4G偽基站的監測定位與規避協同分析

張建奎++郭寶++張陽

【摘 要】4G偽基站分為非法商業偽基站和公安偽基站，為減少偽基站給網絡與用戶感知帶來的不良影響，在闡述4G偽基站工作原理的基礎上，對4G偽基站的監測定位與規避協同進行了探討。通過實地測試、路測信令平臺以及ANR功能可以監測并定位到4G偽基站。對于非法商業偽基站，監測定位后需予以堅決打擊；對于公安偽基站，可考慮通過協商配置網絡參數，實現規避協同。

【關鍵詞】非法商業偽基站 公安偽基站 跟蹤區更新 重定向 TAU拒絕原因值

1 引言

偽基站偽裝成運營商基站，通過相對大功率及異常參數誘騙手機發生重選，在手機駐留后獲取用戶信息或趁機發送信息。偽基站根據技術類型分類，分為2G和4G兩種；根據用途分類，分為非法商業偽基站和公安偽基站。其中非法商業偽基站主要通過發送垃圾短信、詐騙短信、釣魚網址等信息獲取商業利益，是違法行為，需要嚴厲打擊。公安偽基站則由公安系統布放，主要用于移動用戶信息采集與定位，目的是維護治安穩定。總體來說，由于手機終端的更新，2G終端的數量銳減，相應的2G偽基站對用戶的影響相比早期有明顯的減輕。

目前的偽基站識別與定位技術多針對2G偽基站，對于4G偽基站目前尚無成熟的監測定位方法。而很多2G偽基站現已逐漸升級為4G偽基站，為避免4G偽基站竊取用戶數據、傳播非法信息情況的發生，文章針對商業偽基站，研究其行為特征，根據信令數據進行實時監測，快速定位；對公安偽基站，采取與運營商網絡協同的措施，在實現收集用戶信息的基礎上，盡量減少對用戶正常使用通信業務的影響。

2 4G偽基站工作原理及危害

2.1 4G偽基站工作原理

4G偽基站設置相對簡單，采用相同的公用陸地移動網（PLMN，Public Land Mobile Network），設置一個現網在用的絕對無線頻率信道號（EARFCN，E-UTRA Absolute Radio Frequency Channel Number）和物理小區標識（PCI，Physical Cell Identifier），通過發射一個較高的功率將空閑態的4G終端欺騙重選入偽基站。由于偽基站的跟蹤區碼（TAC，Tracking Area Code）與現網不一致，會觸發跟蹤區更新（TAU，Tracking Area Update）過程，從而偽基站可以獲取到用戶在所屬運營商的全球唯一臨時標識（GUTI，Globally Unique Temporary Identifier）。偽基站獲取到GUTI后，制造特定的非接入層消息（NAS，Non Access Stratum），即Identity Request/Response消息，進一步獲得4G用戶的國際移動用戶標識（IMSI，I nternational Mobile Subscriber Identity）號。概括而言，4G偽基站通過較高的功率將空閑態4G終端欺騙重選入偽基站，在TAU過程中，偽造NAS層消息Identity Request，從而獲取4G用戶的IMSI信息。

目前的非法商業偽基站通常采用4G偽基站與2G偽基站合設的方式，通過4G偽基站下發重定向至2G的消息，將4G用戶遷移至2G網絡，再通過2G偽基站觸發位置更新（LAU，Location Update）過程，在位置更新拒絕消息中攜帶非法信息，以短信方式發送給用戶。

2.2 4G偽基站的危害

目前已定位的4G偽基站對4G網絡與4G用戶都造成了不同程度的影響。其中對網絡的影響是帶來了較大干擾，偽基站信號落入中國移動TD-LTE頻段中，會對網絡信號造成明顯的干擾；另外，在4G偽基站周邊會出現用戶使用4G網絡不正常的現象，具體表現為手機進入偽基站小區無法回到公網、4G用戶被遷移至2G網絡后才能重選回4G、用戶在偽基站小區拖死后才能選擇回公網等。

中國移動TD-LTE網絡使用頻段為F、D、E頻段，F頻段為1 885 MHz—1 915 MHz，D頻段為2 575 MHz—2 635 MHz，E頻段為2 320 MHz—2 370 MHz。在道路測試中發現，某縣城丁村路片區F頻段出現成片區域干擾，周邊F頻段小區均呈現較強的外部干擾，XF東寨DLF_P-3小區干擾統計指標如圖1所示，橫坐標代表100個資源塊（RB，Resource Block），縱坐標代表上行干擾信號強度。

在干擾區域現場掃頻，發現了固定在路燈燈桿上的4G偽基站設備，設備頻段為1 885 MHz—1 905 MHz，正好落入移動TD-LTE網絡F頻段內，信號強度達到-90 dBm左右，對F1頻點造成了嚴重的干擾。

