KR101538309B1 - 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법 - Google Patents

4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법 Download PDF

Info

Publication number
KR101538309B1
KR101538309B1 KR1020140182380A KR20140182380A KR101538309B1 KR 101538309 B1 KR101538309 B1 KR 101538309B1 KR 1020140182380 A KR1020140182380 A KR 1020140182380A KR 20140182380 A KR20140182380 A KR 20140182380A KR 101538309 B1 KR101538309 B1 KR 101538309B1
Authority
KR
South Korea
Prior art keywords
packet
user terminal
gtp
register message
identification number
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
KR1020140182380A
Other languages
English (en)
Inventor
임채태
오주형
김세권
구본민
박성민
우수정
고은혜
Original Assignee
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국인터넷진흥원 filed Critical 한국인터넷진흥원
Priority to KR1020140182380A priority Critical patent/KR101538309B1/ko
Application granted granted Critical
Publication of KR101538309B1 publication Critical patent/KR101538309B1/ko
Priority to PCT/KR2015/009283 priority patent/WO2016098997A1/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/10—Architectures or entities
    • H04L65/1016—IP multimedia subsystem [IMS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1073—Registration or de-registration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1101—Session protocols
    • H04L65/1104—Session initiation protocol [SIP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/126—Anti-theft arrangements, e.g. protection against subscriber identity module [SIM] cloning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H04W12/72—Subscriber identity

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Multimedia (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법이 제공된다. 상기 비정상 VoLTE 등록 메시지 탐지 장치는, GTP(GPRS Tunneling Protocol)-U 패킷 내의 페이로드 내의 SIP(Session Initiation Protocol) REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 패킷 정보 추출부, 제2 TEID 및 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 저장하는 세션 정보 저장부, 상기 제1 TEID와 상기 제2 TEID가 서로 동일하고, 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다른 경우에, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 패킷 분석부, 및 상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 패킷 처리부를 포함한다.

