Bayesian Models Applied to Cyber Security Anomaly Detection Problems
网络安全是全球所有个人，组织和政府的重要关注点。网络攻击变得比以往任何时候都更加复杂，频繁和危险，传统的异常检测方法在处理这些新类型的网络威胁时已被证明不太有效。为了解决这个问题，经典和贝叶斯模型都提供了一个有效的和创新的替代传统的基于签名的方法，激发了越来越多的兴趣，统计研究，它已被观察到，在最近几年。在这篇评论中，我们提供了一些典型的网络安全挑战，典型的数据类型和统计方法的描述，特别注意贝叶斯方法，这些问题。
2021-06-03 cs.CR math.ST stat.TH
Deception for Cyber Defence: Challenges and Opportunities
Data61, CSIRO Australia（澳大利亚联邦科学与工业研究组织Data61）；Cyber Security Cooperative Research Centre Australia（澳大利亚网络安全合作研究中心）；Penten Pty Ltd（Penten私人有限公司）；UNSW Sydney（悉尼新南威尔士大学）
欺骗作为网络防御的重要工具正在迅速发展，补充了现有的外围安全措施，以快速检测漏洞和数据盗窃。限制使用欺骗的因素之一是手工制作逼真的人工制品的成本。然而，机器学习的最新进展为可扩展的、自动生成逼真的欺骗创造了机会。这篇愿景论文描述了在开发模型以模拟IT堆栈的许多常见元素以实现欺骗效果时所涉及的机遇和挑战。
2022-08-15 cs.CR cs.LG
Robust PCA for Anomaly Detection in Cyber Networks
本文使用网络数据包捕获数据来演示如何以一种新的方式使用鲁棒主成分分析（RPCA）来检测作为网络攻击指标的异常。该方法只需要几个参数来学习使用分区的训练数据，并显示出改善的需要一个详尽的一组不同类型的网络攻击的例子的承诺。对于林肯实验室的DARPA入侵检测数据集，该方法实现了较低的误报率，同时保持合理的真阳性率的个人数据包。此外，该方法正确地检测到数据包流中的攻击，这是以前没有遇到过，或训练，出现。
2018-01-04 cs.CR
Cyber Dynamics I: Finite Macrostates for Behavioral Anomaly Detection in Network Telemetry
Old Dominion University（老道明大学）
针对网络遥测行为异常检测，提出有限维宏观状态框架，在CSTS上实例化，对相关元素粗粒度处理，建模宏观状态转换，经数据集评估，相比多种基线和检测器，提升异常判别能力及行为分析可解释性。
2026-08-17 cs.CR
Challenges and Opportunities of Blockchain for Cyber Threat Intelligence Sharing
物联网（IoT）技术的出现导致了网络威胁格局的重大转变。因此，企业必须寻找新的方法来更好地管理与基础设施相关的风险。作为回应，大量的研究集中在开发高效的网络威胁情报（CTI）共享平台上。然而，大多数现有的解决方案是高度集中的，并且不提供以分布式方式交换信息的方式。在本章中，我们随后试图评估如何使用区块链技术来解决现有CTI共享平台中存在的一些限制。为了确定基于区块链的共享向前发展的作用，我们提出了一些通用CTI共享挑战，并讨论了区块链如何以安全有效的方式带来解决这些挑战的机会。最后，我们讨论了一系列相关的工作，并指出一些独特的未来研究问题。
2022-05-08 cs.CR cs.DC
A Survey of Heterogeneous Graph Neural Networks for Cybersecurity Anomaly Detection
本文综述了异构图神经网络在网络安全异常检测中的应用，分析了不同类型异常和图动态的分类方法，评估了常用数据集和指标，并指出了建模、数据和部署中的关键挑战。
2026-06-08 cs.CR cs.LG
TENET: Temporal CNN with Attention for Anomaly Detection in Automotive Cyber-Physical Systems
Colorado State University（科罗拉多州立大学）
现代车辆具有多个电子控制单元（ECU），这些ECU连接在一起作为复杂的分布式网络物理系统（CPS）的一部分。ECU与外部电子系统之间的通信不断增加，使得这些车辆特别容易受到各种网络攻击。在这项工作中，我们提出了一种新的异常检测框架，称为TENET检测车辆上的网络攻击引起的异常。TENET使用具有集成注意力机制的时间卷积神经网络来检测异常攻击模式。TENET能够实现32.70%的假阴性率，19.14%的马修斯相关系数和17.25%的ROC-AUC指标的改善，与汽车异常检测方面表现最好的先前工作相比，模型参数减少了94.62%，内存占用减少了86.95%，推理时间减少了48.14%。
2021-09-09 cs.AI cs.CR cs.LG
