Parser-Free Querying of Security Logs
University of California, Berkeley（加州大学伯克利分校）
本文提出Sieve系统，通过将大型语言模型与轻量级自动提取的日志格式上下文相结合，生成可执行的查询代码，从而在无需解析器的情况下实现安全日志的高效查询，显著降低了复杂时间序列和跨事件查询的错误率。
2026-05-21 cs.CR
UCLog+ : A Security Data Management System for Correlating Alerts, Incidents, and Raw Data From Remote Logs
用于计算机网络安全分析的源数据采用不同的形式（警报、事件、日志），并且每个源可能是大量的。由于这对数据管理提出了挑战，这通常导致安全烟囱操作，其主要集中在用于分析的少量数据源上，数据源之间很少或没有自动关联（尽管关联可以手动完成）。我们寻求解决这一系统性问题。在以前的工作中，我们开发了一个统一的相关日志系统（UCLog），自动处理来自不同设备的警报。我们通过介绍UCLog+的架构和应用程序将这项工作向前推进了一步，UCLog+增加了将警报和事件与远程日志上的原始数据相关联的新功能。UCLog+可用于取证分析，包括查询和报告生成，但更重要的是，它可用于对正在进行的攻击模式进行近实时的态势感知。该系统使用开放源代码工具实现，也可以成为不同组织共享安全信息的存储库。
2006-07-25 cs.CR
Security Logs to ATT&CK Insights: Leveraging LLMs for High-Level Threat Understanding and Cognitive Trait Inference
USC Institute for Creative Technologies（南加州大学创新技术研究院）；Northeastern University（东北大学）
本文提出利用大语言模型分析Suricata IDS日志，将底层网络事件映射到MITRE ATT&CK技术，并推断攻击者的认知偏差（如损失厌恶），为行为自适应网络防御奠定基础。
2025-10-23 cs.AI cs.CR
CAM-LDS: Cyber Attack Manifestations for Automatic Interpretation of System Logs and Security Alerts
Austrian Institute of Technology（奥地利技术研究院）
CAM-LDS通过提供涵盖多种攻击技术的日志数据集，推动基于大语言模型的系统日志和安全警报自动解释技术的发展。
2026-03-04 cs.AI cs.CR
Memory-Augmented Log Analysis with Phi-4-mini: Enhancing Threat Detection in Structured Security Logs
针对大语言模型在结构化安全日志威胁检测中上下文有限、领域不匹配的问题，提出双记忆RAG框架DM-RAG，结合长短时记忆与Phi-4-mini，在UNSW-NB15数据集上实现更高召回率，支持轻量可扩展的实时威胁监控。
2025-10-01 cs.CR
Towards Blockchain-Driven, Secure and Transparent Audit Logs
审计日志是企业业务系统中的关键组件，用于审计、存储和跟踪对数据所做的更改。然而，审计日志容易受到一系列攻击，这使得攻击者能够篡改数据和相应的审计日志。在本文中，我们介绍了BlockAudit：一个可扩展的防篡改系统，它利用审计日志的设计属性和区块链的安全保证来实现安全和可信的审计日志。为此，我们构建了BlockAudit的设计方案，并概述了其操作程序。我们在Hyperledger上实现了我们的设计，并从延迟、网络大小和有效负载大小方面评估了其性能。我们的研究结果表明，传统的审计日志可以无缝过渡到BlockAudit，以实现更高的安全性，完整性和容错。
2018-11-25 cs.CR
Semantic-Aware Parsing for Security Logs
针对安全日志异构非结构化、手动解析成本高、大模型直接查询大规模场景不实用的问题，提出端到端系统Matryoshka，可无标注自动生成语义感知日志解析器，性能优于现有方法，可媲美人工解析效果。
2025-11-14 cs.CR
NVision-PA: A Tool for Visual Analysis of Command Behavior Based on Process Accounting Logs (with a Case Study in HPC Cluster Security)
在UNIX/Linux环境中，内核可以使用进程记帐记录每个用户创建的每个命令进程。因此，进程记帐日志有许多潜在的用途，特别是安全事件的监视和取证调查。以前的工作成功地利用进程记帐日志来识别难以检测和破坏高性能计算（HPC）集群的入侵，伪装攻击，其中入侵者伪装成具有窃取的身份验证凭据的合法用户。虽然发现HPC集群上的伪装者可以以高准确度（大于90%）识别，但这种准确度对于需要大于99%准确度的HPC生产环境仍然不够高。本文逐步推进的目标，更准确地识别masqueraders HPC集群，寻求识别功能的命令集内区分masqueraders。为了实现这一目标，我们创建了NVision-PA，这是一个软件工具，可以生成描述输入处理会计日志的文本和图形统计摘要。我们报告的NVision-PA结果描述了两个不同的进程记帐日志;一个来自Internet使用，一个来自HPC群集使用。这些结果确定了互联网用户的显着特点（作为代理的masqueraders）冒充集群用户。这项研究是为生产HPC集群创建实时伪装检测传感器的下一步，也是为系统管理员提供另一种工具，用于统计监视和管理HPC环境中的合法工作负载（如命令使用情况所示）。
