What Does Normal Even Mean? Evaluating Benign Traffic in Intrusion Detection Datasets
Mount Holyoake College, South Hadley, USA（莫特霍伊克学院）；Cognitive Security Institute（认知安全研究所）
本文评估多个入侵检测数据集中良性流量的内部结构，发现存在有意义的子类别，并展示无监督聚类技术可改善多分类性能。
2025-09-11 cs.CR cs.LG
ADASYN-Random Forest Based Intrusion Detection Model
Zhejiang Normal University（浙江师范大学）；NingboTech University（浙大宁波理工学院）
入侵检测一直是网络安全领域的一个重要研究课题，而当今常见的网络威胁具有多样性和变异性的特点。针对入侵检测数据集严重不均衡会导致对小样本攻击行为分类性能低下，难以准确、高效地检测网络攻击的问题，提出采用自适应综合采样（ADASYN）方法对数据集进行均衡。另外，采用随机森林算法对入侵检测分类器进行训练。通过在CICIDS 2017数据集上的入侵检测对比实验，发现ADASYN与随机森林的性能更好。根据实验结果，分析了ADASYN在查准率、查全率、F1分数和AUC值等方面的改善情况。实验表明，该方法可应用于大数据量的入侵检测，有效提高网络攻击行为的分类准确率。与传统的机器学习模型相比，该模型具有更好的性能、泛化能力和鲁棒性。
2022-04-14 cs.CR cs.LG
Flow Exporter Impact on Intelligent Intrusion Detection Systems
School of Engineering, Polytechnic of Porto (ISEP/IPP)（波尔图理工学院工程学院）；Porto Research, Technology & Innovation Center (PORTIC), Polytechnic of Porto (IPP)（波尔图理工学院波尔图研究、技术与创新中心）
本文研究流导出器对入侵检测机器学习模型性能的影响，使用HERA工具重新生成UNSW-NB15和CIC-IDS2017数据集，实验证明基于HERA版本训练的Random Forest等模型在准确性和泛化能力上均显著优于原始数据集。
2024-12-18 cs.CR cs.LG
Survey of Machine Learning Based Intrusion Detection Methods for Internet of Medical Things
Blida 1 University（布利达第一大学）；Emory University（埃默里大学）；PROXYLAN SPA（PROXYLAN股份公司）；CERIST（国家信息与系统研究中心）
医疗物联网（IoMT）通过使用传感器实现生理数据汇集，并将其传输到远程服务器，供医生和医疗保健专业人员进行持续分析，从而彻底改变了医疗保健行业。这项技术提供了许多好处，包括早期疾病检测和慢性病患者的自动药物治疗。然而，IoMT技术也存在重大的安全风险，例如侵犯患者隐私或将敏感数据暴露于无线通信引起的拦截攻击，这对患者来说可能是致命的。此外，由于异构通信及其有限的计算、存储和能量容量，传统的安全措施（例如密码学）在医疗设备中实施具有挑战性。这些保护方法对于新的攻击和零日攻击也是无效的。在数据汇集、传输、存储和处理过程中，必须采取强大的安全措施，以确保数据的完整性、机密性和可用性。在这种情况下，使用基于机器学习（ML）的入侵检测系统（IDS）可以带来适合IoMT系统独特特征的互补安全解决方案。因此，本文研究了基于ML的IDS如何解决IoMT系统中的安全和隐私问题。首先，提供了通用的三层架构的IoMT，和IoMT系统的安全需求概述。然后，确定了可能影响IoMT安全性的各种威胁，并介绍了构成IoMT的三层基于ML的每个解决方案中使用的优点，缺点，方法和数据集。最后，讨论了基于ML的入侵检测系统在物联网各层的应用所面临的挑战和局限性，为今后的研究提供了参考。
2023-03-07 cs.CR cs.LG
Ensemble Classifier Design Tuned to Dataset Characteristics for Network Intrusion Detection
University of Toledo（托莱多大学）
基于机器学习的监督方法需要高度定制和微调的方法来提供出色的性能。针对网络入侵数据集UNSW-NB 15，提出了一种基于数据集驱动的机器学习分类器设计和性能评估。对数据集的分析表明，它在特征空间中存在类表示不平衡和类重叠。我们采用集成方法，使用平衡装袋（BB），极限梯度提升（XGBoost），和随机森林授权的Hellinger距离决策树（RF-HDDT）。BB和XGBoost被调整以处理不平衡数据，并且随机森林（RF）分类器由Hellinger度量补充以解决不平衡问题。提出了两种新的算法来解决数据集中的类重叠问题。这两种算法被用来帮助提高测试数据集的性能，通过修改由三个基本分类器作为集成分类器的一部分，采用多数表决组合器的最终分类决策。所提出的设计进行评估，为二进制和多类别分类。将所提出的模型与文献中相同数据集上报告的模型进行比较，表明所提出的模型在二进制和多类别分类情况下均显著优于其他模型。
2022-05-08 cs.AI cs.CR cs.DB
Exploring Robust Intrusion Detection: A Benchmark Study of Feature Transferability in IoT Botnet Attack Detection
School of Computer Science, University of Nottingham, Ningbo, China（宁波大学计算机科学学院）；School of Computer Science, University of Nottingham, Nottingham, United Kingdom（诺丁汉大学计算机科学学院）
本研究评估了物联网僵尸网络攻击检测中三种流特征集的可迁移性，发现域变化对性能有显著影响，提出了改进鲁棒性的特征工程和算法选择方法。
2026-02-27 cs.AI cs.CR cs.LG
Intrusion detection systems using classical machine learning techniques versus integrated unsupervised feature learning and deep neural network
