Incidents Are Meant for Learning, Not Repeating: Sharing Knowledge About Security Incidents in Cyber-Physical Systems
网络物理系统（CPS）是工业自动化和运输系统等最关键基础设施的一部分。因此，针对CPS的安全事件可能会对资产和人员造成破坏性后果。由于以前的事件往往会再次发生，因此共享有关这些事件的知识可以帮助组织更好地预防，减轻或调查未来的事件。本文提出了一种新的方法，使表示和知识共享CPS事件在不同的组织。为了支持共享，我们表示事件知识（事件模式），捕获可以再次出现的事件特征，例如犯罪者利用的事件活动或漏洞。事件模式是特定事件实例的更抽象的表示，因此，它足够通用，可以应用于各种系统-不同于事件发生的系统。它们还可以避免披露有关组织资产和资源的潜在敏感信息。我们提供了一个自动化的技术，从一个特定的事件实例中提取事件模式。为了理解事件模式如何在其他网络物理系统中再次出现，我们还提供了一种自动化技术来将事件模式实例化到特定系统。我们证明了我们的方法在智能建筑的应用领域的可行性。我们评估的正确性，可扩展性和性能使用两个实质性的场景，灵感来自现实世界的系统和事件。
2019-06-29 cs.CR
Incident Response Plan for a Small to Medium Sized Hospital
大多数中小型医疗保健组织没有能力解决组织内的网络事件。那些这样做的人缺乏训练和装备。这些医疗保健组织受到各种法律的约束，这些法律涉及隐私问题、正确处理财务信息和个人身份信息。目前，IT人员以特设方式处理对这些事件的响应。需要一个经过适当培训、配备人员和设备的网络事件响应团队来快速响应这些事件，以最大限度地减少数据丢失，并为通知、纪律处分、法律行动和消除风险载体提供取证数据。本文将使用在应急服务中使用的经过验证的事件指挥系统模型，以表明任何规模的机构都可以有足够的CIRT
2015-11-30 cs.CR cs.CY
BioEnvSense: A Human-Centred Security Framework for Preventing Behaviour-Driven Cyber Incidents
Western Sydney University（西悉尼大学）
BioEnvSense提出一种结合CNN-LSTM模型的以人为本安全框架，通过分析生物和环境数据来检测并降低由人类行为引发的网络安全风险。
2026-02-23 cs.CR cs.CY cs.HC
PHOENI2X -- A European Cyber Resilience Framework With Artificial-Intelligence-Assisted Orchestration, Automation and Response Capabilities for Business Continuity and Recovery, Incident Response, and Information Exchange
本文介绍欧盟资助的PHOENI2X项目，旨在开发一个面向基本服务运营商和成员国当局的、具有AI辅助编排、自动化与响应能力的欧洲网络韧性框架，以提升业务连续性与恢复、事件响应和信息交换能力。
2023-07-18 cs.CR
A framework for comprehensible multi-modal detection of cyber threats
Cisco Systems（思科系统公司）
企业环境中的恶意活动检测是一项非常复杂的任务，并且已经投入了大量精力对其自动化进行研究。然而，绝大多数现有的方法仅在狭窄的范围内操作，这限制了它们仅捕获恶意软件存在的证据的片段。因此，这种方法与领域专家研究和描述网络威胁的方式不一致。在这项工作中，我们讨论了这些限制，并设计了一个检测框架，结合观察到的事件从不同的数据源。因此，它可以全面了解攻击的生存周期，并能够检测到威胁，这些威胁需要将来自不同遥测的观察结果结合起来，以确定事件的全部范围。我们证明了一个真正的恶意软件感染的企业网络中观察到的案例研究的框架的适用性。
2021-11-10 cs.AI cs.CR cs.LG
A tool to support the investigation and visualization of cyber and/or physical incidents
有效地调查从系统活动中收集的数据可以帮助检测恶意尝试，并更好地了解过去事件发生背后的背景。如今，可以使用几种解决方案来监控系统活动，以检测可能的异常和故障。然而，这些系统中的大多数都让用户淹没在大量的信息中，使他们更难感知事件的发生及其背景。我们的方法将动态和直观的用户界面与机器学习预测相结合，提供了一个智能调查工具，方便了安全操作员的工作。我们的系统还可以作为一个增强的和完全自动化的决策支持机制，提供有关可能发生的事件的建议。
