CN106067880B

CN106067880B - 一种基于4g网络的ip地址的溯源方法

Info

Publication number: CN106067880B
Application number: CN201610412745.8A
Authority: CN
Inventors: 毕慧; 李超; 郭承青; 包秀国; 陈晓光; 王�琦; 崔佳; 王鲁华
Original assignee: National Computer Network and Information Security Management Center
Current assignee: National Computer Network and Information Security Management Center
Priority date: 2016-06-13
Filing date: 2016-06-13
Publication date: 2019-05-31
Anticipated expiration: 2036-06-13
Also published as: CN106067880A

Abstract

本发明公开了一种基于4G网络的IP地址的溯源方法，其包括，根据在4G‑LTE网络的S1‑U接口分光采集获取用户的访问信息，在S11接口分光获取用户的账号信息，在防火墙获取NAT地址信息，并进行关联，获取完整的用户访问日志，从而获取用户位置信息标识和用户访问行为；依托现有溯源系统的LAC、SAC信息(基站编号)，获取移动用户基于物理位置的溯源信息和网络行为信息。本发明可以基于用户特定信息将物理位置信息和用户行为信息关联起来，从而可以为互联网安全事件溯源和应用等提供移动用户的特定信息，包括移动用户位置信息和网络访问信息，使互联网应用可以进行后续的用户行为分析以及精准营销等行为。

Description

一种基于4G网络的IP地址的溯源方法

技术领域

本发明属于互联网技术领域，具体涉及一种基于4G网络的IP地址的溯源方法。

背景技术

随着第四代移动通信技术的发展与大规模商用，4G网络的IP地址溯源也迫在眉睫，同时，由于4G网络相比2/3G网络扁平化，信令面与用户面承载分离，造成了用户访问数据采集与2/3G网络有很大的区别。同时3GPP规范定义了Non-3GPP接入网络接入3GPP EPC的架构，运营商在网络规划建设中也根据自身的实际情况选择了组网方案，这也也造成了采集方案的多样性与复杂性。

2014年是国内LTE商用元年，针对LTE网络的IP地址溯源技术还停留在2/3G网络的架构中，缺乏完整、系统的规划与验证，无论是从理论研究还是技术验证都未立足与4G网络技术与运营商的网络现状，因此，迫切需要展开4G网络IP地址溯源技术研究，规范和标准化4G网络溯源方案。

发明人在实现本发明过程中发现：在移动通信网络发展过程中，第二代和第三代通信网络IP地址溯源技术已经成熟，并在现网中大规模的部署。2/3G网络IP地址溯源技术以需要溯源的IP地址及行为特征(如源端口号、URL等)为索引，查找移动运营商所提供的所经营的IP地址范围，获得该IP地址对应网络设备的标识(如防火墙、GGSN、PDSN设备等)，根据这些设备标识和该IP地址的移动用户行为特征查找得到对应的移动用户手机号。在具体方案上，GPRS/WCDMA/TDSCMA网络采集了Gn接口和防火墙的数据，CDMA 1X和CDMA2000网络采集了Pi接口，AAA设备的Radius日志以及防火墙数据，通过解析数据，分别得到用户的访问信息、账号信息、私网IP信息和公私网地址映射关系，再进行关联合成从而得到完整的溯源日志。然而，这些监测技术往往只能识别出2/3G网络网络安全事件，却无法对4G网络安全事件便捷的实现用户定位和用户画像等处理。

发明内容

有鉴于上述现有的互联网应用和网络安全存在的缺陷，本发明的目的是克服现有的IP地址溯源技术只能覆盖2/3G网络，无法对4G网络用户进行IP地址溯源造成的互联网应用和网络安全存在的缺陷，提供一种基于4G网络的IP地址的溯源方法，能够监测4G-LTE网络应用获知用户位置信息并可以进行用户定位，使其更具有实用性。

为解决上述技术问题，本发明所采用的技术方案如下：一种基于4G网络的IP地址的溯源方法，其包括：

4G网络用户面数据的采集，在4G-LTE网络的S1-U接口通过数据分光采集并获取用户的访问信息；

4G网络信令面数据的采集，在4G-LTE网络的S11接口通过数据分光采集用户的账户信息；

防火墙NAT地址数据的采集，获取用户公网IP地址和私网IP地址的NAT转换信息，将获取的用户账户信息、访问信息和NAT地址转换；

溯源日志的关联合成，对S11接口采集的用户账户信息和S1-U接口采集的用户访问信息进行关联和回填，将关联得到的带有用户身份信息的访问日志与防火墙NAT日志进行关联，生成完整的溯源日志；

