用于融合的voip服務的voip蜜罐的系統(tǒng)和方法

專利名稱：用于融合的voip服務的voip蜜罐的系統(tǒng)和方法
技術領域：
本公開一般涉及在企業(yè)網絡內的因特網語音(VoIP)電話服務和用于VoIP電話服務的入侵檢測和保護(IDP)服務。具體地，本公開涉及處理由在企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的VoIP蜜罐(honeypot)。
背景技術：
對于已經具有用于存儲和管理商業(yè)文檔并用于因特網接入的企業(yè)網絡的商業(yè)企業(yè)而言，因特網協(xié)議語音(VoIP)電話服務已經變得非常吸引人。通過將VoIP電話插入企業(yè)網絡或通過對臺式計算機進行編程使之用作VoIP電話，可容易地提供VoIP電話服務。另夕卜，如果希望VoIP電話被配置為好像其在專用分支交換(PBX)中，則可通過在企業(yè)網絡中隊網關服務器進行合適的編程來完成。VoIP電話還具有以下優(yōu)點其可利用因特網的數(shù)據(jù)服務來補充用于建立和執(zhí)行 VoIP呼叫會話的通信服務。例如，VoIP服務被分為會話發(fā)起協(xié)議(SIP)相關的通信服務和 H. 323相關的數(shù)據(jù)服務。另外，用于VoIP的多媒體數(shù)據(jù)服務還在開發(fā)之中。H. 323相關的數(shù)據(jù)服務包括主頁服務、因特網黃頁和收集呼叫服務、搜索電話服務，以及電話號碼搜索功能。SIP通信服務和H. 323相關的數(shù)據(jù)服務還可與諸如即時消息(IM)服務、個人數(shù)據(jù)助理 (PDA)服務和移動電話服務之類的網頁服務集成。在因特網上所承載的VoIP服務經歷慣常的IP網絡的網絡攻擊，諸如，掃描、偵查、 入侵、中間人(man-in-middle)、重定向，以及拒絕服務(DOS)。另外，VoIP攻擊包括因特網電話垃圾(SPIT)、對呼叫和消息的監(jiān)視、提取語音郵件，以及對其他用戶賬戶的收費欺騙。 在SIP、會話數(shù)據(jù)協(xié)議(SDP)、媒體和編碼機的協(xié)議和實現(xiàn)中存在特定于VoIP的脆弱性。 VoIP基礎設施是分布式的，并且難于保障安全。企業(yè)網絡可通過安裝在連接企業(yè)網絡和因特網的網關上的入侵檢測和保護(IDP) 軟件來免受進來的網絡攻擊。這種IDP軟件可阻止對企業(yè)網絡的大多數(shù)網絡攻擊。針對大型企業(yè)或具有誘人的目標的企業(yè)，提供用于觀察并描繪網絡攻擊的特點的機制是有優(yōu)勢的。這可通過使用被稱為“蜜罐”的網絡安全工具來完成。蜜罐故意提供攻擊者所尋求的脆弱點，以便觀察攻擊和入侵。蜜罐用作接納攻擊者、阻止攻擊者并追蹤其活動的網絡誘餌。在實踐中存在兩種類型的蜜罐，其被稱為低交互的和高交互的。低交互的蜜罐表現(xiàn)為運行任意類型的服務的主機的網絡。低交互的蜜罐具有針對不同操作系統(tǒng)(0 和OS 版本的所指定的服務的協(xié)議簽名的數(shù)據(jù)庫。低交互的蜜罐用合適的簽名來回復進來的流量。低交互的蜜罐的應用狀態(tài)是有限的，并且，是預存儲的或從腳本動態(tài)生成的。高交互的蜜罐比低交互的蜜罐更加逼真。高交互的蜜罐更可能避免攻擊者的檢測，但是高交互的蜜罐需要更多的努力來建立。高交互的蜜罐可以是幾個與低交互的蜜罐一起工作的真實的服務器，也可以是被適當凈化的實際生產網絡的副本。蜜罐行為的增加的逼真性一般增強蜜罐的價值，因為網絡攻擊者在無意義的偵查方面花費更多的時間。
VoIP蜜罐是針對VoIP攻擊來模仿VoIP基礎設施的蜜罐的現(xiàn)有變化。現(xiàn)有的VoIP 蜜罐在SIP協(xié)議水平檢測信令異常，并且，將其轉移到單獨的PBX，該PBX被配置為誘餌。 例如，參見Nassar等人的如下文章VoIP Honeypot Architecture (VoIP蜜罐體系架構)， IntegratedNetwork Management (集成的網絡管理)，2007 年，第 109-118 頁，IEEE,紐約州紐約市。在Nassar等的示例中，蜜罐將其IP地址與在PBX路由器或SIP代理中的注冊服務器處的多個SIP統(tǒng)一資源標識符(URI)注冊，或重定向提供安全服務的服務器和用戶供應網頁接口。蜜罐的SIP URI可對外界聲稱為該域的用戶，但是由于它們并不代表真實的用戶，因此在理論上，它們將從不被呼叫。為了欺騙攻擊者，蜜罐的每個SIP URI都被配置為采用一個用戶代理類型并將其名字發(fā)送在用戶代理數(shù)據(jù)頭中。在Nassar等的示例中，蜜罐自身包括五個主要組件。這些組件是(1)負責接受進來的呼叫并調查可能的攻擊的蜜罐代理、(2) SIP、SDP和實時傳輸協(xié)議(RTP)的協(xié)議棧、(3) 配置文件的蜜罐建檔數(shù)據(jù)庫、(4)偵查工具，以及( 能夠通過特定的度量和貝葉斯模式來自動解釋調查結果的推理引擎。蜜罐還具有圖形用戶界面，其允許系統(tǒng)管理員選擇并建立蜜罐建檔，以及將蹤跡、警報和統(tǒng)計數(shù)據(jù)可視化。

發(fā)明內容
