Survivor: A Fine-Grained Intrusion Response and Recovery Approach for Commodity Operating Systems
尽管部署了预防性安全机制来保护用户的资产和计算平台，但入侵最终还是会发生。我们提出了一种新的入侵生存性的方法来抵御正在进行的入侵。我们的方法依赖于细粒度恢复和每个服务响应的编排（例如，特权移除）。这种方法可能会使系统进入降级模式。此降级模式可防止攻击者再次感染系统或在成功再次感染系统的情况下实现其目标。它在等待补丁部署的同时保持核心功能的可用性。我们设计了一个对成本敏感的响应选择过程，以确保当服务处于降级模式时，其核心功能仍在运行。我们建立了一个基于Linux的原型，并评估了我们的方法对不同类型的入侵的有效性。结果表明，我们的解决方案消除了入侵的影响，它可以选择适当的响应，它允许服务生存时再次感染。在性能开销方面，在大多数情况下，我们观察到的开销很小，除了在突发中异步多次写的小文件的服务的罕见情况，我们观察到较高但可接受的开销。
2019-12-14 cs.CR cs.OS
IRSDA: An Agent-Orchestrated Framework for Enterprise Intrusion Response
Mississippi State University（密苏里州立大学）；The University of Alabama（阿拉巴马大学）
IRSDA是一种基于智能体的入侵响应框架，结合自适应计算与知识引导循环，实现自动化防御和政策合规性，提升企业网络安全响应效率与可解释性。
2025-11-24 cs.AI cs.CR
Unsupervised Learning Based Robust Multivariate Intrusion Detection System for Cyber-Physical Systems using Low Rank Matrix
电力、运输、通信等重要基础设施的正常和不间断运作，对于一个国家的正常运作至关重要。过去造成关键基础设施服务中断的网络攻击被认为是一个重大威胁。随着技术的进步和关键基础设施向基于IP的通信的发展，网络物理系统成为攻击者有利可图的目标。本文提出了一个鲁棒的多变量入侵检测系统RAD，用于在O（d）空间和时间复杂度内检测网络物理系统中的攻击，其中d是系统状态向量中的参数个数.建议的入侵检测系统（IDS）是在一个无监督学习设置，而不使用标记的数据表示的攻击。它允许一小部分训练数据被离群值破坏或受到攻击，通过订阅强大的训练过程。建议的IDS优于现有的异常检测技术在几个现实世界的数据集和攻击场景。
2020-09-07 cs.CR
A Case for Network-wide Orchestration of Host-based Intrusion Detection and Response
本文提出一种中央编排器统一管理各主机IDS的网络范围防御方案，通过远程编程与实时告警收集实现协同响应，原型实验证明其能有效抵御真实攻击。
2025-04-08 cs.CR cs.NI
Domain Knowledge Aided Explainable Artificial Intelligence for Intrusion Detection and Response
Tennessee Technological University（田纳西理工大学）
人工智能（AI）已成为现代安全解决方案不可或缺的一部分，因为它能够学习非常复杂的功能并处理“大数据”。然而，当对模型预测的信任至关重要时，成功的人工智能模型缺乏可解释性和可解释性是一个关键的绊脚石。这会导致人为干预，从而导致延迟响应或决策。虽然基于人工智能的入侵检测系统在速度和性能方面取得了重大进步，但在解释和解释特定预测或决策时，响应速度仍然是人类的速度。在这项工作中，我们注入流行的领域知识（即，CIA原则）在我们的模型更好的解释性和验证的方法上的网络入侵检测测试用例。我们的实验结果表明，领域知识的注入提供了更好的可解释性以及更快的决策或响应。此外，注入的领域知识使模型能够很好地处理未知攻击，并开辟了适应来自众多物联网设备的大量网络流量的路径。
2020-02-22 cs.AI cs.CR
Agentra: A Supervisable Multi-Agent Framework for Enterprise Intrusion Response
The University of Alabama, Alabama, USA（阿拉巴马大学）；Roma Tre University, Rome, Italy（罗马三大学）
提出可监督的多智能体入侵响应框架Agentra，通过角色划分、规划-验证循环、安全网关和风险评分机制，将警报转化为结构化响应计划，在120事件语料上F1从0.61提升至0.84，有害动作率降至0.0%。
2026-06-19 cs.AI cs.CR
An Intrusion Response System utilizing Deep Q-Networks and System Partitions
University of Rome Tor Vergata（罗马第二大学）；Sapienza University of Rome（罗马第一大学）；Roma Tre University（罗马第三大学）；Mississippi State University（密西西比州立大学）
