CN109089002B - 一种非法网络电话的封堵方法及设备 - Google Patents

Abstract

本发明公开了一种非法网络电话的封堵方法及设备，用于提供一种识别非法网络电话的方式，避免为运营商造成损失。其中的封堵方法包括：数据采集设备通过分组交换PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过电路交换CS域与第二终端设备进行通话；所述数据采集设备确定所述请求消息携带的特征码是否位于预存的非法特征码列表内；若所述请求消息携带的特征码位于所述非法特征码列表内，则所述数据采集设备封堵所述请求消息，以拒绝所述第一终端设备与所述第二终端设备进行通话。

Description

一种非法网络电话的封堵方法及设备

技术领域

本发明涉及通信技术领域，特别涉及一种非法网络电话的封堵方法及设备。

背景技术

非法网络电话，是指主叫用户首先通过分组交换(Packet Switch，PS)域与代理商服务平台建立连接，按照代理商服务平台的提示交互被叫用户的号码。代理商服务平台获取了主叫用户的号码和被叫用户的号码后，断开与主叫用户的数据连接。然后代理商服务平台通过运营商的关口局分别向主叫用户和被叫用户发起呼叫，即代理商服务平台通过电路交换(Circuit Switched，CS)域建立与主叫用户的连接，同时也通过CS域建立与被叫用户的连接。代理商服务平台可以接通主叫用户和被叫用户的连接，此时，主叫用户就可以与被叫用户进行通话了。

但是由于主叫用户和被叫用户分别与代理商服务平台通过CS域建立的连接，即主叫用户和被叫用户的通话方式实际上都是被叫的通话方式，而运营商只对采用主叫的通话方式的用户进行计费，这就规避了正常通话费用，会给运营商带来损失。正常通话指的是主叫用户和被叫用户通过CS域建立连接，且主叫用户的通话方式是主叫方式，被叫用户的通话方式是被叫方式。

为避免给运营商带来损失，就需要确定某个电话是否是非法网络电话，目前，通过人工识别的方式对非法网络电话识别，即工作人员会主动抓取某个用户发送的请求上网的信令，在后台分析，若信令中包含标识非法网络电话的关键字，就认为是非法的。由于人工识别的方式是主动抓取，在存在海量的信令的情况下，有可能抓取的不是需要分析的，也可能漏抓需要分析的，效率较低。可见，对于非法网络电话，目前尚无较好的识别方式。

发明内容

本发明实施例提供一种非法网络电话的封堵方法及设备，用于提供一种识别非法网络电话的方式，避免为运营商造成损失。

第一方面，提供了一种非法网络电话的封堵方法，所述封堵方法包括：

数据采集设备通过PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过CS域与第二终端设备进行通话；

所述数据采集设备确定所述请求消息携带的特征码是否位于预存的非法特征码列表内；

若所述请求消息携带的特征码位于所述非法特征码列表内，则所述数据采集设备封堵所述请求消息，以拒绝所述第一终端设备与所述第二终端设备进行通话。

可选的，所述数据采集设备封堵所述请求消息，包括：

所述数据采集设备向核心网设备发送封堵指令，其中，所述封堵指令用于将所述请求消息封堵在互联网的出口处。

可选的，所述封堵指令携带所述请求消息所携带的网际协议IP地址和/或统一资源定位符URL。

可选的，所述数据采集设备封堵所述请求消息，包括：

所述数据采集设备丢弃所述请求消息。

可选的，所述方法还包括：

所述数据采集设备监测任意终端设备通过PS域发送的多个请求消息；

若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，则所述数据采集设备判断所述至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式；其中，所述两个MSIN中，一个MSIN是所述任意终端设备的MSIN，另一个是其他终端设备的MSIN；

若所述至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，则所述数据采集设备从携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL中确定非法特征码；

所述数据采集设备将所述非法特征码更新至非法特征码列表。

可选的，所述数据采集设备从携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL中确定非法特征码，包括：

所述数据采集设备将所述IP地址作为非法特征码；

所述数据采集设备从所述URL中提取关键字段，将所述关键字段作为非法特征码；其中，所述关键字段用于指示所述请求消息的类型。

第二方面，还提供一种非法网络电话的封堵方法，所述封堵方法包括：

核心网设备接收数据采集设备发送的封堵指令；其中，所述封堵指令用于对第一终端设备发送的请求消息进行封堵，以拒绝所述第一终端设备与第二终端设备进行通话；所述请求消息为所述第一终端设备通过PS域发送的，用于请求通过CS域与所述第二终端设备进行通话；

所述核心网设备响应所述封堵指令，以将所述请求消息封堵在互联网的出口处。

可选的，所述封堵指令包括所述请求消息携带的IP地址和/或统一资源定位符URL；

所述核心网设备响应所述封堵指令，包括：

若所述请求消息携带IP地址，则所述核心网设备丢弃所述IP地址，或，若所述请求消息携带URL，则所述核心网设备修改所述URL，以使得修改后的URL成为无效的URL。

第三方面，提供一种非法网络电话的封堵设备，该封堵设备包括：

接收单元，用于通过分组交换PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过电路交换CS域与第二终端设备进行通话；