2021-12-02 cs.CR
Bayesian and Multi-Objective Decision Support for Incident Mitigation in Cyber-Physical Systems
Singapore Management University（新加坡管理大学）
本文提出了一种结合贝叶斯推理和多目标优化的实时决策支持框架，用于提升关键基础设施在实时环境下的事件缓解能力。
2026-09-24 cs.CR
Towards a Comprehensive Framework for Cyber-Incident Response Decision Support in Smart Grids
针对智能电网网络安全威胁，本文整合攻击—防御树与多准则决策方法，提出支持风险分析、防御策略优化和安全措施优先级排序的综合事件响应决策框架。
2025-01-10 cs.CR
Operationalising Cyber Risk Management Using AI: Connecting Cyber Incidents to MITRE ATT&CK Techniques, Security Controls, and Metrics
本文提出利用自然语言处理技术，通过自动化将网络安全事件映射到对手技术，构建Cyber Catalog知识库，提升小企业网络安全管理能力。
2026-03-12 cs.AI cs.CR
Toward interoperable representation and sharing of disinformation incidents in cyber threat intelligence
本文提出开源虚假信息威胁情报框架，结合DISARM建模、STIX2映射及DISINFOX交换架构，实现虚假信息事件的可互操作共享，并验证于100多个真实事件。
2025-02-28 cs.CR cs.ET cs.SI
AI-Enabled System for Efficient and Effective Cyber Incident Detection and Response in Cloud Environments
PRIAM CYBER AI Limited（PRIAM CYBER AI 有限公司）；Cyber Security Research Centre. London Metropolitan University（伦敦城市大学网络安全研究中心）
本文提出基于AI的云环境网络安全事件检测与响应系统，利用随机森林和深度学习模型提升威胁检测准确率，通过云平台和容器技术实现高效、可扩展的响应方案。
2025-01-12 cs.CR cs.ET cs.NI
Forecasting Cybersecurity Incidents Using Geopolitical Data and Large Language Models
Tel Aviv University（特拉维夫大学）；University of Massachusetts Amherst（马萨诸塞大学阿默斯特分校）
本研究利用地缘政治数据和大语言模型预测网络安全事件，结合网络测量提升准确性，优于现有技术，并分析了数据源的有效性。
2026-10-06 cs.CR
Few-Shot Learning-Based Cyber Incident Detection with Augmented Context Intelligence
针对云环境日益复杂的网络威胁，本文提出一种基于少样本学习与增强上下文智能的攻击检测方法，利用符号学提取和语义分析将异常检测转为相似性比较，在少量样本下实现对未知攻击的准确泛化。
2025-06-19 cs.CR
Measuring likelihood in cybersecurity
INFOTEC Center for Research and Innovation in Information and Communication Technologies（墨西哥信息与通信技术研究与创新中心）；National Supreme Court of Justice, Mexico（墨西哥最高法院）；Faculty of Law of Mazatlan of the Autonomous University of Sinaloa（锡那罗亚自治大学马萨特兰法学院）；Instituto Politecnico Nacional, ESIME Culhuacan（墨西哥国立理工学院库卢阿坎工业与机械工程学院）；Royal Holloway, University of London（伦敦大学皇家霍洛威学院）
本文提出了一种通过整合外部网络安全知识和组织特定 telemetry 的图形表示来度量可能性的管道，通过统一数据模型和组织特定的配置文件，实现了四个基于事件证据的构造的正式规范。
2026-04-20 cs.CR
