Application of Cybernetics and Control Theory for a New Paradigm in Cybersecurity
当前网络安全研究和技术的一个重要局限性是其反应性和应用性。这导致了攻击者扫描网络、开发漏洞和攻击系统的连续“网络周期”，防御者检测攻击、分析漏洞和修补系统。这种反应性的性质使敏感系统非常容易受到攻击，由于未修补的系统和未检测到的漏洞。目前的一些研究试图通过引入实现移动目标防御的系统来解决这一主要限制。然而，这些想法通常是基于直觉，即移动目标防御将使攻击者更难找到和扫描易受攻击的系统，而不是基于理论数学基础。由于持续缺乏开发更安全系统的基础科学和原则，人们对建立“网络安全科学”的兴趣越来越大。本文介绍了使用控制论的概念，控制论，控制理论，系统理论，信息论和博弈论应用于监管系统的跨学科方法，作为发展网络安全原则的基础方法。它从防御的角度探讨了控制论在网络安全中的潜在应用，同时提出了攻击性应用的潜在用途。此外，本文还介绍了建立非平稳系统的基本原理，这是一种比移动目标防御更通用的解决方案。最后，本文讨论了移动目标防御的局限性和一种基于非平稳原理的实现方法。
2013-11-01 cs.CR
LLMs Killed the Script Kiddie: How Agents Supported by Large Language Models Change the Landscape of Network Threat Testing
Massachusetts Institute of Technology（麻省理工学院）；Charles Stark Draper Laboratory（查尔斯·斯塔克·德雷珀实验室）
本文探索大型语言模型在自动化网络威胁战役中的潜力，提出计划-行动-报告循环和提示链设计，评估其知识并讨论伦理影响，展示有前景但令人担忧的应用。
2023-10-10 cs.CR cs.LG
Attacking (and defending) the Maritime Radar System
本文针对海事雷达系统提出可破坏显示数据完整性的新型攻击，并设计无需修改船舶配置的雷达视频异常检测系统，仿真实验验证了攻击的可行性、隐蔽性及检测方法的有效性。
2022-07-12 cs.CR
Tecnicas Avanzadas de Ciberseguridad: Integracion y Evolucion de la Kill Chain en Diversos Escenarios
本文深入分析多种网络安全攻击链模型的优缺点，指出攻击分析需更强适应性，提出攻击树与kill chain结合可有效检测云内部攻击，强调BACCER等高级模型在攻击模式识别中的作用。
2023-06-03 cs.CR cs.NI
Transforming Cyber Defense: Harnessing Agentic and Frontier AI for Proactive, Ethical Threat Intelligence
本文探讨智能体AI与前沿AI如何通过重构网络杀伤链、增强威胁情报及嵌入伦理治理，构建融合实时监控与自动化响应的主动、弹性网络防御体系。
2025-02-28 cs.CR
Cyber Warfare During Operation Sindoor: Malware Campaign Analysis and Detection Framework
本研究聚焦“辛杜尔行动”期间巴基斯坦APT组织针对印度的RAT恶意软件攻击，分析其部署战术技术，搭建带自定义扩展的Osquery遥测日志收集框架，并提出可直接部署的检测规则。
2025-10-05 cs.CR
Evaluating the Security of Aircraft Systems
近年来，网络攻击的复杂性和复杂性以及目标平台的多样性一直在增长。各种对手正在滥用越来越多的平台，例如，企业平台、移动电话、PC、运输系统和工业控制系统。近年来，我们目睹了对交通系统的各种网络攻击，包括对港口、机场和火车的攻击。交通系统成为网络攻击者更常见的目标只是时间问题。由于运载多名乘客的攻击飞行器所固有的巨大的潜在损害以及传统机载系统缺乏安全措施，飞行器系统的脆弱性是飞行器安全领域最受关注的话题之一。本文全面回顾了飞机系统和组件及其各种网络，强调了它们所面临的网络威胁以及网络攻击对这些组件和网络以及飞机基本能力的影响。此外，我们提出了一个全面而深入的分类，从对手的角度来解释航空电子领域的网络安全知识和理解。该分类法将技术划分为反映对抗攻击生命周期各个阶段的相关类别（战术），并根据MITRE ATT&CK方法映射现有攻击。此外，我们分析了各种系统之间的安全风险，根据潜在的威胁行为者和分类的基础上STRIDE威胁模型的威胁。未来的工作方向是作为行业和学术界的指导方针。
2022-09-08 cs.CR
Substation Bill of Materials: A Novel Approach to Managing Supply Chain Cyber-risks on IEC 61850 Digital Substations
