Application-layer Characterization and Traffic Analysis for Encrypted QUIC Transport Protocol
针对加密QUIC流量分析难题，提出基于规则的算法，利用数据包大小、时间和方向信息，在不解密的情况下推断HTTP请求响应对及多路复用特征，以评估QoE并分类服务。
2023-10-10 cs.CR
Language of Network: A Generative Pre-trained Model for Encrypted Traffic Comprehension
针对加密流量分类中标注数据依赖和攻击变体检测难题，提出基于预训练的生成式模型GBC，采用协议感知分词与提示学习，实现流量生成与分类，F1分数提升5%。
2025-05-26 cs.CR
Generative AI for Encrypted Traffic Analysis: Synthetic Dataset Generation and Classifier Evaluation
该研究针对加密流量分析的数据集不平衡问题，利用生成式AI技术生成高质量合成加密流量数据集，补充真实数据训练分类器，性能达真实数据的93%，并提供完整代码。
2026-08-11 cs.CR
Improving SIEM capabilities through an enhanced probe for encrypted Skype traffic detection
如今，安全信息和事件管理（SIEM）系统在处理互联网服务提供商的关键基础设施的安全问题方面具有重要意义。基本上，SIEM具有两个主要功能：i）收集和聚合来自不同网络设备（路由器、防火墙、入侵检测系统、ad hoc探针等）的日志数据和安全信息，以及ii）通过实现一组相关规则来分析所收集的数据，所述相关规则旨在检测作为加密实时流量的存在的潜在可疑事件。在目前的工作中，作者提出了一个SIEM的增强实现，其中一个特别的重点是通过使用一个特设开发的增强型探头（ESkyPRO）方便地由SIEM本身管理的加密Skype流量的检测。这种增强的探针，能够与部署到SIEM平台中的代理对手进行交互，是通过利用一些机器学习概念来设计的。建议的ad-hoc SIEM的主要目的是将ESkyPRO接收的信息与入侵检测系统（IDS）探测器获得的其他类型的数据相关联，以便尽可能准确地检测加密的Skype流量。
2017-11-01 cs.CR
Towards Practical Encrypted Network Traffic Pattern Matching for Secure Middleboxes
网络功能虚拟化（NFV）促进了可组合软件中间盒的采用。因此，云数据中心成为企业流量处理的主要NFV供应商。由于流量重定向到云的隐私问题，安全中间盒系统（例如，BlindBox）是一种能够直接根据加密规则处理加密数据包的方法。然而，大多数支持基于模式匹配的网络功能的现有系统需要企业网关经由滑动窗口来令牌化分组有效载荷。这样的令牌化引起相当大的通信开销，其对于分组大小可能超过100 $\times$。为了克服这个瓶颈，在本文中，我们提出了第一个带宽有效的加密模式匹配协议的安全中间盒。我们求助于一个原始的对称隐藏向量加密（SHVE），并提出了一个变种，又名SHVE+，以实现恒定和适度的通信成本。为了加快速度，我们设计了加密过滤器，以减少在匹配过程中对SHVE+的访问次数。我们正式确定我们提出的协议的安全性，并对现实世界的规则集和流量转储进行全面评估。实验结果表明，我们的设计可以在100 $μ$ s内检测超过20k条规则的数据包。与现有的工作相比，它节省了$94\%$的带宽消耗。
2021-03-21 cs.CR
Interpretable Anomaly Detection in Encrypted Traffic Using SHAP with Machine Learning Models
本研究提出一个结合多种机器学习分类器与SHAP的模型无关框架，用于加密流量异常检测，在三个基准数据集上验证，实现了高精度检测并增强模型可解释性。
2025-05-22 cs.CR
Encrypted DNS --> Privacy? A Traffic Analysis Perspective
实际上，每一个与互联网服务的连接都是在没有任何流量级保护的情况下进行DNS查找，从而实现操纵、重定向、监视和审查。为了解决这些问题，Google和Cloudflare等大型组织正在部署最近标准化的协议，这些协议可以加密最终用户和递归解析器（如DNS-over-TLS（DoT）和DNS-over-HTTPS（DoH））之间的DNS流量。在本文中，我们研究加密DNS流量是否可以保护用户免受基于流量分析的监控和审查。我们提出了一个新的功能集来执行攻击，因为那些用于攻击HTTPS或Tor流量不适合DNS的特性。我们表明，流量分析可以在封闭和开放世界设置中高精度地识别域，使用的数据比HTTPS流攻击少124倍。我们发现，位置、解析器、平台或客户端等因素确实会降低攻击性能，但它们远不能完全阻止攻击。我们的研究结果表明，基于DNS的审查仍然是可能的加密DNS流量。事实上，我们证明了标准化的填充方案是无效的。然而，Tor --它不能有效地减轻对Web流量的流量分析攻击--是对DoH流量分析的一个很好的防御。
