MirGuard: Towards a Robust Provenance-based Intrusion Detection System Against Graph Manipulation Attacks
针对图操纵攻击威胁，提出鲁棒异常检测框架MirGuard，结合逻辑感知噪声注入与保留逻辑的对比学习，生成保持因果语义的图视图，在多项数据集上显著提升PIDS对抗攻击的鲁棒性且不牺牲检测性能。
2025-08-14 cs.CR
Incorporating Gradients to Rules: Towards Lightweight, Adaptive Provenance-based Intrusion Detection
本文提出CAPTAIN，一种基于规则的自适应溯源入侵检测系统，通过引入三个可学习参数和梯度下降优化，在保持轻量级和可解释性的同时，显著提升检测准确率并降低误报。
2024-09-20 cs.CR
Poster: Towards Selecting Threat Appropriate Industrial Intrusion Detection Systems
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫FKIE研究所）
针对工业控制系统威胁动态变化，提出基于反威胁情报共享的检测器选择机制，通过攻击层面性能评估验证其能提升安全防护效果。
2026-09-14 cs.CR
Kairos: Practical Intrusion Detection and Investigation using Whole-system Provenance
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络空间安全学院）；University of British Columbia（不列颠哥伦比亚大学）；Wake Forest University（维克森林大学）
针对现有基于溯源图的入侵检测系统难以兼顾范围、攻击无关性、时效性与攻击重构的问题，提出 KAIROS，通过图神经网络编码器-解码器量化事件异常并重构攻击摘要图，在基准数据集上优于以往方法。
2023-09-28 cs.CR cs.LG
PIDSMaker: Building and Evaluating Provenance-based Intrusion Detection Systems
University of British Columbia（不列颠哥伦比亚大学）；Xi’an Jiaotong University（西安交通大学）
PIDSMaker通过标准化预处理和统一评估框架，为构建和比较基于溯源的入侵检测系统提供了一套开源工具和方法。
2026-02-13 cs.CR cs.LG
A Question of Context: Enhancing Intrusion Detection by Providing Context Information
由于第四次工业革命以及由此带来的互联性的增加，工业网络越来越多地向公共网络开放。除了在可扩展性和灵活性方面的巨大好处外，开放性还为恶意对手带来了更大的攻击面。与办公环境相比，工业网络具有非常高的数据量。除此之外，每一次延误都很可能导致收入损失。因此，用于工业应用的入侵检测系统具有与基于办公室的入侵检测系统不同的要求。另一方面，由于制造执行系统和企业资源规划，工业网络能够提供大量的上下文信息。此外，工业网络往往更均匀，更容易确定离群值。在这项工作中，创建了一个抽象的模拟工业网络行为。恶意行为被引入到一组有效行为序列中。最后，一个基于上下文和上下文无关的入侵检测系统被用来发现的攻击。对结果进行了比较和评论。可以看出，上下文信息可以帮助识别恶意行为，比仅使用一个信息源（例如网络）的入侵检测更可靠。
2019-05-28 cs.CR
Efficient Intrusion Detection on Low-Performance Industrial IoT Edge Node Devices
工业系统中传感器、执行器和可编程逻辑控制器（PLC）之间的通信从双线现场总线转移到基于IP的协议，如Modbus/TCP。这增加了攻击面，因为基于IP的网络通常可以从公司内的任何地方访问。因此，集中式防御，例如在网络的周边，不能提供足够的保护。相反，需要分散的防御，网络的每个部分都可以保护自己。网络入侵检测系统（IDS）监控网络并报告可疑活动。它们通常在单个主机上运行，无法捕获网络中的所有事件，并且与大量集成工作相关联。为了弥合这一差距，我们引入了一种入侵检测方法，该方法将工业物联网（IIoT）边缘设备上的分布式代理与集中式日志记录相结合。与现有的IDS相比，分布式方法适用于工业低性能微控制器。我们在运行FreeRTOS和LwIP的MCU上演示了概念验证（Proof of Concept，简称OTT）实现，并展示了我们的方法在IIoT应用中的可行性。
2019-08-11 cs.CR
Side-channel based intrusion detection for industrial control systems
工业控制系统正受到越来越多的审查。它们的安全性历来低于标准，尽管制造商正在采取措施来补救这一点，但传统系统的庞大安装基础无法轻松地更新最先进的安全措施。我们提出了一个系统，使用电磁侧信道测量来检测在工业控制系统上运行的软件的行为变化。为了证明这种方法的可行性，我们表明，它是可能的配置文件和区分西门子S7-317 PLC上的程序，即使是很小的变化，使用加密的边通道分析的方法。
