Intrusion Detection A Text Mining Based Approach
入侵检测是组织面临的主要威胁之一。基于文本处理的入侵检测方法是近年来研究的热点之一。在基于文本挖掘的入侵检测方法中，系统调用是挖掘和预测入侵或攻击可能性的来源。当一个应用程序运行时，可能有几个系统调用在后台启动。这些系统调用构成了入侵检测的基础和决定性因素。在本文中，我们主要讨论的入侵检测方法，通过设计一个距离度量，该距离度量的设计是考虑到传统的高斯函数和修改，以适应需要的相似性函数。作为本研究的一部分，还讨论了一个入侵检测框架。
2016-03-12 cs.CR
A Hybrid Intrusion Detection with Decision Tree for Feature Selection
由于入侵检测数据集的大小和性质，入侵检测系统（IDS）通常需要很高的计算复杂性来检查数据的特征并识别入侵模式。诸如特征选择的数据预处理技术可以用于通过消除数据集中的不相关和冗余特征来降低这种复杂性。本研究的目的是分析一些特征选择方法，即基于包装器和基于过滤器的建模方法的效率和有效性。为了实现这一点，结合包装器和过滤器选择过程的混合特征选择算法的设计。提出了一种基于包装器的混合入侵检测模型，并采用决策树算法指导选择过程。在基于包装器和过滤器的特征选择方法上使用了五种机器学习算法来使用UNSW-NB 15数据集构建IDS模型。三个基于滤波器的方法，即，信息增益，增益比，和救济用于比较，以确定所提出的方法的效率和有效性。此外，公平的比较与其他国家的最先进的入侵检测方法也进行。实验结果表明，我们的方法是相当有效的，在比较国家的最先进的作品，但是，它需要高的计算时间相比，基于滤波器的方法，同时达到类似的结果。我们的工作还揭示了UNSW-NB 15数据集一致性方面未观察到的问题。
2020-09-24 cs.CR
A Novel Header Matching Algorithm for Intrusion Detection Systems
互联网不断发展的必要性增加了对带宽的需求。因此，这种需求为黑客社区开发新的方法和技术以获得对网络系统的控制打开了大门。因此，入侵检测系统（IDS）不足以防止/检测对网络的未授权访问。网络入侵检测系统（NIDS）是一个例子，仍然遭受性能下降，由于在今天的网络中的链路速度的增加。在本文中，我们提出了一种新的算法来检测入侵者，谁试图获得访问网络使用的数据包报头参数，如源/目的地地址，源/目的地端口，和协议，而不需要检查每个数据包的内容寻找签名/模式。然而，“分组报头匹配”算法提高了输入分组报头与规则集之间的匹配过程的总体速度。我们运行所提出的算法来证明所提出的概念，在应对流量到达速度和各种带宽需求。所取得的结果显着提高了检测速度方面的整体性能。
2011-08-05 cs.CR
Intelligent Detection System framework using Mobile agents
基于移动代理的入侵检测系统框架是一种分层的框架机制，旨在支持异构网络环境，以最佳方式识别入侵者。传统的计算机误用检测技术可以有效地识别已知的攻击，但在其他情况下表现得很差。异常检测具有检测未知攻击的潜力;然而，这是一项非常具有挑战性的任务，因为其目的是在没有任何关于特定入侵的先验知识的情况下检测未知攻击。这项技术仍处于早期阶段。本文的目标是该系统可以检测到异常的用户活动。现有的研究在这一领域集中在用户活动或程序操作，但不是同时在这两个。在本文中，试图同时看两个。基于一个入侵检测框架[1]，实现了一个新的用户异常检测系统，并通过分析用户活动和程序运行活动，在模拟环境中进行了多个入侵检测实验。建议的框架是一个分层的框架，这是为了满足IDS的核心目的，并允许检测入侵尽可能快地与可用的数据使用移动代理。该框架的主要目的是提供安全的网络使用移动代理机制，增加移动功能，以监视来自不同的计算系统的用户进程。实验结果表明，该系统能够有效地检测用户的异常行为。
2010-04-05 cs.CR cs.NI
Towards Privacy-Preserving Anomaly-Based Intrusion Detection in Energy Communities
本文提出一种基于深度自编码器的异常入侵检测系统，用于增强能源社区安全性，并通过联邦学习实现隐私保护的分布式检测。
2025-02-26 cs.CR
Hierarchical Online Intrusion Detection for SCADA Networks
提出了一种新的基于机器学习算法的监控和数据采集（SCADA）网络分层在线入侵检测系统（HOIDS）。通过利用服务器-客户端拓扑结构，同时保持客户端分布以进行全局保护，以最小的网络影响实现了高检测率。我们使用Broyden-Fletcher-Goldfarb-Shanno方法，基于逻辑回归和拟牛顿优化算法实现了正常-异常二进制检测和多攻击识别的精确模型。该检测系统能够通过基于信息增益的特征选择或基于主成分分析的降维来加速检测。通过使用KDD 99数据集和工业控制系统数据集对我们的系统进行评估，我们证明了HOIDS对于保护SCADA基础设施具有高度的可扩展性，高效性和成本效益。
2016-11-28 cs.CR
Intrusion Detection System for Applications using Linux Containers
Linux容器在个人和工业应用中的吸引力越来越大，随着这些容器集成到关键任务系统中，实时检测恶意网络攻击成为关键的操作要求。本文介绍了一种实时的基于主机的入侵检测系统，可用于被动检测不法行为对Linux容器内的应用程序运行在一个独立的或在云多租户环境。所演示的入侵检测系统使用从主机内核监视的系统调用包来学习在Linux容器内运行的应用程序的行为并确定异常容器行为。使用数据库应用程序的方法的性能进行了测量和结果进行了讨论。