2019-10-06 cs.CR
Extended Abstract: Shaperd: Easily Adoptable Real-Time Traffic Shaper for Fully Encrypted Protocols
University of Waterloo（滑铁卢大学）
本文提出Shaperd，一种用于增强完全加密协议抗检测能力的实时流量整形器，通过实时处理数据包内容，提供低开销的流量控制方案。
2026-04-27 cs.CR
A Smart Home is No Castle: Privacy Vulnerabilities of Encrypted IoT Traffic
被称为物联网（IoT）的专用互联网连接设备和电器的日益普及，带来了新的便利和新的隐私问题。与传统的Web浏览器不同，许多物联网设备都有始终在线的传感器，可以不断监控用户物理环境的细粒度细节，并影响设备的网络通信。被动网络观察者，如互联网服务提供商，可能会分析物联网网络流量，以推断有关用户的敏感细节。在这里，我们检查了四个物联网灵巧家庭设备（Sense睡眠监视器，Nest Cam室内安全摄像头，WeMo交换机和Amazon Echo），发现它们的网络流量率可以揭示潜在的敏感用户交互，即使流量被加密。这些结果表明，需要一种技术解决方案来保护物联网设备所有者的隐私，并且在围绕ISP数据汇集和使用的持续政策辩论中必须考虑物联网特定的问题。
2017-05-18 cs.CR
FG-SAT: Efficient Flow Graph for Encrypted Traffic Classification under Environment Shifts
本文提出 FG-SAT，首个面向环境偏移的端到端加密流量分类方法，通过 Flow Graph 抽象表示流内部结构与节点属性，结合基于 JSD 的特征选择算法与集成 GraphSAGE 和 GAT 的 GraphSAT 分类器，实现鲁棒准确的流量识别，优于现有方法。
2024-08-26 cs.CR
Low-Quality Training Data Only? A Robust Framework for Detecting Encrypted Malicious Network Traffic
针对低质量训练数据导致加密恶意流量检测性能下降的问题，提出RAPIER框架，利用正常与恶意数据在特征空间的分布差异增强数据并纠正标签噪声，在公开及真实数据集上显著提升F1分数。
2023-09-09 cs.CR
M3S-UPD: Efficient Multi-Stage Self-Supervised Learning for Fine-Grained Encrypted Traffic Classification with Unknown Pattern Discovery
提出M3S-UPD多阶段自监督框架，通过四阶段迭代整合半监督学习与表示分析，实现少样本加密流量分类和零样本未知模式发现，性能优于现有方法。
2025-05-27 cs.CR
Comparative Evaluation of VAE, GAN, and SMOTE for Tor Detection in Encrypted Network Traffic
Vellore Institute of Technology（维洛尔理工大学）
本文对比了 VAE、GAN 和 SMOTE 在加密网络流量检测中的性能，发现 VAE 在隐私与性能之间取得最佳平衡，GAN 保真度高但易过拟合，SMOTE 提高召回率但多样性不足。
2026-01-03 cs.CR
HTTPS Event-Flow Correlation: Improving Situational Awareness in Encrypted Web Traffic
在当前HTTPS占主导地位的网络流量中，实现态势感知是一个具有挑战性的过程。在本文中，我们提出了一种新的方法来加密的Web流量监测。首先，我们设计了一种基于主机和网络监控数据的关联方法，该方法基于它们的共同特征和关联时间窗。然后，我们详细分析相关性结果，以确定Web服务器和监控基础设施的配置，产生负面影响的相关性。我们描述了这些属性和可能的数据预处理技术，以尽量减少它们对相关性能的影响。此外，为了测试关联方法在不同Web服务器设置和最新加密协议中的行为，我们通过将关联功能调整为TLS 1.3和QUIC来对其进行修改。最后，我们从校园网收集的数据集上的相关性方法进行评估。结果表明，虽然相关性需要监控自定义事件和流功能，但即使使用为不久的将来设计的加密协议，它仍然是可行的。
2022-06-22 cs.CR
Facing Unknown: Open-World Encrypted Traffic Classification Based on Contrastive Pre-Training
针对开放世界下加密流量分类的挑战，提出基于对比预训练的OWCP框架，通过生成对抗网络合成未知流量并调整分类器，在三个数据集上显著优于现有方法。
2023-08-31 cs.CR
