用於路由環和垃圾郵件檢測的兩用計數器的製作方法
2023-05-30 22:50:46 1
專利名稱：用於路由環和垃圾郵件檢測的兩用計數器的製作方法
技術領域：
本發明總地涉及在網絡中進行可疑業務模式的檢測。更特別地，本發明涉及在基於例如源和目的地地址和/或時序的無線消息收發網絡中進行這樣的檢測。
背景技術：
垃圾郵件是困擾很多當前通信網絡且特別是電信網絡的一個問題。如此處所使用的，「垃圾郵件」包括來自與無線設備(如行動電話)相關聯的一個或一小組始發號碼的大量消息收發，其經常包含不想要的或不期望的內容。垃圾郵件經常採取從單個源地址到多個接收者的非常大數目的消息的形式，且可能由通過連接到計算機或無線數據機的手持電話機向無線網絡發送消息的應用引起。此外，垃圾郵件可定義為從單個源發送到單個目的地地址的大數目的消息，而沒有相反方向上的對應消息。雖然在傳統意義上未嚴格考慮垃圾郵件，但這可能構成例如運營商可能希望被警告的消息收發網絡的類似拒絕服務的誤用，或其還可能指示不期望的「路由環」。
如此處所使用的，術語「路由環」指一個運營商、例如行動電話網絡提供商認出一號碼不在其系統中並將有關該號碼的呼叫或消息轉發到另一網絡所籍由的情況，或邏輯地橋接不同網絡的中介。但是，該中介(或另一網絡)認出該號碼屬於始發的運營商的系統並將該消息發送回。此路由和重路由可無限繼續。
不期望的環路可經常發生在號碼可攜性(NP)的背景中，籍此，消息交換環境中的兩個實體、例如一無線運營商和一運營商間的銷售商在給定的時刻具有對於特定電話號碼的不同路由信息。例如，運營商間的銷售商可能已通過實時移植(porting)/集中(pooling)數據饋送接收並處理了用於一電話號碼的移植事件的通知，但是無線運營商由於多種原因還未更新其本地路由信息以反映該通知。此衝突可導致上述消息或路由環。
在這種情況下，運營商將(不正確地)確定例如寄送到一電話號碼的短消息服務(SMS)消息在其網絡之外，且將相應地將該消息傳送到運營商間的銷售商用於遞送。該銷售商(或中介)將(正確地)確定該電話號碼已移植到該運營商且因此應由該運營商服務，且將相應地將該消息返回給運營商用於遞送。然後該消息將無限來回反彈而不被發送到期望的接收者。
垃圾郵件和路由環都為運營商和客戶帶來了問題。期望的是，識別、在通信網絡內減少並可能甚至消除垃圾郵件和路由環。這在處理如SMS消息的數據的無線通信網絡內特別期望。
發明內容
在一個示範性實施例中，本發明涉及一種用於在消息收發網絡內對不期望情況進行檢測的方法。該方法包括接收消息並識別該消息的源。如果用於該源的資料庫中的條目還未被創建，則在用於該源的資料庫中創建條目。用於該源的源計數器設置為1且為該源創建時間戳。如果用於該源的資料庫中的條目以前已被創建，則源計數器增加1且更新時間戳。然後在一預定時間段內，源計數器與源閾值進行比較，且如果源計數器超過源閾值，則觸發源告警。
圖1所示為根據本發明一示範性實施例的示範性消息計數器增加過程的流程圖；圖2所示為在網絡內接收消息的時間線；圖3所示為根據本發明一示範性實施例使用滑動窗進行「垃圾收集」的流程圖；
圖4所示為路由環情況的圖；以及圖5所示為根據本發明一實施例的示範性跟蹤方法的流程圖。
具體實施例方式
在一優選實施例中，本發明監視移動通信用戶之間正在進行的消息業務以致力於識別可能構成垃圾郵件的模式，如上面所定義的，或指示在一個網絡的兩部分間或在網絡間來回無止盡地發送消息的路由環。本領域技術人員會認識到本發明不應僅限於移動通信用戶之間的業務，還可應用於可能發生垃圾郵件或路由環的任何網絡。通過根據與本發明的原理一致的原理來監視網絡，可以更快地識別、並因此更快地補救這種不期望情況的存在。
在其最基本的水平，本發明致力於以對於固定尺寸的時間窗合適的方式跟蹤兩個網絡間或單個網絡內流動的所有消息的源和目的號碼(例如，電話號碼或地址)。在一優選實施例中，資料庫或其他存儲庫存儲由特定源地址發送的消息的號碼和表示給定實例的創建時間的時間戳。當消息通過該系統時，在資料庫中創建適當的數據結構(如果對特殊源地址還不存在)且計數器增加，該計數器指示從該特定源地址發送的消息的數目。