提出基于CycloneDX的变电站物料清单（Subs-BOM）模式，利用IEC 61850 SCD文件建模数字变电站的IED及其关系，以管理供应链网络风险，并验证其与Dependency-Track工具的兼容性及漏洞跟踪能力。
2025-03-25 cs.CR
Learning the APT Kill Chain: Temporal Reasoning over Provenance Data for Attack Stage Estimation
Technische Universität Chemnitz（开姆尼茨工业大学）
StageFinder通过融合溯源数据和时序学习，实现高精度的APT攻击阶段估计，宏F1分数达0.96，预测稳定性提升31%。
2026-03-08 cs.CR cs.NI
HVACKer: Bridging the Air-Gap by Attacking the Air Conditioning System
现代企业将其敏感的计算基础设施与公共或其他可访问的网络物理隔离，以防止网络攻击。然而，攻击者仍然能够通过内部人员或渗透供应链来感染这些网络。因此，攻击者的主要挑战是确定一种方法来命令和控制与可访问网络隔离的受损主机（例如，互联网）。在本文中，我们提出了一个新的对抗模型，展示了空气间隙网络如何通过隐蔽的热通道接收通信。具体地说，我们展示了攻击者如何使用受损的空调系统（连接到互联网）向空气隔离网络内的受感染主机发送命令。由于热通信协议是一个相当未开发的领域，我们提出了一种新的线路编码和协议，适合这种类型的通道。此外，我们提供了实验结果来证明隐蔽通道的可行性，并计算通道的带宽。最后，我们提供了一个法医分析，并提出了各种方法，可以检测和预防这个通道。我们认为，这项研究详细介绍了安全专家应该意识到的以前看不见的攻击载体。
2017-03-30 cs.CR cs.NI
Dockerized Android: a container-based platform to build mobile Android scenarios for Cyber Ranges
本文提出Dockerized Android框架，利用容器技术在网络靶场中模拟移动设备，构建脆弱环境，支持复杂移动杀伤链场景，以提升移动安全培训能力。
2022-05-19 cs.CR
Master of Puppets: Analyzing And Attacking A Botnet For Fun And Profit
僵尸网络是在攻击者控制下的受损机器（机器人）网络。这些机器中的许多在其所有者不知情的情况下被感染，僵尸网络是互联网上几种滥用和犯罪活动（例如垃圾邮件）背后的驱动力。根据其拓扑结构，僵尸网络可以有零个或多个命令和控制（C&C）服务器，这些服务器是由网络犯罪分子控制的集中式机器，可以发出命令并从增选的僵尸程序接收报告。在本文中，我们对2007年至2012年期间世界上最大的专有垃圾邮件僵尸网络之一的命令和控制基础设施进行了全面分析：Cutwail/Pushdo。我们确定了一个垃圾邮件僵尸网络有效运作所需的关键功能。然后，我们开发了一些针对Cutwail的命令和控制逻辑的攻击，这些功能的目标，并使僵尸网络的垃圾邮件操作不那么有效。通过访问C&C软件的源代码，以及设置我们自己的Cutwail C&C服务器，并通过实现Cutwail bot的克隆，这种分析成为可能。在此工具的帮助下，我们能够枚举当前在C&C服务器上注册的机器人数量，模拟现有机器人向C&C服务器报告虚假信息，并操纵存储在C&C数据库中的任意机器人的垃圾邮件统计数据。此外，我们能够通过进行分布式拒绝服务（DDoS）攻击使控制服务器无法访问。我们的研究结果可用于执法和从业人员开发更好的技术，以减轻和削弱其他僵尸网络，因为许多调查结果是通用的，是由于一般的C&C通信的工作流程。
2015-11-19 cs.CR
Reinforcement Learning for Feedback-Enabled Cyber Resilience
New York University（纽约大学）
数字化和远程连接扩大了攻击面，使网络系统更加脆弱。随着攻击者变得越来越老练和足智多谋，仅仅依靠传统的网络保护，如入侵检测，防火墙和加密，是不足以保护网络系统。网络弹性提供了一种新的安全模式，以弹性机制补充保护不足。网络弹性机制（CRM）实时适应已知或零日威胁和不确定性，并对其进行战略响应，以在攻击成功的情况下保持网络系统的关键功能。反馈架构在实现CRM的在线感知、推理和驱动过程中发挥着关键作用。强化学习（RL）是一种重要的工具，它集中体现了网络弹性的反馈架构。它允许CRM在对环境和攻击者的先验知识有限或没有先验知识的情况下对攻击提供顺序响应。在这项工作中，我们回顾了关于RL网络弹性的文献，并讨论了针对三种主要类型漏洞的网络弹性，即，姿势相关、信息相关和人为相关的脆弱性。我们介绍了CRM的三个应用领域：移动目标防御，防御性网络欺骗和辅助人类安全技术。RL算法本身也存在漏洞。我们解释了RL的三个漏洞，并提出了攻击模型，其中攻击者的目标是环境和代理之间交换的信息：奖励，状态观测和动作命令。我们表明，攻击者可以欺骗RL代理学习一个邪恶的政策，以最小的攻击努力。最后，我们讨论了RL在网络安全和弹性方面的未来挑战以及基于RL的CRM的新兴应用。