在以下的描述中將給出公開的額外特征和優(yōu)點，并且，其部分地將從描述中顯然， 或可通過實踐此處所公開的原理而被獲知。公開的特征和優(yōu)點可通過在所附權利要求中所特別指出的器件和組合來被實現(xiàn)和獲得。公開的這些和其他特征將從以下的描述和所附權利要求中變得更加顯然，或者可通過實踐此處所給出的原理而被獲知。所公開的是用于利用VoIP蜜罐來解決在企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的系統(tǒng)、方法和計算機可讀存儲介質。根據(jù)一個方面，公開提供了一種解決由企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的方法。該方法包括執(zhí)行存儲在非暫存性計算機可讀存儲介質上的指令以執(zhí)行如下步驟的數(shù)據(jù)處理器(a)攔截從因特網到企業(yè)網絡的可疑的進入VoIP呼叫，并且， 將可疑的進入VoIP呼叫定向到VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的進入 VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的進入VoIP呼叫；以及(b)攔截從企業(yè)網絡到因特網的可疑的外出VoIP呼叫，并且，將可疑的外出VoIP呼叫定向到VoIP蜜罐，該 VoIP蜜罐用作網絡誘餌并在追蹤可疑的外出VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的外出VoIP呼叫。根據(jù)另一方面，公開提供一種用于解決由企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的系統(tǒng)。該系統(tǒng)包括網絡計算機，該網絡計算機包括數(shù)據(jù)處理器和非暫存性計算機可讀存儲介質。該非暫存性計算機可讀存儲介質存儲計算機指令，當該計算機指令被數(shù)據(jù)處理器執(zhí)行時，執(zhí)行如下步驟(a)攔截從因特網到企業(yè)網絡的可疑的進入VoIP 呼叫，并且，將可疑的進入VoIP呼叫定向到VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的進入VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的進入VoIP呼叫；以及(b) 攔截從企業(yè)網絡到因特網的可疑的外出VoIP呼叫，并且，將可疑的外出VoIP呼叫定向到 VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的外出VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的外出VoIP呼叫。根據(jù)最后一方面，公開提供了存儲計算機指令的非暫存性計算機可讀存儲介質， 當該計算機指令被數(shù)據(jù)處理器執(zhí)行時，執(zhí)行解決由在企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的方法，該方法包括如下步驟(a)攔截從因特網到企業(yè)網絡的可疑的進入VoIP呼叫，并且，將可疑的進入VoIP呼叫定向到VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的進入VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的進入VoIP呼叫； 以及(b)攔截從企業(yè)網絡到因特網的可疑的外出VoIP呼叫，并且，將可疑的外出VoIP呼叫定向到VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的外出VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的外出VoIP呼叫。


為了描述可獲得上述和公開的其他優(yōu)點和特征的方式，將通過參照以附圖示出的具體實施例來呈現(xiàn)對以上簡要描述的原理的更加具體的描述。理解到這些圖僅描繪公開的實施例并因此不被認為是限制其范圍，此處的原理通過使用附圖來更加具體和詳細地描述和說明，其中圖1示出了示例系統(tǒng)實施例；圖2示出了示例網絡實施例；圖3示出了示例因特網和企業(yè)網絡實施例；圖4示出了僅VoIP的網絡攻擊的分類；圖5示出了 VoIP和非VoIP融合的網絡攻擊的分類；圖6示出了在VoIP棧的各個程序層上對VoIP網絡攻擊的處理；圖7示出了信令情景，其中，帶有入侵檢測和保護(IDP)的網關服務器將進入的 INVITE請求轉發(fā)到VoIP蜜罐；圖8示出了信令情景，其中，帶有入侵檢測和保護(IDP)的網關服務器將來自被入侵企業(yè)用戶代理的外出的INVITE請求轉發(fā)到VoIP蜜罐；圖9示出了信令情景，其中，在企業(yè)VoIP用戶代理處檢測到未經請求的VoIP呼叫 (即，SPIT)，并且，該VoIP呼叫被重定向到VoIP蜜罐；圖10示出了 VoIP蜜罐的組件；以及圖11和圖12—起示出了對來自圖3中的企業(yè)網絡中的數(shù)據(jù)和通信服務的VoIP 呼叫和VoIP呼叫中的統(tǒng)一資源定位符(URL)重定向的優(yōu)選的方法的流程圖。
