Enabling Efficient Privacy-Assured Outlier Detection over Encrypted Incremental Datasets
Monash University（莫纳什大学）；Data61, CSIRO（联邦科学与工业研究组织数据61研究所）
离群点检测被广泛应用于跟踪网络流量和系统日志等增量数据集上的异常。然而，这些数据集通常涉及敏感信息，并且将数据共享给第三方用于异常检测会引起隐私问题。在本文中，我们提出了一个隐私保护离群检测协议（PPOD）的增量数据集。该协议将异常值检测算法分解为几个阶段，并在每个阶段识别必要的密码操作。它通过高效和可互换的协议实现了几个加密模块，以支持上述加密操作，并将它们组合在整个协议中，以实现对加密数据集的离群值检测。为了支持有效的更新，它集成了滑动窗口模型，以定期驱逐过期的数据，以保持恒定的更新时间。我们建立了一个PPOD的原型，并系统地评估了各种参数设置下的密码模块和整体协议。我们的研究结果表明，PPOD可以处理加密的增量数据集与适度的计算和通信成本。
2019-11-14 cs.CR cs.LG
A Reversible Data Hiding Method in Compressible Encrypted Images
我们提出了一种可逆的数据隐藏（RDH）方法在可压缩加密图像称为先加密后压缩（EtC）图像。所提出的方法不仅允许我们在加密图像中嵌入有效载荷，而且还可以压缩包含有效载荷的加密图像。此外，所提出的RDH方法可以适用于平原图像和加密的，和有效载荷可以灵活地提取在加密域或从解密的图像。各种RDH方法已经在加密域中被研究，但是它们不被认为是两域数据隐藏，并且所得到的图像不能通过使用图像编码标准（诸如JPEG-LS和JPEG 2000）来压缩。在我们的实验中，所提出的方法表现出高性能的无损压缩效率，使用JPEG LS和JPEG 2000，数据隐藏容量，和显着的图像质量。
2020-11-17 cs.CR
Feature Mining for Encrypted Malicious Traffic Detection with Deep Learning and Other Machine Learning Algorithms
Cybersecurity Strategic Technology Centre Singapore Technologies Engineering
针对加密流量难以解密检测的问题，提出加密流量特征新概念及双层检测框架，整合深度学习与传统机器学习算法，在优于ResNet等算法的同时构建了更全面的数据集。
2023-04-07 cs.AI cs.CR cs.LG
Machine Learning for Encrypted Malicious Traffic Detection: Approaches, Datasets and Comparative Study
随着人们对个人隐私和数据安全的需求变得优先，加密流量已成为网络世界的主流。但是，流量加密也可以屏蔽对手引入的恶意和非法流量，使其不被检测到。尤其是在后COVID-19环境中，恶意流量加密正在迅速增长。依赖于普通有效负载内容分析（如深度数据包检测）的常见安全解决方案变得毫无用处。因此，基于机器学习的方法已经成为加密恶意流量检测的重要方向。在本文中，我们制定了一个通用的框架，机器学习为基础的加密恶意流量检测技术，并提供了一个系统的审查。此外，由于缺乏公认的数据集和特征集，目前的研究采用不同的数据集来训练他们的模型。因此，它们的模型性能无法进行可靠的比较和分析。因此，在本文中，我们分析，处理和组合来自5个不同来源的数据集，以生成一个全面和公平的数据集，以帮助在这一领域的未来研究。在此基础上，实现并比较了10种加密恶意流量检测算法。然后，我们讨论的挑战，并提出未来的研究方向。
2022-03-17 cs.AI cs.CR cs.LG
On Compression of Data Encrypted with Block Ciphers
本文研究了用分组密码（如高级加密标准（AES））加密的数据的压缩。它表明，这样的数据可以是可行的压缩没有知识的秘密密钥。被认为是在各种链接模式下操作的块密码，它示出了如何压缩可以实现而不损害加密方案的安全性。此外，它表明，存在一个基本的限制，块密码的实际压缩性时，没有链接块之间使用。一些实际的代码结构用于压缩二进制源的性能结果。
2010-09-09 cs.CR cs.IT math.IT
APT Encrypted Traffic Detection Method based on Two-Parties and Multi-Session for IoT
APT流量检测是网络安全领域的一项重要任务，在企业安全领域具有重要意义。APT流量大多采用加密通信协议作为数据传输介质，大大增加了检测难度。分析了当前基于机器学习的APT加密流量检测方法存在的问题，提出了一种基于两方多会话的APT加密流量检测方法。该方法只需要提取少量的特征，如会话顺序、会话时间间隔、上下游数据大小等，并将其转换为图像。然后采用卷积神经网络方法实现图像识别。从而也可以实现网络流量的识别。在五个实验的初步测试中，该方法取得了良好的实验效果，验证了该方法的有效性。
2023-02-26 cs.CR
Integrating Explainable AI for Effective Malware Detection in Encrypted Network Traffic
University of Bari（巴里大学）
