WO2012000433A1 - 一种检测伪造gtp数据的方法和信令监测系统 - Google Patents
一种检测伪造gtp数据的方法和信令监测系统 Download PDFInfo
- Publication number
- WO2012000433A1 WO2012000433A1 PCT/CN2011/076542 CN2011076542W WO2012000433A1 WO 2012000433 A1 WO2012000433 A1 WO 2012000433A1 CN 2011076542 W CN2011076542 W CN 2011076542W WO 2012000433 A1 WO2012000433 A1 WO 2012000433A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- protocol
- message data
- data
- signaling message
- layer
- Prior art date
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/12—Detection or prevention of fraud
- H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
- H04W12/122—Counter-measures against attacks; Protection against rogue devices
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W24/00—Supervisory, monitoring or testing arrangements
- H04W24/08—Testing, supervising or monitoring using real traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W92/00—Interfaces specially adapted for wireless communication networks
- H04W92/04—Interfaces between hierarchically different network devices
- H04W92/14—Interfaces between hierarchically different network devices between access point controllers and backbone network device
Definitions
- the present invention relates to the field of mobile communications, and in particular, to a method and a signaling monitoring system for detecting forged GTP (GPRS Tunelling Protocol) data.
- GTP GPRS Tunelling Protocol
- the GPRS (General Packet Radio Service) network is based on the existing GSM (Global System for Mobile Communications) network. Two types of nodes need to be added: SGSN (Serving GPRS Support Node, GPRS Month) The QoS support node) and the GGSN (Gateway GPRS Support Node).
- the SGSN records the current location information of the mobile station and completes the transmission and reception of the mobile packet data between the mobile station and the GGSN.
- the SGSN is connected to an HLR (Home Location Register), an RNC (Radio Network Controller), a BSC (Base Station Controller), and a GGSN.
- HLR Home Location Register
- RNC Radio Network Controller
- BSC Base Station Controller
- the interface between the SGSN and the BSC is the Gb interface
- the interface between the SGSN and the RNC is the IuPs interface
- the interface between the SGSN and the HLR is the Gr interface
- the interface between the SGSN and the GGSN is the Gn interface
- the interface between the GGSN is Gp interface.
- the Gp interfaces of the operators of the provinces are all configured as Internet IP.
- the present invention provides a method for detecting forged general packet radio service tunnel protocol data, including:
- the signaling monitoring system collects signaling message data of the IuPs, Gb, Gr, Gn, and Gp interfaces, analyzes the collected signaling message data, and determines the signaling message data of the collection according to the analysis result. Whether to forge General Packet Radio Service Tunneling Protocol (GTP) data.
- GTP General Packet Radio Service Tunneling Protocol
- the step of analyzing the collected signaling message data includes:
- the step of analyzing the collected signaling message data includes:
- the step of analyzing the collected signaling message data includes:
- Determining a layer 2 protocol of the signaling message data of the Gn and the Gp interface and a port number corresponding to the layer 2 protocol if the layer 2 protocol is not a user datagram protocol or a port number corresponding to the layer 2 protocol a preset port number, and the collected signaling message data is data for creating a PDP context process, and the process of creating a PDP context is initiated by an SGSN that is not in the operating area to which the signaling monitoring system belongs, then:
- the mobile station international ISDN number of the user terminal that creates the PDP context procedure is not the number of the operation area to which the signaling monitoring system belongs, it is determined that the collected signaling message data is forged GTP data;
- the step of analyzing the collected signaling message data includes:
- Determining a layer 2 protocol of the signaling message data of the Gn and the Gp interface and a port number corresponding to the layer 2 protocol if the layer 2 protocol is not a user datagram protocol or a port number corresponding to the layer 2 protocol a preset port number, and the collected signaling message data is data for deleting a PDP context process, then:
- the process of deleting the PDP context is initiated by the SGSN in the operating area to which the signaling monitoring system belongs, it is searched whether there is a deactivation PDP context process of the Gb or IuPs interface, and if not, the signal of the collection is determined. Let the message data be fake GTP data.
- the method further includes:
- the signaling monitoring system determines that the collected signaling message data is forged GTP data, it sends the forged GTP behavior information to the GGSN.
- the invention also provides a signaling monitoring system
- the signaling monitoring system is configured to: collect signaling message data of the IuPs, Gb, Gr, Gn, and Gp interfaces, analyze the collected signaling message data, and determine the signaling of the collection according to the analysis result. Whether the message data is forged General Packet Radio Service Tunneling Protocol (GTP) data.
- GTP General Packet Radio Service Tunneling Protocol
- the signaling monitoring system is configured to analyze the collected signaling message data by:
- the signaling monitoring system is configured to analyze the collected signaling message data by:
- the signaling monitoring system is configured to analyze the collected signaling message data by:
- Determining a second layer protocol of the signaling message data of the Gn and the Gp interface and a port number corresponding to the second layer protocol if the layer 2 protocol is not a user datagram protocol or a port number corresponding to the layer 2 protocol a preset port number, and the collected signaling message data is data for creating a PDP context process, and the process of creating a PDP context is initiated by an SGSN that is not in the operating area to which the signaling monitoring system belongs, then:
- the mobile station international ISDN number of the user terminal that creates the PDP context procedure is not the number of the operation area to which the signaling monitoring system belongs, it is determined that the collected signaling message data is forged GTP data;
- the mobile station international ISDN number of the user terminal that creates the PDP context process is the number of the operation area to which the signaling monitoring system belongs, and the corresponding location update process does not exist in the Gr interface, or the Gr interface has a corresponding If the SGSN of the location update process is inconsistent with the SGSN of the PDP context process, it is determined that the signaling message data of the set is forged GTP data.
