SoK: Timestamps Are Not a Time Model: Rethinking Temporal Reasoning in Host-Based Intrusion Detection
作者: Rene Heinzl, Markus Nissl
分类: cs.CR, cs.AI, cs.LO
发布日期: 2026-10-26
备注: Extended version with full appendices (search method, KRR domain analysis, rating evidence, formalizations). 51 pages, 1 figure, 16 tables. Artifacts: doi:10.5281/zenodo.23530002
💡 一句话要点
提出时间模型以解决主机入侵检测中的时间推理问题
🎯 匹配领域: 支柱一：机器人控制 (Robot Control) 支柱九：具身大模型 (Embodied Foundation Models)
关键词: 主机入侵检测 时间推理 证据假设 时间模型 网络安全 系统化知识 审计分析
📋 核心要点
- 现有主机入侵检测方法依赖于时间戳，存在对时钟和证据完整性假设的不明确性，导致推理的可靠性受到质疑。
- 论文通过系统化知识的方法，明确了时间模型的五个组成部分，并提出了证据假设的检查清单，以增强时间推理的可靠性。
- 研究审计了38篇相关论文，发现大多数系统未能有效处理时间相关的假设和条件，提出了五个未来研究的挑战。
📝 摘要（中文）
主机入侵检测器通过时间戳对事件进行排序、窗口审计流和序列攻击阶段，因此其结论依赖于关于时钟、传递、实体身份和证据完整性的假设。本文系统化了这些假设，提出了五个时间模型组件和证据假设检查清单，并通过一个运行案例进行分析。研究发现，许多现有检测系统未明确说明时钟和传递假设，且在处理删除、延迟或伪造记录时缺乏有效的结论有效性条件。最后，提出了五个开放性挑战以推动该领域的发展。
🔬 方法详解
问题定义：本文旨在解决主机入侵检测中时间推理的不足，尤其是现有方法对时钟和证据完整性假设的不明确性，这可能导致错误的安全结论。
核心思路：通过系统化知识的方法，明确时间模型的组成部分和证据假设，增强对时间推理的理解和应用，确保检测系统的可靠性。
技术框架：研究首先定义了时间模型的五个核心组件，然后建立了证据假设的检查清单，最后通过案例分析验证这些理论的实际应用。
关键创新：论文的创新在于将时间模型与主机审计数据结合，提出了一个系统化的框架来评估现有检测系统的假设和有效性，填补了时间推理领域的研究空白。
关键设计：在方法设计中，重点关注了时间戳的准确性、事件排序的条件以及对证据完整性的假设，确保在不同的攻击模式下，能够有效评估检测系统的性能。
📊 实验亮点
研究审计了38篇相关论文，发现28篇未能有效处理证据的信任问题，且无一篇明确指出在删除、延迟或伪造记录情况下的结论有效性。这一发现强调了当前检测系统在时间推理方面的不足，并为未来研究提供了明确的方向。
🎯 应用场景
该研究的潜在应用领域包括网络安全、入侵检测系统的设计与优化，以及时间敏感的事件处理。通过明确时间推理的假设，能够提高主机入侵检测的准确性和可靠性，进而增强整体网络安全防护能力。
📄 摘要（原文）
Host-based intrusion detectors order events, window audit streams and sequence attack stages by their timestamps. Every conclusion they draw therefore rests on assumptions about clocks, delivery, entity identity and the integrity of the evidence, and most of these assumptions go unstated. This Systematization of Knowledge (SoK) makes them explicit. Drawing on temporal databases, stream processing and runtime verification, we distill five components of a time model, together with a checklist of evidence assumptions and four levels of guarantee, and walk through a running campaign with them. A documented search yields fifteen families of detection and investigation. For papers selected by screening role and period, plus named systems and landmarks, we check the stated assumptions in the full texts, and we assess eleven temporal knowledge representation and reasoning (KRR) formalisms and a learned baseline on nine attack patterns. Some early alert correlators stated clock and delivery assumptions, and forensics measures clock error. Current provenance-based detectors state no clock bound. Four audited papers describe input-ordering conditions or conventions, but none specifies conditions for conclusion validity across a stated class of delivery failures. In the selected provenance-based systems, campaign composition uses system-specific procedures or objectives, learned state, causal graph queries or language models, and beyond CEP-based query systems, we found no temporal rule language or stream reasoner from KRR applied to host audit data. In 28 of 38 audited provenance-era detector papers, capture or stored evidence is trusted or its manipulation is placed out of scope, and none says which conclusions survive deleted, delayed or forged records. Five open challenges follow from these gaps.