摘要
用于检测工业控制系统（ICS）中网络威胁的异常检测系统，可能因罕见的正常样本未能被充分学习而遭受性能下降的问题。为了解决这一问题，研究者探讨了各种数据增强方法。然而，现有方法可能基于模型决策边界在未知区域生成数据，或无需增强地扩充分已拥有足够样本的区域。许多现有方法还要求具备异常数据。为应对这些局限性，我们提出了尾部引导的低密度正常数据增强方法（TGLDA），该方法仅使用正常数据即可运行。TGLDA 由一个低密度区域估计器和一个数据生成器组成。它能够识别观测数据分布中样本相对较少的低密度区域，并选择性地对这些区域进行增强。TGLDA 利用特征尾部种子作为在低密度区域中生成样本的启发式起点。基于水处理网络安全数据集的实验表明，与其他数据增强方法相比，TGLDA 能够成功生成聚焦于低密度区域的数据。当将各增强方法应用于基线异常检测模型时，TGLDA 在所有模型上均取得了最高的准确率和 F1 分数。这些结果表明，TGLDA 能够在仅有正常数据可用的真实工业控制系统环境中，有效缓解因罕见正常样本不足所引起的问题。
