Detecting Zero-Day Web Attacks with an Ensemble of LSTM, GRU, and Stacked Autoencoders
本文提出一种由LSTM、GRU和堆叠自编码器组成的单类集成方法，通过新颖的标记化策略将Web请求转为数值序列，检测零日攻击，实现97.58%准确率和0.2%误报率。
2025-04-19 cs.CR
Timelines for In-Code Discovery of Zero-Day Vulnerabilities and Supply-Chain Attacks
零日漏洞可能会被意外或恶意放置在代码中，并可能会保留数年。在这项研究中，我们通过考虑它们在跨版本的代码中被发现的可能性来解决它们寿命的一个方面。我们将伪装良好的漏洞近似为仅在相关代码行被显式检查时才可识别，而将明显的漏洞近似为在相关文件的任何部分被检查时可识别。我们分析了三种类型的开源软件（Mozilla Firefox，GNU/Linus和glibc）的版本到版本的变化，以了解各种代码被修改的速度，并发现大部分的修订行为可以用一个简单直观的模型来捕获。我们使用该模型和来自87个不同版本软件中超过10亿行独特代码的数据来指定漏洞的代码内可验证性的界限-从专业隐藏到明显可观察。
2018-08-31 cs.CR
A framework for securing email entrances and mitigating phishing impersonation attacks
针对现有防护偏重邮件内容而忽视邮箱入口与设置的问题，本文提出在发送按钮加入安全码并保护转发设置，以缓解账户劫持和内部钓鱼冒充攻击。
2023-12-07 cs.CR
Zero-day DDoS Attack Detection
University of Wisconsin Madison（威斯康星大学麦迪逊分校）
检测零日（新型）攻击的能力在网络安全行业中变得至关重要。由于攻击特征的不断变化，现有的网络入侵检测系统往往无法检测到这些威胁。该项目旨在通过利用在进入专用网络之前捕获的网络流量来解决检测零日DDoS（分布式拒绝服务）攻击的任务。结合神经网络使用现代特征提取技术来确定网络分组是良性的还是恶意的。
2022-08-31 cs.CR cs.LG cs.NI
DoS Attacks on Blockchain Ecosystem
拒绝服务（DoS）攻击是网络服务中日益严重的威胁。拒绝服务攻击的频率和强度正在迅速增加。加密货币市场的巨大金融潜力是DoS攻击的普遍目标。DoS攻击事件在加密货币和区块链生态系统中不断发生。据我们所知，目前还没有任何关于区块链生态系统上的DoS攻击的研究。在本文中，我们确定了区块链生态系统中的十个实体，并仔细研究了对它们的DoS攻击。我们还提出了适用于区块链服务的DoS缓解技术。此外，我们提出了一个拒绝服务缓解技术，通过使用可验证的延迟函数（VDF）。
2022-05-26 cs.CR
Analyzing Cyber-Attack Intention for Digital Forensics Using Case-Based Reasoning
网络攻击日益增加，并且每天都在急剧变化。控制网络攻击和查明肇事者及其意图已变得具有挑战性。一般来说，分析网络攻击的意图是数字取证的主要挑战之一。在许多网络攻击案件中，对攻击意图的分析决定了攻击中使用的战略和工具，从而有助于更准确地查明攻击者。在本文中，将提出一个模型来分析网络攻击的意图。在这一建议中，将设想一套步骤，将它们与基于案例的推理方法联系起来。通过分析某些情况下的攻击意图并将结果与其他分析攻击意图的方法进行比较，来检查该模型。希望结果能更准确地确定网络攻击的意图。
2021-01-05 cs.CR
Exploring the Attack Surface of WebSocket
多年来，随着技术的进步，Web技术有了很多改进。在早期，网络是单向的交流，只有客户能够看到网站的内容，不能输入信息。然而，一天又一天，网络取得了重大进展，HTTP，APDL，WebSocket等技术引入了使页面动态化的技术。简而言之，它是一种新型的通信协议，比以前的通信协议更快，更有效。自从WebSocket问世以来，和其他技术一样，它的安全性也一直是人们讨论的话题，技术的安全性一直是人们面临的一个挑战。因此，在本文中，我们将研究Web套接字中可能出现的结构和安全问题，以选择HTTP的优秀替代方案并使用它。
2021-04-12 cs.CR
A framework for mitigating zero-day attacks in IoT
物联网（IoT）旨在提供每个计算实体之间的连接。然而，这种便利也导致了更多的网络威胁，这些威胁可能会利用一段时间内存在的漏洞。其中一个漏洞是零日威胁，它可能导致零日攻击，这对企业和网络安全都是有害的。在这篇文章中，提出了一项关于物联网网络零日威胁的研究，并提出了一个基于上下文图的框架，以提供减轻这些攻击的策略。所提出的方法使用一个分布式的诊断系统进行分类的上下文在中央服务提供商以及在本地用户站点。一旦识别出潜在的零日攻击，就使用关键的数据共享协议来传输警报消息并重新建立网络实体与IoT设备之间的信任。结果表明，分布式方法是能够有效地减轻零日威胁与33%和21%的改善方面的运营成本和通信开销，分别与集中式诊断系统相比。
2018-04-16 cs.CR cs.NI
