Explaining Intrusion Alert Decisions of Deep Learning-based Network Intrusion Detection Systems for Security Analysts
Cyber Security Strategic Technology Centre, ST Engineering（网络安全战略技术中心，新加坡科技工程有限公司）
本文提出EXP-SEC框架，能为安全分析师解释基于深度学习的网络入侵检测系统的入侵警报决策。该框架含取证、解释和多阶段映射模块，评估显示其在组级和重叠感知解释效用指标上优于现有框架，还展示了对分析师友好的解释格式。
2026-07-15 cs.CR
On the Veracity of Cyber Intrusion Alerts Synthesized by Generative Adversarial Networks
Rochester Institute of Technology（罗切斯特理工学院）
由于功能之间的复杂交互、警报的非同质性以及罕见但关键的样本的可能性，重建具有高度保真度的网络攻击警报数据具有挑战性。生成对抗网络（GANs）已被证明可以有效地学习复杂的数据分布，以创建越来越真实的数据。本文介绍了GANs在网络攻击警报数据中的应用，并表明GANs不仅成功地学习生成真实的警报，而且还揭示了警报中的特征依赖关系。这是通过审查地面实况和生成的数据集之间的不同警报特征组合的直方图的交集来实现的。传统的统计度量，如条件熵和联合熵，也被用来验证这些依赖关系的准确性。最后，它表明，互信息约束的网络可以用来增加低概率，关键，警报值的产生。通过将警报映射到一组攻击阶段，表明这些低概率警报的输出对于网络安全分析师具有直接的上下文意义。总的来说，这项工作为生成新的网络入侵警报提供了基础，并提供了合成警报模拟源数据集的关键依赖关系的证据。
2019-08-03 cs.CR cs.LG stat.ML
Evaluating explainable AI for deep learning-based network intrusion detection system alert classification
针对深度学习NIDS告警分类缺乏透明度的问题，本文用LSTM排序告警并比较四种XAI方法，证明DeepLIFT综合表现最佳且与分析师认知一致。
2025-06-09 cs.CR
Cyber Situation Awareness with Active Learning for Intrusion Detection
入侵检测主要集中在检测事件级别的网络攻击。由于存在如此大量的网络数据并且攻击最小，机器学习方法专注于提高准确性和减少误报，但这经常导致过拟合。此外，入侵检测警报的数量很大，并且必须审查它们的人类分析师会感到疲劳。针对事件级入侵检测和大量入侵警报的问题，提出了基于主动学习和网络态势感知的入侵检测方法。本文包括使用UNSW-NB 15数据集的两个实验的结果。第一个实验评估查询神谕的抽样方法，作为主动学习的一部分。然后使用样本训练随机森林分类器并评估其结果。第二个实验通过汇总第一个实验的检测结果并计算计算机系统是网络攻击的一部分的概率来应用网络态势感知。这项研究表明，将事件级警报的视角转移到计算机系统是攻击的一部分的概率上，可以提高检测的准确性，并减少人类分析师需要审查的警报数量。
2019-12-29 cs.CR
An Intrusion Using Malware and DDNS
本白皮书记录了美国计算机应急准备小组于2018年5月29日发布的编号为TA 18 - 149 A的技术警报的详细信息。
2019-02-25 cs.CR
Critical Path Prioritization Dashboard for Alert-driven Attack Graphs
本文为基于无监督序列机器学习生成攻击图的SAGE系统，提出一个支持查询与优先级排序的可视化分析仪表板，包含Graph Explorer、Timeline Viewer和Recommender Matrix三个组件，用户研究表明其能有效描绘攻击者策略与进展，但可用性仍需改进。
2023-10-19 cs.CR
Forecasting Attacker Actions using Alert-driven Attack Graphs
针对入侵检测系统告警疲劳及现有告警驱动攻击图仅离线运行、无法排序关键路径的问题，本文提出基于rSPDFA和期望最大化的攻击者行为预测方法，实现实时攻击图构建，显著提升预测准确率，助力SOC分析师高效处置攻击。
2024-08-19 cs.CR
ContextBuddy: AI-Enhanced Contextual Insights for Security Alert Investigation (Applied to Intrusion Detection)
本文提出 ContextBuddy，将安全告警的上下文选择建模为序列决策问题，并用模仿学习复用分析师策略；在两个入侵检测数据集和用户研究中显著提升准确率、置信度并缩短验证时间。
2025-06-11 cs.CR
