From Hypervisor to Container: Cloud Security Vulnerabilities, Defense Mechanisms, and Open Challenges
National Institute of Technology Calicut（印度国家技术学院卡利卡特分校）
本文综述2008至2025年120余篇云安全文献，分析虚拟机逃逸、容器逃逸等威胁，提出ADPO评分框架与1-5级影响量表，并指出安全与性能权衡及低开销检测等开放挑战。
2026-09-16 cs.CR
Lic-Sec: an enhanced AppArmor Docker security profile generator
随着云计算技术的快速发展，容器化技术引起了工业界和学术界的广泛关注。在本文中，我们对Docker-sec（2018年提出的Linux安全模块）和新的AppArmor配置文件生成器Lic-Sec进行了比较测量分析，该生成器将Docker-sec与LiCShield的修改版本相结合，LiCShield也是2015年提出的Linux安全模块。Docker-sec和LiCShield可用于增强基于强制访问控制的Docker容器安全性，并允许在无需手动配置的情况下保护容器。Lic-Sec汇集了他们的优势，提供了更强大的保护。我们通过使用真实世界的攻击来测试Docker-sec和Lic-Sec的有效性和性能。我们生成了一个漏洞数据库，其中有42个在Docker容器上有效的漏洞，这些漏洞是从Exploit-db上最新的400个漏洞中选出的。我们在分别使用Docker-sec和Lic-Sec生成的容器上启动这些漏洞。我们的评估表明，对于要求苛刻的映像，Lic-Sec为Docker-sec未能提供保护的所有权限升级攻击提供保护。
2020-09-24 cs.CR
Exploiting and Securing Docker containers and Kubernetes pods from a MitM attack
School of Computing, Engineering and Digital Technologies（计算、工程与数字技术学院）
本研究通过系统综述和设计-创建方法，提出结合概念模型、AnBxJ库及第7层容器防火墙的框架，并应用零信任架构，以有效保护Docker和Kubernetes免受中间人攻击。
2026-09-16 cs.CR
BPFContain: Fixing the Soft Underbelly of Container Security
Linux容器目前提供有限的隔离保证。虽然容器将命名空间和分区资源分开，但用于确保分离的拼凑机制无法保证一致的安全语义。更糟糕的是，试图确保完全覆盖会导致难以理解或审计的政策的混乱。在这里，我们提出了BPFContain，一个新的容器限制机制，旨在与现有的容器管理系统集成。BPFContain结合了一种简单而灵活的策略语言和基于eBPF的实现，允许在几乎任何运行最新内核的Linux系统上部署。在本文中，我们介绍了BPFContain的策略语言，描述了其当前集成到Docker中的实现，并将其与当前的容器限制技术进行了比较。
2021-02-13 cs.CR cs.OS
Secure Containers in Android: the Samsung KNOX Case Study
自带设备（BYOD）是企业中日益增长的趋势，旨在通过智能手机提高员工的移动性和生产力。智能手机对企业构成的威胁和危险也在不断增长。这种危险可以通过在智能手机上的“安全容器”内运行企业软件来减轻。在我们的工作中，我们提出了一个系统的评估安全关键领域的设计和实施的安全容器的Android使用逆向工程和攻击者启发的方法。我们通过对三星KNOX的案例研究来做到这一点，三星KNOX是一款部署在数百万台设备上的真实产品。我们的研究显示了KNOX安全功能在幕后的工作方式，并让我们将供应商的公共安全声明与现实进行比较。在此过程中，我们发现了几个设计缺陷和一些漏洞，并向三星披露了这些漏洞。
2016-05-27 cs.CR
Analysis of Docker Security
在过去的几年里，虚拟化技术的使用急剧增加。这使得对高效和安全的虚拟化解决方案的需求变得更加明显。基于容器的虚拟化和基于管理程序的虚拟化是市场上出现的两种主要类型的虚拟化技术。在这两类中，基于容器的虚拟化能够提供更轻量级和更高效的虚拟环境，但并非没有安全问题。在本文中，我们分析了Docker的安全级别，Docker是基于容器的方法的著名代表。分析考虑了两个方面：（1）Docker的内部安全性，以及（2）Docker如何与Linux内核的安全功能（如SELinux和AppArmor）交互，以加强主机系统。此外，本文还讨论并确定了在使用Docker时可以做些什么来提高其安全级别。
2015-01-13 cs.CR
