HPAC-IDS: A Hierarchical Packet Attention Convolution for Intrusion Detection System
提出融合层次化注意力与卷积网络的 HPAC-IDS，通过数据包分段检测恶意流量，在 CIC-IDS2017 上实现高精度、低误报，并显著优于现有模型的对抗鲁棒性。
2025-01-09 cs.CR
Consistent and Compatible Modelling of Cyber Intrusions and Incident Response Demonstrated in the Context of Malware Attacks on Critical Infrastructure
本文提出将关键基础设施的入侵模型与应急响应剧本统一建模，通过安全建模框架实现攻击树到剧本格式的转换，增强风险评估与响应的集成，并提供了九个示例模型。
2025-05-22 cs.CR
Attribute Weighting with Adaptive NBTree for Reducing False Positives in Intrusion Detection
在本文中，我们介绍了新的学习算法，以减少误报入侵检测。该方法基于决策树和自适应朴素贝叶斯树的属性加权，不仅可以将误报率降低到可接受的水平，而且可以提高对不同类型网络入侵的检测率。随着网络服务的快速增长，入侵检测技术已经成为网络安全的重要手段。近年来，数据采掘算法被应用于基于网络的流量数据和基于主机的程序行为，以检测入侵或误用模式，但现有的入侵检测算法存在检测率不均衡、误报率高、属性冗余等问题，导致检测模型复杂、检测精度下降。本研究的目的是确定重要的输入属性，建立一个入侵检测系统（IDS），是计算效率和有效的。使用KDD99基准网络入侵检测数据集进行的实验结果表明，该方法可以显着减少误报的数量和百分比，并扩大了不同类型的网络入侵的平衡检测率。
2010-05-06 cs.CR
HBFL: A Hierarchical Blockchain-based Federated Learning Framework for a Collaborative IoT Intrusion Detection
University of Queensland（昆士兰大学）
物联网生态系统安全态势的持续加强至关重要，因为互联设备的数量和共享的敏感数据量不断增加。利用机器学习（ML）功能防御物联网网络攻击具有许多潜在的好处。然而，目前提出的框架没有考虑数据隐私，安全架构和/或物联网生态系统的可扩展部署。在本文中，我们提出了一个基于分层区块链的联邦学习框架，以实现安全和隐私保护的协作物联网入侵检测。我们强调并展示了在组织间物联网网络之间共享网络威胁情报以提高模型检测能力的重要性。建议基于ML的入侵检测框架遵循分层联邦学习架构，以确保学习过程和组织数据的隐私。交易（模型更新）和流程将在安全的不可变分类账上运行，执行任务的一致性将由智能合约验证。我们已经测试了我们的解决方案，并通过实施它并使用关键的物联网数据集评估入侵检测性能来证明其可行性。其结果是一个安全设计的基于ML的入侵检测系统，能够检测到广泛的恶意活动，同时保护数据隐私。
2022-04-08 cs.CR cs.LG cs.NI
Towards an Effective Intrusion Response Engine Combined with Intrusion Detection in Ad Hoc Networks
在本文中，我们提出了一个有效的入侵响应引擎结合入侵检测在ad hoc网络。入侵响应引擎由安全通信模块、本地响应模块和全局响应模块组成。它的功能是基于一个创新的基于树的密钥协商协议，而入侵检测引擎是基于一类神经网络称为eSOM。建议的入侵响应模型和基于树的协议，它是基于，分析有关密钥保密性，而入侵检测引擎进行评估的MANET在不同的交通条件和移动模式。实验结果表明，该算法对丢包攻击具有较高的检测率.
2008-07-13 cs.CR cs.NI
ExpIDS: A Drift-adaptable Network Intrusion Detection System With Improved Explainability
ST Engineering（新加坡科技工程）
针对网络入侵检测系统可解释性差的问题，提出漂移自适应的深度学习模型ExpIDS，通过高保真决策树解释提升可解释性，并在实验中验证其检测性能与最先进系统相当。
2025-09-25 cs.CR
Adaptive Layered Approach using Machine Learning Techniques with Gain Ratio for Intrusion Detection Systems
入侵检测系统（IDS）已成为计算机和网络系统的一个重要问题。入侵检测系统的性能优化是一个重要的开放性问题，越来越受到研究界的关注。为了提高入侵检测的效率和分类率，本文设计并实现了一种多层入侵检测模型，有效地应用机器学习技术（C5决策树、多层感知器神经网络和朴素贝叶斯），利用增益比为每一层选择最佳特征，从而使用更小的存储空间，获得更高的入侵检测性能。实验结果表明，基于C5决策树的多层模型，采用基于增益比的特征选择，分类精度更高，虚警率比MLP和朴素贝叶斯更低。使用增益比显著提高了三种机器学习技术（C5、MLP和朴素贝叶斯）的U2R和R2L的准确性。MLP在使用Dos和Probe层的全部41个特征时具有较高的分类率。
2012-10-29 cs.CR
A Resource-Aware Behavior Reconstruction and Hierarchical Semantic Learning Framework for Host Intrusion Detection