2016-11-09 cs.CR
An Explainable Ensemble-based Intrusion Detection System for Software-Defined Vehicle Ad-hoc Networks
本研究提出一种基于集成的入侵检测模型，结合 Random Forest、CatBoost 和 Logistic Regression 进行分层决策，并利用 SHAP 提供可解释性，在 VeReMi 数据集上提升了车辆自组织网络威胁检测的准确率并减少了误分类。
2024-10-11 cs.CR
On Blockchain Architectures for Trust-Based Collaborative Intrusion Detection
本文考虑使用新的技术来减轻攻击，旨在损害入侵检测系统（IDS）。基于协作入侵检测网络（CIDNs）的解决方案可以提高抵御此类攻击的能力，因为它们允许IDS节点通过共享信息来相互获取知识。然而，尽管在这一领域进行了大量的研究，但信任管理问题仍然构成了重大挑战，最近的工作调查了这些问题是否可以通过依赖区块链和相关的分布式账本技术来解决。朝着这个方向，该论文提出在CIDN中使用基于信任的区块链，称为信任链，以保护CIDN同行之间共享的信息的完整性，增强其问责制，并通过阻止内部攻击来保护其协作。提出了一种CIDNs的共识协议，它是权益证明和工作量证明协议的组合，使协作IDS节点能够维护可靠的和防篡改的信任链。
2021-09-08 cs.CR
A Novel Overlay IDS For Wireless Sensor Networks
无线传感器网络（Wireless Sensor Network，WSN）是由低成本的传感器节点组成的，这些节点无法在其中实现复杂的安全系统，这也是WSN入侵检测体系结构差异较大且难以实现的原因。目前的大多数实现是基于在叶级传感器之间交换异常信号，导致太多的功耗。提出了一种基于层次覆盖设计的无线传感器网络入侵检测系统（IDS）的体系结构，将入侵检测的整体责任分配到各个实体中，从而节省节点的内存和功耗。该体系结构采用分层设计，基于专门的监测节点，采用GSM蜂窝式结构。HOD结构使传感器能够使用更少的消息进行通信，从而节省宝贵的功率，并且还通过不在每个传感器上实现IDS模块来节省内存。该建议还使用通过层的警报的涟漪，从而确保适当的传递到最上层的冗余。
2012-08-18 cs.CR
Burstiness of Intrusion Detection Process: Empirical Evidence and a Modeling Approach
我们分析了几个大型的，非住宅组织的网络上观察到的入侵检测记录集的入侵检测和预防服务的形式保护。我们的分析表明，在这些网络中的入侵检测过程表现出显着程度的突发性，以及强大的记忆，突发性和记忆特性，是由阈值效应驱动的自然过程相媲美，但从突发人类活动不同。我们探索这些可观察到的网络安全事件的时间序列模型的基础上，部分观察到的数据，使用隐马尔可夫模型与限制的隐藏状态，我们适合使用马尔可夫链蒙特卡罗技术。我们检查的输出拟合模型的统计特性，并证明该模型充分占内在的“爆裂”内观察到的网络事件之间的交替两个或多个随机过程的结果。虽然我们的分析并不直接导致新的检测能力，获得更好地了解所观察到的突发性的实际意义是显着的，包括量化网络的风险和防御工作的机会。
2017-07-12 cs.CR
A Novel Byte-Level Flow-to-Image Encoding Method for Network Intrusion Detection Systems
Institute for Digital Technologies（数字技术研究所）；Loughborough University（拉夫堡大学）
本文提出一种将网络流记录转换为固定大小RGB图像的编码方法，通过将连续特征序列化并打包成倒L形轨迹，以及离散特征映射到字节值，从而提升卷积架构对特征间空间相关性的利用，实验表明该方法在多个数据集上提升了入侵检测的准确率。
2026-05-06 cs.CR
A Distributed Sequential Algorithm for Collaborative Intrusion Detection Networks
与基于主机的入侵检测系统（IDS）相比，协作入侵检测网络通常用于获得更好的检测精度和成本效率。通过合作，本地IDS可以检测到其他有经验的熟人可能知道的新攻击。本文提出了一种序贯假设检验方法，用于网络中各个入侵检测系统的反馈聚合。我们的模拟结果证实了我们的理论结果，并证明了性能的成本效率和准确性相比，其他探试法。分析结果的平均熟人咨询数的下限是必要的设计和配置的IDS在协作环境中。
2010-02-17 cs.CR cs.NI
Lightweight CNN-Based Wi-Fi Intrusion Detection Using 2D Traffic Representations
针对Wi-Fi网络漏洞，提出基于轻量级CNN的NIDS，通过将流量转换为二维表示进行训练，在AWID3数据集上实现低延迟的高性能入侵检测。
2025-10-13 cs.CR
Deep Learning for Contextualized NetFlow-Based Network Intrusion Detection: Methods, Data, Evaluation and Deployment
Hassan II University（哈桑二世大学）
本文提出基于上下文的深度学习方法，用于改进网络入侵检测，强调评估和部署的现实性，探讨上下文对检测效果的影响。
2026-03-03 cs.CR
