Adaptive Alert Throttling for Intrusion Detection Systems
每次入侵检测系统发出警报时，它必须尝试将信息传达给操作员。这种通信信道很容易成为拒绝服务攻击的目标，因为与所有通信信道一样，它具有固定的容量。如果这个通道被虚假数据淹没，攻击者可以迅速实现入侵检测功能的完全中和。虽然这些类型的攻击是很难完全停止，我们的目标是目前的技术，提高警报吞吐量和能力，成功地安装攻击所需的资源变得令人望而却步。
2013-05-30 cs.CR
AlertBERT: A noise-robust alert grouping framework for simultaneous cyber attacks
AIT Austrian Institute of Technology（奥地利技术研究所）
AlertBERT通过自监督框架和密度聚类，在噪声环境中有效分组同时发生的网络攻击警报，提升安全分析效率与准确性。
2026-02-06 cs.CR cs.LG
Strategic Alert Throttling for Intrusion Detection Systems
网络入侵检测系统本身正在成为攻击者的目标。警报泛滥攻击可用于通过将恶意活动隐藏在攻击者发送的大量虚假警报中来隐藏恶意活动。虽然这些类型的攻击是很难完全停止，我们的目标是目前的技术，提高警报吞吐量和能力，这样的程度上，成功地安装攻击所需的资源变得令人望而却步。提出的关键思想是将令牌桶过滤器与实时相关算法相结合。当检测到攻击时，该算法抑制了IDS的警报输出。关联算法中使用的攻击图用于确保对形成策略至关重要的警报不会被节流丢弃。
2008-05-16 cs.CR cs.NE
Predicting Tail-Risk Escalation in IDS Alert Time Series
University of North Carolina at Charlotte（北卡罗来纳大学夏洛特分校）
本研究利用金融建模方法预测IDS警报中的尾部风险升级，通过时间模式分析提高攻击检测的准确性与预警能力。
2026-01-16 cs.CR
Collaborative Alerts Ranking for Anomaly Detection
给定来自异常检测系统的大量低级别异构分类警报，如何描述不同警报之间的复杂关系，过滤掉误报，并向最终用户提供值得信赖的排名和建议？这个问题的动机和推广从企业安全和攻击场景重建的应用。虽然现有技术集中于重建异常场景或滤除假阳性警报，但同时考虑这两个方面可能更有利，以便提高检测准确性并更好地理解异常行为。在本文中，我们提出了CAR，一个协作警报排名框架，利用时间和内容的相关性，从异构的分类警报。CAR首先建立一个基于树的模型来捕获每个警报序列中的短期相关性和长期依赖性，从而识别异常动作序列。然后，一个基于嵌入的模型来学习警报之间的内容相关性，通过其异构的分类属性。最后，通过将时间和内容依赖性合并到一个优化框架中，CAR对警报及其相应的警报模式进行排名。我们使用真实企业监控数据和专业黑客发起的真实攻击进行的实验表明，CAR可以准确识别真正的积极警报，同时成功重建攻击场景。
2018-02-13 cs.CR
Alert Correlation Algorithms: A Survey and Taxonomy
警报关联是一种系统，它接收来自异构入侵检测系统的警报，并减少误报，检测高级别的攻击模式，增加发生的事件的意义，预测未来的攻击状态，并检测攻击的根本原因。为了达到这些目标，世界上已经引入了许多算法，这些算法有许多优点和缺点。在本文中，我们试图提出一个全面的调查已经提出的警报相关算法。本文的研究方法主要集中在能够应用于企业和实际网络的关联引擎算法上。考虑到这一目标，引入了许多与准确性，功能性和计算能力相关的功能，并使用这些功能评估所有算法类别。调查结果表明，每一类算法都有自己的优势，一个理想的关联框架应该承载每一类算法的优势特征。
2018-11-02 cs.CR
Multi-Stage Attack Detection via Kill Chain State Machines
今天，人类安全分析师在调查期间必须分类的大量警报下崩溃。无法应对这种负载，再加上警报的高误报率，导致警报疲劳。这导致无法检测复杂的攻击，例如高级持续性威胁（APT），因为它们在很长一段时间内出现，攻击者小心翼翼地躲避检测机制。在本文中，我们提出了一种新的方法来合成攻击图的状态机。我们使用网络方向来获得潜在的攻击阶段，从单一和元警报和模型产生的攻击场景中的杀伤链状态机（KCSM）。我们的算法产生的攻击，APT场景图，其中节点代表涉及主机和边缘感染活动的图形摘要。我们基于CSE-CIC-IDS 2018数据集在多个实验中评估了我们方法的可行性。我们获得了高达446 458单例警报，我们的算法凝聚成700 APT场景图，从而减少高达三个数量级。这种减少使得人类分析师能够有效地对潜在事件进行分类。在同一数据集上的评估，其中我们嵌入了一个合成的但现实的APT运动，支持我们的方法检测和上下文复杂的攻击的适用性。由我们的算法构建的APT场景图正确地链接了APT活动的大部分，并提供了一个连贯的视图，以支持人类分析师进行进一步的分析。
2021-03-26 cs.CR
Data Reduction in Intrusion Alert Correlation
网络入侵检测传感器通常建立在网络流量的低级别模型上。这意味着它们的产出同样很低，因此难以分析。入侵警报关联是通过将相关警报分组在一起来自动执行某些分析的任务。攻击图为这种分析提供了直观的模型。不幸的是，警报泛滥攻击仍然会导致传感器上的服务丢失，并且在执行攻击图关联时，输出图中可能包含大量无关警报。这掩盖了真正攻击的精细结构，使人类操作员更难辨别。本文探讨了修改的相关算法，试图尽量减少这种攻击的影响。
