論文の概要: Multi-View Fusion for Encrypted C2 Detection: A Leakage-Controlled Measurement Study of Evaluation Pitfalls

• arxiv url: http://arxiv.org/abs/2609.27311v1
• Date: Wed, 23 Sep 2026 03:44:00 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 00:05:17.864259
• Title: Multi-View Fusion for Encrypted C2 Detection: A Leakage-Controlled Measurement Study of Evaluation Pitfalls
• Title（参考訳）: 暗号化されたC2検出のための多視点核融合:漏れ制御による評価ピットフォールの測定
• Abstract要約: コマンド・アンド・コントロール(C2)トラフィックはTLS内に隠されているため、ディフェンダーはトラフィックメタデータに機械学習を適用することができる。 多くの研究は、フロー統計とTLSハンドシェイク指紋という2つのメタデータビューを組み合わせることで、正確性と堅牢性の両方を改善すると仮定している。 我々は、62個の実コバルトストライクキャプチャーから17,577個のTLSフローでこの仮定を検証した。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Command-and-control (C2) traffic increasingly hides within TLS, so defenders now apply machine learning to traffic metadata. Many studies assume that combining two metadata views, namely flow statistics and TLS handshake fingerprints, improves both accuracy and robustness. We tested this assumption on 17,577 TLS flows from 62 real Cobalt Strike captures. Our evaluation removes the data leakage that leads to overly optimistic reported scores. We report three findings that matter more than the fusion result itself. First, an incorrect preprocessing step increases the F1 score by 0.28. This step computes the frequency encoding across the entire dataset rather than within each cross-validation fold. The increase is about ten times larger than any real effect we measured. Second, both the labels and the behavioral features depend on the destination address. Because of this, the 17,577 flows form only 2,132 independent groups, and the positive rate of 55.1\%, which looks balanced, drops to 4.2\%. Therefore, class balance is just a result of how we analyze the data, specifically whether we count flows or endpoints, and not a real feature of the task. Third, 20 of the 62 captures (32\%) have no TLS flows to any known C2 address, so they contain only benign samples. We checked these captures directly and confirmed that this is a gap in the ground truth, not a labeling error. In this context, fusion beats the best single view by only 0.022 in F1. When an attacker forges both feature surfaces simultaneously, every model performs worse than a simple baseline that always predicts positive (F1 = 0.711). For encrypted C2 detection, the evaluation design is not a preliminary step. It \emph{is} the main result.
• Abstract（参考訳）: コマンド・アンド・コントロール(C2)トラフィックはTLS内に隠されているため、ディフェンダーはトラフィックメタデータに機械学習を適用することができる。 多くの研究は、フロー統計とTLSハンドシェイク指紋という2つのメタデータビューを組み合わせることで、正確性と堅牢性の両方を改善すると仮定している。 我々は、62個の実コバルトストライクキャプチャーから17,577個のTLSフローでこの仮定を検証した。 我々の評価は、過度に楽観的な結果をもたらすデータ漏洩を取り除く。 核融合よりも重要な3つの発見を報告する。 まず、誤った前処理ステップによりF1スコアが0.28増加する。 このステップでは、各クロスバリデーションフォルダ内でではなく、データセット全体の周波数エンコーディングを計算する。 この増加は、私たちが測定した実際の効果の約10倍の大きさです。 第2に、ラベルと行動特徴の両方が宛先アドレスに依存している。 このため、17,577 フローは2,132 個の独立したグループしか形成せず、55.1 % の正の値はバランスが取れているように見え、4.2 % に低下する。 したがって、クラスバランスは、データの分析方法、特にフローやエンドポイントをカウントするかどうかの結果として発生し、タスクの実際の機能ではない。 第3に、62回の捕獲のうち20回(32\%)は、既知のC2アドレスへのTLSフローを持たないため、良性サンプルのみを含む。 私たちはこれらのキャプチャを直接チェックし、これがラベリングエラーではなく、真実のギャップであることを確認しました。 この文脈では、融合はF1の0.022で最高の単一ビューを上回ります。 攻撃者が両方の特徴曲面を同時に偽造すると、全てのモデルは正の予測を行う単純なベースラインよりも悪化する(F1 = 0.711)。 暗号化されたC2検出では、評価設計は予備的なステップではない。 それが主な結果である。

