Andro-profiler: Detecting and Classifying Android Malware based on Behavioral Profiles
由于移动技术的发展和移动设备的普及，大众市场的移动安全威胁最近有所增加。因此，已经引入了用于利用静态、动态、设备上、设备外和混合方法来识别、分类和防御移动威胁的技术。在本文中，我们通过引入Andro-profiler，一个混合的基于行为的分析和分类系统的移动恶意软件的移动安全防御态势。Andro-profiler通过利用从集成系统日志（包括系统调用）中提取的行为分析来对恶意软件进行分类，这些日志隐含地等同于不同的行为特征。Andro-profiler在模拟器上执行恶意应用程序以生成集成系统日志，并通过分析集成系统日志创建人类可读的行为配置文件。通过将恶意应用程序的行为特征与每个恶意软件家族的代表性行为特征进行比较，Andro-profiler检测并将其分类为恶意软件家族。实验结果表明，Andro-profiler具有良好的可扩展性，在恶意软件检测和分类方面表现良好，准确率高于$98\%$，优于现有的最先进的工作，并且能够识别零日移动恶意软件样本。
2016-06-04 cs.CR
Multilayer Block Models for Exploratory Analysis of Computer Event Logs
我们研究了一种基于图的方法，探索性的数据分析的背景下，网络安全监控。鉴于可能是一个大批量的事件日志描述正在进行的活动，我们首先表示这些事件作为一个二分复用图。然后，我们应用基于模型的双聚类算法来提取实体的相关集群和这些集群之间的交互，从而提供一个简化的情景图片。我们通过两个案例研究来说明这种方法，分别解决网络流记录和身份验证日志。在这两种情况下，推断的集群揭示了实体的功能角色以及相关的行为模式。这些集群之间的网络交互也有助于发现恶意活动。我们的代码可在https://github.com/cl-anssi/MultilayerBlockModels上获得。
2022-06-21 cs.CR stat.AP
Malicious Lateral Movement in 5G Core With Network Slicing And Its Detection
本文针对启用网络切片的5G核心网提出恶意横向移动策略，并设计5GLatte系统，通过主机-容器访问图与阈值异常检测实现高真阳性率、低假阳性率的横向移动检测。
2023-12-04 cs.CR
LMDG: Advancing Lateral Movement Detection Through High-Fidelity Dataset Generation
提出LMDG框架，通过自动化良性活动生成、多阶段攻击执行和进程树标注技术，生成高保真横向移动数据集，支持细粒度攻击标注，提升检测模型评估效果。
2025-08-04 cs.CR
MORTON: Detection of Malicious Routines in Large-Scale DNS Traffic
在本文中，我们提出了莫顿，一种方法，确定受损设备在企业网的基础上存在的日常DNS设备之间的通信和不良主机名。由于其输入数据的紧凑表示和使用高效的信号处理和用于分类的神经网络，MORTON被设计为准确，鲁棒和可扩展。我们评估莫顿使用大型数据集的企业DNS日志，并将其与两个最近提出的信标检测方法，旨在检测恶意软件通信。结果表明，虽然MORTON在合成实验中的准确性与其他方法相当，但它在检测复杂的机器人通信技术（如多级通道）以及其鲁棒性和效率方面优于这些方法。在现实世界的评估中，其中包括以前未报告的威胁，MORTON和两种比较的方法被部署来监视两个全球企业的（未标记的）DNS流量长达一周的时间;该评估证明了MORTON在现实世界中的有效性，并展示了其在真阳性和假阳性率方面的优越性。
2021-01-21 cs.CR
SAFE-PDF: Robust Detection of JavaScript PDF Malware Using Abstract Interpretation
PDF格式的流行和PDF查看器提供的丰富的JavaScript环境使PDF文档成为恶意软件开发人员的一个有吸引力的攻击媒介。PDF文档对组织的安全性构成了严重威胁，因为大多数用户对它们毫无戒心，因此可能会打开来自不受信任来源的文档。我们建议通过使用保守的抽象解释来静态推理嵌入式JavaScript代码的行为来识别恶意PDF。目前，最先进的工具：（1）基于与已知恶意样本的结构相似性静态识别PDF恶意软件;或（2）动态执行代码以检测恶意行为。这两种方法容易受到规避攻击，这些攻击模仿良性文档的结构，或者在动态分析时不会表现出恶意行为。相反，抽象解释对这两种类型的回避都是不敏感的。与两种最先进的PDF恶意软件检测工具的比较表明，我们保守的抽象解释方法实现了类似的准确性，同时更能抵御规避攻击。
2018-10-30 cs.CR
Adaptively Detecting Malicious Queries in Web Attacks
Web请求查询字符串（查询），将参数传递给引用的资源，总是被攻击者操纵以检索敏感数据，甚至完全控制受害者Web服务器和Web应用程序。然而，现有的恶意查询检测方法在当前的文献中不能应付不断变化的Web攻击与恒定的检测模型。在本文中，我们提出了AMODS，一个自适应系统，定期更新的检测模型，以检测最新的未知攻击。我们还提出了一种自适应学习策略，称为SVM HYBRID，利用我们的系统，以尽量减少手工工作。在评估中，一个最新的检测模型进行了训练，从一个学术机构的Web服务器日志收集了10天的查询数据集。我们的系统优于现有的Web攻击检测方法，F值为94.79%，FP率为0.09%。SVM HYBRID方法得到的恶意查询总数是目前流行的支持向量机自适应学习（SVM AL）方法的2.78倍。获取的恶意查询可用于更新Web应用程序防火墙（WAF）特征库。
2017-11-28 cs.CR cs.NI
DANTE: Predicting Insider Threat using LSTM on system logs
Rensselaer Polytechnic Institute（伦斯勒理工学院）
内部威胁是世界各地信息和通信技术（ICT）最有害的威胁载体之一，因为内部人员的信任和访问程度提高。这种类型的威胁可能来自有动机的恶意用户以及疏忽的用户，他们无意中泄露了有关商业机密、公司信息的详细信息，甚至向恶意玩家访问信息。在本文中，我们提出了一种新的方法，使用系统日志来检测内部行为使用一个特殊的递归神经网络（RNN）模型。使用DANTE建立地面实况，并将其用作识别异常行为的基线。为此，系统日志被建模为一个自然语言序列，并从这些序列中提取模式。我们创建遵循自然语言逻辑和控制流的动作序列的工作流。这些流被分配了各种行为类别-恶性或良性。任何与这些序列的偏差都表明存在威胁。我们进一步将威胁分类为CERT内部威胁数据集中提供的五个类别之一。通过实验评估，我们表明，该模型可以达到99%的预测精度。