From Zero-Shot Machine Learning to Zero-Day Attack Detection
The University of Queensland（昆士兰大学）
本文提出零样本学习方法评估ML模型检测零日攻击的性能，定义零日检测率指标，发现多数攻击类别风险不大，但部分复杂攻击因特征分布显著不同而难以检测。
2021-09-30 cs.CR cs.LG cs.NI
Towards Effective Identification of Attack Techniques in Cyber Threat Intelligence Reports using Large Language Models
本文针对网络威胁情报报告中攻击技术提取面临的类别不平衡与领域复杂性问题，提出LLM摘要加重新训练的SciBERT模型的两步流水线方法，显著提升了F1分数。
2025-05-06 cs.CR
A Cross-Dataset based Zero-Day Intrusion Detection System by Integrating Siamese Network and Reinforcement Learning
Department of CSE, BRAC University（BRAC大学计算机科学与工程系）
提出一种结合孪生网络异常关联与PPO强化学习自适应防御的零日入侵检测系统，在物联网基准数据集上实现99.07%未知攻击检测准确率和93.94%零日检测率。
2026-09-23 cs.CR
A Comprehensive Study of Supervised Machine Learning Models for Zero-Day Attack Detection: Analyzing Performance on Imbalanced Data
School of Electrical Engineering and Computer Science University of Ottawa（电气工程与计算机科学学院，渥太华大学）；Department of Computer Engineering K.N.Toosi University（计算机工程系，K.N.Toosi大学）
本研究通过评估五种监督模型，发现随机森林在不平衡数据下表现最佳，但处理时间较长，最终选择XGBoost作为检测零日攻击的最优模型。
2025-12-07 cs.AI cs.CR cs.LG
Zero-Day Botnet Attack Detection in IoV: A Modular Approach Using Isolation Forests and Particle Swarm Optimization
L3I, University of La Rochelle, France（La Rochelle大学L3I实验室）；National Higher School of Technology and Engineering, LTSE, E3360100, Annaba, Algeria（阿尔及利亚安纳巴国家高等技术与工程学校）
针对车联网中联网和自动驾驶车辆的安全威胁，提出一种基于边缘的入侵检测系统，利用孤立森林模型和粒子群优化的堆叠策略构建元集成分类器，有效检测已知与零日僵尸网络攻击。
2025-05-01 cs.AI cs.CR
ferify: A Virtual Machine File Protection System against Zero-Day Attacks
用于保护VM的大多数现有解决方案假定已知的攻击模式或签名，并且集中于检测对系统文件和内核级存储器结构的恶意操纵。在这项研究中，我们开发了一个名为ferify的系统，它利用VM内省（VMI）来保护托管在VM上的用户文件免受未经授权的访问，即使攻击者已经设法获得VM上的根权限。ferify在hypervisor域中维护一个对VM完全透明的影子文件访问控制列表（SACL）。它使用SACL对可能对目标文件进行操作的所有系统调用执行独立的访问控制。此外，ferify防止内核修改，确保进程所有权的完整性，并支持基于hypervisor的用户身份验证。我们已经为Linux开发了一个ferify原型，通过一组受控实验，我们表明该系统能够减轻一系列零日攻击，否则可能会逃避基于签名的解决方案。此外，我们分析了从捕获系统调用中观察到的高处理开销的根本原因，并提出了一个通用的解决方案，可以将开销减少一半。
2020-04-19 cs.CR cs.NI
A Novel Solution for Zero-Day Attack Detection in IDS using Self-Attention and Jensen-Shannon Divergence in WGAN-GP
Institute for Digital Technologies, Loughborough University, London, UK（数字技术研究所，伦敦大学洛夫顿分校）
本文提出SA-WGAN-GP和JS-WGAN-GP模型，通过自注意力机制和詹森-肖恩散度提升IDS对零日攻击的检测能力。
2026-03-19 cs.AI cs.CR cs.LG
RL and Fingerprinting to Select Moving Target Defense Mechanisms for Zero-day Attacks in IoT
