CN103139740A - 一种非法信令的识别、处理方法及装置 - Google Patents

Abstract

一种非法信令的识别、处理方法及装置，主要内容包括：通过采集PS域的信令，判断采集的PS域信令中是否包含预先确定的非法域名或设定的特征值的信令，若包含，则确定该采集的信令为非法信令，因此，可对非法信令进行屏蔽、延迟传递或修改等处理，遏制利用PS域进行非法信令的传递，使得非法运营商的服务器不能及时准确的接收到非法信令，进而避免了根据非法信令中的内容进行各类地下运营业务，有效的减少了基于利用PS域传递非法信令而展开的各类非法业务对网络资源的占用以及对网络信息安全的危害。

Description

一种非法信令的识别、处理方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种非法信令的识别、处理方法及装置。

背景技术

随着移动通信网络的发展，用户数量不断增加，不同运营商之间的合作也愈发紧密，各种新功能、新业务不断涌现，如基于互联网协议的语音业务(VoiceOver Internet Protocol，VOIP)、来电显示、数据流量包月套餐等。但一些非法运营商在网络中架设非法服务器，通过非法方式向用户提供各项业务以逃避计费，这种做法导致向用户提供各项业务时所占用的网络资源得不到监管，对信息安全造成影响，同时还非法占用了宝贵的网络资源，对此，需要对通过非法服务器执行的业务进行识别，遏制非法业务。

以电路交换(Circuit Switch，CS)域内的预约回拨业务为例，假设终端A开通了来电显示业务、接听免费业务，则当终端A作为主叫终端与终端B进行通话时，终端A并不按照常规方式向终端B发起呼叫，而是通过非法服务器转接实现对终端B的呼叫，以逃避对终端A和终端B之间的呼叫监控，具体地，终端A通过非法服务器转接实现与终端B的呼叫过程如下：

第一步：终端A根据非法服务器的接入号码，向非法服务器发起呼叫。

第二步：非法服务器接收到来自终端A的呼叫后，拒绝该呼叫，并对终端A进行回呼，使终端A从主叫终端变为被叫终端。

第三步：终端A接通非法服务器的呼叫后，在与非法服务器进行通话的过程中按键，使用双音多频(Dual Tone Multi Frequency，DTMF)功能向非法服务器传递终端B的号码也即被叫号码。

第四步：非法服务器根据接收到的被叫号码呼叫终端B，使得终端A和终端B均以被叫身份进行通话。

在上述终端A通过非法服务器的转接实现与终端B的呼叫过程中，终端A、非法服务器、终端B之间的信息交互无法得到有效监控、占用大量的网络资源，且终端B在接通呼叫时的来电显示号码不经过身份认证，可以显示任意号码，对网络信息安全造成危害。

目前，针对上述非法预约回拨业务，可通过对预约回拨业务进行过程中的非法信令进行识别，所述非法信令是指利用通信协议在现有网络中为了获取非法利益而传送的特定格式的用于识别非法运营商的关键数据包或字符串等信息。当识别出某一业务执行过程中有非法信令存在时，则可确定该业务为非法业务，需对该业务进行屏蔽或中断此类业务。

仍以上述预约回拨业务为例，识别该预约回拨业务是否为非法业务的方式为：

由于在非法的预约回拨业务中，终端A需使用DTMF功能向非法服务器发送终端B的号码(即被叫号码)，因此，可对网络中的通话过程中是否产生一定长度且连续的DTMF音频信息进行识别，若一次通话业务中存在一定长度且连续的DTMF音频信息时，可确定该通话业务是非法的预约回拨业务；进而可确定执行该非法预约回拨业务的服务器是非法运营商架设的非法服务器，发起该DTMF音频信息的终端为非法信令的发送端。

虽然可通过对通话过程中产生的DTMF音频信息进行识别进而对非法回拨业务进行判定，但是，上述DTMF音频信息进行识别方法只能适用于主被叫终端和非法服务器之间在CS域内进行非法信令传递的场景，对于主被叫终端和非法服务器之间通过PS域传递非法信令并在CS域内通信的场景将不能适用。