- the signaling monitoring system is configured to analyze the collected signaling message data by:
- the process of deleting the PDP context is initiated by the SGSN in the operating area to which the signaling monitoring system belongs, it is searched whether there is a deactivation PDP context process of the Gb or IuPs interface, and if not, the signal of the collection is determined. Let the message data be fake GTP data.
- the signaling monitoring system is further configured to send the forged GTP behavior information to the GGSN when determining that the collected signaling message data is forged GTP data.
- the invention monitors through IuPs, Gb, Gr, Gn and Gp interfaces to identify forgery in the network of the operating area
- the GTP data the behavior of malicious attacks, provides a reliable means for the detection of the GRPS security domain, filling the gap in the field.
- Figure 1 is a GPRS network framework diagram
- FIG. 2 is a schematic diagram of detecting forged GTP data according to the present invention.
- Figure 3 is a schematic diagram of signaling message data.
- the present invention uses signaling aggregation methods from
- the signaling message data is collected on the signaling links of the IuPs, Gb, Gr, Gn, and Gp interfaces, and the signaling message data is collated, analyzed, and counted, and the forged GTP data can be identified through the analysis result, thereby discovering that there is malicious Attack behavior and provide a basis for blocking these behaviors.
- the signaling monitoring system collects signaling message data of the IuPs, Gb, Gr, Gn, and Gp interfaces; 2. analyzes the signaling message data;
- GTP General Packet Radio Service Tunneling Protocol
- the protocols involved in the present invention include: RANAP (Radio Access Network Application Part), NS OVER IP (NS OVER IP, network service over IP), GTP (GPRS Tunneling Protocol, GPRS Tunneling Protocol), and GPRS MAP (GPRS Mobile Application Part, GPRS mobile application part).
- RANAP Radio Access Network Application Part
- NS OVER IP NS OVER IP, network service over IP
- GTP GPRS Tunneling Protocol, GPRS Tunneling Protocol
- GPRS MAP GPRS Mobile Application Part, GPRS mobile application part
- Step 201 Monitor links of IuPs, Gb, Gr, Gn, and Gp interfaces, and collect signaling message data.
- Interface types are El, GE and FE.
- Step 202 Analyze signaling message data collected on the Gn and Gp interfaces.
- the GTP signaling message data includes two layers of IP addresses and ports.
- the first layer is the address and port number of the SGSN and the GGSN
- the second layer is The address and port of the user and the visiting website.
- the second layer protocol and the corresponding port number in the signaling message data are analyzed as preset port numbers.
- the preset port number refers to 3386 or 2152. If the preset port number is changed, the present invention can still be applied:
- the second layer protocol and the port number of the signaling message data of the Gn and the Gp interface are determined. If the second layer protocol is a user datagram protocol and the corresponding port number is a preset port number, the signaling is performed. The message data is forged GTP data.
- the Layer 2 protocol is not a user datagram protocol or a corresponding port number that is not a preset port number, and the corresponding processes are analyzed accordingly:
- the process of creating a PDP context is initiated by the SGSN in the operating area to which the signaling monitoring system belongs, and the operating area is divided by province, the process of creating a PDP context is initiated by the SGSN of the province to find out whether there is Gb or The Activate PDP context procedure of the IuPs interface, if there is no such process, then it is determined that the process of creating a PDP context is a fake Create PDP Context procedure, and the signaling message data is forged GTP data.
- the mobile station International ISDN (Integrated Services Digital Network) number of the user terminal that created the PDP context procedure is not the number of the operating area to which the signaling monitoring system belongs (the operating area is divided by province, The number of the PDP context is determined to be a false Create PDP context procedure, and the signaling message data is forged GTP data. Because users in other provinces cannot directly access the province's GGSN.
- International ISDN Integrated Services Digital Network
- the mobile station international ISDN number of the user terminal that creates the PDP context procedure is the number of the operation area to which the signaling monitoring system belongs (the operating area is divided by province, which refers to the province's number), then it is found whether the Gr interface has a corresponding
- the location update process if any, also determines whether the SGSN of the location update process is consistent with the SGSN in the Create PDP context process, if there is no corresponding location update process, or the SGSN of the location update process and the Create PDP context process If the SGSN is inconsistent, it is determined that the process of creating a PDP context is a fake Create PDP context process, and the signaling message data is forged GTP data.
- the process of deleting the PDP context is initiated by the SGSN in the operating area to which the signaling monitoring system belongs (the operating area is divided by the province, which is initiated by the SGSN of the province), then it is found whether there is a Deactivate PDP context of the Gb or IuPs interface ( The process of deactivating the PDP context, if not, then determining that the process of creating a PDP context is a false Delete PDP context procedure, the signaling message data being forged GTP data.
- Step 203 Send a record of the suspected forged GTP behavior to the GGSN, and the GGSN determines whether to block. If the GGSN believes that the blocking is required, then the Delete PDP context operation may be directly sent to the forged GTP process.
