CN115278684A - 一种基于dpi技术的5g信令攻击监测方法和装置 - Google Patents

一种基于dpi技术的5g信令攻击监测方法和装置 Download PDF

Info

Publication number
CN115278684A
CN115278684A CN202210882851.8A CN202210882851A CN115278684A CN 115278684 A CN115278684 A CN 115278684A CN 202210882851 A CN202210882851 A CN 202210882851A CN 115278684 A CN115278684 A CN 115278684A
Authority
CN
China
Prior art keywords
signaling
abnormal
attack
flow
monitoring
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210882851.8A
Other languages
English (en)
Other versions
CN115278684B (zh
Inventor
方权
黄瑾男
蔡本祥
张林杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sino Telecom Technology Co inc
Original Assignee
Sino Telecom Technology Co inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sino Telecom Technology Co inc filed Critical Sino Telecom Technology Co inc
Priority to CN202210882851.8A priority Critical patent/CN115278684B/zh
Publication of CN115278684A publication Critical patent/CN115278684A/zh
Application granted granted Critical
Publication of CN115278684B publication Critical patent/CN115278684B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/70—Reducing energy consumption in communication networks in wireless communication networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请的基于DPI技术的5G信令攻击监测方法和装置，涉及5G移动通信安全领域。所述方法包括通过分光方式从5G核心网获取5G信令流量；解析5G信令协议并提取信令信息；利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。本申请基于DPI技术的5G信令攻击监测方法和装置，利用5G信令攻击监测算法并结合初筛、复筛、精筛算法，可以准确发现信令异常流量，分析5G信令攻击行为，并准确高效判定5G信令攻击行为，保障5G核心网正常工作。