Self-employed（自营（个体））；IBM（国际商业机器公司）；Amrita Vishwa Vidyapeetham（阿姆里塔维施瓦维迪亚佩塔姆大学）
安全分析师和管理员面临着检测和防止组织中的网络入侵的许多挑战，为了防止网络漏洞，及时检测漏洞至关重要。在检测不可预见的攻击时会出现挑战。这项工作包括对需要大量特征工程的经典机器学习方法与NSL-KDD数据集上的集成无监督特征学习和深度神经网络进行性能比较。运行各种试验以识别机器学习模型的合适的超参数和网络配置。使用主成分分析提取的15个特征的DNN是最有效的建模方法。使用软件定义网络功能进行的进一步分析也显示了使用深度神经网络的良好准确性。
2019-10-01 cs.CR cs.LG cs.NI
Using Rough Set and Support Vector Machine for Network Intrusion Detection
Chaoyang University of Technology（朝阳科技大学）
入侵检测系统（IDS）的主要功能是保护系统安全，分析和预测用户的行为。那么这些行为将被视为攻击或正常行为。虽然入侵检测系统已经发展了很多年，但是大量的返回警报消息使得管理人员对系统的维护效率很低。本文将粗糙集理论（Rough Set Theory）和支持向量机（支持向量机）相结合来检测入侵。首先，使用数据预处理器对数据进行预处理和降维。然后，将SVM选取的特征分别送入SVM模型进行学习和测试。该方法有效地降低了数据的空间密度。通过实验比较了不同方法的识别结果，结果表明，SVM和SVM模式可以有效地提高误检率和准确率。
2010-04-05 cs.CR cs.LG cs.NI
Machine Learning Techniques for Intrusion Detection
University of New Mexico（新墨西哥大学）
入侵检测系统（IDS）是一种监控单个计算机或计算机网络的恶意活动（攻击）的软件，这些恶意活动旨在窃取或审查信息或破坏网络协议。当今的入侵检测系统中使用的大多数技术都不能处理对计算机网络的动态和复杂的网络攻击。因此，像各种机器学习技术的有效自适应方法可以导致更高的检测率、更低的误报警率以及合理的计算和通信成本。在本文中，我们研究了几个这样的计划，并比较其性能。我们将方案分为基于经典人工智能（AI）的方法和基于计算智能（CI）的方法。我们解释了CI技术的各种特性可以用来构建高效的IDS。
2015-05-09 cs.CR cs.LG cs.NI
Application Layer Intrusion Detection with Combination of Explicit-Rule- Based and Machine Learning Algorithms and Deployment in Cyber- Defence Program
关于网络入侵检测与防御系统的研究已经有很多，但是关于应用层入侵检测与防御的研究还不多见，也不是很成熟。网络层和应用层的入侵检测和防御对于网络安全和企业系统安全具有重要意义。由于应用层入侵日益增多，必须给予足够的重视，并使用最先进的算法进行有效的检测和预防。本文讨论了商业和开源空间中应用层入侵检测和防御功能的现状，并提供了一条发展到更成熟状态的路径，不仅可以解决企业系统安全问题，还可以解决国家网络防御问题。可扩展性和成本效益是形成拟议解决方案的重要因素。
2014-11-12 cs.CR cs.NI
Evaluation of Machine Learning Algorithms for Intrusion Detection System
University of Miskolc（米什科尔茨大学）；Mutah University（穆塔大学）
入侵检测系统（IDS）是抵御恶意攻击的有效手段之一。此外，攻击者总是不断改变他们的工具和技术。然而，实现一个公认的IDS系统也是一项具有挑战性的任务。在本文中，几个实验已经进行和评估，以评估各种机器学习分类器的基础上KDD入侵数据集。它成功地计算了几个性能指标，以评估所选择的分类器。重点研究了误报和漏报性能指标，以提高入侵检测系统的检测率。实验结果表明，决策表分类器的误报率最低，而随机森林分类器的平均准确率最高。
2018-01-08 cs.CR cs.LG
An empirical evaluation for the intrusion detection features based on machine learning and feature selection methods
Mutah University（穆塔大学）
尽管信息技术，特别是互联网、计算机网络、全球信息交换取得了巨大发展，并在日常生活的各个领域产生了积极影响，但它也助长了渗透和入侵的发展，对信息组织、政府机构的安全构成了高度风险，并造成了巨大的经济损失。有许多技术设计用于保护，如防火墙和入侵检测系统（IDS）。入侵检测系统是一套用于检测计算机系统中黑客活动的软件和/或硬件技术。IDS中使用两种类型的异常来检测不同于正常用户行为的入侵活动。误用依赖于包含所有已知攻击技术的知识库，通过对该知识库的研究发现入侵。已经引入了人工智能技术来改善这些系统的性能。入侵检测系统的重要性在于识别那些试图破坏计算机网络的机密性、完整性或可用性的未经授权的访问。本文研究了三种机器学习算法，即贝叶斯网络算法，多层感知器（MLP）和支持向量机（SVM）的入侵检测（ID）问题。该算法应用于一个真正的，基于管理信息（MIB）的数据集，从现实生活中的环境中收集。为了提高检测过程的准确性，使用了一组特征选择方法; Infogain（IG）、ReleifF（RF）和遗传搜索（GS）。实验结果表明，这三种特征选择方法都提高了分类性能。具有贝叶斯网络，MLP和SVM的GS具有高准确率，更具体地说，具有GS准确率的贝叶斯网络为99.9%。
2017-12-27 cs.CR cs.LG cs.NI
Detect & Reject for Transferability of Black-box Adversarial Attacks Against Network Intrusion Detection Systems
Royal Military Academy（皇家军事学院）
