A Method for Network Intrusion Detection Using Flow Sequence and BERT Framework
本文提出一种结合流序列与 BERT 框架的网络入侵检测方法，利用自然语言处理技术对数据进行上下文建模，有效提升了系统在真实环境中的领域适应能力，为构建鲁棒的入侵检测系统提供了新方法。
2023-10-26 cs.CR
Burstiness of Intrusion Detection Process: Empirical Evidence and a Modeling Approach
我们分析了几个大型的，非住宅组织的网络上观察到的入侵检测记录集的入侵检测和预防服务的形式保护。我们的分析表明，在这些网络中的入侵检测过程表现出显着程度的突发性，以及强大的记忆，突发性和记忆特性，是由阈值效应驱动的自然过程相媲美，但从突发人类活动不同。我们探索这些可观察到的网络安全事件的时间序列模型的基础上，部分观察到的数据，使用隐马尔可夫模型与限制的隐藏状态，我们适合使用马尔可夫链蒙特卡罗技术。我们检查的输出拟合模型的统计特性，并证明该模型充分占内在的“爆裂”内观察到的网络事件之间的交替两个或多个随机过程的结果。虽然我们的分析并不直接导致新的检测能力，获得更好地了解所观察到的突发性的实际意义是显着的，包括量化网络的风险和防御工作的机会。
2017-07-12 cs.CR
Consistent and Compatible Modelling of Cyber Intrusions and Incident Response Demonstrated in the Context of Malware Attacks on Critical Infrastructure
本文提出将关键基础设施的入侵模型与应急响应剧本统一建模，通过安全建模框架实现攻击树到剧本格式的转换，增强风险评估与响应的集成，并提供了九个示例模型。
2025-05-22 cs.CR
Enhancing SCADA Security: Developing a Host-Based Intrusion Detection System to Safeguard Against Cyberattacks
针对智能电网SCADA系统缺乏专用主机入侵检测的问题，本文提出利用USB设备识别、标记和进程内存扫描的检测系统，并在三种场景下验证了其检测和禁用恶意软件的有效性。
2024-02-22 cs.CR
Intrusion Detection in Heterogeneous Networks with Domain-Adaptive Multi-Modal Learning
针对传统深度模型在异构网络入侵检测中依赖大量标注数据且泛化能力差的问题，提出融合多模态学习与域自适应的深度模型，以循环方式处理多源数据，显著提升分类性能。
2025-08-05 cs.CR
Comparison of feature extraction tools for network traffic data
本文比较了主流网络流量特征提取工具，强调其在入侵检测系统中的关键作用，并指出工具选择对提升AI-IDS效率、准确性和可扩展性的重要性。
2025-01-22 cs.CR
Evaluating The Explainability of State-of-the-Art Deep Learning-based Network Intrusion Detection Systems
本文通过多种XAI技术和攻击数据集实验评估最先进深度学习NIDS的可解释性，提出全局与局部解释一致性标准，发现不同XAI方法存在冲突，并给出平衡可解释性与检测性能的建议。
2025-09-23 cs.CR
Adaptable Plug and Play Security Operations Center Leveraging a Novel Programmable Plugin-based Intrusion Detection and Prevention System
在过去十年中，网络攻击的数量大幅增加，造成了巨大的组织财务损失。事实上，安全事故不再是“是否”发生的问题，而是“何时”发生的问题。安全运营中心（SOC）的采用将有助于在问题最终造成广泛的网络相关损害之前检测、识别、预防和解决问题。在本文中，我们提出的框架带来了解决问题，目前的开源SOC实现的困扰。这些问题包括缺乏即时增强的能力，缓慢的开发过程，以及不适合持续及时的更新。我们，在这里，提出了一个框架，将提供一个完全自动化的开源SOC部署，否则被称为“即插即用框架”，全面的水平可扩展性，包括一个模块化的架构。这些基础功能旨在缓解SOC的潜在挑战，这些挑战通常是由于许多预先确定和重复的过程而出现的，从而增强了它们使用新工具进行扩展的能力。这是在增强它们将集群中的更多服务器作为单个逻辑单元处理的能力的基础上。我们还介绍了一个新的系统，其称为可编程的基于插件的入侵检测和预防系统（PPIDPS）。该系统将扩展SOC的能力，将任何工具添加到受监控的设备，同时收集日志，只要检测到可疑行为，就可以触发警报。
2022-04-10 cs.CR
Evaluation of Machine Learning Algorithms for Intrusion Detection System
University of Miskolc（米什科尔茨大学）；Mutah University（穆塔大学）
入侵检测系统（IDS）是抵御恶意攻击的有效手段之一。此外，攻击者总是不断改变他们的工具和技术。然而，实现一个公认的IDS系统也是一项具有挑战性的任务。在本文中，几个实验已经进行和评估，以评估各种机器学习分类器的基础上KDD入侵数据集。它成功地计算了几个性能指标，以评估所选择的分类器。重点研究了误报和漏报性能指标，以提高入侵检测系统的检测率。实验结果表明，决策表分类器的误报率最低，而随机森林分类器的平均准确率最高。
