《Future Generation Computer Systems》：CLIProv: A contrastive log-to-intelligence multimodal approach for threat detection and provenance analysis
编辑推荐：
随着网络攻击的复杂性日益增加，威胁情报（Threat Intelligence）的前瞻性与主动性对于威胁检测（Threat Detection）与溯源分析（Provenance Analysis）变得愈发关键。然而，将战术、技术与程序（Tactics, Tec
随着网络攻击的复杂性日益增加，威胁情报（Threat Intelligence）的前瞻性与主动性对于威胁检测（Threat Detection）与溯源分析（Provenance Analysis）变得愈发关键。然而，将战术、技术与程序（Tactics, Techniques, and Procedures, TTP）情报中描述的高层攻击模式转化为可执行的安全策略仍是一项重大挑战。这一根本障碍在于自然语言情报与底层系统溯源日志（Provenance Logs）之间存在语义鸿沟。本文提出CLIProv，一种多模态威胁猎捕（Threat Hunting）框架，通过对比语义表示学习（Contrastive Semantic Representation Learning）对齐溯源日志与威胁情报，从而弥合上述鸿沟。CLIProv首先将溯源图转换为行为序列，随后利用对比学习（Contrastive Learning）将溯源序列与情报描述编码到共享嵌入空间（Shared Embedding Space）中，最后通过语义搜索（Semantic Search）查询语义最相似的情报描述来识别攻击行为。在DARPA CADETS和THEIA数据集上的广泛实验表明，CLIProv实现了100%的图级（Graph-level）精确率（Precision）和召回率（Recall）。CLIProv进一步推广至未知攻击，在CICAPT-IIoT数据集上实现了86.21%的召回率。在计算效率方面，CLIProv的检测运行时比ProvG-Searcher提升了22.4%，且威胁查询可在数秒内完成。除检测精度外，CLIProv还能生成与MITRE ATT&CK技术对齐的简洁且可解释的攻击场景，显著提升了分析人员的理解与响应能力。
论文解读：CLIProv——基于对比多模态学习的威胁检测与溯源分析框架
研究背景与问题提出
随着网络攻击技术的不断演进，高级持续性威胁（Advanced Persistent Threats, APTs）因其采用先进技术、持续时间长且目标明确，已成为网络安全领域最严峻的威胁之一。APT攻击者通常利用零日漏洞（Zero-day Vulnerabilities）或社会工程学技术获取初始访问权限，随后建立持久化（Persistence）并进行横向移动（Lateral Movement），长期潜伏在系统中并逐渐渗透关键网络。这类活动严重影响能源、电信等关键行业，甚至威胁国家安全与公共安全。
传统的基于网络流量的入侵检测方法仅能监控网络层模式，无法捕获数据包背后的行为逻辑。此外，APT攻击通常具有分布式和多阶段特征，基于流量的方法缺乏关联攻击行为的能力，难以识别感染源和追踪攻击路径。加密和混淆技术的广泛使用进一步加剧了这些局限性。相比之下，溯源日志（Provenance Logs）作为描述系统执行历史的结构化审计日志，包含了系统实体（如进程与文件之间的读写交互）间的交互关系，其丰富的上下文关系提供了系统行为的全面视图，为威胁检测提供了有力支持。
当前基于溯源日志的威胁检测方法主要分为异常检测（Anomaly Detection）和威胁猎捕（Threat Hunting）两类。异常检测通过监控与正常行为模式的偏差来识别攻击，但严重依赖训练数据的质量与代表性，常导致高误报率，且近期基于大语言模型（LLM）的方法仍本质上依赖于正常行为分布的学习。威胁猎捕利用经验和情报建立攻击假设，并使用知识模板（如查询图（Query Graphs））主动识别攻击迹象，但现有方法依赖需手动设计的结构化查询模板，缺乏识别未知攻击的灵活性，且部分基于LLM的推理方法可能产生看似合理但无事实依据的 Interpretations。此外，溯源日志的大规模特性限制了威胁查询的效率，APT攻击的隐蔽性与长期性导致日志规模巨大，查询操作（如路径搜索和模式匹配）需遍历大量节点与边，响应时间长。
针对上述语义鸿沟、灵活性与效率问题，研究人员提出了CLIProv框架，旨在通过将威胁情报与溯源日志在共享语义空间中对齐，实现可靠且高效的低层系统行为与高层攻击语义的桥接，并利用语义搜索机制提升检测效率与可解释性。该论文发表于《Future Generation Computer Systems》。
主要关键技术方法