本文整合XAI与集成学习，基于多视图特征检测加密恶意流量，构建涵盖54个恶意软件家族的1,127条连接数据集，并利用SHAP解释关键特征，模型性能超过99%。
2025-01-09 cs.CR cs.LG
Activity Detection from Encrypted Remote Desktop Protocol Traffic
越来越多的互联网流量将其内容加密。我们解决的问题，是否有可能预测的活动发生在加密的渠道，特别是微软的远程桌面协议。我们表明，存在的五个典型的活动可以检测到的准确率大于97%，召回率大于94%，在30秒的痕迹。我们还表明，该协议的设计暴露了细粒度的动作，如键盘和鼠标移动，可以利用这些动作来揭示密码长度等属性。
2020-08-06 cs.CR
Compressing Encrypted Data and Permutation Cipher
在既执行加密又执行有损压缩的系统中，传统的方式是先压缩，然后对压缩数据进行加密。这种分离方法被证明是最佳的。在敏感信息应尽可能早地保护的某些应用中，优选地首先执行加密，然后压缩加密的数据，这导致了反向系统的概念。Johnson等人提出了一种用于反向系统的可验证性方案，该方案具有模和加密，随后使用具有边信息的Wyner-Ziv分布式信源编码进行压缩。然而，这种反向系统的性能比传统系统差，因为它需要更高的压缩率和密钥速率。在本文中，我们提出了一个新的可验证性方案的反向系统进行加密的置换密码，然后加密的数据被压缩使用最佳率失真码。所提出的方案可以实现最佳的压缩率和秘密密钥率，因此表明，颠倒加密和压缩的顺序并不一定会损害一个加密压缩系统的性能。所提出的系统达到弱保密性，我们表明，信息泄漏主要是由类型信息的序列，这是不隐藏的置换密码。给定序列的类型，其余的信息泄漏按指数规律消失。
2014-08-25 cs.CR cs.IT math.IT
Access Control with Encrypted Feature Maps for Object Detection Models
Tokyo Metropolitan University（东京都立大学）
在本文中，我们提出了一个访问控制方法与秘密密钥的目标检测模型的第一次，未经授权的用户没有秘密密钥不能受益于训练模型的性能。该方法使我们不仅能够提供一个高的检测性能，以授权用户，但也降低了性能为未经授权的用户。提出了使用变换图像进行图像分类模型的访问控制，但是由于性能降低，这些图像不能用于目标检测模型。因此，在本文中，所选择的特征图被加密的秘密密钥用于训练和测试模型，而不是输入图像。在一个实验中，受保护的模型允许授权用户获得几乎相同的性能作为非保护模型，但也具有鲁棒性未经授权的访问没有密钥。
2022-09-29 cs.CR cs.CV cs.LG
Improving SIEM capabilities through an enhanced probe for encrypted Skype traffic detection
如今，安全信息和事件管理（SIEM）系统在处理互联网服务提供商的关键基础设施的安全问题方面具有重要意义。基本上，SIEM具有两个主要功能：i）收集和聚合来自不同网络设备（路由器、防火墙、入侵检测系统、ad hoc探针等）的日志数据和安全信息，以及ii）通过实现一组相关规则来分析所收集的数据，所述相关规则旨在检测作为加密实时流量的存在的潜在可疑事件。在目前的工作中，作者提出了一个SIEM的增强实现，其中一个特别的重点是通过使用一个特设开发的增强型探头（ESkyPRO）方便地由SIEM本身管理的加密Skype流量的检测。这种增强的探针，能够与部署到SIEM平台中的代理对手进行交互，是通过利用一些机器学习概念来设计的。建议的ad-hoc SIEM的主要目的是将ESkyPRO接收的信息与入侵检测系统（IDS）探测器获得的其他类型的数据相关联，以便尽可能准确地检测加密的Skype流量。
2017-11-01 cs.CR
Interpretable Anomaly Detection in Encrypted Traffic Using SHAP with Machine Learning Models
本研究提出一个结合多种机器学习分类器与SHAP的模型无关框架，用于加密流量异常检测，在三个基准数据集上验证，实现了高精度检测并增强模型可解释性。
2025-05-22 cs.CR
Encryption-Aware Anomaly Detection in Power Grid Communication Networks
针对加密流量下传统入侵检测失效的问题，本文分析加密电网低层通信层，结合统计学与机器学习识别异常，提出协调式安全防护思路。
2024-12-06 cs.CR
Impact of Benign Connectivity Variations on Intrusion Detection for Encrypted OPC UA Traffic in Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用科技大学）；ipoque GmbH（ipoque有限公司）
研究工业专用5G网络中良性连接变化对加密OPC UA流量的机器学习入侵检测系统的影响，通过实验发现合法连接事件会增加误报，且异常分数升高与控制平面活动有关，强调解释入侵检测输出时考虑控制平面上下文的重要性。
2026-07-13 cs.CR
Tweaking Metasploit to Evade Encrypted C2 Traffic Detection
FEUP（波尔图大学工程学院）；INESC TEC（葡萄牙系统与计算机工程研究所）；University of Porto（波尔图大学）