An Autonomous Self-Incremental Learning Approach for Detection of Cyber Attacks on Unmanned Aerial Vehicles (UAVs)
随着自动化系统的技术进步和能力大幅提高，无人驾驶飞行器在没有人类放纵的情况下执行依赖人类的任务的使用也急剧增加。由于无人机严重依赖信息和通信技术，因此很容易受到网络攻击。随着时间的推移，越来越多的先进和新的攻击正在开发和使用。然而，目前的入侵检测系统缺乏对新的和未知的攻击的检测和分类。因此，为了使无人驾驶飞行器具有自主和可靠的操作，需要更鲁棒和自动化的网络检测和保护方案。为了解决这个问题，我们提出了一个自主的自增量学习架构，能够在没有任何人为干扰的情况下自行检测已知和未知的网络攻击。在我们的方法中，我们结合了基于签名的检测与异常检测，以这种方式，基于签名的检测器自动更新其攻击类的异常检测器的帮助下。为了实现这一点，我们实现了一种增量学习方法，更新我们的模型以包含新类而不忘记旧类。为了验证我们提出的架构的适用性和有效性，我们已经实现了它在一个试验方案，然后将其与传统的离线学习方法进行比较。此外，我们基于异常的检测器已经实现了100%的攻击检测率。
2021-12-18 cs.CR eess.SP
A Comprehensive Overview of Large Language Models (LLMs) for Cyber Defences: Opportunities and Directions
本文综述了大型语言模型在网络防御中的应用，分类涵盖威胁情报、漏洞评估等七大领域，分析了从Transformer到GPT的演进、各领域优劣、挑战及未来研究方向。
2024-05-23 cs.CR
Anomaly Detection from Cyber Threats via Infrastructure to Automated Vehicle
当在能见度有限的高密度交通情况下自动驾驶时，使用结构到车辆（I2V）信息可以带来很大的好处，因为外部传感器增强了车辆的感知能力。在本研究中，引入了一种方法来提高车辆在交叉路口的自我意识，以应对使用I2V通信时可预见的最大挑战之一：网络安全。引入的异常检测算法在自动驾驶汽车上运行，评估I2V通信的健康状况，以抵御多种网络安全攻击。该分析是在模拟环境中进行的，使用了Secredas项目（跨域可靠依赖自动化系统的网络安全）的网络攻击场景，并提供了车辆在面临不同类型和幅度的I2V网络攻击以及传感器冗余丢失时的局限性。结果表明，自动驾驶汽车可以稳健地检测和缓解注入的异常，使其能够更安全，更舒适地做出反应，并在交叉路口保持正确的目标跟踪。
2021-04-23 cs.CR math.OC
Learning to Detect Cyber Attacks: Neural Anomaly Detection for Cybersecurity with Theoretical Insights
Data Science Institute, Columbia University（哥伦比亚大学数据科学研究所）；School of Cybersecurity and Privacy, Georgia Institute of Technology（佐治亚理工学院网络安全与隐私学院）；H. Milton Stewart School of Industrial and Systems Engineering, Georgia Institute of Technology（佐治亚理工学院H·米尔顿·斯图尔特工业与系统工程学院）
针对新型网络攻击规避防御的问题，提出仅用正常样本结合合成异常监督训练的神经网络异常检测方法，在多领域任务中表现稳健，尤其提升了未见过网络攻击的检测能力。
2026-07-31 cs.CR cs.LG math.ST
End-To-End Anomaly Detection for Identifying Malicious Cyber Behavior through NLP-Based Log Embeddings
Laboratory for Advanced Cybersecurity Research（高级网络安全研究实验室）；National Security Agency（国家安全局）
基于规则的入侵检测系统正被更强大的神经网络入侵检测系统所取代，在网络安全领域显示出巨大的潜力。然而，这些机器学习方法仍然依赖于ad-hoc特征工程技术，这些技术缺乏以与发现异常网络活动完全相关的方式对输入进行矢量化的能力。我们提出了一个深端到端的框架与NLP启发的组件，用于识别企业计算机网络上的潜在恶意行为。我们还证明了这种技术在最近发布的DARPA OpTC数据集上的有效性。
2021-08-27 cs.AI cs.CR
CAMLPAD: Cybersecurity Autonomous Machine Learning Platform for Anomaly Detection
Academy of Science（科学院）；TJHSST
