IT Security Status of German Energy Providers
作为“中小能源供应商信息网络安全”研究项目的一部分，对德国能源供应商的IT安全状况进行了调查。该项目本身侧重于中小型能源供应商的IT安全。2016年8月，与联邦网络局列出的881家公司进行了接触。在2016年9月1日至2016年10月15日期间，61家（6.9%）公司做出了回复。调查问卷侧重于法规要求的实施和信息安全管理体系（ISMS）的实施。此外，还询问了有关能源控制系统、网络结构、流程、组织结构和IT部门的问题。问题是用德语提出的，因此本报告中的所有问题和答案都经过翻译。--该项目本身需要信息安全和减少能源消耗。Zur Durchführung der Umfrage wurden alle 881 im August 2016 bei der Bundesnetzagentur gelisteten Betreiber angeschrieben.在1号避难所里。September 2016 bis zum 15. 2016年10月有61人（6.9%）参加了比赛。该软件主要用于研究开发和实施信息安全管理系统（ISMS）。Weiterhin wurden Fragen zu dem Leitsystem，Netzaufbau，Prozessen，organisatorischen Strukturen und der Büro-IT gestellt.
2017-09-05 cs.CR cs.CY
Aligning Security Compliance and DevOps: A Longitudinal Study
Siemens Foundational Technologies（西门子基础技术）；Technical University of Munich（慕尼黑工业大学）；Blekinge Institute of Technology（布莱金厄理工学院）；University of Applied Sciences（应用科学大学）
本文提出了一种基于安全标准的DevOps框架，通过纵向研究展示其在关键基础设施产品开发中的应用及对实践的影响。
2025-12-16 cs.CR cs.SE
Non-profit Organizations' Need to Address Security for Effective Government Contacting
中小型公司对信息安全的需求正在增加。信息安全漏洞、数据丢失和灾难的风险正在增加。IT中断和问题对公司的影响是任何规模的企业及其客户都无法接受的。有很多方法可以解决IT部门的安全问题。应对攻击和灾难风险的需要对IT安全政策和程序非常重要。中小型公司的IT部门必须在其预算和其他有限的资源范围内解决这些安全问题。所需的安全规划、设计和员工培训需要公司和管理层的所有级别的投入和同意。本文将讨论安全需求以及将其实现到企业基础设施中的方法。
2015-11-30 cs.CR cs.CY
Web Security Investigation through Penetration Tests: A Case study of an Educational Institution Portal
Web安全已经成为一个重要的主题;许多公司和组织在构建Web应用程序以提供在线服务和增加Web存在时，变得越来越有安全意识。不幸的是，这些Web应用程序中的许多仍然容易受到威胁，因为它们对恶意攻击缺乏强大的免疫力。这会对网站的使用者构成潜在危险，亦可能影响有关机构或公司的运作。教育机构也没有被排除在外，它们的门户网站和网站拥有至关重要的信息，这些信息的完整性至关重要。以卡内基梅隆大学非洲实习门户为例，我们进行了渗透测试，以调查Web漏洞，并提出了可能的补救措施，发现的漏洞。我们的研究结果将告知教育机构更好的网站安全实践，特别是在非洲域。
2018-11-08 cs.CR
Towards Security of Additive Layer Manufacturing
增材层制造（ALM），也被广泛称为3D打印，是一种生产3D物体的新技术。作为与传统减材制造工艺相反的方法，通过在层上添加薄材料层来创建3D对象。直到最近，它们主要用于塑料模型。然而，该技术的发展使得使用金属合金进行高质量打印成为可能。NASA、ESA、波音、空客等机构和公司正在研究各种ALM技术应用领域。最近，SpaceX使用增材制造为最新的龙飞船生产发动机室。BAE系统公司计划根据作战要求按需打印一架完整的无人机（UAV）。企业期望ALM技术的实施将带来各种各样的技术和经济效益。这包括但不限于减少生产复杂零件所需的时间，减少浪费的材料，从而控制生产成本，并最大限度地减少零件存储空间，因为公司实施了即时和按需生产解决方案。广泛的应用领域和制造过程的高度计算机化将不可避免地使ALM成为各种攻击的有吸引力的目标。
