[发明专利]一种基于VoIP行为特征的疑似有害网关发现方法及系统

权利要求书

1.一种基于VoIP行为特征的疑似有害网关发现方法，其特征在于，包括：

利用IP数据包获取SIP信令日志数据；

利用所述SIP信令日志数据带入预先训练的网关判断模型得到网关判断模型结果；

利用所述网关判断模型结果得到疑似有害网关判断结果。

2.如权利要求1所述方法，其特征在于，所述利用IP数据包获取SIP信令日志数据包括：

对初始SIP信令日志数据基于文本编码模式进行固定关键字字段命名后，利用IP数据基于固定关键字字段命名筛选得到SIP信令日志数据。

3.如权利要求1所述方法，其特征在于，所述网关判断模型的训练包括：

利用SIP信令日志数据根据源IP地址、目的IP地址、主被叫账号进行筛选，得到待处理SIP信令日志数据；

利用所述待处理SIP信令日志数据根据源IP地址进行聚类得到聚类SIP信令日志数据；

利用所述聚类SIP信令日志数据基于网关IP行为特征获取聚类SIP信令数据的行为特征数据；

利用聚类SIP信令数据的行为特征数据基于网关判断模型参数进行分析得到网关判断模型；

其中，模型参数为话务量阈值范围、源IP来源地、发现工作时间段话务量占比阈值范围以及信令网关节点与被叫账号的对应关系。

4.如权利要求1所述方法，其特征在于，所述利用网关判断模型结果得到疑似有害网关判断结果包括：

当所述网关判断模型结果为网关IP数据时，判断所述网关IP数据对应的话务量阈值是否大于m％，若是，则进行信令网关发现时间内的话务量判断获取疑似有害网关判断结果，否则，放弃处理；

当所述网关判断模型结果不为网关IP数据时，所述网关判断模型结果为非疑似有害网关。

5.如权利要求4所述方法，其特征在于，所述进行信令网关发现时间内的话务量判断获取疑似有害网关判断结果包括：

判断所述网关IP数据对应的信令网关发现时间内的话务量占比阈值是否大于n％，若是，则疑似有害网关判断结果为疑似有害网关，否则，为非疑似有害网关。

6.如权利要求5所述方法，其特征在于，所述n％与m％的取值范围均大于50％。

7.如权利要求1所述方法，其特征在于，一种基于VoIP行为特征的疑似有害网关发现方法还包括：

利用所述网关判断模型结果对应的疑似有害网关建立疑似有害网关库；

利用网关判断模型基于所述疑似有害网关库进行训练。

8.一种基于VoIP行为特征的疑似有害网关发现系统，其特征在于，包括：

获取模块，用于利用IP数据包获取SIP信令日志数据；

判断模块，用于利用所述SIP信令日志数据带入预先训练的网关判断模型得到网关判断模型结果；

分析模块，用于利用所述网关判断模型结果得到疑似有害网关判断结果。