在过去的十年中，机器学习技术在基于异常的入侵检测系统中的应用取得了很大的成功。然而，最近的研究表明，一般的机器学习和深度学习都容易受到对抗攻击的攻击，攻击者试图通过提供欺骗性输入来欺骗模型。计算机视觉领域的研究首次发现了这一漏洞，研究表明，旨在欺骗特定模型的对抗性图像可以欺骗其他机器学习模型。在本文中，我们研究了对抗性网络流量对多个基于机器学习的入侵检测系统的可转移性。此外，我们分析了集成入侵检测系统的鲁棒性，这是臭名昭著的更好的准确性相比，一个单一的模型，对对抗攻击的可转移性。最后，我们研究检测和拦截作为一种防御机制，以限制对抗性网络流量对基于机器学习的入侵检测系统的可转移性的影响。
2021-12-22 cs.CR cs.LG
Unsupervised Network Intrusion Detection System for AVTP in Automotive Ethernet Networks
Télécom Paris, IP Paris（巴黎电信学院，巴黎理工学院）
网络入侵检测系统（NIDS）被广泛认为是保护车载网络免受各种网络攻击的有效工具。然而，由于网络攻击总是在不断发展，基于特征的入侵检测系统不再被采用。另一种解决方案可以是部署基于深度学习的入侵检测系统，该系统在检测网络流量中的未知攻击模式方面发挥重要作用。因此，在本文中，我们比较了不同的无监督深度和基于机器学习的异常检测算法的性能，用于实时检测音频视频传输协议（AVTP）上的异常，AVTP是最近基于汽车以太网的车载网络中实现的应用层协议。在最近发布的“汽车以太网入侵数据集”上进行的数值结果表明，在不同的实验设置下，深度学习模型在机器学习中的表现明显优于其他最先进的传统异常检测模型。
2022-04-25 cs.CR cs.LG cs.NI
Advancing Network Security: A Comprehensive Testbed and Dataset for Machine Learning-Based Intrusion Detection
本文提出一个基于容器、Kubernetes和eBPF/XDP的网络流量生成测试平台，并公开了一个完全满足真实标签特性的小规模恶意流量数据集，以支持基于机器学习的入侵检测研究。
2024-10-23 cs.CR cs.NI
Feature Analysis for Machine Learning-based IoT Intrusion Detection
The University of Queensland（昆士兰大学）
物联网（IoT）网络已成为越来越有吸引力的网络攻击目标。强大的机器学习（ML）模型最近被用于实现网络入侵检测系统以保护物联网网络。为了成功训练这种ML模型，选择正确的数据特征至关重要，从而最大限度地提高检测精度和计算效率。本文综合分析了特征集在网络攻击检测中的重要性和预测能力。三个特征选择算法：卡方，信息增益和相关性，已被用来识别和排名数据的功能。将属性馈送到两个ML分类器：深度前馈和随机森林，以测量它们的攻击检测性能。实验评估考虑了三个数据集：UNSW-NB 15，CSE-CIC-IDS 2018和ToN-IoT，采用其专有的流格式。此外，还考虑了NetFlow格式的各个变体，即，NF-UNSW-NB15、NF-CSE-CIC-IDS2018和NF-ToN-IoT。实验性评估探讨了添加个别功能的边际效益。我们的研究结果表明，准确性最初增加迅速添加功能，但迅速收敛到最大值。这表明了一个显着的潜力，以减少入侵检测系统的计算和存储成本，同时保持接近最佳的检测精度。这在物联网系统中具有特别的相关性，通常具有有限的计算和存储资源。
2022-11-23 cs.CR cs.LG cs.NI
A Machine Learning Based Intrusion Detection System for Software Defined 5G Network
College of Information Science & Electronic Engineering, Zhejiang University（浙江大学信息科学与电子工程学院）
作为未来5G网络的必然趋势，软件定义架构在提供集中控制和灵活资源管理方面具有诸多优势。但它也面临着各种安全挑战和新兴服务和技术的潜在威胁。入侵检测系统（IDS）作为网络安全的焦点，通常是分散部署，缺乏协作.它们也无法检测到智能能力有限的新型攻击，这难以满足软件定义的5G需求。本文提出了一种基于软件定义5G架构的智能入侵系统，该系统结合了软件定义技术和人工智能的先进技术。它灵活地将安全功能模块与全局视图相结合，在集中管理和控制下自适应地调用。它还可以通过使用机器学习算法来处理未知的入侵。评估结果表明，智能入侵检测系统达到了较好的性能。
2017-07-10 cs.AI cs.CR cs.NI
A False Sense of Security? Revisiting the State of Machine Learning-Based Industrial Intrusion Detection
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫通信、信息处理与人机工程研究所）
基于异常的入侵检测通过对系统行为进行建模，并在出现异常时发出相应的警报，从而检测出对工业控制系统的新型或未知攻击。由于人工创建这些行为模型既繁琐又容易出错，因此研究重点集中在机器学习上，自动训练这些行为模型，检测率达到99%以上。然而，这些方法通常不仅在良性流量上训练，而且在攻击上训练，然后针对用于训练的相同类型的攻击进行评估。因此，它们在未知（未接受过训练）攻击上的实际真实表现仍不清楚。反过来，报告的基于机器学习的入侵检测近乎完美的检测率可能会产生虚假的安全感。为了评估这种情况并阐明基于机器学习的工业入侵检测的真正潜力，我们开发了一种评估方法，并从文献中检查了多种方法对未知攻击的性能（排除在训练之外）。我们的研究结果强调了检测未知攻击的无效性，对于某些类型的攻击，检测率下降到3.2%至14.7%之间。展望未来，我们提出了对基于机器学习的方法进行进一步研究的建议，以确保其检测未知攻击的能力的清晰度。
2022-05-18 cs.CR cs.LG
Machine Learning for Intrusion Detection in Industrial Control Systems: Applications, Challenges, and Recommendations
DHA Suffa University（DHA Suffa大学）；Karachi Institute of Economics and Technology（卡拉奇经济技术学院）；DNNae Inc.（DNNae公司）；Singapore University of Technology and Design（新加坡科技设计大学）