An Immune Inspired Network Intrusion Detection System Utilising Correlation Context
网络入侵检测系统（NIDS）是监控网络的计算机系统，其目的是辨别网络上的恶意活动和良性活动。虽然各种各样的方法都取得了不同程度的成功，但大多数IDS依赖于访问由安全专家编写的已知攻击签名的数据库。目前，为了解决误报问题，相关算法被用来添加额外的结构到IDS警报序列。然而，这些技术在发现新的攻击或已知攻击的变体方面没有帮助，而人类免疫系统（HIS）能够在自己的专业领域中做到这一点。本文提出了一种新的免疫算法应用于入侵检测问题。目标是发现包含现有签名库所覆盖的攻击的新变化的数据包。
2009-10-16 cs.AI cs.CR cs.NE
Multi-sensor Intrusion Detection System
本文提出一种结合PIR传感器、磁簧开关和GSM模块的多传感器入侵检测系统，利用ATmega328P微控制器实时分析并电话通知业主，提升住宅和商业场所安全防护能力。
2024-05-18 cs.CR cs.SY eess.SY
From Alerts to Intelligence: A Novel LLM-Aided Framework for Host-based Intrusion Detection
本文提出了一种名为SHIELD的定制LLM管道框架，通过集成事件级MAE、DDA和多用途提示等技术解决LLM在HIDS中的token限制与噪声干扰问题，在多个数据集上性能优于5个代表性HIDS。
2025-07-15 cs.CR
Data Mining Based Technique for IDS Alerts Classification
入侵检测系统（IDS）已经成为安全系统中广泛使用的措施。这些系统结果的主要问题是这些结果上的不相关警报。我们将提出一个基于数据采掘的分类方法，以区分严重的警报和不相关的一个与99.9%的性能，这是更好的相比，最近的其他数据采掘方法，已达到97%的性能。还根据警报重要性创建了分级警报列表，以最大限度地减少人为干预。
2013-02-21 cs.CR
A Hierarchical Security Events Correlation Model for Real-time Cyber Threat Detection and Response
针对入侵检测系统告警量大、人工分析效率低且现有告警关联依赖外部第三方系统的问题，提出一种在IDS分类前进行事件关联的分层模型，融合两类关联技术优势并定制专属算法，在DARPA 99数据集上实现87%数据缩减。
2025-01-18 cs.CR cs.DC
PRISM: A Hierarchical Intrusion Detection Architecture for Large-Scale Cyber Networks
网络规模的增加和网络攻击的复杂性的提高给入侵检测带来了一些挑战。主要的挑战是需要通过处理当今网络产生的大量流量来实时检测复杂的多阶段攻击。在本文中，我们提出了PRISM，层次化的入侵检测体系结构，使用一种新的攻击者行为模型为基础的采样技术，以尽量减少实时流量处理开销。PRISM具有独特的多层体系结构，可分布式监控网络流量，以提供处理效率和设计模块化。PRISM采用基于隐马尔可夫模型的预测机制来识别多阶段攻击，并确定攻击进展以进行主动响应。此外，PRISM引入了一个流管理程序，纠正了从分布式警报报告系统收集时的警报重新排序问题。为了评估PRISM的性能，已经提出了多个度量，并在多阶段攻击数据集上进行了各种实验。结果显示，与标准的集中式IDS相比，处理开销提高了7.5倍，而没有损失预测准确性，同时证明了快速预测不同攻击阶段的能力。
2022-11-20 cs.CR
A Case for Network-wide Orchestration of Host-based Intrusion Detection and Response
本文提出一种中央编排器统一管理各主机IDS的网络范围防御方案，通过远程编程与实时告警收集实现协同响应，原型实验证明其能有效抵御真实攻击。
2025-04-08 cs.CR cs.NI
Predicting Tail-Risk Escalation in IDS Alert Time Series
University of North Carolina at Charlotte（北卡罗来纳大学夏洛特分校）
本研究利用金融建模方法预测IDS警报中的尾部风险升级，通过时间模式分析提高攻击检测的准确性与预警能力。
2026-01-16 cs.CR
Cyberattack Action-Intent-Framework for Mapping Intrusion Observables
