Generating Cyber Threat Intelligence to Discover Potential Security Threats Using Classification and Topic Modeling
University of Louisiana at Lafayette（路易斯安那大学拉法叶分校）；University of Regina（里贾纳大学）；Tampere University（坦佩雷大学）；Bangladesh University of Engineering and Technology（孟加拉国工程技术大学）
由于网络攻击或威胁的多样性，网络安全社区将传统的安全控制机制提升到先进水平，以便自动化工具可以遇到潜在的安全威胁。最近，网络威胁情报（CTI）由于其自动化的网络安全威胁预测而被视为主动和强大的机制之一。一般来说，CTI从各种来源收集和分析数据，例如，在线安全论坛，社交媒体，网络爱好者，分析师，甚至网络犯罪分子讨论网络或计算机安全相关主题，并根据分析发现潜在威胁。由于手动分析每个此类讨论（在线平台上的帖子）耗时，效率低下且容易出错，CTI作为一种自动化工具可以独特地检测网络威胁。在本文中，我们确定和探讨相关CTI黑客论坛利用不同的监督（分类）和无监督学习（主题建模）技术。为此，我们从一个真实的黑客论坛中收集数据，并构建了两个数据集：一个二进制数据集和一个多类数据集。然后，我们应用几个分类器以及基于深度神经网络的分类器，并在数据集上使用它们来比较它们的性能。我们还将标记泄漏数据集上的分类器作为我们的基础事实。我们使用无监督技术进一步探索数据集。为此，我们利用两个主题建模算法，即潜在狄利克雷分配（LDA）和非负矩阵分解（NMF）。
2022-11-14 cs.CR cs.LG
THREAT/crawl: a Trainable, Highly-Reusable, and Extensible Automated Method and Tool to Crawl Criminal Underground Forums
收集关于地下犯罪社区的数据对于安全研究和安全行动都非常有价值。不幸的是，这些社区生活在一个难以渗透的各种在线论坛的星座中，可能会采取爬行监控对策，并需要为每个不同的社区开发专门的抓取器，这使得这项工作在技术上越来越具有挑战性，并且可能昂贵。为了解决这个问题，我们提出了THREAT/crawl，一个高度可重用的爬虫程序，可以学习广泛的（任意）论坛结构的方法和原型工具，可以保持在雷达下的爬行活动，并可以扩展和配置在用户的意愿。我们展示了威胁/爬行能力，并对我们的原型进行了一系列活跃的、实时的地下社区的初步评估。
2022-12-07 cs.CR cs.IR
Identifying Key Expert Actors in Cybercrime Forums Based on their Technical Expertise
本文通过结合CVE与CAPEC构建双模网络，并运用社区检测和聚类方法，识别出网络犯罪论坛中仅占约4%但具备特定攻击模式技术专长的关键专家行为者，为网络威胁情报的资源精准分配提供了依据。
2025-06-03 cs.CR cs.CY
Towards Automated Cyber Threat Intelligence Elicitation in Underground Forums
Politecnico di Milano（米兰理工大学）；BV TECH S.p.A.（BV科技公司）
本文提出首个基于多智能体大语言模型的主动CTI获取系统DarkBot，其在受控与真实世界实验中均优于基线，可从地下论坛高效获取CTI且安全合规。
2026-08-25 cs.CR
The Use of Large Language Models (LLM) for Cyber Threat Intelligence (CTI) in Cybercrime Forums
School of Criminology, Université de Montréal（蒙特利尔大学犯罪学学院）；Flare Systems（Flare系统公司）；Complexity Science Hub（复杂性科学中心）
本研究评估了基于GPT-3.5-turbo的LLM系统从三个网络犯罪论坛700多个对话中提取CTI信息的性能，平均准确率达96.23%，验证了LLM在网络威胁情报领域的应用价值。
2024-10-01 cs.AI cs.CL cs.CR
A Crawler Architecture for Harvesting the Clear, Social, and Dark Web for IoT-Related Cyber-Threat Intelligence
University of the Peloponnese（伯罗奔尼撒大学）
