PatentDe  


Dokumentenidentifikation DE102006023924A1 22.11.2007
Titel Verfahren zur Identifizierung von unerwünschten Telefonanrufen
Anmelder NEC Europe Ltd., 69115 Heidelberg, DE
Erfinder Tartarelli, Sandra, Dr., 76137 Karlsruhe, DE;
Niccolini, Saverio, Dr., 69121 Heidelberg, DE;
Schlegel, Roman, Köniz, CH;
Brunner, Marcus, 69181 Leimen, DE
Vertreter Ullrich & Naumann, 69115 Heidelberg
DE-Anmeldedatum 19.05.2006
DE-Aktenzeichen 102006023924
Offenlegungstag 22.11.2007
Veröffentlichungstag im Patentblatt 22.11.2007
IPC-Hauptklasse H04M 1/663(2006.01)A, F, I, 20060519, B, H, DE
IPC-Nebenklasse H04M 1/00(2006.01)A, L, I, 20060519, B, H, DE   H04L 12/26(2006.01)A, L, I, 20060519, B, H, DE   H04L 29/06(2006.01)A, L, I, 20060519, B, H, DE   H04M 3/42(2006.01)A, L, I, 20060519, B, H, DE   
Zusammenfassung Ein Verfahren zur Identifizierung von unerwünschten Telefonanrufen, vorzugsweise in einem VoIP-Netzwerk, bei dem die bei einem Telefonteilnehmer - Angerufener - ankommenden Telefonanrufe mindestens eines anrufenden Telefonteilnehmers - Anrufer - einem Test unterzogen werden, ist derart ausgestaltet, dass im Rahmen des Tests für ankommende Anrufe jeweils der Zeitpunkt des Eingangs des Anrufs bestimmt wird und jeweils eine Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, ermittelt wird, wobei zur Berechnung der Wahrscheinlichkeit der Zeitpunkt des Eingangs des Anrufs oder ein davon abhängiger Parameter zur zeitlichen Verteilung von vorausgegangenen unerwünschten Anrufen in Beziehung gesetzt wird.

Beschreibung[de]

Die Erfindung betrifft ein Verfahren zur Identifizierung von unerwünschten Telefonanrufen, vorzugsweise in einem VoIP-Netzwerk, bei dem die bei einem Telefonteilnehmer – Angerufener – ankommenden Telefonanrufe mindestens eines anrufenden Telefonteilnehmers – Anrufer – einem Test unterzogen werden.

Im Bereich der elektronischen Post sind unerwünschte Massen-E-Mails – so genannter SPAM – sehr weit verbreitet und haben sich zu einem massiven Problem entwickelt. Von SPAM-Nachrichten sind nicht nur Unternehmen betroffen, die auf E-Mail-Kommunikation angewiesen sind, sondern auch im privaten Bereich erweist sich SPAM als äußerst lästig. Viele Internetnutzer erhalten mittlerweile mehr SPAM-Nachrichten als gewöhnliche E-Mails. Deshalb kommen bei nahezu jedem E-Mail-Eingangsserver SPAM-Filter zum Einsatz, mit denen eingehende E-Mails nach definierten Regeln überprüft werden. Dabei wird beispielsweise der Inhalt der E-Mails aktiv nach Schlüsselwörtern durchsucht, bestimmte Konfigurationen des Servers überprüft, der zum Versenden der E-Mail genutzt wurde, oder nach Absendern gesucht, die häufig für das Versenden von Massen-E-Mails genutzt werden. Bei entsprechender Klassifizierung einer E-Mail als SPAM wird diese gekennzeichnet und/oder ausgesondert.

Im Bereich der Telefonie – analoger oder digitaler – tritt ebenso verstärkt SPAM auf, der sich dort in unerwünschten Telefonanrufen, beispielsweise in Form von Werbeanrufen, äußert. Meist werden diese Anrufe durch automatisierte Anrufmaschinen getätigt. Bei den derzeit noch maßgeblich eingesetzten vermittlungsbasierten Telefonnetzen (Public Switched Telefon Networks, PSTN) sind derartige SPAM-Anrufe äußert aufwendig und teuer, so dass sich die Anzahl von SPAM-Anrufen in den genannten Netzen in Grenzen halten. Vor dem Hintergrund der raschen Entwicklung der Internet-Telefonie, auch bekannt als Voice over IP (VOIP), ist allerdings von einer massiven Zunahme von SPAM-Anrufen auszugehen, da sie im Vergleich zur vermittlungsbasierten Telefonie wesentlich einfacher und kostengünstiger zu realisieren sind. Im Rahmen der Internet-Telefonie werden derartige unerwünschte Anrufe auch als SPIT (SPam over Internet Telephony) bezeichnet. Entsprechend der aufgezeigten Entwicklung gewinnen Verfahren zum Blockieren von SPIT zunehmend an Interesse und werden in Zukunft wahrscheinlich eine ähnliche Bedeutung erlangen wie diejenigen Verfahren, die heutzutage zum Blockieren von E-Mail-SPAM eingesetzt werden.

