CN113115314B - 一种4g移动通信网络hss信令防护方法及装置 - Google Patents

Abstract

本发明属于移动通信技术领域，特别涉及一种4G移动通信网络HSS信令防护方法及装置，该方法包括对Diameter信令协议快速识别与过滤；对筛选后的Diameter信令协议族的底层协议进行安全检测；对Diameter信令协议应用层进行合规性检测；基于Diameter信令协议的异常行为检测。该信令防护装置以无感串接或者并接的方式接入HSS设备与DRA设备之间，具备信令防护功能，包括识别过滤模块、底层信令协议检测模块、合规性检测模块和异常行为检测模块。本发明具备异常信令检测和防护能力，从信令层面保证4G移动通信网络安全。

Description

一种4G移动通信网络HSS信令防护方法及装置

技术领域

本发明属于移动通信技术领域，特别涉及一种4G移动通信网络HSS信令防护方法及装置。

背景技术

4G移动通信网络是当前我国建设完备、覆盖面积广，用户最多的移动通信***。4G移动通信网络主要由接入网提供移动终端接入认证、由EPC（Evolved packet Core）提供数据业务，由专用IMS（IP Multi-media Subsystem，IP多媒体子***）提供多媒体业务（包括VoLTE），组网如图2所示。

IMS和EPC网络中的HSS保存着用户的重要信息，在EPC网络中该实体与MME（Mobility Management Entity，移动管理实体）、IP-GW（IP-Gateway，IP网关）等实体连接，面临着外部网络信令攻击的风险；在IMS中与S/I-CSCF（Serving/ Interrogating - CallSession Control Function，服务/查询呼叫会话控制功能）和AS（Application Server，应用服务器）等实体连接，面临着误操作风险，同时也存在被预置后门和木马的可能，后门和木马可操控HSS向外发送攻击信令。

发明内容

针对现有技术中存在的问题，本发明提出了一种4G移动通信网络HSS信令防护方法及装置，对IMS和EPC网络的HSS相关接口进行信令检测及防护。

为了实现上述目的，本发明采用以下的技术方案：

本发明提供了一种4G移动通信网络HSS信令防护方法，包含以下步骤：

对Diameter信令协议快速识别与过滤；

对筛选后的Diameter信令协议族的底层协议进行安全检测；

对Diameter信令协议应用层进行合规性检测；

基于Diameter信令协议的异常行为检测。

进一步地，所述对Diameter信令协议快速识别与过滤包括：

采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令。

进一步地，所述采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令包括：

首先判断Chunk type字段，若该字段为0，代表为数据类型；

然后判断Payload protocol identifier字段，若该字段为46，代表为Diameter协议基础协议，若该字段为0，代表为Diameter其它应用协议；

最后通过SCTP的承载内容中的第一个字节来判断，即Diameter的版本号信息，当前Diameter只有版本1，因此，若第一个字节为1，则代表为Diameter协议，然后过滤该消息后进一步处理。

进一步地，所述对筛选后的Diameter信令协议族的底层协议进行安全检测，包括：

所述Diameter信令协议族的底层协议包括IP层协议和SCTP层协议；

对IP层检测只需要设置DRA的IP白名单，若接收到其它IP地址的数据包，则该消息判断为攻击消息，作告警处理；

对SCTP层检测是检测端口号和链路状态，若发现数据包的端口号非配置的对等端，则该消息判断为攻击消息，则作告警处理；若发现链路断开的频次出现异常，则作告警处理；若发现新建未配置的链路，则作告警处理。

进一步地，所述对Diameter信令协议应用层进行合规性检测，检测的内容包括消息头长度异常、消息体中AVP长度异常和源地址数量不唯一；

消息头长度异常指的是Diameter信令协议的长度指示字段标识的长度大于消息的长度，检测方法为解析并提取Diameter消息头部分的长度字段，并与底层递送的数据包长度进行比较，若该字段长度大于实际长度，则告警；

