OpenSSF Scorecard: On the Path Toward Ecosystem-wide Automated Security Metrics
本研究针对开源软件安全监控需求，评估OpenSSF Scorecard自动化工具的适用性，对比npm与PyPI两大生态的安全实践与差距，推动生态级自动化安全指标建设。
2023-06-15 cs.CR
Effective Measurement Requirements for Network Security Management
技术安全度量提供了确保用于保护信息系统的技术安全控制或技术设备/对象的有效性的度量。然而，缺乏理解和方法来开发技术安全度量可能会导致无法实现的安全控制目标和实施的不称职。本文提出了一种技术安全度量模型来衡量网络安全管理的有效性。衡量标准是基于（1）防火墙、入侵检测防御系统（IDPS）、交换机、无线接入点、无线控制器和网络架构等网络安全控制;以及（2）安全超文本传输协议（HTTPS）和虚拟专用网络（VPN）等网络服务的安全性能的有效性。我们使用Goal-Question-Metric（GQM）范式[1]，它将度量目标与度量问题联系起来，并生成可以根据需求轻松解释的度量。这种研究方法的结果是引入网络安全管理度量作为技术安全度量（TSM）模型的属性。显然，建议的TSM模型可以为组织提供指导，以遵守ISO/IEC 27001信息安全管理体系（ISMS）标准的有效测量要求。建议的模型将提供全面的测量和指导，以支持ISO/IEC 27004 ISMS测量模板的使用。
2014-05-21 cs.CR
Developing Security Reputation Metrics for Hosting Providers
对网上犯罪的研究往往指出，滥用集中在某些托管服务提供商。这意味着这些提供商在安全性方面更差;有些被认为是“差”的，甚至是“防弹”的。系统地比较供应商的安全性能的工作非常少。现有的指标通常计算滥用的实例，有时通过考虑提供商的广告地址空间来规范这些计数。这些尝试都没有解决困扰度量设计的严重方法学挑战。在本文中，我们提出了一个系统的方法来度量发展，并确定了主要的挑战：（一）确定供应商，（二）滥用数据的覆盖面和质量，（三）规范化，（四）聚合和（五）度量解释。我们描述了一个务实的方法来应对这些挑战。在这一过程中，我们回答了荷兰警方向我们提出的一个紧迫问题：`在我们的管辖范围内，哪些是最差的供应商？'.尽管有其局限性，但在打击网络犯罪的斗争中，托管服务提供商显然需要安全指标。
2016-12-12 cs.CR
A Compact 16-bit S-box over Tower Field $\F_{(((2^2)^2)^2)^2}$ with High Security
本文提出一种基于塔域 $\F_{(((2^2)^2)^2)^2}$ 的紧凑型16位S盒，通过子域分解和优化域求逆降低硬件开销，在保持高安全性的同时实现更低资源消耗和更短关键路径延迟。
2025-07-02 cs.CR
A Composite-Metric Based Path Selection Technique for the Tor Anonymity Network
Tor匿名网络在互联网上的普通用户中非常受欢迎。在Tor网络中，通过选择三个中继来创建匿名路径，通过这些中继重定向连接。然而，随着近年来Tor用户数量的大幅增加，选择中继的算法会影响Tor网络提供的性能。更重要的是，随着性能的下降，用户将离开网络，导致匿名设置降低，从而降低Tor网络提供的安全性。本文提出了一种改进Tor网络性能和安全性的算法，在源节点和目的节点之间的路径选择过程中采用不同度量的组合。这些度量是作为节点条件的中继器的带宽和带宽，以及作为路径条件的中继器之间的延迟。通过大量的实验，我们表明，我们可以通过最终用户观察到的性能时，使用所提出的技术，而不是目前的Tor路径选择算法。更重要的是，所提出的技术只需要在客户端进行软件升级，其他Tor节点不需要修改。
2017-07-09 cs.CR
A Suite of Metrics for Calculating the Most Significant Security Relevant Software Flaw Types
常见弱点枚举（CWE）是软件弱点类型的突出列表。漏洞数据库使用此列表来描述所分析漏洞中的潜在安全缺陷。这种联系使人们有可能利用对软件漏洞的分析来确定造成这些漏洞的最重要的弱点。我们通过创建mashup视图来实现这一点，该视图将CWE弱点分类与漏洞分析数据相结合。生成的图将CWE作为节点，从多个CWE分类中导出的边，以及用漏洞分析信息装饰的节点（从子节点传播到父节点）。使用这些图表，我们开发了一套指标来识别最重要的弱点类型（使用频率，影响，可利用性和整体严重性的角度）。
2020-06-15 cs.CR
Approaching Shannon's One-Time Pad: Metrics, Architectures, and Enabling Technologies
以量子计算为代表的先进计算技术的快速发展对基于密码学的无线安全机制提出了新的挑战。为了应对各种攻击并实现持久安全，我们迫切需要颠覆性的安全解决方案。在这篇文章中，新的安全传输范式提出了接近香农的一次一密完美保密。首先，两个度量，称为度的接近（DoA）和度的同步接近（DoSA），被开发来表征所实现的安全强度和完美的保密性之间的接近程度。这两个度量也可以作为安全传输协议设计的指导原则。在此之后，我们提出了两条通往香农一次性垫的路径，即，基于显式加密的方法和基于隐式加密的方法。对于这两种方案，我们讨论了体系结构设计、实现技术以及初步的性能评估结果。本文提出的技术为未来的无线网络提供了有前途的安全增强解决方案。