具體實施例方式本公開涉及本領域中對涉及由在企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的改進的方法的需求。首先，將是對在圖1中的基本通用計算設備的討論，然后， 是對在圖2中可被用于實踐此處所公開的概念的示例網絡配置的討論。然后，接下來的將是對圖3中的系統(tǒng)以及涉及由在圖3中的系統(tǒng)的企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的方法的更加詳細的描述。參照圖1，示例系統(tǒng)100包括通用計算設備100，該通用計算設備100包括處理單元(CPU或處理器)120和耦合到處理器120的各種系統(tǒng)組件的系統(tǒng)總線110，各種系統(tǒng)組件包括系統(tǒng)存儲器130，諸如，只讀存儲器(ROM) 140和隨機訪問存儲器(RAM) 150。系統(tǒng)100可包括具有高速度存儲的高速緩存122，其直接連接到處理器120、或在其附近、或集成為其一部分。為了處理器120的快速訪問，系統(tǒng)100將來自存儲器130和/或存儲設備160的數(shù)據(jù)復制到高速緩存122。通過這種方式，高速緩存122提供性能提升，該性能提升避免當?shù)却龜?shù)據(jù)時的處理器120延遲。這些和其他模塊可被配置為控制處理器120來執(zhí)行各種動作。其他系統(tǒng)存儲器130也是可用的。存儲器130可包括具有不同性能特點的多個不同類型的存儲器。可以理解，公開可操作于具有多于一個處理器120的計算設備100或彼此互聯(lián)以提供更大處理能力的計算設備群組或簇。處理器120可包括任意通用處理器和硬件模塊或軟件模塊，諸如，模塊1162、模塊2164、模塊3166，其存儲在存儲設備160中、被配置為控制將軟件指令融合到實際的處理器設計中的處理器120和專用處理器。處理器120可本質上是完全整裝(self-contained)的計算系統(tǒng)，其包括多個核或處理器、總線、存儲控制器、高速緩存等。多核處理器可以是對稱的或非對稱的。系統(tǒng)總線110可以是若干類型的總線結構中的任一個，包括存儲總線或存儲控制器、外圍總線，以及利用各種總線體系架構中的任一個的本地總線。存儲在ROM 140等中的基本輸入/輸出系統(tǒng)(BIOS)可在諸如啟動期間提供幫助在計算設備100中的元件之間傳輸信息的基本例程。計算設備100還包括存儲設備160，諸如硬盤驅動、磁盤驅動、光盤驅動、磁帶驅動等。存儲設備160可包括用于控制處理器120的軟件模塊162、164、166。其他硬件或軟件模塊被構想。存儲設備160由驅動接口被連接到系統(tǒng)總線110。驅動和相關聯(lián)的計算機可讀存儲介質提供對計算機可讀指令、數(shù)據(jù)結構、程序模塊和計算設備100的其他數(shù)據(jù)的非易失性存儲。在一方面，執(zhí)行特定功能的硬件模塊包括存儲在與必要的硬件組件(諸如，處理器120、總線110、顯示器170等)相連接的有形和/或無形的計算機可讀介質中的用以執(zhí)行該功能的軟件組件?；镜慕M件對本領域技術人員而言是公知的，并且，取決于設備的類型(諸如，設備100是小型手持計算設備、還是桌面計算機、還是計算機服務器)，合適的變化被構想。雖然此處所描述的示例性實施例利用硬盤160，但是，本領域技術人員應當理解， 可存儲由計算機可訪問的數(shù)據(jù)的其他類型的計算機可讀介質也可被使用在示例性操作環(huán)境中，諸如，磁盒式磁帶、閃存卡、數(shù)字通用盤、磁片盒、隨機訪問存儲器(RAM) 150、只讀存儲器(ROM) 140、包括比特流的電纜或無線信號等。有形的計算機可讀存儲介質明確排除諸如能量、載波信號、電磁波和信號本身之類的介質。為了使能與計算設備100的用戶交互，輸入設備190代表任意數(shù)量的輸入機制，諸如，用于語音的麥克風、用于手勢或圖形輸入的觸摸敏感屏、鍵盤、鼠標、動作輸入、語音等。 輸出設備170也可以是本領域技術人員所公知的多個輸出機制中的一個或多個。在某些示例中，多模系統(tǒng)使得用戶能夠提供多種類型的輸入來與計算設備100通信。通信接口 180 — 般支配并管理用戶輸入和系統(tǒng)輸出。對于操作于任意特定的硬件布置，不存在限制，因此， 隨著改進的硬件或固件布置被開發(fā)，此處的基本特征可被容易地替換。為了說明清楚，所示出的系統(tǒng)實施例被表示為包括單個的功能框，該功能塊包括被標簽為“處理器”或處理器120的功能框。這些框所代表的功能可通過使用共享的或專用的硬件來被提供，該硬件包括但不限于能夠執(zhí)行軟件的硬件，以及諸如處理器120之類的為特定目的建造的以用作執(zhí)行在通用處理器上的軟件的等同物的硬件。例如，在圖1中所呈現(xiàn)的一個或多個處理器的功能可由單個共享的處理器或多個處理器來提供。(對術語 “處理器”的使用不應當被解釋為僅指能夠執(zhí)行軟件的硬件。)所示出的實施例可包括微處理器和/或數(shù)字信號處理器(DSP)硬件、用于存儲執(zhí)行以下所討論的操作的軟件的制度存儲器(ROM) 140，以及用于存儲結果的隨機訪問存儲器(RAM) 150。還可提供非常大規(guī)模的集成(VLSI)硬件實施例以及與通用DSP電路組合的定制VLSI電路。各種實施例的邏輯操作被實現(xiàn)為(1)運行在通用計算機中的可編程電路上的計算機實現(xiàn)步驟、操作或流程序列、(2)運行在專用可編程電路上的計算機實現(xiàn)步驟、操作或流程的序列；和/或C3)在可編程電路中的互連機器模塊或程序引擎。