CN102438244A

CN102438244A - 检测方法和检测装置

Info

Publication number: CN102438244A
Application number: CN2010105062203A
Authority: CN
Inventors: 郭代飞; 隋爱芬
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2010-09-29
Filing date: 2010-09-29
Publication date: 2012-05-02
Anticipated expiration: 2030-09-29
Also published as: CN102438244B

Abstract

本发明涉及一种检测方法和检测装置，其中，检测方法包括：当监测到无线应用协议网关向移动信息交换中心或服务提供商发送表示第一用户请求订购服务的第一订购请求时，判断所述第一用户是否是处于在线状态；以及，如果所述判断结果为否定，则确定所述第一订购请求是虚假的订购请求。利用所述检测方法和检测装置，能够在不增加用户操作的情况下检测出虚假订购请求，从而减少甚至消除用户被进行恶意服务订购。

Description

检测方法和检测装置

技术领域

本发明涉及通信领域，尤其涉及一种检测方法和检测装置，即用于检测虚假的订购请求的方法和装置。

背景技术

在移动通信网络中，服务提供商(SP)经由网络运营商的网络向移动用户提供许多基于无线应用协议(WAP)/WEB的增值服务。网络运营商根据移动信息服务中心(MISC)或可信的SP所提供的服务使用纪录和服务订购来对用户收取费用。

图1示出了现有系统下的服务订购和计费过程。如图1所示，当一个用户利用其移动终端接入通用分组无线业务(GPRS)分组网络时，GPRS分组网络中的网关通用分组无线业务支持节点(GGSN)向远程用户拨号认证服务(RADIUS)服务器发送一个包含用户的网络(IP)地址和移动台国际号码(MSISDN)的计费开始请求(Accounting-request/start)消息。RADIUS服务器接收来自GGSN的计费开始请求消息并将其转发给无线应用协议(WAP)网关。WAP网关收到来自RADIUS服务器的计费开始请求消息后，存储计费开始请求消息中所包含的用户的IP地址和MSISDN的映射关系，然后向RADIUS服务器发送一个计费开始响应(Accounting-response/start)消息。RADIUS服务器将从WAP网关接收到的计费开始响应消息转发给GGSN。当用户想订购一个服务时，用户利用其移动终端向WAP网关发送一个包含所要订购的服务的统一资源标识符(URL)以及用户的IP地址和MSISDN的订购请求(order request)。当收到用户的移动终端发送的订购请求后，WAP网关将订购请求的源地址修改为WAP网关的IP地址，并将修改后的订购请求转发给MISC或可信的SP。接收到订购请求后，MISC或可信的SP通过根据订购请求的源地址确定订购请求是否来自WAP网关，来判断订购请求是否是正常的订购请求，并且如果判断结果为肯定，则MISC或可信的SP认为所接收的订购请求是正常的订购请求并对用户进行计费，然后向WAP网关返回订购响应(order response)。WAP网关将从MISC或可信的SP接收到的订购响应返回给用户。

在上面描述的服务订购过程中，MISC或可信的SP判断所接收的订购请求是有效的订购请求的依据是订购请求来自WAP网关，但这样的判断存在缺陷，因为一些恶意SP或攻击者可以通过冒充用户来产生虚假订购请求并经由WAP网关发送给MISC或可信的SP，从而使用户在不知情的情况下被恶意订购服务。

目前，用户被恶意订购服务包括以下四种情形。第一种情形是攻击者直接篡改订购请求中的用户的MSISDN并冒充用户经由WAP网关向MISC或可信的SP发送虚假订购请求。第二种情形是攻击者篡改订购请求中的用户的MSISDN并经由HTTPS隧道协议通过WAP网关向MISC或可信的SP发送该修改后的订购请求。第三种情形是攻击者在WAP网关上安装木马代理并经由木马代理假冒WAP网关向MISC或可信的SP发送虚假订购请求。第四种情形是攻击者在WAP网关上安装木马程序并且木马程序假冒WAP网关直接向MISC或可信的SP发送虚假订购请求。

