Windows 终端安全溯源
与智能分析系统

检测系统是否已安装 Sysmon，未安装则自动静默部署并加载规则配置。通过 EVT 订阅实时接收 Operational 通道事件，同时支持文件轮询作为兜底方案。对进程创建、网络连接、DNS 查询、文件创建、注册表修改等 5 类事件进行结构化解析，IP 白名单自动过滤内部流量。

利用 Sysmon 事件自带的 ProcessGuid 和 ParentProcessGuid 字段，在内存中构建进程关系索引。支持向上追溯最多 10 级父进程链（检测 svchost → cmd 等异常父子关系），向下 BFS 遍历所有子进程，并可获取跨进程关联的网络、DNS 事件，还原完整攻击路径。

对 Sysmon 原始日志进行模板化提取：按 EventID 分组，通过前缀树相似度匹配将可变参数替换为 <*> 通配符。重复事件压缩率 60-80%，显著降低后续分析层的计算负载。模板持久化存储到 SQLite，支持 Prune 清理低频模板、TopN 查询。

双引擎并行筛选异常候选：孤立森林（10 棵随机子采样树，平均路径长度归一化异常分）+ 滑动窗口 3σ 统计（命令行长度、端口、PID 等数值特征的均值/标准差检测）。窗口 500 条，前 500 条自动完成训练后进入检测模式。

覆盖路径异常（Temp 目录执行）、伪装检测（进程名与路径不匹配）、父子关系异常（svchost spawn cmd）、命令行异常（编码/下载参数）、陌生外联（非内网 IP）、高危注册表（自启动项）、敏感文件操作、罕见用户、时间异常（凌晨活动）共 9 个检测维度。每条规则独立产生信号，加权求和得到 0-100 分 ThreatScore，对应正常/低风险/中风险/高风险/严重五级。

规则引擎评分 ≥ 41 分（中风险以上）且用户开启时，自动调用配置的 LLM 进行深度定性。支持 DeepSeek / OpenAI / 通义千问 / Ollama（本地）/ 豆包 5 种预设，SSE 流式传输实时显示结果。发送前强制脱敏（移除用户名、掩码内网 IP、截断哈希），返回 threat_assessment、attack_technique、confidence、recommendation、false_positive_clues、severity_override 六个结构化字段，结果缓存至 llm_cache.db。