Kops: Safely Extending the eBPF Compilation Pipeline with Native Operations
UC Santa Cruz（加州大学圣克鲁兹分校）；Virginia Tech（弗吉尼亚理工大学）；Telecom Paris（巴黎电信学院）；ETH Zurich（苏黎世联邦理工学院）；University of Connecticut（康涅狄格大学）
提出 Kops 扩展接口，允许用户空间编译器和内核模块引入新操作，通过验证证明序列保持安全性，显著提升 eBPF 性能。
2026-06-24 cs.CR cs.OS
SIGMA : Strengthening IDS with GAN and Metaheuristics Attacks
Polytechnique Montreal（蒙特利尔高等理工学院）
入侵检测系统（IDS）是网络管理员的关键网络安全工具，因为它可以识别恶意流量和网络攻击。随着深度学习等机器学习技术的成功，越来越多的IDS现在使用机器学习算法来更快地检测攻击。然而，这些系统在面对以前看不见的攻击类型时缺乏鲁棒性。随着新的攻击越来越多，特别是针对物联网设备的攻击，拥有一个强大的IDS能够发现不寻常的和新的攻击变得非常必要。本文探讨了利用生成对抗模型来提高基于机器学习的入侵检测系统鲁棒性的可能性。更具体地说，我们提出了一种名为SIGMA的新方法，该方法利用对抗性示例来加强IDS对新型攻击的防御。使用生成对抗网络（GAN）和元分析，SIGMA %我们的方法包括迭代地生成对抗示例，并使用它来重新训练基于机器学习的IDS，直到检测率收敛（即直到检测系统不再改进）。一轮改进包括一个生成阶段，在这个阶段中，我们使用GANs和元分析来生成实例;一个评估阶段，我们计算这些新生成的攻击的检测率;和一个训练阶段，我们用这些攻击训练IDS。我们已经评估了SIGMA方法作为IDS的四个标准的机器学习分类算法，结合GAN和混合本地搜索和遗传算法，以生成新的攻击数据集。我们的研究结果表明，SIGMA可以成功地产生对抗攻击对不同的机器学习的IDS。此外，使用SIGMA，我们可以提高一个IDS的性能后，只有两轮的改进，高达100%。
2019-12-18 cs.CR cs.LG stat.ML
P4Control: Line-Rate Cross-Host Attack Prevention via In-Network Information Flow Control Enabled by Programmable Switches and eBPF
P4Control利用可编程交换机和eBPF实现网络内去中心化信息流控制，以线速实时阻断跨主机攻击，并支持零信任架构。
2024-05-23 cs.CR cs.NI
QML-IDS: Quantum Machine Learning Intrusion Detection System
本文提出QML-IDS，一种结合量子与经典计算的入侵检测系统，利用量子机器学习分析网络模式，在公开数据集上优于经典方法，展现量子增强网络安全的潜力。
2024-10-07 cs.CR
On the Cross-Dataset Generalization of Machine Learning for Network Intrusion Detection
Department of Electrical and Information Engineering, University of Cassino and Southern Latium（电气与信息工程系，卡斯ino和南部拉蒂姆大学）
本研究在跨数据集框架下评估机器学习NIDS的泛化能力，发现模型在同数据集表现完美但跨数据集效果接近随机，揭示了数据异常与异构性对泛化的严重阻碍。
2024-02-15 cs.CR cs.LG cs.NI
Intrusion Detection Systems for IoT: opportunities and challenges offered by Edge Computing and Machine Learning
Sapienza University of Rome（罗马大学）
当前网络安全方法的关键组成部分是入侵检测系统（IDS），它们采用不同的技术和架构来检测入侵。IDS可以基于与已知入侵经验的数据库交叉检查监视的事件，称为基于签名，或者基于学习系统的正常行为并报告是否发生某些异常事件，称为基于异常。这项工作致力于调查IDS在物联网（IoT）网络中的应用，其中边缘计算也用于支持IDS的实现。识别在边缘场景中部署IDS时出现的新挑战，并提出补救措施。我们专注于基于异常的IDS，显示可以利用来检测异常的主要技术，我们提出了机器学习技术及其在IDS中的应用，描述了预期的优点和缺点，一个特定的技术可能会导致。
2022-04-14 cs.AI cs.CR cs.NI
Machine Learning Techniques for Intrusion Detection
University of New Mexico（新墨西哥大学）
入侵检测系统（IDS）是一种监控单个计算机或计算机网络的恶意活动（攻击）的软件，这些恶意活动旨在窃取或审查信息或破坏网络协议。当今的入侵检测系统中使用的大多数技术都不能处理对计算机网络的动态和复杂的网络攻击。因此，像各种机器学习技术的有效自适应方法可以导致更高的检测率、更低的误报警率以及合理的计算和通信成本。在本文中，我们研究了几个这样的计划，并比较其性能。我们将方案分为基于经典人工智能（AI）的方法和基于计算智能（CI）的方法。我们解释了CI技术的各种特性可以用来构建高效的IDS。
2015-05-09 cs.CR cs.LG cs.NI
Advancing Network Security: A Comprehensive Testbed and Dataset for Machine Learning-Based Intrusion Detection
