CN102572840B - 一种利用信令监测技术鉴别新型恶意回拨业务的方法 - Google Patents

Abstract

本发明提出了一种利用信令监测技术鉴别新型恶意回拨业务的方法，其特征在于，包括如下步骤：查找GPRS业务中回拨业务的特征；根据查找到的GPRS业务中回拨平台的特征，对回拨业务的特征码进行检索；根据黑名单特征码的判别策略，对疑似特征码库进行匹配，将满足匹配策略的特征码作为黑名单特征码；针对怀疑的特征码进行跟踪，并进行取证，一旦满足预定策略特征后即作为特征码提交拦截。本发明通过GPRS网络上网记录和A接口呼叫记录关联分析，找到符合回拨业务的信令行为特征，可解决现有技术无法解决的新型回拨业务的鉴别。

Description

一种利用信令监测技术鉴别新型恶意回拨业务的方法

技术领域

本发明涉及电信业务支撑技术领域和电信运营支撑技术领域，特别涉及一种利用信令监测技术鉴别新型恶意回拨业务的方法。

背景技术

回拨业务简称SBIC(SoonBackImprestCall)，是指主叫用户首先呼叫回拨系统，系统挂断后主动回拨给主叫用户，主叫用户按提示交互被叫用户号码，系统负责接通主被叫用户的服务。

回拨业务利用被叫不计费的资费政策，规避通话费用。因用户永不做主叫，没有计费，给运营商带来不少的收入损失，同时扰乱正常的通信市场。对运营商而言，采取有效的监控手段迅速发现该类非法业务，并及时拦截显得尤为必要。

传统的回拨业务采用“回拨卡”方式，设置有该特殊业务的B运营商网络包括关口局和回拨卡服务器，某A运营商用户注册了B运营商的该特殊业务，B运营商提供的该业务是恶意的，使A运营商造成了损失。该特殊业务具体为：在A运营商用户向B运营商用户发起呼叫时，B运营商网络的关口局将呼叫转移到B运营商网络的回拨卡服务器，由回拨卡服务器向A运营商用户发送挂机的语音提示；A运营商用户挂机后，该回拨卡服务器自动回拨该A运营商用户和该B运营商用户，双方都作为被叫接听电话，实现通话。通话时的成本从该A运营商用户向B运营商注册该特殊业务时购买的预付费卡中扣除。该类特殊业务应用的前提是，A运营商用户作为被叫进行通话时不收取话费或因低价包月交纳较低的话费，而作为主叫进行通话时收取的成本较高。这样驱动A运营商用户使用此类特殊业务，利用A运营商网络和B运营商网络之间结算的差异，将原本作为主叫的A运营商用户变作被叫，使得原来由A运营商收取的话费改由B运营商收取。这样，使A运营商不能收取本该收取的话费或减少收费，却增加了B运营商的收入。

而现有的回拨业务鉴别技术，也都是针对传统的回拨卡业务。如申请号为CN200710109357.3的中国专利申请中公开了一种限制恶意回拨卡业务的方法、系统及装置。该方法包括：受损失网络接收确认呼叫建立的消息；受损失网络将经受损失网络发送给提供回拨卡业务网络的双音多频DTMF信令或信号音截断，所述DTMF信令或信号音为所述消息要建立呼叫中传送的DTMF信令或信号音。

发明内容

本发明的实施例公开了一种限制恶意回拨业务的方法、系统及装置。

为了解决上述的技术问题，本发明提出了一种利用信令监测技术鉴别新型恶意回拨业务的方法，包括如下步骤：

A.查找GPRS业务中回拨业务的信令行为特征；

B.根据查找到的GPRS业务中回拨平台的特征，对回拨业务的特征码进行检索；

C.根据黑名单特征码的判别策略，对疑似特征码库进行匹配，将满足匹配策略的特征码作为黑名单特征码；

D.针对怀疑的特征码进行跟踪，并进行取证，一旦满足预定策略特征后即作为特征码提交拦截；

其中，上述过程针对GPRS网络上网记录和A接口呼叫记录进行关联分析。

根据本发明的一个方面，GPRS业务中回拨业务的特征包括如下特征：特征一：借助信令监测系统查询在一段时间内为回拨业务的GPRS上网记录，上网信令记录中的X-ONLINE-HOST和URL均是固定的某值；特征二：利用信令流程解码器，检测GPRS上网记录特征，具体表现在：HTTP的Header报文中包含主叫号码、被叫号码、IMSI、IMEI、账号、密码等信息；特征三：借助信令监测系统查询在一段时间内上面号码在该时段所发生的呼叫记录，将GPRS上网业务记录和呼叫记录进行关联，其特征具体表现为：GPRS上网后预定时间(如：3-5秒、5-15秒、15-60秒等)产生一条使用上网号码作为被叫号码的通话记录。