用户位置信息生成，结合运营商网络基础数据中的物理位置和经纬度信息，通过大数据聚类分析，得到用户的访问位置区域和活跃位置区域，从而实现位置的溯源。

进一步地，在获取用户的溯源日志后，将该溯源日志通过安全监管网关上报给安全将中心进行数据存储和管理，此外，安全监管网关还将接收安全监管中心发来的IP溯源命令，并上报上报IP溯源网络中的IP溯源信息、特定用户上线信息和告警事件信息。

进一步地，采集用户的访问信息具体包括：通过数据分光采集E-NodeB和SGW之间的接口的S1-U接口数据，S1-U接口获得用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录和用户互联网访问信息；采集用户的账户信息具体包括：通过数据分光采集MME和SGW之间的接口的S11接口数据，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID的账号信息。

进一步地，溯源日志的关联合成具体包括：以S1-U采集用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录进行关联和回填，将S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID信息和S1-U进行关联和回填，以IP五元组为key将带有用户身份信息的访问日志与防火墙NAT日志进行关联，生成完整的溯源日志。

进一步地，所述安全监管网关部署于IP溯源企业侧，所述安全监管中心部署于IP溯源网络外。

进一步地，所述IP溯源企业侧配置有用户账户信息监测接口，接收来自安全监管网关或安全监管中心的监测指令；还配置有告警信息上报接口，通过该上报接口，溯源网络侧的所有溯源设备的软件、硬件或者网络出现故障时，通过安全监管网关将告警信息上报给安全监管中心。

进一步地，S11接口采用GTP v2协议，Gn接口GTP-C和GTP-U采用GTP v1协议，S1-U接口采用GTP v1协议，在解析与关联过程中，需要对GTP v1和GTP v2进行混合采集和关联。

进一步地，在采用4G网络与2/3G网络进行切换溯源用户的访问信息时，在4G采集时同时接入Gn的流量并进行过滤，或者将2/3G采集解析设备设为支持GTPv2的解析能力。

进一步地，在获取用户的身份信息时，先在MME和HSS之间的接口S6a对NAS层进行解密。

进一步地，在使用临时身份信息进行2G/3G网络与4G网络之间切换时，需要在不同网络接口之间关联用户唯一身份信息，该唯一身份信息包含用户的手机号。

与现有技术相比，本发明所提供的基于4G网络的IP地址的溯源方法，是基于4G网络信令面和用户面的信息，将用户特定信息将物理位置信息和用户行为信息关联起来，从而可以为互联网安全事件溯源和应用等提供移动用户的特定信息，包括移动用户位置信息和网络访问信息，使互联网应用可以进行后续的用户行为分析以及精准营销等行为，且可以针对网络安全事件进行用户物理位置定位和行为画像等应用提供基础数据支撑。既能够实现对公共互联网上网用户进行身份溯源，也能够对特定帐号的上网行为进行监控。

附图说明

图1为本发明实施例所述的基于4G网络的IP地址的溯源方法的结构原理图。

图2为本发明实施例所述的对S6a数据解密的流程示意图。

图3为本发明实施例所述的针对联通和移动4G网络溯源数据的采集方案示意图。

图4为本发明实施例所述的针对电信4G网络溯源数据的采集方案示意图。

图5为本发明实施例所述的4G网络跨SGW场景溯源的采集方案示意图。

图6为本发明实施例所述的4G网络跨省漫游场景溯源的采集方案示意图。

图7为本发明实施例所述的4G网络与2/3G切换场景溯源的采集方案示意图。

图8为本发明实施例所述的用户位置信息合成的一个方案示意图。

具体实施方式

以下结合附图对本发明作进一步详细说明，但不作为对本发明的限定。

参照图1所示，本发明所公开的基于4G网络IP地址的溯源方法，具体工作流程如下：

4G网络信令面数据的采集：通过数据分光采集MME和SGW之间的接口的S11接口数据，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID等账号信息；

4G网络用户面数据的采集：通过数据分光采集E-NodeB和SGW之间的接口的S1-U接口数据，S1-U接口获得用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录和用户互联网访问信息；

