[论文解读] Intrusion detection mechanisms for VoIP applications

Mohamed Nassar, Radu State+1 more|ArXiv.org|Oct 18, 2006

Network Security and Intrusion Detection参考文献 8被引用 10

一句话总结

本文提出了一种基于贝叶斯网络的VoIP网络入侵检测系统，通过分析SIP信令流量检测SPIT、扫描和DoS攻击，方法基于对时间与行为异常的建模。该方法利用多个流量度量的似然融合，生成信念分布，对SPIT类行为的可疑性识别达到56%的置信度。

ABSTRACT

VoIP applications are emerging today as an important component in business and communication industry. In this paper, we address the intrusion detection and prevention in VoIP networks and describe how a conceptual solution based on the Bayes inference approach can be used to reinforce the existent security mechanisms. Our approach is based on network monitoring and analyzing of the VoIP-specific traffic. We give a detailed example on attack detection using the SIP signaling protocol.

研究动机与目标

• 应对VoIP网络中因协议特异性威胁（如SPIT、DoS和呼叫劫持）而日益增长的专用入侵检测需求。
• 识别并建模SIP信令流量中的行为异常，以检测用户枚举和欺诈使用等攻击。
• 开发一种基于贝叶斯推断的统计框架，实现实时异常检测，而无需完全依赖基于签名的方法。
• 利用多维流量度量与似然融合，区分相似攻击类型（如SPIT与扫描）。
• 为将基于异常的检测集成到现有VoIP安全架构中提供基础，以增强对新兴威胁的弹性应对能力。

提出的方法

• 使用贝叶斯网络对SIP流量建模，其中父节点表示攻击类型，子节点表示可观测的流量度量。
• 基于正常行为与攻击行为中得出的阈值，为每个观测度量（如请求强度、响应分布）定义似然向量。
• 通过时间分析，在五秒间隔内计算请求强度与ERI（估计请求强度），以检测异常请求模式。
• 对子节点的似然向量进行逐元素相乘，计算根节点处的融合信念向量，表示攻击可能性。
• 将融合后的信念向量归一化为单位和，得到最终在可能攻击类型上的信念分布。
• 利用目标数量、打开的RTP端口数量、对话等待状态数量以及响应类别分布等度量，为贝叶斯模型提供输入。

实验结果

研究问题

• RQ1 如何将贝叶斯推断应用于检测VoIP信令流量中指示SPIT或扫描攻击的异常？
• RQ2 哪组SIP流量度量最能区分正常行为与恶意活动（如用户枚举或DoS）？
• RQ3 基于多个低层级流量观测的信念融合是否能提高检测精度，相较于单一度量分析？
• RQ4 在行为模式重叠的情况下，该模型在区分SPIT与扫描等相似攻击类型方面的有效性如何？
• RQ5 当认证机制薄弱或缺失时，该模型在检测协议层攻击（如呼叫劫持或中间人攻击）方面的有效程度如何？

主要发现

• 攻击类型上的信念分布计算为BEL = (0 0.56 0.44 0 0 0)，表明对SPIT类行为的置信度为56%，对扫描攻击的置信度为44%。
• 请求强度计算为2.424，低于10的阈值，因此请求强度节点的似然向量λ = (1 0)。
• ERI（估计请求强度）计算为2.70，低于4的阈值，导致该度量的似然向量λ = (1 0)。
• 目标数量为9，导致似然向量λ = (0 1)，且打开的RTP端口数量少于10，产生λ = (1 0)。
• 等待状态下的最大对话数为1，似然向量λ = (1 0)，信念向量由融合后的似然值归一化得到。
• 融合后的信念向量L = (0 6.11 4.85 0 0 0)被归一化为BEL = (0 0.56 0.44 0 0 0)，表明根据观测到的流量，SPIT和扫描是最可能的攻击类型。