本文提出一个基于容器、Kubernetes和eBPF/XDP的网络流量生成测试平台，并公开了一个完全满足真实标签特性的小规模恶意流量数据集，以支持基于机器学习的入侵检测研究。
2024-10-23 cs.CR cs.NI
Machine Learning Based IoT Intrusion Detection System: An MQTT Case Study (MQTT-IoT-IDS2020 Dataset)
物联网（IoT）是网络安全领域的主要研究领域之一。这是由于（a）对自动化设备的依赖性增加，以及（b）部署用于特殊目的网络使用的通用入侵检测系统（IDS）的不足。许多轻量级协议被提议用于IoT设备通信使用。物联网机器对机器通信协议之一是消息传输远程传输（MQTT）协议。然而，据作者所知，没有包含MQTT良性或攻击实例的可用IDS数据集，因此没有可用的IDS实验结果。在本文中，六个机器学习（ML）技术来检测基于MQTT的攻击的有效性进行了评估。三个抽象层次的功能进行评估，即，基于数据包，单向流，双向流功能。生成MQTT模拟数据集并用于训练和评估过程。该数据集以开放获取许可证发布，以帮助研究界进一步分析伴随而来的挑战。实验结果表明，所提出的ML模型，以满足基于MQTT的网络IDS的要求。此外，研究结果强调了使用基于流的特征来区分基于MQTT的攻击和良性流量的重要性，而基于数据包的特征足以用于传统的网络攻击。
2020-11-16 cs.CR
Evaluation of Machine Learning Algorithms in Network-Based Intrusion Detection System
网络安全已成为企业关注的焦点之一。随着互联网使用的持续增长，网络攻击的数量不断增加。入侵检测系统（IDS）是一种帮助检测网络攻击的警报系统。随着新型网络攻击的不断出现，研究人员专注于开发基于机器学习（ML）的IDS来检测零日攻击。研究人员在评估IDS检测零日攻击的性能时，通常从训练数据集中删除部分或全部攻击样本，只将它们包含在测试数据集中。虽然这种方法可以显示IDS检测未知攻击的能力;但是，它不能反映IDS的长期性能，因为它只显示攻击类型的变化。在本文中，我们专注于评估基于ML的IDS的长期性能。为了实现这一目标，我们建议评估ML为基础的IDS使用的数据集，创建晚于训练数据集。该方法可以更好地评估基于ML的IDS的长期性能，因为测试数据集反映了攻击类型的变化和网络基础设施随时间的变化。我们已经实现了六种用于IDS的最流行的ML模型，包括决策树（DT），随机森林（RF），支持向量机（SVM），朴素贝叶斯（NB），人工神经网络（ANN）和深度神经网络（DNN）。我们使用CIC-IDS 2017和CSE-CIC-IDS 2018数据集进行的实验表明，SVM和ANN最能抵抗过拟合。此外，我们的实验结果还表明，DT和RF受到过拟合的影响最大，尽管它们在训练数据集上表现良好。另一方面，我们使用LUFlow数据集的实验表明，当训练数据集和测试数据集之间的差异很小时，所有模型都可以表现良好。
2022-03-10 cs.CR
Testing the performance of Multi-class IDS public dataset using Supervised Machine Learning Algorithms
机器学习、基于知识的方法和基于知识的方法通常用于实现基于异常的入侵检测系统，该系统是帮助检测主要通过互联网的网络中的恶意和不期望的活动的软件。机器学习包括监督、半监督和无监督学习算法。监督机器学习使用训练的标签数据集。本文使用四种监督学习算法随机森林、XGBoost、K-最近邻和人工神经网络来测试公共数据集的性能。基于预测准确率，结果表明，随机森林在多类入侵检测系统中的性能较好，其次是XGBoost、K-最近邻，前提是要考虑预测准确率。除此之外，考虑到训练时间作为度量标准，K最近邻是表现最好的。随机森林是入侵检测系统中最好的有监督机器学习方法
2023-02-28 cs.CR cs.GT
An empirical evaluation for the intrusion detection features based on machine learning and feature selection methods
Mutah University（穆塔大学）
尽管信息技术，特别是互联网、计算机网络、全球信息交换取得了巨大发展，并在日常生活的各个领域产生了积极影响，但它也助长了渗透和入侵的发展，对信息组织、政府机构的安全构成了高度风险，并造成了巨大的经济损失。有许多技术设计用于保护，如防火墙和入侵检测系统（IDS）。入侵检测系统是一套用于检测计算机系统中黑客活动的软件和/或硬件技术。IDS中使用两种类型的异常来检测不同于正常用户行为的入侵活动。误用依赖于包含所有已知攻击技术的知识库，通过对该知识库的研究发现入侵。已经引入了人工智能技术来改善这些系统的性能。入侵检测系统的重要性在于识别那些试图破坏计算机网络的机密性、完整性或可用性的未经授权的访问。本文研究了三种机器学习算法，即贝叶斯网络算法，多层感知器（MLP）和支持向量机（SVM）的入侵检测（ID）问题。该算法应用于一个真正的，基于管理信息（MIB）的数据集，从现实生活中的环境中收集。为了提高检测过程的准确性，使用了一组特征选择方法; Infogain（IG）、ReleifF（RF）和遗传搜索（GS）。实验结果表明，这三种特征选择方法都提高了分类性能。具有贝叶斯网络，MLP和SVM的GS具有高准确率，更具体地说，具有GS准确率的贝叶斯网络为99.9%。
2017-12-27 cs.CR cs.LG cs.NI
Shallow and Deep Networks Intrusion Detection System: A Taxonomy and Survey
