State Space Reduction with Message Inspection in Security Protocol Model Checking
模型检验是一种广泛应用的自动形式化分析方法，它成功地发现了安全协议中的缺陷。然而，状态空间爆炸的可能性仍然阻碍了复杂协议和协议配置的分析。消息检测是一种技术，它可以在不排除可能的攻击的情况下，根据入侵者模型来划分状态空间的分支。在初步模拟中，入侵者模型使用特定元数据标记窃听的消息，从而验证可能的攻击行为的可行性。然后，消息检查算法根据这些元数据决定根据已知的安全原则哪些攻击肯定会失败。因此，先验已知的是，即如果入侵者不知道正确的密钥，则加密方案攻击不能成功。仿真以可以安全移除的攻击动作的报告终止，从而产生具有减小的状态空间的模型。
2009-09-01 cs.CR
On the Cost of Security Compliance in Information Systems
信息和通信技术的不断发展引发了一场新的工业革命，称为工业4.0。这场革命涉及网络物理生产系统（CPPS），它由智能网络物理系统组成，这些系统可以在生产环境中自主适应。目前，工业环境中的机器通常没有连接到互联网，因此需要点对点连接才能访问设备。通过工业4.0，这些设备应该能够通过与外部世界的连接进行远程访问以进行智能维护。然而，这种连接为可能的网络攻击打开了大门，从而提出了为这些环境提供安全性的问题。因此，本文采用了一种基于六西格玛的自适应方法，通过研究安全标准来解决这个安全问题。收集安全需求，并将其映射到众所周知的安全标准中的控件，形成一个目录。此目录包括用于检查用例的解决方案的安全性的评估信息，还包括到实现成本估计方法的链接。因此，本文的成果展示了如何通过实现安全标准控制来确保工业4.0用例的安全，以及如何估计由此产生的实施成本。
2019-05-15 cs.CR
From Compliance to Impact: Tracing the Transformation of an Organizational Security Awareness Program
本文通过美国某政府机构为期一年的案例研究，揭示了安全意识项目从合规导向转向行为影响导向的挑战与实践，为界定安全意识工作角色提供了参考。
2023-09-14 cs.CR cs.HC
On the Security of A Remote Cloud Storage Integrity Checking Protocol
数据安全和隐私是云计算中一个重要但具有挑战性的问题。云用户的安全问题之一是如何有效地验证存储在云服务器上的数据的完整性。第三方审计（TPA）是近年来为实现这一目标而提出的一种新技术。在最近的论文（IEEE Transactions on Computers 62（2）：362-375（2013））中，Wang等人提出了一种高效且可扩展的TPA协议，以及可以防止离线猜测攻击的零知识公共审计协议。然而，在本文中，我们指出了Wang等人的协议中的几个安全弱点：首先，我们证明了攻击者可以在完整性检查过程中任意修改云数据而不被审计者发现，并且攻击者甚至可以在不知道云数据的内容或云服务器维护的任何验证元数据的情况下实现这一目标;其次，我们证明了零知识公共审计协议不能达到其设计目标，即防止离线猜测攻击。
2019-12-01 cs.CR
Compliance Checking with NLI: Privacy Policies vs. Regulations
University of Maine（缅因大学）
隐私政策是一份说明公司打算如何处理和管理客户个人数据的文件。这些隐私政策产生的问题之一是，它们的内容可能违反数据隐私法规。由于存在大量的隐私政策，检查所有这些政策中法律不一致的唯一现实方法是通过自动化方法。在这项工作中，我们使用自然语言推理（NLI）技术来比较隐私法规对部分的隐私政策，从大公司的选择。我们的NLI模型在其注意力机制中使用预训练的嵌入以及BiLSTM。我们尝试了两个版本的模型：一个是在斯坦福自然语言推理（SNLI）上训练的，另一个是在多类型自然语言推理（MNLI）数据集上训练的。我们发现，在SNLI上训练的模型的测试准确率更高，但在实际执行真实世界隐私策略的NLI任务时，在MNLI上训练的模型泛化并表现得更好。
2022-03-01 cs.CL cs.CR cs.LG
Processor Hardware Security Vulnerabilities and their Detection by Unique Program Execution Checking
