WO2007107473A1 - Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk - Google Patents

Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk Download PDF

Info

Publication number
WO2007107473A1
WO2007107473A1 PCT/EP2007/052310 EP2007052310W WO2007107473A1 WO 2007107473 A1 WO2007107473 A1 WO 2007107473A1 EP 2007052310 W EP2007052310 W EP 2007052310W WO 2007107473 A1 WO2007107473 A1 WO 2007107473A1
Authority
WO
WIPO (PCT)
Prior art keywords
subscriber
spit
communication
connection
statistical value
Prior art date
Application number
PCT/EP2007/052310
Other languages
English (en)
French (fr)
Inventor
Joachim Charzinski
Ralf Holynski
Norbert Huffschmid
Christof STÖRMANN
Original Assignee
Nokia Siemens Networks Gmbh Co.Kg
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Siemens Networks Gmbh Co.Kg filed Critical Nokia Siemens Networks Gmbh Co.Kg
Publication of WO2007107473A1 publication Critical patent/WO2007107473A1/de

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M3/00—Automatic or semi-automatic exchanges
    • H04M3/42—Systems providing special services or facilities to subscribers
    • H04M3/436—Arrangements for screening incoming calls, i.e. evaluating the characteristics of a call before deciding whether to answer it
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M3/00—Automatic or semi-automatic exchanges
    • H04M3/38—Graded-service arrangements, i.e. some subscribers prevented from establishing certain connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04M—TELEPHONIC COMMUNICATION
    • H04M7/00—Arrangements for interconnection between switching centres
    • H04M7/006—Networks other than PSTN/ISDN providing telephone service, e.g. Voice over Internet Protocol (VoIP), including next generation networks with a packet-switched transport layer

Definitions

  • the invention relates to a method and a device for detecting spam over Internet Telephony messages sending subscribers, abbreviated SPIT shipper, in an IP communication network, based on an observation of signaling links associated with communication links.
  • VoIP Voice over IP
  • SPIT Packet Transfer Protocol over Internet telephony
  • White Lists and / or Blacklists are used (English: Black lists) used.
  • a whitelist for a subscriber X contains subscriber-specific information on such other subscribers Y in the communication network that have been classified as trustworthy and are thus entitled to call subscriber X.
  • a blacklist contains the same participant-specific information as a whitelist, but a blacklist lists trusted subscribers whose calls are automatically rejected.
  • the invention has the advantage that the reception of unwanted messages is considerably reduced.
  • FIG. 2 Communication network with subnetworks N1, N2 with observation device K1, evaluation device K2 and proxy system K3, operation of the observation device K1 on the proxy system K3
  • Figure 2 shows a similar communication network as Figure 1 with the difference that the observation device Kl is operated on the proxy K3.
  • FIGS. 1 and 2 only implement two forms of a communication network for execution of the method according to the invention. Further variants are possible.
  • subscriber and connection-related data and / or the respectively calculated statistical value are stored, preferably in a database.
  • a first subscriber A sends a large number of connection requests to a multiplicity of further subscribers. SIP data packets belonging to these connection requests as well as to the subsequent communication connections that result from them are monitored by the SIP sniffer K1 and evaluated with regard to the relevant feature.
  • a first feature is, in the case of a network operator-confirmed identity signaled in the course of the connection request of the first subscriber A, the first subscriber A on the basis of a comparison between an identity indication signaled in the course of the connection request and a in subscriber and connection-related data relating to the first subscriber A
  • the evaluation device K2 identifies a network operator-confirmed identity in a SIP INVITE message belonging to the connection request
  • a database entry is set up in the database which records the network request.
  • operator-verified identity associated with an identity information contained in a From header of the SIP INVITE message with respect to the first subscriber A.
  • the database entry may include a list of identity information about the first party A. If the same network operator confirmed identity is identified in a SIP INVITE message pertaining to a later connection request, the list of identity information in the database entry becomes any new entries from the From header of the respective
  • the number of different identities can be determined in accordance with the respective information from the From headers to the network operator-confirmed identity.
  • a small number of observed identities based on from-header identities for a carrier-confirmed identity suggests a normal subscriber, while a larger number of observed ones are based on From header information
  • Identities for a carrier-confirmed identity can be an indication that a SPIT-causing subscriber is attempting to pre-empt foreign identities and thereby complicate a doctrine.
  • a second feature for determining the statistical value can be calculated on the basis of an evaluation of attributes signaled in the course of the connection request of the first subscriber A and the attributes that supplement the information regarding a variability of the attributes with respect to a plurality of previous connection requests that were made before the connection request.
  • a database entry in the A database is set up which stores the identity information relating to the first subscriber A contained in the From header of the SIP INVITE message belonging to the connection request.
  • a list of tag values appended to the From header is stored in the database entry. In the course of regular evaluations, the number of different tag values per From header can be determined for a selectable time interval.
  • a third feature for determining the statistical value can be calculated on the basis of an evaluation of a connection identification number that is signaled in the course of the connection request of the first subscriber A with respect to a variability of the connection identification number with respect to a plurality of previous connection requests that occurred before the connection request: If the first Subscriber A triggers the connection request, a database entry is set up in the database, which stores the identity information regarding the first subscriber A contained in the From header of the SIP INVITE message associated with the connection request. Furthermore, a list of connection identification numbers is stored in the database entry. In the course of regular evaluations, the number of different connection identification numbers for the first subscriber A and for a selectable time interval can be determined.
  • a fourth feature for determining the statistical value can be calculated on the basis of an evaluation of a maximum number of communication links of the first subscriber A that exist simultaneously during a time interval: the maximum number of simultaneously existing communication links Connections are determined from the observation of all the signaling messages to be assigned to the first subscriber A.
  • FIG. 4 shows by way of example a possible evaluation of the number of simultaneously existing communication connections of the first subscriber A over time. Decisive for the evaluation are SIP messages INVITE, BYE and CANCEL, which mark the beginning and the end of a communication connection. On the y-axis of the diagram shown in FIG. 4, the number of simultaneously existing communication connections NC (for number of calls) is plotted, and the time t is plotted on the x-axis.
  • Voicemail is not encoded when it is sent, but keeps it in the form of ready-made RTP packets ready for dispatch, is the support of a single codec, namely the one with which the prefabricated RTP packets were generated.
  • a single codec namely the one with which the prefabricated RTP packets were generated.
  • an SPIT-causing subscriber will use a low-speed codec for the prefabricated RTP packets in order to be able to set up as many communication connections as possible at the same time. Therefore, in the SIP messages belonging to the respective communication links, existing codec lists with only one codec specification for a codec, which is also particularly low-ranked, can be used as an indication of an SPIT message.
  • This indicator must be compared with the usual behavior of common terminals, so that a subscriber using a typical low-rate terminal, for example a mobile telephone, is not already incorrectly classified as a subscriber causing SPIT on the basis of the codec list.
  • This fifth feature has the advantage that it is also suitable for detecting SPIT messages from previously unknown subscribers, if, for example, the codec list of a new INVITE message of a previously unknown subscriber is identified as being characteristic of SPIT-causing subscribers ,
  • a sixth feature for determining the statistical value can be calculated on the basis of an evaluation of a number of subscriber stations belonging to the plurality of additional subscribers, and communication links directed by the first subscriber A to subscribers belonging to the plurality of further subscribers A plurality of other participants belonging participants ended, from the first participant A to the plurality of other participants belonging participants directed communication links, English number of B-terminated calls, by monitoring the signaling messages between the first participant A and at least one of the plurality of other participants belonging Participants determined.
  • the evaluation of the number of B-terminated calls, or alternatively the ratio between the number of B-terminated calls and the number of all initiated by the first subscriber A communication links can give indications that the first subscriber A could be a SPIT-causing subscriber, if For example, the number of B-terminated calls is very high in relation to the number other B-terminated calls assigned to non-SPIT-causing subscribers.
  • all outgoing communication connections of the first subscriber A are counted, whose time duration is below the time threshold value and are terminated on the B side.
  • a first timestamp is detected at the time of termination of the communication connection (for example by a SIP-BYE message).
  • a second time stamp is detected: In the event that the communication connection was terminated on the B side and the difference between the first time stamp and the second time stamp lies below the time threshold, the counter for B-terminated calls is incremented by one.
  • a mean duration B-terminated communication links for example, as a quotient of the total duration of all terminated by belonging to the plurality of other participants subscriber communication DBTC and the number of B-terminated calls NBTC. If the average duration of B-terminated communication links for the first subscriber A is significantly less than the average duration of B-terminated communication links of all subscribers, this can serve as an indication that the first subscriber A is an SPIT causal participant.
  • an upper capping limit can be defined for each communication link in order to prevent a corruption of the average duration of B-terminated communication links of the first subscriber A by a communication link of the first subscriber A during an above-average time interval.
  • a ninth feature for determining the statistical value can be calculated on the basis of an evaluation of a number of different, of the first subscriber A for the purpose of a communication connection contacted plurality of additional participants. If several communication links are established to the same destination, this is counted only once.
  • a tenth feature for determining the statistical value can be calculated on the basis of an evaluation of a number of anonymous communication connections of the first subscriber A: The number of communication connections with which the first subscriber A wishes to suppress his identity for the purpose of anonymity is determined by an analysis. It is advantageous to calculate the tenth feature, in particular with regard to subscribers whose identity is known in the communication network and in the course of a call corresponding entry in a header field of the SIP INVITE message is indicated as a network operator-confirmed identity.
  • FIG. 6 shows an example flow diagram for the method according to the invention with regard to a communication connection initiated by the first subscriber A. ones shown, are actions A1 to A6 and decisions Dl to D7, which are explained in more detail below.
  • a first decision D1 In the course of a first decision D1, based on the identifying features, it is checked whether there is already a database entry to the first subscriber A in the database. If this is not the case, a corresponding database entry is created in the course of a second action A2. If a corresponding database entry already exists, it is checked in the course of a second decision D2 whether the communication connection has been terminated in the meantime. If this is the case, in a third decision D3 checks whether a SIP message "200 OK" has been received, if this is not the case, a protocol error is detected in the course of a third action A3.
  • a fourth decision D4 the receipt of another SIP message, in particular a SIP INVITE message, is checked and it is ensured that there is no timeout. If the fourth decision D4 is negative, a protocol error is detected according to the third action A3. If the fourth decision D4 is positive, a fifth decision D5 checks whether a SIP message "200 OK" has been received after the arrival of the SIP INVITE message If the fifth decision D5 turns out to be positive If the fifth decision D5 is negative, a sixth decision D6 checks whether a SIP BYE message has been received. Divorce D6 positive, a second timestamp marking the end of the communication connection is set in the course of a fifth action A5. If the sixth decision D6 is negative, D7 is checked in the course of a seventh decision as to whether a SIP CANCEL message has been received. If the seventh decision D7 is positive, the communication connection is marked as completed in the course of a sixth action A6.
  • an evaluation of anonymous communication links sent from an external communication network can be carried out.
  • the external communication network is identifiable as a source of SPIT communication links, for example, based on statistics on all anonymous communication links sent from the external communication network.
  • the method according to the invention is combined with a method for inserting a SPIT probability into a signaling message.
  • the method according to the invention is part of a system for automatically blocking or redirecting a message sent by a first participant known as a SPIT-causing subscriber: the subscriber-specific SPIT determined by the method according to the invention for the first subscriber Probability is comparable to an adjustable threshold for rejection of SPIT messages. For example, the message is rejected or alternatively redirected to a voicebox if the subscriber-specific SPIT probability determined for the first subscriber is above the settable threshold for rejecting SPIT messages.
  • the statistical value is determined in the course of a suitable combination of the calculated plurality of features: The combination of the calculated plurality of features into a subscriber-related SPIT probability is preferably carried out in
  • the subscriber-related SPIT probability can be set to zero if the determined subscriber-related SPIT probability lies below a definable threshold value.
  • FIG. 7 shows an exemplary evaluation of the SPIT probability for a subscriber:
  • a first step S71 in the case of a subscriber-initiated communication connection, it is checked whether a minimum number of communication connections have been observed for this subscriber.
  • a second step S72 different characteristics are combined into scenarios and scenario-specific probabilities are determined by minimum formation.
  • a possible calculation of the scenario-specific probabilities for three scenarios A, B, C is shown below:
  • P A min (P short calls, P B terminated calls)
  • P_B min (P_no_dest, P_anonym_calls)
  • P C min (P nr tags, P nr call IDs)
  • a scenario-specific probability PA is calculated by minimum formation over a truth. probability based on the above-mentioned seventh feature (B-side termination of the communication connection after a short time interval, P_short_calls) and a probability based on the above-mentioned sixth feature (B-side termination of the communication connection, P_ B_terminated_calls).
  • a scenario-specific probability P_B is obtained by minimizing a probability based on the above-mentioned ninth feature (number of different targets, P_nr_dest) and a probability based on the above-mentioned tenth feature (number of anonymous communication links, P anonymous calls).
  • a scenario-specific probability P_C is obtained by minimizing a probability based on the above-mentioned second feature (tag values at the FROM header, P_nr_tags) and a probability based on the above-mentioned third feature (number of different Connection identification numbers, P nr call IDs).
  • the subscriber-related SPIT probability SP is determined by means of maximum formation over the scenario-specific probabilities as follows:
  • step S74 it is checked whether the determined subscriber-related SPIT probability SP lies below a definable threshold value. If so, the subscriber-related SPIT probability SP is set to zero:
  • the determined subscriber-related SPIT probability can be stored in a list sorted according to subscriber-identifying features in the database. In the case of a subscriber-related SPIT probability of zero, no database entry is generated. This has the particular advantage that the list sorted according to subscriber-identifying features can be managed efficiently.
  • observation device K1 and the evaluation device K2 are realized in the form of an observation and evaluation device.
  • the monitoring device K1 represents a SIP sniffer for the passive observation of SIP-based communication traffic, in particular signaling traffic consisting of SIP data packets.
  • the monitoring device K1 represents a SIP proxy for the active detection of SIP-based communication traffic, in particular signaling traffic consisting of SIP data packets.
  • observation device Kl can be integrated into a SPIT defense device.
  • observation device Kl can be integrated into a SIP server or alternatively into a SIP proxy.
  • participant A Participants on the observation of all initiated by the first party A communication links.
  • the number of different, contacted by the first subscriber A for the purpose of a communication connection plurality of other participants based on the observation of all of the first subscriber A initiated and successfully established communication links.
  • the features according to the invention for determining the statistical value are determined on the basis of all of the initiated communication links initiated by the first subscriber A.
  • the features according to the invention for determining the statistical value on the basis of all Medunikationsverbin- fertilize, in which the first participant A is involved, determined.
  • the features according to the invention for determining the statistical value in the background are determined on the basis of the observed signaling traffic.
  • the inventive features for determining the statistical value in a direct temporal relationship with a connection establishment request can be determined in order to make in this way, for example, a special treatment for the connection request.
  • the special treatment consists for example in a rejection of the connection request or alternatively in a diversion to a voicebox.
  • a first subscriber A identified as a SPIT-transmitting subscriber is proposed to a network operator for the purpose of an entry in a blacklist.

