[发明专利]一种检测伪造GTP数据的方法和信令监测系统

说明书

技术领域

本发明涉及移动通信领域，尤其涉及一种检测伪造GTP(GPRS Tunellingprotocol，通用分组无线业务隧道协议)数据的方法和信令监测系统。

背景技术

GPRS(General Packet Radio Service，通用分组无线业务)网络是基于现有的GSM(Global System for Mobile Communications，全球移动通信系统)网络实现的，需增加两类节点：SGSN(Serving GPRS Support Node，GPRS服务支持节点)和GGSN(Gateway GPRS Support Node，GPRS网关支持节点)。SGSN记录移动台的当前位置信息，并在移动台和GGSN之间完成移动分组数据的发送和接收。SGSN连接着HLR(Home Location Register，归属位置寄存器)，RNC(Radio Network Controller，无线网络控制器)，BSC(Base StationController，基站控制器)和GGSN。SGSN与BSC之间的接口为Gb接口，SGSN与RNC之间的接口为IuPs接口，SGSN与HLR之间的接口为Gr接口，SGSN与GGSN之间的接口为Gn接口，GGSN之间的接口为Gp接口。为了提供GPRS漫游业务，营运商各省公司的Gp接口均配置为互联网IP。虽然有防火墙的保护，但无法防护基于业务层面的黑客攻击，例如针对GGSN的恶意创建用户连接攻击和步进式踢用户下线攻击，现网还不具备此防御功能。

发明内容

本发明的要解决的技术问题提供一种检测伪造GTP数据的方法和信令监测系统，识别恶意攻击，增加网络防御功能。

为了解决上述问题，本发明提供了一种检测伪造通用分组无线业务隧道协议数据的方法，包括：

信令监测系统采集IuPs、Gb、Gr、Gn和Gp接口的信令消息数据，对所述信令消息数据进行分析，根据分析结果判断所述信令消息数据是否为伪造通用分组无线业务隧道协议(GTP)数据。

其中，对所述信令消息数据进行分析包括：

判断所述Gn和Gp接口的信令消息数据的第二层协议和端口号，如果第二层协议是用户数据报协议且对应的端口号为预设的端口号，则所述信令消息数据为伪造GTP数据。

其中，对所述信令消息数据进行分析包括：

判断所述Gn和Gp接口的信令消息数据的第二层协议和端口号，如果第二层协议不是用户数据报协议或对应的端口号非预设的端口号，且所述信令消息数据是创建分组数据协议(PDP)上下文过程的数据时，则：

如果所述创建PDP上下文过程由所述信令监测系统所属运营区域内的通用分组无线业务服务支持节点(SGSN)发起，查找是否有所述Gb或IuPs接口的激活PDP上下文过程，如果没有，则所述信令消息数据是伪造GTP数据。

其中，对所述信令消息数据进行分析包括：

判断所述Gn和Gp接口的信令消息数据的第二层协议和端口号，如果第二层协议不是用户数据报协议或对应的端口号非预设的端口号，且所述信令消息数据是创建PDP上下文过程的数据时，且所述创建PDP上下文过程由非所述信令监测系统所属运营区域内的SGSN发起，则：

如果该创建PDP上下文过程的用户终端的移动台国际ISDN号码非所述信令监测系统所属运营区域的号码，则所述信令消息数据是伪造GTP数据；

如果该创建PDP上下文过程的用户终端的移动台国际ISDN号码为所述信令监测系统所属运营区域的号码，且，所述Gr接口不存在对应的位置更新过程，和/或，该位置更新过程的SGSN与该创建PDP上下文过程的SGSN不一致，则所述信令消息数据是伪造GTP数据。

其中，对所述信令消息数据进行分析包括：

判断所述Gn和Gp接口的信令消息数据的第二层协议和端口号，如果第二层协议不是用户数据报协议或对应的端口号非预设的端口号，且所述信令消息数据是删除PDP上下文过程的数据，则：

如果所述删除PDP上下文过程由所述信令监测系统所属运营区域内的SGSN发起，则查找是否有所述Gb或IuPs接口的去激活PDP上下文过程，如果没有，则判断所述信令消息数据是伪造GTP数据。

其中，所述方法还包括：

所述信令监测系统判断所述信令消息数据为伪造GTP数据时，发送伪造GTP行为信息给GGSN。

本发明还提供一种信令监测系统，包括：