异常检测器的检测延迟：一个被忽视的视角？

不断演变的攻击态势，加上 ICT 系统日益增长的复杂性，使得构建基于异常的入侵检测器（ID）和错误检测器（ED）成为一项艰巨的任务：它们必须准确检测攻击，并且应迅速执行检测。尽管提高和比较检测能力是大多数研究工作的重点，但检测的及时性却较少被考虑，且往往评估或讨论不足。在本文中，我们论证了衡量攻击和错误时间延迟的相关性，并提出了一种检测器评估方法，以确保在正确检测和及时检测之间取得务实的权衡。简而言之，该方法将误报率与攻击和错误的时间延迟联系起来，这最终会形成配置检测器的指导原则。我们通过评估两个工业案例中的不同 ED 和 ID 解决方案来应用我们的方法：i) 一个优化公共交通的嵌入式铁路车载系统，以及 ii) 一个用于工业物联网的边缘设备。我们的结果表明，除了误报率、精确率和覆盖率等传统指标外，考虑延迟为检测器的实际性能提供了一个额外的基本视角，在评估和配置异常检测器时应予以考虑。