GridPRISM：基于先验引导的子图路由与可审计的预算化语义屏蔽技术，实现具备溯源能力的实时入侵检测

《International Journal of Critical Infrastructure Protection》：GridPRISM: Provenance-aware real-time intrusion detection via prior-guided subgraph routing and auditable budgeted semantic masking

　　

• •
  基于CPU上的流式溯源图实现可审计的实时入侵检测。
• •
  通过受限路由策略在控制成本的同时保留可审查的证据子图。
• •
  通过预算化的语义掩码机制，确保在以良性数据为主的流中仍能保持自监督稳定性。
• •
  采用双重协议区分准确性证据与仅依赖CPU的部署可行性。

引言

在资源受限的网络物理系统及运营技术系统中，比如电网监控系统，会产生大量高吞吐量的事件流，这些流可以被整理成溯源图。这类图表能够清晰展现数据之间的因果关系，从而为入侵检测和事件分类提供有力支撑。然而，当系统仅受CPU性能限制时，就会面临三个相互关联的严峻挑战。首要挑战在于资源与延迟之间的固有平衡问题[1]：更广泛的威胁检测需要更多的计算和内存资源，而系统运行则要求具备可预测的P95延迟以及可控的峰值资源使用率。除此之外，还存在攻击数据与正常数据分布不均的问题，即少量的未标记攻击信号常常被大量的正常数据所掩盖。因此，就需要采用自监督学习方法，让模型能够聚焦于那些虽罕见但至关重要的证据。最后，目前还存在一个明显的“洞察力与证据”差距：抽象的异常评分往往无法转化为分析师可以验证的具体证据，比如定位后的路由子图和因果路径，而这些证据才是进行警报分类的关键。本研究旨在解决一个核心问题：如何在仅受CPU性能限制的情况下，既实现实时、按时间窗口的检测，又能保证有限的延迟，同时让每个窗口内的检测结果和消耗的资源都处于可审计的状态。

已有许多研究致力于提升基于溯源图的检测方法的实用性，包括基于先验信息的子图提取方法[2]、[3]，基于重建的目标的自监督学习方法[4]、[5]，以及以证据为导向的解释方法[6]、[7]。不过，这些方法往往只是简单组合在一起，因此在资源极为有限的情况下，就会出现三个关键的机制缺陷。首先，子图扩展通常依赖于一些隐式的规则，这就难以同时兼顾证据的覆盖范围和最坏情况下的延迟。其次，如果掩码策略与领域语义脱节，自监督模型就容易过度适应正常的数据模式，从而降低对那些罕见的攻击信号的敏感度。最后，由于缺乏明确的评估标准，将基于基准测试的准确性指标与实际部署的可行性指标混为一谈，就会导致性能提升的数值失去实际意义，也让操作人员难以理解资源分配与检测效果之间的关系。

为了解决这些问题，我们提出了三项设计原则，分别针对路由、学习及评估环节，以实现具有资源预算意识的溯源图入侵检测。在路由层面，系统的可用性取决于可审计的预算管理机制：如果没有明确的约束条件（比如对子图扩展规模和深度的限制），那么为了提升证据覆盖范围而采取的措施反而可能导致延迟上升，进而使系统无法稳定运行。在学习层面，面对攻击数据与正常数据分布不均的情况，自监督学习必须同时考虑预算限制和语义特征；否则，模型就会过度依赖正常的数据模式，而忽视那些虽然细微但却至关重要的攻击证据。在评估层面，由于需要分别衡量系统的实际效果和端到端的部署可行性，因此应该采用独立的评估标准。如果将基于基准测试的准确性指标与仅基于CPU性能的指标混用，就会使得性能提升的数值失去参考价值，也会导致不恰当的比较。在关键基础设施的运营中，过高的误报率以及模糊不清的证据边界会削弱操作人员的信任感，进而延误紧急响应的时间。基于以上原则，我们提出了GridPRISM这一统一框架，它将基于预算管理的路由器与经过预算调整的掩码策略相结合，并通过双重评估机制来分别验证该框架是否符合基准测试要求以及是否能够在仅依赖CPU的情况下成功部署。因此，GridPRISM旨在在仅受CPU性能限制的情况下，实现可审计的预算管理机制与实时、按时间窗口的检测功能，同时为每个警报生成可供审查的证据。

我们的贡献主要体现在三个方面。

• •
  基于双重协议的可行溯源图IDS评估方法。我们设计了双重评估机制，通过明确区分基于基准测试的检测效果与仅依赖CPU的部署可行性，确保准确性指标与工程实施指标能够被独立看待，从而帮助操作人员在严格的CPU性能限制下做出更明智的决策。
• •
  受限子图路由器（GSR）。我们将子图路由视为在严格约束条件下的效用-成本优化问题，通过设定明确的规模和深度限制，让路由决策有据可查，同时也能在固定预算范围内控制最坏情况下的路由复杂度。
• •
  预算化语义掩码机制（BSM）。我们提出了一种基于领域语义且经过预算控制的掩码策略，通过稳定性调节机制，在固定预算范围内有针对性地分配掩码资源，从而在良性数据占主导的情况下仍能提高系统对异常数据的敏感度，且无需额外的监督手段。

