Enhancing Strategic Information Security Management in Organizations through Information Warfare Practices
在这篇简短的论文中，我们认为，为了打击APT，组织需要从传统的以预防为中心的方法转向以响应为中心的方法。本研究以军事研究中的信息战争范式为基础，运用动态能力理论，探讨信息战争能力在企业领域的适用性。我们提出了一个研究框架，认为传统的预防为中心的响应能力，如事件响应能力和IW为中心的安全能力，可以集成到IW启用动态响应能力，提高企业的安全性能。
2021-04-14 cs.CR
Practice-Informed, Practice-Ready: An AI security incident taxonomy
QuantPi；Responsible AI Collaborative（负责任AI协作组织）；Palo Alto Networks（潘多拉网络公司）；UL Research Institutes（UL研究院）；Microsoft Security Response Center（微软安全响应中心）；Qualcomm（高通）；German Federal Office for Information Security, BSI（德国联邦信息安全局）；IBM Research Zurich（IBM苏黎世研究实验室）；EPFL VITA Lab（洛桑联邦理工学院VITA实验室）
该研究针对AI安全事件报告缺乏实用标准的问题，通过多领域从业者讨论构建了AI安全事件分类法，其可指导事件识别与措施推荐，且已成为行业标准的科学基础。
2026-08-27 cs.CR
Information Security Policy: A Management Practice Perspective
在信息安全管理（ISM）领域中，对策略的研究已经投入了大量的研究工作。然而，我们对ISM文献的回顾发现了四个关键的缺陷，这些缺陷降低了指导组织实施政策管理实践的实用性。本文全面概述了信息安全策略的管理实践，并开发了一个基于实践的模型，以解决上述四个缺陷。该模型就安全管理人员必须为安全政策制定开展的活动向从业人员提供了全面指导，并允许从业人员将其当前做法与模型建议的最佳做法进行基准测试。该模型有助于理论映射现有的信息安全政策研究的定义管理实践。
2016-05-28 cs.CR cs.CY
Unleashing IoT Security: Assessing the Effectiveness of Best Practices in Protecting Against Threats
针对物联网安全最佳实践缺乏有效性评估标准的问题，提出将最佳实践转化为测试用例以评估其安全影响并排序的方法，经9款商用设备测试发现18个漏洞，可助力厂商优化安全投入优先级。
2023-08-23 cs.CR
Do Software Security Practices Yield Fewer Vulnerabilities?
本研究构建软件安全实践得分与漏洞数的机器学习模型，发现四项实践影响最大，但模型预测R²仅9%-12%，且安全得分高的包报告漏洞反而更多，建议优化相关指标以提供有效安全指导。
2023-06-15 cs.CR cs.SE
A Survey of Data Security: Practices from Cybersecurity and Challenges of Machine Learning
本文综述了机器学习系统带来的数据安全新挑战，并系统介绍密码学、零信任、同态加密、差分隐私和联邦学习等跨领域基础技术，以促进网络安全与数据科学领域的协同发展。
2023-12-04 cs.CR
XI Commandments of Kubernetes Security: A Systematization of Knowledge Related to Kubernetes Security Practices
Kubernetes是一个开源软件，用于自动化管理计算机化服务。IBM、Capital One和Adidas等组织使用Kubernetes来部署和管理他们的容器，并报告了与部署频率相关的好处。尽管有报道称，Kubernetes的部署很容易受到安全漏洞的影响，例如2018年特斯拉发生的安全漏洞。Kubernetes安全实践的系统化可以帮助从业者减轻Kubernetes部署中的漏洞。本文的目标是通过系统化与Kubernetes安全实践相关的知识，帮助从业人员保护他们的Kubernetes安装。我们通过对104个互联网工件进行定性分析来系统化知识。我们确定了11种安全实践，包括（i）实现基于角色的访问控制（RBAC）授权以提供最小权限，（ii）应用安全补丁以保持Kubernetes更新，以及（iii）实现pod和网络特定的安全策略。
2020-06-27 cs.CR cs.SE
Security practices in AI development