例如：针对PS域传递非法信令、CS域通话的预约回拨业务而言，终端A向非法服务器发起包含自身的号码(即主叫号码)及终端B的号码(即被叫号码)的PS域信令，如：终端A利用已开通的上网业务在网页的网址栏中输入：

“URL＝/javatel.asp？username＝vi83219&PW＝1973&NO0＝139********&NO1＝137********”这一特定格式的字符串，其中，139********及137********为主叫号码和被叫号码，javatel.asp为非法服务器的访问地址。非法服务器接收到终端A发送的PS域信令后，通过CS域向终端A和终端B发起呼叫，使终端A和终端B均以被叫身份进行通话。

再例如：针对终端A通过非法服务器向终端B发送短消息的业务而言，终端A向非法服务器发起包含自身的号码(即发送方号码)、终端B的号码(即接收方号码)以及短消息内容的PS域信令，所述短消息内容的文字信息已被终端A安装的特定软件转换为数字序列(如数字电报码)，非法服务器接收到终端A发送的PS信令后，通过CS域向终端B发起呼叫，并在终端B的来电显示中依次显示数字序列中的内容，并由终端B中安装的特定软件，先挂断来电，再将来电显示中的数字序列转换为文字信息。通常，来电显示能传送一个17位的号码序列，因此非法服务器可多次向终端B发起呼叫，每次呼叫的来电显示中显示一部分数字序列中的内容，直至所有的数字序列通过来电显示的方式发送到终端B。

由于上述终端和非法服务器之间通过PS域传递非法信令并在CS域内通信的场景下，在通话过程中或短信发送过程中没有产生DTMF音频信息，因此无法使用DTMF音频信息来识别非法业务，导致这种在PS域传递非法信令及在CS域通信的非法业务无法识别，更无法遏制。

发明内容

本发明实施例提供一种非法信令的识别、处理方法及装置，以解决现有技术对PS域传递非法信令及在CS域通信的非法业务无法识别问题。

一种非法信令的识别方法，所述方法包括：

采集分组域内产生的信令；

针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则确定该信令为非法信令。

一种非法信令的识别方法，所述方法包括：

采集分组域内产生的信令；

针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令；

所述三种条件分别为：

信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

一种对上述两种非法信令识别方法中任一种方法确定的非法信令进行处理的方法，所述方法包括：

屏蔽、延迟传递或修改确定的非法信令；

或者，

根据确定的非法信令中包含的非法域名，确定对应的服务器为非法服务器；

或者，

若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数。

一种非法信令的识别装置，所述装置包括：

信令采集模块，用于采集分组域内产生的信令；

非法信令确定模块，用于针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则确定该信令为非法信令。

一种非法信令的识别装置，所述装置包括：

信令采集模块，用于采集分组域内产生的信令；

非法信令确定模块，用于针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令；

所述三种条件分别为：

信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

一种对上述两种非法信令的识别装置中的任一识别装置确定的非法信令进行处理的装置，所述装置包括：

限制模块，用于屏蔽、延迟传递或修改确定的非法信令；

非法设备确定模块，用于根据确定的非法信令中包含的非法域名，确定对应的服务器为非法服务器；或者，用于若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数。

本发明实施例的方案中，通过采集PS域的信令，判断采集的PS域信令中是否包含预先确定的非法域名的信令，若包含，则确定该采集的信令为非法信令，因此，可对非法信令进行屏蔽、延迟传递或修改等处理，遏制利用PS域进行非法信令的传递，使得非法运营商的服务器不能及时准确的接收到非法信令，进而避免或减少了根据非法信令中的内容进行各类地下运营业务；通过本发明实施例的方案，由于通过本发明实施例的方案，由于根据预先确定的非法域名对采集的PS域的信令进行匹配，可准确确定非法信令，对非法信令进行处理，有效的减少了所述非法业务对网络资源的占用、减缓地下运营业务的发展以及对网络信息安全的危害。