在实际应用中，GridPRISM旨在为关键基础设施的环境中的事件分类提供支持，它会为每个被标记的检测窗口提供两项关键信息：其一，是可供审查的证据，比如包含因果关系的定位后的路由子图，用于解释该窗口为何存在异常；其二，是可审计的预算使用情况，记录了生成该证据时所遵循的约束条件以及实际的CPU和内存使用情况。这两项信息有助于操作人员确定后续的处理措施，比如是否需要进一步调查或收集更多信息，同时也能在事后对警报证据和资源使用情况进行检查，确保它们符合既定的CPU性能限制和系统规范。通过这种方式，GridPRISM能够在严格的运营性能要求下，实现高效的检测与路由功能，同时保证操作的透明度。

本文的其余部分结构如下：第2节回顾相关研究；第3节阐述系统的运行假设与问题定义，包括威胁模型；第4节介绍GridPRISM的设计方案；第5节说明实验方法与评估结果；第6节分析结果并探讨未来发展方向；第7节总结全文。

各章节要点

相关研究

在资源受限的环境中，如何从大规模的流式溯源图中实时检测隐蔽的恶意活动，一直是网络安全领域面临的难题[2]、[3]、[8]、[9]。以往的研究已经分别在多个方面取得了进展，比如如何定位潜在的异常证据、如何利用有限的标签数据训练模型、如何向操作人员呈现检测结果，以及如何优化图模型。然而，在仅受CPU性能和内存限制的情况下，这些方法往往难以同时满足各种需求。

威胁模型

GridPRISM所应用的典型环境是电力系统监控系统[30]、[31]、[32]，该系统由四个具有不同信任级别的相互关联的部分组成：不可信的互联网、企业IT区域、可信的运营技术控制中心，以及高度可信的变电站局域网。在这样一个架构中，数据会在受控的循环中流动，监测数据会被上传进行分析，而控制指令则会向下发送。作为核心分析工具的GridPRISM被部署在IT区域中。

系统概述

GridPRISM是一种面向实际部署的溯源图入侵检测系统，它能够在严格的CPU性能限制下，将各种不同的审计数据转换为可操作的警报，同时将有限的延迟和内存使用视为必须满足的核心约束条件。如图2所示，整个系统分为三层，分别负责数据准备、基于预算管理的学习过程以及警报生成，三者共同构成了一个完整的在线处理流程。

数据与图结构构建。该系统会接收来自多种来源的日志和监测数据，对事件进行标准化处理，进而构建出相应的溯源图结构。

实验部分

本节从三个相互关联的角度对GridPRISM的性能进行评估：检测效果、系统效率以及各组成部分的作用。首先我们会介绍实验环境设置（5.1节）和评估方法（5.3节），随后会展示在溯源图基准测试中的整体检测准确率（5.4节）、在智能电网场景下的窗口级检测效果（5.5节），以及仅依赖CPU时的端到端系统性能（5.6节），最后还会进行一些消融实验（5.7节）。为了提高内容的清晰度并避免重复说明，

讨论部分

机制层面的分析。综合各项实验结果可以看出，对于基于预算管理的溯源图入侵检测系统而言，应当采用分离关注点的设计思路：严格的约束条件主要用于决定系统的可行性和最坏情况下的表现，而效用-成本优先策略则用于确定在既定约束条件下应保留哪些证据。与此同时，基于语义理解且经过预算调整的掩码机制，能够在自监督学习过程中有效抑制良性数据的主导作用，通过在固定的掩码预算范围内合理分配资源，提升系统对异常数据的敏感度。

结论

本文介绍了GridPRISM这一仅依赖CPU资源的检测系统，它专门用于实现窗口级的溯源图入侵检测，同时明确了每个警报所对应的保留证据以及每个检测窗口所消耗的资源，将其作为设计的核心目标。GSR机制将子图提取过程转变为一种受约束的效用-成本路由过程：严格的约束条件用于控制子图的最大扩展规模，而效用-成本优先策略则用于决定在既定范围内应保留哪些证据。BSM机制则进一步补充了路由功能，增强了自监督学习的性能。

CRediT作者贡献说明

张凤伟：概念构思、数据整理、形式化分析、问题研究、方法设计、软件开发、初稿撰写、结果可视化。李洪桥：资金筹集、项目指导、论文审阅与修改、问题研究、项目整体管理。

利益冲突声明

作者声明，他们不存在任何可能影响本文研究结果的已知财务利益冲突或个人关系。

致谢

本研究没有获得任何来自公共部门、商业机构或非营利组织的资助。

Fengwei Zhang|Hongjiao Li