A Network Protection Framework through Artificial Immunity
当前的网络保护系统使用智能组件的集合，例如分类器或基于规则的防火墙系统来检测入侵和异常，并保护网络免受病毒、蠕虫或特洛伊木马的攻击。然而，这些网络系统依赖于个体性并且支持具有较少的保护组件的协作工作的架构。它们为维护提供的管理支持较少，但提供了大量单独的单点故障-这是网络攻击成功的理想情况。在这项工作中，我们将讨论所需的功能，性能和分布式保护系统称为{ \it SANA}的问题。它由一个合作架构组成，它是由人类免疫系统驱动的，其中组件对应于人工免疫细胞，这些细胞被连接起来进行协作工作。SANA承诺通过自适应自我管理，同时通过智能减少冗余来有效地保持资源，从而比常见的已知保护系统更好地保护入侵者。我们介绍了几个新颖的和常用的保护组件库和评估SANA的性能的概念验证实现。
2008-05-13 cs.CR cs.MA
SANA - Network Protection through artificial Immunity
当前的网络保护系统使用智能组件的集合，例如分类器或基于规则的防火墙系统来检测入侵和异常，并保护网络免受病毒、蠕虫或特洛伊木马的攻击。然而，这些网络系统依赖于个体性并且支持具有较少的保护组件的协作工作的架构。它们为维护提供的管理支持较少，但提供了大量单独的单点故障-这是网络攻击成功的理想情况。在这项工作中，我们将讨论所需的功能，性能和分布式保护系统称为SANA的问题。它由一个合作架构组成，它是由人类免疫系统驱动的，其中组件对应于人工免疫细胞，这些细胞被连接起来进行协作工作。SANA承诺通过自适应自我管理，同时通过智能减少冗余任务来有效地保持资源，从而比常见的已知保护系统更好地保护入侵者。我们介绍了几个新颖的和常用的保护组件库和评估SANA的性能的概念验证实现。
2008-05-07 cs.CR cs.MA
Do User-Authored Permission Policies Improve Protection Against AI Agent Overreach?
研究对比HITL、AUTO、POLICY三种场景发现，用户自主编写的POLICY策略未显著提升对AI智能体越权行为的防护，因多数规则选“询问”，总干预时间未降低，且偏好与承诺存在差距。
2026-11-02 cs.CR cs.HC
DIVAS: An LLM-based End-to-End Framework for SoC Security Analysis and Policy-based Protection
本文提出DIVAS框架，利用LLM从SoC规范中自动识别安全漏洞、映射CWE、生成断言并执行安全策略，实验验证了其有效性。
2023-08-14 cs.AR cs.CR
The Mathematical Foundations for Mapping Policies to Network Devices (Technical Report)
策略规约语言中的一个常见需求是能够将策略映射到底层网络设备。在安全策略上下文中，以可证明正确的方式这样做非常重要，这样管理员就可以确信策略为其网络提供的保护级别。现有的策略语言允许策略组合，但缺乏将策略分配给网络设备的正式语义。我们的研究从第一原则解决这个问题：我们问网络策略如何可以在高层次上描述，独立于防火墙供应商和网络细节。我们确定的代数要求的政策映射过程中，并提出语义的基础，正式验证，如果一个政策是由正确的一组政策仲裁。我们展示了我们所提出的代数在保持简洁的网络设备配置中的价值，并将其应用于现实世界的网络。
2016-05-30 cs.CR
Eradicating Attacks on the Internal Network with Internal Network Policy
在本文中，我们提出了三种针对NAT背后的私有内部网络的攻击以及相应的新保护机制“内部网络策略”，以减轻渗透NAT背后的内部网络的各种攻击。在攻击场景中，受害者被诱骗访问攻击者的网站，其中包含恶意脚本，可让攻击者以不同的方式访问受害者的内部网络，包括打开NAT中的端口或向本地设备发送复杂的请求。第一种攻击以特定的方式利用DNS重新绑定，而另外两种攻击则基于应用程序安全漏洞展示了不同的网络攻击方法。在这些攻击之后，我们提供了一个新的浏览器安全策略，即内部网络策略（INP），它可以防止这些类型的漏洞和攻击。此策略在浏览器中实现，就像同源策略（SOP）一样，可以防止外部实体恶意访问内部资源。
2019-10-03 cs.CR
A survey on Blockchain-based applications for reforming data protection, privacy and security