The Colossus with Feet of Clay: Debunking Encrypted Traffic Classifiers under PQC Evolution
School of Cyber Science and Technology, Beihang University（北京航空航天大学网络空间安全学院）；Zhongguancun Laboratory（中关村实验室）；School of Information Engineering, Ningxia University（宁夏大学信息工程学院）
该研究针对后量子密码演化下的加密流量分类器，发现PQC会改变流量中可学习的网站信息呈现方式，使域内表现好的分类器跨域不可靠，进而提出需重视跨域鲁棒性的研究方向。
2026-08-25 cs.CR
Robust Machine Learning for Encrypted Traffic Classification
桌面和笔记本电脑可能被恶意利用来侵犯隐私。在本文中，我们考虑了针对特定用户的被动攻击者与可能是敌对对手的用户之间的日常战斗。在这种情况下，攻击者试图通过暗中监视受害者加密的网络流量来选择最佳矢量攻击，以识别用户参数，如操作系统（OS），浏览器和应用程序。用户可以使用诸如虚拟专用网络（VPN）之类的工具或者甚至改变协议参数来保护他/她的隐私。我们为此任务提供了一个包含20，000多个示例的大型数据集。我们运行了一套全面的实验，实现了高（85以上）的分类准确率，鲁棒性和弹性的变化功能作为一个功能的不同的网络条件在测试时。我们还显示了一个小的训练集的准确性的影响。
2020-07-20 cs.CR
Impact of Benign Connectivity Variations on Intrusion Detection for Encrypted OPC UA Traffic in Industrial Private 5G Networks
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用科技大学）；ipoque GmbH（ipoque有限公司）
研究工业专用5G网络中良性连接变化对加密OPC UA流量的机器学习入侵检测系统的影响，通过实验发现合法连接事件会增加误报，且异常分数升高与控制平面活动有关，强调解释入侵检测输出时考虑控制平面上下文的重要性。
2026-07-13 cs.CR
CBSeq: A Channel-level Behavior Sequence For Encrypted Malware Traffic Detection
针对加密恶意软件变体导致误报高、未知流量检测难的问题，本文提出 CBSeq，利用相似通道的侧信道内容构建行为序列，并以 MSFormer 融合多序列捕获内在关联，提升已知与未知恶意软件流量检测性能。
2023-07-18 cs.CR
ByteSGAN: A Semi-supervised Generative Adversarial Network for Encrypted Traffic Classification of SDN Edge Gateway in Green Communication Network
随着绿色通信网络的快速发展，网络流量数据的种类和数量也相应增加。网络流量分类是网络管理和安全领域的一项重要研究任务，它不仅有助于提高网络资源的细粒度分配，而且可以实现策略驱动的网络管理。同时，SDN和边缘计算的结合可以利用SDN的网络范围的全局可扩展性和边缘计算的低延迟和良好的隐私保护。然而，捕获大型标记数据集是一项繁琐且耗时的手工劳动。半监督学习是克服这个问题的合适技术。考虑到这一点，我们提出了一种基于生成对抗网络（GAN）的半监督学习加密流量分类方法，称为\emph{ByteSGAN}，嵌入SDN边缘网关，以实现细粒度的流量分类目标，以进一步提高网络资源利用率。ByteSGAN通过半监督学习的方式修改常规GAN神经网络的结构和损失函数，仅使用少量的已标记流量样本和大量的未标记流量样本就能实现良好的流量分类性能。基于公共数据集"ISCX 2012 VPN-nonVPN"的两个实验结果表明，ByteSGAN可以有效地提高流量分类器的性能，并且优于CNN等其他监督学习方法。
2021-03-09 cs.CR
Things that Matter -- Identifying Interactions and IoT Device Types in Encrypted Matter Traffic
Eindhoven University of Technology（埃因霍温理工大学）；Bitdefender（比特(defender)）
本文研究了在加密Matter流量中通过被动攻击识别交互和设备类型的可能性，发现即使在存在数据包丢失和延迟的情况下，也能以超过95%的准确率识别特定交互，并以至少88%的准确率识别设备类型。
2026-06-29 cs.CR
Classification of Encrypted IoT Traffic Despite Padding and Shaping