Description

一种基于DPI技术的5G信令攻击监测方法和装置
技术领域
本申请涉及5G移动通信安全领域，尤其涉及基于DPI技术的5G信令攻击监测方法和装置。
背景技术
随着社会对网络的需求变多，要求变高，相关的移动通信技术的也随之不断发展，从开始的2/3G通信网络，到4G网络的全面普及，人们的上网体验有了极大的提升。如今5G网络也正在逐步推广，这意味着未来的网络将是更高的带宽，更低的时延，以及更多的接入设备，由此带来的网络安全问题也是更为复杂，各种新式网络攻击手段也会接踵而来。当前，通过深度包检测技术(Deep Packet Inspection，DPI)可以更好地对未来复杂网络流量进行分析识别，从而更好地进行防护管控。
目前，网络已经覆盖到社会生活的方方面面，如若安全问题处理不当，可能造成个人隐私信息，甚至国家信息的泄露，给社会造成巨大损失，需要建立一套完备的基于DPI技术的5G信令攻击监测方法和装置。
因此，期望提供一种基于DPI技术的5G信令攻击监测方法和装置，利用5G信令攻击监测算法并结合初筛、复筛、精筛算法，可以准确发现信令异常流量，分析5G信令攻击行为，并准确高效判定5G信令攻击行为，保障5G核心网正常工作。
发明内容
根据本申请的一些实施例的第一方面，提供了一种基于DPI技术的5G信令攻击监测方法，应用于终端(例如，5G信令攻击监测装置等)中，所述方法可以基于DPI技术，通过分光方式从5G核心网获取5G信令流量；解析5G信令协议并提取信令信息；利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。
在一些实施例中，所述5G信令协议包括HTTP2、NGAP、NAS、PFCP、GTPV2：所述信令信息包括流程用户、流程类型、流程状态、信令起止时间、永久用户标识、流程错误码；所述异常单报文监测方法包括不明终端接入监测方法和基站非法接入监测方法；所述异常多报文监测方法包括初筛算法、复筛算法、精筛算法。
在一些实施例中，所述不明终端接入监测方法，具体包括通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析用户终端与AMF网元交互信令，并提取信令流程类型、流程状态、信令起止时间、永久用户标识SUPI、流程错误码；若用户终端向核心网发起注册请求，且核心网拒绝接入，错误码3为非法用户Illegal UE，错误码5为非法终端标识PEI not accepted，错误码6为非法SIM卡Illegal ME，判定所述错误码3，错误码5，错误码6为不明终端接入行为。
在一些实施例中，所述基站非法接入监测方法，具体包括通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析基站与AMF网元交互信令，并提取信令流程类型、流程状态；若基站向核心网发起基站建立请求，且核心网拒绝接入，错误码11为无效小区cell-not-available，错误码12为无效目标unknown-targetID，判定所述错误码11，错误码12为基站非法接入行为。
在一些实施例中，所述初筛算法包括异常协议的初筛判定，异常格式的初筛判定，异常方向的初筛判定，以及异常服务的初筛判定。
在一些实施例中，所述异常协议的初筛判定包括以SBI网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常协议数；若单位时间内SBI网元异常协议数超过门限Lp，初筛判定为异常协议攻击；异常格式的初筛判定包括以AMF IP维度统计话单数据，确定N1N2话单无效流程数；若单位时间内无效流程数超过门限Lf，初筛判定为异常格式攻击；异常方向的初筛判定包括以AMF IP维度统计话单数据，当确定N1N2信令报文注册请求为上行报文，提取所述报文为下行报文时，判定异常方向；若单位时间内异常方向报文数超过门限Ld，初筛判定为异常方向攻击；异常服务的初筛判定包括以网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常服务类型数；若单位时间内SBI网元异常服务类型数超过门限Ls，初筛判定为异常服务攻击。
在一些实施例中，所述复筛算法，具体包括将初筛话单数据根据用户终端标识维度、位置信息维度统计；若相同用户终端标识数Nue大于总话单数的50％，或，若相同位置信息话单数Ntac大于总话单数的50％，复筛判定为信令攻击行为。
在一些实施例中，所述精筛算法，具体包括根据公式
Lthreshold＝α×Mthreshold+β×Wthreshold+γ×Dthreshold，
其中，Mthreshold表示一个月内同一时间段的异常平均值，Wthreshold表示前一周同一时间段的异常平均值，Dthreshold表示前一天同一时间段的异常平均值，α、β、γ分别是月度、前一周和前一天数据的加权系数，α+β+γ＝1；
计算异常流量平均值Lthreshold，若异常流量大于平均值Lthreshold，精筛判定所述异常流量为信令攻击流量。
根据本申请的一些实施例的第二方面，提供了一种基于DPI技术的5G信令攻击监测装置，所述装置包括流量识别系统，包括流量采集模块和流量解析输出模块；攻击行为监测系统，包括话单解析模块和行为分析模块。