University of Strathclyde（斯特拉斯克莱德大学）；University of Abertay Dundee（阿伯泰邓迪大学）
入侵检测已经引起了研究人员和工业界的极大兴趣。经过多年的研究，社区仍然面临着建立可靠和有效的IDS的问题，这些IDS能够处理大量的数据，并在实时的情况下改变模式。在这份手稿中提出的工作分类入侵检测系统（IDS）。在此基础上，对浅层和深层网络入侵检测系统进行了分类和综述。该分类和调查回顾了机器学习技术及其在检测异常方面的性能。讨论了影响机器学习入侵检测系统有效性的特征选择问题，说明了特征选择在机器学习入侵检测系统分类和训练阶段的作用。最后，讨论了误报率和误报率，以帮助研究人员建立可靠和高效的基于机器学习的入侵检测系统模型。
2017-01-09 cs.CR cs.LG
Optimized IoT Intrusion Detection using Machine Learning Technique
Dept. of ECE North South University（电子工程系北南大学）
本研究提出一种基于五种机器学习算法（含随机森林等）的物联网入侵检测系统，通过特征选择与超参数调优，随机森林达最高准确率99.39%，优于以往研究。
2024-12-03 cs.CR cs.LG
MTH-IDS: A Multi-Tiered Hybrid Intrusion Detection System for Internet of Vehicles
Western University（韦仕敦大学）
现代车辆，包括联网车辆和自动驾驶车辆，现在涉及通过车内网络连接的许多电子控制单元，以实现各种功能并执行动作。现代车辆还通过车联网技术连接到外部网络，使其能够与其他车辆，基础设施和智能设备进行通信。然而，现代车辆的功能和连接性的改善也增加了它们对针对车内和外部网络的网络攻击的脆弱性，因为攻击面很大。为了保护车辆网络，许多研究人员都集中在开发入侵检测系统（IDS），利用机器学习方法来检测恶意的网络攻击。在本文中，车内和外部网络的脆弱性进行了讨论，并提出了一个多层的混合IDS，结合基于特征的IDS和基于异常的IDS检测已知和未知的攻击车辆网络。实验结果表明，该系统可以检测各种类型的已知攻击，在代表车内网络数据的CAN入侵数据集上的准确率为99.99%，在说明外部车辆网络数据的CICIDS2017数据集上的准确率为99.88%。对于零日攻击检测，所提出的系统在上述两个数据集上分别实现了0.963和0.800的高F1分数。每个数据包在车辆级机器上的平均处理时间小于0.6 ms，这表明该系统在实时车辆系统中实现的可行性。这强调了所提出的入侵检测系统的有效性和效率。
2021-05-26 cs.AI cs.CR cs.LG
A Review of Various Datasets for Machine Learning Algorithm-Based Intrusion Detection System: Advances and Challenges
C V Raman Global University（C·V·拉曼全球大学）
本文系统综述了基于机器学习的入侵检测系统常用数据集及SVM、KNN、RF、XGBOOST等分类方法，分析了各数据集面临的挑战，为后续IDS研究提供参考。
2025-06-03 cs.AI cs.CR cs.LG
New Machine Learning Approaches for Intrusion Detection in ADS-B
Retired（退休）
本研究提出基于xLSTM和transformer的深度学习入侵检测系统，结合迁移学习策略，有效提升ADS-B协议安全性，xLSTM模型在F1分数和泛化能力上表现更优。
2025-10-09 cs.CR cs.LG
usfAD Based Effective Unknown Attack Detection Focused IDS Framework
Deakin University（迪肯大学）；International University of Business Agriculture and Technology（国际商业农业技术大学）
针对网络攻击模式快速演变导致IDS难以检测未知攻击的问题，提出两种无需攻击样本的半监督学习策略，其中基于usfAD的OCC模型在10个基准数据集上显著优于传统方法，有效检测未知攻击。
2024-03-17 cs.CR cs.LG
Machine Learning Methods for Network Intrusion Detection
网络安全工程师致力于通过处理入侵者攻击来保持服务始终可用。入侵检测系统（IDS）是一种可获得的机制，用于检测和分类任何异常行为。因此，IDS必须始终保持最新的入侵者攻击特征，以保持服务的机密性、完整性和可用性。入侵检测系统的速度是一个非常重要的问题，以及学习新的攻击。这项研究工作说明了如何知识发现和数据采掘（或数据库中的知识发现）KDD数据集是非常方便的测试和评估不同的机器学习技术。主要研究KDD的预处理部分，目的是为了准备一个像样的、公平的实验数据集。本研究选择了J48、MLP和贝叶斯网络分类器。事实证明，J48分类器在检测和分类DOS、R2L、U2R和PROBE类型的所有KDD数据集攻击方面达到了最高的准确率。
2018-09-01 cs.CR cs.NI
Sequential Binary Classification for Intrusion Detection
Ericsson（爱立信）
针对IDS数据集类别不平衡影响ML模型性能的问题，提出序列二进制分类（SBC）分层级联结构方法，实验证明该结构方法在基准IDS数据集上是处理多分类类别不平衡的可行方案。
2025-02-13 cs.CR cs.LG cs.NI