Comparing Security and Efficiency of WebAssembly and Linux Containers in Kubernetes Cloud Computing
本研究比较了WebAssembly与Linux容器在Kubernetes中的安全性和效率，发现WebAssembly攻击面更小、性能开销可忽略，但并非万能解决方案。
2024-11-02 cs.CR cs.DC
An Ontology-Based Approach to Security Risk Identification of Container Deployments in OT Contexts
fortiss GmbH（fortiss有限公司）；Siemens AG（西门子股份公司）
本文提出基于本体的容器安全风险识别方法，通过整合五个关键领域实现端到端的风险计算，提升OT环境中容器部署的安全风险识别的自动化和可重复性。
2026-01-07 cs.CR cs.SE
Secure Namespaced Kernel Audit for Containers
尽管基于容器的云计算被广泛使用，但用于安全分析的容器审计主要依赖于内置的主机审计系统，该系统通常缺乏捕获高保真容器日志的能力。最先进的基于引用监视器的审计技术极大地提高了审计日志的质量，但是它们的系统范围架构太昂贵，无法适应单个容器。此外，这些技术通常需要大量的内核修改，使得它们难以在实际环境中部署。在本文中，我们提出了saBPF（安全审计BPF），扩展的eBPF框架能够部署安全的系统级审计机制，在容器的粒度。我们通过设计一个审计框架、一个入侵检测系统和一个轻量级的访问控制机制来证明saBPF在Kubernetes中的实用性。我们评估saBPF，并表明它是可比的性能和安全保证审计系统从文献中直接实现在内核中。
2021-11-03 cs.CR
A High-performance Real-time Container File Monitoring Approach Based on Virtual Machine Introspection
本文针对现有容器文件监控安全性低、开销高的问题，提出一种基于虚拟机自省的高性能实时监控方法，实验证明其能有效监控容器文件且开销可接受。
2025-09-19 cs.CR cs.CY
Well Begun is Half Done: An Empirical Study of Exploitability & Impact of Base-Image Vulnerabilities
容器技术，（例如，Docker）正被广泛用于以容器映像的形式部署软件基础设施或应用程序。容器镜像中的安全漏洞是开发容器化软件的主要问题。利用这些漏洞可能会导致灾难性的影响，例如丧失机密性、完整性和容器化软件的可用性。了解漏洞的可利用性和影响特征有助于保护容器化软件的配置。然而，缺乏旨在经验性地识别和理解容器映像中漏洞的可利用性和影响的研究。我们进行了一项实证研究，以调查基础图像中的安全漏洞的可利用性和影响，以及它们在开源容器化软件中的流行程度。我们考虑了基本映像，因为容器映像是从基本映像构建的，这些基本映像提供了构建和操作容器化软件的所有核心功能。我们发现并描述了261个基本映像中安全漏洞的可利用性和影响，这些映像是最大的容器注册表中4，681个积极维护的官方容器映像的来源，即，Docker Hub。为了描述现实项目中易受攻击的基础镜像的普遍性，我们分析了来自GitHub的64，579个容器化软件。我们对一组$1,983$独特的基本图像安全漏洞的分析揭示了13个新的发现。这些发现有助于开发人员了解与基本映像相关的潜在安全问题，并鼓励他们在开发应用程序之前从安全角度调查基本映像。
2021-12-21 cs.CR cs.SE
Enabling Performant and Secure EDA as a Service in Public Clouds Using Confidential Containers
本文针对公有云爆发场景下EDA工作负载的知识产权保护需求，提出基于机密容器的零信任方案，并验证端到端性能开销仅为7.13%和2.05%，证明安全性与性能可兼得。
2024-07-08 cs.CR
On Security Measures for Containerized Applications Imaged with Docker
在过去的几年里，Linux容器越来越受欢迎，正在进入商业IT服务产品（如PaaS），应用程序部署和各种开发团队中的持续交付/集成管道。随着Docker的广泛采用，安全漏洞和担忧也浮出水面。在本调查中，我们研究了目前最流行的容器系统的安全状态：Docker。我们还将研究其起源于操作系统本身内置的Linux技术;检查固有的漏洞，例如Docker Image实现;并分析该领域使用的当前工具和现代方法，以评估和增强其安全性。对于每一部分，我们都指出了感兴趣的指标，因为它们是由该领域的研究人员和专家揭示的，并总结了他们的发现，以描绘出这些发现背后的努力的全貌。最后，我们看看行业中用于简化Docker安全扫描和分析的工具，这些工具提供了关键指标的内置聚合。
