验证用户设备(UE)位置的方法、系统和计算机可读介质
| 专利类型 | 发明公开 | 法律事件 | 公开; 实质审查; 授权; |
| 专利有效性 | 有效专利 | 当前状态 | 授权 |
| 申请号 | CN201880040477.9 | 申请日 | 2018-04-30 |
| 公开(公告)号 | CN110800322A | 公开(公告)日 | 2020-02-14 |
| 申请人 | 甲骨文国际公司; | 申请人类型 | 企业 |
| 发明人 | T·E·鲁塞尔; | 第一发明人 | T·E·鲁塞尔 |
| 权利人 | 甲骨文国际公司 | 权利人类型 | 企业 |
| 当前权利人 | 甲骨文国际公司 | 当前权利人类型 | 企业 |
| 省份 | 当前专利权人所在省份： | 城市 | 当前专利权人所在城市： |
| 具体地址 | 当前专利权人所在详细地址：美国加利福尼亚 | 邮编 | 当前专利权人邮编： |
| 主IPC国际分类 | H04W4/02 | 所有IPC国际分类 | H04W4/02 ; H04W12/12 ; H04W64/00 ; H04W12/00 |
| 专利引用数量 | 7 | 专利被引用数量 | 2 |
| 专利权利要求数量 | 20 | 专利文献类型 | A |
| 专利代理机构 | 中国国际贸易促进委员会专利商标事务所 | 专利代理人 | 冯薇; |
| 摘要 | 一种用于验证UE 位置 的方法，包括在网络网关处接收用于利用 移动通信网络 更新UE的位置的信令消息。从信令消息中提取用户设备位置的第一指示。查询以下中的一个以获得UE的位置的第二指示：包含从驻留在UE上的UE位置报告应用获得的UE位置信息的基于 云 的UE位置 数据库 ；包含由UE标识符进行索引的会员卡 交易记录 的基于云的会员卡交易数据库；以及通过从移动性管理实体(MME) 请求 或接收UE位置信息来获得UE位置信息的移动位置中心(MLC)。根据UE的位置的第一指示和第二指示之间的关系来确定信令消息可疑。响应于确定信令消息可疑，将策略规则应用于信令消息的处理。 | ||
| 权利要求 | 1.一种用于验证用户设备UE位置的方法，所述方法包括： |
||
| 说明书全文 | 验证用户设备(UE)位置的方法、系统和计算机可读介质技术领域[0003] 本文描述的主题涉及增强电信网络安全性。更具体地，本文描述的主题涉及验证UE位置作为允许处理位置更新信令消息的条件。 背景技术[0004] 像大多数计算机网络一样，电信信令网络具有一定的攻击漏洞。例如，在移动通信网络中，如果攻击者可以访问由归属位置寄存器(HLR)或归属订户服务器(HSS)维护的订户信息，那么攻击者可以使用该信息窃听涉及订户的文本消息和语音对话。因而，期望保护由HLR或HSS维护的订户信息。 [0005] 保护由HLR或HSS维护的订户信息可能是困难的，因为订户信息是响应于位置更新过程而通过网络传输的，并且不存在对此类过程的发起者的认证或核实。例如，当UE附接到网络时，附接点(SS7网络中的移动交换中心/访问者位置寄存器(MSC/VLR)或Diameter网络中的移动性管理实体(MME))将消息收发(messaging)发送给HLR或HSS，以便用HLR或HSS更新UE的位置。HLR或HSS用有关订户的订阅信息进行响应。订阅信息可能被用于窃听或以其它方式影响去往UE或来自UE的通信。 [0006] 如果攻击者伪装成服务于UE的有效网络元素，但代替地充当订阅信息的拦截点，那么攻击者可以使用更新位置过程来获得订阅信息。例如，攻击者可以向订户的HLR或HSS网络发送伪造的更新位置消息。HLR或HSS可以用订户的订阅信息来响应攻击者，就好像攻击者是当前已在其中注册UE的有效MSC/VLR或MME一样。订阅信息在位置更新响应消息中被传输给攻击者。一旦攻击者具有订阅信息，攻击者就可以窃听涉及订户的通信。 [0007] 信用卡公司已使用来自移动通信网络的位置信息来验证信用卡交易。例如，信用卡公司或发卡银行可以使用来自移动通信网络的位置信息来核实信用卡交易的位置是否与用户的位置对应。如果两个位置不匹配，那么信用卡公司可以请求订户进行交易核实。但是，虽然这样的核实防止欺诈性的信用卡购买交易，但是底层移动通信网络中的位置更新交易并未受到监管或受到其它影响。 [0008] 因而，需要用于验证用户设备位置的方法、系统和计算机可读介质。发明内容 [0009] 公开了用于验证UE位置的方法、系统和计算机可读介质。