- the operating area may also be divided according to other requirements as needed, without affecting the implementation of the present invention.
- the invention monitors the forged GTP data in the province network through the IuPs, Gb, Gr, Gn and Gp interfaces, and finds the behavior of malicious attacks, which provides a reliable means for detecting the GRPS security field and fills the gap in the field.
- the present invention also provides a signaling monitoring system, the signaling monitoring system is configured to: collect signaling message data of IuPs, Gb, Gr, Gn, and Gp interfaces, analyze the signaling message data, and analyze the result according to the analysis Determining whether the signaling message data is falsified General Packet Radio Service Tunneling Protocol (GTP) data.
- GTP General Packet Radio Service Tunneling Protocol
- the signaling monitoring system is configured to determine, by means of the following manner, a second layer protocol and a port number of the signaling message data of the Gn and Gp interfaces, if the second layer protocol is user data. If the protocol number and the corresponding port number are preset port numbers, the signaling message data is forged GTP data.
- the signaling monitoring system is configured to determine, by means of the following manner, the second layer protocol and port number of the signaling message data of the Gn and Gp interfaces, if the second layer protocol is not user data.
- the reporting protocol or the corresponding port number is not a preset port number, and the signaling message data is data for creating a packet data protocol (PDP) context procedure, then:
- the SGSN initiates a lookup to see if there is an active PDP context procedure for the Gb or IuPs interface, and if not, the signaling message data is forged GTP data.
- the signaling monitoring system is configured to determine, by means of the following manner, the second layer protocol and port number of the signaling message data of the Gn and Gp interfaces, if the second layer protocol is not user data.
- the report protocol or the corresponding port number is not a preset port number, and the signaling message data is data for creating a PDP context process, and the process of creating a PDP context is not by the SGSN in the operating area to which the signaling monitoring system belongs. Initiating, then:
- the signaling message data is forged GTP data; if the mobile station international ISDN number of the user terminal that creates the PDP context procedure is not the number of the operation area to which the signaling monitoring system belongs, the signaling message data is forged GTP data; if the user terminal of the PDP context process is created The mobile station international ISDN number is the number of the operation area to which the signaling monitoring system belongs, and the corresponding location update process does not exist in the Gr interface, or the corresponding location update process exists in the Gr interface but the location update process SGSN Inconsistent with the SGSN that creates the PDP context procedure, the signaling message data is forged GTP data.
- the signaling monitoring system is configured to determine, by means of the following manner, the second layer protocol and port number of the signaling message data of the Gn and Gp interfaces, if the second layer protocol is not user data.