2006-06-20 cs.CR cs.DC
Benchmarking and Exploring the Capabilities of LLMs for Attack Investigations
University of Chicago（芝加哥大学）；University of California, Berkeley（加州大学伯克利分校）；Google（谷歌）
提出AuditBench基准数据集，评估LLM在安全审计日志分析中的性能，涵盖四种常见调查任务，揭示模型在不同设计选择下的表现差异与错误类型。
2026-09-29 cs.CL cs.CR
Context Contamination in LLM Analysis of Network Security Logs: Poison with Passive Prompt Injection and Mitigation Evaluation
PayPal Inc.（PayPal公司）；University of Houston（休斯顿大学）；Kent State University（肯特州立大学）
研究网络安全日志大语言模型分析中的上下文污染问题（被动提示注入漏洞），提出LogInject框架评估威胁，通过实验得出攻击成功率等数据，引入上下文拼接技术，评估分层防御效果，揭示需深度防御架构和人工监督。
2026-07-17 cs.CR
LogGuardQ: A Cognitive-Enhanced Reinforcement Learning Framework for Cybersecurity Anomaly Detection in Security Logs
Universidade de Uberaba（乌贝拉巴大学）
针对传统强化学习在动态环境中探索效率低的问题，提出认知增强框架 LogGuardQ，结合双记忆系统与自适应探索策略，在安全日志异常检测中实现了 96.0% 的高检测率与优越稳定性。
2025-09-02 cs.AI cs.CR cs.LG
Analyzing Confidentiality and Privacy Concerns: Insights from Android Issue Logs
上下文：发布后的用户反馈在提高软件质量和提供新功能方面起着不可或缺的作用。鉴于其日益重要性，关于加强安全的反馈尤其值得注意。在考虑Android的快速发展时，我们研究了其利益相关者报告的Android安全威胁的规模和严重性。目的：我们系统地挖掘Android问题日志，以深入了解利益相关者对某些Android安全问题的看法和经验。方法：我们采用上下文分析技术来研究最近三个主要Android版本中提出的有关机密性和隐私的问题，考虑利益相关者评论的协方差以及用户偏好和优先级的一致性水平。结果：保密和隐私问题的严重程度各不相同，最普遍的果冻豆释放。在保密方面提出的问题主要涉及访问、用户凭证和许可管理，而对隐私的关切主要涉及电话锁定。社区用户对新的安全功能也表达了不同的偏好，从更宽松到非常严格。结论：支持对新旧Android版本采取持续纠正措施的策略可能会保持利益相关者的信心。一种为用户提供基本默认安全设置的方法，但如果需要，可以配置额外的安全功能，这将为Android的广泛利益相关者群体提供最佳平衡。
2021-02-24 cs.CR cs.SE
ExCyTIn-Bench: Evaluating LLM agents on Cyber Threat Investigation
Pennsylvania State University（宾夕法尼亚州立大学）；Microsoft Security AI Research（微软安全AI研究）；Tsinghua University（清华大学）
ExCyTIn-Bench是首个评估LLM代理在网络安全调查任务中的基准，通过从调查图中生成的安全问题进行测试。该基准利用Azure租户中的SQL环境和Microsoft Sentinel日志构建威胁调查图，并生成问题以评估LLM代理的能力。
2026-05-01 cs.AI cs.CL cs.CR
KubeGuard: LLM-Assisted Kubernetes Hardening via Configuration Files and Runtime Logs Analysis
Department of Software and Information Systems Engineering（软件与信息系统工程系）；Ben-Gurion University of The Negev（贝内杰尔大学）
针对Kubernetes普及带来的权限配置过宽等安全问题，提出运行时日志驱动的KubeGuard框架，借助LLM与提示链分析清单和日志，实现资源最小权限配置生成与优化，经评估具备高实用价值。
2025-09-04 cs.CR cs.LG
Defining a Metric Space of Host Logs and Operational Use Cases