圖1中所示的系統(tǒng) 100可實踐全部或部分所述方法，可以是所述系統(tǒng)的一部分，并且/或可根據(jù)在所述有形計算機可讀存儲介質中的指令來操作。這種邏輯操作可被實現(xiàn)為模塊，該模塊被配置為根據(jù)模塊的編程來控制處理器120以執(zhí)行特定功能。例如，圖1示出了三個模塊(模塊1162、模塊2164和模塊3166)，其為被配置為控制處理器120的模塊。這些模塊可被存儲在存儲設備160上，并被在運行時載入到RAM 150或存儲器130，或在其他計算機可讀存儲位置處被存儲為本領域技術人員所公知的模塊。圖2示出了示例電信網絡實施例200。如在圖2中所示，電信網絡200包括應用層網關2(Ma、204b、應用服務器206、因特網協(xié)議(IP)端點208a、208b，以及各種互連的IP路由器20h-202h。該基于IP網絡的特定配置是說明性的。電信網絡并不限于基于IP的網絡，并且，并不限于該應用層網關2(Ma、204b、IP路由器20h-202h等的特定配置。每個IP路由器20加-20池是這樣一種設備其經由一個或多個進入的網絡鏈接接收IP分組，并且，沿著一個或多個外出的網絡鏈接來轉發(fā)所接收的分組。通常，IP路由器 2023-20 維護動態(tài)路由表，該動態(tài)路由表使得路由器能夠改變路徑，流量通過該路徑被通過網絡200發(fā)送。IP路由器20加-20池可響應于各種條件(諸如，鏈接故障、擁塞路由、收費等)而隨著時間的流逝通過網絡200沿著不同路徑重新路由網絡流量。諸如IP端點208a、 208b之類的數(shù)據(jù)源或諸如IP路由器2023-20 之類的網絡傳輸機制可根據(jù)其內容來標記某些分組。例如，音頻流量被標記為音頻分組、視頻流量被標記為視頻分組，而數(shù)據(jù)分組被標記為數(shù)據(jù)分組。應用層網關2(Ma、204b是能夠提供一個或多個應用層功能(諸如，語音IP(VoIP)、 FTP、流視頻、因特網協(xié)議電視(IPTV)、遠程桌面服務等)的數(shù)據(jù)處理系統(tǒng)。另外，應用層網關2(Ma、204b還能夠參與到執(zhí)行以下所描述的關于圖3至圖12的一個或多個任務中。應用服務器206是提供一個或多個服務來支持特定應用(諸如，VoIP或IPTV)的數(shù)據(jù)處理系統(tǒng)，并且，其還能夠參與到執(zhí)行以下所描述的關于圖3至圖12的一個或多個任務中。根據(jù)一個示例性實施例，應用服務器206在兩個或更多個因特網協(xié)議端點208a、208b 之間提供諸如呼叫建立之類的VoIP服務、呼叫修改、呼叫終止等。替代VoIP或除了 VoIP 之外，應用服務器206也可為其他應用提供服務，包括視頻會議、IPTV。每個IP端點208a、208b是一種設備，諸如，IP電話、IP耳機、IP手機、IP軟電話、 或根據(jù)因特網協(xié)議(IP)在網絡200上與其他設備通信的IP會議電話。另外，IP端點208a、 208b還可執(zhí)行以下所描述的一個或多個任務。公開現(xiàn)返回到對涉及在圖3中的系統(tǒng)中的由數(shù)據(jù)和通信服務的融合所使能的網絡威脅的討論。圖3示出了因特網20和鏈接到因特網的各種用戶、客戶端和服務器。例如， 真人用戶21操作鏈接到因特網20的桌面?zhèn)€人計算機22。用戶21還操作在地面線電話系統(tǒng)25中的臺式電話23。因此，用戶21可通過地面線電話系統(tǒng)呼叫另一真人用戶沈以達到用戶26的桌面電話27。因特網20將地面電話系統(tǒng)25鏈接到VoIP電話，諸如，由真人用戶四所操作的 VoIP電話28。因特網20還將地面線電話系統(tǒng)25鏈接到無限電話系統(tǒng)30，使得該呼叫可被置于諸如真人用戶32的蜂窩電話31之類的無線設備中。在該示例中，用戶32具有鏈接到因特網20的膝上型計算機33。無線電話系統(tǒng)30還向智能電話和便攜計算設備(諸如，由真人用戶35所操作的平板計算機34)提供數(shù)據(jù)服務，諸如，文本消息、電子郵件和因特網接入。諸如公司或政府機構之類的中型或大型組織通常具有包括臺式計算機(諸如，由真人用戶39所操作的臺式計算機38)的企業(yè)網絡34。企業(yè)網絡36還具有將企業(yè)網絡鏈接到因特網20使得臺式計算機38可通過網關服務器37訪問因特網20的網關服務器37。企業(yè)網絡36還包括許多VoIP電話36、37。在該情形中，網關服務器37可用作專用分支交換機(PBX)。例如，PBX在主要的電話號碼上被聯(lián)絡，并且，在PBX內的VoIP電話在各個擴展號碼上被聯(lián)絡。網關服務器37還具有入侵檢測和包括(IDP)軟件，其用于阻止某種類型的進入流量或被標記為來自某些“列入黑名單”的IP地址的進入流量。網關服務器37將來自因特網20的可疑的VoIP流量重定向到VoIP蜜罐40。網關服務器37將來自因特網20的可疑的非VoIP流量重定向到非VoIP蜜罐41。非VoIP蜜罐將可疑的即時消息(IM)流量轉發(fā)到即時消息蜜罐42。蜜罐40、41、42充當網絡誘餌來在追蹤網絡攻擊的同時接納并阻止網絡攻擊。圖4示出了對僅VoIP網絡攻擊的分類。僅VoIP網絡攻擊的源相對于企業(yè)網絡可以是外部的或內部的。外部的僅VoIP攻擊發(fā)源于因特網并包括(1)未經請求的VoIP 呼叫(稱為IP電話垃圾，或SPIT) ； (2)重定向、監(jiān)視和潛出(exfiltration) ； (3)偵查 (reconnaissance)；以及(4)利用漏洞。