2017-12-15 cs.CR
GraphFaaS: Serverless GNN Inference for Burst-Resilient, Real-Time Intrusion Detection
针对传统静态GNN推理架构无法满足入侵检测低延迟、抗突发需求的问题，提出定制无服务器架构GraphFaaS，可动态扩展推理流水线，显著降低检测延迟与波动。
2025-11-13 cs.CR
Putting Together the Pieces: A Concept for Holistic Industrial Intrusion Detection
除了从现有的通信特性中获得的优势外，它还增加了网络的攻击面。由于工业协议和系统在设计时没有考虑到安全性，因此在过去几年中发生了对工业系统的严重攻击。大多数工业通信协议不提供确保认证或加密的手段。这意味着可以访问网络的攻击者可以读取和写入信息。工业4.0的用例最初并不意味着连接到公共网络，而是需要互连，通常是通过不安全的公共网络。这导致对用于工业应用的信息安全产品的兴趣日益增加。在这项工作中，整体入侵检测方法在工业环境中的概念。它基于不同的工作，考虑到工业环境的几个方面及其将入侵识别为网络或过程数据中的异常的能力。这些能力是基于先前对真实数据和合成数据的实验。为了证明这一概念的合理性，本文概述了对工业系统的潜在和实际攻击媒介和攻击。分析了工业设施的不同方面，例如办公室IT，车间OT，与客户和合作伙伴的防火墙连接，以及自动化金字塔的不同层需要不同的方法来检测攻击。此外，对工业应用程序的攻击的奇异步骤的特点。最后，这些方法的集成所产生的概念，提出了通过不同的手段检测攻击的不同阶段的手段。
2019-05-28 cs.CR
Not All Relations Are Equal: Relation-Balanced and Calibrated Graph Learning for Provenance-Based Intrusion Detection
Xidian University（西安电子科技大学）；University of Padova（帕多瓦大学）
针对现有PIDS统一对待关系而忽视统计异质性的问题，提出RECAL框架，通过关系平衡掩码图学习与误差校准，在DARPA E3数据集上显著提升F1分数并大幅降低误报率。
2026-09-22 cs.CR cs.LG
Impact of Benign Connectivity Variations on Intrusion Detection for Encrypted OPC UA Traffic in Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用科技大学）；ipoque GmbH（ipoque有限公司）
研究工业专用5G网络中良性连接变化对加密OPC UA流量的机器学习入侵检测系统的影响，通过实验发现合法连接事件会增加误报，且异常分数升高与控制平面活动有关，强调解释入侵检测输出时考虑控制平面上下文的重要性。
2026-07-13 cs.CR
OMNISEC: LLM-Driven Provenance-based Intrusion Detection via Retrieval-Augmented Behavior Prompting
Zhejiang University of Technology（浙江工业大学）；Wenzhou University of Technology（温州大学）
OMNISEC将大语言模型与检索增强生成引入基于异常的溯源入侵检测，通过可疑节点、稀有路径和外部知识库识别真实攻击并重建攻击链，在公开基准上超越现有方法。
2025-07-22 cs.AI cs.CR
Anomaly-based Intrusion Detection in Industrial Data with SVM and Random Forests
对工业企业的攻击在数量和影响上都在增加。自20世纪70年代引入工业控制系统以来，工业网络一直是恶意行为者的目标。最近，对工业和关键基础设施的攻击的政治和战争方面变得更加重要。与传统的家庭和办公室IT系统相比，工业IT，即所谓的OT系统，对物理世界产生影响。此外，工业设备具有长的操作时间，有时长达几十年。更新和修复是乏味的，往往是不可能的。工业环境的传统要求对工业的威胁产生了对可以集成到现有系统中的高效入侵检测的需求。在这项工作中，包含工业操作的网络数据进行了分析与机器学习-和基于时间序列的异常检测算法，以发现引入到数据的攻击。使用了两种不同的数据集，一种是基于Modbus的天然气管道控制流量，另一种是基于OPC UA的批处理流量。为了检测攻击，使用了两种基于机器学习的算法，即\textit{SVM}和随机森林。两者都表现良好，随机森林略优于SVM。此外，提取和选择功能，以及处理丢失的数据是在这项工作中解决。
2019-07-24 cs.CR
Federated Learning-Enhanced Blockchain Framework for Privacy-Preserving Intrusion Detection in Industrial IoT
针对工业物联网传统入侵检测的隐私、延迟与单点故障问题，提出结合联邦学习与区块链的FL-BCID框架，通过边缘协同训练与链上存证实现高准确率、低开销的隐私保护入侵检测。
2025-05-21 cs.CR