2008-05-16 cs.CR cs.NE
Exploiting Latent Attack Semantics for Intelligent Malware Detection
行为恶意软件检测器承诺揭露以前未知的恶意软件，是一个重要的安全原语。然而，即使是最好的行为检测器也会受到高误报和漏报的影响。在本文中，我们解决了在嘈杂的社区（即，以不可预测的速率产生警报的系统）转换为准确且鲁棒的全局异常检测器（GD）。我们的系统-形状GD -结合了两个见解：结构：行动，如访问网站（水坑攻击）或成员在一个共享的电子邮件线程（网络钓鱼攻击）的节点与恶意软件的传播相关，并创建动态的邻居节点暴露于相同的攻击向量;和统计：特征向量对应于本地检测器的真和假阳性有显着不同的条件分布。我们使用邻域来放大潜在于高维特征向量中的瞬态低维结构-但邻域的变化是不可预测的，我们使用形状来提取识别受感染邻域的鲁棒邻域级特征。与聚合本地检测器的警报比特流或聚类特征向量的先前工作不同，Shape GD分析导致本地警报（警报-FV）的特征向量以分离真阳性和假阳性。形状GD首先将这些警报-FV过滤到邻域中，并将邻域的警报-FV的统计形状有效地映射到标量分数中。然后，Shape GD充当邻域级别的异常检测器-在良性程序跟踪上进行训练以学习误报邻域的ShapeScore，并将具有异常ShapeScore的邻域分类为恶意。Shape GD可及早检测恶意软件（在约100 K节点系统中约有100个受感染节点用于检测waterhole，约有10/1000个受感染节点用于检测网络钓鱼），并可稳健地检测恶意软件（约…
2017-08-06 cs.CR
SAGE: Intrusion Alert-driven Attack Graph Extractor
Delft University of Technology（代尔夫特理工大学）；Rochester Institute of Technology（罗切斯特理工大学）
攻击图（AG）用于评估网络对手渗透网络的路径。用于AG生成的最先进的方法主要集中在基于网络扫描和专家知识导出系统漏洞之间的依赖关系。然而，在现实世界的操作中，依赖于持续的漏洞扫描和专家制作的AG是昂贵且无效的。我们建议自动学习AG的基础上观察到的入侵警报，没有事先的专家知识的行动。具体来说，我们开发了一个无监督的序列学习系统，SAGE，利用时间和概率之间的依赖性警报在一个基于后缀的概率确定性有限自动机（S-PDFA）-一个模型，强调不频繁的严重警报，并总结路径导致他们。然后，在每个目标、每个受害者的基础上，从S-PDFA中推导出AG。SAGE通过Collegiate Penetration Testing Competition收集的入侵警报进行了测试，将超过330 k的警报压缩到93个AG中。这些AG反映了参与团队使用的策略。AG是简洁的、可解释的，并且捕获行为动态，例如，攻击者通常会沿着更短的路径重新利用目标。
2021-10-14 cs.CR cs.LG
The Shape of Alerts: Detecting Malware Using Distributed Detectors by Robustly Amplifying Transient Correlations
我们引入了一个新的恶意软件检测器-形状GD-聚合每台机器的检测器到一个强大的全球检测器。Shape-GD基于两个见解：1.结构：诸如节点访问网站（水坑攻击）之类的行为与恶意软件传播很好地相关，并且创建暴露于相同攻击向量的节点的动态邻域。然而，邻域大小不可预测地变化，并且需要将不可预测数量的本地检测器的输出聚合成全局警报。2.统计学：对应于局部检测器的真阳性和假阳性的特征向量具有明显不同的条件分布，即它们的形状不同。社区的形状可以识别受感染的社区，而无需估计社区大小-根据赛门铁克检测器5年的日志，Shape-GD将误报从约1 M降至约110 K，并在345天内发出警报（平均）在商业化的防病毒产品之前;在使用Yahoo Web服务日志模拟的水坑攻击中，当大约550 K中只有大约100台受到危害时，Shape-GD检测到受感染的机器。
2018-03-01 cs.CR
Reduce positive and negative falses from attacks collected from the deployment of distributed honeypot network
当前检测漏洞的工具和系统只是警告管理员针对其网络或系统的攻击企图。然而，通常，要分析的大量警报以及在分析警报之后更新安全规则所需的时间量为攻击者造成损害提供了时间和机会。此外，这些工具中的大多数都会产生积极和消极的错误，这对被攻击的网络可能很重要。否则，存在许多解决方案，如IPS，但它显示了一个很大的缺陷，从根本上说，由于误报。事实上，攻击者在检测到合法流量存在于受攻击网络中时，通常会使IPS阻止该流量。在本文中，我们描述了一个自动化的算法，使他们发生之前检测攻击的能力，然后减少积极和消极的错误率。此外，我们使用一组相关的恶意流量捕获使用网络的蜜罐识别潜在的威胁源的数据。
2016-11-10 cs.CR
Efficient Attack Correlation and Identification of Attack Scenarios based on Network-Motifs
用于保护计算机网络的入侵检测系统（IDS）将攻击的指示器报告为警报。但是，每次攻击都可能导致大量IDS警报，需要将这些警报关联起来才能看到攻击的全貌。在本文中，我们提出了一种相关的方法，将集群的警报到一个图形结构上，我们计算的网络图案的签名来表征这些集群。攻击特征的基序表示的幅度小于原始警报数据，但仍然允许有效地将攻击彼此进行比较并与参考签名进行关联。这不仅允许识别已知的攻击场景，例如，DDoS，扫描和蠕虫攻击，而且还可以为未知场景导出新的参考签名。我们的研究结果表明，一个可靠的识别方案，即使攻击的大小不同，至少略有不同的特点。应用于现实世界的警报数据，我们的方法可以分类和分配高达96%的攻击场景的所有攻击，并可以代表他们的特征，使用1%的大小的完整警报数据。