Consistent and Compatible Modelling of Cyber Intrusions and Incident Response Demonstrated in the Context of Malware Attacks on Critical Infrastructure
本文提出将关键基础设施的入侵模型与应急响应剧本统一建模，通过安全建模框架实现攻击树到剧本格式的转换，增强风险评估与响应的集成，并提供了九个示例模型。
2025-05-22 cs.CR
Investigating cybersecurity incidents using large language models in latest-generation wireless networks
Orenburg State University（奥伦堡国立大学）
本研究针对最新一代无线网络的网络安全事件，通过微调大语言模型（LLM）、合成对抗样本等方法，实现数据投毒攻击的二元分类与检测，Gemma-7b模型表现最优，为网络安全事件调查与决策提供支持。
2025-04-14 cs.AI cs.CR
Bridging the First-Hour Gap: Evaluating AI Reliability and Benchmarking Deficiencies in Cyber Incident Response for Law Enforcement
National Institute of Technology Calicut（卡利卡特国立技术学院）
本文系统调查了执法部门网络事件响应首小时的决策支持架构，指出RAG系统为可行中间方案，但现有基准不足，需新基准关注新手查询鲁棒性与证据保全。
2026-09-14 cs.CR
Advancing Autonomous Incident Response: Leveraging LLMs and Cyber Threat Intelligence
OODRIVE-Trusted Cloud Solutions（OODRIVE可信云计算解决方案）；L3i Lab, University of La Rochelle（L3i实验室，拉罗什-科尔贝尔大学）
提出基于RAG和LLM的框架，通过混合检索CTI并生成缓解策略，提升事件响应的准确性与效率，减轻分析师负担。
2025-08-14 cs.CR cs.LG
Post-Incident Audits on Cyber Insurance Discounts
我们引入了一个博弈论模型来研究网络保险投保人之间的战略互动，其保费取决于她的自我报告的安全级别和保险公司的权力，审计的安全级别后收到的赔偿要求。审计可以发现欺诈（或只是粗心）投保人不遵守报告的安全程序，在这种情况下，保险公司可以拒绝赔偿投保人。然而，即使投保人已遵守规定的安全程序，保险公司也必须承担审计费用。由于审计可能是昂贵的，保险公司面临的一个关键问题是设计一个审计策略，以阻止投保人歪曲他们的安全级别，以获得保费折扣。这个决策问题的动机是对承销商进行采访和审查美国的监管文件;我们发现保费是由投保人的保安情况决定，但这往往是投保人自行申报的，保险公司关注的是投保人是否按照投保人申报的那样执行保安程序。为了解决这个问题，我们将这种相互作用建模为不完全信息的贝叶斯博弈，并考虑投保人可能歪曲她的安全级别的可能性，为保险公司设计最优审计策略。据我们所知，这项工作是网络安全中事后索赔管理的第一个理论考虑。我们的模型捕获的激励之间的权衡，夸大安全态势在应用程序的过程中，不遵守报告的安全政策的惩罚的可能性。模拟表明，常识技术在提供有效的网络保险审计决策方面不如使用博弈论计算的那样有效。
2019-08-13 cs.CR
Overview of Cyber Science and Technology Programs at the U.S. Army Research Laboratory
本文概述了美国陆军研究实验室在网络安全方面的研究计划。虽然ARL是美国陆军的企业实验室，专注于基础和早期应用研究，但基础科学工作与广泛的面向操作的计划紧密结合。其中一个例子是网络合作研究联盟（CRA），该联盟将ARL的科学家与来自数十所美国大学的学术研究人员聚集在一起。ARL网络科学家在很大程度上是由陆军地面作战所特有的挑战所驱动的;本文概述了其中一些挑战以及ARL研究工作解决这些挑战的方式。网络研究的长期活动是由未来陆军战场的愿景指导的。到2040年，这将是一个高度融合的虚拟-物理空间，网络作战将成为战斗的一个组成部分。
2017-01-03 cs.CR
Bridging the Cybersecurity Gap Between Web2 and Web3 -- An Incident-Based Analysis of Organizational and Application-Level Security Failures
