An Analisys of Application Logs with Splunk : developing an App for the synthetic analysis of data and security incidents
Freelancer（自由职业者）；studenti.uniroma1.it（罗马第一大学学生（注：studenti为意大利语学生，uniroma1为罗马第一大学））
目前的工作旨在增强一个假设的基础设施平台的应用程序日志，并建立一个应用程序，显示有关性能，异常和安全事件的合成数据合成的仪表板的形式。参考体系结构，多个应用程序和多个硬件分布，实现面向服务的体系结构，是一个真实的情况下，其中的细节已经抽象，因为我们想扩展的概念，以所有具有类似特征的体系结构。
2019-12-24 cs.CR cs.LG
Relations among Security Metrics for Template Protection Algorithms
生物特征模板保护算法主要有两种：生物特征变换和生物密码。对算法的安全性评估往往是以各种不一致的方式进行的。因此，迫切需要建立通用的评价指标，以便在多种算法之间进行比较。Simoens等人和Nagar等人提出了涵盖生物特征模板保护算法预期要求的几乎所有方面的良好度量。这两篇论文的一个缺点是，它们偏向于生物特征模板保护算法的安全性的实验评估。因此，生物特征密码系统中的算法仍然很难根据所提出的度量来证明其安全性。本文将给出Simoens等人和Nagar等人提出的安全度量的形式化定义，以便它可以用于评估这两种方法。此外，本文将讨论几个安全度量概念之间的关系。
2013-01-07 cs.CR
Context Contamination in LLM Analysis of Network Security Logs: Poison with Passive Prompt Injection and Mitigation Evaluation
PayPal Inc.（PayPal公司）；University of Houston（休斯顿大学）；Kent State University（肯特州立大学）
研究网络安全日志大语言模型分析中的上下文污染问题（被动提示注入漏洞），提出LogInject框架评估威胁，通过实验得出攻击成功率等数据，引入上下文拼接技术，评估分层防御效果，揭示需深度防御架构和人工监督。
2026-07-17 cs.CR
Near-collisions and their Impact on Biometric Security
生物识别包括两种操作模式。第一种是生物特征识别，其包括基于个人的生物特征来确定个人的身份，并且需要浏览整个数据库（即，1：N搜索）。另一种是生物特征认证，其对应于验证个人的所要求的生物特征（即，1：1搜索）来认证她或准许她访问某些服务。匹配过程是基于新的和登记的生物特征模板之间的相似性。考虑到二进制模板的情况下，我们调查如何高度填充的数据库产生近碰撞，影响两种操作模式的安全性。通过建立模板大小的下限和模板数据库大小的上限（取决于安全参数），深入了解二进制模板的安全性。我们提供了有效的算法分区泄漏的模板数据库，以提高生成一个主模板集，可以模仿任何注册用户和可能的一些未来的用户。所提出的算法的实际影响，最后强调与实验研究。
2022-07-18 cs.CR
Evaluating Language Models For Threat Detection in IoT Security Logs
GMV C. de Isaac Newton（GMV Isaac Newton研究中心）；Universidad Carlos III de Madrid（卡洛斯三世大学）
本文提出利用微调LLMs分析物联网安全日志，结合MITRE CAPEC映射和物联网特定缓解措施，实现优于传统机器学习基线的多类攻击检测与缓解建议。
2025-07-03 cs.AI cs.CR
Beyond Fixed and Dynamic Prompts: Embedded Jailbreak Templates for Advancing LLM Security
针对现有大语言模型越狱攻击模板存在的意图清晰度不足、可复现性差等局限，本文提出嵌入式越狱模板及配套渐进式提示工程方法与标准化协议，为大语言模型安全测试提供更贴合真实场景的基准。
2025-11-18 cs.CR
NVision-PA: A Tool for Visual Analysis of Command Behavior Based on Process Accounting Logs (with a Case Study in HPC Cluster Security)