众所周知，当物联网流量未加密时，可以根据其TCP/IP报头识别活动设备。当流量被加密时，数据包的大小和时间仍然可以用来加密。为了抵御这种指纹，引入了流量填充和整形。在本文中，我们证明了当使用整形和填充时，数据包大小分布仍然可以用于成功地对活动的物联网设备进行指纹识别，只要对手知道这些缓解措施已经部署，即使填充和整形参数的值是未知的。我们在分析中使用的主要工具是数据包大小的完整分布，而不是常用的统计数据，如均值和方差。我们进一步展示了一个外部对手如何只看到填充和整形流量的聚合和隐藏在NAT中间盒后面，可以准确地识别活动设备的子集，召回率和精度至少为96%。我们还表明，对手可以区分的时间窗口，只包含虚假的覆盖数据包的窗口与真正的设备活动，粒度为$1sec$时间窗口，81%的准确性。使用类似的方法，但现在在防御者方面，我们也能够检测由于Mirai蠕虫导致的物联网流量中的异常活动。
2021-10-21 cs.CR
PacketCGAN: Exploratory Study of Class Imbalance for Encrypted Traffic Classification Using CGAN
随着深度学习在图像处理、计算机视觉和自然语言处理领域的应用越来越广泛，研究人员开始将深度学习应用于加密流量分类问题。虽然这些方法可以自动提取流量特征，克服传统分类方法如DPI在特征工程方面的困难，但需要大量的数据来学习各种类型流量的特征。因此，分类模型的性能往往与数据集的质量密切相关。然而，数据集的构建是一项耗时且昂贵的任务，尤其是加密的交通数据。显然，收集那些不受欢迎的加密应用的大量流量样本往往比众所周知的更困难，这导致数据集中主要和次要加密应用之间的类别不平衡问题。在本文中，我们提出了一种新的交通数据增强方法称为PacketCGAN使用条件GAN。PacketCGAN作为一种生成模型，利用CGAN的优点生成指定的流量，以解决数据集不平衡的问题。作为概念证明，采用卷积神经网络（CNN）等三种经典DL模型，并基于两个公共数据集ISCX 2012和USTC-TFC 2016，分别设计用于对随机过采样（ROS），SMOTE（合成少数过采样技术），vanilla GAN和PacketCGAN增强的四种加密流量数据集进行分类。实验结果表明，基于DL的加密流量分类器在PacketCGAN增强的数据集上可以获得更好的性能。
2019-11-27 cs.CR eess.SP
CONTEX-T: Contextual Exploitation of Encrypted Traffic for Device Fingerprinting via Transformer Time-Frequency Analysis
Queen’s University（女王大学）
本文提出CONTEX-T框架，利用加密流量元数据中的设备级信息，通过时频分析和视觉变换器实现高精度设备分类，揭示了加密流量中持久的时频特征，为物联网安全提供了新的研究方向。
2026-04-15 cs.CR
DecETT: Accurate App Fingerprinting Under Encrypted Tunnels via Dual Decouple-based Semantic Enhancement
针对加密隧道下应用指纹识别性能不佳的问题，提出DecETT方法，通过引入TLS语义锚点增强应用特征，并利用双重解耦模块分离隧道特征，在五种加密隧道上超越现有方法。
2025-04-22 cs.CR
Padding Ain't Enough: Assessing the Privacy Guarantees of Encrypted DNS
DNS over TLS（DoT）和DNS over HTTPS（DoH）加密DNS，通过向被动攻击者隐藏DNS解析来保护用户隐私。然而，过去的攻击表明，加密的DNS仍然对流量分析敏感。因此，RFC 8467建议在加密之前填充消息，这大大降低了加密流量的特性。在本文中，我们表明，填充单独是不足以对抗DNS流量分析。我们提出了一种新的流量分析方法，结合大小和时间信息来推断用户访问的网站纯粹基于加密和填充的DNS跟踪。为此，我们对DNS序列进行建模，以捕捉通常触发数十个DNS解析而不仅仅是单个DNS事务的网站的复杂性。一项基于Alexa前10 k网站的封闭世界评估显示，攻击者可以在80.2%的网站中对至少一半的测试跟踪进行去匿名化，甚至可以正确标记32.0%的网站的所有跟踪。我们的研究结果破坏了DoT/DoH中最先进的消息填充策略的隐私目标。我们的结论表明，成功的缓解这种攻击必须删除查询响应之间的到达时间间隔的熵。
2019-07-02 cs.CR
Evaluating Resilience of Encrypted Traffic Classification Against Adversarial Evasion Attacks
Carleton University（卡尔顿大学）
机器学习和深度学习算法可用于对加密的互联网流量进行分类。在存在针对学习算法的对抗攻击的情况下，加密流量的分类可能变得更具挑战性。在本文中，我们将重点研究不同规避攻击的有效性，并了解机器和深度学习算法的弹性。即，我们测试了C4.5决策树，K-最近邻（KNN），人工神经网络（ANN），卷积神经网络（CNN）和递归神经网络（RNN）。在我们的大多数实验结果中，与机器学习相比，深度学习对对抗性样本表现出更好的弹性。然而，攻击的影响因攻击类型而异。