SPIT被進一步分類為“網絡欺詐(phishing) ”，其通過模擬受信源和未經請求的商業(yè)廣告(UC)來請求敏感信息。利用漏洞被進一步分類為利用易受攻擊的軟件的開發(fā)人員已知的漏洞，或利用由黑客所發(fā)現(xiàn)的而易受攻擊的軟件的開發(fā)人員尚未知的“零日(zero-day)”漏洞。內部源VoIP網絡攻擊發(fā)源于企業(yè)網絡中的被利用的主機。通常，被利用的主機已經由外部非VoIP網絡攻擊所入侵，并且，感染了在程序中或超文本標記語言(HTML)文檔中的惡意代碼。內部源VoIP網絡攻擊被進一步分類為(1)重定向、監(jiān)視和潛出；( 偵查；以及⑶利用漏洞。禾_漏洞可利用已知的漏洞或“零日”漏洞。圖5示出了對VoIP和非VoIP融合的網絡攻擊的分類。這種網絡攻擊涉及將VoIP 和web或即時消息(IM)服務相結合的融合應用。這些涉及融合應用的網絡攻擊被進一步分類為扮演受信源來請求敏感信息的網絡欺詐攻擊，以及并不扮演受信源但損害第三方組件或其在融合應用中的服務的攻擊。圖6示出了在VoIP棧51的各個程序層上對VoIP網絡攻擊的處理。VoIP棧51包括頂級應用層52、中級信令層53，以及底級介質層M。在應用層51中，VoIP蜜罐包括用于模擬各種類型的融合服務能力的程序陽，諸如，與即時消息(IM)能力集成的VoIP，以及通過用戶點擊在未經請求的電子郵件(一般稱為垃圾郵件)中的鏈接而被觸發(fā)的外出呼叫。 在信令層53中的編程56使得在網關服務器(圖3中的37)中的入侵檢測和保護(IDP)能夠識別會話描述協(xié)議(SDP)攻擊、VoIP擴展掃描和重定向攻擊，并且，VoIP蜜罐獲知攻擊者指紋。會話描述協(xié)議(SDP)攻擊、VoIP擴展掃描和重定向攻擊還可被企業(yè)網絡中的其他信令元件所識別。在介質層M中的編程57使得在網關服務器(圖3中的37)中的入侵檢測和保護(IDP)能夠識別指示IP電話垃圾(SPIT)的所生成的呼叫、所記錄的消息、歪曲代理和呼叫-和-掛斷(call-and-hang-up)模式。所生成的呼叫、所記錄的消息、歪曲代理以及呼叫-和-掛斷模式還可被企業(yè)網絡中的其他介質元件所識別。圖7示出了信令情景，其中，帶有IDP的網關37將進來的INVITE(邀請)請求轉發(fā)到VoIP蜜罐40。該信令情景開始于外部“黑帽式黑客(black hat) ”用戶代理22 (即， 在企業(yè)網絡外部的因特網中的惡意代理)向網關服務器37發(fā)送INVITE消息。在網關服務器37中的IDP軟件認出該INVITE消息具有被黑名單的或異常的頭部，因此網關服務器37 將INVITE消息透明地轉發(fā)到VoIP蜜罐40。VoIP蜜罐40通過將指示響鈴的響應代碼100 返回到外部“黑帽式黑客”用戶代理22來完成呼叫會話建立，并且，在幾秒之后，VoIP蜜罐 40還返回響應代碼200，其指示用戶代理已經應答了呼叫。然后，VoIP蜜罐以模擬真人代理的行為的方式進行與“黑帽式黑客”用戶代理22的電話交談。例如，VoIP蜜罐在暫停后自動用“你好”的語音響應來回答，然后，等待來自“黑帽式黑客”用戶代理22的語音響應。在合適時，VoIP蜜罐還通過例如說“再見”來終止呼叫， 然后掛斷，或通過說“如果您還有話要說，請在我的語音郵箱中留言”來終止呼叫，然后將呼叫轉移到語音郵箱。VoIP蜜罐還自動響應輸入號碼以獲得進一步信息的請求，因而蜜罐輸入號碼，并且呼叫被繼續(xù)，很可能通過外部“黑帽式黑客”用戶代理22的真人用戶。當合適時，VoIP蜜罐將通過用作自動語音郵件系統(tǒng)而非模擬真人用戶來應答。針對“黑帽式黑客”用戶代理已經撥打了指派給蜜罐的虛擬用戶代理的電話號碼的情形，針對虛擬用戶代理的虛擬用戶，人名和占用時間表被建立，并且，如果占用時間表指示虛擬用戶不在，則對虛擬用戶代理的呼叫被蜜罐自動語音郵件系統(tǒng)應答。當VoIP蜜罐檢測到VoIP 蜜罐正與外部“黑帽式黑客”用戶代理的真人用戶交談時，VoIP蜜罐還可將呼叫定向到蜜罐自動語音郵件系統(tǒng)。圖8示出了信令情景，其中，帶有IDP的網關37將來自被入侵的企業(yè)用戶代理38 的外出的INVITE請求轉發(fā)到VoIP蜜罐40例如，在從因特網接收到惡意HTML網頁時，被入侵的用戶代理38被入侵，并且，當真人用戶點擊在HTML網頁中的鏈接時，INVITE被產生。 在網關37中的IDP檢測到INVITE具有異常目的地、或異常會話行為、或與主機入侵事件的異常關聯(lián)，并且，作為響應，網關37將INVITE請求透明地轉發(fā)給VoIP蜜罐40。VoIP蜜罐 40通過將指示響鈴的響應代碼100返回到被入侵的企業(yè)用戶代理38來完成呼叫會話建立， 并且，在幾秒之后，VoIP蜜罐40還返回響應代碼200，其指示用戶代理已經應答了呼叫。然后，VoIP蜜罐以模擬真人代理的行為的方式進行與被入侵的企業(yè)用戶代理38的電話交談。圖9示出了信令情景，其中，在企業(yè)VoIP用戶代理38處檢測到未經請求的VoIP呼叫(S卩，SPIT)，并且，VoIP呼叫被重定向到VoIP蜜罐40。SPIT可被在企業(yè)VoIP用戶代理 38中的程序自動檢測，或者，當企業(yè)VoIP用戶代理的真人用戶39判定該VoIP呼叫時SPIT并激活在企業(yè)VoIP用戶代理38上的“轉移SPIT”時，SPIT可被重定向。