本文提出并实现了一个名为 NODLINK 的在线 APT 攻击检测系统，旨在解决现有在线溯源图检测系统为了降低计算复杂度而牺牲检测粒度，导致生成的溯源图包含超过 10 万个节点、难以被安全运维人员解读的问题。作者的核心洞察是：在线溯源图检测中的 APT 攻击检测过程可以被建模为斯坦纳树问题（Steiner Tree Problem, STP），该问题存在具有理论上界误差的高效在线近似算法，能够恢复出简洁且与攻击相关的溯源子图。为了将 STP 近似算法框架应用到 APT 检测中，文章提出了内存缓存设计、高效的攻击筛选方法，以及一种新的 STP 近似算法，该算法在保持相同复杂度的同时比传统算法更适用于 APT 检测场景。作者在真实生产环境中评估了 NODLINK，开放世界实验表明，与两种最先进的在线溯源分析系统相比，NODLINK 在检测精度和调查精度上均高出数量级，同时保持相同或更高的吞吐量。该研究的主要贡献在于首次实现了不牺牲检测粒度的在线检测系统，同时保持高精度和高效率，为 APT 攻击的实时检测与调查提供了一种可行方案。适合从事系统安全、溯源分析、在线检测研究的学者及需要理解 APT 检测前沿技术的蓝队安全工程师阅读。