确定单元，用于确定所述请求消息携带的特征码是否位于预存的非法特征码列表内；

封堵单元，用于若所述请求消息携带的特征码位于所述非法特征码列表内，则封堵所述请求消息，以拒绝所述第一终端设备与所述第二终端设备进行通话。

可选的，所述封堵单元用于封堵所述请求消息，包括：

所述封堵单元向核心网设备发送封堵指令，其中，所述封堵指令用于将所述请求消息封堵在互联网的出口处。

可选的，所述封堵指令携带所述请求消息所携带的网际协议IP地址和/或统一资源定位符URL。

可选的，所述封堵单元封堵所述请求消息，包括：

所述封堵单元丢弃所述请求消息。

可选的，所述设备还包括：

监测单元，用于监测任意终端设备通过PS域发送的多个请求消息；

判断单元，用于若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，则判断所述至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式；其中，所述两个MSIN中，一个MSIN是所述任意终端设备的MSIN，另一个是其他终端设备的MSIN；

所述确定单元还用于：若所述至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，则根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码；

更新单元，用于将所述非法特征码更新至非法特征码列表。

可选的，所述确定单元根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码，包括：

所述确定单元将所述IP地址作为非法特征码；和/或，

所述确定单元从所述URL中提取关键字段，将所述关键字段作为非法特征码；其中，所述关键字段用于指示所述请求消息的类型。

第四方面，还提供一种非法网络电话的封堵设备，该封堵设备包括：

接收单元，用于接收数据采集设备发送的封堵指令；其中，所述封堵指令用于对第一终端设备发送的请求消息进行封堵，以拒绝所述第一终端设备与第二终端设备进行通话；所述请求消息为所述第一终端设备通过分组交换PS域发送的，用于请求通过电路交换CS域与所述第二终端设备进行通话；

响应单元，用于响应所述封堵指令，以将所述请求消息封堵在互联网的出口处。

可选的，所述封堵指令包括所述请求消息携带的IP地址和/或统一资源定位符URL；

所述响应单元响应所述封堵指令，包括：

若所述请求消息携带IP地址，则所述响应单元丢弃所述IP地址，或，若所述请求消息携带URL，则所述响应单元修改所述URL，以使得修改后的URL成为无效的URL。

本发明实施例中，数据采集设备只要接收第一终端设备发送的请求消息，就对该请求消息携带的特征码进行判断，从而确定该请求消息是否非法，实现了对请求消息的监控。一旦确定该请求消息是非法的，数据采集设备就可以对该请求消息进行封堵，这样该请求消息就无法被代理商服务平台接收，从而第一终端设备也就无法通过代理商服务平台与第二终端设备进行通话，即第一终端设备无法作为被叫方进行通话，可以减少运营商的损失。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1是本发明实施例提供的进行网络电话所涉及的网元之间的关系图；

图2为现有技术中PS域业务的网络架构图；

图3为现有技术中CS域的网络架构图；

图4为本发明实施例提供的非法网络电话的封堵方法的流程图；

图5为本发明实施例提供的非法特征码列表的网络架构图；

图6为本发明实施例提供的核心网设备封堵非法请求消息的一种网络架构图；

图7为本发明实施例提供的非法网络电话的封堵设备的一种结构示意图；

图8为本发明实施例提供的非法网络电话的封堵设备的一种结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互任意组合。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，在不做特别说明的情况下，一般表示前后关联对象是一种“或”的关系。

本发明实施例中，非法网络电话是指主叫用户先通过分组交换(Packet Switch，PS)域与代理商服务平台建立数据连接，在通过代理商服务平台利用电路交换(CircuitSwitched，CS)域与被叫用户进行语音通话，且主叫用户和被叫用户的通话方式均为被叫方式。请参见图1，图1所示为进行网络电话所涉及的网元之间的关系图，图1包括第一终端设备101、第二终端设备102、代理商服务平台103和互联网104。第一终端设备101可以是主叫用户所使用的终端设备，如手机，第二终端设备102是被叫用户所使用的终端设备，如手机。

第一终端设备101可以通过互联网104先与代理商服务平台103建立数据连接，代理商服务平台103获取了第一终端设备101的号码和第二终端设备102的号码，断开与第一终端设备101的数据连接。然后代理商服务平台103通过切入运营商的关口局分别向第一终端设备101和第二终端设备102发起呼叫，代理商服务平台103同时与第一终端设备101和第二终端设备102建立CS域连接，此时第一终端设备101和第二终端设备102通过代理商服务平台103就建立起CS域连接，可以进行通话了。图1中，第一终端设备101与互联网104及互联网104与代理商服务平台103的连接是基于PS域实现的，连接关系用细线示意，而代理商服务平台103与第一终端设备101及第二终端设备102之间的连接是基于CS域实现的，连接关系用粗线示意。第一终端设备101与第二终端设备102之间的通路实际上也是基于CS域实现的，所以也用粗线示意，由于该通路是通过代理商服务平台103建立的，并非是通过核心网所包括的电路域建立的，因此用虚线示意。

请参见图2，介绍现有技术中PS域的一种网络架构。如图2所示，第一终端设备101，如手机通过互联网104与代理商服务平台103建立数据连接的过程可以理解为手机通过无线接入网(Radio Access Network，RAN)接入通用分组无线业务(General Packet RadioService，GPRS)骨干网的服务GPRS支持节点(Service GPRS Support Node，SGSN)，SGSN与网关GPRS支持节点(Gateway GPR Support Node，GGSN)相连，SGSN向GGSN发起报文(PacketData Protocol，PDP)激活请求，GGSN和互联网104之间还设置了核心网设备，如深度报文检测(Deep Packet Inspection，DPI)设备和/或域名系统(Domain Name System，DNS)服务器，DPI设备解析PDP激活请求后，通过GGSN的Gi口，即GGSN与外部分组数据网之间的接口，将对应的请求发送给外部分组数据网，就可以访问互联网104了，从而与代理商服务平台103建立数据连接。其中，GGSN也可以是媒体网关(Media Gateway，MGW)或服务网关(Serving GateWay，S-GW)或PDN网关(PDN GateWay，P-GW)，即S/P-GW，图2所示意的是GGSN到互联网104之间的过程。