Sichuan University（四川大学）；School of Cyber Science and Engineering, Sichuan University（四川大学网络空间安全学院）；Key Laboratory of Data Protection and Intelligent Management, Ministry of Education, China（教育部数据保护与智能管理重点实验室）；Beijing University of Posts and Telecommunications（北京邮电大学）；School of Cyberspace Security, Beijing University of Posts and Telecommunications（北京邮电大学网络空间安全学院）；China Academy of Information and Communications Technology（中国信息通信研究院）；Institute of Security, China Academy of Information and Communications Technology（中国信息通信研究院信息安全研究所）
提出ReSHID框架，通过重构语义连续的系统调用序列并构建主体行为图，利用GATv2学习复杂攻击模式，显著提升主机入侵检测性能并大幅减少特征数量。
2026-10-02 cs.CR
Tree-based Intelligent Intrusion Detection System in Internet of Vehicles
Western University（西部大学）；National Research Council (NRC)（国家研究委员会）
自动驾驶汽车（AV）的使用是智能交通系统（ITS）中一项很有前途的技术，可以提高安全性和驾驶效率。车联网（V2X）技术可实现车辆和其他基础设施之间的通信。然而，自动驾驶汽车和车联网（IoV）容易受到不同类型的网络攻击，如拒绝服务，欺骗和嗅探攻击。提出了一种基于树结构机器学习模型的智能入侵检测系统。建议的入侵检测系统的标准数据集上的实施的结果表明，该系统有能力识别各种网络攻击的AV网络。此外，所提出的集成学习和特征选择方法，使所提出的系统，以实现高检测率和低计算成本的同时。
2022-10-05 cs.CR cs.LG stat.ML
Hierarchical Classification for Intrusion Detection System: Effective Design and Empirical Analysis
Deakin University（迪肯大学）；International University of Business Agriculture and Technology（国际商业农业技术大学）
本文研究了层次化分类方法在入侵检测系统中的有效性，通过三级分类模型在10个数据集和10种算法上的实证分析，发现其整体性能与扁平分类相当，但能显著减少将攻击误判为正常流量的情况，在关键系统中更具优势。
2024-03-17 cs.CR cs.LG
A Scalable Hierarchical Intrusion Detection System for Internet of Vehicles
School of Information Technology, Crown Institute of Higher Education（信息技术学院，皇冠高等教育学院）
针对车联网集中式入侵检测延迟高、边缘节点资源受限的问题，提出一种分层分类框架，结合Boruta特征选择，在CIC-IoV2024数据集上验证了其可行性和有效性。
2025-05-22 cs.CR cs.LG
Soft Computing Models for Network Intrusion Detection Systems
计算机和连接它们的网络的安全性正变得越来越重要。计算机安全被定义为保护计算系统免受对机密性、完整性和可用性的威胁。有两种类型的入侵者：外部入侵者，他们是他们攻击的机器的未经授权的用户，以及内部入侵者，他们有权限访问系统，但有一些限制。本章介绍了一种软计算方法来检测网络中的入侵。在软计算的几个范例中，我们研究了基于模糊规则的分类器，决策树，支持向量机，线性遗传编程和集成方法来建模快速，高效的入侵检测系统。实验结果清楚地表明，软计算方法可以发挥重要作用的入侵检测。
2004-05-13 cs.CR
A Robust Multi-Stage Intrusion Detection System for In-Vehicle Network Security using Hierarchical Federated Learning
针对CAN总线车载网络易受攻击的问题，提出结合ANN与LSTM自编码器的多阶段轻量入侵检测系统，基于分层联邦学习部署，在已知和新型攻击检测上均取得优异性能且误报率极低。
2024-08-15 cs.CR
Extending Network Intrusion Detection with Enhanced Particle Swarm Optimization Techniques
本研究结合增强粒子群优化（EPSO）改进网络入侵检测，通过多数据集对比多类模型，发现经EPSO微调的决策树性能最优，提出了高精度高可靠的NIDS框架，为网络安全入侵检测提供新方案。
2024-08-14 cs.CR
Detection Of Insider Attacks In Block Chain Network Using The Trusted Two Way Intrusion Detection System
为了数据隐私、系统可靠性和安全性，区块链技术近年来变得越来越流行。尽管区块链很有用，但它很容易受到网络攻击;例如，2019年1月，对以太坊经典的51%攻击成功暴露了该平台的安全漏洞。从统计学的角度来看，攻击是一种极不寻常的事件，大大偏离了正常情况。区块链攻击检测可能会受益于深度学习，这是一个旨在发现海量数据存储库中的见解、模式和异常的研究领域。在这项工作中，我们定义了一个可信的双向入侵检测系统的基础上，分层加权模糊算法和自组织堆栈网络（SOSN）深度学习模型，这是训练利用聚合信息监测区块链活动提取。在这里，智能合约最初处理节点身份验证。验证节点的目的是确保只有特定的节点可以提交和检索信息。我们实现了层次加权模糊算法来评估交易节点的信任能力。然后交易验证步骤通过自组织堆栈网络深度学习模型确保提交的交易上的所有恶意交易或活动。整个实验是在matlab环境下进行的。大量的实验结果表明，我们提出的检测方法具有更好的性能的重要指标，如精度，召回率，F-Score，开销。