来自机器学习的方法正被应用于设计能够抵御网络攻击的工业控制系统。这种方法集中在两个主要领域：使用通过网络数据包获取的信息在网络级检测入侵，以及使用代表系统物理行为的数据在物理过程级检测异常。本综述主要介绍了机器学习中用于入侵和异常检测的四种方法，即监督、半监督、无监督和强化学习。在公共领域的文献进行了仔细的选择，分析，并放置在一个7维空间，便于比较。该调查的对象是研究人员、学生和从业人员。在使用的方法和研究差距相关联的挑战，并提出建议，以填补空白。
2022-02-24 cs.CR cs.LG
A Comparative Analysis of Machine Learning Algorithms for Intrusion Detection in Edge-Enabled IoT Networks
Taylor's University（泰莱大学）
互连设备和通过无线网络的数据通信的数量的显著增加已经引起了各种威胁、风险和安全问题。物联网（IoT）应用几乎部署在日常生活的各个领域，包括敏感环境。边缘计算范式通过将计算处理移动到数据源附近来补充物联网应用。在各种安全模型中，基于机器学习（ML）的入侵检测是最有可能对抗边缘物联网网络中异常行为的防御机制。ML算法用于将网络流量分为正常和恶意攻击。入侵检测是网络安全领域中的一个具有挑战性的问题。研究界提出了许多入侵检测系统。然而，在选择合适的算法以在启用边缘的IoT网络中提供安全性方面存在挑战。在本文中，传统的机器学习分类算法进行了比较分析，NSL-KDD数据集上使用Pycharm工具上的分类器对网络流量进行分类。可以观察到，多层感知（MLP）在输入和输出之间具有依赖性，并且更多地依赖于用于入侵检测的网络配置。因此，MLP更适合基于边缘的物联网网络，其训练时间更好，为1.2秒，测试准确率为79%。
2021-11-02 cs.CR cs.LG
Multi-Stage Optimized Machine Learning Framework for Network Intrusion Detection
University of Western Ontario（西安大略大学）；University of Sharjah（沙迦大学）
由于个人和组织对互联网的依赖性增加，以及他们对其在线活动的安全和隐私的关注，网络安全受到了极大的关注。已经开发了几种先前的基于机器学习（ML）的网络入侵检测系统（NIDS）来防止恶意在线行为。本文提出了一种新的多级优化ML的NIDS框架，降低了计算复杂性，同时保持其检测性能。研究了过采样技术对模型训练样本量的影响，确定了最小的合适训练样本量。比较了基于信息增益和基于相关性的两种特征选择技术，探讨了它们对检测性能和时间复杂度的影响。此外，不同的ML超参数优化技术进行了研究，以提高NIDS的性能。使用两个最近的入侵检测数据集，CICIDS 2017和UNSW-NB 2015数据集评估了所提出的框架的性能。实验结果表明，该模型显著减少了所需的训练样本量（高达74%）和特征集大小（高达50%）。此外，模型性能通过超参数优化得到增强，两个数据集的检测准确率均超过99%，比最近的文献工作高出1 - 2%的准确率和1 - 2%的误报率。
2020-08-09 cs.CR cs.LG cs.NI
Shallow and Deep Networks Intrusion Detection System: A Taxonomy and Survey
University of Strathclyde（斯特拉斯克莱德大学）；University of Abertay Dundee（阿伯泰邓迪大学）
入侵检测已经引起了研究人员和工业界的极大兴趣。经过多年的研究，社区仍然面临着建立可靠和有效的IDS的问题，这些IDS能够处理大量的数据，并在实时的情况下改变模式。在这份手稿中提出的工作分类入侵检测系统（IDS）。在此基础上，对浅层和深层网络入侵检测系统进行了分类和综述。该分类和调查回顾了机器学习技术及其在检测异常方面的性能。讨论了影响机器学习入侵检测系统有效性的特征选择问题，说明了特征选择在机器学习入侵检测系统分类和训练阶段的作用。最后，讨论了误报率和误报率，以帮助研究人员建立可靠和高效的基于机器学习的入侵检测系统模型。
2017-01-09 cs.CR cs.LG
Hyperparameter Tuning-Based Optimized Performance Analysis of Machine Learning Algorithms for Network Intrusion Detection
C.V. Raman Global University（C.V.拉曼全球大学）
本研究通过超参数调优优化了多种机器学习算法，发现SVM在网络入侵检测中表现最佳，准确率高达99.12%。
2025-12-14 cs.CR cs.LG cs.NI
Intrusion Detection with Machine Learning Using Open-Sourced Datasets
由于数据的可用性，迄今为止还没有对入侵检测进行重大研究，因为公司内部的网络流量是私人信息，并且在互联网上无法找到可用的日志进行独立研究。本文旨在回答一个问题，即开源数据（通常是模拟的网络流量）是否可以帮助开发一个强大的模型，有效地识别和阻止可能的拒绝服务或渗透攻击。
2021-07-27 cs.CR
Intrusion Detection in Internet of Vehicles Using Machine Learning
Department of Computational, Engineering, and Mathematical Sciences（计算、工程和数学科学系）；Texas A&M University - San Antonio（德克萨斯A&M大学-圣安东尼奥）
本研究利用机器学习方法，基于CiCIoV2024数据集对车联网中的恶意CAN总线流量进行分类，以检测和识别针对关键车辆参数的攻击。
2025-12-16 cs.CR cs.LG
On Generalisability of Machine Learning-based Network Intrusion Detection Systems
University of Queensland（昆士兰大学）
本研究通过评估七种监督与无监督模型在四个基准数据集上的表现，发现基于ML的NIDSs泛化性差且不对称，无监督方法更优，SHAP分析揭示特征与类别对应关系缺失是主因。
2022-05-09 cs.CR cs.LG cs.NI
