该论文针对地毯式轰炸(carpet-bombing)攻击提出了一种可在线速硬件上运行的检测模型。攻击者把流量均匀分散到一个或多个目的 IP 前缀内的众多主机上，使每台主机接收的流量都低于单机告警阈值，却在整体上耗尽前缀级防御资源与链路容量。现有检测器通常在秒级到分钟级延迟上工作，来不及在攻击窗口内响应。虽然 sketch 结构能在定宽内存中逐包处理、天然适合压缩延迟，但此前并不存在面向地毯式轰炸的 sketch 检测器。论文指出：由于源地址可被伪造、攻击也可经反射方式发起，源侧证据在结构上不可获得，检测必须锚定在目的侧。为此作者提出 SweepSketch——首个基于 sketch 的地毯式轰炸检测模型：它锚定目的侧、不保存任何源状态，将带标签的自清理 T-HLL 原语、逐包 CUSUM 判决与双 EWMA 变化门控压缩进 44 字节的定宽桶中，可直接部署在 Tofino2 可编程交换机上，实现逐包一致性的实时判决。理论部分给出六个定理，其中包括可验证的检测下界。实验方面，在相同内存预算下，SweepSketch 在 sketch 类、熵类、序贯检验类共 10 个基线中 F1 最高(0.991)；中位告警延迟为 186–627 毫秒；对源地址伪造具有结构性免疫。在 30 个真实与合成的多前缀样本(参数设计阶段已留出)上，它检出了全部 140 个受害前缀。整体贡献在于把地毯式轰炸检测从“先估计前缀总量再判断”推进到“逐包一致性实时检验”，同时给出可部署硬件路径与理论保证。适合网络防御、DDoS 清洗、可编程数据平面与流量测量方向的研究者与工程师阅读。

云服务提供商在软件中部署遥测工具以进行端主机网络分析。近期研究表明，sketch（一种近似数据结构）因其低资源占用下对多种统计指标的高保真度，成为基于软件的遥测的有前途的基础。然而，攻击者可能利用软件漏洞破坏基于sketch的遥测结果，从而使遥测失效（例如，逃避攻击检测或引发计费差异）。本文正式定义了可信赖的基于sketch的遥测需求，并指出现有工作由于sketch的概率特性和性能要求无法满足这些需求。作者提出了TrustSketch，一个通用的可信sketch遥测框架，支持多种sketch算法。TrustSketch能够及时检测针对基于sketch的遥测的广泛攻击，同时仅引入极小的开销。实验证明其有效性。该研究为云环境中的安全遥测提供了重要的理论保障和实用方案。