2022-11-06 cs.CR
A consensus based network intrusion detection system
网络入侵检测是识别针对网络及其资源的恶意行为的过程。目前的系统实现入侵检测过程中观察流量在网络中的几个数据收集点，但分析往往是集中或部分集中。这些系统是不可扩展的，并且遭受单点故障，即攻击者只需要针对中心节点来危害整个系统。本文提出了一种基于异常的分布式网络入侵检测系统，在每个数据采集点使用朴素贝叶斯分类器进行分析。每个分类器计算的概率值使用迭代平均共识协议在节点之间共享。最终分析在每个数据收集点的级别上冗余地并行执行，从而避免了单点故障问题。我们运行的模拟集中在DDoS攻击与几个网络配置，比较我们的完全分布式系统的准确性与层次。我们还分析了共识阶段的通信成本和收敛速度。
2015-09-15 cs.CR
Empowering IoT Security: On-Device Intrusion Detection in Resource Constrained Devices
Cardiff University（卡迪夫大学）；Toshiba Bristol Research and Innovation Laboratory（东芝布里斯托研究与创新中心）
本文提出轻量级模型，利用机器学习算法在资源受限设备上实现高精度入侵检测，采用决策树和神经网络分别达到99%和96%的检测准确率，提升物联网网络的实时监控与防御能力。
2026-05-13 cs.CR
xIDS-EnsembleGuard: An Explainable Ensemble Learning-based Intrusion Detection System
本文提出了一种名为EnsembleGuard的可解释集成入侵检测系统，结合基于树和深度学习模型通过模型蒸馏构建元模型，在UNSW-NB15等数据集上表现优于现有方法。
2025-03-01 cs.CR
Application of deep learning to enhance the accuracy of intrusion detection in modern computer networks
本文研究了在现代计算机网络中应用深度学习来提高入侵检测的准确性。计算机网络中攻击的识别根据学习阶段使用的信息分为入侵检测和异常检测两类。入侵检测使用常规流量和攻击流量。异常检测方法试图对系统的正常行为进行建模，任何违反此模型的事件都被视为可疑行为。例如，如果Web服务器（通常是被动的）试图将有许多地址可能感染蠕虫。异常诊断方法有统计模型、安全系统方法、检查协议、检查文件、创建白名单、神经网络、遗传算法、向量机、决策树。我们的研究结果表明，我们的方法提供了高水平的准确性，精确度和召回率，同时减少了训练时间。在我们未来的工作中，探索改进的第一个途径将是评估和扩展我们模型处理零日攻击的能力。
2020-12-13 cs.CR
Network Intrusion Detection Using Wrapper-based Decision Tree for Feature Selection
School of Computer Science and Technology, Changchun University of Science and Technology（长春理工大学计算机科学与技术学院）
基于机器学习（ML）的入侵检测系统（IDS）面临的主要挑战之一是昂贵的计算复杂性，这在很大程度上是由于IDS数据集中包含冗余、不完整和不相关的特征。为了克服这一挑战，保证建立高效、准确的入侵检测模型，许多研究者在混合建模方法中使用了归一化和特征选择等预处理技术。在这项工作中，我们提出了一个混合IDS建模方法与算法的特征选择（FS）和另一个用于建立一个IDS。FS算法是一个基于包装器的决策树作为特征评估器。提出的FS方法与一些选定的ML算法结合使用，使用UNSW-NB 15数据集构建IDS模型。有些IDS模型是作为基线在一个单一的建模方法使用数据集的全部功能。我们评估我们提出的方法的有效性，通过比较它与基线模型，也与国家的最先进的作品。我们的方法实现了97.95%的最佳DR，并且与最先进的作品相比非常有效。因此，我们建议使用它，特别是在IDS建模与UNSW-NB 15数据集。
2020-08-11 cs.CR cs.LG
Effective Feature Extraction for Intrusion Detection System using Non-negative Matrix Factorization and Univariate analysis
提出结合非负矩阵分解和卡方分析的分层特征提取方法，降低过拟合风险与噪声，在NSL-KDD和CICD 2017数据集上分别提升4.66%和0.39%性能。
2023-04-03 cs.CR
XAI and Statistical Analysis for Reliable Intrusion Detection in the UAVIDS-2025 Dataset: From Tree to Hybrid and Tabular DNN Ensembles
University of Piraeus（比雷埃克斯大学）；Dept. of Informatics（信息学院）
本文利用XAI和统计分析，在UAVIDS-2025数据集上通过树集成、深度神经网络、混合堆叠模型和最新集成神经网络检测入侵，结合SHAP分析和分布分析，揭示攻击特征和误分类原因。
2026-07-13 cs.CR cs.LG stat.CO
Optimizing Intrusion Detection System Performance Through Synergistic Hyperparameter Tuning and Advanced Data Processing
针对传统入侵检测难以识别复杂网络异常的问题，提出融合 K-means+SMOTE、PCA/FCBF 降维及 Extra Trees、BO-TPE 超参数优化的深度学习方案，VGG19 在两个 IDS 数据集上准确率均超过 99.2%。
