CN112219381A - 用于边缘节点中基于数据分析的消息过滤的方法 - Google Patents

Abstract

根据本发明的示例性方面，提供了一种装置，包括：接收机，被配置为从第一安全区接收消息，该第一安全区与该装置被包括在其中的安全区不同；以及至少一个处理核，被配置为确定是否对该消息应用恢复动作，该确定包括：基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

Description

用于边缘节点中基于数据分析的消息过滤的方法

技术领域

本公开涉及两个安全区之间的通信的领域。

背景技术

通信网络(诸如移动通信网络或有线网络)使用互连网络彼此连接。这种互连网络可以包括对通过互连网络发送和/或被发送到通信网络中的数据是恶意或者至少好奇的各方。

为了确保通信网络中的信息安全，运营商可以部署防火墙，诸如信令防火墙或因特网协议IP防火墙。此外，可以对通过互连网络传送的信息进行加密、完整性保护、授权和认证，以保护此类信息免遭盗窃或破坏。

发明内容

本发明是由独立权利要求的特征来定义的。在从属权利要求中定义了一些具体的实施例。

根据本发明的第一方面，提供了一种装置，包括：接收机，被配置为从第一安全区接收消息，该第一安全区与该装置被包括在其中的安全区不同；以及至少一个处理核，被配置为确定是否对该消息应用恢复动作，该确定包括：基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

第一方面的各种实施例(在下文中被称为条款1)可以包括以下项目符号列表中的至少一个条款：

·条款2.根据条款1所述的装置，其中，至少一个处理核进一步被配置为：如果第一权重和第二权重之和满足预定义的第一条件，则基于第四准则执行第四验证以生成第三权重，并将第一权重、第二权重和第三权重之和与第二阈值进行比较以执行该确定。

·条款3.根据条款2所述的装置，其中，至少一个处理核进一步被配置为：如果第一权重、第二权重和第三权重之和满足预定义的第二条件，则基于第五准则执行第五验证以生成第四权重，并将第一权重、第二权重、第三权重和第四权重之和与第三阈值进行比较以执行该确定。

·条款4.根据条款1-3中任一项所述的装置，其中，该装置是边缘节点。

·条款5.根据条款4所述的装置，其中，边缘节点包括在基于5G服务的架构中的安全边缘保护代理。

·条款6.根据条款1-5中任一项所述的装置，其中，该确定至少部分地基于机器学习过程。

·条款7.根据条款6所述的装置，其中，机器学习过程包括聚类过程。

·条款8.根据条款1-7中任一项所述的装置，其中，恢复动作包括以下中的至少一个：丢弃该消息；丢弃该消息的部分；对该消息执行防病毒扫描；将该消息标示给管理员；以及修改响应于该消息而被发送的第二消息。

·条款9.根据条款1-8中任一项所述的装置，其中，第一准则包括以下中的至少一个：该消息是否源自禁止节点；该消息是否是禁止类型；最后支路安全故障是否发生；以及该消息的订户类别是否与第一恢复动作相关。

·条款10.根据条款1-9中任一项所述的装置，其中，第二准则包括以下中的至少一个：运营商特定的分数；以及来自第一安全区的攻击历史。

·条款11.根据条款1-10中任一项所述的装置，其中，第三准则包括以下中的至少一个：该消息的格式；该消息的长度；该消息中的语法错误；该消息中的因特网协议地址是否对于该装置是未知的；该消息是否包括在该装置中罕见的信息元素、属性或扩展；以及在该消息中是否存在通用漏洞披露CVE内容。

·条款12.根据条款2所述的装置，其中，第四准则包括与该消息所采取的路由有关的至少一个准则。

·条款13.根据条款3所述的装置，其中，第五准则与因特网协议层有关并包括与以下中的至少一个有关的准则：探索(ping)或扫描结果；定时；托管；低层攻击；分组丢失信息；响应时间；边界网关协议信息；以及通用漏洞披露CVE内容。

根据本发明的第二方面，提供了一种方法，包括：从第一安全区接收消息，该第一安全区与执行该方法的装置被包括在其中的安全区不同；以及确定是否对该消息应用恢复动作，该确定包括：基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

第二方面的各种实施例可以包括与关于第一方面阐述的来自前述项目符号列表的条款相对应的至少一个条款。

根据本发明的第三方面，提供了一种装置，包括：用于从第一安全区接收消息的部件，该第一安全区与该装置被包括在其中的安全区不同；以及用于确定是否对该消息应用恢复动作的部件，该确定包括：基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

根据本发明的第四方面，提供了一种非暂时性计算机可读介质，在其上存储有一组计算机可读指令，该组计算机可读指令在由至少一个处理器执行时使装置至少：从第一安全区接收消息，该第一安全区与该装置被包括在其中的安全区不同；以及确定是否对该消息应用恢复动作，该确定包括：基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