Die bei E-Mail-SPAM-Filtern eingesetzten Verfahren lassen sich allerdings nicht oder nur teilweise und sehr eingeschränkt auf die Telefonie übertragen. So wird beispielsweise durch ein SPAM-Filter der komplette Inhalt einer E-Mail untersucht, bevor die Nachricht an den Empfänger weitergeleitet wird. Ein derartiges Vorgehen ist bei Telefongesprächen nicht möglich, da der Inhalt eines Telefongesprächs erst im Verlauf des Gesprächs bekannt wird.

Verfügbare Technologien zur Identifizierung und ggf. Verhinderung von SPIT basieren im Wesentlichen auf weißen und schwarzen Listen und auf der Filterung von Inhalten. Bei der Sprachkommunikation werden zur Filterung von Inhalten verschiedene Arten von Turing-Tests durchgeführt, mit denen versucht wird herauszufinden, ob es sich bei dem Anrufer um einen Menschen oder um eine Maschine handelt. Andere Verfahren, die jüngst vorgeschlagen wurden, berücksichtigen soziale Netzwerke zwischen Nutzern unter Verwendung von Buddy-Listen. Eine weitere Technologie, die momentan von der IETF standardisiert wird, ist mehr darauf ausgerichtet, die Identität des Anrufers als eine Voraussetzung für eine sichere Kommunikation abzusichern.

Bei den bekannten Verfahren ist es durchweg nachteilig, dass zur Identifizierung von unerwünschten SPIT-Anrufen auf Parameter zurückgegriffen wird, die seitens des Anrufers in böswilliger Absicht mehr oder weniger leicht gefälscht werden können. So kann ein Anrufer seine Identität, beispielsweise in Form einer IP-Adresse, leicht ändern und auf diese Weise einen implementierten Filtermechanismus umgehen. Darüber hinaus sind einige der bekannten Verfahren äußerst unflexibel in der Hinsicht, dass es kaum möglich ist, schnell und sachgerecht auf mögliche Veränderungen im Verhalten eines SPIT-Anrufe generierenden Anrufers zu reagieren.

Der vorliegenden Erfindung liegt nunmehr die Aufgabe zugrunde, ein Verfahren der eingangs genannten Art derart auszugestalten und weiterzubilden, dass mit einfachen Mitteln eine weitestgehend systemunabhängige Identifizierung von unerwünschten Telefonanrufen ermöglicht ist und dass eine Umgehung für einen die unerwünschten Anrufe platzierenden Anrufer im Vergleich zu bekannten Verfahren erschwert ist.

Das erfindungsgemäße Verfahren löst die voranstehende Aufgabe durch die Merkmale des Patentanspruchs 1. Danach ist das gattungsbildende Verfahren derart ausgebildet, dass im Rahmen des Tests für ankommende Anrufe jeweils der Zeitpunkt des Eingangs des Anrufs bestimmt wird und jeweils eine Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, ermittelt wird, wobei zur Berechnung der Wahrscheinlichkeit der Zeitpunkt des Eingangs des Anrufs oder ein davon abhängiger Parameter zur zeitlichen Verteilung von vorausgegangenen unerwünschten Anrufen in Beziehung gesetzt wird.

In erfindungsgemäßer Weise ist zunächst erkannt worden, dass unerwünschte Telefonanrufe, insbesondere durch Anrufmaschinen generierte Anrufe, auch ohne Kenntnis der Anrufer-Identität, der Inhalte des Telefongesprächs oder sonstiger spezifischer Informationen auf einfache Weise vorgenommen werden kann, nämlich auf der Grundlage, wie sich der zu untersuchende Anruf unter rein zeitlichen Gesichtspunkten zu einem Muster der zeitlichen Verteilung von vorausgegangenen unerwünschten Anrufen verhält. Erfindungsgemäß wird dazu für ankommende Anrufe jeweils der Zeitpunkt des Eingangs des Anrufs bestimmt. Dieser Zeitpunkt wird zur zeitlichen Verteilung von vorausgegangenen unerwünschten Anrufen in Beziehung gesetzt und aus dieser Beziehung wird eine Wahrscheinlichkeit abgeleitet, dass es sich um einen unerwünschten Anruf handelt. Je genauer sich der Zeitpunkt des Eingangs des Anrufs in die zeitliche Verteilung der vorausgegangenen unerwünschten Anrufe einfügt, desto höher ist die Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt.

Da unerwünschte Anrufe ausschließlich auf der Grundlage ihrer zeitlichen Struktur identifiziert werden, ist das erfindungsgemäß vorgeschlagene Verfahren besonders sicher, da die zeitlichen Parameter – im Gegensatz beispielsweise zur ID des Anrufers – nahezu nicht in böswilliger Absicht gefälscht oder verändert werden können. Dementsprechend ist eine Umgehung des Verfahrens weitestgehend ausgeschlossen.

Darüber hinaus ist das erfindungsgemäße Verfahren unabhängig von dem zur Signalisierung der Anrufe verwendeten Protokoll. So kann das Verfahren beim Protokoll H.323, bei SIP (Session Initiation Protocol), aber auch bei in der Zukunft zum Einsatz kommenden Protokollen eingesetzt werden. Darüber hinaus erfordert das erfindungsgemäße Verfahren kein spezifisches Gerät als Host.