最近在高级处理器中发现的安全攻击，被称为Spectre和Meltdown，导致公众对硬件安全的高度警觉。这些攻击的根本原因是通过“隐蔽通道”的信息泄漏，这些通道在秘密和攻击者之间没有任何显式信息流的情况下泄露秘密数据。许多消息来源认为，这种隐蔽通道是基于推测和乱序执行的高度先进的处理器架构所固有的，这表明可以通过远离高端处理器来避免这种安全风险。然而，本文表明，这个问题是更广泛的范围：我们提出了新的类别的隐蔽通道攻击，这是可能的平均复杂度的处理器，按顺序流水线，因为它们是主流的应用程序，从物联网到自治系统。我们提出了一种新的方法作为对隐蔽通道补救的基础：虽然所有以前的攻击都是通过人类攻击者的巧妙思考发现的，但本文提出了一种自动化和详尽的方法，称为“唯一程序执行检查”，该方法系统地检测和定位隐蔽通道的漏洞，包括迄今为止未知的隐蔽通道。
2018-12-05 cs.CR
Security Hardening Using FABRIC: Implementing a Unified Compliance Aggregator for Linux Servers
Texas A&M University - San Antonio（德克萨斯大学阿马尔科分校）
本文提出UCA框架，通过聚合异构安全审计工具，实现Linux服务器安全加固的统一合规性评估。
2026-01-01 cs.CR cs.LG
Enterprise API Security and GDPR Compliance: Design and Implementation Perspective
随着企业级业务发展的不断进步，对新应用和服务的需求是压倒性的。为了开发和交付这些应用程序和服务，企业业务依赖于应用程序编程接口（API）。从本质上讲，API是一把双刃剑。一方面，API通过共享价值和实用性提供了扩展业务的便利，但另一方面，它带来了安全和隐私问题。由于应用程序通常使用API来检索重要数据，因此确保有效的访问控制和安全机制到位，并且数据不会落入坏人之手是非常重要的。在本文中，我们讨论了企业API安全的现状以及机器学习（ML）在API安全中的作用。我们还讨论了通用数据保护条例（GDPR）合规性及其对API安全性的影响。
2019-09-17 cs.CR cs.NI
Compliance of POLYAS with the Common Criteria Protection Profile
2008年，德国联邦信息安全办公室发布了在线投票产品的通用标准保护配置文件（PP-0037）。因此，我们对Polyas电子投票系统进行了评估，该系统在多个国际组织（德国信息协会、GI等）中用于具有法律约束力的选举，以符合通用标准保护配置文件，并努力满足给定的要求。在本文中，我们介绍了创建兼容安全目标的过程中的发现，对系统设计的必要限制和假设以及委员会的工作，以及必要的架构和程序更改。
2010-12-21 cs.CR
Integrated Solution Modeling Software: A New Paradigm on Information Security Review and Assessment
事实上，信息安全已成为组织无形资产的重要组成部分，因此信任度和利益相关者信任度是组织成功的绩效指标。由于信息安全在支持组织的活动方面起着非常重要的作用，因此我们需要一个规范信息安全治理的标准或基准。本文的主要目的是实现一种新的实用方法框架的信息安全管理系统（ISMS）的评估和监控软件的发展，称为I-SolFramework。系统/软件预计将帮助利益相关者评估其ISO27001合规准备程度，该软件可以帮助利益相关者了解安全控制或通过合规参数调用，更短，更结构化。该案例研究为读者提供了一套指南，旨在易于理解和适用，作为ISMS标准（ISO27001）合规性的测量工具。
2012-03-28 cs.CR
Complexity and Unwinding for Intransitive Noninterference
本文从验证有限状态系统是否安全的复杂性的角度考虑了几种不传递策略的信息流安全性定义。结果如下。检查（i）P-security（Goguen和Meseguer）、（ii）IP-security（Haigh和Young）和（iii）TA-security（van der Meyden）都在PTIME中，而检查TO-security（van der Meyden）是不可判定的，检查ITO-security（van der Meyden）也是不可判定的。PTIME上界的证明中最重要的成分是各自安全概念的新特征，这也导致了新的展开证明技术，这些技术被证明是健全和完整的安全概念，并使算法能够返回简单的反例证明不安全。我们的IP安全的结果改善了以前的Hadj-Alouane等人的双指数界。
2013-08-06 cs.CR
A Novel Method on ISO 27001 Reviews: ISMS Compliance Readiness Level Measurement
安全是一个热门话题，从商业活动、通信、银行和金融活动，都需要谨慎和高精度。由于信息安全在支持组织的活动方面具有非常重要的作用，因此我们需要一个规范信息安全治理的标准或基准。本文的主要目的是实现一种新的实用方法框架的信息安全管理系统（ISMS）的评估和监控软件的发展，称为I-SolFramework。系统/软件预计将帮助利益相关者评估其ISO27001合规准备程度，该软件可以帮助利益相关者了解安全控制或通过合规参数调用，更短，更结构化，高精度和可测量的预测。
