CN103260190A - 基于演进分组系统网路的安全审计系统及其方法 - Google Patents

Abstract

本发明公开了一种基于演进分组系统网络的安全审计系统及其方法，属于移动互联网领域。本系统包括演进分组系统，演进分组系统包括演进分组核心网和演进通用陆地无线接入网；演进分组核心网包括移动管理实体和移动网关；演进通用陆地无线接入网包括第1演进型基站、第2演进型基站……第N演进型基站，N为自然数，N小于5；设置有数据采集模块、数据分析模块和数据库模块；演进分组系统、数据采集模块、数据分析模块和数据库模块依次连接。本发明基于网络安全的考虑，能适用于LTE网络，考虑大流量时，如何做到较低的丢包率，本发明采用基于IP的分发均衡策略，结合端口识别和静态特征识别，可以快速准确的识别用户的行为，为LTE的建设奠定了安全基础。

Description

基于演进分组系统网路的安全审计系统及其方法

技术领域

本发明属于移动互联网领域，具体涉及一种基于LTE的安全审计系统及其方法。 

背景技术

全球的移动用户突破60亿，虽然3G（第三代移动通信技术）市场呈现快速增长的趋势，但是国内外对其后续演进技术的研发早已展开了。有以下三大演进路线：一是WCDMA和TD-SCDMA，演进到LTE（演进分组系统）；二是802.16m的WIMAX路线；三是CDMA2000演进到UMB。其中第三条路线也向LTE发展了，可见LTE路线是最热门的发展方向。LTE在3G网络中进行了比较大的改进，实现了网元的精简和智能化，网络架构也逐渐趋于扁平化，目前，全球已经开始大规模的部署LTE，网络安全导致的很多问题也随之而来。 

基于移动互联网的安全审计系统，目前比较普遍都是针对2G（第三代移动通信技术）和3G网络，涉及LTE的安全审计系统很少，由于全球已经展开LTE的部署，研究基于LTE的安全审计系统势在必行。随着IT技术的不断发展，如何解决超大流量中数据的快速采集，报文和会话的不完整、数据信令关联错误情况，这些问题越发突出。 

发明内容

本发明的目的就在于克服现有技术存在的缺点和不足，提供一种基于LTE的安全审计系统及其方法，为部署LTE提供了安全保证。 

实现本发明目的的技术方案是： 

本发明是基于LTE的，实现用户行为的统计，是基于LTE的安全审计系统的实现。全国在大规模的部署LTE，针对日益严重的安全问题，能够提取LTE中的用户行为成为一项重要的课题。本发明结合数据截获技术，协议分析技术，AC多模式匹配算法实现用户行为的截获和统计，包括用户操作什么协议，使用协议的时间，次数，流量以及用户所在的基站位置。首先针对目前大流量问题，本发明采用IP分发策略可以实现单服务器7G流量的处理，结合端口识别和静态特征识别技术能够更加准确和高效的识别用户的行为。

一 基于LTE的安全审计系统(简称系统) 

本系统包括演进分组系统，演进分组系统包括演进分组核心网和演进通用陆地无线接入网；演进分组核心网包括移动管理实体和移动网关；演进通用陆地无线接入网包括第1演进型基站、第2演进型基站……第N演进型基站；

设置有数据采集模块、数据分析模块和数据库模块；

演进分组系统、数据采集模块、数据分析模块和数据库模块依次连接。

二、基于LTE的安全审计方法(简称方法) 

本方法是从演进分组核心网中获取网络包，识别和统计出用户的行为。

包括下列步骤： 

①数据采集模块通过libpcap函数库实现网络包的截获，通过设定过滤规则，包括选定截获网络包的类型和网络包的长度，完成网络包的过滤，对于符合过滤规则的网络包，判断协议类型，如果协议类型为S1AP，则可以判断是信令包，如果不是则是数据包；信令包处理是根据演进分组系统信令流程，截获必要的信令，把关键字发送给数据分析模块，数据包处理则是通过解封装，把应用层的数据发送到数据分析模块；