最近，透明、社交和暗网被认为是有价值的网络安全信息的丰富来源，如果有适当的工具和方法，这些信息可以被识别、抓取并随后利用为可操作的网络威胁情报。在这项工作中，我们专注于信息收集任务，并提出了一种新的爬行架构，透明地收获数据从安全网站在明确的网络，安全论坛在社会网络，黑客论坛/市场在暗网。建议的架构采用两阶段的方法来收集数据。最初，一个基于机器学习的爬虫被用来指导收获感兴趣的网站，而在第二阶段，最先进的统计语言建模技术被用来表示在潜在的低维特征空间中收获的信息，并根据其潜在的相关性进行排名手头的任务。所提出的架构是使用完全开源的工具来实现的，并与众包的结果进行了初步评估，证明了其有效性。
2021-09-14 cs.CR cs.LG
Darknet and Deepnet Mining for Proactive Cybersecurity Threat Intelligence
Arizona State University（亚利桑那州立大学）
在本文中，我们提出了一个操作系统，用于从互联网上的各种社交平台，特别是暗网和深网上的网站收集网络威胁情报。我们专注于从黑客论坛讨论和提供专注于恶意黑客的产品和服务的市场收集信息。我们开发了一个操作系统，用于从这些网站获取信息，以识别新出现的网络威胁。目前，该系统平均每周收集305个高质量的网络威胁警告。这些威胁警告包括有关新开发的恶意软件和尚未在网络攻击中部署的漏洞的信息。这为网络维护者提供了重要的服务。通过使用各种数据采掘和机器学习技术，该系统得到了显著增强。通过使用机器学习模型，我们能够高精度地召回市场上92%的产品和论坛上80%的与恶意黑客有关的讨论。我们对收集的数据进行初步分析，展示其应用程序，以帮助安全专家更好地进行威胁分析。
2016-07-28 cs.AI cs.CR cs.CY
Preventing the attempts of abusing cheap-hosting Web-servers for monetization attacks
在过去的几十年里，网络一直是黑客最受欢迎的目标之一。如今，随着WordPress和Joomla等开源软件的普及，这些框架中的漏洞爆炸式增长，导致使用它们的网站面临众多安全威胁。不幸的是，许多客户和小公司可能没有意识到这些严重的安全威胁，只有当网站被黑客攻击，受到损害或被搜索引擎阻止时才呼叫救援人员。在本文中，我们提出了一种有效的对抗这种威胁的方法，包括在价值较低的目标（如小型网站）中进行货币化尝试。
2019-03-14 cs.CR
The Dark Side of the Web: Towards Understanding Various Data Sources in Cyber Threat Intelligence
本研究分析了来自地下论坛、聊天和暗网等“第一手”数据源的千万级数据，结合NLP工具解决过滤与分类挑战，发现20%内容与CTI相关且多聚焦战略讨论，揭示了不同平台在犯罪活动复杂性与风险上的差异。
2025-04-27 cs.CR
You Can Tell a Cybercriminal by the Company they Keep: A Framework to Infer the Relevance of Underground Communities to the Threat Landscape
本研究针对地下网络犯罪市场威胁相关性不明的问题，基于商业模式画布构建市场评估框架，通过23个地下论坛与836名已起诉罪犯别名的测试，发现中立管理、卖家审核与合理激励的市场更可能是可信威胁来源。
2023-06-13 cs.CR cs.CY cs.SI
Security and Privacy in IoT Using Machine Learning and Blockchain: Threats & Countermeasures
University of Technology Sydney（悉尼科技大学）；Macquarie University（麦考瑞大学）；University of South Wales（南威尔士大学）；Federation University（联邦大学）
由于物联网（IoT）设备在众多应用中的参与，用户的安全和隐私已经成为重要的关注点。网络威胁正以爆炸性的速度增长，使得现有的安全和隐私措施不足。因此，互联网上的每个人都是黑客的产品。因此，机器学习（ML）算法用于从大型复杂数据库中生成准确的输出，其中生成的输出可用于预测和检测基于物联网的系统中的漏洞。此外，区块链（BC）技术在现代物联网应用中越来越流行，以解决安全和隐私问题。已经对ML算法或BC技术进行了几项研究。然而，这些研究使用ML算法或BC技术针对安全或隐私问题，因此需要对近年来使用ML算法和BC技术解决安全和隐私问题的努力进行综合调查。在本文中，我们总结了过去几年（从2008年到2019年）在物联网领域使用ML算法和BC技术解决安全和隐私问题的研究工作。首先，我们讨论并分类了过去12年来物联网领域报告的各种安全和隐私威胁。然后，我们对物联网领域基于ML算法和BC技术的安全和隐私工作的文献进行了分类。最后，我们确定并阐明了使用ML算法和BC技术解决物联网领域安全和隐私问题的几个挑战和未来研究方向。
2020-08-06 cs.CR cs.LG
