threaTrace: Detecting and Tracing Host-based Threats in Node Level Through Provenance Graph Learning
针对现有溯源图方法难以检测隐蔽威胁的问题，提出基于归纳图神经网络 GraphSAGE 的异常检测系统 threaTrace，在实体级别学习良性节点特征，实现早期主机入侵检测且优于现有系统。
2021-11-08 cs.CR cs.LG
ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Geoinformatics, Zhejiang University of Technology（浙江工业大学地理信息学院）
本文提出ProHunter，一种基于整体系统溯源的高效准确APT狩猎系统，通过语义抽象和位级编码策略减少内存开销，并采用启发式威胁图采样算法精准提取攻击模式，有效解决APT活动与良性操作的语义差距问题。
2026-03-20 cs.CR
ORCHID: Streaming Threat Detection over Versioned Provenance Graphs
本文提出新型Prov-IDS系统ORCHID，利用版本化溯源图在实时流中迭代嵌入RNN模型，实现细粒度进程级威胁检测，在保证分类性能的同时消除检测延迟并大幅降低内存消耗。
2024-08-23 cs.CR
APT-CGLP: Advanced Persistent Threat Hunting via Contrastive Graph-Language Pre-Training
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Geoinformatics, Zhejiang University of Technology（浙江工业大学地理信息学院）；College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）
APT-CGLP通过对比图-语言预训练实现高级持续威胁狩猎，提升跨模态语义匹配的准确性和效率。
2025-12-31 cs.CR
Exploring Answer Set Programming for Provenance Graph-Based Cyber Threat Detection: A Novel Approach
本文提出基于答案集编程（ASP）的溯源图建模方法，用于网络威胁检测，支持攻击路径追踪、数据泄露检测和异常识别，具有可扩展性和可解释性。
2025-01-24 cs.CR cs.PL
A Framework for Data-Driven Physical Security and Insider Threat Detection
本文介绍了PS0，本体框架和方法，提高物理安全和内部威胁检测。PS0可以通过利用基于规则的异常检测来促进取证数据分析并主动减轻内部威胁。在太多的情况下，基于规则的异常检测可以检测员工对组织安全策略的偏离。此外，PS0可以被认为是一种安全起源解决方案，因为它能够完全重建攻击模式。可以进一步分析出处图，以识别欺骗性行为，并克服可能导致错误决策的分析错误，例如错误归因。此外，这些信息还可以用来丰富可用的情报（关于入侵尝试），这些情报可以形成用例来检测和修复系统中的限制，例如松散耦合的起源图，在许多情况下，它表明物理安全架构中的弱点。最后，通过用例验证该框架展示并证明了PS0可以在物理安全和内部威胁检测方面改善组织的安全状况。
2018-09-25 cs.CR
Knowledge Transfer from LLMs to Provenance Analysis: A Semantic-Augmented Method for APT Detection
本文提出一种利用大型语言模型增强溯源分析的语义增强方法，通过LLM的知识和嵌入能力提升APT检测性能，在真实数据上监督检测精确率达99.0%，半监督异常检测达96.9%。
2025-03-25 cs.CR
ANUBIS: A Provenance Graph-Based Framework for Advanced Persistent Threat Detection
National Research Council（加拿大国家研究委员会）；Tutte Institute for Mathematics and Computing（塔特数学与计算研究所）
我们提出了一个高效的基于机器学习的APT检测系统ANUBIS。我们为ANUBIS设计的理念包括两个主要组成部分。首先，我们打算让网络反应小组有效利用ANUBIS。因此，预测的可解释性是ANUBIS设计的主要焦点之一。其次，ANUBIS使用系统起源图来捕获因果关系，从而实现高检测性能。在ANUBIS的预测能力的核心，有一个贝叶斯神经网络，可以告诉它在其预测的信心。我们对最近的APT数据集（DARPA OpTC）评估了ANUBIS，并表明ANUBIS可以高精度地检测类似于APT活动的恶意活动。此外，ANUBIS还了解高级模式，使其能够向威胁分析师解释其预测。具有可解释的攻击故事重建的高预测性能使ANUBIS成为用于企业网络防御的有效工具。
2021-12-21 cs.CR cs.LG