Die Erfindung nutzt die Tatsache, dass es sich bei den die unerwünschten Telefonanrufe generierenden Anrufern typischerweise um Maschinen handelt, die programmiert sind, um Anrufe zu platzieren, mit denen bspw. Werbeinhalte an eine große Anzahl von Nutzern – Angerufene – verbreitet werden sollen. Dabei ist es sehr wahrscheinlich, dass die unerwünschte Anrufe generierenden Anrufer – im Folgenden als SPITter bezeichnet – versuchen, so viele Anrufe wie möglich in einem limitierten Zeitfenster zu platzieren. Es ist folglich davon auszugehen, dass Anrufe im Voraus programmiert werden und entsprechend bestimmter Regeln platziert werden. Gemäß einer möglichen Regel könnte ein neuer Anruf beispielsweise nach einer bestimmten Zeit, nachdem ein vorausgegangener Anruf beendet wurde, gestartet werden. Der zeitliche Abstand kann dabei entweder konstant sein oder einer gegebenen Verteilung folgen. Auch der zeitliche Abstand zwischen der jeweiligen Ankunft aufeinander folgender Anrufe kann konstant sein oder einer bestimmten gegebenen Verteilung folgen. Diese Verteilung von Anrufen wird im Folgenden als „Kurzzeit-Verhalten" bezeichnet.

Darüber hinaus ist auch ein strukturiertes „Langzeit-Verhalten" nicht unwahrscheinlich, wonach ein SPITter – bestimmten Regeln folgend – ganze Bündel von SPIT-Anrufen startet. Eine Regel für das Platzieren solcher Bündel an SPIT-Anrufen kann beispielsweise jeden Tag um 8.00 Uhr morgens, jeden Arbeitstag um 9.00 Uhr abends, an Wochenenden um 12.00 Uhr mittags oder ähnlich lauten. Das erfindungsgemäße Verfahren nutzt allein die beschriebenen zeitlichen Strukturen, um unerwünschte Telefonanrufe zu identifizieren.

Im Rahmen einer vorteilhaften Ausgestaltung werden die Tests in einer Betriebsphase durchgeführt, wobei der Betriebsphase eine Lernphase zeitlich vorgeschaltet ist. Aufgrund der statistischen Natur des Verfahrens ist es von Vorteil, zunächst eine hinreichend große Anzahl von Anrufen zu untersuchen. Dazu wird über einen vorgebbaren Zeitraum hinweg ein statistisches Profil der zeitlichen Struktur von unerwünschten Anrufen erstellt. Mit anderen Worten wird in der Lernphase eine Historie von SPIT-Anrufen erstellt, wobei der Fokus auf der zeitlichen Verteilung dieser Anrufe liegt. In besonders vorteilhafter Weise werden in die Untersuchung möglichst viele Anrufe innerhalb des überwachten Netzwerks eingebunden. Die Untersuchung sollte dementsprechend nicht nur auf die bei einem einzigen Angerufenen ankommenden Anrufe beschränkt sein, sondern nach Möglichkeit alle Anrufe innerhalb des Netzwerks mit einbeziehen.

In vorteilhafter Weise werden unerwünschte Anrufe in der Lernphase anhand von vorgebbaren Parametern identifiziert. Beispielsweise könnten andere, von dem erfindungsgemäßen Verfahren unabhängig arbeitende Verfahren zur Erkennung von unerwünschten Anrufen zur Identifizierung eingesetzt werden. Insbesondere falls solche externen Systeme nicht zur Verfügung stehen, kann zur Identifizierung unerwünschter Anrufe ein Feedback des jeweils Angerufenen zu Hilfe genommen werden. So könnten beispielsweise alle Anrufe, die eine vorgebbare kurze Dauer unterschreiten und vom Angerufenen beendet wurden, als unerwünschte Anrufe identifiziert werden. Eine derartige Vorgehensweise bietet sich an, da SPIT-Opfer typischerweise den Anruf beenden, sobald sie bemerken, dass es sich um einen SPIT-Anruf, beispielsweise in Form eines maschinengenerierten Werbeanrufs, handelt. Der Grenzwert für die Dauer des Anrufs, bei deren Unterschreitung ein Anruf als unerwünschter Anruf angesehen wird, ist ein frei konfigurierbarer Parameter und kann in Abhängigkeit von der spezifischen Umgebung gewählt werden. Alternativ oder zusätzlich können alle Anrufe, bei denen der Angerufene explizit eine Meldung abgibt, dass es sich bei dem Anruf um SPIT handelt, als unerwünschte Anrufe identifiziert werden. Die Meldung kann bspw. in Form einer Betätigung einer speziellen SPIT-Taste oder durch Drücken einer speziellen Tastenkombination erfolgen.

Gemäß einer weiteren Alternative können unerwünschte Anrufe in der Lernphase auch mittels anderer Verfahren zur Erkennung unerwünschter Anrufe identifiziert werden. Hier bieten sich beispielsweise die in der Beschreibungseinleitung genannten Verfahren – weiße und schwarze Listen, Turing-Tests, etc. – an. Es sei betont, dass zur Erstellung einer zeitlichen Historie von unerwünschten Anrufen alle genannten Methoden selbstverständlich auch miteinander kombiniert werden können.

