36、电信网络拒绝服务攻击与检测技术解析

电信网络拒绝服务攻击与检测技术解析

1. UMTS 网络中的 DoS 攻击

UMTS 架构存在一些可被利用来发起拒绝服务（DoS）或 DoS 类型攻击的漏洞，本文主要探讨面向信令的 DoS 攻击。攻击者通常会寻找未受保护的控制消息进行修改，以操纵特定程序或使其重复执行，攻击结果可能从特定用户服务质量下降到大规模服务拒绝。

攻击者可能会携带特殊设备，如虚假基站（BS）和/或经过特殊修改的用户设备（UE），充当中间人实体，拦截有效会话、分析流量并修改数据，部分情况下还会构建有效国际移动用户识别码（IMSI）数据库。

一种简单但原始的 DoS 攻击方式是攻击者使用虚假基站设备靠近目标，若其信号强于合法基站，用户移动终端会连接到虚假基站，之后攻击者丢弃所有与 UE 之间传输的数据包，即“黑洞攻击”，类似于高层的无线电干扰。但这种攻击方式存在局限性，如仅在攻击者活动时持续、影响用户数量少且难以针对特定目标，因此攻击者可能会寻求更智能的攻击方式。

以下是几种更复杂的攻击方式：
- 丢弃 ACK 信号 ：在 UMTS 中，IMSI 保护很重要，系统设计者尽量减少其传输和使用，而是分配临时身份（TMSI）用于信令通信。TMSI 在加密启动后分配给用户，用户漫游到不同 SGSN 监控区域时会分配新的 TMSI。SGSN 只有收到 TMSI 分配完成消息后才会将 IMSI 与 TMSI 关联，若该消息未到达，SGSN 会认为旧的和新的 TMSI 关联都有效，下行链路则必须使用 IMSI。攻击者可在特定区域监测 TMSI 分配命令消息并丢弃后续的 TMSI 分配完成消息，导致新 TMSI 不断创建，对进入该路由区域的用户造成 DoS