为了防止用户被恶意订购服务，人们已经提出了一些解决方案。其中一种解决方案是二次确认方法。在该二次确认方法中，当用户想订购一项短信(SMS)/多媒体短息(MMS)服务时，用户需要向MISC或可信的SP发送一个订购短信。收到来自用户的订购短信后，MISC或可信的SP首先对该用户进行认证，然后在认证通过后向该用户发送短信通知其发送另一确认短信来完成订购过程。该二次确认方法确实能够防止了用户被恶意订购服务，但由于用户每订购一项服务需要发送两次短信，所以这个方法对于用户来说不是很方便。

另一种解决方案是MSISDN替换方法。在该MSISDN替换方法中，当WAP网关收到来自用户的订购请求时，WAP网关从之前在从RADIUS服务器接收到计费开始请求消息时所存储的用户的IP地址和MSISDN的映射关系中，提取出与所接收的订购请求中所包含的用户的IP地址相对应的MSISDN，并使用所提取的MSISDN来替换所接收的订购请求中所包含的用户的MSISDN，从而避免了攻击者通过篡改订购请求中的MSISDN来进行恶意服务订购。但是，该MSISDN替换方法不能防止攻击者冒充WAP网关发送虚假订购请求给MISC或可信的SP来进行恶意服务订购的情形。

发明内容

考虑到现有技术的上述缺陷，本发明的实施例提出一种检测方法和检测装置，其能够在不增加用户操作的情况下检测出虚假订购请求，从而减少甚至消除用户被进行恶意服务订购。

按照本发明的一种检测方法，包括步骤：当监测到无线应用协议网关向移动信息交换中心或服务提供商发送表示第一用户请求订购服务的第一订购请求时，判断所述第一用户是否是处于在线状态；以及，如果所述判断结果为否定，则确定所述第一订购请求是虚假的订购请求。

按照本发明的一种检测装置，包括：网关监测模块，用于监测无线应用协议网关向移动信息交换中心或服务提供商发送的表示第一用户请求订购服务的第一订购请求；以及，分析模块，用于判断所述第一用户是否是处于在线状态，以及当所述判断结果为否定时，确定所述第一订购请求是虚假的订购请求。

附图说明

本发明的目的、特点、特征和优点通过以下结合附图的详细描述将变得更加显而易见。其中：

图1示出了现有系统下的服务订购和计费过程；

图2是示出按照本发明一个实施例的系统架构示意图；

图3是示出按照本发明一个实施例的检测方法的流程示意图；以及

图4是示出按照本发明一个实施例的检测装置的结构示意图。

具体实施方式

下面将结合附图详细描述本发明的各个实施例。

图2是示出按照本发明一个实施例的系统架构示意图。如图2所示，在图1所示现有系统的基础上增加了检测装置100，其中，检测装置100用于监测RADIUS服务器200向WAP网关300发送计费开始请求消息和计费停止请求(Accounting-request/stop)消息以及WAP网关300接收订购请求，以获取在线用户信息列表和由WAP网关300所接收的订购请求的接收订购请求列表。此外，检测装置100还用于监测WAP网关300向MISC或可信的SP 400发送订购请求，并利用所获取的在线用户信息列表和接收订购请求列表，来判断WAP网关300向MISC或可信的SP 400发送的订购请求是正常的订购请求还是虚假的订购请求。

以下是获取在线用户信息列表的一个示例。当检测装置100监测到RADIUS服务器200向WAP网关300发送计费开始请求消息时，表明一个用户接入了GPRS分组网络(即表明该用户处于在线状态)，从而检测装置100把该计费开始请求消息中所包含的该用户的网络(IP)地址和移动台国际号码(MSISDN)作为该用户的用户信息存储到在线用户信息列表中。当检测装置100监测到RADIUS服务器200向WAP网关300发送计费停止请求消息时，表明一个用户退出了GPRS分组网络(即表明该用户处于离线状态)，检测装置100从所存储的在线用户信息列表中删除其IP地址和MSISDN与该计费停止请求消息中所包含的该用户的IP地址和MSISDN相同的用户信息。