Landscapes

  • Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

Gegenstand der Erfindung sind ein Verfahren und eine Vorrichtung zur Erkennung von Spam over Internet Telephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT-Versender, in einem IP-Kommunikationsnetzwerk mit einer Vielzahl von durch einen ersten Teilnehmer (A) an eine Vielzahl weiterer Teilnehmer gerichteten Kommunikationsverbindungen, wobei zu den Kommunikationsverbindungen gehörender Signalisierverkehr beobachtet wird. Auf der Grundlage des beobachteten Signalisierverkehrs wird ein statistischer Wert hinsichtlich einer Wahrscheinlichkeit dafür ermittelt, dass es sich bei dem ersten Teilnehmer (A) um einen SPIT-Versender und bei den Kommunikationsverbindungen um SPIT-Kommunikationsverkehr handelt.

Description

Beschreibung
Verfahren und Vorrichtung zur Erkennung von Spam over Internet Telephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT-Versender, in einem IP-Kommunikationsnetzwerk
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur Erkennung von Spam over Internet Telephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT-Versender, in einem IP-Kommunikationsnetzwerk, basierend auf einer Beobachtung von zu Kommunikationsverbindungen gehörigem Signalisierverkehr .
Der Begriff „Spamming" bezeichnet die massenweise Versendung unerwünschter Nachrichten („Spam"). Begünstigt wird „Spamming" durch den einfachen und günstigen Zugang zu elektronischen Medien, die in der Regel bei geringem Zeit- und Kostenaufwand den Versand von Nachrichten an eine große Zahl von Empfängern ermöglichen. Der Inhalt derartiger „Spam"- Nachrichten ist häufig kommerzieller Art, wobei vor allem „Spam" zweifelhaften Inhalts überwiegt. Eine sehr bekannte Form von „Spam" ist der massenhafte Versand von E-Mails zu Werbezwecken. Neben E-Mail-„Spam" existieren weitere Formen wie zum Beispiel „Spam" bezüglich Instant Messaging, Usenet newsgroups, WWW-Suchmaschinen, Weblogs oder Mobilfunk.
Wie schon erwähnt wird „Spam" dadurch begünstigt, dass den Verursachern, zum Beispiel Werbetreibenden, nahezu keine effektiven Kosten abgesehen von der Verwaltung entsprechender E-Mail-Adressenlisten durch das „Spamming" entstehen. Neben den offensichtlichen Nachteilen, die durch den Versand unerwünschter Nachrichten für die jeweiligen Empfänger entstehen, verursacht „Spamming" mittlerweile hohe Kosten, die von der Allgemeinheit zu tragen sind. Dies sind zum einen indirekte Kosten, die zum Beispiel durch Produktivitätsverlust oder ü- berfüllte elektronische Briefkästen entstehen. Schwerwiegender sind noch die Kosten, die von den jeweils betroffenen Infrastrukturanbietern, zum Beispiel Internet Service- Providern (ISP), entstehen: Häufig ist eine Aufstockung der Bandbreitenkapazitäten notwendig, da die vorhandenen Bandbreiten nicht mehr ausreichen, um die Flut von „Spams" zu be- wältigen.
Obwohl „Spamming" von der Allgemeinheit geächtet ist und die Rechtslage in Deutschland und anderen Ländern derzeit ange- passt wird, nimmt das „Spamming" eher noch zu, da die Hürde für diese Art des Nachrichtenversandes sehr gering ist.
Mit der zunehmenden Verbreitung der Internettelefonie (Voice over IP, kurz VoIP) wird erwartet, dass VoIP-Teilnehmer in zunehmendem Ausmaß sogenanntem SPIT (SPAM over Internet Te- lephony) ausgesetzt sein werden. Derzeit werden Werbeanrufe zu konventionellen PSTN-Teilnehmern (PSTN für Public Switched Telephone Network) normalerweise immer zu Lasten des Anrufenden vergebührt. Anrufe zu VoIP-Teilnehmern können hingegen aufgrund des abweichenden Vergebührungsmodells für den Anru- fenden nahezu kostenfrei geführt werden, was ein massives
SPIT-Aufkommen für die Zukunft erwarten lässt. Insbesondere die Möglichkeit, aufgezeichnete Sprachdateien in Massen zu versenden, dürfte für Werbetreibende interessant sein. Es ist davon auszugehen, dass die betroffenen VoIP-Teilnehmer ihren jeweiligen VoIP-Provider zu geeigneten Maßnahmen auffordern werden, um vor unerwünschten Anrufen geschützt zu sein.
Während im PSTN Verbindungen leitungsvermittelt sind beziehungsweise im Mobilfunk eine Identifizierung über die SIM- Karte des Anrufenden vorgenommen werden kann, ist eine Identifizierung eines Anrufers in der IP-Telefonie problematisch: Die Kommunikation zwischen zwei Teilnehmern erfolgt hier nur noch virtuell von Endpunkt zu Endpunkt, da es sich um paketvermittelte Verbindungen handelt.
Als Gegenmaßnahme gegen SPIT werden unter anderem so genannte Weiße Listen (englisch: White lists) und/oder Schwarze Listen (englisch: Black lists) eingesetzt. Eine Weiße Liste enthält für einen Teilnehmer X teilnehmerspezifische Informationen zu solchen anderen Teilnehmern Y im Kommunikationsnetz, die als vertrauenswürdig eingestuft wurden und somit berechtigt sind, Teilnehmer X anzurufen. Eine Schwarze Liste enthält die gleichen teilnehmerspezifische Informationen wie eine Weiße Liste, jedoch werden in einer Schwarzen Liste vertrauensunwürdige Teilnehmer eingetragen, deren Anrufe grundsätzlich automatisch abgewiesen werden.
Derartige Weiße und Schwarze Listen bieten jedoch keinen Schutz vor SPIT, wenn ein SPIT-Verursacher beispielsweise seine Absenderadresse fälscht, indem er beispielsweise eine Absenderadresse aus der Weißen Liste des angerufenen Teilneh- mers X missbräuchlich als seine Absenderadresse verwendet. Zudem ist die Pflege derartiger Listen sehr aufwändig, da SPIT-Verursacher häufig ihre Absenderadressen wechseln.
Die Aufgabe der Erfindung besteht darin, ein Verfahren und eine Vorrichtung zur Erkennung von Spam over Internet Te- lephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT- Versender, in einem IP-Kommunikationsnetzwerk, auszugestalten, wobei die Erkennung von SPIT-Versendern durch Beobachtung von zu Kommunikationsverbindungen gehörigem Signalisier- verkehr erfolgt.
Diese Aufgabe wird durch die Merkmale des Patentanspruchs 1 hinsichtlich des Verfahrens durch die Merkmale des Patentanspruchs 20 hinsichtlich der Vorrichtung gelöst. Weiterbildun- gen der Erfindung sind in den abhängigen Ansprüchen angegeben .
Gegenstand der Erfindung ist ein Verfahren zur Erkennung von Spam over Internet Telephony-Nachrichten versendenden Teil- nehmern, abgekürzt SPIT-Versender, in einem IP- Kommunikationsnetzwerk mit einer Vielzahl von durch einen ersten Teilnehmer an eine Vielzahl weiterer Teilnehmer ge- richteten Kommunikationsverbindungen, wobei zu den Kommunikationsverbindungen gehörender Signalisierverkehr beobachtet wird. Auf der Grundlage des beobachteten Signalisierverkehrs wird ein statistischer Wert hinsichtlich einer Wahrschein- lichkeit dafür ermittelt, dass es sich bei dem ersten Teilnehmer um einen SPIT-Versender und bei den Kommunikationsverbindungen um SPIT-Kommunikationsverkehr handelt, ermittelt.
Weiterhin betrifft die Erfindung eine Vorrichtung zur Ausfüh- rung des dargestellten Verfahrens.
Die Erfindung bringt den Vorteil mit sich, dass der Empfang unerwünschter Nachrichten erheblich reduziert wird.
Ein Ausführungsbeispiel der Erfindung ist in den Zeichnungen dargestellt und wird im folgenden näher beschrieben.
Es zeigen:
Fig. 1: Kommunikationsnetzwerk mit Teilnetzwerken Nl, N2 mit Beobachtungsvorrichtung Kl, Bewertungsvorrichtung K2 und Proxysystem K3, Betrieb der Beobachtungsvorrichtung Kl an einer Schnittstelle zwischen den Teilnetzwerken Nl, N2
Fig. 2: Kommunikationsnetzwerk mit Teilnetzwerken Nl, N2 mit Beobachtungsvorrichtung Kl, Bewertungsvorrichtung K2 und Proxysystem K3, Betrieb der Beobachtungsvorrichtung Kl an dem Proxysystem K3