2024-08-03 cs.CR
A Distributed Intrusion Detection System Using Cooperating Agents
目前的入侵检测系统存在着一些问题，限制了它们的可配置性、可扩展性和效率。有一些关于分布式体系结构的主张，基于多个独立的代理共同工作的入侵检测。然而，这些分布式入侵检测系统并不是完全分布式的，因为它们中的大多数集中分析从分布式节点收集的数据，这可能导致单点故障。本文提出了一种分布式入侵检测体系结构，它是基于自治和合作代理没有任何集中的分析组件。代理合作，使用层次化的利益和数据的通信，和入侵数据的分析是由代理在最低层次的。这种体系结构在可伸缩性、灵活性、可扩展性、容错和抗危害性方面提供了显著的优势。开发了一个概念验证原型系统，并在其上进行了实验，实验结果表明了该系统在检测入侵行为方面的有效性。
2011-11-02 cs.CR cs.NI
Evaluation of Machine Learning Classifiers for Zero-Day Intrusion Detection -- An Analysis on CIC-AWS-2018 dataset
检测零日入侵一直是网络安全的目标，特别是入侵检测。机器学习被认为是解决这个问题的有前途的方法，已经提出了许多模型，但实际的解决方案仍然没有出现，主要是由于过时的开放数据集所造成的限制。在本文中，我们对CICFlowMeter生成的基于流的统计数据进行了深入的检查，并使用了六种最流行的机器学习分类模型来检测零日攻击。训练数据集CIC-AWS-2018数据集包含14种类型的入侵，而测试数据集包含8种不同类型的攻击。在CIC-AWS-2018数据集上评估和交叉验证了六个分类模型在假阳性率，真阳性率和时间开销方面的准确性。测试数据集，包括八个新的（或零日）的真实生活中的攻击和良性流量收集在真实的研究生产网络被用来测试所选择的决策树分类器的性能。结果表明，该算法的精度高达100%，时间开销合理。我们认为，从CICFlowMeter收集的统计数据，简单的机器学习模型，如决策树分类可以负责检测零日攻击。
2021-01-28 cs.CR cs.LG
A Hierarchical Security Events Correlation Model for Real-time Cyber Threat Detection and Response
针对入侵检测系统告警量大、人工分析效率低且现有告警关联依赖外部第三方系统的问题，提出一种在IDS分类前进行事件关联的分层模型，融合两类关联技术优势并定制专属算法，在DARPA 99数据集上实现87%数据缩减。
2025-01-18 cs.CR cs.DC
Are We Shooting Flies with Cannons? Trade-off Analysis for AI-based 5G Intrusion Detection
Linköping University（林雪平大学）
本研究针对5G网络入侵检测任务，对比XGBoost、TabNet和LLM等模型，发现XGBoost在性能与计算成本上的权衡最优，强调需根据任务适用性选择模型而非追求复杂度。
2026-08-28 cs.CR
I-SiamIDS: an improved Siam-IDS for handling class imbalance in network-based intrusion detection systems
NIDS通过分析网络流量来识别恶意活动。NIDS是用良性和侵入性网络流量的样本进行训练的。训练样本属于多数类或少数类，这取决于可用实例的数量。多数类包括丰富的样本正常流量以及经常性的入侵。然而，少数类包括较少的未知事件或不频繁的入侵样本。在这种不平衡的数据上训练的NIDS往往会对少数攻击类别进行有偏见的预测，从而导致未检测到或错误分类的入侵。过去的研究工作使用数据级方法来处理这种类不平衡问题，即在训练数据集中增加少数类样本或减少多数类样本。虽然这些数据级平衡方法间接地提高了NIDS的性能，但是它们没有解决NIDS中的根本问题，即它们不能识别仅具有有限训练数据的攻击。本文提出了一种算法级的方法称为I-SiamIDS，这是一个两层的集成处理类不平衡问题。I-SiamIDS在算法级识别多数类和少数类，而不使用任何数据级平衡技术。I-SiamIDS的第一层使用b-XGBoost，Siamese-NN和DNN的集成对输入样本进行分层过滤以识别攻击。然后，这些攻击被发送到I-SiamIDS的第二层，使用m-XGBoost将其分类为不同的攻击类别。与同类产品相比，I-SiamIDS在NSL-KDD和CIDDS-001数据集的准确性、召回率、精确度、F1评分和AUC值方面均显示出显著的改善。为了进一步强化结果，还进行了计算成本分析以研究所提出的I-SiamIDS的可接受性。
2020-09-23 cs.CR
Hybrid Model For Intrusion Detection Systems
University of Manitoba（曼尼托巴大学）
随着越来越多的新攻击不断增长的网络流量，它是越来越具有挑战性的立即警告任何恶意活动，以避免敏感数据和金钱的损失。这使得入侵检测成为网络安全的主要关注领域之一。基于异常的网络入侵检测技术是最常用的技术之一。根据用于测试这些技术的数据集的不同，准确性也会有所不同。大多数时候，这个数据集并不代表真实的网络流量。考虑到这一点，该项目涉及分析入侵检测系统中使用的不同机器学习算法，并在两个类似于当前现实世界网络流量的数据集（CICIDS 2017）和KDD 99的改进（NSL-KDD）上进行测试。在分析了不同入侵检测系统在两个数据集上的表现后，本项目旨在开发一种新的混合入侵检测系统模型。这种新的混合方法结合了决策树和随机森林算法，使用堆叠方案，实现了NSL-KDD数据集的准确率为85.2%，精确度为86.2%，CICIDS 2017数据集的准确率为98%，精确度为98%。
2020-03-19 cs.CR cs.LG
A Hybrid Approach for an Interpretable and Explainable Intrusion Detection System