入侵响应是一个相对较新的研究领域。最近创建入侵响应系统（IRS）的方法使用强化学习（RL）作为主要技术，用于选择最佳或接近最佳的适当对策，以阻止或减轻正在进行的攻击。然而，他们中的大多数没有考虑到系统可以随时间变化的事实，或者换句话说，系统表现出非平稳行为。此外，有状态的方法，如基于RL的方法，由于状态空间随受保护系统的大小呈指数增长而遭受维数灾难。在本文中，我们介绍和开发了一个IRS软件原型，命名为IRS分区。它利用受保护系统和Deep Q-Networks的分区，通过支持多代理制定来解决维度灾难。此外，它利用迁移学习来跟踪非平稳系统的演化。
2022-02-16 cs.AI cs.CR cs.LG
Hierarchical Design Based Intrusion Detection System For Wireless Ad hoc Network
近年来，无线自组织传感器网络在民用和军用领域都得到了广泛的应用。然而，由于传感器网络部署在开放和不受保护的环境中，安全性是传感器网络面临的重大挑战之一。由于密码机制不足以保护传感器网络免受外部攻击，需要引入入侵检测系统。虽然入侵防御机制是抵御攻击的主要有效手段之一，但仍有一些攻击的防御方法是未知的。入侵检测系统除了能够防止系统受到某些已知的攻击外，还能够收集与攻击技术相关的必要信息，为入侵防御系统的开发提供帮助。除了回顾目前无线传感器网络中可用的攻击之外，本文还研究了当前针对无线传感器网络的入侵检测系统。在本文中，我们提出了一个层次结构设计的入侵检测系统，适合当前的需求和无线ad hoc传感器网络的限制。在此入侵检测系统架构中，我们遵循分簇机制，建立一个四层的分层网络，增强了网络的可扩展性，以大的地理区域，并使用异常和误用检测技术的入侵检测。我们引入基于策略的检测机制以及入侵响应与GSM细胞的概念，入侵检测体系结构。
2012-08-18 cs.CR
Design and Evaluation of A Data Partitioning-Based Intrusion Management Architecture for Database Systems
数据密集型应用程序对数据库管理系统（DBMS，简称）的依赖性越来越大。随着政府和商业基础设施面临的网络安全威胁日益增加，开发高弹性网络系统的需求变得越来越重要。对DBMS的网络攻击包括可能导致性能严重下降的入侵攻击。已经针对设计集成管理系统以检测、响应恶意攻击并从恶意攻击中恢复做出了若干努力。本文提出了一种基于数据划分的入侵管理系统（PIMS），它可以抵抗对数据库系统的恶意入侵攻击。PIMS的新颖之处在于能够将损坏包含在数据分区中，称为入侵边界（IB，简称）。IB划界问题（简称IBDP）是一个混合整数非线性规划问题。我们证明了IBDP是NP-困难的。相应地，两个启发式解决方案IBDP介绍。所提出的PIMS架构包括新颖的以IB为中心的响应和恢复机制，该机制执行补偿事务。PIMS是在PostgreSQL中原型化的，PostgreSQL是一个开源的DBMS。最后，对PIMS进行了实证和实验性能评估，结果表明数据元组的智能划分提高了入侵攻击下DBMS的整体可用性。
2018-10-05 cs.CR
Joint Security-vs-QoS Game Theoretical Optimization for Intrusion Response Mechanisms for Future Network Systems
网络连接使网络基础设施和资产暴露于攻击者可以利用的漏洞。保护网络资产免受攻击需要应用安全对策。然而，采用对抗措施会产生成本，例如金钱成本，以及准备和部署对抗措施的时间和精力。因此，入侵响应系统（IRS）应考虑安全和QoS成本时，动态选择的对策，以解决检测到的攻击。这促使我们制定一个联合安全与QoS优化问题，以选择最佳的对策在IRS。然后将问题转化为匹配博弈模型。考虑到货币成本和攻击覆盖的限制，我们首先推导出理论上的上限问题，然后提出稳定的匹配为基础的解决方案，以解决权衡。所提出的解决方案的性能，考虑不同的设置，验证了一系列的模拟。
2023-03-15 cs.CR cs.GT cs.NI
Optimal Security Response to Network Intrusions in IT Systems
本文针对IT基础设施中的网络入侵，提出结合仿真模拟与博弈论随机逼近优化的实用最优安全响应方法，并证明策略结构性质、给出高效算法，弥合了理论最优性与实际运行性能之间的差距。
2025-03-13 cs.CR cs.GT
From Network Intrusion Detection to Blockchain-Backed Endpoint Detection and Response: Mapping the Landscape of Decentralized Detection-and-Response Architectures
École de technologie supérieure (ÉTS)（高等技术学院（ÉTS））；University of Calgary（卡尔加里大学）
针对现有综述忽视EDR/XDR架构及混淆区块链角色的局限，提出三轴分类法系统化分析2019-2026年文献，揭示每端点区块链响应缺失的根因，并规划混合链上/链下编排的研究议程。
2026-10-02 cs.AI cs.CR cs.NI
SSIDS: Semi-Supervised Intrusion Detection System by Extending the Logical Analysis of Data
