一种SIP消息洪泛攻击的检测装置和检测方法

摘要

一种SIP消息洪泛攻击的检测装置和检测方法，该检测装置由采集层、数据层、检测层和响应层四层架构的相关功能模块所组成。其中采集层设有采集网络中SIP数据包的抓包模块。数据层对来自采集层的SIP数据包作预处理，并分别存储抓到的INVITE消息和REGISTER消息的总数目。检测层负责调用该存储的INVITE消息数值和REGISTER消息数值，并采用DW-CUSUM算法对该数值进行检测和输出检测结果。响应层的报警模块对该检测结果进行判断决策是否告警：若检测结果超过设定阈值时，认为遭到SIP消息洪泛攻击，发出告警信号；否则，表示网络运行正常。本发明能有效检测出NGN网络中的针对SIP消息的洪泛攻击，且检测性能优秀，为NGN通信业务提供安全保证。

主权项

1、一种SIP消息洪泛攻击的检测装置，其特征在于：所述装置是由采集层、数据层、检测层和响应层四层架构的相关功能模块所组成，其中：采集层，设有通过调用UNIX/LINUX系统函数和使用SIP协议栈抓取在网络中传输的SIP数据包的抓包模块，以完成采集网络中的SIP数据包的功能；数据层，负责对来自采集层的SIP数据包进行预处理，并对得到的INVITE消息和REGISTER消息的数值分别进行存储处理；设有对SIP数据包中的INVITE消息和REGISTER消息分别累加统计其数量的数据预处理模块，以及分别存储INVITE消息和REGISTER消息的统计数值、以供检测层调用的INVITE数值存储模块和REGISTER数值存储模块；检测层，设有分别对INVITE消息数值和REGISTER消息数值进行处理的基于双窗口非参数累积和DW-CUSUM算法的功能模块，负责调用数据层中存储的INVITE消息数值和REGISTER消息数值，并采用DW-CUSUM算法对上述消息数值进行检测处理，得到检测结果；响应层，设有接收检测层输出的检测结果数据进行决策是否告警的报警模块，当检测结果数据超过响应层设定的阈值时，该模块认为遭到SIP洪泛攻击，就发出告警信号；否则，表示网络运行正常，未发生SIP洪泛攻击。