Research Group on Intelligent Engineering and Computing for Advanced Innovation and Development (GECAD), Porto School of Engineering (ISEP)（波尔图工程学院（ISEP）智能工程与先进创新开发计算研究组（GECAD））
网络安全问题已经存在了很长一段时间。近年来，由于技术的重大进步，网络攻击的规模和复杂性不断增加。如今，不可避免地需要保护对业务连续性至关重要的系统和数据。因此，许多入侵检测系统已被创建，试图减轻这些威胁，并有助于及时检测。本文提出了一种可解释和可解释的混合入侵检测系统，它利用人工智能方法来实现更好和更持久的安全性。该系统结合了专家的书面规则和动态知识不断产生的决策树算法作为新的证据碎片出现在网络活动。
2021-11-19 cs.AI cs.CR
Improving Network Intrusion Detection Classifiers by Non-payload-Based Exploit-Independent Obfuscations: An Adversarial Approach
基于机器学习的入侵检测分类器能够检测到未知的攻击，但同时，它们可能容易被混淆技术规避。一个对手入侵者，拥有一个保护系统的关键知识，可以很容易地绕过检测模块。我们的工作的主要目标是提高入侵检测分类器对这样的对手的性能能力。为此，我们首先提出了几种基于网络连接的各种属性的修改的远程攻击的混淆技术，然后我们进行了一组全面的实验，以评估入侵检测分类器对混淆攻击的有效性。我们通过一个基于NetEm和Metasploit的工具来实例化我们的方法，该工具在任何TCP通信上实现了我们的混淆操作符。这使我们能够为机器学习实验生成修改后的网络流量，这些实验采用用于评估网络统计数据和TCP连接行为的功能。我们执行五个分类器的评估：高斯朴素贝叶斯，高斯朴素贝叶斯与核密度估计，逻辑回归，决策树，和支持向量机。我们的实验证实了这样一个假设，即在没有关于混淆攻击的先验知识的情况下训练的所有分类器都可以逃避入侵检测能力，从而导致TPR从7.8%到66.8%的恶化。此外，当通过混淆攻击的子集扩大分类器的训练知识时，我们实现了TPR的4.21% -73.3%的显着改善，而FPR仅略有恶化（0.1% - 1.48%）。最后，我们测试了模糊感知分类器检测未知模糊攻击的能力，其中大多数模糊攻击的平均检测率超过90%。
2018-12-12 cs.CR
AI-Powered Hybrid Intrusion Detection Framework for Cloud Security Using Novel Metaheuristic Optimization
Middle Technical University（中东技术大学）；University of Tabriz（大不里士大学）
本文提出基于新型元启发式优化的混合入侵检测框架，通过特征选择和机器学习模型提升云安全性能。
2026-01-03 cs.AI cs.CR
Beyond Detection Accuracy: Measuring Explanation Cost, Stability, and Utility for Resource-Aware IoT Intrusion Detection
organization= Independent Researcher , city= Istanbul , country= Türkiye
本研究针对物联网入侵检测，构建泄露安全的CICIoT2023语料库，评估四种模型的预测性能、解释成本与稳定性，发现需综合多指标而非仅检测准确率实现实用可解释检测。
2026-08-12 cs.CR cs.LG cs.NI
Attribute Learning for Network Intrusion Detection
University of Coimbra（科英布拉大学）
网络入侵检测是大数据分析最明显的用途之一。这种应用程序的主要问题之一是新攻击的不断增加。传统的机器学习方法很难解决这种情况，其特征在于没有足够的标记示例可用于新的攻击类别。关于零样本学习（Zero-Shot learning，简称ZRL）方法的新发现使其成为解决这个问题的一个有趣的方法，因为它能够对看不见的类的实例进行分类。语义学习本质上有两个阶段：属性学习和推理阶段。在本文中，我们提出了一个新的算法的属性学习阶段的CNOL。其思想是基于决策树（DT）学习属性的新值。我们的研究结果表明，从DT提取的规则的基础上，可以找到一个更好的分布的属性value. We还提出了一个实验设置的评估的网络入侵检测（NID）的CNOL。
2016-07-28 cs.CR cs.LG
An Efficient Flow-based Multi-level Hybrid Intrusion Detection System for Software-Defined Networks
软件定义网络（SDN）是一种提供增强编程能力的新型网络范例，其可用于基于更有效的方法来解决传统的安全挑战。SDN范例中最重要的元素是控制器，它负责管理每个通信转发元素（交换机或路由器）的流。由控制器提供的流量统计被认为是有用的信息，可以用来开发基于网络的入侵检测系统。因此，在本文中，我们提出了一个5级混合分类系统的基础上流量统计，以达到提高系统的整体精度。对于第一级，我们采用k-最近邻方法（kNN）;对于第二级，我们使用极端学习机（ELM）;对于其余级别，我们使用分层极端学习机（H-ELM）方法。与传统的基于NSL-KDD基准数据集的监督机器学习算法相比，实验研究表明，我们的系统达到了最高水平的准确率（84.29%）。因此，我们的方法提出了一个有效的方法在SDN的入侵检测。
2018-06-11 cs.CR cs.NI
Sequential Binary Classification for Intrusion Detection
Ericsson（爱立信）
针对IDS数据集类别不平衡影响ML模型性能的问题，提出序列二进制分类（SBC）分层级联结构方法，实验证明该结构方法在基准IDS数据集上是处理多分类类别不平衡的可行方案。
