Enabling Efficient Cyber Threat Hunting With Cyber Threat Intelligence
University of California, Berkeley（加州大学伯克利分校）；Case Western Reserve University（凯斯西储大学）；Nanjing University（南京大学）；Princeton University（普林斯顿大学）
基于日志的网络威胁搜索已成为应对复杂攻击的重要解决方案。然而，现有的方法需要手动查询构建的非平凡的努力，并忽略了开源网络威胁情报（OSCTI）提供的丰富的外部威胁知识。为了弥补这一差距，我们提出了ThreatRaptor，一个系统，便于威胁狩猎计算机系统使用OSCTI。ThreatRaptor基于系统审计框架，提供（1）一个无监督，轻量级，准确的NLP管道，从非结构化的OSCTI文本中提取结构化的威胁行为，（2）一个简洁而富有表现力的特定于域的查询语言TBQL，用于搜索恶意系统活动，（3）一个查询合成机制，自动合成TBQL查询用于搜索，以及（4）高效的查询执行引擎以搜索大的审计日志数据。对广泛的攻击案例的评估证明了ThreatRaptor在实际威胁搜索中的准确性和效率。
2021-02-25 cs.CL cs.CR cs.DB
Evidential Cyber Threat Hunting
IBM Research（IBM研究院）
一个正式的网络推理框架，自动化的威胁狩猎过程。新的网络推理方法引入了一种操作语义，它在三个子空间（知识、假设和行动）上运行，以实现人机共同创建威胁假设和保护建议。该框架的实现表明，该方法是实用的，可以用来推广基于证据的多标准威胁调查。
2021-04-21 cs.AI cs.CR
ActMiner: Applying Causality Tracking and Increment Aligning for Graph-based Cyber Threat Hunting
针对现有溯源图威胁狩猎系统高漏报、高误报和低效率的问题，提出Actminer系统，通过因果追踪和增量对齐技术，在DARPA数据集上显著降低误报并消除漏报。
2025-08-08 cs.CR
Threat Trekker: An Approach to Cyber Threat Hunting
针对传统威胁狩猎方法的局限，本文提出名为Threat Trekker的新型机器学习威胁狩猎范式，通过连接器将数据接入事件流通道处理并反馈结果，实验验证了其对隐蔽攻击分类的有效性。
2023-10-06 cs.CR
Enhancing Cyber Threat Hunting -- A Visual Approach with the Forensic Visualization Toolkit
本文提出取证可视化工具包（FVT），通过高级可视化增强网络威胁狩猎，提升安全分析师的态势感知与威胁响应能力，并已在欧盟项目中应用。
2025-09-11 cs.CR
Benchmarking LLM-Assisted Blue Teaming via Standardized Threat Hunting
State University of New York at Binghamton（纽约州立大学布ingham顿分校）；University of Alabama at Birmingham（阿拉巴马大学伯明翰分校）；Duke University（杜克大学）
本文提出CyberTeam基准，通过构建标准化工作流和模块化操作步骤，评估大语言模型在蓝队威胁狩猎中的有效性，并揭示标准化设计带来的改进与开放式推理的局限性。
2026-05-28 cs.AI cs.CR
DeepHunter: A Graph Neural Network Based Approach for Robust Cyber Threat Hunting
网络威胁搜索是对组织信息系统中已知攻击行为的主动搜索。它是缓解高级持续威胁（APT）的重要组成部分。然而，来源数据中记录的攻击行为可能与已知的攻击行为不完全一致。在本文中，我们提出了DeepHunter，这是一种基于图神经网络（GNN）的图模式匹配方法，可以以鲁棒的方式将起源数据与已知的攻击行为进行匹配。具体来说，我们设计了一个图神经网络架构，其中包含两个新的网络：可以包含妥协指标（IOCs）信息的属性嵌入网络和可以捕获IOCs之间关系的图嵌入网络。为了评估DeepHunter，我们选择了五种真实和合成的APT攻击场景。实验结果表明，DeepHunter能够捕获所有的攻击行为，其准确性和鲁棒性均优于最先进的Poirot方法。
2021-04-20 cs.CR
