《Network》：A Simulation-Driven Cybersecurity Framework for Detecting Novel Multi-Stage Attacks in Cyber-Physical Smart Infrastructure
编辑推荐：
摘要：信息物理智能基础设施集成传感设备、通信网络、控制组件和服务平台，使其容易受到恶意活动的影响，这些活动可能通过多个攻击阶段逐步演变。本研究的目标是开发并评估一种基于仿真的网络安全框架，该框架能够检测所提出的新型多阶段网络攻击，并在逼真的智能基础设施环境中识
摘要：信息物理智能基础设施集成传感设备、通信网络、控制组件和服务平台，使其容易受到恶意活动的影响，这些活动可能通过多个攻击阶段逐步演变。本研究的目标是开发并评估一种基于仿真的网络安全框架，该框架能够检测所提出的新型多阶段网络攻击，并在逼真的智能基础设施环境中识别其内部进展。为实现这一目标，研究人员在NetSim中建模了一种信息物理智能基础设施，以生成正常运营流量和分阶段恶意流量。生成的流量被捕获、处理、标记，并转换为一个阶段感知的网络安全数据集。接着训练并评估了一个人工神经网络（ANN）模型，用于两项检测任务：正常流量与攻击流量的二分类，以及入侵、协调和执行攻击阶段的多分类。研究人员设计了二十种实验配置，以在逐步扩大的基础设施背景下检验模型，包括传感、服务、网关、控制、骨干网和全范围运营场景。最佳二分类测试性能出现在第十八种实验配置中，该配置代表一个广泛的全范围基础设施场景，准确率为97.96%，精确率为97.80%，召回率为97.65%，F1分数为97.72%，假阳性率为1.06%。对于阶段感知的多类检测，ANN模型达到了96.97%的准确率，96.36%的宏平均精确率，96.20%的宏平均召回率，96.28%的宏平均F1分数，以及96.55%的加权F1分数。宏平均指标报告了各类别的未加权平均性能，而加权F1分数则考虑了类别支持度。这些结果表明，所提出的基于仿真的框架能够生成逼真的攻击感知流量数据，并支持可靠的基于ANN的攻击存在性和攻击阶段进展检测。
**论文解读：基于仿真驱动的信息物理智能基础设施新型多阶段攻击检测框架**
**研究背景与问题**
信息物理智能基础设施（Cyber-Physical Smart Infrastructure）通过集成传感设备、通信网络、控制组件和数字服务平台，实现了实时监控、自动决策和高效资源利用，广泛应用于智慧校园、工业设施、医疗系统等领域。然而，这种高度互联和分布式智能也扩大了网络暴露面，增加了恶意攻击的入口点。特别是，攻击行为往往不是瞬间完成的，而是通过多个阶段逐步演变，从初始的入侵尝试，到协调准备，最终达到破坏性执行阶段。这些多阶段攻击行为常常与传感器、网关、服务器等正常流量混杂，使得早期识别极为困难。传统的网络安全机制，如基于签名的入侵检测、规则驱动过滤和固定阈值监控，在面对高度动态和信息物理融合环境时，存在对未知模式检测能力弱、误报率高、泛化能力差等局限性。因此，迫切需要一种能够识别攻击存在性及其内部阶段进展的智能检测框架。
**研究内容与结论**
为解决上述挑战，本研究提出了一种基于仿真驱动的人工神经网络（ANN）网络安全框架，旨在检测新型多阶段网络攻击。研究人员在NetSim仿真平台中构建了一个包含五个运营区域（工程、服务、图书馆、科学、网络运维中心）的逼真信息物理智能基础设施环境，生成了正常的运营流量，并设计了一个从内部攻击者出发、经历入侵（Compromise）、协调（Coordination）和执行（Execution）三阶段的攻击场景。通过捕获和标注流量，生成了一个阶段感知的网络安全数据集。利用该数据集，研究人员训练并评估了ANN模型，包括二分类（正常vs攻击）和多分类（正常、入侵、协调、执行）任务。设计了二十种逐步扩大的实验配置，涵盖传感、服务、网关、控制、骨干网和全范围运营场景。实验结果表明，在最佳配置（全范围场景，E18）下，二分类检测达到97.96%的准确率、97.72%的F1分数和1.06%的假阳性率；阶段感知多类检测达到96.97%的准确率和96.28%的宏平均F1分数。该研究证明了仿真驱动的框架能够生成逼真的攻击感知流量，并支持可靠的ANN多阶段攻击检测。该论文发表在《Network》上。