主机日志（特别是Windows事件日志）是安全操作中心（SOC）经常收集的有价值的信息来源。主机日志的半结构化性质抑制了自动化分析，虽然手动分析很常见，但庞大的数量使得手动检查所有日志成为不可能。尽管存在许多用于分析时间序列和顺序数据的强大算法，但将此类算法用于大多数网络安全应用要么是不可行的，要么需要量身定制的研究密集型准备。特别是，基本的数学和算法的发展，提供了一个广义的，有意义的相似性度量系统日志需要弥合许多现有的顺序数据挖掘方法，这是目前可用的，但未充分利用的数据源之间的差距。在本文中，我们提供了一个严格的定义的度量产品空间的Windows事件树，提供了一个嵌入，允许应用程序建立机器学习和时间序列分析方法。然后，我们通过真实数据上的多个用例来展示这种嵌入的实用性和灵活性：（1）将已知的被感染的日志流与新的主机日志流进行比较以用于攻击检测和取证，（2）将类似的日志流折叠成语义上有意义的组（按用户，按角色），从而减少数据量但不减少内容，（3）对日志以及日志的短序列进行聚类，以随着时间的推移识别和可视化用户行为和后台过程。总的来说，我们为一般主机日志和日志序列提供了一个度量空间框架，该框架尊重语义相似性，并促进了对这些日志的各种数据科学分析，而无需为每个日志进行数据特定的准备。
2018-11-01 cs.CR stat.AP
SCRUB-PA: A Multi-Level Multi-Dimensional Anonymization Tool for Process Accounting
在UNIX/Linux环境中，内核可以使用进程记帐记录每个用户创建的每个命令进程。这些数据有许多潜在用途，包括调查安全事件。然而，进程记帐数据也是敏感的，因为它包含私有用户信息。因此，安全系统管理员无法共享这些日志。考虑到许多有趣的安全应用程序都可以使用进程记帐数据，因此拥有一个可以保护日志中的私有用户信息的工具将非常有用。出于这个原因，我们介绍SCRUB-PA，一个工具，使用多层次的多维匿名化的进程会计日志文件，以提供不同级别的隐私保护。我们的目标是，SCRUB-PA将在保护隐私的同时促进流程会计日志的共享。
2006-01-18 cs.CR
Structuring Security: A Survey of Cybersecurity Ontologies, Semantic Log Processing, and LLMs Application
本文综述本体、语义日志处理与LLM在网络安全中的协同应用，梳理从原始日志自动构建知识图谱及智能本体驱动防御的挑战与机遇。
2025-10-18 cs.CR
Generation of Human Comprehensible Access Control Policies from Audit Logs
本文提出通过审计日志生成人类可理解的访问控制策略框架，利用大语言模型提升准确性和可扩展性。
2026-03-15 cs.CR cs.LG
RedChronos: A Large Language Model-Based Log Analysis System for Insider Threat Detection in Enterprises
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；Xiaohongshu（小红书）；School of Cyber Science and Technology, University of Science and Technology of China（中国科学技术大学网络空间安全学院）
本文提出 RedChronos 大模型日志分析系统，结合查询感知加权投票与 LLM 驱动变异的语义扩展遗传算法检测企业内部威胁，在 CERT 数据集上表现优异，并将小红书安全运营中心人工干预需求降低约 90%。
2025-03-13 cs.CR cs.LG
BigFoot: Exploiting and Mitigating Leakage in Encrypted Write-Ahead Logs
现代数据库和数据仓库系统将查询处理和持久存储分开。存储系统具有特殊的错误和安全漏洞，因此仅危及存储的攻击是一个现实的威胁。在本文中，我们表明，单独的加密是不足以保护数据库从受损的存储。使用MongoDB WiredTiger作为一个具体的例子，我们证明了对持久预写日志的加密写入的大小可以揭示有关MongoDB应用程序的输入和活动的敏感信息。然后，我们设计，实施和评估大脚，WAL修改，减轻大小泄漏。
2021-11-29 cs.CR
Next-generation cyberattack detection with large language models: anomaly analysis across heterogeneous logs
Coventry University（考文垂大学）
本研究提出基于大语言模型的下一代网络攻击检测方法，通过构建异构日志数据集和两阶段训练框架，实现高效准确的异常检测。
2026-02-06 cs.AI cs.CR
Lateral Movement Detection via Time-aware Subgraph Classification on Authentication Logs
Institute of Cyberspace Security, Zhejiang University of Technology（浙江工业大学网络空间安全研究院）；Binjiang Institute of Artificial Intelligence, ZJUT（浙江工业大学滨江人工智能研究院）；College of Computer Science and Technology, Zhejiang University of Technology（浙江工业大学计算机科学与技术学院）；Science and Technology on Communication Information Security Control Laboratory（通信信息安全控制科学与技术重点实验室）