2025-02-13 cs.CR cs.LG cs.NI
Walling up Backdoors in Intrusion Detection Systems
Technische Universität Wien（维也纳工业大学）
中毒攻击和后门最近重新出现在深度学习（DL）应用中。最近已经为卷积神经网络（CNN）提出了几种成功的防御机制，例如在自动驾驶的背景下。我们表明，可视化方法可以帮助识别独立于所使用的分类器的后门。令人惊讶的是，我们发现，常见的防御机制完全不能删除后门在DL的入侵检测系统（IDS）。最后，我们设计了基于修剪的方法来删除后门的决策树（DT）和随机森林（RF），并证明了它们的有效性，为两个不同的网络安全数据集。
2020-04-05 cs.CR cs.LG cs.NI
A Novel Overlay IDS For Wireless Sensor Networks
无线传感器网络（Wireless Sensor Network，WSN）是由低成本的传感器节点组成的，这些节点无法在其中实现复杂的安全系统，这也是WSN入侵检测体系结构差异较大且难以实现的原因。目前的大多数实现是基于在叶级传感器之间交换异常信号，导致太多的功耗。提出了一种基于层次覆盖设计的无线传感器网络入侵检测系统（IDS）的体系结构，将入侵检测的整体责任分配到各个实体中，从而节省节点的内存和功耗。该体系结构采用分层设计，基于专门的监测节点，采用GSM蜂窝式结构。HOD结构使传感器能够使用更少的消息进行通信，从而节省宝贵的功率，并且还通过不在每个传感器上实现IDS模块来节省内存。该建议还使用通过层的警报的涟漪，从而确保适当的传递到最上层的冗余。
2012-08-18 cs.CR
ANTIDS: Self-Organized Ant-based Clustering Model for Intrusion Detection System
计算机和连接它们的网络的安全性正变得越来越重要。计算机安全被定义为保护计算系统免受对机密性、完整性和可用性的威胁。有两种类型的入侵者：外部入侵者是他们攻击的机器的未经授权的用户，内部入侵者有权限访问系统，但有一些限制。由于系统管理员越来越不可能识别并手动干预以阻止攻击，因此越来越多的人认识到，ID系统应该在遵循其关于复杂自然系统行为的基本原则上获得很多收益，即所谓的自组织，允许对这种现象进行真正的分布式和集体感知。考虑到这一目标，目前的工作提出了一个自组织的基于蚁群的入侵检测系统（ANTIDS）检测网络基础设施中的入侵。传统的软计算模式，如决策树，支持向量机和线性遗传编程的性能进行比较，以模拟快速，在线和高效的入侵检测系统。
2004-12-17 cs.AI cs.CR
An Interpretable Federated Learning-based Network Intrusion Detection Framework
Shanghai Jiao Tong University（上海交通大学）；Institute for Network Sciences and Cyberspace, Beijing National Research Center for Information Science and Technology, Tsinghua University（清华大学网络科学与网络空间研究院，北京信息科学与技术国家研究中心）
基于学习的网络入侵检测系统（NIDS）被广泛应用于防御各种网络攻击。现有的基于学习的网络入侵检测系统主要使用神经网络（NN）作为分类器，依赖于网络攻击数据的质量和数量。这种基于NN的方法也很难解释为提高效率和可扩展性。在本文中，我们设计了一个新的局部-全局计算范式，联邦森林，一个新的学习为基础的NIDS结合可解释的梯度提升决策树（GBDT）和联邦学习（FL）框架。具体而言，FEDFOREST由多个客户端组成，这些客户端为服务器提取本地网络攻击数据特征，以训练模型并检测入侵。FEDFOREST中还提出了一种隐私增强技术，以进一步消除FL系统的隐私。在4个不同任务的网络攻击数据集上的实验表明，FEDFOREST是有效的，高效的，可解释的，可扩展的。FEDFOREST在2021年中国大学生协作学习与网络安全竞赛中排名第一。
2022-01-10 cs.CR cs.LG
Intrusion Detection Mechanism Using Fuzzy Rule Interpolation
模糊规则插值（FRI）方法可以推断（内插）的结论，即使在某些情况下，如果没有明确定义的模糊规则为基础的知识表示。该属性在部分解析解决的应用中是有益的;在那里，专家知识表示的效率与机器学习方法的精度混合。本文的目的是介绍FRI在入侵检测系统（IDS）应用领域的优势，在分布式拒绝服务（DDOS）攻击的检测机制的设计和实现。在作为测试平台环境的论文示例中，应用了开源DDOS数据集和通用公共许可证（GNU）FRI SDK。FRI-IDS示例应用程序的性能与用于在相同的开源测试平台环境中检测DDOS攻击的其他常见分类算法进行了比较。结果表明，FRI-IDS的整体检测率与其他方法相当。在示例数据集上，它优于支持向量机算法的检测率，而其他算法（神经网络、随机森林和决策树）记录略高的检测率。因此，FRI推理系统可以是一个合适的方法来实现作为一种检测机制的入侵检测系统，它有效地降低了误报率值。此外，由于其模糊规则库的知识表示性质，它可以很容易地适应专家知识，也适用于预测的威胁可能性程度的水平。
2019-04-18 cs.CR
Performance evaluation of Machine learning algorithms for Intrusion Detection System
本文基于KDD CUP-'99'数据集评估多种机器学习分类器在入侵检测中的表现，并使用准确率、精确率、召回率和F1度量比较其性能。
2023-10-01 cs.CR
Towards an Efficient Anomaly-Based Intrusion Detection for Software-Defined Networks
Ozyegin University（奥兹耶金大学）；Ege University（埃格大学）