2012-03-28 cs.CR cs.SE
Model Checking Access Control Policies: A Case Study using Google Cloud IAM
创作访问控制策略具有挑战性，并且容易发生错误配置。访问控制策略必须无冲突。因此，管理员应该识别策略规范与其预期功能之间的差异，以避免违反安全原则。本文旨在说明如何形式化地验证访问控制策略。模型检验用于根据访问控制模型支持的策略验证访问控制属性。作者将谷歌的云身份和访问管理（IAM）作为案例研究，并遵循NIST的指导方针自动验证访问控制策略。使用模型检验的自动验证可以作为一种有价值的工具，帮助管理员评估访问控制策略的正确性。这使得能够检查违反安全原则的情况，并执行策略的安全评估以实现合规性目的。作者演示了如何定义Google的IAM底层基于角色的访问控制（RBAC）模型，指定其支持的策略，并通过三个示例正式验证一组属性。
2023-03-29 cs.CR
When Tools Silently Lie: Evaluating and Mitigating Blind Compliance in Tool-Augmented Data Agents
Tongji University（同济大学）
针对工具增强型数据智能体盲从工具错误输出的问题，提出ToxicBench基准，通过污染实验与人工审计揭示检查与采纳的失败模式，并指出证据可用性与答案选择是可靠性的互补维度。
2026-09-30 cs.AI cs.CR
SecIC3: Customizing IC3 for Hardware Security Verification
Princeton University（普林斯顿大学）
SecIC3通过自组合结构优化，显著提升硬件安全验证的证明速度
2026-01-29 cs.CR
Analysis of the Security of BB84 by Model Checking
量子密码学或量子密钥分发（QKD）是一种允许安全分发位串的技术，该比特串用作加密协议中的密钥。当人们注意到量子计算机可以破解基于数论的公钥密码系统时，人们对QKD进行了广泛的研究。QKD基于量子力学，提供无条件安全的通信。现在，这一领域的研究进展使得QKD有望在未来几年内在实验室之外实现。努力提高所实施的技术的性能和可靠性。但是，尽管取得了这一重大进展，仍存在一些挑战。例如，如何测试QKD器件的任务尚未得到足够的重视。这些装置变得复杂，需要大量的验证工作。在本文中，我们感兴趣的是一种基于概率模型检验技术来研究量子信息的方法。具体地说，我们使用PRISM工具对BB84协议的安全性进行了分析，重点分析了窃听检测的安全特性。我们证明了这一性质受到量子信道参数和窃听者功率的影响。
2010-05-25 cs.CR
A Step Towards Checking Security in IoT
物联网（IoT）正在使我们的日常生活变得更加智能化。我们的出发点是IoT-LySa，这是一个用于描述物联网系统的演算，以及它的静态分析，将在2016年的协调会上展示。我们扩展了上述建议，以开始调查有关的安全问题，特别是静态验证的秘密和其他一些安全属性。
2016-08-11 cs.CR cs.PL
Checking and Enforcing Security through Opacity in Healthcare Applications
物联网（IoT）是一种范式，可以极大地改变医疗保健，从而使医院，医生和患者受益。在这种情况下，保护医疗保健中的物联网免受干扰，包括服务攻击和恶意软件，是一项具有挑战性的工作。不透明性是一种机密性属性，它捕获系统保持其行为的子集对被动观察者隐藏的能力。在这项工作中，我们试图引入一种基于物联网的心脏病发作检测系统，该系统可以挽救患者的生命，而不会通过验证和实施不透明来威胁他们对隐私的需求。我们的主要贡献是使用一种工具来验证其三种形式的不透明性，从而检测我们系统中的隐私泄漏。此外，我们开发了一个有效的，符号观察图（SOG）为基础的算法执行不透明度。
2017-09-29 cs.CR
Empirical Security and Privacy Analysis of Mobile Symptom Checking Applications on Google Play
智能手机技术在过去十年中有了很大的进步。这些改进已经看到了专门的健康应用程序的创建，这些应用程序为消费者提供了一系列与健康相关的活动，例如通过智能手机跟踪和检查健康状况或疾病的症状。我们将这些应用程序称为症状检查应用程序或简单的症状检查程序。由于他们收集、存储和管理的私人数据的敏感性，用户信息的泄露可能会导致严重的后果。在本文中，我们使用静态和动态分析技术的组合来检测，跟踪和分类Google Play上36个流行的症状分析器中的安全和隐私问题。我们的分析显示，症状监测者要求的敏感权限数量明显更高，并嵌入了更多的第三方跟踪库，用于有针对性的广告和分析，利用他们所在的症状监测者的特权访问，作为收集和共享有关用户及其设备的关键敏感数据的手段。我们发现，这些公司将通过未加密的纯文本收集的数据共享给第三方广告商，在某些情况下，还共享给恶意域名。结果显示，在流行的应用程序中存在对Symptomobilkers的利用，这些应用程序仍然可以在Google Play上轻松获得。
