RHINO 框架利用三阶段结构化推理将网络日志到攻击战术的映射准确率提升至87.34%

该论文提出 RHINO 框架，旨在解决现有基于规则或机器学习的方法在处理网络入侵检测系统（NIDS）告警时缺乏上下文感知和适应性差的问题，特别是针对大语言模型（LLM）在单步分类中容易产生幻觉和去上下文化映射的缺陷。RHINO 将攻击分析分解为三个结构化阶段：行为抽象、ATT&CK 战术空间的分区推理以及基于知识的细化，通过交叉引用官方 MITRE 定义来减少错误。

在 DAPT2020、CICIDS2017 和 IoT23 三个基准数据集上，使用 ChatGPT-4o、Gemini 2.5 Flash、Claude Sonnet 4 和 DeepSeek V3 四种骨干模型进行评估，结果显示 RHINO 在微平均下的 top-1 准确率达到 87.34%，宏平均下达到 63.77%。这一成绩分别超越了最强的基线方法 16.78 和 13.60 个百分点，证明了结构化 LLM 推理能有效将低层网络观测转化为高层对抗行为描述。

事实层面，该研究明确展示了特定架构对降低 LLM 在安全领域幻觉的有效性；推断层面，这表明未来安全运营中心（SOC）的自动化流程可能从简单的模式匹配转向依赖多步推理的生成式分析；猜测层面，虽然结果显著，但该方法在实时高并发场景下的延迟表现及计算成本尚未在摘要中披露，实际部署需权衡推理开销与检测精度。