本文研究网络流量中的恶意软件检测问题。当前基于机器学习特别是神经网络的方法虽然高效，但存在两个结构性缺陷：其一，模型纯粹由数据驱动，忽略了网络安全领域已有的战术、技术与过程（TTP）知识库，导致模型无法将检测到的恶意行为与具体攻击手法关联；其二，即便部分模型尝试利用TTP信息，仍只能粗粒度地判断‘是否恶意’，而无法准确指出哪一个或哪些TTP被恶意使用，解释性和可操作性不足。针对上述问题，作者提出一种新的检测范式：首先为每个训练样本显式标注其使用的TTP集合，然后将这些TTP信息作为辅助特征输入神经网络；同时，训练目标不再仅输出整体恶意标签，而是要求模型逐TTP判断‘该TTP是否被恶意利用’，从而实现细粒度的恶意行为识别。实验部分与三种基线模型进行比较：一种完全不使用TTP信息，一种输入TTP但只做整体恶意分类，另一种既不输入也不输出TTP细节。在多个公共流量数据集上的结果显示，所提方法在整体检测精度上一致超过基线，尤其在恶意软件使用罕见TTP时优势显著，因为传统模型难以从有限的训练频率中学习此类模式。此外，该方法支持按TTP维度进行模型调优，即可针对某类关键攻击手法动态调整判决权重，进一步提升恶意TTP识别能力。研究还表明，该方法在训练数据不足或面对对抗样本扰动时仍保持较优的鲁棒性，明显优于对照组。本文的贡献在于系统性地将领域知识（TTP）嵌入神经网络训练的全过程，并推动恶意软件检测从黑盒整体判断走向可解释、可细粒度归因的白色判断，为后续融入安全运营工作流提供了理论依据和实验基础。适合对安全机器学习、入侵检测和可解释AI感兴趣的蓝队研究人员或安全工程师阅读。