Joint Semantic Transfer Network for IoT Intrusion Detection
Shenzhen Institute of Advanced Technology, Chinese Academy of Sciences（中国科学院深圳先进技术研究院）；University of Chinese Academy of Sciences（中国科学院大学）；Beijing Institute of Technology（北京理工大学）；University of Macau（澳门大学）
在本文中，我们提出了一个联合语义传输网络（JSTAN），用于大规模几乎没有标记的物联网领域的有效入侵检测。作为一种多源异构领域自适应（MS-HDA）方法，JSTOM将一个知识丰富的网络入侵（NI）域和另一个小规模物联网入侵（II）域集成为源域，并保留固有的语义属性以辅助目标II域入侵检测。JSTOM联合传输以下三种语义来学习域不变和区分性特征表示。场景语义赋予源NI和源II领域彼此的特征，以通过混淆的领域划分和分类分布的知识保存来简化知识转移过程。它还减少了源目标的差异，使共享的特征空间域不变。同时，加权隐式语义转移通过细粒度的知识保存，将源类别分布转移到目标领域，从而提高了区分度。在知识保存过程中，源目标分歧指导重要性加权，以反映知识学习的程度。此外，层次显式语义对齐执行质心级和代表级对齐的帮助下，几何相似性感知的伪标签细化，利用未标记的目标II域的值，并明确地从全局和局部的角度对准特征表示集中的方式。在各种任务上的综合实验验证了JEMPER相对于最先进的比较方法的优越性，平均实现了10.3%的准确性提升。每个组成部分的统计可靠性和计算效率也得到了验证。
2022-10-28 cs.AI cs.CR cs.CY
Poster: Towards Selecting Threat Appropriate Industrial Intrusion Detection Systems
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫FKIE研究所）
针对工业控制系统威胁动态变化，提出基于反威胁情报共享的检测器选择机制，通过攻击层面性能评估验证其能提升安全防护效果。
2026-09-14 cs.CR
Assessment of Cyber-Physical Intrusion Detection and Classification for Industrial Control Systems
工业控制系统（ICS）与公共网络和数字设备的交互日益增加，给电力系统和其他关键基础设施带来了新的网络威胁。最近的网络物理攻击，如Stuxnet和Irongate，揭示了意想不到的ICS漏洞和改进安全措施的必要性。入侵检测系统构成了一种关键的安全技术，其通常监视网络数据以检测恶意活动。然而，现代信息通信系统的一个核心特征是物理和网络进程的相互依赖性日益增加。因此，网络和物理过程数据的集成被视为一个很有前途的方法，以提高可预测性的实时入侵检测的ICS的物理约束和底层的过程模式。这项工作系统地评估了基于机器学习的网络物理入侵检测和多类分类，通过比较其纯粹的基于网络数据的对应和错误分类和检测延迟的评估。多个监督检测和分类管道应用于最近的网络物理数据集，该数据集描述了通用ICS上的各种网络攻击和物理故障。一个关键的发现是，物理过程数据的集成提高了所有考虑的攻击类型的检测和分类。此外，它还支持攻击和故障的同时处理，为全面的跨域根本原因识别铺平了道路。
2023-01-03 cs.CR cs.SY eess.SY
Machine Learning for Intrusion Detection in Industrial Control Systems: Applications, Challenges, and Recommendations
DHA Suffa University（DHA Suffa大学）；Karachi Institute of Economics and Technology（卡拉奇经济技术学院）；DNNae Inc.（DNNae公司）；Singapore University of Technology and Design（新加坡科技设计大学）
来自机器学习的方法正被应用于设计能够抵御网络攻击的工业控制系统。这种方法集中在两个主要领域：使用通过网络数据包获取的信息在网络级检测入侵，以及使用代表系统物理行为的数据在物理过程级检测异常。本综述主要介绍了机器学习中用于入侵和异常检测的四种方法，即监督、半监督、无监督和强化学习。在公共领域的文献进行了仔细的选择，分析，并放置在一个7维空间，便于比较。该调查的对象是研究人员、学生和从业人员。在使用的方法和研究差距相关联的挑战，并提出建议，以填补空白。
2022-02-24 cs.CR cs.LG
A Question of Context: Enhancing Intrusion Detection by Providing Context Information
由于第四次工业革命以及由此带来的互联性的增加，工业网络越来越多地向公共网络开放。除了在可扩展性和灵活性方面的巨大好处外，开放性还为恶意对手带来了更大的攻击面。与办公环境相比，工业网络具有非常高的数据量。除此之外，每一次延误都很可能导致收入损失。因此，用于工业应用的入侵检测系统具有与基于办公室的入侵检测系统不同的要求。另一方面，由于制造执行系统和企业资源规划，工业网络能够提供大量的上下文信息。此外，工业网络往往更均匀，更容易确定离群值。在这项工作中，创建了一个抽象的模拟工业网络行为。恶意行为被引入到一组有效行为序列中。最后，一个基于上下文和上下文无关的入侵检测系统被用来发现的攻击。对结果进行了比较和评论。可以看出，上下文信息可以帮助识别恶意行为，比仅使用一个信息源（例如网络）的入侵检测更可靠。
2019-05-28 cs.CR
A False Sense of Security? Revisiting the State of Machine Learning-Based Industrial Intrusion Detection
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫通信、信息处理与人机工程研究所）
