JP2001511626A

JP2001511626A - 通信ネットワークの監視

Info

Publication number: JP2001511626A
Application number: JP2000504699A
Authority: JP
Inventors: エドワーズ、アレキサンダー・フレーザー・マイルス
Original assignee: British Telecommunications PLC
Current assignee: British Telecommunications PLC
Priority date: 1997-07-22
Filing date: 1998-07-15
Publication date: 2001-08-14
Also published as: DE69829289T2; CA2296328C; EP0995302A1; CA2296328A1; EP0995302B1; DE69829289D1; WO1999005847A1; GB9715498D0; AU8349598A; ES2239808T3; HK1028311A1

Abstract

(57)【要約】【課題】ネットワーク上で通信パターンおよび通信を監視して、例えば遠隔通信ネットワーク内における不正活動を検出するのに使用できる方法および装置を提供すること。【解決手段】ネットワーク上の通信パターンは、最初にマークを通信ネットワーク内の2以上のエンティティと関係付けることによって監視できる。こうして該または各マークを付されたエンティティと少なくとも１つの別のエンティティとの間の通信を検出でき、マークを該またはマークを付されたエンティティと通信する各エンティティと関係付けることができる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】

本発明は、遠隔通信ネットワークのような通信ネットワーク、とくに通信お
よび通信パターンを監視して、例えば遠隔通信ネットワークの不正使用を検出す
る方法および装置に関する。

【０００２】

【従来技術】

多くの応用では、ネットワーク内の通信パターンを監視できるようにするこ
とが有益である。１つのこのような応用は、遠隔通信ネットワークにおける不正
（詐欺）の検出に関する。遠隔通信ネットワークにおいて不正が犯されるとき、
これは組織化された犯罪者グループ（一味）の活動によることがしばしばである
。しかしながら一味の首謀者は直接に不正の呼を行なわずに、共犯者を使用して
不正呼を行なわせるので、首謀者が迅速に捕まえられることはまれである。

【０００３】現在、このような犯罪者グループの首謀者の検挙には相当量の解析が必要であ
り、これは大量の収集されたデータを使用してオフラインで行われる。この処理
は全く実時間ではないので、不正犯罪者グループは、恐らくは必要よりも長く存
在する。

【０００４】

【発明が解決しようとする課題】

本発明は、ネットワーク上で通信パターンおよび通信を監視して、例えば遠
隔通信ネットワーク内における不正活動を検出するのに使用できる方法および装
置を提供することを目的とする。

【０００５】

【課題を解決するための手段】

本発明の第1の態様にしたがって、ネットワーク上の通信パターンを監視する方法であって：通信ネットワーク内の１または複数のエンティティとマークとを関係付ける
最初の段階と；該または各エンティティと少なくとも１つの別のエンティティとの間の通信
を検出する検出段階と；該または各マークを付されたエンティティと通信するおのおの別のエンティ
ティとマークを関係付けるマーキング段階とを含む方法を提供する。

【０００６】本発明のこの態様ではさらに、ネットワーク上での通信パターンを監視する装
置であって：通信ネットワーク内の１または複数のエンティティとマークとを関係付ける
最初のマーキング手段と；該または各マークを付されたエンティティと少なくとも１つの別のエンティ
ティとの間の通信を検出する検出手段と；該または各マークを付されたエンティティと通信する各別のエンティティと
マークを関係付けるマーキング手段とを含む装置を提供する。

【０００７】本発明のこの態様では、送信元と送信先との間、例えば通信アドレスまたはユ
ーザの間の通信を検出することによって通信パターンの監視を可能にしている。
このプロセスは可能性のある不正にマークを付すシステムとして働き、ネットワ
ーク内の各アドレス、ノード、またはユーザにマークを付して、通信の広がりを
示す。不正検出システムでは、これを使用して、不正活動の可能なサイトを示す
ことができる。