University of Murcia（穆尔西亚大学）；University of Zurich（苏黎世大学）；armasuisse Science & Technology（瑞士阿马苏斯科学技术局）
针对IoT单板计算机的零日攻击，提出基于在线强化学习和行为指纹识别的框架，动态选择移动目标防御机制，在真实场景中有效缓解异构恶意攻击且资源开销低。
2022-12-30 cs.AI cs.CR
Zero-X: A Blockchain-Enabled Open-Set Federated Learning Framework for Zero-Day Attack Detection in IoV
University of La Rochelle（拉罗谢尔大学）；Badji Mokhtar Annaba University（巴吉·穆克塔尔·安纳巴大学）；University of Luxembourg（卢森堡大学）
本文提出Zero-X框架，通过区块链赋能的隐私保护联邦学习结合开放集识别，在车联网中同时检测零日攻击和N-day攻击，实验证明其检测率高且误报率低，性能优于现有方案。
2024-07-03 cs.AI cs.CR
Phishing Dynamic Evolving Neural Fuzzy Framework for Online Detection Zero-day Phishing Email
网络钓鱼是一种攻击，其中犯罪分子使用欺骗性电子邮件和欺诈性网站欺骗金融机构和客户。犯罪分子试图通过说服他们透露用户名、密码、信用卡号码和更新帐户信息或填写账单信息来引诱在线用户。
2013-02-04 cs.CR
Federated Learning for Zero-Day Attack Detection in 5G and Beyond V2X Networks
University of La Rochelle（拉罗谢尔大学）；Badji Mokhtar Annaba University（巴吉·穆赫塔尔·安纳巴大学）；University of Luxembourg（卢森堡大学）；University of Bourgogne Franche Comte（勃艮第-弗朗什-孔泰大学）
本文提出一种基于联邦学习和深度自编码器的入侵检测机制，仅利用良性网络流量模式检测5G及Beyond V2X网络中的零日攻击，在保护车辆隐私和降低通信开销的同时实现高检测率、低误报率和低检测延迟。
2024-07-03 cs.AI cs.CR
Analysis of Zero Day Attack Detection Using MLP and XAI
University of Southern Mississippi（南密西西比大学）
本文分析基于ML和DL的入侵检测系统，评估四种MLP模型在KDD99数据集上的零日攻击检测性能，并利用SHAP解释器验证特征重要性，发现截断模型准确率最高且加权截断模型偏差更小。
2025-01-28 cs.CR cs.LG
RNNIDS: Enhancing Network Intrusion Detection Systems through Deep Learning
通过互联网传递的信息的安全性受到当今最先进的恶意软件的威胁，从精心策划的僵尸网络到简单的多态蠕虫。作为零日攻击的例子，这些威胁能够在其存在的早期阶段多次改变其行为，以绕过网络入侵检测系统（NIDS）。事实上，即使是精心设计的，并经常更新的基于签名的NIDS不能检测零日对待由于缺乏足够的签名数据库，适应智能攻击在互联网上。更重要的是，有了NIDS，它应该在恶意流量数据集上进行测试，这些恶意流量数据集不仅代表已知的攻击，而且还可以在一定程度上反映未知的零日攻击的特征。产生这样的流量在文献中被确定为评估NIDS的有效性的主要障碍之一。为了解决这些问题，我们引入了RNNIDS，它应用递归神经网络（RNN）来发现攻击中的复杂模式并生成类似的模式。在这方面，我们首次证明了RNN有助于生成新的、看不见的攻击突变体以及来自最先进恶意软件的合成签名，以提高入侵检测率。此外，为了进一步增强NIDS的设计，可以使用RNN来生成恶意数据集，例如，恶意软件的隐形变种为了评估我们的方法的可行性，我们进行了广泛的实验，将公开可用的数据集，在那里我们表现出相当大的改善，在一个现成的NIDS的检测率（高达16.67%）。
2020-12-21 cs.CR
System Attack Modeling Techniques Critical Information Infrastructure
每天，世界各地的各种组织都面临着100多起攻击，其中大多数都被信息安全专家成功击退。然而，也有一些信息系统或专家无法击退的攻击，这就是为什么大量企业以及个人遭受巨大的金钱和声誉损失。这项工作的目的是通过网络多边形和互动游戏对专家进行训练，使他们掌握信息安全领域的高水平知识和技能
2021-12-18 cs.CR
CERT strategy to deal with phishing attacks
每一天，网络窃贼都在使用新的方法来获取个人身份，并获取他们的个人信息。网络钓鱼是一种复杂的方法，最近被认为是互联网窃贼。本研究旨在解释网络钓鱼，为什么一个组织应该处理它和它的挑战提供。此外，不同类型的这种攻击和组织和外行用户的安全方法的分类在这篇文章中解决。最后，提出了针对网络钓鱼的CERT策略，并对一些反网络钓鱼技术进行了研究。
2017-06-08 cs.CR