在圖9中，SPIT發(fā)源于向網關37發(fā)送INVITE請求的外部“黑帽式黑客”用戶代理22。網關37將INVITE請求透明地轉發(fā)到企業(yè)VoIP用戶代理38。企業(yè)用戶代理38通過返回指示響鈴的響應代碼100來完成呼叫會話的建立，并且，幾秒之后，企業(yè)VoIP用戶代理38還返回指示用戶代理已經應答了呼叫的響應代碼200。然后，外部“黑帽式黑客”用戶代理22將SPIT發(fā)送到企業(yè)VoIP用戶代理38。一旦企業(yè)用戶代理38檢測到VoIP呼叫是 SPIT,企業(yè)用戶代理38將VoIP呼叫透明地重定向到VoIP蜜罐40VoIP。然后，蜜罐40通過自動模仿與真人用戶的交談來繼續(xù)VoIP呼叫。企業(yè)用戶代理38還向網關37發(fā)送請求，以將SPIT添加到由網關的IDP軟件所使用的黑名單中。如果企業(yè)用戶代理的真人用戶39已經確認VoIP呼叫是SPIT，則該事實也被發(fā)送到網關37并在黑名單中記錄。圖10示出了 VoIP蜜罐41的組件。這些組件包括(1)負責接受進來的呼叫并調查可能的攻擊的蜜罐代理61、(2) SIP 63、SDP 64和實時傳輸協(xié)議(RTP) 65的協(xié)議棧、(3)配置文件的蜜罐簡檔數(shù)據(jù)庫66、(4)偵查工具67，以及( 能夠通過特定度量和貝葉斯模型自動解釋調查結果的推理殷勤74。偵查工具包括檢查用于利用VoIP和網絡協(xié)議(諸如，SIP 68、RTP 69、動態(tài)名字服務(DNS) 70和網絡地址翻譯(NAT) 72)的已接收消息的工具。偵查工具還包括用于追蹤網絡攻擊的程序73。追蹤73與對推理引擎74的推理組合在一起被攻擊者標識符78使用，該攻擊者標識符用于根據(jù)攻擊的追蹤或共同特點來將看似來源于相同源的攻擊分組。攻擊者標識符78 從端點用戶代理查找SPIT行為的歷史、查找指示SPIT分布的擴展掃描行為，并且，通過將源地址地理映射到共同的地理位置來關聯(lián)不同的外部IP源地址。攻擊者標識符78針對看似來源于相同源的攻擊的每個組編譯攻擊者的指紋，并且，將攻擊者指紋存儲在已標識的攻擊者數(shù)據(jù)庫79中。VoIP蜜罐41還包括語音和號碼響應單元76，其能夠語音識別并能夠通過進行語音交談來響應SPIT，使得VoIP會叫會話被繼續(xù)，該語音交談模仿真人用戶，并且，通過觸摸號碼來響應針對進一步信息來觸摸按鍵式電話鍵盤上的號碼的請求。VoIP蜜罐41還具有虛擬用戶代理和虛擬用戶數(shù)據(jù)庫和暗涌時間表77，當占用時間表指示虛擬用戶不在時，其允許VoIP蜜罐將VoIP呼叫定向到自動語音郵件系統(tǒng)中的各自語音郵箱。蜜罐還具有圖形用戶界面75，其允許系統(tǒng)管理員選擇并建立蜜罐建檔，以及將蹤跡、警報和統(tǒng)計數(shù)據(jù)可視化。圖11和圖12—起示出了將來自土 3中的企業(yè)網絡中的數(shù)據(jù)和通信服務的VoIP 呼叫和VoIP呼叫中的統(tǒng)一資源定位符(URL)重定向的優(yōu)選的方法的流程圖。在第一步驟 81中，從因特網到企業(yè)網絡的可疑的進入VoIP呼叫被攔截并被定向到VoIP蜜罐，該VoIP 蜜罐用作網絡誘餌，并且，針對可疑的進入VoIP呼叫，在追蹤可疑的進入VoIP呼叫的同時在會叫會話期間自動響應。在步驟82中，從企業(yè)網絡到因特網的可疑的進入VoIP呼叫被攔截并被定向到 VoIP蜜罐，該VoIP蜜罐用作網絡誘餌，并且，針對可疑的進入VoIP呼叫，在追蹤可疑的進入 VoIP呼叫的同時在會叫會話期間自動響應。在步驟83中，當未經請求的VoIP呼叫已經被在企業(yè)網絡中的用戶代理所接收并且用戶代理的真人用戶確認未經請求的呼叫是未經請求的時，未經請求的VoIP呼叫被定
11向到VoIP蜜罐。在步驟84中，在企業(yè)網絡中的非VoIP蜜罐通過將VoIP分組發(fā)送到VoIP蜜罐來響應發(fā)布VoIP分組的可疑客戶端。在步驟85中，VoIP蜜罐經由統(tǒng)一資源定位符(URL)通過將訪問非VoIP源的請求發(fā)送到企業(yè)網絡中的非VoIP蜜罐來響應對非VoIP資源的引用。在圖12的步驟91中，檢測到可以的即時消息(IM)，并且，響應于檢測到可疑的即時消息(IM)，可疑的即時消息(IM)被定向到即時消息蜜罐(圖3中的42)，該即時消息蜜罐通過響應于該可疑的即時消息(IM)創(chuàng)作并返回即時消息(IM)來模仿即時消息(IM)的真人接收者。例如，即時消息(IM)響應由在即時消息蜜罐中的基于規(guī)則的專家系統(tǒng)來創(chuàng)作。在步驟92中，響應于檢測到外出的VoIP呼叫已經通過用戶點擊未經請求的電子郵件而被觸發(fā)，外出的VoIP呼叫被重定向到VoIP蜜罐。在步驟93中，VoIP蜜罐通過創(chuàng)作并返回模仿真人接收者的語音響應來再可疑的 VoIP呼叫的已連接會話期間響應。在步驟94中，VoIP蜜罐建立針對各自虛擬用戶代理的虛擬用戶的占用時間表，并且，當接收到指向虛擬用戶代理的VoIP呼叫時，當虛擬用戶的占用時間表指示虛擬用戶代理的虛擬用戶不在時，將指向虛擬用戶代理的VoIP呼叫定向到語音郵箱。在步驟95中，VoIP蜜罐將可疑的VoIP呼叫識別為發(fā)源于共同源，并且，編譯來自共同源的可疑的VoIP呼叫的統(tǒng)計數(shù)據(jù)，以識別來自未知源的可能發(fā)源于共同源的可疑的 VoIP呼叫。