在一些实施例中，所述基于DPI技术的5G信令攻击监测装置，进一步包括流量识别系统，被配置为获取5G信令流量，解析并提取信令关键信息，以及输出相应信令日志话单；攻击行为监测系统，被配置为对所述信令日志话单内容进行二次处理，分析5G信令攻击行为；一个存储器，被配置为存储数据及指令；一个与存储器建立通信的处理器，其中，当执行存储器中的指令时，所述处理器被配置为：基于DPI技术，通过分光方式从5G核心网获取5G信令流量；解析5G信令协议并提取信令信息；利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。
因此，根据本申请的基于DPI技术的5G信令攻击监测方法和装置，利用5G信令攻击监测算法并结合初筛、复筛、精筛算法，可以准确发现信令异常流量，分析5G信令攻击行为，并准确高效判定5G信令攻击行为，保障5G核心网正常工作。
附图说明
为更好地理解并阐述本申请的一些实施例，以下将结合附图参考实施例的描述，在这些附图中，同样的数字编号在附图中指示相应的部分。
图1是根据本申请的一些实施例提供的系统在5G核心网侧采集点描述示例性示意图。
图2是根据本申请的一些实施例提供的基于DPI技术的5G信令攻击监测方法的示例性流程图。
图3是根据本申请的一些实施例提供的基于DPI技术的5G信令攻击监测装置的示例性示意图。
图4是根据本申请的一些实施例提供的5G网络信令攻击基站非法接入示例性解析图。
图5是根据本申请的一些实施例提供的5G网络信令攻击异常格式示例性解析图。
图6是根据本申请的一些实施例提供的5G网络信令攻击异常方向示例性解析图。
具体实施方式
以下参考附图的描述为便于综合理解由权利要求及其等效内容所定义的本申请的各种实施例。这些实施例包括各种特定细节以便于理解，但这些仅被视为示例性的。因此，本领域技术人员可以理解对在此描述的各种实施例进行各种变化和修改而不会脱离本申请的范围和精神。另外，为简要并清楚地描述本申请，本申请将省略对公知功能和结构的描述。
在以下说明书和权利要求书中使用的术语和短语不限于字面含义，而是仅为能够清楚和一致地理解本申请。因此，对于本领域技术人员，可以理解，提供对本申请各种实施例的描述仅仅是为说明的目的，而不是限制所附权利要求及其等效定义的本申请。
下面将结合本申请一些实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
需要说明的是，在本申请实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请实施例和所附权利要求书中所使用的单数形式的“一”、“一个”、“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本申请中使用的术语“和/或”是指并包含一个或多个相绑定的列出项目的任何或所有可能组合。表达“第一”、“第二”、“所述第一”和“所述第二”是用于修饰相应元件而不考虑顺序或者重要性，仅仅被用于区分一种元件与另一元件，而不限制相应元件。
根据本申请一些实施例的终端可以是智能终端，平台，装备和/或电子设备等；该智能终端可以包括5G信令攻击监测装置等。该平台可以包括云端平台等，所述平台可以包括由一个或多个电子设备组成的系统平台；该装备可以包括智能网联车辆(IntelligentConnected Vehicle，ICV)；该电子设备可以包括个人电脑(PC，例如平板电脑、台式电脑、笔记本、上网本、掌上电脑PDA)、客户端设备、虚拟现实设备(VR)、增强现实设备(AR)、混合现实设备(MR)、XR设备、渲染机、智能手机、移动电话、电子书阅读器、便携式多媒体播放器(PMP)、音频/视频播放器(MP3/MP4)、摄像机和可穿戴设备等中的一种或几种的组合。根据本申请的一些实施例，所述可穿戴设备可以包括附件类型(例如手表、戒指、手环、眼镜、或头戴式装置(HMD))、集成类型(例如电子服装)、装饰类型(例如皮肤垫、纹身或内置电子装置)等，或几种的组合。在本申请的一些实施例中，所述电子设备可以是灵活的，不限于上述设备，或者可以是上述各种设备中的一种或几种的组合。在本申请中，术语“用户”可以指示使用电子设备的人或使用电子设备的设备(例如人工智能电子设备)。
本申请实施例提供了一种基于DPI技术的5G信令攻击监测方法和装置。为了便于理解本申请实施例，以下将参考附图对本申请实施例进行详细描述。
图1是根据本申请的一些实施例提供的系统在5G核心网侧采集点描述示例性示意图。图3是根据本申请的一些实施例提供的基于DPI技术的5G信令攻击监测装置的示例性示意图。如图3所示，5G信令攻击监测装置300包括流量识别系统和攻击行为监测系统。所述流量识别系统可以包括流量采集模块和流量解析输出模块；所述攻击行为监测系统可以包括话单解析模块和行为分析模块。
如图1所示，所述流量采集模块通过分光方式获取5G核心网的网元间的控制面流量，其中包括N1/N2/N4/N5/N7/N8/N10/N11/N12/N13/N14/N15/N16/N22/N26/N40信令接口流量；所述流量解析输出模块对5G信令协议进行解析，所述5G信令协议包括HTTP2、NGAP、NAS、PFCP、GTPV2等信令协议；提取信令信息，所述信令信息可以包括但不限于流程用户、流程类型、流程状态、信令起止时间、永久用户标识、流程错误码等关键字段信息，并输出相应日志话单，传输至话单解析模块，所述话单解析模块用于解析所述关键字段信息；再由行为分析模块通过相应的监测方法对其进行攻击行为的分析判定。