基于异常的入侵检测通过对系统行为进行建模，并在出现异常时发出相应的警报，从而检测出对工业控制系统的新型或未知攻击。由于人工创建这些行为模型既繁琐又容易出错，因此研究重点集中在机器学习上，自动训练这些行为模型，检测率达到99%以上。然而，这些方法通常不仅在良性流量上训练，而且在攻击上训练，然后针对用于训练的相同类型的攻击进行评估。因此，它们在未知（未接受过训练）攻击上的实际真实表现仍不清楚。反过来，报告的基于机器学习的入侵检测近乎完美的检测率可能会产生虚假的安全感。为了评估这种情况并阐明基于机器学习的工业入侵检测的真正潜力，我们开发了一种评估方法，并从文献中检查了多种方法对未知攻击的性能（排除在训练之外）。我们的研究结果强调了检测未知攻击的无效性，对于某些类型的攻击，检测率下降到3.2%至14.7%之间。展望未来，我们提出了对基于机器学习的方法进行进一步研究的建议，以确保其检测未知攻击的能力的清晰度。
2022-05-18 cs.CR cs.LG
Time is of the Essence: Machine Learning-based Intrusion Detection in Industrial Time Series Data
German Research Center for Artificial Intelligence（德国人工智能研究中心）
工业物联网大大提高了工业应用中设备的连接性。除了在效率、可扩展性和易用性方面的优势外，这还创造了新的攻击面。从历史上看，工业网络和协议不包含安全手段，如身份验证和加密，这是这种发展所必需的。因此，需要工业IT安全。在这项工作中，模拟工业网络数据转换成一个时间序列，并与三种不同的算法进行分析。数据包含标记攻击，因此可以评估性能。矩阵配置文件表现良好，几乎不需要参数化。季节性自回归综合移动平均在噪声存在下表现良好，需要参数化的努力。基于长短期记忆的神经网络性能一般，但需要大量的训练和参数化工作。
2018-09-20 cs.CR cs.LG stat.ML
Efficient Intrusion Detection on Low-Performance Industrial IoT Edge Node Devices
工业系统中传感器、执行器和可编程逻辑控制器（PLC）之间的通信从双线现场总线转移到基于IP的协议，如Modbus/TCP。这增加了攻击面，因为基于IP的网络通常可以从公司内的任何地方访问。因此，集中式防御，例如在网络的周边，不能提供足够的保护。相反，需要分散的防御，网络的每个部分都可以保护自己。网络入侵检测系统（IDS）监控网络并报告可疑活动。它们通常在单个主机上运行，无法捕获网络中的所有事件，并且与大量集成工作相关联。为了弥合这一差距，我们引入了一种入侵检测方法，该方法将工业物联网（IIoT）边缘设备上的分布式代理与集中式日志记录相结合。与现有的IDS相比，分布式方法适用于工业低性能微控制器。我们在运行FreeRTOS和LwIP的MCU上演示了概念验证（Proof of Concept，简称OTT）实现，并展示了我们的方法在IIoT应用中的可行性。
2019-08-11 cs.CR
Side-channel based intrusion detection for industrial control systems
工业控制系统正受到越来越多的审查。它们的安全性历来低于标准，尽管制造商正在采取措施来补救这一点，但传统系统的庞大安装基础无法轻松地更新最先进的安全措施。我们提出了一个系统，使用电磁侧信道测量来检测在工业控制系统上运行的软件的行为变化。为了证明这种方法的可行性，我们表明，它是可能的配置文件和区分西门子S7-317 PLC上的程序，即使是很小的变化，使用加密的边通道分析的方法。
2017-12-15 cs.CR
Dependable Intrusion Detection System for IoT: A Deep Transfer Learning-based Approach
Mawlana Bhashani Science and Technology University（莫拉纳·巴沙尼科技大学）；Deakin University（迪肯大学）；RMIT University（皇家墨尔本理工大学）；University of Saskatchewan（萨斯喀彻温大学）；Charles Sturt University（查尔斯史都华大学）
物联网应用程序的安全问题一直令人担忧，因为它们在不同的企业系统中广泛使用。这些应用程序的潜在威胁不断出现和变化，因此，需要针对此类威胁的复杂可靠的防御解决方案。随着物联网网络的快速发展和威胁类型的不断演变，传统的基于机器学习的入侵检测系统必须进行更新，以应对当前可持续物联网环境的安全需求。近年来，深度学习和深度迁移学习在不同领域取得了巨大的成功，并已成为可靠网络入侵检测的潜在解决方案。然而，在异构物联网设置中，传统IDS的准确性、效率、可扩展性和可靠性方面出现了新的和新兴的挑战。本文提出了一种基于深度迁移学习的可靠入侵检测模型，该模型优于现有的几种方法。独特的贡献包括有效的属性选择，最适合识别少量标记数据的正常和攻击场景，设计一个可靠的基于深度迁移学习的ResNet模型，并考虑真实世界的数据进行评估。为此，进行了全面的实验性能评估。广泛的分析和性能评估表明，该模型是强大的，更有效的，并已表现出更好的性能，确保可靠性。
2022-04-11 cs.CR cs.LG
Putting Together the Pieces: A Concept for Holistic Industrial Intrusion Detection
除了从现有的通信特性中获得的优势外，它还增加了网络的攻击面。由于工业协议和系统在设计时没有考虑到安全性，因此在过去几年中发生了对工业系统的严重攻击。大多数工业通信协议不提供确保认证或加密的手段。这意味着可以访问网络的攻击者可以读取和写入信息。工业4.0的用例最初并不意味着连接到公共网络，而是需要互连，通常是通过不安全的公共网络。这导致对用于工业应用的信息安全产品的兴趣日益增加。在这项工作中，整体入侵检测方法在工业环境中的概念。它基于不同的工作，考虑到工业环境的几个方面及其将入侵识别为网络或过程数据中的异常的能力。这些能力是基于先前对真实数据和合成数据的实验。为了证明这一概念的合理性，本文概述了对工业系统的潜在和实际攻击媒介和攻击。分析了工业设施的不同方面，例如办公室IT，车间OT，与客户和合作伙伴的防火墙连接，以及自动化金字塔的不同层需要不同的方法来检测攻击。此外，对工业应用程序的攻击的奇异步骤的特点。最后，这些方法的集成所产生的概念，提出了通过不同的手段检测攻击的不同阶段的手段。