该研究探讨通用AI系统安全性声明的可信度来源，指出安全实践比安全工具更关键，分析了安全实践填补工具能力与安全保障差距的方式及不足，明确其属于支持AI商业开发的安全化进程，并提出了改进建议。
2025-05-17 cs.CR cs.CY
Best Practices for Notification Studies for Security and Privacy Issues on the Internet
研究人员通过单独通知他们在研究中发现的安全和隐私问题，帮助易受攻击和不合规的互联网服务运营商。为了提高这些努力的效率和效力，必须进行专门的通知研究。到目前为止，还没有关于进行此类通知研究的陷阱和最佳做法的全面文件，这限制了结果的有效性并妨碍了再现性。根据我们在此类研究中的经验和相关工作的指导，我们提出了一套指导方针和实用建议，包括初始数据汇集、发送通知、与接收者互动以及发布结果。我们注意到，未来的研究可以特别受益于关键过程的广泛规划和自动化，即，在发送第一个通知之前发生的活动。
2021-06-15 cs.CR
Secure Coding Practices in Java: Challenges and Vulnerabilities
Java平台和第三方库提供了各种安全功能，以促进安全编码。然而，滥用这些功能可能会花费开发人员的大量时间和精力，或者导致软件中的安全漏洞。之前的研究主要集中在密码学和SSL API的滥用上，但没有探索关键的基础研究问题：安全编码实践中最大的挑战和漏洞是什么？在本文中，我们对StackOverflow帖子进行了全面的实证研究，以了解开发人员对Java安全编码的关注，他们的编程障碍以及代码中的潜在漏洞。我们观察到开发人员已经将他们的工作转移到使用Spring安全性提供的身份验证和授权功能上-Spring安全性是一个旨在保护企业应用程序的第三方框架。多种编程挑战与API或库有关，包括加密API的复杂跨语言数据处理，以及配置Spring安全性的复杂的基于Java或基于XML的方法。更有趣的是，我们在建议的接受答案代码中发现了安全漏洞。这些漏洞包括使用不安全的散列函数（如MD5），通过绕过证书验证破坏SSL/TLS安全性，以及不安全地禁用针对跨站点请求伪造（CSRF）攻击的默认保护。我们的研究结果揭示了安全编码援助和教育的不足，以及安全理论和编码实践之间的差距。
2017-09-28 cs.CR
An Empirical Study of Security Practices for Microservices Systems
尽管微服务系统有许多好处，但安全性一直是此类系统中的关键问题。有几个因素可以解释这种困难，包括微服务从业者在正确保护微服务系统方面的知识差距。为了（部分）弥合这一差距，我们进行了实证研究。我们首先手动分析了861个微服务安全点，包括来自10个GitHub开源微服务系统的567个问题，9个文档和3个wiki页面，以及306个关于微服务系统安全性的Stack Overflow帖子。在这项研究中，微服务安全点被称为“GitHub问题，Stack Overflow帖子，文档或需要5个或更多微服务安全段落的wiki页面”。我们的分析导致了28个微服务安全实践的目录。然后，我们对74位微服务从业者进行了一项调查，以评估这28种实践的有用性。我们的研究结果表明，调查受访者肯定了28种做法的有用性。我们相信，微服务安全实践目录可以作为微服务从业者的宝贵资源，以更有效地解决微服务系统中的安全问题。它还可以告知研究社区开发微服务特定安全实践和工具所需或较少探索的领域。
2022-11-18 cs.CR cs.SE
5G Network Security Practices: An Overview and Survey
该综述梳理5G核心网架构组件及其安全服务，分析安全架构风险与漏洞，并结合欧洲相关调研文献提出部署安全5G网络的最佳实践建议。
2024-01-25 cs.CR cs.NI
Unveiling the Security Risks of Federated Learning in the Wild: From Research to Practice
Zhejiang University（浙江大学）；Chongqing University（重庆大学）；Southeast University（东南大学）
本文从测量角度重新审视联邦学习的安全性，系统化分析研究与实践间的不匹配因素，揭示理想化评估对安全风险的高估，并提出更实际的安全评估方法。
2026-03-21 cs.CR
The need for effective information security awareness practices in Oman higher educational institutions