2021-02-10 cs.AI cs.CR
Lateral Movement Detection via Time-aware Subgraph Classification on Authentication Logs
Institute of Cyberspace Security, Zhejiang University of Technology（浙江工业大学网络空间安全研究院）；Binjiang Institute of Artificial Intelligence, ZJUT（浙江工业大学滨江人工智能研究院）；College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；Science and Technology on Communication Information Security Control Laboratory（通信信息安全控制科学与技术重点实验室）
针对APT攻击中横向移动隐蔽性强的问题，提出LMDetect框架，通过构建异构多重图和时间感知子图生成器，结合多尺度注意力编码器捕获异常行为，在真实数据集上验证了其有效性。
2024-11-15 cs.AI cs.CR
EagleEye: Attention to Unveil Malicious Event Sequences from Provenance Graphs
EagleEye利用溯源图特征和事件嵌入训练轻量级Transformer模型，以检测长序列中的恶意行为，并通过注意力机制提供可解释的告警，在DARPA数据集上显著优于现有方法。
2024-09-02 cs.CR
Multi-Instance Adversarial Attack on GNN-Based Malicious Domain Detection
New Jersey Institute of Technology（新泽西理工学院）；Qatar Computing Research Institute (QCRI)（卡塔尔计算研究所）；Hamad Bin Khalifa University (HBKU)（哈马德·本·哈利法大学）
针对基于GNN的恶意域名检测易被多域名攻击者规避的问题，提出推理阶段多实例对抗攻击方法MintA，仅需黑盒访问即可通过优化扰动实现超80%的攻击成功率，为安全防护敲响警钟。
2023-08-22 cs.AI cs.CR
LogPrécis: Unleashing Language Models for Automated Malicious Log Analysis
Politecnico di Torino（都灵理工大学）；Università di Torino（都灵大学）；Huawei Technologies France（华为法国技术公司）
本文提出基于语言模型的自动化分析工具 LogPrécis，通过为 Unix shell 攻击会话分配战术序列指纹，将约 40 万次攻击归约为 3,000 类，辅助安全专家高效理解攻击并提升防御响应能力。
2024-03-22 cs.AI cs.CR cs.NI
LogSHIELD: A Graph-based Real-time Anomaly Detection Framework using Frequency Analysis
New Mexico Institute of Mining and Technology（新墨西哥矿业技术学院）；University of Texas at San Antonio（德克萨斯大学圣安东尼奥分校）
针对传统异常检测模型计算开销高、准确率低，难以适配企业网络实时威胁检测的问题，本研究提出基于图频域分析的LogSHIELD框架，通过两种图嵌入方案结合聚类算法实现异常检测，在大型主机日志数据集上实现超98%的AUC与F1分数，检测延迟仅0.13秒，性能优于现有最优模型。
2024-10-29 cs.AI cs.CR
Early Detection of In-Memory Malicious Activity based on Run-time Environmental Features
Ben-Gurion University（本-古里安大学）
近年来，恶意软件变得越来越复杂，在利用之前难以检测。虽然有很多恶意软件检测方法，但在利用之前正确识别恶意软件时，它们都有缺点。权衡通常是在误报，导致开销，阻止正常使用和让恶意软件执行并对目标造成损害的风险之间。我们提出了一种新的端到端解决方案，用于在利用之前进行内存中恶意活动检测，方法是利用基于独特运行时间日志数据的机器学习功能，这些日志经过精心策划，以检测受保护进程内存中的恶意活动。此解决方案可降低开销和误报，并简化部署。我们为基于Windows的系统实施了我们的解决方案，采用了来自恶意软件研究、机器学习和操作系统内部的多学科知识。我们的实验评估取得了可喜的成果。由于我们预计未来复杂的恶意软件可能会试图绕过它，我们还讨论了如何扩展我们的解决方案以阻止此类绕过尝试。
2021-03-30 cs.CR cs.LG
Graph Neural Network Based Adaptive Threat Detection for Cloud Identity and Access Management Logs
Independent Researcher（独立研究者）
本文提出基于图神经网络的自适应威胁检测框架，用于实时分析云身份和访问管理日志中的异常行为，提升检测精度和可扩展性。
2025-12-11 cs.AI cs.CR
Detection of Early-Stage Enterprise Infection by Mining Large-Scale Log Data
近年来，越来越多的复杂攻击出现，包括针对机密专有信息的高级持续性威胁（APT），这些攻击给组织和政府带来了严重风险。此外，新的恶意软件菌株正在以比以往更高的速度出现。由于这些恶意软件中的许多被设计为逃避现有的安全产品，因此当今大多数企业部署的传统防御，例如，防病毒、防火墙、入侵检测系统通常不能在早期阶段检测到感染。我们解决了在企业环境中检测早期感染的问题，提出了一个新的框架的基础上，从图论的启发信念传播。置信传播可以与受损主机或恶意域的“种子”（由企业安全操作中心- SOC提供）一起使用，也可以不使用任何种子。在后一种情况下，我们开发了一个检测器的C&C通信，特别是为企业量身定制的，它可以检测到一个隐形的妥协，只有一个主机与C&C服务器通信。我们证明了我们的技术在检测企业感染方面表现良好。我们在洛斯阿拉莫斯国家实验室（LANL）发布的两个月的匿名DNS日志中实现了高准确率和低误报率，其中包括LANL领域专家模拟的APT感染攻击。我们还将我们的算法应用于在大型企业边界收集的38 TB真实Web代理日志。通过与企业SOC合作进行仔细的手动调查，我们发现我们的技术识别了数百个被最先进的安全产品所忽视的恶意域。
2014-11-24 cs.CR
Can LLM Infer Risk Information From MCP Server System Logs?