2020-08-11 cs.CR cs.SE
LUCID: A Framework for Reducing False Positives and Inconsistencies Among Container Scanning Tools
针对多容器扫描工具误报与结果不一致问题，提出可扩展框架 LUCID，通过数据库中心的查询分析定位原因，并结合动态分类降低 70% 不一致性、实现 84% 严重程度预测准确率。
2024-05-11 cs.CR
An In-Depth Security Assessment of Maritime Container Terminal Software Systems
对软件系统的攻击每天都在世界范围内发生，目标包括个人、公司和政府。促进海运的系统面临严重中断的风险，这些中断可能源于这些系统中使用的软件和流程的漏洞。这些漏洞使这些系统容易受到网络攻击。对海运系统安全的评估侧重于确定风险，但没有采取关键的（和昂贵的）下一步，即实际确定这些系统中存在的漏洞。虽然这种风险评估很重要，但没有详细查明控制这些港口及其码头的系统中的安全问题。作为回应，我们在一个经验丰富的学术网络安全团队和一个管理海运的知名商业软件提供商之间建立了一个重要的合作关系。我们对海运过程中涉及的信息流进行了分析，然后对管理货运系统的软件进行了深入的脆弱性评估。在本文中，我们展示了货运过程中涉及的信息流，并解释了我们如何进行深入评估，总结了我们的发现。与所有大型软件系统一样，海运系统也存在漏洞。
2020-06-22 cs.CR
Exploring and Exploiting the Resource Isolation Attack Surface of WebAssembly Containers
本文系统探索了WebAssembly容器的资源隔离攻击面，通过静态分析方法揭示其缺陷，并提出利用策略，实验证明恶意实例可耗尽系统资源导致性能显著下降，同时探讨了缓解方案。
2025-09-14 cs.CR
KGSecConfig: A Knowledge Graph Based Approach for Secured Container Orchestrator Configuration
容器集群管理器（CO）是管理容器集群的重要技术，容器集群可以形成用于开发和操作软件系统的虚拟化基础设施。像任何其他软件系统一样，保护CO是至关重要的，但由于大量的可配置选项，这可能是一项非常具有挑战性的任务。手动配置不仅知识密集且耗时，而且容易出错。为了实现CO安全配置的自动化，提出了一种新的基于知识图谱的安全配置方法KGSecConfig。我们的解决方案利用关键字和学习模型，在统一的结构中系统地捕获，链接和关联异构和多供应商配置空间，以支持CO安全配置的自动化。我们在Kubernetes，Docker，Azure和VMWare上实现KGSecConfig，以构建安全配置知识图谱。我们的评估结果显示，关键字和基于学习的安全配置选项和概念提取的准确率分别为0.98和0.94。我们还演示了如何利用知识图谱在Kubernetes集群中自动缓解错误配置。我们断言，我们的基于知识图谱的方法可以帮助解决几个挑战，例如，安全配置错误，与手动配置CO安全相关。
2021-12-21 cs.CR cs.SE
Towards Least Privilege Containers with Cimplifier
应用程序容器，例如Docker容器，最近作为敏捷和无缝部署应用程序的解决方案而受到欢迎。这些轻量级虚拟化环境运行的应用程序与其资源和配置信息打包在一起，因此可以跨各种软件平台部署。然而，这些软件生态系统不利于真正的和经过考验的特权分离（PS）和最小特权原则（PLP）的安全原则。我们提出了算法和工具Cimplifier，它解决了这些问题的上下文中的容器。具体来说，给定一个容器，我们的工具将它们划分为更简单的容器，这些容器只提供足够的资源来执行其功能。作为我们解决方案的一部分，我们开发了一些技术来分析资源使用情况，执行分区，并将容器粘合在一起以保留功能。我们对真实世界容器的评估表明，Cimplifier可以保留原始功能，减少58- 95%的图像大小，并在30秒内处理大型容器。
2016-02-26 cs.CR
SBOMproof: Beyond Alleged SBOM Compliance for Supply Chain Security of Container Images
本研究评估了SBOM生成与漏洞扫描工具的互操作性，发现其不兼容导致漏洞漏报，并揭示了SBOM混淆漏洞，强调需提升SBOM准确性以保障容器供应链安全。
2025-10-07 cs.CR cs.SE
A Security Perspective on Unikernels