根据本发明的第五方面，提供了一种计算机程序，被配置为使得执行根据第二方面所述的方法。

附图说明

图1示出根据至少一些实施例的示例性系统；

图2示出其中可采用某些实施例的5G系统；

图3示出能够支持本发明的至少一些实施例的示例性装置；

图4是根据本发明的至少一些实施例的方法的流程图；

图5示出根据本发明的至少一些实施例的权重聚集；

图6是根据本发明的至少一些实施例的方法的流程图。

具体实施方式

本文描述的实施例提供了对进入安全区的消息的更加细微的处理。与基于确定到来的消息是否匹配至少一个丢弃准则而准许该消息进入或丢弃该消息的方案相比，所描述的方案使得能够通过结合来自该消息的若干不同部分或方面的信息、和/或应用于该消息的环境来评估该消息是恶意的或很不受欢迎的总体可能性。在大型通信网络中，发生配置错误并不罕见，用纯粹的非黑即白的方法通常很难在配置错误与不受欢迎的消息之间进行区分。非恶意的被丢弃和被阻止的消息表明客户无法进行通信，以及对应的收益损失。

图1示出了根据至少一些实施例的示例性系统。虽然该示例涉及蜂窝上下文，但本发明不限于此。该系统包括两个通信网络，在左侧的是包括无线电接入网络120和核心网络140的网络，在右侧的网络包括无线电接入网络125和核心网络145。

通常，核心网络可以被视为安全区。可替代地，核心网络与无线电接入网络的组合可以被视为安全区，或者安全区可以是应用相关的区，例如，第三方服务。安全区可以被视为其中应用了具体的一组安全配置的网络或网络段。换句话说，整个网络可以形成一个安全区，其中在整个网络中应用了相同的安全配置。另一方面，通过在一个网络的区域中应用两个或更多个不同的安全配置，可以将该网络细分成两个或更多个安全区。通常，从另一个网络运营商的网络(例如，从互连网络)到达的消息将是从另一个安全区到达的消息。

为了使能终端110与终端115之间的通信，如本文将描述的那样来配置网络间通信。终端110(其可以包括蜂窝电话、智能电话、平板计算机、膝上型计算机、连接的IoT设备、连接的汽车或另一合适的终端设备)被配置为与无线电接入网络120中包括的基站进行通信。在图1中，该通信发生在无线链路110A上，该无线链路110A可以包括用于将信息从终端110传送到基站的上行链路，以及用于将信息从基站传送到终端110的下行链路。基站、终端110和无线链路110A可以被设置为根据诸如第五代5G(也被称为新无线电NR)、长期演进LTE、或通用移动电信系统UMTS、全球移动通信系统GSM的无线通信标准来进行操作。另一个选项是全球微波接入互操作性WiMAX。作为对无线标准的替代或补充，例如，可以使用诸如以太网之类的有线通信标准。如果使用有线通信标准，则通信链路110A不是无线的，而是有线的。无线链路115可以类似地将终端115与无线电接入网络125相连接。

无线电接入网络120和/或125可以包括具有单个通信技术的基站，或者具有混合通信技术的基站。在一些技术中，可以使用表述“接入点”，但在本公开中，将始终使用表述“基站”以简化术语。无线电接入网络120经由接口120A与无线电接入网络控制器130相连接。无线电接入网络122经由接口125A与无线电接入网络控制器135相连接。

无线电接入网络控制器130和135可以被配置为管理无线电接入网络的操作。例如，根据所使用的技术，无线电接入网络控制器可以被称为基站控制器、无线电网络控制器或云RAN节点。在一些技术中，无线电接入网络控制器130和/或135可以不存在，而无线电接入网络直接与核心网络相连接。在一些技术中，无线电接入网络控制器可以被分类为被包括在无线电接入网络中。

无线电接入网络控制器130经由接口130A与核心网络140相连接。无线电接入网络控制器135经由接口135A与核心网络145相连接。例如，核心网络可以负责全网范围的功能，诸如交换、订户管理、认证、和/或计费。

核心网络140包括边缘节点150，该边缘节点150例如负责与其他网络(诸如核心网络145)进行通信。同样地，核心网络145包括边缘节点155，该边缘节点155负责与其他网络(诸如核心网络140)进行通信。因此，为了将终端110与终端115彼此相连接，边缘节点150和155可以彼此通信以传送信息，该信息将在这些终端之间进行传送。边缘节点可以通过表示互连网络的接口150A进行通信。因此，来自终端110去往终端115的消息可以遍历无线链路110A、无线电接入网络120、接口120A、无线电接入网络控制器130、接口130A、包括边缘节点150的核心网络140、接口150A、包括边缘节点155的核心网络145、接口135A、无线电接入网络控制器135、接口125A、无线电接入网络120、以及无线链路115A。

根据实施例和适用的技术，边缘节点可以被称为安全边缘保护代理SEPP、网关GPRS支持节点GGSN、或其他名称。GPRS是通用分组无线业务的缩写。实施例也可以被实现为Diameter边缘代理或diameter路由代理的一部分，或者对于旧版网络，被实现在在信令传送点中。通常，边缘节点可以负责实现对协议消息的保护，这些协议消息先遍历这些边缘节点，然后通过互连网络被发送到另一个网络。虽然本文主要在边缘节点方面描述实施例，但是可以在另一个节点中执行实施例的逻辑，其中边缘节点向该另一个节点发送消息以供参酌。