An Intelligent Mechanism for Monitoring and Detecting Intrusions in IoT Devices
University of Coimbra（科英布拉大学）；Instituto Pedro Nunes（佩德罗·努内斯研究所）
本研究提出一种基于主机的入侵检测系统，结合联邦学习与多层感知机神经网络，以高准确率检测IoT设备网络攻击并增强数据隐私保护。
2023-06-23 cs.AI cs.CR cs.DC
Rethinking IoT Intrusion Detection: Augmenting Routing Metrics with Radio Features
Uppsala University（乌普萨拉大学）
针对RPL物联网网络，提出在LSTM入侵检测系统中结合收发无线电特征与标准RPL特征，在三种攻击下F1分数提升高达4%。
2026-06-05 cs.CR cs.NI
Digital Twin-based Intrusion Detection for Industrial Control Systems
KTH Royal Institute of Technology（瑞典皇家理工学院）；RISE Research Institute of Sweden（瑞典RISE研究院）
数字孪生最近在工业控制系统（ICS）的仿真、优化和预测性维护方面获得了极大的兴趣。最近的研究讨论了在工业系统中使用数字孪生进行入侵检测的可能性。因此，这项研究有助于数字孪生为基础的安全框架的工业控制系统，扩展其能力的模拟攻击和防御机制。在工业灌装厂的独立开源数字孪生上实现了四种类型的过程感知攻击场景：命令注入、网络拒绝服务（DoS）、计算测量修改和朴素测量修改。在对8种有监督机器学习算法离线评价的基础上，提出了一种基于层叠集成分类器的实时入侵检测方法。通过结合各种算法的预测，所设计的堆叠模型在F1分数和准确性方面优于以前的方法，同时它可以近实时（0.1秒）检测和分类入侵。本研究亦讨论了所提出的基于数字孪生的安全框架的实用性和好处。
2022-07-20 cs.CR cs.LG
STATGRAPH: Effective In-vehicle Intrusion Detection via Multi-view Statistical Graph Learning
School of Computer Science and Technology, Harbin Institute of Technology（计算机科学与技术学院，哈尔滨工业大学）；School of Electronic and Information Engineering, Beijing Jiaotong University（电子与信息工程学院，北京交通大学）
STATGRAPH通过多视图统计图学习实现车载网络入侵检测，提升检测精度与细粒度识别能力。
2025-03-25 cs.AI cs.CR cs.NI
Mining Techniques in Network Security to Enhance Intrusion Detection Systems
University of Applied Sciences, Fulda（富尔达应用科学大学）
在入侵检测系统中，分类器仍然存在一些缺点，如数据的维数和优势，不同的网络特征类型，以及数据对分类的影响。在本文中，提出了两个显着的增强，以解决这些缺点。第一个增强是使用顺序向后搜索和信息增益的改进的特征选择。这反过来又提取了有价值的特征，这些特征积极地提高了检测率并降低了误报率。第二个改进是利用离散随机变量和概率质量函数将标称网络特征转换为数值特征，以解决不同特征类型的问题，数据优势问题以及数据对分类的影响。后者被结合到已知的归一化方法，以实现一个显着的混合归一化方法。最后，一个密集的比较研究证实了这些增强的效率，并显示出更好的性能相比，其他提出的方法。
2012-12-11 cs.CR cs.LG
Hybrid Topological Data Analysis and LSTM Networks for Enhanced Network Intrusion Detection Using CIC-IDS2017 Dataset
Birla Institute of Technology, Mesra（梅萨拉比尔拉理工学院）
提出结合拓扑数据分析（TDA）与LSTM网络的混合方法，利用CIC-IDS2017数据集实现网络入侵检测，AUC和F1分数均达1.000。
2026-07-01 cs.CR math.DS
Wireless Intrusion Detection Systems(WIDS)
无线网络和移动计算应用的迅速普及改变了网络安全的格局，无线网络改变了企业、组织的工作方式，并提供了一系列新的可能性和灵活性;很明显，无线解决方案正在改变我们的工作和生活方式。员工能够通过移动设备与他们的电子邮件、日历和雇主保持联系，但另一方面，他们引入了新的安全威胁。虽然攻击者需要物理访问有线网络才能访问网络并实现其目标，但无线网络允许其范围内的任何人被动监视流量甚至开始攻击，可以使用的对策之一是入侵检测系统，以便让我们了解影响无线网络的威胁和系统漏洞，从而防止对于那些攻击者来说，IDS的主要目的是管理系统及其操作，并依赖于它的职责。
2013-02-27 cs.CR cs.NI
Meta-Quantum Ensemble Framework for Robust Network Intrusion Detection
Birla Institute of Technology and Science, Pilani, Dubai Campus（比拉理工理工学院迪拜校区）；New York University Abu Dhabi (NYUAD)（纽约大学阿布扎比分校）；NYUAD Research Institute（纽约大学阿布扎比分校研究院）