- the reporting protocol or the corresponding port number is not a preset port number, and the signaling message data is data for deleting the PDP context process, then:
- the process of deleting the PDP context is initiated by the SGSN in the operating area to which the signaling monitoring system belongs, it is searched whether there is a deactivation PDP context procedure of the Gb or IuPs interface, and if not, the signaling message data is determined. It is forging GTP data.
- the signaling monitoring system is further configured to send the forged GTP behavior information to the GGSN when determining that the signaling message data is forged GTP data.
- the present invention can detect the forged GTP data in the network of the operating area by monitoring the IuPs, Gb, Gr, Gn and Gp interfaces, and discover the behavior of the malicious attack, which provides the detection of the GRPS security field. Reliable means to fill the gap in the field.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Mobile Radio Communication Systems (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本发明提供了一种检测伪造通用分组无线业务隧道协议数据的方法，包括：信令监测系统采集IuPs、Gb、Gr、Gn和Gp接口的信令消息数据，对所述信令消息数据进行分析，根据分析结果判断所述信令消息数据是否为伪造通用分组无线业务隧道协议（GTP）数据。本发明还提供一种信令监测系统。本发明通过对IuPs,Gb,Gr,Gn和Gp接口的监测，能够识别本运营区域网络里伪造的GTP数据，发现恶意攻击的行为，为GRPS安全领域的检测提供了可靠的手段，填补了该领域的空白。
Description
一种检测伪造 GTP数据的方法和信令监测系统
技术领域
本发明涉及移动通信领域，尤其涉及一种检测伪造 GTP ( GPRS Tunelling Protocol, 通用分组无线业务隧道协议）数据的方法和信令监测系统。
背景技术
GPRS(General Packet Radio Service, 通用分组无线业务)网络是基于现有 的 GSM ( Global System for Mobile Communications, 全球移动通信系统） 网 络实现的， 需增加两类节点： SGSN ( Serving GPRS Support Node, GPRS月良 务支持节点）和 GGSN( Gateway GPRS Support Node, GPRS 网关支持节点）。 SGSN记录移动台的当前位置信息， 并在移动台和 GGSN之间完成移动分组 数据的发送和接收。 SGSN连接着 HLR(Home Location Register, 归属位置寄 存器）， RNC ( Radio Network Controller, 无线网络控制器）， BSC(Base Station Controller,基站控制器)和 GGSN。 SGSN与 BSC之间的接口为 Gb接口， SGSN 与 RNC之间的接口为 IuPs接口， SGSN与 HLR之间的接口为 Gr接口， SGSN 与 GGSN之间的接口为 Gn接口， GGSN之间的接口为 Gp接口。 为了提供 GPRS漫游业务， 营运商各省公司的 Gp接口均配置为互联网 IP。 虽然有防火 墙的保护， 但无法防护基于业务层面的黑客攻击， 例如针对 GGSN的恶意创 建用户连接攻击和步进式踢用户下线攻击， 现网还不具备此防御功能。
发明内容
本发明的目的是提供一种检测伪造 GTP数据的方法和信令监测系统，识 别恶意攻击， 增加网络防御功能。
为了解决上述问题， 本发明提供了一种检测伪造通用分组无线业务隧道 协议数据的方法， 包括：
信令监测系统釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消息数据， 对所 釆集的信令消息数据进行分析， 根据分析结果判断所述釆集的信令消息数据
是否为伪造通用分组无线业务隧道协议（GTP )数据。
其中， 对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议是用户数据报协议且对应的端口号为预设的 端口号， 则判断所述釆集的信令消息数据为伪造 GTP数据。
其中， 对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建分组数据协议 ( PDP )上下文过程的数据， 则：
如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内的通 用分组无线业务服务支持节点（ SGSN )发起， 查找是否有所述 Gb或 IuPs接 口的激活 PDP上下文过程，如果没有， 则判断所述釆集的信令消息数据是伪 造 GTP数据。
其中， 对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或该第二层协议对应的 端口号非预设的端口号， 且所述釆集的信令消息数据是创建 PDP上下文过程 的数据， 且所述创建 PDP上下文过程由非所述信令监测系统所属运营区域内 的 SGSN发起， 则：
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码非所述 信令监测系统所属运营区域的号码， 则判断所述釆集的信令消息数据是伪造 GTP数据；
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为所述 信令监测系统所属运营区域的号码， 且， 所述 Gr接口不存在对应的位置更新 过程， 或者所述 Gr接口存在对应的位置更新过程但该位置更新过程的 SGSN 与该创建 PDP上下文过程的 SGSN不一致，则判断所述釆集的信令消息数据 是伪造 GTP数据。
其中， 对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或该第二层协议对应的 端口号非预设的端口号， 且所述釆集的信令消息数据是删除 PDP上下文过程 的数据， 则：
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起， 则查找是否有所述 Gb或 IuPs接口的去激活 PDP上下文过程， 如果没有， 则判断所述釆集的信令消息数据是伪造 GTP数据。