指挥和控制（C2）通信是任何结构化网络攻击的关键组成部分。因此，安全操作积极尝试在其网络中检测这种类型的通信。这给试图保持不被发现的合法渗透测试者带来了一个问题，因为常用的渗透测试工具，如Metasploit，生成的恒定流量模式很容易与常规网络流量区分开来。在本文中，我们从Metasploit的C2流量中的这些可识别模式开始，并表明基于机器学习的检测器能够高精度地检测到此类流量的存在，即使是加密的。然后，我们概述并实现了一组修改的Metasploit框架，以降低这种分类器的检测率。为了评估这些修改的性能，我们使用了两个威胁模型，这些修改的意识越来越强。我们看看检测规避性能和修改的字节数和运行时开销。我们的研究结果表明，对于第二个，提高意识的威胁模型的框架端流量修改产生更好的检测回避率（90%）比有效载荷端的修改（50%）。我们还表明，尽管修改使用的TLS有效载荷字节数是原始的3倍，但运行时没有显著变化，字节总数（包括TLS有效载荷）减少了。
2022-09-02 cs.CR cs.LG cs.NI
Anomaly Detection with LWE Encrypted Control
针对加密信号隐藏信息导致攻击检测困难的问题，提出利用LWE加密同态属性、基于格困难最小化问题解确定变换并进行假设检验的异常检测机制，其灵敏度下降为多项式级，通过数值示例验证了有效性。
2025-02-14 cs.CR cs.SY eess.SY
When a RF Beats a CNN and GRU, Together -- A Comparison of Deep Learning and Classical Machine Learning Approaches for Encrypted Malware Traffic Classification
Ariel University（阿里埃勒大学）
因特网流量分类被广泛用于促进网络管理。它在服务质量（QoS）、体验质量（QoE）、网络可见性、入侵检测和流量趋势分析方面发挥着至关重要的作用。虽然没有理论保证基于深度学习（DL）的解决方案比基于经典机器学习（ML）的解决方案性能更好，但基于DL的模型已成为常见的默认值。本文比较了著名的DL为基础的和ML为基础的模型，并表明，在恶意流量分类的情况下，最先进的DL为基础的解决方案不一定优于经典的ML为基础的。我们使用两个众所周知的数据集来验证这一发现，这些数据集用于不同的任务，例如：恶意软件检测，恶意软件家族分类，零日攻击检测以及迭代增长数据集的分类。请注意，评估所有可能的模型以做出具体声明是不可行的，因此，上述发现不是避免基于DL的模型的建议，而是经验证明，在某些情况下，存在更简单的解决方案，可能会表现得更好。
2022-06-16 cs.CR cs.LG
Differentiation of Sliding Rescaled Ranges: New Approach to Encrypted and VPN Traffic Detection
本文提出了一种新的流量预处理方法--滑动重标度范围区分法（DSRR），扩展了H.E.赫斯特我们将所提出的方法应用于著名的ISCXVPN 2016数据集上的加密和未加密流量。我们为基于流的功能部署DSRR，然后使用基本的机器学习模型解决VPN与nonVPN的任务。使用DSRR和随机森林，我们获得了0.971的精度，0.969的召回率，并使用特征的统计分析将这个结果提高到0.976，与神经网络方法相比，通过2D-CNN获得了0.93的精度。所提出的方法和结果可以在https://github.com/AleksandrIvchenko/dsrr_vpn_nonvpn上找到。
2020-12-14 cs.CR cs.NI
Comparative Evaluation of VAE, GAN, and SMOTE for Tor Detection in Encrypted Network Traffic
Vellore Institute of Technology（维洛尔理工大学）
本文对比了 VAE、GAN 和 SMOTE 在加密网络流量检测中的性能，发现 VAE 在隐私与性能之间取得最佳平衡，GAN 保真度高但易过拟合，SMOTE 提高召回率但多样性不足。
2026-01-03 cs.CR
Detecting Unknown Encrypted Malicious Traffic in Real Time via Flow Interaction Graph Analysis
在本文中，我们提出了HyperVision，一个实时无监督的机器学习（ML）的恶意流量检测系统。特别是，HyperVision能够通过利用基于流量模式构建的紧凑内存图来检测加密恶意流量的未知模式。该图捕获由图结构特征表示的流交互模式，而不是特定已知攻击的特征。我们开发了一种无监督的图学习方法，通过分析图的连通性，稀疏性和统计特征来检测异常交互模式，这使得HyperVision可以检测各种加密的攻击流量，而不需要任何已知攻击的标记数据集。此外，我们建立了一个信息论模型，证明了图所保持的信息接近理想的理论界。我们通过92个数据集的真实实验展示了HyperVision的性能，其中包括48次加密恶意流量的攻击。实验结果表明，HyperVision实现了至少0.92 AUC和0.86 F1，显著优于最先进的方法。特别是在我们的实验中，超过50%的攻击可以逃避所有这些方法。此外，HyperVision实现了至少80.6 Gb/s的检测吞吐量，平均检测延迟为0.83 s。
2023-01-31 cs.CR
