入侵告警不再一锅端：按进程行为分组建模，THEIA-E5召回率从0.17升到0.61
核心概要
基于溯源图的入侵检测系统常陷入告警精度与召回的两难：压低误报会漏掉攻击实体，提高召回又淹没分析员。Targeter不再用单一检测器建模全部进程，而是按命令行语义把进程划入行为类别，每类训练一个轻量图自编码器，推理时确定性地把进程路由到对应模型。在六个DARPA透明计算基准数据集上，它以F2分数衡量告警质量，多数数据集优于现有节点级系统；THEIA-E5上召回率为0.61，ORTHRUS为0.17，但CADETS-E3上F2分数低于ORTHRUS。
深度剖析
溯源图入侵检测的告警质量被拆成两件事：告警是否准确指向攻击实体，以及是否覆盖足够多的攻击实体。此前节点级系统往往顾此失彼，ORTHRUS靠极少误报换取精度却漏掉大量攻击节点，MAGIC在多数数据集上召回接近满分却产生海量误报。 此前节点级检测器把全部进程行为交给同一个模型学习，异构的正常行为混在一起，良性波动与异常活动难以区分。 在DARPA透明计算Engagement 3与Engagement 5的六个数据集上，以精确节点匹配统计精确率、召回率和偏重召回的F2分数，Targeter在多数数据集上取得更均衡的结果。
每个行为类别只用自己的子图训练一个检测器，正常行为的分布因此更同质。进程按命令行语义经确定性规则归入预定义类别，无法匹配的落入通用类别，类别只用于路由，不作为检测标签，检测仍是无监督的异常驱动。 具体做法是图自编码器：三层图卷积网络聚合邻居信息并把节点特征压缩到低维，再由全连接解码器重建输入，重建误差超过该类验证集最大误差的节点被判为可疑。 在THEIA-E3上，正确检出的攻击节点从单模型配置的0个、随机分组的1个增加到63个；在CADETS-E5上，误报从单模型的2360个、随机分组的4263个降到875个。
启示与展望
评估限定在单主机环境下的DARPA透明计算Engagement 3与Engagement 5基准数据集，并假定审计日志与派生溯源图未被攻击者篡改或伪造；跨主机的协同或分布式攻击不在考虑范围内。
行为类别目前由人工定义，自动发现类别仍是开放问题；行为专门化只施加于进程实体，文件与网络实体仅通过其与进程的交互被建模；在良性样本较少的类别上，对应模型难以准确学习正常行为，CADETS-E3即出现这一情况。