On the Resilience of Machine Learning-Based IDS for Automotive Networks
本文研究了四种车载网络基于机器学习的入侵检测系统的对抗样本漏洞，发现对抗样本对其中三种产生负面影响，并分析了样本可迁移性及对抗训练效果，评估了当前方案在现代车辆中的成熟度。
2023-06-26 cs.CR
Leveraging Machine Learning Techniques in Intrusion Detection Systems for Internet of Things
本文综述了机器学习和深度学习技术在物联网入侵检测系统中的应用，评估多种ML/DL方法及生成式AI和LLMs的作用，并提出应对挑战的综合框架。
2025-04-09 cs.CR cs.NI
Using Rough Set and Support Vector Machine for Network Intrusion Detection
Chaoyang University of Technology（朝阳科技大学）
入侵检测系统（IDS）的主要功能是保护系统安全，分析和预测用户的行为。那么这些行为将被视为攻击或正常行为。虽然入侵检测系统已经发展了很多年，但是大量的返回警报消息使得管理人员对系统的维护效率很低。本文将粗糙集理论（Rough Set Theory）和支持向量机（支持向量机）相结合来检测入侵。首先，使用数据预处理器对数据进行预处理和降维。然后，将SVM选取的特征分别送入SVM模型进行学习和测试。该方法有效地降低了数据的空间密度。通过实验比较了不同方法的识别结果，结果表明，SVM和SVM模式可以有效地提高误检率和准确率。
2010-04-05 cs.CR cs.LG cs.NI
Hybrid CNN-LSTM Framework for Intelligent Cyber Attack Detection and Prevention in U.S. Critical Digital Infrastructure: A Comparative Machine Learning Evaluation on CSE-CIC-IDS2018
Department of Computer Science, Maharishi International University（马哈拉吉国际大学计算机科学系）；Department of Information Studies, Trine University（特林大学信息学系）；Department of Business Information Systems, Central Michigan University（中央密歇根大学商业信息系统系）
提出一种结合CNN和LSTM的混合深度学习框架，利用CSE-CIC-IDS2018数据集进行网络攻击检测与防御，通过比较多种机器学习模型，实现高精度入侵检测和自动防御。
2026-06-04 cs.CR cs.LG
Machine learning-based network intrusion detection for big and imbalanced data using oversampling, stacking feature embedding and feature extraction
International University of Business Agriculture and Technology（国际商业农业技术大学）；Jagannath University（贾甘纳特大学）；Deakin University（迪肯大学）；University of New South Wales（新南威尔士大学）；Imam Mohammad Ibn Saud Islamic University（伊玛目穆罕默德·伊本·沙特伊斯兰大学）；The University of Queensland（昆士兰大学）
提出融合随机过采样、聚类堆叠特征嵌入与PCA降维的ML入侵检测模型，在三个基准数据集上取得最高99.99%准确率并优于现有方法。
2024-01-22 cs.CR cs.LG
DYNAMITE: Dynamic Defense Selection for Enhancing Machine Learning-based Intrusion Detection Against Adversarial Attacks
针对ML-IDS易受对抗性攻击且缺乏针对性防御选择方法的问题，提出动态防御选择框架Dynamite，通过机器学习驱动机制选最合适防御，大幅减少计算时间并显著提升F1分数。
2025-04-17 cs.CR
1D CNN Based Network Intrusion Detection with Normalization on Imbalanced Data
入侵检测系统（IDS）在保护计算机网络中的计算资源和数据不受外部攻击方面起着至关重要的作用。目前的入侵检测系统面临着提高入侵检测系统的灵活性和效率以应对突发和不可预测的攻击的挑战。深度神经网络（DNN）被广泛认为是复杂系统的一种机器学习技术，用于提取特征和学习。在本文中，我们提出了一种使用一维卷积神经网络（1D-CNN）开发高效灵活的IDS的深度学习方法。二维CNN方法在计算机视觉领域的图像目标检测中表现出了优异的性能。同时，1D-CNN可以用于时间序列数据的监督学习。我们建立了一个基于1D-CNN的机器学习模型，通过在预定的时间范围内序列化传输控制协议/互联网协议（TCP/IP）数据包作为入侵互联网流量模型的IDS，其中正常和异常的网络流量进行分类和标记的监督学习在1D-CNN。在UNSW\_NB15 IDS数据集上对模型进行了验证，结果表明了该方法的有效性.为了进行性能比较研究，除了具有各种网络参数和结构的1D-CNN之外，还利用了基于机器学习的随机森林（RF）和支持向量机（SVM）模型。在每个实验中，模型在不平衡和平衡数据上运行200个epoch，学习率为0.0001。与经典的机器学习分类器相比，1D-CNN及其变体架构的表现更好。这主要是由于CNN具有提取表示网络流量连接的低级特征集的抽象形式的高级特征表示的能力。