Southern University of Science and Technology（南方科技大学）
本文提出首个评估LLM从MCP服务器系统日志中识别安全风险的合成基准，通过训练不同模型展示强化学习在提升LLM安全性能中的有效性。
2026-01-22 cs.CL cs.CR
Multi-Source Cybersecurity Logs: An ATT&CK-Labeled Dataset and SLM Evaluation
Windows endpoints（Windows终端）
为解决多阶段网络攻击检测中缺乏带ATT&CK技术标签的多源日志数据集问题，构建了包含870个会话（70个攻击、800个良性）和约230万事件的多源日志数据集，并基于该数据集微调三个小语言模型，在分块分类任务上准确率从约8%提升至90%-97%。
2026-06-17 cs.CR cs.LG
SmartGuard: Leveraging Large Language Models for Network Attack Detection through Audit Log Analysis and Summarization
Zhejiang University（浙江大学）；Ant Group（蚂蚁集团）
SmartGuard通过结合抽象行为与大语言模型，实现基于审计日志的网络攻击检测，具有高准确率和良好的可扩展性。
2026-02-13 cs.CR
LogBERT: Log Anomaly Detection via BERT
检测在线计算机系统中的异常事件对于保护系统免受恶意攻击或故障至关重要。系统日志记录了计算事件的详细信息，被广泛用于系统状态分析。在本文中，我们提出了LogBERT，日志异常检测的双向编码器表示从Transformers（BERT）的基础上的自监督框架。LogBERT通过两个新的自监督训练任务来学习正常日志序列的模式，并且能够检测出潜在模式偏离正常日志序列的异常。在三个日志数据集上的实验结果表明，LogBERT优于最先进的异常检测方法。
2021-03-07 cs.CR
Analysis, Detection, and Classification of Android Malware using System Calls
随着Android在过去十年中的日益普及，Android在用户和攻击者中很受欢迎。大量的android用户吸引了android攻击者的注意力。由于android恶意软件的种类和攻击技术的不断发展，我们的检测方法也需要更新。研究者的工作大多是基于静态特征，很少关注动态特征。在本文中，我们通过使用系统调用检测Android恶意软件来填补文献空白。我们正在使用模拟器检测恶意软件的监控和控制环境中运行恶意应用程序。恶意行为在其运行期间通过一些模拟事件来激活其敌对行为。在应用程序运行时收集的恶意软件将被分析并提供给不同的机器学习模型，用于恶意软件的检测和家族分类。结果表明，K-最近邻和决策树分别给出了最高的准确率在恶意软件检测和家庭分类。
2022-08-12 cs.CR
Guarding Against Malicious Biased Threats (GAMBiT) Experiments: Revealing Cognitive Bias in Human-Subjects Red-Team Cyber Range Operations
GAMBiT项目通过三个大规模红队网络靶场实验采集多模态数据，用于揭示攻击者认知偏见并支持行为建模与基准测试。
2025-08-28 cs.CR cs.GT
UDora: A Unified Red Teaming Framework against LLM Agents by Dynamically Hijacking Their Own Reasoning
Department of Computer Science, University of Chicago（芝加哥大学计算机科学系）；Meta；Department of Computer Science, University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校计算机科学系）
针对LLM智能体执行恶意操作难的问题，提出统一红队框架UDora，通过生成推理轨迹、插入扰动并迭代优化，诱导智能体执行指定恶意行为，在三个数据集上效果优于现有方法。
2025-11-12 cs.AI cs.CR cs.LG
Winemaking: Extracting Essential Insights for Efficient Threat Detection in Audit Logs
本文提出轻量级威胁检测系统Winemaking，通过图拉普拉斯正则化降噪和知识蒸馏框架，将GNN教师模型的知识迁移到由特征变换与个性化PageRank标签传播组成的学生模型中，在审计日志来源图上实现高效节点级APT检测，检测速度比现有最优方法快1.4至5.2倍。
2024-11-21 cs.CR
ADSAGE: Anomaly Detection in Sequences of Attributed Graph Edges applied to insider threat detection at fine-grained level
Atos Information Technology（Atos信息技术公司）；University of Passau（帕绍大学）