根据本发明的一个方面，对回拨业务的特征码进行检索具体包括：通过信令监测系统采集GN接口的WAP上网记录，获取到发送号码；通过发送号码及WAP上网记录中的起始时间，将起始时间向后偏移预定时间，如：3-5秒、5-15秒、15-60秒等(可根据实际经验值进行设置)查询以此发送号码作被叫的机器类通信(MTC)呼叫记录；如果该呼叫记录存在则将该上网记录中的X-Online-Host和URL作为特征码保存到特征码池中；如果特征码池中该特征码已经存在则对该特征码出现的次数进行计次统计。

根据本发明的一个方面，，对回拨业务的特征码进行检索的策略参数具体包括：X-Online-Host特征码在WAP上网记录中每X分钟出现次数>＝Y次；URL特征码在WAP上网记录中每X分钟出现次数>＝Y次；X-Online-Host特征码在WAP上网引起MT被叫每X分钟出现次数>＝Y次；URL特征码在WAP上网引起MT被叫每X分钟出现次数>＝Y次；以上策略中的X和Y均可根据实际经验值进行配置，策略间可设为与的关系，也可以设为或的关系。

根据本发明的一个方面，其中的起始时间向后偏移预定时间可以是：3－5秒、5-15秒或15－60秒等。

相比现有技术，本申请提案的技术优点主要有：弥补了现有技术无法对新型回拨业务进行鉴别的不足，通过对GPRS业务和呼叫业务关联分析，根据回拨业务的业务原理和业务行为特征，通过自动特征库检索技术和黑名单跟踪特征码技术，实现新型回拨业务的自动鉴别。

附图说明

下面结合附图及具体实施例对本发明再作进一步详细的说明：

附图1所示为新型回拨业务的呼叫流程；

附图2所示为新型回拨业务的特征识别流程；

具体实施方式

新型的回拨业务，有别于传统的“回拨卡”业务，是将VoIP技术应用于手机电话中，通过GPRS网络接通回拨平台，然后由回拨平台向主叫被叫发起呼叫进行连接。在这种场景下，传统的鉴别技术已经无能为力。

本发明通过GPRS网络上网记录和A接口呼叫记录关联分析，找到符合回拨业务的信令行为特征，可解决现有技术无法解决的新型回拨业务的鉴别。

新型的回拨业务具有的表象特征是：被叫号码话单正常，而主叫查不到相对应的话单，所有的呼叫记录均为被叫，且主叫号码均为外地长途固话号码。

回拨业务平台将VOIP技术应用于手机电话中，通过GPRS网络接通回拨平台，用户在发起呼叫后听到“欢迎使用XX业务”，此时回拨服务开始根据主被叫号码进行接续。

回拨业务工作流程有别于普通的VOIP业务：

1、直接拨打原号码、不需加拨、回拨任何号码；

2、对方显示本机号码；

3、上行通过GPRS网络连接到回拨平台服务器，然后由服务器通过电信运营商关口局分别拨通主叫和被叫用户；

4、语音通话过程不通过数据网络。

首先，回拨业务用户通过GPRS网络将主叫用户的注册帐号及主被叫号码发送到回拨平台服务器。回拨平台服务器根据主叫用户帐号找到对应的主叫号码，通过其他运营商关口局接续到本运营商网络；回拨平台服务器根据被叫用户号码，通过其他运营商关口局接续到本运营商网络。

通过流程分析，发现回拨业务的流程(1)是通过GPRS上网来实现的，只需要阻断回拨业务上网的业务即可实现对回拨业务的阻截。

在本发明的技术方案中，为有效鉴别该类型回拨业务，采取以下措施：

A.首先找到GPRS业务中回拨平台的“特征”；

●特征一：借助信令监测系统查询在一段时间内为回拨业务的GPRS上网记录，发现上网信令记录中的X-ONLINE-HOST和URL均是固定的某值。

●特征二：利用信令流程解码器，发现其上网记录特征表现在：HTTP的Header报文中包含主叫号码、被叫号码、IMSI、IMEI、账号、密码等信息；

●特征三：借助信令监测系统查询在一段时间内上面号码在该时段所发生的呼叫记录，将GPRS上网业务记录和呼叫记录进行关联。其特征表现为：GPRS上网后5-15秒内产生一条使用上网号码作为被叫号码的通话记录。

B.结合上面特征分析及业务原理分析，形成如下的特征库检索流程。

通过信令监测系统采集GN接口的WAP上网记录，获取到发送号码，通过发送号码及WAP上网记录中的起始时间，将起始时间向后偏移5-15秒(可根据实际经验值进行设置为3－5秒、5-15秒或15－60秒等)查询以此发送号码作被叫的MTC呼叫记录。如果该呼叫记录存在则将该上网记录中的X-Online-Host和URL作为特征码保存到特征码池中。如果特征码池中该特征码已经存在则对该特征码出现的次数进行计次统计。