具有讽刺意味的是，网络对手使用的技术和战术正变得越来越复杂，因为防御越来越强大，违规成本不断上升。了解对手的思维过程和行为是非常具有挑战性的，因为高调的甚至业余的攻击者都没有动机分享与他们的非法活动相关的交易。观察对手执行的操作的一个机会是通过使用入侵检测系统（IDS），该系统在检测到可疑行为的情况下生成警报。这些系统发出的警报通常通过攻击“签名”的形式描述可疑操作，但不一定揭示攻击者执行操作的真实意图。同时，存在几个高级框架来描述对手可能执行的动作类型的序列或链。然而，这些框架并没有将动作类型与标准入侵检测系统的可观测值联系起来，也没有描述对抗性动作的合理意图。为了解决这些差距，这项工作提出了攻击意图框架（AIF），以补充现有的网络攻击杀死链和攻击分类。AIF在两个描述级别上定义了一组攻击意图状态（AIS）：宏AIS描述了攻击者试图实现的“什么”，而微AIS描述了预期目标“如何”实现。一个完整的描述，这两个宏提供了一套指导原则，如何AIS是派生和添加到框架。
2020-02-21 cs.CR
Passive Hybrid Network-Based Intrusion Detection System (Hybrid-NIDS) Combining Suricata and Random Forest
Ho Chi Minh City College of Transport（胡志明市交通学院）；Academy of Cryptography Techniques, Ho Chi Minh City Campus（密码技术学院胡志明市校区）；Faculty of Computer Science and Engineering, Ho Chi Minh City University of Technology (HCMUT)（胡志明市理工大学计算机科学与工程系）；Vietnam National University Ho Chi Minh City（越南国家大学胡志明市分校）
本文评估了结合Suricata与随机森林的被动混合入侵检测系统原型，发现其在公共基准上表现优异，但在实际部署中因领域偏移导致检测性能大幅下降，表明基准性能不能直接转化为操作有效性。
2026-09-22 cs.CR
Integrating Innate and Adaptive Immunity for Intrusion Detection
网络入侵检测系统（NDIS）监控网络，目的是区分网络上的恶意活动和良性活动。虽然各种各样的方法都取得了不同程度的成功，但大多数IDS都依赖于访问由安全专家编写的已知攻击签名的数据库。目前，为了解决入侵检测系统的误报问题，相关算法被用来增加额外的结构到IDS警报序列。然而，这些技术在发现新的攻击或已知攻击的变体方面没有帮助，而人类免疫系统（HIS）能够在自己的专业领域中做到这一点。本文提出了一种新的免疫算法应用于入侵检测问题。目标是发现包含现有签名库所覆盖的攻击的新变化的数据包。
2010-03-05 cs.AI cs.CR cs.NE
Feature Attribution in 5G Intrusion Detection: A Statistical vs. Logic-Based Comparison
Department of Computer and Information Science, Linköping University（林雪平大学计算机与信息科学系）
本文比较了统计与逻辑方法在5G入侵检测中的特征归因效果，通过分析XGBoost模型生成的警报，评估了SHAP和VoTE-XAI两种方法在稀疏性、稳定性及效率上的表现，发现逻辑方法更优。
2026-03-17 cs.CR cs.LG
Rule Generalisation in Intrusion Detection Systems using Snort
入侵检测系统（IDS）为计算机系统和网络提供了重要的安全层，并且随着对因特网服务的依赖的增加以及具有敏感数据的系统更普遍地对因特网访问开放而变得越来越必要。IDS的职责是检测可疑或不可接受的系统和网络活动，并向系统管理员发出警报。大多数id使用一组签名来定义什么是可疑流量，而Snort是一种流行且正在积极开发的开源id，它使用这样一组称为Snort规则的签名。我们的目标是确定一种方法，可以通过概括规则来识别新的攻击，从而进一步开发Snort。特别是，我们试图放松和改变当前Snort规则的条件和参数，使用与经典规则学习算子（如泛化和专业化）类似的方法。我们通过标准数据集的实验证明了我们方法的有效性，并表明我们能够检测到各种攻击的先前未删除的变体。最后，我们讨论了一般的有效性和适当的概括在Snort的IDS规则处理。
2008-05-16 cs.CR cs.NE
MAAC: Novel Alert Correlation Method To Detect Multi-step Attack
随着攻击方法的不断改进，出现了越来越多的分布式、复杂的、有针对性的攻击，攻击者采用组合攻击方法来达到攻击目的。高级网络攻击包括多个阶段，以实现最终目标。传统的入侵检测系统，如端点安全管理工具、防火墙和其他监控工具，在攻击过程中会生成大量警报。这些警报包括攻击线索，以及许多与攻击无关的误报。安全分析师需要分析大量的警报，从中找到有用的线索，并重构攻击场景。然而，大多数传统的安全监控工具无法将来自不同来源的警报关联起来，因此许多多步骤攻击仍然完全没有被注意到，需要安全分析师进行手动分析，就像大海捞针一样。我们提出了MAAC，一个多步攻击警报关联系统，它减少了重复警报，并结合基于警报语义和攻击阶段的多步攻击路径。对真实数据集的评估结果表明，MAAC能够有效地减少90%的警报，并从大量警报中发现攻击路径.