2019-05-28 cs.CR
Impact of Benign Connectivity Variations on Intrusion Detection for Encrypted OPC UA Traffic in Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用科技大学）；ipoque GmbH（ipoque有限公司）
研究工业专用5G网络中良性连接变化对加密OPC UA流量的机器学习入侵检测系统的影响，通过实验发现合法连接事件会增加误报，且异常分数升高与控制平面活动有关，强调解释入侵检测输出时考虑控制平面上下文的重要性。
2026-07-13 cs.CR
Deep Neural Networks based Meta-Learning for Network Intrusion Detection
Pakistan Institute of Engineering & Applied Sciences（巴基斯坦工程与应用科学学院）；Air University（空军大学）；Ghulam Ishaq Khan Institute of Engineering Sciences and Technology（古拉姆·伊沙克·汗工程科学与技术研究所）；Majmaah University（迈季迈阿大学）
针对网络流量攻击类型多变及数据集偏移导致检测率低的问题，提出基于深度神经网络的元学习框架INFUSE，通过融合特征与决策空间并利用深度稀疏自编码器与元学习器进行集成，在多个基准数据集上取得了高准确率与强泛化能力。
2023-07-28 cs.CV cs.LG
Anomaly-based Intrusion Detection in Industrial Data with SVM and Random Forests
对工业企业的攻击在数量和影响上都在增加。自20世纪70年代引入工业控制系统以来，工业网络一直是恶意行为者的目标。最近，对工业和关键基础设施的攻击的政治和战争方面变得更加重要。与传统的家庭和办公室IT系统相比，工业IT，即所谓的OT系统，对物理世界产生影响。此外，工业设备具有长的操作时间，有时长达几十年。更新和修复是乏味的，往往是不可能的。工业环境的传统要求对工业的威胁产生了对可以集成到现有系统中的高效入侵检测的需求。在这项工作中，包含工业操作的网络数据进行了分析与机器学习-和基于时间序列的异常检测算法，以发现引入到数据的攻击。使用了两种不同的数据集，一种是基于Modbus的天然气管道控制流量，另一种是基于OPC UA的批处理流量。为了检测攻击，使用了两种基于机器学习的算法，即\textit{SVM}和随机森林。两者都表现良好，随机森林略优于SVM。此外，提取和选择功能，以及处理丢失的数据是在这项工作中解决。
2019-07-24 cs.CR
Adversarial Attacks on Time-Series Intrusion Detection for Industrial Control Systems
Imperial College London（帝国理工学院）；Airbus（空中客车公司）
神经网络越来越多地用于工业控制系统（ICS）的入侵检测。由于神经网络容易受到对抗性示例的攻击，希望对ICS造成损害的攻击者可以尝试通过使用对抗性示例技术来隐藏他们的攻击。在这项工作中，我们解决域特定的挑战，构建这样的攻击对自回归入侵检测系统（IDS）在ICS设置。我们对一个攻击者进行建模，该攻击者可以在具有基于LSTM的IDS的ICS中危害传感器的子集。攻击者操纵发送到IDS的数据，并试图隐藏ICS中发生的真实网络物理攻击的存在。我们评估我们的对抗攻击方法的安全水处理系统时，检查单独的连续数据，并对数据包含离散和连续变量的混合物。在连续数据域中，我们的攻击成功地隐藏了网络物理攻击，平均需要12个监测传感器中的2.87个受到攻击。对于离散和连续数据，我们的攻击平均需要26个被监控传感器中的3.74个被破坏。
2021-10-03 cs.CR cs.LG stat.ML
Federated Learning-Enhanced Blockchain Framework for Privacy-Preserving Intrusion Detection in Industrial IoT
针对工业物联网传统入侵检测的隐私、延迟与单点故障问题，提出结合联邦学习与区块链的FL-BCID框架，通过边缘协同训练与链上存证实现高准确率、低开销的隐私保护入侵检测。
2025-05-21 cs.CR
Anomaly-Based Intrusion Detection System for Cyber-Physical System Security
在过去的十年中，工业控制系统经历了与信息技术的大规模集成。工业网络经历了无数次技术变革，以保护运营和生产流程，导致今天的新工业革命。信息技术工具无法保证工业领域的机密性、完整性和可用性，因此了解物理组件与网络的交互至关重要。因此，工业控制系统通常是信息物理系统（CPS）的一个例子。本文旨在为网络物理系统中的网络攻击检测提供一种工具。该方法基于机器学习来提高系统的安全性。通过分析机器学习假设的值，可以评估三个模型的分类性能。使用训练集获得的模型允许对异常行为的样本和与正常行为相关的样本进行分类。在水箱系统中实现了攻击识别，利用机器学习的识别方法来避免水箱溢出等危险状态。结果令人鼓舞，证明了其有效性。
2021-10-25 cs.CR cs.SY eess.SY
Discussing the Feasibility of Acoustic Sensors for Side Channel-aided Industrial Intrusion Detection: An Essay