Evaluation of Machine Learning Classifiers for Zero-Day Intrusion Detection -- An Analysis on CIC-AWS-2018 dataset
检测零日入侵一直是网络安全的目标，特别是入侵检测。机器学习被认为是解决这个问题的有前途的方法，已经提出了许多模型，但实际的解决方案仍然没有出现，主要是由于过时的开放数据集所造成的限制。在本文中，我们对CICFlowMeter生成的基于流的统计数据进行了深入的检查，并使用了六种最流行的机器学习分类模型来检测零日攻击。训练数据集CIC-AWS-2018数据集包含14种类型的入侵，而测试数据集包含8种不同类型的攻击。在CIC-AWS-2018数据集上评估和交叉验证了六个分类模型在假阳性率，真阳性率和时间开销方面的准确性。测试数据集，包括八个新的（或零日）的真实生活中的攻击和良性流量收集在真实的研究生产网络被用来测试所选择的决策树分类器的性能。结果表明，该算法的精度高达100%，时间开销合理。我们认为，从CICFlowMeter收集的统计数据，简单的机器学习模型，如决策树分类可以负责检测零日攻击。
2021-01-28 cs.CR cs.LG
Next Generation of Phishing Attacks using AI powered Browsers
针对AI驱动浏览器带来的新型钓鱼威胁，本文提出集成Random Forest的实时浏览器扩展，实现高准确率钓鱼网站与零日威胁检测。
2024-06-18 cs.CR
Stacking an autoencoder for feature selection of zero-day threats
Burdur Mehmet Akif Ersoy University（布尔杜尔梅赫梅特·阿基夫·埃尔索伊大学）；University of Pretoria（比勒陀利亚大学）
本文提出将堆叠自编码器（SAE）与LSTM结合，在UGRansome数据集上通过无监督特征提取和有监督微调选择关键特征，实现对零日威胁的高精度分类。
2023-11-01 cs.CR cs.LG
A Relay a Day Keeps the AirTag Away: Practical Relay Attacks on Apple's AirTags
University of Vienna, Faculty of Computer Science（维也纳大学计算机科学学院）；SBA Research（SBA研究所）
研究揭示通过中继攻击可篡改AirTags位置报告，导致虚假定位及阻止恢复。
2026-04-14 cs.CR cs.CY
A Novel Contrastive Loss for Zero-Day Network Intrusion Detection
University of Strathclyde（思克莱德大学）
本文提出一种新型对比损失函数，用于提升零日网络入侵检测的性能，通过学习良性流量和已知恶意样本的分布，有效提高对未知攻击类别的识别能力。
2026-01-14 cs.AI cs.CR cs.LG
Generalized Adversarial Code-Suggestions: Exploiting Contexts of LLM-based Code-Completion
本文提出了广义对抗性代码建议攻击，通过在嵌入空间中学习从提示到对抗性诱饵的映射，使 LLM 代码助手在特定触发模式下建议易受攻击的代码，并发现现有防御机制难以有效防护。
2024-10-14 cs.CR
Audio-Visual Biometric Recognition and Presentation Attack Detection: A Comprehensive Survey
生物识别是一种趋势技术，它使用独特的特征数据来识别或验证/认证安全应用程序。在经典的生物识别技术中，语音和人脸属性是最适合日常生活中普遍应用的，因为它们很容易通过限制和用户友好的程序获得。智能手机、笔记本电脑和平板电脑中低成本音频和面部捕获传感器的普及，使得语音和面部生物识别技术的优势与其他生物识别技术相比更加突出。多年来，单独的声学信息在自动说话人确认应用中取得了巨大的成功。与此同时，过去的一二十年也见证了人脸识别技术的显著进步。然而，在不利的无约束环境中，这些技术都不能实现最佳性能。由于视听信息携带相关和互补的信息，将它们集成到一个识别系统中可以提高系统的性能。生物识别技术对演示攻击的脆弱性以及用于检测此类攻击的视听数据也是研究的热门话题。本文对现有的最先进的视听识别技术，公开可用的基准测试数据库和呈现攻击检测（PAD）算法进行了全面的调查。此外，详细讨论了挑战和开放的问题，在这个领域的生物识别。
2021-03-12 cs.CR
An Adaptable Deep Learning-Based Intrusion Detection System to Zero-Day Attacks
Sharif University of Technology（谢里夫理工大学）