A Comprehensive Survey on the State-of-the-art Data Provenance Approaches for Security Enforcement
数据起源在应用程序和系统级别收集有关计算机系统中的事件和操作的综合信息。它提供了详细而准确的事务历史记录，有助于描述整个系统中的数据流场景。数据来源有助于实现系统的弹性，通过发现系统受损后的几个恶意攻击痕迹，分析人员可以利用这些痕迹来了解攻击行为并发现损害程度。现有的文献表明，一些研究工作的信息捕获，管理和分析数据来源。近年来，由于商品物联网设备的激增，物联网设备的来源吸引了一些研究工作。在这篇调查论文中，我们提出了一个比较研究的国家的最先进的方法来出处，通过分类它们的基础上的框架，部署的技术，和感兴趣的主题。我们还讨论了物联网网络中数据来源的出现和范围。最后，我们提出了数据起源需要追求的几个方向，包括数据管理和分析的紧迫性。
2021-07-04 cs.CR
An End-to-End Framework for Functionality-Embedded Provenance Graph Construction and Threat Interpretation
University of Alberta（阿尔伯塔大学）
本文提出Auto-Prov框架，利用大语言模型自动构建溯源图，嵌入系统功能属性，提升异常检测性能并生成自然语言攻击总结。
2026-03-17 cs.CR cs.LG
No Provenance Left Behind: Revisiting Reference Monitor Guarantees with Learned Kernel Scheduling
University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）；Georgetown University（乔治城大学）
本文提出了一种基于强化学习的 Linux 内核调度器 Aegis，通过动态优化资源分配来缓解溯源收集中的“超级生产者威胁”，显著提升了溯源系统的完整性与效率。
2026-10-27 cs.CR cs.OS
DeepHunter: A Graph Neural Network Based Approach for Robust Cyber Threat Hunting
网络威胁搜索是对组织信息系统中已知攻击行为的主动搜索。它是缓解高级持续威胁（APT）的重要组成部分。然而，来源数据中记录的攻击行为可能与已知的攻击行为不完全一致。在本文中，我们提出了DeepHunter，这是一种基于图神经网络（GNN）的图模式匹配方法，可以以鲁棒的方式将起源数据与已知的攻击行为进行匹配。具体来说，我们设计了一个图神经网络架构，其中包含两个新的网络：可以包含妥协指标（IOCs）信息的属性嵌入网络和可以捕获IOCs之间关系的图嵌入网络。为了评估DeepHunter，我们选择了五种真实和合成的APT攻击场景。实验结果表明，DeepHunter能够捕获所有的攻击行为，其准确性和鲁棒性均优于最先进的Poirot方法。
2021-04-20 cs.CR
SecTracer: A Framework for Uncovering the Root Causes of Network Intrusions via Security Provenance
Electronics and Telecommunications Research Institute (ETRI)（电子电信研究所）；Temple University（天普大学）；School of Software, Kwangwoon University（光云大学软件学院）
针对企业网络复杂攻击难以分析的问题，本文提出网络级安全溯源概念及SecTracer框架，通过SDN收集数据、溯源图重建攻击、概率模型预测攻击，经APT模拟验证其有效性且开销低。
2025-11-12 cs.CR
TBDetector:Transformer-Based Detector for Advanced Persistent Threats with Provenance Graph
本文提出TBDetector，一种基于Transformer和溯源图的APT检测方法，利用自注意力编码器-解码器提取系统状态长期特征，并引入异常分数，在五个公开数据集上验证了优于现有方法的检测性能。
2025-07-17 cs.AI cs.CR cs.LG
DEHYDRATOR: Enhancing Provenance Graph Storage via Hierarchical Encoding and Sequence Generation
针对溯源图存储开销高的问题，本文提出 Dehydrator 系统，通过字段映射编码、分层编码和深度神经网络支持批量查询，在超十亿条日志上实现存储空间降低 84.55%，并显著优于 PostgreSQL、Neo4j 和 Leonard。
2024-12-31 cs.CR
ProvAgent: Threat Detection Based on Identity-Behavior Binding and Multi-Agent Collaborative Attack Investigation
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Zhongguancun Laboratory（中关村实验室）