Combining Threat Intelligence with IoT Scanning to Predict Cyber Attack
Researcher Senior Member, IEEE（IEEE高级研究员）
本文提出一个预测性威胁情报框架，通过系统收集、分析和可视化暗网数据，识别恶意网站并将其与物联网漏洞关联，以增强网络攻击预测建模和政策制定。
2025-06-03 cs.AI cs.CR cs.CY
PDF-Malware: An Overview on Threats, Detection and Evasion Attacks
Université Polytechnique Hauts-De-France（上法兰西理工大学）；CNRS（法国国家科学研究中心）
近年来，可移植文档格式（Portable Document Format，简称PDF）已成为文档交换和传播的民主化标准。这种趋势是由于其灵活性和跨平台可移植性等特性。PDF的广泛使用在良性用户中建立了固有安全的错误印象。然而，PDF的特性促使黑客利用各种类型的漏洞，克服安全保障措施，从而使PDF格式成为最有效的恶意代码攻击载体之一。因此，有效地检测恶意PDF文件是至关重要的信息安全。在文献中已经提出了几种分析技术，无论是静态的还是动态的，以提取允许区分恶意软件文件和良性文件的主要特征。由于经典的分析技术在零日的情况下可能受到限制，因此基于机器学习的技术最近已经作为能够从一组训练样本中概括的自动PDF恶意软件检测方法出现。这些技术本身面临着规避攻击的挑战，其中恶意PDF被转换为看起来是良性的。在这项工作中，我们给出了一个概述的PDF恶意软件检测问题。我们对新的挑战和新兴的解决方案提出了看法。
2021-07-27 cs.AI cs.CR
A Study on Malicious Browser Extensions in 2025
本研究针对2025年Firefox和Chrome浏览器扩展的恶意威胁，通过绕过安全机制证明恶意扩展仍可上架，揭示审查漏洞并提出防御建议。
2025-10-06 cs.CR
Identification of Malicious Posts on the Dark Web Using Supervised Machine Learning
本研究利用监督机器学习和文本挖掘技术，通过巴西葡萄牙语暗网论坛数据，创建原创数据集并提出多阶段标记流程，以高准确率识别恶意帖子。
2025-11-28 cs.AI cs.CR
XFedHunter: An Explainable Federated Learning Framework for Advanced Persistent Threat Detection in SDN
University of Information Technology（信息技术大学）；Vietnam National University（越南国立大学）
本文提出XFedHunter，一个用于SDN中APT检测的可解释联邦学习框架，利用GNN和深度学习模型有效揭示网络系统中的恶意事件，在保护隐私的同时增强ML系统的信任与问责制。
2023-09-15 cs.AI cs.CR
DNS Tunneling: A Deep Learning based Lexicographical Detection Approach
Universidad Nacional de Cuyo（库约国立大学）；Universidad Champagnat（尚帕尼亚大学）；Czech Technical University（捷克技术大学）
域名服务是一种用于名称解析的可信协议，但在过去几年中，已经开发了一些方法来将其用于数据传输。DNS Tunnel是一种将数据编码在DNS查询中的方法，允许通过DNS进行信息交换。这一特性对于黑客来说很有吸引力，他们利用DNS Tunnel方法与感染恶意软件的机器建立双向通信，目的是以模糊的方式泄露数据或发送指令。为了快速准确地检测这些威胁，本工作提出了一种基于卷积神经网络（CNN）的检测方法，具有最小的架构复杂度。由于缺乏高质量的数据集来评估DNS Tunnel连接，我们还提出了一个新的数据集，其中包含五个著名的DNS工具生成的DNS Tunnel域的详细构造和描述。尽管其结构简单，但由此产生的CNN模型正确检测到超过92%的Tunnel域，假阳性率接近0.8%。
2020-06-14 cs.CR cs.LG
Leveraging Semantic Relationships to Prioritise Indicators of Compromise in Additive Manufacturing Systems
University of Warwick（华威大学）
针对增材制造系统的网络威胁，提出基于异构信息网络和语义关系的入侵指标优先级排序系统，实现自动提取、识别与排序，提升威胁评估效率。
2023-05-06 cs.AI cs.CR
Android Inter-App Communication Threats and Detection Techniques