Description

4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법{APPARATUS, SYSTEM AND METHOD FOR DETECTING ABNORMAL VoLTE REGISTRATION MESSAGE IN 4G MOBILE NETWORKS}
본 발명은 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법에 관한 것으로, 보다 상세하게는 GTP(GPRS Tunneling Protocol)를 사용하는 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법에 관한 것이다.
GTP(GPRS Tunneling Protocol)는 이동 통신 네트워크, 특히 3G 또는 4G 네트워크 내에서 사용되는 프로토콜로서, 시그널링을 위한 GTP-C 패킷과 데이터 전송을 위한 GTP-U 패킷으로 구성된다.
이동 통신 네트워크 내에서는 VoLTE 호 설정을 위한 SIP(Session Initiaion Protocol) 메시지가 GTP 패킷에 포함되어 전송될 수 있다. SIP 메시지는 메시지 바디에 해당하는 SIP REGISTER 메시지를 포함할 수 있다.
이러한 GTP는, 사용자 단말기(예를 들어, 스마트폰 등)의 데이터 서비스를 위하여, 데이터 호 설정, 갱신, 삭제 등과 같은 시그널링 및 데이터 전송을 수행하도록 고안되었으나, 이동 통신 네트워크를 위협하는 공격 등에 대한 침입 탐지 방법은 고려되지 않았다.
따라서, SIP REGISTER 메시지 내의 사용자 단말 식별 번호가 조작된 경우에도, GTP 패킷은 제약 없이 외부 네트워크(예를 들어, IMS 네트워크)로 전달될 수 있다. 그리고, 이러한 비정상 SIP REGISTER 메시지는 IMS 네트워크를 구성하는 CSCF(Call Session Control Function) 서버를 경유하여 제3자의 단말을 임의로 등록시킬 수 있다.
본 발명이 해결하고자 하는 과제는, 4G 모바일 네트워크 내에서 제3자의 단말을 임의로 등록시킬 수 있는 비정상 VoLTE 등록 메시지를 탐지할 수 있는, 비정상 VoLTE 등록 메시지 탐지 장치를 제공하는 것이다.
본 발명이 해결하고자 하는 다른 과제는, 4G 모바일 네트워크 내에서 제3자의 단말을 임의로 등록시킬 수 있는 비정상 VoLTE 등록 메시지를 탐지할 수 있는, 비정상 VoLTE 등록 메시지 탐지 시스템을 제공하는 것이다.
본 발명이 해결하고자 하는 또 다른 과제는, 4G 모바일 네트워크 내에서 제3자의 단말을 임의로 등록시킬 수 있는 비정상 VoLTE 등록 메시지를 탐지할 수 있는, 비정상 VoLTE 등록 메시지 탐지 방법을 제공하는 것이다.
본 발명이 해결하고자 하는 과제들은 이상에서 언급한 과제들로 제한되지 않으며, 언급되지 않은 또 다른 과제들은 아래의 기재로부터 당업자에게 명확하게 이해될 수 있을 것이다.
상기 과제를 해결하기 위한 본 발명의 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치의 일 면(aspect)은, GTP(GPRS Tunneling Protocol)-U 패킷 내의 페이로드 내의 SIP(Session Initiation Protocol) REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 패킷 정보 추출부, 제2 TEID 및 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 저장하는 세션 정보 저장부, 상기 제1 TEID와 상기 제2 TEID가 서로 동일하고, 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다른 경우에, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 패킷 분석부, 및 상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 패킷 처리부를 포함한다.
본 발명의 몇몇 실시예에서, 상기 SIP REGISTER 메시지 내의 Expires 필드 값은 0이 아닌 실수(real number)일 수 있다.
본 발명의 몇몇 실시예에서, 상기 패킷 정보 추출부는 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제1 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 패킷 분석부는 상기 GTP-U 패킷의 목적지 포트가 SIP 포트인 경우에, 상기 비정상 VoLTE 등록 메시지를 탐지하는 동작을 수행할 수 있다.
본 발명의 몇몇 실시예에서, 상기 패킷 정보 추출부는 상기 GTP-U 패킷의 페이로드 내에 상기 SIP REGISTER 메시지가 존재하는지 판단하고, 상기 SIP REGISTER 메시지가 존재하는 경우에 상기 제1 TEID 및 상기 제1 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 탐지 정보 저장부를 더 포함할 수 있다.
본 발명의 몇몇 실시예에서, 상기 탐지 정보는 탐지 시간, 탐지 ID, 사용자 단말 식별 번호, 차단 여부, TEID(Tunnel Endpoint Identifier), 목적지 IP(Internet Protocol), 목적지 포트, 출발지 IP, 및 도용한 사용자 단말 식별 번호를 포함할 수 있다.
상기 과제를 해결하기 위한 본 발명의 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치의 다른 면(aspect)은, GTP-U 패킷 내의 페이로드 내의 SIP REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 GTP-U 패킷 정보 추출부, GTP-C 패킷의 페이로드로부터 제2 TEID 및 제2 사용자 단말 식별 번호를 추출하는 GTP-C 패킷 정보 추출부, 상기 제2 TEID 및 상기 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 저장하는 세션 정보 저장부, 상기 제1 TEID와 상기 제2 TEID가 서로 동일하고, 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다른 경우에, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 패킷 분석부, 및 상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 패킷 처리부를 포함한다.
본 발명의 몇몇 실시예에서, 상기 SIP REGISTER 메시지 내의 Expires 필드 값은 0이 아닌 실수(real number)일 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-U 패킷 정보 추출부는 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제1 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-C 패킷은 세션 생성 요청(Create Session Request) 메시지 및 세션 생성 응답(Create Session Response) 메시지를 포함하고, 상기 GTP-C 패킷 정보 추출부는 상기 세션 생성 요청 메시지로부터 상기 제2 사용자 단말 식별 번호를 추출하고, 상기 세션 생성 응답 메시지로부터 상기 제2 TEID를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 탐지 정보 저장부를 더 포함할 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-C 패킷과 상기 GTP-U 패킷은 S-GW(Serving Gateway)와 P-GW(PDN Gateway)간 생성되는 S5 터널을 통해 전송될 수 있다.
상기 과제를 해결하기 위한 본 발명의 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 시스템의 일 면(aspect)은, 세션 정보를 이용하여 비정상 VoLTE 등록 메시지를 탐지하는 비정상 VoLTE 등록 메시지 탐지 장치, 및 GTP-C 패킷으로부터 패킷 정보를 추출하여 상기 세션 정보를 생성하는 세션 정보 수집 장치를 포함하되, 상기 비정상 VoLTE 등록 메시지 탐지 장치는, 상기 세션 정보 수집 장치로부터 제1 TEID 및 제1 사용자 단말 식별 번호를 포함하는 상기 세션 정보를 수신하여 저장하는 세션 정보 저장부와, GTP-U 패킷 내의 페이로드 내의 SIP REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제2 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제2 사용자 단말 식별 번호를 추출하는 GTP-U 패킷 정보 추출부와, 상기 제1 TEID와 상기 제2 TEID가 서로 동일하고, 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다른 경우에, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 패킷 분석부와, 상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 패킷 처리부를 포함하고, 상기 세션 정보 수집 장치는, 상기 GTP-C 패킷의 페이로드로부터 상기 제1 TEID 및 상기 제1 사용자 단말 식별 번호를 추출하는 GTP-C 패킷 정보 추출부와, 상기 제1 TEID 및 상기 제1 사용자 단말 식별 번호를 포함하는 상기 세션 정보를 생성하는 세션 정보 생성부를 포함한다.