2020-03-12 cs.CR cs.NI
Real-Time Alert Correlation with Type Graphs
School of Computer Science, University of Nottingham（诺丁汉大学计算机科学学院）
自动警报关联的前提是接受来自低级别入侵检测系统的错误警报是不可避免的，并使用攻击模型以可理解的方式解释输出。为此目的存在几种算法，它们使用攻击图来模拟攻击可以组合的方式。这些算法可以分为两大类，即基于脆弱性评估和依赖于攻击类型之间关系的抽象模型的类型图方法，创建攻击模型的神经网络图方法。一些研究在提高效率的类型图的相关性已经进行，但这些研究都忽略了假设丢失的警报。我们的工作是提出一种新的类型图算法，它统一的相关性和假设在一个单一的操作。我们的实验结果表明，该方法是非常有效的，在面对密集的警报，并产生紧凑的输出图相比，其他技术。
2010-04-23 cs.AI cs.CR
HeATed Alert Triage (HeAT): Transferrable Learning to Extract Multistage Attack Campaigns
Rochester Institute of Technology（罗切斯特理工学院）
随着网络攻击的复杂性和数量的增加以及复杂的网络结构，安全分析师越来越难以证实证据来识别其网络上的多级活动。这项工作开发了HeAT（加热警报分类）：给定一个关键的妥协指标（IoC），例如，一个严重的IDS警报，HeAT生成一个HeATed Attack Campaign（HAC），描述导致严重事件的多阶段活动。我们定义了“警报事件热度”的概念，以代表分析师的意见，即考虑到他们对网络和安全专业知识的了解，事件对关键IoC的攻击活动有多大贡献。利用网络不可知的功能集，HeAT学习分析师对一小部分IoC的“HeAT”评估的本质，并应用学习的模型来提取以前从未见过的针对IoC的有洞察力的攻击活动，甚至通过传输所学到的知识来跨网络进行。我们展示了HeAT的能力与收集的数据在大学渗透测试比赛（CPTC），并通过与现实世界的SOC合作。我们开发了HeAT增益指标，以展示分析师如何评估和受益于提取的攻击活动相比，常见的做法，其中IP地址被用来证实证据。我们的研究结果表明，通过寻找跨越不同攻击阶段的活动，删除大量不相关的警报，并实现分析师原始评估的一致性，HeAT的实际用途。
2022-12-28 cs.AI cs.CR cs.LG
Preventing Coordinated Attacks Via Distributed Alert Exchange
对信息系统的攻击和随后的入侵可能会造成巨大的收入损失。仅仅考虑来自网络孤立来源的信息并不总是能够预防这两种情况。要识别这种攻击的不同行动并作出反应，就必须对整个系统有一个全局的看法。通过发布/订阅中间件实现的松耦合，可以使分散式系统的设计和部署受益，该分散式系统的目标是检测和响应信息系统攻击。在本文中，我们提出了使用这种通信模式的一般分散的攻击预防框架的优点和方便。此外，我们提出了我们的方法的设计和实现现有的发布/订阅中间件的基础上，并评估我们的方法为GNU/Linux系统。
2008-02-26 cs.CR cs.NI
New Multi-step Worm Attack Model
传统的蠕虫，如Blaster，Code Red，Slammer和Sasser，仍然在感染互联网上的脆弱机器。由于它们在互联网上的快速传播性质，它们将仍然是重大威胁。从受害者日志、攻击者日志和IDS警报日志等OSI不同层次的日志中分析了传统蠕虫的攻击模式。这些蠕虫的攻击模式可以抽象成描述蠕虫感染过程的蠕虫攻击模型。为了本文的目的，在实验过程中只使用了Blaster变体。本文提出了一种多步骤蠕虫攻击模型，可扩展到警报关联和计算机取证调查等研究领域。
2010-01-20 cs.CR
RADAMS: Resilient and Adaptive Alert and Attention Management Strategy against Informational Denial-of-Service (IDoS) Attacks
New York University（纽约大学）
利用人类注意力脆弱性的攻击对网络安全构成了严重威胁。在这项工作中，我们确定并正式定义了一种新型的主动注意攻击，称为信息拒绝服务（IDoS）攻击，产生大量的佯攻超载人类操作员和隐藏真正的攻击之间的佯攻。我们将人为因素（例如，专业水平、压力和效率）和经验心理学结果（例如，Yerkes-Dodson定律和沉没成本谬误）来模拟操作员的注意力动态和他们的决策过程以及实时警报监视和检查。为了帮助人类操作员及时准确地消除假动作并升级真正的攻击，我们开发了一种弹性和自适应的数据驱动警报和注意力管理策略（RADAMS），该策略根据警报的抽象类别标签选择性地减轻警报。RADAMS使用强化学习为各种人类操作员和不断发展的IDoS攻击实现定制和可转移的设计。综合建模和理论分析导致注意力的产品原则（PPoA），基本限制，以及关键的人力和经济因素之间的权衡。实验结果证实，该策略优于默认策略，可以降低IDoS风险高达20%。此外，该策略对成本、攻击频率和人类注意力能力的大变化具有弹性。我们已经认识到有趣的现象，如注意力风险等效性，攻击者的困境，和半真半假的最佳攻击策略。
2022-07-21 cs.AI cs.CR cs.HC