3 4G偽基站的監測定位

4G偽基站可通過實地測試與路測平臺信令跟蹤兩種辦法測定。實地測試一般采用測試儀表或頻譜儀；路測平臺信令跟蹤是指路測儀表經過偽基站周邊時，由測試終端檢測到異常信號后上報到平臺，由平臺監測定位4G偽基站。針對固定位置的偽基站，這兩種測定方法都可行。但是，對于位置變化的非法商業偽基站，這兩種方法都會比較滯后。由于非法4G偽基站個體小，隱蔽性強，通常采用背包方式，甚至使用一個手機終端就可實現偽基站效果，現場實地測試的方法可能無法及時實現對其定位；而平臺的信令跟蹤需經過采集、匯聚、篩選等過程，也有一定的滯后性。

從4G偽基站工作原理來看，無論2G或4G偽基站都有兩個共同點，第一是與運營商公網沒有鄰區關系，第二是參數異常。針對這兩個特點可采用LTE網絡支持的鄰區自動優化功能（ANR，Automatic Neighbor Relation）來對偽基站進行監測。ANR是LTE自組織網絡（SON，Self-Organizing Network）中針對鄰區自動優化提出的，包括自配置、自由化和自操作。

通過定期開啟現網TD-LTE小區的ANR功能，可檢測到偽基站的信號。由于偽基站配置的TAC與周邊站點不同，eNodeB ID也非現網規劃，很容易被檢測出來。通過該方式，可以提前主動識別疑似偽基站。此外，部分偽基站的幀偏設置與公網不一致，會造成強干擾，通過對干擾頻譜進行分析，也可以識別出疑似偽基站。在發現疑似偽基站后，可結合現場排查和周邊投訴信息來進一步確認4G偽基站。endprint

4 4G偽基站的規避與協同

4.1 4G偽基站對抗方法

監測定位到4G偽基站后，可采取兩種對抗偽基站的措施，分別為終端設置與網絡設置。終端設置的對抗方法是在4G終端內設置判決條件，如終端監測在TAU更新請求信息之后，且在鑒權成功之前，收到所述網絡側發送的重定向消息，確定所述重定向消息中是否包含重定向到2G網絡的信息。如果包含重定向到2G網絡的信息，則不響應所述重定向請求，且在終端設置當前駐留4G小區為4G偽基站，列入黑名單，拒絕接入。

網絡設置的對抗方法為：在識別出4G偽基站后，通過現場實地測試，確認4G偽基站的配置信息，通過在周邊小區的廣播消息中增加黑名單（偽基站小區的頻點和PCI）的形式，避免用戶進入偽基站。針對偽基站不定期修改PCI使黑名單失效的問題，網絡側通過開啟周邊站點的ANR，根據用戶自動上報的偽基站配置信息，及時更新黑名單列表，以保證用戶不受偽基站的影響，具體流程如圖2所示：

4.2 4G公安偽基站與運營商網絡協同方法

（1）4G公安偽基站與運營商網絡協同工作原理

4G公安偽基站與運營商網絡協同是指在公安偽基站與運營商網絡之間，通過參數控制的方法在實現4G公安偽基站采集用戶信息的同時，盡量減輕偽基站對用戶正常通信的影響。用戶只有在無線資源控制態（RRC，Radio Resource Control）為空閑態時才會重選至公安偽基站，由于公安的偽基站局部信號強度高，這個過程無法避免，只能使用優化措施緩解，所以最好是在公安偽基站與用戶RRC連接釋放時做優化。公安偽基站采集完用戶信息后，往往會通過RRC release和TAU reject將用戶遷移至移動網絡，一般存在兩種形式：

1）重定向：RRC release單獨下發。通過重定向的方式指定用戶在相應頻點接入。該方式可以使用戶回到移動4G網絡，但用戶還會繼續重選至偽基站。

2）攜帶原因值：RRC連接釋放可攜帶的原因值信息，此時RRC release不攜帶重定向頻點，主要依靠TAU reject的信息指定用戶下一步行為。

經查詢3GPP協議，不同TAU reject原因值下，終端UE的處理方法如表1所示，其中演進型分組系統（EPS，Evolved Packet System）一般指使用4G核心網的業務。

原因值15適用于偽基站的TAC不修改（公安偽基站會通過定期變化TAC來規避，一般自動變化周期為2小時）的情況，會從其他跟蹤區選擇小區接入，并且不會再進入偽基站；原因12和原因13會導致用戶在2G/3G網絡接入，再通過重選方式回到4G，感知影響相對較大；原因9和原因10可能會導致用戶持續接入偽基站。

綜上所述，如果TAU拒絕原因值選取15，UE可以返回4G小區，而4G的接入非常快，在移動側接入的時間應該在100 ms以內，可以忽略不計，整個過程應該在1 s左右可以全部完成，客戶應該感受不到。