본 발명의 몇몇 실시예에서, 상기 SIP REGISTER 메시지 내의 Expires 필드 값은 0이 아닌 실수(real number)일 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-U 패킷 정보 추출부는 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제2 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 패킷 분석부는 상기 GTP-U 패킷의 목적지 포트가 SIP 포트인 경우에, 상기 비정상 VoLTE 등록 메시지를 탐지하는 동작을 수행할 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-C 패킷은 세션 생성 요청(Create Session Request) 메시지 및 세션 생성 응답(Create Session Response) 메시지를 포함하고, 상기 GTP-C 패킷 정보 추출부는 상기 세션 생성 요청 메시지로부터 상기 제1 사용자 단말 식별 번호를 추출하고, 상기 세션 생성 응답 메시지로부터 상기 제1 TEID를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 탐지 정보 저장부를 더 포함할 수 있다.
본 발명의 몇몇 실시예에서, 상기 GTP-C 패킷은 MME(Mobility Management Entity)와 S-GW(Serving Gateway)간 생성되는 S11 터널을 통해 전송되고, 상기 GTP-U 패킷은 eNodeB와 상기 S-GW간 생성되는 S1-U 터널을 통해 전송될 수 있다.
상기 과제를 해결하기 위한 본 발명의 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 방법의 일 면(aspect)은, GTP-U 패킷 내의 페이로드 내의 SIP REGISTER 메시지가 등록 요청 메시지인지 판단하는 단계, 상기 SIP REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 단계, 상기 제1 TEID와 세션 정보의 제2 TEID가 동일한지 판단하는 단계, 상기 제1 TEID와 상기 제2 TEID가 동일하면, 상기 제1 사용자 단말 식별 번호와 상기 제2 TEID에 대응하는 제2 사용자 단말 식별 번호가 동일한지 판단하는 단계, 및 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다르면, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 단계를 포함한다.
본 발명의 몇몇 실시예에서, 상기 SIP REGISTER 메시지 내의 Expires 필드 값은 0이 아닌 실수(real number)일 수 있다.
본 발명의 몇몇 실시예에서, 상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 단계를 더 포함할 수 있다.
본 발명의 몇몇 실시예에서, 상기 제1 사용자 단말 식별 번호를 추출하는 단계는, 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제1 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 페이로드 내에 상기 SIP REGISTER 메시지가 존재하는지 판단하는 단계를 더 포함하고, 상기 제1 TEID 및 상기 제1 사용자 단말 식별 번호를 추출하는 단계는, 상기 SIP REGISTER 메시지가 존재하는 경우에, 상기 GTP-U 패킷의 헤더로부터 상기 제1 TEID를 추출하고, 상기 페이로드 내의 상기 SIP REGISTER 메시지로부터 상기 제1 사용자 단말 식별 번호를 추출할 수 있다.
본 발명의 몇몇 실시예에서, 상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 단계를 더 포함할 수 있다.
본 발명의 기타 구체적인 사항들은 상세한 설명 및 도면들에 포함되어 있다.
본 발명의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법에 따르면, GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 GTP-U 패킷의 페이로드 내의 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하여, 세션 정보에 저장된 제2 TEID 및 제2 사용자 단말 식별 번호와 동일한지 비교하므로, SIP REGISTER 메시지 내의 사용자 단말 식별 번호를 조작하여 제3자의 단말을 임의로 등록시킬 수 있는 비정상 VoLTE 등록 메시지를 탐지하고 이를 차단할 수 있다.
도　1은 본 발명의 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치가 적용될 수 있는 4G 네트워크의 구조를 도시한 도면이다.　
도　2는 도 1의 4G 네트워크와 연동된 IMS 네트워크의 구조를 설명하기 위한 도면이다.　
도 3은 도 2의 사용자 단말에 할당되는 IP를 설명하기 위한 도면이다.
도 4는 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명하기 위한 블록도이다.
도 5는 4G 모바일 네트워크 내에서 전송되는 비정상 SIP REGISTER 메시지를 설명하기 위한 도면이다.
도 6은 SIP REGISTER 메시지를 이용하여 사용자 단말을 인증하고 등록하는 절차를 설명하기 위한 도면이다.
도 7은 사용자 단말 인증을 위한 SIP REGISTER 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 8은 사용자 단말 인증을 위한 401 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 9는 사용자 단말 등록을 위한 SIP REGISTER 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 10은 사용자 단말 등록을 위한 200 OK 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 11은 도 4의 세션 정보 저장부에 저장된 세션 정보를 설명하기 위한 테이블이다.
도 12는 비정상 SIP REGISTER 메시지의 탐지 정보를 세부적으로 설명하기 위한 테이블이다.
도 13은 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 방법을 설명하기 위한 흐름도이다.
도 14는 본 발명의 다른 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명하기 위한 블록도이다.
도 15는 4G 모바일 네트워크에서 GTP 터널의 생성 과정을 설명하기 위한 도면이다.
도 16은 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 시스템을 설명하기 위한 블록도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나 본 발명은 이하에서 개시되는 실시예들에 한정되는 것이 아니라 서로 다른 다양한 형태로 구현될 것이며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하며, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다. 명세서 전체에 걸쳐 동일 참조 부호는 동일 구성 요소를 지칭한다.
각 블록은 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또한, 몇 가지 대체 실행 예들에서는 블록들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대 잇달아 도시되어 있는 두 개의 블록들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
비록 제1, 제2 등이 다양한 소자, 구성요소 및/또는 섹션들을 서술하기 위해서 사용되나, 이들 소자, 구성요소 및/또는 섹션들은 이들 용어에 의해 제한되지 않음은 물론이다. 이들 용어들은 단지 하나의 소자, 구성요소 또는 섹션들을 다른 소자, 구성요소 또는 섹션들과 구별하기 위하여 사용하는 것이다. 따라서, 이하에서 언급되는 제1 소자, 제1 구성요소 또는 제1 섹션은 본 발명의 기술적 사상 내에서 제2 소자, 제2 구성요소 또는 제2 섹션일 수도 있음은 물론이다.
본 명세서에서 사용된 용어는 실시예들을 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 및/또는 "포함하는(comprising)"은 언급된 구성요소, 단계, 동작 및/또는 소자는 하나 이상의 다른 구성요소, 단계, 동작 및/또는 소자의 존재 또는 추가를 배제하지 않는다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
도　1은 본 발명의 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치가 적용될 수 있는 4G 네트워크의 구조를 도시한 도면이다.　
도　1을　참조하면, 4G 네트워크(1000)는　무선 자원을 관리하는 4G E-RAN(Enterprise Radio Access Network)과　데이터 처리/인증/과금 등을 수행하는 4G EPC(Evolved Packet Core)를　포함할 수 있다.
4G　E-RAN은 사용자 단말(1100)과 eNB(1200)을 포함할 수 있다. 예를 들어, 사용자 단말(1100)은 4G 네트워크에 가입되어 있는 휴대 단말일 수 있다. eNB(1200)는 기지국으로서 사용자 단말(1100)과 4G 네트워크 간에 무선 연결을 제공할 수 있다.　
4G EPC는 MME(1300), S-GW(1400), P-GW(1500), HSS(Home Subscriber Server; 1600), PCRF(Policy & Charging Rule Function; 1700)을 포함할 수 있다.　MME(1300)는 eNB(1200)와 S1-MME GTP 터널을 통해서 GTP 패킷을 송수신할 수 있다. S-GW(1400)는 eNB(1200)와 S1-U GTP 터널을 통해서 GTP 패킷을 송수신할 수 있다. MME(1300)는 S-GW(1400)와 S11 GTP 터널을 통해서 GTP 패킷을 송수신할 수 있다.　P-GW(1500)는 IMS 네트워크의 P-CSCF(2100) 및 인터넷과 연결될 수 있다.　