2021-07-29 cs.CR
SUPC: SDN enabled Universal Policy Checking in Cloud Network
多租户云网络具有构成两个端点之间的服务功能链（SFC）的各种安全和监控服务功能（SF）。SF规则排序重叠和策略冲突可能导致云网络中延迟增加、服务中断和安全漏洞。基于软件定义网络（SDN）的网络功能虚拟化（NFV）已经作为允许云网络中的动态SFC组成和流量导向的解决方案出现。我们提出了一个支持SDN的通用策略检查（SUPC）框架，以提供1）通过将各种SF规则转换为OpenFlow格式的流组合和排序。这确保了在SFC中消除冗余规则和策略遵从性。2）流冲突分析，以识别报头空间中的冲突和各种SF规则之间的动作。我们的研究结果表明，SF规则的组成显着减少。此外，我们的冲突检查机制能够识别在云网络中造成安全性，效率和服务可用性问题的几个规则冲突。
2018-11-01 cs.CR
A Unified Compliance Aggregator Framework for Automated Multi-Tool Security Assessment of Linux Systems
Department of Computing, Engineering and Mathematical Science（计算、工程与数学科学系）
本文提出统一合规聚合框架UCA，整合多个开源安全工具，通过标准化和加权聚合提升系统安全评分，揭示合规与文件完整性工具的差异。
2026-04-19 cs.CR cs.LG
Hybrid Cloud Security: Balancing Performance, Cost, and Compliance in Multi-Cloud Deployments
本文研究混合云生态系统中的性能、成本与安全平衡问题，提出基于零信任架构的混合云安全与成本优化框架，并通过AWS和Azure案例验证了安全与性能管理解决方案。
2025-05-31 cs.CR
Aligning Security Compliance and DevOps: A Longitudinal Study
Siemens Foundational Technologies（西门子基础技术）；Technical University of Munich（慕尼黑工业大学）；Blekinge Institute of Technology（布莱金厄理工学院）；University of Applied Sciences（应用科学大学）
本文提出了一种基于安全标准的DevOps框架，通过纵向研究展示其在关键基础设施产品开发中的应用及对实践的影响。
2025-12-16 cs.CR cs.SE
Software Model Checking: A Promising Approach to Verify Mobile App Security
在这份立场文件中，我们提倡软件模型检验作为一种技术，适用于移动应用程序的安全分析。我们的建议是基于我们在Android操作系统环境下分析应用程序共谋所取得的有希望的结果。一般来说，应用共谋出现在执行威胁时，几个应用一起工作，即，他们交换他们自己无法获得的信息。在这种情况下，我们开发了Kandroid工具，它在K框架内提供了Android/Smali代码语义的编码。Kandroid允许对Android APK文件进行软件模型检验。虽然我们的经验到目前为止仅限于共谋，我们相信这种方法适用于进一步的安全属性以及其他移动操作系统。
2017-06-15 cs.CR cs.SE
CorbFuzz: Checking Browser Security Policies with Fuzzing
浏览器使用安全策略来阻止恶意行为。跨源读取阻止（CORB）是一种浏览器安全策略，用于防止侧信道攻击，如Spectre。我们提出了一个Web浏览器安全策略模糊称为CorbFuzz检查CORB和类似的政策。在实现安全策略时，浏览器只能访问HTTP请求和响应，并仅基于这些交互采取策略操作。在检查浏览器安全策略时，CorbFuzz使用一个策略oracle来跟踪Web应用程序的行为，并根据Web应用程序的状态推断出所需的策略操作。通过比较策略oracle与浏览器行为，CorbFuzz可以检测浏览器安全策略中的漏洞。CorbFuzz通过模糊一组Web应用程序来检查Web浏览器策略，其中状态相关查询被象征性地评估以增加覆盖率和自动化。CorbFuzz从数据库查询和分支条件中收集类型信息，以防止在模糊化过程中生成不一致的数据值。我们使用从GitHub收集的Web应用程序，在Chromium和Webkit的CORB实现上评估了CorbFuzz，以及Firefox的不透明响应阻止（ORB）策略实现。我们在Chromium的CORB实现中发现了三类弱点。
