CN116471591A - 用于提供呼叫智能的方法、系统和计算机可读介质 - Google Patents

Abstract

本公开涉及用于提供呼叫智能的方法、系统和计算机可读介质。该方法包括由网络安全服务组件从涉及移动设备的传入和传出呼叫中收集呼叫会话数据，并且由网络安全服务组件经由应用编程接口(API)向信令防火墙提供呼叫会话数据。该方法还包括由信令防火墙接收与移动设备相关联的更新位置请求消息，从接收到的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息，以及利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分。该方法还包括向安全分析引擎平台提供信令消息信息和呼叫会话数据的相关部分以进行位置验证评估，以及由信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。

Description

用于提供呼叫智能的方法、系统和计算机可读介质

技术领域

本文描述的主题涉及在移动通信网络中采用防欺诈措施。更具体地，本文描述的主题涉及用于向通信网络中的信令防火墙提供呼叫智能的方法、系统和计算机可读介质。

背景技术

移动通信网络正在扩展，并且利用多种技术和互连来承载用于在网络上建立通信的信令消息。在这种网络中通常出现的有问题的场景涉及恶意行动者(例如，黑客)，其向网络发送位置更新信令消息，该消息指示移动设备已经漫游和/或进入恶意行动者的虚构网络。值得注意的是，位置更新信令消息用作与移动订户相关联的所有流量都应该被定向到恶意行动者(即，恶意行动者的“网络”)的请求。防止这种行为的一种尝试涉及信令防火墙，该信令防火墙被配置成通过由规定的规则配置的速度检查机制来验证接收到的位置更新信令消息。例如，信令防火墙可以被配置成确定移动设备从第一网络位置移动到第二网络位置的可能性。然而，配置这样的速度检查通常被认为是难以实现的。例如，生成包含数百个城市之间的可能旅行时间条目的必要数据库提出了重大挑战。因此，客户忽略了这种信令防火墙功能，因为提供这样的数据库太耗费人力。

因此，存在对用于向通信网络中的信令防火墙提供呼叫智能的改进方法和系统的需求。

发明内容

本文描述的主题包括用于向通信网络中的信令防火墙提供呼叫智能的方法、系统和计算机可读介质。一种方法包括由网络安全服务组件从涉及移动设备的传入和传出呼叫中收集呼叫会话数据，并且由网络安全服务组件经由应用编程接口(API)将呼叫会话数据提供给信令防火墙。该方法还包括由信令防火墙接收与移动设备相关联的更新位置请求消息，从接收到的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息，以及利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分。该方法还包括向安全分析引擎平台提供信令消息信息和呼叫会话数据的相关部分以进行位置验证评估，以及由信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。

根据本文描述的方法的另一方面，信令消息信息还包括对应于移动设备的移动订户标识信息。

根据本文描述的方法的另一方面，呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

根据本文描述的方法的另一方面，呼叫会话数据涉及信令防火墙先前接收的更新位置请求消息。

根据本文描述的方法的另一方面，响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息，拒绝更新位置请求消息。

根据本文描述的方法的另一方面，安全分析引擎平台包括机器学习组件，该机器学习组件被配置成基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

根据本文描述的方法的另一方面，安全分析引擎平台通过将信令消息信息中包括的当前位置数据和时间戳信息与呼叫会话数据中包括的位置标识符和时间戳数据进行比较来执行位置验证评估。

在另一个实施例中，一种用于向通信网络中的信令防火墙提供呼叫智能的系统包括：网络安全服务组件，被配置为从涉及移动设备的传入和传出呼叫中收集呼叫会话数据；以及信令防火墙，被配置为从网络安全服务组件接收呼叫会话数据，接收与移动设备相关联的更新位置请求消息，从所接收的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息，并且利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分。该系统还包括安全分析引擎平台，其被配置为从信令防火墙接收信令消息信息和呼叫会话数据的相关部分，基于接收到的信令消息信息和相关联的呼叫会话数据执行位置验证评估，并且向信令防火墙提供位置验证评估数据，其中信令防火墙被配置为基于位置验证评估数据允许或拒绝更新位置请求消息。

根据本文描述的系统的另一方面，信令消息信息还包括对应于移动设备的移动订户标识信息。

根据本文描述的方法的另一方面，呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

根据本文描述的方法的另一方面，呼叫会话数据涉及信令防火墙先前接收的更新位置请求消息。

根据这里描述的方法的另一方面，信令防火墙还被配置为响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息，拒绝更新位置请求消息。

根据本文描述的方法的另一方面，安全分析引擎平台包括机器学习组件，该机器学习组件被配置成基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

根据本文描述的方法的另一方面，安全分析引擎平台通过将信令消息信息中包括的当前位置数据和时间戳信息与呼叫会话数据中包括的位置标识符和时间戳数据进行比较来执行位置验证评估。

