Mar, 2024

基于连续词袋（CBoTT）的无监督威胁猎杀

PDF
TL;DR通过检测系统日志中的异常行为来进行威胁搜寻已成为一种关键的安全措施。本文提出了一种无监督的框架，连续词袋和时间（CBoTT），并公开其应用程序接口（API），帮助研究人员和网络安全分析员在面向端点设备的 SIEM 日志中执行基于异常的威胁搜寻。分析结果表明，我们的框架始终优于基准方法。当按照可能是异常的可能性对日志进行排序时，我们的方法在更高的百分位数（介于 1.82-6.46 之间）上识别异常，而基准方法在较低的百分位数（介于 3.25-80.92 之间）上识别相同的异常。其他研究人员可以使用该框架进行基准分析，并帮助网络安全分析员发现 SIEM 日志中的异常行为。
threat huntingsystem logsanomaly-basedsiem logscybersecurity analysts
发现论文，激发创造
  • 基于系统级溯源的无监督高级持续性威胁检测基线

    本研究评估了无监督的批量式和流式异常检测算法的有效性，通过对记录在四个不同操作系统上的多个 GB 的溯源跟踪进行检测，以确定它们是否能够可靠和高效地检测类似 APT 攻击。这是关于通用无监督异常检测技术在此环境中有效性的首个详细研究。

    Jun, 2019

  • 对抗性环境下的网络安全异常检测

    本文旨在探讨在 IoBT 的环境下，通过成本效益较高的无监督学习和基于图的方法来检测入侵网络系统中的异常情况，同时采用集成方法进行监督学习的异常检测，研究结果表明，采用两级的监督堆叠集成方法能更好地识别出恶意活动。

    May, 2021

  • 使用连续时间贝叶斯网络进行入侵检测

    本文提出了一种使用连续时间贝叶斯网络来检测入侵的通用技术 - 异常检测，并使用根据历史数据生成的生成式模型来标记异常行为。该方法在网络入侵检测系统和主机入侵检测系统中都有应用，并在多个实验数据集上进行了验证。

    Jan, 2014

  • 无需包外采样的异常检测

    本文提出了一种基于模型的异常检测方法，Out-of-Bag 异常检测，它可以处理由数字和分类特征组成的多维数据集，将无监督学习问题分解成集合模型的训练。通过对基准数据集的全面实验展示了该方法的最新性能，并通过房屋估值的案例研究展示了其可以作为数据预处理步骤，提高 ML 系统的准确性和可靠性。

    Sep, 2020

  • 增强词袋模型：基于数据驱动的发现动作识别中的时间和结构信息

    本文提供了基于数据驱动技术的 Bag of Words 模型技术来识别复杂长期活动的方法，成功运用于四个数据集中，具有很强的模式识别能力及异常检测能力，并提出使用随机采样正则表达式来发现和编码这些活动中的模式。

    Oct, 2015

  • ThreatCrawl：基于 BERT 的网络安全领域聚焦爬虫

    该研究发现，使用自然语言处理（NLP）提取威胁情报数据的方法已经被提出，但是文档搜索的问题并没有得到解决。本文提出了一种新的基于 BERT 的聚焦爬虫 ThreatCrawl，可以动态地分类文档并适应其爬行路径，能够成功地找到相关文档，并修改其路径，获得高达 52％的收集率。

    Apr, 2023

  • LogBERT: 基于 BERT 的日志异常检测

    本文提出基于 BERT 的自监督框架 LogBERT 用于日志异常检测，通过两个新颖的自监督训练任务学习正常日志序列的模式，并能够检测出潜在的从正常日志序列偏离的异常情况，实验结果表明 LogBERT 在三个日志数据集上表现优于现有的异常检测方法。

    Mar, 2021

  • 用于确定车辆劫持推文的半监督异常检测

    本研究提出了一种新的半监督方法，利用推特数据和无监督异常检测算法识别车辆劫持事件，比较评估结果表明 Cluster Based Outlier Factor 方法在准确性和 F1-Score 上优于 K-Nearest Neighbour，因此 CBLOF 方法被选择作为更好的无监督方法，并计划在更大的数据集上使用监督学习方法进行比较和优化。

    Aug, 2023

  • 恶意行为的时间性评估：运用于投票场地数据监测

    基于轨道交通道岔行为的时间演化预测，比对采集数据以侦测异常，解决数据安全及维护行为问题。

    May, 2024

  • 基于规则挖掘的高级持久性威胁检测系统

    该论文介绍了一种利用与操作系统无关的特征来检测真实的高级持续性威胁攻击的无监督方法，并利用可解释性的结果来揭示被检测到的异常，这有助于解释因果关系。在 DARPA 的测试数据集中，该方法的表现优于竞争方法。

    May, 2021