在UNIX/Linux环境中，内核可以使用进程记帐记录每个用户创建的每个命令进程。因此，进程记帐日志有许多潜在的用途，特别是安全事件的监视和取证调查。以前的工作成功地利用进程记帐日志来识别难以检测和破坏高性能计算（HPC）集群的入侵，伪装攻击，其中入侵者伪装成具有窃取的身份验证凭据的合法用户。虽然发现HPC集群上的伪装者可以以高准确度（大于90%）识别，但这种准确度对于需要大于99%准确度的HPC生产环境仍然不够高。本文逐步推进的目标，更准确地识别masqueraders HPC集群，寻求识别功能的命令集内区分masqueraders。为了实现这一目标，我们创建了NVision-PA，这是一个软件工具，可以生成描述输入处理会计日志的文本和图形统计摘要。我们报告的NVision-PA结果描述了两个不同的进程记帐日志;一个来自Internet使用，一个来自HPC群集使用。这些结果确定了互联网用户的显着特点（作为代理的masqueraders）冒充集群用户。这项研究是为生产HPC集群创建实时伪装检测传感器的下一步，也是为系统管理员提供另一种工具，用于统计监视和管理HPC环境中的合法工作负载（如命令使用情况所示）。
2006-06-20 cs.CR cs.DC
SCRUB-PA: A Multi-Level Multi-Dimensional Anonymization Tool for Process Accounting
在UNIX/Linux环境中，内核可以使用进程记帐记录每个用户创建的每个命令进程。这些数据有许多潜在用途，包括调查安全事件。然而，进程记帐数据也是敏感的，因为它包含私有用户信息。因此，安全系统管理员无法共享这些日志。考虑到许多有趣的安全应用程序都可以使用进程记帐数据，因此拥有一个可以保护日志中的私有用户信息的工具将非常有用。出于这个原因，我们介绍SCRUB-PA，一个工具，使用多层次的多维匿名化的进程会计日志文件，以提供不同级别的隐私保护。我们的目标是，SCRUB-PA将在保护隐私的同时促进流程会计日志的共享。
2006-01-18 cs.CR
Structuring Security: A Survey of Cybersecurity Ontologies, Semantic Log Processing, and LLMs Application
本文综述本体、语义日志处理与LLM在网络安全中的协同应用，梳理从原始日志自动构建知识图谱及智能本体驱动防御的挑战与机遇。
2025-10-18 cs.CR
SecEncoder: Logs are All You Need in Security
Microsoft Security AI Research（微软安全人工智能研究部门）
本文提出专门使用安全日志预训练的小型语言模型SecEncoder，通过聚焦安全日志的独特语言和模式克服通用模型领域局限，在多种安全任务上优于BERTlarge等模型，显著提升了安全领域性能。
2024-11-12 cs.AI cs.CL cs.CR
Analyzing Confidentiality and Privacy Concerns: Insights from Android Issue Logs
上下文：发布后的用户反馈在提高软件质量和提供新功能方面起着不可或缺的作用。鉴于其日益重要性，关于加强安全的反馈尤其值得注意。在考虑Android的快速发展时，我们研究了其利益相关者报告的Android安全威胁的规模和严重性。目的：我们系统地挖掘Android问题日志，以深入了解利益相关者对某些Android安全问题的看法和经验。方法：我们采用上下文分析技术来研究最近三个主要Android版本中提出的有关机密性和隐私的问题，考虑利益相关者评论的协方差以及用户偏好和优先级的一致性水平。结果：保密和隐私问题的严重程度各不相同，最普遍的果冻豆释放。在保密方面提出的问题主要涉及访问、用户凭证和许可管理，而对隐私的关切主要涉及电话锁定。社区用户对新的安全功能也表达了不同的偏好，从更宽松到非常严格。结论：支持对新旧Android版本采取持续纠正措施的策略可能会保持利益相关者的信心。一种为用户提供基本默认安全设置的方法，但如果需要，可以配置额外的安全功能，这将为Android的广泛利益相关者群体提供最佳平衡。
2021-02-24 cs.CR cs.SE
FLAIM: A Multi-level Anonymization Framework for Computer and Network Logs
FLAIM（日志匿名化和信息管理框架）解决了当前日志匿名器没有很好解决的两个重要需求。首先，它是非常模块化的，并且不依赖于被匿名化的特定日志。其次，它支持多级匿名化，允许系统管理员在信息丢失和隐私/安全问题之间进行细粒度的权衡。在本文中，我们研究了迄今为止的匿名化解决方案，并指出了每个解决方案的上述局限性。我们进一步描述如何FLAIM解决这些问题，我们详细描述FLAIM的架构和功能。
2006-06-14 cs.CR
Security Logs to ATT&CK Insights: Leveraging LLMs for High-Level Threat Understanding and Cognitive Trait Inference
USC Institute for Creative Technologies（南加州大学创新技术研究院）；Northeastern University（东北大学）
本文提出利用大语言模型分析Suricata IDS日志，将底层网络事件映射到MITRE ATT&CK技术，并推断攻击者的认知偏差（如损失厌恶），为行为自适应网络防御奠定基础。