在过去的十年中，基于云的基础设施越来越受欢迎，它利用虚拟化、服务器、存储、计算能力和网络组件来开发灵活的应用程序。对即时部署和降低成本的需求导致了从虚拟机部署到容器化的转变，增加了应用程序的整体灵活性并提高了性能。然而，容器需要一个完整的操作系统来执行，这增加了应用程序的攻击面。另一方面，Unikernels提供了一个轻量级的内存占用，易于应用程序打包和减少启动时间待用时间。此外，Unikernels减少了攻击面，因为自包含的环境只启用低级功能。在这项工作中，我们提供了一个详尽的描述的unikernel生态系统，我们展示了unikernel漏洞，并进一步讨论了通过不同的用例支持unikernel的环境的安全影响。
2019-11-14 cs.CR
Arca: A Lightweight Confidential Container Architecture for Cloud-Native Environments
School of Computer Science and Technology, Xidian University（西安电子科技大学计算机科学与技术学院）；Shaanxi Key Laboratory of Network and System Security（陕西省网络与系统安全重点实验室）；Alibaba Cloud（阿里云）
Arca是一种基于TEEs-in-容器架构的轻量级保密容器框架，通过隔离工作负载和减少TCB提升性能与安全性。
2026-01-03 cs.CR
LLMSecConfig: An LLM-Based Approach for Fixing Software Container Misconfigurations
CREST - The Centre for Research on Engineering Software Technologies（工程软件技术研究中心（CREST））
LLMSecConfig框架结合静态分析工具与大语言模型，利用提示技术和RAG自动修复容器安全错误配置，在1,000个真实Kubernetes配置上实现94%修复成功率。
2025-02-04 cs.AI cs.CR cs.LG
Mitigating Docker Security Issues
本文分析 Docker 因共享 Linux 内核导致的权限提升等安全风险，梳理内外部攻击及缓解措施，并提出安全部署配置指南。
2023-04-24 cs.CR cs.DC
Dockerized Android: a container-based platform to build mobile Android scenarios for Cyber Ranges
本文提出Dockerized Android框架，利用容器技术在网络靶场中模拟移动设备，构建脆弱环境，支持复杂移动杀伤链场景，以提升移动安全培训能力。
2022-05-19 cs.CR
Trusted Container Extensions for Container-based Confidential Computing
云计算已经成为当今计算领域的基石。越来越多的客户将其基础设施外包，从云计算带来的可扩展性、可扩展性和成本节约中受益。微服务的趋势放大了这些好处。客户越来越多地利用容器技术，而不是租用和维护完整的虚拟机，这些技术具有更轻量级的资源占用，同时也消除了模拟完整系统及其设备的需要。然而，隐私问题阻碍了许多客户迁移到云并利用其优势。此外，监管要求阻止了云计算在许多行业（如医疗保健或金融）的适应。如果主机系统不是完全可信的，标准软件隔离机制已经被证明是不够的，例如，当云基础设施被恶意的第三方行为者破坏时。因此，机密计算在云计算领域中获得越来越多的相关性。我们提出了可信容器扩展（TCX），一种新的容器安全架构，它结合了标准容器的可扩展性和敏捷性与硬件强制执行的可信执行环境（TEE）的强大保护保证，以实现容器工作负载的机密计算。与现有方法相比，TCX提供了显着的性能优势，同时保护容器工作负载及其处理的数据。我们的实施基于AMD安全加密虚拟化（SEV），可确保部署期间数据和服务的完整性和机密性，并允许受保护容器之间以及与外部实体进行安全交互。我们的评估表明，我们的实现在标准SPEC2017基准测试套件上引起了5.77%的低性能开销。
2022-05-11 cs.CR
A software approach to defeating side channels in last-level caches
我们提出了一种软件方法来减轻访问驱动的侧信道攻击，该攻击利用跨核共享的最后一级缓存（LLC）来泄漏安全域之间的信息（例如，在云中的租户）。我们的方法动态地管理物理内存页之间共享的安全域禁用共享的LLC线，从而防止通过LLC的“刷新-刷新”侧通道。它还管理内存页面的可缓存性，以阻止LLC中的跨租户“Prime-Probe”攻击。我们已经将我们的方法实现为Linux内核中称为CacheBar的存储管理子系统，以跨容器边界干预此类侧通道，因为容器是在平台即服务（PaaS）云中强制租户隔离的常用方法。通过形式化验证、原理性分析和实证评估，我们证明CacheBar在PaaS工作负载下实现了强大的安全性和较小的性能开销。