ProvAgent通过多智能体协作与传统模型结合，实现高效威胁检测与自动化攻击调查，提升安全响应效率与准确性。
2026-03-10 cs.CR
An Analytical Survey of Provenance Sanitization
由于存在无意中泄露敏感信息的风险，安全性很可能成为未来采用出处技术的关键因素。在这篇调查论文中，我们回顾了最先进的安全出处，考虑访问控制机制，以及这些机制在多大程度上保持出处的完整性。我们检查七个系统或方法，比较功能，并确定未来的工作领域。
2014-05-22 cs.CR cs.DB
P3GNN: A Privacy-Preserving Provenance Graph-Based Model for APT Detection in Software Defined Networking
P3GNN模型结合联邦学习与图卷积网络，利用无监督学习分析溯源图，在SDN中实现节点级APT检测，准确率0.93，误报率0.06。
2024-07-08 cs.CR
ActMiner: Applying Causality Tracking and Increment Aligning for Graph-based Cyber Threat Hunting
针对现有溯源图威胁狩猎系统高漏报、高误报和低效率的问题，提出Actminer系统，通过因果追踪和增量对齐技术，在DARPA数据集上显著降低误报并消除漏报。
2025-08-08 cs.CR
Slot: Provenance-Driven APT Detection through Graph Reinforcement Learning
针对高级持续性威胁检测难题，提出基于溯源图与图强化学习的检测方法Slot，通过挖掘系统行为间多层次隐藏关系、动态适应攻击演变并自动构建攻击链，实现了高准确率与鲁棒性。
2025-07-17 cs.CR
Combating Advanced Persistent Threats: Challenges and Solutions
针对基于溯源图的内核级审计在APT防御中存在的横向攻击链重构难等问题，提出含分布式审计模型、规避检测策略和隐马尔可夫防御方法的鲁棒APT防御方案，经实验验证有效并指明开放研究方向。
2024-04-12 cs.CR
Winemaking: Extracting Essential Insights for Efficient Threat Detection in Audit Logs
本文提出轻量级威胁检测系统Winemaking，通过图拉普拉斯正则化降噪和知识蒸馏框架，将GNN教师模型的知识迁移到由特征变换与个性化PageRank标签传播组成的学生模型中，在审计日志来源图上实现高效节点级APT检测，检测速度比现有最优方法快1.4至5.2倍。
2024-11-21 cs.CR
A Rule Mining-Based Advanced Persistent Threats Detection System
The University of Edinburgh（爱丁堡大学）；New York University（纽约大学）；King’s College London（伦敦国王学院）；University of Manchester（曼彻斯特大学）；The Alan Turing Institute（阿兰·图灵研究所）；Université du Québec à Montréal（魁北克大学蒙特利尔分校）
高级持续性威胁（APT）是一种隐形的网络攻击，旨在从目标组织窃取有价值的信息，并往往会在时间上延长。安全专家警告说，阻止所有APT是不可能的，因此研究早期检测和损害限制的重要性。全系统起源跟踪和起源跟踪挖掘被认为是有前途的，因为它们可以帮助发现活动之间的因果关系，并在可疑事件发生时标记它们。我们引入了一种无监督的方法，利用操作系统独立的功能，反映过程活动来检测现实的APT类攻击的起源痕迹。异常过程的排名使用频繁和罕见的事件关联从痕迹。结果，然后提出的影响，因为可解释的，有助于利用因果关系解释检测到的异常。在透明计算程序数据集（DARPA）上进行评估时，我们的方法优于竞争方法。
2021-05-20 cs.AI cs.CR
LTRDetector: Exploring Long-Term Relationship for Advanced Persistent Threats Detection
针对 APT 攻击长期隐蔽、现有方法忽视攻击生命周期关系的问题，提出 LTRDetector 框架，通过溯源图嵌入、数据压缩和无签名异常行为建模检测已知与零日 APT，并在五个数据集上验证其优于现有方法。
2024-04-04 cs.CR
Accurate and Scalable Detection and Investigation of Cyber Persistence Threats
Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）；University of Virginia（弗吉尼亚大学）
本文提出Cyber Persistence Detector系统，通过溯源分析检测持续性威胁，引入伪依赖边和专家引导边提升检测效率，并通过新颖的警报分级算法降低误报率。
2024-07-26 cs.CR