A Review of Machine Learning based Anomaly Detection Techniques
Punjabi University（旁遮普大学）
入侵检测技术是近二十年来兴起的一个研究热点。它主要有两种类型的基础上的入侵，第一个是误用或基于签名的检测和另一个是异常检测。本文讨论了基于机器学习的异常检测技术。
2013-07-27 cs.CR cs.LG
Feature Selection and Intrusion Detection in Cloud Environment based on Machine Learning Algorithms
计算机网络上的攻击和渗透者的行为的特征和方式通常是非常困难的，需要一个专家。此外，随着计算机网络的进步，攻击和渗透的数量也在增加。事实上，来自专家的知识将随着时间的推移而失去其价值，必须更新并提供给系统，这使得对专家的需求始终存在。在机器学习技术中，知识是从数据本身中提取的，这削弱了专家的作用。用于检测入侵的各种方法，如统计模型、安全系统方法、神经网络等，所有这些都削弱了它使用在网络中旋转的信息分组的所有特征来进行入侵检测的事实。另外，海量的信息和不可想象的状态空间也是入侵检测中的一个重要问题。因此，需要自动识别的新的和可疑的模式，在企图入侵与使用更有效的方法，更低的成本和更高的性能比以前需要更多。本研究旨在提供一种基于入侵检测系统及其各种架构的新方法，旨在提高云计算环境下入侵检测的准确性。关键词：入侵检测，特征选择，分类算法，机器学习，神经网络。
2020-04-15 cs.CR
Intrusion Detection Systems for IoT: opportunities and challenges offered by Edge Computing and Machine Learning
Sapienza University of Rome（罗马大学）
当前网络安全方法的关键组成部分是入侵检测系统（IDS），它们采用不同的技术和架构来检测入侵。IDS可以基于与已知入侵经验的数据库交叉检查监视的事件，称为基于签名，或者基于学习系统的正常行为并报告是否发生某些异常事件，称为基于异常。这项工作致力于调查IDS在物联网（IoT）网络中的应用，其中边缘计算也用于支持IDS的实现。识别在边缘场景中部署IDS时出现的新挑战，并提出补救措施。我们专注于基于异常的IDS，显示可以利用来检测异常的主要技术，我们提出了机器学习技术及其在IDS中的应用，描述了预期的优点和缺点，一个特定的技术可能会导致。
2022-04-14 cs.AI cs.CR cs.NI
Machine Learning-Assisted Intrusion Detection for Enhancing Internet of Things Security
University of New Mexico（新墨西哥大学）；Florida International University（佛罗里达国际大学）；Florida Atlantic University（佛罗里达大西洋大学）；University of Washington（华盛顿大学）；Islamic Azad University（伊斯兰阿扎德大学）
本文调研了物联网安全领域基于机器学习的入侵检测策略最新研究，梳理相关研究并分类，指出现有研究空白与框架局限，为未来研究提供参考。
2024-10-06 cs.CR cs.LG
Performance Comparison of Intrusion Detection Systems and Application of Machine Learning to Snort System
Teesside University（提赛德大学）
本文研究了两个开源的入侵检测系统（IDS），即Snort和Suricata的性能，以准确地检测恶意流量的计算机网络。Snort和Suricata安装在两台不同但相同的计算机上，并在10 Gbps网络速度下评估性能。有人指出，Suricata可以处理比Snort更高速度的网络流量，丢包率更低，但消耗更高的计算资源。Snort具有更高的检测精度，因此被选择用于进一步的实验。据观察，Snort触发的误报率很高。为了解决这个问题，开发了Snort自适应插件。为了选择Snort自适应插件的最佳学习算法，采用不同的学习算法进行了实证研究，选择了支持向量机（SVM）。SVM和模糊逻辑的混合版本产生了更好的检测精度。但使用萤火虫算法优化的SVM获得了最好的结果，FPR（假阳性率）为8.6%，FNR（假阴性率）为2.2%，这是一个很好的结果。这项工作的新颖性是两个IDS在10 Gbps的性能比较和混合和优化的机器学习算法的应用程序的Snort。
2017-11-07 cs.CR cs.LG cs.NI
Data Curation and Quality Assurance for Machine Learning-based Cyber Intrusion Detection
University of North Texas（北德克萨斯大学）；Tuskegee University（塔斯基吉大学）
入侵检测是网络威胁环境中的一项重要任务。机器学习和深度学习技术已经被应用于入侵检测。然而，现有的研究大多集中在模型的工作，但忽略了一个事实，即数据质量差有直接影响的机器学习系统的性能。在构建基于机器学习的入侵检测系统时，需要更加重视数据工作。本文首先总结了现有的基于机器学习的入侵检测系统以及用于构建这些系统的数据集。然后讨论了入侵检测的数据准备流程和质量要求。为了弄清楚数据和模型如何影响机器学习性能，我们使用7个机器学习模型和3个深度学习模型对11个HIDS数据集进行了实验。实验结果表明，BERT和GPT是所有数据集上的最佳HIDS算法。然而，不同数据集上的性能不同，这表明这些数据集的数据质量之间存在差异。然后，我们根据本文提出的质量维度评估了11个数据集的数据质量，以确定HIDS数据集应具有的最佳特性，以获得最佳结果。该研究为研究人员和从业人员提出了一个数据质量的观点，以提高基于机器学习的入侵检测的性能。
2021-05-20 cs.AI cs.CR
A Low-Cost Machine Learning Based Network Intrusion Detection System with Data Privacy Preservation
