现如今,随着互联网技术的高度发展,各行各业都逐步拥抱互联网技术,为自己的产业赋能。依托着5G、云计算、大数据等先进技术,互联网行业给传统行业带来了深刻的变革,极大地便利了人民的生活。由此,各种工业基础设施都在进行信息化改造,如石油、电力和铁路行业,他们是国家工业信息化建设的重要基石。然而,随着各个工业基础设施中的工业控制系统接入互联网,也带来了潜在的风险。当今世界政治格局动荡不安,各种隐藏于暗处的国家黑客组织蠢蠢欲动,他们的目标正是各国的工业基础设施中的工业控制系统。工业控制系统是工业基础设施的心脏,一旦遭受攻击沦陷,后果不堪设想。因此,国家重要工业基础设施必须拥有多重安全防护。当今我国工业基础设施中的工业计算机大多数为国产Linux系统主机,因此本文对基于系统调用的工业控制系统Linux主机入侵检测方法进行了研究,研究工作如下:将SVM和KNN算法结合,实现了两阶段混合SVM-KNN分类器。并且,将模式匹配和两阶段混合SVM-KNN分类器相结合,提出了混合多阶段检测策略。为了提升检测效率,本文提出了黑名单规则自学习方法,操作在被分类器判定为入侵行为后,相应的系统调用序列会被加入黑名单规则库,之后对于相同的入侵操作,通过模式匹配即可迅速识别威胁。同时,应用增量学习方法使得系统获得自增式学习能力,增强其泛化能力。本文根据提出的方法实现了一套基于系统调用的Linux主机入侵检测系统。该系统基于国产化硬件平台和操作系统开发,针对工业控制系统环境进行设计。系统采用客户端服务器架构,由部署在工业控制系统主机上的Agent、单独部署的入侵检测服务器和部署在管理员工作站上的管理员客户端组成。系统重视自身的安全性,通过双因子认证保障系统无法被暴力破解密码,通过配置文件自保护保障恶意程序无法篡改系统配置信息,通过进程自保护保障系统无法杀死系统进程。