43、利用支持向量机监控SIP流量

利用支持向量机监控SIP流量

1. 引言

IP语音（VoIP）领域正面临着众多威胁。电子邮件系统中的垃圾邮件在IP电话广告中演变成了新的、令人厌烦的形式，即互联网电话垃圾信息（SPIT）。然而，SPIT并非唯一的威胁。IP电话和服务器存在大量软件漏洞，影响其可靠性，使得远程攻击成为可能，这在以往基于少数对等方相互信任的“稳定”电信运营商（PSTN）世界中是未曾出现过的。利用IP来支持语音通信，也使语音服务面临着常见的拒绝服务攻击，攻击者可以通过在互联网上大量发送服务或网络请求来轻松实施此类攻击。资源耗尽问题也会影响SIP代理和背对背用户代理，而这些对于支持关键的VoIP基础设施至关重要。潜在威胁众多，包括可能通过恶意软件传播并执行分布式攻击、SPIT或话费欺诈的VoIP僵尸网络，以及窃听和网络钓鱼（Vishing）等攻击。

VoIP基础设施的安全是运营和研究界面临的重大挑战，因为在VoIP研究和开发的早期阶段，安全设计并非关键要素。目前市场需要针对VoIP的安全解决方案，因为研究和标准化工作仍在努力解决VoIP基础设施的安全和监控问题。

本文提出了一种新的在线监控方法，用于区分基于SIP的VoIP环境中的攻击和正常活动。该方法基于支持向量机（SVM）进行高效分类，通过持续监控VoIP流量中的38个特征，并将这些特征作为分类引擎的原始输入。同时，在分类引擎之上设置了基于阈值的警报生成器。

2. 威胁模型

2.1 洪水攻击

拒绝服务攻击可以针对信令平面元素（如代理、网关等），旨在使这些元素瘫痪，从而破坏VoIP网络。此类攻击通常通过向信令平面发送大量消息、畸形消息或利用设备特定漏洞来实施。常见的洪水攻击类型如下： <