提出系统级元量子集成框架，融合量子支持向量机和量子神经网络的输出，通过随机森林元学习器提高入侵检测的稳定性和性能。
2026-05-26 cs.CR quant-ph
METANOIA: A Lifelong Intrusion Detection and Investigation System for Mitigating Concept Drift
针对概念漂移导致的高误报问题，METANOIA通过增量学习提出新的检测框架，通过伪边连接、可疑状态转移、路径级节点过滤和小图构建，提升检测精度，实现30%、54%和29%的性能提升。
2026-03-17 cs.CR
Entente: Cross-silo Intrusion Detection on Network Log Graphs with Federated Learning
针对跨组织网络入侵检测的隐私数据限制，本文提出基于联邦学习的系统 Entente，通过参考图合成、图素描和自适应贡献缩放解决图异构性等问题，在大规模数据集上优于现有基线并展现出强抗投毒攻击的鲁棒性。
2025-09-13 cs.CR
Beyond Model Scaling: Rethinking Sequence Construction for Transformer-based Network Intrusion Detection
Macquarie University（麦考瑞大学）
该研究针对基于Transformer的网络入侵检测，提出会话一致性时间化方法，发现时间化是性能主导因素，会话一致性时间化可大幅提升Macro-F1，更大Transformer无精度增益，关键是保留通信会话语义。
2026-10-14 cs.CR cs.NI
Federated Learning for Intrusion Detection System: Concepts, Challenges and Future Directions
Vellore Institute of Technology（韦洛尔理工学院）；University of Nantes（南特大学）
互联网和智能设备的快速发展引发了网络流量的激增，使得其基础设施更加复杂和异构。移动电话、可穿戴设备和自动驾驶汽车的主要使用是分布式网络的例子，这些网络每天都会产生大量的数据。这些设备的计算能力也在稳步发展，这就需要传输信息，在本地存储数据，并将网络计算推向边缘设备。入侵检测系统在确保这些设备的安全和隐私方面发挥着重要作用。机器学习和深度学习与入侵检测系统由于其高分类精度的实现而获得了巨大的发展势头。然而，由于需要将数据存储和传输到集中式服务器，隐私和安全方面可能会受到危害。相反，联邦学习（FL）适合作为一种隐私保护的分散式学习技术，它不传输数据，而是在本地训练模型，并将参数传输到集中式服务器。本文的目的是提出一个广泛的和详尽的审查使用FL在入侵检测系统。为了建立对FL的需求，讨论了各种类型的IDS，相关的ML方法及其相关问题。本文详细介绍了FL在异常检测的各个方面的实现。此外，还确定了FL实施的相关挑战，这为未来研究方向的范围提供了思路。本文最后提出了合理的解决方案与确定的挑战，在FL为基础的入侵检测系统的实施作为一个基线的前瞻性研究。
2021-06-16 cs.CR cs.LG
Feature Reduction Method Comparison Towards Explainability and Efficiency in Cybersecurity Intrusion Detection Systems
North Carolina Agricultural and Technical State University（北卡罗来纳农业技术州立大学）
在网络安全领域，入侵检测系统（IDS）根据收集的计算机和网络数据检测和防止攻击。在最近的研究中，已经使用机器学习（ML）和深度学习（DL）方法（例如随机森林（RF）和深度神经网络（DNN））来构建IDS模型。特征选择（FS）可以用于构建更快、更可解释和更准确的模型。我们研究了三种不同的FS技术; RF信息增益（RF-IG），使用蝙蝠算法（CFS-BA）的相关特征选择，以及使用Aquila优化器（CFS-AO）的CFS。我们的研究结果表明，CFS-BA是最有效的FS方法，在55%的时间内建立最好的RF-IG模型，同时达到99.99%的准确性。这加强了先前的贡献，证明CFS-BA的准确性，同时建立在子集大小，CFS评分和最终结果中的RF-IG评分之间的关系。
2023-03-22 cs.AI cs.CR cs.LG
Decentralized Online Federated G-Network Learning for Lightweight Intrusion Detection
Polish Academy of Sciences（波兰科学院）；University of Stuttgart（斯图加特大学）；CNRS（法国国家科学研究中心）；Yaşar University（亚萨尔大学）
本文提出基于G网络模型的去中心化在线联邦学习入侵检测架构DOF-ID，在保护各组件数据隐私的同时实现跨组件协作学习，并在Kitsune和Bot-IoT数据集上验证其显著提升检测性能。
2023-11-28 cs.CR cs.LG cs.NI
Enhancing Autonomous Online Intrusion Detection for IoT with Balanced Learning, Reliable Pseudo-Labels, and Lightweight Architectures