**主要关键技术方法**
研究人员采用的主要技术方法包括：（1）基于NetSim仿真环境构建信息物理智能基础设施模型，包含传感设备、监控节点、用户终端、服务服务器和内部攻击节点；（2）设计正常流量模型（周期性传感更新、事件驱动用户请求等）和新型三阶段攻击场景（入侵、协调、执行），并在仿真中嵌入攻击执行逻辑；（3）从仿真输出中提取包级、流级、传输控制协议（TCP）级和链路级指标，构建包含48000条记录、80维特征的阶段感知数据集；（4）使用人工神经网络（ANN）进行二分类（正常vs攻击）和多分类（四个阶段）学习，并通过与逻辑回归、决策树、K近邻（KNN）、支持向量机（SVM）、随机森林和长短期记忆网络（LSTM）的对比评估模型性能。
**研究结果**
**Testing Performance（测试性能）**：在二十种实验配置下，ANN模型在未见测试样本上保持稳定判别能力。最佳配置E18下，测试准确率达97.96%，精确率97.80%，召回率97.65%，F1分数97.72%，测试损失降至0.056。从E1到E18所有指标逐步提升，表明模型随基础设施覆盖扩大而改进。
**Binary Detection Performance Analysis（二分类检测性能分析）**：二分类任务中，模型在所有配置下均保持高且均衡的准确率、精确率、召回率和F1分数，假阳性率从E1的1.82%降至E18的1.06%。E18实现最佳平衡，之后E19和E20出现微小下降，表明达到实际饱和区域。
**Stage-Aware Multi-Class Detection Analysis（阶段感知多类检测分析）**：在多类阶段感知设置下，模型性能逐步提升。E18达到最佳：准确率96.97%，宏平均精确率96.36%，宏平均召回率96.20%，宏平均F1分数96.28%，加权F1分数96.55%。宏平均指标间差距小，表明各类别间性能均衡。
**Paired t-Test and Robustness Analysis（配对t检验与鲁棒性分析）**：重复运行统计验证显示，E18的测试准确率（97.96%）显著优于E1至E16（调整后p值<0.05），与E17、E19、E20无显著差异，表明存在饱和区域。窄置信区间和低标准差（0.094–0.221）证实模型稳定性。
**结论与意义**
本研究提出了一个仿真驱动的ANN网络安全框架，用于检测信息物理智能基础设施中的新型多阶段网络攻击。通过二十种逐步扩大的实验配置，证明了框架在二分类和阶段感知多分类任务中的稳健性能。研究结论（翻译自原文）：“本研究提出了一个仿真驱动的基于人工神经网络（ANN）的网络安全框架，用于检测信息物理智能基础设施环境中所提出的新型多阶段网络攻击。所开发的框架将基础设施感知的流量生成、分阶段恶意行为建模、结构化数据采集、特征工程、监督式ANN学习和多级性能评估整合在一个统一的实验流程中。该工作的一个关键贡献在于构建了二十种逐步扩大的实验配置，这些配置捕捉了基础设施覆盖范围、服务交互、阶段时序和运营复杂性的变化，从而能够在多样化条件下对所提出模型进行稳健评估。报告的结果证实，所开发的ANN在二分类和阶段感知多类设置中均实现了强劲且稳定的性能。在二分类设置中，该框架在E18处达到最佳结果，准确率为97.96%，F1分数为97.72%，假阳性率低至1.06%；而在相同配置下，多类设置实现了96.97%的准确率和96.28%的宏平均F1分数。训练、验证和测试分析进一步展示了平滑收敛、窄训练-验证差距、有限统计离散度以及小的最佳-最差性能差距，证实了泛化能力和运营鲁棒性。此外，分组和鲁棒性分析表明，性能改进保持渐进且可控，在更广泛的基础设施场景下仅有边际变化，表明存在实际饱和区域而非不稳定行为。这些发现表明，所提出的框架为智能基础设施网络中新型多阶段网络攻击的智能检测提供了一个有效且可复现的基础。未来工作可将此框架扩展到实时部署、跨拓扑验证、混合深度学习架构以及更具弹性的信息物理保护自适应防御机制。”