在过去的几年里，许多尖端技术显著地改变了现代社会、经济和工业，还有更多的技术正在开发和早期实施中，这反过来又会导致更广泛的采用和更大的改变。区块链技术以及其他新兴技术预计将在某些领域改变全球商业和个人生活方式的几乎所有方面。它一直在传播，从金融服务到医疗保健，供应链和网络安全的多部门应用程序与日俱增。同时，在数字世界中，数据保护和隐私是客户，公司和政策制定者也认真考虑的最大问题，因为最近报告的事件中安全漏洞和监视的增加。在这种情况下，区块链有能力和潜力彻底改变在线世界中个人数据的信任，安全和隐私。因此，本文的目的是研究区块链应用于隐私和安全领域改革的实际案例，讨论其影响以及机遇和挑战。
2020-09-01 cs.CR
Tracking in apps' privacy policies
数据保护法，包括《通用数据保护条例》（GDPR），通常要求在收集个人数据之前制定隐私政策。我们在2019年5月（GDPR生效约一年后）分析了26，910个移动应用程序的15，145项隐私政策，发现仅打开政策网页就与第三方共享了48.5%的政策数据，这可能违反了GDPR。我们比较了不同国家、不同支付模式（免费、应用内购买、付费）和不同平台（Google Play Store、Apple App Store）之间的数据共享情况。我们进一步联系了52个没有提供隐私政策的应用程序开发人员，并询问了他们的数据实践。尽管法律要求开发人员回答此类问题，但仍有12名开发人员（23%）没有做出回应。
2021-11-26 cs.CR cs.CY
Provenance-based Classification Policy based on Encrypted Search
作为一种重要的云数据类型，数字出处在提高系统性能方面引起了越来越多的关注。目前，出处已被用来提供线索，有关访问控制和估计数据质量。然而，出处本身也可能是敏感信息。因此，出处可能会被加密并存储在云中。在本文中，我们提供了一种机制，云文档的加密出处搜索特定的关键字进行分类，我们证明了我们的计划实现语义安全。在所提出的技术的应用方面，考虑到文件被分类单独存储在云中，为了便于对文件的监管和安全保护，分类策略可以使用出处作为条件来确定文档的类别。比如最简单的政策样本是这样的：经过两次审查的文件可以被归类为“公众可访问”，公众可以访问。
2020-01-07 cs.CR
Resurrection Attack: Defeating Xilinx MPU's Memory Protection
针对赛灵思MPU实现中终止进程内存未清除的漏洞，提出复活攻击，可读取先前用户数据，破坏机密性，需清除内存以防御。
2024-05-22 cs.CR
ACMiner: Extraction and Analysis of Authorization Checks in Android's Middleware
数十亿用户依靠Android平台的安全性来保护手机、平板电脑和许多不同类型的消费电子产品。虽然Android的权限模型得到了很好的研究，但保护策略的实施却相对较少受到关注。这种强制执行的大部分分布在系统服务中，在其实现中采用硬编码检查的形式。在本文中，我们提出了授权检查矿工（ACMiner），通过一致性分析的授权检查评估Android的访问控制执法的正确性的框架。ACMiner结合了程序和文本分析技术，生成丰富的授权检查集，为每个服务入口点挖掘相应的保护策略，并在服务粒度上使用关联规则挖掘来识别可能与漏洞对应的不一致性。我们使用ACMiner来研究Android 7.1.1的AOSP版本，以确定28个与缺少授权检查相关的漏洞。通过这样做，我们展示了ACMiner帮助领域专家处理分散在数百万行代码中的数千个授权检查的能力。
2019-01-11 cs.CR
Interoperability and Explicable AI-based Zero-Day Attacks Detection Process in Smart Community
National Institute of Textile Engineering and Research (NITER)（国立纺织工程与研究所）
本文提出将6G、IoE、AI及嵌入智能合约的WiFi-8等技术协同，结合互操作性与可解释人工智能（XAI）构建零日攻击检测与防护系统，并基于准确率和时间评估其分析攻击模式与异常的效率。
2025-10-11 cs.CR
Towards Policy Enforcement Point as a Service (PEPS)
在本文中，我们硬币的长期政策执行作为一种服务（PEPS），这使得提供创新的层间和域间的访问控制。我们利用软件定义网络（SDN）的架构来引入一个通用的网络级执行点，该点可用于一系列访问控制系统。使用我们的PEPS模型，可以有一个“深度防御”保护模型，并在与数据提供者（例如数据库系统）接触之前丢弃不成功的访问请求。此外，目前在一个组织的“受信任”范围内实行的出入控制已不再是一种限制，因此可以实现新的、分散的和合作的安全服务的潜力。我们对实施策略实施即服务的安全要求和技术挑战进行了分析。为了说明我们的建议在实践中的好处，我们包括我们的原型PEPS启用基于位置的访问控制的报告。