第四次工业革命导致工业环境中嵌入式计算和相互通信的使用增加。在降低设置、运营和维护的成本和工作量，增加运营或市场的时间和效率的同时，也增加了企业的攻击面。在过去十年中，工业企业已成为网络犯罪分子的目标，原因是间谍活动，但也有政治动机。臭名昭著的攻击活动以及容易获得的恶意软件在毫无准备的状态下袭击行业，创造了一个巨大的威胁环境。由于工业系统通常运行数十年，并且难以或不可能在安全性方面进行升级，因此需要传统兼容的工业安全解决方案来创建安全参数。在工业中，一种可行的方法是实施和使用侧信道传感器。通过不同渠道将来自不同来源的现成传感器数据组合起来，可以增强对安全状态的了解。在这项工作中，一个实验性的工业设置包含侧通道传感器的数据集进行了概念性的讨论，并得出见解。
2019-09-09 cs.CR cs.CY
Simplicity over Complexity: An ARN-Based Intrusion Detection Method for Industrial Control Network
针对工业控制网络流量数据大规模、高维等特性影响检测效率的问题，提出一种基于新型关联循环网络（ARN）的入侵检测方法，在SWaT和UNSW-NB15数据集上分别达到95.48%和97.61%的准确率。
2024-12-19 cs.CR
How Far Should We Need to Go : Evaluate Provenance-based Intrusion Detection Systems in Industrial Scenarios
Tsinghua University（清华大学）；Tencent Security Keen Lab（腾讯安全启明实验室）；Peking University（北京大学）
本文评估基于溯源的入侵检测系统在工业场景中的性能，发现现有系统存在移植性差、检测性能低和误报率高等问题，并提出改进方法和研究建议。
2026-03-24 cs.CR
SoK: Evaluations in Industrial Intrusion Detection Research
本文系统分析工业入侵检测领域609篇文献的评估方法，发现该领域虽公开数据集使用增加，但存在评估数据集少、指标模糊、新指标推广慢等问题，最终为各方提供可行建议以推动领域发展。
2023-11-06 cs.CR
Using Temporal and Topological Features for Intrusion Detection in Operational Networks
直到20年前，工业网络还被认为是安全的，因为它与公共网络是物理隔离的。大量成功的攻击证明了这一假设是错误的。工业应用的入侵检测解决方案需要满足与家庭和办公环境不同的某些要求，例如在没有反馈的情况下工作以及与传统系统的兼容性。工业系统通常使用数十年，更新通常困难且昂贵。此外，大多数工业协议没有固有的身份验证或加密机制，一旦边界被突破，入侵者就可以轻松地横向移动。在这项工作中，基序发现的时间序列，矩阵配置文件的算法，用于检测异常值的定时行为的工业过程。这个过程在实验环境中进行了监测，在进行攻击后包含地面真实标签。此外，已经被仿真的不同工业数据集的图形表示被用于检测恶意活动。这些活动可以从异常通信模式中导出，在图中表示为边。最后，提出了两种方法的集成概念。
2019-07-09 cs.CR cs.IR
Deployment Challenges of Industrial Intrusion Detection Systems
本文通过实证多种IIDS与数据集，指出真实部署中监督模型依赖大量恶意训练数据、仅用良性数据的模型又难调超参数两大关键挑战。
2024-03-04 cs.CR
MI$^2$DAS: A Multi-Layer Intrusion Detection Framework with Incremental Learning for Securing Industrial IoT Networks
School of Computer Science, University of Nottingham, Ningbo, China（诺丁汉大学宁波校区计算机科学学院）
MI$^2$DAS通过多层结构和增量学习提升工业物联网安全，有效识别和应对新型网络攻击。
2026-02-27 cs.AI cs.CR cs.LG
Modern Problems Require Modern Solutions: Hybrid Concepts for Industrial Intrusion Detection
German Research Center for AI（德国人工智能研究中心）
工业4.0的概念给加工业带来了颠覆。它的特点是高度的相互通信，嵌入式计算，导致数据的分散和分布式处理。此外，云存储和软件即服务（SaaS）方法增强了数据的集中存储和处理。这通常发生在第三方网络中。此外，工业4.0由新的商业案例驱动。单批量生产、客户单独生产、实时观察工艺状态和进度以及远程维护等。所有这些新的商业案例都利用了新技术。然而，网络安全并不是工业界的问题。工业网络被认为是与公共网络物理分离的。此外，任何工业网络的高度独特性据说都可以防止攻击者利用漏洞。工业4.0的概念本质上打破了这些假设。因此，产生了大量的攻击向量。在过去，攻击者以惊人的方式使用这些攻击媒介。特别是德国的中小企业（SME）正在努力适应这些挑战。原因是技术解决方案和安全专业人员所需的成本。为了使中小企业能够应对网络空间日益增长的威胁，IUNO Insec研究项目旨在提供和改进无需专业安全知识即可使用的安全解决方案。本文简要介绍了IUNO Insec项目。此外，在入侵检测领域的贡献，特别是机器学习为基础的解决方案，为工业环境中所提供的作者，并设置到上下文中。
2019-05-16 cs.AI cs.CR
An Experimental Study of Machine Learning-Based Intrusion Detection for OPC UA over Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）；ipoque GmbH（ipoque有限公司）
本文研究了在工业专用5G网络上基于机器学习的OPC UA入侵检测系统，通过多个攻击场景验证了其高检测性能。
2026-03-24 cs.CR
ProvICS: A Provenance-based Intrusion Detection for Industrial Control Systems