传统的入侵检测系统（IDS）由于网络流量的巨大和攻击者使用的欺骗性网络使用模式而不再有效，因此防止对关键网络资源的网络攻击已经成为一个重要的问题。缺乏足够数量的标记观测用于训练IDS使得半监督IDS成为首选。我们提出了一个半监督入侵检测系统扩展的数据分析技术称为逻辑分析数据，或LAD在短期内，这是作为一个监督学习的方法。LAD使用部分定义的布尔函数（pdBf）和它们的扩展来从过去的观测中找到正模式和负模式，以用于对未来的观测进行分类。我们扩展了LAD，使其成为半监督的设计一个IDS。拟议的小岛屿发展中国家战略包括两个阶段：离线和在线。离线阶段通过识别正常和异常网络使用的行为模式来构建分类器。然后，将这些模式转换为分类规则，并在在线阶段使用这些规则来检测异常网络行为。实验结果表明，所提出的SSIDS的性能远远优于现有的半监督IDS，并与监督IDS相当。
2020-07-21 cs.CR
Mitigating Vulnerabilities of Voltage-based Intrusion Detection Systems in Controller Area Networks
用于控制车辆的数据经由诸如控制器局域网（CAN）协议的车载网络协议在电子控制单元（ECU）之间交换。由于这些协议是为隔离网络设计的，因此这些协议既不加密数据，也不验证消息。入侵检测系统（IDS）的开发是为了保护CAN协议，通过检测物理属性的异常偏差。例如，基于电压的IDS（VIDS）利用每个ECU的电压特性来检测入侵。带有VIDS的ECU必须使用额外的导线连接到CAN总线，以测量CAN总线线路的电压。然而，如果带有VIDS的ECU受到损害，这些额外的导线可能会向CAN总线引入新的攻击面。我们研究了VIDS的新漏洞，并证明了对手可能会损坏ECU与VIDS，阻止消息传输，并迫使ECU发送消息。为了保护CAN总线免受这些攻击，我们提出了两个基于硬件的入侵响应系统（IRS），一旦检测到这些攻击，就会从CAN总线断开受损的ECU。我们开发了四个基于电压的攻击，利用漏洞的VIDS和评估的有效性，建议IRSs使用CAN总线测试床。
2019-07-25 cs.CR
QML-IDS: Quantum Machine Learning Intrusion Detection System
本文提出QML-IDS，一种结合量子与经典计算的入侵检测系统，利用量子机器学习分析网络模式，在公开数据集上优于经典方法，展现量子增强网络安全的潜力。
2024-10-07 cs.CR
Evaluation of the Architecture Alternatives for Real-time Intrusion Detection Systems for Connected Vehicles
攻击者演示了如何使用远程访问联网车辆的车载网络来发动网络攻击并远程控制这些车辆。基于机器学习的入侵检测系统（IDS）技术已经被提出用于检测这种攻击。对其中一些IDS的评估证明了它们在检测消息注入的准确性方面的有效性，但它们是离线执行的，这限制了它们用于实时的【形】保护场景的信心。本文评估了四个架构设计的实时的【形】入侵检测系统的连接车辆使用控制器局域网（CAN）数据集收集的移动车辆下恶意的速度读取消息注入。评估表明，一个被设计为两个进程的联网车辆实时的【形】IDS，一个用于CAN总线监控的进程和另一个用于异常检测引擎的进程是可靠的（没有消息丢失），并且可以用于实时的【形】弹性机制，作为对网络攻击的响应。
2022-01-18 cs.CR
IRSKG: Unified Intrusion Response System Knowledge Graph Ontology for Cyber Defense
Mississippi State University（密西西比州立大学）；Argonne National Laboratory（阿贡国家实验室）
本文提出统一入侵响应系统知识图谱本体IRSKG，通过整合异构监控日志与管理员策略并支持动态更新，简化AICA接入流程，提升自动化与可解释性，从而缩短关键响应时间。
2024-11-23 cs.AI cs.CR cs.LG
SoK: Harmonizing Attack Graphs and Intrusion Detection Systems
Delft University of Technology（代尔夫特理工大学）；Sapienza Univerisity of Rome（罗马第一大学）
本文首次系统分析了攻击图与入侵检测系统整合，揭示了现有研究多为单一用途整合，并提出了一种统一的生命周期框架以提升威胁检测和响应能力。
2026-03-09 cs.CR
Scalable Learning of Intrusion Responses through Recursive Decomposition
KTH Royal Institute of Technology（KTH皇家理工学院）；KTH Center for Cyber Defense and Information Security（KTH网络防御与信息安全中心）
针对IT基础设施自动入侵响应中部分可观测随机博弈求解的可扩展性问题，提出递归分解博弈为可并行子博弈的DFSP算法，利用最优停止理论证明阈值结构以高效计算，实验证明其能近似Nash均衡且显著优于现有算法。
2023-09-15 cs.CR cs.LG cs.SY
I-SiamIDS: an improved Siam-IDS for handling class imbalance in network-based intrusion detection systems