2015-01-13 cs.CR
An Approach for a Supporting Multi-LLM System for Automated Certification Based on the German IT-Grundschutz
Department of Mathematics and Computer Science（数学与计算机科学系）
提出一种多LLM系统结合混合RAG的方法，用于半自动化BSI IT-Grundschutz认证，以提高效率、降低成本并应对NIS2指令带来的认证需求增长。
2026-06-25 cs.AI cs.CR
Ethical Hacking for IoT Security: A First Look into Bug Bounty Programs and Responsible Disclosure
随着物联网安全事件的日益增多，物联网安全问题备受关注。物联网硬件和软件安全漏洞被利用，影响许多公司和个人。由于漏洞的原因超出了纯粹的技术措施，现在迫切需要揭开物联网“安全复杂性”的神秘面纱，并为公司，消费者和监管机构制定实用的指导方针。在本文中，我们提出了一项针对物联网中未探索领域的初步研究，阐明了众包道德黑客方法在增强物联网漏洞管理方面的潜力。我们专注于Bug Bounty Programs（BBP）和Responsible Disclosure（RD），这两个项目刺激黑客报告漏洞以换取金钱奖励。我们通过文献调查和专家访谈进行了定性调查，以探索BBP和RD如何以有效和具有成本效益的方式促进识别，分类，优先排序，修复和缓解物联网漏洞的实践。除了为物联网利益相关者制定切实的指导方针外，我们的研究还揭示了将BBP和RD与现有安全实践相结合的系统集成路径（例如，渗透测试），以进一步提高整体物联网安全性。
2019-09-24 cs.CR cs.CY
S3C2 Summit 2024-09: Industry Secure Software Supply Chain Summit
本文介绍S3C2于2024年9月举办的工业界安全软件供应链峰会，汇总九家企业从业者在依赖更新、恶意提交、LLM等六类供应链安全挑战上的实践与合作需求。
2025-05-15 cs.CR
Delay Attacks on the German Smart Metering Infrastructure: A Security Analysis of CLS Channel Timing Constraints
Albstadt-Sigmaringen University（阿尔布斯特的西格马林根大学）；Ulm University of Applied Sciences（乌尔姆应用科学大学）
本研究分析德国智能计量基础设施CLS信道的延迟攻击可行性，提出含TLS扩展的缓解策略，指出攻击者可引发电网频率偏差，部分信道漏洞或更严重。
2026-08-05 cs.CR
Compliance of POLYAS with the Common Criteria Protection Profile
2008年，德国联邦信息安全办公室发布了在线投票产品的通用标准保护配置文件（PP-0037）。因此，我们对Polyas电子投票系统进行了评估，该系统在多个国际组织（德国信息协会、GI等）中用于具有法律约束力的选举，以符合通用标准保护配置文件，并努力满足给定的要求。在本文中，我们介绍了创建兼容安全目标的过程中的发现，对系统设计的必要限制和假设以及委员会的工作，以及必要的架构和程序更改。
2010-12-21 cs.CR
An Adaptable Approach for Successful SIEM Adoption in Companies
针对当前缺乏通用的、兼顾学术性且不受产品或开发商限制的SIEM实施方法的问题，本文采用Hevner设计科学研究方法构建了企业SIEM实施的整体性流程模型，经验证该模型具备适用性，未来可在多企业项目中进一步分析其适用性与完备性。
2023-08-02 cs.CR cs.CY
Which programming languages do hackers use? A survey at the German Chaos Computer Club