4G 네트워크에서 S1-U GTP 터널은 데이터 트래픽을 위한 패스(path)이고, S11 GTP 터널은 시그널링을 위한 패스이고, S5 GTP 터널은 데이터 트래픽 및 시그널링을 위한 패스이다.　
본 발명에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 포함하는 시스템은 eNB(1200)와 S-GW(1400) 사이(P1), MME(1300)와 S-GW(1400) 사이(P2), 또는 S-GW(1400)과 P-GW(1500) 사이(P3)에 제공될 수 있다. 또한, 본 발명에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 포함하는 시스템은 S-GW(1400) 또는 P-GW(1500)의 내부 구성 요소로 제공될 수도 있다.　도　1에는 명확하게 도시하지 않았으나, 4G 네트워크는 S-GW(1400)을 통해서 3G 네트워크, 펨토셀 네트워크 등과 연동될 수 있다.　
도　2는 도 1의 4G 네트워크와 연동된 IMS 네트워크의 구조를 설명하기 위한 도면이다.　
도　2를　참조하면, IMS 네트워크(2000)는　P-CSCF(2100), I-CSCF(2200), S-CSCF(2300), BGCF(Border Gateway Control Function; 2400), HSS(2500), MGCF(Media Gateway Control Function; 2700), AS(Application Server; 2800),　M-GW(Media Gateway; 2900)을　포함할 수 있다.　
4G 네트워크 내부의　사용자 단말(1100)로부터 전송된 SIP 메시지는 P-GW(1500)를 통해서, IMS 네트워크 내부로 전달될 수 있다. P-GW(1500)과 연결된 P-CSCF(2100)는 상기 SIP 메시지를 I-CSCF(2200)에　전송하고, I-CSCF(2200)는 상기 SIP 메시지를　S-CSCF(2300)에 전송할　수　있다. MGCF(2700)와 M-GW(2900)는 PSTN(Public Switching Telephone Network)과 연결될 수 있다. 　
도 3은 도 2의 사용자 단말에 할당되는 IP를 설명하기 위한 도면이다.
도 3을 참조하면, 제1 사용자 단말(1100a)에는 IMS 네트워크용 IP와 데이터용 IP가 각각 할당된다. 즉, VoLTE 단말의 경우에 IP를 2개 할당받을 수 있다. VoLTE 단말의 경우에 패킷 기반 음성/영상 통화를 위해 QoS가 보장되는 새로운 베어러(Bearer)를 할당받는다.
제1 사용자 단말(1100a)은 IMS 네트워크용 IP를 이용하여 P-GW(1500)를 통하여 IMS 네트워크로 음성/영상 데이터를 전송하고, 데이터용 IP를 이용하여 P-GW(1500)를 통하여 인터넷 네트워크로 일반 데이터를 전송할 수 있다.
이하에서는, 본 발명의 몇몇 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치 및 시스템에 대하여 설명하기로 한다.
도 4는 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명하기 위한 블록도이다.
도 4를 참조하면, 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치(100)는 NIC(Network Interface Card; 110a, 110b), 패킷 정보 추출부(120), 패킷 분석부(130), 세션 정보 저장부(140), 탐지 정보 저장부(150), 패킷 처리부(160)를 포함한다.
NIC(110a)는 GTP-U 패킷을 수신하여 패킷 정보 추출부(120)에 전송하고, NIC(110b)는 패킷 처리부(150)의 제어 신호에 따라 GTP-U 패킷을 전송(forward)하거나 차단(drop)할 수 있다. NIC(110a, 110b)는 일반적인 네트워크 인터페이스 카드 또는 하드웨어 가속 네트워크 인터페이스 카드일 수 있다.
GTP-U 패킷은 이동 통신 네트워크 내에서 사용자 패킷을 전송하기 위해 사용된다. NIC(110a, 110b)가 처리하는 GTP-U 패킷은 사용자 단말로부터 외부 네트워크(예를 들어, 인터넷)를 향해 전송되는 GTP-U 패킷일 수 있다.
패킷 정보 추출부(120)는 GTP-U 패킷으로부터 각종 패킷 정보를 추출할 수 있다. 패킷 정보 추출부(120)는 각종 패킷 정보를 구조화된 자료 형태로 가공하여 패킷 분석부(130)에 전송할 수 있다.
비정상 VoLTE 등록 메시지를 탐지하기 위한 정보로서, 패킷 정보 추출부(120)는 GTP-U 패킷의 헤더(header)로부터 TEID(Tunnel Endpoint Identifier)를 추출할 수 있다. 패킷 정보 추출부(120)에 의하여 추출되는 TEID는 업링크(uplink) TEID일 수 있다. 여기서, 업링크는 사용자 단말로부터 외부 네트워크를 향해 GTP-U 패킷이 전송되는 경우를 나타내고, 다운링크(downlink)는 외부 네트워크로부터 사용자 단말을 향해 GTP-U 패킷이 전송되는 경우를 나타낼 수 있다.
또한, 패킷 정보 추출부(120)는 GTP-U 패킷의 페이로드(payload) 내의 SIP(Session Initiaion Protocol) REGISTER 메시지를 추출할 수 있다. 패킷 정보 추출부(120)는 SIP REGISTER 메시지로부터 사용자 단말 식별 번호를 추출할 수 있다. 예를 들어, 사용자 단말 식별 번호는 MSISDN(Mobile Subscriber ISDN Number)일 수 있으나, 본 발명이 이에 한정되는 것은 아니다.
패킷 정보 추출부(120)는 GTP-U 패킷의 페이로드 내에 SIP REGISTER 메시지가 존재하는지 판단하고, SIP REGISTER 메시지가 존재하는 때에 상술한 비정상 VoLTE 등록 메시지를 탐지하기 위한 정보를 추출할 수 있다.
도 5는 4G 모바일 네트워크 내에서 전송되는 비정상 SIP REGISTER 메시지를 설명하기 위한 도면이다.
도 5를 참조하면, 4G 모바일 네트워크는 eNB(1200), S-GW(Serving Gateway; 1400)를 포함할 수 있다.
eNB(1200)는 S-GW(1400)와 연결될 수 있고, eNB(1200)와 S-GW(1400) 사이에는 S1-U GTP 터널이 형성될 수 있다. S1-U GTP 터널은 데이터 전송을 위한 GTP 터널일 수 있다. S1-U GTP 터널을 통해서, GTP-U 패킷(10)이 eNB(1200)로부터 S-GW(1400)를 향해 전송될 수 있다.
도 5에는 명확하게 도시하지 않았으나, S-GW(1400)는 수신한 GTP-U 패킷(10)을 P-GW(PDN Gateway)로 전송할 수도 있다.
GTP-U 패킷(10)의 헤더에는 GTP 터널용 IP 헤더, UDP 헤더, GTP-U 헤더가 결합되고, GTP-U 패킷(10)의 페이로드에는 사용자 패킷이 캡슐화될 수 있다. GTP-U 헤더에는 상술한 TEID가 포함될 수 있다. 사용자 패킷은 SIP REGISTER 메시지를 포함할 수 있다. 그리고, SIP REGISTER 메시지 내에는 SIP REGISTER 메시지를 송신하는 발신자 단말의 사용자 단말 식별 번호와 SIP REGISTER 메시지를 수신하는 착신자 단말의 사용자 단말 식별 번호가 포함될 수 있다.
도 5는 이러한 사용자 단말 식별 번호 중 발신자 단말의 사용자 단말 식별 번호가 조작된 경우를 도시한다.
도 6은 SIP REGISTER 메시지를 이용하여 사용자 단말을 인증하고 등록하는 절차를 설명하기 위한 도면이다.
도 6을 참조하면, 다이제스트(Digest) 매커니즘을 이용하여 사용자 단말을 인증하고 등록하는 절차에 대하여 도시되어 있다. 다이제스트 매커니즘이란, 사용자 단말의 ID와 Password를 기초로 하여 사용자 단말을 인증하는 방식을 의미한다.
도 6에는 명확하게 도시하지 않았으나, S-GW(1400)와 P-GW(1500) 사이에 S5 GTP 터널이 생성되고, MME(1300)와 S-GW(1400) 사이에 S11 GTP 터널이 생성되고, eNB(1200)와 S-GW(1400)간 S1-U GTP 터널이 생성될 수 있다.
사용자 단말(1100)은 CSCF(Call Session Control Function; 1800)로 SIP REGISTER 메시지를 전송하고, CSCF(1800)는 사용자 단말(1100)로 401 메시지를 전송한다. 이 과정에서 사용자 단말(1100)은 CSCF(1800)를 통해 인증된다.
이어서, 사용자 단말(1100)은 CSCF(1800)로 SIP REGISTER 메시지를 재전송하고, CSCF(1800)는 사용자 단말(1100)로 200 OK 메시지를 전송하여 사용자 단말(1100)을 등록한다.
도 7은 사용자 단말 인증을 위한 SIP REGISTER 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 7을 참조하면, SIP REGISTER 메시지의 Expires 필드의 값이 0이 아닌 실수 값인 것을 알 수 있다. 이는 사용자 단말을 인증하고 등록받기 위한 SIP REGISTER 메시지임을 나타낸다.
여기에서, 비정상 SIP REGISTER 메시지란 SIP REGISTER 메시지 내의 발신자 단말 식별 번호를 조작한 메시지를 의미한다. SIP REGISTER 메시지를 이용하여 사용자 단말을 인증하고 등록할 수 있으나, 공격자가 비정상 SIP REGISTER 메시지를 이용하여 제3자의 사용자 단말을 임의로 MSS에 등록시킬 수 있다. 본 발명에 따른 비정상 VoLTE 등록 메시지 탐지 장치 및 시스템은 이러한 비정상 VoLTE 등록 메시지를 탐지하고 차단하고자 한다.