2016-03-17 cs.CR
Securing Your Collaborative Jupyter Notebooks in the Cloud using Container and Load Balancing Services
Cyberter已经成为开发数据应用程序的首选平台，但数据和安全问题，特别是在处理医疗保健时，对于许多处理敏感信息的机构和应用程序来说，已经成为头等大事。那么，我们如何才能继续享受由Python和Python生态系统提供的数据分析和机器学习机会，同时确保安全和隐私问题的可审计合规性？我们将描述一个基于云计算的平台的架构和实现，该平台与Amazon Web Services（AWS）集成，并使用容器化服务，而不会将平台暴露于Kubernetes和MyMyterHub中存在的漏洞。该架构满足了HIPAA的要求，以确保数据的安全性和隐私性。该架构使用AWS服务提供JSON Web令牌（JWT）进行身份验证和网络控制。此外，我们的架构还可以实现安全协作和共享笔记本电脑。尽管我们的平台专注于Xueyter笔记本电脑和XueyterLab，但它也支持共享相同身份验证机制的R-Studio和定制应用程序。此外，该平台还可以扩展到AWS以外的其他云服务。
2020-06-02 cs.CR cs.NI
Escape the Fake: Introducing Simulated Container-Escapes for Honeypots
在网络安全领域，蜜罐的概念在研究和生产中得到了很好的建立。蜜罐用于模仿网络上的合法目标，并在任何交互时发出警报。这不仅有助于了解漏洞，还可以让研究人员研究攻击者的技术。随着云计算的兴起，基于容器的虚拟化在应用程序部署中越来越流行。本文研究了基于容器的蜜罐的可能性，并介绍了模拟容器逃逸作为欺骗技术的概念。
2021-04-08 cs.CR cs.NI
Parma: Confidential Containers via Attested Execution Policies
基于容器的技术使云租户能够快速开发高度可移植的软件并在云中部署服务。与此同时，云隐私很重要，因为大量容器部署都是在隐私敏感数据上运行的，但由于攻击的频率和复杂性越来越高，这一点也很具有挑战性。最先进的基于容器的机密设计利用了基于流程的可信执行环境（TEE），但面临着限制其实际部署的安全性和兼容性问题。我们提出了Parma，这是一种架构，它提供了未修改的容器的提升和转移部署，同时提供了强大的安全保护，以抵御控制不受信任的主机和虚拟机管理程序的强大攻击者。Parma利用VM级隔离在唯一的基于VM的TEE中执行容器组。除了容器完整性和用户数据机密性和完整性外，Parma还提供基于经证明的执行策略的容器证明和执行完整性。Parma执行策略为容器组的所有未来状态提供了归纳证明。在初始化过程中建立的这个证明形成了一个信任根，可以用于容器组内的安全操作，而不需要对容器化工作流本身进行任何修改（除了包含执行策略之外）。我们通过运行一组不同的工作负载来评估AMD SEV-SNP处理器上的Parma，结果表明，与在安全区外运行相比，工作流的性能开销增加了0-26%，而在SPEC 2017上的平均开销为13%，同时不需要修改其程序代码。添加执行策略带来的额外开销不到1%。此外，我们还部署了Parma作为驱动Azure容器服务器上机密容器的底层技术。
2023-03-07 cs.CR cs.NI cs.OS
Dstack: A Zero Trust Framework for Confidential Containers
Phala Network（Phala网络）
本文提出 dstack 框架，通过可移植机密容器、去中心化代码管理和可验证域管理三项创新，将 TEE 技术转化为零信任平台，兼顾 VM 级性能与 Web3 无信任需求。
2025-09-15 cs.AI cs.CR
SecDocker: Hardening the Continuous Integration Workflow
当前的持续集成流程面临着重大的内在网络安全挑战。这个想法不仅是为了解决和测试源代码的正式或监管安全需求，而且还要坚持CI管道本身的相同原则。本文介绍了当前CI工作流中的安全问题的概述。它设计、开发和部署了一个新工具，用于安全部署基于容器的CI管道流，而不会减慢发布周期。该工具因其基于Docker的方法而被称为\SD，可在GitHub中公开使用。它基于配置机制实现了透明的应用程序防火墙，避免了CI工作流中与预期或非预期容器配置相关的问题。它与其他DevOps Engineers工具集成，仅提供来自匹配特定模式的场景的反馈，解决未来的容器安全问题。
2021-04-16 cs.CR cs.SE