In besonders vorteilhafter Weise wird das statistische Profil der zeitlichen Struktur von unerwünschten Anrufen auch in der eigentlichen Betriebsphase ständig aktualisiert. Mit anderen Worten ist die Lernphase der Betriebsphase nicht nur zeitlich vorgeschaltet, sondern setzt sich auch während der gesamten Betriebsphase – nach Möglichkeit kontinuierlich – fort.

Im Rahmen der Erstellung des statistischen Profils der zeitlichen Struktur der beim Angerufenen ankommenden unerwünschten Anrufe kann vorgesehen sein, dass jeweils der Zeitpunkt des Eingangs und/oder der Zeitpunkt des Endes der Anrufe erfasst werden. Die genauen Zeitpunkte des Eingangs und des Endes eines Anrufes können dabei systemabhängig definiert werden. Für den Fall, dass das SIP-Protokoll verwendet wird, kann der Eingang eines Anrufs bspw. als derjenige Zeitpunkt festgelegt werden, zu dem die INVITE-Nachricht, d. h. die den Anruf initiierende Nachricht, das System erreicht, mit dem die SPIT-Identifizierung durchgeführt wird. In ähnlicher Weise kann das Ende eines Anrufs als derjenige Zeitpunkt definiert werden, zu dem – im Falle des SIP-Protokolls – eine BYE-Nachricht, d. h. eine der einen Anruf beendenden Nachrichten, von dem System, mit dem die SPIT-Identifizierung durchgeführt wird, erfasst wird.

Im Hinblick auf eine hohe Skalierbarkeit kann vorgesehen sein, dass die erfassten Zeitpunkte – des Eingangs und/oder des Endes eines Anrufs – in einem Soft-State gespeichert werden. Dementsprechend werden die so gespeicherten Informationen gelöscht, nachdem sie zur Aktualisierung der Historie unerwünschter Anrufe verwendet wurden, wie weiter unten im Detail erläutert wird.

Im Rahmen der Erstellung des statistischen Profils der zeitlichen Struktur der unerwünschten Anrufe, d. h. sowohl im Rahmen der erstmaligen Erstellung in der Lernphase als auch im Rahmen der ständigen Aktualisierung in der sich anschließenden Betriebsphase, kann vorgesehen sein, dass der Zeitpunkt des Eingangs eines unerwünschten Anrufs zu den Zeitpunkten des Eingangs und/oder des Endes der vorangegangenen unerwünschten Anrufe in Beziehung gesetzt wird.

Im Konkreten kann des Weiteren vorgesehen sein, dass ein Mittelwert des zeitlichen Abstandes zwischen dem Eingang eines unerwünschten Anrufs und dem Eingang und/oder dem Ende des vorangegangenen unerwünschten Anrufs berechnet wird. Der so berechnete Mittelwert stellt eine geeignete charakteristische Größe dar, mit der der Zeitpunkt des Eingangs eines zu untersuchenden Anrufs in Beziehung gesetzt werden kann, um die Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, zu ermitteln. Die Mittelwerte werden ebenfalls in einem Soft-State gespeichert und – wie weiter unten im Detail beschrieben wird – ständig aktualisiert.

Zur Berechnung der Wahrscheinlichkeit, dass es sich um einen SPIT-Anruf handelt, wird in der Betriebsphase in vorteilhafter Weise jeweils der zeitliche Abstand zwischen dem Eingang eines zu untersuchenden Anrufs und dem Eingang und/oder dem Ende des vorangegangenen unerwünschten Anrufs berechnet. Der so berechnete zeitliche Abstand kann sodann mit dem berechneten und gespeicherten Mittelwert des zeitlichen Abstandes der vorangegangenen unerwünschten Anrufe verglichen werden, wobei auf der Grundlage des Vergleichs die Wahrscheinlichkeit, dass es sich bei dem Anruf um einen unerwünschten Anruf handelt, bestimmt werden kann.

Im Hinblick auf eine hohe Flexibilität, was die Anpassung an ein verändertes Verhalten von SPITtern anbelangt, kann eine ständige Aktualisierung des Mittelwerts vorgenommen werden. In bevorzugter Weise wird der Mittelwert immer dann aktualisiert, wenn ein untersuchter Anruf als unerwünschter Anruf identifiziert worden ist, indem die für den Anruf gemessenen bzw. berechneten zeitlichen Abständen in den aktuell gespeicherten Mittelwert der zeitlichen Abstände der zeitlich vorausgegangenen Anrufe eingerechnet werden.

Im Hinblick auf ein hohes Maß an Zuverlässigkeit kann vorgesehen sein, dass für jeden ankommenden Anruf eine resultierende Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, gebildet wird, wobei die resultierende Wahrscheinlichkeit aus einer Kombination der berechneten Wahrscheinlichkeit und einer externen Information ermittelt wird. Bei den externen Informationen kann es sich bspw. um mittels anderer Verfahren gewonnene Ergebnisse und/oder um ein Feedback seitens des Angerufenen handeln.