②数据分析模块接收数据采集模块发送过来的数据包和信令关键字，把用户的一次IMSI上下线行为，产生的信令关键字和数据包关联起来，创建用户的上下文，通过把上下文中的关键字段和静态特征库中的字段进行比较，采用AC多模式匹配算法实现协议的识别，匹配成功则把数据发送给数据库模块，匹配失败的则直接丢弃；

③数据库模块接收数据分析模块发送过来的数据，把源和目的IP、源和目的端口、协议名称、使用协议次数、使用协议时间和用户的基站信息，填写到数据库中，实现用户行为的识别和统计功能。

本发明具有下列优点和积极效果： 

 ①超前性：目前处于3G和LTE的过渡期，基于3G移动通信的审计系统有很多，但是涉及LTE的安全审计系统几乎没有，本发明属于比较新的研究；

②准确性：普通服务器的网口物理IO能力是1G，北京的C网数据就达到了20G，全国的核心网数据高达几百G，单个业务分析机是不可能处理的，只有确保每台业务分析机处理800M-1G的数据，才能保证安全审计系统的正常运行，所以在系统的前端增加了负载均衡设备，实现网络包的分流处理，随着流量的不断增长，可以采用负载均衡设备集群的方式完成，为大规模构建LTE提供了有力的理论基础；

③综合性：本发明在传统端口识别的基础上，添加了静态特征识别，把端口信息和其他的静态特征均写到静态特征库，采用AC多模式匹配算法实现协议识别，从一定程度上提高了系统的效率和准确性。

总之，全国大规模部署LTE的同时，日益严重的网络安全问题已经成为一项重要的研究课题。本发明基于网络安全的考虑，能适用于LTE网络，考虑大流量时，如何做到较低的丢包率；本发明采用基于IP的分发均衡策略，结合端口识别和静态特征识别，可以快速准确的识别用户的行为，为LTE的建设奠定了安全基础。 

附图说明

图1是本系统的结构方框图； 

图2 是数据采集模块的工作流程图；

图3 是数据分析模块的工作流程图。

其中： 

100—演进分组系统；

110—演进分组核心网，

111—移动管理实体，

112—移动网关；

120—演进通用陆地无线接入网，

121—第1演进型基站，122—第2演进型基站……

12N—第N演进型基站，N为自然数，N小于5；

200—数据采集模块；

300—数据分析模块；

400—数据库模块。

英译汉：

1、2G：2rd-generation，第二代移动通信技术，一般定义为无法直接传送如电子邮件、软件等信息；只具有通话和一些如时间日期等传送的手机通信技术规格。 

2、3G：3rd-generation，第三代移动通信技术，是指支持高速数据传输的蜂窝移动通讯技术；3G服务能够同时传送声音及数据信息，速率一般在几百kbps以上；目前3G存在四种标准：CDMA2000，WCDMA，TD-SCDMA，WiMAX。 

3、LTE：Long Term Evolution，演进分组系统，该项目是3G的演进，始于2004年3GPP的多伦多会议。LTE并非人们普遍误解的4G技术，而是3G与4G技术之间的一个过渡，是3.9G的全球标准，它改进并增强了3G的空中接入技术，采用OFDM和MIMO作为其无线网络演进的唯一标准。在20MHz频谱带宽下能够提供下行326Mbit/s与上行86Mbit/s的峰值速率。改善了小区边缘用户的性能，提高小区容量和降低系统延迟。 

4、Linux：Linux是一种自由和开放源码的类Unix操作系统，存在着许多不同的Linux版本，但它们都使用了Linux内核。Linux可安装在各种计算机硬件设备中，比如手机、平板电脑、路由器、视频游戏控制台、台式计算机、大型机和超级计算机。Linux是一个领先的操作系统，世界上运算最快的10台超级计算机运行的都是Linux操作系统。 

具体实施方式

    下面结合附图和实施例详细说明： 

    一、系统

1、总体

如图1，本系统包括演进分组系统100，演进分组系统100包括演进分组核心网110和演进通用陆地无线接入网120；演进分组核心网110包括移动管理实体111和移动网关112；演进通用陆地无线接入网120包括第1演进型基站121、第2演进型基站122……第N演进型基站12N，N为自然数，N小于5；