源地址数量不唯一指的是源主机名AVP，即源主机AVP在消息中为必选且唯一的字段，检测方法为判断是否存在多个源主机avp，若存在多个源主机avp，则告警。

进一步地，所述基于Diameter信令协议的异常行为检测包括：

针对外部网络向内部网络发送的信令消息，检测的内容包括未启用的协议类型、未启用的消息码、非法访问用户敏感数据、非法的用户位置更新，非正常原因的用户注销请求和未知来源的通知消息；

针对内部网络向外部网络发送的信令消息，检测的内容包括异常请求用户位置信息、异常的附着取消通知消息和异常修改用户的业务权限。

进一步地，在基于Diameter信令协议的异常行为检测之后，还包括：

将攻击信令修改为无害信息，修改方式包括信令协议中有害字段修改、信令协议消息头修改和底层承载协议承载标识修改。

本发明还提供了一种4G移动通信网络HSS信令防护装置，该防护装置以无感串接或者并接的方式接入HSS设备与DRA设备之间，包括：

识别过滤模块，用于对Diameter信令协议快速识别与过滤；

底层信令协议检测模块，用于对筛选后的Diameter信令协议族的底层协议进行安全检测；

合规性检测模块，用于对Diameter信令协议应用层进行合规性检测；

异常行为检测模块，用于基于Diameter信令协议的异常行为检测。

进一步地，该装置还包括：

攻击信令修正模块，用于将攻击信令修改为无害信息。

与现有技术相比，本发明具有以下优点：

本发明的一种4G移动通信网络HSS信令防护方法，信令防护的对象是IMS网络的Sh、Cx、Zh接口和EPC网络的S6a、S6d、S6c、Slg等接口的Diameter信令协议，安全检测内容包括Diameter信令协议族的底层协议、Diameter信令协议应用层合规性检测、基于Diameter信令协议的异常行为检测等，能够保证4G EPC、IMS网络和用户协议层面的安全检测防护。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例的4G移动通信网络HSS信令防护方法的流程图；

图2是4G移动通信网络IMS/EPC架构图；

图3是本发明实施例的4G移动通信网络HSS信令防护装置的部署图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本实施例的4G移动通信网络HSS信令防护方法，包含以下步骤：

步骤S101，对Diameter信令协议快速识别与过滤。

实际网络中HSS设备会接收到多种协议类型的数据，Diameter信令协议族只是其中一种，需要快速过滤不需要处理的信令协议。HSS信令防护装置通常通过DRA（DiameterRouting Agent，Diameter路由代理）设备与其它Diameter对等端连接，DRA设备通常采用负载分担或者主备用机制，其IP数理和地址相对稳定，因此，过滤Diameter数据时可以不指定IP，而是采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令，并不需要完全解析信令。其中SCTP主要判断两个字段，首先判断Chunk type字段，若该字段为0，代表为数据类型；然后判断Payload protocol identifier字段，若该字段为46，代表为Diameter协议基础协议，若该字段为0，代表为Diameter其它应用协议；最后通过SCTP的承载内容中的第一个字节来判断，即Diameter的版本号信息，当前Diameter只有版本1，因此，若第一个字节为1，则代表为Diameter协议，然后过滤该消息后进一步处理。根据军队网络中实际使用的信令协议，可以按照上述规则做适应性修改，例如Payload protocolidentifier字段的值也可以为34等其它数值。

