该论文针对网络安全监控中基于机器学习的异常检测方法存在的可解释性不足问题展开研究。现有方法要么依赖特征归因技术但忽略特征间依赖关系，要么依赖因果建模但需要大量领域知识或计算资源。为此，作者提出 XION 方法，仅基于良性流量建模网络流特征之间的关系。在检测阶段，通过特征依赖关系的违反情况来识别异常；在告警后分析阶段，XION 能够指出哪些特征关系被破坏、在攻击时间线上的哪个时刻被破坏，以及不同依赖违反之间如何演化。作者在标准 IDS 数据集上评估了 XION，并与隔离森林（IF）基线在多种攻击场景下（包括大流量攻击和隐蔽攻击）进行了比较。结果表明，在所有评估场景中，XION 的召回率匹配或超过 IF，同时推理时间最多缩短 7 倍。在告警后阶段，依赖违反分析揭示出与已知攻击行为一致的时间和结构模式，而 IF 无法提供这类信息。这些发现证实攻击确实会破坏从良性流量中学到的特征依赖，且这些破坏能为理解告警提供额外信息。

本文针对物联网设备面临的持续网络攻击，提出了一种基于大语言模型（LLM）的验证引导式规范合成框架，用于从HTTP请求流量中自动生成Suricata入侵检测系统（IDS）规则。当前，将观测到的攻击流量转化为可部署的IDS规则主要依赖人工，效率低且易出错。已有研究尝试利用LLM生成规则，但往往需要额外的辅助信息，或未对检测逻辑在良性流量上进行验证，导致误报率较高。本文方法分为三个阶段：首先，LLM识别HTTP请求中的易受攻击参数，并合成为语义检测规范；其次，通过反例引导的归纳合成（CEGIS）机制，以良性流量样本作为反例，对检测规范进行迭代细化与验证，确保其不会误报良性请求；最后，将验证通过的规范确定性编译为Suricata规则。作者在281个真实CVE和从真实物联网设备收集的良性流量上进行了实验，结果表明该方法在保持0.0%假阳性率的同时，实现了81.5%的检测率。消融实验进一步证明，基于CEGIS的验证步骤能显著提升检测性能并维持低误报。该研究为自动化生成高精度IDS规则提供了新思路，特别适合安全运营人员、IDS规则开发者以及研究LLM在安全自动化中应用的研究者阅读。

随着现代企业网络普遍迈入100GbE线速时代，网络监控与安全应用面临严峻的可扩展性挑战。传统做法往往依赖昂贵硬件、过度采样或复杂分布式部署，而随机丢包导致的随机性数据采样常使流量质量下降，尤其会漏掉隐藏在低速率流量中的关键安全事件（如APT或恶意软件的C2通信）。针对这一问题，本文提出XNET系统，旨在利用商用硬件实现线速监控，并通过动态采样增强高安全价值流量的可见性。XNET基于Linux的XDP（eXpress Data Path）技术高效处理数据包，在核心网卡驱动层对数据包按安全价值进行分类，并依据配置策略进行选择性采样，从而在不牺牲关键信息的前提下大幅降低需要存储和分析的流量规模，使安全相关流量占比显著提升。系统设计具有高度灵活性、可扩展性和动态适应性，可根据网络实际需求调整采样策略。作者在大型真实网络中使用纯商用硬件部署XNET，实验结果显示，XNET可在无丢包的情况下实现高达84%的流量削减，同时将原本几乎被忽略的低速率流量可见性提升5倍。在受控压力测试中，XNET展示了最高100Gbps的可扩展能力。此外，在IDS应用中，XNET采样机制保持了99.6%的检测率，证明其能在压缩数据流的同时维持高检测效能。该研究为高速网络环境下的安全监控提供了低成本、高效的解决方案，适合网络运维人员、安全分析师及研究人员阅读。