該過程在圖1中示出。最初，在步驟100創建新消息(例如，來自行動電話的SMS)並從位置A發送到位置B。在步驟110，該系統檢查用於始發方A的資料庫中是否存在條目。如果條目不存在，則在步驟120創建新條目同時計數器置1，並創建時間戳。如果條目已存在，則在步驟130，計數器增加並更新時間戳。一旦計數器和時間戳被更新，就在步驟140執行相對於閾值的檢查。如果計數器值(依賴於設置)達到或超過閾值，則在步驟150發出告警。但是，如果未越過閾值，則系統等待網絡內或網絡間待發送的下一消息。
利用計數器和時間戳信息，根據本發明，通過使用以規則的間隔去除比固定窗尺寸舊的所有條目的垃圾收集方法，可以實施有效的固定尺寸的「跳窗(jumping window)」。例如，如果經過了30分鐘且還未到閾值，則丟棄在這30分鐘跳窗期間收集的數據並重新啟動該過程。本方案具有非常有效的優點，因為垃圾收集器例程每個時間段僅需比較一個整數值(例如，消息數目)以確定是否去除消息歷史數據。該方法的一個缺點在於固定的跳窗的性質。消息風暴(flurry)在整體上從單個源地址發送，可能超過所識別的垃圾郵件閾值，但是相對於垃圾收集短暫地發送，該風暴的兩部分每個都保持低於閾值或檢測水平。
此情況在圖2中示出，其中圖示了在約7分鐘時段內發送15個消息。後來，又有30個消息在半小時的最後15分鐘中發送。如果閾值設置為半小時內50個消息，則典型的系統不會發出告警，因為垃圾收集會被設置為每半小時發生一次，因此在該時段期間擦除所有計數器信息。在下一半小時的開始，圖示出另外30個消息在第一個15分鐘內被發送。因為垃圾收集發生在30分鐘標記處，所以系統不將此檢測為垃圾郵件實例，即使如圖所示在30分鐘時段中發送了60個消息。實質上，固定跳窗分裂成兩半，由此使該事件不被檢測到，否則會被檢測為垃圾郵件實例。表1示出利用固定窗的垃圾收集。
表1
如表1所示，當窗是固定的時，發生消息累積的不期望實例或垃圾郵件，因為消息的到達跨越兩個窗。為確保發出告警且檢測到這樣的垃圾郵件實例，優選地實施滑動窗。此滑動窗利用更精細的數據結構實施，在該數據結構中，時間戳被時間戳的排序數組(或類似的數據結構)代替，每個時間戳相對於每一計數器增量。垃圾收集器從該數組去除比固定窗尺寸舊的所有條目，並相應地遞減計數器。以此方式，只有當計數器到達0時，才從哈希表去除完整的數據結構。
因此，細化的方案可實施「滾動」窗。這需要更精細的數據結構，其中時間戳和計數器被時間戳的容器一例如先進先出(FIFO)隊列或其他類似結構代替。垃圾收集器從該容器去除比固定窗尺寸舊的所有條目。只有當最後的元素從該容器去除時，該容器本身才從哈希表去除。這一使用滑動或滾動窗的增強的垃圾郵件檢測示出在表2。
表2
利用此滑動方法，由於數組搜索和相關計數器遞減相對於簡單整數比較的相對複雜性以及定期的垃圾收集，會遇到輕微的性能損失。還將發生存儲器空間的顯著增大。表2所述垃圾收集過程示出在圖3。如圖所示，在步驟300獲得下一隊列。該「隊列」，如此處所使用的，表示包含或容納動態改變的單獨條目組的數據結構，每一單獨條目表示被觀測為源自特定源(A，B，...)的那些(SMS)消息。垃圾收集例程，其示範性實施例示出在圖3，在它完成工作時將重複通過隊列中的條目以訪問所有計數器/時間戳。接著，在步驟310，還獲得有關該隊列的時間戳。然後在步驟320檢查時間戳以查看它是落在預定窗尺寸內部還是外部。如果時間戳落在該窗尺寸外部，則在步驟330去除時間戳。否則，過程返回到步驟300以得到下一隊列。但是因為時間戳數組總是排序的，可應用非常有效的數組操作方法。為了獲得該結果，必須考慮存儲器空間的顯著增大。
在支持號碼可攜性的行動電話網絡環境中，一個運營商的用戶能夠帶走他的/她的當前電話號碼並在另一運營商的網絡中使用它，以避免為了改變運營商而改變電話號碼。以前，運營商接收電話號碼的專用塊，使得他們的系統容易檢測什麼號碼是他們的網絡的一部分以及什麼號碼在他們的網絡之外。但是，現在用戶能將他們的號碼從一個運營商帶到下一個運營商，於是在用戶端簡化了從一個運營商到另一個運營商的改變。但是，如上所述，該號碼可攜性會為運營商帶來很多問題。