2023-03-11 cs.CR
Measurements of the Most Significant Software Security Weaknesses
在这项工作中，我们提供了一个指标来计算最重要的软件安全漏洞，这些漏洞由相关漏洞的频率，可利用性和影响的聚合指标定义。常见弱点枚举（CWE）是一个众所周知的软件安全弱点列表。CWE社区发布了这样一个汇总指标来计算“最危险的软件错误”。然而，我们发现，公布的公式高度偏见的频率，几乎忽略了利用和影响，在产生不同规模的顶级名单。这是由于分量度量值的分布的差异。为了减轻这种情况，我们使用双对数函数线性化频率分布。然后，我们提出了各种其他改进措施，提供了2019年最重要的CWE列表，对已识别的软件安全漏洞进行了分析，并将其与之前发布的列表进行了比较。
2021-04-12 cs.CR
Is Less Really More? Why Reducing Code Reuse Gadget Counts via Software Debloating Doesn't Necessarily Indicate Improved Security
几乎所有的现代软件都存在膨胀问题，这对其性能和安全性产生了负面影响。为了解决这个问题，已经提出了几种自动化技术来解浮动软件。在许多这些工作中，用来证明改进的安全性的一个关键指标是代码重用小工具计数减少。此度量的使用基于流行的想法，即减少软件包中可用的小工具的数量会减少其攻击面，并使攻击者更难以安装基于小工具的代码重用漏洞，例如面向返回的编程（ROP）。在本文中，我们挑战这一想法，并通过各种现实的debloating方案显示固有的小工具计数减少指标的缺陷。具体来说，我们证明了软件debloating可以实现高的小工具计数减少率，但未能限制攻击者的能力，构建一个漏洞。更糟糕的是，在某些情况下，高的小工具数量减少率掩盖了软件去浮动通过引入新的有用小工具而使安全性更差的情况。为了解决这些问题，我们提出了一套四个新的度量标准，通过软件debloating是面向质量的，而不是面向数量的安全改进实现。我们表明，这些指标可以识别时debloating负面影响的安全性，并有效地计算使用我们的静态二进制分析工具，小工具集分析器。最后，我们证明了这些指标的实用性在两个现实的案例研究：迭代debloating和debloater评估。
2020-01-16 cs.CR
Information Flow Coverage Metrics for Hardware Security Verification
本文提出超流图这一RTL硬件安全图模型，通过标注属性度量信息流的路径、条件与速率，并在OpenTitan信任根上验证其对机密性、完整性和可用性漏洞的分析能力。
2023-04-12 cs.AR cs.CR
A Goal Question Metric Approach for Evaluating Security in a Service Oriented Architecture Context
为了在面向服务的体系结构（SOA）生态系统中实现交互，每个参与者必须对其他参与者有足够的信心，才能安全地参与交互。因此，建立适合SOA环境的客观度量标准来显示系统的安全性并导致增强是非常有吸引力的。本文的目的是提出一种基于标准安全度量和SOA成熟度的GQM（Goal Question Metric）方法，该方法可以支持组织评估SOA安全性并确保其基于SOA的协作的安全性
2013-04-02 cs.CR cs.SE
Automatic Association of Cloud Security Controls and Quantifiable Metrics for Certification
IMT School for Advanced Studies Lucca（卢卡高等研究院）；Institute for Informatics and Telematics (IIT-CNR)（信息与电信研究所）
针对欧洲云服务网络安全认证计划中安全控制与可量化指标关联靠手动、耗时且易出错的问题，提出基于句子变换器的自动化方法，经实验其性能优于基线，凸显了基于变压器方法在云安全认证合规流程中的潜力。
2026-07-08 cs.CR
On the security of a Loidreau's rank metric code based encryption scheme
针对Loidreau提出的基于秩度量码的加密方案，提出了一种多项式时间攻击。
2020-07-09 cs.CR cs.IT math.IT
Security Rating Metrics for Distributed Wireless Systems
本文探讨了无线配电系统安全的定量评估，以及攻击和安全违规行为的风险评估。描述了典型的安全漏洞和形式化攻击模型，以及五种安全评估方法。所提出的规范化的安全保证程度评估方法至少有三个特点，它允许比较分析异构信息系统。提出了两种安全评估方法的改进计算公式，并将功能成本分析的要素应用于安全度的计算。为了检查分析结果，计算了一致性系数，这为确定专家评估的质量提供了机会。同时使用几种模型来描述攻击和对抗攻击的有效性，使我们能够创建一种全面的方法来应对商业企业和关键基础设施信息网络的现代安全威胁。