在另一个实施例中，一种其上存储有可执行指令的非暂态计算机可读介质，当由计算机的处理器执行所述指令时，所述指令控制计算机执行步骤，所述步骤包括：由网络安全服务组件从涉及移动设备的呼入和呼出中收集呼叫会话数据，以及由网络安全服务组件经由应用编程接口(API)向信令防火墙提供呼叫会话数据。该非暂态计算机可读介质还包括由信令防火墙接收与移动设备相关联的更新位置请求消息，从接收到的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息，以及利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分。该非暂态计算机可读介质还包括向安全分析引擎平台提供信令消息信息和呼叫会话数据的相关部分以进行位置验证评估，以及由信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。

根据本文描述的非暂态计算机可读介质的另一方面，信令消息信息还包括对应于移动设备的移动订户标识信息。

根据本文描述的非暂态计算机可读介质的另一方面，呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

根据本文描述的非暂态计算机可读介质的另一方面，呼叫会话数据涉及信令防火墙先前接收的更新位置请求消息。

根据本文描述的非暂态计算机可读介质的另一方面，响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息，拒绝更新位置请求消息。

根据本文描述的非暂态计算机可读介质的另一方面，安全分析引擎平台包括机器学习组件，该机器学习组件被配置成基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

根据本文描述的非暂态计算机可读介质的另一方面，安全分析引擎平台通过将信令消息信息中包括的当前位置数据和时间戳信息与呼叫会话数据中包括的位置标识符和时间戳数据进行比较来执行位置验证评估。

本文描述的主题可以用硬件、软件、固件或其任意组合来实现。这样，这里使用的术语“功能”“节点”或“引擎”指的是硬件，其也可以包括软件和/或固件组件，用于实现所描述的特征。在一个示例性实施方式中，本文描述的主题可以使用其上存储有计算机可执行指令的非暂态计算机可读介质来实施，当由计算机的处理器执行时，所述计算机可执行指令控制计算机执行步骤。适于实现本文所述主题的示例性计算机可读介质包括非暂态计算机可读介质，例如磁盘存储设备、芯片存储设备、可编程逻辑设备和专用集成电路。此外，实现本文所述主题的计算机可读介质可以位于单个设备或计算平台上，或者可以分布在多个设备或计算平台上。

附图说明

图1是示出根据本文所述主题的实施例的用于向通信网络中的信令防火墙提供呼叫智能的示例性网络的框图；

图2是示出根据本文所述主题的实施例的用于向通信网络中的信令防火墙提供呼叫智能的消息通信的信令图；

图3是根据本文所述主题的实施例的示例计算平台的框图，该计算平台被配置为利用机器学习来向通信网络中的信令防火墙提供呼叫智能；和

图4是示出根据本文所述主题的实施例的用于向通信网络中的信令防火墙提供呼叫智能的示例性过程的流程图。

具体实施方式

公开了用于向通信网络中的信令防火墙提供呼叫智能的方法、系统和计算机可读介质。具体而言，所公开的主题涉及在信令防火墙处确定和确认特定移动设备的真实位置。在一些实施例中，所公开的主题可以使用网络安全服务组件(NSSC)来实现。当呼叫会话进入驻留在运营商网络中的NSSC时，NSSC和/或其相关联的安全管理引擎可以被配置为检查主叫方号码和其他呼叫会话数据，以确定该呼叫被恶意行动者欺骗的可能性。如下面更详细地指出的，该信息和呼叫会话数据经由应用编程接口(API)被提供给一个或多个信令防火墙，以帮助在网络的边缘或边界执行类似的评估。

图1是示出示例性通信网络100(例如，运营商网络)的框图，该通信网络100被配置为促进和支持基于会话发起协议(SIP)的电话呼叫的通信。如图1所示，通信网络100包括网络安全服务组件102、信令防火墙108、安全分析引擎110和众包数据库115。图1还描绘了向移动订户的用户设备(UE)112提供服务的移动性管理实体(MME)106。值得注意的是，MME106可以是归属网络MME(例如，如果用户设备112位于其归属网络中)或受访网络MME(例如，如果用户设备112正在漫游)。

在一些实施例中，网络安全服务组件(NSSC)102包括安全管理引擎105。在一些实施例中，安全管理引擎105被配置成从通信网络100收集呼叫会话数据(即，来自传入和传出呼叫的会话数据)。更具体地，安全管理引擎105接收并处理通信网络100支持的呼叫会话。当进行这些呼叫会话时，安全管理引擎105被配置成收集(例如，从呼叫会话分组流量)并存储对应于呼叫会话的呼叫会话数据。在一些实施例中，收集的呼叫会话数据可以包括信息，例如但不限于主叫方号码、被叫方号码、呼叫发起时间戳、呼叫终止时间戳、呼叫会话对待指定(例如，可疑呼叫与非可疑呼叫)、关于移动订户设备的位置信息、移动设备类型、始发运营商标识和终止运营商标识。值得注意的是，网络安全服务组件102(和/或其安全管理引擎105)是与信令防火墙108分离且不同的独立网络节点，信令防火墙108通过过滤信令流量并阻止试图获得对客户网络的未授权访问的外部实体来提供网络保护。

