通过规则集学习解释工业控制系统中的入侵检测机制

《IEEE Networking Letters》：Explaining Intrusion Detection in Industrial Control Systems Through Rule Set Learning

针对工业控制系统网络安全威胁加剧的问题，本文提出一种融合深度学习和神经符号表示的入侵检测方法。该方法通过深度神经网络自动生成候选规则，结合启发式搜索策略优化可解释性，同时保持检测有效性。实验表明，该方法在公开数据集上检测准确率高且误报率低，具备工业部署潜力。

　　

摘要：

随着工业控制系统网络环境开放程度的不断提高，网络安全威胁也日益严重。虽然基于规则的入侵检测方法仍被广泛使用，但这些方法受到专家知识的依赖性和规则生成复杂性的限制，从而阻碍了有效的响应。相比之下，深度学习在从大规模数据中捕捉复杂攻击模式方面展现出了强大的能力，但其缺乏可解释性给在安全关键工业环境中的部署带来了重大挑战。为了解决这些挑战，本文提出了一种将深度学习与神经符号表示相结合的新方法，以实现自动化和高质量的入侵检测规则生成。具体而言，该方法利用深度神经网络学习与攻击行为高度相关的候选规则集，然后采用启发式搜索策略来提高规则的可解释性，同时保持检测效果。在两个公共数据集上的实验表明，生成的规则具有较高的检测准确率且误报率较低，同时保持了简洁性和清晰性，这凸显了其在实际工业环境中的巨大应用潜力。

引言

工业控制系统（ICS）对现代工业过程的自动化和安全至关重要[1]。随着互联网技术的日益普及，ICS变得越来越互联和智能化，但也更加脆弱。传统网络边界的模糊化极大地增加了它们遭受网络攻击的风险。由于ICS具有基础性和战略性的重要性，它们已成为网络攻击的主要目标。来自领先网络安全平台的最新报告显示，2024年4月，一个乌克兰黑客组织对俄罗斯的网络运营中心发起了基于恶意软件的攻击[2]。在这种情况下，入侵检测系统（IDS）通过持续监控网络流量和设备行为，在识别异常活动中发挥着关键作用[3]、[4]。