Fig. 3: Grafische Darstellung der SPIT-Wahrscheinlichkeit in Abhängigkeit von der Anzahl unterschiedlicher Tag-Werte einer SIP-Nachricht und der Anzahl beobachteter Kommunikationsverbindungen
Fig. 4: Auswertung der Anzahl gleichzeitig bestehender Kommunikationsverbindungen für einen Teilnehmer Fig. 5: Tabelle mit einer Auswertung von B-terminated calls
Fig. 6: Ablaufdiagramm für die Zuordnung von Nachrichten zu Kommunikationsverbindungen und die Aktualisierung der Daten- bankeinträge
Fig. 7: Eine Auswertung der SPIT-Wahrscheinlichkeit für einen Teilnehmer
In Figur 1 ist ein Beispiel für ein Kommunikationsnetzwerk mit zwei Teilnetzwerken Nl, N2 sowie einer Beobachtungsvorrichtung Kl, vorzugsweise einem SIP-Sniffer zur Beobachtung von SIP-Nachrichten, und einer Bewertungsvorrichtung K2 dargestellt. Weiterhin zeigt Figur 1 ein Proxysystem K3. Im dar- gestellten Szenario wird der SIP-Sniffer an einer Schnittstelle zwischen den Teilnetzwerken Nl, N2 betrieben. Ein Sniffer ist eine Vorrichtung mit Mitteln zum Beobachten, das heißt insbesondere Empfangen, Aufzeichnen, Darstellen und/oder Auswerten eines Kommunikationsverkehrs in einem Kom- munikationsnetzwerk . In dem in Figur 1 dargestellten Szenario handelt es sich um einen SIP-Sniffer zur Beobachtung von SIP- basiertem Kommunikationsverkehr, insbesondere Signalisierverkehr bestehend aus SIP-Datenpaketen .
Die hier dargestellte Ausprägung der Erfindung stellt hinsichtlich des zugrunde liegenden Kommunikationsprotokolls nur eine mögliche Ausprägung dar. Neben dem hier zugrunde gelegten Session Internet Protocol, kurz SIP, sind andere Varianten denkbar wie beispielsweise H.248, H.323 oder Media Gate- way Control Protocol.
Figur 2 zeigt ein ähnliches Kommunikationsnetzwerk wie Figur 1 mit dem Unterschied, dass die Beobachtungsvorrichtung Kl an dem Proxysystem K3 betrieben wird.
Die in Figur 1 und 2 dargestellten Szenarien stellen nur zwei Ausprägungen eines Kommunikationsnetzwerkes zur Ausführung des erfindungsgemäßen Verfahrens dar. Weitere Ausprägungen sind möglich.
Das erfindungsgemäße Verfahren beobachtet den aus SIP- Datenpaketen bestehenden Signalisierverkehr beispielsweise auf einer Leitung oder an mehreren Stellen im Kommunikationsnetzwerk. Im Zuge der Verfahrens wird auf der Grundlage des beobachteten Signalisierverkehrs ein statistischer Wert hinsichtlich einer Wahrscheinlichkeit dafür ermittelt, dass es sich bei einem Teilnehmer um einen SPIT-Versender handelt. Der statistische Wert wird im Zuge einer Berechnung einer Mehrzahl von Merkmalen ermittelt. Die Beobachtung des Signalisierverkehrs lässt Rückschlüsse auf das Teilnehmerverhalten des Teilnehmers zu, wodurch der Teilnehmer beispielsweise als SPIT-verursachender Teilnehmer erkennbar ist.
In einer Ausprägung der Erfindung werden Teilnehmer- und Ver- bindungs-bezogene Daten und/oder der jeweils berechnete statistische Wert gespeichert, vorzugsweise in einer Datenbank.
Im folgenden werden die Merkmale beschrieben, die auf Basis des beobachteten Signalisierverkehrs berechnet werden. Für die beschriebene Merkmale gilt, dass ein erster Teilnehmer A eine Vielzahl von Verbindungsanfragen an eine Vielzahl weite- rer Teilnehmer sendet. Zu diesen Verbindungsanfragen gehörende sowie zu im Zuge daraufhin zustande kommender Kommunikationsverbindungen gehörende SIP-Datenpakete werden von dem SIP- Sniffer Kl beobachtet und in Hinblick auf das betreffende Merkmal ausgewertet.
Ein erstes Merkmal ist für den Fall einer im Zuge der Verbindungsanfrage des ersten Teilnehmers A signalisierten Netz- betreiber-bestätigten Identität, englisch provider asserted identity, des ersten Teilnehmers A auf der Basis eines Ver- gleichs zwischen einer im Zuge der Verbindungsanfrage signalisierten Identitätsangabe und einer in Teilnehmer- und Ver- bindungs-bezogenen Daten bezüglich des ersten Teilnehmers A gespeicherten Liste bekannter Identitätsangaben berechenbar: Wenn der erste Teilnehmer A die Verbindungsanfrage auslöst und die Bewertungsvorrichtung K2 eine Netzbetreiber- bestätigte Identität in einer zu der Verbindungsanfrage gehö- renden SIP-INVITE-Nachricht identifiziert, wird ein Datenbankeintrag in der Datenbank eingerichtet, der die Netz- betreiber-bestätigte Identität mit einer in einem From-Header der SIP-INVITE-Nachricht enthaltenen Identitätsangabe bezüglich des ersten Teilnehmers A verknüpft. Der Datenbankeintrag kann eine Liste von Identitätsangaben zu dem ersten Teilnehmer A enthalten. Wenn in einer zu einer späteren Verbindungsanfrage gehörenden SIP-INVITE-Nachricht die gleiche Netz- betreiber-bestätigte Identität identifiziert wird, wird die Liste von Identitätsangaben in dem Datenbankeintrag um even- tuelle neue Einträge aus dem From-Header der betreffenden
SIP-INVITE-Nachricht ergänzt. Im Zuge regelmäßiger Auswertungen ist die Anzahl unterschiedlicher Identitäten entsprechend den jeweiligen Angaben aus den From-Headern zu der Netz- betreiber-bestätigten Identität feststellbar. Eine geringe Anzahl von beobachteten, auf Angaben aus den From-Headern basierenden Identitäten für eine Netzbetreiber-bestätigte Identität (in der Regel genau eine) lässt auf einen normalen Teilnehmer schließen, während eine größere Anzahl von beobachteten, auf Angaben aus den From-Headern basierenden Iden- titäten für eine Netzbetreiber-bestätigte Identität (beispielsweise mehr als fünf) ein Indiz dafür sein kann, dass ein SPIT-verursachender Teilnehmer versucht, fremde Identitäten vorzuspiegeln und dadurch eine Verfolgung zu erschweren.
Ein zweites Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung von im Zuge der Verbindungsanfrage des ersten Teilnehmers A signalisierten, die I- dentitätsangabe ergänzenden Attribute hinsichtlich einer Variabilität der Attribute bezüglich einer Mehrzahl von zeit- lieh vor der Verbindungsanfrage erfolgten früheren Verbindungsanfragen berechenbar: Wenn der erste Teilnehmer A die Verbindungsanfrage auslöst, wird ein Datenbankeintrag in der Datenbank eingerichtet, der die im From-Header der zu der Verbindungsanfrage gehörenden SIP-INVITE-Nachricht enthaltene Identitätsangabe bezüglich des ersten Teilnehmers A speichert. Weiterhin wird in dem Datenbankeintrag eine Liste von an den From-Header angehängten Tag-Werten gespeichert. Im Zuge regelmäßiger Auswertungen ist die Anzahl unterschiedlicher Tag-Werte pro From-Header für ein wählbares Zeitintervall feststellbar. Da entsprechend dem Session Initiation Protocol für jede Verbindungsanfrage ein neuer Tag-Wert für den jewei- ligen From-Header verwendet werden muss, sollte die Anzahl beobachteter Tag-Werte pro From-Header für den ersten Teilnehmer A der Anzahl der beobachteten Verbindungsanfragen entsprechen. Falls die Anzahl der Tag-Werte geringer ist als die Anzahl beobachteter Verbindungsanfragen, kann dies beispiels- weise als Hinweis auf einen nicht standardkonformen Software- Client dienen. Da ein SPIT-verursachender Teilnehmer, insbesondere für den Falle eines per Internet-Wurm oder -Trojaner verteilten Software-Clients, vorzugsweise eine minimalisierte Software-Lösung implementiert, kann eine geringe Anzahl von Tag-Werten als Hinweis auf einen SPIT-Verursacher dienen.