针对APT攻击中横向移动隐蔽性强的问题，提出LMDetect框架，通过构建异构多重图和时间感知子图生成器，结合多尺度注意力编码器捕获异常行为，在真实数据集上验证了其有效性。
2024-11-15 cs.AI cs.CR
From Noise to Signal: Improving Security Log Anomaly Detection Using LLMs with Endpoint-Specific Logs
Institute of Innovation, Science and Sustainability（创新、科学与可持续发展研究所）；Centre for Smart Analytics（智能分析中心）；Federation University Australia（澳大利亚联邦大学）
本研究开发基于指令的LLM分类框架，结合端点特定日志，经实验验证Meta Llama 3.1 8B Instruct在安全日志异常检测中性能优于Wazuh、OpenSearch等方法。
2026-08-21 cs.CR cs.LG
Malware Detection in Docker Containers: An Image is Worth a Thousand Logs
K3Y Ltd（K3Y有限公司）；International Hellenic University（国际希腊大学）；Kingston University（金斯顿大学）；University of Peloponnese（伯罗奔尼撒大学）；Aristotle University of Thessaloniki（亚里士多德大学）；Hellenic Mediterranean University（希腊地中海大学）；University of Western Macedonia（西马其顿大学）
本研究提出将软件容器转换为大型RGB图像，并采用流式、基于补丁的卷积神经网络进行恶意软件检测，同时发布COSOCO数据集，实验表明该方法在F1和Recall上优于VirusTotal引擎集成。
2025-04-04 cs.AI cs.CR cs.CV
DTKI: a new formalized PKI with no trusted parties
基于Web的应用程序的公钥验证协议的安全性最近引起了人们的关注，因为在证书权威模型的弱点，以及随之而来的攻击。最近使用公共日志的提议成功地使证书管理更加透明和可核查。然而，这些建议涉及一套固定的权力机构。这就形成了寡头垄断。当前基于日志的系统的另一个问题是它们严重依赖于监视日志的可信方。我们提出了一个分布式的透明的密钥基础设施（DTKI），这大大减少了服务提供商的寡头垄断，并允许验证的可信方的行为。此外，本文形式化了公共日志数据结构，并对DTKI保证的安全性进行了形式化分析。
2017-03-16 cs.CR
Guardians of Trust: Navigating Data Security in AIOps through Vendor Partnerships
Western Governors University（西部州长大学）
本文探讨 AIOps 供应商合作中的数据安全风险，分析不同供应商的安全功能，并提出确保数据保护与隐私的最佳实践。
2024-01-16 cs.AI cs.CR
An Efficient Framework for Information Security in Cloud Computing Using Auditing Algorithm Shell (AAS)
由于云计算（CC）范式的出现，IT领域的新基础设施、人员培训和新计算机程序的许可证发放都在动态升级和扩展。在过去的几年里，它已经成为IT业务的一个快速增长的部分。然而，由于数据、人员和IT公司的快速增长，信息安全问题变得更加复杂。用户最关心的问题之一是，云计算中的数据安全程度如何？尽管所有的宣传材料都包含云计算，但联盟客户并不愿意将其业务转移到云计算上。数据安全是限制云计算应用范围的主要问题。在新的云计算基础架构中，采用了强安全壳和加密等技术，通过日志系统来保证用户的真实性。供应商利用这些日志来分析和查看他们的数据。因此，这种实现不足以确保数据的安全性、隐私性和权威性。本文介绍了数据安全，数据隐私，数据泄露和流程相关方面的四层框架。使用这种分层的架构，我们已经保持了机密信息的保密性，并试图建立用户对云计算的信任。该分层框架通过多种手段防止机密信息，即数据的安全传输，加密数据及其处理，数据库安全外壳和内部/外部日志审计。
2017-02-23 cs.CR
HSMLog: Small Language Model-Assisted Hardware Security Module Log Anomaly Detection with Behavioral Analysis
National Taiwan University（台湾大学）；National Taiwan University of Science and Technology（台湾科技大学）
本文提出HSMLog两阶段框架，结合小型语言模型与检索式行为分析，在真实工业HSM日志上实现98.97%精确率等优异指标，可有效完成HSM日志异常检测与事件分诊。