eBPF-PATROL: Protective Agent for Threat Recognition and Overreach Limitation using eBPF in Containerized and Virtualized Environments
Kathmandu University（加德满都大学）
eBPF-PATROL通过eBPF技术在容器化和虚拟化环境中实现低开销的实时安全防护，有效检测和防止威胁行为。
2025-11-22 cs.CR cs.OS
Malware Detection in Docker Containers: An Image is Worth a Thousand Logs
K3Y Ltd（K3Y有限公司）；International Hellenic University（国际希腊大学）；Kingston University（金斯顿大学）；University of Peloponnese（伯罗奔尼撒大学）；Aristotle University of Thessaloniki（亚里士多德大学）；Hellenic Mediterranean University（希腊地中海大学）；University of Western Macedonia（西马其顿大学）
本研究提出将软件容器转换为大型RGB图像，并采用流式、基于补丁的卷积神经网络进行恶意软件检测，同时发布COSOCO数据集，实验表明该方法在F1和Recall上优于VirusTotal引擎集成。
2025-04-04 cs.AI cs.CR cs.CV
Analysis of Security in OS-Level Virtualization
本文分析操作系统级虚拟化的安全性，通过建立容器威胁模型和案例研究，揭示容器共享宿主操作系统对隔离性的影响及其潜在攻击向量。
2025-01-02 cs.CR cs.OS
Vexed by VEX tools: Consistency evaluation of container vulnerability scanners
KTH Royal Institute of Technology（皇家理工学院）
本文评估了多种容器漏洞扫描工具在不同数据集上的表现，发现工具间一致性较低，表明VEX生成工具生态尚不成熟。
2026-03-26 cs.CR
Noisy Neighbor: Exploiting RDMA for Resource Exhaustion Attacks in Containerized Clouds
本文揭示了容器化云中 RDMA 的资源耗尽攻击，实验分析了状态饱和与流水线饱和攻击对 NVIDIA BlueField-3 的严重影响，并提出无需硬件修改的防御框架 HT-Verbs 以恢复性能隔离与安全保障。
2025-10-14 cs.CR cs.NI
ORCA: Unveiling Obscure Containers In The Wild
Cnam, Cedric（法国国立工艺学院，CEDRIC实验室）；Aalto University（阿尔托大学）；Thales SIX GTS France（泰雷兹SIX GTS法国公司）
针对容器文件系统意外修改导致SCA工具分析失效的问题，提出模糊恢复型容器分析方法及开源工具ORCA，实验证明其文件覆盖率较主流工具中位数提升40%。
2025-09-11 cs.CR cs.SE
Virtualization Technologies and Cloud Security: advantages, issues, and perspectives
虚拟化技术允许多个租户共享物理资源，并具有一定程度的安全性和隔离性，这是单纯的容器化无法保证的。此外，虚拟化允许对虚拟机活动和内容进行受保护的透明内省，从而支持额外的控制和监视。这些特性提供了一个解释，尽管是部分的，为什么虚拟化一直是云服务蓬勃发展的推动者。然而，虚拟化技术中仍然存在安全和隐私问题，因此也存在于云平台中。例如，即使是硬件虚拟化保护/隔离也远非完美和不可规避，正如最近发现的漏洞所显示的那样。本文的目的是从安全的角度阐明当前的虚拟化技术及其演变，并将其应用于云环境作为目标。
2018-08-02 cs.CR
Optimizing Spot Instance Reliability and Security Using Cloud-Native Data and Tools
本文介绍了云原生实验室Cloudlab，基于Google Cloud与GitOps构建，集成Kubernetes、防火墙及自动化工作流等工具，为网络安全研究提供支持持续集成与高级安全实践的弹性环境。
2025-03-06 cs.CR cs.DC cs.ET
The Kubernetes Security Landscape: AI-Driven Insights from Developer Discussions