步骤S102，对筛选后的Diameter信令协议族的底层协议进行安全检测。

筛选后的Diameter信令协议族需要对其底层协议进行防护检测，Diameter信令协议族的底层协议包括IP层协议和SCTP层协议，其中，对IP层协议检测只需要设置DRA的IP白名单即可，若接收到其它IP地址的数据包，则该消息判断为攻击消息，作告警处理；对SCTP层协议检测是检测端口号和链路状态，若发现数据包的端口号非配置的对等端，则该消息判断为攻击消息，则作告警处理。另外，SCTP的链路状态也是攻击监测的重要手段，攻击可能尝试断开或者借用已经存在的SCTP链路来进行信令层面的攻击，表现为链路经常重新连接，为此可以采用链路状态监控防护技术，通过链路断开的频次决定是否异常，如一天内重新连接数量大于10次则判定网络异常，发出告警待后续处理；若发现新建未配置的链路也可能发生了攻击，作告警处理。

步骤S103，对Diameter信令协议应用层进行合规性检测。

Diameter信令协议应用层标准协议中规定了协议发生各种错误情况的处理规则，但是在设备实现的过程中，各厂商的实现方式存在一定差异，也可能由于运行速度代价等因素考虑，并没有把合规性检测做那么严格，为此，针对Diameter信令协议合规性进行检测，为了提高检测效率，只检测那些可能产生攻击效果的不合规信令，检测的内容包括：检测消息头长度异常、消息体中AVP长度异常、源地址数量不唯一等检测项。其中，消息头长度异常指的是Diameter信令协议的长度指示字段标识的长度大于消息的长度，增加了缓冲区溢出的安全风险，检测方法为解析并提取Diameter消息头部分的长度字段，并与底层递送的数据包长度进行比较，若该字段长度大于实际长度，则告警。消息体中AVP长度异常与消息头长度异常处理规则类似。源地址数量不唯一指的是源主机名AVP，即源主机AVP（ori_host_avp）在消息中为必选且唯一的字段，但是实际在编写消息过程中，为了达到某种信令跨域穿透的效果，蓄意增加ori_host_avp数量，试图跨越原来无法路由的Diameter区域，检测方法为判断是否存在多个源主机avp，若存在多个源主机avp，则告警。

步骤S104，基于Diameter信令协议的异常行为检测。

基于信令的异常行为检测指的是符合信令协议规范要求，但是信令内容和信令流程行为存在异常，可能对应一定的攻击，Diameter应用层信令消息检测根据信令发送方向分为外部网络向内部网络发送的信令消息（对内信令）和内部网络向外部网络发送的信令消息（对外信令）。

其中，对内信令主要通过单条或者多条信令消息检测，检测用户的异常行为，具体检测的内容包括未启用的协议类型、未启用的消息码、非法访问用户敏感数据、非法的用户位置更新，非正常原因的用户注销请求和未知来源的通知消息。具体的检测方法为：针对未启用的协议类型异常，解析Diameter信令协议的application id字段并与配置的启用接口类型对比，若不在配置表中，则发出告警；针对未启用的消息码异常，解析Diameter信令协议的Command字段，若不在application id规定的消息码中，则发出告警；针对非法访问用户敏感数据，解析Command字段和请求信息相关的AVP字段，检测AVP字段是否与Command字段相匹配，若请求内容非本操作内容，则发出告警；针对非法的用户位置更新异常，记录上次登记位置与本次位置，并记录时间间隔，若时间间隔小于两个物理位置空间的最短到达间隔，则发出告警；针对非正常原因的用户注销请求异常，记录用户上次附着的实体主机名，若用户的注销请求非上次登记的主机名，则发出告警；针对位置来源的通知消息与非正常原因的用户注销请求异常检测方法相同。

信令防护可作为内部***是否有异常操作的工具，能够检测的异常行为主要发生在内部网络被非法控制，或者内部人员使用基于信令的手段发起异常信息请求，针对对外信令，检测的内容包括异常请求用户位置信息、异常的附着取消通知消息和异常修改用户的业务权限。具体的检测方法为：针对异常请求用户位置信息，主要解析Diameter信令协议中***用户数据的标识字段，若标识字段携带请求位置信息的比特置1，则发出异常预警信息，主要原因HSS通常不需要掌握用户具体的位置信息，即使需要获取用户的位置信息通常也采用其它方式；针对异常的附着取消通知消息，附着取消通知消息在发送前通常有来自其它MME的位置更新请求消息，若之前没有相关消息则发出异常预警信息；针对异常修改用户的业务权限，检测方式与异常请求用户位置信息的流程相似，检测的内容主要针对异常修改用户的业务权限内容。

