该研究探讨了后量子密码（PQC）集成到TLS 1.3中对手握握握手耗尽攻击和入侵检测系统（IDS）性能的安全影响。PQC虽然能抵御量子攻击，但其计算和通信开销可能加剧握手耗尽型分布式拒绝服务（DDoS）攻击的效果。研究者搭建了一个包含一台PQC-TLS服务器和十台攻击节点的实验平台，生成了超过16.5 GB的混合流量数据，包含合法浏览行为和高强度握手耗尽攻击。实验表明，PQC-TLS使服务器高CPU利用率持续时间延长高达88倍，显著放大了攻击有效性。同时，评估现有深度学习IDS在PQC流量下的检测性能，发现严重下降：exosphere模型的召回率仅约50%，HyperVision的AU-ROC降至接近随机水平（0.49），揭示了PQC环境下IDS的检测盲区。主要贡献包括：系统量化并分析PQC下IDS检测盲区的根本原因；发布包含精确攻击时间戳和服务端资源监控数据的PQC-DDoS混合流量数据集；开源所有实验代码和AWS部署脚本，支持可复现的云端测试环境。该工作旨在帮助学术界和工业界开发下一代PQC感知的入侵检测系统。

该论文研究了在工业专用5G网络环境下，基于机器学习的入侵检测系统（IDS）处理加密OPC UA流量时，良性连接变化对检测性能的影响。作者指出，尽管机器学习IDS在加密工业通信监控中日益普及，但其在真实专用5G操作条件下的表现尚未被充分理解。通过实验，他们发现合法的连接事件（如设备连接/断开、网络切换等）会在无攻击存在时显著增加误报活动。此外，IDS异常评分的高峰往往与控制面（CP）活动周期相重合。研究强调了在工业专用5G环境中解释IDS输出时考虑控制面上下文的重要性。实验基于实际5G测试平台，收集了正常流量和包含连接事件的流量，并使用多种机器学习模型进行评估。主要贡献在于揭示了良性网络事件对IDS的干扰，并提出了未来改进方向，即结合控制面元数据以降低误报。该论文适合工业网络安全研究人员、5G安全工程师以及IDS开发者阅读。

本文针对基于机器学习的入侵检测系统（IDS）面临的对抗性攻击威胁，提出了一种名为SHIELD-IDS的防御框架。现有研究如IDS-Anta通过Z-score归一化、奇异值分解（SVD）和多臂赌博机（MAB）选择分类器来部分缓解攻击，但其分类器池缺乏结构多样性，导致对抗鲁棒性不足。为此，作者提出了IDS-Anta++，在集成中加入XGBoost和LightGBM梯度提升模型，并设计了三层黑盒防御：隔离森林异常检测、中位数特征平滑和六元多数投票。在CIC-IDS-2017、CEC-CIC-IDS-2018和CIC-DDoS-2019数据集上，分别采用快速梯度符号法（FGSM）和零阶优化（ZOO）攻击进行测试。结果表明，在干净数据上检测准确率超过99%，在对抗条件下相比基线IDS-Anta框架具有可量化的鲁棒性提升。这一方法通过结构异构集成和分层防御，在不依赖白盒访问的情况下增强了IDS的对抗鲁棒性。

该论文针对基于RPL的物联网网络入侵检测系统（IDS）进行了改进研究。传统机器学习IDS通常仅依赖路由层特征（如RPL控制消息、路由度量等），但这些特征只能反映网络行为的局部视角，可能限制检测性能。作者提出在LSTM-based IDS中引入无线发射（TX）和接收（RX）的无线电特征，与标准RPL特征集结合，以增强对网络异常活动的感知能力。实验在三种典型攻击场景下进行：DIS泛洪攻击（DIS-Flooding）、本地修复攻击（Local Repair）和最差父节点攻击（Worst Parent），并考虑了不同网络规模（节点数量变化）。使用F1分数作为主要评估指标，结果表明，与仅使用路由层特征的基线相比，加入TX/RX无线电特征使整体检测性能提升了约4%，其中对最差父节点攻击的提升最为显著。该工作表明，多源特征融合（路由+无线电）能有效提高IoT网络入侵检测的准确性和鲁棒性，为实际部署提供了新思路。

该论文探索了使用基础模型（Foundation Models）来检测和识别基于RPL的物联网（IoT）网络中的攻击。研究聚焦于多种攻击类型（包括黑洞攻击、DIS泛洪、最差父节点攻击和本地修复攻击），攻击变体以及网络配置，并评估了基础模型在攻击识别方面的性能。具体而言，作者对MOMENT基础模型进行微调，实现多类攻击识别。评估基于Cooja仿真环境生成的数据集，该数据集包含正常操作以及各类攻击下的RPL相关统计数据。初步结果表明，该方法在攻击检测性能上可与现有最先进方法相媲美，同时在区分不同攻击类型方面表现出色。该研究为基于RPL的IoT网络入侵检测提供了一种新的途径，利用基础模型的迁移学习能力减少了对大量标注数据的依赖。