请参见图3，介绍现有技术中CS域的一种网络架构。如图3所示，代理商服务平台103通过切入运营商的关口局的过程可以理解为代理商服务平台103分别向主叫用户和被叫用户发起呼叫，代理商服务平台103通过无线接入网(Radio Access Network，RAN)接入移动交换中心(Mobile Switching Center，MSC)，MSC通过接入网接口与核心网连接，核心网与公用电话交换网(Public Switched Telephone Network，PSTN)相连，MSC向PSTN申请资源，请求为代理商服务平台103和主叫用户及被叫用户分配必须的通路，当代理商服务平台103切换到目标网络后，代理商服务平台103和主叫用户及被叫用户所必须的通路已建立，主叫用户和被叫用户的通路通过代理商服务平台103连接起来。

由上可知，非法网络电话实际上就是主叫用户先进行PS域业务，再进行CS域业务。通常，主叫用户进行PS域业务之后在较短的时间内进行了CS域业务，也就是说，主叫用户进行数据流量业务，也称为上网记录，起始时间之后很短的一个时间段内，比如10-20秒，会产生以主叫用户为被叫的通话记录。而且代理商服务平台103所使用的服务器的网络协议(Internet Protocol，IP)地址和主叫用户的上网记录的统一资源定位符(UniformResource Locator，URL)通常都是固定的，因此，可以根据主叫用户的上网记录的IP地址和URL来确定主叫用户所进行的PS域业务是否是非法的。

例如，若主叫用户与被叫用户进行语音通话，主叫用户发起的呼叫请求消息中的URL包括的关键字为we_call，而we_call是微信语音业务的标识，那么可以认为主叫用户与被叫用户的语音通话业务合法。若主叫用户在一段时间内先存在上网记录，后存在语音通话记录，主叫用户发起的上网请求消息中的URL包括的关键字为call_back_new，而call_back_new并不是现有技术中合法语音通话业务的标识，那么可以主叫用户与被叫用户的语音通话是非法网络电话。本发明实施例中，将请求消息中的URL包括的关键字称为特征码，特征码可以用于表征请求消息的类型，或者也可以说是表征网络电话的类型，例如若特征码是we_call，则表示网络电话是微信语音电话，若特征码是call_back_new，则表示网络电话是非法网络电话，call_back_new可以称为是非法特征码。

现有的技术中，工作人员会主动查询一端时间内某个终端设备的上网记录和通话记录，然后抓取该终端设备发送的请求上网的消息，在后台分析，通常是通过对DPI设备重新部署，通过部署后的DPI设备进行解析，以确定请求消息包括的URL中的特征码是不是合法的，若确定该特征码不是合法的，那么工作人员会通知其他的工作人员将该终端设备的该请求消息拦截在互联网的出口处，比如拦截在中国移动互联网(China Mobile Network，CMNET)的出口处，使得该终端设备无法与代理商服务平台103进行通信，自然也就无法通过代理商服务平台103与其他终端设备进行通话，尽量避免减少运营商的损失。

但是通过人工识别的方式对非法网络电话识别，效率低下，若URL中的特征码变化，还不能及时发现非法网络电话，存在对非法网络电话的漏识别的问题，而且由于人工识别的方式需要在DPI设备重新部署上，导致每次操作的成本较高，风险也较大。

鉴于此，本发明实施例提供了一种新的识别方法，在该识别方式下，数据采集设备会对任意终端设备发起的所有请求消息进行监控，也就是对采集的所有数据包进行监控，将一段时间内任意终端设备的PS域业务和CS域业务进行关联分析，从而识别出非法网络电话。这样，即使URL中的特征码变化，也能够及时识别出非法网络电话，尽量避免了对非法网络电话出现漏识别的可能性，减少运营商的损失。

下面结合说明书附图介绍本发明实施例提供的技术方案。

请参见图4，本发明一实施例提供一种非法网络电话的封堵方法，该封堵方法可由数据采集设备执行。该方法的流程描述如下：

S401：数据采集设备通过PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过CS域与第二终端设备进行通话；

S402：数据采集设备确定请求消息携带的特征码是否位于预存的非法特征码列表内；

S403：若请求消息携带的特征码位于非法特征码列表内，则数据采集设备封堵请求消息，以拒绝第一终端设备与第二终端设备进行通话。

在用户需要进行非法网络电话业务时，会通过第一终端设备101进行PS域业务，即通过PS域发送请求消息，该请求消息为用于请求通过CS域与第二终端设备102进行通话的消息。而通常只要用户需要进行PS业务时，都会发送对应的请求消息。例如，若用户需要进行微信语音通话，那么用户就会通过终端设备发送请求微信语音通话的请求消息，同样地，若用户需要进行QQ语音通话，那么用户就会通过终端设备发送请求QQ语音通话的请求消息。不同的请求消息携带的特征码也不一样，例如，若请求消息是用于请求微信语音通话的请求消息，那么该请求消息中携带的特征码是we_call，若特征码是call_back_new，则表示网络电话是非法网络电话。既然不同的请求消息包括的特征码不同，那么数据采集设备就可以根据特征码来确定请求消息是不是非法的。