A System for Efficiently Hunting for Cyber Threats in Computer Systems Using Threat Intelligence
University of California, Berkeley（加利福尼亚大学伯克利分校）；Case Western Reserve University（凯斯西储大学）；Nanjing University（南京大学）；Princeton University（普林斯顿大学）
基于日志的网络威胁搜索已成为应对复杂网络攻击的重要解决方案。然而，现有的方法需要手动查询构建的非平凡的努力，并忽略了开源网络威胁情报（OSCTI）提供的丰富的外部知识的威胁行为。为了弥补这一差距，我们构建了ThreatRaptor，这是一个使用OSCTI在计算机系统中促进网络威胁搜索的系统。ThreatRaptor建立在成熟的系统审计框架之上，提供了（1）一个无监督、轻量级和准确的NLP管道，可以从非结构化的OSCTI文本中提取结构化的威胁行为，（2）一个简洁而富有表现力的特定领域查询语言TBQL，用于搜索恶意系统活动，（3）一个查询合成机制，可以从提取的威胁行为中自动合成TBQL查询，以及（4）用于搜索大系统审计日志数据的高效查询执行引擎。
2021-02-25 cs.CL cs.CR cs.DB
Securing the Future: Proactive Threat Hunting for Sustainable IoT Ecosystems
Carleton University（卡尔顿大学）
本文针对物联网设备安全问题，提出将主动威胁狩猎结合CVSS类安全指标集成到消费平台的策略，可提前清除威胁、延长设备寿命、提升用户安全意识，助力构建安全可持续的物联网生态。
2024-06-21 cs.AI cs.CR cs.CY
Policy-Guided Threat Hunting: An LLM enabled Framework with Splunk SOC Triage
Department of Management Information Systems, University of Illinois, Springfield, USA（美国伊利诺伊大学斯普林菲尔德分校管理信息系统系）；School of Computing and Communications, Lancaster University, United Kingdom（英国兰卡斯特大学计算与通信学院）；School of Computer Applications, Kalinga Institute of Industrial Technology, India（印度卡林加工业技术学院计算机应用学院）；School of Information Technology and Artificial Intelligence, University of Cumberlands, USA（美国坎伯兰大学信息技术与人工智能学院）
本文提出一个自动化威胁狩猎框架，结合LLM与Splunk平台，通过多层模型实现动态威胁适应与风险优先级评估，提升SOC分析效率。
2026-04-11 cs.AI cs.CR
APT-CGLP: Advanced Persistent Threat Hunting via Contrastive Graph-Language Pre-Training
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Geoinformatics, Zhejiang University of Technology（浙江工业大学地理信息学院）；College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）
APT-CGLP通过对比图-语言预训练实现高级持续威胁狩猎，提升跨模态语义匹配的准确性和效率。
2025-12-31 cs.CR
Automating Cyber Threat Hunting Using NLP, Automated Query Generation, and Genetic Perturbation
Perspecta Labs, Inc.（Perspecta实验室）；MIT CSAIL（麻省理工学院计算机科学与人工智能实验室）