入侵检测系统（IDS）是计算机网络安全监控的重要组成部分。IDS区分恶意流量和良性流量，并确定针对组织资产的攻击类型。IDS的主要挑战是面临新的（即，零日）攻击，并将它们与良性流量和现有类型的攻击分开。随着基于深度学习的IDS在自动提取高级特征方面的强大功能及其与耗时且昂贵的签名提取过程的独立性，在新一代IDS中仍然存在上述挑战。在本文中，我们提出了一个基于深度学习的IDS解决新攻击的框架。该框架是第一种在安全范围内使用基于深度新颖性的分类器以及基于深度结构的专用层的传统聚类的方法。此外，我们引入DOC++作为DOC的新版本，作为一个深度新颖的分类器。我们还在预处理阶段采用了深度入侵检测（DID）框架，这提高了深度学习算法检测基于内容的攻击的能力。我们比较了四种不同的算法（包括DOC，DOC++，OpenMax和AutoSVM）作为框架的新颖性分类器，并使用CIC-IDS 2017和CSE-CIC-IDS 2018数据集进行评估。我们的研究结果表明，DOC++是开集识别模块的最佳实现。此外，聚类和后训练阶段的完备性和同质性证明了该模型对于监督标记和更新阶段是足够好的。
2021-08-20 cs.CR cs.LG cs.NI
Semantic Multi-Agent Intrusion Detection for IoT:Zero-Day and Adversarial Threats with Risk-Aware Reasoning
Polytechnique Montréal（蒙特利尔高等理工学院）
提出一种结合语义嵌入与多阶段概率决策融合的语义多智能体入侵检测系统，通过四个智能体协作实现零日攻击和对抗攻击的高效检测，在多个真实物联网数据集上达到95.9%检测准确率。
2026-10-30 cs.CR
An End-to-End Threat Model for the Quantum-as-a-Service Pipeline
Faculty of Information Technology University of Jyväskylä（于韦斯屈莱大学信息技术学院）
本文针对QaaS流水线缺乏结构化威胁建模的问题，结合STRIDE将其工作流分解为六阶段模型，分析各层级攻击向量，研究未被充分探索的环节并区分出三条高影响跨阶段攻击链。
2026-08-07 cs.CR
Real-Time Zero-Day Intrusion Detection System for Automotive Controller Area Network on FPGAs
Trinity College Dublin（都柏林圣三一大学）
针对汽车CAN总线未知攻击实时检测难题，提出仅用良性数据训练的无监督卷积自编码器，并在Zynq Ultrascale上量化部署，实现99.5%以上准确率与0.43 ms线速检测。
2024-01-19 cs.CR cs.LG cs.SY
Problem-Space Evasion Attacks in the Android OS: a Survey
Android是全球最受欢迎的操作系统。因此，它是各种恶意软件的目标。作为一种对策，安全社区夜以继日地开发适当的Android恶意软件检测系统，其中基于ML或基于DL的系统被认为是最常见的类型。针对这些检测系统，智能对手开发了一系列规避攻击，其中攻击者稍微修改恶意软件样本以逃避其目标检测系统。在本调查中，我们解决了Android操作系统中的问题空间规避攻击，攻击者操纵实际的APK，而不是其提取的特征向量。我们的目标是探索这类攻击，由于缺乏对Android领域的了解，或者由于专注于一般的数学规避攻击，这类攻击经常被研究社区忽视-即，特征空间规避攻击我们讨论了问题空间规避攻击的不同方面，使用一种新的分类法，它侧重于每个问题空间攻击的关键成分，如攻击者模型，攻击者的操作模式，以及攻击后应用程序的功能评估。
2022-06-21 cs.CR
Blockchain security for ransomware detection
针对区块链网络中利用零日漏洞的勒索软件攻击检测难题，本研究基于UGRansome数据集利用Lazy Predict库自动化比较机器学习模型，发现DecisionTreeClassifier和ExtraTreeClassifier因高效低耗时最适合实时威胁检测。
2024-07-23 cs.CR
Learning in Multiple Spaces: Few-Shot Network Attack Detection with Metric-Fused Prototypical Networks
Fordham University（福特汉姆大学）
本文提出多空间原型学习框架MSPL，融合欧氏、余弦、切比雪夫和Wasserstein四种度量空间并通过约束加权与Polyak平均原型生成，实现少样本场景下的鲁棒零日攻击检测。
2024-12-28 cs.CR cs.LG
A Login Page Transparency and Visual Similarity Based Zero Day Phishing Defense Protocol
本文提出基于页面透明度（PT）的零日钓鱼防御协议，通过PLS公开记录登录页面并结合视觉匹配算法与密码学证明，在客户端实现无需第三方插件的钓鱼防御。
2025-07-13 cs.CR
Data-Driven Detection and Identification of IoT-Enabled Load-Altering Attacks in Power Grids