In Figur 3 ist eine grafische Darstellung der SPIT- Wahrscheinlichkeit in Abhängigkeit von der Anzahl unterschiedlicher Tag-Werte und der Anzahl beobachteter Anrufe dargestellt. Die y-Achse gibt den statistischen Wert für die SPIT-Wahrscheinlichkeit eines Teilnehmers an, auf der x-Achse ist der Quotient aus der Anzahl unterschiedlicher Tag-Werte eines From-Headers NFT (für number of From tags) und der Anzahl von Verbindungsanfragen des betreffenden Teilnehmers NR (für number of calls) aufgetragen. Die in Figur abgebildete Kurve stellt nur eine mögliche Kurve für die SPIT- Wahrscheinlichkeit in Abhängigkeit von der Anzahl unterschiedlicher Tag-Werte und der Anzahl beobachteter Anrufe dar. Weitere Ausprägungen der Kurve sind möglich, beispiels- weise ist eine nicht-lineare oder abschnittweise lineare Kurve denkbar. Ein drittes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer im Zuge der Verbindungsanfrage des ersten Teilnehmers A signalisierten Verbindungs-Identifikationsnummer hinsichtlich einer Variabilität der Verbindungs-Identifikationsnummer bezüglich einer Mehrzahl von zeitlich vor der Verbindungsanfrage erfolgten früheren Verbindungsanfragen berechenbar: Wenn der erste Teilnehmer A die Verbindungsanfrage auslöst, wird ein Datenbankeintrag in der Datenbank eingerichtet, der die im From-Header der zu der Verbindungsanfrage gehörenden SIP-INVITE-Nachricht enthaltene Identitätsangabe bezüglich des ersten Teilnehmers A speichert. Weiterhin wird in dem Datenbankeintrag eine Liste von Verbindungs-Identifikationsnummern gespeichert. Im Zuge regelmäßiger Auswertungen ist die Anzahl unterschiedlicher Verbindungs-Identifikationsnummern für den ersten Teilnehmer A und für ein wählbares Zeitintervall feststellbar. Da entsprechend dem Session Initiation Protocol für jede Verbindungsanfrage eine neue Verbindungs-Identifikationsnummer verwendet werden muss, sollte die Anzahl beobachteter, unter- schiedlicher Verbindungs-Identifikationsnummern der Anzahl der beobachteten Verbindungsanfragen entsprechen. Falls die Anzahl der unterschiedlichen Verbindungs- Identifikationsnummern geringer ist als die Anzahl beobachteter Verbindungsanfragen, kann dies beispielsweise als Hinweis auf einen nicht standardkonformen Software-Client dienen. Da ein SPIT-verursachender Teilnehmer, insbesondere für den Falle eines per Internet-Wurm oder -Trojaner verteilten Software-Clients, vorzugsweise eine minimalisierte Software- Lösung implementiert, kann eine geringe Anzahl von unter- schiedlichen Verbindungs-Identifikationsnummern als Hinweis auf einen SPIT-Verursacher dienen.
Ein viertes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer maximalen Anzahl von gleichzeitig während eines Zeitintervalls bestehenden Kommunikationsverbindungen des ersten Teilnehmers A berechenbar: Die maximale Anzahl gleichzeitig bestehender Kommunikations- Verbindungen wird aus der Beobachtung aller dem ersten Teilnehmer A zuzuordnenden Signalisierungsnachrichten ermittelt. Figur 4 zeigt beispielhaft eine mögliche Auswertung der Anzahl gleichzeitig bestehender Kommunikationsverbindungen des ersten Teilnehmers A über die Zeit. Entscheidend für die Auswertung sind SIP-Nachrichten INVITE, BYE und CANCEL, die Beginn und Ende einer Kommunikationsverbindung kennzeichnen. Auf der y-Achse des in Figur 4 abgebildeten Diagramms ist die Anzahl gleichzeitig bestehender Kommunikationsverbindungen NC (für number of calls) aufgetragen, auf der x-Achse ist die Zeit t aufgetragen.
Ein fünftes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung von im Zuge der Verbin- dungsanfrage signalisierten Informationen bezüglich sender- seitig unterstützter Codierungsverfahren berechenbar: Im SDP- Teil einer SIP-INVITE-Nachricht wird beschrieben, welche Codierungsverfahren der Sender unterstützt. Charakteristisch für einen SPIT-verursachenden Teilnehmer, der zur Performan- ce-Steigerung des Absendersystems eine SPIT darstellende
Sprachnachricht nicht beim Absenden codiert, sondern diese in Form von vorgefertigten RTP-Pakete zur Versendung vorrätig hält, ist die Unterstützung eines einzigen Codecs, nämlich desjenigen, mit dem die vorgefertigten RTP-Pakete erzeugt wurden. In der Regel wird ein SPIT-verursachender Teilnehmer für die vorgefertigten RTP-Pakete einen niederratigen Codec einsetzen, um möglichst viele Kommunikationsverbindungen gleichzeitig aufbauen zu können. Daher können in den zu den jeweiligen Kommunikationsverbindungen gehörenden SIP- Nachrichten vorhandene Codec-Listen mit nur einer Codec- Angabe zu einem Codec, der zudem besonders niederratig ist, als Indiz für eine SPIT-Nachricht verwendet werden. Dieses Indiz muss aber mit dem üblichen Verhalten gängiger Endgeräte verglichen werden, damit nicht auch ein ein typisches nieder- ratiges Endgerät, beispielsweise ein Mobiltelefon, verwendender Teilnehmer fälschlicherweise bereits aufgrund der Codec- Liste als SPIT-verursachender Teilnehmer klassifiziert wird. Dieses fünfte Merkmal bietet den Vorteil, dass es sich auch zur Erkennung von SPIT-Nachrichten von zuvor unbekannten Teilnehmern eignet, wenn beispielsweise die Codec-Liste ein einer neuen INVITE-Nachricht eines bisher unbekannte Teilneh- mers als kennzeichnend für SPIT-verursachende Teilnehmer erkannt wird.
Ein sechstes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer Anzahl von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer A an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen berechenbar: Die Anzahl der durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer A an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen, englisch number of B-terminated calls, wird durch Beobachtung der Signalisierungsnachrichten zwischen dem ersten Teilnehmer A und mindestens einem zu der Vielzahl weiterer Teilnehmer gehörenden Teilnehmer bestimmt. Nach dem Aufbau einer Kommunikationsverbindung zwischen dem ersten Teilnehmer A und dem mindestens einen zu der Vielzahl weiterer Teilnehmer gehörenden Teilnehmer wird beobachtet, ob der erste Teilnehmer A oder der mindestens eine zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer die Kommunikationsverbindung beispielsweise durch Initiieren einer SIP-BYE- oder SIP- CANCEL-Nachricht die Kommunikationsverbindung beendet. Falls der mindestens eine zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer die Kommunikationsverbindung beendet, wird beispielsweise ein Zähler für B-terminated calls um eins erhöht. Die Auswertung der Anzahl der B-terminated calls oder alternativ des Verhältnisses zwischen der Anzahl der B- terminated calls und der Anzahl aller durch den ersten Teilnehmer A initiierten Kommunikationsverbindungen kann Hinweise ergeben, dass der erste Teilnehmer A ein SPIT-verursachender Teilnehmer sein könnte, falls beispielsweise die Anzahl der B-terminated calls sehr hoch ist im Verhältnis zu der Anzahl anderer, nicht SPIT-verursachenden Teilnehmern zugeordneter B-terminated calls.
Ein siebtes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer Anzahl von nach Ablauf eines kurzen Zeitintervalls durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer A an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen berechen- bar: Im Vergleich zu dem oben beschriebenen sechsten Merkmal wird für das siebte Merkmal das Zeitintervall zwischen Aufbau und Beenden der Kommunikationsverbindungen gemessen und der Zähler für B-terminated calls um eins erhöht, wenn dieses Zeitintervall sehr kurz ist, ein zu der Vielzahl weiterer Teilnehmer gehörender Teilnehmer also sehr schnell die betreffende Kommunikationsverbindung beendet hat, weil er beispielsweise auf Anhieb einen SPIT-Versuch erkannt hat. Abhängig beispielsweise von einem zeitlichen Schwellwert werden alle ausgehenden Kommunikationsverbindungen des ersten Teilnehmers A gezählt, deren zeitliche Dauer unterhalb des zeitlichen Schwellwerts liegt und die B-seitig beendet werden. Zu diesem Zweck wird beispielsweise zu jeder beobachteten Kommunikationsverbindung nach vollständigem Aufbau der Kommunikationsverbindung (beispielsweise nach einer erfolg- reichen SIP-INVITE-Nachricht und einer entsprechenden SIP- Nachricht „200 OK", bestätigt durch eine SIP-ACK-Nachricht) ein erster Zeitstempel erfasst. Zum Zeitpunkt der Beendigung der Kommunikationsverbindung (beispielsweise durch eine SIP- BYE-Nachricht) wird ein zweiter Zeitstempel erfasst. Für den Fall, dass die Kommunikationsverbindung B-seitig beendet wurde und die Differenz zwischen erstem Zeitstempel und zweitem Zeitstempel unterhalb des zeitlichen Schwellwertes liegt, wird der Zähler für B-terminated calls um eins erhöht.