On the Veracity of Cyber Intrusion Alerts Synthesized by Generative Adversarial Networks
Rochester Institute of Technology（罗切斯特理工学院）
由于功能之间的复杂交互、警报的非同质性以及罕见但关键的样本的可能性，重建具有高度保真度的网络攻击警报数据具有挑战性。生成对抗网络（GANs）已被证明可以有效地学习复杂的数据分布，以创建越来越真实的数据。本文介绍了GANs在网络攻击警报数据中的应用，并表明GANs不仅成功地学习生成真实的警报，而且还揭示了警报中的特征依赖关系。这是通过审查地面实况和生成的数据集之间的不同警报特征组合的直方图的交集来实现的。传统的统计度量，如条件熵和联合熵，也被用来验证这些依赖关系的准确性。最后，它表明，互信息约束的网络可以用来增加低概率，关键，警报值的产生。通过将警报映射到一组攻击阶段，表明这些低概率警报的输出对于网络安全分析师具有直接的上下文意义。总的来说，这项工作为生成新的网络入侵警报提供了基础，并提供了合成警报模拟源数据集的关键依赖关系的证据。
2019-08-03 cs.CR cs.LG stat.ML
CAM-LDS: Cyber Attack Manifestations for Automatic Interpretation of System Logs and Security Alerts
Austrian Institute of Technology（奥地利技术研究院）
CAM-LDS通过提供涵盖多种攻击技术的日志数据集，推动基于大语言模型的系统日志和安全警报自动解释技术的发展。
2026-03-04 cs.AI cs.CR
Tracing Technique for Blaster Attack
2003年的Blaster蠕虫仍然存在，随着原始系统被清理或关闭，感染似乎已经成功转移到新的主机上，这表明Blaster蠕虫和其他类似的蠕虫在首次发布后的许多年内仍然是重大的互联网威胁。基于Blaster攻击在受害者日志、攻击者日志和IDS警报日志上的指纹，提出了从OSI不同层的日志中跟踪Blaster攻击的技术。研究人员打算对这种特殊的攻击进行初步调查，以便它可以用于警报相关性和计算机取证调查的进一步研究。
2009-08-25 cs.CR
XION: Interpreting Network Traffic Anomalies via Dependency Violations
Linköping University（林雪平大学）
本研究提出XION方法，通过建模网络流特征间的依赖关系来检测异常并解释警报，在IDS数据集上与IF相比，召回率相当或更高且推理时间更短，还能提供IF无法给出的攻击相关时间结构模式。
2026-11-06 cs.CR
Combating Informational Denial-of-Service (IDoS) Attacks: Modeling and Mitigation of Attentional Human Vulnerability
New York University（纽约大学）
这项工作提出了一类新的主动攻击称为信息拒绝服务（IDoS）攻击，利用注意力的人的脆弱性。IDoS攻击通过产生大量的假动作，耗尽了人类操作者的认知资源，使人类无法识别隐藏在假动作中的真正攻击。这项工作旨在正式定义IDoS攻击，量化其后果，并开发人工辅助安全技术，以减轻IDoS攻击的严重程度和风险。为此，我们使用半马尔可夫过程来模拟假动作和真实攻击的顺序到达，并在相关的警报中附加类别标签。辅助技术通过定期突出显示选择性警报来战略性地管理人类注意力，以防止其他警报分散注意力。一个数据驱动的方法被应用到不同的注意力管理（AM）策略下的人类绩效评估。在一个典型的特殊情况下，我们建立了两个动态规划表示之间的计算等价性，以降低计算复杂度，并使在线学习的样本减少的大小和零延迟。案例研究证实了学习框架的有效性。数值结果说明了AM策略如何减轻IDoS攻击的严重程度和风险。此外，研究结果表明，最小的风险是实现了一个适当的水平，我们称之为理性的风险减少注意疏忽的法律。
2021-10-16 cs.AI cs.CR
TRIDEnT: Building Decentralized Incentives for Collaborative Security
复杂的大规模攻击，特别是利用零日漏洞时，有可能对组织和关键基础设施造成破坏性破坏。为了及时发现和遏制此类攻击，防御者之间的合作至关重要。通过关联来自多个来源的实时检测信息（警报）（协同入侵检测），防御者可以及时检测攻击并采取相应的防御措施。然而，尽管存在促进协作的技术工具，但这种协作安全机制在现实世界中的应用仍然不足。这在很大程度上是由于缺乏对公司和组织的信任和参与激励。本文提出了TRIDEnT，一种新型的协作平台，旨在使各方能够和激励各方交换网络警报数据，从而提高他们的整体检测能力。TRIDEnT允许可能存在竞争关系的各方以（近）实时对等流的形式有选择地宣传、销售和获取安全警报。为了验证TRIDEnT背后的基本原则，我们提出了一个直观的博弈论模型的警报共享，这是独立的利益，并表明，合作必然会发生无限频繁。此外，为了证明我们方法的可行性，我们使用以太坊智能合约以分散的方式实例化我们的设计，并提供一个功能齐全的原型。
2019-05-09 cs.CR
On Holistic Multi-Step Cyberattack Detection via a Graph-based Correlation Approach
