一种基于dpi技术的5g异常行为终端检测方法及电子设备
技术领域
1.本发明涉及5g信令安全领域，特别是涉及一种基于dpi技术的5g异常行为终端检测方法及电子设备。
背景技术：2.随着移动通信计数的发展，5g通信以更快的速率、更低的时延、更大的连接密度等优势逐渐成为未来的发展趋势。目前5g信号已经开始商用且在较大范围内有了部署，给用户提供了便利。与此同时，5g信号引入的新技术也一定程度上也面临新的安全问题，为应对新的基于5g信号的安全问题，其新的安全风险识别技术是不可缺少。比如由于物联网技术的引入，海量终端接入5g通讯网路将极大地提升流量的接入，而防护能力较弱的终端更易被攻击者利用而不知，给用户的使用带来较大的安全隐患。
技术实现要素：3.本发明的目的在于提供一种基于dpi的5g异常终端检测方法，通过dpi提取5g信令流量中的相关字段得出终端的相关行为，结合实际的异常终端情形，加入动态调整的阈值计算方法，可更准确有效地识别出异常的终端行为，准确识别出处于异常状态的终端以方便后续管理。
4.本发明所采用的技术方案为：
5.一方面，本技术提供一种基于dpi技术的5g异常行为终端检测方法，其中：包括：
6.于获取到信令流量的状态下，根据所述信令流量分析形成与特征数据匹配的日志信息；
7.读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；
8.于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。
9.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：于获取到信令流量的状态下，根据所述信令流量分析形成与特征数据匹配的日志信息具体包括：
10.通过dpi技术接收并读取n1/n2接口的信令流量；解析所述信令流量，并提取交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息；
11.根据所述交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息形成所述日志信息。
12.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；
13.读取所述日志信息，以第一预定时间作为识别周期，读取识别周期内所述日志信息以获取特征数据组信息；根据所述特征数据组信息形成一哈希表；
14.根据所述哈希表形成k组所述日志数据；并于所述日志数据形成后释放哈希表资源，根据所述日志数据包含与所述特征数据组信息匹配的特征数据组平均值；
15.根据识别周期内特征数据组平均值形成终端于各哈希结点中识别周期内特征数据组更新值。
16.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端，具体包括：
17.根据所述特征数据组更新值形成一组与所述特征数据组匹配的第一阈值组；
18.于所述特征数据组信息匹配所述特征数据组匹配的第一阈值组的状态下，认定当前终端为异常终端。
19.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：还包括：
20.于所述特征数据组信息不匹配所述特征数据组匹配的第一阈值组的状态下，根据所述特征数据组更新值形成一组与所述特征数据组匹配的第二阈值组；
21.于所述特征数据组信息中至少一个数据匹配所述特征数据组匹配的第二阈值组的状态下，认定当前终端为疑似异常终端。
22.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：还包括：
23.配置一与所述疑似异常终端匹配的疑似特征值；
24.将疑似异常终端的信息加入疑似异常终端表，并对所述疑似特征值做加1处理；
25.判断所述疑似特征值是否大于疑似最大阈值，于所述疑似特征值大于疑似最大阈值的状态下将所述疑似异常终端设置为异常终端。
26.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：还包括：判断所述疑似特征值是否大于疑似最大阈值，于所述疑似特征值大于疑似最大阈值的状态下将所述疑似异常终端设置为异常终端之前还包括：
27.监测所述疑似异常终端的状态，于所述疑似异常终端在第三预定时间为持续处于正常状态，则异常终端的疑似特征值减1；
28.于所述疑似异常终端的疑似特征值为0的状态下，于所述疑似异常终端表删除与所述疑似特征值为0的疑似异常终端信息。
29.优选地，上述的一种基于dpi技术的5g异常行为终端检测方法，其中：还包括：
30.于异常终端信息不在异常终端表状态下，将异常终端信息加入异常终端表；异常终端于异常终端列表中的异常特征值由初始值变成1，或者于异常终端信息在异常终端表状态下，异常终端于异常终端列表中的异常特征值加1；