Ein achtes Merkmal zur Ermittlung des statistisches Wertes ist durch Berechnung eines Verhältniswertes zwischen einer Gesamtdauer aller durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer A an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen und der Anzahl von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer A an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen berechenbar: Die Gesamtdauer aller von durch zu der Vielzahl weiterer Teilnehmer ge- hörende Teilnehmer beendeten Kommunikationsverbindungen DBTC (für duration of B-terminated calls) wird berechnet als Summe der Dauer der Kommunikationsverbindungen, die durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendet wurden. Zusammen mit der Anzahl der B-terminated calls NBTC lässt sich so eine mittlere Dauer B-seitig beendeter Kommunikationsverbindungen ermitteln, beispielsweise als Quotient aus der Gesamtdauer aller von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten Kommunikationsverbindungen DBTC und der Anzahl der B-terminated calls NBTC. Falls die mittlere Dauer B-seitig beendeter Kommunikationsverbindungen für den ersten Teilnehmer A deutlich geringer ist als die mittlere Dauer B-seitig beendeter Kommunikationsverbindungen aller erfassten Teilnehmer, kann dies als Hinweis dienen, dass es sich bei dem ersten Teilnehmer A um ei- nen SPIT-verursachenden Teilnehmer handelt.
In einer weiteren Ausprägung der Erfindung ist pro Kommunikationsverbindung eine obere Kappungsgrenze definierbar zur Verhinderung einer Verfälschung der mittleren Dauer B-seitig beendeter Kommunikationsverbindungen des ersten Teilnehmers A durch eine während eines überdurchschnittlich langen Zeitintervalls bestehende Kommunikationsverbindung des ersten Teilnehmers A.
Figur 5 zeigt eine Tabelle mit einer Auswertung von B- terminated calls. Im gezeigten Beispiel ist die Kappungsgren- ze auf 300 Sekunden gesetzt. In der ersten Spalte der Tabelle ist eine fortlaufende Nummer RN einer Kommunikationsverbindung angegeben. In der zweiten Spalte ist die Dauer D der je- weiligen Kommunikationsverbindung in Sekunden angegeben. In der dritten Spalte ist der die Kommunikationsverbindung beendende Teilnehmer angegeben; dies ist entweder der erste Teilnehmer A oder ein zu der Vielzahl weiterer Teilnehmer gehö- render, von dem ersten Teilnehmer A kontaktierter Teilnehmer B. Die vierte Spalte gibt den jeweiligen Wert des Zählers für B-terminated calls NBTC an. Die fünfte Spalte gibt die Gesamtdauer aller von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten Kommunikationsverbindungen DBTC in Sekunden an.
Ein neuntes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer Anzahl unterschiedlicher, von dem ersten Teilnehmer A zwecks einer Kommunikati- onsverbindung kontaktierten Vielzahl weiterer Teilnehmer berechenbar. Werden mehrere Kommunikationsverbindungen zu demselben Ziel aufgebaut, wird dieses nur einmal gezählt.
Ein zehntes Merkmal zur Ermittlung des statistisches Wertes ist auf der Basis einer Auswertung einer Anzahl von anonymen Kommunikationsverbindungen des ersten Teilnehmers A berechenbar: Die Anzahl von Kommunikationsverbindungen, bezüglich derer der erste Teilnehmer A eine Unterdrückung seiner Identität zwecks Anonymität wünscht, wird durch eine Analyse ent- sprechender Header-Felder, beispielsweise des Eintrages „pri- vacy: id", der zu den Kommunikationsverbindungen gehörenden SIP-INVITE-Nachrichten ermittelt. Vorteilhaft ist die Berechnung des zehnten Merkmals insbesondere in Hinblick auf Teilnehmer, deren Identität im Kommunikationsnetzwerk bekannt und im Zuge eines entsprechenden Eintrages in einem Header-Feld der SIP-INVITE-Nachricht als Netzwerkbetreiber-bestätigte I- dentität angegeben ist.
Figur 6 zeigt ein beispielhaftes Ablaufdiagramm für das er- findungsgemäße Verfahren in Hinblick auf eine durch den ersten Teilnehmer A initiierte Kommunikationsverbindung. Darge- stellt sind Aktionen Al bis A6 und Entscheidungen Dl bis D7, die im folgenden näher erläutert werden.
Im Zuge einer ersten Aktion Al werden identifizierende Merkmale aus zur Kommunikationsverbindung gehörenden Signalisie- rungsnachrichten, insbesondere aus einer SIP-INVITE-
Nachricht, extrahiert. Dies sind beispielsweise Angaben aus einem zu der SIP-INVITE-Nachricht gehörenden SIP-Header, insbesondere Angaben aus einem FROM-Header, Angaben aus einem TO-Header sowie mindestens ein an den FROM-Header angehängter Tag-Wert.
Im Zuge einer ersten Entscheidung Dl wird basierend auf den identifizierenden Merkmalen geprüft, ob bereits ein Datenbankeintrag zu dem ersten Teilnehmer A in der Datenbank vorhanden ist. Ist dies nicht der Fall, wird im Zuge einer zwei- ten Aktion A2 ein entsprechender Datenbankeintrag angelegt. Ist bereits ein entsprechender Datenbankeintrag vorhanden, wird im Zuge einer zweiten Entscheidung D2 geprüft, ob die Kommunikationsverbindung zwischenzeitlich beendet wurde. Ist dies der Fall, wird in einer dritten Entscheidung D3 über- prüft, ob eine SIP-Nachricht „200 OK" empfangen wurde. Ist dies nicht der Fall, wird im Zuge einer dritten Aktion A3 ein Protokollfehler erfasst.
Für den Fall, das die zweite Entscheidung D2 negativ ausgefallen ist, wird im Zuge einer vierten Entscheidung D4 der Empfang einer weiteren SIP-Nachricht, insbesondere einer SIP- INVITE-Nachricht, überprüft sowie sichergestellt, dass kein Timeout vorliegt. Fällt die vierte Entscheidung D4 negativ aus, wird entsprechend der dritten Aktion A3 ein Protokollfehler erfasst. Fällt die vierte Entscheidung D4 positiv aus, wird im Zuge einer fünften Entscheidung D5 überprüft, ob eine SIP-Nachricht „200 OK" nach Eintreffen der SIP-INVITE- Nachricht empfangen wurde. Fällt die fünfte Entscheidung D5 positiv aus, wird im Zuge einer vierten Aktion A4 ein erster Zeitstempel, markierend den Beginn der Kommunikationsverbin- düng, gesetzt. Fällt die fünfte Entscheidung D5 negativ aus, wird im Zuge einer sechsten Entscheidung D6 überprüft, ob eine SIP-BYE-Nachricht empfangen wurde. Fällt die sechste Ent- Scheidung D6 positiv aus, wird im Zuge einer fünften Aktion A5 ein zweiter Zeitstempel, markierend das Ende der Kommunikationsverbindung, gesetzt. Fällt die sechste Entscheidung D6 negativ aus, wird im Zuge einer siebten Entscheidung D7 über- prüft, ob eine SIP-CANCEL-Nachricht empfangen wurde. Fällt die siebte Entscheidung D7 positiv aus, wird im Zuge einer sechsten Aktion A6 die Kommunikationsverbindung als beendet markiert .
In einer weiteren Ausprägung der Erfindung ist eine Auswertung anonymer aus einem externen Kommunikationsnetzwerk gesendeter Kommunikationsverbindungen durchführbar. Auf diese Weise ist das externe Kommunikationsnetzwerk als Quelle von SPIT-Kommunikationsverbindungen identifizierbar, beispiels- weise basierend auf einer Statistik über alle anonymen Kommunikationsverbindungen, die aus dem externen Kommunikationsnetzwerk gesendet werden.
In einer weiteren Ausprägung der Erfindung wird das erfin- dungsgemäße Verfahren mit einem Verfahren zum Einfügen einer SPIT-Wahrscheinlichkeit in eine Signalisierungsnachricht kombiniert .
