ARDAI/ML 辅助独立于账户的信任
Dockfield ARD
检测异常行为。
保护恢复决策。
ARD 是 Dockfield 面向勒索软件恢复的智能检测与证据层。它持续观察行为，比较独立的异常信号，校准置信度，并将可解释的证据提供给确定性的恢复策略。
观察AWS 与恢复信号
→
检测行为异常
→
校准证据置信度
→
决策策略与可解释性
→
四分之一不可信边界
→
恢复已验证的路径
AI/ML 总体架构
独立证据优先。仅在复杂性带来可衡量价值时才引入。
自监督时序检测随时间建立正常行为上下文模型，标记不再符合已学习运行模式的序列。
独立统计检测基线偏差、突发变化和变化模式构成另一类可解释的异常信号。
可选的多分辨率特征在遥测密度足以支持分析时，墨西哥帽等多尺度信号特征可以提供辅助，但不会被当作普遍真理。
为什么使用墨西哥帽？ 该概念能够在不同尺度上，突出相对于周围上下文的局部变化。Dockfield 将此类信号处理视为可选的辅助证据，而非勒索软件分类的基础。
证据融合
单个异常不会直接触发自动恢复。
行为时间模式与序列变化。
统计独立的偏差与变化证据。
安全在可用且可信时，来自安全环境的信号。
恢复候选恢复点的完整性、来源与可信度。
校准后的证据将不同尺度的信号归一化为可比较的置信度视图，同时保留来源信息。
→
可解释的决策系统记录发生了什么变化、哪些证据参与了判断，以及哪项确定性策略允许执行下一步操作。
→
确定性安全策略最终恢复操作由明确、可审计的策略控制，而非由单一模型分数决定。
ARD 的部署位置
不再假设安全账户始终能够幸存。
安全与工作负载环境重要的证据来源，但绝不是唯一信任锚点。安全账户本身也可能被视为可疑。
→
ARD / 韧性决策平面关联独立证据，并持续检查当前控制平面是否仍然可信。
→
隔离的恢复边界隔离、验证和恢复可转移到受影响信任域之外，包括使用新账户或独立组织的恢复模式。
安全账户受影响安全证据降级或不再可信时，独立证据仍可用于韧性决策路径。
多个账户受影响恢复选择与隔离转向独立的恢复边界。
现有组织不可信当受保护的恢复权限和证据仍然可用时，可以选择新账户或独立组织恢复模式。
不依赖单一账户。 ARD 将工作负载、安全和恢复账户设计为相互独立的信任域。发生严重入侵时，可将现有 AWS 环境视为需要调查的证据，而非批准自身恢复的权威。
ARD + Intelligent Recovery
检测只有在改善恢复决策时才有价值。
Dockfield 将异常证据直接连接到隔离、验证和独立恢复模式，同时保持最终安全策略明确。