互联网技术的革命及其使用导致在线交易和电子数据传输的数量大幅增加，同时也增加了世界各地网络犯罪事件的数量。阿曼苏丹国经济稳步增长，加快了电子商务、银行、通信、教育等方面的在线使用量。通常攻击者的目标是那些由于缺乏信息安全意识而忽视安全实践的用户。不了解信息安全实践、用户疏忽、缺乏意识计划和培训是信息安全威胁的根本原因。早期的研究表明，阿曼存在大量持续的网络犯罪事件，损害了组织的安全政策，影响了业务连续性和经济增长。在这项研究中，在阿曼的教育机构之间进行了调查，以调查信息安全意识的水平，并在研究的基础上，提出了一个安全意识模型，使信息安全的做法，在教育机构。
2016-02-21 cs.CR cs.CY
Information Security Awareness at Oman Educational Institutions : An Academic Prespective
对计算机和互联网使用的知识和实践之间的差距是影响信息安全的主要因素。对阿曼的教育机构进行了一项调查，以了解各实体对信息安全的认识程度。调查集中在以下因素的IT安全：人口统计，互联网的使用，对组织的网络安全威胁的认识经验，对密码管理的认识，电子邮件安全意识和知识的安全实践。该调查吸引了173名受访者：信息安全意识和安全实践知识的水平进行了关联和分析。查明了与安全执行、认识和做法有关的薄弱领域。
2016-05-17 cs.CR cs.CY
Steganography Security: Principle and Practice
本文重点讨论了隐写安全中的几个理论问题和原则，并通过分析相应的算法实例，定义了四个安全级别。在理论分析中，讨论了隐写安全性与水印安全性的区别。给出了隐写安全的两个必要条件。在当前的技术条件下，分析了隐蔽和隐蔽的不可否认性，认为隐写术的安全性应依赖于算法开放的密钥保密性。通过明确密钥在隐写中的作用，形式化地给出了理论上安全隐写算法的必要条件。在分析安全实例时，根据隐写分析攻击对隐写系统的访问变量对隐写分析攻击进行了分类，并定义了四个安全级别。安全级别越高，可以抵御的攻击级别就越高。结合当前技术条件给出了算法实例，分析了其数据隐藏过程、安全级别和实用要求。
2018-10-16 cs.CR cs.MM
DeepSec: Deciding Equivalence Properties for Security Protocols -- Improved theory and practice
本文针对密码协议隐私验证中的等价判定问题，提出新的复杂性结果和有界会话下的判定过程，并实现为工具DeepSec，实验证明其效率更高且可分析协议范围更广。
2024-03-11 cs.CR
Secure Software Development Methodologies: A Multivocal Literature Review
本文通过多来源文献综述梳理了28种安全软件开发方法学中的安全实践，涵盖技术与非技术层面，并指出当前研究空白，为改进软件安全、减少漏洞提供参考。
2023-07-04 cs.CR
Building Sound Evaluation Practices for Rust-Based Security Frameworks
System Security Group, University of Duisburg-Essen（杜伊斯堡-埃森大学系统安全组）
本研究针对Rust生态系统安全工具评估的科学性与可复现性问题，开发了首个合理评估方法，并将其应用于20个Rust项目的主流模糊测试工具评估，验证了方法的实用性。
2026-10-14 cs.CR
Factors Influencing the Organizational Decision to Outsource IT Security: A Review and Research Agenda
IT安全外包是与第三方安全服务提供商签订合同，以执行组织的全部或部分IT安全功能的过程。很少有人知道的因素影响组织的决定外包这样一个关键的功能。我们对研究和实践文献的回顾确定了几个管理因素和法律因素。我们发现IT安全外包的研究还不成熟，重点领域没有解决行业实践面临的关键问题。因此，我们提出了一个研究议程，包括15个问题，以解决五个关键的差距，有关知识的IT安全外包，特别是有效性的结果，生活经验的做法，时间维度，多利益相关者的观点，以及对IT安全实践的影响，特别是敏捷性的事件响应。
2022-08-26 cs.CR cs.CY
A Cross-Layer Security Analysis for Process-Aware Information Systems
流程感知信息系统（PAIS）的信息安全依赖于多方面的因素，包括业务流程的安全、底层系统和技术的安全。此外，人类可能是最薄弱的环节，可能会造成漏洞，也可能是最坏的敌人，可能会危及一个防御良好的系统。由于一个系统的安全程度与其最薄弱的环节一样，因此只有在所有因素都安全的情况下，才能在PAIS中实现信息安全。在本文中，我们解决了两个研究问题：如何进行跨层的安全分析，耦合在业务流程层以及在技术层的安全问题;以及如何将人为因素纳入到安全分析中，以识别人为导向的漏洞和威胁。我们提出了一种方法，支持跟踪功能，技术和人为因素之间的安全相互依赖关系，这有助于建立一个整体的方法，以信息安全在PAIS。我们证明了从支付卡行业的情况下的适用性。