例如，可以基于运营商协议来指示边缘节点彼此通信。原则上，可以使用对称加密算法和加密密钥来确保边缘节点之间的通信安全，这些加密密钥通过使用安全的带外方法而被分发给边缘节点。对称加密算法的示例例如包括高级加密标准、AES、3DES和Blowfish。可替代地或确实附加地，可以使用基于公钥的加密系统来获得大量网络之间的互操作。

移动通信网络面临频繁的攻击，并且需要做出关于到来的消息是否被准许的决定。丢弃消息是准许该消息进入网络的替代方案，其中被丢弃的消息被删除，而不将其继续转发到安全区中。准许决定在网络的边缘处可以是静态且二进制的。换句话说，可以基于预编码的黑名单和/或白名单来丢弃消息。这种决定是基于硬决策树的，即，例如，如果低层标识与高层标识不匹配，则可以丢弃该消息。本文阐述的实施例提供了允许基于所观察到的在网络之间交换的数据的消息、内容和/或不同层信息的累积的可疑程度来影响准许决定。

对网络的攻击可能难以检测。例如，到来的消息可来自伙伴网络的正确IP地址范围，但是来自先前并未使用过的IP地址。这种消息是不寻常的，但是不会在常规的决策树中触发丢弃。如果附加地，订户移动性检查是在物理上是可以的边缘处，则对于常规的系统，消息会被准许，因为这两个单独的事件分别都不足以可疑到使得该消息被丢弃。

存在已知的其中一个运营商甚至在没有漫游合约的情况下就已经向另一个运营商请求大量的一组用户凭证的情况。如果随后，奇怪的消息与其凭据被请求的那些用户有关，则这些消息可能不会被丢弃，因为没有“累积的”可疑度，并且这可能不会单独地成为丢弃此类信息的充足理由。这种累积的可疑度会允许将错误配置与恶意消息区分开，因为对于攻击者而言，难以拦截大量正确的消息。同样地，消息路由也有所不同，遍历不太受信任网络的路由可以被认为是比仅遍历受信任网络的路由更可疑。如此，路由信息在过滤消息以用于准许决定时也可以是有用的。

网络的更新和发展是有规律的，因此，如网络之间的通信参数的改变之类的变化是正常的。另外，受损网络可以恢复，也就是说，在某一时刻，遭恶意软件破坏的节点可以被清理并且再次成为可接受的节点。采用简单的列出黑名单会有永久地失去这种漫游伙伴的风险。另一方面，例如，窃取直到更换物理SIM/UICC卡才期满的订户密钥可以被视为绑定到特定订阅及其相关消息的永久性污点。因此，需要对安全威胁进行智能处理。

图2示出了其中可采用某些实施例的5G系统。在此，SEPP是边缘节点，N32接口对应于图1中的接口150A。用户设备UE是终端，(R)AN对应于(无线电)接入网络。接入和移动性管理功能AMF支持NAS功能和连接管理。会话管理功能SMF支持会话管理功能，诸如建立和释放。用户平面功能UPF支持数据分组路由、服务质量、以及与数据网络DN的互连。类似的系统可以用于例如具有S6a接口和MME/HSS的4G。

网络切片选择功能NSSF支持选择网络切片以服务用户设备。网络开放功能NEF支持能力开放和例如安全地向外部网络提供信息。NF存储库功能NRF执行服务发现功能。策略控制功能PCF为功能提供策略规则。应用功能AF支持与策略控制的交互，并执行对流量路由有影响的应用。

在图2的架构中，对于5G SBA，SEPP是位于网络的外围并且保护网络免受到来的消息影响的边缘节点。本公开侧重于SEPP，但总的来说，本发明是针对通信网络中位于安全区的边缘的节点中或处的功能，或者更一般地安全区中的功能。例如，这可适用于内部安全分区和其间的防火墙。筛选功能可以是SEPP或相关联的功能的集成部分，其中例如，流量的副本进入SEPP，并且SEPP接收处理信息。

在图1、图2或这两者中示出的网络的适用部分中使用的协议例如可以包括5GHTTP、TLS、REST API、Jason、4G diameter、GTP、SIP、SS7和Sigtran。

在对所接收的消息进行解码期间，边缘节点可以与防火墙功能互通，并且此外，还可以请求处理该消息，例如丢弃该消息。边缘节点可以被配置为记录某些事件，进行总计以生成元数据。

可以应用多级风险评分机制，以使得能够在执行有关到来的消息的准许决定时考虑各种各样的信息。多级风险评分机制可以包括第一级和至少两个其他级别，在第一级中，可以基于至少一个第一级准则来对消息做出直接决定。该消息例如可以包括分组。分组例如可以包括IPv4或IPV6寻址的分组。