防火墙NAT地址数据的采集：获取用户公网IP地址和私网IP地址的NAT转换信息，将获取的用户账户信息、访问信息和NAT地址转换。

溯源日志的关联合成：以S1-U采集用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录进行关联和回填，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID等信息可以和S1-U进行关联和回填。以IP五元组为key将带有用户身份信息的访问日志与防火墙NAT日志进行关联，生成完整的溯源日志；

用户位置信息生成：结合运营商上报网络基础数据中的物理位置、经纬度等信息，对用户的访问日志中的eNodeB IP，ECI等信息进行关联，并通过大数据聚类分析，从而得到用户的访问位置区域和活跃位置区域，从而实现位置的溯源。

SMCG(安全监管网关(溯源网关))：部署于IP溯源企业侧，接收企业的溯源日志信息，上报给SMCC，进行数据存储和管理；接收SMCC发来的IP溯源命令，并上报IP溯源网络中的IP溯源信息、特定用户上线信息和告警事件信息。

SMCC(安全监管中心)：位于IP溯源网络外，通过SMCG与IP溯源网络相连。SMCC是溯源命令的初始发起者，也是IP溯源信息、特定用户上线信息和告警事件信息的最终接收者。

本发明所公开的一种基于4G网络的IP溯源方法，其包含企业侧溯源网络、分中心侧溯源网络和国家中心侧溯源网络三个网络系统，相互结合以实现对公共互联网上网用户进行身份溯源，对特定帐号的上网行为进行监控。具体为：根据公共互联网上网用户，根据某些数据线索找到有关人的联系信息。查询条件之一：需要捕获的上网用户使用的IP地址、上网用户的帐号、上网用户的手机号、查询时间段；结果信息：用户所在的物理位置或范围、用户联系信息、用户的上网行为等。针对特定用户的监控，系统业务使用人员，可以定义需要进行敏感监控的帐号或IP地址，每当有活跃的该项信息时，系统会主动通知操作终端用户对应的监控结果。

其中，国家中心侧溯源网络负责全国溯源业务的开展，记录来函情况，制定全国或部分省生效的用户帐号监测配置，查询用户帐号监测结果，查询固定电话网、移动电话网用户上网数据，统计业务数据流量。分中心侧溯源网络负责本省溯源业务的开展，记录来函情况，制定本省生效的用户帐号监测配置，同国家中心业务用户类似可以查询本地各类数据，统计业务数据流量；企业侧溯源网络实现本地用户数据的采集和统计工作。

本发明的溯源方法主要针对固网系统和移动网系统进行监管，并且监管操作不受互联网用户进行漫游操作的影响。其中固网的上网途径包括但不限于以下方式：ADSL、专线等；移动网的上网途径包括但不限于以下方式：4G移动上网方式。

下面来详述本发明技术方案的实现过程。

一、企业侧数据接口配置

为了实现3G到4G的组网过度，在企业侧需设置多个接口，4G-LTE网络溯源的企业侧需要采集如下几个方面的数据信息，具体包括：1、网元基础信息，包括eNODEB小区信息(ECI名称、物理地址、经纬度等)，MME和SAEGW网元IP地址信息及对应pool池信息；2、访问日志信；3、用户账号监测接口，需在采集解析设备上配置用户账号监测接口，接收来自于SMCG(SMCC)的用户账号监测指令；4、告警信息上报接口，溯源网络所有溯源设备(包括防火墙前置机)的软件、硬件、网络故障时，由SMCG将告警信息上报给SMCC。

二、S6a数据解密

此外，根据3GPP规范，NAS层可以选择加密后，将无法直接获取到用户的身份信息，需要在S6a进行解密。

参照图2所示，本发明中对S6a接口进行解密的方法如下：

1、KASME提取:在S6a接口Diameter协议的AIR和AIA消息中提取IMSI，AUTN，KASME并关联；

2、加密算法提取:在S1-MME接口S1AP/NAS协议的Security mode command消息中提取加密算法并和MME S1AP ID,ENB S1AP ID建立关联AUTN提取:在S1-MME接口的S1AP/NAS协议的Authentication request消息中提取AUTN，并和MME S1AP ID，ENB S1AP ID建立关联；

