SoK：时间戳并非时间模型——重构基于主机的入侵检测中的时序推理

该研究指出基于主机的入侵检测依赖未声明的时间假设，并提炼出时间模型的五个组件、证据假设清单及四个保障等级。分析显示，在审计的 38 篇溯源检测论文中，28 篇默认信任捕获或存储的证据且未说明删除、延迟或伪造记录下的结论有效性。现有系统缺乏适用于主机审计数据的时序规则语言或流式推理器，仅部分早期关联器提及时钟与交付假设。