2018-01-08 cs.CR cs.LG
Deep Learning Algorithms Used in Intrusion Detection Systems -- A Review
本文综述了CNN、RNN、LSTM、DBN、DNN、自动编码器等深度学习算法在入侵检测系统中的应用，分析其架构、性能与局限，并介绍常用数据集和基准框架，为网络安全研究提供参考。
2024-02-26 cs.CR
Deep Adversarial Learning in Intrusion Detection: A Data Augmentation Enhanced Framework
University of Exeter（埃克塞特大学）；China University of Petroleum (East China)（中国石油大学（华东））
入侵检测系统（IDS）在识别网络系统中的恶意攻击和威胁方面发挥着重要作用。作为入侵检测系统的基本工具，基于学习的分类方法得到了广泛的应用。当涉及到检测小样本大小的网络入侵时（例如，新兴的入侵），训练样本的数量有限和比例不平衡通常会给监督和半监督分类器的训练带来重大挑战。在本文中，我们提出了一个通用的网络入侵检测框架，以解决\emph{data scarcity}和\emph{data imbalance}的挑战。所提出的框架的新颖之处在于将深度对抗学习与统计学习相结合，并利用基于学习的数据增强。针对少量网络入侵样本，首先推导出Poisson-Gamma联合概率生成模型，利用蒙特卡罗方法生成综合入侵数据。然后，这些合成数据通过对抗性学习由深度生成神经网络增强。最后，采用扩充后的入侵数据训练监督模型，用于检测网络入侵。在KDD Cup 99数据集上的实验结果表明，该框架在准确率、查准率、查全率和F1得分等方面均优于现有的基于学习的入侵检测系统。
2019-01-27 cs.CR cs.LG
A Novel Dimension Reduction Scheme for Intrusion Detection Systems in IoT Environments
物联网给计算机网络的安全解决方案带来了新的挑战。入侵检测系统（IDS）是迄今为止最有效的安全工具之一，但异构的协议和“物”产生的大量数据以及主机资源的有限性，使得现有的一些IDS方案显得力不从心。为了使入侵检测系统能够在物联网环境中工作，本文提出了一种新的分布式降维方案，解决了资源有限的挑战。设计了一种新的自动编码器，它学习生成一个潜在空间。然后，受约束的主机/探测器使用生成的权重通过单个操作降低维度。压缩后的数据被传输到中央IDS服务器以验证流量类型。该方案的目的是通过压缩数据来降低传输数据所需的带宽，并减少主机中压缩任务的开销。在三个著名的网络流量数据集（UNSW-NB 15、TON\_IoT20和NSL-KDD）上对该方案进行了评估，结果表明，该方案可以获得一个三维的潜在空间（压缩约90%），而不会显著降低IDS的检测精度.
2020-07-12 cs.CR
Modified Apriori Approach for Evade Network Intrusion Detection System
入侵检测系统（IDS）是一种软件或硬件工具，可以重复扫描和监视计算机或网络中发生的事件。基于签名的网络入侵检测系统（NIDS）使用一组规则来检测网段或数据包中的恶意流量，这对于检测网络上的恶意和异常行为（如已知攻击）非常重要，黑客正在寻找新的技术来隐藏。有时，任何一层的一个故障都会导致NIDS错过该攻击。为了克服这个问题，使用了一种技术，它将在该层中触发故障。这种技术被称为回避技术。规避可以定义为将可见攻击修改为任何其他形式以避免被检测到的任何技术。该系统用于检测网络上的攻击，并给出了实际的攻击分类。该系统具有低虚警率和高检测率的优点。因此，这导致降低了系统的复杂性和开销。提出了一种自定义Apriori算法的规避技术。本文旨在设计一种新的功能结构来规避NIDS。该框架可用于审计NIDS。这个框架展示了一个概念证明，展示了如何在考虑两个公开可用的数据集的情况下规避自建的NIDS。
2014-11-25 cs.CR
Unsupervised Network Intrusion Detection System for AVTP in Automotive Ethernet Networks
Télécom Paris, IP Paris（巴黎电信学院，巴黎理工学院）
网络入侵检测系统（NIDS）被广泛认为是保护车载网络免受各种网络攻击的有效工具。然而，由于网络攻击总是在不断发展，基于特征的入侵检测系统不再被采用。另一种解决方案可以是部署基于深度学习的入侵检测系统，该系统在检测网络流量中的未知攻击模式方面发挥重要作用。因此，在本文中，我们比较了不同的无监督深度和基于机器学习的异常检测算法的性能，用于实时检测音频视频传输协议（AVTP）上的异常，AVTP是最近基于汽车以太网的车载网络中实现的应用层协议。在最近发布的“汽车以太网入侵数据集”上进行的数值结果表明，在不同的实验设置下，深度学习模型在机器学习中的表现明显优于其他最先进的传统异常检测模型。
2022-04-25 cs.CR cs.LG cs.NI
Improving Network Intrusion Detection Classifiers by Non-payload-Based Exploit-Independent Obfuscations: An Adversarial Approach