2016-10-08 cs.CR
Machine Learning-Based Security Policy Analysis
University of Rochester（罗切斯特大学）；Acadia University（阿卡迪亚大学）
本文提出结合 Neo4j 图表示、Node2vec 嵌入与机器学习的 SELinux 策略异常检测方法，实验表明 MLP 在不同数据规模下表现最佳，准确率达 95%。
2025-01-06 cs.AI cs.CR cs.LG
Reliable Process for Security Policy Deployment
本文重点讨论了防火墙、虚拟专用网（VPN）隧道和入侵检测系统（IDS）等网络安全设备的配置和管理问题。我们的建议如下。首先，我们正式指定一个给定的系统的安全需求，通过使用一个表达的访问控制模型。因此，我们得到一个抽象的安全策略，这是免费的歧义，冗余或不必要的细节。其次，我们部署这样一个抽象的政策，通过一组自动编译到系统的安全设备。这个建议的部署过程不仅简化了安全管理员的工作，而且还保证了所得到的配置没有异常和/或不一致。
2009-05-09 cs.CR cs.SE
A Policy based Security Architecture for Software Defined Networks
随着网络规模和复杂性的扩大，它们带来了更大的行政和管理挑战。软件定义网络（SDN）为应对其中一些挑战提供了一种有前途的方法。在本文中，我们提出了一个策略驱动的安全架构，以确保跨多个SDN域的端到端服务。我们开发了一种基于语言的方法来设计与保护SDN服务和通信相关的安全策略。我们描述了策略语言及其在指定安全策略中的使用，以控制多域SDN中的信息流。我们展示了细粒度安全策略的规范，这些安全策略基于各种属性，例如与用户和设备/交换机相关联的参数，上下文信息，例如位置和路由信息，以及在SDN中访问的服务，以及与不同域中的交换机和控制器相关联的安全属性。我们的架构的一个重要特征是它能够指定基于路径和流的安全策略，这对于保护SDN中的端到端服务非常重要。我们描述了我们提出的基于策略的安全架构的设计和实现，并展示了它在涉及多个SDN控制器的域内和域间通信的场景中的使用。我们分析了我们的架构的性能特点，以及讨论我们的架构是如何能够抵御各种安全攻击。基于动态安全策略的方法和相应的安全功能智能地作为一个服务层，使基于流的安全执法和保护众多的网络设备免受攻击的分布是本文的重要贡献。
2018-06-06 cs.CR
Delegation Management Modeling in a Security Policy based Environment
安全策略（SP）是通信网络安全防护体系的核心。它提供了一组规则，允许区分合法行为和禁止行为，因此将网络中的每个实体与一组权限和特权相关联。此外，在当今的技术社会中，为了使应用程序永久存在，通信网络必须支持实体之间的协作，以应对任何不可用或退缩。这种协作必须由安全机制根据已建立的权限和特权进行管理。授权是一种常见的做法，用于简化责任和特权的共享。SP环境中的委托过程可以通过使用适当的形式主义和建模来植入。本文的主要贡献是提出了一个通用的、形式化的授权过程模型。该模型基于三个步骤组成的委托生存周期：协商用于委托发起，验证的SP尊重，而委托和撤销已建立的委托。因此，我们建议根据主要的授权特征来处理每个步骤，并通过一些新的特性来扩展它们。
2013-07-31 cs.CR
Applying static code analysis to firewall policies for the purpose of anomaly detection
将现代防火墙策略语言视为命令式的专用程序设计语言，在本文中，我们将尝试应用静态代码分析技术来进行异常检测。本文首先将通用防火墙策略语言中的策略抽象成一种中间语言，然后尝试将异常检测算法应用到该中间语言中。流行的防火墙策略语言中各种控制流指令的分析2.介绍了一种中间防火墙策略语言，重点是控制流结构。3.应用\textit{Static Code Analysis}检测防火墙策略中的异常，以中间防火墙策略语言表示。4.防火墙策略的\textit{Static Code Analysis}的示例实现，使用Datasheet语言以我们的抽象语言表示。
2011-02-07 cs.CR cs.NI cs.PL
Trusted Enforcement of Application-specific Security Policies
