使用弱监督的ML驱动的LDAP侦察检测

# 基于弱监督的ML驱动LDAP侦察检测
来源：https://arxiv.org/html/2606.28917
\(2026\)

###### 摘要

轻量级目录访问协议（LDAP）是一种允许用户查询和修改Active Directory（AD）数据的协议。默认情况下，所有用户都拥有通过LDAP读取所有AD数据的权限，这使得LDAP成为威胁攻击者在初次攻陷身份后常用的初始侦察工具。为了在侦察阶段尽早捕获威胁攻击者，我们开发了两个机器学习框架来检测LDAP侦察：一个用于预测恶意LDAP查询的ML分类器，以及一个用于提取恶意查询特征的基于ML的数据挖掘方法。通过将LDAP查询与端点检测相关联，第一个框架利用弱监督来标记大规模数据集，并将LDAP查询分类为恶意或良性。为了能够立即部署，在该方法基础上开发了第二种技术，采用严格的统计假设检验框架来挖掘新颖的恶意LDAP特征。尽管这种弱监督方法与人工手动标记相比存在局限，但对于这一用例来说更为实用，因为它利用了大规模自动化语料库构建，降低了成本和时间。最终，LDAP分类器和基于ML的LDAP特征挖掘方法均达到了性能基准，其中分类器在保留集上实现了高达65%的真阳性率（TPR），同时限制了误报；而挖掘出的特征在CrowdStrike的托管检测与响应团队中实现了81.48%的现场精确率。

LDAP侦察；弱监督；机器学习；网络安全；特征挖掘；身份安全；Active Directory；数据挖掘

††期刊年份：2026 ††版权：cc ††会议：第32届ACM SIGKDD知识发现与数据挖掘会议，卷2，2026年8月9日至13日，韩国济州岛 ††书刊：第32届ACM SIGKDD知识发现与数据挖掘会议论文集，卷2（KDD '26），2026年8月9日至13日，韩国济州岛 ††doi：10.1145/3770855.3818449 ††isbn：979-8-4007-2259-2/2026/08 ††ccs：计算方法 半监督学习设置 ††ccs：安全与隐私 恶意软件及其缓解 ††ccs：安全与隐私 领域特定的安全与隐私架构

## 1. 引言

在攻击链的早期阶段，侦察是威胁攻击者用于收集目标环境关键信息并规划攻击的首要策略。在此阶段，对手会映射网络、枚举账户并识别漏洞，而不会触发警报。对此活动进行主动监控和早期检测，可以在威胁攻击者行动之初就将其阻断，并在其恶意操作发生之前就阻止入侵（Drew 等人，2025 (https://arxiv.org/html/2606.28917#bib.bib16)）。

在本文中，我们详细介绍了一种利用AI检测侦察查询早期迹象的新方法。我们特别关注轻量级目录访问协议（LDAP），该协议允许用户查询和修改Active Directory（AD）数据（端点、用户和组数据）。虽然修改需要管理权限，但默认情况下所有AD用户都可以读取所有AD数据。这使得LDAP在初始网络攻陷后成为侦察攻击的常见目标。现有的LDAP侦察检测主要依赖于已知攻击工具的特征匹配，缺乏自适应能力和模式识别能力，难以检测到不常见的攻击工具、手动查询或新型侦察方法。

本文提出了两个用于检测恶意LDAP侦察的框架。框架1使用ML分类器预测恶意LDAP查询。由于开发时的部署限制，创建了第二个框架——基于ML的LDAP特征挖掘，以便能够立即集成到现有架构中，在最小化误报的同时保护客户。两个框架都利用了相同的基于LDAP搜索派生的特征，包括来自查询和属性的文本嵌入，以及来自元数据和搜索规范的数值和分类编码。

每个框架还使用弱监督来标记和分类大量LDAP查询样本。弱监督是一种方法论，通过使用噪声较大的标签源来构建比手动标记大得多的训练语料库（Snorkel, 2022 (https://arxiv.org/html/2606.28917#bib.bib29); Ratner 等人，2017 (https://arxiv.org/html/2606.28917#bib.bib28)）。CrowdStrike的LDAP ML检测中使用的弱监督标签围绕图1 (https://arxiv.org/html/2606.28917#S1.F1) 所示的攻击链展开。这展示了威胁攻击者如何利用LDAP在客户环境中横向移动。他们可以在LDAP枚举之前和/或之后触发端点检测。例如，用户可能获得网络的初始访问权，并使用LDAP枚举所有域管理员。然后他们可能尝试通过尝试窃取凭据来转向域管理员账户，从而触发凭据盗窃的端点检测。由于同一用户在凭据收集警报前后查询了LDAP，因此可以推断该LDAP查询本身用于侦察，并可标记为恶意。