31.持续监测所述异常终端的状态，于所述异常终端在第二预定时间为持续处于正常状态，则异常终端的异常特征值减1；
32.所述异常终端的异常特征值为0的状态下，于所述异常终端表删除与所述supi的特征值为0的异常终端信息。
33.另一方面，本技术再提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器运行的计算机程序，其中，所述处理器执行所述计算机程序时实现上述的任一项所述的一种基于dpi技术的5g异常行为终端检测方法。
34.最后，本技术再提供一种计算机程序产品，其中，包括计算机可读代码，或者承载有计算机可读代码的可读存储介质，当计算机可读代码在电子设备的处理器中运行时，所述电子设备中的处理器执行用于实现上述任一项所述的一种基于dpi技术的5g异常行为终端检测方法。
35.与现有技术相比，本技术的有益效果是：
36.上述方法，通过dpi提取5g信令流量中的相关字段或程序得出终端的相关行为，结合实际的异常终端情形，加入动态调整的阈值计算方法，可更准确有效地识别出异常的终端行为。
附图说明
37.图1为本发明实施例提供的一种基于dpi技术的5g异常行为终端检测方法流程示意图；
38.图2为本发明实施例提供的一种基于dpi技术的5g异常行为终端检测方法流程示意图；
39.图3为本发明实施例提供的一种基于dpi技术的5g异常行为终端检测方法流程示意图；
40.图4为本发明实施例提供的一种电子设备结构示意图。
具体实施方式
41.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
42.本发明的技术思路是：由dpi模块接收并接收n1/n2接口的信令流量，解析信令并提取交互流程类型、流程状态、信令起止时间、永久用户标识、amf_ip、是否属于开机流程等关键信息，生成日志；读取dpi解析生成的日志信息，统计一定时间段内，终端各交互流程类型的日志条数，当超过阈值时，判定为异常终端行为，输出判定结果；在阈值的选取上，结合终端过往行为使得判定的阈值为动态进行。动态设计定的方法包括：对于已有异常行为的终端，其后续仍有异常的可能性较大，因此通过设置异常特征值动态降低其对应的阈值；当用户多次被监测超出正常发起信令流程较高频次后，被判定为疑似异常终端，通过疑似特征值的结果判断是否为异常终端。具体地：
43.如图1所示，一种基于dpi技术的5g异常行为终端检测方法，其中，包括：
44.步骤s110、于获取到信令流量的状态下，根据所述信令流量分析形成与参考数据匹配的特征数据以及与所述特征数据匹配的日志信息；具体包括：
45.步骤s1101、通过dpi技术接收并读取n1/n2接口的信令流量；解析所述信令流量，并提取交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息；示意性地，采集ue和amf之间的n1/n2接口流量，通过dpi的协议识别引擎处理，以源ip、目的ip、源端口、目的端口、四层协议类型为单位，生成包含交互流程类型、流程状态、起止时间戳、永久用户标识(supi)、amf_ip、是否属于开机流程等信息；其中以源ip、目的ip、源端口、目的端口、四层协议类型为单位也可以理解为以五元组为单位，五元组分别为源ip、目的ip、源端口、目的端口、四层协议类型；
46.步骤s1102、根据所述交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息形成日志信息。
47.步骤s120、读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；具体包括：
48.如图2所示，步骤s1201、读取所述日志信息，以第一预定时间作为识别周期，读取识别周期内所述日志信息以获取特征数据组信息，其中特征数据组信息包含注册流程信息、网络接入流程信息、开机接入流程信息、业务连接流程信息、pdu请求流程信息；根据所述特征数据组信息形成一哈希表；
49.示意性地：读取所述日志信息，以第一预定时间作为识别周期，读取识别周期内所述日志信息以获取注册流程信息、网络接入流程信息、开机接入流程信息、业务连接流程信息、pdu请求流程信息；根据所述注册流程信息、网络接入流程信息、开机接入流程信息、业务连接流程信息、pdu请求流程信息形成一哈希表，所述哈希表包含m个结点；其中第一预定时间可为1小时，也可根据实际应用确定不同的时间，此处不作具体限制。
50.步骤s1202、根据所述哈希表形成k组所述日志数据；并于所述日志数据形成后释放哈希表资源，根据所述日志数据包含与所述特征数据组信息匹配的特征数据组平均值；
51.其中，
52.xi为第i个结点中所述特征数据组信息；为识别周期内第i个结点中特征数据组信息平均值；m为所述哈希表中结点数量；