NIDS通过分析网络流量来识别恶意活动。NIDS是用良性和侵入性网络流量的样本进行训练的。训练样本属于多数类或少数类，这取决于可用实例的数量。多数类包括丰富的样本正常流量以及经常性的入侵。然而，少数类包括较少的未知事件或不频繁的入侵样本。在这种不平衡的数据上训练的NIDS往往会对少数攻击类别进行有偏见的预测，从而导致未检测到或错误分类的入侵。过去的研究工作使用数据级方法来处理这种类不平衡问题，即在训练数据集中增加少数类样本或减少多数类样本。虽然这些数据级平衡方法间接地提高了NIDS的性能，但是它们没有解决NIDS中的根本问题，即它们不能识别仅具有有限训练数据的攻击。本文提出了一种算法级的方法称为I-SiamIDS，这是一个两层的集成处理类不平衡问题。I-SiamIDS在算法级识别多数类和少数类，而不使用任何数据级平衡技术。I-SiamIDS的第一层使用b-XGBoost，Siamese-NN和DNN的集成对输入样本进行分层过滤以识别攻击。然后，这些攻击被发送到I-SiamIDS的第二层，使用m-XGBoost将其分类为不同的攻击类别。与同类产品相比，I-SiamIDS在NSL-KDD和CIDDS-001数据集的准确性、召回率、精确度、F1评分和AUC值方面均显示出显著的改善。为了进一步强化结果，还进行了计算成本分析以研究所提出的I-SiamIDS的可接受性。
2020-09-23 cs.CR
Green Deep Reinforcement Learning for IoT Edge Intrusion Detection
Polytechnique Montréal（蒙特利尔理工学院）；Northeastern University（东北大学）
本文提出两种基于深度强化学习的入侵检测系统，通过理论分析和实验评估验证其在边缘网关上的有效性，同时引入碳感知的多目标奖励机制，以实现可持续的实时入侵检测。
2026-07-15 cs.CR
PRISM: A Hierarchical Intrusion Detection Architecture for Large-Scale Cyber Networks
网络规模的增加和网络攻击的复杂性的提高给入侵检测带来了一些挑战。主要的挑战是需要通过处理当今网络产生的大量流量来实时检测复杂的多阶段攻击。在本文中，我们提出了PRISM，层次化的入侵检测体系结构，使用一种新的攻击者行为模型为基础的采样技术，以尽量减少实时流量处理开销。PRISM具有独特的多层体系结构，可分布式监控网络流量，以提供处理效率和设计模块化。PRISM采用基于隐马尔可夫模型的预测机制来识别多阶段攻击，并确定攻击进展以进行主动响应。此外，PRISM引入了一个流管理程序，纠正了从分布式警报报告系统收集时的警报重新排序问题。为了评估PRISM的性能，已经提出了多个度量，并在多阶段攻击数据集上进行了各种实验。结果显示，与标准的集中式IDS相比，处理开销提高了7.5倍，而没有损失预测准确性，同时证明了快速预测不同攻击阶段的能力。
2022-11-20 cs.CR
Intrusion Detection using Machine Learning Techniques: An Experimental Comparison
由于网络攻击的数量呈指数级增长，对改进的入侵检测系统（IDS）的需求比以往任何时候都明显。在这方面，机器学习（ML）技术在系统内入侵检测的情况下，在攻击的早期分类中发挥着关键作用。然而，由于大量的算法可用，选择正确的方法是一项具有挑战性的任务。为了解决这个问题，本文分析了当前一些最先进的入侵检测方法，并讨论了它们的优缺点。此外，还对不同的ML方法进行了回顾，其中四种方法显示出最适合用于分类攻击。本文选取了几种算法对入侵检测系统的性能进行了评估。这些IDS根据检测流量是否被认为是良性的或攻击的方式对二进制和多类攻击进行分类。实验结果表明，二分类有更大的一致性，其准确性结果的范围从0.9938到0.9977，而多类的范围从0.9294到0.9983。然而，也已经观察到，多类提供了最好的结果，算法k-最近邻给出了0.9983的准确度分数，而来自随机森林的二进制分类最高分数是0.9977。实验结果表明，多类分类产生更好的性能，在入侵检测方面的具体区分攻击，并允许更有针对性的响应攻击。
2021-05-27 cs.CR
REGARD: Rules of EngaGement for Automated cybeR Defense to aid in Intrusion Response
Mississippi State University（密西西比州立大学）；Argonne National Laboratory（阿贡国家实验室）
本文提出REGARD系统，通过设定和管理交战规则（RoE）来约束自动化入侵响应系统（IRS）的行动，明确操作自动化程度与人工确认要求，以最小化附带损害并保护被管理系统。
2023-05-23 cs.AI cs.CR
CANDoSA: A Hardware Performance Counter-Based Intrusion Detection System for DoS Attacks on Automotive CAN bus
Dumarey Softronix（杜马雷软件系统）；Politecnico di Torino（都灵理工大学）
CANDoSA通过硬件性能计数器检测CAN总线上的DoS攻击，利用RISC-V架构和AES-128加密提升汽车网络安全。
2025-07-19 cs.CR
Synthesis of Proactive Sensor Placement In Probabilistic Attack Graphs
