FR2917935A1 - Systeme de controle des communications de telephones mobiles au niveau d'un reseau et procede de controle - Google Patents

Abstract

La présente invention concerne un système de contrôle des communications téléphoniques au sein d'un réseau faisant intervenir un réseau (3) de téléphonie mobile qui met en jeu un ou plusieurs équipements particuliers du réseau (3), caractérisé en ce que le système comprend au moins une sonde (1) de détection positionnée au niveau d'un point stratégique du réseau (3) de téléphonie mobile, la sonde (1) de détection comprenant au moins un dispositif de détection (4) de codes D.T.M.F. (Dual-Tone Multi-Frequency) intégrant un programme (4a) basé sur un algorithme de filtrage qui reconnaît la réalisation d'une numérotation D.T.M.F. une fois qu'une communication est établie (S1 ), un moyen de mémorisation (6) associé à un moyen d'enregistrement (5) des signaux émis lors de la communication, un moyen de génération de messages de synthèse (7) établissant un rapport de détection d'une communication suspecte et/ou frauduleuse et un moyen de communication avec un module d'analyse (2).

Description

Système de contrôle des communications de téléphones mobiles au niveau

d'un réseau et procédé de contrôle. La présente invention se rapporte au domaine des dispositifs de contrôle intelligent des communications réalisées par des téléphones portables et plus particulièrement au domaine des dispositifs de contrôle des réseaux de communications de téléphones portables utilisés de manière frauduleuse. Avec le développement de la téléphonie mobile, s'est imposée pour les opérateurs une nécessité d'améliorer la surveillance de l'utilisation des réseaux de téléphonie mobile afin de réduire notamment les comportements abusifs voire frauduleux qui, par exemple, ne respectent pas les conditions générales de vente et/ou d'utilisation des abonnements proposés par les opérateurs. Ces communications frauduleuses, en occupant de façon abusive le réseau de téléphonie mobile, viennent alors altérer la qualité des communications réalisées par les abonnés conformément aux conditions de leur abonnement. Parmi les différentes utilisations abusives du réseau, certaines d'entre elles font intervenir l'émission de signaux D.T.M.F. à partir desquels l'utilisateur peut par exemple activer à distance un dispositif de passerelle pour générer un renvoi du trafic sur un autre réseau. Il est alors important pour l'opérateur de pouvoir réaliser en temps réel un contrôle du trafic réalisé par les communications GSM de ses clients afin notamment de leur garantir une qualité de communication optimale en limitant les occupations illicites ou abusives du réseau.

La présente invention a pour objectif de apporter une solution efficace au problème de détection en temps réel de ces usages abusifs de forfaits illimités et notamment de proposer un système qui permette d'une part de détecter au moins un format d'utilisation frauduleuse du forfait téléphonique au niveau du réseau de communication GSM pour intervenir sur la communication frauduleuse, et d'autre part d'améliorer sa capacité de détection.

Cet objectif est atteint grâce à un système de contrôle intelligent des communications téléphoniques au sein d'un réseau faisant intervenir un réseau de téléphonie mobile qui met en jeu un ou plusieurs équipements particuliers du réseau, caractérisé en ce que le système comprend au moins une sonde de détection positionnée au niveau d'un point stratégique du réseau de l'infrastructure de l'opérateur, la sonde de détection comprenant au moins un dispositif de détection de codes D.T.M.F. (Dual-Tone Multi-Frequency) associé à un programme basé sur un algorithme de filtrage qui reconnaît la réalisation d'une numérotation D.T.M.F. une fois io qu'une communication est établie, un moyen de mémorisation associé à un moyen d'enregistrement des signaux émis lors de la communication, un moyen de génération de messages de synthèse établissant un rapport de détection d'une communication suspecte et/ou frauduleuse et une interface de communication avec un module d'analyse. 15 Selon une variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que le moyen de génération de message de synthèse intègre dans le message au moins les numéros I.M.S.I. (International Mobile Subscriber Identity) de l'émetteur et du récepteur, l'horodatage de la communication, et le signal D.T.M.F. détecté. 20 Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la sonde de détection se trouve positionnée au niveau d'un commutateur M.S.C. (Mobile-services Switching Center). Selon une autre variante de l'invention, le système de contrôle 25 intelligent de communications téléphoniques est caractérisé en ce que la sonde de détection intègre au moins un moyen de comparaison permettant une comparaison entre au moins un des signaux émis lors de la communication et au moins une valeur enregistrée dans une base de données de la sonde de détection, et susceptible d'être mise à jour depuis un 30 dispositif de consolidation. Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la base de données de la sonde de détection intègre les valeurs de signaux reconnus comme frauduleux, et/ou autorisé, et/ou suspect. Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la sonde de détection étant une sonde active intégrant un dispositif susceptible d'intervenir sur la bande passante du réseau en contrôlant le débit de cette bande passante, le moyen de comparaison est relié au dispositif d'intervention sur la bande passante du réseau. Selon une autre variante de l'invention, le système de contrôle io intelligent de communications téléphoniques est caractérisé en ce que le module d'analyse comprend au moins une interface de communication avec la sonde formée d'au moins une unité de réception d'au moins un message de synthèse provenant de l'interface de communication d'au moins une sonde de détection, une unité d'analyse formée par un moyen de is comparaison des informations contenues dans le message de synthèse avec les informations d'au moins une base de données enregistrée dans un moyen de mémorisation, un module de réaction comprenant un dispositif d'alerte et/ou de déclenchement d'au moins un programme d'action au niveau du réseau. 20 Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la base de données intègre des numéros I.M.S.I. émetteur et récepteur reconnus comme suspects, des numéros I.M.S.I. récepteur reconnus comme frauduleux, et des numéros I.M.S.I. reconnus comme autorisés. 25 Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la base de données intègre des informations correspondant à des schémas de fonctionnement frauduleux et des schémas de fonctionnement autorisés. Selon une autre variante de l'invention, le système de contrôle 30 intelligent de communications téléphoniques est caractérisé en ce que le module d'analyse d'une part comprend une unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation des schémas de fonctionnement suspects qui intervient dans la mise à jour et la consolidation des bases de données du système en y intégrant les résultats des investigations. Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que le module d'analyse est positionné au niveau d'une unité centralisée. Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que le réseau de télécommunication intègre au moins une sonde active activée par l'unité de réaction du module d'analyse et susceptible d'intervenir sur la bande passante du réseau en contrôlant le débit de la bande passante en cas de détection d'une communication présentant un schéma de fonctionnement frauduleux. Selon une autre variante de l'invention, le système de contrôle intelligent de communications téléphoniques est caractérisé en ce que la sonde de détection et la sonde active qui intervient sur la bande passante du réseau en contrôlant son débit forment une seule et même entité. Un autre objectif de l'invention est de proposer un procédé de fonctionnement du système de contrôle des communications téléphoniques.