例如，一旦針對來自共同源的可疑的VoIP呼叫的特征性VoIP呼叫統(tǒng)計數(shù)據(jù)的 “指紋”被建立，該指紋可被用來識別來自其他源或來自作為發(fā)源于共同源的未知源的可疑的VoIP呼叫。通過這種方式，一旦已經收集了非法活動的足夠證據(jù)，最具威脅的網絡攻擊者可被追蹤、識別和起訴。上述用于涉及對抗融合的數(shù)據(jù)和通信服務的網絡威脅的系統(tǒng)和方法協(xié)調VoIP和非VoIP蜜罐，以提供在不同蜜罐中的VoIP和非VoIP資源之間的端口、狀態(tài)和數(shù)據(jù)的一致性。存在到蜜罐的透明轉交(handoff)以及在不同類型的蜜罐之間的透明轉交。存在跨越不同類型的蜜罐的一致的分析。蜜罐提供增加的逼真度來增強蜜罐的價值，因為攻擊者在無意義的偵查中花費更多的時間。通過如下方式，逼真度被增加使用合適的協(xié)議指紋、融合背對背用戶代理 (B2BUA)功能來協(xié)調可疑流(例如，在網關將VoIP呼叫重定向到VoIP蜜罐期間)、針對與 VoIP蜜罐的已連接會話利用自動語音響應、以及自模擬IM對話。合適的協(xié)議指紋包括正確的特定于賣主的協(xié)議頭部和其他標識模式，并且，VoIP蜜罐被配置為使用這些協(xié)議指紋。到VoIP蜜罐的重定向被控制，以避免可能不利地影響合法端用戶的假陽性 (false positive)。目標是將SPIT從偶然的錯誤號碼呼叫和尖端的電話連接中區(qū)分開來， 并且，將網絡欺詐SPIT從未經請求的商業(yè)SPIT中區(qū)分開來。用于避免假陽性的技術包括從端點用戶代理查找SPIT行為的歷史、查找指示SPIT分布的擴展掃描行為、通過將源地址地理映射到公共地理位置來關聯(lián)不同的外部IP源地址，以及允許端用戶確認所接收的呼叫是SPITo在各種提供融合的服務的配置中，VoIP蜜罐可用作端點、中介、或信令元件。在蜜罐或呼叫信令路徑中的其他位置處，融合的IP蜜罐可經由例如背對背用戶代理(B2BUA)用作端點或中介。在呼叫路徑或重定向呼叫路徑的分支(forked leg)中，融合的VoIP蜜罐可用作端點或信令元件。在包括合法攔截、橋接、多點呼叫、會議呼叫、回叫和呼叫記錄的呼叫拓撲中，融合的VoIP蜜罐可用作端點或信令元件。在使用了第三方呼叫控制的呼叫會話中，融合的VoIP蜜罐可用作端點或信令元件。在利用一個或多個特征服務器的呼叫拓撲中，融合的VoIP蜜罐還可用作端點或信令元件。針對具有視頻或其他流媒體、具有作為媒體源的視頻服務器的呼叫，該媒體例如經由因特網協(xié)議電視(IPTV)服務或呈現(xiàn)給呼叫方的網頁服務被呈現(xiàn)在呼叫媒體路徑中或其帶外，融合的VoIP蜜罐可用作端點或中介。針對包括網頁會議的會話，融合的VoIP蜜罐還可用作端點或中介。融合的VoIP 蜜罐可模擬網頁會議端點、或與特定的外部蜜罐或服務協(xié)調以提供模擬。針對利用點對點或覆蓋網絡的呼叫會話或部分呼叫路徑經由服務器和網關被發(fā)信號而其他部分經由覆蓋被發(fā)信號的混合會話，融合的VoIP蜜罐可用作端點、信令元件、 路由元件和/或媒體元件。另外，某些會話媒體可經由客戶服務器承載，而其他會話媒體可經由覆蓋或激流(torrent)承載。融合的數(shù)據(jù)和通信服務可使用帶內或帶外傳輸。融合的VoIP蜜罐可用作端點、信令元件，或否則參與到融合的服務情景中，該融合的服務情景組合流媒體、網頁服務、http 應用連接、雙向http連接、即時消息SMS、IPTV、傳感器網絡和饋送，以及激流，并且，融合的 VoIP蜜罐將內部地或用專業(yè)的蜜罐元件或服務或代理來協(xié)調每個會話組件，以在會話組件之間提供一致性并向攻擊者提供逼真性。融合的VoIP蜜罐可實現(xiàn)虛擬呼叫轉發(fā)，其中，對一個虛擬代理的呼叫被轉發(fā)到另一虛擬代理。在雙向http或諸如網頁發(fā)起協(xié)議(WSIP)之類的網頁服務中所承載的會話中，融合的VoIP蜜罐還可用作端點或信令元件。在不同企業(yè)網絡處的蜜罐還可被調整為交換關于可疑呼叫的信息，并且從而形成蜜網。隨著新的VoIP攻擊被在蜜網中的各種企業(yè)網絡處檢測到，攻擊者指紋和標識被上載到中央數(shù)據(jù)庫，并且，被下載到在蜜網中的所有企業(yè)網?；谟嗛?，新的企業(yè)網絡可獲取攻擊者指紋和標識。在本公開的范圍內的實施例還可包括用于承載或具有存儲于其上的計算機可執(zhí)行指令或數(shù)據(jù)結構的有形的和/或非暫時的計算機可讀存儲介質。這種計算機可讀存儲介質可以是任意可用的包括上述任意專用處理器的功能設計的可被通用或專用計算機訪問的介質。通過示例而非限制，這種計算機可讀介質可包括RAM、ROM、EEraOM、⑶-ROM、或其他光盤存儲、磁盤存儲或其他磁存儲設備、或其他任意可被用于以計算機可執(zhí)行指令、數(shù)據(jù)結構或處理器芯片設計的形式承載或存儲所希望的程序代碼裝置的介質。當信息被轉移或在網絡上或另一通信連接(硬連接、無線或其組合)上提供到計算機時，計算機合理地就愛那個該連接看作是計算機可讀介質。因此，任意這種連接被合理地稱為計算機可讀介質。以上的組合也應當被包括在計算機可讀介質的范圍內。計算機可執(zhí)行指令例如包括導致通用計算機、專用計算機或專用處理設備執(zhí)行某功能或功能組的指令和數(shù)據(jù)。計算機可執(zhí)行的指令還包括由計算機單獨執(zhí)行或在網絡環(huán)境中執(zhí)行的程序模塊。