作为示例，基于DPI技术的监测系统可以包括网络、控制端、用户端和服务器等。具体的，控制端与用户端可以通过网络建立通信，例如，控制端与用户端可以在同一个局域网(比如，同一个路由器的网络环境等)中通信。进一步，控制端可以通过有线(例如，网线等)或无线(例如，云端服务器等)等方式与网络连接，用户端可以通过有线或无线(例如，WIFI等)等方式与网络建立通信连接。在一些实施例中，用户端可以向控制端、服务器发送注册请求等。进一步地，控制端、服务器可以向用户端反馈拒绝接入等。作为示例，服务器和/或控制端可以基于错误码类型判定为不明终端接入行为、基站非法接入行为等。
根据本申请的一些实施例，控制端、用户端可以为相同或不同的终端设备等。所述终端设备可以包括但不限于智能终端，云端平台，移动终端，计算机等。在5G信令攻击监测场景中，控制端可以包括5G信令攻击监测装置等。在一些实施例中，控制端和用户端可以集成在一个设备中，例如，5G信令攻击监测装置等。在一些实施例中，服务器是计算机的一种，具有比普通计算机运行更快、负载更高等优势，而相对应的价格更高昂。在网络环境中，服务器可以为其它客户机(例如，PC机、智能手机、ATM等终端，以及交通系统等大型设备)提供计算或者应用服务。服务器具有高速的CPU运算能力、长时间的可靠运行、强大的I/O外部数据吞吐能力以及更好的扩展性。所述服务器可以提供的服务包括但不限于承担响应服务请求、承担服务、保障服务的能力等。所述服务器作为电子设备，具有极其复杂的内部结构，包括与普通计算机相近的内部结构等，作为示例，所述服务器的内部结构可以包括中央处理器(Central Processing Unit，CPU)、硬盘、内存，系统、系统总线等。
在本申请的一些实施例中，基于DPI技术的监测系统可以省略一个或多个元件，或者可以进一步包括一个或多个其它元件。作为示例，基于DPI技术的监测系统可以包括多个用户终端UE，如多个UE等。又例如，基于DPI技术的监测系统可以包括一个或多个控制端。再例如，基于DPI技术的监测系统可以包括多个服务器等。在一些实施例中，基于DPI技术的监测系统可以包括但不限于基于5G信令攻击监测场景的系统。网络可以为任意类型的通信网络，所述通信网络可以包括计算机网络(例如，局域网(LAN，Local Area Network)或广域网(WAN，Wide Area Network))、互联网和/或电话网络等，或几种的组合。在一些实施例中，网络可以为其他类型的无线通信网络。所述无线通信可以包括微波通信和/或卫星通信等。所述无线通信可以包括蜂窝通信，例如，全球移动通信(GSM，Global System for MobileCommunications)、码分多址(CDMA，Code Division Multiple Access)、第三代移动通信(3G，The 3rd Generation Telecommunication)、第四代移动通信(4G)、第五代移动通信(5G)、第六代移动通信(6G)、长期演进技术(LTE，Long Term Evolution)、长期演进技术升级版(LTE-A，LTE-Advanced)、宽带码分多址(WCDMA，Wideband Code Division MultipleAccess)、通用移动通信系统(UMTS，Universal Mobile Telecommunications System)、无线宽带(WiBro，Wireless Broadband)等，或几种的组合。在一些实施例中，用户端可以为其他具备同等功能模块的装备和/或电子设备，该装备和/或电子设备可以包括虚拟现实设备(VR)、渲染机、个人电脑(PC，例如平板电脑、台式电脑、笔记本、上网本、掌上电脑PDA)、智能手机、移动电话、电子书阅读器、便携式多媒体播放器(PMP)、音频/视频播放器(MP3/MP4)、摄像机和可穿戴设备等中的一种或几种的组合。
在一些实施例中，所述WIFI可以为其他类型的无线通信技术。根据本申请的一些实施例，所述无线通信可以包括无线局域网(WiFi，Wireless Fidelity)、蓝牙、低功耗蓝牙(BLE，Bluetooth Low Energy)、紫蜂协议(ZigBee)、近场通讯(NFC，Near FieldCommunication)、磁安全传输、射频和体域网(BAN，Body Area Network)等，或几种的组合。根据本申请的一些实施例，所述有线通信可以包括全球导航卫星系统(Glonass/GNSS，Global Navigation Satellite System)、全球定位系统(GPS，Global Position System)、北斗导航卫星系统或伽利略(欧洲全球卫星导航系统)等。所述有线通信可以包括通用串行总线(USB，Universal Serial Bus)、高清多媒体接口(HDMI，High-Definition MultimediaInterface)、推荐标准232(RS-232，Recommend Standard 232)、和/或简易老式电话服务(POTS，Plain Old Telephone Service)等，或几种的组合。
