arXiv cs.CR· Kerri Prinos, Lilianne Brush·· 5 小时前AI 评分68
新框架揭示商用EDR遥测设计与行为差异导致自动化防御存在模拟到现实差距
Closing the Sim-to-Real Gap: An Evaluation Framework for Autonomous Cyber Defense Configuration of Commercial EDR
AI 摘要
该研究提出首个针对自主防御智能体加固商用端点检测与响应（EDR）产品的评估框架，通过GOAD实验室环境，以Horizon3的NodeZero作为自主渗透测试工具，对Microsoft Defender XDR、CrowdStrike Falcon和SentinelOne Singularity进行测试，并采用Claude Sonnet 4.6与Cisco Foundation-Sec-8B两个大语言模型作为智能体核心进行基准测试。
研究发现三个关键事实：首先，商用EDR的遥测数据是为安全运营中心（SOC）分析师的工作流设计的，而非用于衡量策略有效性；其次，必须按策略进行归因才能区分防御智能体的动作与EDR自身的自主动作；第三，EDR的行为在不同运行中存在显著差异，主要源于隔离机制的变化和累积效应。这些发现表明，仅靠仿真或开源EDR评估无法暴露上述问题。
推断认为，当前基于黑盒自主工具的自动化防御基准测试方法论存在严重缺失，因为商业EDR并非被动工具而是具备厂商特定决策能力的系统。猜测未来行业可能需要建立新的标准化评估协议，专门解决遥测不可用性和行为非确定性带来的评估偏差，但这需要厂商开放更多内部逻辑接口。
来源：arXiv cs.CR · arxiv.org