一般地，程序模塊包括在專用處理器等的設計中所固有的執(zhí)行特定任務或實現(xiàn)特定抽象數(shù)據(jù)類型的例程、程序、組件、數(shù)據(jù)結構、對象和功能。計算機可執(zhí)行指令、相關聯(lián)的數(shù)據(jù)結構和程序模塊代表用于執(zhí)行此處所公開的方法的步驟的程序代碼裝置的示例。這種可執(zhí)行指令或相關聯(lián)的數(shù)據(jù)結構的特定序列代表用于實現(xiàn)在這種步驟中所描述的功能的相應動作的示例。本領域技術人員將理解，公開的其他實施例可被實踐在帶有許多類型的計算機系統(tǒng)配置的網絡計算環(huán)境(其包括個人計算機、手持設備、多處理器系統(tǒng)、基于微處理器或可編程消費電子產品、網絡PC、迷你計算機、大型機計算機等)中。實施例還可被實踐在分布式計算環(huán)境中，其中，任務由通過通信網絡鏈接(硬鏈接、無線鏈接、或其組合)的本地和遠程處理設備所執(zhí)行。在分布式計算環(huán)境中，程序模塊可位于本地和遠程存儲設備二者中。上述各種實施例僅通過說明來提供，并且，不應當被解釋為限制公開的范圍。本領域技術人員將容易地認識到，在不偏離公開的精神和范圍的前提下，不追隨此處所說明并描述的示例實施例和應用，可做出對此處所描述的原理的各種修改和變更。
權利要求
1.一種方法，包括經由計算設備的處理器來攔截與外部網絡和本地網絡相關聯(lián)的可疑的IP語音呼叫；將所述可疑的IP語音呼叫定向到IP語音蜜罐，該IP語音蜜罐用作網絡誘餌，并且，在追蹤所述可疑的IP語音呼叫的同時，在呼叫會話期間自動響應所述可疑的IP語音呼叫；以及報告所述可疑的IP語音呼叫的源。
2.根據(jù)權利要求1所述的方法，其中，所述可疑的IP語音呼叫是以下中的一個來源于所述外部網絡的進入呼叫，以及來源于所述本地網絡的外出呼叫。
3.根據(jù)權利要求1所述的方法，還包括當未經請求的IP語音呼叫已經被在所述本地網絡中的用戶代理接收并且所述用戶代理的真人用戶確認所述未經請求的IP語音呼叫是未經請求的時，將所述未經請求的IP語音呼叫重定向到IP語音蜜罐。
4.根據(jù)權利要求1所述的方法，還包括經由在所述本地網絡中的非IP語音蜜罐，通過將IP語音分組發(fā)送到所述IP語音蜜罐來響應發(fā)布IP語音分組的可疑的客戶端。
5.根據(jù)權利要求1所述的方法，還包括經由所述IP語音蜜罐，通過將訪問非IP語音資源的請求發(fā)送到所述本地網絡中的非 IP語音蜜罐來響應經由統(tǒng)一資源定位符的對所述非IP語音資源的引用。
6.根據(jù)權利要求1所述的方法，還包括檢測可疑的即時消息；以及響應于所述可疑的即時消息，通過創(chuàng)作并返回對該即時消息的即時消息響應，將所述可疑的即時消息定向到扮演所述即時消息的真人接收者的即時消息蜜罐。
7.根據(jù)權利要求1所述的方法，還包括檢測到外出IP語音呼叫已經通過用戶點擊未經請求的電子郵件而被觸發(fā)；以及將所述外出IP語音呼叫重定向到所述IP語音蜜罐。
8.根據(jù)權利要求1所述的方法，還包括經由所述IP語音蜜罐，在已連接的會話期間，通過創(chuàng)作并返回扮演真人接收者的語音響應來響應所述可疑的IP語音呼叫。
9.一種用于解決由本地網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的系統(tǒng)，所述系統(tǒng)包括處理器；存儲用于控制所述處理器執(zhí)行步驟的指令的存儲器，所述步驟包括經由計算設備的處理器來攔截與外部網絡和本地網絡相關聯(lián)的可疑的IP語音呼叫；將所述可疑的IP語音呼叫定向到IP語音蜜罐，該IP語音蜜罐用作網絡誘餌，并且，在追蹤所述可疑的IP語音呼叫的同時，在呼叫會話期間自動響應所述可疑的IP語音呼叫；以及報告所述可疑的IP語音呼叫的源。
10.一種存儲指令的非暫存性計算機可讀存儲介質，當所述指令被計算設備執(zhí)行時，致使所述計算設備執(zhí)行如下步驟經由計算設備的處理器來攔截與外部網絡和本地網絡相關聯(lián)的可疑的IP語音呼叫；將所述可疑的IP語音呼叫定向到IP語音蜜罐，該IP語音蜜罐用作網絡誘餌，并且，在追蹤所述可疑的IP語音呼叫的同時，在呼叫會話期間自動響應所述可疑的IP語音呼叫；以及報告所述可疑的IP語音呼叫的源。
全文摘要
本發(fā)明公開了用于融合的VOIP服務的VOIP蜜罐的系統(tǒng)和方法。此處所公開的是用于解決由在企業(yè)網絡中的數(shù)據(jù)和通信服務的融合所使能的網絡威脅的蜜罐的系統(tǒng)、方法和計算機可讀存儲介質。從因特網到企業(yè)網絡的可疑的進入VoIP呼叫被攔截，并且，被定向到VoIP蜜罐，該VoIP蜜罐用作網絡誘餌并在追蹤可疑的進入VoIP呼叫的同時，在呼叫會話期間，自動響應可疑的進入VoIP呼叫。從企業(yè)網絡到因特網的可疑的外出VoIP呼叫也被攔截并定向到VoIP蜜罐。另外，當未經請求的VoIP呼叫已經被在企業(yè)網絡中的用戶代理接收并且用戶代理的真人用戶確認未經請求的VoIP呼叫是未經請求的時，未經請求的VoIP呼叫被重定向到VoIP蜜罐。
文檔編號H04M7/00GK102546621SQ201110455248
公開日2012年7月4日 申請日期2011年12月27日 優(yōu)先權日2010年12月27日
發(fā)明者文卡特什·克里希納斯瓦米, 約翰·F·布福德 申請人:阿瓦雅公司