需要说明的是，以上对于基于DPI技术的监测系统的描述，仅为描述方便，并不能把本申请限制在所举实施例的范围之内。可以理解，对于本领域技术人员，基于本系统的原理，可能在不背离该原理的前提下，对各个元件进行任意组合，或者构成子系统与其他元件连接，对实施上述方法和系统的应用领域进行形式和细节上的各种修正和改变。例如，服务器和/或控制端可以基于初筛、复筛、精筛算法等判定为信令攻击行为等。诸如此类的变形，均在本申请的保护范围之内。
图2是根据本申请的一些实施例提供的基于DPI技术的5G信令攻击监测方法的示例性流程图。如图2所述，流程200可以通过基于DPI技术的5G信令攻击监测装置实现。在一些实施例中，所述基于DPI技术的5G信令攻击监测方法200可以自动启动或通过指令启动。所述指令可以包括系统指令、设备指令、用户指令、动作指令等，或几种的组合。
在201，通过分光方式从5G核心网获取5G信令流量。操作201可以通过基于DPI技术的监测系统的流量采集模块实现。在一些实施例中，所述流量采集模块可以基于DPI技术，通过分光方式从5G核心网获取5G信令流量。
作为示例，所述流量采集模块可以通过分光方式获取5G核心网的网元间的控制面流量，包括N1/N2/N4/N5/N7/N8/N10/N11/N12/N13/N14/N15/N16/N22/N26/N40信令接口流量。
在202，解析5G信令协议并提取信令信息。操作202可以通过基于DPI技术的监测系统的流量解析输出模块实现。在一些实施例中，所述流量解析输出模块可以解析5G信令协议并提取信令信息。所述信令信息可以包括但不限于流程用户、流程类型、流程状态、信令起止时间、永久用户标识、流程错误码等关键字段信息。
作为示例，所述流量解析输出模块对5G信令协议进行解析，所述5G信令协议包括HTTP2、NGAP、NAS、PFCP、GTPV2等信令协议。
在一些实施例中，所述流量解析输出模块可以进一步输出相应日志话单，传输至话单解析模块。
在203，利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。操作203可以通过基于DPI技术的监测系统的话单解析模块、行为分析模块实现。在一些实施例中，所述话单解析模块可以用于解析所述关键字段信息以确定信令异常流量等。在一些实施例中，所述行为分析模块可以通过相应的监测方法对其进行攻击行为的分析判定。
所述异常单报文监测方法可以包括不明终端接入监测方法和基站非法接入监测方法等。根据本申请的一些实施例，所述不明终端接入监测方法，具体包括：
通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析用户终端与AMF网元交互信令，并提取信令流程类型、流程状态、信令起止时间、永久用户标识SUPI、流程错误码；
若用户终端向核心网发起注册请求，且核心网拒绝接入，错误码3为非法用户Illegal UE，错误码5为非法终端标识PEI not accepted，错误码6为非法SIM卡IllegalME，判定所述错误码3，错误码5，错误码6为不明终端接入行为。
作为示例，所述不明终端接入监测方法可以通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析UE(用户终端)与AMF网元交互信令并提取信令流程类型(procedureType)、流程状态、信令起止时间、永久用户标识(SUPI)、流程错误码；若终端向核心网发起注册请求(procedure＝0)，且核心网拒绝接入，错误码3(Illegal UE，非法用户)、5(PEI not accepted，非法终端标识)、6(Illegal ME，非法SIM卡)，可以判定为不明终端接入行为。
根据本申请的一些实施例，所述基站非法接入监测方法，具体包括：
通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析基站与AMF网元交互信令，并提取信令流程类型、流程状态；
若基站向核心网发起基站建立请求，且核心网拒绝接入，错误码11为无效小区cell-not-available，错误码12为无效目标unknown-targetID，判定所述错误码11，错误码12为基站非法接入行为。
作为示例，所述基站非法接入监测方法可以通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析基站与AMF网元交互信令并提取信令流程类型(procedureType)流程状态，若基站向核心网发起基站建立请求(procedure＝80)，且核心网拒绝接入，错误码4(unknown-PLMN，异常PLMN，如图4所示)、11(cell-not-available，无效小区)、12(unknown-targetID，无效目标)，可以判定为基站非法接入行为。
所述异常多报文监测方法可以包括初筛算法、复筛算法、精筛算法等。所述初筛算法可以包括异常协议的初筛判定，异常格式的初筛判定，异常方向的初筛判定，以及异常服务的初筛判定等。
在一些实施例中，所述异常协议的初筛判定包括以SBI网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常协议数；若单位时间内SBI网元异常协议数超过门限Lp，初筛判定为异常协议攻击。例如，以SBI网元IP为纬度统计话单数据，统计N5-N40话单公共头SBI proto err＝1(SBI协议错误)的条数。若单位时间内某个SBI网元异常协议数超过门限Lp，初筛判定为异常协议攻击。