基于机器学习的入侵检测分类器能够检测到未知的攻击，但同时，它们可能容易被混淆技术规避。一个对手入侵者，拥有一个保护系统的关键知识，可以很容易地绕过检测模块。我们的工作的主要目标是提高入侵检测分类器对这样的对手的性能能力。为此，我们首先提出了几种基于网络连接的各种属性的修改的远程攻击的混淆技术，然后我们进行了一组全面的实验，以评估入侵检测分类器对混淆攻击的有效性。我们通过一个基于NetEm和Metasploit的工具来实例化我们的方法，该工具在任何TCP通信上实现了我们的混淆操作符。这使我们能够为机器学习实验生成修改后的网络流量，这些实验采用用于评估网络统计数据和TCP连接行为的功能。我们执行五个分类器的评估：高斯朴素贝叶斯，高斯朴素贝叶斯与核密度估计，逻辑回归，决策树，和支持向量机。我们的实验证实了这样一个假设，即在没有关于混淆攻击的先验知识的情况下训练的所有分类器都可以逃避入侵检测能力，从而导致TPR从7.8%到66.8%的恶化。此外，当通过混淆攻击的子集扩大分类器的训练知识时，我们实现了TPR的4.21% -73.3%的显着改善，而FPR仅略有恶化（0.1% - 1.48%）。最后，我们测试了模糊感知分类器检测未知模糊攻击的能力，其中大多数模糊攻击的平均检测率超过90%。
2018-12-12 cs.CR
Performance evaluation of Machine learning algorithms for Intrusion Detection System
本文基于KDD CUP-'99'数据集评估多种机器学习分类器在入侵检测中的表现，并使用准确率、精确率、召回率和F1度量比较其性能。
2023-10-01 cs.CR
TII-SSRC-23 Dataset: Typological Exploration of Diverse Traffic Patterns for Intrusion Detection
Technology Innovation Institute（技术创新研究院）
本文提出 TII-SSRC-23 数据集，涵盖多样流量类型，通过特征重要性分析和基线实验，提升入侵检测模型的适应性与有效性。
2023-09-14 cs.CR cs.LG
Intrusion Detection based on Federated Learning: a systematic review
本文系统综述2018至2022年基于联邦学习的入侵检测研究，梳理模型、数据集、聚合函数与实现库，并指出挑战和未来方向。
2023-08-18 cs.CR
TSNZeek: An Open-source Intrusion Detection System for IEEE 802.1 Time-sensitive Networking
IEEE 802.1时间敏感网络（TSN）标准被设想用来取代关键域中的传统网络协议，以确保通过现成的以太网设备进行可靠和确定性的通信。然而，它们缺乏安全对策，甚至可以施加可能导致危险后果的新攻击媒介。本文介绍了第一个开源的安全监测和入侵检测机制，TSNZeek，IEEE 802.1 TSN协议。我们扩展了现有的监控工具，Zeek，一个新的数据包解析语法处理TSN数据流量和基于规则的攻击检测引擎TSN特定的威胁。我们还讨论了各种安全相关的配置和设计方面的IEEE 802.1 TSN监控。我们的实验表明，TSNZeek的原因只有约5%的CPU开销上的Zeek，并成功地检测到各种威胁在一个真正的TSN测试床。
2023-03-20 cs.CR cs.NI
AI-Driven Chatbot for Intrusion Detection in Edge Networks: Enhancing Cybersecurity with Ethical User Consent
School of Computer Science, University of Galway（戈尔韦大学计算机科学学院）；Faculty of Information Technology and Computer Science, University of Central Punjab（旁遮普中央大学信息技术与计算机科学学院）
本文提出一种基于先进机器学习算法的AI聊天机器人架构，部署于Raspberry Pi管理的边缘网络，用于监控流量并检测入侵，同时强调用户同意与伦理透明，以增强边缘网络安全防护能力。
2024-08-08 cs.AI cs.CR
Flow Exporter Impact on Intelligent Intrusion Detection Systems
School of Engineering, Polytechnic of Porto (ISEP/IPP)（波尔图理工学院工程学院）；Porto Research, Technology & Innovation Center (PORTIC), Polytechnic of Porto (IPP)（波尔图理工学院波尔图研究、技术与创新中心）
本文研究流导出器对入侵检测机器学习模型性能的影响，使用HERA工具重新生成UNSW-NB15和CIC-IDS2017数据集，实验证明基于HERA版本训练的Random Forest等模型在准确性和泛化能力上均显著优于原始数据集。
2024-12-18 cs.CR cs.LG
Tracing the Chain: Deep Learning for Stepping-Stone Intrusion Detection
University of Minnesota（明尼苏达大学）
本文提出ESPRESSO模型用于中继入侵检测，通过深度学习实现低误报率的流量相关性分析，优于现有方法，且能预测链长以区分恶意行为。
2026-04-09 cs.CR cs.LG
Data Analytics-enabled Intrusion Detection: Evaluations of ToN_IoT Linux Datasets