2021-09-01 cs.CR cs.SE
Formal Checking of Multiple Firewalls
当企业部署多个防火墙时，数据包可能会被不同的防火墙组检查。据观察，由此产生的复杂的防火墙网络是高度容易出错，并导致严重的安全漏洞。因此，需要自动化的解决方案来检查其正确性。在本文中，我们提出了一个正式的和自动的方法来检查是否多个防火墙正确地反应相对于一个安全策略中给出的一个高级声明性语言。当检测到错误时，会返回一些有用的反馈，以便更正防火墙配置。此外，我们提出了一个基于优先级的方法，以确保不存在不一致的安全政策。我们证明了我们的方法是正确的和完整的。最后，基于模可满足性求解器理论，实现了一个验证器原型。相关案例研究的实验表明，我们的方法的有效性。
2012-07-16 cs.CR
Towards Assuring EU AI Act Compliance and Adversarial Robustness of LLMs
fortiss GmbH Research Institute（fortiss GmbH研究院）；IBM Research Europe（IBM欧洲研究院）
针对大语言模型安全风险及欧盟AI法案落地难题，提出融合本体论、保证案例与情况说明书的框架，助力落实模型对抗鲁棒性的合规与安全保障。
2024-10-04 cs.AI cs.CR
Zero knowledge proofs for cloud storage integrity checking
随着云存储的广泛应用，云安全成为了一个至关重要的问题。相关工作已经解决了数据机密性和完整性等安全问题，确保远程存储的数据由云进行良好的维护。然而，如何定义存储数据完整性检查的零知识证明算法还没有正式定义和研究。我们认为，云服务器不能泄露有关存储数据的任何有用信息是很重要的。在本文中，我们介绍了一种新的定义的数据隐私的完整性检查，它描述了非常高的安全性的零知识证明。我们发现，所有其他现有的远程完整性证明都没有捕捉到这个特性。我们提供了一个全面的研究数据隐私和完整性检查算法，捕捉数据的完整性，机密性，隐私性和健全性。
2019-12-01 cs.CR
ESASCF: Expertise Extraction, Generalization and Reply Framework for an Optimized Automation of Network Security Compliance
Department of Computer Sciences, University of Liverpool（利物浦大学计算机科学系）；Technology Innovation Institute, Abu Dhabi（阿布扎比技术创新研究所）
本文提出ESASCF专家系统自动化安全合规框架，可提取复用VA、PT的专家知识，在企业网络测试中显著缩短合规审计时间、降低成本并提升合规置信度。
2025-01-19 cs.CR cs.NI
CRSTIP - An Assessment Scheme for Security Assessment Processes
复杂的网络系统是当今支持基础设施的一个组成部分。由于其重要性，这些系统越来越成为网络攻击的目标，遭受了大量的安全事件。此外，它们还受到国家和国际立法的管制。这种基础设施或系统的运营商有责任确保其安全性和正确运作，以满足客户的要求。此外，风险和质量控制的整个过程需要高效和可管理。本文介绍了合规性、风险评估和安全测试改进分析（CRSTIP）方案。CRSTIP是一个评估方案，能够评估安全评估进程的成熟度，同时考虑到在合规评估、安全风险评估和安全测试领域系统地使用形式主义、整合和工具支持。本文介绍了该计划的要素及其应用的RASEN研究项目的案例研究之一。
2017-02-26 cs.CR
A Hybrid Security Framework for Mini-Programs: Visual UI Compliance and Network Risk Assessment
Hainan University（海南大学）
针对微信小程序界面交互与操作安全问题，本文开发融合YOLOv8与mitmproxy的混合检测框架，可检查UI合规性并评估网络风险，保障用户财产安全。
2026-08-27 cs.CR
Reverse Engineering Compliance: A Dual-Graph Verification Framework for Auditing Legacy IT Security Concepts
Department of Mathematics and Computer Science（数学与计算机科学系）