在一些实施例中，所述异常格式的初筛判定包括以AMF IP维度统计话单数据，确定N1N2话单无效流程数；若单位时间内无效流程数超过门限Lf，初筛判定为异常格式攻击。
在一些实施例中，所述异常方向的初筛判定包括以AMF IP维度统计话单数据，当确定N1N2信令报文注册请求为上行报文，提取所述报文为下行报文时，判定异常方向；若单位时间内异常方向报文数超过门限Ld，初筛判定为异常方向攻击。
在一些实施例中，所述异常服务的初筛判定包括以网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常服务类型数；若单位时间内SBI网元异常服务类型数超过门限Ls，初筛判定为异常服务攻击。
作为示例，以网元IP维度统计话单数据，其中N5-N40接口话单公共头SBI protoerr＝2(SBI服务类型错误)的条数单位时间超过一定门限Ls，初筛判定为异常服务攻击。
根据本申请的一些实施例，所述复筛算法，具体包括将初筛话单数据根据用户终端标识维度、位置信息维度统计；若相同用户终端标识数Nue大于总话单数的50％，或，若相同位置信息话单数Ntac大于总话单数的50％，复筛判定为信令攻击行为。
根据本申请的一些实施例，所述精筛算法，具体包括：
根据公式
Lthreshold＝α×Mthreshold+β×Wthreshold+γ×Dthreshold，
其中，Mthreshold表示一个月内同一时间段的异常平均值，Wthreshold表示前一周同一时间段的异常平均值，Dthreshold表示前一天同一时间段的异常平均值，α、β、γ分别是月度、前一周和前一天数据的加权系数，α+β+γ＝1；
计算异常流量平均值Lthreshold，若异常流量大于平均值Lthreshold，精筛判定所述异常流量为信令攻击流量。
需要说明的是，以上对于流程200的描述，仅为描述方便，并不能把本申请限制在所举实施例的范围之内。可以理解，对于本领域技术人员，基于本系统的原理，可能在不背离该原理的前提下，对各个操作进行任意组合，或者构成子流程与其它操作组合，对实施上述流程和操作的功能进行形式和细节上的各种修正和改变。例如，流程200可以进一步包括输出相应日志话单，传输至话单解析模块等操作。诸如此类的变形，均在本申请的保护范围之内。
图3是根据本申请的一些实施例提供的基于DPI技术的5G信令攻击监测装置的示例性示意图。根据本申请的一些实施例，提供了一种基于DPI技术的5G信令攻击监测装置，如图3所示，5G信令攻击监测装置300包括流量识别系统和攻击行为监测系统。所述流量识别系统可以包括流量采集模块和流量解析输出模块；所述攻击行为监测系统可以包括话单解析模块和行为分析模块。
图4是根据本申请的一些实施例提供的5G网络信令攻击基站非法接入示例性解析图。作为示例，所述基站非法接入监测方法，若基站向核心网发起基站建立请求(procedure＝80)，且核心网拒绝接入，错误码4(unknown-PLMN，异常PLMN)如图4所示。例如，如图4所示的错误码4，以及错误码11(cell-not-available，无效小区)，错误码12(unknown-targetID，无效目标)，利用所述基站非法接入监测方法，可以判定为基站非法接入行为。
图5是根据本申请的一些实施例提供的5G网络信令攻击异常格式示例性解析图。作为示例，所述异常格式的初筛判定，以AMF IP维度统计话单数据，其中N1N2话单信令流程类型procedureType＝255(unknown，无效流程)如图5所示，若单位时间内无效流程数超过门限Lf，初筛判定为异常格式攻击。
图6是根据本申请的一些实施例提供的5G网络信令攻击异常方向示例性解析图。作为示例，所述异常方向的初筛判定，以AMF IP维度统计话单数据，其中N1N2信令报文注册请求(procedure＝0)的报文为上行报文，而报文提取出id-DownlinkNASTransport(下行NAS数据)，表示所述报文为下行报文，如图6所示，所述特殊情况可以判定为异常方向；若单位时间内异常方向报文数超过门限Ld，初筛判定为异常方向攻击。
综上所述，根据本申请实施例的基于DPI技术的5G信令攻击监测方法和装置，利用5G信令攻击监测算法并结合初筛、复筛、精筛算法，可以准确发现信令异常流量，分析5G信令攻击行为，并准确高效判定5G信令攻击行为，保障5G核心网正常工作。
需要注意的是，上述的实施例仅仅是用作示例，本申请不限于这样的示例，而是可以进行各种变化。
需要说明的是，在本说明书中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
最后，还需要说明的是，上述一系列处理不仅包括以这里所述的顺序按时间序列执行的处理，而且包括并行或分别地、而不是按时间顺序执行的处理。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序指令相关的硬件来完成，所述的程序可存储于一计算机可读存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储器(Read-Only Memory，ROM)或随机存储器(Random Access Memory，RAM)等。
以上所揭露的仅为本申请一些优选的实施例，不能以此来限定本申请之权利范围，本领域普通技术人员可以理解实现上述实施例的全部或部分流程，并依本申请权利要求所作的等同变化，仍属于发明所涵盖的范围。