随着人工智能（AI）安全应用的广泛应用，需要收集异构和可扩展的数据源，以有效地评估安全应用的性能。本文介绍了新的数据集，命名为ToN物联网数据集，包括分布式数据源收集的物联网（IoT）服务的遥测数据集，Windows和Linux的操作系统数据集，和网络流量的数据集。本文旨在描述一种新的测试床架构，用于从硬盘、内存和进程的审计跟踪中收集Linux数据集。该架构设计在边缘、雾和云三个分布式层中。边缘层包括物联网和网络系统，雾层包括虚拟机和网关，云层包括与其他两层连接的数据分析和可视化工具。这些层通过使用VMware NSX和vCloud NFV平台的软件定义网络（SDN）和网络功能虚拟化（NFV）进行编程控制。Linux ToN物联网数据集将用于训练和验证各种新的联合和分布式AI安全解决方案，如入侵检测，威胁情报，隐私保护和数字取证。采用各种数据分析和机器学习方法来确定数据集在检查特征工程、合法和安全事件的统计以及安全事件的可靠性方面的保真度。这些数据集可以从[1]公开访问。
2020-10-04 cs.CR
IIDS: Design of Intelligent Intrusion Detection System for Internet-of-Things Applications
针对物联网安全攻击和不平衡数据集导致检测性能下降的问题，提出一种基于随机森林算法的机器学习入侵检测系统框架，在CICIoT2023数据集上显著提升了精确率、召回率和F1分数。
2023-08-02 cs.CR
Scalable Learning of Intrusion Responses through Recursive Decomposition
KTH Royal Institute of Technology（KTH皇家理工学院）；KTH Center for Cyber Defense and Information Security（KTH网络防御与信息安全中心）
针对IT基础设施自动入侵响应中部分可观测随机博弈求解的可扩展性问题，提出递归分解博弈为可并行子博弈的DFSP算法，利用最优停止理论证明阈值结构以高效计算，实验证明其能近似Nash均衡且显著优于现有算法。
2023-09-15 cs.CR cs.LG cs.SY
Quantitative Analysis of UAV Intrusion Mitigation for Border Security in 5G with LEO Backhaul Impairments
针对5G与LEO回传受损下的无人机入侵，提出端到端仿真框架，量化检测到缓解延迟，证明本地回退对限制延迟和防止安全漏洞至关重要。
2025-10-15 cs.CR
Decoherence as Defence and the Magnitude of Noise Regularisation: A Rigorous N -Qubit Theory of Stochastic Quantum Neural Networks for Adversarially Robust Network Intrusion Detection
Efrei Research Lab, Efrei Paris Panth\'eon-Assas Universit\'e, Villejuif, France
本文提出N量子比特随机量子神经网络（SQNN）的严格形式化，证明退极化信道实现定量防御，并推导出逐门dropout的曲率加权L2惩罚公式，在NSL-KDD数据集上验证了鲁棒性提升。
2026-06-24 cs.CL cs.CR
GRIDAI: Generating and Repairing Intrusion Detection Rules via Collaboration among Multiple LLM-based Agents
GRIDAI通过多LLM智能体协作，自动生成新攻击规则并修复变体规则，减少规则冗余，缓解幻觉影响，实验验证有效。
2025-10-15 cs.CR
A Comparative Analysis of Machine Learning Algorithms for Intrusion Detection in Edge-Enabled IoT Networks
Taylor's University（泰莱大学）
互连设备和通过无线网络的数据通信的数量的显著增加已经引起了各种威胁、风险和安全问题。物联网（IoT）应用几乎部署在日常生活的各个领域，包括敏感环境。边缘计算范式通过将计算处理移动到数据源附近来补充物联网应用。在各种安全模型中，基于机器学习（ML）的入侵检测是最有可能对抗边缘物联网网络中异常行为的防御机制。ML算法用于将网络流量分为正常和恶意攻击。入侵检测是网络安全领域中的一个具有挑战性的问题。研究界提出了许多入侵检测系统。然而，在选择合适的算法以在启用边缘的IoT网络中提供安全性方面存在挑战。在本文中，传统的机器学习分类算法进行了比较分析，NSL-KDD数据集上使用Pycharm工具上的分类器对网络流量进行分类。可以观察到，多层感知（MLP）在输入和输出之间具有依赖性，并且更多地依赖于用于入侵检测的网络配置。因此，MLP更适合基于边缘的物联网网络，其训练时间更好，为1.2秒，测试准确率为79%。
2021-11-02 cs.CR cs.LG
Intrusion Detection Systems for Smart Home IoT Devices: Experimental Comparison Study