扩大网络搜索问题带来了几个关键的技术挑战。在大型企业网中大规模检测和表征网络威胁是困难的，因为当对手部署各种不断变化的策略来实现其目标时，必须分析大量复杂的数据。有一个伟大的需要自动化的所有方面，事实上，网络狩猎的工作流程。AI提供了许多方法来支持这一点。我们开发了WILEE系统，通过将高级威胁描述转化为许多可能的具体实施，自动化网络威胁搜索。（高级）抽象和（低级）具体实现都使用自定义域特定语言（DSL）表示。WILEE使用这些实现以及其他逻辑（也是用DSL编写的）来自动生成查询，以确认（或反驳）与各个抽象层所表示的潜在对抗性工作流相关的任何假设。
2021-04-23 cs.AI cs.CR
Data-Driven Threat Hunting Using Sysmon
威胁行为者可以坚持不懈，积极主动和敏捷，并利用多样化和广泛的战术和技术来实现其目标。作为回应，防御者建立了威胁情报计划，以保持对威胁的了解并降低风险。可操作的威胁情报集成到安全信息和事件管理系统（SIEM）中，或通过威胁情报平台等更专用的工具访问。威胁情报平台通过聚合、处理、关联和分析来自多个来源的实时数据和信息来访问上下文威胁信息，并且在许多情况下，它提供组织安全事件的集中分析和报告。Sysmon日志是一种数据源，它在端点可见性方面受到了相当大的关注。已经提出了使用Sysmon进行威胁检测的方法，主要集中在搜索引擎技术，如NoSQL数据库系统。本文展示了Sysmon和网络威胁情报的众多用例之一。特别是，我们提出了一个威胁评估系统，依赖于网络威胁情报本体自动执行的软件分为不同的威胁级别通过分析Sysmon日志流。所提出的系统和方法通过态势感知、预测和自动化行动方案增强了网络防御能力。
2021-03-28 cs.CR
POIROT: Aligning Attack Behavior with Kernel Audit Records for Cyber Threat Hunting
网络威胁情报（CTI）被用于搜索攻击的指标，这些攻击可能已经危害了企业网很长一段时间而没有被发现。为了进行更有效的分析，CTI开放标准纳入了描述性关系，显示了指标或可观测量如何相互关联。然而，这些关系要么在信息收集中被完全忽视，要么不用于威胁搜索。在本文中，我们提出了一个系统，称为POIROT，它使用这些相关性来揭示一个成功的攻击活动的步骤。我们使用内核审计作为一个可靠的来源，涵盖了所有的因果关系和系统实体之间的信息流和模型的威胁狩猎作为一个不精确的图模式匹配问题。我们的技术方法是基于一种新的相似性度量，该度量评估了由CTI相关性构建的查询图和由内核审计日志记录构建的起源图之间的对齐。我们根据公开发布的真实事件报告以及DARPA设计的对抗性攻击报告评估POIROT，其中包括针对不同操作系统平台（如Linux，FreeBSD和Windows）的十次不同攻击活动。我们的评估结果表明，POIROT能够搜索包含数百万个节点的内部图，并在几分钟内查明攻击，结果表明CTI相关性可用作威胁狩猎的强大和可靠的工件。
2019-09-30 cs.CR
A Survey on Cross-Architectural IoT Malware Threat Hunting
Simon Fraser University（西蒙菲莎大学）；Huawei Technologies Canada Company Ltd.（华为技术加拿大有限公司）
该综述梳理了跨架构IoT恶意软件检测与分类的最新进展，分析相关特征技术与机器学习模型，指出实际挑战及未来研究方向。
2023-06-09 cs.CR cs.LG
Technique Inference Engine: A Recommender Model to Support Cyber Threat Hunting
MITRE Center for Threat-Informed Defense（MITRE威胁知情防御中心）
提出Technique Inference Engine推荐模型，利用最大规模CTI报告数据集与隐式反馈推荐算法，预测攻击活动中的潜在TTPs，辅助网络分析师进行威胁狩猎。
2025-03-04 cs.AI cs.CR
Unsupervised Threat Hunting using Continuous Bag-of-Terms-and-Time (CBoTT)
University of South Florida（南佛罗里达大学）
本文提出无监督的连续词袋与时间（CBoTT）框架，用于SIEM日志的异常威胁狩猎，其API可帮助分析师在端点日志中高效发现异常，性能优于基准方法。
2024-03-15 cs.AI cs.CR
Block Hunter: Federated Learning for Cyber Threat Hunting in Blockchain-based IIoT Networks