ETGuard: Malicious Encrypted Traffic Detection in Blockchain-based Power Grid Systems
State Grid Zhejiang Electric Power Company, LTD.（国网浙江省电力公司）；Zhejiang University（浙江大学）
针对基于区块链的电力系统中恶意加密流量检测，提出ETGuard框架，实现自动检测与增量学习，并在三个基准数据集上达到最优性能。
2024-08-20 cs.AI cs.CR
M3S-UPD: Efficient Multi-Stage Self-Supervised Learning for Fine-Grained Encrypted Traffic Classification with Unknown Pattern Discovery
提出M3S-UPD多阶段自监督框架，通过四阶段迭代整合半监督学习与表示分析，实现少样本加密流量分类和零样本未知模式发现，性能优于现有方法。
2025-05-27 cs.CR
CBSeq: A Channel-level Behavior Sequence For Encrypted Malware Traffic Detection
针对加密恶意软件变体导致误报高、未知流量检测难的问题，本文提出 CBSeq，利用相似通道的侧信道内容构建行为序列，并以 MSFormer 融合多序列捕获内在关联，提升已知与未知恶意软件流量检测性能。
2023-07-18 cs.CR
Machine Learning-Based Delay-Aware UAV Detection and Operation Mode Identification over Encrypted Wi-Fi Traffic
在过去的几年里，消费者无人机（无人机）市场增长显著。尽管通过支持各种应用刺激经济增长的潜力巨大，但消费级无人机的增加对公共安全和个人隐私构成了潜在风险。为了最大限度地降低风险，有效地检测和识别入侵无人机是入侵检测和取证的迫切需要。考虑到消费级无人机通常用于民用环境，现有的物理检测方法（如雷达、视觉和声音）在许多情况下可能变得无效。为了补充现有的物理检测机制，我们提出了一个基于机器学习的框架，用于快速无人机识别加密的Wi-Fi流量。它的动机是观察到许多消费者UAV使用Wi-Fi链路进行控制和视频流传输。该框架只提取加密Wi-Fi流量的数据包大小和到达间隔时间的特征，可以有效地检测无人机并识别其运行模式。为了减少在线识别时间，我们的框架采用了重新加权的$\ell_1$-范数正则化，它考虑了不同特征的样本数量和计算成本。该框架在统一的目标函数中联合优化了特征选择和预测性能。为了解决数据包到达间隔时间的不确定性，优化检测精度和延迟之间的权衡，我们利用最大似然估计（MLE）方法来估计数据包到达间隔时间。我们收集了大量的真实世界的Wi-Fi数据流量的八种类型的消费类无人机和我们提出的方法的性能进行了广泛的评估。
2019-12-17 cs.CR
Deep Learning for Encrypted Traffic Classification and Unknown Data Detection
尽管广泛使用加密技术来提供互联网通信的机密性，但移动终端用户仍然容易受到隐私和安全风险的影响。在本文中，提出了一种新的基于深度神经网络（DNN）的用户活动检测框架，用于从嗅探的加密互联网流量流中识别在移动应用程序上执行的细粒度用户活动（称为应用内活动）。其中一个挑战是有无数的应用程序，实际上不可能使用它们的所有可能数据收集和训练DNN模型。因此，在这项工作中，我们利用DNN输出层的概率分布来过滤来自模型训练期间未考虑的应用程序的数据（即，未知数据）。所提出的框架使用基于时间窗口的方法来将活动的流量划分为多个部分，以便仅通过观察与活动相关的流量的一小部分来识别应用内活动。我们的测试表明，基于DNN的框架在识别先前训练的应用内活动方面的准确率为90%或更高，在使用该框架时，将先前未训练的应用内活动流量识别为未知数据的平均准确率为79%。
2022-03-25 cs.AI cs.CR cs.LG
Flow-based detection and proxy-based evasion of encrypted malware C2 traffic
已知最先进的深度学习技术容易受到规避攻击，其中从恶性样本生成对抗样本并将其误分类为良性。基于TCP/IP流特征的加密恶意软件命令和控制流量的检测可以被构造为学习任务，因此容易受到规避攻击。然而，与例如在图像处理中所生成的对抗样本可以直接映射到图像不同，从流特征到实际TCP/IP分组需要制作分组序列，而没有建立用于这种制作的方法以及对这种制作允许的可修改特征集的限制。在本文中，我们讨论了生成和制作的对抗样本之间的差距的学习和逃避后果。我们使用一个在公共C2流量数据集上训练的深度神经网络检测器，白盒对抗学习和一种基于代理的方法来制作更长的流量。我们的研究结果表明：1）当使用精心制作的对抗样本时，通过在检测器上使用生成的对抗样本获得的高逃避率可以显着降低; 2）通过模型硬化对抗对抗样本的鲁棒性根据精心制作的方法和相应的攻击允许的可修改特征集而变化; 3）用对抗性样本递增地训练硬化模型可以产生一个公平的竞争环境，其中没有检测器对所有攻击都是最好的，也没有攻击对所有检测器都是最好的，在给定的攻击和检测器中。据我们所知，这是第一次在加密的C2恶意软件流量检测中分析公平竞争的功能集和迭代硬化。
2020-09-02 cs.CR
PacketCLIP: Multi-Modal Embedding of Network Traffic and Language for Cybersecurity Reasoning
