CN111866848B - 一种移动基站识别方法、装置和计算机设备 - Google Patents

Abstract

本发明提供了一种移动基站识别方法、装置和计算机设备。涉及计算机网络技术，解决了根据硬件识别移动基站时应用范围过小、过程繁琐、准确性不高的问题。该方法包括：收集各个节点上的用户访问数据；从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；分析所述行为特征基础数据，确定归属于移动基站的IP地址。本发明提供的技术方案适用于移动通信网络，实现了基于IP地址分析的移动基站识别。

Description

一种移动基站识别方法、装置和计算机设备

技术领域

本发明涉及计算机网络技术，尤其涉及一种基站识别方法、装置和计算机设备。

背景技术

随着移动通信技术的飞快发展，全球移动通信的用户数量急剧膨胀，随之而来的移动基站也日益增多。移动基站指在一定的无线电覆盖区中，通过移动通信交换中心，与移动电话终端之间进行信息传递的无线电收发信息的电台。每个移动基站均设有一个或多个IP连接互联网，实现移动端的互联网的接入。

移动基站IP库在互联网行业的应用场景也十分广泛，比如安全厂商可根据不同的IP类别制定不同的安全防护策略，也可用于威胁情报、态势感知等的产品中。

移动基站识别通常通过硬件手段读取基站的LAC、CID号进行验证，识别的范围有限，只能在一个移动基站的信号覆盖范围内识别。同时这种方式很容易受到伪基站的干扰，导致识别的准确性不够高。

发明内容

本发明旨在解决上面描述的问题。

本发明的一方面提供了一种移动基站识别方法，包括：

收集各个节点上的用户访问数据；

从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析所述行为特征基础数据，确定归属于移动基站的IP地址。

优选的，收集各个节点上的用户访问数据的步骤包括：

数据中心服务器收集各个节点发送的标准格式的用户访问数据，所述标准格式至少包含用户访问源IP地址、客户端标识(user-agent)，以及以下字段中的任一或任意多项：

访问的统一资源标识符、域名、访问时间、地区、运营商。

优选的，收集各个节点上的用户访问数据的步骤之前，还包括：

各个节点根据解析得到的用户访问流量或访问日志，通过客户标识过滤得到用户访问请求数据；

将所述用户访问请求数据解析成所述标准格式的用户访问数据，打包后提交至所述数据中心服务器。

优选的，从所述用户访问数据中提取得到各个IP地址的行为特征基础数据的步骤包括：

以一个或多个字段为维度对所述用户访问数据进行分类聚合；

对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

优选的，以一个或多个字段为维度对所述用户访问数据进行分类聚合的步骤具体为：

按照地区这一字段对所述用户访问数据进行分类聚合。

优选的，分析所述行为特征基础数据，确定归属于移动基站的IP地址的步骤包括：

构建IP访问频率分析模型和/或IP地址访问目标分析模型；

通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

根据本发明的另一方面，还提供了一种移动基站识别装置，包括：

信息收集模块，用于收集各个节点上的用户访问数据；

数据采集模块，用于从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析识别模块，用于分析所述行为特征基础数据，确定归属于移动基站的IP地址。

优选的，所述数据采集模块包括：

聚合单元，用于以一个或多个字段为维度对所述用户访问数据进行分类聚合；

数据采样单元，用于对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

优选的，所述分析识别模块包括：

建模单元，用于构建IP访问频率分析模型和/或IP地址访问目标分析模型；

频率分析单元，用于通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

异常访问识别单元，用于通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

基站地址确定单元，用于判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

根据本发明的另一方面，提供了一种计算机设备，包括处理器、存储器及存储于所述存储器上的计算机程序，所述处理器运行所述计算机程序时实现如下步骤：

收集各个节点上的用户访问数据；

从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析所述行为特征基础数据，确定归属于移动基站的IP地址。

本发明提供了一种移动基站识别方法、装置和计算机设备，收集各个节点上的用户访问数据，然后从所述用户访问数据中提取得到各个IP地址的行为特征基础数据，再分析所述行为特征基础数据，确定归属于移动基站的IP地址。实现了基于IP地址分析的移动基站识别，解决了根据硬件识别移动基站时应用范围过小、过程繁琐、准确性不高的问题。

参照附图来阅读对于示例性实施例的以下描述，本发明的其他特性特征和优点将变得清晰。

附图说明

并入到说明书中并且构成说明书的一部分的附图示出了本发明的实施例，并且与描述一起用于解释本发明的原理。在这些附图中，类似的附图标记用于表示类似的要素。下面描述中的附图是本发明的一些实施例，而不是全部实施例。对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，可以根据这些附图获得其他的附图。

