Trace2ATT&CK：基于图的 eBPF 内核遥测到 MITRE ATT&CK 映射方法

如何把已划定攻击窗口内的内核级主机遥测自动映射到 MITRE ATT&CK 技术，并给出可解释理由。

• 场景与重要性：作者认为现代攻击的 TTP 复杂，把海量安全事件映射到 ATT&CK 是威胁情报、告警和响应的基础步骤，但人工映射难以扩展。一次系统每秒可产生数千事件，需要判断哪些事件相关、操作如何关联、如何从低层原语重建攻击序列。
• 现有方法的不足：作者称现有自动化主要从非结构化 CTI 报告抽取战术与技术，处理的是二手叙述；基于预定义检测规则的 SIEM 关联则受规则覆盖限制，难以识别尚未建模的技术或变体。据作者所知，把 ATT&CK 用到原始或半结构化主机遥测仍 largely manual。SolarWinds（APT29）案例中，作者称映射在入侵数月后才由人工完成，而受害者日志里已有原始遥测。
• 核心观察：作者认为有意义的 ATT&CK 推断依赖事件序列、因果和进程关系，而非孤立活动；溯源图能保留实体间因果关系。目标不是异常检测，而是在已知攻击区间内做上下文解释、富化和行为重建。
• 本文提出什么：端到端流水线 Trace2ATT&CK：eBPF 采集内核事件，把攻击者命令关联成溯源图，导出紧凑加权命令图，再用纯 LLM 提示或基于 ATT&CK 知识库的 RAG 输出带理由的排序技术候选。研究问题为：RQ1 能否仅凭内核遥测上的溯源图用 LLM 推断技术；RQ2 图表示是否影响下游分类质量。

论文把工作放在溯源调查、自动 ATT&CK 映射和 LLM 安全分析的交叉处，并认为较少工作从会话级运行时证据做映射。

低层遥测

• 内核级遥测 [6–10]：自动、持续采集包、进程、内核和设备级信号；系统调用、审计日志或溯源记录比用户态日志更难被对手规避。作者称这类粒度有助于早期检测、跨资产关联和事后重建。
• eBPF [26–30]：在 Linux 内核中安全执行沙箱程序。相对 auditd，作者列出三点：执行前静态验证、可挂到系统调用 tracepoint、kprobe 和 perf event、在内核内过滤聚合以降低开销。文中提到有项目试图把 eBPF 引入 Windows [29]。

CTI 与规则驱动的 ATT&CK 映射

• CTI 抽取 [2, 3, 4, 11, 12]：用 NLP、机器学习和 LLM 从非结构化威胁报告抽取实体、关系和概念并组织知识。SynthCTI [18] 生成语义引导的合成样本，以缓解 CTI 到 ATT&CK 分类的标注稀缺。
• 检测覆盖与 SIEM：DeTT&CT [13] 把数据源和检测能力关联到技术；Splunk Enterprise Security [14]、Elastic Security [15] 用关联和预定义规则把事件连到技术。作者称其效果取决于信息源和规则覆盖，对尚未建模的技术或变体有限制 [16]。RAM [2] 用 LLM 流水线结合 SIEM 规则描述、ATT&CK 检索、候选生成和相关性过滤。
• LLM 威胁狩猎与 PROVCON：文献 [19] 把语义推理、威胁情报和图关联做成与 ATT&CK 对齐的调查输出。PROVCON [20] 从报告抽取攻击原语、在 cyber range 复现战役再导出溯源图，因此依赖先验战役知识。

溯源图与命令级分析

• MGDA [17]：学习结构和上下文表示以识别异常溯源实体，再用基于规则的匹配重建面向 TTP 的场景。Table 1 中它有运行时遥测和溯源上下文，没有会话级分析、LLM 推理和排序技术。
• LADE [21]：分析按时间排序的命令和脚本片段，检测 APT、定位恶意片段并排序 ATT&CK 技术；结合 rubric 提示、ATT&CK 知识和摘要传播。作者对比：LADE 同时做检测、定位和映射，输入是日志代码片段；Trace2ATT&CK 假定攻击区间已划定，输入来自内核遥测的溯源重建，给出显式因果关系。
• CTINexus [3]：用上下文学习从 CTI 报告抽取实体–关系三元组、消解等价实体并推断缺失关系。Table 1 中它使用 LLM 推理，没有运行时遥测、溯源上下文、会话级分析或排序技术。