Non-repudiable provenance for clinical decision support systems
来源模板现在是构建数据来源记录的公认方法。每个模板以抽象形式定义特定于域的动作的出处，然后可以根据对出处模板服务的单个调用的需要来实例化该动作。随着数据可靠性和可信度在越来越多的领域中成为关键问题，相应地需要确保数据的来源是不可否认的。在本文中，我们贡献了两个新的，互补的模块，我们的模板模型和实现产生不可否认的数据出处。第一个模块，跟踪起源模板服务本身的操作，并在各个服务调用的级别上记录对象级别文档的构造的起源跟踪。第二个是不可否认模块，它为每个调用记录的数据生成证据，相应地注释服务跟踪，并将该证据的表示提交给提供者不可知的公证服务。我们评估我们的方法在临床决策支持系统的背景下的适用性。我们首先定义一个策略，以确保安全威胁分析的证据的不可否认性，以证明我们的解决方案的适用性。然后，我们从一个特定的系统中选择三个用例，咨询，对比数据出处记录要求，并分析我们的原型实现对三个不同的公证提供商的后续性能。
2020-06-19 cs.CR
Authenticity Debt and the Synthetic Content Threat Landscape: A Layered Framework for Trust, Provenance, and IP Governance in the Generative AI Era
Accenture Services Pvt. Ltd.（Accenture服务有限公司）
提出真实性债务概念，并基于零信任架构原则设计分层参考架构，整合密码学溯源、人工验证和持续治理，以应对生成式AI带来的合成内容威胁。
2026-11-03 cs.AI cs.CR cs.CY
EXTRACTOR: Extracting Attack Behavior from Threat Reports
University of Illinois at Chicago（伊利诺伊大学芝加哥分校）
网络威胁情报（CTI）报告中包含的攻击知识对于有效识别和快速响应网络威胁非常重要。然而，这些知识往往嵌入在大量的文本中，因此很难有效地使用。为了解决这一挑战，我们提出了一种新的方法和工具，称为EXTRACTOR，允许精确的自动提取简洁的攻击行为CTI报告。EXTRACTOR对文本没有强有力的假设，能够从非结构化文本中提取攻击行为作为起源图。我们使用来自各种来源的真实事件报告以及DARPA对抗活动的报告来评估EXTRACTOR，这些活动涉及Windows，Linux和FreeBSD等各种操作系统平台上的几次攻击活动。我们的评估结果表明，EXTRACTOR可以从CTI报告中提取简洁的出处图，并表明这些图可以成功地被网络分析工具用于威胁搜索。
2021-04-17 cs.AI cs.CR
MAGIC: Detecting Advanced Persistent Threats via Masked Graph Representation Learning
Fudan University（复旦大学）；Sun Yat-sen University（中山大学）；National Key Laboratory of Science and Technology on Information System Security（国家信息系统安全科学技术重点实验室）；Shanghai University of Electric Power（上海电力大学）
针对现有APT检测依赖攻击数据、上下文提取不足及开销大的问题，提出自监督掩码图表示学习方法MAGIC，建模良性实体行为，实现多粒度检测，在三个数据集上优于现有方法且开销更低。
2023-10-15 cs.CR cs.LG
Cutting the Fuse: Actionable APT Attack Blocking in Provenance-based IDS
School of Cyber Engineering, Xidian University（西安电子科技大学网络空间安全学院）；State Key Laboratory of Integrated Services Networks (ISN)（综合业务网理论及关键技术国家重点实验室）；Songshan Laboratory（松山湖实验室）；Nanyang Technological University（南洋理工大学）
针对基于 GNN 的溯源图入侵检测模型缺乏可解释性的问题，提出反事实解释框架 ProvX，通过将关键子图搜索转化为连续优化任务并引入 Staged Solidification 策略，精确定位恶意结构，其解释性能优于 SOTA 并能有效指导模型增强对抗鲁棒性。
2026-10-20 cs.CR
TFLAG:Towards Practical APT Detection via Deviation-Aware Learning on Temporal Provenance Graph
针对APT攻击的隐蔽性及溯源图时间变化易被忽略的问题，提出TFLAG框架，首次结合时序图模型与偏差网络，在无先验知识下准确识别攻击时间窗口，显著提升检测准确率。
2025-09-17 cs.CR
GraphDART: Graph Distillation for Efficient Advanced Persistent Threat Detection
