12、用于检测异常SIP消息的自学习系统

用于检测异常SIP消息的自学习系统

1. 系统概述

VoIP系统中，异常可能出现在传入SIP消息的任何元素或内容中。因此，我们设计了一个自学习系统，将完整的SIP消息作为原始字节序列进行分析，无需预处理和归一化步骤。系统的基本处理阶段如下：
- 特征提取 ：使用一组特征字符串分析传入的SIP消息，将每条消息映射到一个特征向量，反映消息的个体特征。
- 异常检测 ：将SIP消息对应的特征向量与正常模型进行比较，检测全局或局部异常。
- 初始化与再训练 ：定期使用标记为正常的流量更新学习模型，并采取防御措施防止学习过程被外部操纵。

以下是系统基本处理阶段的流程图：

graph TD;
    A[特征提取] --> B[异常检测];
    B --> C[初始化与再训练];

2. 特征提取

SIP消息是字节序列，其内容可用子字符串的频率来表征。我们定义一组特征字符串S来建模SIP消息的内容，通过计算特征字符串在消息中的出现频率，将SIP消息映射到一个|S|维的向量空间。

然而，预先定义特征字符串集S并不实际，因此我们引入了令牌（Tokens）和n - 元语法（n - grams）的概念来隐式定义S。

2.1 令牌（Tokens）

SIP是基于文本的协议，其内容可以用文本令牌和单词来描述。令牌是由特定分隔符分隔的所有可能字符串的集合，定义为：