2020-03-04 cs.AI cs.CR
Intensive Preprocessing of KDD Cup 99 for Network Intrusion Classification Using Machine Learning Techniques
Prince Al-Hussein Bin Abdullah II Faculty of Information Technology, Hashemite University（哈希姆大学侯赛因·本·阿卜杜拉二世亲王信息技术学院）；Princess Sumaya University for Technology（苏玛雅公主科技大学）；University of Miskolc（米什科尔茨大学）
网络安全工程师通过处理入侵者攻击来保持服务始终可用。入侵检测系统（IDS）是一种可以检测和分类异常行为的机制。因此，IDS必须始终保持最新的入侵者攻击特征，以保持服务的机密性、完整性和可用性。入侵检测系统的速度是非常重要的问题，以及学习新的攻击。这项研究工作说明了如何知识发现和数据采掘（或数据库中的知识发现）KDD数据集是非常方便的测试和评估不同的机器学习技术。主要研究KDD的预处理部分，目的是为了准备一个像样的、公平的实验数据集。本研究选择了J48、随机森林、随机树、MLP、朴素贝叶斯和贝叶斯网络分类器。事实证明，随机森林分类器在检测和分类所有KDD数据集攻击（类型为DOS、R2L、U2R和PROBE）方面达到了最高的准确率。
2018-10-05 cs.CR cs.LG
Intrusion Detection System with Machine Learning and Multiple Datasets
Carmel High School（卡梅尔高中）；SimplyFixable；Columbia University（哥伦比亚大学）
本文提出一种结合机器学习、超参数调优和多数据集集成的增强型入侵检测系统，通过 XGBoost 与随机森林及 RandomizedSearchCV 实现 99.9% 的检测准确率，用于应对针对大语言模型的提示工程攻击。
2023-12-04 cs.CR cs.LG cs.NI
Evaluation of Machine Learning Algorithms for Intrusion Detection System
University of Miskolc（米什科尔茨大学）；Mutah University（穆塔大学）
入侵检测系统（IDS）是抵御恶意攻击的有效手段之一。此外，攻击者总是不断改变他们的工具和技术。然而，实现一个公认的IDS系统也是一项具有挑战性的任务。在本文中，几个实验已经进行和评估，以评估各种机器学习分类器的基础上KDD入侵数据集。它成功地计算了几个性能指标，以评估所选择的分类器。重点研究了误报和漏报性能指标，以提高入侵检测系统的检测率。实验结果表明，决策表分类器的误报率最低，而随机森林分类器的平均准确率最高。
2018-01-08 cs.CR cs.LG
Federated Intrusion Detection System Based on Unsupervised Machine Learning
针对监督学习标记负担重及数据隐私限制合作的问题，提出基于无监督学习的联邦IDS架构，并创新联邦K-means++初始化，在保持性能的同时增强隐私。
2025-03-28 cs.CR
Attack vs Benign Network Intrusion Traffic Classification
入侵检测系统（IDS）用于监视网络或系统的攻击活动或违反策略。这样的系统应该能够成功地识别与正常流量行为的异常偏差。在这里，我们讨论了使用CSE-CIC-IDS 2018数据集构建基于异常的IDS的机器学习方法。自该数据集发布以来，已经发表了相对大量的论文，其中大多数基于复杂的机器学习方法（如深度神经网络，梯度提升分类器或隐马尔可夫模型）提出IDS架构和结果。在这里，我们表明，使用非常简单的最近邻分类方法可以获得类似的结果，避免了训练这种复杂模型的固有复杂性。最近邻算法的优点是：（1）它非常容易实现;（2）它非常鲁棒;（3）它没有参数，因此它不能过拟合数据。这一结果也表明，目前在机器学习社区中存在开发过度工程解决方案的趋势。这些解决方案基于复杂的方法，如深度学习神经网络，甚至没有考虑与简单但有效的方法相对应的基线解决方案。
2022-05-15 cs.CR
Reconfigurable Edge Hardware for Intelligent IDS: Systematic Approach
Institute of Computer Engineering(ITI), Universität zu Lübeck（吕贝克大学计算机工程研究所）
针对边缘环境下智能入侵检测系统的资源受限等挑战，提出基于FPGA的两种可重构实现方案，经对比验证其能效与资源适配性，其中数据流处理器方案性能优于现有最优技术且成本可控，适用于边缘高速场景。
2024-04-13 cs.AR cs.CR cs.LG
CND-IDS: Continual Novelty Detection for Intrusion Detection Systems
University of California, San Diego（加利福尼亚大学圣迭戈分校）
针对数据流持续变化且攻击标签缺失的问题，本文提出 CND-IDS 框架，结合可更新特征提取器与 PCA 重构新颖性检测器，在真实数据集上显著优于无监督持续学习基线。