数据采集设备可以将请求消息中的特征码与预存的非法特征码列表中的至少一个特征码进行对比，若请求消息中的特征码在非法特征码列表内，则数据采集设备可以确定该请求消息是非法的请求消息。

本发明实施例，数据采集设备可以首先确定非法特征码列表，以便与请求消息中的特征码进行对比。下面介绍数据采集设备确定非法特征码列表的方式。

通常只要用户需要进行PS业务时，都会通过终端设备发送对应的请求消息，而现有技术中的DPI设备通过PS域可以接收所有请求进行PS业务的用户发送的请求消息，解析请求消息，并针对不同的网络应用层载荷，例如超文本传输协议(HyperText TransferProtocol，HTTP)、DNS等，进行深度检测，以根据请求消息的不同，将请求消息分发给对应的应用系统。即DPI设备可以对通过PS域发送的所有请求进行解析，识别。因此，本发明实施例中，数据采集设备可以通过DPI设备实现。下面介绍DPI设备确定非法特征码列表的方式。

由于非法网络电话实际上就是主叫用户先进行PS域业务，再进行CS域业务。通常，主叫用户进行PS域业务之后在较短的时间内进行了CS域业务。例如，若某个终端设备在一段时间内的通话行为是在上网行为之后预设时间段内进行的，预设时间段较短，比如可以是10-20秒，那么可以认为该终端设备的通话可能是非法的。且通常非法网络电话的请求消息是携带了两个移动用户识别码MSIN的请求消息。

因此，DPI设备可以监测任意终端设备通过PS域发送的多个请求消息，若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，那么可以认为该请求消息可能是请求通话的消息，如可能是请求微信语音通话，也可能是请求通过CS域进行通话的消息，即非法网络电话的请求消息。其中，两个MSIN中，一个MSIN是任意终端设备的MSIN，另一个是其他终端设备的MSIN。任意终端设备与其他终端设备可以进行通话。

为了进一步确定携带了两个移动用户识别码MSIN的至少一个请求消息究竟是哪种请求通话的消息，DPI设备可以判断这些至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式，如果至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，那么可以认为携带的两个MSIN的通话方式均为被叫通话方式的请求消息就是非法网络电话的请求消息。

DPI设备判断这些至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式，可以通过MSC实现。

DPI设备可以向移动交换中心(Mobile Switching Center，MSC)发送请求获取两个MSIN的通话方式的消息，MSC接收该请求消息后，可以根据该请求消息携带的两个MSIN进行查询，若MSC查询这两个MSIN在同一时间段内均是被呼叫号码，则MSC可以确定两个MSIN的通话方式均为被叫通话方式。那么MSC可以向DPI设备发送反馈消息，该反馈消息中携带主叫通话或被叫通话的标识，DPI设备可以根据接收的反馈消息中的标识确定这两个MSIN的通话方式是否均为被叫通话方式。

DPI设备确定了非法的请求消息后，可以从携带的两个MSIN的通话方式均为被叫通话方式的请求消息中确定非法特征码。请求消息通常情况下会携带一些关键信息，这些关键信息用关键字段表示。例如，请求消息一般都携带了目的服务器IP地址的关键信息，用关键字段X-Online-Host表示，标记需要连接的网址信息，用关键字段URL等。除此之外，关键字段还可以包括请求消息中携带的国际移动用户识别码(International MobileSubscriber Identification Number，IMSI)，主机HOST、服务器IP地址、关口局地址、DNS地址等。

DPI设备从非法请求消息中的关键字段来提取非法特征码。例如，DPI设备可以从非法请求消息携带的IP地址和/或URL中确定非法特征码。其中，DPI设备可以将IP地址作为非法特征码，也可以从URL中提取关键字，将提取的关键字作为非法特征码，再将确定的非法特征码更新至非法特征码列表，以便于后续对非法请求消息的判断。本发明实施例可以只要确定有新的非法特征码，就将新的非法特征码保存到非法特征码列表中，以实现非法特征码列表的更新，尽量避免漏掉非法特征码。

为了更好地理解，下面以非法请求消息携带的关键字段包括X-Online-Host和URL为例，介绍DPI设备获取非法请求消息中携带的非法特征码。

DPI设备解析请求消息，从请求消息中提取关键字段X-Online-Host和URL，再分别从X-Online-Host和URL提取特征码。例如，若X-Online-Host为agw.cailiao168.cn，那么可以将agw.cailiao168.cn作为特征码。若URL为agw.cailiao168.cn/1.0/cldh/call_back_new？auth_type＝uid&data＝callee％3d13468501648&invitedby＝1&invitedway＝ad&nonce＝b3742419469aee95&pv＝android&sign＝cd82d05499bb15e28821de87cfc87c56&ts＝1482726160&uid＝3853918&v＝1.0.0，则call_back_new作为特征码。本发明实施例中，特征码可以用于指示请求消息的类型，也就是网络电话的类型，例如，若特征码是we_call，则表示网络电话是微信语音电话，若特征码是call_back_new，则表示网络电话是非法网络电话，而call_back_new也就是非法特征码。

在现有技术中，工作人员通过主动查询一段时间内某个终端设备的上网记录和通话记录，然后抓取该终端设备发送的请求上网的消息，任何分析该请求上网的消息，若解析请求上网的消息中携带了call_back_new，则就认为该请求上网的消息是非法的。