2026-09-01 cs.CR
Equivalence-based Security for Querying Encrypted Databases: Theory and Application to Privacy Policy Audits
出于同时保护外包给第三方云的数据的机密性和可用性的问题，我们提出了两种不同的数据库加密方案，它们在很大程度上隐藏了数据，但揭示了足够的信息来支持广泛的关系查询。我们提供了一个数据库加密的安全定义，从对手的角度来看，捕获的数据库的等效概念的基础上的机密性。作为一个具体的应用程序，我们适应现有的算法，发现违反隐私政策的运行在我们的计划下加密的日志，并观察低到中等的开销。
2015-08-10 cs.CR
Phantom Events: Demystifying the Issues of Log Forgery in Blockchain
针对区块链中基于智能合约事件的交易日志易被伪造的问题，首次深入分析EVM区块链交易日志伪造（幻影事件），建模五种攻击类型并提出检测工具，其性能优于现有工具且识别出多类真实攻击案例，呼吁开发者应对漏洞。
2025-02-19 cs.CR
Identifying botnet IP address clusters using natural language processing techniques on honeypot command logs
计算机安全一直受到越来越多的强大的，动态的，难以检测，难以预测和难以表征的黑客技术的困扰。这些技术通常部署在自我传播的蠕虫中，能够自动感染易受攻击的计算机系统，然后构建大型僵尸网络，然后用于对指定目标发动协调攻击。在这项工作中，我们研究了新的应用程序的自然语言处理（NLP）的方法来检测和相关的僵尸网络行为，通过分析蜜罐数据。在我们的方法中，我们采取观察到的行为在外壳命令发出的入侵者在捕获的互联网会话，并减少他们的随机过程的集合，反过来，处理与机器学习技术，以建立分类器和预测。我们的技术结果在集群僵尸网络源IP地址的新能力，即使在面对他们的愿望，通过快速或随机排列技术混淆他们的渗透企图。
2021-04-20 cs.CR
Secure Namespaced Kernel Audit for Containers
尽管基于容器的云计算被广泛使用，但用于安全分析的容器审计主要依赖于内置的主机审计系统，该系统通常缺乏捕获高保真容器日志的能力。最先进的基于引用监视器的审计技术极大地提高了审计日志的质量，但是它们的系统范围架构太昂贵，无法适应单个容器。此外，这些技术通常需要大量的内核修改，使得它们难以在实际环境中部署。在本文中，我们提出了saBPF（安全审计BPF），扩展的eBPF框架能够部署安全的系统级审计机制，在容器的粒度。我们通过设计一个审计框架、一个入侵检测系统和一个轻量级的访问控制机制来证明saBPF在Kubernetes中的实用性。我们评估saBPF，并表明它是可比的性能和安全保证审计系统从文献中直接实现在内核中。
2021-11-03 cs.CR
ACE -- An Anomaly Contribution Explainer for Cyber-Security Applications
Purdue University（普渡大学）；Micro Focus（微焦点）
在本文中，我们介绍了异常贡献解释器或ACE，一个工具来解释安全异常检测模型的模型功能，通过回归框架，及其变体，ACE-KL，突出了重要的异常贡献者。ACE和ACE-KL通过构建专门的线性模型来局部近似黑盒模型生成的异常分数，从而在诊断哪些属性对异常有显著影响方面提供见解。我们使用这些异常检测模型进行了实验，以检测合成数据和真实数据上的安全异常。特别是，我们评估了三个公共数据集的性能：CERT内部威胁，netflow日志和Android恶意软件。实验结果是令人鼓舞的：我们的方法始终确定正确的贡献功能的合成数据，其中地面真相是可用的;同样，对于真实的数据集，我们的方法点的方向的安全分析师异常的根本原因，包括在一种情况下，导致发现以前被忽视的网络扫描活动。我们已经公开了我们的源代码。
2020-02-29 cs.CR cs.LG stat.ML
Enhancing Cloud Security through Topic Modelling
University of Western Ontario（西安大略大学）；IBM Canada Lab.（IBM加拿大实验室）
本文提出利用基于 LDA 和 PLSA 的主题建模分析 CI/CD 日志、报告与部署追踪，以识别安全主题并提前发现云环境漏洞。
2025-06-27 cs.CR cs.LG cs.SE
Anomaly Detection Framework Using Rule Extraction for Efficient Intrusion Detection
University of Jyväskylä（于韦斯屈莱大学）
网络安全中的庞大数据集，如网络流量日志，可以使用机器学习和数据采掘方法进行分析。然而，收集的数据量正在增加，这使得分析更加困难。许多机器学习方法不是为大数据集设计的，因此速度慢且难以理解。我们通过创建一个应用降维和合取规则提取的入侵检测框架来解决有效的网络流量分类问题。该系统可以执行无监督的异常检测，并使用此信息创建合取规则，对大量流量进行实时的分类。我们使用广泛使用的KDD Cup 99数据集和真实世界的网络日志对实现的系统进行了测试，以确认性能令人满意。这个系统是透明的，不像一个黑盒子，使它直观的领域专家，如网络管理员。
