[發明專利]一種4G移動通信網絡HSS信令防護方法及裝置

有效

• 申請號: 202110343951.9
• 申請日: 2021-03-30
• 公開（公告）號: CN113115314B
• 公開（公告）日: 2022-11-01
• 發明（設計）人: 趙宇;柏溢;王凱;李星;李英樂;劉彩霞;劉樹新;陳云杰;鞏小銳;馮莉;王領偉;葛東東
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: H04W12/122
• 分類號: H04W12/122
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 石丹丹

本發明屬于移動通信技術領域，特別涉及一種4G移動通信網絡HSS信令防護方法及裝置，該方法包括對Diameter信令協議快速識別與過濾；對篩選后的Diameter信令協議族的底層協議進行安全檢測；對Diameter信令協議應用層進行合規性檢測；基于Diameter信令協議的異常行為檢測。該信令防護裝置以無感串接或者并接的方式接入HSS設備與DRA設備之間，具備信令防護功能，包括識別過濾模塊、底層信令協議檢測模塊、合規性檢測模塊和異常行為檢測模塊。本發明具備異常信令檢測和防護能力，從信令層面保證4G移動通信網絡安全。

技術領域

本發明屬于移動通信技術領域，特別涉及一種4G移動通信網絡HSS信令防護方法及裝置。

背景技術

4G移動通信網絡是當前我國建設完備、覆蓋面積廣，用戶最多的移動通信系統。4G移動通信網絡主要由接入網提供移動終端接入認證、由EPC（Evolved packet Core）提供數據業務，由專用IMS（IP Multi-media Subsystem，IP多媒體子系統）提供多媒體業務（包括VoLTE），組網如圖2所示。

IMS和EPC網絡中的HSS保存著用戶的重要信息，在EPC網絡中該實體與MME（Mobility Management Entity，移動管理實體）、IP-GW（IP-Gateway，IP網關）等實體連接，面臨著外部網絡信令攻擊的風險；在IMS中與S/I-CSCF（Serving/ Interrogating - CallSession Control Function，服務/查詢呼叫會話控制功能）和AS（Application Server，應用服務器）等實體連接，面臨著誤操作風險，同時也存在被預置后門和木馬的可能，后門和木馬可操控HSS向外發送攻擊信令。

發明內容

針對現有技術中存在的問題，本發明提出了一種4G移動通信網絡HSS信令防護方法及裝置，對IMS和EPC網絡的HSS相關接口進行信令檢測及防護。

為了實現上述目的，本發明采用以下的技術方案：

本發明提供了一種4G移動通信網絡HSS信令防護方法，包含以下步驟：

對Diameter信令協議快速識別與過濾；

對篩選后的Diameter信令協議族的底層協議進行安全檢測；

對Diameter信令協議應用層進行合規性檢測；

基于Diameter信令協議的異常行為檢測。

進一步地，所述對Diameter信令協議快速識別與過濾包括：

采用SCTP的指示字段和承載內容的特殊字節來快速過濾所需檢測信令。

進一步地，所述采用SCTP的指示字段和承載內容的特殊字節來快速過濾所需檢測信令包括：

首先判斷Chunk type字段，若該字段為0，代表為數據類型；

然后判斷Payload protocol identifier字段，若該字段為46，代表為Diameter協議基礎協議，若該字段為0，代表為Diameter其它應用協議；

最后通過SCTP的承載內容中的第一個字節來判斷，即Diameter的版本號信息，當前Diameter只有版本1，因此，若第一個字節為1，則代表為Diameter協議，然后過濾該消息后進一步處理。

進一步地，所述對篩選后的Diameter信令協議族的底層協議進行安全檢測，包括：

所述Diameter信令協議族的底層協議包括IP層協議和SCTP層協議；

對IP層檢測只需要設置DRA的IP白名單，若接收到其它IP地址的數據包，則該消息判斷為攻擊消息，作告警處理；