灵巧家庭是新兴物联网（IoT）技术最有前景的应用之一。随着智能恒温器、智能冰箱、智能扬声器、智能灯泡和智能锁等物联网相关设备的不断增加，灵巧家庭有望让我们的生活更轻松、更舒适。然而，此类智能设备的部署增加带来了潜在的安全风险和家庭隐私泄露的增加。为了克服这些风险，入侵检测系统作为相关的工具，可以为部署在家庭环境中的智能设备提供网络级的保护。这些系统监控与灵巧家庭连接的设备的网络活动，并专注于警告可疑或恶意活动。它们还可以通过阻止冒名顶替者访问受害者设备来处理检测到的异常活动。然而，由于设备硬件限制，在灵巧家庭的上下文中使用这样的系统可能是具有挑战性的，这可能限制它们对抗现有和新兴攻击向量的能力。因此，本文提出了广泛使用的开源NIDS之间的实验比较，即Snort，Suricata和Bro IDS，以找到最适合灵巧家庭的检测精度和资源消耗，包括CP和内存利用率。实验结果表明，Suricata是灵巧家庭中性能最好的NIDS
2021-01-16 cs.CR
Identification of Flaws in the Design of Signatures for Intrusion Detection Systems
基于特征的入侵检测系统（SIDS）为解决Web应用程序的安全问题提供了一个很有前途的解决方案。然而，系统的性能高度依赖于设计用于检测攻击的签名的质量。一个弱的签名集可能会大大增加虚警率，使部署系统不切实际。本文的目的是识别缺陷的签名结构，负责降低检测系统的效率。本文特别针对SQL注入签名。首先，讨论了开发人员在设计签名之前应该关注的攻击领域的一些基本概念。然后，我们对著名的PHPIDS工具进行了一个案例研究，分析其SQL签名的质量。在分析的基础上，我们发现了设计实践中产生低效签名的各种缺陷。我们将弱签名分为六类，即不完全签名、不相关签名、半相关签名、敏感签名、冗余签名和不一致签名。此外，我们量化这些弱点，并在数学上定义它们的集合论。据我们所知，我们已经确定了一些新的签名设计问题。该文件基本上将协助特征开发人员了解设计一套高质量特征需要什么程度的专门知识，以及稍有疏忽就可能导致小岛屿发展中国家业绩恶化。此外，安全专家可以通过对其签名集进行结构分析来针对所识别的缺陷评估检测器。
2018-05-28 cs.CR
Statistical Analysis Driven Optimized Deep Learning System for Intrusion Detection
攻击者已经开发出越来越复杂和智能的方法来攻击信息和通信技术系统。一个单独的黑客在渗透一个系统时所能造成的破坏程度是众所周知的。可以设想一个潜在的灾难性场景，即一个拦截加密金融数据的民族国家被黑客攻击。因此，智能网络安全系统对于改善针对恶意威胁的保护变得不可避免地重要。然而，随着恶意软件攻击的数量和复杂性不断急剧增加，传统分析工具检测和缓解威胁变得越来越具有挑战性。此外，大型网络产生的大量数据使识别任务变得更加复杂和具有挑战性。在这项工作中，我们提出了一个创新的统计分析驱动的优化深度学习系统的入侵检测。所提出的入侵检测系统（IDS）使用大数据可视化和统计分析方法（人在回路）提取优化和更相关的特征，然后使用深度自动编码器进行潜在威胁检测。具体而言，预处理模块消除离群值并将分类变量转换为独热编码向量。特征提取模块丢弃具有空值的特征，并选择最重要的特征作为深度自动编码器模型（以贪婪方式训练）的输入。加拿大网络安全研究所的NSL-KDD数据集被用作基准来评估所提出的架构的可行性和有效性。仿真结果表明，我们所提出的系统的潜力和其优于现有的最先进的方法和最近发表的新方法相比。正在进行的工作包括进一步优化和实时评估我们提出的IDS。
2018-08-16 cs.CR
Ensemble learning techniques for intrusion detection system in the context of cybersecurity
UNESP Universidade Estadual Paulista（圣保罗州立大学）
近来，人们对改进入侵检测系统（IDS）技术中可用的资源感兴趣。从这个意义上说，与网络安全相关的一些研究表明，环境入侵和信息绑架越来越频繁和复杂。涉及在使用计算资源的环境中操作的业务的关键性不允许信息的脆弱性。网络安全已经成为企业不可或缺的技术领域的一个维度，安全团队每天都在处理入侵环境的风险。因此，这项研究的主要目的是调查的Ensemble学习技术使用堆栈方法，支持的支持向量机（SVM）和k-最近邻（kNN）算法，旨在优化的结果DDoS攻击检测。为此，入侵检测系统的概念与数据挖掘和机器学习橙色工具的应用程序一起使用，以获得更好的结果
2022-12-21 cs.CR cs.LG
Intrusion Detection Mechanism Using Fuzzy Rule Interpolation
模糊规则插值（FRI）方法可以推断（内插）的结论，即使在某些情况下，如果没有明确定义的模糊规则为基础的知识表示。该属性在部分解析解决的应用中是有益的;在那里，专家知识表示的效率与机器学习方法的精度混合。本文的目的是介绍FRI在入侵检测系统（IDS）应用领域的优势，在分布式拒绝服务（DDOS）攻击的检测机制的设计和实现。在作为测试平台环境的论文示例中，应用了开源DDOS数据集和通用公共许可证（GNU）FRI SDK。FRI-IDS示例应用程序的性能与用于在相同的开源测试平台环境中检测DDOS攻击的其他常见分类算法进行了比较。结果表明，FRI-IDS的整体检测率与其他方法相当。在示例数据集上，它优于支持向量机算法的检测率，而其他算法（神经网络、随机森林和决策树）记录略高的检测率。因此，FRI推理系统可以是一个合适的方法来实现作为一种检测机制的入侵检测系统，它有效地降低了误报率值。此外，由于其模糊规则库的知识表示性质，它可以很容易地适应专家知识，也适用于预测的威胁可能性程度的水平。
2019-04-18 cs.CR
Intrusion Detection for Agentic Processes: Evidence-Based Runtime Monitoring
