工业场景下基于证据溯源的入侵检测系统评估范围探讨
密码学与安全
2026-03-25 v1
摘要
证据溯源入侵检测系统（PIDS）已广泛用于检测高级持久性威胁（APTs）。尽管许多研究在原论文中实现了高性能，但在工业场景中的实际表现尚不明了。为填补这一空白，我们进行了PIDS在工业场景下的首次系统评估与分析。我们首先分析了DARPA数据集与工业场景数据之间的差异，识别出三项在行业中新的特征：异构多源输入、更强大的攻击者以及日益复杂的良性活动。随后我们构建了多个数据集以评估五种最先进的PIDS。评估结果揭示了现有PIDS面临的挑战，包括在不同主机和平台之间的poor可移植性、针对真实世界攻击的低检测性能以及随着良性活动不断变化导致的高误报率。基于评估结果和我们的工业实践，我们提供了若干见解来解决或解释上述问题。例如，我们提出一种方法可缓解高误报问题，其可减少2/3的手动工作量。最后，我们提出了若干研究建议以改进PIDS。
引用
@article{arxiv.2603.22982,
title = {How Far Should We Need to Go : Evaluate Provenance-based Intrusion Detection Systems in Industrial Scenarios},
author = {Yue Xiao and Ling Jiang and Sen Nie and Ding Li and Shi Wu and Ke Xu and Qi Li},
journal= {arXiv preprint arXiv:2603.22982},
year = {2026}
}