2021-10-25 cs.CR
Automated False Positive Filtering for esNetwork Alerts
入侵检测系统（IDS）是一种能够自动分析网络流量并检测可疑活动的安全工具。它们被广泛地实施为各种商业网络中的安全保障工具。然而，高误报率为安全分析师筛选大量不必要的警报。esNetwork是eSentire Inc.的IDS产品。该项目的重点是在随机森林（RF）分类器的帮助下减少esNetwork生成的误报警报。建立RF模型，将警报分类为高和低，仅将高可能性警报传递给分析员。作为评估实验的结果，该模型可以达到97%的训练验证的准确性，88%的测试与最近的数据，和58%的安全运营中心（SOC）审查的事件。由于缺乏明确标记的训练数据和SOC审查的事件进行评估，该模型的评估结果是中间的。该模型仍然需要时间进行微调，以满足行业部署要求。
2022-08-26 cs.CR
Alert Correlation Algorithms: A Survey and Taxonomy
警报关联是一种系统，它接收来自异构入侵检测系统的警报，并减少误报，检测高级别的攻击模式，增加发生的事件的意义，预测未来的攻击状态，并检测攻击的根本原因。为了达到这些目标，世界上已经引入了许多算法，这些算法有许多优点和缺点。在本文中，我们试图提出一个全面的调查已经提出的警报相关算法。本文的研究方法主要集中在能够应用于企业和实际网络的关联引擎算法上。考虑到这一目标，引入了许多与准确性，功能性和计算能力相关的功能，并使用这些功能评估所有算法类别。调查结果表明，每一类算法都有自己的优势，一个理想的关联框架应该承载每一类算法的优势特征。
2018-11-02 cs.CR
Enhancing Anomaly-Based Intrusion Detection Systems with Process Mining
DIETI University of Naples Federico II（DIETI那不勒斯费德里科二世大学）
本文提出利用流程挖掘技术提升基于异常的入侵检测系统，通过提供基于流程的警报严重性评分和解释，优先处理关键警报并保持网络行为可见性，同时减少干扰。
2026-04-20 cs.CR cs.LG cs.NI
An Effective Attack Scenario Construction Model based on Attack Steps and Stages Identification
网络入侵检测系统（NIDS）是一种检测入侵者攻击的网络安全技术。然而，它产生了大量的低级别警报，这使得分析困难，特别是构建攻击场景。通过警报关联（AC）构建攻击场景（ASC）对于揭示攻击策略的步骤和阶段非常重要，这些步骤和阶段需要启动以使攻击成功。在大多数现有的作品，警报相关的分类的基础上的因果关系的警报。然而，这些作品的缺点是由于原始警报的渗透而导致的错误和不完整的相关性的识别。为了解决这个问题，这项工作提出了一个有效的ASC模型来发现警报之间的完整关系。该模型使用DARPA 2000和ISCX 2012两种数据集进行了成功的实验。该模型的完整性和可靠性的测量，以评估整体的相关性的有效性。
2021-10-16 cs.CR
Ruling the Unruly: Designing Effective, Low-Noise Network Intrusion Detection Rules for Security Operations Centers
该研究通过分析商业SOC的在用规则、结合设计师访谈总结出六项NIDS规则设计原则，验证其可在维持检测覆盖的同时降低分析师不必要工作量，为SOC优化入侵检测规则提供指导。
2025-01-16 cs.CR cs.NI
Hybrid Model For Intrusion Detection Systems
University of Manitoba（曼尼托巴大学）
随着越来越多的新攻击不断增长的网络流量，它是越来越具有挑战性的立即警告任何恶意活动，以避免敏感数据和金钱的损失。这使得入侵检测成为网络安全的主要关注领域之一。基于异常的网络入侵检测技术是最常用的技术之一。根据用于测试这些技术的数据集的不同，准确性也会有所不同。大多数时候，这个数据集并不代表真实的网络流量。考虑到这一点，该项目涉及分析入侵检测系统中使用的不同机器学习算法，并在两个类似于当前现实世界网络流量的数据集（CICIDS 2017）和KDD 99的改进（NSL-KDD）上进行测试。在分析了不同入侵检测系统在两个数据集上的表现后，本项目旨在开发一种新的混合入侵检测系统模型。这种新的混合方法结合了决策树和随机森林算法，使用堆叠方案，实现了NSL-KDD数据集的准确率为85.2%，精确度为86.2%，CICIDS 2017数据集的准确率为98%，精确度为98%。
2020-03-19 cs.CR cs.LG
Introducing a New Alert Data Set for Multi-Step Attack Analysis
针对现有IDS告警数据集过时、不可靠且难以复现的问题，本文发布了一个包含三个IDS、八次多步攻击执行和正常行为模拟的新告警数据集，并通过告警优先级排序、元告警生成和攻击图提取实验验证其价值。