此外，安全管理引擎105可以被配置成利用任何先前收集和存储的呼叫活动数据来确定移动设备的位置与在信令防火墙处接收的位置更新信令消息中指示(或“建议”)的位置相同的概率。例如，安全管理引擎105可以被配置成确定特定呼叫是否已经被恶意行动者欺骗或者是机器人呼叫(即，由自动化服务发起的呼叫)。在一些实施例中，安全管理引擎105被配置成导出每个处理的呼叫会话的得分(例如，置信度得分)。分配给呼叫会话的得分可以至少部分基于众包数据库115中提供的数据，其中发起呼叫方号码由安全管理引擎105验证。例如，安全管理引擎105可以被配置成访问众包数据库115，众包数据库115包括包含已经被识别为垃圾邮件生成者、机器人呼叫者和/或其他恶意行动者的主叫方号码(例如，IMSI)的条目。数据库条目还可以包括与呼叫会话数据相关联的其他信息。具体而言，安全管理引擎105被配置成从运营商网络收集呼叫会话数据，并将该数据的部分(例如，主叫方IMSI或其他移动订户标识符)与众包数据库115的数据库条目进行比较。如果安全管理引擎105在众包数据库115中定位到一个或多个匹配条目，则安全管理引擎105可以将呼叫会话指定为可疑呼叫。如果没有找到匹配的条目，安全管理引擎105可以将呼叫会话指定为非可疑呼叫。值得注意的是，该呼叫会话对待指定可以与上述其他相应的呼叫会话数据一起本地存储在NSSC 102上。

在一些实施例中，由安全管理引擎105收集的呼叫会话数据随后被提供给信令防火墙。安全管理引擎105可以被配置成按照预定义的频率或由事件触发来提供呼叫会话数据。在一些实施例中，安全管理引擎105可以被配置成建立和/或利用应用编程接口(API)来与信令防火墙108传递呼叫会话数据。例如，API可以包括表述性状态转移(REST)API。在一些实施例中，信令防火墙108可以将从安全管理引擎105接收的呼叫会话数据存储在本地呼叫会话数据库122中(如上所述)。

此外，信令防火墙108被配置为从通信网络100中的呼叫方设备(诸如用户设备112)接收(经由其他网络元件)呼叫信令消息。在一些实施例中，用户设备112可以包括由移动订户终端用户直接用来接收或发送数据的任何移动设备，诸如手持智能电话、移动台、配备有移动宽带适配器的膝上型计算机、或任何其他类似的便携式设备。在一些实施例中，用户设备112在外地网络中漫游，并且经由eNodeB(未示出)通信连接(例如，附接)到MME 106。例如，用户设备112可以利用无线电接口来建立与eNodeB的无线连接，eNodeB进而连接到MME 106。

在一些实施例中，MME 106充当长期演进(LTE)接入网络的控制节点。MME 106用于监测和管理承载激活/去激活过程，并负责选择信令网关(SGW)(未示出)，该网关在初始附接时和LTE内切换期间服务于用户设备112。MME 106还负责认证与用户设备112相关联的移动订户(例如，通过与HSS交互，HSS是每个归属网络的主订阅数据库，其维护注册到归属网络的用户设备装置的记录)。HSS的使用允许网络根据移动订户的状态来准许或拒绝用户接入不同的服务。

在一些实施例中，MME 106通信连接到信令防火墙108。信令防火墙108可以包括被配置为中继进入或离开其网络的更新位置消息的任何具有防火墙能力的路由器设备或网络元件(例如，会话边界控制器(SBC)、Diameter路由代理、SS7防火墙设备、Diameter信令路由器(DSR)等)。例如，信令防火墙108可以被配置为接收Diameter认证信息请求(AIR)消息和Diameter更新位置请求(ULR)消息。在其他实施例中，信令防火墙108被配置为处理基于超文本传输协议(HTTP)和/或5G的位置更新信令消息。

在一些实施例中，术语“更新位置请求消息”指的是用于在电信网络的归属订户服务器(HSS)中更新移动订户的位置的基于Diameter的信令消息。更新位置请求消息旨在包括Diameter ULR消息或任何其他用于向网络更新电信网络订户的位置的消息。在一些实施例中，ULR消息是S6a/d接口消息，其从MME传送到信令防火墙，用于更新网络100内的移动订户的用户设备112的位置。