本文提出智能体流程入侵检测系统（A-IDS），通过证据感知的运行时监控比较观察与期望基线，以检测智能体流程中的安全偏差，贡献为概念性框架。
2026-10-02 cs.CR
Towards Identifying Human Actions, Intent, and Severity of APT Attacks Applying Deception Techniques -- An Experiment
高级持续性威胁（APT）的攻击已被证明是很难检测使用传统的签名和基于异常的入侵检测方法。诱饵对象（通常称为蜂蜜项目）等欺骗技术可以用于入侵检测和攻击分析，为检测APT行为提供了一种替代方案。这项工作探索了使用蜂蜜项目来分类入侵交互，将自动化攻击与那些需要一些人类推理和交互来检测APT的攻击区分开来。在虚拟蜂蜜网络中的蜜罐上部署多个诱饵项目，其中一些作为面包屑来检测结构化手动攻击的迹象。监控功能是围绕Elastic Stack创建的，其中创建了一个Kibana仪表板来显示与各种蜂蜜项目的交互。APT类型的手动入侵由经验丰富的渗透测试从业者进行模拟攻击。与蜂蜜项目的相互作用进行评估，以确定其是否适合区分自动化工具和直接人工干预。结果表明，可以区分自动攻击和手动结构化攻击;从与蜂蜜项目的交互性质。在蜜罐中发现的蜂蜜项目的使用，例如在结构化攻击的后面部分中，已经被证明在手动攻击的分类中是成功的，以及在提供攻击的严重性的指示方面是成功的
2020-06-02 cs.CR
Robustness Evaluation of Deep Unsupervised Learning Algorithms for Intrusion Detection Systems
Université de Sherbrooke（谢布罗克大学）
本文评估了六种最新深度无监督学习算法在受污染数据上的入侵检测鲁棒性，实验表明现有最优算法对数据污染敏感，强调了开发入侵检测系统时自我防御数据扰动的重要性。
2023-10-30 cs.CR cs.LG cs.NI
From Alerts to Intelligence: A Novel LLM-Aided Framework for Host-based Intrusion Detection
本文提出了一种名为SHIELD的定制LLM管道框架，通过集成事件级MAE、DDA和多用途提示等技术解决LLM在HIDS中的token限制与噪声干扰问题，在多个数据集上性能优于5个代表性HIDS。
2025-07-15 cs.CR
MirGuard: Towards a Robust Provenance-based Intrusion Detection System Against Graph Manipulation Attacks
针对图操纵攻击威胁，提出鲁棒异常检测框架MirGuard，结合逻辑感知噪声注入与保留逻辑的对比学习，生成保持因果语义的图视图，在多项数据集上显著提升PIDS对抗攻击的鲁棒性且不牺牲检测性能。
2025-08-14 cs.CR
Network Intrusion Detection: Evolution from Conventional Approaches to LLM Collaboration and Emerging Risks
本综述系统梳理了网络入侵检测从传统签名和神经网络方法到LLM集成的演进，总结了各阶段优势与局限，并重点分析了LLM在NIDS中的应用价值、实际部署挑战及其被滥用于网络攻击的风险，同时概述了领域专用LLM的构建策略。
2025-11-09 cs.CR
SERA-IDS: Structured Experience Retrieval-Augmented Intrusion Detection with Small Language Models
Florida Polytechnic University（佛罗里达理工大学）
SERA-IDS通过小语言模型从分类错误中生成结构化规则并检索匹配，显著提升入侵检测的宏F1，使小型本地模型性能超越现有方法。
2026-10-08 cs.CR
Anomaly-Based Intrusion Detection System for Cyber-Physical System Security
在过去的十年中，工业控制系统经历了与信息技术的大规模集成。工业网络经历了无数次技术变革，以保护运营和生产流程，导致今天的新工业革命。信息技术工具无法保证工业领域的机密性、完整性和可用性，因此了解物理组件与网络的交互至关重要。因此，工业控制系统通常是信息物理系统（CPS）的一个例子。本文旨在为网络物理系统中的网络攻击检测提供一种工具。该方法基于机器学习来提高系统的安全性。通过分析机器学习假设的值，可以评估三个模型的分类性能。使用训练集获得的模型允许对异常行为的样本和与正常行为相关的样本进行分类。在水箱系统中实现了攻击识别，利用机器学习的识别方法来避免水箱溢出等危险状态。结果令人鼓舞，证明了其有效性。
2021-10-25 cs.CR cs.SY eess.SY
HybridGuard: Enhancing Minority-Class Intrusion Detection in Dew-Enabled Edge-of-Things Networks
Department of Computer Science and Information Engineering, National Taiwan University of Science and Technology（计算机科学与信息工程系，台湾科技大学）；Department of Computer Science and Engineering, Digital University Kerala（计算机科学与工程系，数字大学喀拉拉）