School of Computing Technologies, RMIT University（RMIT大学计算技术学院）；Institute of Innovation, Science and Sustainability, Federation University Australia（澳大利亚联邦大学创新、科学与可持续发展研究院）
针对 CPSSs 中溯源图规模过大导致 GNN 检测 APT 效率低的问题，本文提出模块化 GraphDART 框架，通过经典与现代图蒸馏压缩图并保留关键信息，提升异常检测的可扩展性、效率与鲁棒性。
2025-01-06 cs.CR cs.LG
APT-MCL: An Adaptive APT Detection System Based on Multi-View Collaborative Provenance Graph Learning
APT-MCL通过多视图协同溯源图学习，解决APT检测中样本稀缺、标注困难和攻击多样性的挑战，提升跨场景检测能力。
2026-01-13 cs.CR
From Agent Traces to Trust: A Survey of Evidence Tracing and Execution Provenance in LLM Agents
Griffith University（格里菲斯大学）；Jiangsu University（江苏大学）；University of Southern Queensland（南方昆士兰大学）；Peking University（北京大学）；Great Bay University（大湾大学）；Nanjing University（南京大学）；Macquarie University（麦觉瑞大学）；Southern University of Science and Technology（南方科学与技术大学）
本文系统综述了LLM智能体中的证据追踪与执行溯源方法，通过统一溯源视角连接检索、工具使用、记忆等环节，提出分类体系并讨论开放挑战。
2026-09-11 cs.AI cs.CR
NeuroTrace: Inference Provenance-Based Detection of Adversarial Examples
University of Michigan-Dearborn（密歇根大学迪尔伯恩分校）
NeuroTrace通过推理溯源图分析对抗示例检测，提供结构化信息传播表示，提升检测性能与泛化能力。
2026-04-15 cs.CR
APT-LLM: Embedding-Based Anomaly Detection of Cyber Advanced Persistent Threats Using Large Language Models
针对高级持续性威胁（APTs）检测难的问题，提出APT-LLM框架，结合BERT等大语言模型与自动编码器架构，在极端不平衡数据集上显著提升检测性能，优于传统方法。
2025-02-13 cs.CR
FakeTagger: Robust Safeguards against DeepFake Dissemination via Provenance Tracking
近年来，由于生成对抗网络（GAN）在图像合成方面的显着进步，DeepFake正在成为我们社会的共同威胁。不幸的是，现有的研究提出了各种方法，以对抗DeepFake并确定面部图像是真是假，仍然处于早期阶段。显然，目前的DeepFake检测方法很难捕捉到GANs的快速发展，特别是在攻击者可以故意逃避检测的对抗场景中，例如添加扰动来欺骗基于DNN的检测器。虽然被动检测只是告诉图像是假的还是真的，但另一方面，DeepFake出处为DeepFake取证中的来源跟踪提供了线索。因此，管理员可以立即阻止跟踪的假图像，并避免在社交网络中进一步传播。在本文中，我们研究了图像标记在服务于DeepFake来源跟踪方面的潜力。具体来说，我们设计了一种基于深度学习的方法，名为FakeTagger，具有简单而有效的编码器和解码器设计以及信道编码，以将消息嵌入到面部图像中，这是在各种激烈的基于GAN的DeepFake变换之后以高置信度恢复嵌入的消息。嵌入的消息可以用来表示面部图像的身份，这进一步有助于DeepFake检测和出处。实验结果表明，我们提出的方法可以在四种常见类型的DeepFakes上恢复嵌入的消息，平均准确率超过95%。我们的研究发现证实了有效的隐私保护技术，可以保护个人照片免受DeepFaked的影响。
2021-09-26 cs.CR
Where the Numbers Come From: Auditing Evaluation in Provenance-Based Intrusion Detection
INFOCZ Inc（INFOCZ公司）；Seoul National University（首尔大学）
该研究审计九个基于溯源入侵检测实现，揭示三种测量效应（标签选择、检查点选择、缓冲区缺陷），质疑警报精确率声明，并提出六项可核查报告要求。
2026-09-29 cs.CR
How Far Should We Need to Go : Evaluate Provenance-based Intrusion Detection Systems in Industrial Scenarios
