）面临的网络安全告警疲劳问题，首次系统性地评估了基于风险告警（Risk-Based Alerting, RBA）方法的有效性。SOC 日常需要处理海量告警，其中大量为误报，导致真实攻击在有限的人力资源下难以被及时
99% False Positives: A Qualitative Study of SOC Analysts' Perspectives on Security Alarms.
本文是一项针对安全运营中心（SOC）分析师的定性研究，旨在理解他们对安全告警（security alarms）的视角，特别是为什么大量告警被视为误报。研究发现，高达99%的安全告警被分析师认定为误报，这一现象严重影响了安全团队的工作效率和威
Explainable Artificial Intelligence for Industrial Cybersecurity: A Review of Methods, Operational Integration, and Research Challenges
本文是一篇关于可解释人工智能（XAI）在工业网络安全中应用的综述性论文。随着工业基础设施的日益数字化以及信息技术（IT）与运营技术（OT）的融合，工业系统的网络攻击面显著扩大。为应对日益复杂的网络威胁，人工智能（AI）和机器学习（ML）技术
LLMs in the SOC: An Empirical Study of Human-AI Collaboration in Security Operations Centres.
本文是一篇关于安全运营中心（SOC）中人类与AI协作的实证研究。研究背景是，随着大语言模型（LLM）在安全分析工具中的快速集成，理解人类分析师如何与这些AI系统实际协作变得至关重要。然而，目前缺乏针对真实SOC环境中人机交互模式的系统性、实
Lessons from the Hardware Hacking Competitions: Verification Techniques, Findings, and Insights
本文系统研究了硬件黑客竞赛在复杂片上系统（SoC）安全验证中的应用。随着SoC设计复杂度不断提升，传统验证方法难以覆盖所有安全漏洞，硬件黑客竞赛成为一种实用化的安全评估平台，能够促进安全意识验证和工具开发。作者提出了一种多策略漏洞分析方法，
COMA: A Compositional Misleading Attack Class on Security-RAG, and a Causal Counterfactual Defense
该论文研究检索增强生成（RAG）在安全运营中心（SOC）分析师面向上机助手（copilot）场景中的安全漏洞。作者发现并定义了一类名为 COMA（Compositional Misleading Attack）的攻击：即使每个检索到的文档都
From Chasing Ghosts to Missed Attacks: Perspectives and Perceptions of SOC Practitioners on LLM Integration, Risks, and Readiness
本文针对大型语言模型（LLM）在安全运营中心（SOC）实际工作流中的适用性问题，开展了一项实证研究。研究背景是SOC分析师需要处理海量安全事件，并在时间压力下准确检测和评估网络攻击；虽然LLM在安全运营方面展现出潜在价值，但其现实应用效果与
Bending the Curve: Operational Cyber Epidemiology for Ransomware
该论文将勒索软件事件重新定义为“暴发”而非单纯的检测问题，并提出一个运营网络流行病学框架，以流行病学方法改进事件响应。核心思想是将经典的易感-暴露-感染-移除（SEIR）模型适配到勒索软件事件管理中：其中“暴露”指潜在入侵与暂存阶段，包含在
Implementing Homomorphic Encryption-Based Logic Locking in System-on-Chip Designs
本研究提出了一种基于二进制 Ring Learning With Errors (RLWE) 同态加密算法的逻辑锁定方案，并将其集成到 RISC-V 系统级芯片 (SoC) 设计中。传统逻辑锁定方法需要向用户提供原始锁定参数，容易暴露敏感信
Cybersecurity Detection Classification with Reasoning-enabled Language Models
本文聚焦安全运营中心（SOC）中普遍存在的告警疲劳问题：每日产生的检测告警数量远超分析师可处理范围。以往研究通常直接提示或微调大语言模型（LLM）输出三分类标签（良性/恶意/待查），但未训练模型对检测是否构成真实威胁进行推理。作者提出一种基
(EC)2: Event-Centric Explainability for Cybersecurity Through Multi-Agent LLM Investigations
本文针对安全运营中心（SOC）依赖异常检测系统标记可疑事件时，传统基于特征的解释难以满足实际调查需求的问题，提出了一种以事件为中心、与检测器无关的网络安全告警解释方法。作者指出，分析人员不仅需要知道某个特征偏离了正常范围，更需了解告警涉及的