Cet objectif est atteint grâce à un procédé de contrôle intelligent de communications téléphoniques au sein d'un réseau comprenant au moins un réseau de téléphonie mobile, mettant en jeu un ou plusieurs équipements particuliers du réseau, le procédé faisant intervenir au moins une sonde de détection et un module d'analyse intégrés au réseau, le procédé comprenant : - une étape d'établissement avec succès d'une communication entre deux équipements identifiés par leur I.M.S.I. dont le signal passe par un point du réseau comprenant une sonde de détection, caractérisé en ce que le procédé comprend au moins : - une étape de filtrage continu du signal de la communication par la sonde de détection au niveau d'au moins un point défini du réseau, - une étape de détection d'au moins un signal D.T.M.F. émis au cours de la communication, une étape d'analyse du signal de la communication faisant intervenir au moins un moyen de comparaison associé à au moins une base 5 de données, - une étape de reconnaissance de la communication suspecte soit comme étant un cas connu de communication frauduleuse et/ou abusive, soit comme étant une communication autorisée, ou soit comme étant une communication susceptible de présenter un nouveau cas de comportement ~o suspect. Selon une variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que, la sonde de détection étant positionnée sur le réseau et le module d'analyse étant positionné à distance de la sonde de détection, le procédé comprend, une is fois qu'un signal D.T.M.F. se trouve détecté, au moins : - une étape d'analyse par un moyen de comparaison du dispositif de détection de la sonde associé à une base de données intégrant les valeurs de signaux reconnus comme frauduleux, et/ou autorisés, et/ou suspects, 20 - une étape de capture par la sonde de détection des informations I.M.SI. contenues dans le signal de la communication ayant été émise par l'équipement émetteur du signal D.T.M.F., une étape de rédaction d'un message de synthèse par la sonde de détection, le message intégrant au moins les numéros I.M.S.I. de 25 l'émetteur et du récepteur, l'horodatage, et le signal D.T.M.F. détecté de la communication, - une étape de transfert du message de synthèse concernant la communication détectée depuis la sonde de détection vers le module d'analyse. 30 Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que le procédé comprend, une fois qu'un signal D.T.M.F. frauduleux est reconnu, au moins : - une étape de reconnaissance d'un signal D.T.M.F. frauduleux par le moyen de comparaison du dispositif de détection, - une étape d'activation d'un dispositif d'intervention sur la bande passante du réseau (traffic shaping), une étape de rédaction d'un message de synthèse indiquant la reconnaissance d'un signal frauduleux et l'activation du dispositif d'intervention, lo - une étape de transfert du message de synthèse concernant le signal reconnu depuis la sonde de détection vers une unité de capitalisation et d'apprentissage du module d'analyse, - une étape de consolidation des bases de données du système. Selon une autre variante de l'invention, le procédé de contrôle is intelligent de communications téléphoniques est caractérisé en ce que le procédé comprend, une fois qu'un signal D.T.M.F. autorisé est reconnu, au moins : - une étape de reconnaissance d'un signal D.T.M.F. autorisé par le moyen de comparaison du dispositif de détection, 20 - une étape de rédaction d'un message de synthèse indiquant la reconnaissance d'un signal autorisé, - une étape de transfert du message de synthèse concernant le signal reconnu depuis la sonde de détection vers une unité de capitalisation et d'apprentissage du module d'analyse, 25 - une étape de consolidation des bases de données du système. Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que l'étape d'analyse de la communication suspecte par le module d'analyse comprend au moins : 30 une étape de corrélation d'au moins une caractéristique de la communication suspecte avec au moins un critère d'analyse, - une étape de rapprochement du profil de fonctionnement de la communication suspecte avec un schéma de fonctionnement connu. Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que l'étape de corrélation d'au moins une caractéristique de la communication suspecte avec au moins un critère d'analyse par le module d'analyse comprend au moins : - une étape de comparaison des numéros I.M.S.I. émetteur et récepteur avec les valeurs I.M.S.I. d'au moins un réseau P.L.M.N. io enregistrées dans une base de données, et/ou - une étape de comparaison du numéro I.M.S.I. récepteur avec les numéros I.M.S.I. d'une base de données correspondant à des numéros d'accès autorisés, et/ou - une étape de comparaison du numéro I.M.S.I. récepteur avec les is numéros I.M.S.I. d'une base de données correspondant à des numéros d'accès non-autorisés et/ou - une étape de détermination du nombre et de la séquence du signal D.T.M.F. effectué pour la même période de communication, - une étape de validation d'au moins un critère d'analyse 20 - une étape de définition d'un profil de fonctionnement de la communication suspecte à partir d'au moins un critère d'analyse validé. Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que l'étape de rapprochement du profil de fonctionnement de la communication 25 suspecte avec un schéma de fonctionnement connu établi à partir d'au moins un critère d'analyse comprend au moins : - une étape d'association du profil de fonctionnement de la communication suspecte avec un schéma de fraude connu enregistrés dans une base de données, et/ou 30 une étape d'association du profil de fonctionnement de la communication suspecte avec un schéma de fonctionnement autorisé connu enregistrés dans une base de données, et/ou une étape d'établissement d'un profil inconnu de fonctionnement de la communication suspecte dans la base de données. Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que, lorsque les numéros I.M.S.I. émetteur et récepteur ne correspondent pas aux valeurs I.M.S.I. d'au moins un réseau P.L.M.N. enregistrées dans une base de données, ou lorsque les numéros I.M.S.I. récepteur correspondent aux numéros I.M.S.I. d'une base de données formée par des numéros d'accès autorisés, ou bien encore lorsque le profil de fonctionnement de la io communication suspecte correspond à un schéma de fonctionnement autorisé connu, alors le procédé comprend : - une étape d'arrêt du procédé de contrôle de la communication téléphonique. Selon une autre variante de l'invention, le procédé de contrôle is intelligent de communications téléphoniques est caractérisé en ce que, lorsque les numéros I.M.S.I. récepteur correspondent aux numéros I.M.S.I. d'une base de données formée par des numéros d'accès non-autorisés, ou bien encore lorsque le profil de fonctionnement de la communication suspecte correspond à un schéma de fonctionnement frauduleux ou abusif 20 connu, le procédé comprend une étape de réaction qui comprend au moins : - une étape d'activation d'au moins une sonde active par l'unité de réaction du module d'analyse suivie par - une étape de d'intervention sur la communication frauduleuse au niveau d'un dispositif permettant de contrôler la bande passante du réseau 25 (traffic shaping), ou - une étape d'interruption de la communication frauduleuse. Selon une autre variante de l'invention, le procédé de contrôle intelligent de communications téléphoniques est caractérisé en ce que, lorsque l'analyse du profil de fonctionnement de la communication suspecte 30 ne permet pas de rapprocher ce profil d'un schéma de fonctionnement connu, le procédé comprend au niveau de l'unité de réaction : - une étape d'alerte destinée à une unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation, - une étape d'investigation humaine et/ou technique faisant au moins intervenir le dispositif d'investigation afin d'établir le schéma de s fonctionnement de la communication suspecte, - une étape de mise à jour et de consolidation technique d'au moins une base de données participant au procédé de contrôle en y intégrant au moins un signal de nouveau comportement frauduleux et/ou autorisé. ~o L'invention, avec ses caractéristiques et avantages, ressortira plus clairement à la lecture de la description faite en référence aux dessins annexés dans lesquels : - la figure 1 représente un schéma de montage du système de contrôle de l'invention, 15 - la figure 2 représente un diagramme des principales étapes du procédé de contrôle de l'invention. Un cas d'utilisation abusive, voire frauduleuse, d'un abonnement téléphonique fait intervenir par exemple un dispositif passerelle qui joue le rôle de relais. Ce dispositif passerelle est alors activé depuis un téléphone 20 mobile par composition d'un signal D.T.M.F. (Dual-Tone Multi-Frequency) pour permettre l'activation de la ligne relais à laquelle se trouve connecté le dispositif opportuniste. Ce signal D.T.M.F. se trouve donc transmis par le réseau GSM de l'opérateur une fois que la communication a été établie. Toutefois, il convient de noter que les signaux D.T.M.F. sont, eux aussi, 25 utilisés dans le cadre d'accès à des services et faisant intervenir des S.V.I. (Serveurs Vocaux Interactifs). Le système de contrôle de la présente invention se positionne directement sur le réseau (3) de téléphonie mobile utilisé de façon abusive. Ce système fait intervenir une ou plusieurs sondes (1) de détection placées 30 de façon stratégique sur le réseau (3). Ces sondes (1) sont destinées à permettre un filtrage (S2) des communications qui transitent sur le réseau (3). Le positionnement de chacune de ces sondes (1) sur un noeud du réseau (3) est alors fonction de leur puissance de filtrage respective. Ainsi, sur un réseau (3) de téléphonie mobile classique, une sonde (1) de détection possédant une puissance de filtrage élevée pourra être située au niveau d'un noeud centralisé dans le réseau (3) et susceptible de traiter un nombre important de communications téléphoniques. Inversement, une sonde (1) avec une capacité de filtrage plus limitée, sera positionnée plus prés de la base du réseau (3), à proximité des contrôleurs de type B.S.C. (Base Station Controller) ou R.N.C. (Radio Network Controller). Selon un mode de réalisation préféré, les sondes (1) de détection sont positionnées au niveau lo des commutateurs M.S.C. (Mobile-services Switching Center). Les sondes (1) de détection intègrent dans leur structure au moins un dispositif de détection (4) de signaux D.T.M.F. émis une fois qu'une communication a été établie. Ce dispositif de détection (4) se trouve associé à au moins un programme enregistré dans un moyen de mémorisation (4a). 15 Ce programme est construit autour d'au moins un algorithme de filtrage faisant intervenir une ou plusieurs variables contenues dans un moyen de mémoire (4b) qui joue un rôle équivalent au concept d'un A.C.L. (Access Control List). La sonde (1) comprend un moyen d'enregistrement (5), connecté au 20 dispositif de détection (4), et qui capture (S3) le signal des communications suspectes qui ont un signal D.T.M.F., en récupérant le signal des communications au niveau d'un moyen de mémorisation (6). Ce moyen d'enregistrement (5) est associé à une horloge (8) qui permet de définir la date et l'heure des signaux capturés. Selon un mode de réalisation 25 particulier, les capacités d'analyse des signaux détectés par la sonde (1) peuvent être volontairement limitées afin d'orienter son efficacité sur ses capacités de filtrage et de détection. Toutefois, l'intégration d'un dispositif permettant une analyse, même limitée, au niveau de la sonde (1) est préférable afin de réduire le nombre des communications suspectes à 30 capturer pour être analysées au niveau du module d'analyse (2). Ce dispositif d'analyse comprend au moins un moyen de comparaison (4c) associé à une base de données (4b) qui comprend au moins des signaux reconnus comme frauduleux, et/ou autorisé, et/ou suspect. Selon un mode de réalisation particulier, ce dispositif d'analyse est connecté à un dispositif (14) susceptible d'intervenir sur la bande passante du réseau (3) en en contrôlant le débit pour permettre une intervention rapide si cela est nécessaire. La sonde de détection (1) de l'invention comprend également un moyen de rédaction (7) de messages de synthèse. Ce moyen de rédaction (7) est relié au moyen de mémorisation (6) qui conserve les signaux des communications suspectes capturées et assure alors la rédaction d'un io rapport de détection qui comprend au moins les numéros I.M.S.I. de l'émetteur et du récepteur, l'horodatage de la communication, ainsi que le signal D.T.M.F. détecté. Ce message de synthèse est encore susceptible de comprendre plusieurs autres informations permettant de mieux définir la communication suspecte détectée comme par exemple les différentes is portions du réseau (3) utilisées par la communication suspecte. De plus, si le dispositif d'analyse de la sonde (1) a pu établir une correspondance entre le signal détecté et un signal connu de la base de données (4b), cette information est ajoutée au message de synthèse, de même que si le dispositif d'intervention (14) a été activé. Le moyen de rédaction (7) est 20 connecté à une interface (9a) de communication qui permet le transfert du message de synthèse vers un module d'analyse (2). Selon le type de sonde de détection (1) de l'invention utilisée sur le réseau (3) surveillé de communication, certaines pourront tenir un rôle actif dans la régulation des communications définies comme frauduleuses par le 25 module d'analyse (2). Dans les autres cas, c'est-à-dire le cas de sondes (1) passives, celles-ci n'effectuent qu'une détection des communications suspectes, tandis que dans le cas de sondes (1) actives, celles-ci intègrent un dispositif (14) susceptible d'intervenir sur la bande passante du réseau (3) en contrôlant le débit de la bande passante (traffic shaping). 