Chain Horizon GmbH（链地平线有限公司）
本文通过分析Web3生态系统中公开记录的高影响安全事件，揭示了现有安全控制框架在应对Web3特定风险时的不足，并提出针对区块链系统的定制化安全控制类别，以弥补通用安全治理框架与Web3基础设施领域风险之间的差距。
2026-05-18 cs.CR
Incorporating Taxonomies of Cyber Incidents Into Detection Networks for Improved Detection Performance
本文研究如何利用网络事件分类法优化检测网络，在精确率与召回率权衡下证明最优检测设计策略的存在。
2025-08-13 cs.CR math.OC math.PR
Analyzing the Usefulness of the DARPA OpTC Dataset in Cyber Threat Detection Research
在现实世界的企业网中维护安全和隐私正变得越来越具有挑战性。网络攻击者越来越多地使用以前未报告的最先进技术侵入企业网络。为了开发新颖有效的方法来阻止这些复杂的网络攻击，我们需要能够高度准确地反映真实企业场景的数据集。然而，很少有这样的数据集是公开的。研究人员仍然主要使用已有十年历史的KDD数据集，然而，研究表明这些数据集并不能充分反映高级持续性威胁（APT）等现代攻击。在这项工作中，我们分析了最近推出的DARPA操作透明网络（OpTC）数据集在这方面的有用性。我们详细描述了数据集的内容，并提出了定性分析。我们表明，OpTC数据集是高级网络威胁检测研究的绝佳候选者，同时也突出了其局限性。此外，我们提出了几个研究方向，这个数据集可以是有用的。
2021-05-08 cs.CR
Principled Data-Driven Decision Support for Cyber-Forensic Investigations
University of Houston（休斯顿大学）；University of Greenwich（格林威治大学）；Pennsylvania State University（宾夕法尼亚州立大学）
在网络安全事件发生后，必须及时发现威胁行为者如何破坏安全，以评估事件的影响，并制定和部署可以防止进一步攻击的对策。为此，防御者可以发起网络取证调查，发现威胁行为者在事件中使用的技术。这种调查的一个根本性挑战是确定调查特定技术的优先次序，因为调查每一种技术都需要时间和精力，但法医分析师在调查之前无法知道实际使用了哪些技术。为了确保及时发现，必须提供决策支持，以帮助法医分析师进行这种优先级排序。最近的一项研究表明，基于先前事件数据集的数据驱动决策支持可以提供最先进的优先级排序。然而，这种数据驱动的方法，称为DISCLOSE，是基于启发式的，它只利用了可用信息的一个子集，并没有近似的最佳决策。为了改进这种启发式，我们引入了一种原则性的方法，用于网络取证调查的数据驱动决策支持。我们制定的决策支持问题，使用马尔可夫决策过程，其状态代表的状态的法医调查。为了解决决策问题，我们提出了一个基于蒙特卡罗树搜索的方法，它依赖于一个k-NN回归在以前的事件来估计状态转移概率。我们在多个版本的MITRE ATT&CK数据集上评估了我们提出的方法，MITRE ATT&CK数据集是基于现实世界网络事件的对抗技术和战术的知识库，并证明我们的方法在每次努力发现的技术方面优于DISCLOSE。
2023-03-03 cs.AI cs.CR
GenDFIR: Advancing Cyber Incident Timeline Analysis Through Retrieval Augmented Generation and Large Language Models
London Metropolitan University（伦敦都市大学）；University of Liverpool（利物浦大学）
GenDFIR结合Llama 3.1 8B与RAG智能体，通过结构化知识库检索事件上下文，实现自动化网络取证时间线分析，在合成数据上验证了可靠性与稳健性。
2024-12-27 cs.AI cs.CR cs.ET
Preparing an AI-Augmented SIEM for the EU Cyber Resilience Act: A Practitioner Case Study
Clone Systems；University of Thessaly（色萨利大学）
本研究通过SEUXDR案例，提出六步法将欧盟CRA法规转化为可操作准备，涵盖风险评估、漏洞报告及符合性评估，为中小企业提供可复制的合规路径。
2026-10-07 cs.CR cs.CY
GraphWeaver: Billion-Scale Cybersecurity Incident Correlation