如今，基于区块链的技术正在各个行业中开发，以提高数据安全性。在工业物联网（IIoT）的背景下，基于链的网络是区块链技术最显着的应用之一。IIoT设备在我们的数字世界中变得越来越普遍，特别是在支持发展智能工厂方面。虽然区块链是一个强大的工具，但它很容易受到网络攻击。在智能工厂中检测基于区块链的IIoT网络中的异常对于保护网络和系统免受意外攻击至关重要。在本文中，我们使用联邦学习（FL）构建了一个名为Block Hunter的威胁狩猎框架，以自动狩猎基于区块链的IIoT网络中的攻击。Block Hunter利用基于集群的架构进行异常检测，并在联合环境中结合了多个机器学习模型。据我们所知，Block Hunter是IIoT网络中第一个联合威胁狩猎模型，可以识别异常行为，同时保护隐私。我们的研究结果证明了Block Hunter在检测异常活动方面的效率，具有高精度和最低带宽要求。
2022-04-21 cs.CR cs.CY
Know Abnormal, Find Evil: Frequent Pattern Mining for Ransomware Threat Hunting and Intelligence
加密勒索软件的出现显著改变了网络威胁格局。加密勒索软件通过加密受害者计算机上的有价值数据来删除数据托管人访问权限，并通过解密数据请求支付赎金以恢复托管人访问权限。勒索软件的及时检测在很大程度上取决于如何快速准确地挖掘系统日志，以发现异常并阻止邪恶。在本文中，我们首先设置了一个环境来收集517个Locky勒索软件样本，535个Cerber勒索软件样本和572个TeslaCrypt勒索软件样本的活动日志。我们利用序列模式挖掘来找到不同勒索软件家族中活动的最大频繁模式（MFP），作为使用J48，随机森林，Bagging和MLP算法进行分类的候选特征。我们可以达到99%的准确率检测勒索软件实例从goodware样本和96.5%的准确率检测给定的勒索软件样本的家庭。我们的研究结果表明，应用模式挖掘技术检测勒索软件狩猎的好功能的有用性和实用性。此外，我们还发现了不同勒索软件家族中存在的独特的频繁模式，这些模式可用于识别勒索软件样本家族，以构建有关给定目标的威胁行为者和威胁概况的情报。
2018-08-06 cs.CR
Generative AI for Cyber Threat-Hunting in 6G-enabled IoT Networks
正在开发下一代蜂窝技术6G，以实现物联网（IoT）的各种新应用和服务。6G对于物联网应用的主要优势之一是它能够支持更高的数据率和带宽，以及支持超低延迟。然而，随着连接性的增加，网络威胁的风险也会增加，因为攻击者将能够利用连接设备的大型网络。生成式人工智能（AI）可用于通过不断学习和适应新的威胁和漏洞来检测和预防网络攻击。在本文中，我们讨论了在支持6G的物联网网络中使用生成式人工智能进行网络威胁搜索（CTH）。然后，我们提出了一种新的生成对抗网络（GAN）和基于转换器的模型，用于支持6G的物联网网络中的CTH。新的网络安全数据集的实验分析结果表明，CTH基于transformer的安全模型可以检测到物联网攻击，总体准确率高达95%。我们研究了挑战和机遇，并强调了生成式人工智能在增强支持6G的物联网网络安全性方面的潜力，并呼吁在这一领域进行进一步的研究。
2023-03-21 cs.CR
Linking Threat Tactics, Techniques, and Patterns with Defensive Weaknesses, Vulnerabilities and Affected Platform Configurations for Cyber Hunting
存在许多网络威胁和漏洞信息的公共来源，以帮助保护网络系统。本文链接了MITRE的ATT&CK战术和技术矩阵、NIST的常见弱点枚举（CWE）、常见漏洞和暴露（CVE）以及常见攻击模式枚举和分类列表（CAPEC），以进一步了解警报、威胁和漏洞。我们保留了源的所有条目和关系，同时在称为BRON的聚合数据图中启用双向关系路径追踪。在一个示例中，我们使用BRON来增强从前10个最常被利用的CVE列表中导出的信息。我们确定了攻击模式，战术和技术，利用这些CVE，也发现了多少相关的信息存在这些CVE的差异。这促使我们进一步清点BRON的来源收集，以提供公共数据源的覆盖范围和盲点的程度和范围。
2021-02-10 cs.CR
Cyber Threat Hunting: Non-Parametric Mining of Attack Patterns from Cyber Threat Intelligence for Precise Threats Attribution
