文章总结： USENIXSecurity25会议论文提出GECO方法，旨在平衡工业入侵检测的自动化与可解释性。GECO通过自动推导物理状态转移方程，用数学方程描述传感器/执行器正常行为，基于预测值与实际值偏差检测攻击。评估显示其性能与专家规则相当，但训练耗时较长，在复杂场景下实用性受限。未来需优化搜索策略或引入先验知识以降低计算开销。 综合评分： 84 文章分类： 应急响应,安全运营,漏洞分析,安全意识,实战经验

USENIX Security 25’会议论文解读丨工业入侵检测如何避开“黑盒化”？从GeCos看自动化与可解释性之间的平衡

原创

曹琰；安桂林 曹琰；安桂林

信息网络安全杂志

2026年7月2日 14:10 上海

在小说阅读器读本章

去阅读

引子

工业控制系统（Industrial Control Systems, ICS）广泛应用于各类关键基础设施中，攻击者可以通过操纵传感器读数、执行器状态或控制逻辑，进而造成物理世界中的实际损害。然而，面向ICS的入侵检测系统（Industrial Intrusion Detection System，IIDS）设计仍存在矛盾：基于专家知识编写规则检测的可解释性较强，但需要大量人工工作；基于深度学习等数据驱动的检测方法便于部署和迁移，但IIDS产生的告警可解释性较低。IIDS究竟应该采用哪种方案，Konrad Wolsing等人在USENIX Security 25’会议提出的GECO给出了另一种折中的答案……

论文速览

为了在实现自动化与可解释性之间取得平衡，Konrad Wolsing等人提出了GECO，一种能够自动推导物理状态转移方程的可解释工业入侵检测方法。GECO能够根据历史过程数据自动挖掘可解释的状态空间模型，用数学方程描述每个传感器/执行器的正常物理行为，再通过“预测值—实际值”的偏差来发现攻击，以在保持高检测性能和适用于各种工业领域的通用性的同时，最小化操作人员的人工工作量。最后，在与最先进的5个IIDS和4个数据集上进行的评估表明，GECO在具有较高性能的同时，仍具有可解释性，并与专家制定的规则表现相当。

深度剖析

由于集成电路的传感器和执行器测量属于相关物理过程的值，不同组件的数据经常相互耦合。假设一个组件受到损害，即其数据偏离正常模式，可以通过基于相关组件子集计算预期数据来识别。因此，GECO的核心思想为将给定ICS中每个组件的良性行为表示为传感器测量和执行器状态的线性或非线性组合。基于此数学模型，可以预测未来组件的行为，并将其与当前观察到的测量结果进行比较，从而检测一个或多个组件的危害。

GECO首先将ICS的正常物理运行过程表示成一组可解释的状态转移方程，将ICS建模为：

其中，xt为当前时刻的系统状态，即传感器检测到的值。ut为控制输入，即执行器、阀门等控制变量。A和B为基于当前观测值的两个矩阵函数。A矩阵模拟了未受干扰条件下的物理过程。例如，虽然水箱的水位在没有水流入或流出的情况下保持恒定，但在一个加热系统中，热量会随着时间损失，这代表控制系统在没有执行操作的情况下发生了物理量的变化。本文仅根据当前状态对未受干扰条件的变化进行建模。经简化，A矩阵采用对角矩阵的形式：

当矩阵中某变量值为1时，可以表示不受控制的水位保持恒定，值<1可以表示在没有外部加热的情况下温度下降。

另一方面，B矩阵描述了控制输入对系统的影响。准确描述A和B可以在任意时刻预测ICS的行为。因此，与预测结果之间的任何重大偏差（除了噪声或不准确之外）都可以被假定为GECO试图检测的异常。

GECO单独考虑每个过程值的状态空间模型，并将第i个过程值的状态转换函数称为Fi。因此，GECO的主要任务是逼近这些状态转换函数，A矩阵的近似值能够给出如下形式的状态转换函数：

其中B(ut-1)是由控制输入引起的变化，为了确定特定过程的B(ut-1)，GECO需要全面地测试哪个函数模板最能描述从xt-1到xt的状态转换，因此，通过最小二乘优化算法对每个势函数进行参数（a和b）拟合，并根据训练数据的最小均方误差跟踪最佳拟合。每个过程值的最佳函数提供了在攻击检测阶段使用的状态空间模型。

对于异常检测，GECO通过计算绝对残差IIxt-x^tII，将预测状态x^t与后来实测的实际物理状态xt进行比较。此外，GECO还使用了变化检测算法CUmulative SUM (CUSUM)来考虑残差随时间的变化。它能随着时间累积相对于特定目标平均值的偏差，并在累积总和超过预定义阈值时发出警告。通过这种方式，可以更好地检测小的渐进式偏差，并且可以补偿建模和挖掘步骤中由噪声或不准确性引入的预测误差，以进行更精确的异常检测。

在对比评估实验中，与目前其他最先进的工作相比，GECO在多数指标和数据集上的表现优于平均水平。

局限与展望

虽然GECO已经在自动化与可解释性之间取得了相对较好的平衡，但在复杂工业场景的实际部署中仍面临挑战。GECO在挖掘变量间的物理关联时，依赖于对组合空间的穷举搜索。然而，在处理包含122个过程变量的WADI复杂数据集时，即便在配备128线程CPU的高性能计算平台上，模型训练耗时仍长达46.9天，过长的初始训练周期限制了其工程实用性。未来的研究方向在于探索高效的搜索策略或引入先验物理拓扑约束来降低计算开销，从而提升该方法在大规模工业场景下的实用性。

写在最后

ICS入侵检测不能只关注算法指标，也要关注工业现场能否部署、报警能否被工程师理解。未来的关键，或许不只是设计更强的检测算法，而是形成一套“少人工、可解释、可迁移、易验证”的快速部署方法。

点评专家：曹琰（郑州大学网络空间安全学院   教授）

安桂林（郑州大学网络空间安全学院   硕士研究生）

原文标题：GeCos Replacing Experts: Generalizable and Comprehensible Industrial Intrusion Detection

原文作者：Konrad Wolsing, Eric Wagner, Luisa Lux, Klaus Wehrle, Martin Henze

期刊/会议：USENIX Security Symposium 2025

DOI：https://www.usenix.org/conference/usenixsecurity25/presentation/wolsing

版权与来源声明：本文依据《中华人民共和国著作权法》第二十四条之规定，为介绍、评选之目的，在此适当引用。原文版权归原作者所有。

信息网络安全

《信息网络安全》创刊于2001年，是由公安部主管，公安部第三研究所、中国计算机学会主办，面向国内外公开发行的国内首批信息安全类期刊之一，于2015年成为中国科技核心期刊，2017年成为中国科学引文数据库来源期刊，2018年成为中文核心期刊，2022年入选CCF计算领域高质量科技期刊分级目录。

中文核心期刊

中国科技核心期刊

中国科学引文数据库来源期刊

CCF计算领域高质量科技期刊

我们在不断努力和完善中，期待您的关注和支持！

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信息网络安全杂志 曹琰；安桂林 曹琰；安桂林《USENIX Security 25’会议论文解读丨工业入侵检测如何避开“黑盒化”？从GeCos看自动化与可解释性之间的平衡》