本文提出工业级框架GraphWeaver，通过地理分布式图方法、最小生成树算法和人机反馈系统等创新，将数十亿安全警报高效关联为综合事件，在Microsoft Defender XDR中实现99%准确率并将存储需求降低7.4倍。
2024-06-03 cs.CR cs.SI
A Cyber Range Evaluation of Inductive Autonomous Network Incident Response Agents
KTH Royal Institute of Technology（瑞典皇家理工学院）；Swedish Defence Research Agency FOI（瑞典国防研究局（FOI））
本研究在网络靶场中评估自主网络入侵响应智能体，发现强化学习智能体比启发式策略更高效，且性能受对手策略和模拟用户影响。
2026-11-06 cs.AI cs.CR
Structural Generalization in Autonomous Cyber Incident Response with Message-Passing Neural Networks and Reinforcement Learning
KTH Royal Institute of Technology（瑞典皇家理工学院）
针对网络结构动态变化导致事件响应智能体需频繁重训的问题，提出基于关系图与消息传递神经网络的强化学习方法，在CAGE 2上验证了其结构泛化能力，揭示了专用性与泛化性的权衡关系。
2024-07-08 cs.AI cs.CR
Forecasting Cyber Attacks with Imbalanced Data Sets and Different Time Granularities
如果在网络事件发生前的合理时间内预测到网络事件，则可以计划采取防御行动以防止其破坏性影响。不幸的是，大多数时候，我们在恶意活动开始之前没有足够的可观察性。因此，这项工作建议使用从具有不同时间粒度的各种数据源中提取的非常规信号来预测目标实体的网络事件。贝叶斯网络用于预测网络攻击，其中非常规信号用作指示性随机变量。这项工作还开发了一种新的少数类过采样技术，以提高对不平衡数据集的网络攻击预测。结果表明，根据所选择的时间粒度，非常规信号能够预测网络攻击的匿名目标组织，即使信号没有显式地与该组织。此外，少数过采样的方法相比，在文献中现有的滤波技术实现了更好的性能。
2018-03-26 cs.CR
NERD: Neural Network for Edict of Risky Data Streams
网络事件可能有各种各样的原因，从简单的连接丢失到持续的攻击。一旦发现潜在的网络安全事件和系统故障，决定如何继续通常是复杂的。特别是，如果真正的原因是不能直接详细确定。因此，我们开发了网络事件处理支持系统的概念。所开发的系统是丰富的信息多个来源，如入侵检测系统和监测工具。它使用超过20个关键属性（如同步包比率）来识别潜在的安全事件，并将数据分类为不同的优先级类别。之后，该系统使用人工智能来支持进一步的决策过程，并生成相应的报告向董事会汇报。在此基础上，对故障原因和排除措施提出了相应的建议。来自用户的关于问题解决方案的反馈通过使用标记的流数据作为学习过程的输入而被包括到未来的决策中。原型表明，决策可以持续改善和网络事件处理过程变得更加有效。
2020-07-08 cs.CR cs.CY cs.DC
A Structured Analysis of Information Security Incidents in the Maritime Sector
海事部门的网络攻击可能对世界经济产生重大影响。然而，这一威胁的严重性可能被低估，因为许多攻击仍然不为人知或未被注意。我们概述了过去20年来海事部门众所周知的网络事件。我们总共发现了90起公开报道的攻击和15起概念证明。此外，我们还采访了来自海事部门的五位IT安全专家。访谈将我们的研究结果放在正确的角度，并证实我们的观点是全面的。然而，受访者强调，未报告事件的黑暗数字很高，并认为威胁信息共享可能有助于预防攻击。从这些结果中，我们提取了海事部门参与者的威胁。
2021-12-13 cs.CR
Bring-Your-Own-Device (BYOD): An Evaluation of Associated Risks to Corporate Information Security
本研究评估了在工作场所采用自带设备（BYOD）给业务信息资产带来的网络风险。BYOD是一种新兴趋势，员工在公司网络上携带和使用个人计算设备来访问应用程序和敏感数据，如电子邮件、日历和日程安排应用程序、文档等。员工被BYOD吸引，因为他们可以访问私人物品，并在不受限制的情况下执行某些工作职能。然而，这通常是在管理层或系统管理员的盲区完成的;这种情况往往会将重要和敏感的公司信息暴露给各种威胁，如不必要的网络流量，未知的应用程序，恶意软件和病毒。在这项探索性研究中，征求了专家意见。该研究评估了BYOD的特征，评估了相关的风险、威胁和漏洞。调查结果表明，很少或根本没有采取安全措施来减轻与BYOD相关的风险。尽管采用BYOD带来了巨大的好处，但它们可能会被安全威胁和修复漏洞的缓解成本所侵蚀。最重要的风险是数据丢失，这与智能手机安全风险的类似研究一致。然后提出了一些缓解措施。