2025-10-23 cs.AI cs.CR
Notarial timestamps savings in logs management via Merkle trees and Key Derivation Functions
如今，日志文件处理除了常见的技术问题外，还对ISP（在其最广泛的范围内）施加了严格的规范性义务。这项工作从服务提供商的角度分析了保留时间政策和时间戳是如何紧密联系在一起的，这可能导致成本上升。提出了一种新的模式，试图减轻对第三方供应商的需求，强制执行在信息技术的其他领域建立的加密原语，但可能尚未广泛的日志管理。时间戳的基础进行了概述，并介绍了加密原语的属性作为一种自然的方式来绕过传统的模式效率低下，并作为一个额外的保护级别：这些选择是合理的节省估计（关于不同的ISP幅度）和一些基本的安全考虑。
2021-10-05 cs.CR
Defining a Metric Space of Host Logs and Operational Use Cases
主机日志（特别是Windows事件日志）是安全操作中心（SOC）经常收集的有价值的信息来源。主机日志的半结构化性质抑制了自动化分析，虽然手动分析很常见，但庞大的数量使得手动检查所有日志成为不可能。尽管存在许多用于分析时间序列和顺序数据的强大算法，但将此类算法用于大多数网络安全应用要么是不可行的，要么需要量身定制的研究密集型准备。特别是，基本的数学和算法的发展，提供了一个广义的，有意义的相似性度量系统日志需要弥合许多现有的顺序数据挖掘方法，这是目前可用的，但未充分利用的数据源之间的差距。在本文中，我们提供了一个严格的定义的度量产品空间的Windows事件树，提供了一个嵌入，允许应用程序建立机器学习和时间序列分析方法。然后，我们通过真实数据上的多个用例来展示这种嵌入的实用性和灵活性：（1）将已知的被感染的日志流与新的主机日志流进行比较以用于攻击检测和取证，（2）将类似的日志流折叠成语义上有意义的组（按用户，按角色），从而减少数据量但不减少内容，（3）对日志以及日志的短序列进行聚类，以随着时间的推移识别和可视化用户行为和后台过程。总的来说，我们为一般主机日志和日志序列提供了一个度量空间框架，该框架尊重语义相似性，并促进了对这些日志的各种数据科学分析，而无需为每个日志进行数据特定的准备。
2018-11-01 cs.CR stat.AP
CAM-LDS: Cyber Attack Manifestations for Automatic Interpretation of System Logs and Security Alerts
Austrian Institute of Technology（奥地利技术研究院）
CAM-LDS通过提供涵盖多种攻击技术的日志数据集，推动基于大语言模型的系统日志和安全警报自动解释技术的发展。
2026-03-04 cs.AI cs.CR
Interpretable security analysis of cancellable biometrics using constrained-optimized similarity-based attack
在可撤销的生物特征识别（CB）方案中，模板安全性是通过对生物特征模板进行主要是非线性的变换来实现的。该变换被设计为保持变换域中的模板距离/相似性。尽管CB具有有效性，但其相似性保持特性所带来的安全问题却被低估了。Dong等人[BTAS'19]利用CB的相似性保持特性，提出了一种具有高成功率的基于相似性的攻击。基于相似性的攻击利用从受保护的生物特征模板生成的原像进行模仿并执行交叉匹配。本文提出了一种约束优化相似性攻击（CSA），它是对Dong的遗传算法使能的相似性攻击（GASA）的改进。CSA应用算法特定的等式或不等式关系作为约束，以优化原像生成。我们从监督学习的角度来解释CSA的有效性。我们确定这样的限制，然后进行广泛的实验，以证明CSA对CB与LFW人脸数据集。结果表明，CSA是有效的违反IoM哈希和BioHashing安全，并优于GASA显着。从上述结果推断，我们进一步注意到，除了IoM和BioHash之外，CSA对于其他CB方案至关重要，只要可以制定约束。此外，我们揭示了散列码的大小和CSA的攻击性能的相关性。
2021-06-17 cs.CR
Securing CNN Model and Biometric Template using Blockchain
区块链已经成为一种领先的技术，可以确保分布式框架的安全性。最近，有研究表明，区块链可用于将任何深度学习模型的传统块转换为安全系统。在这项研究中，我们在一个架构中对一个经过训练的生物识别系统进行建模，该架构利用区块链技术在分布式环境中提供容错访问。所提出的方法的优点是，在一个特定的组件篡改警报整个系统，并有助于在容易识别的“任何”可能的更改。通过实验，使用不同的生物特征模式，我们已经证明了所提出的方法为深度学习模型和生物特征模板提供了安全性。
2020-07-31 cs.CR
PassBio: Privacy-Preserving User-Centric Biometric Authentication