以下是获取接收订购请求列表的一个示例。当检测装置100监测到WAP网关300接收一个订购请求时，检测装置100从该订购请求中提取出用于标识该订购请求的特征信息并存储到接收订购请求列表中。在这里，用于标识订购请求的特征信息可以是但不局限于订购请求中包含的所订购服务的URL和用户的IP地址，或者，所订购服务的URL和用户的MSISDN，或者，所订购服务的URL以及用户的IP地址和MSISDN。

图3是示出按照本发明一个实施例的检测方法的流程示意图。如图3所示，当检测装置100监测到WAP网关300向MISC或可信的SP 400发送一个表示用户Y请求订购服务F的订购请求DG时，检测装置100通过确定之前所获取的在线用户信息列表中是否包含有其IP地址与订购请求DG中所包含的用户Y的IP地址相同的用户信息，来判断用户Y是否处于在线状态(步骤S200)。

如果步骤S200的判断结果为否定，则检测装置100确定订购请求DG是虚假的订购请求(步骤S210)。这是因为，如果在线用户信息列表中没有包含其IP地址与订购请求DG中所包含的用户Y的IP地址相同的用户信息，则表明用户Y处于离线状态，由于离线的用户是不可能发送订购请求的，即订购请求DG不是用户Y发送的，所以确定订购请求DG是虚假的订购请求。

如果步骤S200的判断结果为肯定，则检测装置100通过确定在线用户信息列表所包含的其IP地址与订购请求DG中所包含的用户Y的IP地址相同的用户信息所包含的MSISDN是否与订购请求DG中所包含的用户Y的MSISDN相同，进一步判断订购请求DG所包含的用户Y的MSISDN是否已被篡改(步骤S220)。

如果步骤S220的进一步判断结果为否定，则表明订购请求DG所包含的用户Y的MSISDN已被篡改，从而检测装置100确定订购请求DG是虚假的订购请求(步骤S210)。

如果步骤S220的进一步判断结果为肯定，则检测装置100从订购请求DG中提取用于标识订购请求DG的特征信息(步骤S230)。

检测装置100通过确定之前所获取的接收订购请求列表中是否包含有与所提取的用于标识订购请求DG的特征信息相同的特征信息，来再进一步判断WAP网关300是否从用户Y接收过与订购请求DG相同的订购请求(步骤S240)。

如果步骤S240的再进一步判断结果为否定，则检测装置100确定订购请求DG是虚假的订购请求(步骤S210)。这是因为，如果接收订购请求列表中没有包含与所提取的用于标识订购请求DG的特征信息相同的特征信息，则表明用户Y没有向WAP网关300发送过与订购请求DG相同的订购请求，所以订购请求DG是攻击者在WAP网关300中伪造的订购请求。

如果步骤S240的再进一步判断结果为肯定，则检测装置100确定订购请求DG是正常的订购请求(步骤S250)。

图4是示出按照本发明一个实施例的检测装置的结构示意图。如图4所示，检测装置100包括存储模块102、用户监测模块104、请求监测模块106、网关监测模块108和分析模块110。

其中，存储模块102用于存储在线用户信息列表和接收订购请求列表。

用户监测模块104用于监控RADIUS服务器200向WAP网关300发送的计费开始请求消息和计费停止请求消息，以获取存储模块102中所存储的在线用户信息列表。具体地，当用户监测模块104监测到RADIUS服务器200向WAP网关300发送计费开始请求消息时，用户监测模块104把该监测的计费开始请求消息中所包含的用户的IP地址和MSISDN作为该用户的用户信息存储到存储模块102的在线用户信息列表中，以及，当用户监测模块104监测到RADIUS服务器200向WAP网关300发送计费停止请求消息时，用户监测模块104从存储模块102所存储的在线用户信息列表中删除其IP地址和MSISDN与该计费停止请求消息中所包含的用户的IP地址和MSISDN相同的用户信息。