2016-09-05 cs.CR
Blockchain-based PKI within a Corporate Organization: Advantages and Challenges
本文研究企业内基于区块链的PKI，比较其与传统PKI的优劣，并分析CRA和NIS-2等法律框架影响，表明区块链PKI可通过去中心化信任锚、不可篡改的证书管理及更强的不当行为识别机制提升安全性。
2024-07-05 cs.CR cs.SE
Hybrid Tabletop Exercise (TTX) based on a Mathematical Simulation-based Model for the Maritime Sector
Escuela Superior de Guerra “General Rafael Reyes Prieto”（拉斐尔·雷耶斯·普里托上将高等战争学院）；University of Murcia（穆尔西亚大学）；Universidad del Rosario（罗萨里奥大学）
本文提出一种基于数学模拟模型的混合桌面演练，用于提升海运领域网络安全态势感知和治理能力。
2026-02-17 cs.CR
Challenges towards Building an effective Cyber Security Operations Centre
现代社会越来越依赖IT系统和基础设施提供基本服务（如网上银行、车载网络、健康IT等）随着网络事件和安全漏洞的不断增加，网络安全运营中心（CSOC）无疑至关重要。因此，安全运营监控现在是大多数业务运营的一个组成部分。SOC（可与CSOC互换使用）负责持续和保护性地监控业务服务，IT系统和基础设施，以识别漏洞，检测网络攻击，安全漏洞，违反政策，并迅速响应网络事件。他们还必须确保对安全事件和警报进行分类和分析，同时协调和管理网络事件以解决问题。由于SOC至关重要，因此SOC也必须有效。但很不幸，SOCs的有效性是一个广泛关注的问题，也是一个无休止争论的焦点。在本文中，我们确定并讨论了一些相关的挑战，建立一个有效的SOC。我们调查的一些因素，导致SOC的效率低下，并解释了他们面临的一些挑战。此外，我们提供建议并按优先次序处理已识别的问题。
2022-02-08 cs.CR cs.SI
Signals and Symptoms: ICS Attack Dataset From Railway Cyber Range
本文通过在铁路网络靶场上开展两次ICS攻击仿真，构建了融合当前攻击趋势与历史事件模式的ICS攻击数据集，为提升ICS安全防护和事件分析能力提供关键资源。
2025-07-02 cs.CR
Municipal cyber risk modeling using cryptographic computing to inform cyber policymaking
本研究利用83个市政当局的加密计算数据构建网络风险模型与基准，量化部门风险、识别差距并优先政策干预，为网络政策制定提供数据驱动的指导。
2024-02-05 cs.CR econ.GN q-fin.EC
Mining user interaction patterns in the darkweb to predict enterprise cyber incidents
随着过去几年安全漏洞的增加，越来越需要从社交媒体平台中挖掘洞察力，以提高可能的攻击警报，试图在竞争中保护冲突。在这项研究中，我们试图建立一个框架，利用非传统的信号从暗网论坛，通过利用用户交互的回复网络结构，预测企业相关的外部网络攻击的目标。我们使用无监督和监督学习模型来解决缺乏用于地面真实验证的企业攻击元数据以及用于训练模型的数据不足所带来的挑战。我们验证了我们的模型上的二进制分类问题，试图预测网络攻击的日常基础上的组织。使用几项关于利用网络结构的功能的对照研究，我们测量了来自暗网论坛的指标可以成功用于预测攻击的程度。我们使用了来自暗网中53个论坛的信息，时间跨度为17个月。我们的框架来预测3种不同安全事件的真实世界组织网络攻击，表明专注于基于随机游走转换和社区结构的用户组之间的回复路径结构在仅依赖于攻击前的论坛或用户发布统计数据的更好性能方面具有优势。
2020-06-20 cs.CR cs.SI
The Signalgate Case is Waiving a Red Flag to All Organizational and Behavioral Cybersecurity Leaders, Practitioners, and Researchers: Are We Receiving the Signal Amidst the Noise?