2021-12-07 cs.CR cs.LG cs.SY
Graph-based Cyber Security Analysis of State Estimation in Smart Power Grid
Shenzhen University（深圳大学）；The Chinese University of Hong Kong（香港中文大学）；Shenzhen Research Institute, The Chinese University of Hong Kong（香港中文大学（深圳）研究院）
本文提出基于图的网络安全分析框架，用于智能电网状态估计，通过直观可视化复杂问题结构，提升电网信息安全防护与攻击能力。
2016-12-18 cs.CR cs.SY eess.SY
Cutting Medusa's Path -- Tackling Kill-Chains with Quantum Computing
本文提出利用量子计算和漏洞图解决网络安全问题，通过QUBO和量子退火确定补丁优先级以消除所有杀伤链，证明了量子求解时间相比经典算法的指数增长几乎保持恒定。
2022-11-24 cs.CR cs.NI cs.SY
Enabling Privacy-Preserving Cyber Threat Detection with Federated Learning
本文面向隐私法规下的威胁数据共享难题，系统评估联邦学习在 SMS 垃圾信息与 Android 恶意软件检测中的有效性、抗投毒能力和效率。
2024-04-08 cs.CR
ATTRITION: Attacking Static Hardware Trojan Detection Techniques Using Reinforcement Learning
Texas A&M University（德克萨斯农工大学）
在集成电路制造过程中插入的隐形硬件木马（HT）可以绕过关键基础设施的安全性。虽然研究人员已经提出了许多技术来检测HT，但存在一些限制，包括：（i）成功率低，（ii）算法复杂度高，以及（iii）大量的测试模式。此外，现有检测技术的最相关的缺点源于不正确的评估方法，即，他们假设对手随机插入HT。这种不适当的对抗性假设使检测技术能够声称高HT检测精度，导致“虚假的安全感”。“不幸的是，据我们所知，尽管在检测制造过程中插入的HT方面进行了十多年的研究，但还没有一致的努力来对HT检测技术进行系统的评估。在本文中，我们扮演一个现实的对手的角色，并通过开发一个自动化的，可扩展的，实用的攻击框架，ATTRITION，使用强化学习（RL）的HT检测技术的有效性的问题。ATTRITION回避了两个HT检测类别中的八种检测技术，展示了其不可知行为。与随机插入的HT相比，ATTRITION实现了$47\times$和$211\times$的平均攻击成功率。我们通过评估从广泛使用的学术套件到大型设计（如开源MIPS和mor1kx处理器到AES和GPS模块）的设计，展示了ATTRITION规避检测技术的能力。此外，我们通过两个案例研究（特权提升和kill switch）展示了在mor1kx处理器上ATTRITION生成的HT的影响。我们设想我们的工作，以及我们发布的HT基准和模型，促进更好的HT检测技术的发展…
2022-08-26 cs.AI cs.CR cs.LG
Out of the Cage: How Stochastic Parrots Win in Cyber Security Environments
Czech Technical University in Prague（布拉格捷克技术大学）；School of Engineering, National University of Cuyo（库约国立大学工程学院）
本文研究预训练LLM作为网络攻击智能体的序贯决策能力，在两个强化学习环境中达到接近或超越专用智能体及人类测试者的表现，并发布模块化的NetSecGame网络安全环境。
2023-08-28 cs.AI cs.CL cs.CR
A Red Teaming Framework for Evaluating Robustness of AI-enabled Security Orchestration, Automation, and Response Systems
Indiana University, Bloomington, IN, United States（印第安纳大学）；United States Military Academy, West Point, NY, United States（西点军校）
本文提出了一种结合大语言模型和强化学习的自主红队框架，用于评估企业网络中自主防御系统的鲁棒性，展示了单一LLM代理在多阶段攻击中的不足以及领域特定安全模型的局限性。
2026-05-16 cs.CR
The Critical Node Game
本研究提出结合博弈论、组合优化与网络安全的关键节点博弈模型及纳什均衡求解算法，可评估云网络安全态势、辅助制定最优防护策略，经真实云网络测试验证有效。
2024-04-16 cs.CR cs.GT math.OC