（2）4G公安偽基站與運營商網絡協同工作方法

通過與偽基站設備廠商溝通，4G公安偽基站與運營商移動網絡的協同方法可使用5個關鍵參數與措施，其中4處需偽基站側配置，1處需移動基站側配置，既能保證偽基站可以捕獲到用戶信息，又盡量不影響用戶感知。

1）公安偽基站頻點設置：偽基站頻點設置為E2頻點，PCI采用501～503，盡量與移動現網頻點不一致，降低對移動網絡的同頻干擾；

2）公安偽基站幀偏設置：偽基站小區設置幀偏置964.84 μs，與現網E頻段幀偏一致，確保不會對現網站點造成上行干擾；

3）公安偽基站覆蓋控制：偽基站天線采用板狀天線，且通過調整天線下傾角，盡量只覆蓋路口，偽基站發射功率盡量調低，降低對移動網絡影響；

4）公安偽基站返回值配置：偽基站在采集完用戶信息后盡快將用戶遷移回移動4G網絡，影響時間需在1 s以內，推薦TAU Reject原因值配置為15；

5）移動基站參數配置：偽基站附近宏站添加E2頻點的異頻測量頻點，并將重選優先級設置為7，用戶在經過路口時，能盡快重選進入偽基站。

偽基站頻點和帶寬的配置需關注以下兩點：

首先，偽基站的頻點建議選擇專用頻點，同時盡量避開現網頻點。考慮使用E2是因為該頻點在全網使用較少，主要用于室分擴容，室分射燈外打用的是E3頻點，故E2頻點可規劃給公安偽基站使用。偽基站不使用F頻點、D頻點，主要是考慮降低對現網的同頻干擾，否則在一定程度上會降低SINR值。同時，從偽基站返回公網的快慢與偽基站的頻點配置無關。

其次，帶寬方面的配置：當前公安偽基站頻點設置為E2，只是中心頻點設置為39148，帶寬可設置為5 M、10 M、20 M等多種情況，相對比較靈活，一般來看，偽基站的帶寬設置為10 M。

綜上所述，對公安偽基站的檢測主要是通過開啟ANR功能進行識別，并可結合現場排查和周邊投訴來進行確認。然后，建立偽基站規避機制，結合重選黑名單和基站ANR檢測功能，通過對抗進一步與公安進行協商。最后，通過與公安進行參數配置方面的溝通，配置偽基站TAU reject原因值為15，同時在附近4G宏站添加偽基站頻點，提升重選優先級。另外，公安新增的偽基站要提前報備，以便與運營商雙方協商進行參數設置。

5 結束語

當前4G終端成為用戶使用的主流終端，前期的2G偽基站會逐步升級為4G偽基站。目前，通過實地測試、路測信令平臺以及ANR功能可以監測并定位到4G偽基站，但是相對滯后。下一步，將會進一步使用4G用戶上報的測量報告信息，對用戶周邊測量到的4G偽基站信號進行精準的實時監測。

對于公安4G偽基站，運營商需做到及時溝通，為公安偽基站規劃合理的參數，使用戶在經過公安偽基站布設的路口時，能及時重選入偽基站，重選完成后能盡快退出公安偽基站返回運營商網絡，盡量實現用戶感知不受影響。

參考文獻：

[1] 王衛華，王長杰. 打擊“偽基站”犯罪的實踐與思考[J]. 河北公安警察職業學院學報， 2016，16（2）： 41-44.

[2] 王凱. 移動通信偽基站案例分析與探究[J]. 中國無線電， 2013（6）： 34-36.

[3] 田野，劉斐，徐海東. 新型偽基站安全分析研究[J]. 電信工程技術與標準化， 2013（8）： 58-61.

[4] 劉澤忠. 一種基于偽基站的GSM用戶分選系統實現方案[J]. 通信技術， 2013（6）： 127-129.

[5] 閆慧，韓增輝，呂傳祝. 基于大數據的偽基站準實時監控方法的研究[J]. 電信工程技術與標準化， 2016，29（12）： 22-25.

[6] 馬俊，劉燕. 淺析偽基站原理及查找方法[J]. 中國無線電， 2015（6）： 60-62.

[7] 吳卓凡. 淺談基于信令交互主動追蹤車載偽基站的新方法[J]. 中國新通信， 2016，18（4）： 32-33.

[8] 王德廣，張旭. 利用手機信息精確定位偽基站的方法研究[J]. 微型電腦應用， 2014，30（11）： 25-27.

[9] 廖振松，馬瑞京，陳祖峰，等. 一種基于商用終端的偽基站感知識別系統[J]. 信息通信， 2014（6）： 184-185.

[10] 陳強，劉亮. 基于智能手機的偽基站檢測方法[J]. 信息安全與通信保密， 2014（12）： 131-134.

[11] 趙明偉，徐霖洲，石宙飛，等. 一種非法偽基站現場快速測量定位的方法[J]. 移動通信， 2016，40（8）： 18-21. ★endprint