2015-07-13 cs.CR
A Developer-Centric Study Exploring Mobile Application Security Practices and Challenges
该研究通过对全球137名资深移动应用开发者的调查，梳理了开发者的移动应用安全实践现状与面临的漏洞、权限、隐私等挑战，指出学习材料的不足并给出相关建议，为优化安全实践、工具及培训提供参考。
2024-08-16 cs.CR cs.SE
What Physical Layer Security Can Do for 6G Security
虽然现有的安全协议是以核心网为重点设计的，但增强B5G接入网的安全性变得至关重要。尽管5G安全协议在LTE方面得到了加强，但仍然存在尚未完全解决的开放问题。这项工作的前提是，从物理层开始重新思考自自底向上的的安全设计不仅在6G中可行，而且重要的是，它是克服新用例中安全障碍的有效方法，特别是大规模机器类型通信（mMTC），超可靠低延迟通信（URLLC）和自主网络物理系统。与现有的综述论文不同，这些论文将物理层安全性与密码学正交处理，我们将尝试提供一些关于底层连接的见解。讨论了许多实际问题，我们将提出一个全面的审查，在国家的最先进的i）秘密密钥生成从共享的随机性，ii）窃听信道和基本限制，iii）认证的设备使用物理不可克隆功能（PUF），本地化和多因素认证，以及，iv）在物理层的干扰攻击。最后，我们总结了提议者对超连接和语义通信时代的6G安全前景的期望。
2022-12-01 cs.CR
Achieving Efficient and Provably Secure Steganography in Practice
隐写术是将消息隐藏在介质中的任务，使得隐藏消息的存在无法被检测到。虽然隐写术的前景是可以想象的有趣，在许多情况下，虽然工作已经做了正式的隐写安全和提供可证明安全的结构，很少有工作存在试图提供有效的和可证明安全的隐写方案在特定的，有用的领域。从隐写安全的初始定义的出发点开始，我从事了一项探索，该探索已经发展到包括两个主要任务，这两个任务都指向在实践中实现高效和安全的隐写系统：（a）研究当前隐写安全形式主义在更广泛的潜在感兴趣领域的句法和语义适用性，以及（b）构造和实现可证明安全的（密钥）隐写方案的领域是非常适合当前的形式主义。
2017-07-01 cs.CR
FlexiSec: A Configurable Link Layer Security Architecture for Wireless Sensor Networks
无线传感器网络（WSNs）中的通信安全确实是至关重要的，由于传感器节点中的资源的关键性，以及由于其无处不在和无处不在的部署，具有不同的属性和所需的安全程度。下一代传感器节点的激增，并没有解决这个问题，因为更强调低成本的部署。此外，无线传感器网络使用以数据为中心的多跳通信，这反过来又需要在链路层设计安全支持（增加安全相关操作的成本），而不是像一般网络那样在应用层。因此，需要一个节能的链路层安全框架。确实存在许多链路层安全架构，它们提供不同WSN应用所需的安全属性的某些组合。然而，正如我们在本文中所展示的，它们都不能满足应用程序的实际安全需求。因此，我们认为，有必要调查一个可配置的基于软件的链路层安全架构的可行性，其中应用程序可以灵活地编译，相对于其实际的安全需求。在本文中，我们分析，提出和实验的基本设计，这种可配置的无线传感器网络的链路层安全架构。我们还通过实验评估了与我们的方案相关的各个方面，即可配置的分组密码，可配置的分组密码操作模式，可配置的MAC大小和可配置的重放保护。所提出的架构旨在以最小的开销提供最佳的安全级别，从而节省无线传感器网络中的宝贵资源。
2012-03-21 cs.CR
Brief Report on QoSec, Context Aware Security and the Role of Physical Layer Security in 6G Wireless
虽然安全文献主要集中在核心网络上，但增强超第五代（B5 G）接入网络的安全性变得至关重要。尽管5G安全协议在LTE方面得到了加强，但仍存在尚未完全解决的开放问题。与此同时，随着我们逐渐远离标准的客户端-服务器联网范例，并进入真正的E2 E服务质量（QoS）的新时代，在不久的将来，服务水平协议（SLA）也将被期望包括关于安全质量（QoSec）的保证。预计在QoSec中增强上下文感知将允许更有效地处理与识别风险或威胁级别以及所需的安全级别相关的方面。最后，随着6 G中新的传感和智能功能的设想，可以出现来自物理层安全调色板的安全解决方案，特别是对于涉及大规模低端物联网设备的大规模机器类型通信。
2020-11-14 cs.CR
Optimizing the Replay Protection at the Link Layer Security Framework in Wireless Sensor Networks