Interrupting the Chain: Human Perception of AI-Generated Disinformation Through a Kill Chain Lens
Frankfurt University of Applied Sciences（法兰克福应用科学大学）；IMT Atlantique（IMT大西洋高等矿业电信学校）
该研究通过504人参与的实验，借助调整后的网络杀伤链分析人类对AI生成虚假信息的感知，发现感知准确率差距、LLM生成文本难区分及不对称认知疲劳效应，为主动防御AI虚假信息提供了干预方向。
2026-10-05 cs.AI cs.CR cs.CY
Cyber-Physical Security: A Game Theory Model of Humans Interacting over Control Systems
Los Alamos National Laboratory（洛斯阿拉莫斯国家实验室）；NASA Ames（美国国家航空航天局艾姆斯研究中心）；Stanford University（斯坦福大学）
本文提出一种游戏理论模型，用于建模攻击者与系统操作员在控制系统上的交互，以设计更安全的智能电网。
2013-04-15 cs.CR cs.CY cs.GT
Use of Graph Neural Networks in Aiding Defensive Cyber Operations
Mississippi State University（密西西比州立大学）；University of Texas at El Paso（德克萨斯大学埃尔帕索分校）
本文研究图神经网络在辅助防御性网络作战中的应用，重点分析其如何帮助打破洛克希德·马丁网络杀伤链各阶段，并探讨开放研究问题与改进方向。
2024-01-11 cs.AI cs.CR cs.LG
AWARE-RG: Abstraction Aware Explanation of Resiliency Graphs for Cyber Physical Systems
Colorado State University（科罗拉多州立大学）
针对网络物理系统分析师因需知框架导致的系统视图不完整问题，提出AWARE-RG框架，通过形式概念分析等技术为其提供弹性路径的角色受限解释，辅助评估攻击的物理后果并给出防御策略。
2026-10-14 cs.AI cs.CR
Enabling Cyber Security Education through Digital Twins and Generative AI
University of Bari Aldo Moro（巴里大学阿尔多·莫罗大学）
本文提出融合数字孪生、渗透测试工具包RTK与LLM的网络安全教学框架，通过逼真攻防演练和实时智能反馈提升实操能力并弥合理论与实践差距。
2025-07-23 cs.AI cs.CR cs.CY
SQOUT: A Risk-Based Threat Analysis Framework for Quantum Communication Systems
QuDef B.V.（QuDef公司）；KTH Royal Institute of Technology（皇家理工学院）
提出一种基于杀伤链的威胁模型和ISO/IEC 27005兼容的风险评分方法，通过SQOUT平台分析光子数分裂和探测器致盲攻击，生成量子特定威胁场景的治理级风险评级。
2026-06-23 cs.CR quant-ph
Social Media Networks Attacks and their Preventive Mechanisms: A Review
我们生活在一个虚拟的世界里，真实的生活方式被复制。全世界对社交媒体网络的使用日益依赖，导致对信息安全的极大关切。使社交媒体平台流行起来的因素之一是它们如何将世界各地的人们联系起来，以进行互动，分享内容，并参与跨越地理边界的共同兴趣的相互互动。在所有这些令人难以置信的收益背后，是威胁物理社会化的数字犯罪等同。犯罪分子和黑客正在利用社交媒体平台（SMP）进行许多邪恶的活动来伤害他人。随着检测工具的发展来控制这些犯罪，黑客的战术和技术也在不断发展。黑客不断开发新的攻击工具和黑客策略，以获得对系统的恶意访问并攻击社交媒体网络，从而使安全管理员和组织难以开发和实施防止黑客攻击所需的适当策略和程序。社交媒体平台上网络攻击的增加要求采取紧急和更智能的安全措施，以提高社交媒体平台的有效性。本文探讨了黑客攻击社交媒体的模式和策略，以及如何防止他们对用户的活动，以确保安全的社交网络空间，提高虚拟社交。首先对社交媒体平台进行了简要的分类，然后重点介绍了各种类型的攻击，最后提出了当前最先进的防范机制，以克服研究工作中提出的攻击，最后提出了社交媒体入侵检测机制作为打击社交媒体网络网络犯罪的第二道防线
2022-01-10 cs.CR cs.SI
Modeling the Propagation of Trojan Malware in Online Social Networks