The University of Texas at El Paso（德克萨斯大学埃尔帕索分校）
针对工业控制系统因信息技术与运营技术融合面临多阶段网络攻击，且基于溯源的入侵检测系统在工业网络物理系统中适用性待探索的问题，提出ProvICS多模态溯源数据集，经实验验证其能有效检测攻击事件，填补现有基准空白。
2026-07-08 cs.CR
Intrusion Detection and identification System Design and Performance Evaluation for Industrial SCADA Networks
在本文中，我们提出了一个研究，提出了一个三阶段的分类器模型，采用机器学习算法开发的入侵检测和识别系统的数十种不同类型的攻击对工业SCADA网络。根据使用天然气管道SCADA网络的实验室原型生成的数据对机器学习分类器进行训练和测试。该数据集由三个攻击组和七个不同的攻击类别或类别组成。同一数据集还提供了与这七种攻击类别相关的35种不同类型的子攻击的签名。该研究需要设计三阶段的机器学习分类器作为误用入侵检测系统，以检测和识别35个攻击子类中的每一个。分类器的第一阶段决定记录是否与正常操作或攻击签名相关联。如果发现该记录属于攻击特征，则在第二阶段中，将其分类为七种攻击类别之一。基于由来自第二级分类器的输出确定的所识别的攻击类别，为第三级子攻击分类提供攻击记录，其中采用七个不同的分类器。来自第三阶段分类器的输出标识记录所属的子攻击类型。仿真结果表明，设计探索专业化领域或执行多个阶段与单阶段设计的分类是有前途的问题，有几十个类。与文献中的研究比较也表明，多级分类器的性能明显更好。
2020-12-17 cs.CR
Advancing Network Security: A Comprehensive Testbed and Dataset for Machine Learning-Based Intrusion Detection
本文提出一个基于容器、Kubernetes和eBPF/XDP的网络流量生成测试平台，并公开了一个完全满足真实标签特性的小规模恶意流量数据集，以支持基于机器学习的入侵检测研究。
2024-10-23 cs.CR cs.NI
A Comprehensive Comparative Study of Individual ML Models and Ensemble Strategies for Network Intrusion Detection Systems
Purdue University（普渡大学）
本文针对网络入侵检测中单一模型选择困难的问题，提出一个集成学习评估框架，在RoEduNet-SIMARGL2021和CICIDS-2017数据集上系统比较14种个体模型与集成方法，并公开源代码以支持后续研究。
2024-10-21 cs.AI cs.CR cs.LG
Intrusion Detection Systems Using Support Vector Machines on the KDDCUP'99 and NSL-KDD Datasets: A Comprehensive Survey
Howard University（霍华德大学）；African Institute for Mathematical Sciences（非洲数学科学研究所）
随着网络攻击和网络间谍活动的不断增长，现在更加需要更好，更强大的入侵检测系统（IDS）。IDS的基本任务是充当第一道防线，检测互联网上的攻击。随着入侵者的入侵策略变得越来越复杂和难以检测，研究人员已经开始应用新的机器学习（ML）技术来有效地检测入侵者，从而保护互联网用户的信息和对整个互联网网络安全的整体信任。在过去的十年中，基于ML和深度学习（DL）架构的入侵检测技术在各种基于网络安全的数据集上的研究激增，例如DARPA，KDDCUP'99，NSL-KDD，CAIDA，CTU-13，UNSW-NB 15。在这项研究中，我们回顾了当代文献，并提供了一个全面的调查不同类型的入侵检测技术，适用于支持向量机（SVM）算法作为一个分类器。我们只关注在网络安全中最广泛使用的两个数据集上进行评估的研究，即KDDCUP'99和NSL-KDD数据集。我们提供了每种方法的总结，确定支持向量机分类器的作用，以及研究中涉及的所有其他算法。此外，我们提出了一个严格的审查每种方法，以表格形式，突出的性能指标，优势，和局限性的每一种方法的调查。
2022-09-12 cs.AI cs.CR cs.LG
A review of security attacks and Intrusion Detection Schemes in Wireless Sensor Networks
无线传感器网络（WSNs）目前用于不同的工业和消费应用，例如地球监测、健康相关应用、自然灾害预防和许多其他领域。由于传感器节点资源的有限性，安全性是无线传感器网络的主要问题之一。然而，这些网络正面临着影响其运作和生命的若干威胁。在本文中，我们提出了无线传感器网络的安全攻击，我们专注于最近的入侵检测方案在无线传感器网络的审查和分析。
2014-01-09 cs.CR cs.NI
Intrusion Detection in Binary Process Data: Introducing the Hamming-distance to Matrix Profiles
工业数字化提供了大量新颖的应用，这些应用增加了灵活性，减少了设置和维护时间以及成本。此外，工业数字化（通常称为工业4.0或工业物联网）创造了新的用例，应用程序利用了正在变得可用的通信和计算技术。这使得新的业务用例成为可能，例如数字孪生、客户个人生产和数据市场。然而，这些用例所依赖的互联性也大大增加了工业企业的攻击面。破坏和间谍活动的目标是数据，数据正在成为企业最重要的资产。由于工业网络对安全解决方案的要求与办公网络有本质的不同，因此需要开发新的入侵检测方法。在这项工作中，一个真正的水处理过程中，包含攻击的过程数据进行了分析。分析是由矩阵配置文件，一个主题发现算法的时间序列的扩展。通过扩展矩阵配置文件与汉明距离度量，二进制和三级致动器可以集成到一个有意义的方式进行分析。该算法在提供准确结果的同时需要较低的训练工作量。此外，它可以以实时方式使用。选定的致动器的数据集进行了分析，突出的扩展矩阵配置文件的适用性。