以前的作品在CERT内部威胁检测的情况下，忽略了图形和文本功能，尽管它们的相关性来描述用户的行为。此外，现有系统严重依赖于特征工程和审计数据聚合来检测恶意活动。这是耗时的，需要专业知识，并防止追溯警报到精确的用户操作。为了解决这些问题，我们引入ADSAGE来检测异常的审计日志事件建模为图形边缘。我们的一般方法是第一个在边缘级别进行异常检测，同时支持边缘序列和属性，可以是数字，分类，甚至文本。我们描述了ADSAGE如何在CERT用例的不同审计日志中用于细粒度的事件级内部威胁检测。值得注意的是，没有标准的CERT问题的基准，我们使用以前提出的评估设置的基础上现实的召回为基础的指标。我们评估ADSAGE的身份验证，电子邮件流量和来自CERT内部威胁数据集的Web浏览日志，以及真实世界的身份验证事件。ADSAGE可以有效地检测身份验证中的异常，建模为用户与计算机的交互，以及电子邮件通信。简单的基线也会产生令人惊讶的强大结果。我们还报告了CERT数据集中存在的恶意场景的性能分裂：有趣的是，几个检测器是互补的，可以结合起来提高检测。总的来说，我们的研究结果表明，图特征是翔实的恶意内部活动的特征，并在细粒度级别的检测是可能的。
2020-07-14 cs.CR cs.LG stat.ML
Semantic embeddings for program behavior patterns
在本文中，我们提出了一种新的特征提取技术的程序执行日志。首先，我们从程序的行为图中自动提取复杂的模式。然后，我们通过训练自动编码器将这些模式嵌入到连续空间中。我们评估建议的功能在现实世界中的恶意软件检测任务。我们还发现，嵌入空间捕获的模式部分的空间中的可解释的结构。
2018-04-10 cs.CR stat.ML
CASHEWS: Source Preprocessor for LLM-based Malicious Package Detection
University of Wisconsin–Madison（威斯康星大学麦迪逊分校）；Socket Inc.（Socket公司）
CASHEWS是一个JavaScript预处理器，通过去混淆、提取模块和计算反向切片来精简代码，提高LLM恶意包检测覆盖率并降低假阴性率，使大规模分析更实用。
2026-09-17 cs.CR
Detection of Malicious and Low Throughput Data Exfiltration Over the DNS Protocol
在存在安全对策的情况下，设计用于数据泄露的恶意软件必须使用隐蔽通道来实现其目标。在现有的隐蔽通道中有域名系统（DNS）协议。虽然在过去的十年中，DNS上的隐蔽通道的检测已经得到了深入的研究，以前的研究涉及一个特定的隐蔽通道的子类，即DNS隧道。虽然隧道检测的重要性没有被削弱，但一类低吞吐量DNS渗透恶意软件仍然被忽视。本研究的目标是提出一种方法，用于检测隧道和低吞吐量的数据泄露的DNS。为此，我们提出了一个解决方案，包括一个监督特征选择方法，和一个可互换的，可调整的异常检测模型训练的合法流量。在第一步中，应用单类分类器来检测不符合正常行为的特定于域的流量。然后，在第二步中，为了减少由于尝试检测低吞吐量数据泄漏而导致的误报率，我们应用基于规则的过滤器，该过滤器过滤合法服务使用的DNS上的数据交换。我们的解决方案在中等规模的递归DNS服务器日志上进行了评估，涉及超过75，000次合法使用和近2，000次攻击。评估结果表明，虽然DNS隧道覆盖至少99%的召回率和小于0.01%的误报率，低吞吐量的渗透检测是比较困难的。虽然不能完全阻止它，但我们的解决方案在DNS语法的限制下（相当于每小时5个信用卡详细信息或10个用户凭据）限制了恶意软件试图避免检测的最多1 kb/h有效负载，这降低了攻击的有效性。
2018-06-18 cs.CR
Automated Ransomware Behavior Analysis: Pattern Extraction and Early Detection
安全操作中心（SOC）通常使用各种工具来收集大量的主机日志，以检测和取证入侵。我们的经验，支持最近的用户研究SOC运营商，表明运营商花费大量的时间（例如，数百个工时），对寻求对抗性行动的日志进行调查。类似地，重新配置工具以使检测器适应未来的类似攻击是在获得新的见解时常见的（例如，通过内部调查或共享指标）。本文提出了一种自动化的恶意软件模式提取和早期检测工具，测试了三种机器学习方法：TF-IDF（词频-逆文档频率），Fisher LDA线性判别分析（Linear Discriminant Analysis）（额外的树/极度随机化的树），可以（1）分析沙箱中新发现的恶意软件样本并生成动态分析报告（主机日志）;（2）自动提取事件序列引起的恶意软件给出了大量的环境（未受攻击的）主机日志，以及来自感染了潜在多态恶意软件的主机的相对较少的日志;（3）对恶意软件的最具区别性的特征（独特模式）进行排名，并从学习到的行为中检测恶意活动;以及（4）允许操作员可视化区别性特征及其相关性，以促进恶意软件取证工作。为了验证我们的工具的准确性和效率，我们设计了三个实验，并测试了七个勒索软件攻击（即，WannaCry、DBGer、Cerber、Defray、GandCrab、Locky和nRansom）。实验结果表明，TF-IDF是三种方法中识别鉴别特征的最佳方法，而ET是时间效率和鲁棒性最高的方法。
2019-10-15 cs.CR cs.CY
Tools and Techniques for Malware Detection and Analysis
互联网今天面临的主要和严重的威胁之一是大量的数据和文件需要评估潜在的恶意意图。恶意软件，通常被称为由攻击者设计的恶意软件，在本质上是多态和变形的，其具有在传播时改变其代码的能力。此外，其变种的多样性和数量严重破坏了传统防御的有效性，传统防御通常使用基于签名的技术，无法检测到以前未知的恶意可执行文件。恶意软件家族的变种共享反映其起源和目的的典型行为模式。可以利用静态或动态获得的行为模式来使用机器学习技术检测未知恶意软件并将其分类到其已知家族中。本调查报告概述了用于检测和分析恶意软件的技术和工具。
2020-06-30 cs.CR
Fast Botnet Detection From Streaming Logs Using Online Lanczos Method