【０００８】１つの実施形態では、各マークを付されたエンティティと関係するマークは１
つの値を有し、マークの値と予めマーク付されたエンティティと通信する各エン
ティティとを関係付けることによってマーキングが行なわれ、なおマーク値は予
めマークを付されたエンティティのマークの値の関数として計算される。このや
り方では、送信元ポイントまたはエンティティからネットワーク全体の通信の‘
拡散’を、各エンティティに対する値を参照することによって監視することがで
きる。マークを付されたエンティティと通信するエンティティはより高い値を得
て、通信の広がりをより正確に監視することができる。

【０００９】マーク値を計算する1つの方法は、予めマークを付されたエンティティのマーク値の一部を、予めマークを付されたエンティティと通信する各エンティティへ
送ることを含む。

【００１０】通信ネットワーク内のマークを付されたポイント間の通信活動の平均的な画像
を生成するために、マーク値を時間の経過にしたがってフェードさせることがで
きる。したがって不正検出システムでは、疑わしいユーザへの単一の呼または時
々行なわれる呼を偶然に行ってしまった合法のユーザから容疑を取り除くことが
できる。

【００１１】使用されるマーク値は多くの異なるやり方で計算できる。マークを付されたエ
ンティティ間の通信を検出するとき、エンティティの現在のマーク値の関数とし
て各エンティティと関係するマーク値を変更することができる。

【００１２】例えば不正活動といった大きなネットワーク活動のポイントは、エンティティ
と関係するマーク値を所定の範囲と比較し、所定の範囲外のエンティティと関係
するマーク値を有するそのエンティティまたは各エンティティ（以下該または各
エンティティと呼ぶ、英文the or each entity）を識別することによって検出す
ることができる。このやり方では、不正検出システムにおいて不正活動が一定の
レベルに到達するとき、すなわちネットワークのポイントと関係付けられたマー
ク値または容疑値が閾値に到達するとき、不正管理システムのオペレータによる
介入を許可することができるように強調することができる。

【００１３】ネットワークでは2以上のエンティティに最初にマークを付してもよい。マークを付された各エンティティから発信している通信パターンを識別できるように
するために、各マークを付されたエンティティは最初に各独特のマークでマーク
を付され、該または各マークを付されたエンティティと通信する各エンティティ
は、各独特のマークでマークを付される。このやり方では、ネットワーク内の異
なるポイントから発信しているネットワーク全体の通信の‘拡散’を識別するこ
とができる。

【００１４】本発明の第2の態様にしたがって、ネットワーク上の通信を監視する方法であって：通信ネットワーク内のエンティティとマークとを関係付けるマーキング段階
と；マークを付されたエンティティ間の通信を検出する検出段階と；マークを付されたエンティティ間の検出された通信を示す信号を生成する生
成段階とを含む方法を提供する。

【００１５】本発明のこの態様はさらに、ネットワーク上で通信を観察する装置であって：通信ネットワーク内のエンティティとマークとを関係付けるマーキング手段
と；マークを付されたエンティティ間の通信を検出する検出手段と；マークを付されたエンティティ間の検出された通信を示す信号を生成する生
成手段とを含む装置を提供する。

【００１６】この態様にしたがって、マークを付されたエンティティ間の通信が検出され、
不正管理システムではマークを付されたエンティティ間の通信は不正の行為を示
すものとなることができる。

【００１７】１つの実施形態では、マーク値がエンティティと関係付けられ、通信中のエン
ティティのマーク値が検出される。通信値は、通信に対する検出されたマーク値
の関数に基づいて生成される。次に通信値は所定の範囲と比較することができ、
通信値が所定範囲外であるか否かを識別することができる。このやり方では、不
正検出システムにおいてネットワーク内の疑わしいポイント間の通信を監視する
ことができ、ネットワーク内のポイントが相当に疑わしいときは、この通信は非
常に疑わしいとマークを付され、不正管理システムのオペレータに注意を促すこ
とができる。