本文分析 Stack Overflow 近四年 Kubernetes 帖子，结合机器学习聚类与 AI 主题描述，发现安全讨论占 12.3% 且影响力持续上升。
2024-09-06 cs.CR cs.SE
Beyond Collection: Measuring the Detection Efficacy of Modern Security Logging Standards
Dakota State University（达科他州立大学）
本文通过SETC框架评估现代安全日志标准，发现不同标准在捕获攻击指标方面存在显著差异，为安全实践提供证据支持的决策指导。
2026-05-07 cs.CR
A Novel Scheduling Framework Leveraging Hardware Cache Partitioning for Cache-Side-Channel Elimination in Clouds
虽然存在许多可用于云服务提供商的隔离机制，包括虚拟机、容器等，作为剩余的安全弱点，侧信道问题的重要性增加，特别是在存在共享高速缓存和多核处理器的情况下。在本文中，我们提出了一种硬件-软件机制，提高了隔离的云进程中存在的共享缓存多核芯片。将支持高速缓存动态分区的英特尔CAT架构与新颖的调度技术和状态清理机制相结合，我们为基于Linux的容器和虚拟机（尤其是KVM管理的容器和虚拟机）实现了无高速缓存端通道计算。我们做了一个初步的评估，我们的系统使用的CPU绑定的工作负载。我们的系统允许同时多线程（SMT）保持启用状态，并且不需要应用程序级别的更改。
2017-08-31 cs.CR
Securing 3rd Party App Integration in Docker-based Cloud Software Ecosystems
针对基于Docker的云软件生态系统中第三方应用集成的安全风险，提出覆盖全软件生命周期、含沙箱测试的安全集成方案，提升生态系统安全性。
2024-05-18 cs.CR cs.DC
Beyond Zero: Enterprise Security for the AI Era
Alphabet, Inc.（Alphabet公司）
本文提出Beyond Zero安全范式，通过将信任边界缩小到单个操作并融合静态授权与动态AI推理，实现每秒数千次的人机决策中介，构建自防御企业。
2026-05-21 cs.CR
Dynamic Frequency-Based Fingerprinting Attacks against Modern Sandbox Environments
Iowa State University（爱荷华州立大学）；Telefonica Research（西班牙电信研究院）
本研究提出基于CPU频率报告的动态指纹攻击，可高精度识别Docker容器及多种云沙箱，并设计噪声注入对策以缓解此类侧信道威胁。
2024-05-23 cs.CR cs.LG
Smart Contract Security Beyond Detection
本文探讨智能合约安全研究的新方向，包括语义推理、自动修复、对抗鲁棒性和实时漏洞检测，提出四个研究方向并连接最新研究成果，帮助学生制定技术扎实、可测量的毕业设计。
2026-05-16 cs.CR
Security Design Patterns in Distributed Microservice Architecture
微服务架构已经彻底改变了Web和移动应用程序开发的格局。由于微服务设计中涉及的无状态性质和松散耦合，可以通过利用将输入馈送到Web应用程序前端的相同后端服务来开发原生移动应用程序。扩展相同的概念，由于物联网领域的进步，大量的自动化设备已经存在，它们可以提供相同的微服务。这种一次构建并用于多个用例的概念已经成为企业设计模式中的一种新规范。为了处理如此多的调用客户端的水平可扩展性需求，公共云平台上的容器化及其编排策略已经取得了重大进展。然而，可伸缩的设计技术已经导致后端服务向不需要的实体的暴露增加。这扩大了攻击面，也增加了风险。最重要的是，MSA中异构技术的混合，它们不同的日志记录策略，使得集中日志记录变得困难，这反过来又放松了安全性。此外，围绕在分散的网络上建立容错的弹性的复杂性增加了安全漏洞。曾经用于传统Web应用程序的简单安全设计不能用于基于微服务的应用程序。本文阐述了处理微服务架构中分布式服务保护所涉及的安全需求的创新方法。
2020-08-07 cs.CR
Beyond Algorithmic Proofs: Towards Implementation-Level Provable Security
针对传统密码学仅关注算法层安全、实现层风险缺乏统一验证框架的问题，提出实现层可证明安全新范式，并构建改造Babuk勒索软件核心的SEER系统，验证了该范式兼具强安全保证与实用性能。
2025-08-02 cs.CR
Lighting Two Candles With One Flame: An Unaided Human Identification Protocol With Security Beyond Conventional Limit