设置有数据采集模块200、数据分析模块300和数据库模块400；

演进分组系统100、数据采集模块200、数据分析模块300和数据库模块400依次连接。

    本系统的工作原理： 

本系统的目的是从演进分组系统中获取网络包，识别用户行为。

当网络包流经演进分组系统100中的演进分组核心网110时，数据分析模块200采用libpcap函数库实现网络包的截获，根据用户设定的过滤规则，比如网络包的类型和长度，对网络包进行过滤，丢弃不满足过滤规则的网络包，对于满足要求的网络包，进行判断，采用信令包和数据包分来处理，发送给数据分析模块300，在数据分析模块300中进行信令和数据的关联，创建用户的上下文，采用AC多模式匹配算法把用户上下文中的信息与静态特征库中的关键字进行匹配，匹配成功则发送给数据库模块，失败则丢弃。数据库模块400显示用户使用的协议，协议的IP和端口，以及用户所在的基站位置，并且可以统计某些时段用户使用某种协议的次数、流量，达到安全审计的目的。 

2、功能块 

    1）数据采集模块200

数据采集模块200是一种负载均衡设备，如选用F5 BIG-LTM-1500-RS、深信服M5500-AD、Radware AppDirector 2016。

负载均衡设备能完成移动互联网LTE网络包的接入，根据用户配置完成对LTE网络包进行过滤、分流均衡处理和将处理后的LTE网络包传送到数据分析模块300。 

负载均衡设备采用Linux 虚拟服务器程序（具体见图2），其中包括libpcap函数库，可以实现网络包的捕获；过滤规则由用户设定，比如选定网络包的类型和长度；分流策略则采用基于IP分发，数据包和信令包分来处理，单台负载均衡设备可以实现7G的流量的均衡。 

2）数据分析模块300 

数据分析模块300是一种业务分析设备，如选用刀片服务器。

刀片服务器由很多“刀片”组成，每一个刀片都是一块主板，可以安装Linux和Windows等操作系统，每块刀片可以独立的运行，也可以形成一个服务器集群，用来进行高密度的计算。本发明采用IBM公司生产的BladeCenter H，它是一个含有14个刀片的服务器、9U高的机架式刀片中心，还有4个电源模块、4个交换模块、4个高速交换模块以及2个高速交接模块和2900W电源模块，比惠普和戴尔的类似产品提高了高25%的背板吞吐量以及高42%的每刀片I/O通道，适合高密度的计算。数据分析模块中包括一个静态特征库，里面存放可以识别协议的应用层关键字，端口信息，IP信息，将其与数据采集模块200发送来的数据进行匹配，采用AC多模式匹配算法和协议分析技术实现协议的识别。 

3）数据库模块400 

数据库模块400选用Oracle数据库服务器，主要是完成数据的存储，将协议名称、使用协议次数、使用协议时间、用户的基站、源和目的IP，源和目的端口信息都写到数据库中，统计某些时段用户使用某种协议的次数、流量，达到安全审计的目的。

所述的Oracle是一种数据库服务器的类型，它是一个对象对应关系数据库管理系统，提供开放的、全面的和集成的信息管理方法。 

二、方法 

    1、数据采集模块200的工作流程

如图2，数据采集模块200的工作流程包括下列步骤： 

①运用libpcap函数库实现在LTE的S1接口截获网络包-20；

所述的libpcap函数库是Packet Capture library，即网络包捕获函数库，它是Unix/Linux平台下的网络包捕获函数包，大多数网络监控软件都以它为基础，其功能是通过网卡抓取网络以太网中的网络包。

②设置网络包的过滤规则，例如网络包类型，网络包长度-21； 

③根据用户设置的过滤规则对网络包进行过滤，判断网络包是否符合过滤条件（22），是则进入步骤④，否则将网络包丢弃-23；

④网络包分为信令包和数据包，判断协议类型是否为S1AP-24，是则进入步骤⑤，否则进入步骤⑥；

所述的S1AP是S1 Application Protocol，基于S1接口的应用层协议，S1AP实现演进分组核心网和演进通用陆地无线接入网的信令和数据传输和交互；通过在S1接口截获网络包，应用层协议是S1AP的网络包，属于信令包；不是S1AP的则是数据包。