2019-06-26 cs.CR cs.PF
A Survey on Modality Characteristics, Performance Evaluation Metrics, and Security for Traditional and Wearable Biometric Systems
生物识别研究越来越多地指向用于用户认证和识别的可穿戴生物识别系统（WBS）。然而，在从事WBS研究之前，必须了解其操作动态和设计考虑因素与传统生物识别系统（TBS）的操作动态和设计考虑因素有何不同。虽然目前的文献是认识到这些差异，有没有有效的工作，总结TBS和WBS不同的因素，即，他们的模态特征，性能，安全性和隐私。为了弥补这一差距，本文相应地回顾和比较了模态的关键特征，对比了用于评估系统性能的指标，并强调了TBS和WBS在关键漏洞、攻击和防御方面的差异。它进一步讨论了这些因素如何影响工作分解结构的设计考虑，在这些领域的开放性挑战和未来的研究方向。在这样做的过程中，本文提供了一个大局概述的挑战和潜在的解决方案，研究人员进入该领域应该知道的重要途径。因此，本调查旨在为研究人员提供一个起点，以便在理解与WBS及其设计相关的核心挑战之前，了解TBS和WBS之间的根本差异。
2019-03-06 cs.CR
Predictive Cyber-security Analytics Framework: A non-homogenous Markov model for Security Quantification
过去已经提出了许多用于保护计算机网络的安全度量。然而，我们仍然缺乏有效的技术来准确地衡量企业的预测性安全风险，同时考虑到与可能随时间变化的漏洞相关的动态属性。在本文中，我们提出了一个随机的安全框架，获得定量的安全措施，使用攻击图。我们的模型是新颖的，因为现有的攻击图分析研究没有考虑与漏洞相关的时间方面，例如漏洞和补丁的可用性，这些漏洞和补丁可以根据漏洞如何互连和利用来危害系统来影响整体网络安全。更好地理解漏洞与其生命周期事件之间的关系可以让安全从业人员更好地了解其安全状态。为了有一个更现实的表示网络的安全状态将如何随着时间的推移而变化，开发了一个非齐次模型，其中包括一个依赖于时间的协变量，即脆弱性年龄。每日转移概率矩阵估计使用弗雷的脆弱性模型。我们还利用可信的CVSS度量域来分析给定网络的总可利用性和影响度量在一段时间内如何演变。
2015-01-08 cs.CR
RAMESSES, a Rank Metric Encryption Scheme with Short Keys
我们提出了一种基于秩度量码的加密方案，其密钥和密文的大小与基于同源性的加密方案相当，具有相同的安全级别。该系统还受益于高效的加密和解密算法，这些算法依赖于中等大小的有限域上的线性代数运算。该安全性仅依赖于秩度量译码问题，不需要隐藏码的结构。根据目前的知识，量子计算机无法有效地解决这些问题。最后，所提出的计划承认，可以精确控制，并尽可能低的故障概率。
2019-11-29 cs.CR
Assessing Vulnerability in Smart Contracts: The Role of Code Complexity Metrics in Security Analysis
Università della Svizzera italiana（瑞士意大利语大学）
本研究探讨了代码复杂度度量在识别智能合约安全漏洞中的作用，发现复杂度度量能有效区分安全与脆弱代码，但单一指标不足以直接导致漏洞。
2026-01-23 cs.CR cs.SE
Quantifiable & Comparable Evaluations of Cyber Defensive Capabilities: A Survey & Novel, Unified Approach
量化评估安全措施的方法和框架源于三个不同研究团体的需求-来自入侵检测和预防文献的统计措施，网络演习的评估，例如，红队和夺旗比赛，以及解决成本与安全权衡的经济分析。在本文中，我们提供了两个主要贡献的安全评估文献-一个代表性的调查，和一个新的框架，用于评估安全性，是灵活的，适用于所有三个用例，并易于解释。在我们的文献调查中，我们从每个社区的评估程序中并排确定了不同的主题，并充实了每个社区的缺点和优点。我们提出的评估框架包括全面建模的资源，劳动力，并根据预期的资源使用，准确性指标和时间的基础上产生的美元攻击成本。该框架提供了一种统一的方法，因为它结合了准确性和性能指标，这主导了入侵检测评估，检测时间和攻击对数据和资源的影响，受到教育竞赛指标的青睐，以及金融分析中使用的许多重要安全组件的货币成本。此外，它是足够灵活，以适应每个用例，易于解释和比较，并在考虑成本方面的综合性。最后，我们提供了两个应用于现实世界的用例的框架的例子。总的来说，我们提供了一个调查和一个接地，灵活的框架与多个具体的例子来评估安全，可以解决目前三个不同的社区的需求。
2019-10-24 cs.CR
VIVID: A Novel Approach to Remediation Prioritization in Static Application Security Testing (SAST)
VIVID通过将SAST漏洞数据流构建为有向图并应用图论指标分析，自动识别高漏洞流量文件，为开发团队提供基于证据的修复优先级列表。
2025-05-22 cs.CR