University of California, Irvine（加州大学欧文分校）；Army Cyber Institute, United States Military Academy（美国军事学院陆军网络安全研究所）
提出多模态框架PacketCLIP，结合对比预训练与分层GNN推理对齐网络流量与自然语言语义，实现高效可解释的加密流量异常检测，在缩减92%模型规模的同时AUC达95%，适用于资源受限环境。
2025-03-05 cs.CR cs.LG
Privacy Preserving Anomaly Detection on Homomorphic Encrypted Data from IoT Sensors
Technical University of Cluj-Napoca（克卢日-纳波卡理工大学）
本文提出一种在同态加密数据上高效检测异常值的隐私保护异常检测方法，通过改进TFHE方案中的直方图异常检测技术，克服输入大小和计算深度限制，实现无需解密的异常检测，具有鲁棒性和高效性。
2024-03-14 cs.CR
Efficient classification using parallel and scalable compressed model and Its application on intrusion detection
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；School of Software Microelectronics, Peking University（北京大学软件与微电子学院）
为了实现入侵检测中的高效分类，提出了一种水平压缩和垂直压缩相结合的压缩模型。水平压缩采用OneR算法，垂直压缩采用仿射传播算法，从大量的训练数据中选择具有代表性的小样本。为了能够在计算上压缩具有可伸缩性的更大容量的训练数据，然后针对上述模型压缩过程的每个步骤实现并评估基于MapReduce的并行化方法，可以直接使用常见但有效的分类方法。在KDD 99和CMDC 2012两个公开的入侵检测数据集上的实验应用研究表明，基于压缩模型的分类方法可以有效地将检测速度提高184倍，最重要的是，其代价是平均精度差异小于1%.
2014-05-14 cs.CR cs.LG
Neural Encrypted State Transduction for Ransomware Classification: A Novel Approach Using Cryptographic Flow Residuals
提出神经加密状态直推（NEST）方法，通过分析密码学流残差和动态映射加密状态转换来分类勒索软件，无需解密执行轨迹，在多家族检测中准确率更高且鲁棒性强。
2025-08-08 cs.CR
Improving the Reliability of Anomaly Detection for Encrypted OPC UA Traffic over Private 5G
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）；ipoque GmbH（ipoque有限公司）
针对私有5G上加密OPC UA流量异常检测因良性连接变化导致误报率高的问题，提出控制面感知的决策自适应方法，在不重训练模型的情况下降低误报率并保持召回率。
2026-09-25 cs.CR
Audit and Improve Robustness of Private Neural Networks on Encrypted Data
University of Central Florida（中佛罗里达大学）；Kent State University（肯特州立大学）；Texas Tech University（得克萨斯理工大学）；University of Houston（休斯顿大学）；Drexel University（德雷塞尔大学）
在不解密的情况下对加密数据执行神经网络推理是使隐私保护神经网络（PNet）成为服务的一种流行方法。与部署用于机器学习即服务的常规神经网络相比，PNet需要额外的编码，例如，量化精度数字和多项式激活。加密输入也带来了新的挑战，如对抗性鲁棒性和安全性。据我们所知，我们是第一个研究问题的人，包括（i）PNet是否比常规神经网络对对抗性输入更鲁棒？(ii)如何在不解密的情况下设计一个鲁棒的PNet？我们提出了PNet-Attack来生成黑盒对抗示例，这些示例可以成功地以目标和非目标方式攻击PNet。攻击结果表明，PNet对对抗性输入的鲁棒性需要提高。这不是一个简单的任务，因为PNet模型所有者无法访问输入值的明文，这阻止了现有检测和防御方法的应用，如输入调优，模型规范化和对抗训练。为了解决这个问题，我们提出了一种新的快速和准确的噪声插入方法，称为RPNet，设计鲁棒和私有神经网络。我们的综合实验表明，PNet-Attack减少至少$2.5\times$查询比以前的作品。我们从理论上分析了我们的RPNet方法，并证明了RPNet可以降低$\sim 91.88\%$攻击的成功率。
2022-09-20 cs.CR cs.LG
Crypto-ransomware detection using machine learning models in file-sharing network scenario with encrypted traffic