2025-02-19 cs.CR cs.LG
Adaptive Hybrid Heterogeneous IDS for 6LoWPAN
近年来，低功耗无线个人区域网（6LoWPAN）上的IPv6变得越来越重要，低功耗和有损网络路由协议（RPL）成为主要推动者。然而，RPL可能会受到攻击，造成严重后果。大多数建议的IDS已被限制到特定的RPL攻击，通常假设一个静止的环境。在这篇文章中，我们提出了第一个自适应混合IDS，以有效地检测和识别各种RPL攻击（包括DIO抑制，增加排名，最差的父母攻击，这些攻击在文献中被忽视）在不断变化的数据环境。我们将我们的框架下的节点的移动性和恶意的各种水平的网络。我们实验了几种增量机器学习（ML）方法和各种“概念漂移检测”机制（例如ADWIN，DDM和EDDM），以确定所提出的方案的最佳底层设置。
2022-05-18 cs.CR
Network Intrusion Detection Using Wrapper-based Decision Tree for Feature Selection
School of Computer Science and Technology, Changchun University of Science and Technology（长春理工大学计算机科学与技术学院）
基于机器学习（ML）的入侵检测系统（IDS）面临的主要挑战之一是昂贵的计算复杂性，这在很大程度上是由于IDS数据集中包含冗余、不完整和不相关的特征。为了克服这一挑战，保证建立高效、准确的入侵检测模型，许多研究者在混合建模方法中使用了归一化和特征选择等预处理技术。在这项工作中，我们提出了一个混合IDS建模方法与算法的特征选择（FS）和另一个用于建立一个IDS。FS算法是一个基于包装器的决策树作为特征评估器。提出的FS方法与一些选定的ML算法结合使用，使用UNSW-NB 15数据集构建IDS模型。有些IDS模型是作为基线在一个单一的建模方法使用数据集的全部功能。我们评估我们提出的方法的有效性，通过比较它与基线模型，也与国家的最先进的作品。我们的方法实现了97.95%的最佳DR，并且与最先进的作品相比非常有效。因此，我们建议使用它，特别是在IDS建模与UNSW-NB 15数据集。
2020-08-11 cs.CR cs.LG
Performance evaluation of Machine learning algorithms for Intrusion Detection System
本文基于KDD CUP-'99'数据集评估多种机器学习分类器在入侵检测中的表现，并使用准确率、精确率、召回率和F1度量比较其性能。
2023-10-01 cs.CR
Hybrid IDS Using Signature-Based and Anomaly-Based Detection
Chadli Bendjedid University（沙德利·本·杰迪德大学）；Faculty of Science and Technology（科学与技术学院）
本文提出一种结合签名检测和异常检测的混合IDS，旨在提升对新兴网络攻击的检测能力，并探讨其在金融、交通和社交网络中的应用。
2026-01-17 cs.AI cs.CR
An Evaluation Framework for Network IDS/IPS Datasets: Leveraging MITRE ATT&CK and Industry Relevance Metrics
UNSW（新南威尔士大学）
针对现有IDS/IPS数据集评估忽略行业威胁代表性的问题，提出整合MITRE ATT&CK的多维评估框架，通过多类技术评估9个公开数据集，为行业适配的数据集选择提供标准化方案，提升AI驱动IDS/IPS实际部署效果。
2025-11-16 cs.CR cs.LG
A Robust Comparison of the KDDCup99 and NSL-KDD IoT Network Intrusion Detection Datasets Through Various Machine Learning Algorithms
George Mason University（乔治梅森大学）
近年来，随着物联网网络上的入侵攻击呈指数级增长，迫切需要复杂的入侵检测系统（IDS）。目前绝大多数IDS都是数据驱动的，这意味着该研究领域最重要的方面之一是从物联网网络流量中获取的数据质量。两个被引用最多的入侵检测数据集是KDDCup 99和NSL-KDD。我们项目的主要目标是通过评估在两个数据集上训练的各种机器学习（ML）分类器的性能，对这两个数据集进行鲁棒比较，这些分类器具有比以前的研究人员更大的分类指标集。从我们的研究中，我们能够得出结论，NSL-KDD数据集的质量高于KDDCup 99数据集，因为在其上训练的分类器平均准确度低20.18%。这是因为在KDDCup 99数据集上训练的分类器表现出对其中冗余的偏见，使它们能够实现更高的准确性。
2019-12-31 cs.CR cs.LG cs.NI
Adversarial Attacks on Machine Learning Cybersecurity Defences in Industrial Control Systems
Cardiff University（卡迪夫大学）；Airbus（空中客车公司）
基于机器学习的入侵检测系统（IDS）的普及和应用使得工业控制系统（ICS）中的网络攻击的自动检测具有更大的灵活性和效率。然而，这种IDS的引入也产生了额外的攻击向量;学习模型也可能受到网络攻击，也称为对抗性机器学习（AML）。这种攻击可能会在ICS系统中产生严重后果，因为对手可能会绕过IDS。这可能导致延迟的攻击检测，从而可能导致基础设施损坏，财务损失，甚至生命损失。本文探讨了如何通过使用基于雅可比的显着性图攻击生成对抗样本并探索分类行为，将对抗学习用于目标监督模型。分析还包括探索这些样本如何支持使用对抗训练的监督模型的鲁棒性。一个真实的电力系统数据集被用来支持本文提出的实验。总体而言，当存在对抗样本时，两种广泛使用的分类器随机森林和J 48的分类性能分别下降了16和20个百分点。他们的表现在对抗性训练后有所改善，证明了他们对这种攻击的鲁棒性。