Tsinghua University（清华大学）；Tencent Security Keen Lab（腾讯安全启明实验室）；Peking University（北京大学）
本文评估基于溯源的入侵检测系统在工业场景中的性能，发现现有系统存在移植性差、检测性能低和误报率高等问题，并提出改进方法和研究建议。
2026-03-24 cs.CR
MirGuard: Towards a Robust Provenance-based Intrusion Detection System Against Graph Manipulation Attacks
针对图操纵攻击威胁，提出鲁棒异常检测框架MirGuard，结合逻辑感知噪声注入与保留逻辑的对比学习，生成保持因果语义的图视图，在多项数据集上显著提升PIDS对抗攻击的鲁棒性且不牺牲检测性能。
2025-08-14 cs.CR
Minos: A Multi-Agent Collaborative Framework for Provenance-Based Backward Tracking
Zhejiang University（浙江大学）；Ningbo Key Laboratory of Quantum Software and Security（宁波量子软件与安全重点实验室）；Hofstra University（霍夫斯特拉大学）
提出多智能体框架Minos，利用LLM驱动推理进行基于溯源的反向追踪，通过分层上下文管理、检索增强推理和有限状态机协调四个智能体，有效缓解依赖爆炸，在5个数据集上平均召回率0.92、精确率0.64，攻击子图压缩49%。
2026-07-02 cs.CR
DEFENDCLI: {Command-Line} Driven Attack Provenance Examination
UNSW at the Australian Defence Force Academy (UNSW Canberra)（新南威尔士大学澳大利亚国防军学院（UNSW堪培拉））；Commonwealth Scientific and Industrial Research Organisation (CSIRO Data61)（联邦科学与工业研究组织（CSIRO数据61））
DEFENDCLI通过多级分析提升EDR系统在复杂环境中的检测精度和可靠性，首次实现命令行层面的攻击溯源检测。
2026-02-17 cs.CR
Learning the APT Kill Chain: Temporal Reasoning over Provenance Data for Attack Stage Estimation
Technische Universität Chemnitz（开姆尼茨工业大学）
StageFinder通过融合溯源数据和时序学习，实现高精度的APT攻击阶段估计，宏F1分数达0.96，预测稳定性提升31%。
2026-03-08 cs.CR cs.NI
Database Intrusion Detection Systems (DIDs): Insider Threat Detection via Behavioural-based Anomaly Detection Systems -- A Brief Survey of Concepts and Approaches
数据安全和隐私问题之一是内部威胁，即系统的合法用户滥用他们持有的访问权限。对数据安全的内部威胁意味着内部人员窃取或泄露敏感的个人信息。数据库入侵检测系统，特别是基于行为的数据库入侵检测系统，已被证明是有效的检测内部攻击。本文介绍了背景概念的数据库入侵检测系统在检测内部威胁的背景下，并检查现有的方法在文献中检测恶意访问的内部数据库管理系统（DBMS）。
2020-11-04 cs.CR
Survey Paper on Rising Threats of Subverting Privacy Infrastructure
当今用户面临的主要挑战之一是保护他们的隐私，特别是在广泛的监视期间。这导致了隐私基础设施的发展，其主要目的是保证用户的隐私。然而，它们被攻击者滥用，他们认为它们是可利用的资源来执行非法活动。本文提出了分析和评估由于破坏隐私基础设施而发生的威胁。它首先概述了开发的关键隐私基础设施。概述了颠覆最重要的隐私基础设施Tor的威胁。此外，简要评估这些威胁的严重性进行了讨论，并建议进一步研究的范围，以减轻由于这些威胁的风险。
2016-12-17 cs.CR
A Heterogeneous Graph Learning Model for Cyber-Attack Detection
网络攻击是由经验丰富的黑客恶意尝试破坏目标信息系统。通常，网络攻击的特点是混合TTP（战术，技术和程序）和长期的敌对行为，使传统的入侵检测方法无效。大多数现有的网络攻击检测系统是基于通过参考领域知识（例如，威胁模型、威胁情报）。然而，这一过程缺乏智能性和泛化能力。针对这一缺陷，提出一种基于源数据的网络攻击智能检测方法。为了有效和高效地从起源数据中的大量系统事件中检测网络攻击，我们首先通过异构图对起源数据进行建模，以捕获每个系统实体的丰富上下文信息（例如，进程、文件、套接字等），并学习每个系统实体的语义向量表示。然后，我们进行在线网络攻击检测采样一个小而紧凑的局部图从异构图，并分类为恶意或良性的关键系统实体。我们在两个真实网络攻击源数据集上进行了一系列实验。实验结果表明，该方法优于其他基于学习的检测模型，并与最先进的基于规则的网络攻击检测系统具有竞争力的性能。