School of Electrical Engineering and Computer Science (SEECS)（电气工程与计算机科学学院）；National University of Sciences and Technology (NUST)（国立科学与技术大学）
针对AOC-IDS在类不平衡、伪标签不可靠、泛化性差和计算开销大等四方面缺陷，提出XGBoost-BalSamp、PseudoFilter、MixupAug和LiteAE等改进方法，在UNSW-NB15上准确率提升至95.45%，参数减少55%。
2026-05-24 cs.AI cs.CR cs.LG
Clustering-Enhanced Domain Adaptation for Cross-Domain Intrusion Detection in Industrial Control Systems
University of Malaya（马来亚大学）
本文提出一种增强聚类的领域适应方法，用于工业控制系统跨领域入侵检测，通过特征迁移学习和聚类增强策略提升检测准确性与稳定性。
2026-04-14 cs.AI cs.CR cs.LG
ExAI5G: A Logic-Based Explainable AI Framework for Intrusion Detection in 5G Networks
organization= Faculty of Information Technology；Electrical Engineering, University of Oulu , addressline= , city= Oulu , postcode= 90570 , state= , country= Finland
本文提出ExAI5G框架，结合Transformer深度学习与逻辑可解释AI技术，实现高精度且透明的入侵检测，通过逻辑规则提取和解释评估方法，达到99.9%准确率和0.854宏F1分数，展示出模型推理的透明性。
2026-04-20 cs.AI cs.CR cs.LG
Behavioral Residualization for Unsupervised Intrusion Detection in Automotive CAN Networks
针对汽车CAN网络现有入侵检测方法在攻击者复用合法仲裁ID时失效的问题，提出每ID行为残差化表示，经多检测器和数据集验证，可有效提升无监督入侵检测性能，但存在新颖ID泛洪和跨ID模糊测试的局限性。
2026-11-04 cs.CR cs.LG
Efficient Network Traffic Feature Sets for IoT Intrusion Detection
Research Group on Intelligent Engineering and Computing for Advanced Innovation and Development (GECAD), School of Engineering, Polytechnic of Porto (ISEP/IPP)（波尔图理工学院工程学院智能工程与先进创新计算研究组）
本文组合多种特征选择方法，在多个 IoT 网络数据集上筛选高效流量特征，以在保持分类泛化性能的同时降低 ML 模型训练开销。
2024-06-12 cs.CR cs.LG cs.NI
Feature Analysis for Machine Learning-based IoT Intrusion Detection
The University of Queensland（昆士兰大学）
物联网（IoT）网络已成为越来越有吸引力的网络攻击目标。强大的机器学习（ML）模型最近被用于实现网络入侵检测系统以保护物联网网络。为了成功训练这种ML模型，选择正确的数据特征至关重要，从而最大限度地提高检测精度和计算效率。本文综合分析了特征集在网络攻击检测中的重要性和预测能力。三个特征选择算法：卡方，信息增益和相关性，已被用来识别和排名数据的功能。将属性馈送到两个ML分类器：深度前馈和随机森林，以测量它们的攻击检测性能。实验评估考虑了三个数据集：UNSW-NB 15，CSE-CIC-IDS 2018和ToN-IoT，采用其专有的流格式。此外，还考虑了NetFlow格式的各个变体，即，NF-UNSW-NB15、NF-CSE-CIC-IDS2018和NF-ToN-IoT。实验性评估探讨了添加个别功能的边际效益。我们的研究结果表明，准确性最初增加迅速添加功能，但迅速收敛到最大值。这表明了一个显着的潜力，以减少入侵检测系统的计算和存储成本，同时保持接近最佳的检测精度。这在物联网系统中具有特别的相关性，通常具有有限的计算和存储资源。
2022-11-23 cs.CR cs.LG cs.NI
Augmenting Zero Trust Architecture to Endpoints Using Blockchain: A State-of-The-Art Review
为了防止当今无边界网络中的横向移动，零信任架构（ZTA）的采用正在获得动力。通过全面的ZTA实施，攻击者不太可能从受损的端点开始通过网络传播。然而，已经认证和授权的会话的一个妥协的端点可以利用执行有限的，但恶意的活动，最终使端点的致命弱点ZTA。为了有效地检测这种攻击，分布式协同入侵检测系统与攻击的基于网络的方法已经开发出来。尽管如此，高级持续性威胁（APT）已经证明了它们能够以很高的成功率绕过这种方法。因此，攻击者可以不被发现地通过或潜在地改变检测记录机制以实现隐身。最近，区块链技术在网络安全领域展示了可靠的用例。在本文中，受ZTA和基于区块链的入侵检测和预防的融合的启发，我们研究了如何将ZTA扩展到端点。也就是说，我们对ZTA模型、以端点为重点的现实体系结构和基于区块链的入侵检测系统进行了最先进的审查。我们讨论了区块链的不变性加强检测过程的潜力，并确定了开放的挑战以及潜在的解决方案和未来的方向。