In einer weiteren Ausprägung der Erfindung ist das erfin- dungsgemäße Verfahren Bestandteil eines Systems zu einer automatischen Blockierung oder Umleitung einer von einem als SPIT-verursachenden Teilnehmer bekannten ersten Teilnehmer gesendeten Nachricht: Die nach dem erfindungsgemäßen Verfahren für den ersten Teilnehmer ermittelte Teilnehmer- spezifische SPIT-Wahrscheinlichkeit ist dabei mit einem einstellbaren Schwellwert zur Abweisung von SPIT-Nachrichten vergleichbar. Die Nachricht wird beispielsweise abgewiesen oder alternativ auf eine Voicebox umgelenkt, wenn die für den ersten Teilnehmer ermittelte Teilnehmer-spezifische SPIT- Wahrscheinlichkeit oberhalb des einstellbaren Schwellwertes zur Abweisung von SPIT-Nachrichten liegt. In einer weiteren Ausprägung der Erfindung wird der statistische Wert im Zuge einer geeigneten Kombination der berechneten Mehrzahl von Merkmalen ermittelt: Die Kombination der berechneten Mehrzahl von Merkmalen zu einer Teilnehmer- bezogenen SPIT-Wahrscheinlichkeit erfolgt vorzugsweise in
Form einer Kombination einer Anzahl der Mehrzahl von Merkmalen zu Szenarien. Für jedes Szenario werden für das jeweilige Szenario typische Merkmale durch ein UND-Verknüpfung oder im Falle von den Merkmalen zugeordneten Einzelwahrscheinlichkei- ten durch eine Minimumbildung zusammengefasst . Vor einer Ermittlung der Teilnehmer-bezogenen SPIT-Wahrscheinlichkeit ist optional überprüfbar, ob der betreffende Teilnehmer eine Mindestanzahl von Kommunikationsverbindungen initiiert hat. In einer Ausprägung der Erfindung ist die Teilnehmer-bezogene SPIT-Wahrscheinlichkeit auf Null setzbar, wenn die ermittelte Teilnehmer-bezogene SPIT-Wahrscheinlichkeit unterhalb eines definierbaren Schwellwertes liegt.
Figur 7 zeigt eine beispielhafte Auswertung der SPIT- Wahrscheinlichkeit für einen Teilnehmer: In einem ersten Schritt S71 wird im Falle einer seitens des Teilnehmers initiierten Kommunikationsverbindung geprüft, ob für diesen Teilnehmer eine Mindestanzahl von Kommunikationsverbindungen beobachtet wurden. Für den Fall, dass die Mindestanzahl von Kommunikationsverbindungen dieses Teilnehmers beobachtet wurde, werden in einem zweiten Schritt S72 verschiedene Merkmale zu Szenarien zusammengefasst und Szenarien-spezifische Wahrscheinlichkeiten durch Minimumbildung bestimmt. Eine mögliche Berechnung der Szenarien-spezifischen Wahrscheinlichkeiten für drei Szenarien A, B, C ist im fol- genden dargestellt:
P A = min (P short calls, P B terminated calls) P_B = min (P_nr_dest, P_anonym_calls) P C = min (P nr tags, P nr call IDs)
Für ein erstes Szenario A wird eine Szenarien-spezifische Wahrscheinlichkeit P A durch Minimumbildung über eine Wahr- scheinlichkeit basierend auf dem oben erwähnten siebten Merkmal (B-seitiges Beenden der Kommunikationsverbindung nach kurzem Zeitintervall, P_short_calls) sowie einer Wahrscheinlichkeit basierend auf dem oben erwähnten sechsten Merkmal (B-seitiges Beenden der Kommunikationsverbindung, P_ B_terminated_calls) berechnet.
Für ein zweites Szenario B wird eine Szenarien-spezifische Wahrscheinlichkeit P_B durch Minimumbildung über eine Wahr- scheinlichkeit basierend auf dem oben erwähnten neunten Merkmal (Anzahl unterschiedlicher Ziele, P_nr_dest) sowie einer Wahrscheinlichkeit basierend auf dem oben erwähnten zehnten Merkmal (Anzahl anonymer Kommunikationsverbindungen, P anonym calls) berechnet.
Für ein drittes Szenario C wird eine Szenarien-spezifische Wahrscheinlichkeit P_C durch Minimumbildung über eine Wahrscheinlichkeit basierend auf dem oben erwähnten zweiten Merkmal (Tag-Werte am FROM-Header, P_nr_tags) sowie einer Wahr- scheinlichkeit basierend auf dem oben erwähnten dritten Merkmal (Anzahl unterschiedlicher Verbindungs- Identifikationsnummern, P nr call IDs) berechnet.
In einem dritten Schritt S73 wird mittels Maximumbildung über den Szenarien-spezifischen Wahrscheinlichkeiten die Teilneh- mer-bezogene SPIT-Wahrscheinlichkeit SP wie folgt bestimmt:
SP = max (P_A, P_B, P_C)
In einem optionalen vierten Schritt S74 wird überprüft, ob die ermittelte Teilnehmer-bezogene SPIT-Wahrscheinlichkeit SP unterhalb eines definierbaren Schwellwertes liegt. Ist dies der Fall, wird die Teilnehmer-bezogene SPIT- Wahrscheinlichkeit SP auf Null gesetzt:
if (SP < 0.3) SP = 0 In einer weiteren Ausprägung der Erfindung ist die ermittelte Teilnehmer-bezogene SPIT-Wahrscheinlichkeit in einer nach Teilnehmer-identifizierenden Merkmalen sortierten Liste in der Datenbank speicherbar. Für den Fall einer Teilnehmerbezogenen SPIT-Wahrscheinlichkeit von Null wird kein Datenbankeintrag erzeugt. Dies hat insbesondere den Vorteil, dass die nach Teilnehmer-identifizierenden Merkmalen sortierte Liste effizient verwaltet werden kann.
In einer weiteren Ausprägung der Erfindung sind die Beobachtungsvorrichtung Kl und die Bewertungsvorrichtung K2 in Form einer Beobachtungs- und Bewertungsvorrichtung verwirklicht.
In einer weiteren Ausprägung der Erfindung stellt die Beobachtungsvorrichtung Kl einen SIP-Sniffer zur passiven Beobachtung von SIP-basiertem Kommunikationsverkehr, insbesondere Signalisierverkehr bestehend aus SIP-Datenpaketen, dar.
In einer weiteren Ausprägung der Erfindung stellt die Beobachtungsvorrichtung Kl einen SIP-Proxy zur aktiven Erfassung von SIP-basiertem Kommunikationsverkehr, insbesondere Signalisierverkehr bestehend aus SIP-Datenpaketen, dar.
In einer weiteren Ausprägung der Erfindung ist die Beobachtungsvorrichtung Kl in eine SPIT-Abwehrvorrichtung integrierbar .
In einer weiteren Ausprägung der Erfindung ist die Beobach- tungsvorrichtung Kl in einen SIP-Server oder alternativ in einen SIP-Proxy integrierbar.
In einer weiteren Ausprägung der Erfindung basiert die Anzahl unterschiedlicher, von dem ersten Teilnehmer A zwecks einer Kommunikationsverbindung kontaktierten Vielzahl weiterer
Teilnehmer auf der Beobachtung aller von dem ersten Teilnehmer A initiierten Kommunikationsverbindungen. In einer weiteren Ausprägung der Erfindung basiert die Anzahl unterschiedlicher, von dem ersten Teilnehmer A zwecks einer Kommunikationsverbindung kontaktierten Vielzahl weiterer Teilnehmer auf der Beobachtung aller von dem ersten Teilnehmer A initiierten und erfolgreich aufgebauten Kommunikationsverbindungen .
In einer weiteren Ausprägung der Erfindung werden die erfin- dungsgemäßen Merkmale zur Ermittlung des statistisches Wertes auf der Basis aller von dem ersten Teilnehmer A initiierten initiierten Kommunikationsverbindungen ermittelt. Alternativ werden die erfindungsgemäßen Merkmale zur Ermittlung des statistisches Wertes auf der Basis aller Kommunikationsverbin- düngen, in die der erste Teilnehmer A involviert ist, ermittelt.
In einer weiteren Ausprägung der Erfindung werden die erfindungsgemäßen Merkmale zur Ermittlung des statistisches Wertes im Hintergrund auf Basis des beobachteten Signalisierverkehrs ermittelt. Alternativ sind die erfindungsgemäßen Merkmale zur Ermittlung des statistisches Wertes im direkten zeitlichen Zusammenhang mit einem Verbindungsaufbauwunsch ermittelbar, um auf diese Weise beispielsweise eine besondere Behandlung für den Verbindungsaufbauwunsch vornehmen zu können. Die besondere Behandlung besteht beispielsweise in einer Abweisung des Verbindungsaufbauwunsches oder alternativ in einer Umleitung auf eine Voicebox.
In einer weiteren Ausprägung der Erfindung ist ein als SPIT- versendender Teilnehmer erkannter erster Teilnehmer A einem Netzwerkbetreiber zwecks eines Eintrags in einer Schwarzen Liste vorschlagbar.