2020-07-17 cs.CR
Implementing SCADA Scenarios and Introducing Attacks to Obtain Training Data for Intrusion Detection Methods
几乎没有任何公开的数据集可用于评估入侵检测算法。工业应用面临的最大威胁来自国家支持的犯罪集团。通常，这些攻击者使用以前未知的漏洞，即所谓的0天漏洞。基于特征的入侵检测无法发现它们。因此，基于统计或机器学习的异常检测很容易适用。然而，这些方法尤其需要大量的标记的训练数据。在这项工作中，提出了一个具有真实世界工业硬件的示例性工业用例。西门子S7可编程逻辑控制器使用OPC UA协议来控制基于现实世界的控制应用：泵，填充和排空水箱。此场景用于生成特定于应用程序的网络数据。此外，攻击被引入到该数据集中。这是通过三种方式完成的：首先，监视和捕获正常过程。然后将常见的攻击综合引入到该数据集中。其次，恶意行为在可编程逻辑控制器程序上实现并实时执行，流量也被捕获。第三，在可编程逻辑控制器上实施恶意行为，同时仍然保持与正常操作中相同的输出行为。攻击者可以利用应用程序，但伪造有效的传感器输出，以便检测不到异常。使用传感器，捕获温度，声音和水流，以创建可以与网络数据相关的数据，并用于检测攻击。所有数据都被标记，包含地面事实，这意味着所有攻击都是已知的，没有未知的攻击发生。这使得它们非常适合异常检测算法的训练。发布这些数据是为了使安全研究人员能够评估入侵检测解决方案。
2019-05-28 cs.CR
Extending Isolation Forest for Anomaly Detection in Big Data via K-Means
York University（约克大学）；iSecurity Consulting Inc（iSecurity咨询公司）；Dapasoft Inc（Dapasoft公司）
工业信息技术（IT）基础设施往往容易受到网络攻击。为了确保工业环境中计算机系统的安全性，需要建立有效的入侵检测系统来监视网络物理系统（例如，计算机网络）进行恶意活动。本文旨在建立这样的入侵检测系统，以保护计算机网络免受网络攻击。更具体地说，我们提出了一种新的无监督机器学习方法，结合K-Means算法和隔离森林，用于工业大数据场景中的异常检测。由于我们的目标是为工业领域的大数据场景构建入侵检测系统，因此我们利用Apache Spark框架来实现我们提出的模型，该模型在Elasticsearch中存储的大型网络流量数据（约1.23亿网络流量实例）中进行了训练。此外，我们评估我们提出的模型上的实时流媒体数据，发现我们提出的系统可以用于实时异常检测在工业设置。此外，我们还解决了在大型数据集上训练模型时面临的不同挑战，并明确描述了如何解决这些问题。基于我们在现实世界网络流量数据中异常检测的不同用例中的经验评估，我们观察到我们提出的系统可以有效地检测大数据场景中的异常。最后，我们在几个学术数据集上评估了我们提出的模型，并与其他模型进行了比较，发现它提供了与其他最先进方法相当的性能。
2021-04-27 cs.AI cs.CR cs.LG
Machine Learning Based Network Vulnerability Analysis of Industrial Internet of Things
保护工业物联网（IIoT）设备至关重要，因为一旦发生攻击，可能会造成破坏性后果。机器学习和大数据分析是分析和保护物联网（IoT）技术的两个强大杠杆。通过扩展，这些技术也可以帮助提高IIoT系统的安全性。在本文中，我们首先介绍了常见的IIoT协议及其相关漏洞。然后，我们运行一个网络脆弱性评估，并讨论利用机器学习来对抗这些脆弱性。接着，文献回顾了现有的入侵检测解决方案，使用机器学习模型。最后，我们讨论了我们的案例研究，其中包括一个真实世界的测试平台，我们已经建立了进行网络攻击和设计的入侵检测系统（IDS）的细节。我们部署后门，命令注入和结构化查询语言（SQL）注入攻击系统，并演示如何基于机器学习的异常检测系统可以很好地检测这些攻击。我们已经通过代表性的指标来评估性能，以便对方法的有效性有一个公正的观点。
2019-11-13 cs.CR cs.LG cs.NI
A Novel Online Incremental Learning Intrusion Prevention System
Open University of Cyprus（塞浦路斯开放大学）；University of Plymouth（普利茅斯大学）；University of Peloponnese（伯罗奔尼撒大学）
攻击媒介不断演变，以逃避入侵检测系统。物联网（IoT）环境虽然对IT生态系统有利，但却受到固有的硬件限制，这限制了它们实施全面安全措施的能力，并增加了它们遭受漏洞攻击的风险。本文提出了一种新的网络入侵防御系统，利用自组织增量神经网络与支持向量机。由于其结构，所提出的系统提供了一种不依赖于签名或规则的安全解决方案，并且能够以高精度实时减轻已知和未知的攻击。基于NSL KDD数据集的实验结果，该框架可以实现在线更新的增量学习，使其适用于高效和可扩展的工业应用。
2021-09-20 cs.AI cs.CR
Introducing a Comprehensive, Continuous, and Collaborative Survey of Intrusion Detection Datasets
针对入侵检测数据集数量多、缺陷隐蔽且现有综述不全面、不及时的问题，本文推出由公开 GitHub 支持、持续更新并开放协作的 COMIDDS 网站，提供结构化、批判性且可操作的数据集信息。
2024-08-05 cs.CR
ICSSIM-A Framework for Building Industrial Control Systems Security Simulation Testbeds
针对工业控制系统安全测试需求，提出ICSSIM框架，基于Docker构建低成本、可定制、高保真的虚拟测试平台，支持多种网络攻击仿真，以验证入侵检测算法。
2022-11-25 cs.CR
A multi-layered embedded intrusion detection framework for programmable logic controllers
