TEST: an End-to-End Network Traffic Examination and Identification Framework Based on Spatio-Temporal Features Extraction
University of California, San Diego（加利福尼亚大学圣地亚哥分校）；Beijing University of Posts and Telecommunications（北京邮电大学）；Telecom Paris（巴黎电信学院）
随着越来越多的加密网络流量参与到互联网中，如何有效地识别网络流量已成为该领域的重中之重。网络流量的准确识别是QoE、带宽分配、入侵检测等基础网络服务的基石。以往的网络流量识别方法要么无法处理加密流量，要么需要专家选择大量的特征才能达到相对较好的准确率。本文提出了一种基于深度学习的端到端网络流量识别框架TEST，以避免上述问题。结合并实现了CNN和LSTM，以帮助机器自动从原始流量的特殊和时间相关特征中提取特征。所提出的框架有两层结构，这使得它可以达到一个显着的准确性加密流量分类和入侵检测任务。实验结果表明，我们的模型可以优于以前的方法，最先进的准确率为99.98%。
2019-08-26 cs.CR cs.LG
Network Traffic Analysis based IoT Device Identification
Faculty of Integrated Technologies（综合技术学院）；Institute of Applied Data Analytics（应用数据分析研究所）
设备识别是在不使用其分配的网络或其他凭证的情况下识别互联网上的设备的过程。物联网（IoT）设备使用的急剧增长，由于各种各样的设备、协议和控制接口，给设备识别带来了新的挑战。在网络中，传统的物联网设备通过利用IP或MAC地址来识别彼此，这很容易受到欺骗。此外，物联网设备是具有最小嵌入式安全解决方案的低功耗设备。为了缓解物联网设备中的问题，可以使用指纹（DFP）进行设备识别。DFP通过使用隐式标识符来识别设备，诸如网络流量（或分组）、无线电信号，设备用于其在网络上的通信。这些标识符与设备硬件和软件功能密切相关。在本文中，我们利用TCP/IP数据包的报头功能，创建一个设备指纹利用设备发起的网络数据包。我们提出了一组三个指标，从一个数据包，积极促进设备识别的一些功能。为了评估我们的方法，我们使用了两个可公开访问的数据集。我们观察到设备类型分类的准确性为99.37%，从IoT Sentinel数据集中识别单个设备的准确性为83.35%。然而，使用UNSW数据集设备类型识别准确率高达97.78%。
2020-09-10 cs.AI cs.CR cs.NI
Maintaining IoT Device Identification under Concept Drift via Budget-Aware Traffic Labeling
School of Electrical Engineering and Telecommunications, University of New South Wales（新南威尔士大学电气工程与电信学院）；School of Computer Science and Engineering, University of New South Wales（新南威尔士大学计算机科学与工程学院）；KDDI Research（KDDI研究所）
该研究针对IoT设备识别中概念漂移导致的分类性能下降问题，提出结合均匀流量采样与漂移检测确定标注量的策略，经380万条IPFIX流记录验证，可有效维持分类性能。
2026-08-25 cs.CR cs.LG cs.NI
MalRAG: A Retrieval-Augmented LLM Framework for Open-set Malicious Traffic Identification
Institute of Information Engineering, Chinese Academy of Sciences（中国科学院信息工程研究所）；School of Cyber Security, University of Chinese Academy of Sciences（中国科学院大学网络安全学院）
针对现有深度模型可迁移性差、需逐数据集调优的问题，提出首个LLM驱动的检索增强框架MalRAG，通过多视图知识库构建、自适应检索与提示工程，在开集恶意流量识别任务上取得SOTA效果。
2025-11-18 cs.CR cs.LG
Online Encrypted Skype Identification Based on an Updating Mechanism
机器学习算法在流量识别研究中越来越突出，因为它提供了一种方法来克服基于端口和深度数据包检测的缺点，特别是对于基于P2P的Skype。然而，最近的研究主要集中在基于全数据包数据集的流量识别，这对识别在线网络流量提出了很大的挑战。本研究旨在提供一种新的流量识别算法，以采样的流量记录为对象。该研究从Skype集合中构建流记录作为数据集，将固有的NETFLOW和扩展流度量作为特征，并使用基于相关性的快速过滤算法来选择高度相关的特征。该研究还提出了一种新的NFI方法，采用贝叶斯更新机制，以改善分类器模型。实验结果表明，与现有的流量识别方法相比，该方法具有更好的识别性能。与其他方法相比，NFI方法提高了识别准确性并减少了假阳性和假阴性。