边缘计算的进步正在推动物联网（IoT）系统的开发和部署，以提供先进的服务和资源效率。然而，大规模基于物联网的负载改变攻击（LAA）可能会严重影响电网运营，例如破坏电网控制回路的稳定。及时检测和识别任何受损节点对于最大限度地减少这些攻击对电网运营的不利影响至关重要。在这项工作中，提出了两个数据驱动的算法来检测和识别受损的节点和攻击参数的LAA。第一种方法，基于稀疏识别非线性动力学（SINDy）的方法，采用稀疏回归框架，以确定攻击参数，最好地描述所观察到的动态。第二种方法，基于物理信息神经网络（PINN），采用神经网络从测量中推断攻击参数。这两种算法都利用边缘计算在分散式架构上进行部署。对IEEE 6节点、14节点和39节点系统进行了大量仿真，验证了所提方法的有效性。数值实验结果表明，该算法优于基于无迹卡尔曼滤波器、支持向量机（SVM）和神经网络（NN）的算法，能够及时有效地检测和识别攻击位置。
2022-03-22 cs.CR cs.IT cs.SY
Collaborative Zone-Adaptive Zero-Day Intrusion Detection for IoBT
School of Computing and Information Systems, The University of Melbourne（墨尔本大学计算与信息系统学院）；School of Systems & Computing, University of New South Wales（新南威尔士大学系统与计算学院）
本文提出ZAID框架，通过区域自适应和联邦学习提升IoBT中对未知攻击的检测性能，实现83.16%的准确率。
2026-02-18 cs.CR cs.LG
Experience Report on the Challenges and Opportunities in Securing Smartphones Against Zero-Click Attacks
零点击攻击不需要用户交互，并且通常利用零日（即，即时聊天应用程序（如WhatsApp和iMessage）中的漏洞，以获得对受害者智能手机的root访问权限并泄露敏感数据。在本文中，我们报告我们的经验，试图保护智能手机免受零点击攻击。我们首先列举了几个我们认为防止针对智能手机的零点击攻击所必需的属性来解决这个问题。然后，我们创建了一个满足所有已识别属性的安全设计，并尝试使用现成的组件构建它。我们的主要想法是将攻击面从用户的智能手机转移到沙箱虚拟智能手机生态系统，其中每个聊天应用程序都是独立运行的。我们对所构建系统的性能和可用性评估突出了几个缺点，以及保护现代智能手机免受零点击攻击的根本挑战。在这份经验报告中，我们讨论了我们学到的经验教训，并分享了对现代移动设备实现万无一失的安全性所需的缺失组件的见解。
2022-11-06 cs.CR
A Non-Intrusive Machine Learning Solution for Malware Detection and Data Theft Classification in Smartphones
Solarillion Foundation（索拉里永基金会）；SSN College of Engineering（SSN工程学院）
智能手机包含的信息比电脑和笔记本电脑上的信息更敏感、更私人。随着智能手机功能的多功能性的增加，更多的数据变得脆弱并暴露给攻击者。成功的移动恶意软件攻击可能会窃取用户的位置、照片甚至银行信息。由于缺乏攻击后策略，公司也有可能因数据被盗而倒闭。因此，除了检测智能手机中的恶意软件入侵之外，还需要识别已被盗的数据以进行评估，帮助恢复并防止未来的攻击。在本文中，我们提出了一种可访问的非侵入式机器学习解决方案，不仅可以检测恶意软件入侵，还可以识别受监管的任何应用程序的被盗数据类型。我们通过使用公开的数据汇集框架- SherLock获取Android使用数据。我们使用相同的框架收集的真实世界的数据上的多个用户测试我们的架构的性能。我们的架构在检测恶意软件方面的不准确率低于9%，并且可以以83%的确定性对被盗数据类型进行分类。
2021-02-12 cs.CR cs.LG
Taming the Ransomware Threats: Leveraging Prospect Theory for Rational Payment Decisions
针对勒索软件攻击频发下组织易做出非理性赎金决策的问题，本文基于前景理论提出RADS算法，结合攻击恢复计划、应用关键程度与概率权重调整，助力组织做出最优应对决策。
2024-09-15 cs.CR
CloudShield: Real-time Anomaly Detection in the Cloud
Princeton University（普林斯顿大学）
在云计算中，如果可以通过自动异常检测系统来检测可疑活动，则是期望的。尽管异常检测在过去已经被研究过，但是在云计算中它仍然是未解决的。挑战是：描述云服务器的正常行为，区分良性和恶意异常（攻击），并防止由于错误警报而导致的警报疲劳。我们提出了CloudShield，一个实用的和通用的实时的【形】异常和攻击检测系统的云计算。Cloudshield使用具有不同云工作负载的通用预训练深度学习模型来预测正常行为，并通过检查模型重建误差分布来提供实时的【形】连续检测。一旦检测到异常，为了减少警报疲劳，CloudShield会通过检查预测误差分布来自动区分良性程序、已知攻击和零日攻击。我们在代表性的云基准上评估了建议的CloudShield。我们的评估表明，使用模型预训练的CloudShield可以适用于广泛的云工作负载。特别是，我们观察到CloudShield可以检测最近提出的投机执行攻击，例如，幽灵和熔毁攻击，以毫秒计。此外，我们还表明，CloudShield可以准确地区分已知攻击和潜在的零日攻击与良性程序并确定其优先级。因此，它可以显著减少高达99.0%的误报。