Claims

Patentansprüche
1) Verfahren zur Erkennung von Spam over Internet Telepho- ny-Nachrichten versendenden Teilnehmern, abgekürzt SPIT- Versender, in einem IP-Kommunikationsnetzwerk mit einer Vielzahl von durch einen ersten Teilnehmer (A) an eine Vielzahl weiterer Teilnehmer gerichteten Kommunikationsverbindungen, wobei zu den Kommunikationsverbindungen gehörender Signalisierverkehr beobachtet wird, dadurch gekennzeichnet, dass auf der Grundlage des beobachteten Signalisierverkehrs ein statistischer Wert hinsichtlich einer Wahrscheinlichkeit dafür, dass es sich bei dem ersten Teilnehmer (A) um einen SPIT-Versender und bei den Kommunikations- Verbindungen um SPIT-Kommunikationsverkehr handelt, ermittelt wird.
2) Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der statistische Wert im Zuge einer Berechnung mindestens eines Merkmals ermittelt wird.
3) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass anhand des ermittelten statistischen Wertes eine Behandlung von durch den ersten Teilnehmer (A) im Zuge der Kommunikationsverbindungen versendeten Nachrichten und/oder Verbindungsanfragen vorgenommen wird.
4) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass eine Speicherung Teilnehmer- und Verbindungs-bezogener Daten und/oder des statistischen Wertes erfolgt.
5) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass die Speicherung der Teilnehmer- und Verbindungs- bezogenen Daten und/oder des statistischen Wertes in einer Datenbank erfolgt.
6) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass
Teilnehmer- und Verbindungs-bezogene Daten bezüglich einer Kommunikationsverbindung mit in der Datenbank gespeicherten Teilnehmer- und Verbindungs-bezogenen Daten bezüglich des ersten Teilnehmers (A) verglichen und/oder die in der Datenbank gespeicherten Teilnehmer- und Verbindungs-bezogenen Daten bezüglich des ersten Teilnehmers (A) modifiziert werden.
7) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass
Teilnehmer-bezogene Daten bezüglich des ersten Teilnehmers (A) nach Maßgabe eines auf den ermittelten statistischen Wert bezogenen Schwellwertes in einer schwarzen Liste nicht vertrauenswürdiger Teilnehmer gespeichert werden.
8) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein erstes Merkmal zur Ermittlung des statistisches Wer- tes für den Fall einer im Zuge einer Verbindungsanfrage des ersten Teilnehmers (A) signalisierten Netzbetreiber- bestätigten Identität, englisch provider asserted iden- tity, des ersten Teilnehmers (A) auf der Basis eines Vergleichs zwischen einer im Zuge der Verbindungsanfrage signalisierten Identitätsangabe und einer in den Teilnehmer- und Verbindungs-bezogenen Daten bezüglich des ersten Teilnehmers (A) gespeicherten Liste bekannter I- dentitätsangaben berechnet wird.
9) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein zweites Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung von im Zuge der Verbindungsanfrage des ersten Teilnehmers (A) signalisierten, die Identitätsangabe ergänzenden Attribute hinsichtlich einer Variabilität der Attribute bezüglich ei- ner Mehrzahl von zeitlich vor der Verbindungsanfrage erfolgten früheren Verbindungsanfragen berechnet wird.
10) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein drittes Merkmal zur Ermittlung des statistisches
Wertes auf der Basis einer Auswertung einer im Zuge der Verbindungsanfrage des ersten Teilnehmers (A) signalisierten Verbindungs-Identifikationsnummer hinsichtlich einer Variabilität der Verbindungs-Identifikationsnummer bezüglich einer Mehrzahl von zeitlich vor der Verbindungsanfrage erfolgten früheren Verbindungsanfragen berechnet wird.
11) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein viertes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung der Anzahl von gleichzeitig während eines Zeitintervalls bestehenden Kommunikationsverbindungen des ersten Teilnehmers (A) berechnet wird.
12) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein fünftes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung von im Zuge der Verbindungsanfrage signalisierten Informationen bezüglich senderseitig unterstützter Codierungsverfahren berechnet wird.
13) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein sechstes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung einer Anzahl von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer (A) an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen berechnet wird.
14) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein siebtes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung einer Anzahl von nach Ablauf eines kurzen Zeitintervalls durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer (A) an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsverbindungen berechnet wird.
15) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein achtes Merkmal zur Ermittlung des statistisches Wer- tes durch Berechnung eines Verhältniswertes zwischen einer Gesamtdauer aller durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer (A) an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommuni- kationsverbindungen und der Anzahl von durch zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer beendeten, von dem ersten Teilnehmer (A) an zu der Vielzahl weiterer Teilnehmer gehörende Teilnehmer gerichteten Kommunikationsver- bindungen berechnet wird.
16) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass bezüglich des Verhältniswertes eine obere Kappungsgrenze verwendet wird zwecks Verhinderung einer Verfälschung des Verhältniswertes durch eine während eines überdurch- schnittlich langen Zeitintervalls bestehende Kommunikationsverbindung des ersten Teilnehmers (A) .
17) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein neuntes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung einer Anzahl unterschiedlicher, von dem ersten Teilnehmer (A) zwecks einer Kommunikationsverbindung kontaktierten Vielzahl weiterer Teilnehmer berechnet wird.
18) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass ein zehntes Merkmal zur Ermittlung des statistisches Wertes auf der Basis einer Auswertung einer Anzahl von anonymen Kommunikationsverbindungen des ersten Teilnehmers (A) berechnet wird.
19) Verfahren nach einem der vorherigen Ansprüche, dadurch gekennzeichnet, dass der statistische Wert im Zuge einer Kombination einer Mehrzahl berechneter Merkmale ermittelt wird.
20) Vorrichtung zur Erkennung von Spam over Internet Te- lephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT-Versender, in einem IP-Kommunikationsnetzwerk mit einer Vielzahl von durch einen ersten Teilnehmer (A) an eine Vielzahl weiterer Teilnehmer gerichteten KommunikationsVerbindungen, - mit Mitteln zur Beobachtung von zu den Kommunikationsverbindungen gehörendem Signalisierverkehr, und mit Mitteln zur Ermittlung eines statistischen Wertes auf der Grundlage des beobachteten Signalisierverkehrs hinsichtlich einer Wahrscheinlichkeit dafür, dass es sich bei dem ersten Teilnehmer (A) um einen
SPIT-Versender und bei den Kommunikationsverbindungen um SPIT-Kommunikationsverkehr handelt.
21) Vorrichtung nach Anspruch 20 mit Mitteln zur Abweisung und/oder Umleitung einer durch einen als Spam over Internet Telephony-Nachrichten, abgekürzt SPIT, versendenden Teilnehmer erkannten ersten Teilnehmer (A) gesendeten SPIT-Nachricht .
PCT/EP2007/052310 2006-03-20 2007-03-12 Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk WO2007107473A1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102006012658.0 2006-03-20
DE200610012658 DE102006012658A1 (de) 2006-03-20 2006-03-20 Verfahren und Vorrichtung zur Erkennung von Spam over Internet Telephony-Nachrichten versendenden Teilnehmern, abgekürzt SPIT-Versender, in einem IP-Kommunikationsnetzwerk