Simplicity over Complexity: An ARN-Based Intrusion Detection Method for Industrial Control Network
针对工业控制网络流量数据大规模、高维等特性影响检测效率的问题，提出一种基于新型关联循环网络（ARN）的入侵检测方法，在SWaT和UNSW-NB15数据集上分别达到95.48%和97.61%的准确率。
2024-12-19 cs.CR
SoK: Evaluations in Industrial Intrusion Detection Research
本文系统分析工业入侵检测领域609篇文献的评估方法，发现该领域虽公开数据集使用增加，但存在评估数据集少、指标模糊、新指标推广慢等问题，最终为各方提供可行建议以推动领域发展。
2023-11-06 cs.CR
Deployment Challenges of Industrial Intrusion Detection Systems
本文通过实证多种IIDS与数据集，指出真实部署中监督模型依赖大量恶意训练数据、仅用良性数据的模型又难调超参数两大关键挑战。
2024-03-04 cs.CR
How Benchmarks and Evaluation Protocols Shape Conclusions in Provenance-Based Intrusion Detection
Ampere Software Technology（安培软件技术公司）
该研究发现基于溯源的入侵检测系统性能结论受基准和评估协议影响，简单白名单性能可媲美部分学习基线，语义信号质量决定架构差异是否凸显，解读架构主张需结合基准与协议。
2026-10-14 cs.CR cs.LG
An Experimental Study of Machine Learning-Based Intrusion Detection for OPC UA over Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）；ipoque GmbH（ipoque有限公司）
本文研究了在工业专用5G网络上基于机器学习的OPC UA入侵检测系统，通过多个攻击场景验证了其高检测性能。
2026-03-24 cs.CR
Runtime Analysis of Whole-System Provenance
确定系统入侵的根本原因和影响仍然是计算机安全的基本挑战。数字出处提供了计算系统内信息流的详细历史，将可疑事件与其根本原因联系起来。虽然现有的基于出处的审计技术提供了价值的法医分析，他们认为，这种分析只发生回顾性的。这种事后分析是不够的实时安全应用程序，此外，即使对于取证任务，以前的出处收集系统表现出较差的性能和可扩展性，危及查询响应的及时性。我们提出CamQuery，它提供了内联，实时的出处分析，使其适合于实现安全应用程序。CamQuery是一个Linux安全模块，为分析应用程序的用户空间和内核执行提供支持。我们证明了CamQuery的适用性，各种运行时的安全应用程序，包括数据丢失预防，入侵检测和法规遵从性。在评估中，我们证明了CamQuery减少了实时查询机制的延迟，同时对系统执行施加最小的开销。因此，CamQuery能够进一步部署基于出处的技术，以解决计算机安全方面的核心挑战。
2018-08-25 cs.CR cs.OS
No Data? No Problem: Synthesizing Security Graphs for Better Intrusion Detection
Key Laboratory of High-Confidence Software Technologies (MOE), School of Computer Science, Peking University（北京大学计算机学院高可信软件技术教育部重点实验室）；Department of Computer Science, University of Virginia（弗吉尼亚大学计算机科学系）
本文提出PROVSYN框架，通过合成异构图结构和文本属性，提升入侵检测的鲁棒性，实验显示其在五维评估中表现优于基线模型，有效缓解数据不平衡问题。
2026-08-17 cs.CR
IPAL: Breaking up Silos of Protocol-dependent and Domain-specific Industrial Intrusion Detection Systems
工业网络的日益互联使其面临越来越大的网络攻击风险。为了及早发现此类攻击并防止任何损害，工业入侵检测会搜索其他可预测通信或流程行为中的异常。然而，目前的努力主要集中在特定的领域和协议，导致研究领域被分解成孤立的孤岛。因此，现有的方法不能应用于同样受益于强大检测的其他行业。为了更好地理解这个问题，我们调查了53个检测系统，并没有发现其狭隘的焦点的根本原因。虽然它们在实践中通常与特定的工业协议相结合，但许多方法在理论上可以推广到新的工业场景。为了释放这种潜力，我们提出了IPAL，我们的工业协议抽象层，解耦入侵检测领域特定的工业协议。在相关工作的再现性研究中证明了IPAL的正确性后，我们通过研究现有方法对新数据集的可推广性来展示其独特的优势，并得出结论，它们确实不限于特定的域或协议，并且可以在其受限的筒仓之外执行。
2022-07-11 cs.CR cs.NI
Digital Twin-based Intrusion Detection for Industrial Control Systems