但是某个特征码，如call_back_new可能在最初的时候是非法的，随着网络业务的发展，后续可能会有新的业务，而该新的业务所对应的特征码可能就是最初认为的非法特征码，实际上此时，对于新的业务来说，该非法特征码就是合法的。那么DPI设备仅根据特征码来确定第一终端设备101所发送的请求消息是非法请求消息显然不准确。

而本发明实施例中，数据采集设备通过确定对两个MSIN的通话方式来进一步确定请求消息是否是非法请求消息，即将PS域和CS域二者进行关联分析，即使开始非法特征码变化了，也还是能准确判断请求消息是否是非法的，即提高了识别非法网络电话的准确率。

本发明实施例中，数据采集设备还可以通过其他的方式实现，以尽量不影响原始DPI设备的功能的实现。下面介绍。

现有技术中流经GGSN的所有数据都会输入到DPI设备，而本发明实施例，在不影响原始DPI设备的情况下，如果要确定非法特征码列表，同样也需要采集流经GGSN的所有数据。所以，本发明实施例可以在GGSN出口处设置数据采集设备，以采集流经GGSN的所有数据，而原始DPI设备也连接在GGSN出口处，这样DPI设备也可以获取流经GGSN的所有数据，不会影响DPI设备的正常流程。

本发明实施例中的数据采集设备可以通过镜像或分光的方式对流经DPI设备的所有数据进行备份。可能的实施方式中，数据采集设备可以是业务交换机，该业务交换机可以采集GGSN的接口数据。或者，数据采集设备可以是分路器，分路器连接在GGSN接口处，对流经GGSN的数据进行分路，一路数据输入到DPI设备，另一路数据输入到分路器。或者，数据采集设备可以是分光器，分光器连接在GGSN接口处，对流经GGSN的数据进行光分路，一路数据输入到DPI设备，另一路数据输入到分光器。

请参见图5，介绍确定非法特征码列表的一种可能的结构图。该结构下，数据采集设备是通过业务交换机或分路器或分光器实现的。

如图5所示，图5包括汇聚分发处理服务器501、数据库存储设备502和数据匹配识别设备503。数据采集设备采集了流经GGSN接口的所有数据，可以将这些数据发送给汇聚分发处理服务器501。汇聚分发处理服务器501可以对接收的数据进行过滤，例如，汇聚分发处理服务器501可以解析数据中所携带的关键字段信息，如数据中可能包括的国际移动用户识别码(International Mobile Subscriber Identification Number，IMSI)，主机HOST、服务器IP地址、关口局地址、DNS地址等信息，根据关键字段信息将不需要分析的数据进行过滤。由于本发明实施例是针对非法网络电话的识别，所以汇聚分发处理服务器501可以选取携带两个MSIN的请求消息，如果没有同时携带两个MSIN，那么可以认为该请求消息不属于非法网络电话的请求消息。因此，汇聚分发处理服务器501对不需要分析的请求消息直接就可以过滤掉。汇聚分发处理服务器501可以将过滤后的数据发送给数据库存储设备502，以通过数据库存储设备502存储需要分析的数据，对不需要分析的数据就不存储，以避免浪费数据库存储设备502的存储空间。

数据匹配识别设备503可以对数据库存储设备502存储的请求消息进行分析，以确定数据库存储设备502存储的请求消息是否是非法请求消息。例如数据匹配识别设备503可以判断存储的请求消息中的每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式，如果存在至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，那么可以认为携带的两个MSIN的通话方式均为被叫通话方式的请求消息就是非法网络电话的请求消息。此时数据匹配识别设备503可以进一步从这些请求消息中携带的X-Online-Host和/或URL确定非法特征码，并保存到事先建立的非法特征码列表中。

本发明实施例充分利用从DPI设备分光过滤或镜像过滤的PS域数据，通过将这些数据中携带关键字段信息的数据存储在数据库存储设备502中，能够实现快速的存储数据。也使得数据匹配识别设备503能够快速地提取这些数据的特征码，提高了识别效率。

数据采集设备一旦确定了请求消息是非法的请求消息，就可以对该请求消息进行封堵，使得第一终端设备101无法与代理商服务平台103连接，以达到第一终端设备101与第二终端设备102进行非法通话的目的。下面介绍数据采集设备封堵非法请求消息的方式。

第一种封堵方式：若数据采集设备是通过原始DPI设备实现的，那么DPI设备一旦确定了请求消息是非法的，就可以丢弃该请求消息，就对该请求消息不进行下发。

第二种封堵方式：若数据采集设备是通过业务交换机或分路器或分光器实现的，那么数据采集设备一旦确定了请求消息是非法的，数据采集设备可以向核心网设备发送封堵指令，其中，该封堵指令用于将请求消息封堵在互联网的出口处。核心网设备接收数据采集设备发送的封堵指令，响应所述封堵指令，就可以将请求消息封堵在互联网的出口处。这样就可以通过核心网设备断开第一终端设备101与代理商服务平台103的连接，以避免第一终端设备101通过代理商服务平台103与第二终端设备102进行通话，减少运营商的损失。

为了更好地理解，请参见图6，介绍核心网设备封堵非法请求消息的一种网络架构。如图6所示，图6可以用于指示第一终端设备101发送的请求消息的数据流。第一终端设备101发送的请求消息，能够流向eMSC，即增强的MSC、SGSN、服务网关(Serving GateWay，S-GW)或PDN网关(PDN GateWay，P-GW)，即S/P-GW，经eMSC流向媒体网关(Media Gateway，MGW)，经SGSN可以流向GGSN/DNS，经S/P-GW可以流向IMS，最后都流向互联网服务器。