一种用于验证用户设备(UE)位置的方法，该方法包括：由网络网关接收用于利用移动通信网络更新UE的位置的信令消息。该方法还包括从信令消息中提取UE的位置的第一指示。该方法还包括通过查询以下中的一个以获得UE的位置的第二指示：包含从驻留在UE上的UE位置报告应用获得的UE位置信息的基于云的UE位置数据库、包含由UE标识符进行索引的会员卡交易记录的基于云的会员卡交易数据库、以及通过从移动性管理实体(MME)请求或接收UE位置信息来获得UE位置信息的移动位置中心(MLC)。该方法还包括根据UE的位置的第一指示和第二指示之间的关系确定信令消息可疑。该方法还包括响应于确定信令消息可疑，将策略规则应用于信令消息的处理。 [0010] 根据本文描述的主题的一个方面，从中提取UE的位置的第一指示的信令消息包括Diameter更新位置请求(ULR)消息和SS7位置更新消息中的一个。 [0011] 根据本文描述的主题的另一方面，UE的位置的第一指示包括从信令消息中提取的网络身份。在一个示例中，网络身份可以是被访问的公共陆地移动网络(PLMN)标识符。被访问的PLMN标识符可以包括移动网络代码(MNC)和移动国家代码(MCC)，可以将其与其它位置信息进行比较以验证UE位置。 [0012] 根据本文描述的主题的又一方面，与从信令消息中提取的信息进行比较的UE的位置的第二指示可以包括UE的全球定位系统(GPS)坐标。在这样的实施方式中，根据UE的位置的第一指示和第二指示之间的关系确定信令消息可疑可以包括确定由GPS坐标指示的位置与从信令消息中提取的UE的位置的第一指示不匹配。在一个示例中，可以从包含由UE上的UE位置报告应用填充的UE位置信息的基于云的UE位置数据库获得UE的GPS坐标。 [0013] 根据本文描述的主题的又一方面，将与从信令消息中提取的位置信息进行比较的UE的位置的第二指示可以包括从基于云的会员卡交易数据库获得的会员卡交易位置。在这样的实施方式中，根据UE的位置的第一指示和第二指示之间的关系确定信令消息可疑包括确定会员卡交易位置与UE的位置的第一指示不匹配。 [0014] 根据本文描述的主题的又一方面，与从信令消息中提取的信息进行比较的UE的位置的第二指示是从基于云的会员卡交易数据库获得的位置。在这种情况下，确定信令消息可疑包括确定会员卡交易位置与UE的位置的第一指示不匹配。 [0016] 根据本文描述的主题的又一方面，响应于位置不匹配而应用策略规则包括阻止信令消息被转发到归属订户服务器(HSS)或归属位置寄存器(HLR)、将该信令消息标记为可疑，并将消息的副本转发到欺诈分析平台。 [0017] 根据本文描述的主题的又一方面，公开了一种用于验证用户设备(UE)位置的系统。该系统包括网络网关。网络网关包括位于该网络网关中的消息处理器，该消息处理器用于接收用于利用移动通信网络更新UE的位置的信令消息。该系统还包括与网络网关操作地关联的UE位置验证模块，该UE位置验证模块用于从信令消息中提取UE的位置的第一指示，通过查询以下中的一个以获得UE的位置的第二指示：包含从驻留在UE上的UE位置报告应用获得的UE位置信息的基于云的UE位置数据库、包含由UE标识符进行索引的会员卡交易记录的基于云的会员卡交易数据库、以及通过从移动性管理实体(MME)请求或接收UE位置信息来获得UE位置信息的移动位置中心(MLC)，以及根据UE的位置的第一指示和第二指示之间的关系确定信令消息可疑。响应于确定信令消息可疑，网络网关将策略规则应用于信令消息的处理。 [0018] 如本文所使用的，术语“位置更新消息”是指用于更新电信网络中的位置和其它移动订户的消息。“位置更新消息”旨在覆盖Diameter更新位置请求消息、SS7移动应用部分(MAP)更新位置消息或用于用网络更新电信网络订户的位置的其它消息。 [0019] 本文描述的主题可以以硬件、软件、固件或其任何组合来实现。照此，如本文所使用的术语“功能”、“节点”或“模块”是指硬件，其也可以包括软件和/或固件部件，用于实现所描述的特征。在一个示例性实施方式中，本文描述的主题可以使用其上存储有计算机可执行指令的计算机可读介质来实现，该计算机可执行指令在由计算机的处理器执行时控制计算机执行步骤。适于实现本文所述主题的示例性计算机可读介质包括非暂态计算机可读介质，诸如盘存储器设备、芯片存储器设备、可编程逻辑设备和专用集成电路。此外，实现本文所述主题的计算机可读介质可以位于单个设备或计算平台上，或者可以分布在多个设备或计算平台上。