在线生物特征认证的扩散使得生物特征模板的安全要求成为必要。现有的安全生物特征认证方案以服务器为中心的模型为特征，其中服务提供商维护生物特征数据库并完全负责模板的安全性。最终用户必须完全信任服务器来存储、处理和管理他们的私有模板。因此，最终用户的模板可能会受到外部攻击者甚至服务提供商本身的攻击。在本文中，我们提出了一个以用户为中心的生物认证方案（PassBio），使最终用户能够加密自己的模板与我们提出的轻量级加密方案。在身份验证期间，所有模板都保持加密状态，因此服务器永远不会直接看到它们。然而，服务器能够确定两个加密模板的距离是否在预定义阈值内。我们的安全性分析表明，没有关键信息的模板可以透露下被动和主动攻击。PassBio遵循加密数据的“计算然后比较”计算模型。更具体地说，我们提出的阈值谓词加密（TPE）方案可以加密两个向量x和y的方式，可以评估x和y的内积，并与预定义的阈值进行比较。TPE保证只显示比较结果，而不会获知关于x和y的关键信息。此外，我们表明，TPE可以作为一个灵活的积木，以评估不同的距离度量，如汉明距离和欧几里得距离加密数据。TPE支持的这种先计算后比较的计算模型可以广泛应用于许多有趣的应用中，例如在确保数据安全性和隐私的同时搜索加密数据。
2017-11-14 cs.CR
Mining Attribute-Based Access Control Policies from Logs
基于属性的访问控制（ABAC）提供了高度的灵活性，可促进安全性和信息共享。ABAC策略挖掘算法有可能显著降低迁移到ABAC的成本，通过部分自动化从现有的访问控制策略和属性数据的信息的ABAC策略的开发。提出了一种从操作日志和属性数据中挖掘ABAC策略的算法。据我们所知，它是解决这个问题的第一个算法。
2018-02-13 cs.CR cs.DB
Benchmarking and Exploring the Capabilities of LLMs for Attack Investigations
University of Chicago（芝加哥大学）；University of California, Berkeley（加州大学伯克利分校）；Google（谷歌）
提出AuditBench基准数据集，评估LLM在安全审计日志分析中的性能，涵盖四种常见调查任务，揭示模型在不同设计选择下的表现差异与错误类型。
2026-09-29 cs.CL cs.CR
Malicious Behavior Detection using Windows Audit Logs
随着防病毒和网络入侵检测系统越来越被证明不足以检测高级威胁，大型安全运营中心已开始部署基于端点的传感器，以更深入地了解整个企业的低级别事件。不幸的是，对于政府和行业中的许多组织来说，这些新解决方案的安装、维护和资源要求构成了采用的障碍，并被视为组织使命的风险。为了缓解这个问题，我们研究了恶意端点行为的无代理检测的实用性，只使用标准的内置Windows审计日志记录工具作为我们的信号。我们发现，Windows审计日志在端点上发出可管理大小的数据流的同时，提供了足够的信息来支持对恶意行为的鲁棒检测。审计日志提供了一种有效、低成本的替代方案，可以在许多政府和工业环境中部署额外的昂贵的基于代理的违规检测系统，在我们的测试中，审计日志可用于检测83%的恶意软件样本，误报率为0.1%。它们还可以补充现有的基于主机签名的防病毒解决方案，如卡巴斯基、赛门铁克和McAfee，在我们的测试环境中，这些防病毒系统可以检测到78%的恶意软件。
2015-08-25 cs.CR
A Novel Scheme for Generating Secure Face Templates Using BDA
MCERC
在身份管理系统中，常用的生物特征识别系统需要对生物特征模板的保护问题有所认识，以寻求更可靠的解决方案。鉴于这种生物特征模板保护算法应满足基本要求，即安全性，可辨别性和可取消性。由于没有一种模板保护方法能够满足这些要求，提出了一种新的人脸模板生成和保护方案。新方案的提出，以提供新用户注册和认证过程中的安全性和准确性。这种新的方案利用了混合方法和二进制鉴别分析算法。该算法是基于随机投影、二元判别分析和模糊承诺方案设计的。公开可用的基准人脸数据库（FERET，FRGC，CMU-PIE）和其他数据集用于评估。所提出的新方案提高了区分度和识别精度方面的匹配分数的人脸图像的每个阶段，并提供了高的安全性，对潜在的攻击，即暴力和智能攻击。在本文中，我们讨论的结果，即平均匹配得分，计算时间和安全的混合方法和新的方法。
2013-12-29 cs.CR cs.CV
DTKI: a new formalized PKI with no trusted parties
基于Web的应用程序的公钥验证协议的安全性最近引起了人们的关注，因为在证书权威模型的弱点，以及随之而来的攻击。最近使用公共日志的提议成功地使证书管理更加透明和可核查。然而，这些建议涉及一套固定的权力机构。这就形成了寡头垄断。当前基于日志的系统的另一个问题是它们严重依赖于监视日志的可信方。我们提出了一个分布式的透明的密钥基础设施（DTKI），这大大减少了服务提供商的寡头垄断，并允许验证的可信方的行为。此外，本文形式化了公共日志数据结构，并对DTKI保证的安全性进行了形式化分析。