核心网设备可以包括核心网路由器，也可以包括DNS服务器，可以设置在MGW、GGSN/DNS或IMS与防火墙之间。核心网设置若接收数据采集设备发送的封堵指令，就可以响应封堵指令，将请求消息封堵在互联网104的出口处，以使得第一终端设备101无法与代理商服务平台103连接。图6中以虚线示意核心网设备进行封堵非法请求消息的位置。

根据核心网设备的不同，核心网设备对非法请求消息进行封堵的方式也所有不同，下面介绍。

第一种封堵方式：核心网路设备包括核心网路由器，数据采集设备可以向核心网路由器发送请求消息携带的IP地址，核心网路由器接收数据采集设备所发送的IP地址，可以丢弃该IP地址。

可能的实施方式中，核心网路由器可以通过型号为NE40E和NE5000E的路由器等实现。核心网路由器接收到该IP地址后，将该IP地址的BGP路由信息中的“下一跳Nexthop”属性设定为虚拟的下一跳IP地址，可以将下一跳地址设定为指向Null0接口，这样，核心网路由器在接收请求消息之后，根据请求消息中的BGP路由信息中的“下一跳Nexthop”属性的IP地址，可以获取该IP地址对应的接口，若该接口是Null0接口，则核心网路由器自动丢弃所接收的请求消息。自然该请求消息也就无法连接到CMNET，第一终端设备101也就无法通过CMNET与代理商服务平台103连接，达到了对非法请求消息拦截的目的，也达到了对非法请求封堵的目的。

在这种封堵方式下，核心网路由器位于GGSN等的Gn接口的上层网络，Gn接口是SGSN与SGSN间以及SGSN与GGSN间的接口，也就是核心网路由器位于GGSN等的前端，所以第一终端设备101发起请求消息时，即使核心网路由器将此请求消息所携带的IP地址丢弃，Gn接口仍能统计到上行数据流量，而封堵后下行流量自然无法统计，那么就可以用来评估封堵效果，如果还能统计到下行流量，那么可以知道封堵效果较差。

第二种封堵方式：核心网设备包括DNS服务器，数据采集设备可以向DNS服务器发送请求消息携带的统一资源定位符URL，DNS服务器接收该URL后，可以修改URL。也就是第一终端设备101发起请求消息时，DNS服务器会将该请求消息所携带的URL解析成为无效IP地址后返回第一终端设备101，即丢弃此条URL，这样第一终端设备101也就无法通过互联网与代理商服务平台103连接，达到了对非法请求消息拦截的目的，也达到了对非法请求封堵的目的。

同样地，在这种封堵方式下，由于DNS服务器位于GGSN等的Gn接口的上层网络，即位于GGSN等的前端，所以第一终端设备101发起请求消息时，即使此URL被丢弃，Gn接口仍能统计到上行数据流量，但是封堵后下行流量无法统计，也就可以用来评估封堵效果，如果还能统计到下行流量，那么可以知道封堵效果较差。

但是一台服务器可能部署多个域名，而一台服务器通常只对于一个IP地址，因此通常采取封堵IP地址的方式进行封堵，以尽量对非法网络电话进行彻底的封堵，减少运营商的损失。

但是现有技术中，采用人工识别非法网络电话，从而对非法网络电话进行封堵，只能通过PS域对非法网络电话业务所使用的URL或服务器IP在互联网出口处进行封堵来实现。而代理商服务平台103大多都是通过租用阿里云等云服务器集群资源来实现与互联网的连接，如果代理商服务平台103更换了服务器资源，那么服务器的IP地址和/或URL也就变了，这样通过对服务器IP和/或URL在互联网出口处进行封堵就实现不了对非法网络电话的所对应的服务器IP和/或URL的封堵，即，通过服务器IP地址在互联网出口处进行封堵的方式，封堵不彻底。

而本发明实施例中，数据采集设备基于PS域和CS域二者对请求消息进行关联分析，即使代理商服务平台103更换了服务器资源，还是可以较快地识别出该代理商服务平台103开始非法特征码变化了，也还是能准确判断请求消息是否是非法的，即提高了识别非法网络电话的准确率。也能够对非法请求消息进行彻底的封堵。

下面结合附图介绍本发明实施例提供的设备。

请参见图7，基于同一发明构思，本发明一实施例提供一种非法网络电话的封堵设备，该封堵设备可以包括接收单元701、确定单元702和封堵单元703。其中，接收单元701可以用于通过分组交换PS域接收第一终端设备101发送的请求消息，该请求消息用于请求通过电路交换CS域与第二终端设备102进行通话。确定单元702可以用于确定请求消息携带的特征码是否位于预存的非法特征码列表内。封堵单元703可以用于若请求消息携带的特征码位于非法特征码列表内，则封堵请求消息，以拒绝第一终端设备101与第二终端设备102进行通话。

可选的，封堵单元703用于封堵请求消息，包括：

封堵单元703向核心网设备发送封堵指令，其中，封堵指令用于将所述请求消息封堵在互联网的出口处。

可选的，封堵指令携带请求消息所携带的网际协议IP地址和/或统一资源定位符URL。

可选的，封堵单元703用于封堵请求消息，包括：

封堵单元703丢弃请求消息。

可选的，所述封堵设备还包括：

监测单元，用于监测任意终端设备通过PS域发送的多个请求消息；

判断单元，用于若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，则判断至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式；其中，两个MSIN中，一个MSIN是任意终端设备的MSIN，另一个是其他终端设备的MSIN；