确保无线传感器网络（WSNs）中的通信安全是非常重要的，因为其中的安全协议，应设计工作在链路层。从理论上讲，任何链路层安全协议都必须支持三个重要的安全属性，即机密性、消息完整性和重放保护。然而，为了确保更少的开销，重放保护通常不被并入链路层安全框架的一部分。我们认为，在这里，它是必不可少的，只在链路层实现重放保护，并设计一个简单的方案来做到这一点。我们首先调查的常见方法，以确保在传统的网络重放保护。我们还实现了传统的重放保护算法，使用无线传感器网络的链路层框架，即TinySec作为底层平台。随后分析了它们的局限性，提出了一种新的基于Bloom-filter的单播重放保护算法。我们表明，我们的算法是优于其他当代的方法，以确保在无线传感器网络中的单播通信的重放保护。
2012-03-21 cs.CR
A Human Dimension of Hacking: Social Engineering through Social Media
通过社交媒体渠道针对组织员工的社会工程正在成为最具挑战性的信息安全威胁之一。社会工程由于攻击方法依赖于人类的天真或错误而无视传统的安全努力。通过在线社交网络向社会工程师提供的大量信息正在促进攻击方法，这些方法依赖于某种形式的人为错误来渗透公司网络。虽然对组织信息安全目标至关重要的是引入相关的综合政策和指导方针，但全球各地区的观点和做法各不相同。本文确定了这样的区域变化，然后提出了一个详细的调查信息安全的前景和做法，周围的社会媒体，在澳大利亚的组织（公共和私人）。结果发现了不同的观点和做法，这表明需要进一步的工作，以实现有效的保护，防止由于社交媒体的采用而产生的安全威胁。
2020-05-08 cs.CR
Confidence Assertions in Cyber-Security for an Information-Sharing Environment
信息共享对于抵御网络攻击至关重要，这些攻击的数量和严重程度正在迅速增加。因此，响应者必须在决定如何采取行动时对传入的警告进行分类。这项研究提出了一个非常具体的问题：“在警报和警告中添加置信度信息如何提高对网络攻击的整体抵抗力。“我们特别寻求确定当前的做法，如果可能的话，确定一些“最佳做法”。“这项研究涉及文献综述和采访各个级别的主题专家，从系统管理员到制定广泛政策原则的人。一个创新的修改在线德尔菲小组技术被用来从专家中获得判断和建议，这些专家能够相互交谈，并匿名投票，对建议的做法进行排名。
2021-05-17 cs.CR
Bridging Theory and Practice: An Executable Taxonomy of Security Properties for ProVerif and Tamarin
Eindhoven University of Technology（埃因霍温理工大学）
本文通过系统文献综述和可执行示例，构建了一个安全属性分类法，帮助协议设计者弥合安全概念与形式化验证工具（ProVerif 和 Tamarin）之间的鸿沟。
2026-05-28 cs.CR
sec-certs: Examining the security certification practice for better vulnerability mitigation
本文通过大规模自动化分析通用准则证书，训练无监督模型识别影响认证产品的漏洞及其引用关系，并找出与更高安全性相关的安全要求，从而改进漏洞缓解。
2024-07-01 cs.CR
Physical-Layer Security: Does it Work in a Real Environment?
本文应用信道探测测量来实现物理层安全编码。信道测量是在室内环境中获得的，并用于评估作为物理位置的函数的保密容量。各种Reed-Muller窃听代码被应用于信道测量，以确定最有效的代码的环境。结果表明，部署物理层安全编码是一个三点设计过程，其中信道探测数据指导1）天线的物理放置，2）发射机的功率设置，以及3）窃听编码的选择。
2018-11-15 cs.CR
SoK: Security of Microservice Applications: A Practitioners' Perspective on Challenges and Best Practices
由于微服务的出现，基于云的应用程序部署在企业中越来越受欢迎。然而，保护这种架构是一项具有挑战性的任务，因为传统的安全概念由于其分布式性质而无法直接应用于微服务架构。这一领域的从业人员和组织所倡导的准则和最佳做法的分散性使情况更加恶化。这篇研究论文旨在揭示隐藏在灰色文献（GL）来源中的当前微服务安全讨论。特别是，我们确定了在保护微服务架构时出现的挑战，以及从业者推荐的解决这些问题的解决方案。为此，我们对互联网中存在的微服务安全挑战和最佳实践进行了系统的GL研究，目的是在博客、白皮书和标准中捕捉相关讨论。我们收集了312个GL源，其中57个进行了严格的分类和分析。这项分析一方面验证了过去在微服务安全领域的学术文献研究，但也确定了对现有方法的改进，指明了未来的研究方向。
