《Computers》：Interactive Security Visualization Techniques for Internet and Web Threat Detection and Analysis Systems
编辑推荐：
随着互联网与Web空间的日益复杂化，高度动态化的多向量网络威胁不断涌现，这些威胁已无法仅依靠自动化检测系统有效应对，由此催生了面向分析师、具备认知增强能力的分析工具需求。当前基于可视化的安全框架普遍存在着数据呈现方式被动、难以适应动态环境、无法理解攻击者演化意
随着互联网与Web空间的日益复杂化，高度动态化的多向量网络威胁不断涌现，这些威胁已无法仅依靠自动化检测系统有效应对，由此催生了面向分析师、具备认知增强能力的分析工具需求。当前基于可视化的安全框架普遍存在着数据呈现方式被动、难以适应动态环境、无法理解攻击者演化意图等缺陷，导致对协同化Web攻击的识别滞后与理解碎片化。本研究提出了一种新型交互式安全可视化模型——面向弹性威胁的上下文可视化探索（Context-Oriented Visual Exploration of Resilient Threats，COVERT），该模型融合了行为上下文建模（behavioral context modeling）、自适应视觉叙事（adaptive visual storytelling）与意图敏感交互（intent-sensitive interaction）。COVERT能够根据威胁演化态势、分析师交互模式以及潜在攻击目标动态调整，从而实现安全能力的渐进式释放。该框架整合了图形化威胁流（graphical threat flows）、注意力导向视觉线索（attention-directed visual cues）与实时反馈环路（real-time feedback loops），使系统响应与分析师的思维过程相契合。针对大规模Web流量与攻击模拟数据集的评估表明，相较于静态与半交互式可视化基础设施，COVERT在多阶段攻击检测、虚假阳性（false-positive）解释以及调查周期缩短方面均表现出显著优势。用户研究表明，在高级持续性威胁（advanced persistent threats，APT）与Web利用协同等复杂Web入侵场景中，COVERT能够显著提升情境感知（situation awareness）水平、增强分布式事件的关联能力并优化决策质量。通过将上下文智能与自适应交互及安全可视化相结合，COVERT揭示了基于意图的视觉分析（intent-based visual analytics）能够极大改善互联网与Web威胁检测与分析系统，从而支持更为敏捷、更具弹性的网络防御流程。该COVERT策略实现了93%的威胁检测率，虚假阳性率降低至6%，分析师响应时间缩短至140秒，情境感知提升至88%。
本研究聚焦于互联网与Web威胁检测与分析领域，针对当前网络安全环境动态性与复杂性与日俱增的挑战展开系统探索。随着信息技术Web服务、云平台及分布式基础设施在现代组织中的广泛应用，网络攻击面持续扩大，传统依赖签名匹配与自动化检测的安全工具因透明度不足、灵活性欠缺，已难以应对高度复杂的多阶段攻击。与此同时，安全数据的海量性、异构性与规模性使得分析师难以从海量网络流、Web日志与告警流中辨识出有意义的攻击模式；高级威胁的隐蔽性、多阶段性行为更使基于规则的检测方法失效；高虚假阳性率进一步削弱了自动化系统的效率与分析师信任；现有工具在时空间维度上的上下文关联能力有限，阻碍了分析师理解攻击者意图与攻击进展。上述问题迫切需要能够将自动化检测与交互式视觉分析相结合的适应性、上下文感知分析方法。
研究人员提出COVERT框架，旨在通过上下文驱动、自适应交互的安全可视化弥合上述鸿沟。该框架的核心创新在于将检测与可视化置于闭环耦合的人机协同系统中：上下文感知多头注意力模型（context-aware multi-head attention model）的输出——包括威胁评分、注意力权重与基于图的关系——直接影响可视化层的结构与行为，实现自适应视觉布局、注意力导向的重要对象高亮，以及随威胁动态变化与分析师生交互而渐进释放信息。与传统节点链接图、时间线或散点图等固定或手动控制视图相比，COVERT能够根据上下文变化重构视觉表征，提升可解释性并降低认知负荷。研究建立了人在环评估框架，证明COVERT在分析师响应时间、虚假阳性解释与情境感知方面均有提升。
在技术方法层面，研究采用分层架构设计。数据获取与摄入层负责从网络传感器、Web服务器、入侵检测与防御系统（IDS/IPS）、端点及威胁情报源实时接收多源异构安全数据；预处理与归一化模块对原始数据进行清洗、时间戳同步与特征标准化；行为分析与检测引擎结合基于规则、统计学和机器学习算法识别可疑行为；上下文建模与意图推断层基于图表示和时间关联推断攻击者意图；自适应可视化与交互层为分析师提供动态交互视图；决策支持与响应集成层生成优先告警、风险评估和响应动作。数据流呈序贯自适应特征：各层产出持续经过上下文分析并与分析师交互，分析师与可视化层的交互进一步影响事件优先级和上下文权重，形成集成的人机环分析工作流。
