从事基于动态行为的检测技术研究，深度挖掘跟踪APT组织实时事件。结合前沿AI技术多维度精细化提取、分离、关联、索引，并通过可视化模型综合分析样本，对安全攻击行为进行全面立体化溯源。

分析恶意代码的行为特征，深入研究恶意代码中使用的反调试，混淆，虚拟化等各种逃避检测的手法，对外提供恶意代码的分析报告。

通过数年沉淀，积累了针对各种恶意网络行为的检测方法，可以及时发现挖矿，勒索等流行病毒的网络行为，提供完整的证据链支持。

天璇实验室从事系统源代码安全方面的技术研究，源代码安全检查服务能够从分析移动端恶意样本行为特征和网络特征，研究静态分析和动态调试技术，研究移动端加固，脱壳和Hook技术。

基于深度学习的恶意样本动态检测：实验室跟踪前沿的深度学习恶意样本检测方法，生成基于沙箱运行日志的检测模型，可以对黑白样本进行辨识和分类。同时研究自适应动态更新模型技术，满足海量样本环境下模型在线更新的需求。

实验室借鉴深度学习技术在图像检测与分类领域的丰硕成果，并将其运用于恶意软件检测和分类中。通过构建多种类型深度神经网络，实现对PE型，ELF型等恶意软件样本的分类，有效的应对了恶意软件变种和混淆带来的检测难度的提升和挑战。

当前僵尸网络木马程序倾向于使用DGA算法生成域名来逃避基于黑名单的检测。实验室利用深度神经网络构建深度学习检测模型，实现对50余种DGA生成域名检测，有力的弥补了基于黑名单域名检测技术的局限性，对遏制僵尸网络的传播起到了重要的作用。

实验室依据webshell脚本与自然语言文本本质上的相通性，引进NLP前沿热点技术实现对webshell恶意脚本检测，研究开发高效可靠的webshell深度检测模型。通过搭建多种先进NLP检测深度模型，实现了对php等多种恶意webshell脚本的精准查杀。

基于加密通信协议的僵尸网络恶意流量检测是当前恶意流量监控的主要难点， 实验室利用机器学习技术构建了一整套恶意加密流量检测方法、模型和软件，同时建立了加密流量的指纹特征库，能够较好的实现对采用加密通信协议的恶意流量的识别和鉴定。

实验室利用深度学习和机器学习算法对隐匿通信提取特征，进行模型的训练与优化，应用于各种隐匿隧道的检测研究，包括但不限于：HTTP隐蔽隧道、DNS隐蔽隧道、ICMP隐蔽隧道等，用以弥补传统基于规则匹配的隐匿隧道检测方法的局限性，为网络信息安全添砖加瓦。

实验室通过跟踪常见的攻击注入点，将传统的基于特征规则的检测方法和基于NLP的机器学习检测方法相结合，实现对SQL注入和XSS攻击的有效检测，并引入集成学习的思想，提升了检测的准确率和稳定性。

工具涵盖多个方面： 如漏洞批量验证平台、二进制漏洞挖掘工具、病毒木马行为检测系统