2022-09-02 cs.CR cs.SE
Rethinking Security Incident Response: The Integration of Agile Principles
在当今的全球网络环境中，信息安全事件可能会给组织造成惊人的财务损失。行业报告表明，目前在许多组织中应用的线性计划驱动的安全事件响应方法的应用存在根本性问题。研究人员认为，传统的方法重视遏制和根除事件学习。虽然以前的安全事件响应研究主要集中在最佳实践开发，线性计划驱动的方法和安全事件响应的技术方面，很少有研究调查敏捷原则和实践集成到安全事件响应过程中。本文提出，将规范的敏捷原则和实践整合到安全事件响应流程中，是加强组织安全事件响应态势的实用解决方案。
2014-08-11 cs.CR cs.SE
multiple layers of fuzzy logic to quantify vulnerabilies in iot
量化网络系统的漏洞一直是网络安全和物联网领域极具争议的问题。为此目的进行了许多研究;然而，这些研究有许多模糊性和不确定性。在本文中，我们调查的脆弱性量化的交通部（DOT）作为我们的概念证明。我们启动安全需求分析，使用安全质量需求工程（SQUARE）获取安全需求。然后，我们应用已发布的安全标准（如NIST SP-800和ISO 27001）来映射我们的安全因素和子因素。最后，我们提出了我们的多层模糊逻辑（MFL）方法的基础上的目标问题集（GQM）来量化网络安全和物联网（移动设备）在DOT漏洞。
2020-07-14 cs.CR
Intelligent Network Layer for Cyber-Physical Systems Security
近年来，信息物理系统（CPS）取得了巨大的进步，也颠覆了许多技术领域，如智能工业，智能健康，智能交通等，以繁荣国家经济。然而，由于连接到互联网的设备数量众多，并且传统的安全解决方案可能不适合保护高级的特定于应用程序的攻击，CPS安全仍然是广泛采用的问题之一。本文提出了一种可编程设备网络层架构，以对抗攻击和高效的网络监控异构环境CPS应用。我们利用工业控制系统（ICS）来讨论存在的问题，强调先进的网络层的CPS的重要性。可编程数据平面语言（P4）被引入到检测众所周知的HELLO洪水攻击，以最小的努力，在网络级，也用于具有潜在的安全解决方案。
2021-02-01 cs.CR
Physical-Layer Security over Correlated Erasure Channels
我们探讨了额外的安全性所获得的噪声在物理层的窃听信道模型设置。最近已经提出了在物理层的安全增强，使用基于攻击者相对于发送的密文所具有的自由度的保密度量。以前的工作集中在窃听信道的情况下，可以建模为统计独立的数据包擦除信道的合法接收器和窃听。在本文中，我们超越了国家的最先进的解决相关的擦除事件在两个通信渠道。由此产生的安全性增强的相关系数和擦除概率为两个通道的函数。它表明，安全性的改善是可以实现的，通过明智的物理层设计，即使当窃听者有一个更好的通道比合法的接收器。此断言可能不成立的唯一情况是擦除在通道之间高度相关时。然而，我们能够证明，相关性不能抵消预期的安全增强，如果合法接收器的信道质量是严格优于窃听。
2011-02-17 cs.CR
Exploring Security Practices in Infrastructure as Code: An Empirical Study
本研究通过分析812个GitHub开源项目，实证评估了Terraform安全最佳实践的采用情况，发现访问策略采用最广、静态加密最被忽视，且仓库星标与采用正相关，并据此提出指南。
2023-08-07 cs.CR cs.SE
Offensive Security for AI Systems: Concepts, Practices, and Applications
Fire Mountain Labs（Fire Mountain实验室）
本文针对AI系统面临的新型安全威胁，提出覆盖全生命周期的攻击性安全框架，综合脆弱性评估、渗透测试与红队演练，将主动对抗测试转化为可落地的防御增强方法。
2025-05-09 cs.AI cs.CR
An Input-Aware Mimic Defense Theory and its Practice
当前网络空间安全问题的特点是威胁强烈而复杂。防御者面临着缺乏先验知识、各种威胁和未知脆弱性等众多问题，迫切需要新的基础理论来支持。针对这些问题，本文提出了网络空间防御的一般理论模型和一种新的模拟防御框架，即时空异构、输入感知和动态更新的模拟防御（SIDMD）。本文的主要贡献如下：（1）首先从输入空间的角度对脆弱性进行了重新定义，将网络空间安全问题的多样性规范化。(2)我们提出了一种新的未知漏洞发现方法和动态调度策略，考虑时间和空间维度没有先验知识。理论分析和实验结果表明，SIDMD在复杂攻击场景下具有最佳的安全性能，攻击成功的概率较现有技术大大降低。