研究了移动目标联合防御（MTD）和欺骗对抗多阶段网络攻击的部署问题。给定系统配备MTD，在不同的配置之间进行随机化，我们研究如何在每个配置中分配有界数量的传感器，以优化攻击检测率之前，攻击者实现其目标。具体而言，两种类型的传感器被认为是：入侵检测器，可观察到的攻击者和隐形传感器，是不可观察的攻击者。我们提出了一个基于两步优化的方法来分配入侵检测器和隐身传感器：首先，防御者分配入侵检测器，假设攻击者将最好地响应，以逃避入侵检测器的检测。其次，防御者将根据第一步计算出的最佳响应攻击策略分配隐形传感器，以进一步降低攻击者的成功机会。我们说明了所提出的方法的有效性，使用网络防御的例子。
2022-10-13 cs.CR
Learning Near-Optimal Intrusion Responses Against Dynamic Attackers
KTH Royal Institute of Technology（KTH皇家理工学院）；KTH Center for Cyber Defense and Information Security（KTH网络防御与信息安全中心）
本文将攻防交互建模为最优停止博弈，提出 T-FP 算法学习近最优防御策略以应对动态攻击者，并在仿真与仿真系统中验证其优于现有算法。
2023-04-14 cs.CR cs.GT cs.LG
Convolutional Neural Network for Intrusion Detection System In Cyber Physical Systems
信息和通信技术在工业控制系统等关键基础设施中的广泛使用使其容易受到网络攻击。一类特殊的网络攻击是高级持续性威胁，其中高技能的攻击者可以窃取用户身份验证信息，并在网络中从一台主机移动到另一台主机，直到到达有价值的目标。应该尽快检测到攻击者，以便采取适当的响应，否则攻击者将有足够的时间到达敏感资产。面对智能威胁时，必须设计智能解决方案。因此，在本文中，我们利用深度学习的最新进展来构建一个卷积神经网络，可以检测网络物理系统中的入侵。将该入侵检测系统应用于NSL-KDD数据集，并与现有技术进行了比较，结果表明了该技术的有效性。
2019-06-07 cs.CR cs.LG
Unsupervised Intrusion Detection System for Unmanned Aerial Vehicle with Less Labeling Effort
Korea University（高丽大学）
随着安全的重要性，入侵检测系统已成为现实世界中的一项重要任务。先前的研究提出了各种入侵检测模型的无人机。过去基于规则的方法提供了一个具体的基线入侵检测模型，而基于机器学习的方法通过监督学习模型实现了对无人机的精确入侵检测。然而，以前的方法有改进的空间，可以在现实世界中实现。以前的方法需要在数据集上进行大量的标记工作，并且模型无法识别之前没有训练过的攻击。为了跨越这些障碍，我们提出了一个具有无监督学习的入侵检测系统。由于无监督学习不需要标记，我们的模型让从业者不标记来自飞行数据的每种类型的攻击。此外，无论攻击类型如何，该模型都可以识别UAV的异常状态。我们只使用良性飞行数据训练了一个自动编码器，并检查了模型在良性飞行和受到攻击的飞行时提供了不同的重建损失。我们发现，该模型产生更高的重建损失与攻击下的飞行比良性飞行，因此，这种重建损失可以用来识别入侵的无人机。综合考虑计算开销和野外环境下的检测性能，我们希望该模型能够成为一个具体实用的无人机入侵检测系统的基线。
2020-11-01 cs.CR cs.LG
MA-IDS: Multi-Agent RAG Framework for IoT Network Intrusion Detection with an Experience Library
本文提出MA-IDS框架，结合大语言模型与RAG技术，通过经验库实现自学习的入侵检测，实验表明其在物联网网络中具有高准确率和可解释性。
2026-04-07 cs.AI cs.CR
Application of Deep Reinforcement Learning for Intrusion Detection in Internet of Things: A Systematic Review
本系统综述探讨深度强化学习在物联网入侵检测中的应用，通过分析近十年研究，表明DRL能增强IDS适应性，提高威胁检测准确性并减少误报，同时指出研究空白与未来方向。
2025-04-20 cs.CR
ROSpace: Intrusion Detection Dataset for a ROS2-Based Cyber-Physical System
University of Florence（佛罗伦萨大学）；Mermec Engineering（Mermec工程公司）；University of Trento（特伦托大学）
本文提出一个基于ROS2的网络物理系统入侵检测数据集，通过渗透测试收集三个层级的特征数据，用于训练检测系统以提高攻击检测效率和准确性。
2024-02-13 cs.CR cs.LG
Intrusion Detection in Internet of Things using Convolutional Neural Networks
Cyber Security Strategic Technology Centre, ST Engineering Singapore（新加坡ST工程公司网络安全战略技术中心）