2014-10-28 cs.CR cs.LG
Secure and Efficiently Searchable IoT Communication Data Management Model: Using Blockchain as a new tool
随着物联网（IoT）的快速发展，越来越多的IoT设备连接并频繁通信。在此背景下，传统的物联网集中式安全架构将在数据存储空间、数据可靠性、可扩展性、运营成本和责任判断等方面受到限制。本文基于区块链技术和云存储生成的小型分布式数据库，提出了一种新的关键信息存储框架。具体来说，所有加密的密钥通信数据将被上传到公共云服务器以进行足够的存储，但这些数据的摘要（称为“通信日志”）将被记录在“物联网账本”（即，一种分布式数据库），由所有物联网设备按照区块链生成方式维护，可以解决数据的可靠性、可扩展性和可靠性判断问题。此外，为了有效地搜索通信日志，并且不泄露任何通信数据的敏感信息，我们为我们的“物联网账本”设计了安全搜索方案，该方案利用非对称标量积保持加密（ASPE）方法来保证数据安全，并利用为区块链数据库量身定制的2层索引来提高搜索效率。安全性分析和在合成数据集上的实验表明，我们的方案是安全和有效的。
2018-12-20 cs.CR
AI-Assisted Adaptive Rendering for High-Frequency Security Telemetry in Web Interfaces
Senior Manager, Software Engineering（软件工程师高级经理）；Palo Alto Networks（帕洛阿尔托网络）
本文提出基于AI的自适应渲染框架，通过动态调节视觉更新频率、优先处理语义相关事件并选择性聚合低优先级数据，降低渲染开销并保持实时响应性。
2026-02-02 cs.AI cs.CR cs.HC
Security Analytics of Network Flow Data of IoT and Mobile Devices (Work-in-progress)
考虑到安全威胁和隐私泄露在今天是常见的，对于人们来说，知道他们的设备是否处于“良好的安全状态”或者是否存在需要解决的一组高风险漏洞是一个重要的问题。在本文中，我们解决了这个简单但具有挑战性的问题。我们依靠离线和实时收集的网络日志和事件，而不是获得对设备的白盒访问，这会带来隐私和其他系统问题。我们的方法是将分析和机器学习应用于网络安全分析，以及对整个设备（应用程序、操作系统和设备上的数据）安全性的分析。我们提出了基于分析的技术，以确定设备的敏感性，应用程序和设备的漏洞等级，应用程序和设备的危害程度，以及如何根据这些指标定义设备的安全状态。这样的度量可以进一步用于机器学习模型中，以便预测高风险状态的设备的用户以及如何避免这样的风险。
2017-04-10 cs.CR
Hallucination-Resistant Security Planning with a Large Language Model
The University of Melbourne（墨尔本大学）；Imperial College London（伦敦帝国理工学院）
本文提出了一种抗幻觉的安全规划框架，通过迭代循环和上下文学习优化LLM决策，减少恢复时间30%。
2026-02-05 cs.AI cs.CR
LogPrécis: Unleashing Language Models for Automated Malicious Log Analysis
Politecnico di Torino（都灵理工大学）；Università di Torino（都灵大学）；Huawei Technologies France（华为法国技术公司）
本文提出基于语言模型的自动化分析工具 LogPrécis，通过为 Unix shell 攻击会话分配战术序列指纹，将约 40 万次攻击归约为 3,000 类，辅助安全专家高效理解攻击并提升防御响应能力。
2024-03-22 cs.AI cs.CR cs.NI
Automated Behavioral Analysis of Malware A Case Study of WannaCry Ransomware
勒索软件是一种自我传播的恶意软件，它使用加密来保持受害者的数据赎金，近年来已成为最危险的网络威胁之一，具有广泛的破坏;例如，零日勒索软件WannaCry已经造成了全球性的灾难，从敲英国国民健康服务医院离线关闭本田汽车公司在日本[1]。我们与大型企业安全运营部门的密切合作表明，针对勒索软件的防御依赖于对前几次感染的大量系统日志进行繁琐的分析。对新捕获的恶意软件进行沙盒分析在操作中也很常见。我们介绍了一种方法来识别和排名最有区别的勒索软件功能，从一组环境（非攻击）系统日志和至少一个日志流包含环境和勒索软件的行为。这些排名的功能揭示了一组从系统日志中自动生成的恶意软件操作，并可以帮助自动化繁琐的手动分析。我们使用WannaCry和两个多态样本测试我们的方法，通过在环境和环境加上勒索软件执行期间使用Cuckoo Sandbox生成日志。我们的目标是在只知道恶意软件存在的情况下，从日志中提取恶意软件的特征。我们将输出与WannaCry的详细分析进行了比较，从而验证了算法的特征提取，并分析了该方法对输入数据\textemdash变化的鲁棒性，改变了环境数据的质量/数量，并测试了多态勒索软件。最值得注意的是，当从多态WannaCry副本生成时，我们的模式是准确和坚定不移的，其中63个（63个测试）反病毒（AV）产品失败。
2017-09-25 cs.CR