3、解密关联:根据MME S1AP ID，ENB S1AP ID关联AUTN，再通过AUTN关联到KASME；

4、解密:通过KASME的密钥及解密算法对NAS信令进行解密。

参照图2，关于解密流程，具体描述如下：

第一步：关联收到的S1接口消息，形成s1流程

第二步：对s1流程检查是否为s1接口AUTH加密流程；如果不是，结束流程。

第三步：取得该s1接口AUTH加密流程初始UE消息到Security mode command消息之间收到的所有authentication vectors(在s6a处理的时候保存)

第四步:从第三步得到的authentication vectors中同步模糊匹配算法取出其中的一组或多组authentication vector(s)

第五步：用第四步取出的authentication vector(s)解密s1接口AUTH加密流程Security mode command消息之后的加密NAS包。

第六步：如果用authentication vector(s)解密成功，表示第四步模糊匹配算法选择的authentication vector是正确，解密成功的authentication vector为该s1接口AUTH加密流程的解密参数；如果没有解密成功，说明第三步模糊匹配算法选择的authentication vector为错误的，没有得到该s1接口AUTH加密流程的解密参数。

三、4G网络与2G/3G网络互操作场景用户身份信息回填

参照图7所示，由于用户在网络注册后，会分配临时身份信息，在使用临时身份信息进行2G/3G网络与4G网络之间切换时，由于真实身份信息与临时身份信息对应关系的缺失，会造成切换后无法获取用户的真实身份信息。需要在不同接口之间关联用户唯一身份信息(手机号)。

在互操作时，传统3G网络溯源信息采集会丢失回落的流量，4G溯源网络采集不到用户的访问信息，这是由于：1、4G网络下，信令面承载在S1-MME，用户面承载在S1-U；2、当回落到3G时，SGSN直接与PGW网元交互信息；3、正常3G网络，SGSN与GGSN网元交互信息

针对上述问题，本发明在4G采集时需要同时接入Gn的流量并进行过滤，或者设置3G采集解析设备支持GTPv2的解析能力。

四、GTPv1/v2混合采集

在运营商网络过渡中，MME由原SGSN改造升级，SGW由原GGSN改造升级，S11与Gn同物理链路，S11接口采用GTP v2，Gn接口GTP-C和GTP-U采用GTP v1，S1-U接口采用GTP v1，在解析与关联过程中，需要进行混合采集和关联。GTP v2与GTP v1相比：1、标识位变化，增加了P标识和T标识2、TEID为可选项；3、序列号由2字节扩展为3字节；4、不再使用扩展消息头。

五、防火墙日志解析

由于IPv4地址的短缺，在移动通信网络中都采用了NAT地址转换技术，用户在上网时，分配给用户一个私网地址，由NAT设备(移动通信网络由防火墙来承担)来实现私网地址和公网地址的映射。在用户访问过程中，防火墙会输出Session Create和Session Close日志，由防火墙数据解析设备进行解析，并送给关联程序进行关联处理。因开启Syslog对防火墙性能影响较大，不同厂家不同型号防火墙输出配置不一样。

六、日志关联合成

以S1-U采用用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录进行关联和回填，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID等信息可以和S1-U进行关联和回填。

以IP五元组为key将带有用户身份信息的访问日志与防火墙NAT日志进行关联，生成完整的溯源日志。

七、用户位置信息生成

参见图8，结合运营商上报网络基础数据中的物理位置、经纬度等信息，对用户的访问日志中的eNodeB IP，ECI等信息进行关联，并通过大数据聚类分析，从而得到用户的访问位置区域和活跃位置区域，从而实现位置的溯源。

本发明的4G网络针对移动或联通信号的溯源数据采集方案简单归纳如下：

参照图3所示，对S1-U接口、S11接口和防火墙接口采集数据，S1-U采取用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录进行关联和回填，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID等信息可以和S1-U进行关联和回填，防火墙接口获取用户公网IP地址和私网IP地址的NAT转换信息，将获取的用户账户信息、访问信息和NAT地址转换信息进行数据关联合成，生成溯源信息。

本发明的4G网络针对电信信号的溯源数据采集的一个方案如下：

参照图4所示，电信4G网络需要采集过渡网络S2a接口、Sta接口和防火墙数据，S2a接口获取用户的访问信息、Sta接口获取用户的账户信息、防火墙接口防火墙接口获取用户公网IP地址和私网IP地址的NAT转换信息。将采集的用户访问信息、用户账户信息、NAT地址转换信息进行关联合成，生成完整的溯源信息。