网络入侵是网络安全的一个研究领域。当前基于机器学习的网络入侵检测系统（NIDS）监视网络数据和这些数据内的模式，但代价是在可能威胁最终用户隐私的隐私侵犯方面存在重大问题。因此，为了降低风险并保持安全性和隐私性之间的平衡，必须保护与入侵数据有关的用户隐私。此外，成本是基于机器学习的NIDS的驱动因素，因为这种系统越来越多地部署在资源有限的边缘设备上。为了解决这些问题，在本文中，我们提出了一个NIDS称为PCC-LSM-NIDS，它是由一个基于皮尔逊相关系数（PCC）的特征选择算法和最小二乘法（LSM）的隐私保护算法，以实现低成本的入侵检测，同时提供敏感数据的隐私保护。提出的PCC-LSM-NIDS测试的基准入侵数据库UNSW-NB 15，使用五个流行的分类。实验结果表明，所提出的PCC-LSM-NIDS提供的优势，在更少的计算时间，同时提供了适当程度的隐私保护。
2021-07-06 cs.CR
Adversarial Machine Learning In Network Intrusion Detection Domain: A Systematic Review
Newcastle University（纽卡斯尔大学）；Tabuk University（塔布克大学）
由于其在各个领域的巨大成功，深度学习技术越来越多地用于设计网络入侵检测解决方案，这些解决方案以高准确率和最小特征工程来检测和减轻未知和已知攻击。然而，人们发现，深度学习模型容易受到数据实例的影响，这些数据实例可能会误导模型做出不正确的分类决策，即所谓的（对抗性示例）。这种漏洞允许攻击者通过向恶意流量添加小的狡猾扰动来瞄准NIDS，以逃避检测并破坏系统的关键功能。深度对抗学习问题在计算机视觉领域已经得到了广泛的研究;然而，在网络安全应用中，它仍然是一个开放的研究领域。因此，本调查探讨了在网络入侵检测领域采用对抗性机器学习的不同方面的研究，以便为潜在的解决方案提供方向。首先，调查研究根据其对生成对抗性示例的贡献进行分类，评估基于ML的NID对对抗性示例的鲁棒性，并保护这些模型免受此类攻击。其次，我们强调了调查研究中确定的特征。此外，我们讨论了现有的通用对抗攻击的NIDS域的适用性，在现实世界的情况下，推出拟议的攻击的可行性，以及现有的缓解解决方案的局限性。
2021-12-06 cs.CR cs.LG cs.NE
Machine Learning Methods for Network Intrusion Detection
网络安全工程师致力于通过处理入侵者攻击来保持服务始终可用。入侵检测系统（IDS）是一种可获得的机制，用于检测和分类任何异常行为。因此，IDS必须始终保持最新的入侵者攻击特征，以保持服务的机密性、完整性和可用性。入侵检测系统的速度是一个非常重要的问题，以及学习新的攻击。这项研究工作说明了如何知识发现和数据采掘（或数据库中的知识发现）KDD数据集是非常方便的测试和评估不同的机器学习技术。主要研究KDD的预处理部分，目的是为了准备一个像样的、公平的实验数据集。本研究选择了J48、MLP和贝叶斯网络分类器。事实证明，J48分类器在检测和分类DOS、R2L、U2R和PROBE类型的所有KDD数据集攻击方面达到了最高的准确率。
2018-09-01 cs.CR cs.NI
Intrusion Detection in Mobile Ad Hoc Networks Using Classification Algorithms
在本文中，我们提出的设计和评估的入侵检测模型的MANNETWORK使用监督分类算法。具体而言，我们评估的多层感知器（MLP），线性分类器，高斯混合模型（GMM），朴素贝叶斯分类器和支持向量机（SVM）的性能。分类算法的性能进行评估，在不同的流量条件和移动模式的黑洞，伪造，丢包，洪水攻击。结果表明，支持向量机对几乎所有的模拟攻击都表现出很高的准确性，丢包是最难检测的攻击。
2008-07-13 cs.CR cs.NI
Evaluating the Potential of Quantum Machine Learning in Cybersecurity: A Case-Study on PCA-based Intrusion Detection Systems
Politecnico di Milano（米兰理工大学）；Centre for Quantum Technologies（量子技术中心）；Inveriant Pte. Ltd.（Inveriant私人有限公司）
本文以基于PCA的网络入侵检测为案例，提出量化容错QML算法现实影响的方法，并分析实现量子优势的条件。
2025-02-16 cs.CR cs.LG cs.NI
Feature selection for intrusion detection systems
Canadian University Dubai（迪拜加拿大大学）
在本文中，我们分析了现有的特征选择方法，以确定网络流量数据，允许入侵检测的关键要素。此外，我们提出了一种新的特征选择方法，解决了考虑连续输入特征和离散目标值的挑战。我们表明，该方法对基准选择方法表现良好。我们利用我们的研究结果开发了一个高效的基于机器学习的检测系统，在区分DDoS和良性信号方面达到了99.9%的准确率。我们相信，我们的研究结果可以是有用的专家谁有兴趣在设计和构建自动入侵检测系统。
2021-06-28 cs.CR cs.LG cs.NI
A Comparative Analysis of Machine Learning Techniques for IoT Intrusion Detection
Polytechnic of Porto（波尔图理工学院）；School of Engineering, Polytechnic of Porto (ISEP/IPP)（波尔图理工学院工程学院（ISEP/IPP））；Research Group on Intelligent Engineering and Computing for Advanced Innovation and Development (GECAD)（高级创新与发展智能工程与计算研究组（GECAD））
数字化转型面临巨大的安全挑战。特别是，越来越多的针对物联网（IoT）系统的网络攻击重申了对恶意网络活动的可靠检测的需求。本文对IoT-23数据集的九个恶意软件捕获进行了监督、无监督和强化学习技术的比较分析，同时考虑了二进制和多类分类场景。开发的模型包括支持向量机（SVM），极端梯度提升（XGBoost），轻梯度提升机（LightGBM），隔离森林（iForest），局部离群因子（LOF）和深度强化学习（DRL）模型的基础上的双深度Q-网络（DDQN），适应入侵检测上下文。LightGBM实现了最可靠的性能。尽管如此，iForest显示出良好的异常检测结果，DRL模型证明了采用这种方法来不断改进检测的可能好处。总体而言，所获得的结果表明，所分析的技术非常适合物联网入侵检测。