2017-03-16 cs.CR
Multilayer Block Models for Exploratory Analysis of Computer Event Logs
我们研究了一种基于图的方法，探索性的数据分析的背景下，网络安全监控。鉴于可能是一个大批量的事件日志描述正在进行的活动，我们首先表示这些事件作为一个二分复用图。然后，我们应用基于模型的双聚类算法来提取实体的相关集群和这些集群之间的交互，从而提供一个简化的情景图片。我们通过两个案例研究来说明这种方法，分别解决网络流记录和身份验证日志。在这两种情况下，推断的集群揭示了实体的功能角色以及相关的行为模式。这些集群之间的网络交互也有助于发现恶意活动。我们的代码可在https://github.com/cl-anssi/MultilayerBlockModels上获得。
2022-06-21 cs.CR stat.AP
HSMLog: Small Language Model-Assisted Hardware Security Module Log Anomaly Detection with Behavioral Analysis
National Taiwan University（台湾大学）；National Taiwan University of Science and Technology（台湾科技大学）
本文提出HSMLog两阶段框架，结合小型语言模型与检索式行为分析，在真实工业HSM日志上实现98.97%精确率等优异指标，可有效完成HSM日志异常检测与事件分诊。
2026-09-01 cs.CR
Phantom Events: Demystifying the Issues of Log Forgery in Blockchain
针对区块链中基于智能合约事件的交易日志易被伪造的问题，首次深入分析EVM区块链交易日志伪造（幻影事件），建模五种攻击类型并提出检测工具，其性能优于现有工具且识别出多类真实攻击案例，呼吁开发者应对漏洞。
2025-02-19 cs.CR
Identifying botnet IP address clusters using natural language processing techniques on honeypot command logs
计算机安全一直受到越来越多的强大的，动态的，难以检测，难以预测和难以表征的黑客技术的困扰。这些技术通常部署在自我传播的蠕虫中，能够自动感染易受攻击的计算机系统，然后构建大型僵尸网络，然后用于对指定目标发动协调攻击。在这项工作中，我们研究了新的应用程序的自然语言处理（NLP）的方法来检测和相关的僵尸网络行为，通过分析蜜罐数据。在我们的方法中，我们采取观察到的行为在外壳命令发出的入侵者在捕获的互联网会话，并减少他们的随机过程的集合，反过来，处理与机器学习技术，以建立分类器和预测。我们的技术结果在集群僵尸网络源IP地址的新能力，即使在面对他们的愿望，通过快速或随机排列技术混淆他们的渗透企图。
2021-04-20 cs.CR
Detecting Log Anomalies with Multi-Head Attention (LAMA)
Huawei Technologies Co., Ltd（华为技术有限公司）
异常检测是一个重要的和具有挑战性的课题，已经在不同的研究领域进行了研究。在这项工作中，我们探讨的任务日志异常检测（特别是计算机系统日志和用户行为日志）通过分析日志的顺序信息。我们提出了LAMA，一个基于多头注意力的顺序模型来处理日志流作为模板活动（事件）序列。应用下一事件预测任务来训练用于异常检测的模型。大量的实证研究表明，该模型优于现有的日志异常检测方法，包括统计和深度学习方法，验证了该方法在学习日志数据序列模式方面的有效性。
2021-01-07 cs.CR cs.LG
Multimodal Security of Iris and Fingerprint with Bloom Filters
本文提出利用布隆过滤器结合虹膜与指纹的特征融合来保护虹膜模板，以增强生物识别系统的安全性，应对传统识别方法易被盗用的问题。
2024-06-17 cs.CR
BioDeepHash: Mapping Biometrics into a Stable Code
本文提出BioDeepHash框架，利用深度哈希将同一用户的生物特征映射为稳定编码并结合密码学哈希，解决模板泄露、ECC攻击、不可撤销和弱安全性问题，在虹膜和人脸数据上显著提升GAR并实现极低FAR。
2024-08-07 cs.CR
Privacy-Preserving Anonymization of System and Network Event Logs Using Salt-Based Hashing and Temporal Noise
针对系统网络日志匿名化的隐私-效用平衡难题，提出逐字节加盐哈希IP、范围映射哈希端口、自适应保序噪声时间戳的字段级匿名化方案，经评估可在保护隐私的同时保留分析价值，并已开源工具。
2025-07-29 cs.CR
Can LLM Infer Risk Information From MCP Server System Logs?