请求监测模块106用于监测WAP网关300接收订购请求，以及当监测到WAP网关300接收到一个订购请求时，从该监测到的订购请求中提取出用于标识其的特征信息并存储到存储模块102的接收订购请求列表中。

网关监测模块108用于监测WAP网关300向MISC或可信的SP 400发送订购请求。

分析模块110用于当网关监测模块110监测到WAP网关300向MISC或可信的SP 400发送订购请求时，执行上面描述的步骤S200-S250，以确定WAP网关300向MISC或可信的SP 400发送的订购请求是虚假的订购请求还是正常的订购请求。

其它变形

本领域技术人员应当理解，虽然在上面描述的实施例中，通过确定在线用户信息列表中是否包含有其IP地址与订购请求DG中所包含的用户Y的IP地址的用户信息来判断用户Y是否处于在线状态，但是，本发明并不局限于此。在本发明的其它实施例中，例如也可以通过查询GPRS分组网络中用户Y的归属位置寄存器所记录的用户Y的状态来判断用户Y是否处于在线状态，或者，也可以通过检查计费网关或业务运营支撑系统(BOSS)所接收的话单(CDR)来确定当订购请求DG被用户发送时用户Y是否处于在线状态。

本领域技术人员应当理解，虽然在上面描述的实施例中，用户监测模块104通过监测RADIUS服务器200发送给WAP网关300的计费开始请求消息和计费停止请求消息来获取在线用户信息列表，然而，本发明并不局限于此。

在本发明的其它实施例中，例如，用户监测模块104也可以通过监测GPRS网络中的通用分组无线业务服务支持节点(SGSN)向GGSN发送的创建分组报文协议上下文请求消息(Create PDP Context Request)、更新分组报文协议上下文请求消息(Update PDP Context Request)和删除分组报文协议上下文请求消息(Delete PDP Context Request)以及GGSN向SGSN发送的创建分组报文协议上下文响应消息(Create PDP Context Response)、更新分组报文协议上下文响应消息(Update PDP Context Response)和删除分组报文协议上下文响应消息(Delete PDP Context Response)来获取在线用户信息列表。具体地，当用户监测模块104监测到SGSN向GGSN发送的创建分组报文协议上下文请求消息和GGSN向SGSN发送的与该创建分组报文协议上下文请求消息对应的创建分组报文协议上下文响应消息时，用户监测模块104将所监测的创建分组报文协议上下文响应消息中所包括的用户的IP地址和所监测的创建分组报文协议上下文请求消息所包含的用户的MSISDN一起作为该用户的用户信息存储到在线用户信息列表中，当用户监测模块104监测到SGSN向GGSN发送的更新分组报文协议上下文请求消息和GGSN向SGSN发送的与该更新分组报文协议上下文请求消息对应的更新分组报文协议上下文响应消息时，用户监测模块104将所监测的更新分组报文协议上下文响应消息中所包括的用户的IP地址和所监测的更新分组报文协议上下文请求消息中所包括的用户的MSISDN一起作为该用户的用户信息存储到在线用户信息列表中，以及，当用户监测模块104监测到SGSN向GGSN发送的删除分组报文协议上下文请求消息和GGSN向SGSN发送的与该删除分组报文协议上下文请求消息对应的删除分组报文协议上下文响应消息时，用户监测模块104从在线用户信息列表中删除其IP地址和MSISDN与所监测的删除分组报文协议上下文响应消息中所包括的用户的IP地址和MSISDN相同的用户信息。