基线方法与基准：实验内部对比纯 LLM 提示、taxonomy-grounded prompting 和 RAG，以及原始遥测、完整溯源图、完整加权命令图和压缩加权命令图；评测数据为 Linux Atomic Red Team [5]。作者称 Table 1 中 Trace2ATT&CK 同时具备运行时遥测、溯源上下文、会话级分析、LLM 推理和排序技术。作者定位：从观测到的运行时活动推断候选，不需要战役专用 CTI 来驱动执行；映射溯源执行流不同于映射规则文本或检测元数据。

Trace2ATT&CK 在预先划定的攻击窗口内，把内核事件收成以攻击者 shell 为根的溯源图，再序列化为加权命令图，交给本地 LLM 做 top-k 技术映射。三个设计目标是上下文敏感性、本地执行（本地模型、本地嵌入和本地向量库），以及可解释性。

问题设定与溯源图

• 输入与非目标：输入是与预先选定恶意活动窗口相关的结构化主机事件日志。异常检测可作为前置步骤，但不在本文范围内。
• 威胁模型：攻击者可本地或远程访问目标系统，利用软件漏洞并串联提权以维持持久存在。可信计算基包括底层内核、审计框架和离线分析流水线代码。故意破坏安全审计的内核级攻击超出范围，并假设已有系统加固。不考虑硬件级或侧信道攻击，因为内核审计通常不显式捕获其行为。实现部分进一步假设攻击者经交互式 SSH 等远程访问，从远程 shell 下发命令。
• 溯源图：实体为进程集合 P、命令集合 C 和文件集合 F。事件类型 T={s,x,r,w,d,c,a}，分别表示 spawn、execute、read、write、delete、connect、accept。定义 4.1：有向图 G=(V,E)，V⊆ P∪ C∪ F，边是各因果关系与 V× V 的交。定义 4.2：以主进程 p 为根的 process-centric community 是从 p 经因果边可达的导出子图。
• 映射输出：每个候选含技术标识、战术、[0,1] 置信度和自然语言解释。输出 top-k 而非单一预测，作者引用 [21]：不同技术在系统层行为可高度相似，例如 T1105 与 T1048。

采集、建图与命令图

• 采集与预处理：用 Tracee（tracee v0.24.1）写 JSONL。Rust 预处理器做事件过滤并投影到固定字段、按 10,000 条分块，以及可选 TOON 序列化。作者称任意 eBPF 程序只要抽出同一组特征即可替换 Tracee。预处理后日志为 21,823,051 行、9.7 GB；平均每个攻击场景超过 62K 行。原始采集为 21,950,327 行、29.8 GB。
• 攻击者 shell 与命令关联：按时间找非探针的 shell（如 bash、sh）的 execve，以该 shell 为社区边界。命令来自 bash_history、zsh_history、psacct、acct 或自定义 trap 记录；用有界前瞻窗口把时间戳对到最近 execve，匹配后单调前进。shell 日志缺失时回退到未匹配的 execve。再对父子 execve 做 BFS，挂上子进程命令行和局部事件流。
• 图归约与入库：映射任务只把 Process 和 Command 节点写入 Neo4j，不入库文件级和网络级节点。作者理由是 ATT&CK 技术定义在对手程序层面，路径和端点可嵌在命令参数里由 LLM 推断；这也针对溯源分析中的 dependency explosion 和 LLM 上下文窗口 [38]，并引用 PROV-LLM [39] 对进程中心子图的支持。关系为 SPAWNED、EXECUTES、INDIRECT_EXECUTES、TRIGGERS；Cypher 默认批大小 1,000，用 MERGE。
• 两种加权命令图：完整图保留原始命令实例，节点带进程、完整命令行、提权状态、被触发子命令，以及同一命令行在会话中的执行次数。压缩图抽出基础二进制和选项标志，合并相同 command+option 模式。二者经 pydot 序列化为 DOT。完整 DOT 超过 15,000 字符时自动改用压缩表示。Figure 2 给出 T1003.008 的加权命令图示例，边上有 TRIGGERED (1)。