CA Technologies, Inc.（CA Technologies公司）；College of Computing & Informatics, Drexel University（德雷塞尔大学计算与信息学院）；Department of Mathematics, Temple University（Temple大学数学系）；Department of Computer Science, Maryland University at Baltimore County（马里兰大学巴尔的摩县计算机科学系）
本文提出了一种基于在线兰茨斯方法的僵尸网络检测方法，通过将PCA方法改进为亚立方复杂度，提高了实时检测的准确性和灵敏度，同时提出了通用的在线相关矩阵更新公式和新的终止条件。
2018-12-19 cs.CR cs.LG cs.NA
Training Transformers for Information Security Tasks: A Case Study on Malicious URL Prediction
FireEye Inc.（火眼公司）
用于信息安全（InfoSec）的机器学习（ML）利用不同的数据类型和格式，这些类型和格式在对原始数据进行优化/训练期间需要不同的处理。在本文中，我们实现了一个恶意/良性的URL预测器的基础上，从零开始训练的Transformer架构。我们表明，与传统的自然语言处理（NLP）Transformers相比，该模型需要不同的训练方法才能正常工作。具体来说，我们表明：1）在自回归任务的大量未标记URL数据语料库上进行预训练并不容易转移到恶意/良性预测，但2）使用辅助自回归损失可以提高从头开始训练时的性能。我们介绍了一种混合目标优化的方法，动态平衡两个损失项的贡献，使它们都不占主导地位。我们表明，这种方法产生的性能与几个性能最好的基准分类器。
2020-11-05 cs.CR cs.LG
Android Malware Detection using Markov Chain Model of Application Behaviors in Requesting System Services
Android恶意软件的广泛增长促使安全研究人员提出不同的方法来分析和检测应用程序中的恶意行为。然而，目前的解决方案不适合准确有效地提取Android应用程序的细粒度行为。在本文中，我们提出了ServiceMonitor，一个轻量级的基于主机的检测系统，动态检测恶意应用程序直接在移动设备上。ServiceMonitor基于一种新的系统服务使用分析技术重构应用程序的细粒度行为。使用建议的系统服务使用的角度来看，使我们能够建立一个统计马尔可夫链模型来表示什么和如何系统服务被用来访问系统资源。然后，我们考虑以特征向量的形式构建马尔可夫链，并使用随机森林分类算法将应用程序行为分类为恶意或良性。ServiceMonitor优于当前基于主机的解决方案，评估它对4034恶意软件和10024良性应用程序，并获得96%的准确率和微不足道的开销和性能损失。
2017-11-15 cs.CR
Finding Rats in Cats: Detecting Stealthy Attacks using Group Anomaly Detection
Symantec Corporation（赛门铁克公司）；University College Dublin（都柏林大学学院）；The University of Auckland（奥克兰大学）
高级攻击活动跨越多个阶段，并在很长一段时间内保持隐身。攻击者使用现成工具和预安装系统应用程序（如\emph{powershell}和\emph{wmic}）来逃避检测的趋势越来越明显，因为系统管理员和安全分析师也会出于合法目的在日常任务中使用相同的工具。要开始调查，可以从操作系统中收集事件日志;但是，这些日志足够通用，通常无法将潜在攻击归因于特定的攻击组。文献中的最新方法使用了异常检测技术，其目的是区分计算机或网络系统的恶意行为和正常行为。不幸的是，基于点异常的异常检测系统在某种意义上过于严格，它们可能会错过恶意活动并对攻击进行分类，而不是离群值。因此，更好地检测恶意活动是一个研究挑战。为了应对这一挑战，在本文中，我们利用组异常检测（GAD），它检测单个数据点的异常集合。我们的方法是利用对抗自动编码器（AAE- $α$）构建一个神经网络模型，以检测利用现成工具和系统应用程序的攻击者的活动。此外，我们还构建了特定于特征提取任务的\textit{Behavior2Vec}和\textit{Command2Vec}句子嵌入深度学习模型。我们进行了广泛的实验，以评估我们的模型在现实世界的数据集收集了为期两个月。实证结果表明，我们的方法是有效的和强大的发现有针对性的攻击，笔测试，并利用自定义工具的攻击活动。
2019-05-20 cs.AI cs.CR cs.CV
Malware Detection in Docker Containers: An Image is Worth a Thousand Logs
K3Y Ltd（K3Y有限公司）；International Hellenic University（国际希腊大学）；Kingston University（金斯顿大学）；University of Peloponnese（伯罗奔尼撒大学）；Aristotle University of Thessaloniki（亚里士多德大学）；Hellenic Mediterranean University（希腊地中海大学）；University of Western Macedonia（西马其顿大学）
本研究提出将软件容器转换为大型RGB图像，并采用流式、基于补丁的卷积神经网络进行恶意软件检测，同时发布COSOCO数据集，实验表明该方法在F1和Recall上优于VirusTotal引擎集成。
2025-04-04 cs.AI cs.CR cs.CV
RedChronos: A Large Language Model-Based Log Analysis System for Insider Threat Detection in Enterprises