研究针对公司遗留IT安全概念缺乏验证框架的问题，提出ASSERT框架，通过本体提取、图差异比较等方法，将其提取为可审计中间表示并导出有效OSCAL工件，实验显示该框架可测文档不一致性，但存在权衡。
2026-07-14 cs.AI cs.CR
Blockchain-Enhanced Framework for Secure Third-Party Vendor Risk Management and Vigilant Security Controls
本文提出一个整合区块链与智能合约的第三方供应商风险管理框架，通过实时监控关键安全控制并以iHealth迁移AWS Cloud为例验证其可显著减少脆弱性并改善事件响应。
2024-11-20 cs.CR
Risks and Compliance with the EU's Core Cyber Security Legislation
本文通过定性法律解释与分类构建，比较欧盟五项核心网络安全法案的风险表述，揭示其覆盖范围、趋同分歧及残余风险等缺口，并给出合规与研究建议。
2025-08-29 cs.CR cs.CY cs.SE
Model Checking the Security of the Lightning Network
针对闪电协议复杂度高、状态空间大导致安全验证难的问题，研究人员用TLA+形式化建模闪电网络，通过时间抽象和分模块精化缩减状态空间，实现了最多4跳、2笔并发支付模型的安全模型检测，验证了当前规范的安全性。
2025-05-21 cs.CR cs.LO
Quantifying Security Vulnerabilities: A Metric-Driven Security Analysis of Gaps in Current AI Standards
University of Guelph（圭尔夫大学）
本文审计 NIST AI RMF、英国 ICO Toolkit 与欧盟 ALTAI，提出 RSI、AVPI、CSGP、RCVS 四项指标量化其安全差距，并给出改进建议。
2025-07-26 cs.AI cs.CR
X-rated Compliance Theater: An Empirical Evaluation of European Age Verification Systems in Adult Websites
Politecnico di Milano（米兰理工大学）
本文首次实证评估欧洲成人网站强制部署的年龄验证机制，发现其在低成本攻击下存在系统性安全漏洞，并提出了缓解隐私与安全风险的设计方向。
2026-07-17 cs.CR
LLM Access Shield: Domain-Specific LLM Framework for Privacy Policy Compliance
Hong Kong Applied Science and Technology Research Institute (ASTRI)（香港应用科学和技术研究院）
提出一个领域专用LLM安全框架，通过基于LLM的政策执行、动态政策定制和保留格式加密的敏感数据匿名化，确保隐私政策合规并降低数据泄露风险，同时保持任务功能准确性。
2025-05-22 cs.AI cs.CR
From Backlog Items to Security Guidance: Towards Continuous Security Compliance
Technical University of Munich（慕尼黑工业大学）；fortiss（fortiss研究所）；Blekinge Institute of Technology（布莱金厄理工学院）；Siemens Technology（西门子技术）
本研究针对受监管领域持续软件工程中待办事项安全要求明确困难的问题，提出基于NLP的待办事项丰富系统，结合分类器与RAG管道，发布标注数据集，经评估可有效检测安全相关待办事项并关联安全要求，助力持续安全合规。
2026-09-22 cs.CR cs.SE
Integrated Solution Modeling Software: A New Paradigm on Information Security Review
事实上，信息安全已成为组织无形资产的重要组成部分，因此信任度和利益相关者信任度是组织成功的绩效指标。由于信息安全在支持组织的活动方面起着非常重要的作用，因此我们需要一个规范信息安全治理的标准或基准。本文的主要目的是实现一种新的实用方法框架的信息安全管理系统（ISMS）的评估和监控软件的发展，称为I-SolFramework。系统/软件预计将帮助利益相关者评估其ISO27001合规准备程度，该软件可以帮助利益相关者了解安全控制或通过合规参数调用，更短，更结构化。该案例研究为读者提供了一套指南，旨在易于理解和适用，作为ISMS标准（ISO27001）合规性的测量工具。
2012-04-01 cs.CR cs.SE
From Automata Learning to Model Checking: Formal Security Verification of Black-Box Protocols