2021-12-16 cs.CR cs.LG
Interpreting GNN-based IDS Detections Using Provenance Graph Structural Features
Virginia Tech（弗吉尼亚理工大学）；The University of Texas at Dallas（德克萨斯大学达拉斯分校）
针对基于GNN的入侵检测系统缺乏可解释性的问题，提出PROVEXPLAINER框架，利用可解释代理模型结合判别子图模式和结构特征，在真实数据集上相比SOTA解释器显著提升解释质量与可操作性。
2025-10-09 cs.CR cs.LG
Threats to Pre-trained Language Models: Survey and Taxonomy
预训练的语言模型（PTLM）在广泛的自然语言处理（NLP）任务中取得了巨大的成功和显著的性能。然而，人们对采用PTLM的潜在安全问题也越来越关注。在这次调查中，我们全面系统化最近发现的威胁PTLM系统和应用程序。我们从三个有趣的角度进行攻击表征。(1)我们表明，威胁可能发生在不同阶段的PTLM管道所提出的不同的恶意实体。(2)我们确定了两种类型的模型可转移性（横向，纵向），方便攻击。(3)根据攻击目标，我们总结了四类攻击（后门，逃避，数据隐私和模型隐私）。最后讨论了一些尚待解决的问题和研究方向。我们相信我们的调查和分类将激发未来的研究对安全和隐私保护的PTLM。
2022-02-14 cs.CR
EagleEye: Attention to Unveil Malicious Event Sequences from Provenance Graphs
EagleEye利用溯源图特征和事件嵌入训练轻量级Transformer模型，以检测长序列中的恶意行为，并通过注意力机制提供可解释的告警，在DARPA数据集上显著优于现有方法。
2024-09-02 cs.CR
Tracing the Data Trail: A Survey of Data Provenance, Transparency and Traceability in LLMs
Pro2Future GmbH；Know Center Research GmbH；Graz University of Technology（格拉茨技术大学）
本文综述了大型语言模型中数据溯源、透明性和可追溯性的问题，提出分类法并分析了数据生成、水印、偏见测量等关键方法及透明性与隐私的权衡。
2026-01-19 cs.AI cs.CR cs.LG
CICAPT-IIOT: A provenance-based APT attack dataset for IIoT environment
针对现有IIoT网络安全数据集缺少APT检测关键属性的问题，本文提出CICAPT-IIoT数据集，搭建测试平台复现20余种APT攻击技术及多个攻击阶段，整合多类日志与攻击信息，为APT检测研究提供支撑。
2024-07-15 cs.CR
TREC: APT Tactic / Technique Recognition via Few-Shot Provenance Subgraph Learning
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）
针对现有基于规则的APT战术/技术识别方法粒度粗、泛化性差的问题，本文提出TREC框架，通过恶意节点检测与子图采样结合孪生神经网络小样本学习，实现溯源图上的APT战术与技术识别，性能优于现有最优系统。
2024-09-11 cs.CR cs.LG
SoK: A Survey of Open-Source Threat Emulators
威胁模拟器是模拟网络攻击或恶意行为的工具或脚本集。它们可用于创建和发起单过程攻击和多步骤攻击;由此产生的攻击可能是已知或未知的网络攻击。使用威胁模拟器的动机各不相同，包括需要在组织中执行自动化安全审计或减少红色团队的规模以降低笔测试成本;或者希望为正在开发的安全工具创建基线测试或为笔测试人员提供其他工具。在本文中，我们回顾和比较各种开源的威胁模拟器。我们专注于MITRE ATT&CK Enterprise矩阵中的战术和技术，并确定它们是否可以使用仿真器执行和测试。我们开发了一种全面的方法，用于对威胁模拟器的一般功能进行定性和定量比较，例如先决条件，攻击定义，清理等。最后，我们将讨论一个威胁模拟器优于另一个的情况。此调查可帮助安全团队、安全开发人员和产品部署团队使用最合适的威胁模拟器检查其网络环境或产品。使用提供的指导方针，团队可以选择最符合其需求的威胁模拟器，而无需评估所有这些模拟器。
2020-10-02 cs.CR
HADES: Detecting Active Directory Attacks via Whole Network Provenance Analytics
Karlsruhe Institute of Technology (KIT)（卡尔斯鲁厄理工学院）；University of Virginia（弗吉尼亚大学）
HADES通过引入日志会话基于执行分区的概念，实现了跨机器追溯，有效检测活动目录攻击，优于现有系统。
2024-07-26 cs.CR