附图说明

图1为本发明实施例一中的非法信令的识别方法的示意图；

图2为本发明实施例二中的非法信令的识别方法的示意图；

图3为本发明实施例三中的对利用所述非法信令的识别方法识别出的非法信令的进行处理的方法示意图；

图4为本发明实施例四中的非法信令的识别装置的结构示意图；

图5为本发明实施例六中的非法信令的处理装置的结构示意图。

具体实施方式

针对现有非法业务识别方法对利用PS域传递非法信令、CS域通信的非法业务无法识别的问题，本发明实施例提供了一种新的非法信令的识别及处理方法，通过采集PS域的信令，判断采集的PS域信令中是否包含预先确定的非法域名的信令，若包含，则确定该采集的信令为非法信令，因此，可对非法信令进行屏蔽、延迟传递或修改等处理，遏制利用PS域进行非法信令的传递，使得非法运营商的服务器不能及时准确的接收到非法信令，进而避免了根据非法信令中的内容进行各类地下运营业务。

下面结合具体实施例详细描述本发明的方案。

实施例一

如图1所示，为本发明实施例一中的一种非法信令的识别方法的示意图，所述方法具体包括以下步骤：

步骤101：采集分组域内产生的信令。

在本步骤101的方案中，可以实时采集PS域内产生的信令，也可以周期性地采集产生的信令，并将采集的信令以一定的格式存入原始信令数据库中。

较优地，考虑到采集的信令中可能包含大量的信息，其在原始数据库中存储的数据量也较大，因此，在本步骤101的方案中，可对采集的PS域信令利用信令分析程序进行解析，确定其中包含的与信令合法性有一定关联的信息，如域名、主叫号码、被叫号码、用户名、密码等，并将解析后信令中与信令的合法性有一定关联的信息存入原始信令数据库。

较优的，对PS域中产生的信令进行采集的过程，可以是对Gb接口和/或Gn接口处的信令的采集，所述Gb接口是基站子***(Base Station Subsystem，BSS)与GPRS服务节点(Serving GPRS Support Node，SGSN)之间的接口，所述Gn接口是同一公众陆地移动网(Public Land Mobile Network，PLMN)中SGSN与SGSN间以及SGSN与网关GPRS支持节点(Gateway GPRS SupportNode，GGSN)之间的接口。当然，本实施例中也不限于通过其他方式采集PS域内产生的信令。

步骤102：针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则执行步骤103，若不包含，则确定该信令为合法信令。

较优地，若在步骤101中采集的信令以一定的格式存储在原始信令数据库中，则在本步骤102中，可以对所述原始信令数据库中存储的信令进行高速的处理，依次判断采集的信令是非法信令还是合法信令。

本步骤102中，用于判断信令是否是非法信令的判断依据可以是预先确定的非法域名，该非法域名可以通过经验值确定，将之前已确定的非法域名作为本步骤102的判断依据；除了根据经验值来预设非法域名外，还可以根据非法信令传递的表现形式来预设非法域名，例如：

终端与服务器之间正常进行信令传递时，大多数情况下，服务器向终端发送的信令(在本实施例中称之为下行信令)的数据量远大于终端向服务器发送的信令(在本实施例中称之为上行信令)的数据量，而在利用PS域的非法信令传输以进行CS域操作的情况下，终端向服务器发送的上行信令的主要目的是向非法运营商的服务器上报用于CS域操作的相关信息，而非法运营商为减少运营成本，其服务器向终端发送的下行信令的数据量一般较小，也就是说，针对某一服务器而言，其接收到的上行信令的数据量大于其发送的下行信令的数据量的特征，可作为识别该服务器为非法服务器的特征，则该服务器收发的PS域信令也应为非法信令，因此，在本步骤102的方案中，预先确定的非法域名可通过以下方式确定：

首先，针对采集的大量PS域的信令，确定至少一条包含相同域名的上行信令，确定的所述上行信令是至少一个终端发送给同一服务器的上行信令。

接着，确定所述相同域名对应的服务器针对所述上行信令生成的下行信令，确定的所述下行信令是同一服务器发送给至少一个终端的下行信令。

最后，若所述上行信令的数据量与下行信令的数据量之差大于阈值，满足了识别服务器为非法服务器的特征，因此，所述上行信令中包含的域名为非法域名，该非法域名对应的服务器也就为非法服务器。