步骤S105，将攻击信令修改为无害信息。

修改方式为以下几种：信令协议中有害字段修改、信令协议消息头修改和底层承载协议承载标识修改等方法。

信令协议中有害字段修改中，针对获取信息的标识置1，修改权限参数不为空等内容有害的字段，修改为无害信息；针对假冒地址的请求信令，修改请求的地址信息和产生攻击效果的字段；还可以修改消息头中的版本号不为1，修改application id为未启用的号码等方式；底层承载协议中的chunk type修改为非0，Payload protocol identifier修改为非46（Diameter）。上述方法可以组合应用，既不影响现网的正常链路和正常业务，也能达到修改为无害消息的目的。

如图3所示，本实施例还提供一种4G移动通信网络HSS信令防护装置，该防护装置以无感串接或者并接的方式接入HSS设备与DRA设备之间，串接方式采用了硬件直通和软件直通技术，保证即使断开应用层也不影响IMS和EPC网络的正常业务，并接方式在逻辑上保证不影响4G网络的正常运行，该信令防护装置具备信令防护功能，可对Diameter信令协议进行异常检测，信令防护的对象是IMS网络的Sh、Cx、Zh接口和EPC网络的S6a、S6d、S6c、Slg等接口的Diameter信令协议；该信令防护装置具体包括：

识别过滤模块，用于对Diameter信令协议快速识别与过滤；

底层信令协议检测模块，用于对筛选后的Diameter信令协议族的底层协议进行安全检测；

合规性检测模块，用于对Diameter信令协议应用层进行合规性检测；

异常行为检测模块，用于基于Diameter信令协议的异常行为检测；

攻击信令修正模块，用于将攻击信令修改为无害信息。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (4)

1.一种4G移动通信网络HSS信令防护方法，其特征在于，包含以下步骤：

对Diameter信令协议快速识别与过滤；

对筛选后的Diameter信令协议族的底层协议进行安全检测；

对Diameter信令协议应用层进行合规性检测；

基于Diameter信令协议的异常行为检测；

所述对Diameter信令协议快速识别与过滤包括：

采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令；

所述采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令包括：

首先判断Chunk type字段，若该字段为0，代表为数据类型；

然后判断Payload protocol identifier字段，若该字段为46，代表为Diameter协议基础协议，若该字段为0，代表为Diameter其它应用协议；

最后通过SCTP的承载内容中的第一个字节来判断，即Diameter的版本号信息，当前Diameter只有版本1，因此，若第一个字节为1，则代表为Diameter协议，然后过滤所需检测信令后进一步处理；

所述对筛选后的Diameter信令协议族的底层协议进行安全检测，包括：

所述Diameter信令协议族的底层协议包括IP层协议和SCTP层协议；

对IP层检测只需要设置DRA的IP白名单，若接收到其它IP地址的数据包，则所需检测信令判断为攻击消息，作告警处理；

对SCTP层检测是检测端口号和链路状态，若发现数据包的端口号非配置的对等端口号，则所需检测信令判断为攻击消息，则作告警处理；若发现链路断开的频次出现异常，则作告警处理；若发现新建未配置的链路，则作告警处理；

所述对Diameter信令协议应用层进行合规性检测，检测的内容包括消息头长度异常、消息体中AVP长度异常和源地址数量不唯一；

消息头长度异常指的是Diameter信令协议的长度指示字段标识的长度大于消息的长度，检测方法为解析并提取Diameter消息头部分的长度字段，并与底层递送的数据包长度进行比较，若该字段长度大于实际长度，则告警；