附图说明 [0020] 现在将参考附图来解释本文所述的主题： [0021] 图1是图示用于使用从移动设备获得的通过云网络可用的GPS数据来验证UE位置的方法和系统的网络图； [0022] 图2是图示用于在云网络中使用会员卡(loyalty card)交易信息来验证UE位置的方法和系统的网络图； [0023] 图3A-3C是图示用于使用由移动位置中心提供的位置数据来验证UE位置的方法和系统的网络图； [0024] 图4是图示用于验证SS7网络中的UE位置的方法和系统的网络图； [0026] 图6是图示用于验证UE位置的示例性处理的流程图。 具体实施方式[0027] 本文所述的主题涉及用于使用这样的验证来验证UE位置并减少信令网络攻击漏洞的方法、系统和非暂态计算机可读介质。图1是图示根据本文所述主题的用于验证UE位置的方法和系统的网络图。参考图1，图示了几个网络。在图1中，移动订户的归属网络包括网络网关100，该网络网关100具有用于验证UE位置的UE位置验证模块102。归属网络还包括存储订户数据记录的HSS 104，该订户数据记录包括期望保护的订户数据。包括至少一个处理器108的欺诈分析平台106分析UE位置验证模块102标记为可疑的消息中是否存在位置欺诈。还图示了包括云UE GPS数据库110的云网络。云UE GPS数据库110存储从可以驻留在每个UE 114上的位置报告应用112获得的UE的GPS坐标。 [0028] 在示出的示例中，UE 114在归属网络外部的网络中漫游并且被附接到真实(real)MME 116。位置报告应用112可以与UE 114上的GPS收发器对接以确定UE的GPS位置。UE位置报告应用112可以周期性地将GPS位置数据推送到云UE GPS数据库110或者响应于来自云UE GPS数据库110的查询而将GPS位置数据提供给云UE GPS数据库。任何一种实施方式都旨在落入本文所述的主题的范围内。 [0029] 图1所示的另一个网络是攻击者网络。在攻击者网络中，攻击者118伪装成真实MME。伪装成真实MME包括生成有效消息，诸如Diameter更新位置请求(ULR)消息并将这些消息转发到其它网络，以尝试从那些网络获得订户信息。攻击者118可以是具有通过网络进行通信并生成位置更新消息收发(诸如Diameter和/或SS7位置更新消息收发)的能力的计算平台。如果攻击者118可以生成位置更新消息收发并且攻击者118可以访问有效的订户标识符(诸如国际移动站标识符(IMSI)、移动订户集成服务数字网络(MSISDN)号码和/或国际移动设备标识符(IMEI))，那么攻击者118可以使用位置更新消息收发来生成攻击，以从HSS 104获得识别出的订户的订阅信息。 [0030] 在所示的示例中，攻击者118生成Diameter更新位置请求(ULR)消息并将该消息发送到网络网关100。ULR消息包含UE114的标识符，但是将响应指引回攻击者118而不是MME 116，UE114实际上在MME 116中注册。网络网关100接收ULR消息并且，在没有本文描述的UE位置验证过程的情况下，将简单地将该消息转发到HSS 104。然后，HSS 104将制定并发送带有订阅信息的更新位置应答(ULA)消息。网络网关100然后将ULA消息路由到攻击者118。攻击者118然后将从ULA消息中提取订阅信息，并使用该信息来拦截去往或来自UE 114的呼叫或其它通信。 [0031] 但是，UE位置验证模块102不是简单地将ULR消息传递给HSS 104，而是查询与更新位置请求消息分开的源以获得UE位置信息，并使用该信息来执行位置验证。在图1中，位置验证模块102查询云UE GPS数据库110以请求UE的GPS位置。云UE GPS数据库110访问其数据库中的UE的记录，并将UE位置响应传输到UE位置验证模块102。云UE GPS数据库110与UE位置验证模块102之间的干扰可以是应用编程接口(API)，该API定义消息、消息参数和功能调用以从云UE GPS数据库110获得UE位置。 [0032] 云UE GPS数据库110可以通过首先检查数据库110是否包含UE 114的当前GPS位置来获得UE 114的GPS位置。如果数据库110中的UE 114的位置是当前的(例如，在从当前时间起的预定时间段内被更新，其中该时间段可由网络运营商配置)，那么云UEGPS数据库110可以将存储的GPS位置提供为UE的当前位置。如果云UE GPS数据库110不包含UE的当前GPS位置，那么云UEGPS数据库110可以向UE 114查询其当前位置。