图1示例性地示出了本发明的一实施例提供的一种移动基站识别系统的架构；

图2示例性地示出了本发明的一实施例提供的一种移动基站识别方法的流程；

图3示例性地示出了图2中步骤202的具体流程；

图4示例性地示出了图2中步骤203的具体流程；

图5示例性地示出了本发明的一实施例提供的一种移动基站识别装置的结构；

图6示例性地示出了图5中数据采集模块502的结构；

图7示例性地示出了图5中分析识别模块503的结构；

图8示例性地示出了本发明的一实施例提供的一种计算机设备的结构。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在识别移动基站时，通常通过硬件手段读取基站的LAC、CID号进行验证。使用硬件手段识别移动基站存在如下问题：

(1)识别的范围有限，只能在一个移动基站的信号覆盖范围内识别；

(2)过程繁琐，准确性不高，容易受到伪基站的干扰。

为了解决上述问题，本发明的实施例提供了一种移动基站识别方法、装置和计算机设备，基于用户访问流量，通过移动端用户的访问行为来识别移动基站IP，解决了传统识别方法范围小、过程繁琐、准确性不高的缺点，识别范围广、准确性高、成本低。如果用户访问日志样本足够的话，甚至可以识别全国所有移动基站的IP，应用范围极广。

本发明的一实施例提供了一种移动基站识别方法和系统，该系统的架构包括三个模块，如图1所示，分别为：数据采集层、数据聚合层、数据分析层。

一、数据采集层

数据采集层利用部署在各个节点上的日志采集客户端读取用户访问流量或者用户访问日志，并解析打包成标准格式的用户访问数据。

二、数据聚合层

数据聚合层将主要包括一个数据中心服务器以及数据存储服务器，用于接收各个节点打包发送过来的用户访问数据，并聚合存储到数据存储服务器中。

三、数据分析层

数据分析层负责从数据存储服务器中，按照地区的字段取出数据分类，进行基站IP的分析。

在上述系统中，使用本发明实施例提供的移动基站识别方法完成基于IP地址的基站识别的流程如图2所示，包括：

步骤201、收集各个节点上的用户访问数据。

本发明实施例中，各个节点根据解析得到的用户访问流量或访问日志，通过客户标识过滤得到用户访问请求数据，然后将所述用户访问请求数据解析成所述标准格式的用户访问数据，打包后提交至所述数据中心服务器。

数据中心服务器收集各个节点发送的标准格式的用户访问数据，所述标准格式至少包含用户访问源IP地址、客户端标识user-agent，以及以下字段中的任一或任意多项：

访问的统一资源标识符(URI)、域名、访问时间、地区、运营商。

其中，“地区”是指源IP地址所属地区，可根据该字段对各省份的IP地址进行归类处理。

具体的，在数据采集层完成如下处理：

1、根据解析得到用户访问流量或访问日志，大部分移动端用户上网会通过基站接入互联网，因此基站IP会包含在移动端IP之中。因此，通过客户端标识(比如：android、iphone)过滤得到各个地区的移动端的用户访问请求数据，并解析成标准格式的用户访问数据。

2、各节点将用户访问数据按照标准格式打包，提交到数据中心服务器。

步骤202、从所述用户访问数据中提取得到各个IP地址的行为特征基础数据。

本步骤具体如图3所示，包括：

步骤2021、以一个或多个字段为维度对所述用户访问数据进行分类聚合。

本步骤中，将各个节点发送的数据包进行解码后分类聚合。

优选的，本发明实施例中，可按照“地区”这一字段对所述用户访问数据进行分类聚合并存储，存储内容包括：访问时间、用户访问源IP地址、user-agent、访问的URI、域名、地区、运营商，并将数据存储于数据存储服务器。数据存储服务器的数据库类型不限，可包括关系型数据库、Nosql、全文搜索引擎等，本发明的实施例对此不作限定。这样就可在后续分别对各个分类进行分析，确定各个地区中的移动基站IP地址，完成移动基站识别，准确度更高，结果更详细。

本步骤中，以“地区”为聚合维度，按照用户访问次数对所有IP地址进行从大到小排序，这样便可得到一份待分析的IP地址列表。可每个类别的IP地址形成一张待分析的IP地址列表，也可各个类别的IP地址形成一张总表并在该总表中标明IP地址对应的类别。

在形成待分析的IP地址列表的过程中，还可以考虑实际应用情况，对数据进行初步处理。例如，考虑到国内的移动基站IP不存在除3大运营商之外的其他运营商，可在本步骤中过滤非电信、联通、移动的IP地址。

