网络安全研究人员长期以来一直依赖在软件运行时观察软件的行为，以在入侵者造成破坏之前将其捕获。但一篇新论文指出，这种被称为控制流异常检测的方法存在一个盲点，老练的攻击者可以加以利用——并提出了一种修复方案，将软件观测与第二层独立的硬件检查相结合。
这篇题为《Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring》（迈向基于模型的运行时网络安全：关于控制流异常检测、攻击识别与硬件监控）的论文由Martin Sachenbacher撰写，并于 2026 年 8 月 12 日发表。论文提出了一种基于模型的方法，旨在让入侵检测系统更难被欺骗，尤其是在攻击者刻意将恶意活动伪装成无害行为的情形下。
Summary
要点概述
- 控制流监控在系统实际运行时检测完整性异常，而不是事后才发现。
- 攻击树用于对检测到的异常背后可能存在的网络攻击类型进行分类。
- 攻击者可以操纵被观测到的控制流本身，以伪装入侵并躲避检测。
- 论文提出将软件层监控与硬件层监控相结合，以弥补这一缺口。
- 一个认证服务示例展示了硬件检查如何将被误判为“良性”的事件翻转为已确认的高置信度攻击。
通过控制流监控提升网络安全
控制流异常检测通过跟踪软件实际执行的步骤序列，并标记与预期不符的偏差来工作。它为防御者提供了一种在问题发生时而非损害已经造成之后进行捕获的方式，这也是论文将其定位为运行时系统完整性基础工具的原因。
检测完整性异常并使用攻击树
根据论文，这类监控为“在运行时确保完整性并检测可能异常提供了一种有原则的基础”。一旦某些异常被标记，下一个挑战就是弄清它实际意味着什么。这正是攻击树发挥作用的地方：这些结构化模型将检测到的异常映射到特定类别的网络攻击，帮助分析人员从模糊的红色警报走向实际诊断。实际上，攻击树将原始的异常信号转化为关于攻击者企图做什么的可解释假设。
控制流检测中攻击伪装的挑战
这一方案的核心弱点在于，被监控的控制流信号本身也可以被操纵。Sachenbacher 的论文明确指出了这一脆弱性，指出该方法“易受伪装攻击的影响，攻击者试图通过刻意操纵系统被观测到的控制流……来逃避检测”。
为何仅靠软件层观测远远不够
这点之所以重要，是因为熟练的攻击者不仅会入侵系统——他们还可以篡改监控工具用来发现他们的“痕迹”。论文描述了一种现实的失效模式：软件层观察者注意到一个看起来异常但不危险的控制流偏差，并通过攻击树将其归因于无害原因，从而完全没有意识到真正的入侵正在底层展开。换句话说，检测系统在技术上“正常工作”，却仍然错过了真正的攻击，因为攻击者已经学会让恶意活动在软件视角下看起来很普通。
基于模型的软硬件联合监控方法
论文的核心提议是不再依赖单一观测层，而是将基于软件和基于硬件的监控结合到一个架构中。这一点之所以重要，是因为它直接瞄准了伪装问题：即便攻击者成功欺骗了软件层检查，仍然必须绕过一个从不同视角观察同一活动的独立硬件层。
两层如何协同工作
在这一设计中，软件层观测进行第一轮筛查，标记看起来可疑的活动。随后，硬件层监控会独立且以更高细粒度检查同一活动，论文指出这使得“攻击更难以伪装自己并逃避检测”。由于硬件层独立于被监控的软件，操纵软件自身控制流视图的攻击者无法同时伪造硬件所看到的内容。
为展示这一架构的价值，论文演示了一个认证服务场景。软件层观察者最初看到一个异常但似乎无害的控制流偏差，并通过攻击树将其映射为低严重度的配置或维护问题。但第二个独立的硬件控制流监控器观察到系统中实际发生的状态转换序列——而这一额外证据完全改变了诊断，将其从一个小故障升级为高置信度的代码注入或控制流劫持。该示例具体展示了硬件检查如何纠正仅靠软件监控得出的错误诊断。
联合方法在网络攻击识别中的优势
这一组合对更广泛领域有何意义？因为它不仅能捕获更多攻击——还提升了分析人员区分良性异常与严重网络攻击的置信度。论文总结道，将控制流异常检测、基于攻击树的入侵识别与基于硬件的监控结合起来，“不仅可以改进异常检测，还可以提高基于攻击树分析的诊断精度”。
检测与诊断精度之间的区别十分重要。正如认证服务示例所示，一个系统在技术上可以检测到“有问题”，却仍然错误分类问题的严重程度或性质。通过增加一个独立验证软件观测结果的硬件层，这种基于模型的方法为防御者提供了一个更难被攻击者伪造的“第二意见”，从而增强对最终判断的信心——即某个异常究竟只是无害的小毛病，还是正在进行中的主动入侵。
常见问题
什么是网络安全中的控制流监控？
这是一种在运行时通过监控软件执行路径来检测完整性异常的方法。
攻击树如何帮助识别网络攻击？
攻击树通过分析检测到的异常，并基于建模的攻击结构来识别可能的网络攻击类型。
为什么硬件层监控在软件监控之外同样重要？
硬件层监控以更高细节独立验证活动，防止攻击者在软件层观测中伪装攻击行为。
所提出的联合方法如何提升网络安全？
通过整合控制流异常检测、攻击树和硬件监控，它增强了检测灵敏度和诊断精度，尤其是在识别真实入侵方面。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”What is control-flow monitoring in cybersecurity?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”It is a method that detects integrity anomalies at run-time by monitoring the execution paths of software .”}},{“@type”:”Question”,”name”:”How do attack trees help in cyber-attack identification?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Attack trees analyze detected anomalies to identify possible types of cyber-attacks based on modeled attack structures.”}},{“@type”:”Question”,”name”:”Why is hardware-level monitoring important alongside software monitoring?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Hardware-level monitoring independently verifies activities in greater detail, preventing attackers from camouflaging attacks within software-level observations.”}},{“@type”:”Question”,”name”:”How does the proposed combined approach improve cybersecurity?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”By integrating control-flow anomaly detection, attack trees, and hardware monitoring, it enhances both detection sensitivity and diagnostic precision, especially in identifying true intrusions.”}}]}
本文由人工智能协助生成，并由编辑团队审核。
