结合SSPCA和分层检测的高效网络攻击检测方法

《Journal of Cyber Security and Mobility》：Efficient Network Attack Detection Method Combining SSPCA and Layered Detection

　　

摘要：

随着工业控制网络与信息技术的深度融合，高维数据冗余、多阶段攻击掩盖以及类别不平衡等问题导致了传统入侵检测方法效率低下。为此，本文提出了堆叠稀疏主成分分析（SSPCA）和逐步工业控制入侵检测（SSICID）新框架。SSPCA通过稀疏约束和主成分堆叠策略将高维工业控制网络流量数据的维度降低到12个维度，与传统的主成分分析（PCA）相比，准确率提高了62.5%。SSICID采用分层检测架构，在ICS-CERT数据集上实现了98.8%的检测准确率、97.0%的召回率和0.3秒的CPU响应时间，比现有最优模型准确率高4.5%，速度快40%。该模型为工业控制网络中复杂攻击的实时监控提供了有效解决方案，对保障关键基础设施的安全具有重要意义。

1 引言

作为现代工业自动化的核心，工业控制系统（ICS）广泛应用于能源、制造和交通等关键基础设施领域[1]。工业控制网络（ICN）集成了传感器、控制器和执行器，实现了生产过程的实时监控和优化，显著提升了工业效率[2][3]。然而，随着ICS与信息技术的深度融合，ICN的开放性不断增加，使其成为网络攻击的高价值目标。近年来，针对ICN的恶意攻击（如Stuxnet、勒索软件和分布式拒绝服务攻击）频繁发生，导致设备损坏、生产中断甚至安全事件[4][5]。在这种情况下，有效识别ICN中的异常流量和复杂攻击成为确保工业系统安全稳定运行的核心挑战。目前，应对ICN安全威胁的入侵检测方法主要包括传统降维和统计方法、深度学习模型以及混合方法[6][7]。由于ICN流量数据维度较高且特征之间存在强相关性，传统降维方法容易导致关键信息丢失，从而降低检测准确率。正常流量的比例远高于攻击数据的比例。传统分类器对多数类别存在偏见，容易漏检关键攻击事件。同时，多阶段攻击具有隐蔽性和动态演变的特性，单一检测模型难以捕捉其多维特征。因此，本研究旨在构建一个高效高精度的ICN入侵检测模型，将堆叠稀疏主成分分析（SSPCA）算法与逐步工业控制入侵检测（SSICID）策略相结合。本研究有两个创新点：首先，SSPCA用于保留数据中的重要特征并去除冗余信息，从而提高数据分析的效率和准确性；其次，SSICID方法将入侵检测过程划分为多个步骤，每个步骤针对特定的检测目标和策略，从而提高检测的准确性和实时性能。通过新构建的监控模型，期望为ICS的安全防护提供新的思路和检测方法。本文的贡献在于提出了一种整合SSPCA和SSICID的检测框架，有机结合了稀疏约束、主成分堆叠和分层检测机制，实现了从特征降维到多阶段攻击识别的端到端优化。SSPCA通过稀疏约束和堆叠策略，在降低维度的同时保留了关键区分特征，显著减少了重构误差。此外，SSPCA采用分层检测结合成本敏感机制，动态调整分类权重，有效提升了复杂攻击的识别率和模型鲁棒性。同时，在CS CNN和CS SVM中引入类别成本权重，减轻了分类器对多数类别的偏见。