针对露水使能物联网边缘网络的入侵检测挑战，提出HybridGuard框架，通过互信息特征选择和WCGAN-GP解决数据不平衡问题，采用DualNetShield两阶段架构，在三个数据集上表现优于现有方案，提升少数攻击类检测性能。
2025-11-11 cs.AI cs.CR cs.LG
Explainable AI-based Intrusion Detection System for Industry 5.0: An Overview of the Literature, associated Challenges, the existing Solutions, and Potential Research Directions
Hamad bin Khalifa University（哈马德·本·哈利法大学）；Qatar Computing Research Institute（卡塔尔计算研究所）；Munster Technological University（芒斯特理工大学）；Toronto Metropolitan University（多伦多都会大学）
本文系统综述了面向工业5.0的基于可解释人工智能的入侵检测系统，分析其挑战、现有方案及对抗性XIDS视角下的可解释性影响，并指出未来研究方向，为高风险工业5.0应用采纳XAI安全方案奠定基础。
2024-07-21 cs.AI cs.CR
IDSGAN: Generative Adversarial Networks for Attack Generation against Intrusion Detection
Shanghai Jiao Tong University（上海交通大学）；Indiana University Bloomington（印第安纳大学伯明顿分校）
入侵检测系统作为网络安全中必不可少的工具，承担着防御恶意网络攻击的重任。近年来，在机器学习算法的帮助下，入侵检测系统发展迅速。然而，当它面对对抗攻击时，该系统的鲁棒性是值得怀疑的。为了提高检测系统的鲁棒性，更多潜在的攻击方法正在研究之中。本文提出了一种生成对抗网络（IDSGAN）框架，用于生成对抗性恶意流量记录，通过欺骗和逃避检测来攻击入侵检测系统。假设检测系统的内部结构和参数对攻击者来说是未知的，对抗攻击示例对检测系统执行黑盒攻击。IDSGAN利用生成器将原始恶意流量记录转换为对抗性恶意流量记录。一个分类器对流量示例进行分类，并动态学习实时黑盒检测系统。更重要的是，限制修改机制是为对抗生成设计的，以保留对抗流量记录的原始攻击功能。通过对不同攻击类别的多个基于算法的检测模型进行攻击，验证了该模型的有效性。鲁棒性通过改变修改特征的数目来验证。与对抗攻击基线的对比实验表明了该模型的优越性。
2022-05-08 cs.AI cs.CR
A Taxonomy of Network Threats and the Effect of Current Datasets on Intrusion Detection Systems
Abertay University（阿伯泰大学）；Naval Academy Research Institute（海军学院研究院）；Middlesex University（密德萨斯大学）；University of Strathclyde（思克莱德大学）
随着世界越来越依赖计算机和自动化，构建安全的应用程序、系统和网络是本十年面临的一些主要挑战。由于现代网络的网络和服务日益复杂，个人和企业面临的威胁数量呈指数级增长。为了减轻这些威胁的影响，研究人员提出了许多异常检测解决方案;然而，当前的工具往往无法适应不断变化的架构，相关的威胁和零日攻击。本文旨在指出当前数据集的研究差距和不足，它们对构建网络入侵检测系统（NIDS）的影响以及越来越多的复杂威胁。为此，本手稿为研究人员提供了两个关键信息：对突出数据集的调查，分析它们的使用和对过去十年入侵检测系统（IDS）发展的影响，以及网络威胁和相关工具的分类来进行这些攻击。该手稿强调，目前的IDS研究只覆盖了我们威胁分类的33.3%。当前的数据集显示出明显缺乏真实的网络威胁、攻击表示，并且包括大量弃用的威胁，这些都限制了当前机器学习IDS方法的检测准确性。本手稿中提供的分类法和数据集分析的独特组合旨在改进数据集的创建和真实世界数据的收集。因此，这将提高下一代IDS的效率，并在新数据集中更准确地反映网络威胁。
2020-06-05 cs.AI cs.CR cs.NI
Advanced Metering Infrastructures: Security Risks and Mitigation
能源供应商正在转向智能电表时代，鼓励消费者在家中免费安装这些设备，自动提交消费读数，使消费者的生活更轻松。然而，这种智能设备的部署增加带来了很多安全和隐私风险。为了克服这些风险，入侵检测系统作为相关的工具，可以为部署在家庭环境中的智能设备提供网络级的保护。在这种情况下，本文正在探索的问题，先进的计量网络结构（AMI），并提出了一种新的机器学习（ML）入侵防御系统（IPS），以获得最佳决策的基础上，各种因素和图形化的安全模型，能够解决零日攻击。
2021-05-10 cs.CR
A Deep Learning Approach to Create DNS Amplification Attacks
近年来，深度学习已被证明是网络安全领域一个非常有价值的工具，因为它可以帮助网络入侵检测系统对攻击进行分类并检测新的攻击。对抗性学习是利用机器学习来生成一组扰动输入，然后将其馈送到神经网络进行错误分类的过程。目前对抗性学习领域的大部分工作都是在图像处理和自然语言处理中使用各种算法进行的。有两种算法是对深度神经网络的弹性网络攻击和文本攻击。在我们的实验中，EAD和TextAttack算法被应用到一个域名系统放大分类器。该算法用于生成恶意分布式拒绝服务对抗示例，然后作为输入馈送到网络入侵检测系统神经网络，以将其分类为有效流量。在这项工作中，我们表明，图像处理和自然语言处理对抗学习算法可以应用于对网络入侵检测神经网络。