其中， 所述方法还包括：
所述信令监测系统判断所述釆集的信令消息数据为伪造 GTP数据时，发 送伪造 GTP行为信息给 GGSN。
本发明还提供一种信令监测系统，
所述信令监测系统设置成： 釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消 息数据， 对所釆集的信令消息数据进行分析， 根据分析结果判断所述釆集的 信令消息数据是否为伪造通用分组无线业务隧道协议（ GTP )数据。
其中， 所述信令监测系统是设置成通过如下方式对所釆集的信令消息数 据进行分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议是用户数据报协议且对应的端口号为预设的 端口号， 则判断所述釆集的信令消息数据为伪造 GTP数据。
其中， 所述信令监测系统是设置成通过如下方式对所釆集的信令消息数 据进行分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建分组数据协议 ( PDP )上下文过程的数据， 则：
如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起， 查找是否有所述 Gb或 IuPs接口的激活 PDP上下文过程， 如果
没有， 则判断所述釆集的信令消息数据是伪造 GTP数据。
其中， 所述信令监测系统是设置成通过如下方式对所釆集的信令消息数 据进行分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建 PDP上下文过 程的数据， 且所述创建 PDP上下文过程由非所述信令监测系统所属运营区域 内的 SGSN发起， 则：
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码非所述 信令监测系统所属运营区域的号码， 则判断所述釆集的信令消息数据是伪造 GTP数据；
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为所述 信令监测系统所属运营区域的号码， 且， 所述 Gr接口不存在对应的位置更新 过程 ,或者 ,所述 Gr接口存在对应的位置更新过程但该位置更新过程的 SGSN 与该创建 PDP上下文过程的 SGSN不一致，则判断所述釆集的信令消息数据 是伪造 GTP数据。
其中， 所述信令监测系统是设置成通过如下方式对所釆集的信令消息数 据进行分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是删除 PDP上下文过 程的数据， 则：
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起， 则查找是否有所述 Gb或 IuPs接口的去激活 PDP上下文过程， 如果没有， 则判断所述釆集的信令消息数据是伪造 GTP数据。
其中， 所述信令监测系统还设置成在判断所述釆集的信令消息数据为伪 造 GTP数据时， 发送伪造 GTP行为信息给 GGSN。
本发明通过 IuPs,Gb,Gr,Gn和 Gp接口监测， 识别本运营区域网络里伪造
的 GTP数据， 发现恶意攻击的行为， 为 GRPS安全领域的检测提供了可靠的 手段， 填补了该领域的空白。 附图概述
图 1是 GPRS网络框架图；
图 2是本发明检测伪造 GTP数据示意图；
图 3是信令消息数据示意图。
本发明的较佳实施方式
以下结合附图， 对本发明的具体实施进行较为详细的说明。
为了检测出基于业务层面的恶意攻击， 本发明釆用信令釆集的方式从
IuPs,Gb,Gr,Gn和 Gp接口的信令链路上釆集信令消息数据， 并对信令消息数 据进行整理、 分析和统计， 通过分析结果可以识别伪造的 GTP数据， 从而发 现存在恶意的攻击行为， 并为阻断这些行为提供依据。
本发明具体步骤如下：
一. 信令监测系统釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消息数据； 二. 对所述信令消息数据进行分析；
三. 根据分析结果判断所述信令消息数据是否为伪造通用分组无线业务 隧道协议（GTP )数据， 判断所述信令消息数据为伪造 GTP数据时， 发送伪 造 GTP行为信息给 GGSN, 由 GGSN来决定是否阻断。
本发明所涉及的协议包括： RANAP ( Radio Access Network Application Part,无线接入网应用部分）， NS OVER IP ( NS OVER IP, IP上的网络业务）， GTP ( GPRS Tunneling Protocol, GPRS隧道协议）和 GPRS MAP(GPRS Mobile Application Part , GPRS移动应用部分)。 本发明设计的方法的应用环境如图 1 所示， 总体流程如图 2所示， 流程的实施步骤包括：
步骤 201 , 监测 IuPs,Gb,Gr,Gn和 Gp接口的链路， 釆集信令消息数据。
接口类型有 El , GE和 FE等。
步骤 202, 分析在 Gn和 Gp接口釆集的信令消息数据， GTP的信令消息 数据里会包含两层 IP地址和端口，第一层是 SGSN与 GGSN的地址和端口号， 第二层是用户和访问网站的地址和端口。 分析信令消息数据里第二层协议和 并且对应的端口号是不是为预设的端口号， 此处预设端口号指 3386或 2152, 如果预设端口号变更， 仍可应用本发明：
A、 判断所述 Gn和 Gp接口的信令消息数据的第二层协议和端口号， 如 果第二层协议是用户数据报协议且对应的端口号为预设的端口号， 则所述信 令消息数据为伪造 GTP数据。
该情况是 GTP in GTP的情况， 如图 3所示。 该情况下， 是由于黑客通过 某个 APN (接入点名称）上网后， 把伪装报文封装到第二层数据里， 那么这 个数据从无线网到核心网， 再从 Gn接口到了 GGSN以后， GGSN把第二层 IP地址和端口解析出来后是要从 Gi接口转发出去的。但是发现第二层是 GTP 的数据， 结果又转到其他的 GGSN去， 这样黑客伪造报文就成功了。
B. 如果不是， 即第二层协议不是用户数据报协议或对应的端口号非预设 的端口号， 对不同过程进行相应的分析：
B 1. Create PDP Context (创建分组数据协议上下文） 的过程， 即所述信 令消息数据是创建 PDP上下文过程的数据时：
a) 如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内 的 SGSN发起， 运营区域以省划分时， 指所述创建 PDP上下文过程由本省的 SGSN的发起，查找是否有 Gb或 IuPs接口的 Activate PDP context (激活 PDP 上下文）过程， 如果没有这个过程， 那么就判断该创建 PDP上下文过程是虚 假的 Create PDP Context过程， 所述信令消息数据是伪造 GTP数据。
b) 如果所述创建 PDP上下文过程由非所述信令监测系统所属运营区域 内的 SGSN发起， 运营区域以省划分时， 指所述创建 PDP上下文过程由外省 的 SGSN的发起，那么判断该 Create PDP Context过程里用户终端的 MSISDN ( Mobile Subscriber International ISDN/PSTN number, 移动台国际 ISDN号
码）
bl) 如果该创建 PDP 上下文过程的用户终端的移动台国际 ISDN ( Integrated Services Digital Network, 综合业务数字网）号码非所述信令监测 系统所属运营区域的号码（运营区域以省划分时， 指外省的号码） ， 那么就 判断该创建 PDP上下文过程是虚假的 Create PDP context过程，该信令消息数 据为伪造 GTP数据。 因为外省的用户不可能直接访问本省的 GGSN。
