本文针对实际运行中的燃气SCADA（监控与数据采集）网络进行了全面的流量特征分析。研究团队与一家能源运营商合作，在真实的工业控制网络环境中部署了被动网络监控，收集了长达数月的流量数据。论文的核心贡献在于：1）首次对运营级燃气SCADA网络的流量进行细粒度表征，包括协议分布（如Modbus、DNP3）、通信模式（周期性、事件驱动）、设备交互拓扑等；2）揭示了SCADA网络与IT网络在流量特性上的显著差异，例如低带宽、长连接、高度周期性等；3）提出了基于流量特征的异常检测基线，例如利用通信间隔的规律性识别潜在异常；4）讨论了当前安全监控工具（如IDS）在适应此类专用网络时的局限性。实验结果表明，传统基于阈值或统计的检测方法容易产生大量误报，而针对SCADA特定模式的定制化方法能显著提升检测精度。该研究为工业控制系统网络安全监控提供了重要的经验数据和方法论基础。

本文提出了一种针对企业共享存储环境中加密勒索软件（crypto-ransomware）的混合检测框架。传统的端点检测主要关注本地系统行为，但勒索软件变种已将攻击面扩展至网络驱动器和共享存储资源，受感染的客户端可加密共享数据而不直接在服务器端触发行为变化。该框架结合了基于Region of Interest（RoI）的新技术，用于分析网络流量并提取入侵指标（IoC），这些IoC可作为规则集增强现有安全工具（如EDR、IDS）。同时，基于RoI的特征用于训练机器学习模型，以检测高度规避性的变种。研究涵盖了多种勒索软件家族，并通过领域专家知识精心选择了良性行为样本，确保覆盖可能干扰检测的常见用户操作。实验结果表明，机器学习模块实现了99.64%的检测精度，0%假阴性率（FNR）和极低的假阳性率（FPR）。此外，该方法能够在重大损害发生前早期检测勒索软件入侵，准确率达99.44%。该框架适用于企业安全团队，特别是需要保护共享存储环境免受勒索软件攻击的场景。