参见图注

图1. 身份攻击杀伤链。该图展示了威胁攻击者如何使用LDAP在客户环境中横向移动。他们可以在LDAP枚举之前和/或之后触发端点检测，这说明了将端点检测关联用于标记的逻辑。框架1在这些弱标签上拟合ML分类器，使用分组拆分以在不同用户之间泛化，并根据身份标准调整模型。第4节 (https://arxiv.org/html/2606.28917#S4) 详细介绍了框架1的方法，包括其弱标记逻辑和下游监督分类。

在开发期间，由于架构限制，ML分类器无法部署到生产环境。这揭示了检测LDAP侦察的覆盖缺口，使客户面临风险。为了立即保护客户，创建了第二个框架，用于挖掘可立即部署到现有架构中的特征。第5节 (https://arxiv.org/html/2606.28917#S5) 详细阐述了该特征挖掘框架，详细说明了5个下游分类器的训练和推理，以及通过假设检验进行的特征排除。

最后，两个框架都使用历史数据和实时数据的多个指标进行了评估。分类器框架通过达到30%真阳性率（TPR）和低于每个客户每天1次误报（FPR）的基准目标，证明了其有效性。特征挖掘更侧重于精确率和低FPR，通过族系错误率（FWER）排除确保相同的FPR，并实现了81.48%的现场精确率。

通过将端点检测与LDAP查询相关联，这种弱监督机器学习方法提供了一种鲁棒且可泛化的解决方案，用于在攻击链早期检测受感染的身份。

## 2. 相关工作

自动特征生成，本质上是一种特定于网络安全上下文的正则表达式，几十年来主要在可执行二进制程序领域得到研究（Kim and Karp, 2004 (https://arxiv.org/html/2606.28917#bib.bib21); Newsome 等人，2005 (https://arxiv.org/html/2606.28917#bib.bib23); Yegneswaran 等人，2005 (https://arxiv.org/html/2606.28917#bib.bib33); Blichmann, 2008 (https://arxiv.org/html/2606.28917#bib.bib11); Venkataraman 等人，2008 (https://arxiv.org/html/2606.28917#bib.bib30); Li 等人，2023 (https://arxiv.org/html/2606.28917#bib.bib22)），通常依赖搜索算法（如最长公共子序列）和内容的领域知识解析（例如，反汇编文件并在指令参数中放置通配符）。虽然有些工作已经探索了网络领域（Rafique and Caballero, 2013 (https://arxiv.org/html/2606.28917#bib.bib27); Kapoor 等人，2021 (https://arxiv.org/html/2606.28917#bib.bib20)），但我们的工作似乎是较早专门针对LDAP的研究之一。使用机器学习技术帮助生成特征始于使用双聚类将候选特征（n-gram）分组（Raff 等人，2020 (https://arxiv.org/html/2606.28917#bib.bib26)）。此后，其他人利用了经典规则挖掘（Du 等人，2021 (https://arxiv.org/html/2606.28917#bib.bib17); Kapoor 等人，2021 (https://arxiv.org/html/2606.28917#bib.bib20)）、模糊测试（Chen 等人，2022 (https://arxiv.org/html/2606.28917#bib.bib13)）和大语言模型（LLMs）（Balasubramanian 等人，2024 (https://arxiv.org/html/2606.28917#bib.bib9); Zhang 等人，2025 (https://arxiv.org/html/2606.28917#bib.bib34)）。与这些方法相比，我们使用更简单的方法对数据进行弱预标记，并且必须考虑操作约束以避免LDAP查询特有的数据泄露。

现有针对恶意LDAP查询的特征匹配方法针对已知的攻击工具。常见工具包括SharpHound、Rubeus、SOAPHound等（,2021 (https://arxiv.org/html/2606.28917#bib.bib5),2018b (https://arxiv.org/html/2606.28917#bib.bib4),2024 (https://arxiv.org/html/2606.28917#bib.bib3),2023 (https://arxiv.org/html/2606.28917#bib.bib6),2018a (https://arxiv.org/html/2606.28917#bib.bib2)）。这些工具大多是开源的，便于从其查询中进行监控和特征生成。这种方法高度精确，但仅限于攻击工具流量的一小部分（即低召回率）。它无法泛化到未见过的查询，并且可以通过对查询进行微小更改轻松规避。下面是一个来自Rubeus攻击工具的恶意LDAP查询示例（1）。该查询枚举了不需要Kerberos预身份验证的特定类型的SAM账户。下面的LDAP查询2执行相同的操作；但由于其特征在添加了 `(objectCategory=user)` 的细微修改后发生变化，因此未被检测到。两个查询都返回不需要Kerberos预身份验证的用户，但第二个查询因不属于已知攻击工具而规避了检测。