虽然二十多年来一直存在用于将安全策略集成到操作系统（OS）中的方法，但是应用通常使用需要具有应用特定语义的单独安全策略的更高抽象的对象。由于操作系统支持不足，当前用于实施应用级策略的方法通常导致大型且复杂的可信计算基础，从而难以实现防篡改性和正确性。为了缓解这个问题，我们提出了应用程序级的策略执行架构AppSPealing和一个C++框架，其实现。可配置的框架使开发人员能够平衡强制执行的严格性和不同实现方案所带来的成本，从而轻松地根据各个应用程序的要求定制AppSPSecurity实现。我们特别认为，基于硬件的可信执行环境提供了政策保护和执行的有效性和效率之间的最佳平衡。这一说法得到了基于电子病历系统的实际评价的证实。
2021-05-05 cs.CR
Behavior-aware Service Access Control Mechanism using Security Policy Monitoring for SOA Systems
面向服务的体系结构（SOA）系统在当前的许多业务领域得到了广泛的应用。然而，SOA系统与多个服务松散耦合，缺乏相应的安全保护机制，容易受到非授权访问和信息窃取的攻击。现有的访问控制机制只能阻止非授权用户访问系统，而不能阻止授权用户（内部人员）对系统的攻击。针对这一问题，提出了一种基于安全策略监控的SOA系统行为感知服务访问控制机制。在我们的机制中，一个监控程序可以在运行时间监控消费者的行为。通过信任行为模型（TBM），如果发现用户的行为是滥用，监控器将拒绝其请求。如果发现消费者的行为是恶意的，监控器将提前终止消费者的访问授权在本次会话或添加到黑名单的消费者，消费者将不会访问系统从那时起为了评估所提出的机制的可行性，我们实现了一个原型系统。实验结果表明，该机制能够有效地监控消费者的行为，并在运行时间内真正发生恶意行为时做出有效的响应。而且，随着TBM中规则数量的不断增加，我们的机制仍然可以很好地工作。
2019-08-23 cs.CR
Detection of Sparse Anomalies in High-Dimensional Network Telescope Signals
针对网络望远镜高维信号中稀疏异常的检测难题，提出高效的在线统计方法，并用合成及真实数据验证，以助力威胁预警。
2023-06-22 cs.CR stat.AP stat.ME
Explainable Machine Learning-Based Security and Privacy Protection Framework for Internet of Medical Things Systems
Laboratoire LRDSI/SIIR, Blida 1 University, PROXYLAN SPA/Subsidiary of CERIST, Algeria（LRDSI/SIIR实验室，Blida 1大学，PROXYLAN SPA/子公司 of CERIST，阿尔及利亚）；Emory University, Atlanta, USA（埃默里大学，美国）；Laboratoire LRDSI/SIIR, Blida 1 University, Algeria（LRDSI/SIIR实验室，Blida 1大学，阿尔及利亚）
该研究针对医疗物联网的安全与隐私挑战，提出结合人工神经网络、联邦学习和可解释AI的入侵检测框架，经多数据集实验验证，其性能与集中式方法相当，兼具隐私保护与模型解释优势。
2026-08-11 cs.AI cs.CR
Implementation of Portion Approach in Distributed Firewall Application for Network Security Framework
本研究的目的是寻求防火墙之间的协作，达到分布式安全策略的能力;前端实体可能会受到入侵者的大量干扰，因此需要将该实体与后端实体分离，以进行安全域保护;协作安全实体在组织中具有各种任务，并且有一定的安全策略可供应用;像DPFF这样的实体必须受到保护，不受外界的影响。防火墙通常被用作网络框架中的主要安全层。本文提出了一种基于IPtable防火墙的DPFF框架，该框架的特定部分是作为防御层，通过提出的部分逼近算法，利用检测和策略更新机制来减少流量和效率，通过动态的安全和策略更新来控制框架的安全性。给出了DPFF策略更新机制的使用方法。完整的框架意味着一个分布式防火墙，其中管理员配置策略规则集，这可以是单独的，也可以是从管理节点侧。
2012-01-22 cs.CR cs.NI
A Framework for the Systematic Assessment of Anomaly Detectors in Time-Sensitive Automotive Networks
本文提出一个基于仿真工具链的评估框架，用于在车载时间敏感网络中系统化、可复现地评估网络异常检测系统，并通过综合车载网络实验揭示了TSN流量与异常类型组合对检测性能的影响。
2024-05-02 cs.CR cs.NI