Claims (10)

1.一种基于DPI技术的5G信令攻击监测方法，其特征在于，包括：
通过分光方式从5G核心网获取5G信令流量；
解析5G信令协议并提取信令信息；
利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。
2.根据权利要求1所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述5G信令协议包括HTTP2、NGAP、NAS、PFCP、GTPV2：
所述信令信息包括流程用户、流程类型、流程状态、信令起止时间、永久用户标识、流程错误码；
所述异常单报文监测方法包括不明终端接入监测方法和基站非法接入监测方法；
所述异常多报文监测方法包括初筛算法、复筛算法、精筛算法。
3.根据权利要求2所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述不明终端接入监测方法，具体包括：
通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析用户终端与AMF网元交互信令，并提取信令流程类型、流程状态、信令起止时间、永久用户标识SUPI、流程错误码；
若用户终端向核心网发起注册请求，且核心网拒绝接入，错误码3为非法用户IllegalUE，错误码5为非法终端标识PEI not accepted，错误码6为非法SIM卡Illegal ME，判定所述错误码3，错误码5，错误码6为不明终端接入行为。
4.根据权利要求2所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述基站非法接入监测方法，具体包括：
通过N1N2信令，以基站IP和AMF IP为二元组为维度对报文建流，解析基站与AMF网元交互信令，并提取信令流程类型、流程状态；
若基站向核心网发起基站建立请求，且核心网拒绝接入，错误码11为无效小区cell-not-available，错误码12为无效目标unknown-targetID，判定所述错误码11，错误码12为基站非法接入行为。
5.根据权利要求2所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述初筛算法包括异常协议的初筛判定，异常格式的初筛判定，异常方向的初筛判定，以及异常服务的初筛判定。
6.根据权利要求5所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述异常协议的初筛判定包括以SBI网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常协议数；若单位时间内SBI网元异常协议数超过门限Lp，初筛判定为异常协议攻击；
异常格式的初筛判定包括以AMF IP维度统计话单数据，确定N1N2话单无效流程数；若单位时间内无效流程数超过门限Lf，初筛判定为异常格式攻击；
异常方向的初筛判定包括以AMF IP维度统计话单数据，当确定N1N2信令报文注册请求为上行报文，提取所述报文为下行报文时，判定异常方向；若单位时间内异常方向报文数超过门限Ld，初筛判定为异常方向攻击；
异常服务的初筛判定包括以网元IP维度统计话单数据，确定N5-N40话单公共头SBI网元异常服务类型数；若单位时间内SBI网元异常服务类型数超过门限Ls，初筛判定为异常服务攻击。
7.根据权利要求6所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述复筛算法，具体包括：
将初筛话单数据根据用户终端标识维度、位置信息维度统计；
若相同用户终端标识数Nue大于总话单数的50％，或，若相同位置信息话单数Ntac大于总话单数的50％，复筛判定为信令攻击行为。
8.根据权利要求7所述的基于DPI技术的5G信令攻击监测方法，其特征在于，所述精筛算法，具体包括：
根据公式
Lthreshold＝α×Mthreshold+β×Wthreshold+γ×Dthreshold，
其中，Mthreshold表示一个月内同一时间段的异常平均值，Wthreshold表示前一周同一时间段的异常平均值，Dthreshold表示前一天同一时间段的异常平均值，α、β、γ分别是月度、前一周和前一天数据的加权系数，α+β+γ＝1；
计算异常流量平均值Lthreshold，若异常流量大于平均值Lthreshold，精筛判定所述异常流量为信令攻击流量。
9.一种基于DPI技术的5G信令攻击监测装置，其特征在于，包括：
流量识别系统，包括流量采集模块和流量解析输出模块；
攻击行为监测系统，包括话单解析模块和行为分析模块。
10.根据权利要求9所述的基于DPI技术的5G信令攻击监测装置，其特征在于，具体包括：
流量识别系统，被配置为获取5G信令流量，解析并提取信令关键信息，以及输出相应信令日志话单；
攻击行为监测系统，被配置为对所述信令日志话单内容进行二次处理，分析5G信令攻击行为；
一个存储器，被配置为存储数据及指令；
一个与存储器建立通信的处理器，其中，当执行存储器中的指令时，所述处理器被配置为：
通过分光方式从5G核心网获取5G信令流量；
解析5G信令协议并提取信令信息；
利用攻击监测算法确定信令异常流量，并判定5G信令攻击行为，所述攻击监测算法包括异常单报文监测方法和异常多报文监测方法。
CN202210882851.8A 2022-07-26 2022-07-26 一种基于dpi技术的5g信令攻击监测方法和装置 Active CN115278684B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210882851.8A CN115278684B (zh) 2022-07-26 2022-07-26 一种基于dpi技术的5g信令攻击监测方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210882851.8A CN115278684B (zh) 2022-07-26 2022-07-26 一种基于dpi技术的5g信令攻击监测方法和装置