2020-04-10 cs.CR cs.LG eess.SP
Generative AI and Federated Learning for Intrusion Detection Systems: A Survey
Department of Computer Science, New Mexico State University（新墨西哥州立大学计算机科学系）；University of Hartford（哈特福德大学）；DEVCOM Analysis Center（DEVCOM分析中心）
本文综述了生成式AI和联邦学习在入侵检测中的应用，涵盖模型分类、任务目标及集成方法，并讨论了数据质量、对抗风险等挑战。
2026-07-03 cs.AI cs.CR cs.LG
Evaluating False Alarm and Missing Attacks in CAN IDS
Department of Applied Mathematics University of Colorado Boulder（应用数学系科罗拉多大学波德摩尔分校）
本文通过评估CAN IDS在对抗性攻击下的性能，揭示了其在误报和遗漏攻击方面的脆弱性，强调了对抗鲁棒性在安全关键汽车系统中的重要性。
2026-02-02 cs.AI cs.CR cs.LG
An Approach to Abstract Multi-stage Cyberattack Data Generation for ML-Based IDS in Smart Grids
针对智能电网中多阶段网络攻击检测数据不足的问题，提出基于图的方法生成合成数据，模拟攻击传播，初步结果有前景。
2023-12-21 cs.CR cs.SY eess.SY
Feature Analysis for Machine Learning-based IoT Intrusion Detection
The University of Queensland（昆士兰大学）
物联网（IoT）网络已成为越来越有吸引力的网络攻击目标。强大的机器学习（ML）模型最近被用于实现网络入侵检测系统以保护物联网网络。为了成功训练这种ML模型，选择正确的数据特征至关重要，从而最大限度地提高检测精度和计算效率。本文综合分析了特征集在网络攻击检测中的重要性和预测能力。三个特征选择算法：卡方，信息增益和相关性，已被用来识别和排名数据的功能。将属性馈送到两个ML分类器：深度前馈和随机森林，以测量它们的攻击检测性能。实验评估考虑了三个数据集：UNSW-NB 15，CSE-CIC-IDS 2018和ToN-IoT，采用其专有的流格式。此外，还考虑了NetFlow格式的各个变体，即，NF-UNSW-NB15、NF-CSE-CIC-IDS2018和NF-ToN-IoT。实验性评估探讨了添加个别功能的边际效益。我们的研究结果表明，准确性最初增加迅速添加功能，但迅速收敛到最大值。这表明了一个显着的潜力，以减少入侵检测系统的计算和存储成本，同时保持接近最佳的检测精度。这在物联网系统中具有特别的相关性，通常具有有限的计算和存储资源。
2022-11-23 cs.CR cs.LG cs.NI
CTMBIDS: Convolutional Tsetlin Machine Based Intrusion Detection System for DDoS attacks in an SDN environment
针对SDN环境中的DDoS攻击，提出基于卷积Tsetlin机器的轻量级入侵检测系统CTMBIDS，生成三个DDoS数据集，相比深度学习模型内存消耗更低且准确性相当或更优。
2024-09-05 cs.CR
Performance Comparison of Intrusion Detection Systems and Application of Machine Learning to Snort System
Teesside University（提赛德大学）
本文研究了两个开源的入侵检测系统（IDS），即Snort和Suricata的性能，以准确地检测恶意流量的计算机网络。Snort和Suricata安装在两台不同但相同的计算机上，并在10 Gbps网络速度下评估性能。有人指出，Suricata可以处理比Snort更高速度的网络流量，丢包率更低，但消耗更高的计算资源。Snort具有更高的检测精度，因此被选择用于进一步的实验。据观察，Snort触发的误报率很高。为了解决这个问题，开发了Snort自适应插件。为了选择Snort自适应插件的最佳学习算法，采用不同的学习算法进行了实证研究，选择了支持向量机（SVM）。SVM和模糊逻辑的混合版本产生了更好的检测精度。但使用萤火虫算法优化的SVM获得了最好的结果，FPR（假阳性率）为8.6%，FNR（假阴性率）为2.2%，这是一个很好的结果。这项工作的新颖性是两个IDS在10 Gbps的性能比较和混合和优化的机器学习算法的应用程序的Snort。
2017-11-07 cs.CR cs.LG cs.NI
Utilising Deep Learning Techniques for Effective Zero-Day Attack Detection