本研究通过分析2025年Signalgate事件，揭示组织安全中人为错误与治理缺陷的关键作用，并提出强化领导参与、零信任架构等建议以应对行为风险。
2025-10-27 cs.CR cs.CY
knowCC: Knowledge, awareness of computer & cyber ethics between CS/non-CS university students
本研究探讨大学生网络安全意识、计算机与网络伦理及防护行为的关系，对比计算机与非计算机专业学生认知差异，提出网络安全教育与分析框架以提升个人防护能力。
2023-10-19 cs.CR
Reinforcement Learning for an Efficient and Effective Malware Investigation during Cyber Incident Response
Cyber Security Research Centre, London Metropolitan University（伦敦城市大学 网络安全研究中心）
提出基于结构化MDP与Q学习的RL恶意软件取证调查框架，通过证据检查和自适应超参数提升识别效率并减少分析时间。
2025-01-07 cs.AI cs.CR cs.ET
Knowledge mining of unstructured information: application to cyber-domain
Aalto University School of Science（阿尔托大学理学院）；University of Jyväskylä（于韦斯屈莱大学）；Cyberwatch Finland Oy（芬兰Cyberwatch公司）；The Alan Turing Institute（艾伦·图灵研究所）
有关网络犯罪、事件和冲突的信息在许多开放的在线来源中大量存在。然而，处理大量数据流对分析人员和专家来说是一项具有挑战性的任务，需要更新的方法和技术。在这篇文章中，我们提出并实现了一种新的知识图谱和知识挖掘框架，用于从自由形式的文本中提取有关网络领域事件的相关信息。该框架包括基于机器学习的管道，用于生成具有非技术网络本体的组织、国家、行业、产品和攻击者的图。利用提取的知识图谱来估计给定图配置上的网络攻击的发生率。我们使用公开的真实网络事件报告集合来测试我们方法的有效性。知识提取被认为是足够准确的，基于图形的威胁估计表明与攻击的实际记录的相关性。在实际使用中，利用所提出的框架的分析师可以从当前的网络景观中推断出更多的信息，包括对各种实体的风险以及行业和国家之间的风险启发式传播。
2022-08-01 cs.CL cs.CR cs.IR
A Method Based on Deep Learning for the Detection and Characterization of Cybersecurity Incidents in Internet of Things Devices
鉴于物联网网络的日益增长及其在人类活动的关键方面的存在，连接到这些网络的设备的安全性变得至关重要。机器学习方法作为计算机网络中的安全解决方案的使能者正变得突出，这是由于其处理流量信息以检测可能代表针对基础设施的攻击的异常模式的能力。在本文中，我们建议利用卷积和递归神经网络，这两个工件已成功地用于上下文，如图像处理的模式识别，用于开发一个安全解决方案，用于物联网的背景下。我们的研究结果表明，当使用最先进的数据集进行评估时，这种方法在攻击的二进制分类（即正常流量与攻击流量）中的准确率约为99%，在多类分类（识别不同类型的攻击）准确率为96%。这些结果优于文献中的建议，显示了为物联网基础设施开发安全解决方案的前景。
2022-03-01 cs.CR cs.NI
SEvenLLM: Benchmarking, Eliciting, and Enhancing Abilities of Large Language Models in Cyber Threat Intelligence
本文提出SEvenLLM框架，通过构建双语指令语料库和包含27个任务的多任务学习流水线，提升大型语言模型在网络安全威胁情报中的事件分析与响应能力，实验证明其能有效增强复杂威胁分析。
2024-06-03 cs.CR
How Good is Your Data? Investigating the Quality of Data Generated During Security Incident Response Investigations
越来越多的网络安全事件促使组织探索替代安全解决方案，例如威胁情报计划。为了使这些程序取得成功，需要收集、验证数据并将其记录在相关的数据存储中。提供这些数据存储的一个潜在来源是组织的安全事件响应团队。然而，研究人员认为，这些团队更多地关注根除和恢复，而不是提供反馈以加强组织安全。这引发了一种想法，即在安全事件调查期间收集的数据可能不足以进行威胁情报分析。虽然以前的讨论侧重于从威胁情报共享的角度来看数据质量问题，但很少有研究检查事件响应调查期间生成的数据。本文介绍了一个案例研究的结果，确定数据质量的挑战，在财富500强企业的事件响应团队。此外，该文件提供了未来的研究基础，在安全事件响应的数据质量问题。
2019-01-11 cs.CR cs.CY