在线社交网络（OSN）的流行和广泛使用吸引了网络犯罪分子，他们将OSN用作传播恶意软件的平台。在OSN中的各种恶意软件中，木马是最流行的类型，在过去几年中对OSN用户进行了数百次攻击。感染用户计算机的特洛伊木马能够窃取机密信息，安装勒索软件并感染网络中的其他计算机。因此，了解木马在OSN中的传播动态，以便尽早检测、遏制和删除它们是很重要的。在这篇文章中，我们提出了一个分析模型来研究传播特性的木马和影响其传播的因素在一个在线的社会网络。该模型假设了真实在线社交网络的所有拓扑特征。此外，该模型考虑到现代木马的攻击趋势，反病毒（AV）产品的作用，以及OSN用户和AV软件提供商的安全实践。通过考虑这些因素，所提出的模型可以准确和现实地估计OSN中木马恶意软件造成的感染率以及用户群体的恢复率。
2017-08-03 cs.CR
Entangled Threats: A Unified Kill Chain Model for Quantum Machine Learning Security
Fraunhofer Institute for Applied and Integrated Security (AISEC)（弗劳恩霍夫应用与集成安全研究所）；d-fine GmbH（d-fine公司）；Alpine Quantum Technologies (AQT) GmbH（阿尔卑斯量子技术公司）；Federal Office for Information Security (BSI)（联邦信息安全办公室）
针对量子机器学习（QML）威胁被孤立分析的问题，提出受MITRE ATLAS启发的量子感知杀伤链框架，系统映射多阶段攻击向量及其相互依赖关系，为QML的威胁建模和深度安全设计奠定基础。
2025-07-11 cs.CR cs.LG quant-ph
An Introduction of System-Scientific Approaches to Cognitive Security
人类的认知能力和“工业5.0”以人为中心的解决方案的需求使人类成为网络物理系统（CPS）中不可或缺的组成部分，称为人类网络物理系统（HCPS），其中包含人工智能技术以帮助和增强人类。第1.1节中人类与技术的紧密结合以及第1.2.4节中的认知攻击带来了新的安全挑战，攻击可以利用人类认知过程的漏洞，影响他们的行为，并最终破坏HCPS。保护HCP免受认知攻击需要一种新的安全范式，我们在第1.2.5节中将其称为“认知安全”。人类认知系统的脆弱性和相关的利用方法将认知安全与“认知可靠性”区分开来，并产生了一个独特的CIA三元组，分别见1.2.5.1和1.2.5.2部分。1.2.5.3部分介绍了认知和技术防御方法，这些方法阻止了认知攻击的杀伤链并实现了认知安全。第1.3节中的系统科学观点提供了一个有希望的方向，通过开发定量，模块化，多尺度和可转移的解决方案来应对认知安全的新挑战。
2023-01-14 cs.CR cs.GT
Multi-stage Attack Detection and Prediction Using Graph Neural Networks: An IoT Feasibility Study
CEA, LIST, Communicating Systems Laboratory（法国原子能与可替代能源委员会，LIST，通信系统实验室）；Bristol Research and Innovation Laboratory, Toshiba Europe Ltd.（东芝欧洲有限公司布里斯托尔研究与创新实验室）
本文提出一种受Lockheed Martin网络杀伤链启发的3阶段入侵检测系统，利用图神经网络检测多步骤攻击并预测后续攻击，在ToN IoT数据集上取得平均94%的F1-Score，优于Random-forest基准方法。
2024-04-28 cs.AI cs.CR
Anomaly Detection in Log Data using Graph Databases and Machine Learning to Defend Advanced Persistent Threats
高级持续性威胁（APT）是计算机网络网络安全的主要威胁。在2015年，[Fi16]报告称，成功的违规行为平均有146天未被发现。通过我们的工作，我们展示了一种可行且快速的方法来分析真实世界的日志数据，以检测违规行为或违规尝试。通过采用众所周知的杀伤链机制以及时间序列数据库和抽象图方法的组合，可以创建灵活的攻击配置文件。使用这种方法，它可以证明，图分析成功地检测模拟的攻击，通过分析一个模拟的计算机网络的日志数据。考虑到日志数据的另一个来源，该框架能够在短时间内提供足够的性能来分析真实世界的数据。通过使用图形数据库的计算能力，可以识别攻击者，并且还可以检测其他受影响的系统组件。我们相信，通过这种方法可以显著缩短漏洞的检测时间，并对新的攻击向量做出快速反应。
2018-02-01 cs.CR cs.DB
Red-Teaming the Agentic Red-Team
Cracken；Information Protection Department, Lviv Polytechnic National University（利沃夫理工学院信息保护系）
本文首次深入分析主流进攻性安全代理系统的安全漏洞，揭示其设计缺陷可导致API密钥泄露、持久化控制及宿主机失陷，并提出架构级缓解设计原则。
2026-08-18 cs.AI cs.CR
