基于Netfilter的深度包检测SIP防火墙的设计

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

９９－３１％９９５２％
．Hale Waihona Puke ＲＴＰ地址、目的ＲＴＰ地址、
源ＲＴＰ端口和目的ＲＴＰ端口这四个参数打开媒体流通道。（４）若是ＢＹＥ请求消息，则根据其Ｃａｌｌ－ＩＤ查找出其会话状态表项，把原会话表项中的会话状态由Ｉｎｖｉｔｅ＿ＡＣＫ改为Ｅｎｄ，并且根据此表项中的源ＲＴＰ地址、目的ＲＴＰ地址、源ＲＴＰ端口和目的ＲＴＰ端口这四个参数关闭媒体流通道。（５）其他消息不会更改会话状态表。
ｖｉｔｅＡＣＫ，并且根据此表项中的源
＿
发出的畸形，洪泛ＳＩＰ消息２４Ｏｏ０
３ＯＯ００３０ｏｏ０
检测出的畸形／洪泛ｓ口消息２３９５６
２９７９３２９８５６
检出率９９．８２％
攻击类型畸形ＳＩＰ消息攻击
ＲＥＧＩＳＴＥＲ洪泛攻击 Ⅱ 卫洪泛攻击
提取出目的ＲＴＰ地址和目的ＲＴＰ端口，保存到此会话表项中，
此时此会话表项才算完整。
（３）若是ＡＣＫ请求消息，则根据其Ｃａｌｌ — ＩＤ查找出其会话状态表项，把原会话表项中的会话状态由Ｉｎｖｉｔｅ＿ＯＫ改为Ｉｎ —
建的会话状态表项中。
２．２测试过程及结果分析
测试分两部分，一部分测试深度包检测ＳＩＰ防火墙的ＳＩＰ防护能力，另一部分是测试深度包检测ＳＩＰ防火墙动态打开／关闭媒体流通道的能力。
２．２．１ＳＩＰ防护能力测试
开源ＳｌＰ服务器ｙａｔｅ２。（５）网络环境：采用１００Ｍ以太网。
１－３ＳＩＰ／ＲＴＰ会话状态表的更新以及媒体流通道动态打开／关闭过程
ＳＩＰ消息规则匹配过程成功后，进入ＳＩＰ／ＲＴＰ会话状态表更新以及媒体流通道动态打开／关闭流程。（１）判断消息的类型。若是ＩＮＶＩＴＥ请求消息，则查找会话状态表中看是否有与其相同的Ｃａｌｌ — ＩＩ３，若无，则在会话状态表中新建此会话表项，把会话状态设置为Ｉｎｖｉｔｅ＿Ｔｒｙｉｎｇ，并且从此ＳＩＰ消息中提取出源ＲＴＰ地址和源ＲＴＰ端口，保存到新
洪泛攻击作为测试用例来测试深度包检测ＳＩＰ防火墙的ＳＩＰ防护功能。其中畸形ＳＰ消息由ＳＩＩＰｐ产生，ＲＥＧＩＳＴＥＲ洪泛
攻击消息和ＩＮＶＩＴＥ洪泛攻击消息由攻击设备ＴｈｒｅａｔＥｘ产生。
测试结果如表１所示：表１攻击测试结果
ｓＲＴＰＰｏｎ（源ＲＴＰ端口）、ｄＲＴＰＰｏ￣（目的ＲＴＰ端口）和Ｓｅｓｓｉｏｎ — Ｓｔａｔｅ（会话状态）字段。会话状态包括：尝试建立会话（Ｉｎｖｉｔｅ — Ｔｒｙｉｎｇ）、被叫方接受会话请求（Ｉｎｖｉｔｅ＿ＯＫ）、主叫方确认会话已建立（Ｉｎｖｉｔｅ＿ＡＣＫ）、会话已结束（Ｂｙｅ）等。
标识）、ｓＲＴＰＡｄｄｒ（源ＲＴＰ地址）、ｄＲＴＰＡｄｄｒ（目的ＲＴＰ地址）、
它可真实地模拟数千种攻击及变种，包括：ＤＤｏｓ、病毒、ＶｏｌＰ攻击、无线攻击、协议模糊攻击和应用渗透等。
（３）深度包检测ＳＩＰ防火墙：ＩｎｔｅｌＣｏｒｅ — ｉ５处理器，２Ｇ内存。运行Ｌｉｎｕｘ操作系统，版本为ＵｂｕｎｔｕｌＯ．１０，选用Ｌｉｎ．
上述实验表明，深度包检测ＳＰ防火墙能够有效地检测出Ｉ畸形ＳＩＰ消息攻击以及ＤｏＳ攻击，具备良好的ＳＩＰ防护能力。２．２．２动态打开，关闭媒体流通道的能力测试在正常的ＳＩＰ会话过程中（无攻击流量），只需验证在深度包检测ＳＩＰ防火墙开启的情况下，会话的持续时间与未开启防火墙时的会话持续时间相差不大，以及具有很小的丢包率，即
ＵＸ．２．６．３５内核，安装自主开发的深度包检测ＳＩＰ防火墙。（４）ＳＩＰ服务器：ＩｎｔｅｌＣｏｒｅ — ｉ５处理器，２Ｇ内存。运行Ｌｉｎｕｘ
操作系统，版本为Ｕｂｕｎｔｕ１０．１０，选用Ｌｉｎｕｘ一２．６．３５内核。运行
信息通信
张春晓等：基于Ｎｅｔｆｉｌｔｅｒ的深度包检测ＳＩＰ防火墙的设计是由Ｓｐｉｒｅｎｔ公司推出的一种可重现最极端攻击的高级工具，
１．２ｓＩＰＴＰ会话状态表设计
ＳＩＰ／ＲＴＰ会话状态表包含五个字段，分别是：Ｃａｌｌ — ＩＤ（呼叫
我们选取畸形ＳＩＰ消息、ＲＥＧＩＳＴＥＲ洪泛攻击和ＩＮＶＩＴＥ
（２）若是ＩＮＶＩＴＥ请求消息的２００ＯＫ响应消息，则根据其Ｃａｌｌ — ＩＤ查找出其会话状态表项，把原会话表项中的会话状态由ＩｎｖｉｔｅＴｒｙｉｎｇ改为Ｉｎｖｉｔｅ＿ＯＫ，并且从此２００ＯＫ消息中