随着数字化的突破，智能手机已经成为非常重要的组成部分。移动设备对于网络窃贼来说是非常有吸引力的攻击面，因为它们拥有个人详细信息（帐户，位置，联系人，照片），并具有潜在的窃听能力（使用摄像头/麦克风，无线连接）。Android是最受欢迎的，是恶意黑客的目标，他们试图使用Android应用程序作为闯入和控制设备的工具。Android恶意软件作者使用许多反分析技术来隐藏分析工具。学术研究人员和商业反恶意软件公司正在努力检测此类恶意应用程序。他们正在利用静态，动态和基于行为的分析技术的组合。尽管Android提供了所有安全机制，但应用程序可以通过共谋执行恶意操作。在共谋中，恶意功能被划分到多个应用程序中。每个参与的应用程序完成其部分，并通过组件间通信（ICC）将信息传递给另一个应用程序。ICC不需要任何特殊权限。此外，没有强制通知用户有关通信。每个参与的应用程序都需要请求一组最小的权限，这可能使其看起来对当前一次分析一个应用程序的最先进技术是良性的。关于Android中的应用程序分析技术有很多调查;但是他们专注于单个应用程序分析。这项调查通过只关注多个应用程序之间的勾结来加强这一点。在本文中，我们提出了Android漏洞，可能会被利用为一个可能的共谋攻击。我们涵盖了现有的威胁分析，场景，以及应用程序内和应用程序间分析工具的详细比较。据我们所知，这是第一次对Android中的应用程序共谋和最…
2017-09-21 cs.CR
Statistical Analysis Driven Optimized Deep Learning System for Intrusion Detection
攻击者已经开发出越来越复杂和智能的方法来攻击信息和通信技术系统。一个单独的黑客在渗透一个系统时所能造成的破坏程度是众所周知的。可以设想一个潜在的灾难性场景，即一个拦截加密金融数据的民族国家被黑客攻击。因此，智能网络安全系统对于改善针对恶意威胁的保护变得不可避免地重要。然而，随着恶意软件攻击的数量和复杂性不断急剧增加，传统分析工具检测和缓解威胁变得越来越具有挑战性。此外，大型网络产生的大量数据使识别任务变得更加复杂和具有挑战性。在这项工作中，我们提出了一个创新的统计分析驱动的优化深度学习系统的入侵检测。所提出的入侵检测系统（IDS）使用大数据可视化和统计分析方法（人在回路）提取优化和更相关的特征，然后使用深度自动编码器进行潜在威胁检测。具体而言，预处理模块消除离群值并将分类变量转换为独热编码向量。特征提取模块丢弃具有空值的特征，并选择最重要的特征作为深度自动编码器模型（以贪婪方式训练）的输入。加拿大网络安全研究所的NSL-KDD数据集被用作基准来评估所提出的架构的可行性和有效性。仿真结果表明，我们所提出的系统的潜力和其优于现有的最先进的方法和最近发表的新方法相比。正在进行的工作包括进一步优化和实时评估我们提出的IDS。
2018-08-16 cs.CR
Owner-Harm: A Missing Threat Model for AI Agent Safety
BlueFocus Communication Group（蓝ocus通信集团）；Tongji University（同济大学）
本文提出Owner-Harm威胁模型，旨在解决AI代理对部署者造成伤害的问题，通过实验验证了现有防御体系的不足，并引入SSDG框架提升检测效果。
2026-04-20 cs.AI cs.CL cs.CR
AntibotV: A Multilevel Behaviour-based Framework for Botnets Detection in Vehicular Networks
Badji Mokhtar-Annaba University（巴吉·穆克塔尔-安纳巴大学）；Ecole Nationale Supérieure d’Informatique (ESI)（国家高等计算机学院）；University of La Rochelle（拉罗谢尔大学）
本文针对车载网络中的新型零日僵尸攻击WSMP-Flood和Geo-WSMP Flood，提出AntibotV多层行为检测框架，结合网络层与车载内部监控，检测率超97%，误报率低于0.14%。
2024-07-03 cs.AI cs.CR
Detecting Domain-Generation Algorithm (DGA) Based Fully-Qualified Domain Names (FQDNs) with Shannon Entropy
本文提出利用香农熵和单变量t检验分析DNS日志，以检测SUNBURST后门通过仿冒AWS域名的DGA生成FQDN进行数据窃取的C2活动。
2023-04-17 cs.CR
Minimize Web Applications vulnerabilities through the early Detection of CRLF Injection
本文针对Web应用程序中研究较少的CRLF注入漏洞，探讨了通过自动化测试在早期阶段检测并缓解该漏洞的方法，以协助企业增强系统安全性并减少误报警报。
2023-03-05 cs.CR cs.LO cs.SE