53.示意性地：根据所述哈希表形成k组所述日志数据，并于所述日志数据形成后释放哈希表资源，具体包括注册流程日志数平均值、识别周期内网络接入流程日志数平均值、识别周期内开机接入流程日志数平均值、识别周期内业务连接流程日志数平均值、识别周期内pdu请求流程日志数平均值；
[0054][0055]
其中：ai为第i个结点中注册流程日志条数；为识别周期内第i个结点中注册流程日志数平均值；bi为第i个结点中网络接入流程且非开机流程日志条数；为识别周期内第i个结点中网络接入流程日志数平均值；ci为第i个结点中开机接入流程且属开机流程日志条数；为识别周期内第i个结点中开机接入流程日志数平均值；di为第i个结点中业务连接流程的日志条数；为识别周期内第i个结点中业务连接流程日志数平均值；ei为第i个结点中pdu请求流程的日志条数；为识别周期内第i个结点中pdu请求流程日志数平均值；m为所述哈希表中结点数量；
[0056]
步骤s1203、根据识别周期内特征数据组平均值形成终端于各哈希结点中识别周期内特征数据组更新值。
[0057][0058]
其中，为识别周期内第i个结点中特征数据组信息平均值；m为所述哈希表中结点数量；k为特征数据组的数量；avg
x
为特征数据组更新值；
[0059]
示意性地：根据识别周期内注册流程日志数平均值、识别周期内网络接入流程日志数平均值、识别周期内开机接入流程日志数平均值、识别周期内业务连接流程日志数平
均值、识别周期内pdu请求流程日志数平均值形成终端于各哈希结点中识别周期内注册流程日志数更新值、识别周期内网络接入流程日志数更新值、识别周期内开机接入流程日志数更新值、识别周期内业务连接流程日志数更新值、识别周期内pdu请求流程日志数更新值。
[0060][0061][0062]
其中avga为注册流程日志数更新值；avgb为网络接入流程日志数更新值；avgc为开机接入流程日志数更新值；avgd为业务连接流程日志数更新值；avge为pdu请求流程日志数更新值；
[0063]
步骤s130、于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。具体地：
[0064]
如图3所示，步骤s1301、根据所述特征数据组更新值形成一组与所述特征数据组匹配的第一阈值组；
[0065]
第一阈值组为：avg
x
+α*(q
xmax-p)；其中q
xmax
为是识别周期内特征数据x对应的最大值；p为异常终端于异常终端列表中的异常特征值；p的初始值为0，a为系数，取值范围0至1之间，可以根据实际选取。
[0066]
步骤s1302、于所述特征数据组信息匹配所述特征数据组匹配的第一阈值组的状态下，认定当前终端为异常终端；
[0067]
示意性地：根据识别周期内注册流程日志数更新值形成识别周期内注册流程日志数第一阈值，于第i个结点中注册流程日志条数匹配注册流程日志数第一阈值的状态下形成注册流程第一异常值；其中：注册流程日志数第一阈值为avga+α*(q
amax-p)；于第i个结点中注册流程日志条数大于avga+α*(q
amax-p)的状态下，认定第i个结点中注册流程日志条数匹配注册流程日志数第一阈值；q
amax
为识别周期内注册流程日志数最大值，a为系数，p为异常终端于异常终端列表中的异常特征值；
[0068]
根据识别周期内网络接入流程日志数更新值形成识别周期内网络接入流程日志数第一阈值，于第i个结点中网络接入流程且非开机流程日志条数匹配网络接入流程日志数第一阈值的状态下形成网络接入流程第一异常值；网络接入流程日志数第一阈值为avgb+α*(q
bmax-p)；于第i个结点中网络接入流程日志条数大于avgb+α*(q
bmax-p)的状态下，认定第i个结点中网络接入流程日志条数匹配网络接入流程日志数第一阈值；q
bmax
为识别周期内网络接入流程日志数最大值，a为系数，p为异常终端于异常终端列表中的异常特征值；
[0069]
根据识别周期内开机接入流程日志数更新值形成识别周期内开机接入流程日志数第一阈值，于第i个结点中开机接入流程且属开机流程日志条数匹配开机接入流程日志数第一阈值的状态下形成开机接入流程第一异常值；
[0070]
开机接入流程日志数第一阈值为avgc+α*(q
cmax-p)；于第i个结点中开机接入流程日志条数大于avgc+α*(q
cmax-p)的状态下，认定第i个结点中开机接入流程日志条数匹配开机接入流程日志数第一阈值；q
cmax
为识别周期内开机接入流程日志数最大值，a为系数，p为异常终端于异常终端列表中的异常特征值；
[0071]
根据识别周期内业务连接流程日志数更新值形成识别周期内业务连接流程日志数第一阈值，于业务连接流程日志条数匹配业务连接流程日志数第一阈值的状态下形成业务连接流程第一异常值；
[0072]
业务连接流程日志数第一阈值为avgd+α*(q
dmax-p)；于第i个结点中业务连接流程日志条数大于avgd+α*(q