2022-03-23 cs.CR
S-MATE: Secure Coding-based Multipath Adaptive Traffic Engineering
已经有几种方法来在互联网服务提供商（ISP）网络中的核心网络节点之间提供业务。这些方法旨在最小化网络延迟，增加网络容量，并增强网络安全服务。MATE（多路径自适应流量工程）协议已经被提出用于入口节点（源）和出口节点（目的地）之间的多路径自适应流量工程。其新颖的思想是避免网络拥塞和攻击可能存在的边缘和节点不相交的路径之间的两个核心网络节点。本文建立了一个自适应的，鲁棒的，可靠的流量工程方案，以更好的性能的通信网络操作。这还将提供服务质量（QoS）和流量工程保护，以最大限度地提高网络效率。具体来说，我们提出了一种新的方法，S-MATE（安全MATE）的开发，以保护在云网络中的两个核心节点（路由器或交换机）之间的网络流量。S-MATE通过在发送方和接收方之间的一条操作路径中添加冗余来防止单链路攻击/故障。所提出的方案可以用于保护核心网络，如光纤和IP网络。
2010-10-23 cs.CR cs.IT cs.NI
Haze: Privacy-Preserving Real-Time Traffic Statistics
我们认为交通更新移动应用程序，让用户了解交通状况的基础上，从其他用户的报告。这些应用正变得越来越流行（例如，Waze在2013年报告了3000万用户），因为他们从道路上行驶的实际用户那里汇总了实时的【形】道路交通更新。然而，这些移动服务的提供商可以访问诸如其用户的时间戳位置和移动等敏感信息。在本文中，我们描述了雾，一个协议的流量更新应用程序，支持从用户报告创建流量统计数据，同时保护用户的隐私。Haze依赖于一小部分用户来联合聚合加密的速度和警报数据，并将结果报告给服务提供商。我们使用基于阈值密码系统和差分隐私技术的陪审团投票协议来隐藏用户数据，同时只允许提取聚合信息并发送给服务提供商。我们通过开发一个原型实现并在真实世界的汽车轨迹数据集上进行实验，证明了Haze在实践中是有效的。
2013-09-13 cs.CR
Application-layer Characterization and Traffic Analysis for Encrypted QUIC Transport Protocol
针对加密QUIC流量分析难题，提出基于规则的算法，利用数据包大小、时间和方向信息，在不解密的情况下推断HTTP请求响应对及多路复用特征，以评估QoE并分类服务。
2023-10-10 cs.CR
An Attack Traffic Identification Method Based on Temporal Spectrum
Trend Micro Nanjing Branch（趋势科技南京分公司）；Jiangsu Police Institute (JSPI)（江苏警官学院）；University of California, Los Angeles (UCLA)（加州大学洛杉矶分校）
针对网络攻击检测中鲁棒性不足、特征不稳定及噪声干扰问题，提出基于时间频谱的检测识别方法，利用滑动窗口构建序列并结合SSPE与COAP方法生成频谱标签与时间特征，使模型识别准确率提升10%且在噪声下鲁棒性强。
2024-11-12 cs.AI cs.CR
FP-Inconsistent: Measurement and Analysis of Fingerprint Inconsistencies in Evasive Bot Traffic
本文首次大规模评估规避型机器人流量，发现其指纹属性存在不一致性，并提出数据驱动规则检测跨空间与跨时间的不一致，使 DataDome 和 BotD 的规避率分别降低 48.11% 和 44.95%。
2025-09-21 cs.CR
Machine Learning for Cyber-Attack Identification from Traffic Flows
Embry-Riddle Aeronautical University（埃姆布里-瑞德航空大学）；University of Tennessee at Martin（田纳西大学马丁分校）；Northeastern University（东北大学）
本文研究仅通过交通流模式识别针对信号灯的网络攻击，利用Raspberry Pi、OPNSense、SUMO和Metasploit构建模拟环境，最佳模型检测准确率达85%，关键指标为占有率、排队长度和停车时长。
2025-05-02 cs.CR cs.LG
On the Effectiveness of NetFlow-Based Deanonymization of Tor Onion Services (Extended Version)
KAIST（韩国科学技术院）；University of Virginia（弗吉尼亚大学）
该研究针对Tor洋葱服务，提出利用粗粒度NetFlow遥测数据的主动、被动去匿名化攻击，通过实验证明其有效性，呼吁设计防御泄露服务负载信息的信号。
2026-10-14 cs.CR
