论文部分内容阅读
随着IP多媒体子系统（IMS）的大规模部署和商用，IMS系统在下一代网络（NGN）中的核心地位已经不可动摇，而IMS系统中的会话初始协议（SIP）的安全性，已成为国内外各大运营商在提供各类增值业务时必须要考虑的首要问题。目前大部分运营商多采用会话边界控制器（SBC）作为IMS运营商对于固网IP安全可控的网络接入设备，但SBC主要完成拓扑隐藏、媒体流整形、NAT穿越、接入控制和媒体加密等功能，并不能完成固网IP中的实时检测和防御功能。而采用基于SIP的入侵检测与防御系统是一种智能的、主动的SIP入侵检测和防御系统，通过使用高效的检测算法及时检测SIP入侵的发生，并采用一定的响应方式实时地阻止或减轻SIP入侵行为，保护SIP服务器/IMS系统不受实质性的恶意攻击的一种智能解决方案。本文紧紧围绕SIP网络中入侵检测与防御系统中的若干关键技术展开研究，主要工作和取得的成果包括：1．参考RFC3261相关技术规范，针对SIP协议的规则定义，提出了一种安全的基于规则的SIP畸形消息检测与防御方法，设计了一种快速检测SIP畸形消息攻击的防御系统。分析了SIP畸形消息和畸形消息的攻击过程，根据SIP协议的特点，抽象了一种通用的数据模型，并借鉴Snort和Netfilter框架，在Linux内核层实现了一种高效的SIP畸形消息的检测和防御系统。2．通过对SIP DoS攻击的原理、方式和特征以及SIP网络面对的典型的洪泛攻击的深入研究，设计了一种阈值动态调整和实时动态防御相结合的SIP单源洪泛攻击防御模型。分析了SIP洪泛攻击的流量特征，针对SIP DoS攻击的实时防御，提出了一种基于滑动时间窗口的流量异常检测算法和阈值动态调整算法，同时采用时间惩罚算法减少系统误判率。通过此防御模型的检测与防御，系统可以在SIP单源洪泛攻击发生时有效地阻止SIP服务器/IMS系统被攻击的可能，保证网络的实时可用性。3．提出了一种基于安全级别设定的攻击减弱方法。根据SIP协议自身特点和SIP消息的历史记录，将SIP消息按照历史记录、协议自身进行安全级别分类，利用流量监控对洪泛攻击检测。当发生分布式洪泛攻击时，通过设定合适的安全级别减弱攻击造成的影响，并且将此方法应用在两级防御DoS攻击体系结构中。4．提出了一种针对SIP分布式洪泛攻击的两级防御DoS攻击体系结构(TDASDFA)：一级防御子系统（FDS）和二级防御子系统（SDS）。FDS对SIP的信令流进行粗粒度检测与防御，旨在过滤非VoIP消息和丢弃超出指定速率的IP地址的SIP信令，保证服务的可用性；SDS对SIP信令流进行细粒度检测与防御，利用一种基于安全级别设定的攻击减弱方法检测并过滤具有明显DoS攻击特征的恶意攻击和低流量攻击，FDS和SDS协同工作来实时检测网络状况，减弱SIP分布式洪泛攻击。5．针对SIP即时消息的实时性问题，研究了其在SIP网络中的行为特征及黑白名单机制处理检测的高效性，提出了一种基于社会网络和黑白名单机制的SPIM检测和防御模型。该模型将基于社会网络的识别模型和改进的黑白名单机制结合，并利用自动更新算法对基于社会网络的识别模型进行自动更新，提高了SIP垃圾即时消息的检测性能和检测准确率。最后，提出了一种两层融合分类器检测和防御机制，将研究成果应用到融合分类器的各个部分中，并通过实验验证了设计机制的可行性和有效性。