LLM 分类

• 两种范式加一种补救：纯提示与 RAG；评测中又加入 taxonomy-grounded prompting，把 Enterprise 知识库中技术 ID 到规范名称的完整映射注入系统提示，以缓解“名称对、ID 错”或相反的不一致。
• 提示约束：附录 C 的系统提示要求模型作为 CTI 分析员读完整 DOT，映射整条攻击序列而非孤立命令，输出按置信度降序的 5 个 JSON 候选；有子技术行为时必须映射到子技术；理由必须依据整条命令流。附录 C 给出了完整提示词。
• RAG：把 MITRE ATT&CK Enterprise 知识库 [40] 写入本地 Chroma。技术描述切成 800 词块，用 mxbai-embed-large-v1 索引。推理时嵌入 DOT，用 MMR 取 top-5（λMMR=0.5，fetch_k=20），作为事实上下文放在用户提示前。

标签与评测协议

• 数据：Atomic Red Team 的每个 atomic test 对应一个技术，YAML 含平台、执行命令等。用 Invoke-AtomicRedTeam 执行。执行命令可能嵌入真值 ID，因此推理前把技术和子技术标识换成占位符（文中例：T1059 → TXXXX）。
• 成功判定：指标只在输出为良构 JSON 的有效映射上计算，无法解析的输出排除，细节见 Table 5。K=5。分别报告执行成功（返回码 0，N=166）和执行失败（N=181），以及真值含子技术的子集（N=214）上的精确匹配。指标定义在附录 A，正文点名 HR@k：正确标签出现在 top-k 中的测试比例；同时报告排序类指标以同时看正确性和位置。

实验设置

• 被测模型：Table 2 的七个本地开源权重模型，均在 LM Studio 上本地推理，上下文窗口均为 32K：gpt-oss-20b、gpt-oss-120b（GGUF MXFP4）、gemma-4-31b-it、llama-3.3-70b-instruct（GGUF Q4_K_S）、deepseek-r1-distill-qwen-32b、foundation-sec-8b-reasoning、qwen3.5-9b（后三者 GGUF Q8_0）。讨论中另测前沿模型 Claude-Sonnet-5。
• 数据：Linux Atomic Red Team。有效映射 N 在排除非良构 JSON 后计算。执行成功 N=166，执行失败 N=181，合计 347，与摘要一致；真值含子技术的子集 N=214。预处理后平均每个场景超过 62K 行。
• 流水线环境：Proxmox VE 9.1.7，AMD EPYC Genoa 9554P，192 GB RAM。流水线 VM：Ubuntu 24.04.4，16 vCPU、16 GB；组件为 Ubuntu 24.04 目标环境、tracee v0.24.1、fluentd v1.19.3、neo4j v2026.05.0。推理 VM：16 vCPU、32 GB，两块 NVIDIA L40S（各 48 GB）。
• 条件：纯 LLM 提示、taxonomy-grounded prompting、RAG。K=5。成对比较时 Δ 是 taxonomy-grounded 相对 base prompting 的 HR@k 绝对提升。子技术要求精确匹配（如 T1003.007）。
• 表示消融：原文遥测、完整溯源图、完整加权命令图、压缩加权命令图；正文讨论 gpt-oss-120b 与 foundation-sec-8b-reasoning，Table 6 只列出后者的各表示数字。
• 评审：无单独评审模型。正确性相对 Atomic Red Team 预定义技术标签；无法解析的 JSON 不进入指标。论文未报告重复次数。

主结果

正文报告的是技术级与子技术精确匹配的 HR@5，K=5。Table 3、Table 4 汇总三种配置；下列数字均按正文转写（欧洲小数点写法已换成小数点）。

Swipe horizontally to read the table

模型	Base 技术 HR@5	RAG 技术 HR@5	RAG 子技术 HR@5
gpt-oss-120b	60.58%	66.57%	46.26%
gemma-4-31b-it	未报告	65.42%	未报告
foundation-sec-8b-reasoning	49.2%	未报告	未报告
llama-3.3-70b-instruct	35.26%	未报告	未报告
deepseek-r1-distill-qwen-32b	29.97%	未报告	未报告
gpt-oss-20b	未报告	未报告	31.55%（base 子技术 16.11%）
Claude-Sonnet-5	未报告	未报告	未报告