以上是以“接收到的上行信令的数据量大于发送的下行信令的数据量”这一特征来预设非法域名的，本步骤102的方案中也不限于根据其他非法信令传递的表现形式来预先设定非法域名。

较优地，在根据以上方式确定非法域名后，还可以对确定的非法域名进行分析，进一步找出与确定的非法域名相关的其他非法域名。例如：当确定www.tianxiatong.com为非法域名后，通过字符串匹配算法，将一些相似度较高的字符串例如：www.tianxiaton.com、www.tianxiatong1.com、www.tianxiaton1.com都可以判为非法域名，在通过步骤102进行判断是否有上下行数据量之差大于阈值或是包含特殊的非法字符串格式。若是，则判断为非法域名。

较优的，还可以采用非法域名结合分隔符对非法信令进行识别的方法，即在非法信令的传送过程中，会设有特定的信令发送格式以区分非法服务器域名、主叫号码、被叫号码，如通过分隔符区分，常用的分隔符如：#、&、？、！等。

较优地，除了预先确定非法域名外，也可以预先确定合法域名，若采集的信令中包含合法域名，则确定该信令为合法信令，以减少识别非法信令的运算量。

在本步骤102中，也可以判断采集的信令中是否包含预先设定的特征值进行非法信令的识别，所述设定的特征值为可以为：用户的手机号码、用户名、密码以及通过各种算法对所述手机号码进行处理后的字符串，如对手机号码进行倒序排列后的字符串。

所述用户名和密码可以是使用非法业务的终端在非法运营商网站的注册信息，并且该信息可以与手机号码具有对应关系。

步骤103：确定该信令为非法信令。

较优的，将确定的非法信令以一定的格式存入非法业务数据库，以便于分析出新的识别非法信令的条件。

通过以上步骤101至步骤103的方案，对PS域中采集的信令进行分析，查找出其中的非法信令。

在上述步骤101至步骤103的方案中，是以预先确定的非法域名为条件来判断非法信令的，较优地，本实施例一的方案中，包含但不限于以下任一判断条件或两个条件的组合，结合步骤102中的判断条件来识别非法信令：

1、预先设定的非法序列码为条件来识别非法信令。

具体的，所述非法序列码可以是常用短信用语的电报码，也可以是由经验值确定数字序列码。

考虑到终端利用PS域进行非法信令传递、进而利用CS域进行非法通信的业务中，若在CS域中的业务为短消息业务，发送方终端需通过PS域向非法服务器发送包含自身的号码、接收方号码以及短消息内容的非法信令，非法信令中的短消息内容是以序列码的形式传递的，因此，通过对信令中是否包含预先设定的常用序列码(如常用短语的电报码)进行识别，是确定非法信令的重要特征。

2、预先设定的非法时间段为条件来识别非法信令。

所述预先设定的非法时间段可设定为话音业务忙时的时间段。

考虑到主叫终端与非法服务器之间的PS域信令交互以达到与被叫终端进行通话的目的，因此，这种非法业务进行的密集度与话音业务繁忙程度有类似的分布规律，也就是说，这种非法业务一般在话音业务忙时大量执行，而正常的数据业务忙时的时间段与话音业务忙时的时间段并不相同，故可以将话音业务忙时的时间段作为预设的非法时间段，在此时间段内，进行非法业务的概率较大。

实施例二

本发明实施例二提供另一种非法信令识别方法，如图2所示，所述方法包括以下步骤：

步骤201：采集分组域内产生的信令。

本步骤201的具体实现与实施例一种步骤101的实现相同，这里不再赘述。

步骤202：针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令。

所述三种条件分别为：

信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

选择上述三种条件的原因及每种条件的确定方法与实施例一中的相同，这里不再赘述。

实施例三

基于本发明实施例一和实施例二的非法信令识别方法，本实施例三提出一种对利用所述非法信令的识别方法识别出的非法信令的进行处理的方法，如图3所示，为结合非法信令识别以及对非法信令的处理示意图，在确定非法信令后，包括以下步骤：