2023-08-24 cs.CR
METANOIA: A Lifelong Intrusion Detection and Investigation System for Mitigating Concept Drift
针对概念漂移导致的高误报问题，METANOIA通过增量学习提出新的检测框架，通过伪边连接、可疑状态转移、路径级节点过滤和小图构建，提升检测精度，实现30%、54%和29%的性能提升。
2026-03-17 cs.CR
Evaluating the Utility of Anonymized Network Traces for Intrusion Detection
匿名化是删除或隐藏日志中的敏感信息的过程。匿名化允许组织共享网络日志，同时不暴露敏感信息。然而，在日志中揭示的信息量和日志对客户机的有用性（日志的效用）之间存在固有的权衡。有许多匿名化技术，并且有许多方法可以匿名化特定日志（即匿名化哪些字段以及如何匿名）。不同的匿名化策略将导致日志具有不同的分析效用级别。在本文中，我们探讨了不同的匿名化策略对日志的影响。我们提供了不同的匿名化政策的影响，通过查看入侵检测系统生成的警报数量的实证分析。这是第一个彻底评估单字段匿名化策略对数据集影响的工作。我们的主要贡献是确定一组字段，有很大的影响效用的日志。
2008-06-27 cs.CR
AlertBERT: A noise-robust alert grouping framework for simultaneous cyber attacks
AIT Austrian Institute of Technology（奥地利技术研究所）
AlertBERT通过自监督框架和密度聚类，在噪声环境中有效分组同时发生的网络攻击警报，提升安全分析效率与准确性。
2026-02-06 cs.CR cs.LG
CAM-LDS: Cyber Attack Manifestations for Automatic Interpretation of System Logs and Security Alerts
Austrian Institute of Technology（奥地利技术研究院）
CAM-LDS通过提供涵盖多种攻击技术的日志数据集，推动基于大语言模型的系统日志和安全警报自动解释技术的发展。
2026-03-04 cs.AI cs.CR
Poster Abstract: Towards Scalable and Trustworthy Decentralized Collaborative Intrusion Detection System for IoT
入侵检测系统（IDS）的目的是通过部署一个检测器来连续监视网络流量，从而警告用户即将到来的攻击。为了提高入侵检测系统的检测能力，通常由一组独立的入侵检测器协同工作来构建整体网络表征的智能，这就是协同入侵检测系统（Collaborative Intrusion Detection System，CIDS）。然而，开发一个有效的CIDS，特别是针对物联网生态系统，提出了几个挑战。区块链技术的最新趋势和进展，提供了分布式信任和安全不可变存储的保证，可能有助于设计有效的CIDS。在这张海报摘要中，我们介绍了我们正在进行的基于区块链技术的物联网分散式CIDS的工作。我们提出了一个架构，提供负责任的信任建立，促进激励和惩罚，并通过交换布隆过滤器可扩展的入侵信息存储。我们目前正在本地测试平台上实施模块化架构的概念验证，并评估其在检测物联网网络中常见攻击和相关开销方面的有效性。
2020-02-18 cs.CR cs.DC
Using Rough Set and Support Vector Machine for Network Intrusion Detection
Chaoyang University of Technology（朝阳科技大学）
入侵检测系统（IDS）的主要功能是保护系统安全，分析和预测用户的行为。那么这些行为将被视为攻击或正常行为。虽然入侵检测系统已经发展了很多年，但是大量的返回警报消息使得管理人员对系统的维护效率很低。本文将粗糙集理论（Rough Set Theory）和支持向量机（支持向量机）相结合来检测入侵。首先，使用数据预处理器对数据进行预处理和降维。然后，将SVM选取的特征分别送入SVM模型进行学习和测试。该方法有效地降低了数据的空间密度。通过实验比较了不同方法的识别结果，结果表明，SVM和SVM模式可以有效地提高误检率和准确率。
2010-04-05 cs.CR cs.LG cs.NI
Real-Time Alert Correlation with Type Graphs
School of Computer Science, University of Nottingham（诺丁汉大学计算机科学学院）