物联网（IoT）已成为满足行业需求的流行模式，如资产跟踪，资源监控和自动化。由于物联网设备在部署过程中往往忽略了安全机制，因此更容易受到使用先进技术的复杂和大容量入侵攻击。在过去的十年中，人工智能（AI）已被网络安全社区用于自动识别此类攻击。然而，深度学习方法尚未被广泛探索用于专门针对物联网的入侵检测系统（IDS）。最近的大多数工作都是基于时间序列模型，如LSTM，而CNN的研究很少，因为它们并不适合解决这个问题。在本文中，我们提出了一种新的解决方案，用于使用CNN对物联网设备进行入侵攻击。数据被编码为卷积运算，以从传感器数据中捕获对CNN检测攻击有用的模式。该方法集成了两个经典的CNN：ResNet和EfficientNet，其中检测性能进行了评估。实验结果表明，与使用LSTM的基线相比，真阳性率和假阳性率都有显着改善。
2022-11-18 cs.AI cs.CR cs.LG
A Hierarchical Security Events Correlation Model for Real-time Cyber Threat Detection and Response
针对入侵检测系统告警量大、人工分析效率低且现有告警关联依赖外部第三方系统的问题，提出一种在IDS分类前进行事件关联的分层模型，融合两类关联技术优势并定制专属算法，在DARPA 99数据集上实现87%数据缩减。
2025-01-18 cs.CR cs.DC
Cybersecurity of Electric Vehicle Charging Infrastructure: Recent Advances, Open Challenges, and Future Directions
Mississippi State University（密西西比州立大学）
本文综述了电动汽车充电基础设施的网络安全问题，分析了常用数据集和建模方法的局限性，并提出了未来研究方向以推动入侵检测系统的发展。
2026-05-22 cs.CR
Lightweight Intrusion Detection System Using a Hybrid CNN and ConvNeXt-Tiny Model for Internet of Things Networks
针对物联网安全威胁，提出一种结合CNN与ConvNeXt-Tiny的轻量级入侵检测系统，在真实数据集上实现99.63%测试准确率，兼顾高效检测与低资源消耗。
2025-09-07 cs.CR
AOC-IDS: Autonomous Online Framework with Contrastive Learning for Intrusion Detection
提出AOC-IDS在线入侵检测框架，利用自编码器与簇排斥对比损失实现自主异常检测，通过伪标签免人工标注，在NSL-KDD和UNSW-NB15上性能优于现有方法。
2024-02-02 cs.CR
Intrusion detection in computer systems by using artificial neural networks with Deep Learning approaches
School of Mathematics and Computer Science, University of Yachay Tech（亚奇理工大学数学与计算机科学学院）
对计算机网络的入侵检测已成为网络安全领域的重要课题之一。攻击者不断研究和编码以发现新的漏洞来渗透信息安全系统。因此，计算机系统必须每天使用最新技术进行升级，以阻止黑客入侵。本文主要研究基于深度学习架构的入侵检测系统的设计与实现。作为第一步，使用从数据集CICIDS2017中获取的标记登录[进入计算机网络]数据来训练浅层网络。该网络的内部行为通过使用绘图和探索代码进行仔细跟踪和调整，直到它达到入侵预测准确性的功能峰值。作为第二步，使用大的未标记数据训练的自动编码器被用作中间处理器，将压缩信息和抽象表示馈送到原始的浅层网络。事实证明，由此产生的深层架构具有比任何版本的浅网络单独更好的性能。由此产生的功能代码脚本，编写在MATLAB中，代表了一个可再训练的系统，已被证明使用实际数据，产生良好的精度和快速响应。
2020-12-15 cs.AI cs.CR
A Defensive Framework Against Adversarial Attacks on Machine Learning-Based Network Intrusion Detection Systems
Boston University（波士顿大学）
针对基于机器学习的网络入侵检测系统易受对抗规避攻击的问题，提出整合多种技术的防御框架，经数据集验证在对抗条件下检测准确率提升、误报率降低，推动其实际部署。
2025-02-21 cs.CR cs.LG
Machine Learning Based Intrusion Detection Systems for IoT Applications
物联网（IoT）及其应用是目前最热门的研究领域。物联网的特性一方面使其易于应用于现实生活中的应用，而另一方面又使其面临网络威胁。拒绝服务（DoS）是针对物联网的最具灾难性的攻击之一。在本文中，我们研究了使用机器学习分类算法来保护物联网免受DoS攻击的前景。本文对分类器进行了全面的研究，以期对基于异常的入侵检测系统的发展起到推动作用。分类器的性能评估是在突出的指标和验证方法。流行的数据集CIDDS-001，UNSW-NB 15和NSL-KDD用于基准分类器。采用Friedman和Nemenyi检验对分类器之间的显著性差异进行统计分析。此外，Raspberry Pi还用于评估物联网特定硬件上分类器的响应时间。我们还讨论了根据应用程序的要求选择最佳分类器的方法。本研究的主要目标是激励物联网安全研究人员使用集成学习开发IDS，并提出适当的方法对分类器的性能进行统计评估。