本领域技术人员应当理解，虽然在上面描述的实施例中，分析模块110通过判断(A)用户Y是否处于在线状态、(B)订购请求DG中所包含的用户Y的MSISDN是否已被篡改以及(C)WAP网关300是否接收过与订购请求DG相同的订购请求，来确定订购请求DG是虚假的订购请求还是正常的订购请求，然而，本发明并不局限于此。

在本发明的其它实施例中，分析模块110也可以仅通过判断上述(A)-(C)中的任意一个或两个来确定订购请求DG是虚假的订购请求还是正常的订购请求。

而且，分析模块110可以对上述(A)-(C)进行判断的先后顺序进行任意组合。

本领域技术人员应当理解，虽然在上面描述的实施例中，检测装置100位于WAP网关300之外，但是，本发明并不局限于此。在本发明的其它实施例中，检测装置100也可以位于WAP网关300中。

本领域技术人员应当理解，用于标识订购请求的特征信息可以是但不局限于订购请求中包含的所订购服务的URL和用户的IP地址，或者，所订购服务的URL和用户的MSISDN，或者，所订购服务的URL以及用户的IP地址和MSISDN等。

本领域技术人员应当理解，检测装置100还可以包括防护模块，用于当确定订购请求DG是虚假的订购请求时，应用预定的相关防护策略来防止用户Y被恶意订购服务。此外，本领域技术人员应当理解，检测装置100中的存储模块102还可以用于存储防护模块执行所述预定的相关防护策略之后的防护结果。

本领域技术人员应当理解，检测装置100可以利用软件、硬件或者软硬件结合的方式来实现。

本领域技术人员应当理解，上面所公开的各个实施例可以在不偏离发明实质的情况下做出各种改变和修改，这些改变和修改都应当落在本发明的保护范围之内。因此，本发明的保护范围应当由所附的权利要求书来限定。

Claims

1.一种检测方法，包括步骤：

当监测到无线应用协议网关向移动信息交换中心或服务提供商发送表示第一用户请求订购服务的第一订购请求时，判断所述第一用户是否是处于在线状态；以及

如果所述判断结果为否定，则确定所述第一订购请求是虚假的订购请求。

2.如权利要求1所述的检测方法，其中：

根据之前获取的一个在线用户信息列表中是否包含有其网络地址与所述第一订购请求中所包含的所述第一用户的网络地址相同的用户信息，来判断所述第一用户是否是处于在线状态，

其中，所述在线用户信息列表中包括处于在线状态的各用户的用户信息。

3.如权利要求2所述的检测方法，其中，还包括步骤：

如果所述判断结果为肯定，则进一步判断所述第一订购请求中所包含的所述第一用户的移动台国际号码是否已被篡改；以及

如果所述进一步判断结果为肯定，则确定所述第一订购请求是虚假的订购请求。

4.如权利要求3所述的检测方法，其中：

根据所述在线用户信息列表所包含的其网络地址与所述第一订购请求中所包含的所述第一用户的网络地址相同的所述用户信息所包含的移动台国际号码是否与所述第一订购请求中所包含的所述第一用户的移动台国际号码相同，进一步判断所述第一订购请求中所包含的所述第一用户的移动台国际号码是否已被篡改。

5.如权利要求2或4所述的检测方法，其中，

所述在线用户列表是通过监测远程用户拨号认证服务服务器向所述无线应用协议网关发送的计费开始请求消息和计费停止请求消息来获取的，或者是通过监测通用分组无线业务服务支持节点向网关通用分组无线业务支持节点发送的创建分组报文协议上下文请求消息、更新分组报文协议上下文请求消息和删除分组报文协议上下文请求消息以及所述网关通用分组无线业务支持节点向所述通用分组无线业务服务支持节点发送的创建分组报文协议上下文响应消息、更新分组报文协议上下文响应消息和删除分组报文协议上下文响应消息来获取的。