Neural Cryptanalysis: Metrics, Methodology, and Applications in CPS Ciphers
许多现实世界的网络物理系统（CPS）使用专有密码算法。在这项工作中，我们描述了一个易于使用的黑盒安全评估方法来衡量专有密码的强度，而不必知道的算法。我们通过测量神经网络模仿密码算法的难度来量化密码的强度。我们定义新的指标（例如，密码匹配率、训练数据复杂度和训练时间复杂度），其从神经网络计算以定量地表示密码强度。这种测量方法允许我们直接比较密码的安全性。我们的实验演示利用完全连接的神经网络与多个并行的二进制分类器在输出层。结果表明，当与轮减少DES相比，Hitag2（一种流行的流密码，用于无钥进入的现代汽车）的安全强度弱于3轮DES。
2019-11-26 cs.CR
Security Analytics of Network Flow Data of IoT and Mobile Devices (Work-in-progress)
考虑到安全威胁和隐私泄露在今天是常见的，对于人们来说，知道他们的设备是否处于“良好的安全状态”或者是否存在需要解决的一组高风险漏洞是一个重要的问题。在本文中，我们解决了这个简单但具有挑战性的问题。我们依靠离线和实时收集的网络日志和事件，而不是获得对设备的白盒访问，这会带来隐私和其他系统问题。我们的方法是将分析和机器学习应用于网络安全分析，以及对整个设备（应用程序、操作系统和设备上的数据）安全性的分析。我们提出了基于分析的技术，以确定设备的敏感性，应用程序和设备的漏洞等级，应用程序和设备的危害程度，以及如何根据这些指标定义设备的安全状态。这样的度量可以进一步用于机器学习模型中，以便预测高风险状态的设备的用户以及如何避免这样的风险。
2017-04-10 cs.CR
Memory-only selection of dictionary PINs
我们估计的安全性基于字典的PIN（个人识别号码），用户选择从他/她的记忆，没有任何额外的援助。估计数考虑到了源语言中单词的分布情况。我们使用已建立的安全指标，如熵，猜测，边际猜测和边际成功率。这些指标针对各种场景进行评估-旨在提高所生成PIN的安全性。一般来说，简单和直接的构造仅存储器的字典PIN产生不令人满意的结果，并且必须使用更多涉及的方法来产生安全的PIN。
2014-04-07 cs.CR
Security Metrics in Industrial Control Systems
风险是网络安全指标中最著名的，也可能是研究得最好的例子。然而，风险并不是唯一可能的网络安全指标。其他指标，如弹性可以存在，可能是非常宝贵的ICS系统的捍卫者。通常，度量被定义为系统的可测量属性，其量化系统目标实现的程度。IDC可以为ICS的网络防御者提供有关系统的关键见解。通常通过分析该系统的相关属性来获取这些属性。在网络安全指标方面，ICS往往具有独特的功能：在许多情况下，这些系统是为功能而不是安全而设计的旧技术。它们也是极其多样化的系统，具有不同的要求和目标。因此，ICS的指标必须针对具有许多功能并执行许多不同功能的不同系统组进行定制。在本章中，我们首先概述了性能指标的一般理论，并特别强调了网络安全领域和ICS的示例。然后，我们重点讨论一类指标的特定示例，该示例与我们在前几章中考虑的不同。在这里，我们考虑的不是风险，而是弹性指标。美国国家科学院（2012）将复原力定义为准备和计划、吸收、恢复或更成功地适应实际或潜在不良事件的能力。本章介绍了两种方法的基础上产生的弹性的概念，使用矩阵为基础的方法和网络为基础的方法的度量。最后，讨论了不同方法的优点和缺点，以及旨在帮助设计有效指标的过程和提示。
2015-12-26 cs.CR cs.CY cs.SE
Quantifying Security Vulnerabilities: A Metric-Driven Security Analysis of Gaps in Current AI Standards
University of Guelph（圭尔夫大学）
本文审计 NIST AI RMF、英国 ICO Toolkit 与欧盟 ALTAI，提出 RSI、AVPI、CSGP、RCVS 四项指标量化其安全差距，并给出改进建议。
2025-07-26 cs.AI cs.CR
Benchmarking Practices in LLM-driven Offensive Security: Testbeds, Metrics, and Experiment Design
TU Wien（维也纳技术大学）
本文分析了大语言模型驱动的攻击的攻击安全领域的基准测试实践，综述19篇论文的18个原型及测试平台，提出扩展测试平台、建立基线等建议，指出CTF挑战难代表真实渗透场景。
2025-06-16 cs.AI cs.CR
A Predictive Framework for Cyber Security Analytics using Attack Graphs
安全度量是组织了解保护计算机网络的有效性的有力工具。然而，大多数这些测量技术不足以帮助企业做出明智的风险管理决策。在本文中，我们提出了一个随机的安全框架，通过考虑到动态属性与漏洞，可以随着时间的推移而变化，以获得定量的安全措施。我们的模型是新颖的，因为现有的攻击图分析研究没有考虑与漏洞相关的时间方面，例如漏洞和补丁的可用性，这些漏洞和补丁可以根据漏洞如何互连和利用来危害系统来影响整体网络安全。为了有一个更现实的表示网络的安全状态将如何随着时间的推移而变化，开发了一个非齐次模型，其中包括一个依赖于时间的协变量，即脆弱性年龄。每日转移概率矩阵估计使用弗雷的脆弱性模型。我们还利用可信的CVSS度量域来分析给定网络的总可利用性和影响度量在一段时间内如何演变。