研究中的关键技术方法包括：上下文感知多头注意力机制，通过将事件特征投影为查询（query）、键（key）和值（value）表示，并结合基于图的邻域聚合来上下文化关系以确定攻击意图；意图推断机制，将攻击者行为建模为时序、关系和语义模式的组合，通过混合注意力序列建模与基于图的聚合方法，基于行为偏差、多阶段进展可能性和目标敏感性计算推断意图评分；闭环自适应交互与反馈优化，将威胁分析形式化为耦合的人机自适应优化过程，定义包含威胁分类损失、图上下文一致性和分析师交互模式与系统优先级对齐度的优化目标函数，通过分析师行为信号动态更新可视化相关性权重，并经图感知上下文扩散实现反馈传播，使分析师交互直接影响上下文威胁嵌入和自适应可视化行为。
在实验评估方面，研究以公开可获取的UNSW-NB15数据集为主要评估基础，该数据集包含现代标注网络流量和多样化网络攻击场景；同时纳入HTTP CSIC 2010数据集评估真实HTTP流量中的Web攻击检测，以及ECML/PKDD 2007数据集验证模型识别异常Web请求和会话攻击的能力。模拟攻击环境则单独用于评估自适应可视化行为、分析师交互和意图感知威胁探索，模拟攻击序列涵盖攻击者侦察、利用、横向移动和数据渗出等阶段。实验采用70%训练、15%验证和15%测试的分层划分，经过归一化、分类特征编码和冗余特征消除等预处理。模型训练采用图上下文聚合和多头注意力架构，设置早停机制、50轮迭代、批量大小64、Adam优化器，通过验证调优确定注意力头数4、嵌入维度128、丢弃率0.3等超参数。
研究结果部分呈现如下：
**检测性能评估**。COVERT实现93%的威胁检测准确率、6%的虚假阳性率，与现有深度学习模型准确率范围91%-94%相比具有竞争力，其主要增益体现在虚假阳性控制和可解释性提升方面。ROC（receiver operating characteristic，受试者工作特征）曲线和AUC（area under the curve，曲线下面积）评估显示，COVERT具有更优的判别性能和精确率-召回率稳定性；混淆矩阵分析表明框架在多阶段和低频率攻击场景中具有更强的攻击区分能力。
**分析师响应时间分析**。自适应可视化和协调多视图交互使COVERT将分析师响应时间降低至140秒，相比基线220秒有显著改善，使分析师能够更快关联事件并做出决策。该结果经配对t检验和95%置信区间验证具有统计学显著性（p < 0.01）。
**情境感知评分分析**。COVERT的情境感知评分达到88分，视觉自适应根据情境强调最相关的威胁方面，提升认知清晰度、事件关联和整体认知。该指标通过基于感知、理解和投射水平的结构化评估系统测量。
**消融研究**。研究人员设计了三种变体进行消融实验：（i） pertains蒙特提-利（attention-only），即去除图聚合的仅注意力模型；（ii）仅图模型（graph-only），即去除注意力机制；（iii）同时缺乏两者的基线模型。结果表明，注意力与上下文敏感图建模的联合应用产生更优性能，证明了协同设计的有效性。
**对比分析**。COVERT与随机森林、支持向量机（SVM），以及卷积神经网络（CNN）、长短期记忆网络（LSTM）、混合CNN-LSTM等深度学习方法进行了对比。如表3所示，现有深度学习模型通常达到91%-94%的准确率，COVERT的93%准确率处于竞争水平而非显著超越，其主要贡献在于通过自适应可视化和人机环分析提升可解释性和可用性。
讨论部分，研究人员首先阐述了安全与可用性含义：上下文自适应响应能够改善对即时威胁的关注并降低认知负荷，辅助更快速、更充分的决策。在安全运营中心（SOC）应用场景方面，COVERT可用于持续监控、事件分类和深度调查，渐进式威胁数据报告使初级分析师快速识别高优先级告警，同时支持高级分析师调查多阶段攻击向量和上下文联系；该框架可与现有安全信息与事件管理（SIEM）、IDS/IPS和安全编排自动化与响应（SOAR）平台协同工作，消费其输出并以上下文智能和交互式视觉分析增强之。关于优势与局限，COVERT的主要优势在于消除认知过载、准确检测与最小化虚假阳性、缩短响应时间；局限在于上下文建模、图构建和可视化更新需要较高计算资源，意图推断质量依赖于数据质量和分析师的重要交互，这在不同组织中可能无法获得。成本与性能考量方面，COVERT需要深度学习推理服务器和充足内存支持实时图处理，但虚假阳性降低至6%和分析师响应时间缩短至140秒可减少告警疲劳和手动调查时间，综合性能提升和情境感知增强值得部署成本，尤其在面临复杂持续Web攻击的大型组织中。
研究结论指出，COVERT作为一种上下文导向的交互式安全可视化系统，通过融合行为检测、意图推断和自适应视觉分析，克服了现有安全系统缺乏上下文感知和高虚假阳性率等主要缺陷。实验发现COVERT能够显著提高威胁检测准确率、缩短分析师响应时间并提升情境感知，证实了自动化分析与人机聚焦可视化相结合可增强复杂网络防御环境中的决策质量。未来研究将框架扩展至更大规模的云和物联网部署，增强实时可扩展性和可解释人工智能方法，探索分析师交互的自动化反馈学习，并在真实运营安全环境中验证系统。