虽然通过信息和通信技术实现的配电网数字化带来了许多好处，但也增加了电网对严重网络攻击的脆弱性。与传统系统不同，对许多工业控制系统（如电网）的攻击通常发生在多个阶段，攻击者一次采取多个步骤来实现其目标。需要具有态势感知的检测机制来检测作为连贯攻击活动的一部分的精心策划的攻击步骤。为了提供检测和预防此类攻击的基础，本文讨论了多阶段网络攻击的检测与基于图的网络情报数据库和警报相关方法的帮助。具体来说，我们提出了一种方法来检测多阶段的攻击，利用异构数据形成一个知识库，并采用基于模型的相关方法生成的警报，以确定多阶段的网络攻击序列发生在网络中。我们调查所提出的方法的检测质量，通过使用一个面向未来的电网试点的多阶段网络攻击活动的案例研究。
2022-11-20 cs.CR
Two Can Play That Game: An Adversarial Evaluation of a Cyber-alert Inspection System
University of Michigan（密歇根大学）；Army Research Lab（陆军研究实验室）
网络安全是一个重要的社会问题。网络攻击的数量和每次攻击造成的破坏程度都有所增加。大型组织运营着网络安全运营中心（CSOC），构成了网络防御的第一道防线。检查网络警报是CSOC业务的一个关键部分。最近与美国陆军研究实验室合作的一项工作提出了一种基于强化学习（RL）的方法，以防止网络警报队列长度变大并压倒防御者。鉴于这种方法可能部署到美国国防机构运营的CSOC，我们对这种方法进行了红队（对抗性）评估。此外，随着最近对学习系统的攻击，测试这种RL方法的局限性变得更加重要。为此，我们学习了对抗警报生成策略，该策略是对防御者检查策略的最佳响应。令人惊讶的是，我们发现防御者的政策是相当强大的攻击者的最佳对策。为了解释这一观察结果，我们将早期的RL模型扩展到一个博弈模型，并表明存在防御者策略，可以对任何对抗性策略都具有鲁棒性。我们还从博弈论模型中推导出一个竞争基线，并将其与RL方法进行比较。然而，我们进一步利用RL模型中的MDP中的假设，并发现攻击者策略可以攻击防御者。我们使用一个双预言的方法来重新训练的防御者从这个发现的攻击者政策的插曲。这使得防御者对发现的攻击者策略具有鲁棒性，并且没有发现进一步的有害攻击者策略。总体而言，对抗性强化学习和强化学习中的双预言方法是适用于对抗性环境中其他强化学习使用的通用技术。
2018-10-13 cs.AI cs.CR cs.GT
From Alerts to Intelligence: A Novel LLM-Aided Framework for Host-based Intrusion Detection
本文提出了一种名为SHIELD的定制LLM管道框架，通过集成事件级MAE、DDA和多用途提示等技术解决LLM在HIDS中的token限制与噪声干扰问题，在多个数据集上性能优于5个代表性HIDS。
2025-07-15 cs.CR
From Investigation Failures to Reliable SOC Agents: Understanding and Improving LLM-Based Alert Triage
Virginia Tech（弗吉尼亚理工大学）；Google（谷歌）；North Carolina State University（北卡罗来纳州立大学）
该研究针对LLM智能体在SOC警报分类中漏报率高的问题，构建ALERT-BENCH基准测试五种方法，提出多智能体框架AIDA，使漏报率降至3.1%，F1分数达0.958，显著提升了SOC警报分类性能。
2026-10-09 cs.AI cs.CR cs.MA
UCLog+ : A Security Data Management System for Correlating Alerts, Incidents, and Raw Data From Remote Logs
用于计算机网络安全分析的源数据采用不同的形式（警报、事件、日志），并且每个源可能是大量的。由于这对数据管理提出了挑战，这通常导致安全烟囱操作，其主要集中在用于分析的少量数据源上，数据源之间很少或没有自动关联（尽管关联可以手动完成）。我们寻求解决这一系统性问题。在以前的工作中，我们开发了一个统一的相关日志系统（UCLog），自动处理来自不同设备的警报。我们通过介绍UCLog+的架构和应用程序将这项工作向前推进了一步，UCLog+增加了将警报和事件与远程日志上的原始数据相关联的新功能。UCLog+可用于取证分析，包括查询和报告生成，但更重要的是，它可用于对正在进行的攻击模式进行近实时的态势感知。该系统使用开放源代码工具实现，也可以成为不同组织共享安全信息的存储库。
2006-07-25 cs.CR
ProvAgent: Threat Detection Based on Identity-Behavior Binding and Multi-Agent Collaborative Attack Investigation
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；University of Chinese Academy of Sciences（中国科学院大学）；Zhongguancun Laboratory（中关村实验室）
ProvAgent通过多智能体协作与传统模型结合，实现高效威胁检测与自动化攻击调查，提升安全响应效率与准确性。
2026-03-10 cs.CR
Stealing Trust: Unraveling Blind Message Attacks in Web3 Authentication
本文揭示Web3认证中的盲消息攻击漏洞，开发了检测工具Web3AuthChecker和防护工具Web3AuthGuard，发现75.8%的真实部署存在风险，并获两项CVE编号。
2024-09-30 cs.CR