软件定义网络（SDN）是允许开发更灵活的网络应用的新范例。SDN控制器是一个集中式的控制点，负责运行各种网络应用，并维护不同的网络服务和功能。选择高效的入侵检测系统有助于减少运行控制器的开销，并创建更安全的网络。在这项研究中，我们研究了著名的基于异常的入侵检测方法的准确性，误报率，精度，召回率，f1-措施，ROC曲线下的面积，执行时间和Mc Nemar的测试方面的性能。准确地说，我们专注于监督机器学习方法，其中我们使用以下分类器：决策树（DT）、极限学习机（ELM）、朴素贝叶斯（NB）、线性判别分析（LDA）、神经网络（NN）、支持向量机（SVM）、随机森林（RT）、K最近邻（KNN）、AdaBoost、RUSBoost、LogitBoost和BaggingTrees，我们使用著名的NSL-KDD基准数据集来比较这些分类器中每一个的性能。
2018-08-19 cs.CR cs.LG
Sequence Covering for Efficient Host-Based Intrusion Detection
本文介绍了一种新的相似性度量，覆盖相似性，我们正式定义的符号序列和一组符号序列之间的相似性评价。也可以直接从覆盖相似性导出成对相似性以比较两个符号序列。提出了一种有效的实现来计算覆盖相似性，使用后缀树数据结构，但其他实现，例如基于后缀数组，是可能的，并且可能需要处理大规模的问题。在基于主机的入侵检测中，我们利用这种相似性将攻击序列从正常序列中分离出来。我们已经评估了两个著名的基准领域的覆盖相似性。鉴于这两个数据集上报告的最新方法的结果，并且根据我们基于通常用于字符串处理或生物信息学中的三个具有挑战性的相似性度量进行的比较研究，我们表明覆盖相似性与解决系统调用序列中的异常检测特别相关
2018-08-24 cs.CR cs.IR
Intrusion Detection using Continuous Time Bayesian Networks
University of California, Riverside（加州大学河滨分校）
入侵检测系统（IDS）分为两个高级类别：基于网络的系统（NIDS），用于监视网络行为;基于主机的系统（HIDS），用于监视系统调用。在这项工作中，我们提出了一个通用的技术，这两个系统。我们使用异常检测，识别不符合历史规范的模式。在这两种类型的系统中，变化率随时间（由于突发性）和组件（由于服务差异）而显著变化。为了有效地建模这样的系统，我们使用连续时间贝叶斯网络（CTBN），并避免指定一个固定的更新间隔常见的离散时间模型。我们从正常的训练数据中构建生成模型，并根据异常行为在此规范下的可能性对其进行标记。对于网络入侵检测系统，我们构建了一个层次化的CTBN模型的网络数据包的痕迹，并使用Rao-Blackwellized粒子滤波学习参数。我们说明了我们的方法的力量，通过实验检测真正的蠕虫和识别主机上两个公开的网络痕迹，MAWI数据集和LBNL数据集。对于HIDS，我们开发了一种新的学习方法来处理系统日志文件时间戳的有限分辨率，而不会失去我们的连续时间模型的好处。我们通过检测DARPA 1998年BSM数据集中的入侵来演示该方法。
2014-01-16 cs.AI cs.CR
Generation Matrix: An Embeddable Matrix Representation for Hierarchical Trees
从局部结构出发研究层次树是一种常用的研究方法。然而，繁琐的分析和描述使得朴素方法难以适应日益复杂的层次树问题。为了提高层次树研究的效率，我们提出了一种层次树的可嵌入矩阵表示，称为生成矩阵。它可以将抽象的层次树转化为具体的矩阵表示，然后将层次树作为一个整体进行研究，大大降低了研究的复杂性。数学分析表明，生成矩阵可以模拟各种递归算法，而无需访问局部结构，并提供了多种可解释的矩阵运算，支持层次树的研究。将生成矩阵应用于差分隐私层次树发布，提出了一种基于生成矩阵的最优一致发布算法（GMC）。它提供了一个非常简洁的过程描述，使我们可以描述其核心步骤作为一个简单的矩阵表达式，而不是像现有的算法多个复杂的递归过程。我们的实验表明，GMC只需要几秒钟就可以完成超过1000万个节点的大规模数据集的发布。计算效率比现有方案提高了100倍。
2022-08-24 cs.CR cs.DS
Towards Explainable Meta-Learning for DDoS Detection
Nanjing University of Science and Technology（南京理工大学）；Queen Mary University of London（伦敦玛丽女王大学）
针对AI入侵检测缺乏准确解释的问题，本文基于人工免疫系统提出严格可解释的DDoS检测方法，并用决策树质蕴含规则实现负选择。
2022-08-16 cs.AI cs.CR cs.NI
A Grassmannian Approach to Zero-Shot Learning for Network Intrusion Detection
Institute of Systems and Robotics (ISR)（系统与机器人研究所）；University of Coimbra（科英布拉大学）；CISUC, Department of Informatics Engineering, University of Coimbra（科英布拉大学信息工程系CISUC）；College of Computer Science and Technology, Henan Polytechnic University（河南理工大学计算机科学与技术学院）；Department of Mathematics（数学系）
网络入侵检测中的一个主要问题是新攻击的不断增加，使得没有足够的标记样本来识别新的攻击类型。传统的机器学习方法很难解决这样的问题。这可以通过零样本学习来克服，这是计算机视觉领域的一种新方法，可以分为两个阶段：属性学习和推理阶段。提出了一种新的网络入侵检测推理阶段算法。为了实现这一目标，我们首先提出了一个实验装置，用于评估网络入侵检测相关任务中的零样本学习。其次，在AL阶段应用基于决策树的算法提取用于生成属性的规则。最后，使用Zero-Shot类的表示作为格拉斯曼流形中的点，该流形中的点之间的最短距离的显式公式可以用于计算表示新攻击的Zero-Shot类与对应于攻击类别的已知类之间的测地线距离。在KDD Cup 99和NSL-KDD数据集上的实验结果表明，我们的方法与零样本学习成功地解决了网络入侵检测问题。
