从噪声到信号：使用端点特定日志的 LLM 改进安全日志异常检测

arXiv 发布研究，用指令微调 LLM 框架检测安全登录日志中的异常行为，包括边界情况。实验在受控测试环境中生成端点特定认证数据，对比了 Meta Llama 3.1 8B Instruct、Qwen 2.5 7B Instruct 和 GPT-OSS 20B 与 Wazuh 规则检测及 OpenSearch 异常检测。Meta Llama 表现最佳，准确率 89.3%，召回率 88.2%，F1 分数 91.8%，假阴性率 11.8%，优于 Wazuh 和 OpenSearch。

此前日志异常检测依赖预定义规则或统计偏差，LLM 方法受噪声和通用数据集限制。此研究展示指令微调 LLM 在端点特定数据和边界场景下显著降低假阴性率（从 70% 左右降至 11.8%），可能提升安全运营中对细微攻击的识别能力。

LLM 能理解日志的语义和上下文，通过标准化指令提示进行分类，结合端点特定数据训练，使其更适应具体环境，避免通用数据集偏差。边界情况指介于正常与异常之间的行为，LLM 的语义推理能力有助于识别规则难以捕捉的模式。

对安全产品（如 SIEM）的检测引擎可能带来改进方向：引入 LLM 辅助检测可降低漏报，但需考虑计算成本和延迟。产品可集成小型 LLM（如 Meta Llama 8B）进行二次判断，同时保留规则引擎，以提升准确性。

• 开发混合检测系统，先用规则或统计方法初步筛选，再用 LLM 审查边界及低置信度告警，以减少漏报。
• 针对端点特定日志，收集真实环境数据微调开源 LLM，提升多环境适应性，并作为产品可选功能。
• 将 LLM 检测作为云端安全分析的增值服务，提供高准确率告警，同时管理推理成本。

• 该框架在真实网络环境中的性能如何？测试床仅为受控环境，实际日志噪声可能更高。
• Qwen 2.5 7B Instruct 和 GPT-OSS 20B 的具体检测结果未在证据中给出，对比信息不完整。
• LLM 检测的计算资源消耗和推理延迟对生产环境的影响未在证据中说明。
• 边界异常场景的定义和代表性问题尚不明确，可能影响检测普遍性。