针对消息采取的恢复动作例如可以包括丢弃该消息，丢弃该消息的部分，对该消息执行防病毒扫描，将该消息标示给管理员，以及修改响应于该消息而被发送的第二消息。例如，如果消息被包括在相同的协议连接中，则可以识别第二消息。作为另一示例，可以将消息转发到被丢弃消息存档以进行存储，而不是将该消息转发给其预期的接收方。在一些实施例中，如果检测到错误，则应用恢复动作。

第一级使得能够直接采取与消息有关的恢复动作，而无需考虑其他级别。例如，第一级可以包括检查该消息是否源自禁止节点。禁止节点例如可以包括与其不存在有效的漫游合约的节点。第一级可以包括检查该消息是否是禁止类型，诸如从网络外部到达的网络内部消息。第一级可以包括检查安全检查，诸如加密签名验证、与消息有关的故障，和/或检查该消息的订户类别是否表明针对分组的直接丢弃或直接准许。通常，在第一级使能做出关于消息的决定的情况下，不需要执行其他级别，而是可以基于第一级对该消息进行直接处理。换句话说，第一级可以包括基于第一级准则来进行验证，从而可以确定是否立即执行恢复动作。

如果第一级没有得出关于消息的决定，则可以执行至少两个其他级别。在第一级之后的每一级可以输出诸如风险分数之类的权重，并可以对来自至少两个这种级别的风险分数进行求和，以算出与该消息相关联的总体风险。在第一级之后的每一级可以包括基于级别特定的准则的验证。在下文中将针对第二、三、四和五级来描述这种准则。

第二级可以包括检查运营商特定的各方面。运营商特定方面的示例是运营商分数，其中，运营商分数可以被分配给消息来自其安全区的运营商。例如，如果运营商已经被报告了过去的欺诈行为，或者已经是不可靠的合作伙伴，或者尚未实现安全更新，则该运营商可以被分配反映此点的风险分数。附加地或可替代地，第二级可以包括来自源运营商的攻击历史。攻击历史可以包括源运营商网络中的实体已经从其中正做出准许决定的安全区窃取了信息。攻击历史风险分数可以具有相关联的老化因子，以使得信息盗窃的影响(就风险分数而言)会在相关性方面基于被窃取信息的性质而降低。例如，如果终端的位置信息被窃取，则其相关性可迅速降低，因为终端将自然地四处移动，从而使被窃取信息过时。另一方面，短期加密密钥或订户简档的盗窃在相关性方面可降低得更慢，而IMSI或永久性加密密钥的盗窃可导致永久性的攻击历史分数，其相关性只会非常缓慢地降低，或者根本不降低。

本文所使用的运营商可以是指与标识网络的运营商标识相关联的网络运营商。如此，网络运营商标识可以标识网络而不是个人用户。因此，运营商分数可以是特定于网络的，并且运营商分数可以将网络运营商标识与过去的欺诈行为、不可靠交互以及缺少已实现安全更新的指示中的至少一个相关联。运营商的示例是移动通信网络运营商。运营商可以控制具体的安全区。

运营商分数和攻击历史可以被认为是两个不同的级别，或者是第二级的两个子级。

第三级可以包括检查消息结构相关的各方面。例如，消息格式可能不正常，消息可能格外地长或格外地短、或者被异常地排序。这些方面中的每一方面都可导致在第三级中分配的风险分数的增加。同样地，未知的IP地址或全局标题可导致风险分数增加。此外，在第三级中，异常信息元素、属性、扩展或专有扩展的存在可导致风险分数被分配给该消息。同样地，通用漏洞披露CVE内容也可导致风险分数累积，具体的订户类别的存在也可导致风险分数累积。消息可从第三级中的多于一个方面累积风险分数，来自每个方面的风险分数被加在一起以得出针对该消息的总体第三级风险分数。

第四级可以包括检查消息的与该消息已遍历的路由有关的各方面。路由例如可以出现在该消息的报头中。例如，第四级可以包括检查路由中是否包括安全支路(leg)，中间节点是否值得信任，该路由对源网络是否是典型的，该路由是国内的还是国际的，和/或跳数。因此，可以基于路由的各个方面来累积风险分数。由第四级所贡献的风险分数可在其增加消息的总体可靠性方面带来负面影响。这例如可以是这种情况，其中消息已沿着其路由仅遍历高度受信任的中间跳跃点或节点。

第五级可以包括检查与消息有关的低层的各方面。例如，可以检查因特网协议层方面。第五层可以包括检查以下中的至少一个：ping或扫描结果，定时方面，托管方面，低层攻击，分组丢失信息，响应时间，边界网关协议信息，以及低层通用漏洞披露CVE内容。每一这种方面都可以用风险分数影响来配置，以生成由第五级所贡献的总体风险分数。

例如，如果第一级没有得出直接决定，则可以执行第二级和第三级，它们的风险分数被加在一起求和并与预定义的触发器进行比较，以确定是否可以对该消息做出决定。如果没能做出任何决定，则可以执行第四级，它的风险分数可以被添加到第二和三级的风险分数之和中。然后，可以将这三个风险分数之和与预定义的触发器进行比较，以确定是否可以对该消息做出决定。如果没能做出任何决定，则可以执行第五级，它的风险分数可以被添加到第二、三和四级的风险分数之和中。然后，可以将该最终的总风险分数与阈值进行比较，以得出针对该消息的决定。可以为不确定的情况定义默认决定。

