一种SIP消息洪泛攻击的检测装置和检测方法制造方法及图纸

一种ＳＩＰ消息洪泛攻击的检测装置和检测方法，该检测装置由采集层、数据层、检测层和响应层四层架构的相关功能模块所组成。其中采集层设有采集网络中ＳＩＰ数据包的抓包模块。数据层对来自采集层的ＳＩＰ数据包作预处理，并分别存储抓到的ＩＮＶＩＴＥ消息和ＲＥＧＩＳＴＥＲ消息的总数目。检测层负责调用该存储的ＩＮＶＩＴＥ消息数值和ＲＥＧＩＳＴＥＲ消息数值，并采用ＤＷ－ＣＵＳＵＭ算法对该数值进行检测和输出检测结果。响应层的报警模块对该检测结果进行判断决策是否告警：若检测结果超过设定阈值时，认为遭到ＳＩＰ消息洪泛攻击，发出告警信号；否则，表示网络运行正常。本发明专利技术能有效检测出ＮＧＮ网络中的针对ＳＩＰ消息的洪泛攻击，且检测性能优秀，为ＮＧＮ通信业务提供安全保证。

【技术实现步骤摘要】

【技术保护点】
一种ＳＩＰ消息洪泛攻击的检测装置，其特征在于：所述装置是由采集层、数据层、检测层和响应层四层架构的相关功能模块所组成，其中：　采集层，设有通过调用ＵＮＩＸ／ＬＩＮＵＸ系统函数和使用ＳＩＰ协议栈抓取在网络中传输的ＳＩＰ数据包的抓包模块， 以完成采集网络中的ＳＩＰ数据包的功能；　数据层，负责对来自采集层的ＳＩＰ数据包进行预处理，并对得到的ＩＮＶＩＴＥ消息和ＲＥＧＩＳＴＥＲ消息的数值分别进行存储处理；设有对ＳＩＰ数据包中的ＩＮＶＩＴＥ消息和ＲＥＧＩＳＴＥＲ消息分别累加统计 其数量的数据预处理模块，以及分别存储ＩＮＶＩＴＥ消息和ＲＥＧＩＳＴＥＲ消息的统计数值、以供检测层调用的ＩＮＶＩＴＥ数值存储模块和ＲＥＧＩＳＴＥＲ数值存储模块；　检测层，设有分别对ＩＮＶＩＴＥ消息数值和ＲＥＧＩＳＴＥＲ消息数值进行处理的 基于双窗口非参数累积和ＤＷ－ＣＵＳＵＭ算法的功能模块，负责调用数据层中存储的ＩＮＶＩＴＥ消息数值和ＲＥＧＩＳＴＥＲ消息数值，并采用ＤＷ－ＣＵＳＵＭ算法对上述消息数值进行检测处理，得到检测结果；　响应层，设有接收检测层输出的检测结果数据 进行决策是否告警的报警模块，当检测结果数据超过响应层设定的阈值时，该模块认为遭到ＳＩＰ洪泛攻击，就发出告警信号；否则，表示网络运行正常，未发生ＳＩＰ洪泛攻击。...

【技术特征摘要】

【专利技术属性】
技术研发人员：闫丹凤，孙其博，杨放春，李静林，王尚广，
申请(专利权)人：北京邮电大学，
类型：发明
国别省市：11[中国|北京]