针对PLC缺乏分层防御的问题，提出一种运行于控制器内部的嵌入式入侵检测系统，结合半监督异常检测与监督分类，在油库测试中实现零漏报并满足实时性要求。
2025-10-08 cs.CR
A PUF-Based Security Framework for Fault and Intrusion Detection
School of Electrical Engineering and Computer Science, Russ College of Engineering and Technology, Ohio University（俄亥俄大学Russ工程技术学院电气与计算机工程学院）；J. Warren McClure School of Emerging Communication Technologies, Scripps College of Communications, Ohio University（俄亥俄大学Scripps传播学院J. Warren McClure新兴通信技术学院）
本文提出基于PUF的工业控制系统安全框架，通过硬件根信任架构实现传感器读数验证，有效检测故障和入侵行为。
2026-01-25 cs.CR
Medoid Prototype Alignment for Cross-Plant Unknown Attack Detection in Industrial Control Systems
University of Malaya（马来大学）
本文提出一种中位原型对齐框架，用于跨工厂的未知攻击检测，通过压缩异构流量并提取稳健的中位原型，提升跨域迁移稳定性，实验表明其在四个未知攻击迁移任务中表现最佳。
2026-04-28 cs.AI cs.CR
Contrastive-KAN: A Semi-Supervised Intrusion Detection Framework for Cybersecurity with scarce Labeled Data
针对网络攻击标注数据稀缺问题，提出基于KAN的半监督对比学习实时入侵检测框架，在三个基准上以极少标注样本取得优于现有对比方法和MLP的准确率、鲁棒性及可解释性。
2025-10-04 cs.CR cs.SY eess.SP
Multi-Class, Multi-Tier Network Intrusion Detection: A Comprehensive and Reproducible Benchmark
RENCI, University of North Carolina at Chapel Hill（北卡罗来纳大学教堂山分校文艺复兴计算研究所）；Fordham University（福特汉姆大学）
本文提出一个全面且可复现的网络入侵检测基准，修正了CIC-IDS2017的标注错误，在三个嵌套级别评估多种模型，软投票集成达到最优细粒度宏F1 0.955，并提供开源可配置流程。
2026-09-30 cs.CR cs.LG
Hierarchical Online Intrusion Detection for SCADA Networks
提出了一种新的基于机器学习算法的监控和数据采集（SCADA）网络分层在线入侵检测系统（HOIDS）。通过利用服务器-客户端拓扑结构，同时保持客户端分布以进行全局保护，以最小的网络影响实现了高检测率。我们使用Broyden-Fletcher-Goldfarb-Shanno方法，基于逻辑回归和拟牛顿优化算法实现了正常-异常二进制检测和多攻击识别的精确模型。该检测系统能够通过基于信息增益的特征选择或基于主成分分析的降维来加速检测。通过使用KDD 99数据集和工业控制系统数据集对我们的系统进行评估，我们证明了HOIDS对于保护SCADA基础设施具有高度的可扩展性，高效性和成本效益。
2016-11-28 cs.CR
Security in Process: Detecting Attacks in Industrial Process Data
由于第四次工业革命，工业应用利用了通信和嵌入式设备的进步。这使工业用户能够提高效率和可靠性，同时降低成本和工作量。此外，第四次工业革命创造了所谓的工业4.0，在工业环境中开辟了各种新颖的使用和商业案例。然而，这一进展是以工业公司的攻击面扩大为代价的。以前在物理上与公共网络分离的业务网络现在连接起来，以便利用新的通信能力。这就需要工业入侵检测解决方案能够兼容工业中长期运行的机器以及异构和快速变化的网络。在这项工作中，过程数据进行了分析。数据在真实世界的硬件上创建和监控。在设置阶段之后，攻击被引入到影响过程行为的系统中。本文提出了一种基于时间序列的异常检测方法--矩阵轮廓法，并将其应用于入侵检测中。结果表明，这些方法的适用性，以检测攻击的过程中的行为。此外，它们很容易集成到现有的过程环境中。此外，单类分类器单类支持向量机和隔离森林应用于数据，没有时间的概念。虽然矩阵配置文件在创建和可视化结果方面表现良好，但一类分类器表现不佳。
2019-09-09 cs.CR
Analyzing Adversarial Attacks Against Deep Learning for Intrusion Detection in IoT Networks
Carleton University（卡尔顿大学）
对抗攻击在计算机视觉领域已经得到了广泛的研究，但其对网络安全应用的影响仍然是一个开放的研究领域。随着物联网、5G和人工智能不断融合以实现第四次工业革命（工业4.0）的承诺，物联网网络上的安全事件和事件也在增加。深度学习技术正被应用于检测和缓解针对物联网网络的许多此类安全威胁。前馈神经网络（FNN）已被广泛用于对物联网网络中的入侵攻击进行分类。在本文中，我们考虑了FNN的一种变体，称为自规范化神经网络（SNN），并将其性能与FNN进行比较，用于对物联网网络中的入侵攻击进行分类。我们的分析是使用新南威尔士大学堪培拉网络中心网络范围实验室的BoT-IoT数据集进行的。在我们的实验结果中，FNN在物联网网络中的入侵检测方面优于SNN，这是基于多个性能指标，如准确度，精确度和召回率以及多分类指标，如Cohen的Kappa得分。然而，当测试对抗性鲁棒性时，SNN对来自物联网数据集的对抗性样本表现出更好的弹性，在物联网网络中寻求更安全和更安全的深度学习方面呈现出充满希望的未来。