2021-11-15 cs.CR
IGRF-RFE: A Hybrid Feature Selection Method for MLP-based Network Intrusion Detection on UNSW-NB15 Dataset
Ajou University（亚洲大学）
机器学习模型的有效性受到数据集大小和特征质量的显著影响，因为冗余和不相关的特征可以从根本上降低性能。本文提出了IGRF-RFE：一种混合的特征选择方法，任务是使用多层感知器（MLP）网络的多类网络异常。IGRF-RFE可以被认为是一种基于过滤器特征选择方法和包装器特征选择方法的特征约简技术。在我们提出的方法中，我们使用过滤器特征选择方法，这是信息增益和随机森林重要性的组合，以减少特征子集搜索空间。然后，我们应用递归特征消除（RFE）作为一个包装特征选择方法，以进一步消除冗余特征递归减少的特征子集。基于UNSW-NB 15数据集的实验结果表明，该方法在降低特征维数的同时，提高了异常检测的准确性。实验结果表明，特征维数从42降到23，多分类器的分类准确率从82.25%提高到84.24%。
2023-02-06 cs.CR cs.LG
An Adversarial Approach for Explainable AI in Intrusion Detection Systems
Virginia Commonwealth University（弗吉尼亚联邦大学）
尽管现代机器学习技术（例如深度神经网络）在网络安全应用中越来越受欢迎，但这些模型中的大多数对于用户来说都被视为黑匣子。对抗性机器学习提供了一种方法来增加我们对这些模型的理解。在本文中，我们提出了一种方法来产生不正确的分类数据驱动的入侵检测系统（IDS）的解释。对抗方法用于找到正确分类给定的一组错误分类样本所需的最小修改（输入特征）。这种修改的幅度用于可视化解释错误分类原因的最相关特征。所提出的方法产生了令人满意的解释，描述了错误分类背后的推理，与专家知识相匹配的描述。所提出的方法的优点是：1）适用于具有定义的梯度的任何分类器。2)不需要对分类器模型进行任何修改。3)可以扩展到执行进一步的诊断（例如脆弱性评估），并获得对系统的进一步了解。使用线性和多层感知器分类器对NSL-KDD 99基准数据集进行了实验评估。使用直观的可视化显示结果，以提高结果的可解释性。
2018-11-28 cs.CR cs.LG stat.ML
Multi-Stage Optimized Machine Learning Framework for Network Intrusion Detection
University of Western Ontario（西安大略大学）；University of Sharjah（沙迦大学）
由于个人和组织对互联网的依赖性增加，以及他们对其在线活动的安全和隐私的关注，网络安全受到了极大的关注。已经开发了几种先前的基于机器学习（ML）的网络入侵检测系统（NIDS）来防止恶意在线行为。本文提出了一种新的多级优化ML的NIDS框架，降低了计算复杂性，同时保持其检测性能。研究了过采样技术对模型训练样本量的影响，确定了最小的合适训练样本量。比较了基于信息增益和基于相关性的两种特征选择技术，探讨了它们对检测性能和时间复杂度的影响。此外，不同的ML超参数优化技术进行了研究，以提高NIDS的性能。使用两个最近的入侵检测数据集，CICIDS 2017和UNSW-NB 2015数据集评估了所提出的框架的性能。实验结果表明，该模型显著减少了所需的训练样本量（高达74%）和特征集大小（高达50%）。此外，模型性能通过超参数优化得到增强，两个数据集的检测准确率均超过99%，比最近的文献工作高出1 - 2%的准确率和1 - 2%的误报率。
2020-08-09 cs.CR cs.LG cs.NI
Enhancing Trustworthiness in ML-Based Network Intrusion Detection with Uncertainty Quantification
University of Milano-Bicocca（米兰比可卡大学）
针对基于 ML 的入侵检测系统预测过度自信问题，本文比较多种不确定性量化与开集分类方法，并提出基于贝叶斯神经网络的模型以提升 OoD 检测和系统可信度。
2024-04-09 cs.CR cs.LG
A Novel Open Set Energy-based Flow Classifier for Network Intrusion Detection
本文提出一种用于网络入侵检测的开集识别算法，通过改进单类基于能量的流分类器（EFC），使其能同时分类已知和未知攻击，且具有低时间复杂度，在准确率上与现有技术水平相当。
2025-06-27 cs.CR cs.NI
Engineering Attack Vectors and Detecting Anomalies in Additive Manufacturing
New Mexico Institute of Mining and Technology（新墨西哥州矿业与技术研究所）
本研究提出了一种基于Transformer的无监督入侵检测系统，用于检测增材制造过程中由中间人攻击引起的隐蔽异常。
2026-01-01 cs.AI cs.CR cs.LG
Explainable Intrusion Detection Systems (X-IDS): A Survey of Current Methods, Challenges, and Opportunities