30 Le module d'analyse (2) forme l'organe du système de contrôle de l'invention qui détermine les communications frauduleuses ou autorisées parmi les différentes communications suspectes détectées par la sonde de détection. Cette détermination du caractère frauduleux ou autorisé est réalisée à partir des messages de synthèse émis par la sonde de détection (1) et relatifs aux communications suspectes détectées. Selon un mode de réalisation préférée, ce module d'analyse (2) se trouve positionné au niveau d'une unité centralisée. II comprend alors un dispositif de réception (9b) de messages de synthèse provenant d'une ou de plusieurs sondes (1) de détection. Ce dispositif de réception (9b) peut se trouver associé à un moyen de mémoire afin de conserver les messages de synthèses reçus en attendant que ces derniers soient analysés. to Le module d'analyse (2) comprend au moins une unité d'analyse (10) formée par au moins un moyen de comparaison (11) intégrant un programme (11a) et connecté avec une ou plusieurs bases de données (12a et 12b) mémorisées. Ces bases de données (12a et 12b) sont du type entrepôt de données (datawarehouse) afin de se prêter à une exploitation dans un 15 cadre d'analyse décisionnelle. Hors de l'unité d'analyse (10), le moyen de comparaison (11) est connecté d'une part avec le dispositif de réception (9) et d'autre part avec un moyen de réaction (13). Grâce à son moyen de comparaison (11) en lien avec différentes bases de données (12), l'unité d'analyse (10) effectue une corrélation entre le profil de la communication 20 suspecte et au moins un schéma de comportement connu pour définir si la communication détectée comme suspecte doit être considérée comme frauduleuse, autorisée ou bien encore si elle présente un nouveau type de comportement suspect. L'unité de réaction (13), connectée à l'unité d'analyse (10) au niveau 25 du moyen de comparaison (11), intègre un ou plusieurs programmes (13a) destinés à fournir au moins une réponse adaptée suivant le schéma de fonctionnement correspondant au profil de la communication suspecte détectée. L'unité de réaction (13) se trouve ainsi connectée d'une part à un dispositif (14) susceptible d'intervenir sur la bande passante du réseau (3) en 30 contrôlant le débit de la bande passante et d'autre part à une unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation (15). Selon un mode de réalisation préféré, le dispositif (14) qui intervient sur la régulation du réseau (3) est formé par au moins une sonde (1) de détection active, mais il peut être envisagé d'utiliser des moyens de contrôle n'ayant pas de rôle de détection. L'unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation (15) associé à un dispositif (16) de s mise à jour du système, et notamment des bases de données (4b, 12a et 12b) et/ou des programmes (4a, 11 a et 13a) utilisés par les éléments du système. Ce dispositif d'investigation (15) peut faire intervenir aussi bien des moyens humains que des systèmes techniques programmés. Les résultats des investigations du dispositif d'investigation (15) sont alors transmis au 10 dispositif de mise à jour (16) pour être intégrés dans les bases de données (4b, 12a et 12b) du système. Selon un mode de réalisation préféré, le dispositif (16) de mise à jour permet aussi une intervention sur le système qui est indépendante du fonctionnement de l'unité de réaction (13). Ce dispositif (16) permet ainsi de 15 renouveler les bases de données du système lorsque, par exemple, de nouveaux schémas de comportement frauduleux ou autorisés qui seraient encore inconnus du module d'analyse sont découverts. Le procédé de fonctionnement du système de l'invention implique avant tout l'établissement (Si) avec succès d'une communication dont le 20 signal transite par un noeud du réseau (3) qui intègre une sonde de détection (1). La sonde de détection (1) effectue ainsi une étape de filtrage (S2) permanente et continue d'un éventuel signal D.T.M.F. grâce au programme (4a) du dispositif de détection (4) parmi les signaux des différentes 25 communications qui transitent. Lorsqu'un signal D.T.M.F. se trouve composé par l'émetteur d'une communication après que la communication téléphonique soit établie, ce signal se trouve alors détecté (S2a) par la sonde (1). Cette étape de détection (S2a) est alors suivie par une étape de capture (S3) du signal de la communication suspecte faisant intervenir le moyen 30 d'enregistrement (5) et la mémoire (6) de la sonde (1) qui est associée. Dans le même temps, le signal D.T.M.F. détecté est analysé par le dispositif d'analyse de la sonde de détection (1). Ce dispositif intègre un moyen de comparaison (4c) associé à au moins une base de données (4b) comprenant des signaux déjà reconnus comme frauduleux, et/ou autorisés par le système de contrôle. Si le signal D.T.M.F. détecté correspond à un signal frauduleux, le dispositif d'analyse active (S6a) alors un dispositif (14) susceptible d'intervenir sur la bande passante du réseau (3). En revanche, si le signal détecté correspond à un signal frauduleux, le dispositif d'analyse active au moins une étape de clôture du procédé de contrôle (S7). Si le signal D.T.M.F. ne correspond à aucun des signaux déjà reconnus par le système, une analyse plus fine du signal est alors io nécessaire. Le signal capturé est alors transmis (S4) au module d'analyse (2). Pour se faire, un message de synthèse est rédigé (S4a) par un moyen de rédaction (7). Ce message de synthèse forme un rapport de détection qui comprend au moins le signal D.T.M.F. détecté, les numéros I.M.S.I.émetteur et récepteur de la communication suspectée et l'horodatage de la is communication obtenu grâce à une horloge (8) intégrée à la sonde (1) de détection. Ce message de synthèse est alors transféré (S4b) depuis la sonde (1) de détection vers le module d'analyse (2) qui forme un dispositif central pour plusieurs sondes (1). Lorsqu'un signal D.T.M.F. est reconnu, soit comme frauduleux, soit comme autorisé, au niveau de la sonde (1) de 20 détection, la correspondance entre le signal détecté et un signal de la base de données (4b) se trouve également intégré au message de synthèse. En revanche, les informations du message de synthèse ne seront pas analysées pour définir le caractère frauduleux/abusif ou autorisé de la communication, mais seront transmises directement à l'unité de capitalisation et 25 d'apprentissage. Le message de synthèse est alors réceptionné par le module d'analyse (1) au niveau d'un terminal de réception (9b) qui le conserve dans une mémoire avant d'être analysé. Les informations du message de synthèse sont alors transférées vers l'unité d'analyse (10) qui va effectuer 30 l'analyse (S5) du signal de la communication suspecte à partir des informations qui composent le message de synthèse.

Cette analyse (S5) du signal, réalisée par le moyen de comparaison (11) associé à différentes bases de données (12a et 12b), s'effectue en plusieurs étapes. Dans un premier temps, l'unité d'analyse (10) effectue une corrélation (S5a) entre au moins une caractéristique de la communication suspecte avec au moins un critère d'analyse. Cette corrélation (S5a) a pour objectif de mettre en évidence le profil de la communication suspecte à partir de différents critères d'analyse intégrés dans des bases de données. Dans un second temps, l'unité d'analyse (10) effectue un rapprochement (S5c) du profil de fonctionnement de la communication suspecte avec un schéma de ~o fonctionnement connu. Cette étape (S5c) permet alors de définir si la communication suspecte est frauduleuse ou autorisée, voire si elle présente un nouveau schéma de fonctionnement. L'étape de corrélation (S5a) se subdivise, elle-aussi, en plusieurs sous-étapes. Dans un premier temps, les numéros I.M.S.I. émetteur et 15 récepteur sont comparés (S5a1) avec les valeurs d'au moins un réseau P.L.M.N. (Public Land Mobile Network) enregistrées dans une base de données. Si une correspondance est établie, le critère se trouve validé (S11) comme critère d'analyse et le procédé se poursuit. En revanche, si les numéros I.M.S.I. ne correspondent pas, alors cela signifie que la 20 communication ne met pas en jeu des téléphones mobiles ou ne fait pas intervenir des moyens techniques d'un opérateur défini et le procédé de contrôle s'interrompt (S7). Une seconde sous-étape fait intervenir la comparaison (S5a2) du numéro I.M.S.I. récepteur avec les valeurs I.M.S.I. d'une base de données 25 qui contient des numéros qui permettent d'obtenir un accès à des correspondants ou des services autorisés via par exemple des Serveurs Vocaux Interactifs. Cette base de données forme une liste dite liste blanche (white list). Si une correspondance s'opère, la communication suspecte est une communication autorisée et le procédé de contrôle s'interrompt (S7). En 30 revanche, si aucune correspondance n'est établie, le procédé se poursuit. Une troisième sous-étape fait alors intervenir la comparaison (S5a3) du numéro I.M.S.I. récepteur avec les valeurs I.M.S.I. d'une base de données qui contient des numéros qui permettent d'obtenir un accès à des correspondants ou des services non-autorisés. Cette base de données forme une liste dite liste noire (black list). Si une correspondance est réalisée, alors la communication suspecte est définie comme étant une communication frauduleuse ou abusive et une réaction (S6) est déclenchée mettant en jeu l'unité de réaction (13). En revanche, si aucune corrélation n'est effectuée, le protocole se poursuit. Une quatrième sous-étape (S5a4) consiste en la détermination du nombre et de la séquence du signal D.T.M.F. effectués pour la même lo communication. Cette détermination (S5a3) peut également porter sur la durée de la composition de l'ensemble du signal D.T.M.F. au cours de la communication. Une fois que ces éléments sont calculés, ils sont alors validés (S11) comme critère d'analyse. A partir des différents critères d'analyse validés (S11), un profil de 15 fonctionnement de la communication suspecte est établi (S5b). Il convient de faire remarquer que l'ordre successif des différentes sous-étapes (S5a1, S5a2, S5a3, S5a4) permettant d'une part d'établir une corrélation entre des caractéristiques de la communication suspectée et différents critères d'analyse et d'autre part de déterminer certaines communications suspectes 20 comme étant frauduleuse ou autorisées, n'est pas fixe et peut être réarrangé selon une autre séquence. Une fois que le profil de fonctionnement de la communication suspecte est établi (S5b), un rapprochement (S5c) de ce profil de fonctionnement avec un schéma de fonctionnement connu est effectué à 25 partir de schéma enregistrés dans au moins une base de données. Ce rapprochement (S5c) peut, lui aussi, être subdivisé en plusieurs sous-étapes successives. Une première de ces sous-étapes est réalisée par une association (S5c1) du profil de fonctionnement de la communication suspecte avec des 30 schémas de fraude connus enregistrés dans une base de données. S'il existe une correspondance le profil de fonctionnement et un schéma connu, alors la communication suspecte est considérée comme une communication frauduleuse ou abusive et une réaction (S6) est déclenchée. En revanche, si aucune correspondance n'est établie, le protocole se poursuit. Une seconde sous-étape consiste en une association (S5c2) du profil de fonctionnement de la communication suspecte avec des schémas de communication autorisés. Si le profil de fonctionnement de la communication suspecte correspond à un des schémas connus, alors la communication suspecte est considérée comme une communication autorisée et le procédé de contrôle est interrompu (S7). En revanche, s'il n'existe aucune correspondance, alors la communication suspecte est to considérée comme une communication présentant un comportement suspect inconnu (S5c3) et une étape d'alerte (S8) destiné au dispositif d'investigation (15) de l'unité de capitalisation et d'apprentissage est déclenchée par l'unité de réaction (13). Au niveau de l'unité de réaction (13), le déclenchement d'une étape is de réaction (S6) est fonction de l'importance de la réponse qui doit être apportée à la détection et à la détermination d'une communication frauduleuse ou abusive. Cette réaction (S6) comprend au moins une étape d'activation (S6a) d'au moins une sonde active permettant de contrôler le débit de la bande passante du réseau (traffic shaping) et qui peut être une 20 sonde (1) de détection. Au niveau de cette sonde (1) active, s'effectue une action graduelle qui consiste en une dégradation (S6b) de la communication abusive au niveau d'un dispositif ou une rupture (S6c) de la communication frauduleuse. Lorsque l'unité d'analyse (10) ne permet pas de définir le caractère 25 frauduleux ou autorisé de la communication suspecte, une alerte (S8) est transmise par l'unité de réaction (13) à un dispositif d'investigation (15) de l'unité de capitalisation et d'apprentissage. A partir du profil de fonctionnement inconnu de la communication suspecte, un nouveau schéma de fonctionnement est établi, ce schéma pouvant aussi être construit à partir 30 d'autres profils de fonctionnement inconnus. Puis, ce nouveau schéma de fonctionnement se trouve intégré dans les différentes bases de données du système (4b, 12a, 12b) lors d'une étape de mise à jour (S10) et de consolidation technique du système. Ces étapes d'investigation (S9) et de mise à jour (S10) permettent de capitaliser l'expérience pour améliorer la détection et l'analyse des signaux lors des filtrages ultérieurs. II doit être évident pour les personnes versées dans l'art que la présente invention permet des modes de réalisation sous de nombreuses autres formes spécifiques sans l'éloigner du domaine d'application de l'invention comme revendiqué. Par conséquent, les présents modes de réalisation doivent être considérés à titre d'illustration mais peuvent être modifiés dans le domaine défini par la portée des revendications jointes.