自过去几年以来，勒索软件被认为是大多数企业的重大威胁。在用户可以访问共享服务器上的所有文件的情况下，一个受感染的主机可以锁定对所有共享文件的访问。我们提出了一种基于文件共享流量分析来检测勒索软件感染的工具。该工具监控客户端和文件服务器之间交换的流量，并使用机器学习技术搜索流量中的模式，这些模式在读取和删除文件时泄露了勒索软件的操作。该提案旨在为明文和加密文件共享协议工作。我们比较了三种机器学习模型，并选择最佳模型进行验证。我们使用来自26种不同病毒株的70多个勒索软件二进制文件和来自真实用户的超过2500小时的未感染流量来训练和测试检测模型。结果表明，该工具可以检测所有勒索软件二进制文件，包括那些没有在训练阶段使用（看不见）。本文通过研究误报率和勒索软件在被检测到之前可以加密的用户文件信息量来验证该算法。
2022-02-15 cs.CR cs.NI
Efficient Privacy-Preserving Recommendation on Sparse Data using Fully Homomorphic Encryption
Independent Researcher（独立研究者）；Illinois Institute of Technology（伊利诺伊理工学院）
针对推荐系统依赖敏感数据存隐私风险、全同态加密处理稀疏评分矩阵计算与通信成本高的问题，提出结合CSR表示与FHE矩阵分解的方法，实现加密域高效稀疏处理与低通信开销，兼顾推荐准确率与隐私保护。
2025-09-03 cs.AI cs.CR cs.LG
MalMoE: Mixture-of-Experts Enhanced Encrypted Malicious Traffic Detection Under Graph Drift
Peking University（北京大学）；Zhongguancun Laboratory（中关村实验室）
MalMoE通过混合专家模型和图辅助技术，实现加密恶意流量检测在图漂移下的高效准确识别。
2026-02-10 cs.AI cs.CR cs.NI
Comparison of Entropy Calculation Methods for Ransomware Encrypted File Identification
勒索软件是一类恶意软件，利用加密对系统可用性实施攻击。目标的数据仍然是加密的，并由攻击者控制，直到满足赎金要求。许多加密勒索软件检测技术使用的常见方法是监视文件系统活动并尝试识别写入磁盘的加密文件，通常使用文件的熵作为加密指示符。然而，通常在这些技术的描述中，很少或没有讨论为什么选择特定的熵计算技术，或者给出为什么选择一种技术而不是替代技术的任何理由。熵计算的香农方法是加密勒索软件检测技术中文件加密识别最常用的技术。总的来说，正确加密的数据应该与随机数据无法区分，因此除了标准的数学熵计算（如卡方、香农熵和串行相关性）之外，用于验证伪随机数生成器输出的测试套件也适用于执行此分析。假设不同熵方法之间存在根本差异，并且最佳方法可用于更好地检测勒索软件加密文件。本文比较了53种不同测试在区分加密数据和其他文件类型方面的准确性。测试分为两个阶段，第一阶段用于识别潜在的候选测试，第二阶段对这些候选测试进行全面评估。为了确保测试足够稳健，使用NapierOne数据集。该数据集包含数千个最常用文件类型的示例，以及已被加密勒索软件加密的文件示例。
2022-10-24 cs.CR
Concurrent Encryption and Authentication for Wireless Networks using Compressed Sensing
在传统的无线网络中，认证和加密被视为两个独立的过程，本文将用户认证融入到解决窃听攻击的过程中。提出了一种基于压缩感知（CS）的框架，该框架通过对CS的测量矩阵进行操作来保证计算安全。该框架还能够进行连续认证和传输纠错，并且对数据丢失具有鲁棒性。详细地说，本文首先提出了一种算法来产生一个2D密钥，这取决于通信信道的物理属性。2D密钥还用于生成认证信息和信号结构以及加密原始数据。然后形成一个包含数据和认证信息的加密消息，用于匿名传输。合法接收方可以分离认证信息和数据，并执行数据丢失鲁棒性和传输错误鲁棒性认证和恢复策略。该框架进行了定量评估，使用Monte Carlo模拟与模拟稀疏信号。研究了该协议的安全传输性能、认证性能和数据丢失鲁棒性。该框架提供了一个集成的安全解决方案，有效地保护了网络物理系统中的机密性，隐私性和鲁棒通信，特别是在资源有限和安全关键的无线网络中。
2020-12-17 cs.CR
Differential Area Analysis for Ransomware Attack Detection within Mixed File Datasets
勒索软件的威胁在受影响的受害者人数以及受成功攻击影响的个人和组织所产生的成本方面都在继续增长。在大多数情况下，一旦受害者受到攻击，他们只有两种行动方案：要么支付赎金，要么丢失数据。所有加密勒索软件菌株之间共享的一个共同行为是，在执行过程中的某个时候，它们会尝试加密用户的文件。Penrose et al.（2013）; Zhao et al.（2011）之前的研究强调了使用香农熵区分压缩和加密文件的困难，因为两种文件类型表现出相似的值。本文描述的实验之一显示了加密文件头片段的香农熵的独特特性。这个特性被用来区分加密文件和其他高熵文件，如档案。这一发现在文件分类模型的开发中得到了利用，该模型使用了正在分析的文件的熵曲线与从随机数据生成的熵曲线之间的差异区域。当将被分析的文件的熵曲线值与由包含纯随机数的文件生成的熵曲线值进行比较时，曲线的相关性越大，被分析的文件包含加密数据的置信度就越高。
2021-06-28 cs.CR