• 本地模型：作者称 base 提示下 gpt-oss-120b 最强（技术 HR@5=60.58%，子技术 HR@5=33.33%），deepseek-r1-distill-qwen-32b 最弱。foundation-sec-8b-reasoning 的技术 HR@5 为 49.2%，高于 llama-3.3-70b-instruct 的 35.26%（作者称差距 +13.94 个百分点，参数量约少 9 倍）和 deepseek 的 29.97%，并与 gpt-oss-20b 相当。作者认为领域预训练可以推动映射质量。
• taxonomy-grounded：作者称所有模型和设置上分数都更高；gpt-oss-120b 子技术精确匹配 HR@5=43.66%，技术级 HR@5=64.64%，gemma-4-31b-it 为 63.69%，deepseek 仍最低。
• RAG：作者称相对 base，14 个模型–标准组合的 HR@5 全部提高。gpt-oss-20b 子技术 HR@5 从 16.11% 到 31.55%（相对增益 +95.85%）。gpt-oss-120b 子技术 HR@5=46.26%，技术级 HR@5=66.57%，gemma-4-31b-it 技术级 65.42%，deepseek 仍最弱。作者称 RAG 比单独的 taxonomy-grounded 更一致。Claude-Sonnet-5 技术级 HR@5=90.91%，子技术 74.76%；相对最佳本地模型 gpt-oss-120b，作者给出 +24.34% 和 +28.5%。作者认为强模型上的表现说明流水线可用，本地小模型变差主要来自模型容量。

执行成功与失败

• 测了什么：同一批映射按 Invoke-AtomicRedTeam 返回码拆开：成功 N=166，失败 N=181（缺依赖或缺权限）。
• 结果：作者称技术级上，失败测试的 HR@5 往往高于成功测试，因为失败轨迹更短、模式更重复，模型更容易锁到宽泛技术。子技术上相反：失败子集 HR@5 更低，因为真值更细，而失败轨迹在区分行为出现前就截断。
• 作者的解读：Trace2ATT&CK 对技术级分诊和告警仍保留大部分价值；更细的子技术归因更依赖观察到完整对抗程序。

输入表示消融

• 测了什么：同一模型上比较原始遥测、完整溯源图、完整加权命令图和压缩加权命令图。Table 6 给出 foundation-sec-8b-reasoning 的数字；正文同时讨论 gpt-oss-120b。
• 结果：作者称压缩加权命令图在两个模型上都优于完整加权命令图，完整加权命令图又优于完整溯源图。相对原始遥测，gpt-oss-120b 的 HR@5 提高 6.06 个百分点，foundation-sec-8b-reasoning 提高 5.48 个百分点。Table 6 中 foundation-sec-8b-reasoning：原始遥测 Tech MRR 43.72%、Sub-tech MRR 15.90%；完整溯源图 44.01%、17.21%；完整加权命令图 46.31%、20.44%；压缩加权命令图 49.20%、22.18%（Sub-tech HR@5 分别为 30.37%、33.18%、35.5%、40.65%）。
• 作者的解读：压缩同时缩短输入并保留命令身份、选项和重复结构。完整溯源图只略高于原始遥测，作者认为进程、文件和网络细节会冲淡命令模式。失败测试上原始遥测与压缩图的技术级 HR@5 相近，因为序列更短；子技术上压缩图仍更好。作者认为当轨迹在细粒度行为出现前截断时，归约会去掉有用证据，更长的观测轨迹从压缩中获益更多。

其他消融与分析

• 无法解析的 JSON（Table 5）：Pure LLM / RAG 下 deepseek-r1-distill-qwen-32b 为 0/0，gemma4-31b-it 为 0/0，qwen3.5-9b 为 0/1，llama-3.3-70b-instruct 为 1/1，gpt-oss120b 为 2/0，gpt-oss-20b 为 8/6，foundation-sec-8b-reasoning 为 16/20。
• 标签不一致：作者称所有被测模型都会出现技术名称正确但 ID 错误，或 ID 正确但名称不匹配；因此引入 taxonomy-grounded prompting。
• 上下文因素：作者称技术级上更长的多步命令轨迹提供更丰富因果上下文；子技术更模糊，需要更具体线索 [47]。Center for Threat-Informed Defense [48] 也指出许多技术孤立看是有歧义的。