Southern University of Science and Technology（南方科技大学）
本文提出首个评估LLM从MCP服务器系统日志中识别安全风险的合成基准，通过训练不同模型展示强化学习在提升LLM安全性能中的有效性。
2026-01-22 cs.CL cs.CR
KubeGuard: LLM-Assisted Kubernetes Hardening via Configuration Files and Runtime Logs Analysis
Department of Software and Information Systems Engineering（软件与信息系统工程系）；Ben-Gurion University of The Negev（贝内杰尔大学）
针对Kubernetes普及带来的权限配置过宽等安全问题，提出运行时日志驱动的KubeGuard框架，借助LLM与提示链分析清单和日志，实现资源最小权限配置生成与优化，经评估具备高实用价值。
2025-09-04 cs.CR cs.LG
Sample-Efficient LLM-Based Detection of Malicious Web Server Logs with Forensically Explainable Reasoning
University of Tuebingen（图宾根大学）
提出CEF-Log策略，通过五步推理模板使大语言模型学习日志分析方法，在CSIC 2010数据集上仅用4个示例达到F1=0.99，样本效率提升10倍，并引入新数据集ForenWebLog。
2026-06-07 cs.AI cs.CR
Secure Namespaced Kernel Audit for Containers
尽管基于容器的云计算被广泛使用，但用于安全分析的容器审计主要依赖于内置的主机审计系统，该系统通常缺乏捕获高保真容器日志的能力。最先进的基于引用监视器的审计技术极大地提高了审计日志的质量，但是它们的系统范围架构太昂贵，无法适应单个容器。此外，这些技术通常需要大量的内核修改，使得它们难以在实际环境中部署。在本文中，我们提出了saBPF（安全审计BPF），扩展的eBPF框架能够部署安全的系统级审计机制，在容器的粒度。我们通过设计一个审计框架、一个入侵检测系统和一个轻量级的访问控制机制来证明saBPF在Kubernetes中的实用性。我们评估saBPF，并表明它是可比的性能和安全保证审计系统从文献中直接实现在内核中。
2021-11-03 cs.CR
LogStamping: A blockchain-based log auditing approach for large-scale systems
本文提出LogStamping框架，结合区块链与IPFS混合存储及智能合约，实现大规模系统日志的防篡改、实时处理和可扩展审计。
2025-09-19 cs.CR cs.DC
SIERRA: Ranking Anomalous Activities in Enterprise Networks
如今，企业在其网络中部署了多个安全中间盒，如防火墙、IDS、IPS等，以收集与威胁和攻击相关的不同类型的事件。这些事件被传输到SIEM（安全信息和事件管理）系统中，供分析人员进行调查，并通过适当的行动迅速做出响应。然而，为单个企业收集的事件数量每天可以轻松达到数十万，远远超过分析师在给定预算限制（时间）下可以调查的数量。在这项工作中，我们研究了对可疑事件或异常进行优先级排序的问题，以供分析师进一步调查。我们开发了SIERRA，一个处理来自多个不同中间盒的事件日志以检测和排名异常活动的系统。SIERRA采用无监督方法，因此不依赖于地面实况数据。与其他作品不同的是，SIERRA定义了上下文，这有助于它提供视觉解释的高排名的异常点的分析师，尽管采用无监督的模型。我们使用来自企业网的多个安全中间盒的数月日志来评估SIERRA。评估结果表明，SIERRA能够检测网络中的顶级异常，同时优于现有异常检测算法的朴素应用程序以及最先进的基于SIEM的异常检测解决方案。
2022-03-31 cs.CR
Generation of Human Comprehensible Access Control Policies from Audit Logs
本文提出通过审计日志生成人类可理解的访问控制策略框架，利用大语言模型提升准确性和可扩展性。
2026-03-15 cs.CR cs.LG
Automated Template-free Synthesis of Instruction-Centric Leakage Contracts for Black-Box CPUs
IMDEA Software Institute（IMDEA软件研究所）；Universidad Politécnica de Madrid（马德里理工大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；Saarland University（萨尔兰大学）；Northeastern University（东北大学）；University of Trento（特伦托大学）；KTH Royal Institute of Technology（瑞典皇家理工学院）
针对边信道攻击致使CPU泄漏敏感信息的问题，提出一种方法，以最少人工干预为主要CPU架构提取指令中心泄漏契约，并在malcos工具中实现，经评估其合成的契约精确合理，证明从黑盒CPU学习泄漏契约可行。
2026-07-17 cs.CR