비정상 SIP REGISTER 메시지의 탐지 정보를 생성하기 위해서, 패킷 정보 추출부(120)는 GTP-U 패킷의 헤더 내의 TEID(Tunnel Endpoint Identifier) 필드, GTP-U 패킷의 페이로드 내의 MSISDN 필드, 목적지 IP(Internet Protocol) 필드, 목적지 포트 필드, 출발지 IP 필드, 출발지 포트 필드 등의 값을 추출할 수도 있다.
도 8은 사용자 단말 인증을 위한 401 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다. 도 9는 사용자 단말 등록을 위한 SIP REGISTER 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다. 도 10은 사용자 단말 등록을 위한 200 OK 메시지 내에 포함되는 값들을 개략적으로 도시한 도면이다.
도 8 내지 도 10을 참조하면, 사용자 단말(1100)과 CSCF(1800) 사이에 비정상 SIP REGISTER 메시지를 이용하여 사용자 단말(1100)을 등록하는 절차를 알 수 있다. 비정상 SIP REGISTER 메시지를 CSCF(1800)로 전송하고, CSCF(1800)는 사용자 단말(1100)로 401 메시지를 전송한다. 이 때, 사용자 단말(1100)은 401 메시지 내에서 Nonce 값을 확인하고, 제3자의 사용자 단말의 Password를 이용하여 Response 값을 연산하고 비정상 SIP REGISTER 메시지를 CSCF(1800)로 재전송한다. 이 후, CSCF(1800)는 200 OK 메시지를 전송하고 사용자 단말(1100)은 CSCF(1800)에 등록된다.
도 7 및 도 9를 참조하면, SIP REGISTER 메시지는 메시지 헤더(Message Header)와 메시지 바디(Message Body)를 포함할 수 있다. SIP REGISTER 메시지의 메시지 헤더와 메시지 바디에는 각종 필드들이 포함될 수 있다.
예를 들어, SIP REGISTER 메시지의 메시지 헤더는 사용자 단말 식별 번호가 기록되는 From 필드, To 필드를 포함할 수 있다. 정상적인 SIP REGISTER 메시지의 경우, From 필드에는 발신자 단말의 사용자 단말 식별 번호가 기록되고, To 필드에는 착신자 단말의 사용자 단말 식별 번호가 기록될 수 있다.
상술한 바와 같이, 비정상 SIP REGISTER 메시지의 경우, From 필드에는 발신 피해자 단말의 사용자 단말 식별 번호가 기록될 수 있다.
상술한 바와 같이, 발신자 단말의 사용자 단말 식별 번호가 조작되었는지 판단하기 위하여, 패킷 정보 추출부(120)는 SIP REGISTER 메시지의 메시지 헤더의 From 필드로부터 사용자 단말 식별 번호를 추출할 수 있다.
도 7 및 도 9에는 명확하게 도시하지 않았으나, SIP REGISTER 메시지의 메시지 헤더에는 사용자 단말 식별 번호가 기록되는 다른 필드들이 더 포함될 수 있다. 실시예에 따라, 패킷 정보 추출부(120)는 이러한 필드들로부터 사용자 단말 식별 번호를 추출하도록 변형될 수 있다.
이하에서는, 각각의 TEID 및 사용자 단말 식별 번호를 서로 구별하기 위해서, GTP-U 패킷으로부터 추출된 TEID 및 사용자 단말 식별 번호를 제1 TEID 및 제1 사용자 단말 식별 번호로 언급하고, 세션 정보에 포함되는 TEID 및 사용자 단말 식별 번호를 제2 TEID 및 제2 사용자 단말 식별 번호로 언급하여 설명하기로 한다.
다시 도 4를 참조하면, 패킷 분석부(130)는 비정상 VoLTE 등록 메시지 탐지 동작을 수행할 수 있다. 패킷 분석부(130)는 제1 TEID와 제2 TEID, 및 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호를 비교하고, 비교 결과에 기초하여 비정상 VoLTE 등록 메시지를 탐지할 수 있다. 즉, 패킷 분석부(130)는 제1 TEID와 제2 TEID가 서로 동일하고, 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 서로 다른 경우에, SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지할 수 있다.
세션 정보 저장부(140)는 제2 TEID 및 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 미리 저장할 수 있다. 제2 TEID 및 제2 사용자 단말 식별 번호는 GTP-C 패킷으로부터 추출될 수 있다. GTP-C 패킷은 이동 통신 네트워크 내에서 데이터 호 설정, 갱신, 삭제 등과 같은 시그널링을 수행하기 위해 사용된다.
도 11은 도 4의 세션 정보 저장부에 저장된 세션 정보를 설명하기 위한 테이블이다.
도 11을 참조하면, 세션 정보는 제2 TEID 및 제2 사용자 단말 식별 번호를 포함한다. 제2 TEID는 업링크 Data TEID일 수 있다. 즉, 제2 TEID는 사용자 단말로부터 외부 네트워크를 향해 전송되는 GTP-U 패킷에 관한 것이다. 제2 사용자 단말 식별 번호는 MSISDN일 수 있다. 제2 사용자 단말 식별 번호는 대응하는 제2 TEID와 매핑되어 저장될 수 있다.
다시 도 4를 참조하면, 패킷 분석부(130)는 제1 TEID와 제2 TEID, 및 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호를 비교하기 위해서, 먼저 제1 TEID와 동일한 제2 TEID가 세션 정보 내에 존재하는지 판단할 수 있다. 다음으로, 패킷 분석부(130)는 제1 TEID와 동일한 제2 TEID가 세션 정보 내에 존재하면, 세션 정보로부터 제2 TEID에 대응하는 제2 사용자 단말 식별 번호를 추출할 수 있다. 그리고, 패킷 분석부는 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 동일한지 판단할 수 있다. 패킷 분석부(130)는 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 서로 다르면, GTP-U 패킷에 포함된 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 판단할 수 있다.
도 12는 비정상 SIP REGISTER 메시지의 탐지 정보를 세부적으로 설명하기 위한 테이블이다.
도 12를 참조하면, 탐지 정보 저장부(150)는 비정상 SIP REGISTER 메시지의 탐지 결과에 따라, 비정상 SIP REGISTER 메시지의 탐지 정보(또는, 로그)를 생성 및 저장할 수 있다.
예를 들어, 비정상 SIP REGISTER 메시지의 탐지 정보는 탐지 시간, 탐지 항목, 사용자 단말 식별 번호, 차단 여부 등의 필드를 포함할 수 있다. 이외에도, 비정상 SIP REGISTER 메시지의 탐지 정보는 TEID, 탐지된 패킷의 출발지 IP, 탐지된 패킷의 목적지 IP, 탐지된 패킷의 목적지 Port, 도용된 사용자 단말 식별 번호 등의 필드를 더 포함할 수도 있다.
다시 도 4를 참조하면, 패킷 처리부(160)는 비정상 SIP REGISTER 메시지로 탐지된 GTP-U 패킷을 탐지 정책에 따라 처리할 수 있다. 패킷 처리부(160)는 비정상 SIP REGISTER 메시지로 탐지된 GTP-U 패킷을 전송(forward)하거나 차단(drop)하도록 NIC(110b)를 제어할 수 있다. 여기서, GTP-U 패킷을 전송한다는 것은 GTP-U 패킷을 목적지 IP로 전송하는 것을 나타내고, GTP-U 패킷을 차단한다는 것은 GTP-U 패킷을 목적지 IP로 전송하지 않는 것을 나타낼 수 있다.
도 4의 비정상 VoLTE 등록 메시지 탐지 장치(100)에서, NIC(110a, 110b), 패킷 정보 추출부(120), 패킷 분석부(130), 세션 정보 저장부(140), 탐지 정보 저장부(150), 패킷 처리부(160)를 별도의 구성 요소로 설명하였으나, 실시예에 따라, 몇몇 구성 요소가 일체로 구성되도록 다양하게 변형될 수 있다.
도 13은 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 방법을 설명하기 위한 흐름도이다.
도 13을 참조하면, 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 방법에서는, 먼저 NIC(110a)에서, GTP-U 패킷을 수신한다(S201).
이어서, 패킷 추출부(120)에서, GTP-U 패킷의 목적지 포트가 SIP 포트인지 판단한다(S202). 예를 들어, 패킷 추출부(120)는 GTP-U 패킷의 목적지 포트의 값이 "5060"인지 판단하고, 목적지 포트의 값이 "5060"인 때에 상기 GTP-U 패킷이 SIP 메시지를 포함하는 것으로 판단할 수 있다.
이어서, 패킷 추출부(120)에서, GTP-U 패킷의 페이로드 내의 SIP 메시지가 SIP REGISTER 메시지인지 판단한다(S203). SIP REGISTER 메시지가 아닌 때에는, 패킷 분석부(130)가 이하의 비정상 SIP REGISTER 메시지의 탐지 동작을 수행하지 않을 수 있다.
이어서, GTP-U 패킷의 페이로드 내에 SIP REGISTER 메시지가 존재하면, 패킷 추출부(120)에서 SIP REGISTER 메시지의 Expires 필드 값이 0이 아닌 실수 값인지 판단한다(S204). SIP REGISTER 메시지의 Expires 필드 값이 0이 아닌 실수 값인 경우에, SIP REGISTER 메시지는 등록 요청 메시지이다. 비정상적으로 등록 요청하는 SIP REGISTER 메시지에 대해 탐지하고 차단하기 위해, SIP REGISTER 메시지 내의 Expires 필드 값이 0이 아닌 실수 값인지 여부를 판단한다.
이어서, 패킷 추출부(120)에서, GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출한다(S205). 상술한 바와 같이, 제1 TEID는 업링크 Data TEID일 수 있다. 패킷 정보 추출부(120)는 각종 패킷 정보를 구조화된 자료 형태로 가공할 수 있다.