作者指出的局限与后续方向

• 仿真而非真实 APT 驻留：作者在结论中称，Atomic Red Team 提供的是受控、可复现的对抗仿真，不是真实 APT 战役的长时驻留；测试是短时、单会话，不包含持久化或横向移动（Section 8）。
• 窗口假设：方法假定攻击区间已经划定，因此不解决异常检测（Section 3，并在结论中再次作为范围说明）。作者称任何异常检测或事件分诊机制都可作前置，但不在本文目标内。
• 审计完整性：故意破坏安全审计的内核级攻击超出范围；不考虑硬件级或侧信道攻击（Section 3.1）。
• 作者认为的后续用途：作者在动机例和结论中称，该映射或可支持结构化告警、检测规则生成、对手仿真，输出可被 SOAR 使用、译成 Sigma 规则并用于 purple teaming。这些是作者提出的用途，不是已完成的实验。
• 数据发布：作者计划发布执行 Atomic Red Team 场景时采集的内核级日志数据集，以促进后续研究（引言贡献列表）。论文写的是发布这一计划，未在正文中给出已完成的发布地址。

实验覆盖范围

• 模型与数据：七个本地开源权重 LLM（Table 2）加上讨论中的 Claude-Sonnet-5；Linux Atomic Red Team，有效映射在排除非法 JSON 后统计，成功 166、失败 181，含子技术真值的子集 214。指标定义见附录 A，K=5。
• 三种提示配置：base LLM prompting、taxonomy-grounded prompting、RAG（Chroma、mxbai-embed-large-v1、800 词块、MMR top-5）。RAG 相对 base 的 HR@5 比较覆盖 14 个模型–标准组合。
• 表示：消融比较原始遥测、完整溯源图、完整加权命令图和压缩加权命令图；Table 6 报告 foundation-sec-8b-reasoning，正文另给 gpt-oss-120b 相对原始遥测的 HR@5 差值。
• 采集规模：原始日志 21,950,327 行、29.8 GB；预处理后 21,823,051 行、9.7 GB。论文未报告每个条件的重复次数，也未报告与人工标注的一致性；标签来自 Atomic Red Team 的预定义技术 ID。
• 平台：执行与采集在 Ubuntu 24.04 目标环境上完成。Atomic Red Team 的 YAML 支持 Linux、macOS、Windows，本文实验报告的是 Linux 子集。

Trace2ATT&CK 是一条从 Linux 内核遥测到 MITRE ATT&CK 排序候选的端到端流水线，面向已经划定的攻击窗口，而不是异常检测或 CTI 报告。

• 问题：作者认为主机上的系统调用才是攻击行为的直接证据，但事件量大和结构复杂使自动映射难以扩展；CTI 映射是事后叙述，规则型 SIEM 受预定义覆盖限制。
• 方法：Tracee 采集 eBPF 事件，定位攻击者 shell，在 Neo4j 中建 process-centric 溯源图，再抽出带执行频次的命令图；DOT 超过 15,000 字符则改用压缩图。本地 LLM 输出 top-5 技术、战术、置信度和理由。除纯提示外，用 ATT&CK Enterprise 的 RAG（MMR top-5）以及注入 ID–名称表的 taxonomy-grounded prompting。推理前把命令行中的真值技术 ID 换成占位符。
• 结果：347 个 Linux Atomic Red Team 有效映射上，作者报告 RAG 在 14/14 个模型–标准组合上提高 HR@5。gpt-oss-120b 在 RAG 下技术级 HR@5 为 66.57%、子技术精确匹配 46.26%；base 提示下其技术级为 60.58%。8B 的 foundation-sec-8b-reasoning 在 base 技术级 HR@5 上为 49.2%，高于 llama-3.3-70b-instruct 的 35.26%。压缩加权命令图相对原始遥测，gpt-oss-120b 的 HR@5 高 6.06 个百分点。Claude-Sonnet-5 技术级 HR@5 为 90.91%，子技术 74.76%。执行失败的测试在技术级往往更容易命中宽泛标签，子技术则更差。
• 结论：作者认为基于图的行为描述上的本地推理，可以使内核遥测的自动 ATT&CK 映射在操作上可行，同时不把数据送出本地、从而不损害机密性。作者同时写明评测来自短时、单会话仿真，不含持久化或横向移动。