核心问题：
当前恶意软件防御体系在应对使用冷门/脚本语言（如 Lua, Tcl, Lisp, Python 等） 编写的威胁时存在严重短板。传统杀毒软件主要依赖静态特征码比对，而这类恶意软件通过以下方式轻松绕过检测：
- 动态函数注册： 利用宿主语言（如 C/C++）注册关键恶意函数，函数名可任意伪装。
- 逻辑拆分混淆： 将恶意行为拆解到多个看似无害的函数或脚本中调用。
- 解释器捆绑： 将脚本解释器（如 Lua）静态编译进恶意 EXE 文件，恶意逻辑以外部脚本形式存在，极大降低静态扫描检出率。
- 内存行为复杂化： 语言解释器本身内存行为复杂多变，使得基于内存监控的动态检测难以精准识别恶意意图。
- 冷门语言生态分散： 安全厂商难以针对海量且不断涌现的冷门语言解释器逐一开发深度检测逻辑。
项目目标：
构建一个本地化、智能化、用户可参与的主动防御系统，专注于实时行为监控与威胁意图评估，有效对抗利用冷门语言或高级规避技术的恶意软件。
核心解决方案：
-
深度行为监控：
- 利用 ETW (Event Tracing for Windows) 作为核心数据源，持续、低开销地捕获系统范围内所有进程的详细 API 调用、文件操作、网络活动、注册表访问、进程/线程行为等关键事件。
- 专注于核心函数调用序列与上下文，而非静态代码特征。
-
本地 AI 威胁评估引擎：
- 系统内置一个轻量级、本地运行的 AI 模型（如决策树、随机森林、轻量级神经网络或规则引擎）。
- 该引擎每日持续学习与分析 ETW 捕获的海量行为数据。
- 核心功能： 为每个活跃进程动态计算一个 “威胁度”评分。
- 评估输出： 将进程行为分类为：
- 安全： 行为模式清晰且符合预期。
- 未知： 行为模式不常见或不足以判定恶意，需用户关注。
- 恶意： 行为模式高度符合已知恶意特征或组合风险极高。
-
用户赋能与自定义：
- 自定义检测规则与权重： 用户可定义特定的行为模式（如：
CreateRemoteThread+WriteProcessMemory+ 连接可疑 IP）并赋予权重。系统在评估威胁度时会识别这些模式并累加相应权重值，显著影响最终分类结果。 - 响应自动化： 对于被判定为 恶意 的进程，用户可编写或选择预定义的 “响应钩子” 自动执行操作（如：终止进程、隔离文件、阻止网络连接、触发警报）。
- 未知程序处置： 对 未知 状态的程序，系统会向用户发出警报，提供详细行为报告，由用户根据上下文自行判断并决定处置方式（允许、阻止、标记规则）。
- 自定义检测规则与权重： 用户可定义特定的行为模式（如：
-
技术选型与理念：
- 语言：Lisp (SBCL) + C
- Lisp (SBCL)： 作为“人工智能的古老语言”，其强大的符号处理能力、宏系统、运行时自省和热更新特性，使其成为构建灵活、可动态扩展的规则引擎、AI模型解释器和用户自定义逻辑接口的理想核心。SBCL 提供了优异的本地执行速度。
- C： 用于实现高性能的 ETW 数据采集、解析底层模块、内存操作以及与操作系统底层的交互，确保监控效率和响应速度。
- 核心理念：安全民主化
- 超越专家定义： 安全防御不应仅由安全厂商的规则工程师定义。用户最了解自身环境和软件预期行为。
- 用户即防线： 通过提供强大的行为监控数据和自定义规则/响应能力，将用户转化为自身安全防御的积极参与者和决策者，有效应对厂商规则覆盖不到的“长尾”威胁（尤其是冷门语言和0day）。
- 语言：Lisp (SBCL) + C
关键优势总结：
- 攻克冷门语言威胁： 直接从行为层面分析，无视语言特性和混淆手段。
- 绕过静态检测： 不依赖文件特征，有效对抗解释器捆绑和脚本外置。
- 智能化评估： 利用本地AI持续学习行为模式，动态评估威胁意图。
- 高度可定制化： 用户自定义规则和响应策略，适应个性化需求。
- 主动防御： 实时监控，自动化响应恶意行为。
- 用户赋能： 将安全决策权部分交还给用户，实现“安全民主化”。
- 高效技术栈： Lisp提供强大灵活性与AI亲和力，C保证底层性能。
使用场景示例：
- 用户发现一个用 Tcl 写的冷门工具行为可疑（如尝试加密文档目录）。
- Aegis Sentinel 通过 ETW 捕获其
文件遍历+非标准加密API调用+尝试连接C&C IP等行为。 - 内置模型结合用户自定义的
"文档目录加密 + 外联"规则（高权重），将其判定为 恶意。 - 系统自动触发用户预设的钩子：终止该 Tcl 进程，隔离相关文件，并弹出告警。
- 用户收到告警，确认是勒索软件，选择彻底删除。
“Aegis Sentinel：透视行为本质，智御未知威胁，赋能用户掌控安全！”