The GANfather: Controllable generation of malicious activity to improve defence systems
Feedzai（Feedzai公司）；Porto University（波尔图大学）
提出GANfather方法，通过GANs额外目标奖励生成恶意样本，无需标签，利用判别器作为防御系统，在洗钱和推荐系统中有效增强检测。
2023-07-25 cs.CR cs.LG
Exploring Emerging Trends in 5G Malicious Traffic Analysis and Incremental Learning Intrusion Detection Strategies
本文研究5G网络恶意流量检测挑战，分析AI检测方法与SOTA，提出数据集七项标准及三大待解决问题，并验证增量学习技术可部分解决这些问题。
2024-02-22 cs.CR
A Benign Activity Extraction Method for Malignant Activity Identification using Data Provenance
本文提出一种利用数据溯源和自然语言处理提取并移除频繁良性活动的方法，以缩小恶意活动搜索空间，实验表明可减少约52%的搜索空间。
2025-03-25 cs.CR
Dynamically Modelling Heterogeneous Higher-Order Interactions for Malicious Behavior Detection in Event Logs
事件日志中的异常检测是企业网入侵检测的一种很有前途的方法。通过建立通常活动的统计模型，它旨在检测多种恶意行为，包括旨在逃避基于签名的检测系统的隐形策略，技术和程序（TTP）。然而，找到合适的事件日志异常检测方法仍然是一个重要的挑战。这是由于数据的非常复杂、多方面的性质：事件日志不仅是组合的，而且是时间和异构的数据，因此它们在大多数异常检测的理论框架中都不适合。大多数以前的研究集中在这三个方面之一，建立一个简化的数据表示，可以提供给标准的异常检测算法。相比之下，我们建议通过专门定制的统计模型同时解决所有这三个特征。我们介绍了\textsc{Decades}，一个\underline{d}的代理，h \underline{e}异构和\underline{c}组合模型的\underline{a}正常\underline{d}检测\underline{e}事件\underline{s}流，我们证明了它的有效性检测恶意行为通过一个真实的数据集上包含标记的红队活动。特别是，我们通过将我们的模型与依赖于各种数据表示的最先进的基线进行比较，从经验上强调了处理数据的多个特征的重要性。
2022-06-28 cs.CR
Detecting malicious logins as graph anomalies
Johns Hopkins University Applied Physics Laboratory（约翰斯·霍普金斯大学应用物理实验室）
通过受损帐户进行的身份验证横向移动是一种常见的对抗策略，使用基于签名或规则的入侵检测系统很难发现。在这项工作中，提出了一种基于行为的方法来检测指示横向移动的新型系统的恶意登录，其中使用用户的历史登录活动来构建推定“正常”行为的模型。此历史登录活动表示为每日登录图的集合，这些图对所访问系统之间的身份验证进行编码。每个系统，或图顶点，描述了一组图的中心性措施，它的特点和局部拓扑结构的登录图。然后将非负矩阵分解的无监督技术应用于这组特征，以将每个顶点分配给一个角色，该角色总结了系统如何参与登录。然后计算量化每个顶点与其角色的匹配程度的重建误差，并且该误差的统计数据可以用于识别与涉及异常登录的系统相对应的离群顶点。我们测试这种技术与一小群特权帐户使用真实的登录数据从一个操作企业网。该方法的能力，以确定恶意登录之间的正常活动进行了测试与模拟图的登录活动代表敌对的横向运动。我们发现，该方法通常是成功的，在检测范围广泛的横向运动，为每个用户，与误报率显着低于那些只基于登录新奇的警报。
2020-03-25 cs.CR cs.LG
Cross-temporal Detection of Novel Ransomware Campaigns: A Multi-Modal Alert Approach
提出一种基于多模态告警图的新方法，用于跨时间检测勒索软件活动，有效表示攻击时间线并适应不同攻击模式。
2023-09-01 cs.CR
Robustness of ML-Enhanced IDS to Stealthy Adversaries
Laboratory for Advanced Cybersecurity Research, National Security Agency（国家安全局高级网络安全研究实验室）
通过机器学习（ML）增强的入侵检测系统（IDS）已经证明了有效构建“正常”网络行为原型的能力，以便比传统的基于规则的IDS更准确地检测网络威胁的活动。因为这些基本上是黑匣子，它们的接受需要证明对隐形对手的鲁棒性。由于不可能从完全不受恶意网络行为者影响的活动（受控实验之外）建立基线，因此部署模型的训练数据将受到分析师希望得到警报的活动示例的毒害。我们训练一个基于自动编码器的异常检测系统的网络活动与各种比例的恶意活动混合在一起，并证明他们是强大的这种中毒。
2021-04-21 cs.AI cs.CR
LMDG: Advancing Lateral Movement Detection Through High-Fidelity Dataset Generation
提出LMDG框架，通过自动化良性活动生成、多阶段攻击执行和进程树标注技术，生成高保真横向移动数据集，支持细粒度攻击标注，提升检测模型评估效果。
2025-08-04 cs.CR
Tracking Temporal Evolution of Network Activity for Botnet Detection
California Institute of Technology（加州理工学院）；Jet Propulsion Laboratory, California Institute of Technology（加州理工学院喷气推进实验室）