随着机器学习和网络安全在数字生态系统的背景下持续爆炸，网络安全数据的复杂性与复杂且规避的机器学习算法相结合，导致在设计用于智能自动异常分类的端到端系统时遇到巨大困难。另一方面，传统的系统使用基本的统计技术，往往不准确，导致集中式数据分析平台薄弱。在本文中，我们提出了一个新的系统，解决这两个问题，名为CAMLPAD，网络安全自主机器学习平台异常检测。CAMLPAD系统简化的整体方法首先使用elasticsearch实时的检索大量不同种类的网络安全数据，然后运行几种机器学习算法，即隔离森林，基于直方图的离群值得分（HBOS），基于聚类的局部离群值因子（CBLOF）和K均值聚类，以处理数据。接下来，使用Kibana将计算出的异常可视化，并为其分配一个离群值分数，该分数作为是否应向系统管理员发送网络中存在潜在异常的警报的指标。在模拟环境中对我们的平台进行全面测试后，CAMLPAD系统达到了95%的调整后rand分数，显示了系统可靠的准确性和精度。总而言之，CAMLPAD系统为实时的网络安全异常检测提供了一种准确、简化的方法，提供了一种有可能彻底改变网络安全领域的新型解决方案。
2019-07-23 cs.CR cs.LG cs.NI
Attention-GAN for Anomaly Detection: A Cutting-Edge Approach to Cybersecurity Threat Management
Grand Canyon University（大峡谷大学）
本文提出融合注意力机制与GAN的Attention-GAN框架，通过生成多样逼真攻击数据增强异常检测，在KDD Cup和CICIDS2017上取得高准确率。
2024-02-27 cs.AI cs.CR
Envisioning the Future of Cyber Security in Post-Quantum Era: A Survey on PQ Standardization, Applications, Challenges and Opportunities
本文全面研究了后量子密码方案的构造、漏洞与标准化进程，评估了其现实应用指标，并提出了向后量子时代过渡的愿景与未来方向。
2023-10-18 cs.CR
INVARLLM: LLM-assisted Physical Invariant Extraction for Cyber-Physical Systems Anomaly Detection
University of North Carolina at Charlotte（北卡罗来纳大学夏洛特分校）；Stevens Institute of Technology（史蒂文斯理工学院）
INVARLLM提出一种混合框架，利用大语言模型从CPS文档中提取语义信息生成物理不变量，并通过受PCMCI+启发的K-means方法进行经验验证，在SWaT和WADI数据集上实现了100%精确率的异常检测，优于现有方法。
2025-06-02 cs.AI cs.CR
Few-shot Weakly-supervised Cybersecurity Anomaly Detection
Singapore Technologies Engineering（新加坡科技工程有限公司）
本文针对网络安全异常检测中标注数据稀缺的问题，提出一种增强的少样本弱监督深度学习框架，融合数据增强、表示学习和序数回归，并在三个基准数据集上验证了其性能。
2023-04-15 cs.AI cs.CR cs.LG
Quantum Autoencoders for Anomaly Detection in Cybersecurity
Disruptive Technologies Office（颠覆性技术办公室）；Home Team Science & Technology Agency（家庭团队科技局）
本研究将量子自编码器应用于网络安全异常检测，在BETH数据集上，8特征QAE在数据有限时F1达0.87，优于经典自编码器的0.77，展示了量子优势。
2025-10-22 cs.CR cs.ET cs.LG
APT-LLM: Embedding-Based Anomaly Detection of Cyber Advanced Persistent Threats Using Large Language Models
针对高级持续性威胁（APTs）检测难的问题，提出APT-LLM框架，结合BERT等大语言模型与自动编码器架构，在极端不平衡数据集上显著提升检测性能，优于传统方法。
2025-02-13 cs.CR
Checking is Believing: Event-Aware Program Anomaly Detection in Cyber-Physical Systems
保护网络物理系统（CPS）免受恶意攻击至关重要，因为这些攻击可能会对物理系统造成无法弥补的损害。最近的研究表明，在CPS设备上运行的控制程序遭受面向控制的攻击（例如，代码注入或代码重用攻击）和面向数据的攻击（例如，非控制数据攻击）。不幸的是，现有的检测机制不足以检测运行时面向数据的漏洞，由于缺乏运行时执行语义检查。在这项工作中，我们提出了Orpheus，一种新的安全方法，通过执行网络物理执行语义来防御面向数据的攻击。我们首先提出了一种用于推理控制程序的网络物理执行语义的一般方法（即，物理上下文和程序控制流之间的因果依赖性），包括事件识别和依赖性分析。作为Orpheus的一个实例，我们提出了一个新的程序行为模型，即，事件感知有限状态自动机（eFSA）eFSA利用CPS控制程序的事件驱动特性，并将事件检查纳入异常检测。如果特定物理事件缺失以及相应的事件相关状态转换，它会检测面向数据的漏洞。我们评估我们的原型的性能进行案例研究下面向数据的攻击。实验结果表明，eFSA能够成功检测不同的运行时攻击。我们在Raspberry Pi上的原型产生了很低的开销，每个状态转换完整性检查需要0.0001 s，网络物理上下文一致性检查需要0.063 s ~ 0.211 s。