确定单元702还用于：若至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，则根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码；

更新单元，用于将非法特征码更新至非法特征码列表。

可选的，确定单元702根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码，包括：

确定单元702将IP地址作为非法特征码；和/或，

确定单元702从URL中提取关键字段，将关键字段作为非法特征码；其中，关键字段用于指示请求消息的类型。

其中，接收单元701、确定单元702和封堵单元703，所对应的实体设备均可以是前述的数据采集设备，可以通过DPI设备实现，也可以通过业务交换机或分路器或分光器实现。该封堵设备可以用于执行图4所示的实施例所提供的方法。因此关于该封堵设备中各功能模块所能够实现的功能，可参考图4所示的实施例中的相应描述，不多赘述。

请参见图8，基于同一发明构思，本发明一实施例还提供一种非法网络电话的封堵设备，该封堵设备可以包括接收单元801和响应单元802。其中，接收单元801可以用于接收数据采集设备发送的封堵指令；其中，封堵指令用于对第一终端设备101发送的请求消息进行封堵，以拒绝所述第一终端设备101与第二终端设备102进行通话，请求消息为第一终端设备101通过分组交换PS域发送的，用于请求通过电路交换CS域与第二终端设备102进行通话。响应单元802可以用于响应封堵指令，以将请求消息封堵在互联网的出口处。

可选的，封堵指令包括请求消息携带的IP地址和/或统一资源定位符URL；

响应单元802用于响应封堵指令，包括：

若请求消息携带IP地址，则响应单元802丢弃所述IP地址，或，若请求消息携带URL，则响应单元802修改URL，以使得修改后的URL成为无效的URL。

可选的，接收单元801和响应单元802，所对应的实体设备可以本发明实施例中的核心网设备，如核心网路由器和/或DNS服务器。该封堵设备可以用于执行前述所示的实施例所提供的封堵方法。因此关于该封堵设备中各功能模块所能够实现的功能，可参考前述实施例中的相应描述，不多赘述。

本发明实施例中，数据采集设备只要接收第一终端设备101发送的请求消息，就对该请求消息携带的特征码进行判断，从而确定该请求消息是否非法，实现了对请求消息的监控。一旦确定该请求消息是非法的，数据采集设备就可以对该请求消息进行封堵，这样该请求消息就无法被代理商服务平台103接收，从而第一终端设备101也就无法通过代理商服务平台103与第二终端设备102进行通话，即第一终端设备101无法作为被叫方进行通话，可以减少运营商的损失。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：通用串行总线闪存盘(Universal Serial Bus flash disk)、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (16)

1.一种非法网络电话的封堵方法，其特征在于，包括：

数据采集设备通过分组交换PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过电路交换CS域与第二终端设备进行通话；

所述数据采集设备确定所述请求消息携带的特征码是否位于预存的非法特征码列表内；所述特征码用于表征网络电话的类型；

所述数据采集设备确定所述请求消息中请求通话的第一终端设备与所述第二终端设备的通话方式是否均为被叫通话方式；

若所述请求消息携带的特征码位于所述非法特征码列表内，且所述第一终端设备与所述第二终端设备的通话方式均为被叫通话方式，则所述数据采集设备封堵所述请求消息，以拒绝所述第一终端设备与所述第二终端设备进行通话；

其中，所述非法特征码列表通过如下过程获取：

所述数据采集设备确定通过PS域发送的非法请求消息，非法请求消息为对应的终端设备在发送请求消息后的预设时间段内存在通话行为，且请求消息中携带的两个终端设备的通话方式均为被叫通话方式的消息；

所述数据采集设备根据各非法请求消息携带的IP地址和/或URL确定非法特征码；

所述数据采集设备将所述非法特征码更新至非法特征码列表。

2.如权利要求1所述的方法，其特征在于，所述数据采集设备封堵所述请求消息，包括：

所述数据采集设备向核心网设备发送封堵指令，其中，所述封堵指令用于将所述请求消息封堵在互联网的出口处。

3.如权利要求2所述的方法，其特征在于，所述封堵指令携带所述请求消息所携带的网际协议IP地址和/或统一资源定位符URL。

4.如权利要求1所述的方法，其特征在于，所述数据采集设备封堵所述请求消息，包括：

所述数据采集设备丢弃所述请求消息。

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述数据采集设备监测任意终端设备通过PS域发送的多个请求消息；

若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，则所述数据采集设备判断所述至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式；其中，所述两个MSIN中，一个MSIN是所述任意终端设备的MSIN，另一个是其他终端设备的MSIN；

若所述至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，则所述数据采集设备根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码；

所述数据采集设备将所述非法特征码更新至非法特征码列表。

6.如权利要求5所述的方法，其特征在于，所述数据采集设备根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码，包括：

所述数据采集设备将所述IP地址作为非法特征码；和/或，

所述数据采集设备从所述URL中提取关键字段，将所述关键字段作为非法特征码；其中，所述关键字段用于指示所述请求消息的类型。

7.一种非法网络电话的封堵方法，其特征在于，包括：

核心网设备接收数据采集设备发送的封堵指令；其中，所述封堵指令为所述数据采集设备确定第一终端设备发送的请求消息携带的特征码位于非法特征码列表内，且所述请求消息中请求通话的所述第一终端设备与第二终端设备的通话方式均为被叫通话方式时，向所述核心网设备发送的，用于对所述请求消息进行封堵，以拒绝所述第一终端设备与所述第二终端设备进行通话；所述请求消息为所述第一终端设备通过分组交换PS域发送的，用于请求通过电路交换CS域与所述第二终端设备进行通话；所述特征码用于表征网络电话的类型；