2021-05-30 cs.AI cs.CR
MIETT: Multi-Instance Encrypted Traffic Transformer for Encrypted Traffic Classification
School of Artificial Intelligence, Nanjing University（南京大学人工智能学院）；National Key Laboratory for Novel Software Technology, Nanjing University（南京大学计算机软件新技术国家重点实验室）
针对现有方法难以捕获加密流量中更广泛流模式的问题，提出多实例加密流量Transformer（MIETT），通过双层注意力层捕获令牌级和数据包级关系，并引入两个新预训练任务增强动态理解，在五个数据集上达到SOTA。
2024-12-19 cs.CR cs.LG
No Place to Hide that Bytes won't Reveal: Sniffing Location-Based Encrypted Traffic to Track a User's Position
过去几年的新闻报道表明，一些情报机构能够监控大型网络或整个互联网主干网。这样一个强大的对手只是最近才被学术文献所考虑。在本文中，我们提出了一个新的基于位置的服务（LBS）的对手模型。该模型考虑了与LBS提供商本身不同的未经授权的第三方，该第三方希望推断位置并监视LBS用户的移动。我们表明，这样的对手可以推断的位置，目标用户通过分析的大小和时间之间交换的加密流量的用户和LBS提供商。我们对一个广泛部署的基于位置的应用程序进行了彻底的分析，该应用程序预装在许多Android设备上：GoogleNow。结果令人鼓舞，并强调了设计更有效的对策来对抗强大的对手以保护LBS用户隐私的重要性。
2015-09-04 cs.CR
DeepTLS: comprehensive and high-performance feature extraction for encrypted traffic
特征提取是使用机器学习技术进行TLS流量分析的关键，也是非常困难和耗时的，需要巨大的工程努力。我们设计并实现了DeepTLS，这是一个从Meta，统计，SPLT，字节分布，TLS头和证书的pcap中提取全方位特征的系统。后端是用C++编写的，以实现高性能，可以在几分钟内分析GB大小的pcap。DeepTLS针对两个最先进的工具Joy和Zeek进行了全面评估，其中包括四个由160个pcap组成的知名恶意流量数据集。评估结果表明，DeepTLS具有分析大pcap的优势，分析时间减半，并识别出更多的证书，与Joy相比，性能损失可接受。DeepTLS可以通过将特征提取时间从几小时甚至几天减少到几分钟来显著加速机器学习管道。该系统在https://deeptls.com上在线，在那里可以查看和验证测试工件。此外，还发布了两个开源工具Pysharkfeat和Tlsfeatmark。
2022-08-08 cs.CR
Spying on the Smart Home: Privacy Attacks and Defenses on Encrypted IoT Traffic
不断增长的灵巧家庭物联网设备市场为消费者带来了新的便利，同时也为保护家庭隐私带来了新的挑战。许多灵巧家庭设备具有始终开启的传感器，该传感器捕获用户在其生活空间中的离线活动并在互联网上传输关于这些活动的信息。在本文中，我们证明了ISP或其他网络观察者可以通过分析包含商用物联网设备的灵巧家庭的互联网流量来推断隐私敏感的家庭活动，即使这些设备使用加密。我们评估了几种策略，以减轻与灵巧家庭设备流量，包括阻塞，隧道和速率整形的隐私风险。我们的实验表明，流量整形可以有效地和实际地减轻许多与灵巧家庭物联网设备相关的隐私风险。我们发现40 KB/s的额外带宽使用足以保护用户活动免受被动网络对手的攻击。对于许多灵巧家庭来说，这种带宽成本完全在互联网速度限制和数据上限之内。
2017-08-16 cs.CR
X-PRINT:Platform-Agnostic and Scalable Fine-Grained Encrypted Traffic Fingerprinting
针对加密流量细粒度指纹识别依赖平台特征且开放世界扩展性不足的问题，提出以服务器为中心、基于 URI 调用模式的 X-PRINT 框架，实现跨平台鲁棒识别并达到最先进准确率。
2025-08-31 cs.CR
GETA: Generalized Encrypted Traffic Analysis
University of New South Wales (UNSW)（新南威尔士大学）
提出GETA框架，通过元学习、嵌入优化和自注意力机制，仅利用流量元数据建模多变量时间序列，实现跨协议、少样本的加密流量分析，在应用识别、VPN分类、IoT设备指纹和攻击检测等任务上优于现有方法。
2026-05-29 cs.CR cs.LG
Feature Analysis of Encrypted Malicious Traffic
San Jose State University（圣何塞州立大学）