在號碼可攜性的情況下，用戶Y(參考圖4)將它的號碼從其始發運營商—運營商2，帶到新的運營商—運營商1。如圖4所示，當也利用運營商1的用戶X發送消息到新增加到運營商1的用戶Y，由於多種原因，運營商1(不正確地)認為用戶Y在它的網絡之外。運營商1然後發送消息到中介I用於轉換該消息以確保在運營商間適當傳輸。中介I隨後(正確地)認為用戶Y實際上是運營商1的網絡的一部分並將該消息發送回運營商1以發送到用戶Y。由於運營商和中介所具有的關於用戶Y的信息之間的差異，此路由和重路由將無限繼續。該差異導致路由環。如果中介I和運營商1都沒有機制以防止將消息發送回始發網絡，該消息將無限地留在該路由環中，或直到某些定時器到期，且實際將永不會到達它的目的地。
為了在單個源和目的地之間檢測路由環或過多的消息收發，需要跟蹤附加的信息。代替增量每個源地址的單個計數器，還優選地配置用於每一源地址的數據結構以包含用於每一目的地地址的單獨的計數器。為此，以前限定的數據結構可修改為包含哈希表，或為了保持相同類型數據結構而類似地索引為「容器」，由目的地地址索引。這允許該系統不僅僅跟蹤來自該源地址的消息的總量。修改的跟蹤方法在圖5中示出。
如圖5所示，使用步驟200所示的電話號碼，新消息從位置X發送到位置Y。如利用圖2的方法，系統檢查在步驟210是否已為X創建了條目。如果沒有，則在步驟220用索引X創建一新條目且計數器置1。因為這是用於X的新條目，可以假設沒有為Y創建子條目，所以在步驟240，用索引Y創建一新的子條目。但是如果存在條目，而不是在此時增加計數器，則在步驟230，系統檢查在X的主條目下是否存在用於Y的子條目。如果用於Y的子條目不存在，則在步驟240創建用於Y的新的子條目且計數器置1。如果用於Y的子條目存在，則在步驟250計數器增加且更新時間戳。在這一點，在步驟260計數器與閾值相比較，如果計數器大於該閾值，則在步驟270發出告警。如果不到該閾值，則系統等待下一消息，而不發出告警。
通過增加此附加數據，本發明的監視機制可用幾種方式改變。第一，可為每個窗的消息的總數目以及每個目的地地址和窗的消息的數目配置不同閾值。第二，基於消息總數目的告警可包含不同目的地地址和相關消息計數的詳細細目。
如果引入此垃圾郵件/路由環檢測方法的網絡是分布式性質的，可能沒有所有消息必須通過的單個點。在這種情況下，至少有2種方案。第一，遍布網絡的單獨硬體上的過程可使用共享設備，如固態盤，作為用於所有內存儲器數據結構的存儲介質。儘管這確保經過網絡的消息業務的精確計數，但與排他地在本地存儲器內工作的過程相比，它可能顯著使性能劣化。如果業務分布在地理上分離的網絡中，則此方法也可能不實用。
在針對分布式網絡問題的第二方案中，相對於經過網絡的業務總量限定的閾值可除以運用本發明的位置數目。例如，如果每小時100個消息被限定為每個源地址的閾值，則可配置具有每小時50個消息的閾值的兩個過程。儘管如果業務不是基於源地址負載平衡的，但此方法可導致若干錯誤告警，實踐表明對於合理的高閾值，通常的輪替(round-robin)負載平衡方法足以確保共享存儲器模型的良好近似。
因為使用上述監視，合法使用消息收發網絡將導致錯誤告警，這實際上是不可避免的，所以系統可配置成向一直保持在存儲器中的「白名單」增加某些源或目的地地址或它們的組合。在白名單中具有匹配條目的消息即使它們超過配置的閾值也不產生告警。類似地，已知用於垃圾郵件消息的源地址可被放置在「黑名單」中，其用於丟棄來自這樣的地址的任何消息而不管閾值如何。
本發明前面公開的優選實施例為圖示和說明的用途而提出。並不意圖窮舉或將本發明限制為所公開的精確形式。顯然對本領域技術人員按照上述公開可對此處所述實施例進行許多變更和修改。本發明的範圍僅由所附權利要求及其等價設置限定。
此外，在說明本發明的代表實施例時，本說明書將本發明的方法和/或過程表示為步驟的特定序列。但是，就該方法或過程不依賴於此處闡明的步驟的特定順序的程度而言，該方法或過程不應局限於所述步驟的特定序列。本領域技術人員應當理解，步驟的其他序列是可能的。所以，本說明書中闡明的步驟的特定順序不應解釋為對權利要求的限制。此外，指向本發明的方法和/或過程的權利要求不應局限於按所寫順序的步驟的性能，且本領域技術人員易於認識到，該序列可變化且仍保持在本發明的精神和範圍內。