所述核心网设备响应所述封堵指令，以将所述请求消息封堵在互联网的出口处；

其中，所述非法特征码列表为所述数据采集设备通过如下过程获取：确定通过PS域发送的非法请求消息，非法请求消息为对应的终端设备在发送请求消息后的预设时间段内存在通话行为，且请求消息中携带的两个终端设备的通话方式均为被叫通话方式的消息；根据各非法请求消息携带的IP地址和/或URL确定非法特征码；将所述非法特征码更新至非法特征码列表。

8.如权利要求7所述的方法，其特征在于，所述封堵指令包括所述请求消息携带的IP地址和/或统一资源定位符URL；

所述核心网设备响应所述封堵指令，包括：

若所述请求消息携带IP地址，则所述核心网设备丢弃所述IP地址，或，若所述请求消息携带URL，则所述核心网设备修改所述URL，以使得修改后的URL成为无效的URL。

9.一种非法网络电话的封堵设备，其特征在于，包括：

接收单元，用于通过分组交换PS域接收第一终端设备发送的请求消息，所述请求消息用于请求通过电路交换CS域与第二终端设备进行通话；

确定单元，用于确定所述请求消息携带的特征码是否位于预存的非法特征码列表内；以及确定所述请求消息中请求通话的第一终端设备与所述第二终端设备的通话方式是否均为被叫通话方式；所述特征码用于表征网络电话的类型；

封堵单元，用于若所述请求消息携带的特征码位于所述非法特征码列表内，且所述第一终端设备与所述第二终端设备的通话方式均为被叫通话方式，则封堵所述请求消息，以拒绝所述第一终端设备与所述第二终端设备进行通话；

其中，所述非法特征码列表通过如下过程获取：确定通过PS域发送的非法请求消息，非法请求消息为对应的终端设备在发送请求消息后的预设时间段内存在通话行为，且请求消息中携带的两个终端设备的通话方式均为被叫通话方式的消息；根据各非法请求消息携带的IP地址和/或URL确定非法特征码；将所述非法特征码更新至非法特征码列表。

10.如权利要求9所述的设备，其特征在于，所述封堵单元用于封堵所述请求消息，包括：

所述封堵单元向核心网设备发送封堵指令，其中，所述封堵指令用于将所述请求消息封堵在互联网的出口处。

11.如权利要求10所述的设备，其特征在于，所述封堵指令携带所述请求消息所携带的网际协议IP地址和/或统一资源定位符URL。

12.如权利要求9所述的设备，其特征在于，所述封堵单元封堵所述请求消息，包括：

所述封堵单元丢弃所述请求消息。

13.如权利要求9所述的设备，其特征在于，所述设备还包括：

监测单元，用于监测任意终端设备通过PS域发送的多个请求消息；

判断单元，用于若监测到携带了两个移动用户识别码MSIN的至少一个请求消息，则判断所述至少一个请求消息中每个请求消息携带的两个MSIN的通话方式是否均为被叫通话方式；其中，所述两个MSIN中，一个MSIN是所述任意终端设备的MSIN，另一个是其他终端设备的MSIN；

所述确定单元还用于：若所述至少一个请求消息中包括携带的两个MSIN的通话方式均为被叫通话方式的请求消息，则根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码；

更新单元，用于将所述非法特征码更新至非法特征码列表。

14.如权利要求13所述的设备，其特征在于，所述确定单元根据携带的两个MSIN的通话方式均为被叫通话方式的请求消息携带的IP地址和/或URL确定非法特征码，包括：

所述确定单元将所述IP地址作为非法特征码；和/或，

所述确定单元从所述URL中提取关键字段，将所述关键字段作为非法特征码；其中，所述关键字段用于指示所述请求消息的类型。

15.一种非法网络电话的封堵设备，其特征在于，包括：

接收单元，用于接收数据采集设备发送的封堵指令；其中，所述封堵指令为所述数据采集设备确定第一终端设备发送的请求消息携带的特征码位于非法特征码列表内，且所述请求消息中请求通话的所述第一终端设备与第二终端设备的通话方式均为被叫通话方式时，向核心网设备发送的，向所述核心网设备发送的，用于对所述请求消息进行封堵，以拒绝所述第一终端设备与所述第二终端设备进行通话；所述请求消息为所述第一终端设备通过分组交换PS域发送的，用于请求通过电路交换CS域与所述第二终端设备进行通话；所述特征码用于表征网络电话的类型；

响应单元，用于响应所述封堵指令，以将所述请求消息封堵在互联网的出口处；

其中，所述非法特征码列表为所述数据采集设备通过如下过程获取：确定通过PS域发送的非法请求消息，非法请求消息为对应的终端设备在发送请求消息后的预设时间段内存在通话行为，且请求消息中携带的两个终端设备的通话方式均为被叫通话方式的消息；根据各非法请求消息携带的IP地址和/或URL确定非法特征码；将所述非法特征码更新至非法特征码列表。

16.如权利要求15所述的设备，其特征在于，所述封堵指令包括所述请求消息携带的IP地址和/或统一资源定位符URL；

所述响应单元响应所述封堵指令，包括：

若所述请求消息携带IP地址，则所述响应单元丢弃所述IP地址，或，若所述请求消息携带URL，则所述响应单元修改所述URL，以使得修改后的URL成为无效的URL。

Images