2019-03-25 cs.CR
Navigating Connected Car Cybersecurity: Location Anomaly Detection with RAN Data
针对联网汽车劫持与欺骗攻击，本文提出基于 RAN 事件监测的位置异常检测模块，利用数千万辆汽车数据识别同时出现在多地的恶意设备。
2024-07-02 cs.CR cs.NI
CyberSentinel: Efficient Anomaly Detection in Programmable Switch using Knowledge Distillation
本文提出CyberSentinel，一种完全部署在可编程交换机数据平面的异常检测系统，利用知识蒸馏将深度无监督ML模型知识转化为iForest白名单规则，实现线速检测，吞吐量提升66.47%，延迟降低50%。
2024-12-21 cs.CR cs.NI
Challenges and Opportunities in CPS Security: A Physics-based Perspective
网络技术（计算和通信）与物理世界的集成产生了称为网络物理系统（CPS）的复杂系统，例如制造，运输，智能电网和水处理。其中许多系统是关键基础设施的一部分，需要安全、可靠和安全地实时运行。与传统IT系统相比，CPS安全性具有挑战性。对手可以在网络和物理域中危害系统。然而，CPS中使用的独特技术和流程也为防御带来了机会。由于物理和网络组件的复杂交互，CPS安全性已通过多种方式进行处理。在这项工作中，采取了全面的研究，以总结的挑战和建议的解决方案，从基于物理的角度来保护CPS。
2020-04-07 cs.CR cs.SY eess.SY
Federated Anomaly Detection and Mitigation for EV Charging Forecasting Under Cyberattacks
ICT Convergence Research Center（信息通信融合研究中心）；Kumoh National Institute of Technology（Kumoh国立技术学院）；IT-Convergence Engineering（信息融合工程）
本文提出一种联邦学习框架，用于在遭受网络攻击时实现电动汽车充电预测中的异常检测与缓解，通过保护隐私、检测攻击并提升预测准确性。
2025-11-22 cs.CR cs.LG
ACE -- An Anomaly Contribution Explainer for Cyber-Security Applications
Purdue University（普渡大学）；Micro Focus（微焦点）
在本文中，我们介绍了异常贡献解释器或ACE，一个工具来解释安全异常检测模型的模型功能，通过回归框架，及其变体，ACE-KL，突出了重要的异常贡献者。ACE和ACE-KL通过构建专门的线性模型来局部近似黑盒模型生成的异常分数，从而在诊断哪些属性对异常有显著影响方面提供见解。我们使用这些异常检测模型进行了实验，以检测合成数据和真实数据上的安全异常。特别是，我们评估了三个公共数据集的性能：CERT内部威胁，netflow日志和Android恶意软件。实验结果是令人鼓舞的：我们的方法始终确定正确的贡献功能的合成数据，其中地面真相是可用的;同样，对于真实的数据集，我们的方法点的方向的安全分析师异常的根本原因，包括在一种情况下，导致发现以前被忽视的网络扫描活动。我们已经公开了我们的源代码。
2020-02-29 cs.CR cs.LG stat.ML
Systematic Integration of Digital Twins and Constrained LLMs for Interpretable Cyber-Physical Anomaly Detection
Norwegian University of Science and Technology（挪威科技大学）
本文提出一种结合确定性启发法与约束性大语言模型的混合检测方法，用于实时检测工业控制系统中的异常，通过数字孪生保持过程同步并生成行为描述，验证了该方法在四个典型攻击场景中的有效性。
2026-04-04 cs.CR
Time Series Anomaly Detection for Cyber-Physical Systems via Neural System Identification and Bayesian Filtering
Siemens AG（西门子股份公司）