针对现有网络威胁归因方法精确度低、误报率高的问题，提出基于机器学习的非参数挖掘方法与可视化交互工具CAPE，从威胁情报中提取攻击模式数据集并训练算法，实现精确的威胁行为者归因。
2025-09-15 cs.CR
Hunting in the Dark: Metrics for Early Stage Traffic Discovery
本文针对威胁狩猎中早期未知流量发现问题，以加密挖矿恶意软件Crackonosh为研究对象，提出可发现性度量指标，分析检测方法效力与暗空间规模对检测的影响，为威胁狩猎实践提供度量支撑。
2025-10-21 cs.CR
Cybersecurity Threat Hunting and Vulnerability Analysis Using a Neo4j Graph Database of Open Source Intelligence
New Mexico Cybersecurity Center of Excellence, New Mexico Tech（新墨西哥网络安全卓越中心，新墨西哥理工学院）；Sandia National Laboratories（桑迪亚国家实验室）
构建基于开源情报文本共享连接的Neo4j图数据库，通过关联IOC、CVE和MITRE ATT&CK技术ID等，实现威胁狩猎、恶意软件家族聚类和漏洞分析，并展示四个具体连接示例。
2026-06-12 cs.CR
An Interview Study on Third-Party Cyber Threat Hunting Processes in the U.S. Department of Homeland Security
本文通过对美国国土安全部11名威胁狩猎者的访谈研究，首次记录了第三方网络威胁狩猎的实践流程、挑战与解决方案，并为团队改进及未来研究方向提供了建议。
2024-02-19 cs.CR cs.SE
Privacy Preserving Threat Hunting in Smart Home Environments
最近灵巧家庭环境的激增为致力于提高生活质量和体验的各个领域提供了新的变革环境。大多数这些环境以动态和分散的方式结合了多个利益相关者提供的不同小工具，这反过来又从数字调查的角度提出了新的挑战。此外，由于这些小工具和房主之间的日常互动，产生了大量的数据记录，这给管理和分析这些数据带来了困难。分析师应该支持新的数字调查方法，以解决传统方法在这些环境中使用时的局限性。这种环境中的数字证据可以在存储灵巧家庭内发生的历史事件的日志文件的记录中找到。威胁狩猎可以利用这些小工具的集体性质，更深入地了解应对新威胁的最佳方式，这反过来又有助于减少违规行为的影响。然而，这种方法主要取决于智能房主是否愿意共享从他们的灵巧家庭环境中提取的他们自己的个人使用日志。然而，由于个人网关记录的信息的敏感性，他们可能不愿意使用此类服务。在本文中，我们提出了一种方法，使智能房主共享他们的使用日志在隐私保护的方式。一个分布式的威胁狩猎方法已经开发出来，以允许组成不同的威胁类，而不会透露记录的记录给其他相关方。此外，提出了一个场景，描绘了一个积极的威胁情报共享的潜在威胁检测灵巧家庭环境中的一些实验结果。
2020-01-19 cs.CR cs.IR
Fuzzy to Clear: Elucidating the Threat Hunter Cognitive Process and Cognitive Support Needs
本研究针对当前网络安全工具多聚焦自动化、忽略人的因素的问题，通过观察威胁猎手工作，提出其认知过程模型、23项需求主题及5项设计主张，为以人为中心的威胁狩猎工具设计提供理论与实践参考。
2025-09-04 cs.CR cs.HC
ProHunter: A Comprehensive APT Hunting System Based on Whole-System Provenance
College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；College of Geoinformatics, Zhejiang University of Technology（浙江工业大学地理信息学院）
本文提出ProHunter，一种基于整体系统溯源的高效准确APT狩猎系统，通过语义抽象和位级编码策略减少内存开销，并采用启发式威胁图采样算法精准提取攻击模式，有效解决APT活动与良性操作的语义差距问题。
2026-03-20 cs.CR
Sigma-Hunter: A Domain-Specific Language Model for Threat Hunting and Detection Engineering
Nexcepta