dmax-p)的状态下，认定第i个结点中业务连接流程日志条数匹配业务连接流程日志数第一阈值；q
dmax
为识别周期内业务连接流程日志数最大值，a为系数，p为异常终端于异常终端列表中的异常特征值；
[0073]
根据识别周期内pdu请求流程日志数更新值形成识别周期内pdu请求流程日志数第一阈值，于pdu请求流程日志条数匹配pdu请求流程日志数第一阈值的状态下形成pdu请求流程第一异常值；
[0074]
pdu请求流程日志数第一阈值为avge+α*(q
emax-p)；于第i个结点中pdu请求流程日志条数大于avge+α*(q
emax-p)的状态下，认定第i个结点中pdu请求流程日志条数匹配pdu请求流程日志数第一阈值；q
emax
为识别周期内pdu请求流程日志数最大值，a为系数，p为异常终端于异常终端列表中的异常特征值；
[0075]
于获取到注册流程第一异常值、网络接入流程第一异常值、开机接入流程第一异常值、业务连接流程第一异常值、pdu请求流程第一异常值中任一值的状态下认定当前终端为异常终端。
[0076]
上述方法，通过dpi提取5g信令流量中的相关字段得出终端的相关行为，结合实际的异常终端情形，加入动态调整的阈值计算方法，可更准确有效地识别出异常的终端行为。
[0077]
作为进一步优选实施方案，上述的一种基于dpi技术的5g异常行为终端检测方法还包括：
[0078]
步骤s1303、于所述特征数据组信息不匹配所述特征数据组匹配的第一阈值组的状态下，根据所述特征数据组更新值形成一组与所述特征数据组匹配的第二阈值组，其中，第二阈值组为avg
x
+α*q
xmin
；其中q
xmin
为是识别周期内特征数据x对应的最小值；
[0079]
步骤s1304、于所述特征数据组信息中至少一个数据匹配所述特征数据组匹配的第二阈值组的状态下，认定当前终端为疑似异常终端。
[0080]
示意性地：于未获取到注册流程第一异常值、网络接入流程第一异常值、开机接入流程第一异常值、业务连接流程第一异常值、pdu请求流程第一异常值中任一值的状态下；
[0081]
根据识别周期内注册流程日志数更新值形成识别周期内注册流程日志数第二阈值，于第i个结点中注册流程日志条数匹配注册流程日志数第二阈值的状态下形成注册流程第二异常值；其中：
[0082]
注册流程日志数第二阈值为avga+α*q
amin
；于第i个结点中注册流程日志条数大于avga+α*q
amin
的状态下，认定第i个结点中注册流程日志条数匹配注册流程日志数第二阈值；q
amin
为识别周期内注册流程日志数最小值，a为系数；
[0083]
根据识别周期内网络接入流程日志数更新值形成识别周期内网络接入流程日志数第二阈值，于第i个结点中网络接入流程且非开机流程日志条数匹配网络接入流程日志数第二阈值的状态下形成网络接入流程第二异常值；
[0084]
网络接入流程日志数第二阈值为avgb+α*q
bmin
；于第i个结点中网络接入流程日志条数大于avgb+α*q
bmin
的状态下，认定第i个结点中网络接入流程日志条数匹配网络接入流
程日志数第二阈值；q
bmin
为识别周期内网络接入流程日志数最小值，a为系数；
[0085]
根据识别周期内开机接入流程日志数更新值形成识别周期内开机接入流程日志数第二阈值，于第i个结点中开机接入流程且属开机流程日志条数匹配开机接入流程日志数第二阈值的状态下形成开机接入流程第二异常值；
[0086]
开机接入流程日志数第二阈值为avgc+α*q
cmin
；于第i个结点中开机接入流程日志条数大于avgc+α*q
cmin
的状态下，认定第i个结点中开机接入流程日志条数匹配开机接入流程日志数第二阈值；q
cmin
为识别周期内开机接入流程日志数最小值，a为系数；
[0087]
根据识别周期内业务连接流程日志数更新值形成识别周期内业务连接流程日志数第二阈值，于业务连接流程日志条数匹配业务连接流程日志数第二阈值的状态下形成业务连接流程第二异常值；
[0088]
业务连接流程日志数第二阈值为avgd+α*q
dmin
；于第i个结点中业务连接流程日志条数大于avgd+α*q
dmin
的状态下，认定第i个结点中业务连接流程日志条数匹配业务连接流程日志数第二阈值；q
dmin
为识别周期内业务连接流程日志数最小值，a为系数；
[0089]
根据识别周期内pdu请求流程日志数更新值形成识别周期内pdu请求流程日志数第二阈值，于pdu请求流程日志条数匹配pdu请求流程日志数第二阈值的状态下形成pdu请求流程第二异常值；
[0090]
pdu请求流程日志数第二阈值为avge+α*q
emin
；于第i个结点中pdu请求流程日志条数大于avge+α*q
emin
的状态下，认定第i个结点中pdu请求流程日志条数匹配pdu请求流程日志数第二阈值；q
emin
为识别周期内pdu请求流程日志数最小值，a为系数；