Publications (2)

Publication Number Publication Date
CN115278684A true CN115278684A (zh) 2022-11-01
CN115278684B CN115278684B (zh) 2024-02-13

Family

ID=83769974

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210882851.8A Active CN115278684B (zh) 2022-07-26 2022-07-26 一种基于dpi技术的5g信令攻击监测方法和装置

Country Status (1)

Country Link
CN (1) CN115278684B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115835211A (zh) * 2022-12-13 2023-03-21 武汉博易讯信息科技有限公司 一种5g信令攻击检测系统
CN116684864A (zh) * 2023-08-03 2023-09-01 武汉博易讯信息科技有限公司 4g到5g切换场景nas解密方法、系统、设备及可读介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102143151A (zh) * 2010-12-22 2011-08-03 华为技术有限公司 一种基于深度包检测的协议跨包检测方法和装置
CN107733913A (zh) * 2017-11-04 2018-02-23 武汉虹旭信息技术有限责任公司 基于5g网络攻击溯源系统及其方法
CN112543198A (zh) * 2020-12-03 2021-03-23 恒安嘉新（北京）科技股份公司 一种蜜罐监测方法、蜜罐核心网元、设备及存储介质
CN113709110A (zh) * 2021-07-27 2021-11-26 深圳市风云实业有限公司 一种软硬结合的入侵检测系统及方法
CN114169456A (zh) * 2021-12-13 2022-03-11 恒安嘉新（北京）科技股份公司 基于5g终端安全的数据处理方法、装置、设备及介质
CN114339767A (zh) * 2021-12-30 2022-04-12 恒安嘉新（北京）科技股份公司 一种信令检测方法、装置、电子设备及存储介质
CN114362368A (zh) * 2021-12-31 2022-04-15 湖南大学 智能变电站网络流量异常行为监测方法与系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102143151A (zh) * 2010-12-22 2011-08-03 华为技术有限公司 一种基于深度包检测的协议跨包检测方法和装置
CN107733913A (zh) * 2017-11-04 2018-02-23 武汉虹旭信息技术有限责任公司 基于5g网络攻击溯源系统及其方法
CN112543198A (zh) * 2020-12-03 2021-03-23 恒安嘉新（北京）科技股份公司 一种蜜罐监测方法、蜜罐核心网元、设备及存储介质
CN113709110A (zh) * 2021-07-27 2021-11-26 深圳市风云实业有限公司 一种软硬结合的入侵检测系统及方法
CN114169456A (zh) * 2021-12-13 2022-03-11 恒安嘉新（北京）科技股份公司 基于5g终端安全的数据处理方法、装置、设备及介质
CN114339767A (zh) * 2021-12-30 2022-04-12 恒安嘉新（北京）科技股份公司 一种信令检测方法、装置、电子设备及存储介质
CN114362368A (zh) * 2021-12-31 2022-04-15 湖南大学 智能变电站网络流量异常行为监测方法与系统

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115835211A (zh) * 2022-12-13 2023-03-21 武汉博易讯信息科技有限公司 一种5g信令攻击检测系统
CN115835211B (zh) * 2022-12-13 2024-03-12 武汉博易讯信息科技有限公司 一种5g信令攻击检测系统
CN116684864A (zh) * 2023-08-03 2023-09-01 武汉博易讯信息科技有限公司 4g到5g切换场景nas解密方法、系统、设备及可读介质
CN116684864B (zh) * 2023-08-03 2023-11-03 武汉博易讯信息科技有限公司 4g到5g切换场景nas解密方法、系统、设备及可读介质

Also Published As

Publication number Publication date
CN115278684B (zh) 2024-02-13

Similar Documents

Publication Publication Date Title
CN115278684B (zh) 一种基于dpi技术的5g信令攻击监测方法和装置
KR101526637B1 (ko) 무선 액세스 포인트에 의한 복수의 서비스 네트워크에 대한 지원의 애드버타이즈
US11425047B2 (en) Traffic analysis method, common service traffic attribution method, and corresponding computer system
EP2849384B1 (en) Approximate matching method and related device, and communication system
US10992769B2 (en) Data transmission method, apparatus and system
CN104348811A (zh) 分布式拒绝服务攻击检测方法及装置
CN111328108B (zh) 5g业务数据处理方法、装置和分流设备
CN107294723A (zh) 消息完整性认证信息的生成和验证方法、装置及验证系统
CN111263345A (zh) 一种用户终端的识别方法和装置
US20180152849A1 (en) Enable access point availability prediction
US20210321482A1 (en) System and Method for Simultaneous UL Cancellation and UL CI Monitoring
EP4064750A1 (en) Identification of ip blocks (bursts) and ip latency measurement in 5g
CN115412473B (zh) 一种用于车辆实时检测智能网联广播信号数据一致性方法及终端
US9807790B2 (en) Maximum away duration
Wang et al. Delay minimization for spatial data processing in wireless networked disaster areas
CN110198294A (zh) 安全攻击检测方法及装置
CN113315736A (zh) 一种业务进程间的数据同步方法和装置
US20140106800A1 (en) Information Processing Method and Mobile Terminal
KR101565821B1 (ko) 메시지 필터링 방법, 이를 수행하는 사용자 단말 및 이를 저장하는 기록매체
WO2023185818A1 (zh) 设备确定方法、装置及通信设备
CN110944365B (zh) 一种基于5g核心网的多参考点关联方法及系统
WO2014004643A1 (en) Systems and methods for memory-efficient storage and extraction of maximum power reduction (mpr) values in two-carrier wireless data systems
US10574296B2 (en) Method and apparatus for expanding field of near field communication
CN113872936A (zh) 一种流模式网络安全检测方法及系统
WO2023185790A1 (zh) 信息传输方法、装置、终端及网络侧设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant