[发明专利]Diameter洪泛攻击的检测装置及方法

权利要求书

1.一种Diameter洪泛攻击的检测装置，其特征在于，该检测装置部署于网络架构网元实体前，用于实时检测信令流中的洪泛攻击并进行预警；该检测装置包含：参数提取模块、信令流分析模块和检测告警模块，其中，

参数提取模块，用于提取流经信令中的信令消息参数，并根据参数进行状态机匹配，信令消息参数包含会话标识参数、源主机参数和用户名参数，设置每个信令消息参数计数器并初始化；

信令流分析模块，用于依据状态机匹配情况并利用计数器计数数值对信令中信令消息参数进行预警分析；

检测告警模块，用于依据信令消息参数预警分析结果进行洪泛攻击告警；

所述的信令流分析模块包含会话标识分析子模块、源主机分析子模块和用户名分析子模块，其中，

会话标识分析子模块，用于对流经信令的会话标识参数与状态机中存储的该参数数据进行匹配，匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设会话标识洪泛阈值进行比对，根据比对情况获取预警分析结果；

源主机分析子模块，用于对流经信令的源主机参数与状态机中存储的该参数数据进行匹配，匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设源主机洪泛阈值进行比对，根据比对情况获取预警分析结果；

用户名分析子模块，用于对流经信令的用户名参数与状态机中存储的该参数数据进行匹配，匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设用户名洪泛阈值进行比对，根据比对情况获取预警分析结果。

2.根据权利要求1所述的Diameter洪泛攻击的检测装置，其特征在于，参数提取模块还包含状态机查询子模块，预先根据提取的信令消息参数查询状态机匹配情况，根据查询结果创建用于协调控制的状态机并存储信令消息参数。

3.根据权利要求1所述的Diameter洪泛攻击的检测装置，其特征在于，所述的信令流分析模块还包含状态机超时处理子模块，该状态机超时处理子模块用于依据状态机创建时间、当前时间点及预设时间段来判定状态机超时状态，并依据判定结果对状态机进行超时处理操作。

4.根据权利要求3所述的Diameter洪泛攻击的检测装置，其特征在于，所述的状态机超时处理子模块包含状态机删除单元和计数清零单元，其中，

状态机删除单元，用于依据当前时间点和状态机创建时间之间的时间段与预设销毁时间段进行比对，根据比对结果对该状态机进行删除操作；

计数清零单元，用于依据当前时间点和状态机创建时间之间的时间段与预设清零时间段进行比对，根据比对结果对将该状态机中各信令消息参数计数器进行清零处理。

5.一种Diameter洪泛攻击的检测方法，其特征在于，包含如下内容：

A)提取流经信令的信令消息参数，并根据参数进行状态机匹配，信令消息参数包含会话标识参数、源主机参数和用户名参数，设置每个信令消息参数计数器并初始化；

B)依据状态机匹配情况并利用计数器计数数值对信令消息参数进行预警分析；

C)依据信令消息参数预警分析结果进行洪泛攻击告警；

B)中，对信令消息参数进行预警分析，具体包含如下内容：

B1)对流经信令的会话标识参数与状态机中存储的该参数数据进行匹配，若匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设会话标识洪泛阈值进行比对，根据比对情况获取预警分析结果，若匹配不一致，则进入步骤B2)；

B2)对流经信令的源主机参数与状态机中存储的该参数数据进行匹配，若匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设源主机洪泛阈值进行比对，根据比对情况获取预警分析结果，若匹配不一致，则进入步骤B3)；

B3)对流经信令的用户名参数与状态机中存储的该参数数据进行匹配，匹配一致，则该参数计数器计数，并通过该参数计数器数值与预设用户名洪泛阈值进行比对，根据比对情况获取预警分析结果，若匹配不一致，则读取流经的下一条信令。

6.根据权利要求5所述的Diameter洪泛攻击的检测方法，其特征在于，A)中，根据提取的信令消息参数查询状态机匹配情况，并根据查询结果创建用于协调控制的状态机并存储信令消息参数。