同样，AIR消息旨在包括Diameter认证信息请求信息消息或用于认证移动订户的任何其他消息。在一些实施例中，AIR消息是在MME(和/或SGSN)和信令防火墙108之间使用的S6a/d接口消息，用于在移动订户的用户设备112在非归属网络中被激活或漫游时对其进行认证。

每个更新位置请求消息包括标识符，诸如识别移动订户和/或订户的用户设备112的国际移动订户身份(IMSI)、移动台综合业务数字网(MSISDN)标识符和/或国际移动设备身份(IMEI)。ULR消息和AIR消息还可以包括受访公共和移动网络(VPLMN)标识符，该标识符包括位置信息。例如，VPLMN标识符包含标识消息发送者的移动网络运营商(MNO)的位置信息。此外，标识与消息发送者相关联的国家的移动国家代码(MCC)标识符可以由信令防火墙108从包括在ULR消息或AIR消息中的VLPMN标识符中提取。在一些实施例中，ULR消息和AIR消息还可以包括移动网络代码(MNC)标识符。

尽管在图1中没有明确示出，但是信令防火墙108可以包括一个或多个处理器，诸如中央处理单元(例如，单核或多处理核)、微处理器、微控制器、网络处理器、专用集成电路(ASIC)等。信令防火墙108还可以包括存储器。存储器可以包括随机存取存储器(RAM)、闪存、磁盘存储驱动器等。在一些实施例中，存储器可以被配置为存储基于规则的引擎118。值得注意的是，当由一个或多个处理器执行时，存储器中的基于规则的引擎118可以执行用于信令防火墙108的各种监测、管理和/或补救功能。

在一些实施例中，基于规则的引擎118可以包括软件组件，该软件组件负责对信令防火墙108接收的ULR消息和/或AIR消息发起所公开的位置和时间戳安全对策操作(例如，位置验证评估)。如下面更详细描述的，响应于用户设备112进入外地网络或在外地网络中被激活，信令防火墙108可以从MME 106接收进入ULR消息。出于该示例的目的，应当理解，用户设备112在进入受访/非归属网络之前的某个时间被附接到归属网络。在一些实施例中，MME 106经由Diameter S6a/d接口将ULR消息传送给信令防火墙108。响应于接收到ULR消息，信令防火墙108启动基于规则的引擎118，该引擎被配置为提取包含在接收到的ULR消息中的时间戳信息。具体地，时间戳用作时间记录，其记载了MME 106发送Diameter ULR消息的时间。一般来说，如这里所使用的，时间戳信息指的是记录事件(例如，附接事件或特定进入信令消息的发送)的日期和时间的任何数据。

除了获得时间戳信息之外，基于规则的引擎118还被配置成识别包括在接收到的进入ULR消息中的IMSI。此外，基于规则的引擎118可以被配置成随后从接收到的ULR消息中提取VPLMN标识符。具体地，基于规则的引擎118可以检查VPLM标识符的移动国家代码(MCC)和/或移动网络代码(MNC)，以便识别与UE相关联的位置。

一旦从进入ULR消息中提取了VPLMN标识符，基于规则的引擎118就将位置信息连同IMSI(或其他移动订户信息)和时间戳信息一起记录在本地存储装置或缓冲存储器中。值得注意的是，IMSI和时间戳信息可以用于交叉引用呼叫会话数据库122的条目，呼叫会话数据库122包括从NSSC 102接收的呼叫会话数据的条目(这将在下面与数据库供应过程一起描述)。呼叫会话数据库122的条目可以包括移动订户标识符(例如，IMSI)、位置信息(例如，PLMN标识符)、时间戳信息(例如，呼叫发起时间)和呼叫指定信息(例如，可疑呼叫标志与非可疑呼叫标志)。此外，如果呼叫会话先前被NSSC 102允许，则该信息应该在存储在呼叫会话数据库122中的呼叫会话数据中被指示。值得注意的是，这种信息可以提供移动订户实际上位于更新位置请求消息中的位置信息所标识的区域中的更高置信度。

在一些实施例中，基于规则的引擎118被配置成将包含在更新位置请求消息中的位置信息与包含在存储的呼叫会话数据库中的位置数据(即，从NSSC 102接收的呼叫会话数据)进行比较，以找到位置共性。如果在这两组位置数据中发现匹配，则基于规则的引擎118可以用高置信度得分对更新位置请求消息进行评分(与如果没有该位置的相关联的呼叫会话数据相反)。在一些实施例中，还使用移动订户/设备标识信息(例如，IMSI)和邻近时间戳信息来确定位置共性。该附加标准的使用有助于基于规则的引擎118缩小所存储的呼叫会话数据的搜索范围，以识别位置共性。