响应于该查询，位置报告应用112可以用UE 114的当前GPS坐标进行响应。云UEGPS数据库110可以从UE位置报告应用112接收GPS位置，并将位置信息转发到UE位置验证模块102。 [0033] 在接收到UE 114的GPS位置数据后，UE位置验证模块102通过将ULR中的UE位置信息与云UE GPS数据库110提供的GPS坐标进行比较来执行位置验证检查。如果ULR位置信息与GPS位置信息匹配，那么网关100将ULR转发到HSS 104以进行进一步的更新位置处理。但是，如果GPS位置数据与ULR中的位置数据不匹配，那么位置验证失败并且UE位置验证模块102阻止ULR被转发到HSS 104。 [0034] 响应于对UE位置的不成功验证，UE位置验证模块102可以将ULR消息标记为可疑，并且将可疑消息的副本转发到欺诈分析平台106。欺诈分析平台106可以分析ULR消息、提取识别攻击者118的信息，并使用该信息来填充网络网关100中的访问控制列表，以阻止来自攻击者118的后续消息。 [0035] 因此，在图1中，由驻留在UE 114上的位置报告应用112提供并存储在云网络中的UE GPS数据用于验证UE设备位置，并降低成功攻击以获得存储在HSS 104中的订阅数据的可能性。 [0036] 如上所述，UE位置验证模块102将从ULR消息中提取的位置信息与从云GPS数据库110获得的GPS坐标进行比较。因为ULR消息不包含GPS坐标，所以可以要求某种映射。下面示出的表1包括可以被包括在Diameter ULR消息中的必填(mandatory)字段和可选(optional)字段。 [0037] [0038] 表1：更新位置请求必填字段和可选字段在表1中，更新位置请求消息包括访问公共陆地移动网络(PLMN)ID字段。被访问的PLMN ID识别UE当前附接到的移动国家代码(MCC)和移动网络代码(MNC)。可以将国家和网络信息与从云UE GPS数据库110获得的GPS坐标进行比较，以确定ULR是否可疑。例如，如果从云UE GPS数据库110获得的GPS坐标指示UE位于与从ULR消息中提取的国家代码不匹配的国家中，那么ULR消息可以被识别为可疑的。类似地，如果从数据库110中提取的GPS坐标与被访问的PLMN ID字段中的移动网络代码所指示的网络覆盖区域内的位置不匹配，那么ULR消息可以被标记为可疑。如果从云GPS数据库110获得的GPS坐标与从ULR消息获得的国家和网络匹配，那么UE位置验证通过并且UE位置验证模块102可以将ULR消息转发到HSS 104以进行进一步的位置更新处理。 [0039] 在图1中，由UE提供给基于云的位置数据库的GPS位置数据被UE位置验证模块102用来验证UE位置。在替代实施方式中，可以使用从基于云的会员卡交易数据库获得的位置信息来验证UE位置。图2图示了这种实施方式。在图2中，会员卡交易数据库200从会员卡交易(诸如信用卡交易、借记卡交易或为其存储交易位置信息的其它电子交易)中获得UE位置信息。这种交易信息可以从常规的塑料信用卡或借记卡交易中获得，或者从涉及在UE上维护的软件实现的卡的交易中获得。此类交易可以包括标识符，诸如可以参考订户和UE的个人账号(PAN)号。这种交易数据还包括交易的时间信息和位置信息。因此，为了用于验证UE位置，会员卡交易数据库200可以被更新或扩充以包括UE标识信息，诸如MSISDN、IMSI和/或IMEI号。下面示出的表2说明了可以在会员卡交易数据库200中维护以支持UE位置验证的记录的示例。 [0040] [0041] 表2：支持UE位置验证的会员卡交易数据在表2中，示出了针对UE标识符9194938000的特定日期的会员卡交易记录。例如，当移动订户注册新的会员卡时，数据库 200的运营商可以在数据库200中配置UE标识符。可替代地，当UE被用于进行会员卡交易时，可以动态地配置数据库200。在所示的示例中，记录包括会员卡标识符，该会员卡标识符可以是PAN号、交易位置和交易时间。交易位置可以是为会员卡交易而存储的位置的任何指示。为了便于说明，示出了交易的城市和州。但是，应该理解的是，可以存储更精确的位置，诸如交易的GPS位置或零售店位置。该记录还包括交易时间，该时间显示为一天中的时间和日期。 [0042] 为了使用在会员卡交易数据库200中维护的会员卡交易信息来验证UE的位置，当UE位置验证模块102从MME或伪装成MME的攻击者接收到ULR消息时，UE位置验证模块102可以查询会员卡交易数据库200。