b2)如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为 所述信令监测系统所属运营区域的号码（运营区域以省划分时， 指本省的号 码）， 则查找 Gr接口是否有对应的位置更新过程， 如果有， 还要判断该位置 更新过程的 SGSN与 Create PDP context过程里 SGSN是否一致，如果不存在 对应的位置更新过程，或者位置更新过程的 SGSN与该 Create PDP context过 程里的 SGSN不一致， 则判断该创建 PDP上下文过程是虚假的 Create PDP context过程， 该信令消息数据为伪造 GTP数据。
Β2. Delete PDP context (删除 PDP上下文）过程
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起（运营区域以省划分时， 指由本省的 SGSN发起） ， 则查找是否 有 Gb或 IuPs接口的 Deactivate PDP context (去激活 PDP上下文）过程， 如 果没有，那么就判断该创建 PDP上下文过程是虚假的 Delete PDP context过程， 该信令消息数据为伪造 GTP数据。
步骤 203 , 发送疑似伪造 GTP行为的记录给 GGSN, 由 GGSN决定是否 阻断，如果 GGSN认为需要阻断， 那么就可以直接对这个伪造的 GTP过程发 起 Delete PDP context的操作。
上述实施例中， 运营区域也可以根据需要按其他方式划分， 不影响本发 明的实施。
本发明通过 IuPs,Gb,Gr,Gn和 Gp接口监测， 识别本省网络里伪造的 GTP 数据， 发现恶意攻击的行为， 为 GRPS安全领域的检测提供了可靠的手段， 填补了该领域的空白。
本发明还提供一种信令监测系统， 该信令监测系统设置成： 釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消息数据， 对所述信令消息数据进行分析， 根 据分析结果判断所述信令消息数据是否为伪造通用分组无线业务隧道协议 ( GTP )数据。
其中， 所述信令监测系统是设置成通过如下方式对信令消息数据进行分 判断所述 Gn和 Gp接口的信令消息数据的第二层协议和端口号，如果第 二层协议是用户数据报协议且对应的端口号为预设的端口号， 则所述信令消 息数据为伪造 GTP数据。
其中， 所述信令监测系统是设置成通过如下方式对信令消息数据进行分 判断所述 Gn和 Gp接口的信令消息数据的第二层协议和端口号，如果第 二层协议不是用户数据报协议或对应的端口号非预设的端口号， 且所述信令 消息数据是创建分组数据协议（PDP )上下文过程的数据， 则：
如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内的
SGSN发起， 查找是否有所述 Gb或 IuPs接口的激活 PDP上下文过程， 如果 没有， 则所述信令消息数据是伪造 GTP数据。
其中， 所述信令监测系统是设置成通过如下方式对信令消息数据进行分 判断所述 Gn和 Gp接口的信令消息数据的第二层协议和端口号，如果第 二层协议不是用户数据报协议或对应的端口号非预设的端口号， 且所述信令 消息数据是创建 PDP上下文过程的数据，且所述创建 PDP上下文过程由非所 述信令监测系统所属运营区域内的 SGSN发起， 则：
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码非所述 信令监测系统所属运营区域的号码， 则所述信令消息数据是伪造 GTP数据； 如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为所述 信令监测系统所属运营区域的号码， 且， 所述 Gr接口不存在对应的位置更新 过程，或者，所述 Gr接口存在对应的位置更新过程但该位置更新过程的 SGSN
与该创建 PDP上下文过程的 SGSN不一致，则所述信令消息数据是伪造 GTP 数据。
其中， 所述信令监测系统是设置成通过如下方式对信令消息数据进行分 判断所述 Gn和 Gp接口的信令消息数据的第二层协议和端口号，如果第 二层协议不是用户数据报协议或对应的端口号非预设的端口号， 且所述信令 消息数据是删除 PDP上下文过程的数据， 则：
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起， 则查找是否有所述 Gb或 IuPs接口的去激活 PDP上下文过程， 如果没有， 则判断所述信令消息数据是伪造 GTP数据。
其中， 所述信令监测系统还设置成在判断所述信令消息数据为伪造 GTP 数据时， 发送伪造 GTP行为信息给 GGSN。
应当理解的是， 尽管上面结合附图对本发明实施方法进行了详细描述， 但是本方法并不局限于上述的具体实施方式， 也不局限于 IuPs,Gb,Gr,Gn和 Gp接口的业务种类，上述的具体实施方式仅仅是示意性的，而不是限制性的， 本领域的技术人员在本发明方法的启示下， 在不脱离本发明方法宗旨和权利 要求所保护的范围情况下， 还可以作出很多变形， 这些变形均应属于本发明 方法的专利保护范围之内。
工业实用性
与现有技术相比， 本发明通过对 IuPs,Gb,Gr,Gn和 Gp接口的监测， 能够 识别本运营区域网络里伪造的 GTP数据， 发现恶意攻击的行为， 为 GRPS安 全领域的检测提供了可靠的手段， 填补了该领域的空白。
Claims
1、 一种检测伪造通用分组无线业务隧道协议数据的方法， 包括： 信令监测系统釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消息数据， 对所 釆集的信令消息数据进行分析， 根据分析结果判断所述釆集的信令消息数据 是否为伪造通用分组无线业务隧道协议（ GTP )数据。
2、 如权利要求 1所述的方法， 其中， 对所釆集的信令消息数据进行分析 的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议是用户数据报协议且对应的端口号为预设的 端口号， 则判断所述釆集的信令消息数据为伪造 GTP数据。
3、 如权利要求 1所述的方法， 其中，
对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建分组数据协议 ( PDP )上下文过程的数据， 则：
如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内的通 用分组无线业务服务支持节点（ SGSN )发起， 查找是否有所述 Gb或 IuPs接 口的激活 PDP上下文过程，如果没有， 则判断所述釆集的信令消息数据是伪 造 GTP数据。
4、 如权利要求 1所述的方法， 其中，
对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或该第二层协议对应的 端口号非预设的端口号， 且所述釆集的信令消息数据是创建 PDP上下文过程 的数据， 且所述创建 PDP上下文过程由非所述信令监测系统所属运营区域内 的 SGSN发起， 则： 如果该创建 PDP上下文过程的用户终端的移动台国际综合业务数字网 ( ISDN )号码非所述信令监测系统所属运营区域的号码， 则判断所述釆集的 信令消息数据是伪造 GTP数据；