RedChronos: A Large Language Model-Based Log Analysis System for Insider Threat Detection in Enterprises
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Xiaohongshu（小红书）；School of Cyber Science and Technology, University of Science and Technology of China（中国科学技术大学网络空间安全学院）
本文提出 RedChronos 大模型日志分析系统，结合查询感知加权投票与 LLM 驱动变异的语义扩展遗传算法检测企业内部威胁，在 CERT 数据集上表现优异，并将小红书安全运营中心人工干预需求降低约 90%。
2025-03-13 cs.CR cs.LG
Characterizing the Root Landscape of Certificate Transparency Logs
Internet安全和隐私依赖于证书颁发机构（CA）签署的公共证书的可信性。然而，软件产品不信任相同的CA，因此维护不同的根存储，每个根存储通常包含数百个能够为任何域颁发“可信”证书的可信根。证书被误发的事件促使Google实施和执行证书透明（CT）。CT日志以公开、可审计和仅附加的方式归档证书。CT的采用改变了信任格局。作为此更改的一部分，CT日志开始维护自己的根列表和链接到受信任根之一的日志证书。在本文中，我们提出了这个新兴的CT根存储景观的第一个特征，以及我们开发的数据汇集，可视化和分析的根存储的工具。我们比较了日志的根存储和量化他们的变化相对于彼此和主要软件供应商的根存储，看看不断变化的供应商CT政策，并表明根存储管理不善可能与日志不当行为。最后，我们提出并讨论了一项调查的结果，我们已经发送到日志运营商参与苹果公司和谷歌的CT日志程序。
2021-01-29 cs.CR cs.NI
Cloud Security Leveraging AI: A Fusion-Based AISOC for Malware and Log Behaviour Detection
Department of Electronic and Computer Engineering（电子与计算机工程系）；University of Limerick（利默里克大学）
本文提出了一种基于AI的融合式AISOC，通过融合恶意软件检测和日志异常检测结果，提升云安全操作中心在受限制环境下的威胁检测能力。
2025-12-16 cs.CR cs.LG
Next-generation cyberattack detection with large language models: anomaly analysis across heterogeneous logs
Coventry University（考文垂大学）
本研究提出基于大语言模型的下一代网络攻击检测方法，通过构建异构日志数据集和两阶段训练框架，实现高效准确的异常检测。
2026-02-06 cs.AI cs.CR
Embedding Non-Distortive Cancelable Face Template Generation
V.N. Karazin Kharkiv National University（哈尔科夫国立大学）；University of Macerata（马切拉塔大学）；Comenius University Bratislava（布拉迪斯拉发夸美纽斯大学）
本文提出一种图像失真技术，使面部图像对人眼不可识别但可被嵌入神经网络模型识别，通过MNIST和LFW数据集实验验证其在生物识别中的可靠性。
2024-02-04 cs.CR cs.CV
Beyond Collection: Measuring the Detection Efficacy of Modern Security Logging Standards
Dakota State University（达科他州立大学）
本文通过SETC框架评估现代安全日志标准，发现不同标准在捕获攻击指标方面存在显著差异，为安全实践提供证据支持的决策指导。
2026-05-07 cs.CR
Detection of Early-Stage Enterprise Infection by Mining Large-Scale Log Data
近年来，越来越多的复杂攻击出现，包括针对机密专有信息的高级持续性威胁（APT），这些攻击给组织和政府带来了严重风险。此外，新的恶意软件菌株正在以比以往更高的速度出现。由于这些恶意软件中的许多被设计为逃避现有的安全产品，因此当今大多数企业部署的传统防御，例如，防病毒、防火墙、入侵检测系统通常不能在早期阶段检测到感染。我们解决了在企业环境中检测早期感染的问题，提出了一个新的框架的基础上，从图论的启发信念传播。置信传播可以与受损主机或恶意域的“种子”（由企业安全操作中心- SOC提供）一起使用，也可以不使用任何种子。在后一种情况下，我们开发了一个检测器的C&C通信，特别是为企业量身定制的，它可以检测到一个隐形的妥协，只有一个主机与C&C服务器通信。我们证明了我们的技术在检测企业感染方面表现良好。我们在洛斯阿拉莫斯国家实验室（LANL）发布的两个月的匿名DNS日志中实现了高准确率和低误报率，其中包括LANL领域专家模拟的APT感染攻击。我们还将我们的算法应用于在大型企业边界收集的38 TB真实Web代理日志。通过与企业SOC合作进行仔细的手动调查，我们发现我们的技术识别了数百个被最先进的安全产品所忽视的恶意域。