權利要求
1.一種用於在消息收發網絡內對不期望情況進行檢測的方法，包括接收消息；識別所述消息源；如果用於所述源的資料庫中的條目還未被創建，則在用於所述源的資料庫中創建條目，將用於所述源的源計數器設置為1，並且創建用於所述源的時間戳；如果以前已在用於所述源的資料庫中創建條目，則所述源計數器增加1並且更新時間戳；將所述源計數器與源閾值進行比較；以及當在預定量的時間期間所述源計數器超過所述源閾值時，觸發指示不期望情況的告警。
2.權利要求1的方法，進一步包括識別用於所述消息的目的地；如果用於所述目的地的資料庫中的條目還未被創建，則在用於所述目的地且相關於所述源的資料庫中創建子條目，並且將目的地計數器設置為1；如果以前已在用於所述目的地的資料庫中創建條目，則所述目的地計數器增加1；將所述目的地計數器與目的地閾值進行比較；以及當在另一時間段期間所述目的地計數器超過所述目的地閾值時，則觸發目的地告警。
3.權利要求2的方法，其中所述源閾值和所述目的地閾值包括不同的值。
4.權利要求1的方法，其中所述消息是短消息系統消息。
5.權利要求1的方法，其中所述消息收發網絡允許號碼移植。
6.權利要求1的方法，其中所述消息收發網絡包括無線網絡。
7.權利要求1的方法，其中所述源包括網絡用戶，且所述目的地包括中間銷售商。
8.一種用於在消息收發網絡中對垃圾郵件事件進行檢測的方法，包括在所述消息收發網絡中對消息業務進行監視；對於與消息相關聯的每一新的源地址，在資料庫中創建條目並將用於該源地址的源地址計數器設置為預定數並存儲對應於接收所述消息的時間的時間戳，且對於重複的源地址，增加用於所述重複的源地址的所述源計數器並更新所述時間戳；將用於給定源地址的所述源計數器與源閾值進行比較；以及當在預定量的時間期間所述源計數器超過所述源閾值時，觸發指示垃圾郵件事件的告警。
9.權利要求8的方法，其中所述消息業務包括短消息系統消息。
10.權利要求8的方法，其中所述消息收發網絡包括無線網絡。
11.權利要求8的方法，其中所述方法由邏輯地位於兩個電信服務提供商之間的中介執行。
12.一種在電信網絡中對路由環進行檢測的方法，包括對通過互連至少兩個電信服務提供商的中介的消息業務進行監視；當消息業務通過所述中介時，在資料庫中創建條目，將源地址計數器設置為預定數並存儲對應於第一消息通過所述中介的時間的時間戳，並且增加所述源地址計數器並當所述第一消息每次再經過所述中介時更新所述時間戳；當消息業務通過所述中介時，在資料庫中創建條目，將目的地地址計數器設置為預定數並存儲對應於第二消息通過所述中介的時間的時間戳，並且增加所述目的地地址計數器並當所述第二消息每次經過所述中介時更新所述時間戳；針對給定的源地址和給定的目的地地址分別將所述源地址計數器和目的地地址計數器與源地址閾值和目的地地址閾值進行比較；以及，在預定量的時間期間，當所述源地址計數器和目的地地址計數器分別超過所述源地址閾值和目的地地址閾值時，觸發指示路由環的告警。
13.權利要求12的方法，其中所述源地址閾值和所述目的地地址閾值包括不同的值。
14.權利要求12的方法，其中所述消息業務包括短消息系統(SMS)消息。
15.權利要求12的方法，其中所述方法檢測由號碼移植性引起的路由環。
16.權利要求12的方法，其中所述電信網絡包括無線網絡。
全文摘要
一種用於在消息收發網絡內對不期望情況進行檢測的方法。接收消息並識別該消息的源。如果用於該源的資料庫中的條目還未被創建，則創建條目。用於該源的源計數器然後設置為1且為該源創建時間戳。如果用於該源的資料庫中的條目以前已被創建，則該源計數器增加1且更新該時間戳。然後該源計數器與源閾值進行比較，且在預定量的時間期間如果該源計數器超過該源閾值，則觸發源告警。可實施相對於該預定量的時間的滑動以考慮可由所設置的時間段遇到或分裂的總計數。本發明對檢測「垃圾郵件」事件和不期望的路由環特別有用。
文檔編號G06F15/16GK101048769SQ200580005372
公開日2007年10月3日 申請日期2005年2月15日 優先權日2004年2月20日
發明者蒂洛·魯舍, 德裡克·亨·基特·塔姆, 小羅伯特·C·洛弗爾 申請人:移動365