第一步：限制非法信令的传输。

所述限制非法信令的传输包括但不限于：屏蔽、延迟传递或修改非法信令。

除了对非法信令的限制传输外，还可以根据非法信令确定非法服务器和非法终端，具体为：

根据非法信令中包含的非法域名，确定对应的服务器为非法服务器，对该非法服务器收发的信令进行完全屏蔽。

若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数，也就是说，对于频繁发送非法信令的终端，可对其发送的上行信令中的主叫号码或被叫号码进行修改，形成错误呼叫，或将信令进行不断重发，形成反复呼叫，降低用户感知，避免用户再次使用非法业务。而对于初次使用非法业务的用户，可对发送的上行信令进行屏蔽或增加延时的方式，降低用户感知。

若终端希望进行的是非法短消息的传递，则可以采用空字符来替换上行信令中的短信内容，或者直接屏蔽上行信令。

第二步：呈现并保存处理结果。

在本步骤中，可以建立人机界面向维护人员呈现实时的处理结果，并提供历史数据查询等功能，维护人员可通过人机界面进行参数条件的配置。

通过本实施例三的方案，对接收非法信令的非法服务器与非法信令的发送终端依据不同的情况进行不同的处理，使得非法信令不能及时准确地进行传送，进而遏制了所述利用PS域进行信令传递及利用CS域进行通信的非法业务，有效的减少了所述非法业务对网络资源的占用以及对网络信息安全的危害。

实施例四

基于与本发明实施例一的同一构思，本发明实施例四提供一种非法信令的识别装置，如图4所示，所述非法信令的识别装置包括：信令采集模块41和非法域名确定模块42，其中：

信令采集模块41，用于采集分组域内产生的信令。

非法信令确定模块42，用于针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则确定该信令为非法信令。

较优的，所述非法信令的识别装置还包括：

非法域名确定模块43，具体用于确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名，非法域名确定模块43确定的非法域名可作为非法信令确定模块42判断非法信息的依据。

较优的，所述信令采集模块41具体用于采集Gb接口和/或Gn接口的信令。

较优的，所述非法信令的识别装置还包括：

非法序列码确定模块44，用于确定预先设定的非法序列码。

所述非法信令确定模块42，还用于在确定采集的信令中包含预先设定的非法序列码时，确定该信令为非法信令。

较优的，所述非法信令的识别装置还包括：

非法时间段确定模块45，用于确定预先设定的非法时间段。

所述非法信令确定模块42，还用于在确定采集的信令生成时间属于预先设定的非法时间段时，确定该信令为非法信令。

实施例五

基于与本发明实施例二的同一构思，本发明实施例五提供一种非法信令的识别装置，该装置的结构示意图与图4的结构相同，但各模块的功能不同，具体为：

所述非法信令的识别装置包括：信令采集模块41和非法信令确定模块42，其中：

信令采集模块41，用于采集分组域内产生的信令。

非法信令确定模块42，用于针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令，所述三种条件分别为：信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

较优的，所述非法信令识别装置还包括：

非法域名确定模块43，用于确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名。

非法序列码确定模块44，用于确定预先设定的非法序列码。

非法时间段确定模块45，用于确定预先设定的非法时间段。

所述非法信令确定模块42，具体用于针对采集的各信令，当该信令中包含非法域名确定模块43确定的非法域名、包含非法序列码确定模块44确定的非法序列码、生成时间属于非法时间段确定模块45确定的非法时间段这三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令。

实施例六

基于与本发明实施例三的同一构思，本发明实施例六提供一种非法信令的处理装置，如图5所示，所述非法信令的处理装置包括：限制模块51和非法设备确定模块52，其中：

限制模块51，用于屏蔽、延迟传递或修改确定的非法信令；

非法设备确定模块52，用于根据确定的非法信令中包含的非法域名，确定对应的服务器为非法服务器；或者，用于若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数。