本文针对传统入侵检测系统（IDS）依赖监督式机器学习方法、难以快速适应新型攻击类型的问题，提出了一种基于奖励的决斗深度Q学习（Dueling Deep Q-Learning）模型。该模型采用决斗网络架构，将Q值预测拆分为状态价值流（value stream）和动作优势流（advantage stream），从而提升学习效率与训练稳定性。研究团队在CIC-IDS2018基准数据集上进行了训练与评估，该数据集模拟真实网络入侵场景，包含DDoS、僵尸网络、暴力破解等多种攻击类别。实验结果显示，模型在多个攻击类别上的平均准确率达到99.68%。此外，研究还集成了可解释人工智能（XAI）技术，特别是SHAP（SHapley Additive exPlanations），用于解释模型的预测结果，增强模型决策的透明度和可信度。该工作的核心贡献在于：1) 将强化学习中的决斗Q网络引入IDS领域，摆脱对大量标注数据的依赖，能够通过奖励信号自主学习攻击模式；2) 在公开基准上取得了优于传统方法的准确率；3) 通过XAI提供可解释性，便于安全分析师理解模型判断依据。适合对基于强化学习的异常检测、IDS模型演进以及可解释AI在安全中应用感兴趣的研究人员和蓝队工程师阅读。

该论文针对电动汽车充电系统（EVCS）日益与物联网（IoT）设备互联所引入的网络安全风险，提出了一种基于多目标自动化机器学习（MOO-AutoML）的高效入侵检测系统（IDS）。传统基于机器学习的IDS往往依赖人工设计模型，且仅以检测性能为优化目标，忽略了推理延迟与模型大小等实际部署约束。论文所提框架首先采用轻量级训练策略和基于LightGBM的自动特征选择方法，根据累积特征重要性筛选紧凑特征子集；随后利用非支配排序遗传算法III（NSGA-III）联合优化特征选择阈值和LightGBM关键超参数，同时最大化加权F1分数、最小化99百分位推理延迟比例和最小化模型大小比例三个目标。实验基于CICEVSE2024和CICIDS2017两个数据集，结果表明所提MOO-AutoML IDS在保持竞争性加权F1分数的前提下，相比对比方法具有更低的P99推理延迟和更小的模型体积。论文结论认为该方法能够在实际部署约束下支持准确且高效的EVCS与IoT入侵检测。本文的研究问题聚焦于EV充电网络的安全监测效率，核心方法为多目标AutoML框架，主要贡献在于将特征选择与超参数优化联合纳入多目标框架，并同时兼顾检测精度与资源效率。适合智能电网安全、物联网入侵检测以及AutoML应用研究的工程师和学者阅读。

该研究探讨了后量子密码（PQC）集成到TLS 1.3中对手握握握手耗尽攻击和入侵检测系统（IDS）性能的安全影响。PQC虽然能抵御量子攻击，但其计算和通信开销可能加剧握手耗尽型分布式拒绝服务（DDoS）攻击的效果。研究者搭建了一个包含一台PQC-TLS服务器和十台攻击节点的实验平台，生成了超过16.5 GB的混合流量数据，包含合法浏览行为和高强度握手耗尽攻击。实验表明，PQC-TLS使服务器高CPU利用率持续时间延长高达88倍，显著放大了攻击有效性。同时，评估现有深度学习IDS在PQC流量下的检测性能，发现严重下降：exosphere模型的召回率仅约50%，HyperVision的AU-ROC降至接近随机水平（0.49），揭示了PQC环境下IDS的检测盲区。主要贡献包括：系统量化并分析PQC下IDS检测盲区的根本原因；发布包含精确攻击时间戳和服务端资源监控数据的PQC-DDoS混合流量数据集；开源所有实验代码和AWS部署脚本，支持可复现的云端测试环境。该工作旨在帮助学术界和工业界开发下一代PQC感知的入侵检测系统。

该论文研究了在工业专用5G网络环境下，基于机器学习的入侵检测系统（IDS）处理加密OPC UA流量时，良性连接变化对检测性能的影响。作者指出，尽管机器学习IDS在加密工业通信监控中日益普及，但其在真实专用5G操作条件下的表现尚未被充分理解。通过实验，他们发现合法的连接事件（如设备连接/断开、网络切换等）会在无攻击存在时显著增加误报活动。此外，IDS异常评分的高峰往往与控制面（CP）活动周期相重合。研究强调了在工业专用5G环境中解释IDS输出时考虑控制面上下文的重要性。实验基于实际5G测试平台，收集了正常流量和包含连接事件的流量，并使用多种机器学习模型进行评估。主要贡献在于揭示了良性网络事件对IDS的干扰，并提出了未来改进方向，即结合控制面元数据以降低误报。该论文适合工业网络安全研究人员、5G安全工程师以及IDS开发者阅读。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

