本文针对加密网络流量侧信道特征在复杂网络拓扑下因丢包、重传导致特征碎片化，进而使现有基于学习的流量分析方法性能显著下降的问题，提出了一种基于预训练的增强框架 Nüwa。Nüwa 的核心思想是对加密流量会话中缺失数据包的侧信道特征进行补全（imputation），尤其关注缺失包的时间属性。该框架由三个模块组成：词级序列嵌入模块（word-level Sequence2Embedding）、基于流量噪声的自监督预训练掩码策略（Traffic Noise-based Self-supervised Pre-trained Masking Strategy），以及流量侧信道特征补全模块（Traffic Side-Channel Feature Imputation Module）。通过在四个不同真实场景下的实验，作者验证了 Nüwa 能够有效恢复主流时序模型在碎片化特征下的性能，同时保持补全后特征的完整性。该研究为在网络丢包环境下提升加密流量分析鲁棒性提供了一种新思路，适合网络安全研究人员、流量分析工程师以及关注预训练方法在安全领域应用的从业者阅读。

本文针对物联网（IoT）设备类型识别在概念漂移下的性能退化问题展开研究。在企业和ISP网络中，通过被动流量分析识别IoT设备类型已成为安全管理的重要手段。然而，随着设备行为随时间和环境变化，基于机器学习（ML）的分类器性能会逐渐下降，即出现概念漂移。为维持分类性能，需要定期使用新标记的部署流量对模型进行重训练。实际操作中面临两个关键决策：应该标记多少流量？应该选择哪些流量实例进行标记？作者指出，这两个决策应被独立对待，因为仅依赖漂移检测器选取的实例进行重训练，会系统性地忽视新兴行为空间中的部分数据，而均匀采样的部署流量则能更全面地反映行为变化。因此，漂移检测更适合用于确定需要标记的流量总量，而非指导具体样本选择。本文贡献包括：（1）开展了一项为期两年多、覆盖21种IoT类型、涉及380万条IPFIX流记录的纵向研究，系统刻画了行为演变在不同设备类别间的表现，并验证了用新标记流量重训练可以恢复分类性能；（2）提出一种基于一致性的漂移检测器，直接从原始流量特征中捕获类条件行为模型，并能提供特征级别的演变解释；（3）实验证明，结合均匀流量采样与根据行为演变调整标记率（即预算感知标记）的策略，比由检测器引导的样本选择更能有效维持分类器性能，同时有助于控制标记成本；该策略在性能上与置信度引导的适应方法相当，但额外提供了特征级别的可解释性。研究结果对实际部署IoT设备识别系统的运维具有直接指导意义。

本文提出了一种针对企业共享存储环境中加密勒索软件（crypto-ransomware）的混合检测框架。传统的端点检测主要关注本地系统行为，但勒索软件变种已将攻击面扩展至网络驱动器和共享存储资源，受感染的客户端可加密共享数据而不直接在服务器端触发行为变化。该框架结合了基于Region of Interest（RoI）的新技术，用于分析网络流量并提取入侵指标（IoC），这些IoC可作为规则集增强现有安全工具（如EDR、IDS）。同时，基于RoI的特征用于训练机器学习模型，以检测高度规避性的变种。研究涵盖了多种勒索软件家族，并通过领域专家知识精心选择了良性行为样本，确保覆盖可能干扰检测的常见用户操作。实验结果表明，机器学习模块实现了99.64%的检测精度，0%假阴性率（FNR）和极低的假阳性率（FPR）。此外，该方法能够在重大损害发生前早期检测勒索软件入侵，准确率达99.44%。该框架适用于企业安全团队，特别是需要保护共享存储环境免受勒索软件攻击的场景。