较优的，所述非法信令的处理装置还包括：

维护模块53，用于向维护人员呈现实时的处理结果，并提供历史数据查询等功能，维护人员可通过该维护模块53进行参数条件的配置。

本领域内的技术人员应明白，本申请的实施例可提供为方法、***、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (16)

1.一种非法信令的识别方法，其特征在于，所述方法包括：

采集分组域内产生的信令；

针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则确定该信令为非法信令。

2.如权利要求1所述的非法信令的识别方法，其特征在于，所述预先确定的非法域名是通过以下方式确定的：

确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名。

3.如权利要求1所述的非法信令的识别方法，其特征在于，采集分组域内产生的信令，具体包括：

采集Gb接口和/或Gn接口的信令。

4.如权利要求1所述的非法信令的识别方法，其特征在于，确定信令为非法信令之前，所述方法还包括：

确定采集的信令中包含预先设定的非法序列码。

5.如权利要求1所述的非法信令的识别方法，其特征在于，确定信令为非法信令之前，所述方法还包括：

确定采集的信令生成时间属于预先设定的非法时间段。

6.一种非法信令的识别方法，其特征在于，所述方法包括：

采集分组域内产生的信令；

针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令；

所述三种条件分别为：

信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

7.如权利要求6所述的非法信令的识别方法，其特征在于，所述预先确定的非法域名是通过以下方式确定的：

确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名。

8.一种对权利要求1或权利要求6确定的非法信令进行处理的方法，其特征在于，所述方法包括：

屏蔽、延迟传递或修改确定的非法信令；

或者，

根据确定的非法信令中包含的非法域名，确定对应的服务器为非法服务器；

或者，

若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数。

9.一种非法信令的识别装置，其特征在于，所述装置包括：

信令采集模块，用于采集分组域内产生的信令；

非法信令确定模块，用于针对采集的各信令，判断该信令中是否包含预先确定的非法域名或设定的特征值，若包含，则确定该信令为非法信令。

10.如权利要求9所述的非法信令的识别装置，其特征在于，所述装置还包括：

非法域名确定模块，用于确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名。

11.如权利要求9所述的非法信令的识别装置，其特征在于，所述信令采集模块具体用于采集Gb接口和/或Gn接口的信令。

12.如权利要求9所述的非法信令的识别装置，其特征在于，所述装置还包括：

非法序列码确定模块，用于确定预先设定的非法序列码；

所述非法信令确定模块，还用于在确定采集的信令中包含预先设定的非法序列码时，确定该信令为非法信令。

13.如权利要求9所述的非法信令的识别装置，其特征在于，所述装置还包括：

非法时间段确定模块，用于确定预先设定的非法时间段；

所述非法信令确定模块，还用于在确定采集的信令生成时间属于预先设定的非法时间段时，确定该信令为非法信令。

14.一种非法信令的识别装置，其特征在于，所述装置包括：

信令采集模块，用于采集分组域内产生的信令；

非法信令确定模块，用于针对采集的各信令，当该信令满足以下三种条件中任一条件或多种条件的组合时，根据为每种条件分配的权重值，确定该信令满足条件的权重值之和，并在该权重值之和大于门限值时，确定该信令为非法信令；

所述三种条件分别为：

信令中包含预先确定的非法域名、信令中包含预先设定的非法序列码和信令生成时间属于预先设定的非法时间段。

15.如权利要求14所述的非法信令的识别装置，其特征在于，所述装置还包括：

非法域名确定模块，用于确定至少一条包含相同域名的分组域内的上行信令，并确定该域名对应的服务器针对所述上行信令生成的下行信令，若所述上行信令的数据量与下行信令的数据量之差大于阈值，则确定所述上行信令中包含的域名为非法域名。

16.一种对权利要求9或权利要求15确定的非法信令进行处理的装置，其特征在于，所述装置包括：

限制模块，用于屏蔽、延迟传递或修改确定的非法信令；

非法设备确定模块，用于根据确定的非法信令中包含的非法域名，确定对应的服务器为非法服务器；或者，用于若所述非法信令为上行信令，则当确定N条上行非法信令由同一终端发送时，确定该终端为非法终端，所述N为正整数。

Images