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Xiaohongshu（小红书）；School of Cyber Science and Technology, University of Science and Technology of China（中国科学技术大学网络空间安全学院）
本文提出 RedChronos 大模型日志分析系统，结合查询感知加权投票与 LLM 驱动变异的语义扩展遗传算法检测企业内部威胁，在 CERT 数据集上表现优异，并将小红书安全运营中心人工干预需求降低约 90%。
2025-03-13 cs.CR cs.LG
Influence of Logging Frameworks on Bind9
University of Potsdam（波茨坦大学）
本研究分析了日志框架对BIND9的影响，发现Fail2Ban监控BIND9的配置可被低流量绕过，提出高性能日志IPC框架FIPS，其开销极小且能提升IPS封禁恶意客户端的速度。
2026-09-02 cs.CR cs.NI cs.OS
Wavelet-Aware Anomaly Detection in Multi-Channel User Logs via Deviation Modulation and Resolution-Adaptive Attention
College of Cyber Security, Jinan University, Guangzhou, China（安全学院，暨南大学，广州，中国）；School of Advanced Technology, Xi’an Jiaotong-Liverpool University, Suzhou, China（先进技术学院，西安交通大学利物浦大学，苏州，中国）
本文提出了一种基于小波意识调制、多分辨率分解和分辨率自适应注意力的多通道用户日志异常检测方法，有效提升了异常检测的精度和召回率。
2026-01-18 cs.CR cs.LG stat.CO
Generating Labeled Flow Data from MAWILab Traces for Network Intrusion Detection
在现代网络世界中，一个日益严重的问题是直接识别网络连接上的恶意活动。机器学习行业在过去几年中的蓬勃发展导致机器学习技术的使用越来越多，这在网络入侵检测研究社区中尤其普遍。在利用这些相当现代的技术时，社区已经意识到数据集对于识别恶意数据包和连接至关重要，特别是与标签相关的信息，以构建学习模型。然而，网络入侵检测社区的研究人员缺乏公开可用的相关数据集。因此，在本文中，我们介绍了一种方法来构建标记流数据相结合的数据包元信息与IDS日志来推断标签的入侵检测研究。具体来说，我们设计了一个NetFlow兼容的格式，因为大量的网络设备，如路由器和交换机，从原始流量导出NetFlow记录的能力。在这样做的过程中，所介绍的方法将帮助研究人员访问相关的网络流数据集以及标签信息。
2018-10-03 cs.CR cs.NI
Semantic-Aware Advanced Persistent Threat Detection Using Autoencoders on LLM-Encoded System Logs
Faculty of Artificial Intelligence and Engineering, Multimedia University Cyberjaya, Malaysia（人工智能与工程学院，多媒体大学（Cyberjaya校区））；Centre for Image and Vision Computing, Centre of Excellence for Artificial Intelligence, Faculty of Artificial Intelligence and Engineering, Multimedia University, Cyberjaya, Selangor, Malaysia（图像与视觉计算中心，人工智能卓越中心，人工智能与工程学院，多媒体大学（Cyberjaya校区，Selangor州））；Computer Science, New York University Abu Dhabi, UAE（计算机科学，纽约大学阿布扎克校区）
本文提出利用LLM生成的语义嵌入和自动编码器，提升对高级持续性威胁的检测能力，实验显示其在复杂威胁场景中表现更优。
2026-01-30 cs.AI cs.CR
SK-Tree: a systematic malware detection algorithm on streaming trees via the signature kernel
网络安全领域中机器学习算法的发展受到所涉及数据的复杂性、层次性、顺序性和多模态性的阻碍。在本文中，我们介绍了流树的概念，作为一个通用的数据结构，包括大部分的现实世界的网络安全数据。从基于主机的事件日志开始，我们将计算机进程表示为连续时间演变的流树。利用签名内核的特性，一个机器学习工具，最近出现的一个领先的技术与复杂的数据序列的学习，我们开发的SK树算法。SK树是一种监督学习方法，用于在流树上进行系统的恶意软件检测，该方法对不规则采样和底层流的高维性具有鲁棒性。我们证明了SK-Tree在部分公开的DARPA OpTC数据集上检测恶意事件的有效性，达到了98%的AUROC分数。
2021-09-29 cs.CR
HIDBench: Benchmarking Large Language Models for Host-Based Intrusion Detection
University of California, Irvine（加州大学洛杉矶分校）；University of California, Los Angeles（加州大学洛杉矶分校）
本文提出HIDBench基准测试，用于评估大型语言模型在支持基于主机的入侵检测系统（HIDS）中的能力，揭示了LLM在复杂系统日志数据中的性能差异和敏感性。
2026-05-20 cs.CR cs.LG