会员卡交易数据库200可以通过提供诸如表2中所示的记录之类的记录进行响应，这些记录示出了在给定日期涉及订户的会员卡交易的位置。UE位置验证模块102可以将从ULR消息中提取的位置信息与从会员卡交易数据库200获得的交易位置信息进行比较，并确定是否存在匹配。如果从ULR消息获得的位置信息与从会员卡交易数据库200获得或导出的位置信息匹配，那么UE位置验证模块102可以将ULR消息转发到HSS 104，而无需进一步的UE位置验证处理。但是，如果从ULR消息中提取的位置信息与从会员卡交易数据库200获得或导出的信息不匹配，那么位置验证模块102可以阻止向HSS 104发送ULR消息、将ULR消息标记为可疑，并将ULR消息的副本转发到欺诈分析平台106。 [0043] 欺诈分析平台106可以分析该消息并可能填充网络网关100上的访问控制数据库，以阻止来自伪装成真实MME的攻击者的其它消息。例如，使用表1中的数据，如果ULR消息包含指示UE在6/7/17在加利福尼亚州洛杉矶的MME处进行注册的数据，那么该数据与从数据库200获得的交易位置信息不匹配，因为数据库200中该订户的所有条目都指示该订户在2017年6月7日位于北卡罗来纳州。因而，在这种情况下，UE位置验证模块102将阻止ULR消息并将该消息发送到欺诈分析平台106。 [0044] 在本文所述主题的又一个替代实施方式中，UE位置验证模块102可以查询移动位置中心(诸如网关移动位置中心(GMLC))以获得用于位置验证的UE位置信息。图3A图示了这样的实施方式。参考图3A，GMLC 300存储从真实MME 302获得的订户位置信息。MME 302通过eNode B 304连接到UE 114。GMLC 300通过其获得位置信息的示例处理在图3B和图3C中示出。参考图3B，在一个示例中，GMLC 300可以使用提供订户位置请求消息向MME 302查询位置信息。提供订户位置请求消息包含UE订户IMSI以及所请求的位置信息的类型(例如，当前位置以及可选地速度)。下面示出的表3说明了可以被包括在提供订户位置请求消息中的必填字段和可选字段。 [0045] [0046] [0047] 表3：提供订户位置请求中的必填可选字段 [0048] 在表3中，提供订户位置信息请求中的必填字段包括IMSI、MSISDN或IMEI以及所请求的位置类型。其它必填字段包括发出请求的位置服务客户端的名称和客户端类型。 [0049] 响应于接收到订户位置信息请求消息，MME 302以提供订户位置响应进行响应。下面示出的表4说明了提供订户位置响应消息的必填字段和可选字段。 [0050] [0051] 表4：提供订户位置响应中的必填字段和可选字段 [0052] 如表4所示，提供订户位置响应中的可选字段包括位置信息，诸如通用坐标中UE位置的估计、位置信息的准确性的指示、位置信息的年龄、速度估计、服务器节点等。UE位置验证模块102可以使用这些可选信息字段中的任何一个或多个来验证从更新位置请求消息中提取的UE位置信息。例如，UE位置验证模块102可以从GMLC 300获得位置估计。UE位置验证模块102可以将从GMLC 300获得的位置估计与从ULR消息中提取的移动网络和移动国家代码进行比较。如果位置估计指示UE位于与从ULR消息获得的与国家和网络对应的位置不同的位置，那么UE位置验证模块102可以阻止ULR消息被转发到HSS 104。如果位置估计与从ULR消息获得的移动网络和国家代码匹配，那么UE位置验证模块102可以允许将ULR消息转发到HSS 104以用于进一步的位置更新处理。 [0053] GMLC 300还可以从MME 302获得订户位置信息，而无需发送提供订户位置请求消息。这个过程在图3C中示出。在图3C中，MME 302在不首先查询位置信息的情况下将订户位置报告消息发送到GMLC 300。下面示出的表5说明了示例性位置和可以被包括在提供订户位置报告消息中的其它信息。 [0054] [0055] [0056] 表5：订户位置报告消息中的必填字段和可选字段 [0057] 如上面的表5中所示，订户位置报告消息包括订户的IMSI、MSISDN或IMEI。订户位置报告消息还包括指定订户位置、位置准确性和位置时间的各个字段。如将在下面进一步详细描述的，UE位置验证模块102可以使用这个位置信息来验证从Diameter ULR消息中提取的位置信息。在图3C中，响应于订户位置报告消息，GMLC300发送订户位置报告ACK，该订户位置报告ACK指示对订户位置报告消息的成功的或不成功的处理。