Mississippi State University（密西西比州立大学）；U.S Army Engineer Research and Development Center（美国陆军工程研究与发展中心）
人工智能（AI）和机器学习（ML）在网络安全挑战中的应用在工业界和学术界获得了广泛的关注，部分原因是对云基础设施和政府机构等关键系统的广泛恶意软件攻击。入侵检测系统（IDS）使用某种形式的AI，由于其能够以高预测精度处理大量数据，因此得到了广泛的采用。这些系统托管在组织的网络安全运营中心（CSoC）中，作为一种防御工具来监控和检测恶意网络流，否则会影响机密性，完整性和可用性（CIA）。CSoC分析师依靠这些系统对检测到的威胁做出决策。然而，使用深度学习（DL）技术设计的IDS通常被视为黑盒模型，并且不提供其预测的理由。这给CSoC分析师造成了障碍，因为他们无法根据模型的预测改进决策。解决这个问题的一个方法是设计可解释的入侵检测系统（X-IDS）。本调查回顾了用于IDS的可解释AI（XAI）的最新技术，其当前的挑战，并讨论了这些挑战如何跨越到X-IDS的设计。特别是，我们全面讨论了黑盒和白盒方法。我们还提出了权衡这些方法在其性能和能力，以产生解释。此外，我们提出了一个通用的架构，认为人在循环，可以作为一个指导方针时，设计一个X-IDS。研究建议从三个关键的观点：需要定义可解释性的IDS，需要创建适合不同的利益相关者的解释，需要设计指标来评估解释。
2022-07-13 cs.AI cs.CR
Deep transfer learning for intrusion detection in industrial control networks: A comprehensive review
University of Medea（迈迪亚大学）；University of Dubai（迪拜大学）；United Arab Emirates University（阿拉伯联合酋长国大学）；Al-Azhar University（爱资哈尔大学）
本文综述了2015年后基于深度迁移学习的工业控制网络入侵检测方法，系统梳理了DTL与IDS结合的技术类型、数据集、评估指标及性能改进，为研究人员提供全面参考。
2024-04-01 cs.AI cs.CR cs.LG
BARS: Benign-Anchored Ranking and Selection for False Alarm Reduction in Network Intrusion Detection
Department of Computer Science（计算机科学系）；New Mexico State University（新墨西哥州立大学）；Graduate School of Informatics（信息科学研究生院）；Osaka Metropolitan University（大阪 metropolitan 大学）
研究针对网络入侵检测中误报问题，提出BARS方法，它是两阶段过滤器，用良性类均值取代全局锚并去相关。实验表明在攻击占优数据集上能降误报率，保持真阳性率和宏F1，适合资源受限部署。
2026-09-29 cs.CR cs.LG
Intelligent Green Efficiency for Intrusion Detection
Research Group on Intelligent Engineering and Computing for Advanced Innovation and Development (GECAD)（智能工程与先进创新发展计算研究组（GECAD））；School of Engineering, Polytechnic of Porto (ISEP/IPP)（波尔图理工学院工程学院（ISEP/IPP））
本文评估了不同编程语言和特征选择方法对网络入侵检测中AI模型计算效率的影响，发现特征选择可在不损失检测准确性的前提下提升计算效率，为设计高效可持续的Green AI系统提供了参考。
2024-11-11 cs.CR cs.LG cs.PF
Do Transformers Actually Help Intrusion Detection? A Temporal Sequence Evaluation on CIC-IDS2017
Department of Electrical and Computer Engineering, Faculty of Engineering, Royal Military College of Canada (RMC)（加拿大皇家军事学院电气与计算机工程系，工程学院）
本研究重新将 CIC-IDS2017 构建为时间序列入侵检测任务，发现填充方式而非架构决定 Transformer 性能，且随机分割和填充方式会高估模型鲁棒性。
2026-07-27 cs.CR cs.LG
TempoNet: Learning Realistic Communication and Timing Patterns for Network Traffic Simulation
TempoNet通过结合多任务学习和多标记时序点过程，生成高保真的网络流量模拟，有效解决真实网络时序和通信动态建模的挑战。
2026-01-22 cs.AI cs.CR cs.LG
Anomaly Generation using Generative Adversarial Networks in Host Based Intrusion Detection
University of Central Florida（中佛罗里达大学）