源地址数量不唯一指的是源主机名AVP，即源主机AVP在消息中为必选且唯一的字段，检测方法为判断是否存在多个源主机AVP，若存在多个源主机AVP，则告警；

所述基于Diameter信令协议的异常行为检测包括：

针对外部网络向内部网络发送的信令消息，检测的内容包括未启用的协议类型、未启用的消息码、非法访问用户敏感数据、非法的用户位置更新，非正常原因的用户注销请求和未知来源的通知消息；

针对内部网络向外部网络发送的信令消息，检测的内容包括异常请求用户位置信息、异常的附着取消通知消息和异常修改用户的业务权限。

2.根据权利要求1所述的4G移动通信网络HSS信令防护方法，其特征在于，在基于Diameter信令协议的异常行为检测之后，还包括：

将攻击信令修改为无害信息，修改方式包括信令协议中有害字段修改、信令协议消息头修改和底层承载协议承载标识修改。

3.一种4G移动通信网络HSS信令防护装置，其特征在于，该防护装置以无感串接或者并接的方式接入HSS设备与DRA设备之间，包括：

识别过滤模块，用于对Diameter信令协议快速识别与过滤；

底层信令协议检测模块，用于对筛选后的Diameter信令协议族的底层协议进行安全检测；

合规性检测模块，用于对Diameter信令协议应用层进行合规性检测；

异常行为检测模块，用于基于Diameter信令协议的异常行为检测；

所述对Diameter信令协议快速识别与过滤包括：

采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令；

所述采用SCTP的指示字段和承载内容的特殊字节来快速过滤所需检测信令包括：

首先判断Chunk type字段，若该字段为0，代表为数据类型；

然后判断Payload protocol identifier字段，若该字段为46，代表为Diameter协议基础协议，若该字段为0，代表为Diameter其它应用协议；

最后通过SCTP的承载内容中的第一个字节来判断，即Diameter的版本号信息，当前Diameter只有版本1，因此，若第一个字节为1，则代表为Diameter协议，然后过滤所需检测信令后进一步处理；

所述对筛选后的Diameter信令协议族的底层协议进行安全检测，包括：

所述Diameter信令协议族的底层协议包括IP层协议和SCTP层协议；

对IP层检测只需要设置DRA的IP白名单，若接收到其它IP地址的数据包，则所需检测信令判断为攻击消息，作告警处理；

对SCTP层检测是检测端口号和链路状态，若发现数据包的端口号非配置的对等端口号，则所需检测信令判断为攻击消息，则作告警处理；若发现链路断开的频次出现异常，则作告警处理；若发现新建未配置的链路，则作告警处理；

所述对Diameter信令协议应用层进行合规性检测，检测的内容包括消息头长度异常、消息体中AVP长度异常和源地址数量不唯一；

消息头长度异常指的是Diameter信令协议的长度指示字段标识的长度大于消息的长度，检测方法为解析并提取Diameter消息头部分的长度字段，并与底层递送的数据包长度进行比较，若该字段长度大于实际长度，则告警；

源地址数量不唯一指的是源主机名AVP，即源主机AVP在消息中为必选且唯一的字段，检测方法为判断是否存在多个源主机AVP，若存在多个源主机AVP，则告警；

所述基于Diameter信令协议的异常行为检测包括：

针对外部网络向内部网络发送的信令消息，检测的内容包括未启用的协议类型、未启用的消息码、非法访问用户敏感数据、非法的用户位置更新，非正常原因的用户注销请求和未知来源的通知消息；

针对内部网络向外部网络发送的信令消息，检测的内容包括异常请求用户位置信息、异常的附着取消通知消息和异常修改用户的业务权限。

4.根据权利要求3所述的4G移动通信网络HSS信令防护装置，其特征在于，该装置还包括：

攻击信令修正模块，用于将攻击信令修改为无害信息。

Images