Mälardalen University（马尔默达尔大学）；AVL List GmbH（AVL李斯特有限公司）；AIT Austrian Institute of Technology GmbH（奥地利技术研究所有限公司）；KTH Royal Institute of Technology（皇家理工学院）
本文提出结合自动机学习与模型检查的方法，用于系统验证通信协议的安全属性，通过自动化流程减少建模工作量并提高安全性验证的自动化水平。
2026-09-14 cs.CR cs.FL
Towards the Development of an LLM-Based Methodology for Automated Security Profiling in Compliance with Ukrainian Cybersecurity Regulations
National Technical University of Ukraine “Igor Sikorsky Kyiv Polytechnic Institute”（乌克兰国立技术大学“伊戈尔·西科尔斯基基辅理工学院”）
本文探讨将国际最佳实践整合到国家监管体系中，提出利用大语言模型实现自动化安全配置的方法，以应对高密度混合威胁环境下的网络安全挑战。
2026-04-07 cs.AI cs.CR
AuditNet: A Conversational AI-based Security Assistant [DEMO]
University of New South Wales (UNSW)（新南威尔士大学）；CSCRC；Cisco（思科）
提出AuditNet，首个基于检索增强生成与大型语言模型的对话式AI安全助手，用于物联网网络安全合规检查，减少人工并提升效率。
2024-07-19 cs.CR cs.LG
Distributed firewalls and IDS interoperability checking based on a formal approach
为了监督和保证网络安全，管理员使用不同的安全组件，如防火墙，IDS和IPS。为了在这些组件之间实现完美的互操作性，必须正确配置它们，以避免它们之间的错误配置。然而，过滤规则和警报规则之间的一组异常的存在，特别是在分布式多组件架构中，很可能会降低网络安全性。本文的主要目的是检查一组安全组件是否具有互操作性。一个案例研究使用防火墙和入侵检测系统的例子将说明我们的方法的实用性。
2013-10-10 cs.CR cs.NI
SBOMproof: Beyond Alleged SBOM Compliance for Supply Chain Security of Container Images
本研究评估了SBOM生成与漏洞扫描工具的互操作性，发现其不兼容导致漏洞漏报，并揭示了SBOM混淆漏洞，强调需提升SBOM准确性以保障容器供应链安全。
2025-10-07 cs.CR cs.SE
PSP Framework: A novel risk assessment method in compliance with ISO/SAE-21434
针对汽车网络安全风险评估不准确的问题，提出PSP框架，结合社会情感分析，符合ISO/SAE-21434标准，实现准确的风险评估。
2023-05-09 cs.CR
Analyzing Incentives for Protocol Compliance in Complex Domains: A Case Study of Introduction-Based Routing
对遵守网络协议的动机的正式分析常常诉诸博弈论模型和概念。博弈论分析在网络安全中的应用通常仅限于高度程式化的模型，在简化的环境中可以对关键战略变量进行易于处理的研究。我们提出了一个基于模拟的方法来博弈论分析协议的遵守情况下，大量的代理和大的政策空间。我们定义了一个一般的程序，系统地探索结构化的政策空间，明确地解决定性分类的均衡行为，遵守或不遵守。通过一个广泛的案例研究，分析合规的激励措施，介绍为基础的路由的技术进行说明和练习。我们发现，遵守协议的好处是特别强大的节点受到攻击，并在平衡，而不是普遍的整体合规性水平，是足以支持所需的安全目标的协议。
2013-06-03 cs.CR cs.GT
Ablating Safety: Mechanisms for Removing Alignment in Language Models for Security Applications
University College London（伦敦大学学院）
该研究探讨了通过受控转换评估协议去除语言模型对齐机制的方法，评估了安全任务中的拒绝率、尝试率、安全成功率、一般能力保留、不稳定性及超出范围的不安全合规性，证明了去除对齐作为效用-风险前沿的重要性，而非单纯的去审查配方。
2026-05-17 cs.AI cs.CR