⑤信令包处理-25，通过分析用户在LTE中进行一次IMSI上下线，涉及到的信令，归纳出以下需要采集的信令类型：InitialUEMessage，Initial Context Setup Request，Initial Context Setup Response，E-RAB Setup Request，E-RAB Setup Response，UECapabilityInfoIndication，Downlink NAS Transport，Uplink NAS Transport，UEContextRelease Request，UEContextRelease Command，E-RAB Release Command，E-RAB Release Response；信令包处理就是对以上信令中的关键字进行提取； 

所述的IMSI是国际移动用户识别码，储存在SIM卡中，可用于区别移动用户的有效信息；

⑥数据包处理-26，TCP/IP分层技术对数据包进行解封装，取出数据包运输层的源和目的端口，网络层的源和目的IP源IP以及整个应用层的数据。

2、数据分析模块300的工作流程 

    如图3，数据分析模块300的工作流程包括下列步骤：

①接收数据采集模块200发送过来的网络包-30；

②信令包和数据包的关联处理31，是把用户一次IMSI上下线行为的信令和数据关联起来，形成用户行为的上下文；

关联方式：在建立隧道的时候会分配给该信令包一个隧道号GTP TEID，在传输数据包的时候，GTP-U的头部也会带有一个TEID字段；TEID字段是隧道标识符，用于识别一个隧道，数据中的TEID字段标识这条数据是属于哪一条隧道；那么通过这个字段，就可以成功地把数据和信令关联起来了；

③创建用户上下文-32，根据以上截获到的数据包和信令包，把重要字段填充到用户的上下文中，形成一个节点；

④判断用户上下文中的关键字和静态特征库中的关键字是否匹配成功-33，是则跳到步骤⑤，否则丢弃-34；

所述的静态特征库形成过程如下：每种应用协议在交互的过程中会携带特定的关键字，这些关键字可能是固定的几个字节，例如雅虎通协议带有关键字“YMSG”，ICQ协议带有0x2a，0x02等关键字，而端口和IP也是可以初步确定协议的，比如HTTP协议的目的端口为80，本发明结合端口识别和静态特征识别方法，把这些关键字段都填写到静态特征库；关键字匹配采用AC多模式匹配算法，它是一种应用有限状态自动机，进行的高效多模式匹配的算法，只扫描一次文本，可以识别多个关键字；

⑤写入数据库-35

把源和目的IP、源和目的端口、协议名称、使用协议次数、使用协议时间和用户的基站信息，填写到数据库中，实现用户行为的识别和统计功能。  

Claims (4)

1.一种基于演进分组系统网络的安全审计系统， 

本系统包括演进分组系统（100），演进分组系统（100）包括演进分组核心网（110）和演进通用陆地无线接入网（120）；演进分组核心网（110）包括移动管理实体（111）和移动网关（112）；演进通用陆地无线接入网（120）包括第1演进型基站（121）、第2演进型基站（122）……第N演进型基站（12N），N为自然数，N小于5； 

其特征在于：设置有数据采集模块（200）、数据分析模块（300）和数据库模块（400）； 

演进分组系统（100）、数据采集模块（200）、数据分析模块（300）和数据库模块（400）依次连接； 

所述的数据采集模块（200）是一种负载均衡设备； 

所述的数据分析模块（300）是一种业务分析设备； 

所述的数据库模块（400）选用Oracle数据库服务器。 

2.基于权利要求1所述系统的安全审计方法，其特征在于包括以下步骤： 

①数据采集模块（200）通过libpcap函数库实现网络包的截获，通过设定过滤规则，包括选定截获网络包的类型和网络包的长度，完成网络包的过滤，对于符合过滤规则的网络包，判断协议类型，如果协议类型为S1AP，则可以判断是信令包，如果不是则是数据包；信令包处理是根据演进分组系统信令流程，截获必要的信令，把关键字发送给数据分析模块，数据包处理则是通过解封装，获取运输层的源和目的端口，网络层的源和目的IP，以及把应用层的数据发送到数据分析模块（300）； 

②数据分析模块（300）接收数据采集模块（200）发送过来的数据包和信令关键字，把用户的一次行为产生的信令关键字和数据包关联起来，创建用户的上下文，通过把用户上下文和静态特征库中的关键字进行比较，其中静态特征库是存放协议的关键字，比如目的IP、目的端口、应用层固定字节，总之存放可以识别协议的关键字；匹配算法采用AC多模式匹配算法，可以准确快速地识别协 议，匹配成功则把数据发送给数据库模块（400），匹配失败的则直接丢弃； 