该论文针对基于RPL的物联网网络入侵检测系统（IDS）进行了改进研究。传统机器学习IDS通常仅依赖路由层特征（如RPL控制消息、路由度量等），但这些特征只能反映网络行为的局部视角，可能限制检测性能。作者提出在LSTM-based IDS中引入无线发射（TX）和接收（RX）的无线电特征，与标准RPL特征集结合，以增强对网络异常活动的感知能力。实验在三种典型攻击场景下进行：DIS泛洪攻击（DIS-Flooding）、本地修复攻击（Local Repair）和最差父节点攻击（Worst Parent），并考虑了不同网络规模（节点数量变化）。使用F1分数作为主要评估指标，结果表明，与仅使用路由层特征的基线相比，加入TX/RX无线电特征使整体检测性能提升了约4%，其中对最差父节点攻击的提升最为显著。该工作表明，多源特征融合（路由+无线电）能有效提高IoT网络入侵检测的准确性和鲁棒性，为实际部署提供了新思路。

该论文探索了使用基础模型（Foundation Models）来检测和识别基于RPL的物联网（IoT）网络中的攻击。研究聚焦于多种攻击类型（包括黑洞攻击、DIS泛洪、最差父节点攻击和本地修复攻击），攻击变体以及网络配置，并评估了基础模型在攻击识别方面的性能。具体而言，作者对MOMENT基础模型进行微调，实现多类攻击识别。评估基于Cooja仿真环境生成的数据集，该数据集包含正常操作以及各类攻击下的RPL相关统计数据。初步结果表明，该方法在攻击检测性能上可与现有最先进方法相媲美，同时在区分不同攻击类型方面表现出色。该研究为基于RPL的IoT网络入侵检测提供了一种新的途径，利用基础模型的迁移学习能力减少了对大量标注数据的依赖。

现代入侵检测系统（IDS）每天产生数千条警报，但大量误报和低影响事件导致警报疲劳，严重制约安全运营效率。本文提出了一种基于亚正态高斯模糊数的警报优先级排序框架，旨在通过显式建模威胁严重性、检测置信度和组织风险态度三种不确定性来源，实现更鲁棒且可解释的优先级排序。在该框架中，每个警报被表示为一个模糊数，其核心代表威胁严重性，扩展代表不确定性，高度代表检测可靠性。通过应用排序索引（ranking indices）对警报进行优先级排序，并引入风险态度参数（risk-attitude parameter），使组织能够灵活调整安全态势，例如选择风险规避、风险中性或风险偏好策略。实验在CIC-IDS2017和NSL-KDD两个基准数据集上开展，分别模拟检测器退化（detector degradation）和鲁棒检测器场景。结果表明，在检测器退化条件下，该框架的NDCGrel@100（归一化折损累计增益，关注前100条警报）达到0.9963，远超基线方法的0.8215，表明其在高误报率下仍能有效识别关键威胁。同时，该框架在低置信度警报区域表现出显著区分度，避免了传统方法中大量中低置信度警报被无差别对待的问题。在鲁棒检测器场景下，其性能与基线方法持平。此外，该框架在理论上有扎实的模糊数学基础，计算复杂度低，能够提供可解释的推理过程（例如可直接展示每个警报的严重性、不确定性和可靠性），并对不同检测器家族和检测概率校准误差（miscalibration）具有鲁棒性。本文为安全运营中心（SOC）分析师提供了一种新颖的警报优先级排序工具，有助于缓解警报疲劳，提升威胁响应效率。

本文提出一个名为XAI FL-IDS的分布式入侵检测系统框架，旨在解决传统集中式IDS存在的两大局限：隐私泄露和缺乏可解释性。当前大多数IDS依赖集中式检测，要求IoT节点将原始数据发送至服务器，不仅增加网络开销，也无法保证数据隐私；同时，传统模型仅报告攻击与否，却不解释特征如何影响决策。作者首先通过联邦学习（FL）实现隐私保护：每个节点在本地训练数据，仅将更新参数（而非原始数据）上传至中央服务器，从而消除数据转移的隐私顾虑。其次，在本地节点和中央服务器两个层级的检测结果上，均使用SHAP（Shapley Additive Explanations）进行可解释性分析，提供决策过程的详细洞察。框架包含一个中央服务器和10个客户端，采用Edge-IIoTset数据集，并在客户端间均衡分布类别。每个客户端运行XGBoost模型。实验表明，该方法在入侵检测中表现稳健，准确率超过99%，有时可达100%。联邦学习的引入保证了每个本地节点网络信息的机密性。本文贡献在于将联邦学习与可解释AI有机结合，为分布式IDS提供了隐私保护与透明度兼具的解决方案。