僵尸网络作为各种恶意活动的主要支持技术越来越普遍，如电子邮件垃圾邮件，点击欺诈，分布式拒绝服务（DDoS）攻击和加密货币挖掘。僵尸网络技术继续快速发展，使检测成为一个非常具有挑战性的问题。有一个强大的检测方法，是不敏感的一个特定的僵尸网络的特性，并在不同的僵尸网络类型的推广是一个根本的需要。我们提出了一种新的监督方法来检测恶意僵尸网络主机，通过使用基于神经网络架构的长短期记忆（LSTM）来跟踪主机的网络活动。我们建立了一个原型来证明我们的方法的可行性，在CTU-13数据集上进行评估，并将我们的性能与现有的检测方法进行比较。我们表明，我们的方法的结果在一个更普遍的，僵尸网络不可知的检测方法，是适合实时实施，并表现良好，与现有的方法相比，与96.2%的整体准确性得分。
2019-08-09 cs.CR cs.LG
DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram
本文提出基于 BERT 的 DarkGram 框架，以 96% 准确率识别 Telegram 网络犯罪频道恶意帖子，并通过大规模内容分析揭示其生态韧性，推动 196 个频道下架且开源数据与工具。
2025-10-21 cs.CR cs.CY cs.SI
Malware Detection and Prevention using Artificial Intelligence Techniques
Kennesaw State University（肯尼索州立大学）；Tennessee Tech university（田纳西理工大学）；University of Calabria（卡拉布里亚大学）；LORIA（洛林计算机科学及其应用实验室）；Tuskegee University（塔斯基吉大学）
随着技术的快速进步，由于恶意软件活动的增加，安全性已经成为一个主要问题，恶意软件活动对计算机系统和利益相关者的安全性和安全性构成严重威胁。为了维护利益相关者，特别是最终用户的安全，保护数据免受欺诈行为的侵害是最紧迫的问题之一。恶意软件是一组恶意编程代码、脚本、活动内容或侵入性软件，旨在破坏预期的计算机系统和程序或移动和Web应用程序。根据一项研究，天真的用户无法区分恶意和良性应用程序。因此，计算机系统和移动应用程序应被设计为检测恶意活动以保护利益相关者。许多算法可用于通过利用包括人工智能、机器学习和深度学习的新颖概念来检测恶意软件活动。在这项研究中，我们强调基于人工智能（AI）的技术，用于检测和防止恶意软件活动。我们提出了一个详细的审查目前的恶意软件检测技术，其缺点，以及如何提高效率。我们的研究表明，采用未来的方法来开发恶意软件检测应用程序将提供显着的优势。对这种综合的理解将有助于研究人员进一步研究使用AI进行恶意软件检测和预防。
2022-06-26 cs.AI cs.CR cs.LG
On the Activity Privacy of Blockchain for IoT
由于物联网设备的异构性和资源限制，安全性是物联网（IoT）的基本挑战之一。设备分类方法通过检测未注册的设备或流量模式来增强物联网的安全性。近年来，区块链作为一种分布式的无信任平台，以增强物联网的安全性，受到了极大的关注。传统的设备识别方法不能直接应用于基于区块链的物联网，因为网络层数据包没有存储在区块链中。此外，交易是广播的，因此没有目的地IP地址，包含公钥作为用户身份，并永久存储在区块链中，可以由网络中的任何实体读取。我们表明，区块链中的设备识别会带来隐私风险，因为恶意节点可以通过分析区块链中交易的时间模式来识别用户的活动模式。我们通过分析存储在区块链中的信息来研究对物联网设备进行分类的可能性，据我们所知，这是同类工作中的第一项。我们使用灵巧家庭作为代表性的物联网场景。首先，根据真实世界的灵巧家庭流量数据集填充区块链。然后，我们对存储在区块链中的数据应用机器学习算法来分析设备分类的成功率，对知情和盲目的攻击者进行建模。我们的结果表明，在分类设备的成功率超过90%。我们提出了三种时间戳混淆方法，即将多个数据包合并到单个事务中，合并多个设备的账本，以及随机延迟事务，以降低设备分类的成功率。所提出的时间戳混淆方法可以将分类成功率降低到20%。
2019-03-14 cs.CR
SCGNet-Stacked Convolution with Gated Recurrent Unit Network for Cyber Network Intrusion Detection and Intrusion Type Classification
American International University（美国国际大学）；Khulna University（库尔纳大学）
针对传统入侵检测系统难以高效识别复杂网络攻击的问题，提出新型深度学习架构SCGNet及通用数据预处理流程，在NSL-KDD数据集的攻击检测与分类任务上取得高准确率。
2024-10-29 cs.CR cs.LG
LLM Honeypot: Leveraging Large Language Models as Advanced Interactive Honeypot Systems
University at Albany, SUNY（纽约州立大学奥尔巴尼分校）
本文提出利用大型语言模型构建交互式蜜罐系统，通过微调开源模型实现与攻击者的复杂交互，经评估验证其有效生成准确响应，为网络安全提供强大工具。
2024-09-15 cs.AI cs.CL cs.CR
A Controlled Experiment on the Impact of Intrusion Detection False Alarm Rate on Analyst Performance
本文通过对照实验比较 50% 与 86% IDS 误报率，发现高误报率显著降低分析师精确率并增加任务耗时，但不显著影响检测敏感度。
2023-07-13 cs.CR
Robust Synthetic Data-Driven Detection of Living-Off-the-Land Reverse Shells
Aisle（艾尔公司）；University of Genova（热那亚大学）；University of Cagliari（卡利亚里大学）；Pluribus One（普路勒斯一号公司）
针对LOTL反向Shell攻击，提出基于合成数据增强的ML检测框架，结合对抗训练，在FPR为10^-5时检测率提升90%，并发布模型与数据集。
2024-12-16 cs.CR cs.LG