预定义的触发器例如可以包括双阈值，其中，小于第一点的风险导致准许决定，而大于第二点的风险导致丢弃决定。位于第一点与第二点之间的风险可导致执行后续级别以尝试做出决定。

图3示出了能够支持至少一些实施例的示例性装置。所图示的是设备300，其例如可以包括诸如图1中的边缘节点150或155之类的边缘节点。在设备300中包括处理器310，其例如可以包括单核或多核处理器，其中，单核处理器包括一个处理核，而多核处理器包括多于一个的处理核。处理器310通常可以包括控制设备。处理器310可以包括多于一个的处理器。处理器310可以是控制设备。处理核例如可以包括由ARM公司(ARM Holdings)制造的Cortex-A8处理核或由AMD公司(Advanced Micro Devices Corporation)生产的Steamroller处理核。处理器310可以包括至少一个Qualcomm Snapdragon和/或Intel Xeon处理器。处理器310可以包括至少一个专用集成电路ASIC。处理器310可以包括至少一个现场可编程门阵列FPGA。处理器310可以是用于在设备300中执行方法步骤的部件。处理器310可以至少部分地被计算机指令配置为执行动作。

处理器可以包括电路，或者被构造为一个或多个电路，该一个或多个电路被配置为执行根据本文描述的实施例的方法的阶段。如在本申请中使用的，术语“电路”可以是指以下中的一个或多个或全部：(a)仅硬件电路实现，诸如仅模拟和/或数字电路的实现；(b)硬件电路和软件的组合，诸如如果适用：(i)模拟和/或数字硬件电路与软件/固件的组合；以及(ii)具有软件的硬件处理器的任何部分(包括数字信号处理器、软件和存储器，其一起工作以使诸如边缘节点之类的装置执行各种功能)；以及(c)硬件电路和/或处理器，诸如微处理器或微处理器的一部分，其需要软件(例如，固件)来操作，但操作不需要软件时可以不存在软件。

“电路”的这一定义应用于在本申请中的该术语的全部使用，包括在任何权利要求中的使用。作为另一个示例，如在本申请中使用的，术语“电路”还覆盖仅硬件电路或处理器(或多个处理器)或硬件电路或处理器的一部分及其伴随的软件和/或固件的实现。术语“电路”还覆盖(例如且如果适用于具体要求的元件)用于移动设备或服务器中的类似集成电路、蜂窝网络设备、或其他计算或网络设备的基带集成电路或处理器集成电路。

设备300可以包括存储器320。存储器320可以包括随机存取存储器和/或永久性存储器。存储器320可以包括至少一个RAM芯片。存储器320例如可以包括固态、磁性、光学和/或全息存储器。存储器320可以是至少部分地处理器310可访问的。存储器320可以被至少部分地包括在处理器310中。存储器320可以是用于存储信息的部件。存储器320可以包括处理器310被配置以执行的计算机指令。当被配置为使处理器310执行某些动作的计算机指令被存储在存储器320中，并且设备300被整体配置为使用来自存储器320的计算机指令在处理器310的指导下运行时，处理器310和/或其至少一个处理核可以被认为是被配置为执行所述的某些动作。存储器320可以被至少部分地包括在处理器310中。存储器320可以至少部分地在设备300的外部，但是设备300可访问的。

设备300可以包括发射机330。设备300可以包括接收机340。发射机330和接收机340可以被配置为根据至少一个蜂窝或非蜂窝标准分别发送和接收信息。发射机330可以包括多于一个的发射机。接收机340可以包括多于一个的接收机。发射机330和/或接收机340可以被配置为根据合适的通信标准进行操作，以使得能够获得本发明的益处。

设备300可以包括用户接口UI 360。UI 360可以包括显示器、键盘、触摸屏、被设置为通过使设备300振动来向用户发信号的振动器、扬声器和麦克风中的至少一个。用户可能够经由UI 360来操作设备300，例如配置边缘节点。

处理器310可以配备有发射机，该发射机被设置为经由设备300内部的电引线从处理器310向设备300中包括的其他设备输出信息。这种发射机例如可以包括串行总线发射机，该串行总线发射机被设置为经由至少一个电引线将信息输出到存储器320以存储在其中。作为串行总线的替代，该发射机可以包括并行总线发射机。同样地，处理器310可以包括接收机，该接收机被设置为经由设备300内部的电引线在处理器310中从设备300中包括的其他设备接收信息。这种接收机例如可以包括串行总线接收机，该串行总线接收机被设置为经由至少一个电引线从接收机340接收信息以用于在处理器310中进行处理。作为串行总线的替代，该接收机可以包括并行总线接收机。

设备300可以包括在图3中未图示的其他设备。例如，如果设备300包括智能电话，则它可以包括至少一个数字摄像头。一些设备300可以包括后置摄像头和前置摄像头，其中，后置摄像头可以用于数字摄像，而前置摄像头可以用于视频电话。设备300可以包括指纹传感器，该指纹传感器被设置为至少部分地对设备300的用户进行认证。在一些实施例中，设备300缺少上述的至少一个设备。