本发明的4G网络跨SGW场景溯源采集的一个方案如下：

参照图5所示，按照源小区和目标小区的从属关系和位置关系，一般LTE系统内部切换包括eNB站间切换和通过S1接口连接的eNB站间切换。S1接口的切换过程从信令流程上分为切换准备，切换资源分配，切换通知等过程，切换步骤如下：

切换准备过程由源eNB发起，通过核心网节点，要求目标eNB为本次切换准备资源。

切换资源分配过程由MME发起，在目标eNB中为本次切换准备和预留所需要的资源。

UE成功接入到目标eNB后，由目标eNB发起切换通知过程，通知MME这个UE已经成功转移到目标小区，S1切换协议：

目标SGW对UE数据进行判断，如果属于站间切换的数据，将根据报文中的PGW IP地址，通过核心网，将该UE的数据业务自动路由到源PGW网元设备。

采用本发明的4G网络跨省漫游场景的溯源采集的一个方案如下：

参照图6所示，以A省和B省为例，A省增加采集S5/S8接口数据，与防火墙NAT日志记录进行合成关联。

本发明的4G网络与2/3G切换场景溯源采集的一个方案如下：

参照图7所示，由于目前运营商2/3G与4G业务并存，用户访问数据采集对于不同的网络制式，采集点也不一样(2/3G网络溯源采集Gn口，4G网络溯源采集S1-U和S11口)，所以关联key不一样。并且由于现网中存在2/3G与4G业务切换的场景，出现了GTP V1与GTP V2混合采集的需求，造成了数据采集、解析和关联困难。

在运营商网络过渡中，MME由原SGSN改造升级，SGW由原GGSN改造升级，S11与Gn同物理链路，S11接口采用GTP v2，Gn接口GTP-C和GTP-U采用GTP v1，S1-U接口采用GTP v1，在解析与关联过程中，需要进行混合采集和关联。

在业务切换操作时，传统3G网络溯源信息采集会丢失回落的流量，4G溯源网络采集不到用户的访问信息；此时，溯源数据采集方式建议如下：4G采集时需要同时接入Gn的流量并进行过滤；3G采集解析设备支持GTPv2的解析能力。

与现有技术相比，本发明可以基于用户特定信息将物理位置信息和用户行为信息关联起来，从而可以为互联网安全事件溯源和应用等提供移动用户的特定信息，包括移动用户位置信息和网络访问信息，使互联网应用可以进行后续的用户行为分析以及精准营销等行为，且可以针对网络安全事件进行用户物理位置定位和行为画像等应用提供基础数据支撑。

为了便于理解，下面来详述本发明的上述部分名词及缩写的含义：

MME是3GPP协议LTE接入网络的关键控制节点，它负责空闲模式的UE(UserEquipment)的定位，传呼过程，包括中继。它涉及到bearer激活/关闭过程，并且当一个UE初始化并且连接到时为这个UE选择一个SGW(Serving GateWay)。通过和HSS交互认证一个用户，为一个用户分配一个临时ID。MME同时支持在法律许可的范围内，进行拦截、监听。

SGW(Serving GateWay，服务网关)是移动通信网络EPC中的重要网元。EPC网络实际上是原3G核心网PS域的演进版本，而SGW的功能和作用与原3G核心网SGSN网元的用户面相当，即在新的EPC网络中，控制面功能和媒体面功能分离更加彻底，即信令面功能由MME网元负责，而用户数据转发的用户面功能由SGW网元接管。

PGW(PDN GateWay，PDN网关)是移动通信网络EPC中的重要网元。EPC网络实际上是原3G核心网PS域的演进版本，而PGW也相当于是一个演进了的GGSN网元，其功能和作用与原GGSN网元相当。

MSISDN是指主叫用户为呼叫GSM PLMN中的一个移动用户所需拨的号码，作用同于固定网PSTN号码，其是在公共电话网交换网络编号计划中，唯一能识别移动用户的号码。

IMSI(国际移动用户识别码)是区别移动用户的标志，储存在SIM卡中，可用于区别移动用户的有效信息。IMEI(移动设备国际身份码)是区别移动设备的标志，储存在移动设备中，可用于监控被窃或无效的移动设备。