2022-08-22 cs.CR
Security checklists for Ethereum smart contract development: patterns and best practices
近年来，由于区块链技术的特性，智能合约和DApp变得越来越重要和广泛。在大多数情况下，DApp是业务关键型的，应该确保非常严格的安全要求。然而，开发安全可靠的智能合约并不是一项简单的任务。一些研究人员已经研究了安全问题，但是没有一个提供简单直观的工具来克服这些问题。在本文中，我们收集了DApps的安全模式列表。此外，基于这些模式，我们为读者提供了安全评估清单，可以很容易地用于SC的发展。我们涵盖了软件生命周期的设计、编码、测试和部署阶段。通过这种方式，我们允许开发人员轻松验证他们是否将所有相关的安全模式应用于智能合约。我们将所有的分析集中在最流行的以太坊区块链和Solidity语言上。
2020-08-09 cs.CR cs.SE
A Trust Based Cross Layer Security Protocol for Mobile Ad hoc Networks
在本文中，我们开发了一个基于信任的安全协议的基础上，跨层的方法，实现了保密性和认证的数据包在路由层和链路层的移动自组网。在协议的第一阶段，我们设计了一个基于信任的数据包转发方案，利用路由层信息检测和隔离恶意节点。它通过为每个节点维护一个信任计数器，使用信任值来支持数据包转发。通过减少或增加信任计数器来惩罚或奖励节点。如果信任计数器值低于信任阈值，则将对应的中间结点标记为恶意的。在协议的下一阶段，我们使用CBCX模式的身份验证和加密来提供链路层安全性。仿真结果表明，提出的跨层安全协议实现了高的数据包投递率，同时获得低延迟和开销。
2009-11-03 cs.CR
Model-Driven Security Analysis of Self-Sovereign Identity Systems
本文提出一种模型驱动安全分析框架，利用时序逻辑形式化自主身份系统的架构模式与威胁，并通过模型检查自动验证，还借助SecureSSI环境验证了典型脆弱模式。
2024-06-02 cs.CR
Exploring Knowledge Leakage Risk in Knowledge-Intensive Organisations: Behavioural aspects and Key controls
知识泄漏对知识密集型组织的竞争优势构成了严重的风险。虽然知识泄漏是一个以人为中心的安全问题，但人们对个人行为造成的泄漏以及可有效减轻泄漏风险的保护战略和控制知之甚少。因此，本研究探讨了安全从业人员的观点，在知识密集型组织的背景下，影响知识泄漏风险的关键因素。我们组织了两个焦点小组来探讨这些观点。该研究强调了三种类型的行为控制，以减轻知识泄漏的风险：人力资源管理实践，知识安全培训和意识的做法，和划分的做法。
2021-04-14 cs.CR
Benchmarking Practices in LLM-driven Offensive Security: Testbeds, Metrics, and Experiment Design
TU Wien（维也纳技术大学）
本文分析了大语言模型驱动的攻击的攻击安全领域的基准测试实践，综述19篇论文的18个原型及测试平台，提出扩展测试平台、建立基线等建议，指出CTF挑战难代表真实渗透场景。
2025-06-16 cs.AI cs.CR
Exploring Security Practices of Smart Contract Developers
智能合约是在区块链上运行的自动执行程序（例如，Ethereum）。2021年，由于各种安全漏洞，由智能合约控制的价值6.8亿美元的数字资产被黑客入侵或被盗。虽然安全性是智能合约的一个基本问题，但目前尚不清楚智能合约开发人员如何处理安全性。为了帮助填补这一研究空白，我们进行了一项探索性的定性研究，包括半结构化访谈和代码审查任务，共有29名不同背景的智能合约开发人员，其中包括10名早期（不到一年的经验）和19名经验丰富（2-5年的经验）的智能合约开发人员。我们的研究结果显示了广泛的智能合约安全认知和实践，包括他们使用的各种工具和资源。我们的早期开发人员参与者在代码审查任务中识别安全漏洞的成功率（15%）远低于经验丰富的同行（55%）。我们对他们的代码审查的分层任务分析表明，仅仅访问标准文档、参考实现和安全工具是不够的。许多开发人员检查了这些材料或使用了安全工具，但仍然未能发现安全问题。此外，一些与会者指出了当前智能合约安全工具的缺点，例如其可用性。我们讨论了未来的教育和工具如何更好地支持开发人员确保智能合约的安全性。
2022-04-24 cs.CR cs.HC cs.SE
Complete Security Framework for Wireless Sensor Networks