Claims (23)

REVENDICATIONS

1. Système de contrôle intelligent des communications téléphoniques au sein d'un réseau faisant intervenir un réseau (3) de téléphonie mobile qui met en jeu un ou plusieurs équipements particuliers du réseau (3), caractérisé en ce que le système comprend au moins une sonde (1) de détection positionnée au niveau d'un point stratégique du réseau (3) de l'infrastructure de l'opérateur, la sonde (1) de détection comprenant au moins un dispositif de détection (4) de codes D.T.M.F. (Dual-Tone Multi-Frequency) associé à un programme (4a) basé sur un algorithme de filtrage qui reconnaît io la réalisation d'une numérotation D.T.M.F. une fois qu'une communication est établie (S1), un moyen de mémorisation (6) associé à un moyen d'enregistrement (5) des signaux émis lors de la communication, un moyen de génération de messages de synthèse (7) établissant un rapport de détection d'une communication suspecte et/ou frauduleuse et une interface 15 de communication (9a) avec un module d'analyse (2).

2. Système de contrôle intelligent de communications téléphoniques selon la revendication 1, caractérisé en ce que le moyen de génération de message de synthèse (7) intègre dans le message au moins les numéros I.M.S.I. (International Mobile Subscriber ldentity) de l'émetteur et du 20 récepteur, l'horodatage de la communication, et le signal D.T.M.F. détecté.

3. Système de contrôle intelligent de communications téléphoniques selon une des revendications précédentes, caractérisé en ce que la sonde (1) de détection se trouve positionnée au niveau d'un commutateur M.S.C. (Mobile-services Switching Center). 25

4. Système de contrôle intelligent de communications téléphoniques selon une des revendications précédentes, caractérisé en ce que la sonde (1) de détection intègre au moins un moyen de comparaison (4c) permettant une comparaison entre au moins un des signaux émis lors de la communication et au moins une valeur enregistrée dans une base dedonnées (4b) de la sonde de détection, et susceptible d'être mise à jour depuis un dispositif de consolidation (16).