【００１８】本発明による通信ネットワークでは、エンティティは通信の発信地または着信
地、あるいはその両者として通信ノードを含むことができ、例えば遠隔通信ネッ
トワークでは通信ノードは電話番号を含む。加えてエンティティには目的のユー
ザ、すなわち通信発信地としてユーザに関係するコードによって識別されるユー
ザ、例えば遠隔通信ネットワークではエンティティに課金カード番号またはパー
ソナル番号を含んでもよい。ユーザに関係するコードは通信ノードで使用しても
よく、課金カードおよびパーソナル番号はとくに不正に使用され易いので、この
ようなユーザに関係するコードと容疑を関係付けできることが重要である。課金
カードおよびパーソナルコードは不正通信を行うのにどの通信ノードに使用でき
るので、容疑を通信ノードと単に関係付けるだけでは不十分である。

【００１９】

【発明の実施の形態】

ここで添付の図面を参照して実施形態を記載する。

【００２０】ここで図１を参照すると、本発明の既知の実施形態にしたがって容疑検出シス
テム(suspicion system)を使用して、不正活動を監視する遠隔通信ネットワーク
を模式的に示す。電話ハンドセット1a、1b、1c、および1dで呼を行なうと、呼は
ディジタルローカル交換（DLE）2aおよび2bの何れかを介して他のローカルハンドセット1a、1b、1c、および1dまたはネットワークスイッチ3a、3b、および3cの
何れかへルート設定される。不正管理システム（FMS）４はネットワーク状のスイッチ3a、3b、および3c上で通信を監視して、不正活動を監視する。しかしなが
らこの実施形態では不正管理システムはスイッチにおいて不正を監視するか、ま
たはその代りにディジタルローカル交換において不正を監視することもできる。

【００２１】不正管理システム４には、例えば規則を応用した不正検出を取り入れた既知の
不正管理システムを含んでもよい。このようなタイプの不正管理システムは周知
であり、本発明の技術的範囲には含まれない。不正管理システムによる通信の監
視は容疑システム５へ送られ、容疑システム５はそれと関係している容疑データ
ベース６を有する。

【００２２】図２は、図１の容疑検出システム５およびデータベース６をより詳しく示して
いる。呼情報インターフェイス10は容疑プロセッサ11へネットワーク状のスイッ
チ3a、3b、および3cからの呼情報を供給する。容疑プロセッサ11は、呼情報にし
たがってネットワーク内の各ポイントに対する容疑値を計算し、ネットワーク内
のポイントに対する計算された容疑値はネットワーク容疑データベース14に記憶
される。容疑プロセッサ11はネットワーク内の疑がわしいポイント間の呼に対す
る容疑値を計算し、呼が閾値よりも高い容疑値をもつとき、容疑プロセッサ11は
アラームユニット12に疑わしい呼が行われたことをオペレータに警報するように
命令することができる。タイマ13を用意して、ネットワーク内のポイントに対す
る容疑値を低減(decaying)または消失(fading)して、所定の期間中に合法の顧客
から容疑を取り除く。

【００２３】図３は、ネットワーク上でのノードＡからＢへ容疑の移動原理を示している。
ノードＡは最初に疑がわしいとしてマークを付され、１００％の容疑値に割当て
られる。したがってＢに対して呼が行なわれると、５０％の容疑値を割当てられ
る。次にノードＢがノードＣに対して呼を行なうと、ノードＣは２５％の容疑値
を割当てられる。次にノードＡがノードＣに対して呼を行なうと、ノードＣの容
疑値は７５％に増加する。ノードＤがノードＣへ呼を行なうと、３７％の容疑値
を割当てられる。次にノードＣがノードＦへ呼を行なうと、ノードＦは３７％の
容疑値を割当てられる。次にノードＦがノードＧへ呼を行なうと、ノードＧは１
７％の容疑値を割当てられる。ノードＥはノードＡ、Ｂ、Ｃ、Ｄ、Ｆ、またはＧ
の何れとも接触しなかったために容疑値を割当てられない。

【００２４】したがって図３から分かるように、ネットワークの通信パターンを監視して、
不正活動の通信パターンを検出することができる。

【００２５】容疑値の移動に対する特定の値および一部を使用して、図３を参照してこの原
理を示す一方で、適切な方法を使用して、ネットワーク上の容疑値の移動を計算
することができる。