A Systematic Literature Review of Cyber Security Monitoring in Maritime
本文遵循PRISMA协议开展海事网络安全监测系统性文献综述，完成文献计量分析并构建研究分类体系，同时指出现有研究的空白与局限，提出该领域未来研究方向。
2025-05-21 cs.CR
Use of a non-peer reviewed sources in cyber-security scientific research
大多数关于网络事件的公开数据来自私营公司和非学术来源。常见的信息来源包括各种安全公告、白皮书、报告、法庭案例和描述特定事件的博客文章，通常从单一角度，其次是偶尔的学术来源，通常是会议记录。现有数据来源的主要特点是：缺乏同行审查和没有机密数据。在本文中，我们使用一种间接的方法来识别科学工作中使用的可信来源。我们分析了顶级同行评审文献如何依赖于使用非同行评审的网络安全事件来源。为了识别当前网络安全方面的非同行评审来源，我们分析了顶级同行评审计算机安全会议中的参考文献。我们还分析了如何使用非同行评审的来源，以激励或支持研究。我们研究了计算机安全领域顶级会议的808篇文章。这项工作的结果是最常用的非同行评审数据源和有关使用这些数据的背景信息的列表。由于这些来源被顶级会议接受，其他研究人员可以在未来的研究中考虑它们。据我们所知，以前还没有对网络安全科学研究中如何使用未经同行审查的来源进行过分析。
2021-06-10 cs.CR
AutoCRAT: Automatic Cumulative Reconstruction of Alert Trees
针对网络攻击后网络分诊难度大、需自动化的问题，提出AutoCRAT系统，可自动重构告警树以量化威胁并分诊排序，经真实数据集验证能高效重构告警树并助力可视化。
2024-09-17 cs.CR
Flash Crash for Cash: Cyber Threats in Decentralized Finance
去中心化金融（DeFi）于2020年形成。超过140亿美元的资金流入DeFi项目，提供交易，贷款和保险。但它的增长也引起了恶意行为者的注意。许多项目一启动就被利用，损失了数百万美元。虽然许多开发人员了解整数溢出和重入攻击，但DeFi生态系统的安全威胁更为复杂，而且仍然知之甚少。在本文中，我们首次概述了野外DeFi安全事件。我们观察到，这些漏洞中有许多是市场攻击，在一个协议中将弱实现的业务逻辑武器化，并由另一个协议提供信贷以增加拨款。而不是滥用个别协议，攻击者越来越多地使用DeFi的无权限可组合性对自己的力量。通过在新生的金融生态系统DeFi中提供对真实世界安全事件的第一次全面分析，我们希望在未来几年为分散的加密经济计划中的威胁建模提供信息。
2021-06-20 cs.CR
Rethinking Satellite Cybersecurity: A System-Level Taxonomy and Longitudinal Analysis
Ben-Gurion University of the Negev（内盖夫本-古里安大学）
本文针对卫星网络安全，提出受MITRE ATT&CK启发的系统级攻击生命周期分类，通过分析多轨道卫星段、200余起公开事件，揭示攻击趋势转变，并结合案例验证框架实用性，支撑卫星安全防御相关工作。
2026-08-04 cs.CR
Bending the Curve: Operational Cyber Epidemiology for Ransomware
Augusta University（奥古斯塔大学）；US Center for Applied Medical AI (CAMA)（美国应用医疗人工智能中心 (CAMA)）；University of Nottingham（诺丁汉大学）；Brigham Young University（杨百翰大学）；The University of Tulsa（塔尔萨大学）
本文提出适配勒索软件管理的可操作网络流行病学框架，参考公共卫生标准定义案例规则与信息要素，用SEIR模型及R0/Re辅助决策，通过公开事件验证其价值，核心是建立技术数据与遏制决策的通用语言。
2026-08-03 cs.CR
Cybersecurity Risk Assessment for CubeSat Missions: Adapting Established Frameworks for Resource-Constrained Environments
University of Oxford（牛津大学）
本文提出适用于立方卫星环境的网络安全风险评估框架，通过引入安全每瓦（SpW）启发式方法和分布式安全范式（DSP），在资源受限条件下提升安全性和响应效率。
2026-03-31 cs.CR
Structuring the Chaos: Enabling Small Business Cyber-Security Risks & Assets Modelling with a UML Class Model
RMIT University（皇家墨尔本理工大学）
本文提出一种UML类模型，用于帮助小型企业系统化地管理网络安全风险与资产，通过简化术语和结构促进所有利益相关者的参与。
2024-03-21 cs.CR