2015-02-04 cs.CR
Security evaluation of cyber networks under advanced persistent threats
本文致力于衡量网络在高级持续性威胁（APT）下的安全性。首先，基于APT的网络攻防过程被建模为一个个体级的动力系统。其次，动态模型显示出的全局稳定性。在此基础上，定义了一种新的网络安全度量--极限安全度，即网络中受损节点的极限期望分数。其次，通过理论分析和计算机模拟说明了不同因素对极限安全性的影响。这项工作有助于了解APT下的网络安全。
2017-07-12 cs.CR
Security-Performance Tradeoffs of Inheritance based Key Predistribution for Wireless Sensor Networks
密钥预分配是用于经由加密来确保以自组织方式部署以形成传感器网络的传感器之间的安全通信的公知技术。在本文中，我们提出了一种新的2阶段技术的基础上继承和随机密钥分配从给定的密钥池到单个传感器节点的组合密钥预分配。我们还开发了一个分析框架，用于测量不同的密钥分发方案的安全性能权衡，提供测量传感器网络的连接和弹性的指标，以敌人的攻击。特别是，我们分析表明，2-阶段计划提供了更好的平均连接和优越的$q$复合连接比随机计划。然后，我们证明了一个通信链路的抗毁性下任意数量的节点捕获的对手是2阶段计划下的更高。具有独占密钥的通信节点对的概率在2阶段方案下也随着网络大小更好地缩放。我们还分析表明，在传感器网络中的任意通信链路的脆弱性，以单节点捕获是较低的2阶段假设网络范围内以及本地化的捕获。仿真结果还表明，任何两个节点之间共享的排他密钥的数量是较高的，而$q$复合链路的数量被破坏时，一定数量的节点被捕获的敌人下的2-阶段计划相比，随机的。
2004-06-21 cs.CR cs.NI
Attack tree metrics are operad algebras
本文利用范畴论中的operad代数重新定义攻击树度量，统一并推广了现有度量定义，并证明了在operad理论条件下可广泛扩展度量计算算法。
2024-01-18 cs.CR math.CT
From Detection to Prevention: Explaining Security-Critical Code to Avoid Vulnerabilities
Paderborn University \& Fraunhofer IEM Paderborn Germany；Amazon Web Services Berlin Germany；Paderborn University \& Fraunhofer IEM；Amazon Web Services
本文提出通过代码级别度量指标和LLM生成预防性解释，以主动预防安全漏洞。
2026-01-31 cs.AI cs.CR cs.SE
A New Approach to Modeling and Analyzing Security of Networked Systems
对网络系统的安全性进行建模和分析是新兴安全科学中的一个重要问题，并得到了积极的研究。在本文中，我们提出了一种新的方法来解决这个问题。我们的方法的灵感来自{ \em冲击模型}和{ \em随机环境}技术的可靠性理论，同时容纳安全成分。据我们所知，我们的模型是第一个可以容纳一定程度的{ \em自适应攻击}，这大大削弱了经常提出的独立性和指数攻击到达时间间隔的假设。该方法导致一个随机过程模型的两个安全度量，我们得到了一些分析结果的安全度量。
2016-03-28 cs.CR cs.SI
Metric-Aware Secure Service Orchestration
安全编排是服务互联网中的一个重要问题。除了提供所需的功能外，组合服务还必须提供合理的安全级别，以保护敏感数据。因此，协调器需要检查复杂服务是否能够满足某些属性。一些属性用度量来表示，以便精确定义需求。因此，问题是分析复杂业务流程的度量值。在本文中，我们扩展了我们以前的工作与可量化的属性安全编排的分析。我们展示了如何定义，验证和执行定量的安全要求，在一个框架与其他安全属性。拟议的办法应有助于选择最合适的服务架构，并保证满足所宣布的安全要求。
2012-12-17 cs.CR cs.DC cs.FL
Large Language Models are Easily Confused: A Quantitative Metric, Security Implications and Typological Analysis
Aalborg University（奥尔堡大学）
本文提出语言混淆熵这一新度量来量化LLMs生成错误语言的现象，并结合语言类型学揭示混淆模式及其在多语言嵌入反转攻击中的安全影响，为LLM对齐与安全提供理论依据。
2025-02-09 cs.AI cs.CL cs.CR
BacAlarm: Mining and Simulating Composite API Traffic to Prevent Broken Access Control Violations
CSIRO Data 61（澳大利亚联邦科学与工业研究组织数据六一分部）