处理器310、存储器320、发射机330、接收机340和/或UI 360可以通过设备300内部的电引线以多种不同的方式互连。例如，每个前述设备可以分别被连接到设备300内部的主总线，以允许这些设备交换信息。然而，如本领域技术人员将理解的，这仅是一个示例，并且根据实施例，在不背离本发明的范围的情况下可以选择互连至少两个前述设备的各种方式。

图4是根据本发明的至少一些实施例的方法的流程图。该方法例如可以在边缘节点中执行。处理在顶部开始，其中在阶段410中，从外部接口i/f，例如从另一个安全区接收消息。在阶段420中，执行第一级，并检查(阶段430)是否可基于第一级的结果做出直接决定。如果可以做出这种直接决定，则处理前进到阶段480，而如果没能做出这种决定，则处理前进到阶段440，其中第二级被执行。在阶段450中，对在第二决定之后的可能的决定进行检查，并且如果没能做出任何决定，则处理前进到阶段460，其中第三级被执行。如在上面所讨论的，执行第二级的运营商评分和攻击历史部分可以被认为是两个级别，因为这些方面并不完全相互依赖。在阶段470中，检查从第二和三级获得的总权重是否使得能够对该消息做出决定。如果是这样的话，则处理前进到阶段480(其中做出决定)和阶段490(其中决定被应用)。例如，该消息可以被丢弃，被准许进入网络、或被转发到丢弃消息存档以进行存储。

如果在阶段470中没能做出决定，则执行第四级，即，路由分析(阶段4100)。从第四级获得的风险分数被添加到从第二和三级获得的风险分数中，以在阶段4110中确定是否可以做出决定。如果是，则如上所述地做出决定，如果否，则处理前进到阶段4120，其中第五级被执行，即，低层分析。在阶段4130中，尝试基于第二到五级的加和权重进行决定。在图4中，存在准许该消息的默认决定，如阶段4140。

图5示出了根据本发明的至少一些实施例的权重的聚集。

如本文中在上面所描述的，第一级可以基于启发法HEUR产生直接决定。如果第一级没有产生决定，则执行第二级和第三级。在图5中，第二级被细分成单独的攻击历史AH部分和合作伙伴评分PS部分，但总的来说，这些风险分数ML可以在第二级内部或在求和阶段中被简单地加在一起，从而使得在操作上没有差异。逐步地，如本文中在上面所描述的，如果需要做出决定，则执行第四级和第五级。

在一些实施例中，风险分数ML可以是正的或负的。例如，如果合作伙伴分数指示源网络非常可靠，则它可以生成负的风险分数，该负的风险分数可以抵消来自另一级别的风险分数贡献的影响。作为一个具体示例，第二级中的合作伙伴分数可能非常好，以至于无需执行第四和第五级，因为来自第二和三级的风险分数之和好得足以做出准许消息进入网络的决定。

风险分数ML可以采取机器学习方案的形式。例如，可以使用基于距离的机器学习方案，诸如聚类方案。在这种方案中，可以在评估消息与先前(例如从具体的网络运营商)接收的消息有多相似或不相似中使用相似性度量。与平均被准许消息的距离例如可以用作风险分数。被准许消息可以在机器学习相似性空间中形成多于一个的集群，其中，风险分数可以被选择为到最接近该消息的集群的中心的距离。

在一些实施例中，一些集群可以包括被丢弃的消息，这例如可以是这种情况，其中正在进行协同钓鱼攻击，其中钓鱼消息彼此类似。在这种情况下，接近这种集群可能会导致被分配高风险分数。

通常，所获得的技术效果在于所描述的方案只在必需时才执行消息处理级别，并且其中可以基于较早的级别来做出决定，随后的级别可以被省略，这提供了在延迟、处理器周期和能量方面的节省。

图6是根据本发明的至少一些实施例的方法的流程图。该方法例如可以在边缘节点中执行，或者当被安装在其中时，在被配置为控制边缘节点的动作的控制设备中执行。

阶段610包括从第一安全区接收消息，该第一安全区与执行该方法的装置被包括在其中的安全区不同。阶段620包括确定是否对该消息应用恢复动作，该确定包括基于第一准则进行第一验证，以评估是否立即应用恢复动作，并且仅在第一验证没有导致立即应用该恢复动作的评估的情况下，基于第二准则进行第二验证(阶段630)以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将第一权重和第二权重之和与预定义的触发器进行比较以执行该确定。

应理解，如相关领域的普通技术人员将认识到的，所公开的本发明的实施例不限于本文所公开的特定结构、过程步骤或材料，而是被扩展至其等同物。还应理解，本文使用的术语仅被用于描述特定实施例的目的，而不旨在进行限制。

在说明书中提及一个实施例或实施例意味着结合该实施例而描述的特定特征、结构或特性被包括在本发明的至少一个实施例中。因此，在本说明书中各处出现的短语“在一个实施例中”或“在实施例中”并非是指相同的实施例。在使用诸如“大约”或“基本上”之类的术语参考数值的情况下，也公开了确切的数值。