2019-05-13 cs.CR cs.LG cs.NI
Convolutional Neural Network for Intrusion Detection System In Cyber Physical Systems
信息和通信技术在工业控制系统等关键基础设施中的广泛使用使其容易受到网络攻击。一类特殊的网络攻击是高级持续性威胁，其中高技能的攻击者可以窃取用户身份验证信息，并在网络中从一台主机移动到另一台主机，直到到达有价值的目标。应该尽快检测到攻击者，以便采取适当的响应，否则攻击者将有足够的时间到达敏感资产。面对智能威胁时，必须设计智能解决方案。因此，在本文中，我们利用深度学习的最新进展来构建一个卷积神经网络，可以检测网络物理系统中的入侵。将该入侵检测系统应用于NSL-KDD数据集，并与现有技术进行了比较，结果表明了该技术的有效性。
2019-06-07 cs.CR cs.LG
Enhanced Anomaly Detection in Industrial Control Systems aided by Machine Learning
本文针对工业控制系统中单一数据源难以检测跨层复杂攻击的问题，基于 SWaT 数据集评估多种机器学习模型，证明融合网络流量与过程数据可提升攻击分类召回率。
2024-10-25 cs.CR
PWG-IDS: An Intrusion Detection Model for Solving Class Imbalance in IIoT Networks Using Generative Adversarial Networks
Henan University（河南大学）；National Institute of Technology Kurukshetra（库鲁克舍特拉国立技术学院）；Asia University（亚洲大学）；GuangZhou University（广州大学）
随着工业物联网（IIoT）技术的不断发展，网络安全变得越来越重要。而入侵检测是其安全性的重要组成部分。然而，由于攻击流量与正常流量相比非常小，这种不平衡使得入侵检测非常困难。针对这种不平衡，提出了一种预训练Wasserstein生成对抗网络入侵检测系统（PWG-IDS）。该系统分为两个主要模块：1）在该模块中，我们首次在Wasserstein梯度惩罚生成对抗网络（WGAN-GP）中引入了预训练机制，首先使用正常的网络流量对WGAN-GP进行训练，然后将不平衡数据输入到预训练好的WGAN-GP中进行重新训练，生成最终所需的数据。2)入侵检测模块：我们使用LightGBM作为分类算法来检测IIoT网络中的攻击流量。实验结果表明，我们提出的PWG-IDS优于其他模型，在两个数据集上的F1分数分别为99%和89%。并且我们提出的预训练机制也可以广泛应用于其他GANs中，为GANs的训练提供了一种新的思路。
2021-10-06 cs.AI cs.CR
Intrusion Detection System for Applications using Linux Containers
Linux容器在个人和工业应用中的吸引力越来越大，随着这些容器集成到关键任务系统中，实时检测恶意网络攻击成为关键的操作要求。本文介绍了一种实时的基于主机的入侵检测系统，可用于被动检测不法行为对Linux容器内的应用程序运行在一个独立的或在云多租户环境。所演示的入侵检测系统使用从主机内核监视的系统调用包来学习在Linux容器内运行的应用程序的行为并确定异常容器行为。使用数据库应用程序的方法的性能进行了测量和结果进行了讨论。
2016-11-09 cs.CR
Hybrid ResNet-1D-BiGRU with Multi-Head Attention for Cyberattack Detection in Industrial IoT Environments
LSEA Lab., Faculty of Technology University of MEDEA Medea 26000, Algeria；LSEA Lab, Faculty of Science University of MEDEA Medea 26000, Algeria
本文提出一种混合深度学习模型，结合ResNet-1D、BiGRU和多头注意力机制，用于工业物联网中的入侵检测，通过空间-时间特征提取和注意力加权，提升检测性能。
2026-04-07 cs.AI cs.CR cs.CV
ABBA: A quasi-deterministic Intrusion Detection System for the Internet of Things
越来越多的流程正在实现自动化，以提高效率和安全性。常见的例子是汽车，工业控制系统或医疗保健。自动化通常依赖于传感器网络来为控制系统提供关键数据。这些自动化流程的一个潜在风险来自恶意行为者在网络中注入的欺诈数据。在这篇文章中，我们提出了一种新的数据篡改检测机制，它不依赖于秘密的加密密钥-可能会丢失或被盗-或准确的网络建模，就像现有的基于机器学习的技术一样。我们定义和分析所提出的技术称为ABBA的数学结构，并提出了一种算法的实施。
2021-08-09 cs.CR
Privacy Preservation Intrusion Detection Technique for SCADA Systems
监控和数据采集（SCADA）系统面临着缺乏一种保护技术的问题，这种保护技术可以击败不同类型的入侵，并在使用其他应用程序（特别是入侵检测系统（IDS））处理这些数据时保护数据不被泄露。SCADA系统可以管理工业控制环境的关键基础设施。保护敏感信息在现实中是一项很难实现的任务，需要物理系统和数字系统的连接。因此，隐私保护技术已经变得有效，以保护敏感/私人信息并检测恶意活动，但它们在错误检测、数据泄露的敏感度百分比方面并不准确。在本文中，我们提出了一种新的隐私保护入侵检测（PPID）技术的基础上的相关系数和期望最大化（EM）聚类机制，选择重要的数据部分，并识别入侵事件。该技术在电力系统多类攻击数据集上进行评估，以衡量其检测可疑活动的可靠性。实验结果优于三种技术在上述条款，显示所提出的技术用于当前SCADA系统的效率和有效性。
2017-11-08 cs.CR