自动警报关联的前提是接受来自低级别入侵检测系统的错误警报是不可避免的，并使用攻击模型以可理解的方式解释输出。为此目的存在几种算法，它们使用攻击图来模拟攻击可以组合的方式。这些算法可以分为两大类，即基于脆弱性评估和依赖于攻击类型之间关系的抽象模型的类型图方法，创建攻击模型的神经网络图方法。一些研究在提高效率的类型图的相关性已经进行，但这些研究都忽略了假设丢失的警报。我们的工作是提出一种新的类型图算法，它统一的相关性和假设在一个单一的操作。我们的实验结果表明，该方法是非常有效的，在面对密集的警报，并产生紧凑的输出图相比，其他技术。
2010-04-23 cs.AI cs.CR
Machine learning on knowledge graphs for context-aware security monitoring
Siemens Technology（西门子技术）
针对现有入侵检测方法告警数量多、相关性不足的问题，研究了知识图谱机器学习在入侵检测中的应用，评估了一种链接预测方法，证实其可生成校准良好且可解释的告警，展现了关系机器学习的应用潜力。
2021-05-18 cs.AI cs.CR cs.LG
On the Effect of Ruleset Tuning and Data Imbalance on Explainable Network Security Alert Classifications: a Case-Study on DeepCASE
Eindhoven University of Technology（埃因霍温理工大学）
本文以DeepCASE为例，研究标签不平衡对网络入侵告警分类性能及解释正确性的影响，发现调优SOC检测规则可显著减少不平衡，从而提升告警后处理方法的性能与可解释性。
2025-07-02 cs.CR cs.LG cs.NI
Preventing Coordinated Attacks Via Distributed Alert Exchange
对信息系统的攻击和随后的入侵可能会造成巨大的收入损失。仅仅考虑来自网络孤立来源的信息并不总是能够预防这两种情况。要识别这种攻击的不同行动并作出反应，就必须对整个系统有一个全局的看法。通过发布/订阅中间件实现的松耦合，可以使分散式系统的设计和部署受益，该分散式系统的目标是检测和响应信息系统攻击。在本文中，我们提出了使用这种通信模式的一般分散的攻击预防框架的优点和方便。此外，我们提出了我们的方法的设计和实现现有的发布/订阅中间件的基础上，并评估我们的方法为GNU/Linux系统。
2008-02-26 cs.CR cs.NI
RANK: AI-assisted End-to-End Architecture for Detecting Persistent Attacks in Enterprise Networks
Arctic Wolf Networks（北极狼网络公司）
高级持续性威胁（APT）是一种复杂的多步骤攻击，由熟练的攻击者针对现代政府和企业网进行计划和执行。入侵检测系统（IDS）和用户和实体行为分析（UEBA）通常用于帮助安全分析人员检测APT。APT的持久性，再加上UEBA和IDS的细粒度关注，导致分析师无法承受越来越多不切实际的警报。由于数据丰富，加上问题的重要性以及所涉及的技术人员的高成本，APT检测问题成为通过人工智能（AI）实现自动化的完美候选者。在本文中，我们提供了，据我们所知，第一个研究和实现的一个端到端的AI辅助架构检测APT- RANK。该系统的目标不是取代分析师，而是自动化从数据源到最终事件集的完整管道，以供分析师审查。该体系结构由四个连续的步骤组成：1）警报模板和合并，2）警报图构造，3）警报图划分为事件，和4）事件评分和排序。我们评估我们的架构对2000年DARPA入侵检测数据集，以及从一个中等规模的企业读取世界的私人数据集。提供了大量的结果，显示了三个数量级减少的数据量由分析师，创新的提取事件和安全明智的评分提取的事件。
2021-01-06 cs.CR cs.LG
A Collaborative Intrusion Detection System Using Snort IDS Nodes
本文提出一种基于Snort节点的协作式入侵检测系统，通过中心节点集成与SIEM平台实现多节点数据共享与关联分析，提升大规模网络攻击检测准确性并降低误报，实验验证其高效性。
2025-04-23 cs.CR
A Novel Dimension Reduction Scheme for Intrusion Detection Systems in IoT Environments
物联网给计算机网络的安全解决方案带来了新的挑战。入侵检测系统（IDS）是迄今为止最有效的安全工具之一，但异构的协议和“物”产生的大量数据以及主机资源的有限性，使得现有的一些IDS方案显得力不从心。为了使入侵检测系统能够在物联网环境中工作，本文提出了一种新的分布式降维方案，解决了资源有限的挑战。设计了一种新的自动编码器，它学习生成一个潜在空间。然后，受约束的主机/探测器使用生成的权重通过单个操作降低维度。压缩后的数据被传输到中央IDS服务器以验证流量类型。该方案的目的是通过压缩数据来降低传输数据所需的带宽，并减少主机中压缩任务的开销。在三个著名的网络流量数据集（UNSW-NB 15、TON\_IoT20和NSL-KDD）上对该方案进行了评估，结果表明，该方案可以获得一个三维的潜在空间（压缩约90%），而不会显著降低IDS的检测精度.