[0091]
于获取到注册流程第二异常值、网络接入流程第二异常值、开机接入流程第二异常值、业务连接流程第二异常值、pdu请求流程第二异常值中任一值的状态下认定当前终端为疑似异常终端；
[0092]
步骤s1305、配置一与所述疑似异常终端匹配的疑似特征值；疑似特征值的初始值为0；
[0093]
步骤s1306、将疑似异常终端的信息加入疑似异常终端表，并对所述疑似特征值做加1处理；
[0094]
进一步地，监测所述疑似异常终端的状态，于所述疑似异常终端在第三预定时间为持续处于正常状态，则异常终端的疑似特征值减1，直至所述疑似异常终端的疑似特征值为0的状态下，于所述疑似异常终端表删除与所述疑似特征值为0的疑似异常终端信息。其中第三预定时间可由用户自行设置，例如第三预定时间可为2小时。
[0095]
步骤s1307、判断所述疑似特征值是否大于疑似最大阈值，于所述疑似特征值大于疑似最大阈值的状态下将所述疑似异常终端设置为异常终端。进一步地，疑似最大阈值可为5；
[0096]
作为进一步优选实施方案，上述的一种基于dpi技术的5g异常行为终端检测方法，其中，还包括：
[0097]
步骤s140、于当前终端为认定为异常终端的状态下输出异常终端信息；
[0098]
步骤s150、于异常终端信息不在异常终端表状态下，将异常终端信息加入异常终端表；异常终端于异常终端列表中的异常特征值由初始值变成1，或者于异常终端信息在异常终端表状态下，异常终端于异常终端列表中的异常特征值加1。其中异常特征值的初始值
为0；
[0099]
步骤s160、持续监测所述异常终端的状态，于所述异常终端在第二预定时间为持续处于正常状态，则异常终端的异常特征值减1；第二预定时间可由用户自行设置。第二预定时间可为48小时。
[0100]
于所述异常终端的异常特征值为0的状态下，于所述异常终端表删除与异常特征值为0的异常终端信息。
[0101]
上述方法基于dpi技术对n1/n2接口的5g信令流量的识别提取生成的日志来分析，主要为结合实际的异常终端行为特征和场景，加入可疑终端行为阈值维度，设计了可由程序动态调整的阈值计算方法。本方法相比单纯设置阈值方式，可有效提高阈值设置上容错性，从而增加异常终端识别的准确度。
[0102]
实施例二
[0103]
本技术实施例提供了一种电子设备，如图4所示，本实施例提供了一种电子设备400，其包括：一个或多个处理器420；存储装置410，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器420运行，使得所述一个或多个处理器420实现：
[0104]
于获取到信令流量的状态下，根据所述信令流量分析形成与参考数据匹配的特征数据以及与所述特征数据匹配的日志信息；
[0105]
读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；
[0106]
于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。
[0107]
如图4所示，该电子设备400包括处理器420、存储装置410、输入装置430和输出装置440；电子设备中处理器420的数量可以是一个或多个，图4中以一个处理器420为例；电子设备中的处理器420、存储装置410、输入装置430和输出装置440可以通过总线或其他方式连接，图4中以通过总线450连接为例。
[0108]
存储装置410作为一种计算机可读存储介质，可用于存储软件程序、计算机可运行程序以及模块单元，如本技术实施例中的基于相关运行环境的控制方法对应的程序指令。
[0109]
存储装置410可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储装置410可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储装置410可进一步包括相对于处理器420远程设置的存储器，这些远程存储器可以通过网络连接。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
[0110]
输入装置430可用于接收输入的数字、字符信息或语音信息，以及产生与电子设备的用户设置以及功能控制有关的键信号输入。输出装置440可包括显示屏、扬声器等设备。
[0111]
实施例三
[0112]
在一些实施例中，以上所描述的方法可以被实现为计算机程序产品。计算机程序产品可以包括计算机可读存储介质，其上载有用于执行本公开的各个方面的计算机可读程序指令。具体地：
[0113]
于获取到信令流量的状态下，根据所述信令流量分析形成与参考数据匹配的特征数据以及与所述特征数据匹配的日志信息；
[0114]
读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；