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为所述 信令监测系统所属运营区域的号码， 且， 所述 Gr接口不存在对应的位置更新 过程 ,或者 ,所述 Gr接口存在对应的位置更新过程但该位置更新过程的 SGSN 与所述创建 PDP上下文过程的 SGSN不一致，则判断所述釆集的信令消息数 据是伪造 GTP数据。
5、 如权利要求 1所述的方法， 其中，
对所釆集的信令消息数据进行分析的步骤包括：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或该第二层协议对应的 端口号非预设的端口号， 且所述釆集的信令消息数据是删除 PDP上下文过程 的数据， 则：
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的
SGSN发起， 则查找是否有所述 Gb或 IuPs接口的去激活 PDP上下文过程， 如果没有， 则判断所述釆集的信令消息数据是伪造 GTP数据。
6、 如权利要求 1至 5任一所述的方法， 还包括：
所述信令监测系统判断所述釆集的信令消息数据为伪造 GTP数据时，发 送伪造 GTP行为信息给通用分组无线业务网关支持节点 （GGSN ) 。
7、 一种信令监测系统，
所述信令监测系统设置成： 釆集 IuPs、 Gb、 Gr、 Gn和 Gp接口的信令消 息数据， 对所釆集的信令消息数据进行分析， 根据分析结果判断所述釆集的 信令消息数据是否为伪造通用分组无线业务隧道协议（GTP )数据。
8、 如权利要求 7所述的系统， 其中， 所述信令监测系统是设置成通过如 下方式对所釆集的信令消息数据进行分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议是用户数据报协议且对应的端口号为预设的 端口号， 则判断所述釆集的信令消息数据为伪造 GTP数据。
9、 如权利要求 7所述的系统， 其中，
所述信令监测系统是设置成通过如下方式对所釆集的信令消息数据进行 分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建分组数据协议 ( PDP )上下文过程的数据， 则：
如果所述创建 PDP上下文过程由所述信令监测系统所属运营区域内的通 用分组无线业务服务支持节点（ SGSN )发起， 查找是否有所述 Gb或 IuPs接 口的激活 PDP上下文过程，如果没有， 则判断所述釆集的信令消息数据是伪 造 GTP数据。
10、 如权利要求 7所述的系统， 其中，
所述信令监测系统是设置成通过如下方式对所釆集的信令消息数据进行 分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是创建 PDP上下文过 程的数据， 且所述创建 PDP上下文过程由非所述信令监测系统所属运营区域 内的 SGSN发起， 则：
如果该创建 PDP上下文过程的用户终端的移动台国际综合业务数字网 ( ISDN )号码非所述信令监测系统所属运营区域的号码， 则判断所述釆集的 信令消息数据是伪造 GTP数据；
如果该创建 PDP上下文过程的用户终端的移动台国际 ISDN号码为所述 信令监测系统所属运营区域的号码， 且， 所述 Gr接口不存在对应的位置更新 过程 ,或者 ,所述 Gr接口存在对应的位置更新过程但该位置更新过程的 SGSN 与该创建 PDP上下文过程的 SGSN不一致，则判断所述釆集的信令消息数据 是伪造 GTP数据。
11、 如权利要求 7所述的系统， 其中，
所述信令监测系统是设置成通过如下方式对所釆集的信令消息数据进行 分析：
判断所述 Gn和 Gp接口的信令消息数据的第二层协议和该第二层协议对 应的端口号， 如果该第二层协议不是用户数据报协议或者该第二层协议对应 的端口号非预设的端口号， 且所述釆集的信令消息数据是删除 PDP上下文过 程的数据， 则：
如果所述删除 PDP上下文过程由所述信令监测系统所属运营区域内的 SGSN发起， 则查找是否有所述 Gb或 IuPs接口的去激活 PDP上下文过程， 如果没有， 则判断所述釆集的信令消息数据是伪造 GTP数据。
12、如权利要求 7至 11任一所述的系统， 所述信令监测系统还设置成在 判断所述釆集的信令消息数据为伪造 GTP数据时， 发送伪造 GTP行为信息 给通用分组无线业务网关支持节点 （GGSN ) 。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201010222768.5A CN101888635B (zh) | 2010-06-30 | 2010-06-30 | 一种检测伪造gtp数据的方法和信令监测系统 |
| CN201010222768.5 | 2010-06-30 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2012000433A1 true WO2012000433A1 (zh) | 2012-01-05 |
Family
ID=43074305
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2011/076542 WO2012000433A1 (zh) | 2010-06-30 | 2011-06-29 | 一种检测伪造gtp数据的方法和信令监测系统 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN101888635B (zh) |
| WO (1) | WO2012000433A1 (zh) |
Families Citing this family (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101888635B (zh) * | 2010-06-30 | 2015-08-12 | 中兴通讯股份有限公司 | 一种检测伪造gtp数据的方法和信令监测系统 |
| CN102638442B (zh) * | 2011-02-15 | 2015-04-29 | 西门子公司 | 检测gtp攻击的系统和方法 |
| CN103716804B (zh) * | 2012-09-28 | 2017-02-15 | 北京亿赞普网络技术有限公司 | 无线数据通信网的用户网络行为分析方法、装置及系统 |
| CN103118146B (zh) * | 2013-01-21 | 2016-01-20 | 北京拓明科技有限公司 | 基于信令的不同用户在hlr签约相同ip地址的识别方法 |
| CN105391602B (zh) * | 2015-12-15 | 2019-02-26 | 北京奇虎科技有限公司 | 一种数据采集测试方法和装置 |
| CN108307385B (zh) | 2016-08-31 | 2021-06-29 | 华为技术有限公司 | 一种防止信令攻击方法及装置 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20030081607A1 (en) * | 2001-10-30 | 2003-05-01 | Alan Kavanagh | General packet radio service tunneling protocol (GTP) packet filter |
| US20090088147A1 (en) * | 2007-09-28 | 2009-04-02 | Lucent Technologies Inc. | Method and system for correlating IP layer traffic and wirless layer elements in a UMTS/GSM network |