现代入侵检测系统（IDS）每天产生数千条警报，但大量误报和低影响事件导致警报疲劳，严重制约安全运营效率。本文提出了一种基于亚正态高斯模糊数的警报优先级排序框架，旨在通过显式建模威胁严重性、检测置信度和组织风险态度三种不确定性来源，实现更鲁棒且可解释的优先级排序。在该框架中，每个警报被表示为一个模糊数，其核心代表威胁严重性，扩展代表不确定性，高度代表检测可靠性。通过应用排序索引（ranking indices）对警报进行优先级排序，并引入风险态度参数（risk-attitude parameter），使组织能够灵活调整安全态势，例如选择风险规避、风险中性或风险偏好策略。实验在CIC-IDS2017和NSL-KDD两个基准数据集上开展，分别模拟检测器退化（detector degradation）和鲁棒检测器场景。结果表明，在检测器退化条件下，该框架的NDCGrel@100（归一化折损累计增益，关注前100条警报）达到0.9963，远超基线方法的0.8215，表明其在高误报率下仍能有效识别关键威胁。同时，该框架在低置信度警报区域表现出显著区分度，避免了传统方法中大量中低置信度警报被无差别对待的问题。在鲁棒检测器场景下，其性能与基线方法持平。此外，该框架在理论上有扎实的模糊数学基础，计算复杂度低，能够提供可解释的推理过程（例如可直接展示每个警报的严重性、不确定性和可靠性），并对不同检测器家族和检测概率校准误差（miscalibration）具有鲁棒性。本文为安全运营中心（SOC）分析师提供了一种新颖的警报优先级排序工具，有助于缓解警报疲劳，提升威胁响应效率。

本文提出一个名为XAI FL-IDS的分布式入侵检测系统框架，旨在解决传统集中式IDS存在的两大局限：隐私泄露和缺乏可解释性。当前大多数IDS依赖集中式检测，要求IoT节点将原始数据发送至服务器，不仅增加网络开销，也无法保证数据隐私；同时，传统模型仅报告攻击与否，却不解释特征如何影响决策。作者首先通过联邦学习（FL）实现隐私保护：每个节点在本地训练数据，仅将更新参数（而非原始数据）上传至中央服务器，从而消除数据转移的隐私顾虑。其次，在本地节点和中央服务器两个层级的检测结果上，均使用SHAP（Shapley Additive Explanations）进行可解释性分析，提供决策过程的详细洞察。框架包含一个中央服务器和10个客户端，采用Edge-IIoTset数据集，并在客户端间均衡分布类别。每个客户端运行XGBoost模型。实验表明，该方法在入侵检测中表现稳健，准确率超过99%，有时可达100%。联邦学习的引入保证了每个本地节点网络信息的机密性。本文贡献在于将联邦学习与可解释AI有机结合，为分布式IDS提供了隐私保护与透明度兼具的解决方案。

本文针对CAN总线（控制器局域网）系统中基于到达时间差（TDoA）的入侵检测方法进行了安全性分析，并提出了一种新的防御机制EdgeTDC。CAN总线是车辆内部通信的标准协议，最初设计时主要考虑鲁棒性和安全性，但缺乏消息认证等安全特性。由于汽车供应商需要保证互操作性，制造商大多依赖已有数十年的标准（ISO 11898），引入MAC（消息认证码）改变格式不切实际。因此，研究人员提出了基于物理层特征的CAN总线入侵检测系统（IDS），通过测量帧的时序、电压电平、瞬态等特征来对消息进行发送者归属。其中，TDoA方法是最新的一种。本文首先揭示了已有TDoA方法容易受到新型欺骗和投毒攻击，并描述了如何修复这些方案。然后，作者提出了自己的方法EdgeTDC。与现有方法不同，EdgeTDC不依赖高采样率和高动态范围的模数转换器（ADC）来捕获信号样本级别的粒度，而是使用时间数字转换器（TDC）来检测边沿并测量其时序。尽管实现成本低廉，TDC具有低延迟、高位置精度以及能够测量帧中每个边沿（上升沿和下降沿）的能力。测量每个边沿使得模拟采样变得冗余，并允许计算统计量，甚至能够检测对消息部分内容的篡改。通过大量实验，作者证明了EdgeTDC能够成功抵御现代车辆CAN系统中的伪装攻击。本文的核心贡献在于：1）揭示了现有TDoA方法的脆弱性；2）提出了低成本、高精度的EdgeTDC方法；3）通过实验验证了其有效性。该研究对汽车安全领域，特别是CAN总线入侵检测系统的设计和部署具有重要指导意义。适合汽车安全研究人员、自动驾驶系统安全工程师以及CAN总线入侵检测系统开发者阅读。