2017-09-23 cs.CR cs.LG
A Novel Control-flow based Intrusion Detection Technique for Big Data Systems
安全性和分布式基础设施是大数据软件最常见的两个要求。但大数据平台的安全功能还为时过早。在大数据世界中使用某些现有的安全机制之前，识别、修改、测试和执行它们是至关重要的。在本文中，我们提出了一种新的入侵检测技术，它可以根据大数据系统的需求进行理解和工作。我们提出的技术使用两种方法来识别程序级异常-分析方法，通过从控制流图创建进程签名来建模应用程序行为;和匹配方法，通过匹配进程签名来检查大数据系统的副本节点之间的一致性。分析方法通过将进程的控制流图简化为一组最小生成树来创建进程签名，然后创建该组的散列。匹配方法首先通过将接收到的进程签名与本地签名进行匹配来检查进程行为的相似性，然后将结果与所有副本数据节点共享以达成共识。实验结果表明，只有0.8%的开销，由于所提出的技术进行测试时，Hadoop的映射-减少实时的例子。
2016-11-23 cs.CR cs.DC
Intensive Preprocessing of KDD Cup 99 for Network Intrusion Classification Using Machine Learning Techniques
Prince Al-Hussein Bin Abdullah II Faculty of Information Technology, Hashemite University（哈希姆大学侯赛因·本·阿卜杜拉二世亲王信息技术学院）；Princess Sumaya University for Technology（苏玛雅公主科技大学）；University of Miskolc（米什科尔茨大学）
网络安全工程师通过处理入侵者攻击来保持服务始终可用。入侵检测系统（IDS）是一种可以检测和分类异常行为的机制。因此，IDS必须始终保持最新的入侵者攻击特征，以保持服务的机密性、完整性和可用性。入侵检测系统的速度是非常重要的问题，以及学习新的攻击。这项研究工作说明了如何知识发现和数据采掘（或数据库中的知识发现）KDD数据集是非常方便的测试和评估不同的机器学习技术。主要研究KDD的预处理部分，目的是为了准备一个像样的、公平的实验数据集。本研究选择了J48、随机森林、随机树、MLP、朴素贝叶斯和贝叶斯网络分类器。事实证明，随机森林分类器在检测和分类所有KDD数据集攻击（类型为DOS、R2L、U2R和PROBE）方面达到了最高的准确率。
2018-10-05 cs.CR cs.LG
Towards Model-based Run-time Cybersecurity: On Control-Flow Anomaly Detection, Attack Identification, and Hardware Monitoring
Faculty of Computer Science and Mathematics, OTH Regensburg（雷根斯堡应用技术大学计算机科学与数学学院）；Institute for Software Engineering and Programming Languages, Universität zu Lübeck（吕贝克大学软件工程与程序设计语言研究所）；Accemic Technologies GmbH（Accemic科技有限公司）
本文提出结合软件与硬件监控的基于模型的方法，以提升控制流异常检测与攻击树识别的鲁棒性，解决攻击者通过伪装控制流逃避检测的问题，在认证服务示例中验证了该方案可提高诊断精度。
2026-08-13 cs.AI cs.CR
Improving IoT Intrusion Detection Through SMOTE-Based Oversampling and Extended Multi-Model Evaluation on Side-Channel Power Data
School of Electrical Engineering and Computer Science (SEECS), NUST（电气工程与计算机科学学院（SEECS），努斯兰大学）
针对物联网侧信道数据集中的严重类别不平衡问题，采用SMOTE过采样平衡数据，并评估八种机器学习模型，其中随机森林和极端随机树在F1分数上超越基线方法，同时揭示了宏观F1指标的重要性。
2026-05-29 cs.AI cs.CR cs.LG
A Comprehensive Comparative Study of Individual ML Models and Ensemble Strategies for Network Intrusion Detection Systems
Purdue University（普渡大学）
本文针对网络入侵检测中单一模型选择困难的问题，提出一个集成学习评估框架，在RoEduNet-SIMARGL2021和CICIDS-2017数据集上系统比较14种个体模型与集成方法，并公开源代码以支持后续研究。
2024-10-21 cs.AI cs.CR cs.LG
A Comparative Analysis of Machine Learning Models for Intrusion Detection in Intelligent Transport Systems
Victoria University, Sydney, Australia（维多利亚大学，悉尼，澳大利亚）；University of New South Wales College, Sydney, Australia（新南威尔士大学学院，悉尼，澳大利亚）
本文研究了在边缘计算中提升延迟、带宽效率和服务响应性的机器学习模型，提出基于信任的联邦混合入侵检测框架，通过随机森林、决策树和线性SVM网络互补流量表示，并在服务器端进行信任感知的模型更新聚合。
2026-04-30 cs.CR cs.LG