本文针对加密HTTP恶意流量检测，应用三种机器学习方法区分恶意与良性流量，并证明可直接从模型中获取可靠的特征重要性及非直观交互信息。
2023-12-06 cs.CR cs.LG
Efficiently and Effectively: A Two-stage Approach to Balance Plaintext and Encrypted Text for Traffic Classification
Zhongguancun Laboratory（中关村实验室）
本文提出一种两阶段方法，通过DPC选择器判断明文是否足够分类，并自适应结合加密文本，以平衡流量分类中明文与加密文本的权衡，实现有效性和效率的双重提升。
2024-11-06 cs.CL cs.CR
Flow-based detection and proxy-based evasion of encrypted malware C2 traffic
已知最先进的深度学习技术容易受到规避攻击，其中从恶性样本生成对抗样本并将其误分类为良性。基于TCP/IP流特征的加密恶意软件命令和控制流量的检测可以被构造为学习任务，因此容易受到规避攻击。然而，与例如在图像处理中所生成的对抗样本可以直接映射到图像不同，从流特征到实际TCP/IP分组需要制作分组序列，而没有建立用于这种制作的方法以及对这种制作允许的可修改特征集的限制。在本文中，我们讨论了生成和制作的对抗样本之间的差距的学习和逃避后果。我们使用一个在公共C2流量数据集上训练的深度神经网络检测器，白盒对抗学习和一种基于代理的方法来制作更长的流量。我们的研究结果表明：1）当使用精心制作的对抗样本时，通过在检测器上使用生成的对抗样本获得的高逃避率可以显着降低; 2）通过模型硬化对抗对抗样本的鲁棒性根据精心制作的方法和相应的攻击允许的可修改特征集而变化; 3）用对抗性样本递增地训练硬化模型可以产生一个公平的竞争环境，其中没有检测器对所有攻击都是最好的，也没有攻击对所有检测器都是最好的，在给定的攻击和检测器中。据我们所知，这是第一次在加密的C2恶意软件流量检测中分析公平竞争的功能集和迭代硬化。
2020-09-02 cs.CR
ETGuard: Malicious Encrypted Traffic Detection in Blockchain-based Power Grid Systems
State Grid Zhejiang Electric Power Company, LTD.（国网浙江省电力公司）；Zhejiang University（浙江大学）
针对基于区块链的电力系统中恶意加密流量检测，提出ETGuard框架，实现自动检测与增量学习，并在三个基准数据集上达到最优性能。
2024-08-20 cs.AI cs.CR
Machine Learning-Based Delay-Aware UAV Detection and Operation Mode Identification over Encrypted Wi-Fi Traffic
在过去的几年里，消费者无人机（无人机）市场增长显著。尽管通过支持各种应用刺激经济增长的潜力巨大，但消费级无人机的增加对公共安全和个人隐私构成了潜在风险。为了最大限度地降低风险，有效地检测和识别入侵无人机是入侵检测和取证的迫切需要。考虑到消费级无人机通常用于民用环境，现有的物理检测方法（如雷达、视觉和声音）在许多情况下可能变得无效。为了补充现有的物理检测机制，我们提出了一个基于机器学习的框架，用于快速无人机识别加密的Wi-Fi流量。它的动机是观察到许多消费者UAV使用Wi-Fi链路进行控制和视频流传输。该框架只提取加密Wi-Fi流量的数据包大小和到达间隔时间的特征，可以有效地检测无人机并识别其运行模式。为了减少在线识别时间，我们的框架采用了重新加权的$\ell_1$-范数正则化，它考虑了不同特征的样本数量和计算成本。该框架在统一的目标函数中联合优化了特征选择和预测性能。为了解决数据包到达间隔时间的不确定性，优化检测精度和延迟之间的权衡，我们利用最大似然估计（MLE）方法来估计数据包到达间隔时间。我们收集了大量的真实世界的Wi-Fi数据流量的八种类型的消费类无人机和我们提出的方法的性能进行了广泛的评估。
2019-12-17 cs.CR
Improving the Reliability of Anomaly Detection for Encrypted OPC UA Traffic over Private 5G
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）；ipoque GmbH（ipoque有限公司）
针对私有5G上加密OPC UA流量异常检测因良性连接变化导致误报率高的问题，提出控制面感知的决策自适应方法，在不重训练模型的情况下降低误报率并保持召回率。
2026-09-25 cs.CR
Feature Mining for Encrypted Malicious Traffic Detection with Deep Learning and Other Machine Learning Algorithms
Cybersecurity Strategic Technology Centre Singapore Technologies Engineering