步骤2022、对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

本步骤中，获取IP地址当天的时域数据，按照采样区间采集数据。例如，以每五分钟为一个时间采样区间，以下为采集得到的行为特征基础数据的一种格式示例：

[(时间1，访问次数)，(时间2，访问次数)，……，(时间n，访问次数)]。

通过“时间1”－“时间n”标记第1至第n个采样区间，形成采样结果数组。

步骤203、分析所述行为特征基础数据，确定归属于移动基站的IP地址。

本步骤具体如图4所示，包括：

步骤2031、构建IP访问频率分析模型和/或IP地址访问目标分析模型。

本步骤中，针对每个IP地址类别建模，进行IP行为分析。优选的，对每个类别的IP地址建模，例如，当以“地区”为维度进行聚合时，对每个“地区”类别下的IP地址建模，IP行为模型至少包括两个模型：IP访问频率分析模型、IP地址访问目标分析模型。

步骤2032、通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址。

本步骤中，通过IP访问频率分析模型过滤非基站IP地址，比如WiFi的出口IP地址、互联网数据中心(IDC)出口IP地址等，基本步骤为：

(1)根据行为特征基础数据，计算该IP地址一天的总访问次数，如果总访问次数小于IP访问频率分析模型中设定的阈值(该阈值可根据实际的日志数量来确定)，则认为该IP地址是非基站IP地址。

由于WiFi的出口IP地址也具有访问量较大的特点，但WiFi的出口IP地址访问量与移动基站的访问量还存在很大差距，因此通过合理的设置上述阈值，能够过滤如WiFi的出口IP地址等较大访问量的IP地址。

(2)根据行为特征基础数据，获取得到一天中访问次数大于0的采样区间个数，因为wifi或者IDC的IP不可能全天大部分采样区间都对网站进行访问，因此当大部分采样区间都存在该IP地址发起的访问请求时，则可认为该IP地址很有可能为移动基站的IP地址；否则，将此IP地址过滤掉。例如，设定活跃时间阈值为90％，存在访问次数大于0的采样区间的比例低于该活跃时间阈值时判定相应的IP地址不归属于移动基站，过滤掉。

步骤2033、通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址。

本步骤中，通过IP地址访问目标分析模型过滤异常的IP地址，比如黑客攻击IP、僵尸网络、垃圾邮件等，基本步骤为：

(1)根据行为特征基础数据，当某一个采样区间的访问次数远大于其他采样区间的访问次数(比如一个IP地址一个采样区间的访问次数均大于其他任一采样区间的3倍以上)，则可认为该IP地址可能为异常IP地址，可能为黑客发起的CC攻击等，故对该IP地址进行过滤。

(2)根据行为特征基础数据，进行快速傅里叶变换(FFT)，得到频域数据及频谱图(频率-幅值)，当某个频率的幅值明显大于其他频率时，代表IP访问频率主要集中在这个频率，明显为非人为访问的行为，可能为僵尸网络、物联网设备访问、垃圾邮件等，此类IP地址也非移动基站的IP地址，故对此类IP地址也进行过滤。

(3)获取IP地址的访问域名列表和URI列表。因为用户访问的域名及URI会比较分散，用户行为涉及的域名及URI个数会比较多。当涉及的域名和URI个数均小于一定阈值时，即访问对象过于集中时，可认为是该IP地址针对特定域名进行攻击，属于非人为访问的行为，此类IP地址也为非移动基站的IP地址，可能为僵尸网络等，故对此类IP地址进行过滤。

步骤2034、判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

经过步骤2031-2033过滤后，剩余的IP地址即可判定为归属于移动基站的IP地址，通过以上的识别规则可准确识别各个地区的移动基站IP地址。

本发明的一实施例还提供了一种移动基站识别装置，其结构如图5所示，包括：

信息收集模块501，用于收集各个节点上的用户访问数据；

数据采集模块502，用于从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析识别模块503，用于分析所述行为特征基础数据，确定归属于移动基站的IP地址。

优选的，所述数据采集模块502的结构如图6所示，包括：

聚合单元5021，用于以一个或多个字段为维度对所述用户访问数据进行分类聚合；

数据采样单元5022，用于对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

优选的，所述分析识别模块503的结构如图7所示，包括：

建模单元5031，用于构建IP访问频率分析模型和/或IP地址访问目标分析模型；

频率分析单元5032，用于通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

异常访问识别单元5033，用于通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

基站地址确定单元5034，用于判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

本发明的一实施例还提供了一种计算机设备，其结构如图8所示，包括处理器、存储器及存储于所述存储器上的计算机程序，所述处理器运行所述计算机程序时实现如下步骤：

收集各个节点上的用户访问数据；

从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析所述行为特征基础数据，确定归属于移动基站的IP地址。

