[发明专利]基于CUSUM算法检测SIP消息洪泛攻击的装置和方法

摘要

一种基于CUSUM算法的检测SIP消息洪泛攻击的装置和方法，该装置由采集层、数据层、检测层和响应层四层架构的多个功能模块所组成。采集层的抓包模块采集网络中SIP数据包，数据层的模块对来自采集层的SIP数据包作预处理，并分别存储抓到的INVITE消息和REGISTER消息的总数目；检测层的CUSUM模块采用CUSUM算法调对存储的INVITE消息数值和REGISTER消息数值进行检测和输出检测结果。响应层的报警模块对检测结果进行判断是否告警：若检测结果超过设定阈值时，认为遭到SIP消息洪泛攻击，发出告警信号；否则，表示网络运行正常。本发明装置和方法简单、实用，容易实现，能有效检测出NGN网络中的针对SIP消息的洪泛攻击。

主权项

1、一种基于非参数累积和CUSUM算法的检测SIP消息洪泛攻击的装置，其特征在于：所述装置是由采集层、数据层、检测层和响应层四层架构的相关功能模块所组成，其中：采集层，设有通过调用UNIX/LINUX系统函数和使用SIP协议栈抓取在网络中传输的SIP数据包的抓包模块，以完成采集网络中的SIP数据包的功能；数据层，负责对来自采集层的SIP数据包进行预处理，并对得到的INVITE消息和REGISTER消息的数值分别进行存储处理；设有对SIP数据包中的INVITE消息和REGISTER消息分别累加统计其数量的数据预处理模块，以及分别存储INVITE消息和REGISTER消息的统计数值、以供检测层调用的INVITE数值存储模块和REGISTER数值存储模块；检测层，设有分别对INVITE消息数值和REGISTER消息数值进行处理的基于非参数累积和CUSUM算法的功能模块，负责分别调用数据层中存储的INVITE消息数值和REGISTER消息数值，并采用CUSUM算法对上述消息数值进行检测处理，得到检测结果；响应层，设有接收检测层的检测结果数据，并判断是否告警的报警模块，当检测结果数据超过响应层设定的阈值时，该报警模块认为遭到SIP消息洪泛攻击，就发出告警信号；否则，表示网络运行正常，未发生SIP消息洪泛攻击。