针对通用LLM生成检测规则质量差的问题，提出领域自适应模型Sigma-Hunter，基于3,635条规则微调7B模型，在语义质量上超越通用基线，支持本地部署。
2026-10-08 cs.AI cs.CR
Analyzing the Attack Surface and Threats of Industrial Internet of Things Devices
本文提出一种系统全面的方法，分析工业物联网设备在整个产品生命周期中的攻击面与威胁，涵盖硬件、软件、数据、资产及攻击，以降低工业控制系统风险。
2024-05-25 cs.CR cs.DC
Cyber Defense Benchmark: Agentic Threat Hunting Evaluation for LLMs in SecOps
Simbian AI
本文提出网络防御基准，评估LLM代理在威胁狩猎任务中的表现，发现现有模型在无引导情况下无法有效识别恶意事件。
2026-04-22 cs.AI cs.CR
Towards Explainable and Lightweight AI for Real-Time Cyber Threat Hunting in Edge Networks
针对边缘网络实时威胁检测，提出可解释轻量级AI框架ELAI，结合决策树、注意力和联邦学习，在保证高检测率低误报的同时显著降低计算开销。
2025-04-18 cs.AI cs.CR
Towards a Cognitive-Support Tool for Threat Hunters
University of Victoria（维多利亚大学）
本文提出威胁猎人板，通过外部化推理和整理线索支持威胁猎人的认知工作，提供评估认知支持的六个设计启发法。
2026-01-31 cs.CR cs.HC
Threat Analysis of Industrial Internet of Things Devices
本文针对工业物联网设备，识别并排序威胁来源，描述常见威胁与漏洞，并提出一套威胁分析流程，以应对联网带来的工业控制系统风险。
2024-05-25 cs.CR
A Cascade Approach for APT Campaign Attribution in System Event Logs: Technique Hunting and Subgraph Matching
针对系统事件日志中APT活动识别难的问题，提出结合技术狩猎与子图匹配的级联方法SFM，通过对齐检测到的MITRE ATT&CK技术与已知攻击序列实现归因，在5个真实APT活动上验证了可靠性能。
2024-10-29 cs.CR
Poster: Towards Selecting Threat Appropriate Industrial Intrusion Detection Systems
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫FKIE研究所）
针对工业控制系统威胁动态变化，提出基于反威胁情报共享的检测器选择机制，通过攻击层面性能评估验证其能提升安全防护效果。
2026-09-14 cs.CR
Interpretable Cyber Threat Detection for Enterprise Industrial Networks: A Computational Design Science Approach
针对企业工业网络数据稀缺、误报高且难解释的问题，提出基于改进GAN、BiGRU-注意力机制及SHAP与决策树的两阶段可解释威胁检测框架，并在两个公开数据集上验证其高精度。
2024-09-04 cs.CR
TMAP: A Threat Modeling and Attack Path Analysis Framework for Industrial IoT Systems (A Case Study of IoM and IoP)
针对工业物联网系统威胁建模方法缺乏全面分析与路径评估的问题，提出一种定量威胁建模方法，识别攻击向量并评估路径，通过IoM和IoP案例验证其有效性。
2023-12-23 cs.CR
Integrating Threat Modeling and Automated Test Case Generation into Industrialized Software Security Testing
工业物联网（IIoT）应用为推动工业生产效率的提高提供了一系列全新的可能性。然而，随着系统之间的高度集成，后者面临着过多的新威胁，因为它们尚未被设计为广泛可达和互操作。为了缓解这些大量的新威胁，系统化和自动化的测试方法是必要的。这种全面性可以通过彻底的威胁建模来实现。为了自动化安全测试，我们提出了一种方法，自动化的测试过程中，从威胁建模向前，关闭之间的差距威胁建模和自动化测试用例生成。
