论文标题：The rhythm of execution: unveiling the impact of sandbox execution time on cyber threat intelligence data

期刊：Frontiers of Computer Science

作者：Xuguo WANG, Diming ZHANG, Chenglin LI, Xuan JIANG, Ligeng CHEN 

发表时间：30 Apr 2025

DOI：10.1007/s11704-025-50245-y

微信链接：点击此处阅读微信文章

引用格式：

Xuguo WANG, Diming ZHANG, Chenglin LI, Xuan JIANG, Ligeng CHEN. The rhythm of execution: unveiling the impact of sandbox execution time on cyber threat intelligence data. Front. Comput. Sci., 2026, 20(4): 2004807 DOI:10.1007/s11704-025-50245-y

阅读原文：

文章精要

随着恶意软件技术不断演变，攻击者不断改进其逃避检测和反分析的策略，使得基于沙箱的网络威胁情报（CTI）数据收集变得至关重要。然而，目前尚无系统研究探讨沙箱执行时间与情报数据完整性之间的关系，以及执行时间对情报数据可信度的影响。现有沙箱通常使用预设的执行时间阈值，缺乏实证依据，可能导致关键行为的过早终止或不必要的计算开销。南京大学王绪国等撰写了研究论文：执行的节奏：探寻沙箱运行时间对网络威胁情报的深远影响。

本研究提出，通过系统调用、代码执行和数据访问行为（基于 MITRE ATT&CK 框架）来分析恶意软件执行动态，并利用极值理论（EVT）建模情报数据随时间提取的概率分布，从而为沙箱执行时间的优化提供科学依据。

技术步骤

本文设计了一个综合的数据收集和分析框架，整合了传统沙箱（Cuckoo Sandbox）、PANDA仿真器以及新开发的KleAm（内核级执行修正器）。通过捕获系统调用、执行的基本代码块和数据访问日志，建立完整的执行数据集。引入KleAm模拟器以补充传统沙箱因缺失目标文件、网络不可达等问题导致的数据空洞。此外，通过将收集到的行为数据映射到MITRE ATT&CK框架，识别新的战术、技术和程序（TTPs），并利用极值理论（EVT）对新增情报数据的出现概率进行建模，最终动态调整沙箱执行时间。

实验结果

基于对111,747个Linux恶意样本的实验分析发现，恶意样本的大部分新情报数据在前三分钟内被提取，之后新情报增长速率显著下降。具体来说，在95%置信水平下，执行180秒后继续获得新情报数据的概率为0.092，300秒后降至0.074，600秒后进一步降至0.056。该结果表明，延长执行时间在超过一定阈值后，新增情报数据收益非常有限。因此，可以通过合理设置执行时间（如3到5分钟）来兼顾情报数据完整性和计算资源效率。

期刊简介

Frontiers of Computer Science （FCS）是由教育部主管、高等教育出版社和北京航空航天大学共同主办，南京大学支持，SpringerNature 公司海外发行的英文学术期刊。本刊于 2007 年创刊，月刊，全球发行。主要刊登计算机科学领域具有创新性的综述论文、研究论文等。本刊主编为周志华院士，共同主编为熊璋教授。编委会及青年 AE 团队由国内外知名学者及优秀青年学者组成。本刊被 SCI、Ei、DBLP、INSPEC、SCOPUS 和中国科学引文数据库（CSCD）核心库等收录，为 CCF 推荐B类期刊；两次入选“中国科技期刊国际影响力提升计划”；入选“第4届中国国际化精品科技期刊”；两次入选“中国科技期刊卓越行动计划”（一期梯队、二期领军）。

中国学术前沿期刊网

http://journal.hep.com.cn