6.如权利要求1所述的检测方法，其中，还包括步骤：

如果所述判断结果为肯定，则再进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求；以及

如果所述再进一步判断结果为否定，则确定所述第一订购请求是虚假的订购请求。

7.如权利要求3所述的检测方法，其中，还包括步骤：

如果所述进一步判断结果为肯定，则再进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求；以及

8.如权利要求6或7所述的检测方法，其中：

根据之前所获取的一个接收订购请求列表中是否包含有与从所述第一订购请求中提取的用于标识所述第一订购请求的特征信息相同的特征信息，来再进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求，

其中，所述接收订购请求列表中包括从所述无线应用协议网关接收的各个订购请求中提取的用于标识所述各个订购请求的特征信息。

9.一种检测装置，包括：

网关监测模块，用于监测无线应用协议网关向移动信息交换中心或服务提供商发送的表示第一用户请求订购服务的第一订购请求；以及

分析模块，用于判断所述第一用户是否是处于在线状态，以及当所述判断结果为否定时，确定所述第一订购请求是虚假的订购请求。

10.如权利要求9所述的检测装置，其中，还包括：

用户监测模块，用于获取包括处于在线状态的各用户的用户信息的在线用户列表；以及

存储模块，用于存储所述在线用户列表，

其中，所述分析模块进一步用于根据所述存储模块存储的所述在线用户列表是否包含有其网络地址与所述第一订购请求所包含的所述第一用户的网络地址相同的用户信息，来判断所述第一用户是否是处于在线状态。

11.如权利要求10所述的检测装置，其中，

所述分析模块还用于当所述判断结果为肯定时，进一步判断所述第一订购请求中所包含的所述第一用户的移动台国际号码是否已被篡改，并且当所述进一步判断结果为肯定时，确定所述第一订购请求是虚假的订购请求。

12.如权利要求11所述的检测装置，其中，

所述分析模块进一步用于根据所述在线用户信息列表所包含的其网络地址与所述第一订购请求中所包含的所述第一用户的网络地址相同的所述用户信息所包含的移动台国际号码是否与所述第一订购请求中所包含的所述第一用户的移动台国际号码相同，来进一步判断所述第一订购请求中所包含的所述第一用户的移动台国际号码是否已被篡改。

13.如权利要求10或12所述的检测方法，其中，

所述用户监测模块还用于通过监测远程用户拨号认证服务服务器向所述无线应用协议网关发送的计费开始请求消息和计费停止请求消息来获取所述在线用户列表，或者通过监测通用分组无线业务服务支持节点向网关通用分组无线业务支持节点发送的创建分组报文协议上下文请求消息、更新分组报文协议上下文请求消息和删除分组报文协议上下文请求消息以及所述网关通用分组无线业务支持节点向所述通用分组无线业务服务支持节点发送的创建分组报文协议上下文响应消息、更新分组报文协议上下文响应消息和删除分组报文协议上下文响应消息来获取所述在线用户列表。

14.如权利要求9或所述的检测装置，其中，

所述分析模块还用于当所述判断结果为肯定时，再进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求，并且当所述再进一步判断结果为否定时，确定所述第一订购请求是虚假的订购请求。

15.如权利要求11所述的检测装置，其中，

所述分析模块还用于当所述进一步判断结果为肯定时，再进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求，并且当所述再进一步判断结果为否定时，确定所述第一订购请求是虚假的订购请求。

16.如权利要求14或15所述的检测装置，其中，还包括：

请求监测模块，用于获取包括从所述无线应用协议网关接收的各个订购请求中提取的用于标识所述各个订购请求的特征信息的接收订购请求列表，以及

存储模块，用于存储所述接收订购请求列表；

其中，所述分析模块进一步用于根据所述存储模块所存储的所述订购请求列表中是否包有与从所述第一订购请求中提取的用于标识所述第一订购请求的特征信息相同的特征信息，来进一步判断所述无线应用协议网关是否从所述第一用户接收过与所述第一订购请求相同的订购请求。