[发明专利]阻止计费攻击的方法和系统

说明书

技术领域

本发明涉及通信技术领域，特别是涉及阻止计费攻击的方法和系统。

背景技术

GPRS(General Packet Radio Service，通用无线分组业务)被用来在传统的移动网络GSM(Global System for Mobile communication，全球移动通信系统)中传输分组数据，为此在原GSM网络基础上增加了一系列功能实体，主要包括PCU(Packet Control Unit，分组控制单元)、GSN(GPRS Supporting Node，GPRS支持节点)、CG(Charging Gateway，计费网关)等网元，并对GSM网络的网络实体进行升级以支持分组业务。GSN包括SGSN(Service GPRSSupport Node，服务GPRS支持节点)和GGSN(Gateway GPRS Support Node，关口GPRS支持节点)。3G标准中的GPRS网络的PCU集成在接入网侧。

MS(Mobile Station，移动终端)是分组业务的使用者，使用GPRS网络提供的服务访问PDN(Public Data Network，共用数据网)主机，PDN主机提供各种分组数据服务。在MS和PDN主机之间，GPRS核心网使用GTP(General Packet Radio Service Tunnelling Protocol，通用无线分组服务隧道协议)协议传输数据，GGSN通过Gi接口实现GPRS网和PDN的互联，具体地Gi接口位于GGSN与PDN之间。

在上述过程中，从PDN主机角度的来看，MS作为IP网络的成员，必须有一个IP地址，PDN主机才可以给MS发送数据。MS的IP的分配可以有两种方式：静态分配和动态分配。静态分配是指运营商为每个GPRS签约MS都预分配一个IP地址，由于签约MS的数量可能巨大，实际运营中可行性较小。因此，运营商通常都使用动态分配的方式。动态分配是指在GTP隧道建立过程中，由GGSN侧负责分配IP地址。当GGSN收到SGSN为MS发送的“创建PDP上下文请求”GTP消息时，自身或使用或其他服务器等方式分配一个IP地址，在“创建PDP上下文响应”GTP消息中发送给SGSN和MS。

虽然动态分配IP带来为运营商带来方便，然而动态分配IP也意味着，同一个IP地址可能被先后多个MS使用，当一个MS访问大量PDN网络资源后立刻退出，此IP立刻又被分配给另外一个MS时，前一个MS访问的分组数据在GGSN处就会按照IP地址，将需要返回前一个MS的分组数据转发给后一个MS。但是GPRS网络却不知道第一个MS已经下线，所以GPRS网络此时仍然为前一个MS计费。这样，MS就会被为并未请求的数据付费。攻击者可利用此协议机制漏洞进行攻击，即计费溢出攻击。

一种攻击方式是，攻击者可能伪装成正常的MS用户使用GPRS服务，访问PDN上的一台服务器，并从服务器获得攻击者MS的动态IP地址。然后攻击者MS去激活，但服务器获得IP地址的方式不中断。当此IP被新MS用户获得后，攻击者立刻探知后就发送数据给新MS用户，新数据在GGSN处被转发给新MS用户并计费，这样新MS用户就会为并未请求的数据付费，即发生计费溢出攻击。

除了上述从PDN侧主动发起的攻击外，攻击者还可以从MS侧发起攻击。当一个攻击MS访问大量数据后立刻去激活，则他使用的IP立刻又被分配给另外一个MS时，攻击MS访问的分组数据在GGSN处就会被转发给后一个MS，GPRS网络为后一个MS计费。这样，后一个MS就会为并未请求的数据付费。

现有技术的一种解决方式是：为了阻止攻击流量到达GGSN，在Gi接口放置防火墙，使用包过滤技术阻止攻击者从PDN网络访问MS。由于防火墙是基于会话转发数据，除非MS首先发起对PDN主机的会话，在防火墙上才会记录MS的会话请求信息，否则PDN主机发送给MS的数据流会在防火墙处因查不到MS的会话记录而被阻止，从而阻止了计费溢出。

发明人在实现本发明的过程中，发现现有技术中至少存在如下问题：攻击者可使用一个正常的MS设备，经过精心设计后，在防火墙上先建立会话并去激活，并不断从PDN主机发送流量到防火墙使得防火墙的MS会话记录一直保持激活状态，一旦攻击者MS使用的IP被新用户使用，则防火墙基于此会话而转发数据到新用户，新用户就将为转发的数据计费，攻击即可得逞。类似的，从MS侧发起的计费溢出攻击也可以采用上述方式进行，防火墙也无法阻止，因此现有技术不能解决计费溢出攻击问题。

发明内容