Automated Compliance Mapping in Cloud Security with Domain-Adapted Sentence Transformers
Institute for Informatics and Telematics (IIT-CNR)（信息与电信研究所（意大利国家研究委员会信息与电信研究所））；IMT School for Advanced Studies Lucca（卢卡高等研究院）；Institute for High Performance Computing and Networking (ICAR-CNR)（高性能计算与网络研究所（意大利国家研究委员会高性能计算与网络研究所））
研究云安全控制到技术指标的映射自动化问题，核心方法是对句子变换器模型进行领域适应，构建并扩展训练语料库，微调五种架构，在两个任务上评估性能，主要贡献是模型优于零样本基线，证明领域内训练数据对性能的重要性。
2026-07-08 cs.CL cs.CR
GPT, Ontology, and CAABAC: A Tripartite Personalized Access Control Model Anchored by Compliance, Context and Attribute
Harvard Business School（哈佛商学院）
本研究提出GPT-Onto-CAABAC框架，结合GPT、医疗法律本体与情境感知属性访问控制，动态解释策略以适应医疗法律环境，实证证明能提升电子健康记录访问安全，并具广泛适用性。
2024-03-13 cs.AI cs.CR cs.CY
Weak Enforcement and Low Compliance in PCI DSS: A Comparative Security Study
The Beacom College of Computer and Cyber Sciences, Dakota State University（达科他州立大学比康计算机与网络科学学院）
通过比较分析 PCI DSS 与 HIPAA、NIS2 和 GDPR 的执行机制，发现 PCI DSS 的制裁力度远低于其他框架，且其依赖银行的监控模式存在结构性缺陷，建议加强非金钱制裁并设立独立监管机构以提高合规率。
2026-02-10 cs.CR cs.CY
Standardized Threat Taxonomy for AI Security, Governance, and Regulatory Compliance
本研究提出AI系统威胁向量分类，通过九个关键领域整合53个子威胁，将技术漏洞映射到业务损失类别，实现定量风险评估与监管合规的对接。
2025-11-26 cs.AI cs.CR q-fin.RM
TopoIntent: Compiling Security Intent into Executable, Compliance-Checked Network Topologies
University of Science and Technology of China（中国科学技术大学）；Topsec Technologies Group Inc.（天融信科技集团股份有限公司）
TopoIntent系统通过模式契约、向量搜索和分阶段融合将安全意图编译为合规可执行拓扑，经评估其修复后CIS满意度与ACL通过率均显著提升。
2026-08-14 cs.AI cs.CR cs.NI
Independence-Checking Coding for OFDM Channel Training Authentication: Protocol Design, Security, Stability, and Tradeoff Analysis
在无线OFDM通信系统中，导频音由于其公知的和确定性的特性而遭受显著的干扰/置零/欺骗风险。因此，使用导频音的传统信道训练协议可能被攻击和瘫痪，这提出了抗攻击信道训练认证（CTA）的问题，即，验证导频音和信道估计样本的身份的声明。本文考虑大规模均匀线阵（UniformLinearArray，以下简称均匀线阵）下的单环形散射场景，利用独立校验编码（Independence-CheckingCoding，以下简称ICC）理论构建了一个安全稳定的CTA协议，即基于ICC的CTA（ICC-CTA）协议。在该协议中，导频不仅被随机化并插入到子载波中，而且同时被编码为多样化的子载波激活模式（SAP）。这些编码的SAP，虽然被恶意信号破坏，可以被识别和解码为原始导频的高精度信道脉冲响应（CIR）估计。CTA安全性首先由识别合法CIR估计样本的错误概率来表征。CTA的不稳定性被制定为对所有可用的多样化SAP稳定估计CIR的概率的函数。CTA的安全性和不稳定性之间的一个现实的权衡下的离散分布的AoA的确定和最佳稳定的权衡问题制定，与优化的码率，以最大限度地提高安全性，同时保持最大的稳定性永远的目标。解决这个问题，我们推导出最佳码率的封闭形式的表达。仿真结果验证了ICC-CTA协议的有效性。
2019-01-21 cs.CR eess.SP