生成对抗网络已经能够在各个领域产生惊人的结果。这种生成能力可以是通用的，而网络可以深入了解数据分布。在许多领域中，这种数据分布由异常和正常数据组成，异常通常发生相对较少，从而创建不平衡的数据集。可以利用生成对抗网络提供的功能来检查这些异常，并通过创建合成异常来帮助缓解不平衡数据集带来的挑战。这种异常生成在具有昂贵的数据创建过程以及固有的不平衡数据集的领域中特别有益。符合此描述的域之一是基于主机的入侵检测域。在这项工作中，ADFA-LD数据集被选为包含小足迹下一代攻击的系统调用的感兴趣的数据集。首先将数据转换为图像，然后使用Cycle-GAN从正常数据的图像中创建异常数据的图像。生成的数据与原始数据集相结合，并用于训练模型以检测异常。通过这样做，表明分类结果得到改善，AUC从0.55上升到0.71，异常检测率从17.07%上升到80.49%。结果还比较SMOTE，显示了潜在的生成对抗网络异常生成。
2018-12-11 cs.CR cs.CV cs.LG
Benchmarking datasets for Anomaly-based Network Intrusion Detection: KDD CUP 99 alternatives
Amazon（亚马逊）；New York University（纽约大学）；Infosys（印孚瑟斯）；Samsung（三星）；Veermata Jijabai Technological Institute（韦尔马塔·吉贾拜理工学院）
机器学习在基于异常的网络入侵检测系统（A-NIDS）中的应用越来越受到关注。对这一领域的研究经常使用KDD~CUP~99数据集作为基准。一些研究质疑它的可用性，而构建一个当代的NIDS，由于倾斜的响应分布，非平稳性，并未能将现代攻击。在本文中，我们比较的性能KDD-99的替代品时，使用文献中常见的分类模型训练：神经网络，支持向量机，决策树，随机森林，朴素贝叶斯和K均值。应用SMOTE过采样技术和随机欠采样技术，我们创建了一个平衡版本的NSL-KDD，并证明了KDD-99和NSL-KDD中倾斜的目标类会阻碍分类器对少数类（U2 R和R2 L）的有效性，从而导致可能的安全风险。我们探索UNSW-NB 15，一个现代的KDD-99的替代品，具有更大的均匀性的模式分布。我们在SMOTE过采样之前和之后对该数据集进行基准测试，以观察对少数性能的影响。我们的研究结果表明，在二进制情况下，在UNSW-NB 15上训练的分类器与在NSL-KDD和KDD-99上训练的分类器的加权F1分数相匹配或更好，因此提倡UNSW-NB 15作为这些数据集的现代替代品。
2018-11-13 cs.AI cs.CR cs.LG
Intrusion Detection System with Machine Learning and Multiple Datasets
Carmel High School（卡梅尔高中）；SimplyFixable；Columbia University（哥伦比亚大学）
本文提出一种结合机器学习、超参数调优和多数据集集成的增强型入侵检测系统，通过 XGBoost 与随机森林及 RandomizedSearchCV 实现 99.9% 的检测准确率，用于应对针对大语言模型的提示工程攻击。
2023-12-04 cs.CR cs.LG cs.NI
Machine learning on knowledge graphs for context-aware security monitoring
Siemens Technology（西门子技术）
针对现有入侵检测方法告警数量多、相关性不足的问题，研究了知识图谱机器学习在入侵检测中的应用，评估了一种链接预测方法，证实其可生成校准良好且可解释的告警，展现了关系机器学习的应用潜力。
2021-05-18 cs.AI cs.CR cs.LG
NetSentry: A Deep Learning Approach to Detecting Incipient Large-scale Network Attacks
University of Edinburgh（爱丁堡大学）
机器学习（ML）技术越来越多地被用于应对不断发展的高知名度网络攻击，包括DDoS、僵尸网络和勒索软件，因为它们具有提取隐藏在数据流中的复杂模式的独特能力。然而，这些方法通常使用在相同环境中收集的数据进行验证，并且当部署在不同的网络拓扑和/或应用于以前看不见的流量时，它们的性能会降低。这表明，恶意/良性行为在很大程度上是肤浅的学习和ML的网络入侵检测系统（NIDS）需要重新审视，在实践中是有效的。在本文中，我们深入研究了大规模网络攻击的机制，以期了解如何以原则性的方式将ML用于网络入侵检测（NID）。我们发现，虽然网络攻击在有效载荷，向量和目标方面差异很大，但它们的早期阶段对成功的攻击结果至关重要，具有许多相似之处，并表现出重要的时间相关性。因此，我们将NID视为一项对时间敏感的任务，并提出了NetSentry，这可能是第一个基于双向非对称LSTM（Bi-ALSTM）的NIDS，这是一种原始的序列神经模型集成，可以在网络威胁传播之前检测它们。我们使用两个实际数据集对NetSentry进行交叉评估，其中一个数据集进行训练，另一个数据集进行测试，并证明F1得分比最先进的数据集提高了33%以上，并且检测攻击（如XSS和Web暴力）的比率高达3倍。此外，我们还提出了一种新的数据增强技术，可以增强各种监督深度学习算法的泛化能力，使F1平均得分提高35%以上。
2022-04-20 cs.CR cs.LG cs.NI
Binary and Multiclass Cyberattack Classification on GeNIS Dataset
GECAD, ISEP, Polytechnic of Porto（GECAD、ISEP、波尔图理工大学）
本研究验证了GeNIS数据集在基于AI的NIDS中的可靠性，通过组合五种特征选择方法优化数据，训练决策树集成和深度神经网络模型，证明其支持高效准确的二进制与多类网络攻击分类，可作为未来基准。
2025-11-11 cs.AI cs.CR