如在本文中所使用的，为了方便起见，多个项、结构元件、组成元素、和/或材料可以被呈现在公共列表中。然而，这些列表应当被解释为列表中的每个成员都分别被标识为单独且唯一的成员。因此，在没有相反的指示的情况下，这样的列表中的各个成员都不应当仅根据他们在公共群组中的出现而被解释为相同列表中的任何其他成员的事实等同物。此外，本发明的各种实施例和示例可以在本文中与其各种组件的替代物一起被引用。应当理解，这样的实施例、示例和替代物不应被解释为是彼此的事实等同物，而是应被认为是本发明的单独和自主表示。

此外，在一个或多个实施例中，所描述的特征、结构或特性可以采用任何合适的方式进行组合。在前面的描述中，提供了许多具体细节，诸如长度、宽度、形状等的示例，以提供对本发明实施例的透彻理解。然而，相关领域的技术人员将认识到，可以在没有一个或多个具体细节的情况下，或者利用其他方法、组件、材料等来实践本发明。在其他实例中，为了避免混淆本发明的各个方面，公知的结构、材料或操作未进行详细示出或描述。

虽然上述示例在一个或多个特定应用中说明了本发明的原理，但是对于本领域普通技术人员而言显而易见的是，可以在形式、使用和实现细节上进行多种修改，而无需运用创造性能力并且也不会背离本发明的原理和概念。因此，除了所附权利要求之外，无意限制本发明。

动词“包括”和“包含”在本文档中用作开放性限制，其既不排除也不要求还存在未叙述的特征。除非另有明确说明，否则从属权利要求中记载的特征可以相互任意组合。此外，应当理解，在本文档中“一”或“一个”即单数形式的使用并不排除多个。

工业适用性

本发明的至少一些实施例发现在处理网络中的消息方面的工业应用。

缩略语列表

IMSI 国际移动订户标识

GGSN 网关GPRS支持节点

GPRS 通用分组无线业务

GSM 全球移动通信系统

GTP GPRS隧道协议

HTTP 超文本传输协议

SEPP 安全边缘保护代理

SIP 会话发起协议

SS7 七号信令系统

TLS 传输层安全性

UMTS 通用移动电信系统

WiMAX 全球微波接入互操作性附图标记列表

110，115	终端
		110A，115A	无线链路
120，125	无线电接入网络
		130，135	无线电接入网络控制器
120A，125A，130A，135A	接口
		140，145	核心网络
150，155	边缘节点
		150A	接口(互连网络)
300–360	图3中的设备的结构
		410–4140	图4中的方法的阶段
610–630	图6中的方法的阶段

Claims (29)

1.一种装置，包括：

接收机，被配置为从第一安全区接收消息，所述第一安全区与所述装置被包括在其中的安全区不同；以及

至少一个处理核，被配置为确定是否对所述消息应用恢复动作，所述确定包括：

·基于第一准则进行第一验证以评估是否立即应用所述恢复动作，并且

仅在所述第一验证没有导致立即应用所述恢复动作的评估的情况下，

·基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将所述第一权重和所述第二权重之和与预定义的触发器进行比较以执行所述确定。

2.根据权利要求1所述的装置，其中，所述至少一个处理核进一步被配置为：如果所述第一权重和所述第二权重之和满足预定义的第一条件，则基于第四准则执行第四验证以生成第三权重，并将所述第一权重、所述第二权重和所述第三权重之和与第二阈值进行比较以执行所述确定。

3.根据权利要求2所述的装置，其中，所述至少一个处理核进一步被配置为：如果所述第一权重、所述第二权重和所述第三权重之和满足预定义的第二条件，则基于第五准则执行第五验证以生成第四权重，并将所述第一权重、所述第二权重、所述第三权重和所述第四权重之和与第三阈值进行比较以执行所述确定。

4.根据权利要求1-3中任一项所述的装置，其中，所述装置是边缘节点。

5.根据权利要求4所述的装置，其中，所述边缘节点包括在基于5G服务的架构中的安全边缘保护代理。

6.根据权利要求1-5中任一项所述的装置，其中，所述确定至少部分地基于机器学习过程。

7.根据权利要求6所述的装置，其中，所述机器学习过程包括聚类过程。

8.根据权利要求1-7中任一项所述的装置，其中，所述恢复动作包括以下中的至少一个：丢弃所述消息；丢弃所述消息的部分；对所述消息执行防病毒扫描；将所述消息标示给管理员；以及修改响应于所述消息而被发送的第二消息。

9.根据权利要求1-8中任一项所述的装置，其中，所述第一准则包括以下中的至少一个：所述消息是否源自禁止节点；所述消息是否是禁止类型；最后支路安全故障是否发生；以及所述消息的订户类别是否与第一恢复动作相关。