AIoT技术的最新进展已经导致利用机器学习算法来检测网络物理系统（CPS）的操作故障的日益普及。在其基本形式中，异常检测模块监视来自物理设备的传感器测量和致动器状态，并且检测这些测量中的异常以识别异常操作状态。然而，建立有效的异常检测模型CPS是相当具有挑战性的，因为该模型必须准确地检测异常的高度复杂的系统动态和未知量的传感器噪声的存在。在这项工作中，我们提出了一种新的时间序列异常检测方法，称为神经系统辨识和贝叶斯过滤（NSIBF），其中一个特制的神经网络架构构成的系统辨识，即，在动态状态空间模型中捕获CPS的动态;然后贝叶斯滤波算法自然地应用于“识别的”状态空间模型之上，用于通过随时间递归地跟踪系统的隐藏状态的不确定性来进行鲁棒异常检测。我们提供了定性和定量的实验与所提出的方法在合成和三个现实世界的CPS数据集，显示NSIBF相比有利的国家的最先进的方法，在CPS异常检测有很大的改进。
2022-01-07 cs.CR cs.LG stat.ML
Causal Graph Profiling via Structural Divergence for Robust Anomaly Detection in Cyber-Physical Systems
Arizona State University（亚利桑那州立大学）；University of Kansas（堪萨斯大学）
针对信息物理系统中传统异常检测方法易受分布偏移和类别不平衡影响的问题，提出基于因果图的异常检测框架 CGAD，通过动态贝叶斯网络学习因果不变图结构并利用结构差异检测异常，在四个工业数据集上显著提升了 F1 和 ROC-AUC 得分。
2025-08-13 cs.CR cs.LG
Cyber-Physical Systems Security: A Comprehensive Review of Anomaly Detection Techniques
Stevens Institute of Technology（史蒂文斯理工学院）；University of North Carolina at Charlotte（北卡罗来纳大学夏洛特分校）
本文综述了网络物理系统中异常检测技术，比较了数据驱动、模型驱动、混合数据模型和系统导向方法，分析其优劣，为构建更安全可靠的系统提供指导。
2026-04-06 cs.AI cs.CR
Logic-Driven Cybersecurity: A Novel Framework for System Log Anomaly Detection using Answer Set Programming
Oklahoma Christian University（俄克拉荷马基督教大学）；University of Central Oklahoma（中奥克拉荷马大学）；University of Texas at Dallas（德克萨斯大学达拉斯分校）
本文提出一种基于答案集编程的日志异常检测框架，利用逻辑推理能力提升系统日志分析的准确性与可解释性。
2025-12-04 cs.CR cs.LO
CyberCScope: Mining Skewed Tensor Streams and Online Anomaly Detection in Cybersecurity Systems
SANKEN, Osaka University（大阪大学 SANKEN）
提出流式方法CyberCScope，通过混合偏斜无限与有限维分解处理高阶张量流，实现网络安全中多类型入侵的实时检测与特征总结。
2025-03-02 cs.AI cs.CR cs.LG
Anomaly Detection for Real-World Cyber-Physical Security using Quantum Hybrid Support Vector Machines
University of Tennessee（田纳西大学）；GE Vernova Advanced Research Center（GE Vernova先进研究中心）
本文提出结合强预处理与利用参数化量子电路保真度的量子混合 SVM，用于 CPS 传感器数据的网络攻击异常检测，在 HAI CPS 数据集上取得 0.86 的 F-1 分数和 87% 准确率。
2024-09-08 cs.CR cs.LG quant-ph
Recurrent Neural Network Language Models for Open Vocabulary Event-Level Cyber Anomaly Detection
自动化分析方法是监控和保护网络以保护其托管的敏感或机密数据的关键辅助手段。这项工作介绍了一种灵活，强大，无监督的方法来检测计算机和网络日志中的异常行为，在很大程度上消除了现有方法所采用的依赖于域的特征工程。通过将系统日志视为交错的“句子”（事件日志行）来训练在线无监督神经网络语言模型，我们的方法提供了一个正常网络行为的自适应模型。我们比较了标准和双向循环神经网络语言模型在检测网络日志数据中的恶意活动方面的有效性。扩展这些模型，我们引入了一个分层的循环体系结构，它提供了随着时间的推移，通过建模用户的动作序列的上下文。与隔离森林和主成分分析这两种流行的异常检测算法相比，我们在洛斯阿拉莫斯国家实验室网络安全数据集上观察到了优越的性能。对于日志行级别的红队检测，我们表现最好的基于字符的模型提供了0.98的接收器操作员特征曲线下的测试集区域，证明了这种方法在开放词汇日志源上的强大细粒度异常检测性能。
2017-12-02 cs.CR cs.NE
Anomaly-Based Intrusion Detection System for Cyber-Physical System Security