根据经验制定黑名单特征码的判别策略，策略参数包括为：

X-Online-Host特征码在WAP上网记录中每(X分钟)出现次数>＝Y次；

URL特征码在WAP上网记录中每(X分钟)出现次数>＝Y次

X-Online-Host特征码在WAP上网引起MT被叫每(X分钟)出现次数>＝Y次；

URL特征码在WAP上网引起MT被叫每(X分钟)出现次数>＝Y次；

以上策略X\Y均可根据实际经验值进行配置，策略间可设为与的关系，也可以设为或的关系。与疑似特征码库进行匹配，将满足匹配策略的特征码作为黑名单特征码。

C.针对怀疑的特征码进行跟踪，并进行取证，一旦满足上述策略特征后即作为特征码提交拦截。

D.非法回拨平台不定期的对特征码X-ONLINE-HOST和URL进行更新，但使用回拨业务的用户号码不会改变，设定已知的用户号码作为黑名单，并进行锁定跟踪，可实时有效的甄别出新的特征码。

本领域的技术人员应该理解，本发明的方法和装置可以采用硬件、软件、或硬件和软件相结合的方式，通过微处理器、数字信号处理器、现场可编程逻辑单元、或门阵列等各种方式实现。

综上所述，虽然本发明已以优选实施例披露如上，然而其并非用以限定本发明。本发明所属技术领域的普通技术人员，在不脱离本发明的精神和范围内，可作各种变动与修饰。因此，本发明的保护范围当视所附的权利要求所界定的范围为准。

Claims (5)

1.一种利用信令监测技术鉴别新型恶意回拨业务的方法，其特征在于，包括如下步骤：

A.查找GPRS业务中回拨业务的信令行为特征；

B.根据查找到的GPRS业务中回拨平台的特征，对回拨业务的特征码进行检索；

C.根据黑名单特征码的判别策略，对疑似特征码库进行匹配，将满足匹配策略的特征码作为黑名单特征码；

D.针对怀疑的特征码进行跟踪，并进行取证，一旦满足预定策略特征后即作为特征码提交拦截；

其中，上述过程针对GPRS网络上网记录和A接口呼叫记录进行关联分析；

其中GPRS业务中回拨业务的特征包括如下特征：

特征一：借助信令监测系统查询在一段时间内为回拨业务的GPRS上网记录，上网信令记录中的X-ONLINE-HOST和URL均是固定的某值；或

特征二：利用信令流程解码器，检测GPRS上网记录特征，具体表现在：HTTP的Header报文中包含以下信息：主叫号码、被叫号码、国际移动台识别码(IMSI)、国际移动设备标号(IMEI)、账号、密码；或

特征三：借助信令监测系统查询在一段时间内上面号码在该时段所发生的呼叫记录，将GPRS上网业务记录和呼叫记录进行关联，其特征具体表现为：GPRS上网后预定时间内产生一条使用上网号码作为被叫号码的通话记录；

其中对回拨业务的特征码进行检索具体包括：

通过信令监测系统采集GN接口的WAP上网记录，获取到发送号码；

通过发送号码及WAP上网记录中的起始时间，将起始时间向后偏移预定时间，查询以此发送号码作被叫的机器类通信(MTC)呼叫记录；

如果该呼叫记录存在则将该上网记录中的X-Online-Host和URL作为特征码保存到特征码池中；

如果特征码池中该特征码已经存在则对该特征码出现的次数进行计次统计；

其中，为了应对非法回拨平台不定期的对特征码X-ONLINE-HOST和URL进行更新，设定已知的用户号码作为黑名单，并进行锁定跟踪，以实时有效的甄别出新的特征码。

2.如权利要求1所述的方法，其中，对回拨业务的特征码进行检索的策略参数具体包括：

X-Online-Host特征码，在WAP上网记录中每X分钟出现次数>＝Y次；

URL特征码，在WAP上网记录中每X分钟出现次数>＝Y次；

X-Online-Host特征码，在WAP上网引起MT被叫每X分钟出现次数>＝Y次；

URL特征码，在WAP上网引起MT被叫每X分钟出现次数>＝Y次；

以上策略中的X和Y均可根据实际经验值进行配置，策略间可设为与的关系，也可以设为或的关系。

3.如权利要求1所述的方法，其中，预定时间为3－5秒。

4.如权利要求1所述的方法，其中，预定时间为5－15秒。

5.如权利要求1所述的方法，其中，预定时间为15－60秒。