有许多关于黑客最常用的程序设计语言的文章。然而，其中几乎没有任何科学研究。其中一个原因可能是黑客主要是匿名操作，很难联系到。本文旨在阐明这个有趣的和相关的研究问题。为了找到答案，我们在德国混沌计算机俱乐部的成员中进行了一项调查。作为世界上最大的信息安全和黑客组织之一，该俱乐部为我们的学习提供了良好的基础。我们研究的问题，其中程序设计语言被黑客使用，以及他们的工作的重要性的程序设计语言。该文件提供了第一个见解的主题，并可以为进一步的研究提供一个起点。
2022-03-23 cs.CR
Building a Cybersecurity Risk Metamodel for Improved Method and Tool Integration
针对当前网络安全流程依赖文档驱动或局部建模导致效率效果受限的问题，研究提出基于通用元模型的模型驱动方法，关联风险分析与安全测试并实现跨工具信息可追溯，通过多场景工具组合验证了方法有效性。
2024-09-12 cs.CR cs.SE
The German eID as an Authentication Token on Android Devices
随着社会数字化的快速发展，数字身份变得越来越重要。通过德国eID解决方案，每个公民都有能力在个人电子身份证和相应的读卡器的帮助下识别自己与各种政府和私人组织的身份。虽然有几种解决方案可用于桌面使用eID基础设施，但移动方法必须得到更多的关注。在本文中，我们提出了一种在Android设备上使用德国eID概念的新方法，而无需实际的身份证和读卡器。我们的方法的安全性评估表明，两个非关键的架构上的漏洞无法避免。然而，没有任何敏感信息受到损害。概念验证表明，实际的实现面临着一些技术问题，必须在未来解决。
2017-01-15 cs.CR
Detecting Security Patches via Behavioral Data in Code Repositories
Tel-Aviv University（特拉维夫大学）
当今绝大多数软件都是使用协作版本控制工具（如Git）协作开发的。通常的做法是，一旦发现并修复了漏洞，软件背后的开发人员就会发布一个常见漏洞和暴露或CVE记录，以提醒用户社区注意安全隐患，并敦促他们集成安全补丁。然而，有些公司可能不会披露他们的漏洞，只是更新他们的存储库。因此，用户不知道该漏洞，并可能仍然暴露。在本文中，我们提出了一个系统来自动识别安全补丁，只使用Git存储库中的开发人员行为，而不分析代码本身或伴随修复的注释（提交消息）。我们可以发现隐藏的安全补丁，准确率为88.3%，F1得分为89.8%。这是第一次提出一个语言无关的解决方案。
2023-02-04 cs.CR cs.LG cs.SE
Security and Privacy Preserving Deep Learning
Indian Institute Of Information Technology Bhagalpur（巴加尔布尔印度信息技术学院）；Indian Institute of Technology Patna（巴特那印度理工学院）
大规模收集用户数据的商业公司一直是这一趋势的主要受益者，因为深度学习技术的成功与可用于训练的数据量成正比。深度学习所需的大量数据汇集存在明显的隐私问题。用户的个人，高度敏感的数据，如照片和录音，由收集它的公司无限期地保留。用户既不能删除它，也不能限制它的使用目的。因此，数据隐私一直是政府和公司非常关注的问题。这带来了一个非常有趣的挑战，因为一方面，我们正在进一步推动高质量的模型和可访问的数据，但另一方面，我们需要保护数据的安全，防止故意和意外的泄漏。数据越是个人化，就越受限制，这意味着一些最重要的社会问题无法使用机器学习来解决，因为研究人员无法获得适当的训练数据。但是，通过学习如何保护隐私的机器学习，我们可以在解决许多社会问题（如治疗疾病等）方面发挥巨大作用。深度神经网络容易受到各种推理攻击，因为它们记住了有关其训练数据的信息。在本章中，我们将介绍差分隐私，它确保不同类型的统计分析不会损害隐私和联邦学习，在我们无法访问的数据上训练机器学习模型。
2020-06-29 cs.AI cs.CR cs.LG
Security of LLM-generated Code: A Comparative Analysis
Carleton University（卡尔顿大学）
本研究通过模拟开发者使用LLM生成代码的行为，评估了七种流行LLM生成代码的安全性，发现所有模型均生成包含漏洞的代码，且多数为严重或高危漏洞。
2026-05-21 cs.AI cs.CR cs.SE
Mobile Access Control System Based on RFID Tags And Facial Information