2022-06-01 cs.AI cs.CR cs.LG
Launching Adversarial Attacks against Network Intrusion Detection Systems for IoT
Edinburgh Napier University（爱丁堡龙比亚大学）；University of Hertfordshire（赫特福德大学）
随着互联网上不断出现新设备和新兴技术，攻击面呈指数级增长。技术正在转向利润驱动的物联网市场，安全性是事后的想法。传统的防御方法已不足以高精度地检测已知和未知的攻击。机器学习入侵检测系统已经证明了它们在以高精度识别未知攻击方面的成功。然而，机器学习模型也容易受到攻击。对抗性示例可用于在部署之前评估设计模型的鲁棒性。此外，使用对抗性示例对于创建针对对抗性环境设计的鲁棒模型至关重要。我们的工作使用Bot-IoT数据集评估了传统机器学习和深度学习模型的鲁棒性。我们的方法包括两个主要途径。一是标签中毒，用于造成模型分类错误。二是快速梯度标志法，用于规避检测措施。实验表明，攻击者可以操纵或规避检测具有显着的概率。
2021-04-26 cs.CR cs.LG cs.NI
Adaptive Layered Approach using Machine Learning Techniques with Gain Ratio for Intrusion Detection Systems
入侵检测系统（IDS）已成为计算机和网络系统的一个重要问题。入侵检测系统的性能优化是一个重要的开放性问题，越来越受到研究界的关注。为了提高入侵检测的效率和分类率，本文设计并实现了一种多层入侵检测模型，有效地应用机器学习技术（C5决策树、多层感知器神经网络和朴素贝叶斯），利用增益比为每一层选择最佳特征，从而使用更小的存储空间，获得更高的入侵检测性能。实验结果表明，基于C5决策树的多层模型，采用基于增益比的特征选择，分类精度更高，虚警率比MLP和朴素贝叶斯更低。使用增益比显著提高了三种机器学习技术（C5、MLP和朴素贝叶斯）的U2R和R2L的准确性。MLP在使用Dos和Probe层的全部41个特征时具有较高的分类率。
2012-10-29 cs.CR
A transformer-BiGRU-based framework with data augmentation and confident learning for network intrusion detection
Jilin University（吉林大学）；Xidian University（西安电子科技大学）；Guizhou Medical University（贵州医科大学）
针对网络入侵检测数据集数据稀缺、类别不平衡且传统方法难以应对复杂模式的问题，本研究提出结合Transformer与BiGRU、辅以特征选择和数据增强的TrailGate框架，可有效检测常见及新兴威胁。
2025-09-05 cs.CR cs.LG
Detecting and Eliminating Neural Network Backdoors Through Active Paths with Application to Intrusion Detection
Smart Networks and Services Joint Undertaking（智能网络与服务联合体）
本文提出通过主动路径检测和消除神经网络后门，应用于入侵检测系统，提供了一种新颖且可解释的方法。
2026-03-11 cs.AI cs.CR cs.LG
Optimized IoT Intrusion Detection using Machine Learning Technique
Dept. of ECE North South University（电子工程系北南大学）
本研究提出一种基于五种机器学习算法（含随机森林等）的物联网入侵检测系统，通过特征选择与超参数调优，随机森林达最高准确率99.39%，优于以往研究。
2024-12-03 cs.CR cs.LG
A Defensive Framework Against Adversarial Attacks on Machine Learning-Based Network Intrusion Detection Systems
Boston University（波士顿大学）
针对基于机器学习的网络入侵检测系统易受对抗规避攻击的问题，提出整合多种技术的防御框架，经数据集验证在对抗条件下检测准确率提升、误报率降低，推动其实际部署。
2025-02-21 cs.CR cs.LG
Machine Learning Based Intrusion Detection Systems for IoT Applications
物联网（IoT）及其应用是目前最热门的研究领域。物联网的特性一方面使其易于应用于现实生活中的应用，而另一方面又使其面临网络威胁。拒绝服务（DoS）是针对物联网的最具灾难性的攻击之一。在本文中，我们研究了使用机器学习分类算法来保护物联网免受DoS攻击的前景。本文对分类器进行了全面的研究，以期对基于异常的入侵检测系统的发展起到推动作用。分类器的性能评估是在突出的指标和验证方法。流行的数据集CIDDS-001，UNSW-NB 15和NSL-KDD用于基准分类器。采用Friedman和Nemenyi检验对分类器之间的显著性差异进行统计分析。此外，Raspberry Pi还用于评估物联网特定硬件上分类器的响应时间。我们还讨论了根据应用程序的要求选择最佳分类器的方法。本研究的主要目标是激励物联网安全研究人员使用集成学习开发IDS，并提出适当的方法对分类器的性能进行统计评估。
2023-02-24 cs.CR cs.NI
Data-Driven Network Intrusion Detection: A Taxonomy of Challenges and Methods
数据驱动方法在网络入侵检测系统中得到了广泛的应用。然而，目前存在一些来自如何收集数据集的挑战。与正常流量相比，网络入侵数据集中的大多数攻击类别被认为是少数，许多数据集是通过虚拟机或其他模拟环境而不是真实网络收集的。这些挑战通过将随机森林或支持向量机等模型拟合到不具代表性的“沙箱”数据集，破坏了入侵检测机器学习模型的性能。该调查提出了一个精心设计的分类法，突出了八个主要挑战和解决方案，并探讨了1999年至2020年的常见数据集。分析了过去十年中所面临的挑战的分布趋势，并提出了将NID扩展到基于云的环境中，为大量网络入侵数据设计可扩展模型以及创建在真实网络中收集的标记数据集的未来方向。