BacAlarm通过生成和利用复合API流量数据，有效检测BAC违规，提升检测性能。
2025-12-23 cs.CR cs.SE
Analysis of Short Blocklength Codes for Secrecy
在本文中，我们提供了适用于物理层编码技术有限块长度高斯和衰落窃听信道模型的保密度量。我们的指标超越了一些已知的实际保密措施，如误码率和安全差距，使较低的概率保证出错率在短块长度之前和之后的保密解码器。我们的技术是特别有用的情况下，应用传统的信息理论的安全措施是不切实际的或根本还没有理解。这些度量可以帮助实际的系统分析和物理层安全代码的实际系统设计。此外，这些新措施填补了物理层安全编码的实际安全措施的当前景观中的空白，并可能有助于在现实世界系统中广泛采用物理层技术来实现安全性。我们还展示了如何提供新的指标技术，减少现实的信道模型，以更简单的离散无记忆窃听信道等价物，现有的保密码设计可以实现信息理论上的安全。
2015-09-23 cs.CR cs.IT math.IT
A Survey on Trust Metrics for Autonomous Robotic Systems
Worcester Polytechnic Institute (WPI)（伍斯特理工学院）
本文综述了自主机器人系统的信任度量研究，提出需将系统、硬件、软件、认知鲁棒性及供应商级指标纳入统一模型，以解决现有研究缺乏整体性和成本考量的问题，为评估复杂系统提供系统级信任度量框架。
2021-06-30 cs.CR cs.RO
User-Generated Free-Form Gestures for Authentication: Security and Memorability
本文研究了用于移动认证的自由形式多点触摸手势的安全性和可记忆性。为此，我们收集了一个数据集与生成-测试-重测范式，参与者（N=63）生成自由形式的手势，重复他们，后来重新测试的记忆。一半的参与者决定生成一个手指手势，另一半生成多个手指手势。虽然最近有基于模板的手势的工作，但还没有指标来分析模板或自由形式手势的安全性。例如，用于基于文本的密码的基于熵的度量不适合捕获自由形式手势的安全性和可记忆性。因此，我们修改了最近提出的度量分析信息容量的连续全身运动为此目的。我们的度量计算估计互信息在重复的手势集。令人惊讶的是，单指手势具有更高的平均互信息。具有许多硬角度和转弯的手势具有最高的互信息。记忆最深刻的手势包括签名和简单的棱角形状。我们还实现了一个多点触摸识别器，以评估自由形式的手势在真实身份验证系统中的实用性，以及它们如何对抗肩部冲浪攻击。我们得出结论的纸张与战略，产生安全和难忘的自由形式的手势，提出了一个强大的移动身份验证方法。
2014-01-02 cs.CR cs.HC
Identifying Security-Critical Cyber-Physical Components in Industrial Control Systems
Imperial College London（帝国理工学院）；University of Cyprus（塞浦路斯大学）
本文提出了一种基于AND/OR图的新型ICS安全度量方法，用于高效识别关键网络组件，以评估系统安全态势。
2019-05-12 cs.CR cs.NI cs.SY
SoK: Security Evaluation of Wi-Fi CSI Biometrics: Attacks, Metrics, and Open Challenges
本文通过系统分析揭示Wi-Fi CSI生物识别在安全性和对抗鲁棒性方面的系统性问题，提出统一评估框架并提出安全评估指标，为未来研究提供指导。
2025-11-21 cs.CR cs.LG cs.NI
Secure Status Updates under Eavesdropping: Age of Information-based Physical Layer Security Metrics
这封信研究的问题，保持信息的新鲜度下被动窃听攻击。经典的三节点窃听信道模型被认为是，其中的源的目的是发送其最新的状态无线到其预期的目的地，同时保护消息被窃听者偷听。考虑到传统的基于信道容量的保密性度量已不足以度量状态更新系统中的信息及时性，本文定义了两种新的基于信息的保密性度量来表征系统的保密性能。我们进一步提出，分析和优化的随机平稳传输策略，在源实现进一步提高保密性能。仿真结果验证了我们的分析和优化。
2020-02-18 cs.CR cs.IT cs.NI
Automated Compliance Mapping in Cloud Security with Domain-Adapted Sentence Transformers
Institute for Informatics and Telematics (IIT-CNR)（信息与电信研究所（意大利国家研究委员会信息与电信研究所））；IMT School for Advanced Studies Lucca（卢卡高等研究院）；Institute for High Performance Computing and Networking (ICAR-CNR)（高性能计算与网络研究所（意大利国家研究委员会高性能计算与网络研究所））
研究云安全控制到技术指标的映射自动化问题，核心方法是对句子变换器模型进行领域适应，构建并扩展训练语料库，微调五种架构，在两个任务上评估性能，主要贡献是模型优于零样本基线，证明领域内训练数据对性能的重要性。