KTH Royal Institute of Technology（瑞典皇家理工学院）；RISE Research Institute of Sweden（瑞典RISE研究院）
数字孪生最近在工业控制系统（ICS）的仿真、优化和预测性维护方面获得了极大的兴趣。最近的研究讨论了在工业系统中使用数字孪生进行入侵检测的可能性。因此，这项研究有助于数字孪生为基础的安全框架的工业控制系统，扩展其能力的模拟攻击和防御机制。在工业灌装厂的独立开源数字孪生上实现了四种类型的过程感知攻击场景：命令注入、网络拒绝服务（DoS）、计算测量修改和朴素测量修改。在对8种有监督机器学习算法离线评价的基础上，提出了一种基于层叠集成分类器的实时入侵检测方法。通过结合各种算法的预测，所设计的堆叠模型在F1分数和准确性方面优于以前的方法，同时它可以近实时（0.1秒）检测和分类入侵。本研究亦讨论了所提出的基于数字孪生的安全框架的实用性和好处。
2022-07-20 cs.CR cs.LG
Intrusion Detection and identification System Design and Performance Evaluation for Industrial SCADA Networks
在本文中，我们提出了一个研究，提出了一个三阶段的分类器模型，采用机器学习算法开发的入侵检测和识别系统的数十种不同类型的攻击对工业SCADA网络。根据使用天然气管道SCADA网络的实验室原型生成的数据对机器学习分类器进行训练和测试。该数据集由三个攻击组和七个不同的攻击类别或类别组成。同一数据集还提供了与这七种攻击类别相关的35种不同类型的子攻击的签名。该研究需要设计三阶段的机器学习分类器作为误用入侵检测系统，以检测和识别35个攻击子类中的每一个。分类器的第一阶段决定记录是否与正常操作或攻击签名相关联。如果发现该记录属于攻击特征，则在第二阶段中，将其分类为七种攻击类别之一。基于由来自第二级分类器的输出确定的所识别的攻击类别，为第三级子攻击分类提供攻击记录，其中采用七个不同的分类器。来自第三阶段分类器的输出标识记录所属的子攻击类型。仿真结果表明，设计探索专业化领域或执行多个阶段与单阶段设计的分类是有前途的问题，有几十个类。与文献中的研究比较也表明，多级分类器的性能明显更好。
2020-12-17 cs.CR
Provenance, Not Behaviour: A Serialisation Artifact in Edge-IIoTset and a Leakage-Free Benchmark for Precision-Agriculture Intrusion Detection
Alexandria University（亚历山大大学）
本文发现工业物联网入侵检测基准Edge-IIoTset存在序列化伪影导致标签泄漏，进而构建无泄漏的精准农业入侵检测基准AgriEdge，明确了相关模型的泛化边界与性能表现。
2026-08-18 cs.CR cs.LG
CICAPT-IIOT: A provenance-based APT attack dataset for IIoT environment
针对现有IIoT网络安全数据集缺少APT检测关键属性的问题，本文提出CICAPT-IIoT数据集，搭建测试平台复现20余种APT攻击技术及多个攻击阶段，整合多类日志与攻击信息，为APT检测研究提供支撑。
2024-07-15 cs.CR
Machine Learning for Intrusion Detection in Industrial Control Systems: Applications, Challenges, and Recommendations
DHA Suffa University（DHA Suffa大学）；Karachi Institute of Economics and Technology（卡拉奇经济技术学院）；DNNae Inc.（DNNae公司）；Singapore University of Technology and Design（新加坡科技设计大学）
来自机器学习的方法正被应用于设计能够抵御网络攻击的工业控制系统。这种方法集中在两个主要领域：使用通过网络数据包获取的信息在网络级检测入侵，以及使用代表系统物理行为的数据在物理过程级检测异常。本综述主要介绍了机器学习中用于入侵和异常检测的四种方法，即监督、半监督、无监督和强化学习。在公共领域的文献进行了仔细的选择，分析，并放置在一个7维空间，便于比较。该调查的对象是研究人员、学生和从业人员。在使用的方法和研究差距相关联的挑战，并提出建议，以填补空白。
2022-02-24 cs.CR cs.LG
A False Sense of Security? Revisiting the State of Machine Learning-Based Industrial Intrusion Detection
RWTH Aachen University（亚琛工业大学）；Fraunhofer FKIE（弗劳恩霍夫通信、信息处理与人机工程研究所）
基于异常的入侵检测通过对系统行为进行建模，并在出现异常时发出相应的警报，从而检测出对工业控制系统的新型或未知攻击。由于人工创建这些行为模型既繁琐又容易出错，因此研究重点集中在机器学习上，自动训练这些行为模型，检测率达到99%以上。然而，这些方法通常不仅在良性流量上训练，而且在攻击上训练，然后针对用于训练的相同类型的攻击进行评估。因此，它们在未知（未接受过训练）攻击上的实际真实表现仍不清楚。反过来，报告的基于机器学习的入侵检测近乎完美的检测率可能会产生虚假的安全感。为了评估这种情况并阐明基于机器学习的工业入侵检测的真正潜力，我们开发了一种评估方法，并从文献中检查了多种方法对未知攻击的性能（排除在训练之外）。我们的研究结果强调了检测未知攻击的无效性，对于某些类型的攻击，检测率下降到3.2%至14.7%之间。展望未来，我们提出了对基于机器学习的方法进行进一步研究的建议，以确保其检测未知攻击的能力的清晰度。