2019-11-15 cs.CR cs.SE
A Cyber Threat Intelligence Management Platform for Industrial Environments
开发智能的、可互操作的网络威胁信息（CTI）共享技术可以帮助建立强大的防御现代网络威胁的能力。CTI允许社区共享有关网络犯罪分子的威胁和漏洞以及防御措施或检测恶意活动的信息。成功的关键是与网络风险相关的数据是可以理解的，有组织的，并且质量良好。接收方可以掌握其内容并有效利用。本文介绍了一种用于工业环境的创新网络威胁情报管理平台（CTIMP），这是Cyber-pi项目的重要组成部分之一。特别是，建议的架构使用来自可信公共来源的网络知识，并以完全可互操作和智能的方式将其与来自组织监督基础设施的相关信息集成。当与高级可视化机制和用户界面相结合时，上述服务为管理员提供了他们所需的态势感知，同时还允许扩展合作，智能选择高级应对策略，以及一组用于处理威胁的自动自我修复规则。
2023-01-09 cs.CR
Effective and Efficient Threat Hunting with Small Language Models
University of Virginia（弗吉尼亚大学）
本文提出一个三调节框架，利用小型语言模型实现高效、低成本的安全查询生成，实验表明其在语法和语义准确性上优于现有方法。
2026-09-18 cs.AI cs.CR
Threat-based Security Controls to Protect Industrial Control Systems
本文分析了针对工业控制系统（ICS）的威胁与常见战术、技术和程序（TTP），利用MITRE ATT&CK框架映射TTP以明确防御所需的安全控制，并回顾了ICS测试床及未来研究方向。
2025-01-22 cs.CR cs.SY eess.SY
Trustworthy Artificial Intelligence for Cyber Threat Analysis
本研究开发了一种基于机器学习的网络威胁检测与评估工具，采用两阶段无监督和监督学习方法分析AWS云服务器日志，实现了高置信度的威胁识别。
2025-06-18 cs.CR
BRIDG-ICS: AI-Grounded Knowledge Graphs for Intelligent Threat Analytics in Industry~5.0 Cyber-Physical Systems
Edith Cowan University（伊迪丝·考恩大学）
BRIDG-ICS通过AI驱动的知识图谱实现工业5.0中网络物理系统的智能威胁分析与韧性评估
2026-03-05 cs.CR
Cybernetic modeling of Industrial Control Systems: Towards threat analysis of critical infrastructure
Electronics Corporation of India Limited, ECIL（印度电子公司，ECIL）
本文提出基于信息论的工业控制系统建模方法，通过引入可行系统模型原理，为关键基础设施威胁分析提供系统性视角和决策支持。
2015-10-07 cs.CR cs.SY eess.SY
Automated Attack Testflow Extraction from Cyber Threat Report using BERT for Contextual Analysis
针对手动提取APT攻击测试流程耗时易错的问题，提出FLOWGUARDIAN，利用BERT和NLP自动化从威胁报告提取流程，经实证验证准确高效，增强安全团队能力。
2025-07-09 cs.CR
An Evidence-Driven Analysis of Threat Information Sharing Challenges for Industrial Control Systems and Future Directions
The MITRE Corporation（MITRE公司）；Ben-Gurion University of the Negev（内盖夫本-古里安大学）
本研究分析了工业控制系统威胁信息共享的挑战，识别了四个关键限制，并提出改进STIX标准以提升信息共享准确性的方向。
2026-01-27 cs.CR