Analysis of Location Data Leakage in the Internet Traffic of Android-based Mobile Devices
近年来，我们目睹了向针对移动终端用户的个性化的、基于上下文的应用和服务的转变。这些服务中的许多服务的关键组成部分是基于嵌入在设备中的位置传感器来推断用户的当前位置并预测用户的未来位置的能力。这些知识使服务提供商能够向其用户提供相关和及时的报价，并更好地管理流量拥塞控制，从而提高客户满意度和参与度。然而，这些服务遭受位置数据泄漏，这已成为智能手机用户当今最关注的隐私问题之一。在本文中，我们特别关注Android应用程序通过明文形式的互联网网络流量暴露的位置数据（即，没有加密）而没有用户的意识。我们提出了一个实证评估，涉及真实的移动终端用户的网络流量，旨在：（1）测量基于Android的智能手机设备的互联网流量的位置数据泄漏的程度;（2）通过推断用户的兴趣点（POI），了解这些数据的价值。这是通过分析71名参与者的智能手机记录的平均37天的互联网流量来实现的。我们还提出了一个从原始网络流量中挖掘和过滤位置数据的过程，并利用地理位置聚类方法来推断用户的POI。这项研究的主要发现集中在这种现象的普遍性和严重性方面;我们发现，超过85%的用户设备正在泄漏位置数据，并且从相对稀疏的泄漏指标得出的用户POI的暴露率约为61%。
2018-12-12 cs.CR
Practical Traffic Analysis Attacks on Secure Messaging Applications
即时通讯（IM）应用程序，如Telegram，Signal和WhatsApp近年来变得非常流行。不幸的是，这种IM服务一直是政府持续监视和审查的目标，因为这些服务是关于社会和政治敏感话题的公共和私人通信渠道的所在地。为了保护他们的客户端，流行的IM服务部署了最先进的加密机制。在本文中，我们表明，尽管使用先进的加密，流行的IM应用程序泄漏的敏感信息，他们的客户端的对手谁只是监视他们的加密IM流量，没有必要利用任何软件漏洞的IM应用程序。具体来说，我们设计了流量分析攻击，使对手能够识别管理员以及目标IM渠道的成员（例如，论坛），具有较高的准确性。我们相信，我们的研究表明，一个重大的，现实世界的威胁，这些服务的用户越来越多的尝试，压迫政府在打击有争议的IM渠道。我们证明了我们的流量分析攻击的实用性，通过广泛的实验在现实世界中的IM通信。我们表明，标准的对策技术，如添加覆盖流量可以降低我们在本文中介绍的攻击的有效性。我们希望我们的研究将鼓励IM提供商将有效的流量混淆对策集成到他们的软件中。与此同时，我们已经设计并部署了一个开源的，公开可用的对策系统，称为IMProxy，它可以由IM客户端使用，而不需要IM提供商的任何支持。我们已经通过实验证明了IMProxy的有效性。
2020-05-01 cs.CR
BLADE: Behavior-Level Anomaly Detection Using Network Traffic in Web Services
本文提出无监督异常检测系统 BLADE，通过流自编码器、伪操作标签和单类分类器聚合多流信息，同时检测 Web 服务中的流级和行为级攻击，并在两个数据集上取得优于传统方法的 F1 分数。
2025-11-07 cs.CR
A Robust Mechanism for Defending Distributed Denial OF Service Attacks on Web Servers
分布式拒绝服务（DDoS）攻击已成为造成大规模有针对性的服务中断的流行手段，通常会持续很长一段时间。发起此类攻击的相对容易和低成本，加上目前任何可行的防御机制的不足，使其成为当今互联网社区的最大威胁之一。由于基于Web的应用程序的日益普及，导致在互联网上提供了几个关键的服务，它是必要的，以监测网络流量，以防止恶意攻击者耗尽网络的资源和拒绝服务的合法用户。本文首先简要讨论了目前存在的一些重要类型的DDoS攻击和一些现有的机制来对抗这些攻击。然后指出了目前现有防御机制的主要缺点，并提出了一种新的机制来保护Web服务器免受DDoS攻击。在所提出的机制中，持续监控服务器的入站流量，并立即检测入站流量中的任何异常上升。检测算法基于对服务器上的入站流量的统计分析和稳健的假设检验框架。对所提出的机制进行了仿真，结果表明，所提出的防御机制对DDoS攻击的有效性。
2011-03-17 cs.CR
Development of an Adapter for Analyzing and Protecting Machine Learning Models from Competitive Activity in the Networks Services
Research Institute of Digital Intelligent Technologies（数字智能技术研究所）；Orenburg State University（奥伦堡国立大学）
本文针对远程服务器流量分类中机器学习模型易受攻击的问题，提出了一种基于自动编码器的模型保护适配器方案。
2025-05-01 cs.CR cs.LG
Explainable Machine Learning for Cyberattack Identification from Traffic Flows