Wenn die für einen ankommenden Telefonanruf berechnete Wahrscheinlichkeit und/oder die resultierende Wahrscheinlichkeit einen vorgebbaren Grenzwert überschreiten, kann vorgesehen sein, dass der Telefonanruf nicht an den Angerufenen vermittelt wird. Bei dem Grenzwert handelt es sich in vorteilhafter Weise um einen frei konfigurierbaren Parameter, der entsprechend der jeweiligen Umgebung und den individuellen Wünschen des Nutzers festgesetzt werden kann. So kann der Grenzwert hoch gewählt werden, wenn der Angerufene eine Störung durch unerwünschte Anrufe unter allen Umständen vermeiden möchte. Ein niedrigerer Grenzwert bietet sich an, falls der Angerufene unter keinen Umständen Anrufe verpassen möchte, bei denen es sich nicht um SPIT-Anrufe handelt.

Im Hinblick auf eine möglichst effektive Funktionsweise kann vorgesehen sein, dass die Tests an einem Punkt des Netzwerks durchgeführt werden, den möglichst viele Anrufe, im Idealfall alle Anrufe passieren müssen. Dementsprechend erweist sich eine Implementierung bspw. in einem Session Border Control (SBC), in einem Proxy-Server oder in einem Gate-Keeper, der eine große Anzahl von Nutzern versorgt, als besonders vorteilhaft.

Es gibt nun verschiedene Möglichkeiten, die Lehre der vorliegenden Erfindung in vorteilhafter Weise auszugestalten und weiterzubilden. Dazu ist einerseits auf die dem Patentanspruch 1 nachgeordneten Patentansprüche und andererseits auf die nachfolgende Erläuterung eines bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung zu verweisen. In Verbindung mit der Erläuterung des bevorzugten Ausführungsbeispiels der Erfindung anhand der Zeichnung werden auch im Allgemeinen bevorzugte Ausgestaltungen und Weiterbildungen der Lehre erläutert. In der Zeichnung zeigen

1 ein Ausführungsbeispiel eines erfindungsgemäßen Verfahrens zur Identifizierung von unerwünschten Telefonanrufen und

2 ein Beispiel eines statistischen Profils der zeitlichen Struktur von unerwünschten Anrufen.

1 zeigt – schematisch – ein Ausführungsbeispiel eines erfindungsgemäßen Verfahrens zur Identifizierung von unerwünschten Anrufen, wobei die bei einem Angerufenen ankommenden Anrufe einem Test unterzogen werden. In 1 ist die Ankunft eines Anrufs i zur Zeit si dargestellt. Der Zeitpunkt si des Eingangs des Anrufs wird von dem System gespeichert. Sodann wird ermittelt, wie sich si oder ein daraus ableitbarer Parameter zur der im Vorfeld ermittelten und vom System gespeicherten zeitlichen Verteilung von vorausgegangenen SPIT-Anrufen verhält. Auf der Grundlage dieses Verhältnisses wird eine Wahrscheinlichkeit Li, dass es sich bei dem Anruf i um einen unerwünschten Anruf handelt, ermittelt.

Zur Aktualisierung der Historie der SPIT-Anrufe werden in dem dargestellten Ausführungsbeispiel Informationen von zusätzlichen SPIT-Identifizierungsmethoden sowie Feedback vom Angerufenen – sei es implizit durch Beendigung des Anrufs oder explizit über eine vom Angerufenen betätigbare Schaltfläche – berücksichtigt.

Obschon in 1 nicht explizit dargestellt, kann die berechnete Wahrscheinlichkeit Li mit Wahrscheinlichkeiten kombiniert werden, die im Rahmen anderer SPIT-Identifizierungsmethoden ermittelt wurden, um so eine resultierende Wahrscheinlichkeit zu bilden und auf diese Weise eine genauere Auswertung zu erhalten. Je nach Anforderung kann die berechnete Wahrscheinlichkeit oder die resultierende Wahrscheinlichkeit mit einem Grenzwert verglichen werden, bei dessen Überschreitung der Anruf vom System als SPIT identifiziert und ggf. blockiert, d. h. nicht zum Angerufenen durchgestellt wird. Wenn der Grenzwert nicht überschritten wird, wird der Anruf als legitim angesehen und zu dem Angerufenen durchgestellt. Bei dem Grenzwert kann es sich um einen frei konfigurierbaren Parameter des Systems handeln. Wenn der Grenzwert überschritten wird, wird der Anruf zudem dazu verwendet, die SPIT-Historie zu aktualisieren.

2 zeigt – ebenfalls schematisch – ein Beispiel einer möglichen zeitlichen Verteilung von SPIT-Anrufen, wobei sowohl ein „Kurzzeit-Verhalten" (innerhalb eines Bündels von Anrufen) als auch das „Langzeit-Verhalten" (die zeitliche Verteilung der Bündel selbst) angedeutet sind. Aus Gründen der Übersichtlichkeit ist ein Fall dargestellt, bei dem die Anrufe sich nicht gegenseitig überlappen und bei denen alle SPIT-Anrufe von einem einzigen Anrufer stammen. In 2 bezeichnet si den Zeitpunkt des Eingangs des i-ten Anrufs und ti den Zeitpunkt, zu dem der i-te Anruf beendet wird.