5. Système de contrôle intelligent de communications téléphoniques selon la revendication 4, caractérisé en ce que la base de données (4b) de la sonde de détection intègre les valeurs de signaux reconnus comme frauduleux, et/ou autorisé, et/ou suspect.

6. Système de contrôle intelligent de communications téléphoniques selon une des revendications 4 ou 5, caractérisé en ce que la sonde de détection étant une sonde active intégrant un dispositif (14) susceptible lo d'intervenir sur la bande passante du réseau (3) en contrôlant le débit de cette bande passante, le moyen de comparaison (4c) est relié au dispositif (14) d'intervention sur la bande passante du réseau (3).

7. Système de contrôle intelligent de communications téléphoniques selon une des revendications précédentes, caractérisé en ce que le module 15 d'analyse comprend au moins une interface de communication avec la sonde formée d'au moins une unité de réception (9b) d'au moins un message de synthèse provenant de l'interface de communication d'au moins une sonde de détection (1), une unité d'analyse (10) formée par un moyen de comparaison (11) des informations contenues dans le message de synthèse 20 avec les informations d'au moins une base de données (12) enregistrée dans un moyen de mémorisation, un module de réaction (13) comprenant un dispositif d'alerte et/ou de déclenchement d'au moins un programme d'action au niveau du réseau.

8. Système de contrôle intelligent de communications téléphoniques 25 selon la revendication 7, caractérisé en ce que la base de données (12) intègre des numéros I.M.S.I. émetteur et récepteur reconnus comme suspects, des numéros I.M.S.I. récepteur reconnus comme frauduleux, et des numéros I.M.S.I. reconnus comme autorisés.

9. Système de contrôle intelligent de communications téléphoniques 30 selon les revendications 7 ou 8, caractérisé en ce que la base de données(12) intègre des informations correspondant à des schémas de fonctionnement frauduleux et des schémas de fonctionnement autorisés.

10. Système de contrôle intelligent de communications téléphoniques selon les revendications 7 à 9, caractérisé en ce que le module d'analyse (2) d'une part comprend une unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation (15) des schémas de fonctionnement suspects qui intervient dans la mise à jour (S10) et la consolidation des bases de données (12) du système en y intégrant les résultats des investigations. io

11. Système de contrôle intelligent de communications téléphoniques selon les revendications 7 à 10, caractérisé en ce que le module d'analyse (2) est positionné au niveau d'une unité centralisée.

12. Système de contrôle intelligent de communications téléphoniques selon une des revendications 7 à 11, caractérisé en ce que le réseau (3) de 1s télécommunication intègre au moins une sonde active (1) activée par l'unité de réaction (13) du module d'analyse (2) et susceptible d'intervenir sur la bande passante du réseau (3) en contrôlant le débit de la bande passante en cas de détection d'une communication présentant un schéma de fonctionnement frauduleux. 20

13. Système de contrôle intelligent de communications téléphoniques selon la revendication 12 caractérisé en ce que la sonde (1) de détection et la sonde active qui intervient sur la bande passante du réseau en contrôlant son débit forment une seule et même entité.

14. Procédé de contrôle intelligent de communications téléphoniques 25 au sein d'un réseau comprenant au moins un réseau (3) de téléphonie mobile, mettant en jeu un ou plusieurs équipements particuliers du réseau (3), le procédé faisant intervenir au moins une sonde (1) de détection et un module d'analyse (2) intégrés au réseau, le procédé comprenant : - une étape (Si) d'établissement avec succès d'une 30 communication entre deux équipements identifiés par leur I.M.S.I. dont lesignal passe par un point du réseau (3) comprenant une sonde (1) de détection, caractérisé en ce que le procédé comprend au moins : - une étape de filtrage (S2) continu du signal de la communication 5 par la sonde (1) de détection au niveau d'au moins un point défini du réseau (3), - une étape de détection (S2a) d'au moins un signal D.T.M.F. émis au cours de la communication, - une étape d'analyse (S5) du signal de la communication faisant io intervenir au moins un moyen de comparaison associé à au moins une base de données, -une étape de reconnaissance de la communication suspecte soit comme étant un cas connu de communication frauduleuse et/ou abusive, soit comme étant une communication autorisée, ou soit comme étant une 15 communication susceptible de présenter un nouveau cas de comportement suspect.

15. Procédé de contrôle intelligent de communications téléphoniques selon la revendication 14, caractérisé en ce que, la sonde de détection étant positionnée sur le réseau (3) et le module d'analyse (2) étant positionné à 20 distance de la sonde (1) de détection, le procédé comprend, une fois qu'un signal D.T.M.F. se trouve détecté (S2a), au moins : - une étape d'analyse (S2b) par un moyen de comparaison (4c) du dispositif de détection (4) de la sonde (1) associé à une base de données (4b) intégrant les valeurs de signaux reconnus comme frauduleux, et/ou 25 autorisés, et/ou suspects, - une étape de capture (S3) par la sonde (1) de détection des informations I.M.SI. contenues dans le signal de la communication ayant été émise par l'équipement émetteur du signal D.T.M.F.,- une étape de rédaction (S4a) d'un message de synthèse par la sonde de détection, le message intégrant au moins les numéros I.M.S.I. de l'émetteur et du récepteur, l'horodatage, et le signal D.T.M.F. détecté de la communication, - une étape de transfert (S4b) du message de synthèse concernant la communication détectée depuis la sonde (1) de détection vers le module d'analyse (2).