Attack Tree Generation via Process Mining
针对攻击树人工构建成本高的问题，提出基于流程挖掘算法从攻击日志自动生成可定制攻击树的方法，开发了支持RisQFLan格式输出的原型并通过协议攻击案例验证。
2024-09-12 cs.CR cs.FL
Collaborative adversary nodes learning on the logs of IoT devices in an IoT network
Universiti Brunei Darussalam（文莱达鲁萨兰大学）
人工智能（AI）的发展鼓励了许多新的研究领域，包括支持AI的物联网（IoT）网络。AI分析和智能范式大大提高了学习效率和准确性。将这些学习范例应用于网络场景提供了新的网络解决方案的技术优势。在本文中，我们从数据的角度提出了一种改进的物联网安全方法。物联网设备的网络流量可以使用AI技术进行分析。提出了一种基于递归神经网络（RNN）的AdLIoTLog模型，该模型对网络流量中的网络事件序列引入注意力机制。我们将网络事件定义为日志中捕获的协议的时间序列数据包的序列。我们考虑了网络日志中的不同数据包（TCP数据包、UDP数据包和HTTP数据包），以使算法具有鲁棒性。分布式物联网设备可以协作来削弱我们的世界，这正在扩展到智能互联网。通过去除噪声和添加时间戳，将时间序列数据包转换为结构化数据。由此产生的数据集由RNN训练，可以检测相互协作的节点对。我们使用BLEU评分来评估模型性能。我们的研究结果表明，与网络未受到攻击的情况相比，使用我们的方法训练的AdLIoTLog模型的预测性能在存在攻击的情况下下降了3-4%。AdLIoTLog可以检测到对手，因为当对手存在时，模型会被协作事件欺骗，因此预测下一个带有偏见的事件，而不是良性事件。我们的结论是，人工智能可以为新一代物联网提供无处不在的学习。
2021-12-22 cs.CR cs.LG cs.NI
Towards Log Analysis with AI Agents: Cowrie Case Study
MSKÜ Engineering Faculty, Department of Computer Engineering, Türkiye（MSKÜ工程学院计算机工程系）；MSKÜ Institute of Science, Deparment of AI（MSKÜ科学研究院人工智能系）
针对蜜罐日志分析难题，提出利用AI智能体自动化解析、总结和提取见解的轻量级方法，初步验证其能减少人工并识别攻击模式。
2025-08-22 cs.AI cs.CR cs.MA
Design and implementation of a distributed security threat detection system integrating federated learning and multimodal LLM
University of California San Diego（加利福尼亚大学圣迭戈分校）；University of California, Los Angeles（加利福尼亚大学洛杉矶分校）
本文提出一种集成联邦学习与多模态大语言模型的分布式威胁检测系统，在10TB数据集上实现96.4%准确率，较基线提升4.1个百分点，兼顾隐私与效率。
2025-02-25 cs.AI cs.CR cs.DC
Detection of Early-Stage Enterprise Infection by Mining Large-Scale Log Data
近年来，越来越多的复杂攻击出现，包括针对机密专有信息的高级持续性威胁（APT），这些攻击给组织和政府带来了严重风险。此外，新的恶意软件菌株正在以比以往更高的速度出现。由于这些恶意软件中的许多被设计为逃避现有的安全产品，因此当今大多数企业部署的传统防御，例如，防病毒、防火墙、入侵检测系统通常不能在早期阶段检测到感染。我们解决了在企业环境中检测早期感染的问题，提出了一个新的框架的基础上，从图论的启发信念传播。置信传播可以与受损主机或恶意域的“种子”（由企业安全操作中心- SOC提供）一起使用，也可以不使用任何种子。在后一种情况下，我们开发了一个检测器的C&C通信，特别是为企业量身定制的，它可以检测到一个隐形的妥协，只有一个主机与C&C服务器通信。我们证明了我们的技术在检测企业感染方面表现良好。我们在洛斯阿拉莫斯国家实验室（LANL）发布的两个月的匿名DNS日志中实现了高准确率和低误报率，其中包括LANL领域专家模拟的APT感染攻击。我们还将我们的算法应用于在大型企业边界收集的38 TB真实Web代理日志。通过与企业SOC合作进行仔细的手动调查，我们发现我们的技术识别了数百个被最先进的安全产品所忽视的恶意域。
2014-11-24 cs.CR
A Security Monitoring Framework For Virtualization Based HEP Infrastructures
Goethe-University Frankfurt（法兰克福歌德大学）；CERN（欧洲核子研究中心）
高能物理（HEP）分布式计算基础设施需要自动化工具来监控、分析潜在的安全事件并做出反应。这些工具应收集和检查资源消耗、日志和系统调用序列等数据，以检测表明存在恶意代理的异常情况。他们还应该能够在没有管理员干预的情况下对攻击执行自动反应。我们描述了一个新的框架，完成这些要求，在欧洲核子研究中心的ALICE实验的概念实现的证明。我们展示了如何实现一个完全虚拟化的环境，通过隔离服务和作业来提高安全性，而不会对性能产生重大影响。我们还描述了一个收集的数据集机器学习为基础的入侵预防和检测系统的网格计算。该数据集由资源消耗度量（如CPU、RAM和网络流量）、来自操作系统服务的日志文件以及从ALICE Grid测试站点中运行的生产作业收集的系统调用数据和大量恶意软件组成。该恶意软件是从安全研究网站收集的。基于此数据集，我们将继续开发能够检测恶意作业的机器学习算法。