2022-05-18 cs.CR cs.LG
Discussing the Feasibility of Acoustic Sensors for Side Channel-aided Industrial Intrusion Detection: An Essay
第四次工业革命导致工业环境中嵌入式计算和相互通信的使用增加。在降低设置、运营和维护的成本和工作量，增加运营或市场的时间和效率的同时，也增加了企业的攻击面。在过去十年中，工业企业已成为网络犯罪分子的目标，原因是间谍活动，但也有政治动机。臭名昭著的攻击活动以及容易获得的恶意软件在毫无准备的状态下袭击行业，创造了一个巨大的威胁环境。由于工业系统通常运行数十年，并且难以或不可能在安全性方面进行升级，因此需要传统兼容的工业安全解决方案来创建安全参数。在工业中，一种可行的方法是实施和使用侧信道传感器。通过不同渠道将来自不同来源的现成传感器数据组合起来，可以增强对安全状态的了解。在这项工作中，一个实验性的工业设置包含侧通道传感器的数据集进行了概念性的讨论，并得出见解。
2019-09-09 cs.CR cs.CY
Practical Whole-System Provenance Capture
数据起源描述了数据是如何以其目前的形式出现的。它包括数据源和已应用于这些数据源的转换。数据来源有很多用途，从取证和安全到帮助科学实验的可重复性。我们提出了CamFlow，一个全系统起源捕获机制，可以轻松集成到PaaS产品中。虽然已经有几个先前的全系统起源系统捕获了系统行为的全面、系统和无处不在的记录，但没有一个被广泛采用。它们要么A）强加太多的开销，B）是为长期过时的内核版本设计的，很难移植到当前的系统，C）生成太多的数据，或者D）是为单个系统设计的。CamFlow通过以下方式解决了这些缺点：1）利用最新的内核设计进步来实现效率; 2）使用依赖于Linux安全模块，NetFilter和其他现有内核设施的自包含，易于维护的实现; 3）提供一种机制来定制捕获的起源数据以满足应用程序的需求;以及4）使跨分布式系统集成起源变得容易。我们捕获的出处被租户构建的审计应用程序流式传输和消费。我们说明了我们的实现的可用性，通过描述三个这样的应用程序：演示遵守数据法规，执行故障/入侵检测，并实施数据丢失预防。我们还展示了如何利用CamFlow来捕获有意义的出处，而无需修改现有的应用程序。
2017-11-14 cs.CR
Intrusion Detection in Binary Process Data: Introducing the Hamming-distance to Matrix Profiles
工业数字化提供了大量新颖的应用，这些应用增加了灵活性，减少了设置和维护时间以及成本。此外，工业数字化（通常称为工业4.0或工业物联网）创造了新的用例，应用程序利用了正在变得可用的通信和计算技术。这使得新的业务用例成为可能，例如数字孪生、客户个人生产和数据市场。然而，这些用例所依赖的互联性也大大增加了工业企业的攻击面。破坏和间谍活动的目标是数据，数据正在成为企业最重要的资产。由于工业网络对安全解决方案的要求与办公网络有本质的不同，因此需要开发新的入侵检测方法。在这项工作中，一个真正的水处理过程中，包含攻击的过程数据进行了分析。分析是由矩阵配置文件，一个主题发现算法的时间序列的扩展。通过扩展矩阵配置文件与汉明距离度量，二进制和三级致动器可以集成到一个有意义的方式进行分析。该算法在提供准确结果的同时需要较低的训练工作量。此外，它可以以实时方式使用。选定的致动器的数据集进行了分析，突出的扩展矩阵配置文件的适用性。
2020-07-17 cs.CR
Using Temporal and Topological Features for Intrusion Detection in Operational Networks
直到20年前，工业网络还被认为是安全的，因为它与公共网络是物理隔离的。大量成功的攻击证明了这一假设是错误的。工业应用的入侵检测解决方案需要满足与家庭和办公环境不同的某些要求，例如在没有反馈的情况下工作以及与传统系统的兼容性。工业系统通常使用数十年，更新通常困难且昂贵。此外，大多数工业协议没有固有的身份验证或加密机制，一旦边界被突破，入侵者就可以轻松地横向移动。在这项工作中，基序发现的时间序列，矩阵配置文件的算法，用于检测异常值的定时行为的工业过程。这个过程在实验环境中进行了监测，在进行攻击后包含地面真实标签。此外，已经被仿真的不同工业数据集的图形表示被用于检测恶意活动。这些活动可以从异常通信模式中导出，在图中表示为边。最后，提出了两种方法的集成概念。
2019-07-09 cs.CR cs.IR
Implementing SCADA Scenarios and Introducing Attacks to Obtain Training Data for Intrusion Detection Methods