Evolved Node B，即演进型Node B简称eNB，LTE中基站的名称，相比现有3G中的Node B，集成了部分RNC的功能，减少了通信时协议的层次。

GTP是一组基于IP的，用于在GSM和UMTS网络中支持通用分组无线服务(GPRS)的通讯协议。

LTE网络包含多个主要接口，S1-U接口，面向用户面的接口，用户面数据的隧道传输，包含Tunnel号可定位用户该业务对应的无线侧信息，用户业务数据类型如HTTP、IM、Video等。S11接口，面向信令面的接口，包括创建/删除会话、建立/删除承载消息。S6a接口，是MME和HSS之间的接口。Sta接口，是HSGW与3GPP AAA之间的接口。

上述说明示出并描述了本发明的若干优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims

1.一种基于4G网络的IP地址的溯源方法，其特征在于包括：

用户位置信息生成，结合运营商网络基础数据中的物理位置和经纬度信息，通过大数据聚类分析，得到用户的访问位置区域和活跃位置区域，从而实现位置的溯源；

其中，在获取用户的身份信息时，先在MME和HSS之间的接口S6a对NAS层进行解密，对S6a接口进行解密的过程如下：

KASME提取:在S6a接口Diameter协议的AIR和AIA消息中提取IMSI，AUTN，KASME并关联；

加密算法提取:在S1-MME接口S1AP/NAS协议的Security mode command消息中提取加密算法并和MME S1AP ID,ENB S1AP ID建立关联AUTN提取:在S1-MME接口的S1AP/NAS协议的Authentication request消息中提取AUTN，并和MME S1AP ID，ENB S1AP ID建立关联；

解密关联:根据MME S1AP ID，ENB S1AP ID关联AUTN，再通过AUTN关联到KASME；

解密:通过KASME的密钥及解密算法对NAS信令进行解密。

2.如权利要求1所述的IP地址的溯源方法，其特征在于，在获取用户的溯源日志后，将该溯源日志通过安全监管网关上报给安全将中心进行数据存储和管理，此外，安全监管网关还将接收安全监管中心发来的IP溯源命令，并上报IP溯源网络中的IP溯源信息、特定用户上线信息和告警事件信息。

3.如权利要求1所述的IP地址的溯源方法，其特征在于，采集用户的访问信息具体包括：通过数据分光采集E-NodeB和SGW之间的接口的S1-U接口数据，S1-U接口获得用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录和用户互联网访问信息；采集用户的账户信息具体包括：通过数据分光采集MME和SGW之间的接口的S11接口数据，S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID的账号信息。

4.如权利要求1所述的IP地址的溯源方法，其特征在于，溯源日志的关联合成具体包括：以S1-U采集用户的上网地址、分配给用户的用户面TEID、E-NODEB地址和S1-MME接口的记录进行关联和回填，将S11接口获得MSISDN、IMSI、IMEI及分配给用户的IP地址，eNB和SGW侧的TEID信息和S1-U进行关联和回填，以IP五元组为key将带有用户身份信息的访问日志与防火墙NAT日志进行关联，生成完整的溯源日志。

5.如权利要求2所述的IP地址的溯源方法，其特征在于，所述安全监管网关部署于IP溯源企业侧，所述安全监管中心部署于IP溯源网络外。

6.如权利要求1所述的IP地址的溯源方法，其特征在于，所述IP溯源企业侧配置有用户账户信息监测接口，接收来自安全监管网关或安全监管中心的监测指令；还配置有告警信息上报接口，通过该上报接口，溯源网络侧的所有溯源设备的软件、硬件或者网络出现故障时，通过安全监管网关将告警信息上报给安全监管中心。

7.如权利要求1所述的IP地址的溯源方法，其特征在于，S11接口采用GTP v2协议，S1-U接口采用GTP v1协议。

8.如权利要求7所述的IP地址的溯源方法，其特征在于，在采用4G网络与2/3G网络进行切换溯源用户的访问信息时，还配置有Gn接口，Gn接口的GTP-C和GTP-U采用GTP v1协议，在解析与关联过程中，需要对GTP v1和GTP v2进行混合采集和关联，在4G采集时选择同时接入Gn的流量并进行过滤，或者将2/3G采集解析设备设为支持GTPv2的解析能力。

9.如权利要求1所述的IP地址的溯源方法，其特征在于，在使用临时身份信息进行2G/3G网络与4G网络之间切换时，需要在不同网络接口之间关联用户唯一身份信息，该唯一身份信息包含用户的手机号。