[發(fā)明專(zhuān)利]對(duì)不完整會(huì)話攻擊進(jìn)行檢測(cè)的方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 200910081215.X
• 申請(qǐng)日: 2009-03-30
• 公開(kāi)（公告）號(hào): CN101854333A
• 公開(kāi)（公告）日: 2010-10-06
• 發(fā)明（設(shè)計(jì)）人: 陳斌;張喆;吳平
• 申請(qǐng)（專(zhuān)利權(quán)）人: 華為技術(shù)有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L9/36
• 代理公司: 北京凱特來(lái)知識(shí)產(chǎn)權(quán)代理有限公司 11260
• 代理人: 鄭立明

1.一種對(duì)不完整會(huì)話攻擊進(jìn)行檢測(cè)的方法，其特征在于，包括：

獲取在一個(gè)不完整會(huì)話攻擊的檢測(cè)周期內(nèi)，用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量；

根據(jù)所述用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量，以及預(yù)定的閾值，檢測(cè)所述用戶(hù)是否發(fā)起了不完整會(huì)話攻擊。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述的用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量包括：

已注冊(cè)用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量；

或者，

特定的用戶(hù)接入網(wǎng)段中的未注冊(cè)用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述的不完整會(huì)話攻擊的檢測(cè)周期大于一個(gè)會(huì)話的超時(shí)時(shí)長(zhǎng)。

4.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述的根據(jù)所述用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和所述用戶(hù)收到的成功建立會(huì)話的響應(yīng)數(shù)量，以及預(yù)定的閾值，檢測(cè)所述用戶(hù)是否發(fā)起了不完整會(huì)話攻擊包括：

確定所述用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和收到的成功建立會(huì)話的響應(yīng)數(shù)量之間的差值，判斷所述差值是否大于預(yù)定的第一閥值，如果是，則確定所述用戶(hù)發(fā)起了不完整會(huì)話攻擊。

5.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述的根據(jù)所述用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量和所述用戶(hù)收到的成功建立會(huì)話的響應(yīng)數(shù)量，以及預(yù)定的閾值，檢測(cè)所述用戶(hù)是否發(fā)起了不完整會(huì)話攻擊包括：

計(jì)算所述用戶(hù)發(fā)起的會(huì)話初始請(qǐng)求數(shù)量session_setup_initial_request[n]和收到的成功建立會(huì)話的響應(yīng)數(shù)量session_setup_final_response[n]之間的差值Δ[n]，所述Δ[n]的計(jì)算方法如下：

Δ[n]＝session_setup_initial_request[n]-session_setup_final_response[n]

(n＝0，1，2...)

對(duì)所述Δ[n]進(jìn)行平滑處理得到X[n]，所述X[n]的計(jì)算方法如下：

smoothed_fn[0]＝0；

smoothed_fn[n]＝α*smoothed_fn[n-1]+(1-α)*session_setup_final_response[n]

(n＝1，2，...n)

X[n]＝Δ[n]/smoothed_fn[n]

所述α∈[0..1]，為預(yù)定義常量；

計(jì)算X2[n]＝X[n]-max_avg_X，其中max_avg_X為網(wǎng)絡(luò)不含攻擊情況下的X[n]期望的最大值，設(shè)置判定序列Y[n]，所述Y[n]的計(jì)算方法如下：

Y[0]＝0，當(dāng)Y[n-1]+X2[n]＞0時(shí)，Y[n]＝Y(jié)[n-1]+X2[n]；當(dāng)Y[n-1]+X2[n]＜＝0時(shí)，則Y[n]＝0；

判斷所述Y[n]是否大于預(yù)定的第二閥值，如果是，則判斷所述用戶(hù)發(fā)起了不完整會(huì)話攻擊；否則，則判斷所述用戶(hù)沒(méi)有發(fā)起不完整會(huì)話攻擊。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述的方法還包括：

當(dāng)所述Y[n]大于預(yù)定的第二閥值，并判斷所述用戶(hù)發(fā)起了不完整會(huì)話攻擊后，對(duì)所述Y[n]進(jìn)行減少處理，使所述Y[n]在下個(gè)檢測(cè)周期到來(lái)前，低于所述預(yù)定的第二閥值。

7.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述的方法還包括：

在判斷所述用戶(hù)發(fā)起了不完整會(huì)話攻擊后，對(duì)所述用戶(hù)發(fā)起的會(huì)話進(jìn)行取消或拒絕處理；或者，

在安全日志中記錄所述用戶(hù)的攻擊行為，上報(bào)不完整會(huì)話攻擊告警。

8.一種對(duì)不完整會(huì)話攻擊進(jìn)行檢測(cè)的方法，其特征在于，包括：

確定用戶(hù)發(fā)起的處于會(huì)話建立中的會(huì)話總數(shù)，所述處于會(huì)話建立中的會(huì)話類(lèi)型包括：已經(jīng)被用戶(hù)發(fā)起的會(huì)話、或者未被成功建立的會(huì)話、或者未因?yàn)榻⑹《顺龅臅?huì)話；

判斷所述處于會(huì)話建立中的會(huì)話總數(shù)是否大于預(yù)先設(shè)定的第三閥值，如果是，則確定所述用戶(hù)發(fā)起了不完整會(huì)話攻擊。

9.根據(jù)權(quán)利要求8所述的對(duì)不完整會(huì)話攻擊進(jìn)行檢測(cè)的方法，其特征在于，所述方法還包括：

在確定所述用戶(hù)發(fā)起了不完整會(huì)話攻擊后，拒絕所述用戶(hù)發(fā)起的新的會(huì)話請(qǐng)求。