이어서, 패킷 분석부(130)에서, 제1 TEID와 동일한 제2 TEID가 세션 정보 내에 존재하는지 판단한다(S206).
이어서, 제1 TEID와 동일한 제2 TEID가 세션 정보 내에 존재하면, 패킷 분석부(130)는 세션 정보로부터 제2 TEID에 대응하는 제2 사용자 단말 식별 번호를 추출한다(S207). 상술한 바와 같이, 제2 사용자 단말 식별 번호는 MSISDN일 수 있다.
이어서, 패킷 분석부(130)에서, 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 일치하는지 판단한다(S208). 상술한 바와 같이, 패킷 분석부(140)는 세션 정보로부터 상기 제2 TEID와 대응하는 제2 사용자 단말 식별 번호를 추출하고, 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 동일한지 판단할 수 있다.
이어서, 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 일치하지 않으면, 즉 제1 사용자 단말 식별 번호와 제2 사용자 단말 식별 번호가 서로 다르면, 패킷 분석부(130)에서, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하고, 탐지 정보 저장부(150)에서, 비정상 SIP REGISTER 메시지의 탐지 정보를 생성 및 저장한다(S209). 상술한 바와 같이, 비정상 SIP REGISTER 메시지의 탐지 정보는 탐지 시간, 탐지 항목, 사용자 단말 식별 번호, 차단 여부, TEID, 탐지된 패킷의 출발지 IP, 탐지된 패킷의 목적지 IP, 탐지된 패킷의 목적지 Port, 도용된 사용자 단말 식별 번호 등의 필드를 포함할 수 있다.
이어서, 패킷 처리부(160)에서, 비정상 SIP REGISTER 메시지로 탐지된 GTP-U 패킷을 탐지 정책에 따라 처리한다(S210).
도 14는 본 발명의 다른 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명하기 위한 블록도이다. 설명의 편의를 위하여, 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명한 것과 실질적으로 동일한 부분의 설명은 생략하기로 한다.
도 14를 참조하면, 본 발명의 다른 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치(300)는 NIC(310a, 310b), 패킷 분류부(320), GTP-C 패킷 정보 추출부(330), 세션 정보 생성부(340), 세션 정보 저장부(350), GTP-U 패킷 정보 추출부(360), 패킷 분석부(370), 탐지 정보 저장부(380), 패킷 처리부(390)을 포함한다.
NIC(310a)는 GTP 패킷을 수신하여 패킷 분류부(320)에 전송하고, NIC(310b)는 패킷 처리부(390)의 제어 신호에 따라 GTP 패킷을 전송(forward)하거나 차단(drop)할 수 있다.
패킷 분류부(320)는 GTP 패킷을 분류할 수 있다. 패킷 분류부(320)는 GTP 패킷을 GTP-C 패킷과 GTP-U 패킷으로 분류할 수 있다. 패킷 분류부(320)는 분류 결과에 따라 GTP-C 패킷은 GTP-C 패킷 정보 추출부(330)에 전송하고, GTP-U 패킷은 GTP-U 패킷 정보 추출부(360)에 전송할 수 있다.
GTP-C 패킷 정보 추출부(330)는 GTP-C 패킷으로부터 각종 패킷 정보를 추출할 수 있다. 예를 들어, GTP-C 패킷은 세션 생성 요청(Create Session Request) 메시지 및 세션 생성 응답(Create Session Response) 메시지일 수 있다. GTP-C 패킷 정보 추출부(330)는 세션 생성 요청 메시지의 페이로드로부터 제2 사용자 단말 식별 번호를 추출하고, 세션 생성 응답 메시지의 페이로드로부터 제2 TEID를 추출할 수 있다.
세션 정보 생성부(340)는 제2 TEID 및 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 생성할 수 있다. 세션 정보 생성부(340)는 세션 정보를 세션 정보 저장부(350)에 저장할 수 있다.
패킷 처리부(390)는 GTP-C 패킷을 전송하도록 NIC(310b)를 제어할 수 있다.
도 15는 4G 모바일 네트워크에서 GTP 터널의 생성 과정을 설명하기 위한 도면이다.
도 15를 참조하면, 4G 모바일 네트워크에서 GTP 터널을 생성하기 위해서, 세션 생성 요청 메시지(Create Session Response)와 세션 생성 응답(Create Session Response) 메시지가 전송될 수 있다. 세션 생성 요청 메시지와 세션 생성 응답 메시지는 GTP-C 패킷으로 전송될 수 있다.
먼저, 사용자 단말(1100)이 MME(1300)에 접속 요청(Attach Request) 메시지를 전송하고, MME(1300)가 S-GW(1400)에 세션 생성 요청 메시지를 전송하고, S-GW(1400)가 P-GW(1500)에 세션 생성 요청 메시지를 전송할 수 있다. 이에 대한 응답으로, P-GW(1500)가 S-GW(1400)에 세션 생성 응답 메시지를 전송하여, S-GW(1400)와 P-GW(1500)간 S5 GTP 터널을 생성할 수 있다. 그리고, S-GW(1400)가 MME(1300)에 세션 생성 응답 메시지를 전송하여, MME(1300)과 S-GW(1400)간 S11 GTP 터널을 생성할 수 있다. 그리고, MME(1300)가 사용자 단말(1100)에 접속 응답(Attach Response) 메시지를 전송하여, eNB(1200)와 S-GW(1400)간 S1-U GTP 터널을 생성할 수 있다.
도 15에는 명확하게 도시하지 않았으나, S1-U GTP 터널의 생성 전에, eNB(1200) 및 MME(1300) 사이, MME(1300) 및 S-GW(1400) 사이에서 추가적인 메시지가 더 송수신될 수 있다.
GTP 터널의 생성 과정에서, GTP-C 패킷 정보 추출부(330)는 세션 생성 요청 메시지 및 세션 생성 응답 메시지로부터 제2 TEID 및 제2 사용자 단말 식별 번호를 추출할 수 있다. 이에 따라, 세션 생성시 사용된 사용자 단말 식별 번호와 세션 생성 이후 GTP-U 패킷의 SIP REGISTER 메시지에 포함되는 사용자 단말 식별 번호의 일치 여부를 비교할 수 있다.
도 16은 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 시스템을 설명하기 위한 블록도이다. 설명의 편의를 위하여, 본 발명의 몇몇 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 장치를 설명한 것과 실질적으로 동일한 부분의 설명은 생략하기로 한다.
도 16을 참조하면, 본 발명의 일 실시예에 따른 비정상 VoLTE 등록 메시지 탐지 시스템(400)은 세션 정보 수집 장치(410)와 비정상 VoLTE 등록 메시지 탐지 장치(420)를 포함한다.
세션 정보 수집 장치(410)는 NIC(411a, 411b), GTP-C 패킷 정보 추출부(412), 세션 정보 생성부(413)을 포함하여 구성되고, GTP-C 패킷으로부터 세션 정보를 추출하여 생성할 수 있다.
비정상 VoLTE 등록 메시지 탐지 장치(420)는 NIC(421a, 421b), GTP-U 패킷 정보 추출부(422), 패킷 분석부(423), 세션 정보 저장부(424), 탐지 정보 생성부(425), 패킷 처리부(426)를 포함하여 구성되고, 세션 정보를 이용하여 비정상 VoLTE 등록 메시지를 탐지할 수 있다.
도 16의 비정상 VoLTE 등록 메시지 탐지 시스템(400)은 GTP-U 패킷으로부터 제1 TEID 및 제1 사용자 단말 식별 번호를 추출하고, 세션 정보와의 비교 결과에 따라 비정상 VoLTE 등록 메시지를 탐지하는 구성 요소와, GTP-C 패킷으로부터 제2 TEID 및 제2 사용자 단말 식별 번호를 추출하고, 이를 포함하는 세션 정보를 생성하는 구성 요소가 물리적으로 분리된 경우를 도시한 것이다.
세션 정보 저장부(424)는 세션 정보 수집 장치(410)으로부터 수신한 세션 정보를 저장할 수 있다.
본 발명의 실시예들과 관련하여 설명된 방법 또는 알고리즘의 단계는, 프로세서에 의해 실행되는 하드웨어 모듈, 소프트웨어 모듈, 또는 그 2 개의 결합으로 직접 구현될 수 있다. 소프트웨어 모듈은 RAM 메모리, 플래시 메모리, ROM 메모리, EPROM 메모리, EEPROM 메모리, 레지스터, 하드 디스크, 착탈형 디스크, CD-ROM, 또는 본 발명의 기술 분야에서 잘 알려진 임의의 형태의 컴퓨터로 읽을 수 있는 기록 매체에 상주할 수도 있다. 예시적인 기록 매체는 프로세서에 연결되며, 그 프로세서는 기록 매체로부터 정보를 독출할 수 있고 기록 매체에 정보를 기입할 수 있다. 다른 방법으로, 기록 매체는 프로세서와 일체형일 수도 있다. 프로세서 및 기록 매체는 주문형 집적회로(ASIC) 내에 상주할 수도 있다. ASIC는 사용자 단말기 내에 상주할 수도 있다. 다른 방법으로, 프로세서 및 기록 매체는 사용자 단말기 내에 개별 구성 요소로서 상주할 수도 있다.
이상 첨부된 도면을 참조하여 본 발명의 실시예를 설명하였지만, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 본 발명이 그 기술적 사상이나 필수적인 특징을 변경하지 않고서 다른 구체적인 형태로 실시될 수 있다는 것을 이해할 수 있을 것이다. 그러므로 이상에서 기술한 실시예들은 모든 면에서 예시적인 것이며 한정적이 아닌 것으로 이해해야만 한다.
100: 비정상 VoLTE 등록 메시지 탐지 장치
110a, 110b: NIC
120: 패킷 정보 추출부
130: 패킷 분석부
140: 세션 정보 저장부
150: 탐지 정보 저장부
160; 패킷 처리부

