[發明專利]基于CUSUM算法檢測SIP消息洪泛攻擊的裝置和方法

無效

• 申請號: 200910076310.0
• 申請日: 2009-01-09
• 公開（公告）號: CN101459561A
• 公開（公告）日: 2009-06-17
• 發明（設計）人: 孫其博;閆丹鳳;楊放春;龍湘明;王尚廣
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/08
• 代理公司: 北京德琦知識產權代理有限公司
• 代理人: 夏憲富

1.一種基于非參數累積和CUSUM算法的檢測SIP消息洪泛攻擊的裝置，其特征在于：所述裝置是由采集層、數據層、檢測層和響應層四層架構的相關功能模塊所組成，其中：

采集層，設有通過調用UNIX/LINUX系統函數和使用SIP協議棧抓取在網絡中傳輸的SIP數據包的抓包模塊，以完成采集網絡中的SIP數據包的功能；

數據層，負責對來自采集層的SIP數據包進行預處理，并對得到的INVITE消息和REGISTER消息的數量分別進行存儲處理；設有對SIP數據包中的INVITE消息和REGISTER消息分別累加統計其數量的數據預處理模塊，以及分別存儲INVITE消息和REGISTER消息的統計數量、以供檢測層調用的INVITE數值存儲模塊和REGISTER數值存儲模塊；

檢測層，設有分別對INVITE消息和REGISTER消息的統計數量進行處理的基于非參數累積和CUSUM算法的功能模塊，負責分別調用數據層中存儲的INVITE消息數量和REGISTER消息數量，并采用CUSUM算法對上述消息數值進行檢測處理，得到檢測結果；

響應層，設有接收檢測層的檢測結果數據，并判斷是否告警的報警模塊，當檢測結果數據超過響應層設定的閾值時，該報警模塊認為遭到SIP消息洪泛攻擊，就發出告警信號；否則，表示網絡運行正常，未發生SIP消息洪泛攻擊。

2.根據權利要求1所述的裝置，其特征在于：所述進行數量累加統計的INVITE消息包括兩種：在設定的時間段n內分別抓取的INVITE消息總數T_invite(n)和包括該INVITE消息與其相應的應答消息的交互過程完整的INVITE消息總數S_invite(n)；所述進行數量累加統計的REGISTER消息包括兩種：在設定的時間段n內分別抓取的REGISTER消息總數T_register(n)和包括該REGISTER消息與其相應的應答消息的交互過程完整的REGISTER消息總數S_register(n)。

3.根據權利要求1所述的裝置，其特征在于：所述裝置安裝在一臺服務器上，并與本地NGN網絡或使用SIP協議的網絡與互聯網Internet、移動網PLMN、?其他的NGN網絡或使用SIP協議的網絡之間的三層交換機相連接，或者連接本地NGN中的呼叫代理-會話控制功能P-CSCF節點。

4.一種基于非參數累積和CUSUM算法的檢測SIP消息洪泛攻擊的方法，其特征在于：包括下列操作步驟：

(1)采集層的抓包模塊通過調用其中設有能在UNIX/LINUX系統里提供獨立的用戶級別網絡數據包捕獲接口的捕包函數，獲取本地模塊信息而采集SIP數據包；

(2)數據層把接收到的來自采集層的SIP數據包傳輸到數據預處理模塊，分別統計該數據包中的INVITE消息和REGISTER消息的數量，并將統計結果分別傳送到INVITE數值存儲模塊和REGISTER數值存儲模塊進行存儲；

(3)檢測層的CUSUM模塊分別調用數據層中INVITE數值存儲模塊和REGISTER數值存儲模塊中的數據進行檢測，判斷是否發生SIP消息洪泛攻擊；

(4)響應層中的報警模塊接收檢測層的CUSUM模塊的檢測結果，如果判斷遭到SIP消息洪泛攻擊時，該報警模塊發出報警；

(5)返回步驟(1)，繼續執行檢測SIP消息的相關操作。

5.根據權利要求4所述的方法，其特征在于：所述步驟(1)進一步包括下列操作內容：

(11)抓包模塊通過捕包函數尋找系統中可用的網絡接口模塊，開始監聽會話；

(12)通過編輯過濾字符串來設置過濾器的過濾條件，并制定要捕獲的SIP協議的屬性設置為INVITE或REGISTER的消息，以便能夠有效捕獲設定類型的IP數據包；

(13)執行捕獲循環：每捕獲一個IP數據包后，就調用用戶的回調函數對該IP數據包進行處理。