[0115]
于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。
[0116]
上述的计算机可读存储介质可以是可以保持和存储由指令执行设备使用的指令的有形设备。计算机可读存储介质例如可以是――但不限于――电存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或者上述的任意合适的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：便携式计算机盘、硬盘、随机存取存储器(ram)、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、静态随机存取存储器(sram)、便携式压缩盘只读存储器(cd-rom)、数字多功能盘(dvd)、记忆棒、软盘、机械编码设备、例如其上存储有指令的打孔卡或凹槽内凸起结构、以及上述的任意合适的组合。这里所使用的计算机可读存储介质不被解释为瞬时信号本身，诸如无线电波或者其他自由传播的电磁波、通过波导或其他传输媒介传播的电磁波(例如，通过光纤电缆的光脉冲)、或者通过电线传输的电信号。
[0117]
本文所描述的计算机可读程序指令可以从计算机可读存储介质下载到各个计算/处理设备，或者通过网络、例如因特网、局域网、广域网和/或无线网下载到外部计算机或外部存储设备。网络可以包括铜传输电缆、光纤传输、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或者网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令，以供存储在各个计算/处理设备中的计算机可读存储介质中。
[0118]
用于执行本公开操作的计算机程序指令可以是汇编指令、指令集架构(isa)指令、机器指令、机器相关指令、微代码、固件指令、状态设置数据、或者以一种或多种编程语言的任意组合编写的源代码或目标代码，所述编程语言包括面向对象的编程语言，以及常规的过程式编程语言。计算机可读程序指令可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络—包括局域网(lan)或广域网(wan)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。在一些实施例中，通过利用计算机可读程序指令的状态信息来个性化定制电子电路，例如可编程逻辑电路、现场可编程门阵列(fpga)或可编程逻辑阵列(pla)，该电子电路可以执行计算机可读程序指令，从而实现本公开的各个方面。
[0119]
这些计算机可读程序指令可以提供给通用计算机、专用计算机或其它可编程数据处理装置的处理单元，从而生产出一种机器，使得这些指令在通过计算机或其它可编程数据处理装置的处理单元执行时，产生了实现流程图和/或框图中的一个或多个方框中规定的功能/动作的装置。也可以把这些计算机可读程序指令存储在计算机可读存储介质中，这些指令使得计算机、可编程数据处理装置和/或其他设备以特定方式工作，从而，存储有指令的计算机可读介质则包括一个制造品，其包括实现流程图和/或框图中的一个或多个方框中规定的功能/动作的各个方面的指令。
[0120]
也可以把计算机可读程序指令加载到计算机、其它可编程数据处理装置、或其它设备上，使得在计算机、其它可编程数据处理装置或其它设备上执行一系列操作步骤，以产生计算机实现的过程，从而使得在计算机、其它可编程数据处理装置、或其它设备上执行的指令实现流程图和/或框图中的一个或多个方框中规定的功能/动作。
[0121]
附图中的流程图和框图显示了根据本公开的多个实施例的设备、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或指令的一部分，所述模块、程序段或指令的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
[0122]
以上已经描述了本公开的各实施例，上述说明是示例性的，并非穷尽性的，并且也不限于所披露的各实施例。在不偏离所说明的各实施例的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。本文中所用术语的选择，旨在最好地解释各实施例的原理、实际应用或对市场中技术的技术改进，或者使本技术领域的其它普通技术人员能理解本文披露的各实施例。