订户位置报告ACK消息的结构对于本文所述的主题不重要，因此不提供其描述。 [0058] 返回图3A，当UE位置验证模块102从伪装成MME的攻击者118接收到ULR消息时，UE位置验证模块102向GMLC 300发送对位置信息的请求。可以根据API来格式化该请求，GMLC 300通过该API允许UE位置验证模块102访问由GMLC 300维护的位置数据。对位置信息的请求可以包括UE的IMSI、MSISDN和/或IMEI。GMLC 300可以使用被包括在来自位置验证模块 102的请求中的(一个或多个)订户标识符来访问其内部位置数据库，找到包含UE的位置信息的记录，并且通过向UE位置验证模块102发送位置信息响应消息来将该信息提供给UE位置验证模块102。UE位置验证模块102可以将从ULR消息中提取的位置信息与从GMLC 300获得的UE位置信息进行比较。上面示出的表1说明了ULR中的必填字段和可选字段，这些字段可以与从GMLC 300获得的位置数据进行比较。 [0059] 如以上关于表1所述，对于验证感兴趣的来自ULR的位置信息可以包括被访问的PLMN ID字段。被访问的PLMN ID字段包含移动国家代码和移动网络代码。可以将移动国家代码和移动网络代码与从GMLC 300获得的位置信息进行比较。例如，可以将移动国家代码和移动网络呼叫与从订户位置报告消息的位置估计字段中提取并由GMLC 300存储的数据进行比较。如果信息匹配，那么UE位置验证模块102可以将ULR消息转发到HSS 104，而无需进一步的UE位置验证处理。如果ULR消息中的信息与从GMLC 300获得的信息不匹配，那么UE位置验证102可以阻止将ULR消息转发到HSS 104、将该消息标记为可疑、并将该消息的副本发送到欺诈分析平台106。欺诈分析平台106可以处理ULR消息以识别伪装成MME的攻击者118，并可能填充网络网关100中的访问控制数据库，以阻止来自攻击者118的其它消息。 [0060] 图1-图3中的示例着重于识别欺诈性的Diameter更新位置请求消息。但是，本文所述的主题不限于识别欺诈性的Diameter更新位置请求消息。网络网关100还可以识别欺诈性的信令系统七(SS7)移动应用部分(MAP)位置更新消息。图4图示了这样的示例。在图4中，网络网关100包括信号传送点(STP)，STP包括UE位置验证模块102。网络网关100位于UE 114的归属网络中，并且路由消息往返于HLR 400的消息，HLR 400包含UE 114的订阅数据。STP 100还连接到位于归属网络中的移动交换中心(MSC)402和UE位置数据库，该UE位置数据库可以是上面描述的数据库110、200或300。 [0061] 在图示的示例中，UE 114在被访问网络(visited network)中漫游，并且当前被附接到被访问网络中的MSC/VLR 404。攻击者406位于与被访问网络分离的攻击者网络中，并伪装成MSC/VLR。在所示的示例中，攻击者406将MAP位置更新消息发送到HLR 400。位置更新消息包括识别UE 114的标识符，诸如IMSI、MSISDN和/或IMEI。位置更新消息是SS7消息的移动应用部分中所携带的(临时标准-41)IS-41消息，并且包含服务于订户的MSC/VLR的标识符以及MSC/VLR的SS7点码。响应于接收到MAP位置更新消息，UE位置验证模块102可以用订户或UE标识符来查询UE位置数据库110、200或300，并从数据库110、200或300中获得具有UE位置数据的位置响应。然后，UE位置验证模块102通过将从MAP位置更新消息中提取的位置信息与从UE位置数据库110、200或300获得的UE位置信息进行比较来执行UE位置验证。如果位置不匹配，那么UE位置验证模块102可以将位置更新消息标记为可疑、阻止位置更新消息被发送到HLR 400、并将可疑位置更新消息的副本转发到欺诈分析平台106以供进一步处理。欺诈分析平台106可以提取MSC/VLR地址，并使用该信息填充STP 100中的访问控制数据库，以阻止来自攻击者118的其它消息。如果UE位置验证模块102确定MAP位置更新消息中的位置与从数据库110、200或300获得的UE位置匹配，那么UE位置验证模块102可以将位置更新消息转发到HLR 400而无需进一步的位置验证处理。因此，UE位置验证模块102对SS7位置更新消息执行UE位置验证。 [0062] 图5是图示网络网关100的示例性内部体系架构的框图。在所示的示例中，网络网关100包括Diameter信令路由器(DSR)和/或STP功能。DSR功能可以包括作为Diameter路由代理(DRA)和/或Diameter边缘代理(DEA)进行操作的能力。作为Diameter路由代理进行操作包括基于信令消息中的Diameter信息来路由和筛选(screening)Diameter信令消息。作为Diameter边缘代理进行操作可以包括基于消息中的Diameter级别信息在网络边缘或两个网络之间的边界处路由和筛选Diameter信令消息。作为STP进行操作可以包括基于消息中的SS7信息来路由和/或筛选SS7消息。因此，网络网关100可以是DSR、STP、或DSR和STP的组合。 [0063] 网络网关100可以对源自伪装成长期演进网络中的MME或SS7网络中的MSC/VLR的攻击者的SS7位置更新消息和Diameter更新位置请求消息执行UE位置验证。如果网络网关100实现了STP功能，那么位置验证模块102可以验证SS7 MAP位置更新消息中的位置信息，并在失败的UE位置验证后阻止将此类消息转发到HLR。如果网络网关100实现了DSR功能，那么位置验证模块102可以在失败的UE位置验证之后阻止将Diameter LR消息转发到HSS。 [0064] 参考图5的体系架构，网络网关100包括多个消息处理器500、502、504和506。每个消息处理器包括至少一个处理器508和存储器510。每个消息处理器可以使用印刷电路板(诸如刀片(blade))以及经由背板或其它连接与电路板上的其他的相关联连接来实现。 [0065] 每个消息处理器500、502、504和506可以被配置有执行一个或多个特定功能的软件。在所示的示例中，消息处理器500被配置有实现Diameter连接和路由功能的软件。消息处理器500因此包括维持与其它Diameter节点的Diameter连接的Diameter连接层(DCL)512以及将Diameter消息路由到其它节点以及到消息处理器504和506以进行应用处理的Diameter路由层(DRL)514。 [0066] 消息处理器502被配置有实现SS7连接和路由功能的软件。因而，消息处理器502包括允许SS7消息通过IP网络被运输的信令运输(SIGTRAN)协议栈516以及携带SS7信息(诸如MTP3、信令连接控制部分(SCCP)、事务处理能力应用部分(TCAP)和MAP信息)的SS7协议栈518(减去MTP层1和层2)。 [0067] 消息处理器504包括用于执行如上所述的UE位置验证的UE位置验证模块102。消息处理器506可以包括用于处理Diameter和/或SS7消息的其它应用520。可以实现的其它应用的示例包括号码可移植性、全局标题翻译、HLR或HSS位置高速缓存等。 [0068] 因此，当诸如Diameter ULR或SS7 MAP位置更新消息之类的位置更新消息到达消息处理器500和502中的一个时，接收消息处理器将该消息转发到消息处理器504以进行UE位置验证处理。UE位置验证模块102通过查询适当的位置信息源、获得外部位置信息并使用该信息与从位置更新消息中提取的信息进行比较来验证消息。如果消息通过了UE位置验证，那么UE位置验证模块102经由适当的出口消息处理器500或502将消息转发到HLR或HSS。如果消息未通过UE位置验证，那么UE位置验证模块102将消息标记为可疑，并经由消息处理器500或502中的一个将消息的副本发送到欺诈分析平台106。 [0069] 图6是图示根据本文所述主题的方面的用于验证UE位置信息的示例性处理的流程图。参考图6，在步骤600中，接收UE位置更新请求。例如，网络网关100可以接收Diameter ULR消息或SS7MAP位置更新消息。在步骤602中，从UE位置更新请求中提取位置更新请求相关的UE的位置的第一指示。例如，UE位置验证模块102可以提取被访问的PLMN ID或指示UE位置更新请求源自其的位置的其它数据。在步骤604中，网络网关100查询以下中的一个以获得位置更新请求相关的UE的位置的第二指示：包含从驻留在UE上的UE位置报告应用获得的UE位置信息的基于云的UE位置数据库、包含由UE标识符进行索引的会员卡交易记录的基于云的会员卡交易数据库、以及通过从移动性管理实体(MME)请求或接收UE位置信息来获得UE位置信息的移动位置中心(MLC)。