2014-11-24 cs.CR
TopoIntent: Compiling Security Intent into Executable, Compliance-Checked Network Topologies
University of Science and Technology of China（中国科学技术大学）；Topsec Technologies Group Inc.（天融信科技集团股份有限公司）
TopoIntent系统通过模式契约、向量搜索和分阶段融合将安全意图编译为合规可执行拓扑，经评估其修复后CIS满意度与ACL通过率均显著提升。
2026-08-14 cs.AI cs.CR cs.NI
Untargeted Near-collision Attacks on Biometrics: Real-world Bounds and Theoretical Limits
Université Clermont-Auvergne（克莱蒙奥弗涅大学）；CNRS（法国国家科学研究中心）；Mines de Saint-Étienne（圣埃蒂安矿业学院）；Clermont-Auvergne-INP（克莱蒙奥弗涅综合理工学院）；LIMOS（信息、建模与优化实验室）；LMBP（布莱斯·帕斯卡实验室）
本文研究生物特征识别系统在最小信息泄露下的无目标攻击，利用FMR和FPIR分析攻击复杂度并估计数据库最大用户数，同时通过概率建模揭示近碰撞概率与理论安全极限。
2024-02-21 cs.CR cs.CV
LogGuardQ: A Cognitive-Enhanced Reinforcement Learning Framework for Cybersecurity Anomaly Detection in Security Logs
Universidade de Uberaba（乌贝拉巴大学）
针对传统强化学习在动态环境中探索效率低的问题，提出认知增强框架 LogGuardQ，结合双记忆系统与自适应探索策略，在安全日志异常检测中实现了 96.0% 的高检测率与优越稳定性。
2025-09-02 cs.AI cs.CR cs.LG
Lateral Movement Detection via Time-aware Subgraph Classification on Authentication Logs
Institute of Cyberspace Security, Zhejiang University of Technology（浙江工业大学网络空间安全研究院）；Binjiang Institute of Artificial Intelligence, ZJUT（浙江工业大学滨江人工智能研究院）；College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；Science and Technology on Communication Information Security Control Laboratory（通信信息安全控制科学与技术重点实验室）
针对APT攻击中横向移动隐蔽性强的问题，提出LMDetect框架，通过构建异构多重图和时间感知子图生成器，结合多尺度注意力编码器捕获异常行为，在真实数据集上验证了其有效性。
2024-11-15 cs.AI cs.CR
Graph Neural Network Based Adaptive Threat Detection for Cloud Identity and Access Management Logs
Independent Researcher（独立研究者）
本文提出基于图神经网络的自适应威胁检测框架，用于实时分析云身份和访问管理日志中的异常行为，提升检测精度和可扩展性。
2025-12-11 cs.AI cs.CR
ExCyTIn-Bench: Evaluating LLM agents on Cyber Threat Investigation
Pennsylvania State University（宾夕法尼亚州立大学）；Microsoft Security AI Research（微软安全AI研究）；Tsinghua University（清华大学）
ExCyTIn-Bench是首个评估LLM代理在网络安全调查任务中的基准，通过从调查图中生成的安全问题进行测试。该基准利用Azure租户中的SQL环境和Microsoft Sentinel日志构建威胁调查图，并生成问题以评估LLM代理的能力。
2026-05-01 cs.AI cs.CL cs.CR
From Noise to Signal: Improving Security Log Anomaly Detection Using LLMs with Endpoint-Specific Logs
Institute of Innovation, Science and Sustainability（创新、科学与可持续发展研究所）；Centre for Smart Analytics（智能分析中心）；Federation University Australia（澳大利亚联邦大学）
本研究开发基于指令的LLM分类框架，结合端点特定日志，经实验验证Meta Llama 3.1 8B Instruct在安全日志异常检测中性能优于Wazuh、OpenSearch等方法。
2026-08-21 cs.CR cs.LG