技术特征：1.一种基于dpi技术的5g异常行为终端检测方法，其特征在于：包括：于获取到信令流量的状态下，根据所述信令流量分析形成与特征数据匹配的日志信息；读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。2.根据权利要求1所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于：于获取到信令流量的状态下，根据所述信令流量分析形成与特征数据匹配的日志信息具体包括：通过dpi技术接收并读取n1/n2接口的信令流量；解析所述信令流量，并提取交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息；根据所述交互流程类型信息、流程状态信息、信令起止时间信息、永久用户标识信息、amf_ip信息、是否属于开机流程信息形成所述日志信息。3.根据权利要求2所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于：读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；读取所述日志信息，以第一预定时间作为识别周期，读取识别周期内所述日志信息以获取特征数据组信息；根据所述特征数据组信息形成一哈希表；根据所述哈希表形成k组所述日志数据；并于所述日志数据形成后释放哈希表资源，根据所述日志数据包含与所述特征数据组信息匹配的特征数据组平均值；根据识别周期内特征数据组平均值形成终端于各哈希结点中识别周期内特征数据组更新值。4.根据权利要求3所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于：于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端，具体包括：根据所述特征数据组更新值形成一组与所述特征数据组匹配的第一阈值组；于所述特征数据组信息匹配所述特征数据组匹配的第一阈值组的状态下，认定当前终端为异常终端。5.根据权利要求4所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于，还包括：于所述特征数据组信息不匹配所述特征数据组匹配的第一阈值组的状态下，根据所述特征数据组更新值形成一组与所述特征数据组匹配的第二阈值组；于所述特征数据组信息中至少一个数据匹配所述特征数据组匹配的第二阈值组的状态下，认定当前终端为疑似异常终端。6.根据权利要求5所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于，还包括：配置一与所述疑似异常终端匹配的疑似特征值；将疑似异常终端的信息加入疑似异常终端表，并对所述疑似特征值做加1处理；判断所述疑似特征值是否大于疑似最大阈值，于所述疑似特征值大于疑似最大阈值的状态下将所述疑似异常终端设置为异常终端。7.根据权利要求6所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于，
还包括：判断所述疑似特征值是否大于疑似最大阈值，于所述疑似特征值大于疑似最大阈值的状态下将所述疑似异常终端设置为异常终端之前还包括：监测所述疑似异常终端的状态，于所述疑似异常终端在第三预定时间为持续处于正常状态，则异常终端的疑似特征值减1；于所述疑似异常终端的疑似特征值为0的状态下，于所述疑似异常终端表删除与所述疑似特征值为0的疑似异常终端信息。8.根据权利要求5所述的一种基于dpi技术的5g异常行为终端检测方法，其特征在于，还包括：于异常终端信息不在异常终端表状态下，将异常终端信息加入异常终端表；异常终端于异常终端列表中的异常特征值由初始值变成1，或者于异常终端信息在异常终端表状态下，异常终端于异常终端列表中的异常特征值加1；持续监测所述异常终端的状态，于所述异常终端在第二预定时间为持续处于正常状态，则异常终端的异常特征值减1；所述异常终端的异常特征值为0的状态下，于所述异常终端表删除与所述supi的特征值为0的异常终端信息。9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1～8中任一项所述的一种基于dpi技术的5g异常行为终端检测方法。10.一种计算机程序产品，其特征在于，包括计算机可读代码，或者承载有计算机可读代码的可读存储介质，当计算机可读代码在电子设备的处理器中运行时，所述电子设备中的处理器执行用于实现权利要求1～8中任一项所述的一种基于dpi技术的5g异常行为终端检测方法。
技术总结本发明涉及5G信令安全领域，特别是涉及一种基于DPI技术的5G异常行为终端检测方法及电子设备。其中一种基于DPI技术的5G异常行为终端检测方法包括：于获取到信令流量的状态下，根据所述信令流量分析形成与特征数据匹配的日志信息；读取所述日志信息，根据所述日志信息形成与当前终端匹配的日志数据；于所述日志数据匹配当前阈值的状态下认定当前终端为异常终端。常终端。常终端。
技术研发人员：黄瑾男 方权 蔡本祥 张林杰
受保护的技术使用者：上海欣诺通信技术股份有限公司
技术研发日：2022.07.26
技术公布日：2022/11/1