10.根据权利要求1-9中任一项所述的装置，其中，所述第二准则包括以下中的至少一个：运营商特定的分数；以及来自所述第一安全区的攻击历史。

11.根据权利要求1-10中任一项所述的装置，其中，所述第三准则包括以下中的至少一个：所述消息的格式；所述消息的长度；所述消息中的语法错误；所述消息中的因特网协议地址是否对于所述装置是未知的；所述消息是否包括在所述装置中罕见的信息元素、属性或扩展；以及在所述消息中是否存在通用漏洞披露CVE内容。

12.根据权利要求2所述的装置，其中，所述第四准则包括与所述消息所采取的路由有关的至少一个准则。

13.根据权利要求3所述的装置，其中，所述第五准则与因特网协议层有关并包括与以下中的至少一个有关的准则：探索或扫描结果；定时；托管；低层攻击；分组丢失信息；响应时间；边界网关协议信息；以及通用漏洞披露CVE内容。

14.一种方法，包括：

从第一安全区接收消息，所述第一安全区与执行所述方法的装置被包括在其中的安全区不同；以及

确定是否对所述消息应用恢复动作，所述确定包括：

·基于第一准则进行第一验证以评估是否立即应用所述恢复动作，并且

仅在所述第一验证没有导致立即应用所述恢复动作的评估的情况下，

·基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将所述第一权重和所述第二权重之和与预定义的触发器进行比较以执行所述确定。

15.根据权利要求14所述的方法，还包括：如果所述第一权重和所述第二权重之和满足预定义的第一条件，则基于第四准则执行第四验证以生成第三权重，并将所述第一权重、所述第二权重和所述第三权重之和与第二阈值进行比较以执行所述确定。

16.根据权利要求15所述的方法，还包括：如果所述第一权重、所述第二权重和所述第三权重之和满足预定义的第二条件，则基于第五准则执行第五验证以生成第四权重，并将所述第一权重、所述第二权重、所述第三权重和所述第四权重之和与第三阈值进行比较以执行所述确定。

17.根据权利要求14-16中任一项所述的方法，其中，所述装置是边缘节点。

18.根据权利要求17所述的方法，其中，所述边缘节点包括在基于5G服务的架构中的安全边缘保护代理。

19.根据权利要求14-18中任一项所述的方法，其中，所述确定至少部分地基于机器学习过程。

20.根据权利要求19所述的方法，其中，所述机器学习过程包括聚类过程。

21.根据权利要求14-20中任一项所述的方法，其中，所述恢复动作包括以下中的至少一个：丢弃所述消息；丢弃所述消息的部分；对所述消息执行防病毒扫描；将所述消息标示给管理员；以及修改响应于所述消息而被发送的第二消息。

22.根据权利要求14-21中任一项所述的方法，其中，所述第一准则包括以下中的至少一个：所述消息是否源自禁止节点；所述消息是否是禁止类型；最后支路安全故障是否发生；以及所述消息的订户类别是否与第一恢复动作相关。

23.根据权利要求14-22中任一项所述的方法，其中，所述第二准则包括以下中的至少一个：运营商特定的分数；以及来自所述第一安全区的攻击历史。

24.根据权利要求14-23中任一项所述的方法，其中，所述第三准则包括以下中的至少一个：所述消息的格式；所述消息的长度；所述消息中的语法错误；所述消息中的因特网协议地址是否对于所述装置是未知的；所述消息是否包括在所述装置中罕见的信息元素、属性或扩展；以及在所述消息中是否存在通用漏洞披露CVE内容。

25.根据权利要求15所述的方法，其中，所述第四准则包括与所述消息所采取的路由有关的至少一个准则。

26.根据权利要求16所述的方法，其中，所述第五准则与因特网协议层有关并包括与以下中的至少一个有关的准则：探索或扫描结果；定时；托管；低层攻击；分组丢失信息；响应时间；边界网关协议信息；以及通用漏洞披露CVE内容。

27.一种装置，包括：

用于从第一安全区接收消息的部件，所述第一安全区与所述装置被包括在其中的安全区不同；以及

用于确定是否对所述消息应用恢复动作的部件，所述确定包括：

·基于第一准则进行第一验证以评估是否立即应用所述恢复动作，并且

仅在所述第一验证没有导致立即应用所述恢复动作的评估的情况下，

·基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将所述第一权重和所述第二权重之和与预定义的触发器进行比较以执行所述确定。

28.一种非暂时性计算机可读介质，在其上存储有一组计算机可读指令，所述一组计算机可读指令在由至少一个处理器执行时使装置至少：

从第一安全区接收消息，所述第一安全区与所述装置被包括在其中的安全区不同；以及

确定是否对所述消息应用恢复动作，所述确定包括：

·基于第一准则进行第一验证以评估是否立即应用所述恢复动作，并且

仅在所述第一验证没有导致立即应用所述恢复动作的评估的情况下，

·基于第二准则进行第二验证以生成第一权重，以及基于第三准则进行第三验证以生成第二权重，并将所述第一权重和所述第二权重之和与预定义的触发器进行比较以执行所述确定。

29.一种计算机程序，被配置为使得执行根据权利要求14-26中至少一项所述的方法。

Images