2020-09-15 cs.CR
Evaluating and Improving Adversarial Robustness of Machine Learning-Based Network Intrusion Detectors
Tsinghua University（清华大学）
机器学习（ML），特别是深度学习（DL）技术在基于异常的网络入侵检测系统（NIDS）中得到了越来越多的应用。然而，ML/DL已经被证明非常容易受到对抗攻击的攻击，特别是在这种安全敏感的系统中。许多对抗攻击已经被提出来评估基于ML的NIDS的鲁棒性。不幸的是，现有的攻击大多集中在特征空间和/或白盒攻击，这使得不切实际的假设，在现实世界的情况下，留下了实际的灰/黑盒攻击的研究在很大程度上未被探索。为了弥补这一差距，我们进行了第一次系统的研究，灰色/黑盒流量空间的对抗攻击，以评估基于ML的NIDS的鲁棒性。我们的工作在以下几个方面优于以前的工作：（i）实用性-所提出的攻击可以自动变异的原始流量与极其有限的知识和负担得起的开销，同时保留其功能;（ii）通用性-所提出的攻击是有效的评估各种NIDS的鲁棒性使用不同的ML/DL模型和非基于有效载荷的功能;（iii）可解释性-我们提出了一种解释方法的脆弱的鲁棒性ML为基础的NIDS。在此基础上，我们还提出了一种防御对抗攻击的方案，以提高系统的鲁棒性。我们广泛评估的鲁棒性的各种NIDS使用不同的功能集和ML/DL模型。实验结果表明，我们的攻击是有效的（例如，对于Kitsune，最先进的NIDS在一半情况下的规避率>97%），具有可承受的执行成本，并且所提出的防御方法可以有效地减轻此类攻击（在大多数情况下规避率降低>50%）。
2021-06-08 cs.CR cs.LG cs.NI
SoK: Pragmatic Assessment of Machine Learning for Network Intrusion Detection
Liechtenstein Business School – University of Liechtenstein（列支敦士登大学列支敦士登商学院）
该研究针对网络入侵检测（NID）领域机器学习研究与实践脱节的问题，提出“务实评估”概念，通过覆盖多配置、多对抗场景、多硬件平台的大规模可复现评估及从业者用户研究，助力衡量ML方法的实际应用价值。
2023-04-30 cs.CR cs.LG cs.NI
Intensive Preprocessing of KDD Cup 99 for Network Intrusion Classification Using Machine Learning Techniques
Prince Al-Hussein Bin Abdullah II Faculty of Information Technology, Hashemite University（哈希姆大学侯赛因·本·阿卜杜拉二世亲王信息技术学院）；Princess Sumaya University for Technology（苏玛雅公主科技大学）；University of Miskolc（米什科尔茨大学）
网络安全工程师通过处理入侵者攻击来保持服务始终可用。入侵检测系统（IDS）是一种可以检测和分类异常行为的机制。因此，IDS必须始终保持最新的入侵者攻击特征，以保持服务的机密性、完整性和可用性。入侵检测系统的速度是非常重要的问题，以及学习新的攻击。这项研究工作说明了如何知识发现和数据采掘（或数据库中的知识发现）KDD数据集是非常方便的测试和评估不同的机器学习技术。主要研究KDD的预处理部分，目的是为了准备一个像样的、公平的实验数据集。本研究选择了J48、随机森林、随机树、MLP、朴素贝叶斯和贝叶斯网络分类器。事实证明，随机森林分类器在检测和分类所有KDD数据集攻击（类型为DOS、R2L、U2R和PROBE）方面达到了最高的准确率。
2018-10-05 cs.CR cs.LG
Leveraging Machine Learning Techniques in Intrusion Detection Systems for Internet of Things
本文综述了机器学习和深度学习技术在物联网入侵检测系统中的应用，评估多种ML/DL方法及生成式AI和LLMs的作用，并提出应对挑战的综合框架。
2025-04-09 cs.CR cs.NI
Orthogonal variance-based feature selection for intrusion detection systems
Canadian University Dubai（加拿大迪拜大学）
在本文中，我们采用融合机器学习方法来构建一个自动入侵检测系统。具体而言，我们采用正交方差分解技术来识别网络流量数据中的相关特征。所选择的特征用于构建用于入侵检测的深度神经网络。该算法对DDoS攻击的检测准确率达到100%。测试结果表明，该方法具有很大的潜力。
2021-10-25 cs.CR cs.LG
On-Device Interpretable Tsetlin Machine-Based Intrusion Detection for Secure IoMT
Department of ICT, University of Agder, Norway（阿格德大学信息与通信技术系）
本文提出了一种基于Tsetlin机的设备端可解释入侵检测系统，用于IoMT环境中的入侵检测，通过逻辑规则和特征贡献提升透明度和性能，达到97.83%的分类准确率。
2026-06-23 cs.CR cs.LG
An Efficient Flow-based Multi-level Hybrid Intrusion Detection System for Software-Defined Networks
软件定义网络（SDN）是一种提供增强编程能力的新型网络范例，其可用于基于更有效的方法来解决传统的安全挑战。SDN范例中最重要的元素是控制器，它负责管理每个通信转发元素（交换机或路由器）的流。由控制器提供的流量统计被认为是有用的信息，可以用来开发基于网络的入侵检测系统。因此，在本文中，我们提出了一个5级混合分类系统的基础上流量统计，以达到提高系统的整体精度。对于第一级，我们采用k-最近邻方法（kNN）;对于第二级，我们使用极端学习机（ELM）;对于其余级别，我们使用分层极端学习机（H-ELM）方法。与传统的基于NSL-KDD基准数据集的监督机器学习算法相比，实验研究表明，我们的系统达到了最高水平的准确率（84.29%）。因此，我们的方法提出了一个有效的方法在SDN的入侵检测。
2018-06-11 cs.CR cs.NI