在过去的十年中，工业控制系统经历了与信息技术的大规模集成。工业网络经历了无数次技术变革，以保护运营和生产流程，导致今天的新工业革命。信息技术工具无法保证工业领域的机密性、完整性和可用性，因此了解物理组件与网络的交互至关重要。因此，工业控制系统通常是信息物理系统（CPS）的一个例子。本文旨在为网络物理系统中的网络攻击检测提供一种工具。该方法基于机器学习来提高系统的安全性。通过分析机器学习假设的值，可以评估三个模型的分类性能。使用训练集获得的模型允许对异常行为的样本和与正常行为相关的样本进行分类。在水箱系统中实现了攻击识别，利用机器学习的识别方法来避免水箱溢出等危险状态。结果令人鼓舞，证明了其有效性。
2021-10-25 cs.CR cs.SY eess.SY
Cyber-Electromagnetic Anomaly Detection Through Time-Series Analysis
University of Murcia（穆尔西亚大学）
该研究针对网络电磁异常检测的单视角局限，结合ZBDS2023数据集的双域特征，构建随机森林监督模型与LSTM-Autoencoder无监督模型，实现了对网络电磁异常的有效检测，为网络态势感知提供支撑。
2026-08-28 cs.CR
Adaptive Anomaly Detection for Identifying Attacks in Cyber-Physical Systems: A Systematic Literature Review
本文作为首篇系统性文献综述，收集并分析了2013至2023年关于信息物理系统中自适应异常检测（AAD）的65篇论文，提出新分类法，发现现有研究很少同时兼顾数据处理与模型自适应，并指出了局限与未来方向。
2025-01-03 cs.CR cs.LG
Enhancing Cybersecurity in IoT Networks: A Deep Learning Approach to Anomaly Detection
Hebei Finance University（河北金融学院）
针对物联网扩张带来的网络安全威胁升级问题，提出融合LSTM与注意力机制的深度学习异常检测模型，在多类公开数据集上表现优于现有基线。
2024-12-11 cs.CR cs.LG
Next-generation cyberattack detection with large language models: anomaly analysis across heterogeneous logs
Coventry University（考文垂大学）
本研究提出基于大语言模型的下一代网络攻击检测方法，通过构建异构日志数据集和两阶段训练框架，实现高效准确的异常检测。
2026-02-06 cs.AI cs.CR
Hybrid Temporal Differential Consistency Autoencoder for Efficient and Sustainable Anomaly Detection in Cyber-Physical Systems
JOANNEUM RESEARCH Forschungsgesellschaft mbH（JOANNEUM RESEARCH 研究会）；TU Graz（格拉茨技术大学）
本文提出混合时序差分一致性自编码器 hybrid TDC-AE，通过结合确定性节点与统计节点捕捉系统动态，在无需领域知识的情况下将异常检测时间缩短3%，并超越BATADAL挑战赛领先者，实现高效可持续的CPS异常检测。
2025-09-19 cs.AI cs.CR cs.LG
Unsupervised anomaly detection on cybersecurity data streams: a case with BETH dataset
RTU MIREA（俄罗斯技术大学密瑞亚）
针对网络安全数据流异常检测需求，本文基于BETH数据集测试三类Python流机器学习库的十种算法，评估其ROC-AUC与处理效率，筛选出潜力算法并指明后续研究方向。
2025-06-16 cs.CR cs.LG
Global Context Enhanced Anomaly Detection of Cyber Attacks via Decoupled Graph Neural Networks
Stiftung Universität Hildesheim（希尔德斯海姆大学基金会）
针对现有GNN异常检测模型无法捕捉非线性网络信息的问题，提出解耦GNN架构，分离节点表示与分类器学习，通过双模块聚合特征生成全局上下文增强嵌入，在AUC指标上优于现有模型。
2024-09-04 cs.CR cs.LG
Physics-Informed Convolutional Autoencoder for Cyber Anomaly Detection in Power Distribution Grids
West Virginia University（西弗吉尼亚大学）
针对配电网隐蔽网络攻击，本文提出将基尔霍夫定律融入损失函数的多变量 PIConvAE，并在 IEEE 13/123 节点系统中验证其精度、收敛速度和攻击检测能力。
2023-12-08 cs.CR cs.LG cs.SY
The Evolution of Keylogger Technologies: A Survey from Historical Origins to Emerging Opportunities
本文综述键盘记录器从历史起源到当代形态的技术演进，并评估反键盘记录器在新兴网络安全策略下是否仍具意义。
2023-12-16 cs.CR
Adversarial Attacks and Mitigation for Anomaly Detectors of Cyber-Physical Systems
Singapore University of Technology and Design（新加坡科技设计大学）；Zhejiang University（浙江大学）；Singapore Management University（新加坡管理大学）
关键基础设施中的网络物理系统（CPS）所面临的威胁促使人们研究多种攻击检测机制，包括基于神经网络模型的异常检测器。异常检测器的有效性可以通过对它们进行攻击测试来评估，但很少考虑对抗性攻击者专门设计的噪声来欺骗它们。虽然对抗攻击在图像和音频等领域得到了成功应用，但由于存在其他内置防御机制（如规则检查器（或不变检查器）），因此在CPS中实现起来要困难得多。在这项工作中，我们提出了一个对抗攻击，同时逃避异常检测器和规则检查的CPS。受现有基于梯度的方法的启发，我们的对抗攻击在传感器和执行器值上制造噪声，然后使用遗传算法优化后者，确保神经网络和规则检查系统都被欺骗。我们在两个真实世界的关键基础设施测试平台上实现了我们的方法，成功地将其检测器的分类准确率平均降低了50%以上，同时避免规则检查器的检测。最后，我们探讨这些攻击是否可以通过在对抗样本上训练检测器来减轻。
2021-05-22 cs.AI cs.CR cs.LG
iADCPS: Time Series Anomaly Detection for Evolving Cyber-physical Systems via Incremental Meta-learning
School of Software Technology, Dalian University of Technology（大连理工大学软件学院）；School of Computer and Information Engineering, Jiangxi Normal University（江西师范大学计算机与信息工程学院）；School of Computer Science and Technology, Dalian University of Technology（大连理工大学计算机科学与技术学院）；College of Information Engineering, Dalian University（大连大学信息工程学院）
本文提出增量元学习方法 iADCPS，通过时间混合、单类元学习和非参数动态阈值持续适应演化中的信息物理系统，在三个数据集上取得优于现有方法的异常检测性能。
2025-04-06 cs.AI cs.CR
Enabling Deep Visibility into VxWorks-Based Embedded Controllers in Cyber-Physical Systems for Anomaly Detection
针对基于VxWorks的嵌入式控制器无法用传统动态监控方法的问题，提出DIVER框架，通过内核植入测量器和远程监听器实现深度可见性，在两类设备上验证了其异常检测的有效性与可扩展性。
2025-08-25 cs.CR
Cyber Anomaly Detection Using Graph-node Role-dynamics
Boston Fusion Corp.（波士顿融合公司）
入侵检测系统（IDS）产生了关于网络安全的有价值的知识，但是大量的假警报和缺乏方法来捕获警报之间的相互依赖性阻碍了它们在网络防御中的效用。在这里，我们探索了一种基于图形的方法，用于融合多个IDS生成的警报（例如，Snort、OSSEC和Bro）。我们的方法生成一个加权图的警报字段（而不是网络拓扑结构），使明确的多个警报，IDS系统和其他网络工件之间的连接。我们使用这种多模态图来识别网络警报模式的异常变化。为了检测异常，我们应用角色动态方法，该方法已成功识别社交媒体，电子邮件和IP通信图中的异常。在网络域中，融合的IDS警报图中的每个节点（警报字段）被分配基于该节点的特征的跨一小组角色的概率分布。网络攻击应该触发IDS警报并导致节点功能的更改，但角色不是单独跟踪每个警报字段节点的每个功能，而是提供这些功能更改的简洁，综合摘要。我们测量每个节点的概率角色分配随时间的变化，并确定异常偏离预期的角色。我们使用模拟来测试我们的方法，包括三周的正常背景流量，以及在模拟结束时发生的网络攻击。本文提出了一种新的方法，多模态数据融合和一个新的应用程序的角色动力学在网络安全领域。我们的研究结果表明，当考虑我们的异常指标，而不是IDS警报本身时，误报率大幅下降，从而减少警报疲劳，并为网络防御中的威胁情报提供了一个有前途的途径。
2019-01-16 cs.CR cs.LG stat.ML
Adversarial Augmentation and Active Sampling for Robust Cyber Anomaly Detection
New York University, NYUAD, Division of Science.（纽约大学，NYUAD，科学学院）
针对APT检测中标注数据稀缺的问题，本文提出结合注意力对抗双自动编码器与主动学习的异常检测框架，在多系统真实不平衡数据集上实现了检测率的显著提升，降低了标注成本。
2025-09-05 cs.AI cs.CR cs.CY
Self-Verifying Anomaly Detection using Explainable AI for Cybersecurity of DER Networks
Iowa State University（爱荷华州立大学）
针对分布式能源网络，提出基于XAI的自验证异常检测框架ExCYDER，结合LightGBM与SHAP验证警报，实现高准确率与可解释性。
2026-09-14 cs.AI cs.CR cs.LG
A cyber-physical digital twin approach to replicating realistic multi-stage cyberattacks on smart grids
本文提出在安全实验室中构建融合通信网络仿真与电网仿真的信息物理数字孪生，以复现并评估智能电网面临的多阶段网络攻击。
2024-12-06 cs.CR
Digital Twin-based Anomaly Detection with Curriculum Learning in Cyber-physical Systems
Simula Research Laboratory（西姆拉研究实验室）；University of Oslo（奥斯陆大学）
针对CPS异常检测中训练数据难度不一的问题，本文提出LATTICE，在数字孪生方法ATTAIN中引入由易到难的课程学习，并在五个真实数据集上验证其F1、训练时间和延迟表现。
2023-09-27 cs.CR cs.LG cs.SE
Cybersecurity Anomaly Detection in Adversarial Environments
Army Cyber Institute, United States Military Academy（美国军事学院陆军网络研究所）；Johns Hopkins University（约翰斯·霍普金斯大学）
互联的战场信息共享设备（称为战场物联网（IoBT））的激增带来了一些安全挑战。IoBT操作环境固有的是对抗性机器学习的实践，它试图绕过机器学习模型。这项工作探讨了成本效益的无监督学习和基于图的方法在网络入侵检测系统设置的异常检测的可行性，并利用集成方法的异常检测问题的监督学习。我们在训练监督模型时引入了一个现实的对抗训练机制，以在对抗环境中实现强大的分类性能。结果表明，非监督和基于图的方法优于检测异常（恶意活动）的监督堆叠集成方法与两个层次。该模型在第一级中由三个不同的分类器组成，其次是用于第二级的朴素贝叶斯或决策树分类器。该模型在所有测试的二级分类器中，恶意样本的F1得分均高于0.97。值得注意的是，朴素贝叶斯是平均1.12秒的最快的二级分类器，而决策树保持最高的AUC分数0.98。
2021-11-02 cs.AI cs.CR stat.ML
Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring
Faculty of Computer Science and Mathematics, OTH Regensburg（雷根斯堡应用技术大学计算机科学与数学学院）；Institute for Software Engineering and Programming Languages, Universität zu Lübeck（吕贝克大学软件工程与程序设计语言研究所）；Accemic Technologies GmbH（Accemic科技有限公司）
本文提出结合软件与硬件监控的基于模型的方法，以提升控制流异常检测与攻击树识别的鲁棒性，解决攻击者通过伪装控制流逃避检测的问题，在认证服务示例中验证了该方案可提高诊断精度。
2026-08-13 cs.AI cs.CR
Towards eco friendly cybersecurity: machine learning based anomaly detection with carbon and energy metrics
Gannon University（甘农大学）；Western Illinois University（西伊利诺伊大学）；University of South Wales（南威尔士大学）；Washington University of Science and Technology（华盛顿科技大学）；International American University（国际美国大学）；California State University, Dominguez Hills（加州州立大学多明格斯山分校）；University of New Haven（纽黑文大学）
本研究提出一种结合碳和能耗指标的环保型网络安全框架，通过优化机器学习模型提升检测效率并降低环境影响。
2025-12-31 cs.CR cs.CY cs.LG
