本文针对分布式拒绝服务（DDoS）攻击的多类别识别问题展开研究。传统检测系统多采用二分类（攻击/正常），但实际防御中需要精确识别攻击的具体类型以采取针对性缓解措施。作者提出了一种基于元学习集成的入侵检测框架，核心是一个高精度的多分类模型。该模型采用集成架构，融合了长短期记忆网络（LSTM）、K近邻（KNN）和随机森林（RF）三种基础模型，并通过逻辑回归作为元学习器来合成各模型的输出，有效解决了多个独立分类器预测结果间的歧义问题。实验基于CIC-DDoS2019数据集，所提集成元学习模型在多类识别任务中达到96%的准确率，显著优于基线链式模型（将多个二分类器串联）的92%准确率，且基线模型存在较高歧义。此外，在Mininet和Ryu控制器构建的软件定义网络（SDN）环境中进行集成测试，该模型在模拟网络流量中实现了93%的DDoS类型识别准确率，验证了其实用性。工作凸显了元学习集成在细粒度DDoS威胁识别中的价值，为开发更自适应、更有效的防御机制提供了思路。

本文提出 Mondrian，一种全面的跨域网络分区架构，旨在解决现代网络（如数据中心、企业网络和多租户云环境）中网络分段与安全策略管理的复杂性。现有解决方案（如 VLAN、ACL、SDN 微分段）在可扩展性、动态性和跨域一致性方面存在局限。Mondrian 借鉴艺术家皮特·蒙德里安的绘画理念，将网络抽象为“线”（连接）和“矩形”（分区），通过逻辑网络拓扑描述实现自动化的策略生成与部署。其核心方法包括：1）一种基于图论的分区模型，允许管理员定义高层级的安全约束（如“部门A与部门B不能互通”），系统自动将其转化为底层交换机和防火墙的精确规则；2）支持跨自治域（如不同租户或组织）的策略协商与一致性维护，通过数学规划确保全局无冲突；3）引入动态迁移机制，允许在不中断服务的前提下调整分区。实验在 50 节点物理测试床上进行，验证了 Mondrian 在策略规模达 10^4 条时的可扩展性、策略更新延迟低于 100ms 的动态性能，以及与 BGP 等现有路由协议的兼容性。主要贡献包括：首次提出形式化跨域分区模型，证明了分区一致性问题的 NP 完全性并给出近似算法，以及在真实云网络拓扑上的部署案例。本文适合网络架构师、安全管理员和 SDN 研究人员阅读。

移动目标防御（MTD）作为一种主动网络防御范式，通过动态网络重构技术（如软件定义网络（SDN）启用的路径随机化）增加攻击者的不确定性。然而，现有评估因攻击者假设、攻击场景和评估指标不一致而碎片化，限制了可重复性和面向部署的比较。本文提出MTD-Playground，一个攻击者感知的评估框架，用于在真实企业级多阶段攻击场景下对SDN启用的路径随机化（PR）MTD技术进行基准测试。除了孤立的性能和安全性指标外，MTD-Playground引入了一种复合评估方法，用于分析部署有效性、突变间隔权衡以及防御者-攻击者操作平衡。以周期性路径随机化作为代表性PR-MTD策略，实验表明：激进的突变间隔将攻击成功率降低至4-20%，同时将攻击完成时间延长至160-311秒（在不同攻击场景下）。此外，PR-MTD将吞吐量提升高达30.9%，并减少内部路径延迟而不中断服务。复合分析进一步显示，较短的突变间隔始终达到最高的部署有效性和正的防御者优势。这些结果表明，基于SDN的PR-MTD能有效破坏多阶段攻击进程，同时在企业环境中保持实际可部署性。该研究为MTD评估提供了标准化方法，有助于推动该领域的可重复研究和部署决策。

该论文研究了网络功能虚拟化（NFV）与软件定义网络（SDN）编排中一个反直觉的现象：添加安全功能（如防火墙、入侵检测系统、WAF等）选项反而可能导致整体服务性能下降，即安全引发的Braess悖论。作者通过博弈论模型分析，证明了在服务功能链（SFC）编排中，增加一条防御选项后，由于流量和攻击价值在共享安全资源上的集中，可能使适应后的均衡状态变差。论文定义了Braess型安全管理动作，推导了在仿射负载依赖的VNF延迟下悖论出现的充分条件，并提出了一种部署前编排筛选机制，用于拒绝、限制或保留有害选项。实验在多租户SFC场景下，对四种拓扑（胖树数据中心、NSFNET广域网、GEANT广域网和边缘/雾拓扑）进行测试。在理论识别的Braess参数范围内，天真的防御扩展使均衡服务成本增加27.2%-30.8%，风险集中度提高6.1-9.7倍；而采用感知悖论的约束使用可将残余惩罚控制在1.9%以下，相比天真扩展降低服务成本20.0%-22.1%，并使浓度敏感的预期攻击损失平均降低93.5%。该工作为安全编排决策提供了理论依据，避免盲目增加安全功能带来的负面效应。

软件定义网络（SDN）因其集中控制架构而面临分布式拒绝服务（DDoS）攻击的严重威胁，特别是地毯式轰炸（Carpet-Bombing）DDoS攻击，这种攻击将恶意流量分散到多个目标以逃避传统检测机制。本文提出了一种基于检索增强生成（RAG）的框架，用于在SDN环境中实时检测和缓解此类攻击。该框架结合了接口级流量特征表示、语义嵌入生成、基于FAISS的相似性检索以及大语言模型（LLM）驱动的上下文推理，无需传统的监督模型训练或重训练即可对流量行为进行分类。为评估框架有效性，作者在多种地毯式轰炸DDoS攻击场景下进行了大量实验，涵盖不同攻击强度。同时，研究了两种流量表示策略：基于JSON的结构化表示和基于自然语言的表示（NLR），并使用了多个最先进的LLM。实验结果表明，该框架实现了高准确率和稳定的攻击检测性能，其中使用Gemma-4-31B-IT模型的配置取得了最强的整体检测效果。实时实验验证了该框架能够快速检测并缓解地毯式轰炸DDoS攻击，同时保持SDN网络稳定运行。研究成果凸显了将RAG机制与LLM相结合用于智能自适应SDN安全分析的有效性。

本文提出了一种基于溯源图的检测框架 PROVGUARD，用于识别软件定义网络（SDN）中的控制策略操纵（CPM）攻击。SDN 通过将控制平面与数据平面解耦提升了网络灵活性，但逻辑集中的控制平面易受 CPM 攻击，攻击者通过操纵控制器的网络视图引入错误策略。现有异常检测和配置验证方法因仅关注数据平面而存在局限性，某些隐蔽的 CPM 攻击若不分析控制器决策的因果关系则难以与正常行为区分。PROVGUARD 通过监控控制器活动来检测 CPM 攻击，利用静态分析识别与数据平面相关的控制器操作并指导控制器插桩，从捕获的控制平面活动构建溯源图。该框架通过减少冗余并提取溯源图中的路径作为上下文，以捕获简洁且长期的特征。基于序列到序列预测模型，通过识别导致预测误差超出正常范围的路径来标记可疑行为。作者在 Floodlight 控制器上实现了原型，实验证明该方法成功识别了先前方法无法完全处理的四种典型 CPM 攻击，并为攻击行为调查提供了有价值的见解。