本发明的实施例提供的了一种移动基站识别方法、装置和计算机设备，收集各个节点上的用户访问数据，然后从所述用户访问数据中提取得到各个IP地址的行为特征基础数据，再分析所述行为特征基础数据，确定归属于移动基站的IP地址。实现了基于IP地址分析的移动基站识别，解决了根据硬件识别移动基站时应用范围过小、过程繁琐、准确性不高的问题。

本发明的实施例提供的技术方案采用用户访问行为的代替传统的硬件识别的方式识别移动基站IP，有识别范围广、准确性高、成本低的优点；采用用户行为特征分析模型和异常分析模型识别移动基站IP，适用场景多，效率高。

本发明的实施例提供的技术方案适用于多种应用场景，将分析确定的移动基站的IP地址形成基站IP地址库，与不同应用结合，例如：

(1)web应用防火墙场景：web应用防火墙有时会针对不同的IP地址进行请求的拦截，而部分基站IP地址的访问量巨大，并与恶意攻击的IP地址有些行为类似，有可能会被加入应用防火墙的拦截IP地址列表中，如果有基站IP地址库，则能有效防止请求误拦截。

(2)某些应用会根据网络环境触发一些自动操作，例如应用商店WiFi下自动更新。与基站IP地址库结合后，对网络环境的判断更为准确，能够带来更好的用户体验。

本领域技术人员应明白，本发明的实施例可提供为方法、装置(设备)、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质上实施的计算机程序产品的形式。计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质,包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质等。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

本发明是参照根据本发明实施例的方法、装置(设备)和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的物品或者设备中还存在另外的相同要素。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明的意图也包含这些改动和变型在内。

Claims (8)

1.一种移动基站识别方法，其特征在于，包括：

收集各个节点上的用户访问数据；

从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析所述行为特征基础数据，确定归属于移动基站的IP地址；

分析所述行为特征基础数据，确定归属于移动基站的IP地址的步骤包括：

构建IP访问频率分析模型和/或IP地址访问目标分析模型；

通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

2.根据权利要求1所述的移动基站识别方法，其特征在于，收集各个节点上的用户访问数据的步骤包括：

数据中心服务器收集各个节点发送的标准格式的用户访问数据，所述标准格式至少包含用户访问源IP地址、客户端标识user-agent，以及以下字段中的任一或任意多项：

访问的统一资源标识符、域名、访问时间、地区、运营商。

3.根据权利要求2所述的移动基站识别方法，其特征在于，收集各个节点上的用户访问数据的步骤之前，还包括：

各个节点根据解析得到的用户访问流量或访问日志，通过客户标识过滤得到用户访问请求数据；

将所述用户访问请求数据解析成所述标准格式的用户访问数据，打包后提交至所述数据中心服务器。

4.根据权利要求1或2所述的移动基站识别方法，其特征在于，从所述用户访问数据中提取得到各个IP地址的行为特征基础数据的步骤包括：

以一个或多个字段为维度对所述用户访问数据进行分类聚合；

对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

5.根据权利要求4所述的移动基站识别方法，其特征在于，以一个或多个字段为维度对所述用户访问数据进行分类聚合的步骤具体为：

按照地区这一字段对所述用户访问数据进行分类聚合。

6.一种移动基站识别装置，其特征在于，包括：

信息收集模块，用于收集各个节点上的用户访问数据；

数据采集模块，用于从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析识别模块，用于分析所述行为特征基础数据，确定归属于移动基站的IP地址；

所述分析识别模块包括：

建模单元，用于构建IP访问频率分析模型和/或IP地址访问目标分析模型；

频率分析单元，用于通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

异常访问识别单元，用于通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

基站地址确定单元，用于判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

7.根据权利要求6所述的移动基站识别装置，其特征在于，所述数据采集模块包括：

聚合单元，用于以一个或多个字段为维度对所述用户访问数据进行分类聚合；

数据采样单元，用于对各个IP地址的用户访问数据中的时域数据进行采样，得到各个IP地址的行为特征基础数据。

8.一种计算机设备，其特征在于，包括处理器、存储器及存储于所述存储器上的计算机程序，所述处理器运行所述计算机程序时实现如下步骤：

收集各个节点上的用户访问数据；

从所述用户访问数据中提取得到各个IP地址的行为特征基础数据；

分析所述行为特征基础数据，确定归属于移动基站的IP地址；

分析所述行为特征基础数据，确定归属于移动基站的IP地址的步骤包括：

构建IP访问频率分析模型和/或IP地址访问目标分析模型；

通过所述IP访问频率分析模型分析所述行为特征基础数据，过滤访问频率和/或访问次数不达标的IP地址；

通过所述IP地址访问目标分析模型分析所述行为特征基础数据，过滤存在异常访问行为的IP地址；

判定经所述IP访问频率分析模型和/或所述IP地址访问目标分析模型过滤后剩下的IP地址为归属于移动基站的IP地址。

Images