例如，UE位置验证模块102可以查询云GPS数据库110、会员卡交易数据库200或GMLC 300以获得UE的位置的第二指示。该查询可以包括IMSI、MSISDN、IMEI或用于UE的其它标识符。 [0070] 在步骤606中，确定UE的位置的第一指示与第二指示是否匹配。确定UE位置的指示是否匹配可以包括将从基于云的UE位置数据库、基于云的会员卡交易数据库或MLC获得的位置与从信令消息中提取的位置进行比较以更新订户的位置。如果外部位置源是云GPS数据库110，那么比较可以包括确定由从更新位置消息中提取的MNC指定的移动网络在由GPS坐标指定的位置处是否具有无线电覆盖。类似地，如果外部位置源是会员卡交易数据库200，那么确定位置的指示是否匹配可以包括确定从会员卡交易数据库200获得的交易位置是否与由位置更新消息中的移动网络代码指定的MNC所指定的移动网络具有无线电覆盖的位置相对应。如果外部位置源是GMLC 300，那么确定UE的位置的第一指示与第二指示是否匹配可以包括确定由更新位置消息中的MNC指定的网络在由从GMLC 300获得的位置估计指定的坐标处是否具有无线电覆盖。应当理解的是，这些位置比较仅出于示例目的而给出，并且在不脱离本文所述的主题的范围的情况下，可以将来自Diameter更新位置请求或SS7位置更新消息中指定UE位置或可以从中得出UE位置的任何字段与本文列出的指定UE位置或可以从中得出UE位置的任何参数进行比较。 [0071] 如果UE的位置的第一指示与第二指示匹配，那么控制前进到步骤608，其中将UE位置更新请求路由到HLR或HSS，并且UE位置验证处理结束。但是，如果在步骤606中确定UE位置信息不匹配，那么控制前进到步骤610，在步骤610中，UE更新位置请求被阻止或被防止转发到HLR或HSS。然后控制前进到步骤612，在步骤612中，UE更新位置请求被标记为可疑，并被转发到欺诈分析平台106。欺诈分析平台106可以分析可疑的更新位置请求消息、创建访问控制列表条目的数据用于阻止来自攻击者的未来通信、并且将数据转发到网络网关100以安装在由网络网关100维护的访问控制列表中。 [0072] 代替创建访问控制列表条目，欺诈分析平台106可以对与位置更新消息相关联的MSISDN、IMSI和/或IMEI做标志，并创建用于填充由网络网关100维护的筛选数据库的数据，并将筛选数据转发到网络网关100。网络网关100可以将筛选数据安装在筛选数据库中，以便复制由网络网关100接收的包括MSISDN、IMSI和/或IMEI的任何消息，并将消息副本发送到欺诈分析平台106以进行进一步的欺诈分析。如果进一步的分析指示该消息源自攻击者，那么欺诈分析平台106可以通知网络运营商和/或生成用于筛选数据库规则的数据，该规则阻止涉及MSISN、IMSI和/或IMEI的未来消息。 [0073] 在上述示例中，UE位置验证由驻留在网络网关100上的UE位置验证模块102执行。但是，本文所述的主题不限于这种实施方式。在替代实施方式中，UE位置验证模块102可以位于与网络网关100分离但是与网络网关100可操作地关联的计算平台上。在这样的实施方式中，网络网关100可以接收位置更新消息，并且将消息或来自消息的消息副本转发，并且将UE转发到UE位置验证模块102。UE位置验证模块102可以从消息中提取位置信息、从位置源(诸如数据库110、200或300)获得位置消息。UE位置验证模块102然后可以执行验证并将验证结果发送到网络网关100。如果验证结果指示消息通过了UE位置验证，那么验证结果指示这种通过，并且网关100将更新位置消息转发到HLR或HSS。如果验证结果指示消息未通过UE位置验证，那么UE位置验证模块102可以将策略规则转发到网关100，其中策略规则指示不应当将更新位置消息转发到HLR或HSS。网络网关100可以安装策略规则并且使用策略规则来阻止将更新位置消息转发到HLR或HSS。 [0074] 在上述示例中，数据库110、200和300位于与网络网关100分离的计算平台上。在替代实施例中，数据库110、200或300中的任何一个或多个或者数据库110、200或300中的一个或多个的本地副本可以驻留在网络网关100上。在这样的实施方式中，因为避免了跨网络转发位置查询和响应的需要，所以可以比上述实施方式减少网络流量。 [0075] 将理解的是，在不脱离本公开主题的范围的情况下，可以改变本公开主题的各种细节。此外，前述描述仅出于说明的目的，而非出于限制的目的。 |
||
QQ群二维码
意见反馈
意见反馈