16. Procédé de contrôle intelligent de communications téléphoniques selon la revendication 15, caractérisé en ce que le procédé comprend, une lo fois qu'un signal D.T.M.F. frauduleux est reconnu, au moins : - une étape de reconnaissance d'un signal D.T.M.F. frauduleux par le moyen de comparaison (4c) du dispositif de détection, - une étape d'activation (S6b) d'un dispositif (14) d'intervention sur la bande passante du réseau (traffic shaping), 15 une étape de rédaction (S4a) d'un message de synthèse indiquant la reconnaissance d'un signal frauduleux et l'activation du dispositif d'intervention, - une étape de transfert (S4b) du message de synthèse concernant le signal reconnu depuis la sonde (1) de détection vers une unité 20 de capitalisation et d'apprentissage du module d'analyse (2), une étape de consolidation des bases de données du système.

17. Procédé de contrôle intelligent de communications téléphoniques selon la revendication 15, caractérisé en ce que le procédé comprend, une fois qu'un signal D.T.M.F. autorisé est reconnu, au moins : 25 - une étape de reconnaissance d'un signal D.T.M.F. autorisé par le moyen de comparaison (4c) du dispositif de détection, une étape de rédaction (S4a) d'un message de synthèse indiquant la reconnaissance d'un signal autorisé,- une étape de transfert (S4b) du message de synthèse concernant le signal reconnu depuis la sonde (1) de détection vers une unité de capitalisation et d'apprentissage du module d'analyse (2), une étape de consolidation des bases de données du système.

18. Procédé de contrôle intelligent de communications téléphoniques selon une des revendications 14 et 15, caractérisé en ce que l'étape d'analyse (S5) de la communication suspecte par le module d'analyse (2) comprend au moins : - une étape de corrélation (S5a) d'au moins une caractéristique de lo la communication suspecte avec au moins un critère d'analyse, - une étape de rapprochement (S5c) du profil de fonctionnement de la communication suspecte avec un schéma de fonctionnement connu.

19. Procédé de contrôle intelligent de communications téléphoniques selon la revendication 18, caractérisé en ce que l'étape de corrélation (S5a) 15 d'au moins une caractéristique de la communication suspecte avec au moins un critère d'analyse par le module d'analyse (2) comprend au moins : - une étape de comparaison (S5a1) des numéros I.M.S.I. émetteur et récepteur avec les valeurs I.M.S.I. d'au moins un réseau P.L.M.N. enregistrées dans une base de données, et/ou

20 - une étape de comparaison (S5a2) du numéro I.M.S.I. récepteur avec les numéros I.M.S.I. d'une base de données correspondant à des numéros d'accès autorisés, et/ou - une étape de comparaison (S5a3) du numéro I.M.S.I. récepteur avec les numéros I.M.S.I. d'une base de données correspondant à des 25 numéros d'accès non-autorisés et/ou - une étape de détermination (S5a4) du nombre et de la séquence du signal D.T.M.F. effectué pour la même période de communication, - une étape de validation (S11) d'au moins un critère d'analyse- une étape de définition (S5b) d'un profil de fonctionnement de la communication suspecte à partir d'au moins un critère d'analyse validé. 20. Procédé de contrôle intelligent de communications téléphoniques selon la revendication 18 ou 19, caractérisé en ce que l'étape de s rapprochement (S5c) du profil de fonctionnement de la communication suspecte avec un schéma de fonctionnement connu établi à partir d'au moins un critère d'analyse comprend au moins : - une étape d'association (S5c1) du profil de fonctionnement de la communication suspecte avec un schéma de fraude connu enregistrés dans lo une base de données, et/ou - une étape d'association (S5c2) du profil de fonctionnement de la communication suspecte avec un schéma de fonctionnement autorisé connu enregistrés dans une base de données, et/ou - une étape d'établissement (S5c3) d'un profil inconnu de 15 fonctionnement de la communication suspecte dans la base de données.

21. Procédé de contrôle intelligent de communications téléphoniques selon une des revendications 19 à 20, caractérisé en ce que, lorsque les numéros I.M.S.I. émetteur et récepteur ne correspondent pas aux valeurs I.M.S.I. d'au moins un réseau P.L.M.N. enregistrées dans une base de 20 données, ou lorsque les numéros I.M.S.I. récepteur correspondent aux numéros I.M.S.I. d'une base de données formée par des numéros d'accès autorisés, ou bien encore lorsque le profil de fonctionnement de la communication suspecte correspond à un schéma de fonctionnement autorisé connu, alors le procédé comprend : 25 - une étape d'arrêt (S7) du procédé de contrôle de la communication téléphonique.

22. Procédé de contrôle intelligent de communications téléphoniques selon une des revendications 19 à 20, caractérisé en ce que, lorsque les numéros I.M.S.I. récepteur correspondent aux numéros I.M.S.I. d'une base 3o de données formée par des numéros d'accès non-autorisés, ou bien encorelorsque le profil de fonctionnement de la communication suspecte correspond à un schéma de fonctionnement frauduleux ou abusif connu, le procédé comprend une étape de réaction qui comprend au moins : - une étape d'activation (S6a) d'au moins une sonde active par 5 l'unité de réaction du module d'analyse suivie par - une étape de d'intervention (S6b) sur la communication frauduleuse au niveau d'un dispositif permettant de contrôler la bande passante du réseau (traffic shaping), ou - une étape d'interruption (S6c) de la communication frauduleuse. io

23. Procédé de contrôle intelligent de communications téléphoniques selon une des revendications 19 à 20, caractérisé en ce que, lorsque l'analyse du profil de fonctionnement de la communication suspecte ne permet pas de rapprocher ce profil d'un schéma de fonctionnement connu, le procédé comprend au niveau de l'unité de réaction : 15 - une étape d'alerte (S8) destinée à une unité de capitalisation et d'apprentissage comprenant un dispositif d'investigation (15), - une étape d'investigation (S9) humaine et/ou technique faisant au moins intervenir le dispositif d'investigation (15) afin d'établir le schéma de fonctionnement de la communication suspecte, 20 - une étape de mise à jour (S10) et de consolidation technique d'au moins une base de données participant au procédé de contrôle en y intégrant au moins un signal de nouveau comportement frauduleux et/ou autorisé.