関連論文リスト

• When Single-Dataset Conclusions Fail: A 45-Task Study of Threshold Tuning and Resampling for Imbalanced Classification [0.0]
  クラス不均衡処理は、単一のベンチマークデータセットで定期的に評価される。 リークフリーなネスト型クロスバリデーションプロトコルの下では、デフォルト0.5しきい値のプレーンランダムフォレストがF1 = 0.861 +/-0.021に達する。 閾値調整の利点は、不均衡比において非単調である。
  論文  参考訳（メタデータ） (2026-08-17T05:58:33Z)
• The Low Frequency Trap: Video Language Models Fail at Simple Event Bookkeeping [70.07961857926377]
  3つの制御されたビデオタスクにおけるイベントカウントのためのトレーサグラウンドパラメトリックプロファイリングを導入する。 2,190本のビデオでは,レンダリングを保ちながらイベントカウントNと周波数Fが異なる。 80%の信頼性しきい値において、Gemini 3.6 Flashは、0.5Hzと1.0Hzの12イベントまでの永続的な状態遷移を確実にカウントするが、過渡的点滅イベントに対する信頼性の高い正カウント領域は示さない。
  論文  参考訳（メタデータ） (2026-08-06T17:57:06Z)
• Mapping CVEs to MITRE ATT&CK Techniques: A Curated Gold-Set Classifier and the Limits of LLM-Assisted Label Expansion [46.262619407930266]
  我々は、専門家のMITRE Center for Threat-Informed Defense mappingsから1,207 CVEのキュレートされた金のデータセットにマルチラベル分類器をトレーニングする。 その結果得られたモデルは、ゼロショットの埋め込み類似性のベースラインと比較して、おおよそdoubles recall@5である。 次に,LLMによるラベリングが金のデータセットを拡張できるかどうかを検討する。
  論文  参考訳（メタデータ） (2026-07-28T10:59:04Z)
• Dataset Distillation by Influence Matching [42.09931906541133]
  Inf-Matchは、収束したパラメータに影響を及ぼすコンパクトな合成集合を学習する。 標準分類ベンチマークで最高の精度を提供する。 Inf-MatchはFlickr30Kの視覚言語蒸留にスケールし、強力なプロセスマッチングベースラインを上回っている。
  論文  参考訳（メタデータ） (2026-07-18T15:47:03Z)
• Data and Evaluation Closed-Loop for Model Capability Enhancement [8.245706308161504]
  評価は直感的ではなく,日常的,監査可能,実験的に検証可能であることを示す。 評価データ間推論は直感的ではなく,日常的,監査可能,実験的に検証可能であることを示す。
  論文  参考訳（メタデータ） (2026-06-26T14:45:57Z)
• Reading Task Failure Off the Activations: A Sparse-Feature Audit of GPT-2 Small on Indirect Object Identification [0.0]
  我々は, GPT-2小火器のスパースオートコーダ(SAE)機能について, 失敗した試験と成功した試験との違いを報告した。 300プロンプトでは、GPT-2小径の精度は79.7%に達し、Bloom (2024)の層8残流SAEリリースの24,576個の特徴のうち146個はホルム補正値の閾値をクリアしている。 17,491, d=+2.93, Neuronpedia label 'cryptographic key' は、プロンプトの転送されたオブジェクトが「キー」である場合を除いて、本質的に静かである。
  論文  参考訳（メタデータ） (2026-05-21T16:55:27Z)
• Before You Interpret the Profile: Validity Scaling for LLM Metacognitive Self-Report [0.0]
  PAIとMMPI-3からメタ認知プローブデータに適用する。 6つの妥当性指標が運用されている: L(エラーに対する信頼を維持する)、K(エラーに賭ける)、F(コンセンサスに適合した項目を引き出す)、Fp(正しい回答を引き出す)、RBS(逆モニタリング)、TRIN。
  論文  参考訳（メタデータ） (2026-04-20T01:42:54Z)
• CLUE: Non-parametric Verification from Experience via Hidden-State Clustering [64.50919789875233]
  隠れアクティベーションの軌跡内の幾何的に分離可能なシグネチャとして解の正しさが符号化されていることを示す。 ClUE は LLM-as-a-judge ベースラインを一貫して上回り、候補者の再選において近代的な信頼に基づく手法に適合または超えている。
  論文  参考訳（メタデータ） (2025-10-02T02:14:33Z)
• A Two-Stage Strategy for Mitosis Detection Using Improved YOLO11x Proposals and ConvNeXt Classification [5.1547008655164195]
  MIDOG 2025 Track 1は、非腫瘍性、炎症性、壊死性再腫瘍を含む全スライディングイメージ(WSI)におけるミトーシス検出を必要とする。 複雑で異質な文脈のため、しばしば偽陽性と偽陰性が存在するため、検出F1スコアは劣化する。 本稿では、有糸分裂候補を生成し、偽陽性を除去する2段階フレームワークを提案する。 MIDOG 2025 Track 1の予備テストセットでは、thealgorithmのスコアは0.7587である。
  論文  参考訳（メタデータ） (2025-09-01T15:46:28Z)
• DS@GT at CheckThat! 2025: Evaluating Context and Tokenization Strategies for Numerical Fact Verification [49.1574468325115]
  数値的クレーム、量、比較、時間的参照を含むステートメントは、自動化された事実チェックシステムに固有の課題をもたらす。 我々は,QuanTempデータセットを用いて,これらのクレームの精度予測のためのモデリング戦略を評価し,エビデンス検索パイプラインを構築した。 当社のベストパフォーマンスシステムは,競争力のあるマクロ平均F1スコア0.57を達成し,2025年のCheckThatのタスク3におけるトップ4のサブミッションに私たちを配置する。
  論文  参考訳（メタデータ） (2025-07-08T17:22:22Z)
• Better May Not Be Fairer: A Study on Subgroup Discrepancy in Image Classification [73.87160347728314]
  CIFAR10とCIFAR100のテストセットを各画像の背景色に基づいてサブグループにアノテートすることで、自然背景色が刺激的な特徴としてどのように機能するかを検討する。 全体としての人間レベルの精度は、一貫したサブグループ性能を保証せず、この現象はImageNetで事前訓練されたモデルやデータ拡張後のモデルでも継続している。 実験の結果,FlowAugはCIFAR10/100およびCIFAR10/100-C上で,他のDA法よりも一貫したサブグループ結果が得られることがわかった。
  論文  参考訳（メタデータ） (2022-12-16T18:51:10Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。