传感器网络的安全问题和所需的安全级别可能会根据传感器网络部署的应用特定需求而有所不同。到目前为止，针对传感器网络提出的大多数安全解决方案都是分层的，即特定的解决方案适用于单层本身。因此，将它们整合起来是一个新的研究挑战。在本文中，我们接受了挑战，并提出了一个集成的综合安全框架，将提供安全服务的所有服务的传感器网络。我们增加了一个额外的组件，即智能安全代理（ISA），以评估安全级别和跨层交互。该框架包括入侵检测系统、信任框架、密钥管理机制和链路层通信协议等。我们还在Castalia和Omnet++模拟器中的三个不同应用场景上进行了测试。
2009-08-02 cs.CR
A Survey on Artificial Noise for Physical Layer Security: Opportunities, Technologies, Guidelines, Advances, and Trends
本文综述了人工噪声（AN）在物理层安全中的应用，介绍了其发展背景、基本原理及通过降低窃听信道容量提升保密容量的机制，全面总结了基于AN的场景与结合技术，并讨论了未来需解决的技术挑战。
2025-09-16 cs.CR
Security-Hardening Software Libraries with Ada and SPARK -- A TCP Stack Use Case
本白皮书演示了如何通过采用SPARK技术，显著增强以C程序设计语言编写的现有专业级开源嵌入式TCP/IP堆栈实现的保证、可靠性和安全性。一个多方面的方法实现了这一点。首先，TCP层的C代码被正式验证的SPARK所取代，SPARK是形式化验证工具支持的Ada程序设计语言的子集。然后，仍然用C编写的TCP层所依赖的较低层使用SPARK合同进行建模，并使用KLEE符号执行进行验证。最后，上层的正式合同被定义为调用TCP层。这项工作允许检测和纠正TCP层中的两个错误。在一个日益互联的世界中，网络安全至关重要，本工作中详细介绍的强大方法可以应用于任何现有的关键C库，以显著增强其可靠性和安全性。
2021-09-02 cs.CR
From Compliance to Impact: Tracing the Transformation of an Organizational Security Awareness Program
本文通过美国某政府机构为期一年的案例研究，揭示了安全意识项目从合规导向转向行为影响导向的挑战与实践，为界定安全意识工作角色提供了参考。
2023-09-14 cs.CR cs.HC
Physical Layer-Based Device Fingerprinting for Wireless Security: From Theory to Practice
本文综述面向无线安全的物理层设备指纹识别，重点梳理基于硬件损伤与信道特征的被动认证技术、算法、场景及挑战。
2025-06-11 cs.CR eess.SP
Enhancing NTRUEncrypt Security Using Markov Chain Monte Carlo Methods: Theory and Practice
Military Academy of National Gendarmerie（国家宪兵军事学院）；National Gendarmerie Research Center（国家宪兵研究中心）
本文提出利用马尔可夫链蒙特卡洛（MCMC）方法增强NTRUEncrypt抗量子安全性的框架，建立了采样效率界限与向格问题的安全归约，并通过数值实验验证了其在安全性与计算效率上的提升。
2025-11-04 cs.CR math.QA quant-ph
Timed automata as a formalism for expressing security: A survey on theory and practice
时间自动机是验证受时间约束的并发系统的一种常用形式。他们扩展有限状态自动机与时钟，限制系统的行为的位置，并采取过渡。虽然时间自动机最初是为了安全而设计的（在广义上的正确性w.r.t.一种正式的财产），在一些工程中逐渐使用它们来保证安全财产。在这项工作中，我们回顾了过去二十年来研究时间自动机安全特性的工作。我们特别回顾了理论工作，特别关注不透明性，以及更实际的工作，特别关注攻击树及其扩展。我们得出的主要结论，开放的观点，以及工具的支持。
2022-06-07 cs.CR cs.FL cs.LO
Advancing DevSecOps in SMEs: Challenges and Best Practices for Secure CI/CD Pipelines
本研究基于405名中小企业专业人士的调查，分析DevSecOps采用中的技术复杂性、资源限制和文化阻力等挑战，并提出以自动化、领导驱动安全文化和跨团队协作来强化CI/CD流水线安全的最佳实践。
2025-03-28 cs.CR cs.CY cs.SE