在定位到进一步包含相同的IMSI、位置和邻近时间戳信息(例如，预定义时间段内的时间戳，例如，最近两个小时内的时间戳)的一个或多个条目之后，基于规则的引擎118被配置成将信令消息信息和呼叫会话数据转发给安全分析引擎110。

如上所述，网络100还包括安全分析引擎110。在一些实施例中，安全分析引擎110被配置成提供监测功能，该监测功能涉及在一致的基础上分析网络流量(例如，呼叫会话数据)并随后报告任何检测到的异常。在一些实施例中，安全分析引擎110由与信令防火墙108和NSSC 102(和/或安全管理引擎105)分离且不同的主机服务器执行。值得注意的是，安全分析引擎110可以包括针对信令防火墙108和安全管理引擎105中的每一个的API。在替代实施例中，安全分析引擎110可以集成到信令防火墙或一些其他单个平台网络元件中。

在一些实施例中，安全分析引擎110被配置成将来自安全管理引擎105和信令防火墙108的呼叫信息相关联。例如，安全分析引擎110可以比较i)从信令消息(例如，ULR消息)获得的IMSI、位置信息和时间戳数据，以及ii)对应于所提供的呼叫会话数据的IMSI、位置信息和时间戳信息(其指示与信令消息时间戳中指示的时间相对接近的相同IMSI和时间戳)。如果安全分析引擎110可以匹配或关联IMSI、位置信息和时间戳信息的两个实例，则安全分析引擎110可以验证移动设备位置。例如，安全分析引擎110可以分配指示移动设备位于ULR消息所指示的区域中的高置信度或高可能性的得分。在一些实施例中，安全分析引擎110使用经训练的机器学习模型来关联与IMSI和位置信息的两个实例中的每一个相关联的时间戳信息，以确定两个时间戳之间的时间差是否指示移动订户位于由信令防火墙提供的位置更新信息中所指示的位置的可能或不太可能的可能性。例如，由安全分析引擎110进行的处理可以类似于速度检查算法。

相反，如果安全分析引擎110不能匹配或关联位置信息的两个实例，或者如果缺少来自安全管理引擎105的位置信息，则安全分析引擎110可以确定由信令防火墙提供的更新位置请求消息数据(即，信令消息数据)所指示的移动设备位置是可疑的(即，导出指示该移动设备位于ULR消息所指示的区域中的低置信度或低可能性的得分)。在下面关于图3的描述中描述了安全分析引擎的其他细节。

图2是说明在通信网络中向信令防火墙提供呼叫智能的消息通信的信令图。参考图2的框202，安全管理引擎254(例如，在功能上类似于上述和图1所示的安全管理引擎105)接收并处理/处置运营商网络中的多个呼叫会话。在一些实施例中，安全管理引擎254被配置成利用在呼叫会话的处理期间获得的信息来确定呼叫会话可疑或不可疑的可能性。例如，安全管理引擎254可以访问众包数据库(未示出)并使用IMSI来确定主叫方号码是否先前已经被指定为可疑或机器人呼叫的来源。

在处理呼叫会话之后，安全管理引擎254被配置成将呼叫会话数据(例如，IMSI、位置信息、时间戳信息和呼叫对待指定类型)转发给信令防火墙252(参见消息204)。在一些实施例中，信令防火墙252将接收到的呼叫会话数据作为条目保存在呼叫会话数据库中。

在呼叫会话数据被本地存储在信令防火墙252之后，信令防火墙252接收更新位置请求(ULR)消息206。更具体地，响应于用户设备进入受访网络或在受访网络中被激活，接收ULR消息206。作为响应，用户设备经由eNodeB(未示出)向MME 250发送附着请求消息。在接收到附着请求之后，MME 250生成ULR消息206并将其发送到信令防火墙252。在接收到ULR消息206之后，信令防火墙252记录接收到的ULR消息206的时间戳(参见框208)。信令防火墙252还被配置成提取移动设备标识信息(例如，IMSI)和位置信息(例如，VPLMN标识符)。

在接收到ULR消息206并记录了时间戳和位置信息之后，信令防火墙252被配置为访问其本地呼叫会话数据库，以获得先前由安全管理引擎254(和/或主机NSSC)提供的相关呼叫会话数据。在一些实施例中，信令防火墙252利用包含在ULR消息206中的IMSI和时间戳信息来找到包括匹配的IMSI和时间戳(例如，呼叫发起时间戳或呼叫终止时间戳)的数据库条目，该时间戳在时间上与ULR时间戳信息邻近(例如，预定义时间段内的时间戳)。在找到至少一个匹配的呼叫会话数据库条目的情况下，信令防火墙252被配置成经由消息212通过API向安全分析引擎256转发两个数据集(即，ULR消息中的IMSI、位置、时间戳信息和呼叫对待指定类型(可选)，以及呼叫会话数据库条目中的IMSI、位置、IMSI、位置、时间戳信息和呼叫对待指定类型(可选))。