Intrusion Alert Prediction Using a Hidden Markov Model
入侵检测只是保护IT基础设施的第一步。入侵预测是对入侵攻击进行主动防御的下一步。目前的入侵预测方法主要集中在预测入侵类型或入侵类别，而不使用或提供上下文信息，如源和目标IP地址。此外，他们中的大多数都依赖于领域知识和特定的场景知识。该算法采用了词袋模型和隐马尔可夫模型，不依赖于特定的领域知识。由于该算法依赖于一个训练过程，它是适应不同的条件。所提出的算法的一个关键优势是包括上下文数据，如源IP地址，目的地IP范围，警报类型和警报类别在其预测，这是至关重要的最终响应。使用公共数据集进行的实验生成了超过2500个警报预测，并且对于下一个警报聚类的预测，单步的和五步预测分别实现了81%和77%的准确度。对于下一个警报类别的预测，单步的和五步预测的准确率分别达到95%和92%。与现有的变长马尔可夫链入侵预测方法相比，该方法对警报类别的预测精度提高了5%，同时为可能的防御提供了更多的信息。
2016-10-24 cs.CR
PRISM: A Hierarchical Intrusion Detection Architecture for Large-Scale Cyber Networks
网络规模的增加和网络攻击的复杂性的提高给入侵检测带来了一些挑战。主要的挑战是需要通过处理当今网络产生的大量流量来实时检测复杂的多阶段攻击。在本文中，我们提出了PRISM，层次化的入侵检测体系结构，使用一种新的攻击者行为模型为基础的采样技术，以尽量减少实时流量处理开销。PRISM具有独特的多层体系结构，可分布式监控网络流量，以提供处理效率和设计模块化。PRISM采用基于隐马尔可夫模型的预测机制来识别多阶段攻击，并确定攻击进展以进行主动响应。此外，PRISM引入了一个流管理程序，纠正了从分布式警报报告系统收集时的警报重新排序问题。为了评估PRISM的性能，已经提出了多个度量，并在多阶段攻击数据集上进行了各种实验。结果显示，与标准的集中式IDS相比，处理开销提高了7.5倍，而没有损失预测准确性，同时证明了快速预测不同攻击阶段的能力。
2022-11-20 cs.CR
Labeling NIDS Rules with MITRE ATT&CK Techniques: Machine Learning vs. Large Language Models
本研究比较了三种大语言模型与传统机器学习在将NIDS规则标注为MITRE ATT&CK技术上的性能，发现ML模型准确性更高，并提出了混合方法的潜力。
2024-12-14 cs.CR
On Collaborative Predictive Blacklisting
协作预测黑名单（CPB）允许根据多个组织提供的日志和警报预测未来的攻击源。然而，不幸的是，对CPB的研究只关注增加预测攻击的数量，而没有考虑对误报和漏报的影响。此外，共享警报往往受到保密性，信任和责任问题的阻碍，这促使需要保护隐私的方法来解决这个问题。在本文中，我们提出了一个测量研究国家的最先进的CPB技术，旨在阐明合作的实际影响。为此，我们复制和测量两个系统：一个非隐私友好的系统，使用可访问所有警报的可信协调方（Soldo等人，2010）和使用隐私保护数据共享的对等网络（Freudiger等人，2015年）。我们发现，虽然协作增加了预测攻击的数量，但它也产生了高误报，最终导致准确性差。这促使我们提出一种混合方法，使用半信任的中央实体，旨在提高协作的效用，同时限制信息泄露和误报。这导致更好地权衡真阳性率和假阳性率，同时解决隐私问题。
2018-10-05 cs.CR
A Graph-Based Approach to Alert Contextualisation in Security Operations Centres
Norwegian Defence Research Establishment（挪威国防研究机构）；University of Oslo（奥斯陆大学）
本文提出一种基于图的方法，将安全警报聚合为基于图的警报组以增强上下文化，并利用图匹配网络（GMNs）将其与历史事件关联，从而提升SOC中的威胁分析与优先级排序能力。
2025-09-18 cs.AI cs.CR
Ensemble Defense System: A Hybrid IDS Approach for Effective Cyber Threat Detection
针对复杂网络攻击的检测难题，提出混合IDS框架EDS，结合特征与异常检测及SIEM工具，经多种攻击负载验证能有效检测网络威胁。
2024-01-07 cs.CR
RANK: AI-assisted End-to-End Architecture for Detecting Persistent Attacks in Enterprise Networks
Arctic Wolf Networks（北极狼网络公司）
高级持续性威胁（APT）是一种复杂的多步骤攻击，由熟练的攻击者针对现代政府和企业网进行计划和执行。入侵检测系统（IDS）和用户和实体行为分析（UEBA）通常用于帮助安全分析人员检测APT。APT的持久性，再加上UEBA和IDS的细粒度关注，导致分析师无法承受越来越多不切实际的警报。由于数据丰富，加上问题的重要性以及所涉及的技术人员的高成本，APT检测问题成为通过人工智能（AI）实现自动化的完美候选者。在本文中，我们提供了，据我们所知，第一个研究和实现的一个端到端的AI辅助架构检测APT- RANK。该系统的目标不是取代分析师，而是自动化从数据源到最终事件集的完整管道，以供分析师审查。该体系结构由四个连续的步骤组成：1）警报模板和合并，2）警报图构造，3）警报图划分为事件，和4）事件评分和排序。我们评估我们的架构对2000年DARPA入侵检测数据集，以及从一个中等规模的企业读取世界的私人数据集。提供了大量的结果，显示了三个数量级减少的数据量由分析师，创新的提取事件和安全明智的评分提取的事件。
2021-01-06 cs.CR cs.LG
Uncovering and Understanding FPR Manipulation Attack in Industrial IoT Networks
本文揭示了工业物联网网络中的一种新型FPR操纵攻击，通过利用MQTT协议知识对良性流量进行扰动，导致NIDS误判，并通过实验验证了其高成功率及对安全运营的影响。
2026-01-20 cs.CR cs.LG
Combining Exploratory Analysis and Automated Analysis for Anomaly Detection in Real-Time Data Streams
本文通过开发实时监控BGP流量的原型系统，探讨探索性分析与自动化分析的互补性，以检测异常并可视化警报上下文，为安全监控系统开发提供见解。
2026-09-21 cs.CR
Detection, Explanation and Filtering of Cyber Attacks Combining Symbolic and Sub-Symbolic Methods
Siemens AG（西门子股份公司）；European Space Agency（欧洲空间局）
针对图神经网络在网络安全入侵检测中决策不透明、误报多的问题，提出结合符号与亚符号的可解释方法，在工业系统中实现直观解释并大幅降低误报率。
2022-12-23 cs.CR cs.LG
Automated Alert Classification and Triage (AACT): An Intelligent System for the Prioritisation of Cybersecurity Alerts
Sophos（Sophos公司）；Flare
本文提出AACT智能系统，通过学习分析师分诊决策实时自动关闭良性警报并优先处理关键警报，在真实SOC中六个月减少61%分析师可见警报，漏报率仅1.36%。
2025-05-14 cs.CR cs.LG stat.AP
An Immune Inspired Network Intrusion Detection System Utilising Correlation Context
网络入侵检测系统（NIDS）是监控网络的计算机系统，其目的是辨别网络上的恶意活动和良性活动。虽然各种各样的方法都取得了不同程度的成功，但大多数IDS依赖于访问由安全专家编写的已知攻击签名的数据库。目前，为了解决误报问题，相关算法被用来添加额外的结构到IDS警报序列。然而，这些技术在发现新的攻击或已知攻击的变体方面没有帮助，而人类免疫系统（HIS）能够在自己的专业领域中做到这一点。本文提出了一种新的免疫算法应用于入侵检测问题。目标是发现包含现有签名库所覆盖的攻击的新变化的数据包。
2009-10-16 cs.AI cs.CR cs.NE
HunterAgent: Neuro-Symbolic Attack Trace Reconstruction under Anti-Forensics
Faculty of Computing, Harbin Institute of Technology（哈尔滨工业大学计算机学院）；School of Computer Science and Technology, Harbin Institute of Technology (Weihai)（哈尔滨工业大学（威海）计算机科学与技术学院）；Chang An Communication Technology Co., Ltd.（长安通信技术有限公司）；National Computer Network Emergency Response Technical Team/Coordination Center of China (CNCERT/CC)（国家计算机网络应急技术处理协调中心）；Harbin Institute of Technology (Weihai) Qingdao Research Institute（哈尔滨工业大学（威海）青岛研究院）
针对反取证技术导致的攻击痕迹断裂问题，提出神经符号框架HunterAgent，将痕迹重建建模为部分可观测下的代价约束启发式图搜索，通过生成器-验证器流水线和校准代价函数实现高精度重建。
2026-05-28 cs.CR
Network entity characterization and attack prediction
CESNET；Continental AG（大陆集团）；Aalborg University（奥尔堡大学）
网络攻击的破坏性影响突出了对新型攻击检测和预防技术的需求。在过去的几年里，在攻击检测和协作防御领域已经做了大量的工作。然而，对现有技术的分析表明，在对警报数据进行优先级排序以及研究最近发现的攻击与其再次发生的概率之间的关系方面存在许多挑战。在这篇文章中，我们提出了一个系统，旨在表征网络实体和可能性，他们将在未来的恶意行为。我们的系统，即网络实体信誉数据库系统（NERDS），考虑了所有可用的信息，关于一个网络实体（如。G. IP地址）来计算其恶意行为的概率。后一部分是通过利用机器学习来实现的。我们的实验结果表明，它确实是可以精确地估计未来的攻击概率从每个实体使用有关其以前的恶意行为和其他特征的信息。通过这种概率对实体进行排名在警报优先级排序、有限长度的高效黑名单的组装和其他用例中具有实际应用。
2019-09-17 cs.CR cs.LG cs.NI
CyberRAG: An Agentic RAG cyber attack classification and reporting tool
University of Calabria（卡利博里大学）；IMT School for Advanced Studies（IMT高级研究学院）
CyberRAG是一种基于代理的RAG框架，通过模块化设计实现网络攻击的实时分类、解释和结构化报告，提高检测准确性和可解释性。
2025-09-10 cs.AI cs.CR cs.SE
Personalized Security Indicators to Detect Application Phishing Attacks in Mobile Platforms
移动应用程序中的网络钓鱼是一种相关的威胁，在野外报告了成功的攻击。在此类攻击中，恶意移动应用程序伪装成合法应用程序来窃取用户凭据。在本文中，我们分类应用程序钓鱼攻击在移动平台和可能的对策。我们表明，个性化的安全指标可以帮助用户检测网络钓鱼攻击，并有很小的部署成本。然而，个性化的安全指示器依赖于用户的警觉性来检测网络钓鱼攻击。先前在网站钓鱼背景下的工作表明，用户往往会忽略安全指标的缺失，并成为攻击者的受害者。因此，研究界认为个性化的安全指标是一种无效的网络钓鱼检测机制。我们评估个性化的安全指标作为一个网络钓鱼检测解决方案的背景下，移动应用程序。我们进行了一项大规模的用户研究，其中大量使用个性化安全指标的参与者能够检测到网络钓鱼。所有没有使用指示器的参与者都无法检测到攻击，并将其凭据输入到网络钓鱼应用程序。我们发现攻击检测率的差异具有统计学意义。因此，个性化的安全指标可以帮助移动应用程序中的网络钓鱼检测，并且应该重新考虑其作为反网络钓鱼机制的声誉。我们还提出了一种新的协议，在强对抗模型下设置个性化的安全指标，并详细介绍了其性能和可用性。
2015-02-24 cs.CR
Processor Hardware Security Vulnerabilities and their Detection by Unique Program Execution Checking
最近在高级处理器中发现的安全攻击，被称为Spectre和Meltdown，导致公众对硬件安全的高度警觉。这些攻击的根本原因是通过“隐蔽通道”的信息泄漏，这些通道在秘密和攻击者之间没有任何显式信息流的情况下泄露秘密数据。许多消息来源认为，这种隐蔽通道是基于推测和乱序执行的高度先进的处理器架构所固有的，这表明可以通过远离高端处理器来避免这种安全风险。然而，本文表明，这个问题是更广泛的范围：我们提出了新的类别的隐蔽通道攻击，这是可能的平均复杂度的处理器，按顺序流水线，因为它们是主流的应用程序，从物联网到自治系统。我们提出了一种新的方法作为对隐蔽通道补救的基础：虽然所有以前的攻击都是通过人类攻击者的巧妙思考发现的，但本文提出了一种自动化和详尽的方法，称为“唯一程序执行检查”，该方法系统地检测和定位隐蔽通道的漏洞，包括迄今为止未知的隐蔽通道。
2018-12-05 cs.CR
OSTINATO: Cross-host Attack Correlation Through Attack Activity Similarity Detection
针对企业网络中跨多主机攻击难关联的问题，提出基于攻击战术技术相似性的跨主机关联方法Ostinato，无需横向移动检测，可检出更多失陷主机并大幅减少告警。
2023-12-14 cs.CR
RAPTOR: Advanced Persistent Threat Detection in Industrial IoT via Attack Stage Correlation
本文提出RAPTOR系统，利用ICS/OT环境的TTP和易采集的流量与IDS警报关联APT攻击阶段并生成行动图，实验表明其检测精度高、误报漏报低。
2023-09-26 cs.CR
Robust Attack Graph Generation
Delft University of Technology（代尔夫特理工大学）
我们提出了一种方法来学习自动机模型，更强大的输入修改。它迭代地将序列与已学习的模型对齐，将序列修改为其对齐版本，并重新学习模型。自动机学习算法通常非常擅长对软件系统的频繁行为进行建模。我们的解决方案还可以用于学习不频繁序列中存在的行为，因为这些行为将与模型表示的频繁行为对齐。我们将我们的方法应用于SAGE工具，用于根据入侵警报对攻击者行为进行建模。在实验中，我们证明了我们的算法可以学习可以处理噪声的模型，例如从序列中添加和删除符号。此外，它学习更简洁的模型，更好地适应训练数据。
2022-06-15 cs.CR cs.LG
Self-Verifying Anomaly Detection using Explainable AI for Cybersecurity of DER Networks
Iowa State University（爱荷华州立大学）
针对分布式能源网络，提出基于XAI的自验证异常检测框架ExCYDER，结合LightGBM与SHAP验证警报，实现高准确率与可解释性。
2026-09-14 cs.AI cs.CR cs.LG
Implementing Snort Intrusion Prevention System (IPS) for Network Forensic Analysis
本研究针对企业Confluence电子学习服务器的攻击风险，在PfSense上以IPS模式部署Snort构建综合安全系统，实现攻击检测、IP自动阻断及网络取证调查，验证了方案的有效性。
2023-08-25 cs.CR
Exploiting HDMI and USB Ports for GPU Side-Channel Insights
本文提出利用USB和HDMI端口的功耗侧信道攻击，通过定制设备高分辨率测量功耗来推断GPU上的神经网络计算和视频渲染等活动，揭示了现有端口安全防御的不足。
2024-10-03 cs.CR