几乎没有任何公开的数据集可用于评估入侵检测算法。工业应用面临的最大威胁来自国家支持的犯罪集团。通常，这些攻击者使用以前未知的漏洞，即所谓的0天漏洞。基于特征的入侵检测无法发现它们。因此，基于统计或机器学习的异常检测很容易适用。然而，这些方法尤其需要大量的标记的训练数据。在这项工作中，提出了一个具有真实世界工业硬件的示例性工业用例。西门子S7可编程逻辑控制器使用OPC UA协议来控制基于现实世界的控制应用：泵，填充和排空水箱。此场景用于生成特定于应用程序的网络数据。此外，攻击被引入到该数据集中。这是通过三种方式完成的：首先，监视和捕获正常过程。然后将常见的攻击综合引入到该数据集中。其次，恶意行为在可编程逻辑控制器程序上实现并实时执行，流量也被捕获。第三，在可编程逻辑控制器上实施恶意行为，同时仍然保持与正常操作中相同的输出行为。攻击者可以利用应用程序，但伪造有效的传感器输出，以便检测不到异常。使用传感器，捕获温度，声音和水流，以创建可以与网络数据相关的数据，并用于检测攻击。所有数据都被标记，包含地面事实，这意味着所有攻击都是已知的，没有未知的攻击发生。这使得它们非常适合异常检测算法的训练。发布这些数据是为了使安全研究人员能够评估入侵检测解决方案。
2019-05-28 cs.CR
Time is of the Essence: Machine Learning-based Intrusion Detection in Industrial Time Series Data
German Research Center for Artificial Intelligence（德国人工智能研究中心）
工业物联网大大提高了工业应用中设备的连接性。除了在效率、可扩展性和易用性方面的优势外，这还创造了新的攻击面。从历史上看，工业网络和协议不包含安全手段，如身份验证和加密，这是这种发展所必需的。因此，需要工业IT安全。在这项工作中，模拟工业网络数据转换成一个时间序列，并与三种不同的算法进行分析。数据包含标记攻击，因此可以评估性能。矩阵配置文件表现良好，几乎不需要参数化。季节性自回归综合移动平均在噪声存在下表现良好，需要参数化的努力。基于长短期记忆的神经网络性能一般，但需要大量的训练和参数化工作。
2018-09-20 cs.CR cs.LG stat.ML
CLIProv: A Contrastive Log-to-Intelligence Multimodal Approach for Threat Detection and Provenance Analysis
本文提出多模态方法CLIProv，利用对比学习对齐溯源日志与威胁情报语义，将威胁检测转化为语义搜索问题，有效识别攻击行为并生成简明攻击场景，在标准数据集上实现了更高的精确度和检测效率。
2025-07-12 cs.CR
ICSSIM-A Framework for Building Industrial Control Systems Security Simulation Testbeds
针对工业控制系统安全测试需求，提出ICSSIM框架，基于Docker构建低成本、可定制、高保真的虚拟测试平台，支持多种网络攻击仿真，以验证入侵检测算法。
2022-11-25 cs.CR
Clustering-Enhanced Domain Adaptation for Cross-Domain Intrusion Detection in Industrial Control Systems
University of Malaya（马来亚大学）
本文提出一种增强聚类的领域适应方法，用于工业控制系统跨领域入侵检测，通过特征迁移学习和聚类增强策略提升检测准确性与稳定性。
2026-04-14 cs.AI cs.CR cs.LG
Are we there yet? An Industrial Viewpoint on Provenance-based Endpoint Detection and Response Tools
本文通过访谈、问卷、文献综述和测量研究，系统评估 P-EDR 的产业有效性与局限，揭示其相较传统 EDR 的优势及学术界与产业界在成本和开销上的三大差距。
2023-07-17 cs.CR
A multi-layered embedded intrusion detection framework for programmable logic controllers
针对PLC缺乏分层防御的问题，提出一种运行于控制器内部的嵌入式入侵检测系统，结合半监督异常检测与监督分类，在油库测试中实现零漏报并满足实时性要求。
2025-10-08 cs.CR
A PUF-Based Security Framework for Fault and Intrusion Detection
School of Electrical Engineering and Computer Science, Russ College of Engineering and Technology, Ohio University（俄亥俄大学Russ工程技术学院电气与计算机工程学院）；J. Warren McClure School of Emerging Communication Technologies, Scripps College of Communications, Ohio University（俄亥俄大学Scripps传播学院J. Warren McClure新兴通信技术学院）
本文提出基于PUF的工业控制系统安全框架，通过硬件根信任架构实现传感器读数验证，有效检测故障和入侵行为。
2026-01-25 cs.CR