2022-06-29 cs.CR
Intrusion Detection on Smartphones
International Burch University（国际布尔奇大学）
智能手机技术越来越成为世界各地人们的主要通信工具。人们使用他们的智能手机来保存他们的联系人数据，浏览互联网，交换消息，保存笔记，携带他们的个人文件和文档等。用户在浏览时也能够在线购物，因此需要输入他们的信用卡号码和安全代码。随着智能手机的普及，这项技术面临的安全威胁和漏洞也越来越多。最近的新闻和文章表明，智能手机（主要是Android和iOS）上使用的操作系统的恶意软件和病毒大幅增加。智能手机技术的主要限制是其处理能力和稀缺的能源，因为智能手机依赖于电池的使用。由于智能手机是随着用户在不同地方之间移动而改变其网络位置的设备，因此用于智能手机技术的入侵检测系统通常被分类为针对移动自组织网络设计的IDS。本研究的目的是简要介绍IDS技术，概述IDS技术中使用的主要机器学习和模式识别算法，概述iOS和Android的安全模型，提出一种新的基于主机的智能手机IDS模型，并为新提出的模型创建Android平台的概念验证应用程序。关键词：IDS，SVM，Android，iOS;
2012-11-28 cs.AI cs.CR
Stochastic Games for Security in Networks with Interdependent Nodes
本文研究了通信和计算机网络中安全和入侵检测的随机博弈论方法。具体来说，攻击者和防御者在节点网络上参与两人游戏，这些节点的安全资产和漏洞是相关的。这样的网络可以使用加权有向图来建模，其中边表示节点之间的影响。该博弈可以表述为非合作的零和或非零和随机博弈。然而，由于节点之间的相关性，如果某些节点被攻破，其余节点的有效安全资产和脆弱性通常不会保持不变，这导致了复杂的系统动力学。我们研究的存在性，唯一性和结构的解决方案，并提供数值例子来说明我们的模型。
2010-03-11 cs.CR cs.GT
ContextBuddy: AI-Enhanced Contextual Insights for Security Alert Investigation (Applied to Intrusion Detection)
本文提出 ContextBuddy，将安全告警的上下文选择建模为序列决策问题，并用模仿学习复用分析师策略；在两个入侵检测数据集和用户研究中显著提升准确率、置信度并缩短验证时间。
2025-06-11 cs.CR
eX-NIDS: A Framework for Explainable Network Intrusion Detection Leveraging Large Language Models
School of Information Technology and Electrical Engineering, University of Queensland（信息科技与电气工程学院，昆士兰大学）
本文提出eX-NIDS框架，通过大语言模型增强基于流的NIDS可解释性，经Prompt Augmenter模块提取上下文与CTI知识生成解释，评估显示其比基线性能提升超20%。
2025-07-22 cs.AI cs.CR
Adversarial Machine Learning in Network Intrusion Detection Systems
Army Cyber Institute, U.S. Military Academy（美国陆军军事学院陆军网络研究所）
对抗性示例是攻击者故意制作的机器学习系统的输入，以欺骗模型产生错误的输出。这些例子在图像识别、语音识别和垃圾邮件检测等领域取得了很大的成功。本文研究了网络入侵检测系统中对抗性问题的本质。我们专注于攻击的角度，其中包括生成能够逃避各种机器学习模型的对抗性示例的技术。更具体地说，我们探索使用演化计算（粒子群优化和遗传算法）和深度学习（生成对抗网络）作为对抗示例生成的工具。为了评估这些算法在规避NIDS的性能，我们将它们应用到两个公开的数据集，即NSL-KDD和UNSW-NB 15，我们将它们与基线扰动方法进行对比：蒙特卡洛模拟。结果表明，我们的对抗性示例生成技术在11个不同的机器学习模型中导致了很高的误分类率，以及投票分类器。我们的工作突出了基于机器学习的NIDS在对抗性干扰面前的脆弱性。
2020-04-23 cs.CR cs.LG cs.NE
Intrusion Prevention and Detection in Grid Computing - The ALICE Case
Johann-Wolfgang-Goethe University（约翰·沃尔夫冈·歌德大学）
网格允许用户通过远程通信网络灵活地按需使用计算资源。高能物理网格（HEP）研究的一个显著例子是欧洲核子研究中心的ALICE实验。物理学家可以提交用于处理大型强子对撞机（LHC）产生的大量粒子碰撞数据的作业。电网面临着复杂的安全挑战。它们是寻求巨大计算资源的攻击者的有趣目标。由于用户可以在网格站点上的工作节点中执行任意代码，因此应该特别注意这种环境。需要自动化工具来强化和监控这种情况。目前，还没有针对这种需求的集成解决方案。本文描述了一种新的安全框架，允许在沙箱环境中执行作业负载。它还允许通过机器学习方法进行进程行为监控，以检测入侵，即使在新的攻击方法或零日漏洞被利用时也是如此。我们计划实施建议的框架作为一个软件原型，将作为一个组件的ALICE网格中间件进行测试。
2017-04-20 cs.AI cs.CR cs.DC