| CN101626551A (zh) * | 2009-06-26 | 2010-01-13 | 武汉虹旭信息技术有限责任公司 | 一种基于移动互联网的广告业务推送系统和方法 |
| CN101674200A (zh) * | 2009-10-19 | 2010-03-17 | 中兴通讯股份有限公司 | 一种sgsn拓扑图的生成方法和装置 |
| CN101888635A (zh) * | 2010-06-30 | 2010-11-17 | 中兴通讯股份有限公司 | 一种检测伪造gtp数据的方法和信令监测系统 |
-
2010
- 2010-06-30 CN CN201010222768.5A patent/CN101888635B/zh not_active Expired - Fee Related
-
2011
- 2011-06-29 WO PCT/CN2011/076542 patent/WO2012000433A1/zh active Application Filing
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20030081607A1 (en) * | 2001-10-30 | 2003-05-01 | Alan Kavanagh | General packet radio service tunneling protocol (GTP) packet filter |
| US20090088147A1 (en) * | 2007-09-28 | 2009-04-02 | Lucent Technologies Inc. | Method and system for correlating IP layer traffic and wirless layer elements in a UMTS/GSM network |
| CN101626551A (zh) * | 2009-06-26 | 2010-01-13 | 武汉虹旭信息技术有限责任公司 | 一种基于移动互联网的广告业务推送系统和方法 |
| CN101674200A (zh) * | 2009-10-19 | 2010-03-17 | 中兴通讯股份有限公司 | 一种sgsn拓扑图的生成方法和装置 |
| CN101888635A (zh) * | 2010-06-30 | 2010-11-17 | 中兴通讯股份有限公司 | 一种检测伪造gtp数据的方法和信令监测系统 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101888635A (zh) | 2010-11-17 |
| CN101888635B (zh) | 2015-08-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP5265685B2 (ja) | Ｕｍｔｓ／ｇｓｍネットワークにおいてｉｐレイヤトラフィックと無線レイヤ要素を相関付けるための方法及びシステム | |
| EP3219078B1 (en) | Automated measurment and analyis of end-to-end performance of volte service | |
| US10873594B2 (en) | Test system and method for identifying security vulnerabilities of a device under test | |
| JP4966432B2 (ja) | 非３ｇｐｐアクセスネットワーク経由のアクセス | |
| KR100800370B1 (ko) | 어택 서명 생성 방법, 서명 생성 애플리케이션 적용 방법, 컴퓨터 판독 가능 기록 매체 및 어택 서명 생성 장치 | |
| WO2012000433A1 (zh) | 一种检测伪造gtp数据的方法和信令监测系统 | |
| JP4542830B2 (ja) | モバイルデータ通信のサービス使用状況レコードを生成する装置および方法 | |
| WO2016201990A1 (zh) | 防止无线网络中直径信令攻击的方法、装置和系统 | |
| EP3404949B1 (en) | Detection of persistency of a network node | |
| JP2003228552A (ja) | 不正侵入検出を提供するモバイル通信ネットワークのためのモバイル機器 | |
| US20170201533A1 (en) | Mobile aware intrusion detection system | |
| US20130227687A1 (en) | Mobile terminal to detect network attack and method thereof | |
| KR20150080588A (ko) | 모바일 네트워크 환경에서 네트워크 정보를 가입자 정보와 상관시키는 시스템 및 방법 | |
| CN111800412A (zh) | 高级可持续威胁溯源方法、系统、计算机设备及存储介质 | |
| WO2012040608A2 (en) | Destination learning and mobility detection in transit network device in lte & umts radio access networks | |
| CN107888605A (zh) | 一种物联网云平台流量安全分析方法和系统 | |
| WO2007028225A1 (en) | Method for the interception of gtp-c messages | |
| CN102404741B (zh) | 移动终端上网异常检测方法和装置 | |
| US20040252692A1 (en) | Method and apparatus for controlling packet transmission and generating packet billing data on wired and wireless network | |
| US20140109223A1 (en) | Providing a real-time anomalous event detection and notification service in a wireless network | |
| JP2006304303A (ja) | 無線ネットワークにおける安全な隔離と回復 | |
| CN107426132B (zh) | 网络攻击的检测方法和装置 | |
| CN102638442B (zh) | 检测gtp攻击的系统和方法 | |
| KR101469285B1 (ko) | 정책기반 라우팅을 이용한 선택적인 인터넷 트래픽 분석 시스템 및 그 방법 | |
| WO2012100494A1 (zh) | 一种提高邻居发现监听安全性的方法及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 11800178 Country of ref document: EP Kind code of ref document: A1 |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| 122 | Ep: pct application non-entry in european phase |
Ref document number: 11800178 Country of ref document: EP Kind code of ref document: A1 |