Attack Pattern Mining to Discover Hidden Threats to Industrial Control Systems
Singapore University of Technology and Design, Singapore（新加坡科技设计大学）；Newcastle University, Newcastle, United Kingdom（纽卡斯尔大学）；Bahria University, Pakistan（巴里亚大学）
本文提出了一种数据驱动技术生成工业控制系统攻击模式，通过案例研究验证了其有效性，生成超过10万种攻击模式。
2025-08-06 cs.CR cs.LG
AsIf: Asset Interface Analysis of Industrial Automation Devices
针对工业系统威胁建模缺乏系统性导致资产接口识别不全的问题，提出受ISO/OSI启发的AsIf方法，通过构建接口树系统识别分类资产接口，并在PLC上验证，为后续威胁建模奠定基础。
2024-09-26 cs.CR
Xscope: Hunting for Cross-Chain Bridge Attacks
跨链桥已经成为支持异构区块链之间资产互操作性的最流行的解决方案。然而，在提供高效灵活的跨链资产转移的同时，涉及链上智能合约和链下程序的复杂工作流程导致了新的安全问题。在过去的一年里，发生了十多起针对跨链桥的严重袭击事件，造成数十亿损失。由于很少有研究关注跨链桥的安全性，社区仍然缺乏减轻这一重大威胁的知识和工具。为了弥补这一差距，我们首次对跨链桥的安全性进行了研究。我们记录了三类新的安全漏洞，并提出了一组安全属性和模式来表征它们。基于这些模式，我们设计了Xscope，一个自动发现跨链桥中的安全违规并检测实际攻击的工具。我们在四个流行的跨链桥上评估Xscope。它可以成功检测所有已知的攻击，并发现以前未报告的可疑攻击。Xscope的视频可以在https://youtu.be/vMRO_qOqtXY上找到。
2022-08-15 cs.CR cs.SE
The Dangerous Combo: Fileless Malware and Cryptojacking
无文件恶意软件和加密劫持攻击已经独立出现，成为2017年新的令人担忧的威胁。2020年之后，无文件攻击对于具有低可观察性特征的受害组织来说是毁灭性的。此外，未经授权的加密货币挖矿量在2019年后有所增加。对手已经开始合并这两种不同的网络攻击，以获得更多的无形性和利润下“无文件加密劫持。“本文旨在为这一新威胁提供学术论文和行业报告的文献综述。此外，我们提出了一个新的威胁狩猎为导向的DFIR方法与来自现场经验以及文献的最佳实践。最后，本文回顾了无文件威胁的基本原理，这也可以帮助勒索软件研究人员研究类似的模式。
2022-03-09 cs.CR
EXTRACTOR: Extracting Attack Behavior from Threat Reports
University of Illinois at Chicago（伊利诺伊大学芝加哥分校）
网络威胁情报（CTI）报告中包含的攻击知识对于有效识别和快速响应网络威胁非常重要。然而，这些知识往往嵌入在大量的文本中，因此很难有效地使用。为了解决这一挑战，我们提出了一种新的方法和工具，称为EXTRACTOR，允许精确的自动提取简洁的攻击行为CTI报告。EXTRACTOR对文本没有强有力的假设，能够从非结构化文本中提取攻击行为作为起源图。我们使用来自各种来源的真实事件报告以及DARPA对抗活动的报告来评估EXTRACTOR，这些活动涉及Windows，Linux和FreeBSD等各种操作系统平台上的几次攻击活动。我们的评估结果表明，EXTRACTOR可以从CTI报告中提取简洁的出处图，并表明这些图可以成功地被网络分析工具用于威胁搜索。
2021-04-17 cs.AI cs.CR
OSTINATO: Cross-host Attack Correlation Through Attack Activity Similarity Detection
针对企业网络中跨多主机攻击难关联的问题，提出基于攻击战术技术相似性的跨主机关联方法Ostinato，无需横向移动检测，可检出更多失陷主机并大幅减少告警。
2023-12-14 cs.CR
RAPTOR: Advanced Persistent Threat Detection in Industrial IoT via Attack Stage Correlation
本文提出RAPTOR系统，利用ICS/OT环境的TTP和易采集的流量与IDS警报关联APT攻击阶段并生成行动图，实验表明其检测精度高、误报漏报低。
2023-09-26 cs.CR
