这篇文档属于类型a，即报告了一项原创研究。以下是对该研究的学术报告：

主要作者及研究机构
本研究由Rajendra Patil、Sivaanandh Muneeswaran、Vinay Sachidananda和Mohan Gurusamy共同完成，他们均来自新加坡国立大学（National University of Singapore）。该研究发表于2023年的《Journal of Systems Architecture》期刊，具体卷号为144，文章编号为102988。

学术背景
本研究的主要科学领域是网络安全，特别是针对高级持续性威胁（Advanced Persistent Threats, APTs）的检测与调查。APT是一种高度组织化的网络攻击，具有“高级”技术、长期潜伏（“持续性”）和特定目标的特点。传统的检测方法通常依赖于对大量系统事件的建模，但这种方法在处理高量级事件时效率低下且难以实时检测。因此，本研究提出了一种名为E-Audit的混合方法，旨在通过威胁可能性事件（Threat-Likely Events）来建模APT攻击链（Kill Chain），从而提高检测效率和准确性。

研究目标
本研究的主要目标是开发一种能够高效区分威胁可能性事件并构建轻量级溯源图（SmartProvenance Graph）的方法，从而实时检测APT攻击。具体研究问题包括：如何从系统事件中区分威胁可能性事件（RQ1）、如何从威胁可能性事件中抽象出攻击相关事件（RQ2）、以及如何从抽象出的攻击事件中生成攻击链（RQ3）。

研究流程
本研究分为三个阶段，每个阶段包含多个步骤，具体如下：

1. 事件关联（Event Correlation）

   • 目标：从系统事件中区分威胁可能性事件，并构建智能溯源图（SmartProvenance Graph）。
     
   • 方法：首先，对原始审计日志进行预处理，去除与安全无关的日志，并将日志转换为事件。然后，基于威胁可能性事件标签（Threat-Likely Tagging）和标签继承（Tag Inheritance）机制，区分威胁可能性事件并构建智能溯源图。
     
   • 创新点：提出了威胁可能性事件标签和标签继承机制，避免了对所有系统实体的遍历，从而提高了效率。

2. 图优化（Graph Optimization）

   • 目标：从智能溯源图中移除攻击无关的事件。
     
   • 方法：通过最长路径（Longest Path）和序列模型（Sequence-Based Model）识别攻击相关事件。具体而言，首先找到图中的最长路径，然后从每个关键节点生成分支序列，最后使用LSTM（长短期记忆网络）模型对序列进行分类，移除攻击无关的序列。
     
   • 创新点：提出了基于MITRE ATT&CK技术的序列模型，能够有效识别攻击相关事件。

3. 攻击链生成（Attack Kill Chain Generation）

   • 目标：从优化后的图中生成攻击链。
     
   • 方法：将优化后图中的操作序列映射到MITRE ATT&CK技术，并生成攻击链。
     
   • 创新点：利用MITRE ATT&CK知识库，提供了对多阶段APT攻击的高层次可视化。

研究结果
1. 事件关联阶段
- 在实验中，E-Audit平均从183,223个系统事件中区分出668个威胁可能性事件，平均耗时174毫秒，准确率达到99.71%。
- 实验结果表明，该方法能够高效地识别威胁可能性事件，并为后续的图优化提供了基础。

1. 图优化阶段

   • 在实验中，E-Audit平均从668个威胁可能性事件中抽象出343个攻击相关事件，平均耗时121毫秒，准确率达到99.99%。
     
   • 实验结果表明，基于MITRE ATT&CK的序列模型能够有效识别攻击相关事件，并移除攻击无关的事件。

2. 攻击链生成阶段

   • 实验结果显示，E-Audit能够成功生成APT攻击链，并将其映射到MITRE ATT&CK技术，从而提供了对攻击过程的高层次理解。

结论
本研究提出的E-Audit方法通过威胁可能性事件的区分和图优化，显著提高了APT攻击的检测效率和准确性。该方法不仅能够实时检测APT攻击，还能够生成攻击链，为网络安全分析提供了有力支持。其创新点包括威胁可能性事件标签机制、基于MITRE ATT&CK的序列模型以及轻量级溯源图的构建。

研究亮点
1. 高效性：E-Audit能够在毫秒级别内处理大量系统事件，显著提高了APT攻击的检测效率。
2. 准确性：通过威胁可能性事件标签和序列模型，E-Audit的检测准确率高达99.99%。
3. 创新性：提出了威胁可能性事件标签和标签继承机制，以及基于MITRE ATT&CK的序列模型，为APT攻击检测提供了新的思路。

其他有价值的内容
本研究还通过实时验证（Real-Time Validation）进一步验证了E-Audit的可行性和有效性。实验结果表明，E-Audit能够在真实企业网络环境中成功检测APT攻击，并生成攻击链。这为该方法在实际应用中的推广提供了有力支持。