Zur Identifizierung von unerwünschten Angriffen im Rahmen des Kurzzeit-Verhaltens wird untersucht, wie die zeitlichen Abstände der Art (si+1 – ti) innerhalb des n-ten Bündels statistisch verteilt sind. Wenn der (i+1)-te Anruf ankommt, wird die Wahrscheinlichkeit Li+1, dass es sich bei diesem Anruf um einen SPIT-Anruf handelt, berechnet, indem untersucht wird, wie sich der zeitliche Abstand (si+1 – ti) in die gespeicherte zeitliche Verteilung vorausgegangener SPIT-Anrufe einfügt.

Zusätzlich kann die Verteilung von Anruf-Bündeln im Rahmen einer Untersuchung des Langzeit-Verhaltens betrachtet werden. Gemäß der in 2 dargestellten Situation können beispielsweise die Ankunftszeiten des jeweils ersten SPIT-Anrufs in jedem Bündel (d. h. in dem dargestellten Beispiel si und sj) für einen Vergleich herangezogen werden. Eine derartige Analyse des Langzeit-Verhaltens könnte beispielsweise helfen, um Bündel von Anrufen aufzuspüren, die periodisch oder immer zu einer bestimmten Tageszeit ankommen.

Im Folgenden soll die Berechnung der Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, für das Kurzzeit-Verhalten im Detail erläutert werden. Zum Zeitpunkt si beginnt ein neuer Anruf, Anruf i. Daraufhin wird der zeitliche Abstand &dgr;i zwischen dem Zeitpunkt ti-1 des Endes des vorangegangenen Anrufs i-1 und dem Zeitpunkt si berechnet. Der letzte berechnete und im System gespeicherte Mittelwert m der zeitlichen Abstände zwischen vorausgegangenen unerwünschten Anrufen sei mit mi-1 bezeichnet. Die Hälfte des zugehörigen, die Varianz widerspiegelnden Konfidenzintervalls sei mit ϵi-1 bezeichnet. Im einem nächsten Schritt wird geprüft, ob gilt: &dgr;i ∊ mi-1 ± ϵi-1. Falls diese Bedingung zutrifft, wird der Wahrscheinlichkeit Li, dass es sich um einen unerwünschten Anruf handelt, ein hoher Wert A zugewiesen. Wenn &dgr;i < mi-1 – ϵi-1 bewegt sich der Anruf außerhalb des „kritischen Bereichs", und der zugehörigen Wahrscheinlichkeit Li, dass es sich um einen unerwünschten Anruf handelt, wird der Wert 0 zugewiesen, d. h. es handelt sich um einen legitimen Anruf.

Eine Besonderheit ist für den Fall &dgr;i > mi-1 + ϵi-1 zu beachten. In diesem Fall bewegt sich der Anruf zwar ebenfalls außerhalb des kritischen Bereichs, jedoch besteht die Möglichkeit, dass ein dem zu untersuchenden Anruf unmittelbar vorangehender SPIT-Anruf verpasst wurde, entweder weil er nicht detektiert wurde oder weil er den Beobachtungspunkt nicht passiert hat. Dieser Fall kann berücksichtigt werden, indem geprüft wird, ob der Anruf in ein späteres Intervall fällt. Allerdings wird dem Anruf in diesem Fall eine umso kleinere Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, zugewiesen, je größer der zeitliche Abstand zwischen dem aktuell zu untersuchenden Anruf und dem letzten beobachteten SPIT-Anruf ist. Mathematisch kann der beschriebene Fall bspw. wie folgt berücksichtigt werden. Es wird n = &dgr;i/mi-1 berechnet und geprüft, ob gilt: &dgr;i ∊ round(n) (mi-1 ± ϵi-1).

Ist dies der Fall, so wird der Wahrscheinlichkeit Li, dass es sich bei Anruf i um einen unerwünschten Anruf handelt, der Wert Li = A/round(n) zugewiesen.

Es sei an dieser Stelle angemerkt, dass es sich bei dem Mittelwert mi-1 in der Praxis, wenn Anrufe unterschiedlicher SPITter gleichzeitig beim Angerufenen eingehen, um einen Vektor von Mittelwerten handeln kann. Dies impliziert, dass &dgr;i gegen jeden einzelnen Mittelwert geprüft werden muss. Die Komplexität wächst dementsprechend linear mit der Anzahl von aktiven SPITtern, wobei jedoch in der Praxis davon auszugehen sein wird, dass deren Anzahl, zumindest im Hinblick auf eine Untersuchung des Kurzzeitverhaltens, recht limitiert ist.

Schließlich wird in Zusammenhang mit 2 noch der Vorgang der Aktualisierung des mittleren zeitlichen Abstandes m und des zugehörigen Konfidenzintervalls ϵ, das ein Maß dafür angibt, wie die einzelnen Werte um den Mittelwert verteilt sind, erläutert. Zwei wesentliche Gesichtspunkte müssen bei der Aktualisierung des Mittelwertes berücksichtigt werden, nämlich zum einen, dass es SPIT-Anrufe geben kann, die vom System nicht entdeckt wurden, und zweitens, dass unterschiedliche SPITter in überlappenden Zeitabschnitten arbeiten können, was bedeutet, dass potentiell überlappende Trends erkannt und isoliert werden müssen.