Claims (26)

  1. GTP(GPRS Tunneling Protocol)-U 패킷 내의 페이로드 내에 SIP(Session Initiation Protocol) REGISTER 메시지가 존재하는지 판단하고, 상기 GTP-U 패킷 내에 존재하는 SIP REGISTER 메시지가 Expires 필드 값이 0이 아닌 실수(real number)인 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 패킷 정보 추출부;
    제2 TEID 및 제2 사용자 단말 식별 번호를 포함하는 세션 정보를 저장하는 세션 정보 저장부;
    상기 GTP-U 패킷의 목적지 포트가 SIP 포트이고, 상기 제1 TEID와 상기 제2 TEID가 서로 동일하고, 상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다른 경우에, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 패킷 분석부; 및
    상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 패킷 처리부를 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치.
  2. 삭제
  3. 제 1항에 있어서,
    상기 패킷 정보 추출부는 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제1 사용자 단말 식별 번호를 추출하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치.
  4. 삭제
  5. 삭제
  6. 제 1항에 있어서,
    상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 탐지 정보 저장부를 더 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치.
  7. 제 6항에 있어서,
    상기 탐지 정보는 탐지 시간, 탐지 ID, 사용자 단말 식별 번호, 차단 여부, TEID(Tunnel Endpoint Identifier), 목적지 IP(Internet Protocol), 목적지 포트, 출발지 IP, 및 도용한 사용자 단말 식별 번호를 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치.
  8. 삭제
  9. 삭제
  10. 삭제
  11. 삭제
  12. 삭제
  13. 삭제
  14. 삭제
  15. 삭제
  16. 삭제
  17. 삭제
  18. 삭제
  19. 삭제
  20. 삭제
  21. GTP-U 패킷의 목적지 포트가 SIP 포트인지 판단하는 단계;
    상기 GTP-U 패킷 내의 페이로드 내에 SIP REGISTER 메시지가 존재하는지 판단하는 단계;
    상기 SIP REGISTER 메시지가 존재하는 경우, 상기 SIP REGISTER 메시지가 Expires 필드 값이 0이 아닌 실수인 등록 요청 메시지인지 판단하는 단계;
    상기 SIP REGISTER 메시지가 등록 요청 메시지인 경우에, 상기 GTP-U 패킷의 헤더로부터 제1 TEID를 추출하고, 상기 SIP REGISTER 메시지로부터 제1 사용자 단말 식별 번호를 추출하는 단계;
    상기 제1 TEID와 세션 정보의 제2 TEID가 동일한지 판단하는 단계;
    상기 제1 TEID와 상기 제2 TEID가 동일하면, 상기 제1 사용자 단말 식별 번호와 상기 제2 TEID에 대응하는 제2 사용자 단말 식별 번호가 동일한지 판단하는 단계; 및
    상기 제1 사용자 단말 식별 번호와 상기 제2 사용자 단말 식별 번호가 서로 다르면, 상기 SIP REGISTER 메시지를 비정상 SIP REGISTER 메시지로 탐지하는 단계를 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 방법.
  22. 삭제
  23. 제 21항에 있어서,
    상기 SIP REGISTER 메시지가 상기 비정상 SIP REGISTER 메시지이면, 탐지 정책에 따라 상기 GTP-U 패킷을 처리하는 단계를 더 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 방법.
  24. 제 21항에 있어서,
    상기 제1 사용자 단말 식별 번호를 추출하는 단계는, 상기 SIP REGISTER 메시지의 From 필드로부터 상기 제1 사용자 단말 식별 번호를 추출하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 방법.
  25. 삭제
  26. 제 21항에 있어서,
    상기 비정상 SIP REGISTER 메시지에 대한 탐지 정보를 저장하는 단계를 더 포함하는, 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 방법.
KR1020140182380A 2014-12-17 2014-12-17 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법 Expired - Fee Related KR101538309B1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020140182380A KR101538309B1 (ko) 2014-12-17 2014-12-17 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법
PCT/KR2015/009283 WO2016098997A1 (en) 2014-12-17 2015-09-03 Apparatus, system and method for detecting abnormal volte registration message in 4g mobile network