Embry-Riddle Aeronautical University（埃姆布里-瑞尔德航空航天大学）；University of Tennessee at Martin（田纳西大学马丁分校）；Northeastern University（东北大学）
本文利用仅基于交通流数据的深度学习异常检测系统识别针对交通信号灯的网络攻击，并通过可解释人工智能技术提升检测准确性与可信度。
2025-05-02 cs.CR cs.LG
Classification and Explanation of Distributed Denial-of-Service (DDoS) Attack Detection using Machine Learning and Shapley Additive Explanation (SHAP) Methods
Massey University（梅西大学）；UCOL Te Pūkenga（新西兰国立理工学院UCOL）；Central Queensland University（中央昆士兰大学）；CSIRO Data61（澳大利亚联邦科学与工业研究组织Data61）
提出结合机器学习与SHAP的DDoS攻击检测框架，利用特征选择选取前20重要特征输入MLP模型进行流量分类，准确率超99%，并通过XAI提供全局与局部解释以增强模型可信度。
2023-06-27 cs.CR cs.LG
A Large-Scale Benchmark and Risk Assessment of Traffic Analysis Attacks on Cloud LLM Services
Chalmers University of Technology（查尔姆斯理工大学）；University of Texas at El Paso（德克萨斯大学埃尔帕索分校）；Old Dominion University（奥多明尼昂大学）；George Mason University（乔治梅森大学）
本研究构建首个大规模加密LLM流量基准，评估流量分析攻击风险，发现模型、提示词及多智能体任务可被高精度识别，提示词重述仅部分削弱泄露。
2026-10-27 cs.AI cs.CR cs.LG
ECU Identification using Neural Network Classification and Hyperparameter Tuning
University of Michigan Dearborn（密歇根大学迪尔伯恩分校）
控制器局域网（CAN）协议的入侵检测需要现代的方法，以与其他电气体系结构的竞争。指纹入侵检测系统为解决这一问题提供了一种新的途径。通过表征来自已知ECU的网络流量，可以区分危险消息。在这篇文章中，一个修改后的版本的指纹入侵检测系统是利用阶跃响应和频谱特性的网络流量通过神经网络训练。通过特征集缩减和超参数调整，该方法实现了99.4%的可信ECU流量检测率。
2022-08-22 cs.CR cs.LG
Enhancing web traffic attacks identification through ensemble methods and feature selection
Universidad de Burgos（布尔戈斯大学）；University of Tartu（塔尔图大学）
本研究利用机器学习技术，基于 CSIC2010 v2 数据集提取 HTTP 轨迹特征，采用 Random Forest 等集成方法进行网络流量攻击识别，相比基线分类器预测准确率提升约 20%，AUC 达 0.989，结合特征选择增强了模型鲁棒性，为保护网络流量提供了实用框架。
2024-12-21 cs.AI cs.CR cs.LG
Encrypted system identification as-a-service via reliable encrypted matrix inversion
针对同态加密难以支持迭代算法的问题，本文提出可靠的加密矩阵求逆方法，用于保护隐私的最小二乘求解与系统识别即服务，并在三个识别任务上验证有效性。
2024-10-27 cs.CR cs.SY eess.SY
Novelty Detection in Network Traffic: Using Survival Analysis for Feature Identification
Johns Hopkins University（约翰斯·霍普金斯大学）；Army Cyber Institute（陆军网络研究所）
入侵检测系统是许多组织网络防御和弹性策略的重要组成部分。然而，这些系统的一个缺点是它们依赖于已知的攻击签名来检测恶意网络事件。当涉及到未知的攻击类型和零日漏洞利用时，现代入侵检测系统往往不足。在本文中，我们介绍了一种非常规的方法来识别网络流量的特点，影响新奇的检测生存分析技术的基础上。具体来说，我们结合了几个Cox比例风险模型，并实施Kaplan-Meier估计来预测分类器在任何给定时间注入未知网络攻击后识别新颖性的概率。所提出的模型是成功的，在精确定位PSH标志计数，ACK标志计数，URG标志计数，和下/上比率作为主要特征，通过随机森林，贝叶斯岭，和线性支持向量回归分类器影响新奇检测。
2023-01-16 cs.AI cs.CR stat.ME