In einer konkreten Ausführungsform wird der mittlere zeitliche Abstand m immer dann aktualisiert, wenn ein SPIT-Anruf erkannt worden ist, sei es, dass das System den Anruf als unerwünschten Anruf identifiziert und geblockt hat, oder sei es, dass der Anruf das System passiert hat, jedoch ein negatives Feedback von Seiten des Angerufenen vorliegt. Für jeden ankommenden Anruf wird der zeitliche Abstand &dgr;i gespeichert. Der Index i wird jedes Mal, wenn der Mittelwert aktualisiert wird, um den Wert 1 erhöht.

Zum Zeitpunkt i sei der letzte berechnete mittlere zeitliche Abstand mi-1 und ϵi-1 das halbe Konfidenzintervall. Für den Fall, dass gilt &dgr;i ∊ mi-1 ± ϵi-1 wird der Mittelwert zusammen mit seinem Konfidenzintervall einfach durch Bildung des neuen arithmetischen Mittelswerts aktualisiert.

Für den Fall, dass &dgr;i nicht im Intervall liegt (&dgr;i

mi-1 ± ϵi-1) und dass gilt &dgr;i > mi-1, wird wiederum der Wert n = &dgr;i/mi-1 berechnet und geprüft, ob gilt:

Ist diese Bedingung erfüllt, so wird von der Annahme ausgegangen, dass der Wert nicht in das bislang vorherrschende zeitliche Muster passt, und es wird mit der Erstellung eines neuen statistischen Profils (für einen anderen SPITter) begonnen. Dementsprechend wird ein neuer Mittelwert &mgr; mit &mgr; = &dgr;i evaluiert.

Für den Fall, dass &dgr;i nicht im Intervall liegt (&dgr;i

mi-1 ± ϵi-1) und dass gilt (&dgr;i < mi-1, wird wiederum der Wert n = &dgr;i/mi-1 berechnet und geprüft, ob gilt:

Ist diese Bedingung erfüllt, so wird von der Annahme ausgegangen, dass der Wert nicht in das bislang vorherrschende zeitliche Muster passt, und es wird mit der Erstellung eines neuen statistischen Profils (für einen anderen SPITter) begonnen. Dementsprechend wird ein neuer Mittelwert &mgr; mit &mgr; = &dgr;i evaluiert.

Gilt hingegen &dgr;i ∊ (mi-1 ± ϵi-1)/round(n), so wird die Aktualisierung des Mittelwerts m gemäß mi+1 = &dgr;i gebildet.

Aus Gründen der Skalierbarkeit wird der Mittelwert in einem Soft-State gespeichert und nach einem vorgebbaren Timeout wieder entfernt. Speicherung und anschließende Entfernung des Mittelwerts können auf folgende Weise durchgeführt werden: Der Zeitpunkt ti als derjenige Zeitpunkt, zu dem der letzte SPIT-Anruf beendet wurde, korrespondiert mit dem Zeitpunkt, zu dem die letzte Aktualisierung des Mittelwertes stattgefunden hat, d. h. der entsprechende gespeichert Wert lautet mi. Wenn bis zum Zeitpunkt ti + x·mi keine weitere Aktualisierung auftritt, wird der Mittelwert aus dem Speicher entfernt. x ist dabei ein vollkommen frei konfigurierbarer Parameter. Der beschriebenen Vorgehensweise liegt die Idee zugrunde, dass es unwahrscheinlich ist, mehr als x Anrufe zu verpassen, weshalb es angemessen ist, das Bündel von Anrufen nach einer Zeit ti + x·mi als beendet zu deklarieren.

Es sei nochmals darauf hingewiesen, dass alle in dem obigen Algorithmus involvierten Operationen nur dann durchgeführt werden, wenn ein Anruf beendet wird und vom System als SPIT identifiziert wird. Alle Operationen können einfach durchgeführt werden, ohne dass die Leistungsfähigkeit des Systems herabgesetzt wird. Die einzigen Variablen, die für jeden aktiven SPITter gespeichert bleiben müssen sind 1. der Zeitpunkt, zu dem der letzte Anruf des SPITters beendet worden ist, 2. der zuletzt aktualisierte Mittelwert zusammen mit dem zugehörigen Konfidenzintervall und 3. die Anzahl von SPIT-Anrufen, die bis dahin von dem SPITter identifiziert worden sind.

Hinsichtlich weiterer vorteilhafter Ausgestaltungen des erfindungsgemäßen Verfahrens wird zur Vermeidung von Wiederholungen auf den allgemeinen Teil der Beschreibung sowie auf die beigefügten Patentansprüche verwiesen.

Schließlich sei ausdrücklich darauf hingewiesen, dass das voranstehende beschriebene Ausführungsbeispiel lediglich zur Erläuterung der beanspruchten Lehre dient, diese jedoch nicht auf das Ausführungsbeispiel einschränkt.