响应于接收到消息212，安全分析引擎256被配置成处理数据集(参见框214)以确定ULR消息中指示的位置指示订户的移动设备的真实位置的可能性或置信度。在一些实施例中，安全分析引擎256利用经过训练的机器学习(ML)模型来处理从信令防火墙252接收的数据集。

在处理从信令防火墙252接收的数据集之后，安全分析引擎256生成位置验证评估消息216，该消息包括由安全分析引擎256进行的处理产生的位置验证评估(参见框214)。例如，位置验证评估消息216可以指示ULR消息206中包括的位置是具有高置信度(例如，高得分)或低置信度(例如，低得分)的移动设备的真实位置。在一些实施例中，安全分析引擎256可以可选地向安全管理引擎254发送位置验证评估消息218(其与位置验证评估消息216中包含相同的位置验证评估信息)。

在接收到位置验证评估消息216之后，信令防火墙252被配置成基于由安全分析引擎256提供的位置验证评估信息来拒绝或允许ULR消息206(参见框220)。例如，如果由位置验证评估指示的置信度得分低于预定的置信度得分阈值，则信令防火墙252准备拒绝和/或阻止ULR消息206。相反，如果由位置验证评估指示的置信度得分高于或等于预定置信度得分阈值，则信令防火墙252准备允许或转发ULR消息206到网络100中的适当网络元件(例如，归属订户服务器)。在一些实施例中，信令防火墙252被配置成向网络运营商发送关于位置验证评估的报告消息(参见框222)。

图3是被配置成利用机器学习来向通信网络中的信令防火墙提供呼叫智能的示例安全分析引擎(SAE)平台302的框图。在图3中，安全分析引擎平台302可以包括一个或多个处理器304，诸如中央处理单元(例如，单核或多处理核)、微处理器、微控制器、网络处理器、专用集成电路(ASIC)等。安全分析引擎平台302还可以包括存储器306。存储器306可以包括随机存取存储器(RAM)、闪存、磁盘存储驱动器等。在一些实施例中，存储器306可以被配置为存储平台管理器308和经训练的呼叫数据分析(CDA)模型310。更具体地，经训练的呼叫数据分析模型310可以驻留在安全分析引擎平台302的存储器上，并且可以由处理器304执行。经训练的呼叫数据分析模型310可经配置以接收两组呼叫数据(例如，ULR消息和相关呼叫会话数据中的每一者的IMSI、位置信息、时间戳数据和呼叫指定类型)作为输入数据，且可产生位置验证评估数据作为输出。在一些实施例中，平台管理器308可以被配置为向呼叫数据分析模型310提供输入数据。在一些实施例中，平台管理器308是被配置成构建和/或生成呼叫数据分析模型(例如，经训练的呼叫数据分析模型310)的软件算法或过程。同样，平台管理器308可以被配置成以上述方式管理和/或执行呼叫数据分析模型(例如，经训练的呼叫数据分析模型310)的训练。

在一些实施例中，安全分析引擎平台302的呼叫数据分析模型310被配置成将ULR消息中指示的移动设备的时间戳和位置与移动设备最近发起和/或终止呼叫会话时的时间戳数据和位置(即，如呼叫会话数据所指示的)进行比较。更具体地，信令防火墙可以发送i)从所存储的呼叫会话数据中访问的移动订户标识符信息、位置标识符信息、呼叫发起时间戳信息、呼叫终止时间戳信息和/或移动标识符置信度指定，以及ii)包含在接收到的ULR消息中的移动订户标识符信息、位置标识符信息和更新位置请求消息接收时间戳信息(连同移动标识符置信度指定)作为其经训练的呼叫数据分析模型310的输入。

在一些实施例中，安全分析引擎可以利用来自呼叫会话数据和更新位置请求消息的时间戳和位置信息来进行位置可能性分析。例如，这样的位置可能性分析可以包括确定移动订户在合理的时间量(例如，已经被建立或训练到安全分析引擎中的预定旅行时间量是很可能的、可能的和/或合理的)内是否仍然可能处于UDR消息中类似指示的(例如，如更新位置请求消息和时间戳数据所指示的)第一位置(例如，如呼叫会话数据和相关时间戳数据中所指示的)。特别地，安全对策适用于漫游到被访问网络中的出站漫游移动订户，并且被配置为通过分析先前的呼叫会话数据和当前的呼叫信令数据(例如，ULR消息)来比较移动订户的最后已知位置信息。值得注意的是，安全分析引擎平台302和/或呼叫数据分析模型310可以被配置成使用来自先前进行的呼叫会话数据的位置信息来确定移动订户实际上在更新位置请求消息中指示的位置或区域中的可能性。