针对加密流量难以解密检测的问题，提出加密流量特征新概念及双层检测框架，整合深度学习与传统机器学习算法，在优于ResNet等算法的同时构建了更全面的数据集。
2023-04-07 cs.AI cs.CR cs.LG
Machine Learning for Encrypted Malicious Traffic Detection: Approaches, Datasets and Comparative Study
随着人们对个人隐私和数据安全的需求变得优先，加密流量已成为网络世界的主流。但是，流量加密也可以屏蔽对手引入的恶意和非法流量，使其不被检测到。尤其是在后COVID-19环境中，恶意流量加密正在迅速增长。依赖于普通有效负载内容分析（如深度数据包检测）的常见安全解决方案变得毫无用处。因此，基于机器学习的方法已经成为加密恶意流量检测的重要方向。在本文中，我们制定了一个通用的框架，机器学习为基础的加密恶意流量检测技术，并提供了一个系统的审查。此外，由于缺乏公认的数据集和特征集，目前的研究采用不同的数据集来训练他们的模型。因此，它们的模型性能无法进行可靠的比较和分析。因此，在本文中，我们分析，处理和组合来自5个不同来源的数据集，以生成一个全面和公平的数据集，以帮助在这一领域的未来研究。在此基础上，实现并比较了10种加密恶意流量检测算法。然后，我们讨论的挑战，并提出未来的研究方向。
2022-03-17 cs.AI cs.CR cs.LG
Differentiation of Sliding Rescaled Ranges: New Approach to Encrypted and VPN Traffic Detection
本文提出了一种新的流量预处理方法--滑动重标度范围区分法（DSRR），扩展了H.E.赫斯特我们将所提出的方法应用于著名的ISCXVPN 2016数据集上的加密和未加密流量。我们为基于流的功能部署DSRR，然后使用基本的机器学习模型解决VPN与nonVPN的任务。使用DSRR和随机森林，我们获得了0.971的精度，0.969的召回率，并使用特征的统计分析将这个结果提高到0.976，与神经网络方法相比，通过2D-CNN获得了0.93的精度。所提出的方法和结果可以在https://github.com/AleksandrIvchenko/dsrr_vpn_nonvpn上找到。
2020-12-14 cs.CR cs.NI
Inference Attacks on Encrypted Online Voting via Traffic Analysis
本文研究通过加密网络流量元数据对在线投票系统发起推理攻击，结合规则与机器学习方法在两类平台上实现高达99.5%的准确率，揭示投票者隐私漏洞并提出载荷填充与时间戳均衡等缓解对策。
2025-09-19 cs.CR
MERLOT: A Distilled LLM-based Mixture-of-Experts Framework for Scalable Encrypted Traffic Classification
Zhejiang University（浙江大学）；Zhejiang Lab（之江实验室）；City University of Macau（澳门城市大学）
本文提出MERLOT框架，通过蒸馏GPT-2-base得到紧凑模型作为MoE专家，并利用门控网络动态分配，以最终解码器token直接分类加密流量，在10个数据集上以更低资源实现优越或竞争力的性能。
2024-11-20 cs.CR cs.LG
Decrypting live SSH traffic in virtual environments
解密和检查加密的恶意通信可以帮助犯罪检测和预防。对客户端或服务器存储器的访问使得能够发现解密安全通信所需的伪像。本文开发了MemDecrypt框架来研究内存中加密文物的发现，并将该方法应用于解密虚拟机的安全通信。对于Secure Shell，用于安全的远程服务器管理，文件传输和隧道传输等，MemDecrypt实验快速产生实时安全文件传输的AES加密细节，包括远程用户凭据，传输的文件名和文件内容。因此，MemDecrypt可以发现加密文物并快速解密实时SSH恶意通信，包括检测和拦截机密数据的数据泄露。
2019-07-25 cs.CR
Rate-Distortion Function for Encrypted Traffic Side-Channel Defense
Nanjing University of Information Science and Technology（南京信息工程大学）；Southeast University（东南大学）；Nanjing University of Science and Technology（南京理工大学）
研究加密流量防御中给定QoS成本预算下的泄漏率问题，定义边信道率失真函数R^(sc)(D)并完整表征其特性，给出最优防御结构，还通过实际网站指纹识别防御量化了一些方法与理论曲线的差距。
2026-07-21 cs.CR
How Private is Android's Private DNS Setting? Identifying Apps by Encrypted DNS Traffic
DNS over TLS（DoT）和DNS over HTTPS（DoH）承诺通过加密DNS消息来提高DNS的隐私和安全性，特别是当消息被填充到统一大小时。首先，为了证明推荐的填充方法的局限性，我们提出了Segram，这是一种新的应用程序指纹攻击，允许对手推断哪些移动应用程序在设备上执行。其次，我们使用10种不同的DoT/DoH解析器记录了118个Android应用程序的流量轨迹，以研究Segram在不同条件下的有效性。根据我们的结果，Segram在受控的封闭世界设置中识别应用程序的准确率高达72%。Segram的有效性与最先进的技术相当，但Segram需要更少的计算工作量。我们发布数据集和代码。第三，我们研究了以隐私为中心的DoT/DoH解决方案中填充的流行率，发现高达81%的样本未能启用填充。我们的研究结果表明，推荐的填充方法不如预期的有效，并且解析器操作员没有充分意识到这一功能。
2021-06-26 cs.CR
Maybenot: A Framework for Traffic Analysis Defenses
提出Maybenot框架，通过概率状态机调度填充注入和流量阻断，为端到端加密协议提供易集成的流量分析防御，并支持多协议与用例。
2024-09-27 cs.CR
Online Encrypted Skype Identification Based on an Updating Mechanism
机器学习算法在流量识别研究中越来越突出，因为它提供了一种方法来克服基于端口和深度数据包检测的缺点，特别是对于基于P2P的Skype。然而，最近的研究主要集中在基于全数据包数据集的流量识别，这对识别在线网络流量提出了很大的挑战。本研究旨在提供一种新的流量识别算法，以采样的流量记录为对象。该研究从Skype集合中构建流记录作为数据集，将固有的NETFLOW和扩展流度量作为特征，并使用基于相关性的快速过滤算法来选择高度相关的特征。该研究还提出了一种新的NFI方法，采用贝叶斯更新机制，以改善分类器模型。实验结果表明，与现有的流量识别方法相比，该方法具有更好的识别性能。与其他方法相比，NFI方法提高了识别准确性并减少了假阳性和假阴性。
2022-03-23 cs.CR
Distinguishing Tor From Other Encrypted Network Traffic Through Character Analysis
King Mongkut’s University of Technology North Bangkok（北曼谷国王科技大学）；Fraunhofer Institute for Applied and Integrated Security（弗劳恩霍夫应用与集成安全研究所）；Ostbayerische Technische Hochschule Amberg-Weiden（东巴伐利亚应用科学大学安贝格-魏登分校）
本研究针对Tor流量识别问题，探究Tor因网络结构需至少三次加密、传统加密流量仅一次加密的差异，对基于字符特征区分Tor与非Tor加密网络流量的作用，为匿名流量检测提供新的分析视角。
2024-05-15 cs.CR cs.LG cs.NI
Generalized Encrypted Traffic Classification Using Inter-Flow Signals
提出一种直接基于原始 PCAP、利用流间信号捕获跨流时序与包量分布的通用加密流量分类模型，在多任务和多数据集上表现优于成熟方法。
2025-08-29 cs.CR cs.NI
Noisy Networks, Nosy Neighbors: Inferring Privacy Invasive Information from Encrypted Wireless Traffic
本研究通过模拟邻居被动观察智能家居加密无线流量，识别设备、推断活动状态和位置，证明隐私风险可超越数据泄露，仅凭加密流量即可获取生活洞察。
2025-09-27 cs.CR cs.NI
Residual Observability and Attack Detectability in Encrypted OPC UA Traffic
Helmut-Schmidt-University（赫尔穆特·施密特大学）；Technical University of Applied Sciences Augsburg（奥格斯堡应用技术大学）
研究加密OPC UA流量中残余结构可观测性与攻击可检测性的关系，提出结合结构可观测性概况等的解释框架，用Jensen-Shannon散度和SLS表征相关维度与大小，在工业5G测试平台评估，补充传统IDS指标。
2026-07-21 cs.CR
Integrating Explainable AI for Effective Malware Detection in Encrypted Network Traffic
University of Bari（巴里大学）
本文整合XAI与集成学习，基于多视图特征检测加密恶意流量，构建涵盖54个恶意软件家族的1,127条连接数据集，并利用SHAP解释关键特征，模型性能超过99%。
2025-01-09 cs.CR cs.LG