③数据库模块（400）接收数据分析模块（300）发送过来的数据，也就是用户上下文，把源和目的IP、源和目的端口、协议名称、使用协议次数、使用协议时间和用户的基站信息，填写到数据库中，实现用户行为的识别和统计功能。 

3.按权利要求2所述的安全审计方法，其特征在于数据采集模块200的工作流程包括下列步骤： 

①运用libpcap函数库实现在LTE的S1接口截获网络包（20）； 

所述的libpcap函数库是Packet Capture library，即网络包捕获函数库，它是Unix/Linux平台下的网络包捕获函数包，大多数网络监控软件都以它为基础，其功能是通过网卡抓取网络以太网中的网络包。 

②设置网络包的过滤规则，例如网络包类型，网络包长度（21）； 

③根据用户设置的过滤规则对网络包进行过滤，判断网络包是否符合过滤条件（22），是则进入步骤④，否则将网络包丢弃（23）； 

④网络包分为信令包和数据包，判断协议类型是否为S1AP（24），是则进入步骤⑤，否则进入步骤⑥； 

所述的S1AP是S1Application Protocol，基于S1接口的应用层协议，S1AP实现演进分组核心网和演进通用陆地无线接入网的信令和数据传输和交互；通过在S1接口截获网络包，应用层协议是S1AP的网络包，属于信令包；不是S1AP的则是数据包。 

⑤信令包处理（25），通过分析用户在LTE中进行一次IMSI上下线，涉及到的信令，归纳出以下需要采集的信令类型：InitialUEMessage，Initial Context Setup Request，Initial Context Setup Response，E-RAB Setup Request，E-RAB Setup Response，UECapabilityInfoIndication，Downlink NAS Transport，Uplink NAS Transport，UEContextRelease Request，UEContextRelease Command，E-RAB Release Command，E-RAB Release Response；信令包处理就是对以上信令中的关键字进行提取； 

所述的IMSI是国际移动用户识别码，储存在SIM卡中，可用于区别移动用户的有效信息； 

⑥数据包处理（26），TCP/IP分层技术对数据包进行解封装，取出数据包运 输层的源和目的端口，网络层的源和目的IP源IP以及整个应用层的数据； 

4.按权利要求2所述的安全审计方法，其特征在于数据分析模块（300）的工作流程： 

①接收数据采集模块（200）发送过来的网络包（30）； 

②信令包和数据包的关联处理（31），是把用户一次IMSI上下线行为的信令和数据关联起来，形成用户行为的上下文； 

关联方式：在建立隧道的时候会分配给该信令包一个隧道号GTP TEID，在传输数据包的时候，GTP-U的头部也会带有一个TEID字段；TEID字段是隧道标识符，用于识别一个隧道，数据中的TEID字段标识这条数据是属于哪一条隧道；那么通过这个字段，就可以成功地把数据和信令关联起来了； 

③创建用户上下文（32），根据以上截获到的数据包和信令包，把重要字段填充到用户的上下文中，形成一个节点； 

④判断用户上下文中的关键字和静态特征库中的关键字是否匹配成功-33，是则跳到步骤⑤，否则丢弃（34）； 

所述的静态特征库形成过程如下：每种应用协议在交互的过程中会携带特定的关键字，这些关键字可能是固定的几个字节，例如雅虎通协议带有关键字“YMSG”，ICQ协议带有0x2a，0x02等关键字，而端口和IP也是可以初步确定协议的，比如HTTP协议的目的端口为80，本发明结合端口识别和静态特征识别方法，把这些关键字段都填写到静态特征库；关键字匹配采用AC多模式匹配算法，它是一种应用有限状态自动机，进行的高效多模式匹配的算法，只扫描一次文本，可以识别多个关键字； 

⑤写入数据库（35） 

把源和目的IP、源和目的端口、协议名称、使用协议次数、使用协议时间和用户的基站信息，填写到数据库中，实现用户行为的识别和统计功能。 

Images