2020-07-12 cs.CR
AegisMCP: Online Graph Intrusion Detection for Tool-Augmented LLMs on Edge Devices
AegisMCP提出协议级入侵检测方法，通过流式异构图和CPU流式检测器，在边缘设备上实现亚秒级智能体工具链攻击检测，优于基线并开源。
2025-10-25 cs.CR
EG-ConMix: An Intrusion Detection Method based on Graph Contrastive Learning
Fujian Power Co., Ltd. Electric Power Research Institute（福建电力有限公司电力科学研究院）；State Grid Fujian Electric Power Co., Ltd.（国网福建省电力有限公司）；Institute of Cyberspace Security, Zhejiang University of Technology（浙江工业大学网络空间安全研究院）；Binjiang Cyberspace Security Institute of ZJUT（浙江工业大学滨江网络空间安全研究院）
本文提出基于E-GraphSAGE的EG-ConMix入侵检测方法，结合数据增强解决数据不平衡问题并引入对比学习提取关键特征，在公开数据集上展现出优于现有方法的检测性能及大规模图训练优势。
2024-03-24 cs.CR cs.LG
AlertStar: Path-Aware Alert Prediction on Hyper-Relational Knowledge Graphs
Faculty of Computer Engineering at Shahrood University of Technology（沙赫鲁德科技大学计算机工程学院）
本文提出AlertStar，通过超关系知识图谱完成警报预测，利用路径感知和 qualifier 融合提升预测性能，实现多条件威胁推理。
2026-04-03 cs.AI cs.CR
TRIDEnT: Building Decentralized Incentives for Collaborative Security
复杂的大规模攻击，特别是利用零日漏洞时，有可能对组织和关键基础设施造成破坏性破坏。为了及时发现和遏制此类攻击，防御者之间的合作至关重要。通过关联来自多个来源的实时检测信息（警报）（协同入侵检测），防御者可以及时检测攻击并采取相应的防御措施。然而，尽管存在促进协作的技术工具，但这种协作安全机制在现实世界中的应用仍然不足。这在很大程度上是由于缺乏对公司和组织的信任和参与激励。本文提出了TRIDEnT，一种新型的协作平台，旨在使各方能够和激励各方交换网络警报数据，从而提高他们的整体检测能力。TRIDEnT允许可能存在竞争关系的各方以（近）实时对等流的形式有选择地宣传、销售和获取安全警报。为了验证TRIDEnT背后的基本原则，我们提出了一个直观的博弈论模型的警报共享，这是独立的利益，并表明，合作必然会发生无限频繁。此外，为了证明我们方法的可行性，我们使用以太坊智能合约以分散的方式实例化我们的设计，并提供一个功能齐全的原型。
2019-05-09 cs.CR
SoK: Harmonizing Attack Graphs and Intrusion Detection Systems
Delft University of Technology（代尔夫特理工大学）；Sapienza Univerisity of Rome（罗马第一大学）
本文首次系统分析了攻击图与入侵检测系统整合，揭示了现有研究多为单一用途整合，并提出了一种统一的生命周期框架以提升威胁检测和响应能力。
2026-03-09 cs.CR
CND-IDS: Continual Novelty Detection for Intrusion Detection Systems
University of California, San Diego（加利福尼亚大学圣迭戈分校）
针对数据流持续变化且攻击标签缺失的问题，本文提出 CND-IDS 框架，结合可更新特征提取器与 PCA 重构新颖性检测器，在真实数据集上显著优于无监督持续学习基线。
2025-02-19 cs.CR cs.LG
Efficient Attack Correlation and Identification of Attack Scenarios based on Network-Motifs
用于保护计算机网络的入侵检测系统（IDS）将攻击的指示器报告为警报。但是，每次攻击都可能导致大量IDS警报，需要将这些警报关联起来才能看到攻击的全貌。在本文中，我们提出了一种相关的方法，将集群的警报到一个图形结构上，我们计算的网络图案的签名来表征这些集群。攻击特征的基序表示的幅度小于原始警报数据，但仍然允许有效地将攻击彼此进行比较并与参考签名进行关联。这不仅允许识别已知的攻击场景，例如，DDoS，扫描和蠕虫攻击，而且还可以为未知场景导出新的参考签名。我们的研究结果表明，一个可靠的识别方案，即使攻击的大小不同，至少略有不同的特点。应用于现实世界的警报数据，我们的方法可以分类和分配高达96%的攻击场景的所有攻击，并可以代表他们的特征，使用1%的大小的完整警报数据。