Anspruch[de]
Verfahren zur Identifizierung von unerwünschten Telefonanrufen, vorzugsweise in einem VoIP-Netzwerk, bei dem die bei einem Telefonteilnehmer – Angerufener – ankommenden Telefonanrufe mindestens eines anrufenden Telefonteilnehmers – Anrufer – einem Test unterzogen werden, dadurch gekennzeichnet, dass im Rahmen des Tests für ankommende Anrufe jeweils der Zeitpunkt des Eingangs des Anrufs bestimmt wird und jeweils eine Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, ermittelt wird, wobei zur Berechnung der Wahrscheinlichkeit der Zeitpunkt des Eingangs des Anrufs oder ein davon abhängiger Parameter zur zeitlichen Verteilung von vorausgegangenen unerwünschten Anrufen in Beziehung gesetzt wird. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Tests in einer Betriebsphase durchgeführt werden, wobei der Betriebsphase eine Lernphase zeitlich vorgeschaltet ist, in der über einen vorgebbaren Zeitraum hinweg ein statistisches Profil der zeitlichen Struktur von unerwünschten Anrufen erstellt wird. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass unerwünschte Anrufe in der Lernphase anhand von vorgebbaren Parametern identifiziert werden. Verfahren nach Anspruch 2 oder 3, dadurch gekennzeichnet, dass unerwünschte Anrufe in der Lernphase anhand eines Feedbacks seitens des Angerufenen identifiziert werden. Verfahren nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass unerwünschte Anrufe in der Lernphase mittels anderer Verfahren zur Erkennung unerwünschter Anrufe identifiziert werden. Verfahren nach einem der Ansprüche 2 bis 5, dadurch gekennzeichnet, dass das statistische Profil der zeitlichen Struktur von unerwünschten Anrufen in der Betriebsphase ständig aktualisiert wird. Verfahren nach einem der Ansprüche 2 bis 6, dadurch gekennzeichnet, dass im Rahmen der Erstellung des statistischen Profils der zeitlichen Struktur der unerwünschten Anrufe jeweils der Zeitpunkt des Eingangs und/oder der Zeitpunkt des Endes der Anrufe erfasst werden. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Zeitpunkte des Eingangs und/oder die Zeitpunkte des Endes der Anrufe in einem Soft-State gespeichert werden. Verfahren nach Anspruch 7 oder 8, dadurch gekennzeichnet, dass im Rahmen der Erstellung des statistischen Profils der zeitlichen Struktur der unerwünschten Anrufe der Zeitpunkt des Eingangs eines unerwünschten Anrufs zu den Zeitpunkten des Eingangs und/oder des Endes der vorangegangenen unerwünschten Anrufe in Beziehung gesetzt wird. Verfahren nach Anspruch 9, dadurch gekennzeichnet, dass im Rahmen der Erstellung des statistischen Profils der zeitlichen Struktur der unerwünschten Anrufe ein Mittelwert des zeitlichen Abstandes zwischen dem Eingang eines unerwünschten Anrufs und dem Eingang und/oder dem Ende des vorangegangenen unerwünschten Anrufs berechnet wird. Verfahren nach einem der Ansprüche 7 bis 10, dadurch gekennzeichnet, dass in der Betriebsphase der zeitliche Abstand zwischen dem Eingang eines zu untersuchenden Anrufs und dem Eingang und/oder dem Ende des vorangegangenen unerwünschten Anrufs berechnet wird. Verfahren nach Anspruch 11, dadurch gekennzeichnet, dass zur Bestimmung der Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, der berechnete zeitliche Abstand mit dem berechneten Mittelwert verglichen wird. Verfahren nach einem der Ansprüche 10 bis 12, dadurch gekennzeichnet, dass der berechnete Mittelwert immer dann aktualisiert wird, wenn in der Betriebsphase ein Anruf als unerwünscht identifiziert wird. Verfahren nach einem der Ansprüche 1 bis 13, dadurch gekennzeichnet, dass eine resultierende Wahrscheinlichkeit, dass es sich um einen unerwünschten Anruf handelt, gebildet wird, indem die berechnete Wahrscheinlichkeit mit mittels anderen Verfahren gewonnenen Ergebnissen und/oder mit einem Feedback seitens des Angerufenen kombiniert wird. Verfahren nach einem der Ansprüche 1 bis 14, dadurch gekennzeichnet, dass ein Anruf nicht an den Angerufenen vermittelt wird, wenn die für den Anruf berechnete Wahrscheinlichkeit und/oder die resultierende Wahrscheinlichkeit einen Grenzwert überschreiten. Verfahren nach Anspruch 15, dadurch gekennzeichnet, dass der Grenzwert frei konfigurierbar ist. Verfahren nach einem der Ansprüche 1 bis 16, dadurch gekennzeichnet, dass die Tests an einem Punkt des Netzwerks durchgeführt werden, den zumindest weitestgehend alle Anrufe passieren müssen, vorzugsweise an einer Session Border Control (SBC) oder einem Proxy-Server.






IPC
A Täglicher Lebensbedarf
B Arbeitsverfahren; Transportieren
C Chemie; Hüttenwesen
D Textilien; Papier
E Bauwesen; Erdbohren; Bergbau
F Maschinenbau; Beleuchtung; Heizung; Waffen; Sprengen
G Physik
H Elektrotechnik

Anmelder
Datum

Patentrecherche

Patent Zeichnungen (PDF)

Copyright © 2008 Patent-De Alle Rechte vorbehalten. eMail: info@patent-de.com