Recurrent Neural Network Language Models for Open Vocabulary Event-Level Cyber Anomaly Detection
自动化分析方法是监控和保护网络以保护其托管的敏感或机密数据的关键辅助手段。这项工作介绍了一种灵活，强大，无监督的方法来检测计算机和网络日志中的异常行为，在很大程度上消除了现有方法所采用的依赖于域的特征工程。通过将系统日志视为交错的“句子”（事件日志行）来训练在线无监督神经网络语言模型，我们的方法提供了一个正常网络行为的自适应模型。我们比较了标准和双向循环神经网络语言模型在检测网络日志数据中的恶意活动方面的有效性。扩展这些模型，我们引入了一个分层的循环体系结构，它提供了随着时间的推移，通过建模用户的动作序列的上下文。与隔离森林和主成分分析这两种流行的异常检测算法相比，我们在洛斯阿拉莫斯国家实验室网络安全数据集上观察到了优越的性能。对于日志行级别的红队检测，我们表现最好的基于字符的模型提供了0.98的接收器操作员特征曲线下的测试集区域，证明了这种方法在开放词汇日志源上的强大细粒度异常检测性能。
2017-12-02 cs.CR cs.NE
MemTraceDB: Reconstructing MySQL User Activity Using ActiviTimeTrace Algorithm
本文提出MemTraceDB工具，利用ActiviTimeTrace算法分析MySQL内存快照，重建用户活动时间线，并发现查询栈容量约9997条，据此给出快照采集频率公式，实现不依赖磁盘日志的取证重建。
2025-09-07 cs.CR cs.DB
A compression based framework for the detection of anomalies in heterogeneous data sources
如今，信息和通信技术系统是我们社会和经济模式的基本资产，因此应得到适当保护，使其免遭网络犯罪分子的恶意活动。防御机制通常围绕以多种方式跟踪和存储信息的工具进行阐述，最简单的一种是生成作为安全日志的纯文本文件。安全分析人员通常以半自动的方式检查这些日志文件，以检测可能影响系统完整性的事件。在此基础上，我们提出了一个无参数的方法来检测安全事件的结构化文本，无论其性质。我们使用归一化压缩距离来获得一组特征，这些特征可以由支持向量机用于对来自异构网络安全环境的事件进行分类。具体而言，我们探索和验证我们的方法在四个不同的网络安全领域的应用：HTTP异常识别，垃圾邮件检测，域生成算法跟踪和情感分析。所获得的结果表明，我们的方法在不同的安全场景的有效性和灵活性，具有较低的配置负担。
2019-08-01 cs.CR
HAWK: Rapid Android Malware Detection through Heterogeneous Graph Attention Networks
Android每天都在遭受前所未有的恶意威胁，但现有的恶意软件检测方法往往无法应对恶意软件中不断变化的伪装。为了解决这个问题，我们提出了HAWK，一个新的恶意软件检测框架的进化Android应用程序。我们将Android实体和行为关系建模为异构信息网络（HIN），利用其丰富的语义元结构来指定隐式高阶关系。创建增量学习模型来处理动态表现的应用程序，而不需要重新构建整个HIN和随后的嵌入模型。该模型可以快速定位一个新的应用程序和现有的样本中的应用程序之间的接近度，并聚合不同语义下的数值嵌入。我们的实验检查了在七年内开发的80，860多个恶意应用程序和100，375个良性应用程序，表明HAWK在基线上实现了最高的检测精度，平均只需3.5ms即可检测出样本外的应用程序，加速训练时间比现有方法快50倍。
2021-08-17 cs.CR
Manifest V3 Unveiled: Navigating the New Era of Browser Extensions
本文全面分析了 Manifest V3 生态系统，发现 V3 显著降低了恶意 API 的滥用途径，但通过概念验证表明，仍有 56% 的恶意扩展能在 V3 框架内继续进行有害活动。
2024-04-12 cs.CR
AutoBotCatcher: Blockchain-based P2P Botnet Detection for the Internet of Things
一般来说，僵尸网络是一个受感染的互联网计算机的集合，由攻击者出于恶意目的控制。为了增加攻击的成功机会和抵御防御机制的弹性，现代僵尸网络通常具有分散的P2P结构。在这里，物联网设备正在发挥关键作用，成为恶意方执行攻击的主要工具之一。值得注意的例子是对Krebs on Security和DYN的DDoS攻击，这些攻击是由僵尸网络的物联网设备执行的。我们迈出了在物联网中检测P2P僵尸网络的第一步，提出了AutoBotCatcher，其设计是基于同一僵尸网络的机器人经常相互通信并形成社区的考虑。因此，AutoBotCatcher的目的是动态分析根据其网络流量形成的物联网设备社区，以检测僵尸网络。AutoBotCatcher利用许可的拜占庭容错（BFT）区块链作为状态转换机，允许一组预先识别的各方在没有信任的情况下进行协作，以便通过收集和审计物联网设备的网络流量作为区块链交易来执行协作和动态僵尸网络检测。在本文中，我们重点介绍了AutoBotCatcher的设计，首先定义了AutoBotCatcher底层的区块链结构，然后讨论了其组件。
2018-09-27 cs.CR
Image-based Insider Threat Detection via Geometric Transformation