设计一个有效的协议，以避免在一个强大的窃听者存在的威胁记录为基础的攻击仍然是一个挑战，超过二十年。在认证过程中，证明者和验证者之间缺乏任何安全链接使得事情变得更加脆弱，因为在观察到阈值挑战-响应对之后，由于信息泄漏，用户的秘密可能很容易得到。现有的文献只提出了新的方法，以确保优于以前的方面，而忽略了他们提出的计划应付不好的方面。毫不奇怪，其中大多数是远远不能令人满意的-要么是远远不能使用或缺乏安全功能。为了克服这个问题，我们首先引入了“泄漏控制”的概念，它限制了自然的信息泄漏率，并大大有助于提高可用性和安全标准。不仅仅是预防，而且，通过引入威胁检测策略（基于蜜词的概念），我们的计划“点燃两支蜡烛”。它不仅消除了实际场景下长期存在的安全性和可用性的冲突，而且随着来自客户端的威胁检测，它能够在分布式框架下保护服务器端的秘密，从而保证超出常规限制的安全性。
2017-05-30 cs.CR
Beyond PS-LTE: Security Model Design Framework for PPDR Operational Environment
国家灾害可能威胁到国家安全，需要几个组织整合各种功能，以应对灾害。许多国家正在建设一个全国性的移动通信网络基础设施，以共享信息并与相应的组织及时沟通。公共安全长期演进（PS-LTE）是许多国家为了实现这样的目的而采用的通信机制。组织可以通过将其传统网络上运行的服务安全地连接到PS-LTE基础设施来提高公共保护和救灾（PPDR）运营的效率。这一环境使各组织能够继续促进传统网络提供的信息和系统功能。与商用LTE不同，需要解决环境中的漏洞，以安全地连接网络。在这项研究中，我们提出了一个安全模型设计框架，以获得系统架构和安全要求，针对特定的技术应用于特定目的的受限环境。在分析了PS-LTE基础设施下PPDR运营环境的特点后，我们应用该框架导出了使用PPDR服务的组织通过该基础设施在其遗留网络中运营的安全模型。虽然本文提出的安全模型设计框架是针对具体应用环境的，但它具有普遍适用性。
2021-01-10 cs.CR
Security and Privacy for Low Power IoT Devices on 5G and Beyond Networks: Challenges and Future Directions
本文全面调查了5G及未来网络中低功耗IoT设备的安全与隐私问题，通过文献综述确定了影响下一代网络IoT安全的五个关键领域，并提出了未来研究机会。
2023-04-03 cs.CR
Information Inference Diagrams: Complementing Privacy and Security Analyses Beyond Data Flows
本文提出信息推断图（I2Ds）框架，补充数据流图，通过形式化定义信息传播与推断关系，支持更严谨的威胁建模，并展示其适用性。
2025-09-11 cs.CR
POR for Security Protocol Equivalences: Beyond Action-Determinism
形式化方法已被证明是自动分析协议的有效方法。在过去的几年里，许多研究都集中在验证协议上的迹等价性，这主要用于对许多有趣的隐私属性进行建模，例如，匿名或不可链接。许多用于检查跟踪等价性的工具依赖于对并发操作的所有交织的幼稚且昂贵的探索，这需要偏序约简（POR）技术。在本文中，我们提出了第一个POR技术协议的等价性，不依赖于一个动作确定性的假设：我们重铸的跟踪等价性问题作为一个可达性问题，持久性和睡眠集技术可以应用，我们展示了如何有效地应用这些结果的上下文中的符号执行。我们报告的原型实现，改进工具DeepSec。
2018-04-24 cs.CR
TLS Beyond the Broker: Enforcing Fine-grained Security and Trust in Publish/Subscribe Environments for IoT
消息队列代理是物联网的基本构建块，通常用于从发布客户端向订阅客户端存储转发消息。通常，单个可信代理提供安全（例如TLS）和不安全的连接，但中继消息而不管其入站和出站保护。这种混合模式是为了提高效率而促进的，因为TLS对于0类IoT设备上的MQTT实现来说是一个相当大的负担。这样的代理，从而透明地互连安全和不安全连接的设备，我们认为，这种混合模式的操作实际上可以是一个重大的安全问题：客户端只能控制自己的连接到代理的安全级别，但他们不能对其他客户端实施任何保护。我们描述了这样的发布/订阅机制的增强，以允许通过仅经由满足期望的安全级别的连接转发消息来执行发布者或订阅者的指定安全级别。例如，通过安全通道发布消息的客户机可以指示代理将消息专门转发给安全连接的订阅者。我们为MQTT协议原型实现了我们的解决方案，并提供了详细的开销测量。
2021-09-02 cs.CR