机器学习（ML）和深度学习（DL）已被用于构建入侵检测系统（IDS）。新的网络攻击的数量和种类的增加对依赖历史攻击特征数据库的IDS解决方案提出了巨大的挑战。因此，工业界对能够标记零日攻击的强大IDS的需求正在增长。目前基于离群值的零日检测研究存在较高的假阴性率，从而限制了其实际应用和性能。本文提出了一种检测零日攻击的自动编码器实现。我们的目标是建立一个具有高召回率的IDS模型，同时将未命中率（假阴性）保持在可接受的最小值。两个著名的IDS数据集用于评估-CICIDS 2017和NSL-KDD。为了证明我们的模型的有效性，我们将其结果与一类支持向量机（SVM）进行比较。该手稿强调了当零日攻击与正常行为不同时单类SVM的性能。所提出的模型大大受益于自动编码器的编码-解码能力。结果表明，自动编码器非常适合检测复杂的零日攻击。结果表明，NSL-KDD数据集的零日检测准确率为[89-99%]，CICIDS 2017数据集为[75-98%]。最后，本文概述了召回和辐射之间观察到的权衡。
2020-11-16 cs.CR
Extending Adaptive Cruise Control with Machine Learning Intrusion Detection Systems
本文提出基于入侵检测系统的自适应巡航控制系统，通过引入IDS输出来增强ACC对注入攻击的防御能力，从而提升碰撞避免性能。
2026-03-01 cs.CR cs.SY eess.SY
AI-Driven Intrusion Detection Systems (IDS) on the ROAD Dataset: A Comparative Analysis for Automotive Controller Area Network (CAN)
LTCI, Télécom Paris, Institut Polytechnique de Paris（巴黎综合理工学院电信学院LTCI研究所）；Ampere Software Technology（安培软件技术公司）；University of Bologna（博洛尼亚大学）
本文针对汽车CAN总线安全，利用包含隐蔽复杂注入的ROAD数据集，对比深度学习与传统机器学习IDS在常用数据集和更真实数据集上的性能差异，揭示现有评估的局限性。
2024-09-05 cs.AI cs.CR cs.LG
Intrusion Detection Systems for Flying Ad-hoc Networks
本文针对飞行自组织网络的安全需求，调研了结合机器学习技术的入侵检测系统研究现状，总结了相关研究挑战与未来方向。
2023-06-08 cs.CR cs.NI
Survey of Machine Learning Based Intrusion Detection Methods for Internet of Medical Things
Blida 1 University（布利达第一大学）；Emory University（埃默里大学）；PROXYLAN SPA（PROXYLAN股份公司）；CERIST（国家信息与系统研究中心）
医疗物联网（IoMT）通过使用传感器实现生理数据汇集，并将其传输到远程服务器，供医生和医疗保健专业人员进行持续分析，从而彻底改变了医疗保健行业。这项技术提供了许多好处，包括早期疾病检测和慢性病患者的自动药物治疗。然而，IoMT技术也存在重大的安全风险，例如侵犯患者隐私或将敏感数据暴露于无线通信引起的拦截攻击，这对患者来说可能是致命的。此外，由于异构通信及其有限的计算、存储和能量容量，传统的安全措施（例如密码学）在医疗设备中实施具有挑战性。这些保护方法对于新的攻击和零日攻击也是无效的。在数据汇集、传输、存储和处理过程中，必须采取强大的安全措施，以确保数据的完整性、机密性和可用性。在这种情况下，使用基于机器学习（ML）的入侵检测系统（IDS）可以带来适合IoMT系统独特特征的互补安全解决方案。因此，本文研究了基于ML的IDS如何解决IoMT系统中的安全和隐私问题。首先，提供了通用的三层架构的IoMT，和IoMT系统的安全需求概述。然后，确定了可能影响IoMT安全性的各种威胁，并介绍了构成IoMT的三层基于ML的每个解决方案中使用的优点，缺点，方法和数据集。最后，讨论了基于ML的入侵检测系统在物联网各层的应用所面临的挑战和局限性，为今后的研究提供了参考。
2023-03-07 cs.CR cs.LG
A Collaborative Intrusion Detection System Using Snort IDS Nodes
本文提出一种基于Snort节点的协作式入侵检测系统，通过中心节点集成与SIEM平台实现多节点数据共享与关联分析，提升大规模网络攻击检测准确性并降低误报，实验验证其高效性。
2025-04-23 cs.CR
Assessment of the Relative Importance of different hyper-parameters of LSTM for an IDS
Microsoft（微软）；BITS Pilani（比尔拉科学技术学院）
像LSTM这样的循环深度学习语言模型通常用于为高价值资产提供高级网络防御。使用LSTM网络进行恶意软件检测的基本假设是恶意软件的操作码序列可以被视为（口语）语言表示。任何口语（单词/句子的序列）和机器语言（操作码的序列）之间都存在差异。在本文中，我们证明了由于这些固有的差异，具有针对口语调整的默认配置的LSTM模型可能无法很好地检测恶意软件（使用其操作码序列），除非网络的基本超参数得到适当调整。在这个过程中，我们还确定了LSTM网络的所有不同超参数的相对重要性，这些参数使用它们的操作码序列表示应用于恶意软件检测。我们实验了不同配置的LSTM网络，并改变了超参数，如嵌入大小，隐藏层的数量，隐藏层中LSTM单元的数量，输入向量的修剪/填充长度，激活函数和批量大小。我们发现，由于恶意软件/机器语言的复杂性增强，为入侵检测系统配置的LSTM网络的性能对隐藏层的数量、输入序列长度和激活函数的选择非常敏感。此外，对于（口语）语言建模，循环架构远远优于非循环架构。因此，我们还评估了LSTM等顺序DL架构与MLP-DNN等非顺序DL架构相比的恶意软件检测效果。
2020-12-26 cs.CR cs.LG