2023-02-24 cs.CR cs.NI
Critical Path Prioritization Dashboard for Alert-driven Attack Graphs
本文为基于无监督序列机器学习生成攻击图的SAGE系统，提出一个支持查询与优先级排序的可视化分析仪表板，包含Graph Explorer、Timeline Viewer和Recommender Matrix三个组件，用户研究表明其能有效描绘攻击者策略与进展，但可用性仍需改进。
2023-10-19 cs.CR
Ancora: Accurate Intrusion Recovery for Web Applications
Beijing National Research Center for Information Science and Technology (BNRist), Key Laboratory for Information System Security, Ministry of Education (KLISS), School of Software, Tsinghua University（清华大学软件学院，教育部信息系统安全重点实验室，北京信息科学与技术国家研究中心）
Ancora通过精准追踪恶意请求引发的文件和数据库修改，实现Web应用的高效入侵恢复，确保合法数据安全并减少系统开销。
2026-01-02 cs.CR
GLoP: Enabling Massively Parallel Incident Response Through GPU Log Processing
结合服务和应用程序的大型工业系统已成为网络犯罪分子的目标，并从安全，监控和审计的角度提出了挑战。安全日志分析是发现异常、检测入侵和启用事件响应的关键步骤。链接速度、威胁和用户的不断增加产生了大量的日志数据，并且越来越难以在中央处理器（CPU）上进行分析。本文提出了一种大规模并行图形处理单元（GPU）LOg处理（GLoP）库，也可用于深度数据包检测（DPI），使用前缀匹配技术，收获现成技术的全部功能。GLoP使用不同的GPU内存实现了两种不同的算法，并与CPU对应的实现进行了比较。该库可用于具有单个或多个GPU的处理节点以及GPU云农场。结果显示，吞吐量为20 Gbps，并表明现代GPU可以用于提高大规模日志处理场景的运行速度，从而节省入侵发生前后的宝贵时间。
2017-04-07 cs.CR cs.DC
TEAM: Temporal Adversarial Examples Attack Model against Network Intrusion Detection System Applied to RNN
School of Cyber Science and Engineering, Wuhan University（武汉大学网络安全学院）
提出针对RNN的时间对抗样本攻击模型TEAM，利用时间步关联和时间膨胀技术，显著提升NIDS在黑盒和白盒下的误判率，最高超过96.68%。
2024-09-19 cs.AI cs.CR
Multivariate Big Data Analysis for Intrusion Detection: 5 steps from the haystack to the needle
University of Granada（格拉纳达大学）
关于网络安全事件检测和响应的研究文献在自动检测方法方面非常丰富，特别是那些基于异常检测范式的方法。然而，很少有人关注的方法，旨在提供有用的信息，一个给定的检测到的异常的原因的诊断能力。此信息对于安全团队缩短从检测到响应的时间至关重要。在本文中，我们提出了多变量大数据分析（MBDA），这是一种基于5个步骤的完整入侵检测方法，可以有效地处理大量不同的数据源。该方法旨在处理大数据的主要特征，即高容量，速度和多样性。该方法的核心是在最近的论文中提出的多元统计网络监测（MSNM）技术。与应用于入侵检测问题的最新机器学习方法不同，当在MBDA中识别出异常时，系统的输出包括与该异常相关联的原始信息的日志的细节，使得安全团队可以使用该信息来阐明其根本原因。MBDA基于Github中提供的两个开放软件包：MEDA解析器和FCParser。我们用两个案例研究来说明我们的方法。第一个演示了MBDA的应用，半结构化的信息源，使用的数据从VAST 2012迷你挑战2。此完整的案例研究在可供下载的虚拟机中提供。在第二个案例研究中，我们展示了该方法在从具有标记攻击的真实网络中收集的数据中的大数据功能。
2019-06-27 cs.CR cs.LG cs.NI
ResiLogic: Leveraging Composability and Diversity to Design Fault and Intrusion Resilient Chips
针对供应链部分利益相关者不可信的威胁模型，提出ResiLogic框架，通过“可组合性实现多样性”构建电路，提升抗三类攻击能力五倍，并展示E-Graphs生成多样化电路的应用。
2025-04-15 cs.AR cs.CR
Federated Learning for Intrusion Detection in IoT Security: A Hybrid Ensemble Approach
IIT Bombay（印度理工学院孟买分校）