- •1: Rubeus 恶意 LDAP 查询：`(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=4194304))`
- •2: 稍作修改的手动恶意 LDAP 查询：`(&(objectCategory=user)(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=4194304))`

由于这些特征不能泛化，因此可以通过此类技术轻松规避。特征映射仅限于已知攻击工具，可能遗漏手动查询、修改过的攻击工具流量以及不太为人知的攻击方法（Drew 等人，2025 (https://arxiv.org/html/2606.28917#bib.bib16)）。

手动添加新特征也非常耗时。实施一个新特征需要进行彻底的调查和审查流程，以确保低误报率和与攻击工具相关的高精确率特征。这导致通过这些手动方法平均每年仅产生约≈5个新特征。此外，这些特征触发并不一定意味着是恶意的。SOC分析师仍必须调查查询和用户的上下文，才能最终确定恶意性。由于这种冗长的手动标记查询过程，可用于训练监督分类器的真实标签数量非常有限。

攻击工具特征的现有替代方案是用于检测LDAP侦察的静态规则。这种方法将特定类型的LDAP搜索（例如，服务主体名称（SPN）枚举、访问控制列表（ACL）枚举等）进行分类。虽然这种方法能高精度地对LDAP搜索操作类型进行分类，但在区分恶意查询和良性查询方面表现出有限的分辨能力，因为合法的管理任务通常涉及相同的搜索操作。例如，ACL枚举可以作为进行恶意侦察的手段，但也可能是系统管理员管理访问和权限的常见任务。

我们的基于ML的框架通过构建更具适应性和可扩展性的解决方案来弥补这些差距，该解决方案能够识别和应对不熟悉或自定义构建的侦察技术。这些框架学习跨不同特征的可泛化模式，可防止上述常见的规避技术，同时检测新型侦察尝试。通过使用弱监督，我们的框架生成了包含数百万个LDAP查询的大型标记语料库，模型从中学习区分恶意查询和良性查询。

## 3. 数据

对于不熟悉LDAP的读者，我们在附录A (https://arxiv.org/html/2606.28917#A1) 中通过一个迷你教程分解了一个恶意LDAP查询及其阅读方法。该项目从一个包含约≈60亿个LDAP查询的数据集开始，跨越367个客户，时间跨度90天。然后，该数据集针对“不常见性”进行了过滤标准处理，即消除了在该客户特定近期时间窗口内重复出现的LDAP查询。这个预定义的阈值（出于安全考虑予以隐藏¹¹¹我们描述的是一个在生产中使用的真实系统，我们的行业本质上是对抗性的。因此，我们必须在展示与透露重要细节（这些细节可能使恶意行为者更容易破坏我们的系统）之间取得平衡。）来自身份保护领域的主题专家。过滤后，产生了约≈130万个需要由启发式规则标记的LDAP查询。这个大型数据集使我们能够有效地挖掘相关的端点检测，并获得一个有代表性的样本供模型训练。启发式规则能够解析该数据集并在几分钟内标记所有LDAP查询，这对于人工标记者来说是不切实际的。

## 4. 框架1：ML LDAP分类

我们提出一个用于可疑LDAP检测的初始ML分类框架。由于部署限制，在第一个框架的基础上构建了第二个框架以挖掘可疑的LDAP查询特征。本节将完整介绍第一个分类框架。

LDAP检测分类框架包括两个步骤：

1. (1)**弱标记**：将LDAP查询与同一源用户在时间上接近的端点检测进行关联，以产生一个二元标签。
2. (2)**下游监督分类**：在弱标签上拟合一个监督分类器以预测恶意性。

### 4.1. 弱标记

该框架使用**弱监督**，这是一种通过使用噪声较大的标签源来构建比手动标记大得多的训练语料库的方法论（Snorkel, 2022 (https://arxiv.org/html/2606.28917#bib.bib29); Ratner 等人，2017 (https://arxiv.org/html/2606.28917#bib.bib28)）。这些噪声较大的来源通常以启发式规则的形式出现。

手动标记LDAP查询需要人类审查数百万个查询，分析其上下文，并逐个将其标记为恶意或良性。当前发现和验证新攻击工具特征的方法每年产生约≈5个新特征。由于大多数LDAP查询是良性的，并且手动标记存在明显的人力资源限制，我们发现手动标记并非可行的替代方案。为了创建自动标记超过一百万个LDAP查询的启发式标准，我们转向将身份数据（LDAP查询）与端点数据（端点检测）相关联。