更好的访问控制系统安全性需要付出更高的代价。在许多情况下，对于小公司来说，价格太高，使他们容易受到廉价和不安全系统的影响。在这项工作中，我们介绍了一种替代的访问控制方案，提高了访问控制的安全性，同时降低成本。在所提出的模型中，无源RFID标签安装在旋转栅门或智能门附近。标签读取和编程通过NFC芯片直接在用户的智能手机上完成。为了提高安全性，我们要求用户在进入安全门时提供其照片以及基于智能手机的授权。然后，照片与登记照片并排显示在监测仪表板上，以便两者可以相互匹配。开发的客户端-服务器应用程序提供了管理系统，用于配置大门访问策略，并通过访问时间，用户“与”门过滤器监控入口。此外，我们提出了一个移动应用程序，允许门注册，并作为一个门解锁钥匙。建议的访问控制模型降低了安装成本，同时保持良好的安全性。该系统是完全无线的，并使用廉价的自主RFID标签作为其主要组成部分。我们希望，拟议的系统架构将找到其应用在中小型公司。
2022-06-22 cs.CR
Privacy-Related Consequences of Turkish Citizen Database Leak
在数字时代，政府和公司比以往任何时候都更多地收集和存储个人数据。尽管数据仅在匿名化后发布，但通过加入不同的数据集可以实现去匿名化。这将个人隐私置于危险之中。此外，当安全受到破坏时，数据泄漏可以揭示个人的个人标识符。处理泄露的数据集可以提供比肉眼可见的更多的信息。在这项工作中，我们报告了我们对最近“土耳其公民数据库泄漏”的分析结果，该数据库泄露了近5000万选民的国家身份证号码，以及出生日期，出生地点和完整地址等个人信息。我们表明，随着数据的自动化处理，人们可以唯一地识别（i）个人的母亲的娘家姓和（ii）固定电话号码，对于很大一部分人。这是一个严重的隐私和安全威胁，因为（i）身份盗窃风险现在更高，（ii）骗子能够访问更多有关个人的信息。这项工作的唯一和最终目标是指出安全风险，并向相关公司和机构提出更严格的措施，以保护个人的安全和隐私。
2016-05-19 cs.CR cs.CY
IT Security Issues Within the Video Game Industry
IT安全问题是视频游戏行业中每个组织的重要方面。仅在视频游戏行业，您通常可能不会认为安全风险是一个问题。但正如我们在最近的新闻中所看到的那样，没有一家公司能够免受安全风险的影响，无论风险大小。虽然这些组织中的每一个都不会与下一个完全相同，但有一些共同的安全问题可以并且确实影响到每一家视频游戏公司。为了妥善解决这些安全问题，我们选择了目前领先的视频游戏公司之一进行初步安全评估。这一安全评估提供了一个起点，在此基础上确定了帮助减轻这些风险的具体目标和程序。其中包含的信息最初是在案例研究中完成的，但已经被概括为使信息可以很容易地应用于任何视频游戏公司。
2011-11-07 cs.CR cs.CY
Observations From an Online Security Competition and Its Implications on Crowdsourced Security
众包安全行业，特别是漏洞赏金计划，在过去几年中发展迅速，已成为许多公司软件安全审查的主要来源。然而，学术文献在很大程度上忽略了安全团队，特别是在人群工作环境中。因此，我们对分布式安全团队如何组织、协作以及他们需要什么技术知之甚少。我们通过与计算机安全夺旗（CTF）竞赛的前五名团队（18，201个参赛团队）进行焦点小组讨论来填补这一空白。我们发现，这些团队采用了一套以专业为中心的策略，这使他们能够减少与分散，双重工作和缺乏以前的合作有关的问题。通过观察当前安全人群工作平台中以个体工作者为中心的模型存在的问题，我们的研究案例表明，将安全工作扩展到团队是可行的和有益的。最后，我们确定了各种领域，保证未来的工作，如社会身份的问题，在高技能人群的工作环境。
2022-04-26 cs.CR cs.HC
KotlinDetector: Towards Understanding the Implications of Using Kotlin in Android Applications
Java程序设计语言长期以来一直用于开发原生Android移动应用程序。在过去的几年里，许多公司和自由职业者已经部分或全部改用Kotlin。因此，许多项目都是以二进制文件的形式发布的，并混合使用Java和Kotlin语言结构。然而，这种转变的真正安全和隐私影响尚未得到彻底研究。在这项工作中，开发了一个最先进的工具KotlinDetector，通过执行启发式模式扫描和调用跟踪，直接从Android应用程序包（APK）中提取任何Kotlin的存在，百分比和许多语言功能。我们的评估研究表明，该工具是相当有效和准确的。我们还提供了一个用例，其中KotlinDetector的输出与现有漏洞扫描工具AndroBugs的输出相结合，以推断任何安全和/或隐私影响。