Privacy-Preserving Cyberattack Detection in Blockchain-Based IoT Systems Using AI and Homomorphic Encryption
提出一种结合AI与同态加密的隐私保护攻击检测框架，部署于区块链节点，通过SIMD打包和FedAvg分布式学习实现高效加密训练，检测精度损失仅0.01%。
2024-12-18 cs.CR
Outside Looking In: Approaches to Content Moderation in End-to-End Encrypted Systems
在本文中，我们评估现有的技术建议，内容节制在端对端加密（E2EE）服务。首先，我们解释内容审核工具箱中的各种工具，如何使用它们，以及审核周期的不同阶段，包括检测不需要的内容。然后，我们制定了加密和E2EE的定义，其中包括最终用户的隐私和安全保证，然后评估当前的技术建议，检测不需要的内容在E2EE服务对这些保证。我们发现，用于用户报告和元数据分析的技术方法最有可能为最终用户保护隐私和安全保证。两者都提供了有效的工具，可以检测E2EE服务上大量不同类型的问题内容，包括滥用和骚扰消息，垃圾邮件，错误和虚假信息以及CSAM，尽管需要更多的研究来改进这些工具并更好地衡量其有效性。相反，我们发现，其他技术，旨在促进E2EE系统中的内容检测破坏E2EE系统的关键安全保证的影响。
2022-02-09 cs.CR
Segmentation of Encrypted data
从警方对犯罪嫌疑人的逮捕行动中缴获的计算机硬盘中检索数据有时并不直接。通常情况下，定罪数据（可能是随后审判中的重要证据）被加密并迅速删除。什么可以从这样的硬盘驱动器恢复的密码分析，然后受到耗时的暴力破解和密码猜测。为此，对什么是加密数据和什么不是加密数据进行准确分类的方法至关重要。这里导出了用于区分加密数据和非加密数据的过程。提出了几种方法，并以不同的方式评估其准确性。详细介绍了使用被动变点检测来检测加密数据在硬盘驱动器中的位置的两种方法。这些方法的性能的措施进行了讨论，并建议一个新的属性进行评估。然后，根据新的性能指标以及标准措施的方法进行评估和讨论。
2020-04-27 cs.CR stat.ME
Residual Observability and Attack Detectability in Encrypted OPC UA Traffic
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）
研究加密OPC UA流量中残余结构可观测性与攻击可检测性的关系，提出结合结构可观测性概况等的解释框架，用Jensen-Shannon散度和SLS表征相关维度与大小，在工业5G测试平台评估，补充传统IDS指标。
2026-07-21 cs.CR
IEEE Big Data Cup 2022: Privacy Preserving Matching of Encrypted Images with Deep Learning
部署在智慧城市中的智能传感器、设备和系统为公民带来了更好的人身保护。通过这些技术进行运动检测、威胁和行为者分析以及实时警报，加强了犯罪预防、消防和生命安全保护。然而，在这些日益普遍的部署中，一个重要的要求是保护隐私和强制保护个人身份信息。因此，应将强加密和匿名化技术应用于收集的数据。在IEEE Big Data Cup 2022挑战赛中，不同的掩码、编码和同态加密技术被应用于图像，以保护其内容的隐私。参与者需要开发检测解决方案，以执行这些图像的隐私保护匹配。在本文中，我们描述了我们的解决方案，该解决方案基于最先进的深度卷积神经网络和各种数据增强技术。我们的解决方案在IEEE大数据杯2022：加密图像隐私保护匹配挑战赛中获得第一名。
2022-11-18 cs.AI cs.CR cs.CV
Intrusion Detection and Ubiquitous Host to Host Encryption
由于公众越来越意识到我们的许多电子活动被感兴趣的第三方跟踪的程度（例如，Google在我完成输入搜索查询之前就知道我在想什么），对个人隐私的日益关注正在推动匿名技术（例如Tor）的发展。即将到来的大规模迁移到IPv6作为互联网流量的主要传输，承诺使这样一种技术，端到端基于主机的加密，更容易为普通用户所用。在端对端加密无处不在的世界中，什么可以取代现有的网络入侵检测模型？网络管理员和操作员负责保护网络免受恶意活动的侵害，他们如何保护他们看不到的网络？在加密世界中，基于签名的事件检测不太可能证明有用。为了确保网络在这样的环境中，而不践踏隐私提供给用户的端对端加密，我们的威胁检测模型需要从基于签名的检测发展到一个启发式模型，标志偏离正常的网络范围内的行为，以进一步调查。在本文中，我们提出了这样一个启发式模型，并测试其有效性检测入侵在一个完全加密的网络环境。我们的研究结果表明，网络入侵检测系统的能力，监控网络只进行主机到主机的加密流量。这项工作表明，需要进行广泛的视角变革。网络安全模型需要从努力定义攻击特征演变为描述正常条件下的网络外观并搜索偏离规范的情况。
2017-11-21 cs.CR
PRI: Privacy Preserving Inspection of Encrypted Network Traffic