几十年来，内部威胁检测一直是一项具有挑战性的任务，现有的方法通常采用传统的生成式无监督学习方法来生成正常的用户行为模型，并将显著的偏差检测为异常。然而，这样的方法在精度和计算复杂性上是不足的。本文提出了一种新的内部威胁检测方法--基于图像的几何变换内部威胁检测器（IGT），该方法将无监督的异常检测转化为有监督的图像分类任务，从而通过计算机视觉技术提高了检测性能。为了说明，我们的IGT使用一种新的基于图像的特征表示的用户行为，通过将审计日志转换为灰度图像。通过对这些行为灰度图像进行多次几何变换，IGT构建了一个自标记的数据集，然后训练一个行为分类器，以自监督的方式检测异常。我们提出的方法背后的动机是，从正常行为数据转换的图像可能包含独特的潜在特征，这些特征在几何变换后保持不变，而恶意的图像则不能。在CERT数据集上的实验结果表明，IGT的性能优于经典的基于自动编码器的无监督内部威胁检测方法，并将基于实例和基于用户的AUROC分别提高了4%和2%。
2021-08-24 cs.CR
Empirical Evaluation of SMOTE in Android Malware Detection with Machine Learning: Challenges and Performance in CICMalDroid 2020
本研究评估了SMOTE在Android恶意软件检测中的效果，发现其在CICMalDroid 2020数据集中并未提升性能，而基于树的算法如XGBoost表现更优。
2026-02-09 cs.CR
IDSGAN: Generative Adversarial Networks for Attack Generation against Intrusion Detection
Shanghai Jiao Tong University（上海交通大学）；Indiana University Bloomington（印第安纳大学伯明顿分校）
入侵检测系统作为网络安全中必不可少的工具，承担着防御恶意网络攻击的重任。近年来，在机器学习算法的帮助下，入侵检测系统发展迅速。然而，当它面对对抗攻击时，该系统的鲁棒性是值得怀疑的。为了提高检测系统的鲁棒性，更多潜在的攻击方法正在研究之中。本文提出了一种生成对抗网络（IDSGAN）框架，用于生成对抗性恶意流量记录，通过欺骗和逃避检测来攻击入侵检测系统。假设检测系统的内部结构和参数对攻击者来说是未知的，对抗攻击示例对检测系统执行黑盒攻击。IDSGAN利用生成器将原始恶意流量记录转换为对抗性恶意流量记录。一个分类器对流量示例进行分类，并动态学习实时黑盒检测系统。更重要的是，限制修改机制是为对抗生成设计的，以保留对抗流量记录的原始攻击功能。通过对不同攻击类别的多个基于算法的检测模型进行攻击，验证了该模型的有效性。鲁棒性通过改变修改特征的数目来验证。与对抗攻击基线的对比实验表明了该模型的优越性。
2022-05-08 cs.AI cs.CR
CP-uniGuard: A Unified, Probability-Agnostic, and Adaptive Framework for Malicious Agent Detection and Defense in Multi-Agent Embodied Perception Systems
Hong Kong JC STEM Lab of Smart City and Department of Computer Science, City University of Hong Kong（香港JC STEM实验室及城市大学计算机科学系）；School of Computer Science and Engineering, University of Electronic Science and Technology of China（电子科技大学计算机科学与工程学院）；Department of Electrical and Electronic Engineering, The University of Hong Kong（香港大学电子与电气工程系）；School of Data Science, Lingnan University（岭南大学数据科学学院）
CP-uniGuard通过概率无关的样本共识和自适应阈值，实现多智能体系统中恶意代理的检测与防御。
2026-02-12 cs.CR cs.CV
Log2Sig: Frequency-Aware Insider Threat Detection via Multivariate Behavioral Signal Decomposition
College of Cyber Security, Jinan University, Guangzhou, China（广州暨南大学网络安全学院）；School of Advanced Technology, Xi’an Jiaotong-Liverpool University, Suzhou, China（西安交通大学利物浦大学先进技术学院）
Log2Sig通过将用户日志转化为多变量行为频率信号，并利用MVMD分解和Mamba编码器融合双视图表示，实现了高精度的内部威胁异常检测，在CERT数据集上优于现有基线。
2025-08-06 cs.AI cs.CR
Detection of Cooperative Black Hole Attack in Wireless Ad Hoc Networks
移动自组织网络（MANET）是一个自治节点的集合，这些节点通过形成多跳无线电网络并以分散的方式保持连接来相互通信。由于这些网络具有开放介质、动态变化的拓扑结构、依赖于协作算法、缺乏集中监控点以及缺乏明确的防线等特点，安全性仍然是其面临的主要挑战。保护移动自组网的网络层免受恶意攻击是一个重要且具有挑战性的安全问题，因为大多数移动自组网的路由协议都容易受到各种类型的攻击。按需距离矢量路由（AODV）是一种非常流行的路由算法。然而，它容易受到众所周知的黑洞攻击，其中恶意节点在路由发现过程中错误地丢弃到目的地节点的良好路径，但在数据转发阶段丢弃所有数据包。当一组恶意节点相互合作时，这种攻击变得更加严重。所提出的机制不应用任何加密原语的路由消息。相反，它通过检测和响应节点的恶意活动来保护网络。仿真结果表明，该方案具有较高的检测率，适度的网络流量开销和节点的计算开销。
2013-02-20 cs.CR cs.NI