TFLAG:Towards Practical APT Detection via Deviation-Aware Learning on Temporal Provenance Graph
针对APT攻击的隐蔽性及溯源图时间变化易被忽略的问题，提出TFLAG框架，首次结合时序图模型与偏差网络，在无先验知识下准确识别攻击时间窗口，显著提升检测准确率。
2025-09-17 cs.CR
Assessment of Cyber-Physical Intrusion Detection and Classification for Industrial Control Systems
工业控制系统（ICS）与公共网络和数字设备的交互日益增加，给电力系统和其他关键基础设施带来了新的网络威胁。最近的网络物理攻击，如Stuxnet和Irongate，揭示了意想不到的ICS漏洞和改进安全措施的必要性。入侵检测系统构成了一种关键的安全技术，其通常监视网络数据以检测恶意活动。然而，现代信息通信系统的一个核心特征是物理和网络进程的相互依赖性日益增加。因此，网络和物理过程数据的集成被视为一个很有前途的方法，以提高可预测性的实时入侵检测的ICS的物理约束和底层的过程模式。这项工作系统地评估了基于机器学习的网络物理入侵检测和多类分类，通过比较其纯粹的基于网络数据的对应和错误分类和检测延迟的评估。多个监督检测和分类管道应用于最近的网络物理数据集，该数据集描述了通用ICS上的各种网络攻击和物理故障。一个关键的发现是，物理过程数据的集成提高了所有考虑的攻击类型的检测和分类。此外，它还支持攻击和故障的同时处理，为全面的跨域根本原因识别铺平了道路。
2023-01-03 cs.CR cs.SY eess.SY
Adversarial Attacks on Time-Series Intrusion Detection for Industrial Control Systems
Imperial College London（帝国理工学院）；Airbus（空中客车公司）
神经网络越来越多地用于工业控制系统（ICS）的入侵检测。由于神经网络容易受到对抗性示例的攻击，希望对ICS造成损害的攻击者可以尝试通过使用对抗性示例技术来隐藏他们的攻击。在这项工作中，我们解决域特定的挑战，构建这样的攻击对自回归入侵检测系统（IDS）在ICS设置。我们对一个攻击者进行建模，该攻击者可以在具有基于LSTM的IDS的ICS中危害传感器的子集。攻击者操纵发送到IDS的数据，并试图隐藏ICS中发生的真实网络物理攻击的存在。我们评估我们的对抗攻击方法的安全水处理系统时，检查单独的连续数据，并对数据包含离散和连续变量的混合物。在连续数据域中，我们的攻击成功地隐藏了网络物理攻击，平均需要12个监测传感器中的2.87个受到攻击。对于离散和连续数据，我们的攻击平均需要26个被监控传感器中的3.74个被破坏。
2021-10-03 cs.CR cs.LG stat.ML
Hierarchical Online Intrusion Detection for SCADA Networks
提出了一种新的基于机器学习算法的监控和数据采集（SCADA）网络分层在线入侵检测系统（HOIDS）。通过利用服务器-客户端拓扑结构，同时保持客户端分布以进行全局保护，以最小的网络影响实现了高检测率。我们使用Broyden-Fletcher-Goldfarb-Shanno方法，基于逻辑回归和拟牛顿优化算法实现了正常-异常二进制检测和多攻击识别的精确模型。该检测系统能够通过基于信息增益的特征选择或基于主成分分析的降维来加速检测。通过使用KDD 99数据集和工业控制系统数据集对我们的系统进行评估，我们证明了HOIDS对于保护SCADA基础设施具有高度的可扩展性，高效性和成本效益。
2016-11-28 cs.CR
Security in Process: Detecting Attacks in Industrial Process Data
由于第四次工业革命，工业应用利用了通信和嵌入式设备的进步。这使工业用户能够提高效率和可靠性，同时降低成本和工作量。此外，第四次工业革命创造了所谓的工业4.0，在工业环境中开辟了各种新颖的使用和商业案例。然而，这一进展是以工业公司的攻击面扩大为代价的。以前在物理上与公共网络分离的业务网络现在连接起来，以便利用新的通信能力。这就需要工业入侵检测解决方案能够兼容工业中长期运行的机器以及异构和快速变化的网络。在这项工作中，过程数据进行了分析。数据在真实世界的硬件上创建和监控。在设置阶段之后，攻击被引入到影响过程行为的系统中。本文提出了一种基于时间序列的异常检测方法--矩阵轮廓法，并将其应用于入侵检测中。结果表明，这些方法的适用性，以检测攻击的过程中的行为。此外，它们很容易集成到现有的过程环境中。此外，单类分类器单类支持向量机和隔离森林应用于数据，没有时间的概念。虽然矩阵配置文件在创建和可视化结果方面表现良好，但一类分类器表现不佳。
2019-09-09 cs.CR
Enhanced Anomaly Detection in Industrial Control Systems aided by Machine Learning
本文针对工业控制系统中单一数据源难以检测跨层复杂攻击的问题，基于 SWaT 数据集评估多种机器学习模型，证明融合网络流量与过程数据可提升攻击分类召回率。
2024-10-25 cs.CR
Modern Problems Require Modern Solutions: Hybrid Concepts for Industrial Intrusion Detection