2021-08-25 cs.CR cs.LG
MANTIS: Detection of Zero-Day Malicious Domains Leveraging Low Reputed Hosting Infrastructure
针对现有机制难以及时检测利用规避技术的短期恶意域名的问题，本研究构建MANTIS系统，基于托管基础设施设计网络图，以内容无关方法早期检测恶意域名，实现高精度低误报，检测效率超VirusTotal 5倍且可提前预测。
2025-02-13 cs.CR
Evaluation of Machine Learning Algorithms in Network-Based Intrusion Detection System
网络安全已成为企业关注的焦点之一。随着互联网使用的持续增长，网络攻击的数量不断增加。入侵检测系统（IDS）是一种帮助检测网络攻击的警报系统。随着新型网络攻击的不断出现，研究人员专注于开发基于机器学习（ML）的IDS来检测零日攻击。研究人员在评估IDS检测零日攻击的性能时，通常从训练数据集中删除部分或全部攻击样本，只将它们包含在测试数据集中。虽然这种方法可以显示IDS检测未知攻击的能力;但是，它不能反映IDS的长期性能，因为它只显示攻击类型的变化。在本文中，我们专注于评估基于ML的IDS的长期性能。为了实现这一目标，我们建议评估ML为基础的IDS使用的数据集，创建晚于训练数据集。该方法可以更好地评估基于ML的IDS的长期性能，因为测试数据集反映了攻击类型的变化和网络基础设施随时间的变化。我们已经实现了六种用于IDS的最流行的ML模型，包括决策树（DT），随机森林（RF），支持向量机（SVM），朴素贝叶斯（NB），人工神经网络（ANN）和深度神经网络（DNN）。我们使用CIC-IDS 2017和CSE-CIC-IDS 2018数据集进行的实验表明，SVM和ANN最能抵抗过拟合。此外，我们的实验结果还表明，DT和RF受到过拟合的影响最大，尽管它们在训练数据集上表现良好。另一方面，我们使用LUFlow数据集的实验表明，当训练数据集和测试数据集之间的差异很小时，所有模型都可以表现良好。
2022-03-10 cs.CR
OSTINATO: Cross-host Attack Correlation Through Attack Activity Similarity Detection
针对企业网络中跨多主机攻击难关联的问题，提出基于攻击战术技术相似性的跨主机关联方法Ostinato，无需横向移动检测，可检出更多失陷主机并大幅减少告警。
2023-12-14 cs.CR
Day-to-Day Traffic Network Modeling under Route-Guidance Misinformation: Endogenous Trust and Resilience in CAV Environments
Lyles School of Civil and Construction Engineering, Purdue University（普渡大学刘易斯土木与建筑工程学院）
本文提出一个耦合的日复一日交通分配与信任演化框架，研究路线引导信息失真对交通网络的影响，揭示内生信任对韧性的作用，通过数值实验展示信任阈值机制及自动驾驶汽车渗透率对韧性的影响。
2026-05-13 cs.CR cs.SY eess.SY
Zero Day Threat Detection Using Graph and Flow Based Security Telemetry
Deloitte（德勤）
零日威胁（ZDT）是恶意行为者用来攻击和利用信息技术（IT）网络或基础设施的新方法。在过去的几年中，这些威胁的数量一直在以惊人的速度增长，并已花费组织数百万美元来修复。网络攻击面的不断扩大以及这些网络上资产数量的指数级增长，需要一个强大的基于AI的零日威胁检测模型，该模型可以快速分析PB级数据，以发现潜在的恶意和新活动。在本文中，作者介绍了一种基于深度学习的零日威胁检测方法，该方法可以近似实时地概括、扩展和有效识别威胁。该方法利用网络流遥测增强资产级图的功能，这是通过一个双自动编码器结构的异常和新奇的检测分别。这些模型已经在四个代表真实世界组织网络的大规模数据集上进行了训练和测试，它们产生了具有高精度和召回值的强大结果。这些模型提供了一种新的方法来检测具有低误报率的复杂威胁，使安全操作员能够避免警报疲劳，同时通过近实时检测大大减少其平均响应时间。此外，作者还提供了一种新的、标记的、从对抗活动中生成的网络攻击数据集，可用于验证或训练其他模型。通过这篇论文，作者的首要目标是为网络异常检测器提供一种新的架构和训练方法，该方法可以推广到多个IT网络，同时保持强大的性能。
2022-05-04 cs.AI cs.CR
Attack Tactic Identification by Transfer Learning of Language Model
