[发明专利]基于SIP协议的通信网攻击的检测方法及系统

说明书

技术领域

本发明涉及通信安全领域，特别涉及一种基于SIP协议的通信网攻击的检测方法及系统。

背景技术

现有网络的SIP防火墙通常内置在会话边界控制器(SBC)里，叠加在IP网络边缘，它融合了会话消息和媒体控制功能，是一个SIP消息背对背用户代理的角色，能起到NAT功能、网络拓扑隐藏等功能，实现信令和媒体流的转发。现有网络的SIP防火墙攻击检测的手段通常还是和传统互联网的防火墙类似，没有针对SIP呼叫的特点在业务层进行有效的检测和防护。

发明内容

本发明的目的在于提供一种基于SIP协议的通信网攻击的检测方法及系统，能够在不改造现有信令和网络设备的情况下，对流经网络的SIP信令和媒体流进行分析检测以判断是否为攻击报文，并采取相应的防护措施，以保护核心网的安全。

为解决上述问题，本发明提供一种基于SIP协议的通信网攻击的检测方法，包括：

将用户的主叫号码与所述用户的IP地址进行绑定；

当发生SIP呼叫时，从控制面链路层的SIP报文中获取SIP信令，从SIP信令中解析出主叫号码和IP地址并判断两者是否为所述绑定的关系，

若是，则控制面链路层的IP报文为非法数据，拦截该主叫号码的SIP呼叫的后续IP报文；

若否，则判断SIP信令的呼叫时隙是否大于预设的呼叫频次，若大于预设的呼叫频次，则通过INVITE消息进行SIP信令的呼叫时隙的控制；若小于或等于预设的呼叫频次，则不进行控制。

进一步的，在上述方法中，通过INVITE消息进行SIP信令的呼叫时隙的控制或不进行控制的步骤之后还包括：

在用户面链路层的SIP报文中获取TCP或UDP的端口号，判断所述TCP或UDP的端口号与所述SIP信令中含有的媒体流端口号是否一致，

若一致，则用户面链路层的IP报文中含有的是合法的媒体流，再检测所述媒体流流量是否大于一预设的用户面的流量阈值，若大于，则对所述媒体流进行流控处理，若小于或等于，不作流控处理；若不一致，则用户面链路层的IP报文为非法数据，将所述媒体流进行截断处理。

进一步的，在上述方法中，所述用户面的流量阈值为50pps。

进一步的，在上述方法中，拦截该主叫号码的SIP呼叫的后续IP报文的步骤包括：

从所述SIP信令中解析出被叫号码；

将所述主叫号码或被叫号码修改为预设号码后，再转发所述后续IP报文。

进一步的，在上述方法中，拦截该主叫号码的SIP呼叫的后续IP报文的步骤包括：

将SIP信令中的Via、Route、Record-Route或Contact头域变为其它预设头域后，再转发所述后续IP报文。

根据本发明的另一面，提供一种基于SIP协议的通信网攻击的检测系统，包括：

绑定模块，用于将用户的主叫号码与所述用户的IP地址进行绑定；

第一判断模块，用于当发生SIP呼叫时，从控制面链路层的SIP报文中获取SIP信令，从SIP信令中解析出主叫号码和IP地址并判断两者是否为所述绑定的关系，若是，则启动拦截模块，若否，则启动第二判断模块；

拦截模块，用于确定控制面链路层的IP报文为非法数据，拦截该主叫号码的SIP呼叫的后续IP报文；

第二判断模块，用于判断SIP信令的呼叫时隙是否大于预设的呼叫频次，若大于预设的呼叫频次，则通过INVITE消息进行SIP信令的呼叫时隙的控制；若小于或等于预设的呼叫频次，则不进行控制。

进一步的，在上述系统中，还包括第三判断模块，用于在用户面链路层的SIP报文中获取TCP或UDP的端口号，判断所述TCP或UDP的端口号与所述SIP信令中含有的媒体流端口号是否一致，若一致，则用户面链路层的IP报文中含有的是合法的媒体流，再检测所述媒体流流量是否大于一预设的用户面的流量阈值，若大于，则对所述媒体流进行流控处理，若小于或等于，则不作流控处理；若不一致，则用户面链路层的IP报文为非法数据，将所述媒体流进行截断处理。

进一步的，在上述系统中，所述用户面的流量阈值为50pps。

进一步的，在上述系统中，所述拦截模块用于从所述SIP信令中解析出被叫号码，并将所述主叫号码或被叫号码修改为预设号码后，再转发所述后续IP报文。

进一步的，在上述系统中，所述拦截模块用于将SIP信令中的Via、Route、Record-Route或Contact头域变为其它预设头域后，再转发所述后续IP报文。