2020-03-12 cs.CR cs.NI
Feature Reduction Method Comparison Towards Explainability and Efficiency in Cybersecurity Intrusion Detection Systems
North Carolina Agricultural and Technical State University（北卡罗来纳农业技术州立大学）
在网络安全领域，入侵检测系统（IDS）根据收集的计算机和网络数据检测和防止攻击。在最近的研究中，已经使用机器学习（ML）和深度学习（DL）方法（例如随机森林（RF）和深度神经网络（DNN））来构建IDS模型。特征选择（FS）可以用于构建更快、更可解释和更准确的模型。我们研究了三种不同的FS技术; RF信息增益（RF-IG），使用蝙蝠算法（CFS-BA）的相关特征选择，以及使用Aquila优化器（CFS-AO）的CFS。我们的研究结果表明，CFS-BA是最有效的FS方法，在55%的时间内建立最好的RF-IG模型，同时达到99.99%的准确性。这加强了先前的贡献，证明CFS-BA的准确性，同时建立在子集大小，CFS评分和最终结果中的RF-IG评分之间的关系。
2023-03-22 cs.AI cs.CR cs.LG
OMNISEC: LLM-Driven Provenance-based Intrusion Detection via Retrieval-Augmented Behavior Prompting
Zhejiang University of Technology（浙江工业大学）；Wenzhou University of Technology（温州大学）
OMNISEC将大语言模型与检索增强生成引入基于异常的溯源入侵检测，通过可疑节点、稀有路径和外部知识库识别真实攻击并重建攻击链，在公开基准上超越现有方法。
2025-07-22 cs.AI cs.CR
Visually Analyze SHAP Plots to Diagnose Misclassifications in ML-based Intrusion Detection
Tennessee Tech（田纳西理工大学）；Syracuse University（雪城大学）；Tennessee State University（田纳西州立大学）
本文提出一种基于可解释人工智能的可视化分析方法，利用重叠SHAP图识别入侵检测系统中的假阳性和假阴性，为安全分析师提供决策指导。
2024-11-04 cs.CR cs.LG
Cyber Anomaly Detection Using Graph-node Role-dynamics
Boston Fusion Corp.（波士顿融合公司）
入侵检测系统（IDS）产生了关于网络安全的有价值的知识，但是大量的假警报和缺乏方法来捕获警报之间的相互依赖性阻碍了它们在网络防御中的效用。在这里，我们探索了一种基于图形的方法，用于融合多个IDS生成的警报（例如，Snort、OSSEC和Bro）。我们的方法生成一个加权图的警报字段（而不是网络拓扑结构），使明确的多个警报，IDS系统和其他网络工件之间的连接。我们使用这种多模态图来识别网络警报模式的异常变化。为了检测异常，我们应用角色动态方法，该方法已成功识别社交媒体，电子邮件和IP通信图中的异常。在网络域中，融合的IDS警报图中的每个节点（警报字段）被分配基于该节点的特征的跨一小组角色的概率分布。网络攻击应该触发IDS警报并导致节点功能的更改，但角色不是单独跟踪每个警报字段节点的每个功能，而是提供这些功能更改的简洁，综合摘要。我们测量每个节点的概率角色分配随时间的变化，并确定异常偏离预期的角色。我们使用模拟来测试我们的方法，包括三周的正常背景流量，以及在模拟结束时发生的网络攻击。本文提出了一种新的方法，多模态数据融合和一个新的应用程序的角色动力学在网络安全领域。我们的研究结果表明，当考虑我们的异常指标，而不是IDS警报本身时，误报率大幅下降，从而减少警报疲劳，并为网络防御中的威胁情报提供了一个有前途的途径。
2019-01-16 cs.CR cs.LG stat.ML
Fast Feature Reduction in intrusion detection datasets
Ferdowsi University of Mashhad（马什哈德菲尔多西大学）；K.N Toosi University of Technology（K.N.图西理工大学）
在大多数入侵检测系统中，系统通过分析网络中发送或接收的数据包来学习不同类型攻击的特征。这些包有很多功能。但并非所有这些都需要进行分析，以检测特定类型的攻击。检测速度和计算成本是另一个至关重要的问题，因为在这些类型的问题中，数据集通常非常庞大。在本文中，我们试图提出一个非常简单和快速的特征选择方法，以消除功能，他们没有帮助的信息。从而在冗余特征的剔除过程中获得更快的学习速度。我们比较了我们提出的方法与三个最成功的基于相似性的特征选择算法，包括相关系数，最小二乘回归误差和最大信息压缩指数。之后，我们使用这些算法的推荐功能在两个流行的分类器，包括：贝叶斯和KNN分类器来衡量推荐的质量。实验结果表明，虽然该方法不能优于评价算法的精度差异很大，但在计算成本，它比他们有巨大的优势。
2013-04-01 cs.CR cs.LG