物联网（IoT）在智能城市、医疗保健、供应链和交通运输等各个领域的关键作用使其成为恶意攻击的目标。过去在这方面的工作集中在集中式入侵检测系统（IDS），假设存在一个中央实体来执行数据分析和识别威胁。然而，这样的IDS可能并不总是可行的，主要是由于跨多个源的数据传播和在中央节点处的收集可能是昂贵的。此外，早期的工作主要集中在提高真阳性率（TPR），而忽略了假阳性率（FPR），这对于避免系统不必要的停机时间也是至关重要的。在本文中，我们首先提出了一种基于混合集成模型的入侵检测系统架构，命名为PHEC，它提供了改进的性能相比，国家的最先进的架构。然后，我们将此模型调整为联邦学习框架，该框架执行本地训练并仅聚合模型参数。接下来，我们提出了集中式和联邦设置中的噪声容忍PHEC，以解决标签噪声问题。所提出的想法使用分类器，使用加权凸代理损失函数。KNN分类器对噪声数据的自然鲁棒性也用于所提出的架构。在四个来自各种安全攻击的基准数据集上的实验结果表明，我们的模型在噪声和干净数据上保持低FPR的同时实现了高TPR。此外，他们还证明了混合集成模型在联邦设置中的性能接近于集中式设置。
2021-06-25 cs.AI cs.CR cs.LG
Improvement and Evaluation of Resilience of Adaptive Cruise Control Against Spoofing Attacks Using Intrusion Detection System
自适应巡航控制（ACC）系统自动调整车速，以保持车辆与前车之间的安全距离。控制器的加速或减速决定是使用车辆的目标速度和车辆到领头车辆的距离与到该车辆的安全距离之间的差来计算的。欺骗通过车辆的控制器局域网（CAN）传送的车辆速度会对ACC（比例-积分-微分变型）防止与领头车辆碰撞的能力产生负面影响。本文报告了扩展ACC与实时入侵检测系统（IDS）能够检测速度欺骗攻击与合理的响应时间和检测率，并模拟建议的扩展使用CARLA仿真平台。仿真的结果是：（1）欺骗车辆速度可以阻止ACC错误地加速，从而导致事故，以及（2）使用基于ML的IDS扩展ACC以在事故即将发生时触发制动器可以缓解该问题。研究结果表明，探索基于ML的IDS的能力，以支持弹性机制，减轻对车辆的网络攻击。
2023-02-02 cs.CR cs.SY eess.SY
Adaptive Intrusion Detection System Leveraging Dynamic Neural Models with Adversarial Learning for 5G/6G Networks
University of Newcastle（纽卡斯尔大学）；Thapar Institute of Engineering and Technology（塔帕尔工程技术学院）
本文提出利用动态神经网络和对抗学习的适应性入侵检测系统，通过增量学习减少重新训练需求，提升5G/6G网络的实时威胁检测与响应能力。
2025-12-13 cs.CR cs.LG
Towards Resilient Intrusion Detection in CubeSats: Challenges, TinyML Solutions, and Future Directions
Ontario Tech University（安大略理工大学）
本文探讨立方星的网络安全挑战，提出TinyML在资源受限环境下的入侵检测解决方案，并展望未来研究方向，包括网络安全与健康监测系统的整合及跨领域合作。
2026-04-07 cs.AI cs.CR cs.GL
HuntGPT: Integrating Machine Learning-Based Anomaly Detection and Explainable AI with Large Language Models (LLMs)
本文提出HuntGPT入侵检测仪表板，将Random Forest、SHAP/Lime可解释性与GPT-3.5 Turbo结合，并通过CISM实践考试验证其可解释、可执行的威胁检测效果。
2023-09-27 cs.CR
Network Intrusion Datasets: A Survey, Limitations, and Recommendations
本文系统综述89个网络入侵检测数据集，从13个属性对比分析，并讨论局限性与流行度，提出数据集选择、生成和使用的最佳实践，以提升数据质量与NIDS鲁棒性。
2025-05-22 cs.CR cs.NI
A Scalable Hierarchical Intrusion Detection System for Internet of Vehicles
School of Information Technology, Crown Institute of Higher Education（信息技术学院，皇冠高等教育学院）
针对车联网集中式入侵检测延迟高、边缘节点资源受限的问题，提出一种分层分类框架，结合Boruta特征选择，在CIC-IoV2024数据集上验证了其可行性和有效性。
2025-05-22 cs.CR cs.LG
Robust Intrusion Detection System with Explainable Artificial Intelligence
Ericsson Research（爱立信研究院）；Ericsson Standards and Technology（爱立信标准与技术部门）
本文提出一种基于可解释人工智能（XAI）的对抗攻击检测与缓解策略，在O-RAN的RRC层实现零接触实时防御，并通过多场景测试验证其有效性。
2025-03-07 cs.CR cs.LG