流量检测是当今许多安全解决方案的基本组成部分。例如，为了防止机密内部信息的泄漏或泄露，以及阻止恶意流量进入网络，当今大多数企业都运行检查流量的入侵检测和防御系统。然而，国家的最先进的检查系统并没有很好地反映不同的参与自主角色的利益。例如，企业中的员工或将其网络管理外包给专业第三方的公司可能要求其流量保持机密，甚至对系统管理员也是如此。此外，入侵检测系统使用的规则，或者更一般地，在线或离线异常检测引擎的配置，可以由第三方提供，例如，一家安全研究公司，因此可能构成一项重要的商业资产，应予以保密。今天，人们往往认为，不可能对这些额外所需资源进行核算，因为它们与效率和效力相矛盾。我们在本文中探索了一种新的方法，称为隐私保护检查（PRI），它提供了一个解决这个问题的方法，通过保护流量检查的隐私和检查规则和配置的机密性，例如，还支持灵活安装特定于公司的其他数据泄漏防护（DLP）规则。
2016-04-15 cs.CR cs.NI
ROFBS$α$: Real Time Backup System Decoupled from ML Based Ransomware Detection
ROFBS$α$通过eBPF异步解耦备份与检测，提升勒索软件防御的备份成功率和检测速度，但应对极速加密仍具挑战。
2025-04-19 cs.CR
CryptoCatch: Cryptomining Hidden Nowhere
Beijing University of Posts and Telecommunications（北京邮电大学）；UNSW Sydney（新南威尔士大学）
CryptoCatch提出了一种基于机器学习和主动探测的加密挖矿流量检测机制，实现了高精度的检测效果。
2026-02-11 cs.CR
Language of Network: A Generative Pre-trained Model for Encrypted Traffic Comprehension
针对加密流量分类中标注数据依赖和攻击变体检测难题，提出基于预训练的生成式模型GBC，采用协议感知分词与提示学习，实现流量生成与分类，F1分数提升5%。
2025-05-26 cs.CR
Low-Quality Training Data Only? A Robust Framework for Detecting Encrypted Malicious Network Traffic
针对低质量训练数据导致加密恶意流量检测性能下降的问题，提出RAPIER框架，利用正常与恶意数据在特征空间的分布差异增强数据并纠正标签噪声，在公开及真实数据集上显著提升F1分数。
2023-09-09 cs.CR
ComPrivDet: Efficient Privacy Object Detection in Compressed Domains Through Inference Reuse
University of Science and Technology of China (USTC)（中国科学技术大学）
针对压缩域中隐私泄露问题，ComPrivDet通过重用I帧推理结果实现高效隐私对象检测，保持高准确率并显著降低延迟。
2026-04-04 cs.CR cs.CV
Differential Area Analysis for Ransomware: Attacks, Countermeasures, and Limitations
针对勒索软件加密检测，提出三种绕过DAA的恶意文件头篡改攻击及三种片段化对策，实验证明对策可行且可部署。
2025-01-18 cs.CR
Privacy-Preserving Credit Card Fraud Detection using Homomorphic Encryption
School of Computer Science and Statistics（计算机科学与统计学院）
信用卡欺诈是金融机构及其客户持续面临的问题，欺诈检测系统可以缓解这一问题。然而，这些系统需要使用敏感的客户交易数据，这既给客户带来了隐私的缺乏，也给卡提供商带来了数据泄露的漏洞。提出了一种基于同态加密的加密交易隐私欺诈检测系统。两个模型，XGBoost和一个前馈分类器神经网络，被训练成明文数据上的欺诈检测器。然后将它们转换为使用同态加密进行私有推理的模型。讨论了延迟、存储和检测结果，以及部署的用例和可行性。XGBoost模型具有更好的性能，加密推理低至6 ms，而神经网络为296 ms。然而，神经网络实现仍然可以是优选的，因为它更容易安全地部署。还提供了系统的代码库，用于仿真和进一步开发。
2022-11-12 cs.AI cs.CR
Multi-View Fusion for Encrypted C2 Detection: A Leakage-Controlled Measurement Study of Evaluation Pitfalls
Academy of Cryptography Techniques（密码技术学院）；Ho Chi Minh City University of Technology (HCMUT)（胡志明市理工大学）；Vietnam National University Ho Chi Minh City（越南胡志明市国家大学）
本研究通过泄漏受控的测量揭示加密C2检测评估中的三大陷阱：预处理泄漏、标签依赖及真实标签缺口，并指出评估设计本身才是核心结果。
2026-09-24 cs.AI cs.CR
LPASS: Linear Probes as Stepping Stones for vulnerability detection using compressed LLMs
Institut Politechnique de Paris（巴黎理工大学）
本文提出LPASS方法，利用线性探针在微调前评估压缩LLM性能并确定层剪枝截断点，在漏洞检测任务中实现高精度并显著节省计算资源。
2025-05-30 cs.AI cs.CR