2017-04-16 cs.AI cs.CR cs.DC
Feature Extraction and Feature Selection: Reducing Data Complexity with Apache Spark
特征提取和特征选择是输入日志预处理中的首要任务，以便在利用机器学习的同时检测网络安全威胁和攻击。当涉及到来自不同来源的异构数据的分析时，这些任务被发现是耗时的并且难以有效地管理。在本文中，我们提出了一种方法来处理特征提取和特征选择来自不同的网络传感器的异构数据的安全分析。该方法在Apache Spark中实现，使用其名为pyspark的python API。
2017-12-11 cs.CR cs.DB
In-Context Autonomous Network Incident Response: An End-to-End Large Language Model Agent Approach
Department of Systems Engineering, City University of Hong Kong（香港城市大学系统工程系）；Department of Electrical and Electronic Engineering, University of Melbourne（墨尔本大学电子与电气工程系）
本文提出一种端到端的大语言模型代理方法，通过整合感知、推理、规划和行动功能，实现网络事件响应的自主学习与适应，实验表明其恢复效率比前沿模型快23%。
2026-04-15 cs.AI cs.CR
RHINO: Guided Reasoning for Mapping Network Logs to Adversarial Tactics and Techniques with Large Language Models
RHINO框架通过行为抽象、多角色协作推理和验证三阶段引导式推理，利用大语言模型将网络日志映射到MITRE ATT&CK战术与技术，在三个基准上实现86.38%-88.45%准确率，显著提升威胁分析的可解释性与可扩展性。
2026-10-28 cs.CR
A compression based framework for the detection of anomalies in heterogeneous data sources
如今，信息和通信技术系统是我们社会和经济模式的基本资产，因此应得到适当保护，使其免遭网络犯罪分子的恶意活动。防御机制通常围绕以多种方式跟踪和存储信息的工具进行阐述，最简单的一种是生成作为安全日志的纯文本文件。安全分析人员通常以半自动的方式检查这些日志文件，以检测可能影响系统完整性的事件。在此基础上，我们提出了一个无参数的方法来检测安全事件的结构化文本，无论其性质。我们使用归一化压缩距离来获得一组特征，这些特征可以由支持向量机用于对来自异构网络安全环境的事件进行分类。具体而言，我们探索和验证我们的方法在四个不同的网络安全领域的应用：HTTP异常识别，垃圾邮件检测，域生成算法跟踪和情感分析。所获得的结果表明，我们的方法在不同的安全场景的有效性和灵活性，具有较低的配置负担。
2019-08-01 cs.CR
SmartGuard: Leveraging Large Language Models for Network Attack Detection through Audit Log Analysis and Summarization
Zhejiang University（浙江大学）；Ant Group（蚂蚁集团）
SmartGuard通过结合抽象行为与大语言模型，实现基于审计日志的网络攻击检测，具有高准确率和良好的可扩展性。
2026-02-13 cs.CR
SK-Tree: a systematic malware detection algorithm on streaming trees via the signature kernel
网络安全领域中机器学习算法的发展受到所涉及数据的复杂性、层次性、顺序性和多模态性的阻碍。在本文中，我们介绍了流树的概念，作为一个通用的数据结构，包括大部分的现实世界的网络安全数据。从基于主机的事件日志开始，我们将计算机进程表示为连续时间演变的流树。利用签名内核的特性，一个机器学习工具，最近出现的一个领先的技术与复杂的数据序列的学习，我们开发的SK树算法。SK树是一种监督学习方法，用于在流树上进行系统的恶意软件检测，该方法对不规则采样和底层流的高维性具有鲁棒性。我们证明了SK-Tree在部分公开的DARPA OpTC数据集上检测恶意事件的有效性，达到了98%的AUROC分数。
2021-09-29 cs.CR
Immersed in Reality Secured by Design -- A Comprehensive Analysis of Security Measures in AR/VR Environments
本文全面分析了AR/VR环境面临的数据窃取等网络安全威胁，提出利用增强现实界面实时监控网络活动与安全警报，以提升安全专业人员的威胁识别与决策效率。
2024-01-30 cs.CR cs.IT math.IT