2021-05-20 cs.CR cs.SE
Unseen Power of Information Assurance over Information Security
本文对比信息安全与信息保障的概念，梳理二者的模型、挑战与实现方法，探究信息安全的地位演变，论证信息保障应优先于其他信息保护技术的核心观点。
2024-10-19 cs.CR
Applying mathematical models in cloud computing: A survey
随着越来越多的个人和公司信息被放置在云中，人们开始担心云环境的安全性。最好是在安全威胁进入系统之前就预防它们，如果不知道它们来自哪里，就无法预防。资源分配和收入最大化的问题也同样重要，尤其是在云安全方面。这就需要不同的建模技术，包括但不限于安全威胁，资源分配和收入最大化模型。本调查报告将尝试分析云计算中的安全威胁和风险缓解。它介绍了病毒攻击如何入侵云上的虚拟机，通过提供虚拟机中的病毒威胁建模和风险缓解，讨论了顶级安全威胁和对策。资源分配模型和收益最大化技术也进行了讨论。
2014-03-14 cs.CR cs.DC
Cybersecurity as a Service
本文介绍网络安全即服务（CSaaS）的概念，概述常见安全职能与托管安全服务提供商，并为中小型企业选择MSSP提供提问指导。
2024-02-21 cs.CR
ASSURE: RTL Locking Against an Untrusted Foundry
半导体设计公司正在集成专有知识产权（IP）模块以构建定制集成电路（IC）并在第三方代工厂制造它们。未经授权的IC拷贝每年给这些公司造成数十亿美元的损失。虽然已经提出了几种用于硬件IP混淆的方法，但是它们在门级网表上操作，即，在综合工具将语义信息嵌入网表之后。我们建议ASSURE保护硬件IP模块上运行的寄存器传输级（RTL）的描述。RTL方法具有三个优点：（i）它允许设计者混淆用许多不同方法生成的IP核（例如，硬件生成器、高级合成工具和预先存在的IP）。(ii)它在逻辑合成之前混淆了IC的语义;（iii）它不需要修改EDA流程。我们对ASSURE进行成本和安全评估。
2021-04-18 cs.CR
(How) Do people change their passwords after a breach?
为了防止滥用在违规行为中受损的密码，消费者应立即更改受影响的密码和其他帐户上的任何类似密码。理想情况下，受影响的公司应该强烈鼓励这种行为，并建立机制来减轻伤害。为了向公司提出如何帮助其用户在违规后执行这些和其他安全增强操作的建议，我们必须首先了解公司违规后实践的当前有效性。为了研究与密码相关的违规通知和违规后执行的做法的有效性，我们基于249名参与者的真实密码数据，研究了参与者在违规通知后是否以及如何建设性地更改密码。在249名参与者中，63人在被入侵的域名上拥有账户; 63人中只有33%的人更改了密码，并且只有13%的人在宣布后的三个月内更改了密码。新密码平均比旧密码强1.3倍（当比较log 10转换强度时），尽管大多数密码都较弱或强度相等。令人担忧的是，新密码总体上与参与者的其他密码更相似，并且参与者很少更改其他网站上的密码，即使这些密码与他们在被入侵域上的密码相同或相似。我们的研究结果强调了在违规后需要更严格的密码更改要求，以及提供全面建议的更有效的违规通知。
2020-10-19 cs.CR cs.CY
The Pitfalls of "Security by Obscurity" And What They Mean for Transparent AI
New York University（纽约大学）
本文探讨了AI界如何从计算机安全界抵制“隐蔽式安全”的经验中汲取关于透明度的见解，通过三个关键主题和匿名化案例研究，分析了AI透明度的相似性与独特挑战。
2025-01-30 cs.AI cs.CR cs.CY
A Critical Analysis of Foundations, Challenges and Directions for Zero Trust Security in Cloud Environments
本文批判性分析零信任安全在云环境中的理论框架、核心原则及四大争议，指出实施障碍（性能下降、高投资），并基于安全事件减少40%等发现，提出性能优化、经济优化等未来方向。
2024-11-09 cs.CR cs.ET