研究人员提出了CLIProv，一种基于知识的多模态威胁猎捕系统。关键技术包括：1. 预处理阶段：将原始审计日志转换为结构化输入，构建溯源图（Provenance Graph）并根据上下文依赖关系进行简化与分区，生成日志序列；直接利用自然语言威胁情报与原始溯源日志构建对比学习样本对。2. 表示学习：采用预训练语言模型（如Robustly optimized BERT approach, RoBERTa）分别编码日志序列和情报文本，通过投影层将数据映射到统一语义空间，利用对比学习联合训练编码器以对齐匹配的日志-情报对嵌入。3. 威胁搜索与调查：将威胁检测定义为语义搜索问题，通过在共享空间中搜索与日志序列语义最相似的威胁情报来识别攻击行为；利用MITRE ATT&CK库作为威胁情报来源，识别TTPs并重建攻击场景。实验评估使用了四个公共数据集：DARPA CADETS、THEIA、CICAPT-IIoT以及另一未具名标准数据集，涉及图级与事件级性能指标测试及运行时开销分析。
研究结果
Introduction（引言）
研究人员指出APT攻击的严重危害与传统检测方法的局限，强调溯源日志的价值，并分析了当前异常检测与威胁猎捕方法的三点固有局限（误报率高、缺乏灵活性、查询效率低），由此引出语义鸿沟核心挑战及CLIProv的解决思路，即利用威胁情报增强攻击行为模式的语义理解，通过对比学习捕获深层语义关系，并采用语义搜索降低计算复杂度。
Related work（相关工作）
研究人员回顾了基于溯源日志的威胁检测相关进展，指出异常检测方法多依赖正常轮廓建模，而威胁猎捕方法逐渐引入威胁情报作为攻击知识体系的核心组件，现有多模态或LLM辅助方法在系统级因果关系建模与可靠性方面仍存在不足，明确了CLIProv在联合学习威胁情报与溯源日志方面的创新定位。
Background & motivation（背景与动机）
研究人员介绍了溯源日志与溯源图的基本背景，通过一个DARPA TC数据集中的攻击场景示例，展示了威胁情报与溯源日志的对应关系，强调了高层自然语言情报对攻击过程的语义指导价值，以及由于语义层级与句法结构差异带来的对齐挑战，从而凸显了CLIProv多模态对齐机制的必要性。
Threat model（威胁模型）
研究人员假设从主机系统收集的溯源数据完整且未被恶意篡改，不考虑硬件级、侧信道或隐蔽信道攻击（通常不被内核级审计系统捕获）。假设攻击者行为在溯源数据中保留一定特征模式，且相似攻击技术在日志中表现出可对齐的语义特征，为后续对比学习与语义搜索提供了前提基础。
Overview（概述）
研究人员描述了CLIProv的三大组件：A. 预处理（将审计日志转为溯源图、简化分区并生成日志序列，构建对比样本对）；B. 表示学习（编码日志序列与情报文本至共享空间，对比学习对齐嵌入）；C. 威胁搜索与调查（语义搜索匹配情报，识别TTPs并重建攻击场景）。该架构实现了从原始数据到可解释攻击场景的流程整合。
Evaluation（评估）
研究人员在四个公共数据集上开发原型并评估。结果显示：在DARRA CADETS与THEIA上达到100%图级精确率与召回率；在CICAPT-IIoT上对未知攻击达86.21%召回率；检测运行时较ProvG-Searcher提升22.4%，查询可在秒级完成；重建的攻击场景与MITRE ATT&CK技术对齐，具备可解释性。还评估了参数影响、运行时开销及场景可靠性。
Event-level semantic alignment（事件级语义对齐）
研究人员指出CLIProv将威胁猎捕公式化为溯源日志与威胁情报间的语义对齐问题，可无需手动查询图实现系统行为的语义解释。但同时指出，当攻击与已知模式显著偏离时，整体行为级语义匹配可能失效，隐含了未来需增强细粒度或混合对齐能力的方向。
Conclusion（结论）
研究人员总结CLIProv是一种基于知识的系统，通过对齐日志序列与威胁情报的多模态学习，从溯源日志中识别APT攻击并生成完整攻击场景。跨四个数据集的评估表明其在威胁识别精度与实际效率上的优势：在DARPA CADETS和THEIA上达100%图级精确率与召回率，可泛化至未知攻击（CICAPT-IIoT上86.21%召回率）。
CRediT authorship contribution statement（作者贡献声明）
Jingwen Li：撰写初稿、方法论、概念化；Ru Zhang：审阅与编辑、监督；Jianyi Liu：审阅与编辑、资源、方法论；WanGuo Zhao：资源、数据管理。
Declaration of competing interest（利益冲突声明）
作者声明无已知的竞争性财务利益或个人关系可能影响本研究。
讨论与总结
研究人员通过CLIProv框架，系统性地解决了溯源日志与威胁情报间的语义鸿沟问题，避免了传统异常检测对正常数据全覆盖的依赖以及威胁猎捕对人工查询模板的依赖。通过多模态对比学习将不同模态数据映射至共享语义空间，并结合语义搜索机制，实现了高精度、高效率且可泛化的威胁检测与可解释溯源分析。实验结果表明该方法在标准数据集上具备优异的检测能力（100%图级精确率/召回率）与泛化能力（86.21%未知攻击召回率），同时提升了22.4%的检测效率，并可输出与MITRE ATT&CK对齐的攻击场景摘要，对提升分析人员理解与响应速度具有重要实践意义。未来工作可着眼于进一步增强对显著偏离已知模式的攻击的细粒度语义对齐能力，以及优化大规模日志场景下的可扩展性与实时性。
