[发明专利]基于SIP协议的通信网攻击的检测方法及系统

权利要求书

1.一种基于SIP协议的通信网攻击的检测方法，其特征在于，包括：

将用户的主叫号码与所述用户的IP地址进行绑定；

当发生SIP呼叫时，从控制面链路层的SIP报文中获取SIP信令，从SIP信令中解析出主叫号码和IP地址并判断两者是否为所述绑定的关系，

若是，则控制面链路层的IP报文为非法数据，拦截该主叫号码的SIP呼叫的后续IP报文；

若否，则判断SIP信令的呼叫时隙是否大于预设的呼叫频次，若大于预设的呼叫频次，则通过INVITE消息进行SIP信令的呼叫时隙的控制；若小于或等于预设的呼叫频次，则不进行控制。

2.如权利要求1所述的基于SIP协议的通信网攻击的检测方法，其特征在于，通过INVITE消息进行SIP信令的呼叫时隙的控制或不进行控制的步骤之后还包括：

在用户面链路层的SIP报文中获取TCP或UDP的端口号，判断所述TCP或UDP的端口号与所述SIP信令中含有的媒体流端口号是否一致，

若一致，则用户面链路层的IP报文中含有的是合法的媒体流，再检测所述媒体流流量是否大于一预设的用户面的流量阈值，若大于，则对所述媒体流进行流控处理，若小于或等于，不作流控处理；若不一致，则用户面链路层的IP报文为非法数据，将所述媒体流进行截断处理。

3.如权利要求1所述的基于SIP协议的通信网攻击的检测方法，其特征在于，拦截该主叫号码的SIP呼叫的后续IP报文的步骤包括：

从所述SIP信令中解析出被叫号码；

将所述主叫号码或被叫号码修改为预设号码后，再转发所述后续IP报文。

4.如权利要求1所述的基于SIP协议的通信网攻击的检测方法，其特征在于，拦截该主叫号码的SIP呼叫的后续IP报文的步骤包括：

将SIP信令中的Via、Route、Record-Route或Contact头域变为其它预设头域后，再转发所述后续IP报文。

5.一种基于SIP协议的通信网攻击的检测系统，其特征在于，包括：

绑定模块，用于将用户的主叫号码与所述用户的IP地址进行绑定；

第一判断模块，用于当发生SIP呼叫时，从控制面链路层的SIP报文中获取SIP信令，从SIP信令中解析出主叫号码和IP地址并判断两者是否为所述绑定的关系，若是，则启动拦截模块，若否，则启动第二判断模块；

拦截模块，用于确定控制面链路层的IP报文为非法数据，拦截该主叫号码的SIP呼叫的后续IP报文；

第二判断模块，用于判断SIP信令的呼叫时隙是否大于预设的呼叫频次，若小于预设的呼叫频次，则通过INVITE消息进行SIP信令的呼叫时隙的控制；若大于或等于预设的呼叫频次，则不进行控制。

6.如权利要求6所述的基于SIP协议的通信网攻击的检测方法，其特征在于，还包括第三判断模块，用于在用户面链路层的SIP报文中获取TCP或UDP的端口号，判断所述TCP或UDP的端口号与所述SIP信令中含有的媒体流端口号是否一致，若一致，则用户面链路层的IP报文中含有的是合法的媒体流，再检测所述媒体流流量是否大于一预设的用户面的流量阈值，若大于，则对所述媒体流进行流控处理，若小于或等于，则不作流控处理；若不一致，则用户面链路层的IP报文为非法数据，将所述媒体流进行截断处理。

7.如权利要求1所述的基于SIP协议的通信网攻击的检测方法，其特征在于，所述拦截模块用于从所述SIP信令中解析出被叫号码，并将所述主叫号码或被叫号码修改为预设号码后，再转发所述后续IP报文。

8.如权利要求1所述的基于SIP协议的通信网攻击的检测方法，其特征在于，所述拦截模块用于将SIP信令中的Via、Route、Record-Route或Contact头域变为其它预设头域后，再转发所述后续IP报文。