这篇文档属于类型a，即报告了一项原创性研究。以下是对该研究的学术报告：
该研究的主要作者包括Chuanpu Fu、Qi Li、Meng Shen和Ke Xu。他们分别来自清华大学计算机科学与技术系、清华大学网络科学与网络空间研究院、北京理工大学网络空间科学与技术学院以及鹏城实验室。该研究发表于2021年11月15日至19日举行的ACM SIGSAC计算机与通信安全会议（CCS）上。
该研究的主要科学领域是网络安全，特别是恶意流量检测。传统的基于规则的检测方法虽然在高带宽网络中能够实现高检测精度和高吞吐量，但无法检测零日攻击（zero-day attacks）。基于机器学习（Machine Learning, ML）的恶意流量检测方法虽然能够有效识别零日攻击，但由于特征提取效率低，导致检测精度和吞吐量较低，无法在高吞吐量网络中实现实时检测。此外，现有的检测系统容易受到复杂攻击的规避。因此，作者提出了Whisper系统，通过频域分析实现实时、鲁棒的恶意流量检测，旨在提高检测精度和吞吐量，同时抵御各种规避攻击。
Whisper系统的研究流程包括以下几个步骤：
频域特征提取：Whisper系统通过频域分析提取网络流量的序列信息。首先，将每个数据包的特征序列编码为向量，以减少数据规模和后续处理的开销。然后，对编码后的向量进行分段，并对每一帧进行离散傅里叶变换（Discrete Fourier Transform, DFT），以提取流量的序列信息。最后，对DFT产生的频域表示的模进行对数变换，以防止机器学习训练过程中的数值不稳定问题。
自动参数选择模块：该模块通过解决一个约束优化问题来选择编码向量，以减少不同数据包特征在频域特征分析中的相互干扰。具体来说，作者将原始问题转化为一个等价的可满足性模理论（Satisfiability Modulo Theories, SMT）问题，并通过SMT求解器来近似求解最优解。
统计聚类模块：该模块利用轻量级的统计聚类算法对频域特征进行聚类。在训练阶段，该模块计算良性流量的频域特征的聚类中心和平均训练损失。在检测阶段，该模块计算流量的频域特征与聚类中心之间的距离，如果距离显著大于训练损失，则判定该流量为恶意流量。
系统原型与实验评估：作者使用Intel的数据平面开发工具包（Data Plane Development Kit, DPDK）实现了Whisper系统，并通过42种恶意流量数据集进行了广泛的性能评估。实验结果表明，Whisper系统能够准确检测各种复杂和隐蔽的攻击，同时实现了两个数量级的吞吐量提升。
频域特征提取：Whisper系统通过频域分析提取的序列信息确保了高检测精度，同时通过约束特征规模实现了高检测吞吐量。实验表明，Whisper系统在42种攻击类型中的检测AUC（Area Under Curve）最高提升了18.36%，并且在高吞吐量网络中实现了实时检测。
自动参数选择模块：该模块通过自动选择编码向量，减少了手动参数选择的工作量，确保了检测精度。实验结果表明，自动参数选择模块相比手动参数选择，AUC提升了9.99%，EER（Equal Error Rate）降低了99.55%。
统计聚类模块：该模块通过轻量级的统计聚类算法，能够在高吞吐量网络中实现实时检测。实验结果表明，Whisper系统在复杂攻击和规避攻击下的检测精度仍然保持在90%左右。
系统原型与实验评估：Whisper系统在42种恶意流量数据集上的实验表明，其检测AUC在0.891到0.999之间，吞吐量达到了1,310,000 pps（packets per second），比现有系统提升了两个数量级。此外，Whisper系统在高吞吐量网络中的检测延迟仅为0.06秒。
Whisper系统通过频域分析实现了实时、鲁棒的恶意流量检测，具有高检测精度和高吞吐量。频域特征的引入确保了系统在复杂攻击和规避攻击下的鲁棒性。Whisper系统的成功应用为高吞吐量网络中的实时恶意流量检测提供了新的解决方案。
Whisper系统的理论分析框架证明了其在特征提取中的信息损失是有界的，这为系统的鲁棒性提供了理论基础。此外，Whisper系统的原型实现和实验评估为高吞吐量网络中的实时恶意流量检测提供了实践参考。
通过以上内容，Whisper系统在网络安全领域的研究具有重要的科学价值和应用价值，为实时恶意流量检测提供了新的思路和方法。