German Research Center for AI（德国人工智能研究中心）
工业4.0的概念给加工业带来了颠覆。它的特点是高度的相互通信，嵌入式计算，导致数据的分散和分布式处理。此外，云存储和软件即服务（SaaS）方法增强了数据的集中存储和处理。这通常发生在第三方网络中。此外，工业4.0由新的商业案例驱动。单批量生产、客户单独生产、实时观察工艺状态和进度以及远程维护等。所有这些新的商业案例都利用了新技术。然而，网络安全并不是工业界的问题。工业网络被认为是与公共网络物理分离的。此外，任何工业网络的高度独特性据说都可以防止攻击者利用漏洞。工业4.0的概念本质上打破了这些假设。因此，产生了大量的攻击向量。在过去，攻击者以惊人的方式使用这些攻击媒介。特别是德国的中小企业（SME）正在努力适应这些挑战。原因是技术解决方案和安全专业人员所需的成本。为了使中小企业能够应对网络空间日益增长的威胁，IUNO Insec研究项目旨在提供和改进无需专业安全知识即可使用的安全解决方案。本文简要介绍了IUNO Insec项目。此外，在入侵检测领域的贡献，特别是机器学习为基础的解决方案，为工业环境中所提供的作者，并设置到上下文中。
2019-05-16 cs.AI cs.CR
Intrusion Detection System for Applications using Linux Containers
Linux容器在个人和工业应用中的吸引力越来越大，随着这些容器集成到关键任务系统中，实时检测恶意网络攻击成为关键的操作要求。本文介绍了一种实时的基于主机的入侵检测系统，可用于被动检测不法行为对Linux容器内的应用程序运行在一个独立的或在云多租户环境。所演示的入侵检测系统使用从主机内核监视的系统调用包来学习在Linux容器内运行的应用程序的行为并确定异常容器行为。使用数据库应用程序的方法的性能进行了测量和结果进行了讨论。
2016-11-09 cs.CR
ORCHID: Streaming Threat Detection over Versioned Provenance Graphs
本文提出新型Prov-IDS系统ORCHID，利用版本化溯源图在实时流中迭代嵌入RNN模型，实现细粒度进程级威胁检测，在保证分类性能的同时消除检测延迟并大幅降低内存消耗。
2024-08-23 cs.CR
LLM-driven Provenance Forensics for Threat Investigation and Detection
本文提出大语言模型驱动的智能体取证框架PROVSEEK，融合RAG、CoT推理与多智能体编排实现无先验知识的自动化威胁溯源分析，在DARPA数据集上的情报提取、威胁检测性能显著优于现有方法，且具备良好可扩展性。
2025-11-17 cs.CR
ABBA: A quasi-deterministic Intrusion Detection System for the Internet of Things
越来越多的流程正在实现自动化，以提高效率和安全性。常见的例子是汽车，工业控制系统或医疗保健。自动化通常依赖于传感器网络来为控制系统提供关键数据。这些自动化流程的一个潜在风险来自恶意行为者在网络中注入的欺诈数据。在这篇文章中，我们提出了一种新的数据篡改检测机制，它不依赖于秘密的加密密钥-可能会丢失或被盗-或准确的网络建模，就像现有的基于机器学习的技术一样。我们定义和分析所提出的技术称为ABBA的数学结构，并提出了一种算法的实施。
2021-08-09 cs.CR
Privacy Preservation Intrusion Detection Technique for SCADA Systems
监控和数据采集（SCADA）系统面临着缺乏一种保护技术的问题，这种保护技术可以击败不同类型的入侵，并在使用其他应用程序（特别是入侵检测系统（IDS））处理这些数据时保护数据不被泄露。SCADA系统可以管理工业控制环境的关键基础设施。保护敏感信息在现实中是一项很难实现的任务，需要物理系统和数字系统的连接。因此，隐私保护技术已经变得有效，以保护敏感/私人信息并检测恶意活动，但它们在错误检测、数据泄露的敏感度百分比方面并不准确。在本文中，我们提出了一种新的隐私保护入侵检测（PPID）技术的基础上的相关系数和期望最大化（EM）聚类机制，选择重要的数据部分，并识别入侵事件。该技术在电力系统多类攻击数据集上进行评估，以衡量其检测可疑活动的可靠性。实验结果优于三种技术在上述条款，显示所提出的技术用于当前SCADA系统的效率和有效性。
2017-11-08 cs.CR
A Framework for Data-Driven Physical Security and Insider Threat Detection
本文介绍了PS0，本体框架和方法，提高物理安全和内部威胁检测。PS0可以通过利用基于规则的异常检测来促进取证数据分析并主动减轻内部威胁。在太多的情况下，基于规则的异常检测可以检测员工对组织安全策略的偏离。此外，PS0可以被认为是一种安全起源解决方案，因为它能够完全重建攻击模式。可以进一步分析出处图，以识别欺骗性行为，并克服可能导致错误决策的分析错误，例如错误归因。此外，这些信息还可以用来丰富可用的情报（关于入侵尝试），这些情报可以形成用例来检测和修复系统中的限制，例如松散耦合的起源图，在许多情况下，它表明物理安全架构中的弱点。最后，通过用例验证该框架展示并证明了PS0可以在物理安全和内部威胁检测方面改善组织的安全状况。
2018-09-25 cs.CR