2026-07-08 cs.CL cs.CR
Cyber-Physical Energy Systems Security: Threat Modeling, Risk Assessment, Resources, Metrics, and Case Studies
信息物理系统（CPS）是一种互连的体系结构，它采用模拟、数字和通信资源与物理环境进行交互。CPS是企业、工业和关键基础设施的支柱。因此，它们的极端重要性使其成为恶意攻击的突出目标，目的是破坏其业务。针对网络物理能源系统（CPES）的攻击，鉴于其关键任务的性质，可能会造成灾难性的后果。CPES的安全性可以利用测试平台功能来增强，以复制电力系统操作，发现漏洞，制定安全对策，并在故障引发或恶意构建的情况下评估电网运行。在本文中，我们提供了一个全面的概述CPS的安全格局，重点是CPES。具体来说，我们展示了一种威胁建模方法，以准确地表示CPS元素，它们的相互依赖性，以及可能的攻击入口点和系统漏洞。利用威胁模型的制定，我们提出了一个CPS框架，旨在描绘的硬件，软件和建模所需的资源来模拟CPS和构建高保真模型，可用于评估系统的性能在不利的情况下。系统性能是使用特定于CIO的指标进行评估的，而风险评估则支持系统漏洞优先级排序，将对系统操作的影响考虑在内。总体框架建模，模拟，评估和缓解CPS中的攻击说明使用四个有代表性的攻击场景针对CPES。本文的主要目标是展示一个循序渐进的过程，可用于制定深入的网络安全分析，从而实现更具弹性和安全性的CPS。
2021-02-19 cs.CR cs.SY eess.SY
Toward Efficient Evaluation of Logic Encryption Schemes: Models and Metrics
过去十年对逻辑加密的研究产生了各种技术来防止不同的安全威胁，例如特洛伊木马插入、知识产权泄露和逆向工程。然而，在一组统一的度量和模型上几乎没有达成一致，以有效地评估所达到的安全级别以及安全性和开销之间的权衡。本文解决了上述挑战，依赖于一个通用的逻辑加密模型，可以包括所有现有的技术，和一组统一的指标，可以捕获多个，可能相互冲突的安全问题。我们将我们的建模方法应用于四种最先进的加密技术，表明它可以快速准确地评估设计权衡，平均预测误差至少比以前的方法小2倍，以及复合加密方法的评估。
2020-07-29 cs.CR cs.SY eess.SY
A Cryptographic Treatment of the Wiretap Channel
窃听信道是一种设置，其中一个目的是提供通信数据的信息理论隐私，仅基于从发送者到对手的信道比从发送者到接收者的信道“更嘈杂”的假设。它是信息和编码（I&C）社区数十年工作的主题。本文弥合了这方面的工作和现代密码学之间的差距，沿着两个方面的贡献，即度量（定义）的安全性，和计划。我们解释说，目前使用的度量是薄弱的，不足以保证应用程序的安全性，并提出两个替代品。一种是我们称之为错误安全性的，是I&C风格的基于互信息的度量。另一个是语义安全，它适应了这种设置，在密码学界，这种密码度量已经经过了几十年的评估，并被认可为标准和实现的目标。我们证明了它们是等价的（任何一个方案在另一个方案下都是安全的），从而连接了两种根本不同的定义安全性的方式，并为设计提供了一个强大的，统一的和有根据的目标。继续到方案，来自窃听社区的结果大多是非建设性的，证明了方案的存在，而不一定产生明确的方案，更不用说有效的方案了，而且只满足他们薄弱的安全概念。我们应用基于提取器的加密方法来产生显式的，多项式时间的，甚至实用的加密方案，以满足我们新的和更强的安全目标。
2012-01-23 cs.CR cs.IT math.IT
Automated Security Assessment for the Internet of Things
Deakin University（迪肯大学）；RMIT University（皇家墨尔本理工大学）；The University of Adelaide（阿德莱德大学）；Cyber Security Cooperative Research Centre（网络安全合作研究中心）
基于物联网（IoT）的应用面临着越来越多的潜在安全风险，需要系统地评估和解决。基于专家的物联网安全手动评估是一种主要方法，但通常效率低下。为了解决这个问题，我们提出了一个物联网网络的自动安全评估框架。我们的框架首先利用机器学习和自然语言处理来分析漏洞描述以预测漏洞度量。然后将预测的度量输入到两层图形安全模型中，该模型由上层的攻击图和底层的攻击树组成，上层用于表示网络的连通性，底层用于描述网络中每个节点的漏洞信息。该安全模型通过捕获潜在的攻击路径来自动评估物联网网络的安全性。我们使用一个概念验证的智能建筑系统模型来评估我们方法的可行性，该模型包含各种真实世界的物联网设备和潜在的漏洞。我们对所提出的框架的评估表明，它在自动预测新漏洞的漏洞度量方面具有有效性，平均准确率超过90%，并确定物联网网络中最脆弱的攻击路径。所产生的评估结果可作为网络安全专业人员采取进一步行动和及时降低风险的指南。
2021-09-09 cs.AI cs.CR cs.LG
Evaluating LLM Generated Detection Rules in Cybersecurity
Sublime Security
本文提出开源评估框架与基准指标，以保留集法对比LLM与人工生成的网络安全规则，多维度评估LLM规则生成器有效性，并分析了Sublime Security的自动检测工程师（ADE）能力。