如果呼叫数据分析模型310确定对于移动订户仍在ULR消息中的位置存在高水平的置信度(例如，使用由时间戳信息指示的时间差)，则安全分析引擎平台302和/或呼叫数据分析模型310可以将这种确定视为移动订户仍在所指示的位置的一个因素。呼叫数据分析模型310还可在其位置验证评估中考虑呼叫指定类型(即，指示先前呼叫会话和/或更新位置请求消息是可疑呼叫还是非可疑呼叫的数据)，以确定更新位置请求指示移动设备的真实位置的可能性或置信度。例如，如果导出低置信度，则呼叫数据分析模型310可以将来自受访网络的当前更新位置请求消息指定为潜在可疑的，或者如果导出高置信度，则可以将来自受访网络的当前ULR消息指定为有效的(即，不可疑的)。

应当理解，图3是为了说明的目的，并且各种实体、它们的位置和/或它们的功能可以被改变、变更、添加或删除。例如，一些实体和/或功能可以组合成单个实体。在另一个示例中，实体和/或功能可以位于两个或更多个实体处或由两个或更多个实体实现。

图4是示出根据本文所述主题的实施例的用于向通信网络中的信令防火墙提供呼叫智能的示例性过程或方法400的流程图。在一些实施例中，图4中描绘的方法400是存储在存储器中的算法，当由安全管理引擎、信令防火墙和/或安全分析引擎平台的硬件处理器执行时，该算法执行步骤402-412。在框402中，从涉及移动设备的传入和传出呼叫中收集呼叫会话数据。在一些实施例中，NSSC和/或其安全管理引擎被配置成处理涉及移动订户的移动设备或用户设备的传入和传出呼叫会话。NSSC被配置成收集呼叫会话数据，该呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和与呼叫会话相关联的终止运营商标识符中的至少一个。

在框404中，网络安全服务组件经由应用编程接口将呼叫会话数据提供给信令防火墙。在一些实施例中，NSSC和/或其安全管理引擎被配置成利用API来将呼叫会话数据传递给信令防火墙。在一些实施例中，呼叫会话数据存储在信令防火墙的本地数据库中。

在框406，接收与移动设备相关联的更新位置请求消息。在一些实施例中，信令防火墙被配置成接收与框402中提到的移动设备(和/或移动订户)相关的更新位置请求消息。

在框408，从接收的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息。在一些实施例中，信令防火墙被配置为从接收到的更新位置请求消息中至少提取当前位置数据(例如，VPLMN标识符)和时间戳数据。

在框410中，利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分。在一些实施例中，信令防火墙被配置为将从更新位置请求消息中提取的当前位置数据和时间戳数据与存储的呼叫会话数据中的条目相关联。值得注意的是，信令防火墙将更新位置请求消息的当前位置数据和时间戳数据与相关的呼叫会话数据一起发送。在一些实施例中，相关呼叫会话数据包括呼叫会话数据，该呼叫会话数据包括至少相同的IMSI信息和邻近时间戳(即，在更新位置请求消息中指示的当前时间戳数据的预定义时间段内的时间戳)。

在框412中，信令消息信息和呼叫会话数据的相关部分被提供给安全分析引擎平台用于位置验证评估。在一些实施例中，信令防火墙发送从更新位置请求消息中提取的当前位置和时间戳数据，以及来自存储的呼叫会话数据的相关位置和时间戳数据。在从信令防火墙接收到该信令消息信息和相关联的呼叫会话数据之后，安全分析引擎利用机器学习模型或组件来进行位置验证评估。

在框414中，信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。在一些实施例中，在进行位置验证评估之后，安全分析引擎平台将位置验证评估数据转发给信令防火墙。在接收到位置验证评估数据之后，信令防火墙可以确定更新位置请求消息应该被分类为可疑消息还是非可疑消息。例如，位置验证评估数据可以包括置信度得分，该置信度得分指示移动设备是否位于更新位置请求消息中指定的位置的可能性。在一些实施例中，信令防火墙可以配备有阈值，该阈值可以与置信度得分进行比较。如果置信度得分大于或等于预定义的阈值，则信令防火墙可以被配置为允许更新位置请求消息向其原始目的地(例如，归属网络HSS)前进。如果置信水平得分小于预定阈值，则信令防火墙可以被配置为将更新位置请求消息指定为可疑的，从而拒绝或阻止更新位置请求消息进入网络。

将会理解，在不脱离当前公开的主题的范围的情况下，可以改变当前公开的主题的各种细节。此外，前面的描述仅仅是为了说明的目的，而不是为了限制的目的。

Claims (22)

1.一种用于向通信网络中的信令防火墙提供呼叫智能的方法，所述方法包括:

由网络安全服务组件从涉及移动设备的传入和传出呼叫中收集呼叫会话数据；

由网络安全服务组件经由应用编程接口(API)向信令防火墙提供呼叫会话数据；

由信令防火墙接收与移动设备相关联的更新位置请求消息；

从接收的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息；

利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分；

将信令消息信息和呼叫会话数据的相关部分提供给安全分析引擎平台以进行位置验证评估；和

由信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。

2.根据权利要求1所述的方法，其中信令消息信息还包括对应于移动设备的移动订户标识信息。

3.根据权利要求1所述的方法，其中呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

4.根据权利要求1所述的方法，其中呼叫会话数据与信令防火墙先前接收的更新位置请求消息相关。

5.根据权利要求1所述的方法，包括响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息而拒绝更新位置请求消息。

6.根据权利要求1所述的方法，其中安全分析引擎平台包括机器学习组件，机器学习组件被配置成基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

7.根据权利要求6所述的方法，其中安全分析引擎平台通过将信令消息信息中包括的当前位置数据和时间戳信息与呼叫会话数据中包括的位置标识符和时间戳数据进行比较来执行位置验证评估。

8.一种用于向通信网络中的信令防火墙提供呼叫智能的系统，所述系统包括：

网络安全服务组件，被配置为从涉及移动设备的传入和传出呼叫中收集呼叫会话数据；

信令防火墙，被配置为从网络安全服务组件接收呼叫会话数据，接收与移动设备相关联的更新位置请求消息，从接收的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息，并且利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分；和

安全分析引擎平台，被配置为从信令防火墙接收信令消息信息和呼叫会话数据的相关部分，基于接收的信令消息信息和呼叫会话数据的相关部分执行位置验证评估，并且向信令防火墙提供位置验证评估数据，其中信令防火墙被配置为基于位置验证评估数据允许或拒绝更新位置请求消息。

9.根据权利要求8所述的系统，其中信令消息信息还包括对应于移动设备的移动订户标识信息。

10.根据权利要求8所述的系统，其中呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

11.根据权利要求8所述的系统，其中呼叫会话数据与信令防火墙先前接收的更新位置请求消息相关。

12.根据权利要求8所述的系统，其中信令防火墙还被配置为响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息而拒绝更新位置请求消息。

13.根据权利要求8所述的系统，其中安全分析引擎平台包括机器学习组件，机器学习组件被配置为基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

14.根据权利要求13所述的系统，其中安全分析引擎平台通过将信令消息信息中包括的当前位置数据和时间戳信息与呼叫会话数据中包括的位置标识符和时间戳数据进行比较来执行位置验证评估。

15.一种非暂态计算机可读介质，其上存储有可执行指令，所述可执行指令当由计算机的处理器执行时控制计算机执行包括以下的步骤：

由网络安全服务组件从涉及移动设备的传入和传出呼叫中收集呼叫会话数据；

由网络安全服务组件经由应用编程接口(API)向信令防火墙提供呼叫会话数据；

由信令防火墙接收与移动设备相关联的更新位置请求消息；

从接收的更新位置请求消息中提取包括当前位置数据和时间戳数据的信令消息信息；

利用当前位置数据和时间戳数据来识别呼叫会话数据的相关部分；

将信令消息信息和呼叫会话数据的相关部分提供给安全分析引擎平台以用于位置验证评估；和

由信令防火墙基于从安全分析引擎平台接收的位置验证评估数据来允许或拒绝更新位置请求消息。

16.根据权利要求15所述的非暂态计算机可读介质，其中信令消息信息进一步包括对应于移动设备的移动订户标识信息。

17.根据权利要求15所述的非暂态计算机可读介质，其中呼叫会话数据包括主叫方号码、被叫方号码、时间戳数据、呼叫对待指定、位置标识符、移动设备类型标识符、始发运营商标识符和终止运营商标识符中的至少一个。

18.根据权利要求15所述的非暂态计算机可读介质，其中呼叫会话数据与信令防火墙先前接收的更新位置请求消息相关。

19.根据权利要求15所述的非暂态计算机可读介质，包括响应于利用位置验证评估数据将更新位置请求消息指定为可疑消息而拒绝更新位置请求消息。

20.根据权利要求15所述的非暂态计算机可读介质，其中安全分析引擎平台包括机器学习组件，机器学习组件被配置成基于从信令防火墙接收的信令消息信息和相关联的呼叫会话数据来制定位置验证评估。

21.一种用于向通信网络中的信令防火墙提供呼叫智能的系统，所述系统包括：

处理器；以及

存储器，其上存储有可执行指令，所述可执行指令当由处理器执行时使处理器执行根据权利要求1至7中任一项所述的方法。

22.一种计算机程序产品，包括可执行指令，所述可执行指令当由处理器执行时使处理器执行根据权利要求1至7中任一项所述的方法。