随着安全攻击和数据泄露的迅速增加，网络安全已成为全球关注的主要问题。人工智能有望帮助人类分析和识别攻击。然而，为监督学习标记数百万个数据包从来都不容易。本研究旨在利用迁移学习技术，存储从定义明确的攻击生命周期文档中获得的知识，并将其应用于数十万个未标记的攻击（数据包），以识别其攻击策略。我们预期攻击的知识在文档中得到很好的描述，并且基于转换器的语言模型可以将知识嵌入到高维潜在空间中。然后，重用来自语言模型的信息用于学习包中携带的攻击策略，以提高学习效率。我们提出了一个系统，PELAT，微调BERT模型与1,417文章从MITRE ATT&CK生命周期框架，以提高其攻击知识（包括语法使用和语义含义嵌入）。然后PELAT转移其知识，对未标记的数据包进行半监督学习，以生成其策略标签。此外，当新的攻击数据包到达时，数据包有效载荷将由PELAT语言模型与下游分类器一起处理以预测其策略。通过这种方式，我们可以有效地减少手动标记大数据集的负担。在一个为期一周的蜜罐攻击数据集（每天22.7万个数据包）上，PELAT在测试数据集上的准确率、召回率和F1都达到了99%。PELAT可以在另外两个测试数据集上推断出超过99%的战术（同时识别出近90%的战术）。
2022-09-01 cs.CR
Model Agnostic Defence against Backdoor Attacks in Machine Learning
Singapore University of Technology and Design（新加坡科技设计大学）
机器学习（ML）已经自动化了我们的许多日常决策领域，如教育，就业和驾驶自动化。ML的持续成功在很大程度上取决于我们信任所使用模型的能力。最近，开发了一种称为后门攻击的新型攻击。这些攻击破坏了用户对ML模型的信任。在这项工作中，我们提出了NEO，一个模型不可知的框架，以检测和减轻这种后门攻击的图像分类ML模型。对于一个给定的图像分类模型，我们的方法分析它收到的输入，并确定该模型是否是后门。除了这个功能，我们还通过确定中毒图像的正确预测来减轻这些攻击。NEO的一个吸引人的特点是，它可以首次隔离和重建后门触发器。近地天体也是第一种防御方法，据我们所知，这完全是黑箱。我们已经实现了NEO，并根据三种最先进的中毒模型对其进行了评估。这些模型包括高度关键的应用，如交通标志检测（USTS）和面部检测。在我们的评估中，我们表明，NEO可以检测$\approx$ 88%的中毒输入，它是一样快，为4.4毫秒每输入图像。我们还重建中毒的输入，为用户有效地测试他们的系统。
2022-03-31 cs.CR cs.LG
Acceleration of Statistical Detection of Zero-day Malware in the Memory Dump Using CUDA-enabled GPU Hardware
本文重点研究了隐身软件检测方法的预期增强。网络安全检测工具不够强大，无法揭示使用恶意软件的最新网络攻击。在本文中，我们将首先介绍最高隐身恶意软件的概念，因为这是最复杂的检测场景，因为它结合了现有的反取证技术及其潜在的改进。其次，我们提出了新的检测方法，这是弹性的隐藏的原型。为了帮助解决这一检测挑战，我们使用香农熵计算的新方法分析了Windows内存内容;数字摄影测量方法; Zipf Mandelbrot定律，以及通过分解内存内容和分析输出。最后，我们提出了一个想法和架构的软件工具，它使用CUDA使GPU硬件，以加快内存取证。所有这三个想法目前都在进行中。
2016-06-15 cs.CR
A Survey of Black-Box Adversarial Attacks on Computer Vision Models
Delhi Technological University（德里理工大学）；Indraprastha Institute of Information Technology（英迪拉普拉萨信息技术学院）
机器学习在过去几年中取得了巨大的进步，这导致深度学习模型被部署在日常生活的各种应用中。使用扰动对这些模型进行攻击，特别是在现实生活中，对其适用性提出了严峻的挑战，将研究推向旨在增强这些模型鲁棒性的方向。在Szegedy等人[1]引入这些扰动之后，大量的研究集中在这些模型的可靠性上，主要是在两个方面-白盒，其中对手可以访问目标模型和相关参数;以及黑盒，这类似于现实生活中的场景，对手几乎不知道要攻击的模型。为了提供全面的安全保护，必须识别、研究和构建针对此类攻击的防御。因此，在本文中，我们提出了一个全面的比较研究各种黑盒对抗攻击和防御技术。
2020-02-07 cs.CR cs.CV cs.LG
PRISM: A Hierarchical Intrusion Detection Architecture for Large-Scale Cyber Networks
网络规模的增加和网络攻击的复杂性的提高给入侵检测带来了一些挑战。主要的挑战是需要通过处理当今网络产生的大量流量来实时检测复杂的多阶段攻击。在本文中，我们提出了PRISM，层次化的入侵检测体系结构，使用一种新的攻击者行为模型为基础的采样技术，以尽量减少实时流量处理开销。PRISM具有独特的多层体系结构，可分布式监控网络流量，以提供处理效率和设计模块化。PRISM采用基于隐马尔可夫模型的预测机制来识别多阶段攻击，并确定攻击进展以进行主动响应。此外，PRISM引入了一个流管理程序，纠正了从分布式警报报告系统收集时的警报重新排序问题。为了评估PRISM的性能，已经提出了多个度量，并在多阶段攻击数据集上进行了各种实验。结果显示，与标准的集中式IDS相比，处理开销提高了7.5倍，而没有损失预测准确性，同时证明了快速预测不同攻击阶段的能力。
2022-11-20 cs.CR