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020140182380A KR101538309B1 (ko) 2014-12-17 2014-12-17 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법

Publications (1)

Publication Number Publication Date
KR101538309B1 true KR101538309B1 (ko) 2015-07-23

Family

ID=53875529

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020140182380A Expired - Fee Related KR101538309B1 (ko) 2014-12-17 2014-12-17 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법

Country Status (2)

Country Link
KR (1) KR101538309B1 (ko)
WO (1) WO2016098997A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102437480B1 (ko) * 2021-11-26 2022-08-29 한국인터넷진흥원 Sip 비암호화 탐지 시스템 및 방법

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108243057B (zh) * 2016-12-27 2021-08-13 中国移动通信集团浙江有限公司 一种VoLTE转化率分析方法及系统
EP3442191B1 (en) * 2017-08-07 2020-09-23 Nokia Solutions and Networks Oy Prevention of identity spoofing in a communications network
EP3729839B1 (en) 2017-12-21 2021-10-06 Telecom Italia S.p.A. Method and system for avoiding spurious signalling in a communication system

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100056471A (ko) * 2007-07-20 2010-05-27 알까뗄 루슨트 단말기의 등록 요청 처리 방법, 네트워크 요소 및 통신 시스템
KR101414231B1 (ko) * 2013-08-28 2014-07-01 한국인터넷진흥원 비정상 호 탐지 장치 및 방법

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20080057161A (ko) * 2006-12-19 2008-06-24 주식회사 케이티프리텔 점대점 터널링 통신을 위한 침입 방지 장치 및 방법
KR101201546B1 (ko) * 2012-08-13 2012-11-15 한국인터넷진흥원 Ｇｔｐ를 사용하는 모바일 환경에서의 ｉｐ 스푸핑 탐지 장치 및 방법
KR101388627B1 (ko) * 2013-11-07 2014-04-24 한국인터넷진흥원 4g 이동통신망에서의 비정상 트래픽 차단 장치

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20100056471A (ko) * 2007-07-20 2010-05-27 알까뗄 루슨트 단말기의 등록 요청 처리 방법, 네트워크 요소 및 통신 시스템
KR101414231B1 (ko) * 2013-08-28 2014-07-01 한국인터넷진흥원 비정상 호 탐지 장치 및 방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102437480B1 (ko) * 2021-11-26 2022-08-29 한국인터넷진흥원 Sip 비암호화 탐지 시스템 및 방법

Also Published As

Publication number Publication date
WO2016098997A1 (en) 2016-06-23

Similar Documents

Publication Publication Date Title
KR101414231B1 (ko) 비정상 호 탐지 장치 및 방법
US8848666B2 (en) Handover of emergency calls from a circuit switched to a packet switched access network
US11063990B2 (en) Originating caller verification via insertion of an attestation parameter
KR101538309B1 (ko) 4G 모바일 네트워크에서의 비정상 VoLTE 등록 메시지 탐지 장치, 시스템 및 방법
CN113271639B (zh) 网络业务处理方法和装置
KR101388627B1 (ko) 4g 이동통신망에서의 비정상 트래픽 차단 장치
CN105828334A (zh) 一种定位非法回拨业务的监测方法及系统
KR101388628B1 (ko) 4g 이동통신망에서의 비정상 트래픽 차단 방법
CN104885523B (zh) 故障处理方法、分组数据网络、移动管理实体及网络系统
KR101536178B1 (ko) 4g 모바일 네트워크에서의 비정상 sdp 메시지 탐지 장치 및 방법
CN119343951A (zh) 在无线通信系统中传送pdu集
CN106162733B (zh) 一种异常流量抑制方法及装置
Feng et al. WGSN: WLAN-based GPRS support node with push mechanism
KR101534160B1 (ko) 4G 모바일 네트워크에서의 VoLTE 세션 관리 장치 및 방법
KR101534161B1 (ko) 4g 모바일 네트워크에서의 사용자 세션 관리 장치 및 방법
US20160080429A1 (en) Routing of Sessions to Other Communication Networks
KR101499022B1 (ko) 4g 모바일 네트워크에서의 비정상 mms 메시지 탐지 장치 및 방법
KR101541119B1 (ko) 4G 모바일 네트워크에서의 비정상 VoLTE 등록해제 메시지 탐지 장치, 시스템 및 방법
KR101711074B1 (ko) 4g 모바일 네트워크에서의 sip 터널링 패킷 탐지 장치, 시스템 및 방법
KR101785680B1 (ko) 4g 모바일 네트워크에서의 rtp 터널링 패킷 탐지 장치, 시스템 및 방법
KR101538310B1 (ko) 4G 모바일 네트워크에서의 VoLTE 서비스 기반 비정상 위치정보 획득 메시지 탐지 장치, 시스템 및 방법
KR101516234B1 (ko) 4g 모바일 네트워크에서의 비정상 sip subscribe 메시지 탐지 장치 및 방법
KR101516233B1 (ko) 4g 모바일 네트워크에서의 비정상 sip refer 메시지 탐지 장치 및 방법
KR20150097986A (ko) 통신 단말기 종류별 통신 품질 판단 시스템 및 그 제어방법과, 그 제어방법을 실행하기 위한 프로그램을 기록한 기록 매체
CN114423008A (zh) 终端身份溯源方法、设备及计算机可读存储介质

Legal Events

Date Code Title Description
PA0109 Patent application

Patent event code: PA01091R01D

Comment text: Patent Application

Patent event date: 20141217

PA0201 Request for examination
PA0302 Request for accelerated examination

Patent event date: 20150311

Patent event code: PA03022R01D

Comment text: Request for Accelerated Examination

Patent event date: 20141217

Patent event code: PA03021R01I

Comment text: Patent Application

PE0902 Notice of grounds for rejection

Comment text: Notification of reason for refusal

Patent event date: 20150330

Patent event code: PE09021S01D

E701 Decision to grant or registration of patent right
PE0701 Decision of registration

Patent event code: PE07011S01D

Comment text: Decision to Grant Registration

Patent event date: 20150617

GRNT Written decision to grant
PR0701 Registration of establishment

Comment text: Registration of Establishment

Patent event date: 20150715

Patent event code: PR07011E01D

PR1002 Payment of registration fee

Payment date: 20150716

End annual number: 3

Start annual number: 1

PG1601 Publication of registration
LAPS Lapse due to unpaid annual fee
PC1903 Unpaid annual fee

Termination category: Default of registration fee

Termination date: 20190426