2026-08-13 cs.AI cs.CR
Operationalising Cyber Risk Management Using AI: Connecting Cyber Incidents to MITRE ATT&CK Techniques, Security Controls, and Metrics
本文提出利用自然语言处理技术，通过自动化将网络安全事件映射到对手技术，构建Cyber Catalog知识库，提升小企业网络安全管理能力。
2026-03-12 cs.AI cs.CR
Security for Wiretap Networks via Rank-Metric Codes
研究了网络编码通信系统的安全问题。该网络采用线性网络编码将$n$数据包从信源发送到每个接收方，窃听者可以在任意选择的链路上窃听$μ$。提出了一种编码方案，可以实现$k=n-μ$数据包的最大可能速率，这些数据包在信息理论上是安全的。我们的计划的一个显着特点是，它是通用的：它可以应用于任何通信网络的顶部，而不需要知识或任何修改的底层网络代码。事实上，甚至可以使用随机网络代码。我们的方法是基于Rouayheb-Soljanin的制定窃听网络的Ozarow-Wyner窃听通道的II型的概括。本质上，Ozarow-Wyner的陪集编码方案中的线性MDS码被执行线性网络编码操作的域的扩展上的最大秩距离码所取代。
2008-05-02 cs.CR cs.IT math.IT
Efficient and Generic Algorithms for Quantitative Attack Tree Analysis
已经提出了许多用于定量攻击树分析的分析方法。这些算法计算相关的安全指标，即量化系统安全性的性能指标;典型的指标是最可能的攻击，最便宜的，或最具破坏性的。然而，现有的方法只针对特定的指标或不工作的一般攻击树。本文将攻击树分为两个维度：正确树与有向无环图（即具有共享子树）;静态与动态门。对于这四个类中的三个，我们提出了新的算法，工作在一个通用的属性域，包括大量的具体的安全度量定义的攻击树语义;动态攻击树与有向无环图结构被留下作为一个开放的问题。我们还分析了我们的方法的计算复杂性。
2022-12-10 cs.CR cs.DS
Statistical Estimation of Malware Detection Metrics in the Absence of Ground Truth
安全指标的准确测量是一个关键的研究问题，因为不正确或不准确的测量过程可能会破坏指标的有用性，无论它们的定义有多好。这是一个极具挑战性的问题，特别是当真值未知或有噪声时。与定义安全度量的重要性相比，文献中对安全度量的测量知之甚少。在本文中，我们测量了五个恶意软件检测指标的{ \em缺席}的真值，这是一个现实的设置，提出了许多技术挑战。最终目标是开发原则性的、自动化的方法，以尽可能高的精度测量这些指标。这个问题自然需要通过将测量问题转换为{ \em统计估计}问题来研究统计估计器。我们提出这五个恶意软件检测指标的统计估计。通过研究这些估计量的统计特性，我们能够描述估计量何时是准确的，以及在什么情况下可以进行什么调整来改善它们。我们使用已知真值的合成数据来验证这些统计估计。然后，我们采用这些估计来衡量从VirusTotal收集的大型数据集的五个指标。我们相信我们的研究触及了一个尚未得到应有重视的重要问题，并将激发许多未来的研究。
2018-09-24 cs.CR stat.AP stat.ML
Optimizing the Use of Behavioral Locking for High-Level Synthesis
电子供应链的全球化需要有效的方法来阻止逆向工程和知识产权盗窃。逻辑锁是一种很有前途的解决方案，但也存在许多悬而未决的问题。首先，即使在更高的抽象级别上应用，锁定也可能导致大量开销，而不会提高安全性度量。其次，优化安全指标取决于应用程序，设计人员必须评估和比较替代解决方案。我们提出了一个元框架，以优化使用的行为锁定在高层次的综合（HLS）的IP核。我们的方法操作芯片的规格（HLS之前），它是兼容的所有HLS工具，补充工业EDA流程。我们的元框架支持不同的策略来探索设计空间，并选择自动锁定的点。我们在微分熵的优化上对我们的方法进行了评估，取得了比随机或拓扑锁定更好的结果：1）我们总是识别出优化安全度量的有效解，而拓扑和随机锁定会产生不可行的解; 2）我们将用于锁定的位数减少到90%以上。（需要更小的防篡改存储器）; 3）我们更好地利用了硬件资源，因为我们获得了类似的开销但具有更高的安全性度量。
2022-06-07 cs.AR cs.CR
Nano-artifact metrics based on random collapse of resist
安全度量是一种信息安全技术，它使用物理对象的内在特征进行身份验证和防克隆。在这里，我们展示了纳米人工制品指标的基础上形成的硅纳米结构，通过一个阵列的抗蚀剂柱，随机崩溃时，暴露于电子束光刻。所提出的技术使用传统的和可扩展的光刻工艺，并且由于抗蚀剂的随机塌陷，所得到的结构具有最小尺寸低于10 nm的极精细尺度形态，这小于当前光刻能力的分辨率。通过评估假匹配，假不匹配和克隆电阻率，我们澄清，抗蚀剂崩溃的基础上的纳米结构图案满足高性能的安全应用的要求。
2014-12-19 cond-mat.mes-hall cs.CR cs.ET