Publications (1)

Publication Number Publication Date
WO2007107473A1 true WO2007107473A1 (de) 2007-09-27

Family

ID=38006857

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2007/052310 WO2007107473A1 (de) 2006-03-20 2007-03-12 Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk

Country Status (2)

Country Link
DE (1) DE102006012658A1 (de)
WO (1) WO2007107473A1 (de)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5477379B2 (ja) 2009-04-30 2014-04-23 日本電気株式会社 不正呼検出装置、不正呼検出方法、及び不正呼検出用プログラム
US20100278325A1 (en) * 2009-05-04 2010-11-04 Avaya Inc. Annoying Telephone-Call Prediction and Prevention

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006000466A1 (en) * 2004-05-21 2006-01-05 Alcatel Detection and mitigation of unwanted bulk calls (spam) in voip networks

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10326092B3 (de) * 2003-06-10 2005-02-17 Web.De Ag Verfahren zum Kategorisieren von Nachrichten und Vorrichtungen zur Durchführung desselben

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2006000466A1 (en) * 2004-05-21 2006-01-05 Alcatel Detection and mitigation of unwanted bulk calls (spam) in voip networks

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
MACINTOSH R ET AL: "Detection and mitigation of spam in IP telephony networks using signaling protocol analysis", ADVANCES IN WIRED AND WIRELESS COMMUNICATION, 2005 IEEE/SARNOFF SYMPOSIUM ON PRINCETON, NEW JERSEY, USA APRIL 18-19, 2005, PISCATAWAY, NJ, USA,IEEE, 18 April 2005 (2005-04-18), pages 49 - 52, XP010793744, ISBN: 0-7803-8854-2 *

Also Published As

Publication number Publication date
DE102006012658A1 (de) 2007-09-27

Similar Documents

Publication Publication Date Title
DE602005001605T2 (de) Speichern von schwarze Listen Anti-Spams
DE602005002340T2 (de) Entdeckung von unerwünschten elektronischen Nachrichten (Spam)
DE102005029287B4 (de) Verfahren zum Unterbinden einer Vermittlung von unerwünschten Telefonanrufen
DE102005046965B3 (de) Verfahren und Anordnung zur Verifikation einer im Zuge einer Verbindungsanfrage zum Zweck des Aufbaus einer Sprach-Kommunikationsverbindung übermittelten Absenderadresse in einem IP-Kommunikationsnetzwerk
DE102006023924A1 (de) Verfahren zur Identifizierung von unerwünschten Telefonanrufen
WO2007057267A1 (de) Verfahren, detektionseinrichtung und servereinrichtung zur auswertung einer eingehenden kommunikation an einer kommunikationseinrichtung
DE102005046375B3 (de) Verfahren und Vorrichtungen zur Vermeidung des Empfangs unerwünschter Nachrichten in einem IP-Kommunikationsnetzwerk
DE102006012439B4 (de) Verfahren und Vorrichtungen zur Vermeidung einer fehlerhaften Klassifizierung von erwünschten Nachrichten als Spam over Internet Telephony-Nachrichten, abgekürzt SPIT-Nachrichten, in einem Kommunikationsnetzwerk
WO2007107473A1 (de) Verfahren und vorrichtung zur erkennung von spam over internet telephony-nachrichten versendenden teilnehmern, abgekürzt spit-versender, in einem ip-kommunikationsnetzwerk
EP3629567A1 (de) Verfahren zur automatisierten unterdrückung von spam-telefonanrufen
WO2007017408A1 (de) Verfahren und anordnung zur automatischen aktualisierung einer weissen liste
DE102005046376B4 (de) Verfahren und Vorrichtung zur Vermeidung des Empfangs unerwünschter Nachrichten in einem IP-Kommunikationsnetzwerk
DE102006026924B4 (de) Verfahren und Vorrichtung zur Abwehr von störenden Telefonanrufen
DE102006010538A1 (de) Verfahren und Vorrichtungen zu einer selektiven Behandlung unerwünschter Nachrichten, insbesondere sogenannter Spam over Internet Telephony-Nachrichten, abgekürzt SPIT-Nachrichten, in einem Kommunikationsnetzwerk
DE102006027386A1 (de) Verfahren und Vorrichtung zur Abwehr von ungewünschten Telefonanrufen
DE102005046377B3 (de) Verfahren und Vorrichtung zur Vermeidung des Empfangs unerwünschter Nachrichten in einem IP-Kommunikationsnetzwerk
EP3226527B1 (de) Telefonie-kommunikationssystem zur missbrauchserkennung in einem öffentlichen telefonnetz
WO2007039350A1 (de) Verfahren und vorrichtungen zur vermeidung des empfangs unerwünschter nachrichten in einem ip-kommunikationsnetzwerk
DE102021112319A1 (de) Techniken zum Feststellen von unerwünschten ausgehenden Anrufen
DE102006017477A1 (de) Verfahren zum Ermitteln von unerwünschten Anrufen
DE102006047275A1 (de) Verfahren zum Aufbau einer verbindungsorientierten Kommunikation
EP2198580B1 (de) Verfahren und anordnung zum bereitstellen von voip-kommunikation
DE102006022368A1 (de) Verfahren und Vorrichtung zum Aufbauen einer Tabelle mit Kommunikationsteilnehmern, Verfahren und Vorrichtung zum Ermitteln mindestens eines Kommunikationsteilnehmers, Verfahren zum Signalisieren, dass eine Kommunikationsverbindung für einen Angerufener-Kommunikationsteilnehmer unerwünscht war, Kommunikationseinrichtung und Computerprogrammelemente
WO2007113106A1 (de) Verfahren und vorrichtungen zur reduzierung des empfangs unerwünschter nachrichten, insbesondere sogenannter spam over internet telephony-nachrichten, abgekürzt spit-nachrichten, in einem kommunikationsnetzwerk
DE102006016295A1 (de) Verfahren und Vorrichtung zur Erkennung unerwünschter Nachrichten, insbesondere sogenannter Spam over Internet Telephony-Nachrichten, abgekürzt SPIT-Nachrichten, in einem Kommunikationsnetzwerk

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07726816

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 07726816

Country of ref document: EP

Kind code of ref document: A1