【００２６】図３の原理にしたがって、最初に不正行為者の電話活動が不正検出システム上
で異常と登録される。この結果多数の警報を発生し、おそらくはそのユーザの電
話番号はさらに使用することを禁止されることになる。呼が異常と登録されたと
き、データベースには疑わしい電話番号に関係する容疑値、および電話の所有者
のリストを含むデータベースにおいて容疑値をユーザと関係付けることができる
。その代りに、このデータベースは正規の料金請求データベースと統合できるが
、トランザクション速度は低減する。したがってシステムはオフラインで動作し
て、不正検出レートを向上することができるが、オンラインでシステムを動作す
ることが好ましい。容疑値は記録された事件の厳格さに基づくことが多く、例え
ば継続時間がわずかに長い呼への容疑値は既知の不正行為位置への呼の容疑より
もはるかに低いが、この既知の不正行為位置への呼の容疑は今度は、最近禁止さ
れた電話番号に基づく容疑よりは容疑が低い。

【００２７】ユーザに対する容疑が記録されると、この情報を予測のために何度も使用でき
る。

【００２８】それが関係した容疑をもっている電話から呼を行うとすると、ダイヤルされた
電話番号もその電話と関係する容疑値をもつ。この新しい番号と関係する容疑値
は、呼を行う電話よりも低い容疑値をもつことになる。ダイヤルした電話番号が
既に容疑レートをもつときは、新しいおよび古いレートは適切な関数と結合され
ることになる。このような関数は、例えば2つの値を共に加えてその電話に対するレートを増大するか、２つの値中の高い方の値をとるか、または２つの平均値
をとってもよい。この後者の方法は図３に示した。

【００２９】さらに行なわれている実際の呼に対する容疑レートを判断することもできる。
例えばある1つの電話番号から別の電話番号へ呼を行い、両者の電話番号がそれと関係する容疑値をもつときは、電話呼が不正に関係する目的に使用された容疑
は非常に高くなる。

【００３０】この発想を拡張すると、任意の番号から容疑値をもつ電話番号へ呼を行うと、
発呼番号も疑わしいとされ、すなわち容疑値へ割当てられることになる（図３で
はノードＤがノードＣを発呼したことにより容疑値を与えられている）。図３の
構成では、単一の容疑値を入力方向および出力方向の両者の呼に使用されている
。しかしながら２つの異なる値は、一方を出力方向の呼に、他方を入力方向の呼
に使用してもよい。

【００３１】容疑値の維持に加えて、疑わしい呼の合計数または出力方向および入力方向の
疑わしい呼の数は計数することができる。

【００３２】最も完全な情報を提供するために、行なわれた呼を詳細に示す呼記録に対して
‘ポインタ’を各疑わしい呼ごとに格納することができる。このやり方では、ど
こに不正を行う連鎖組織体(chain)およびギャング(gang)のネットワークが存在するかを追跡することができる。

【００３３】図４、５、および６は、遠隔通信ネットワークにおける本発明の実施形態の動
作を示すフローチャートであり、電話番号は送信元IDおよび送信先IDを含み、送
信元ＩＤから呼を行うユーザは課金カード番号またはパーソナル番号の形をとる
ユーザに関係するコードを使用できる。課金カード番号およびパーソナル番号は
、その可搬可能性に照らしてみると遠隔通信ネットワーク内部でとくに不正行為
を受けやすいこと、およびそれらを不正に得るのが容易であることを理由として
、容疑値を実際の物理的なノード、すなわち遠隔通信ネットワーク内の番号に対
してだけでなく、ユーザに関係するコード、例えば課金カード番号、パーソナル
番号、またはネットワーク内の送信元および送信先を識別する他のエンティティ
へも割当てできることが重要である。

【００３４】段階Ｓ1では、不正管理システムは呼試行を受取る。段階Ｓ2では、呼試行と関
係付けられた課金カード番号またはパーソナル番号があるか否かが判断される。
呼に関係する番号がないとき、段階Ｓ3では送信元IDおよび送信先IDは呼情報から得られ、段階Ｓ4では送信元IDがそれと関係する容疑値をもつか否かが判断される。送信元IDがそれと関係する容疑値をもつとき、段階Ｓ5では送信先IDがそれと関係する容疑値をもつか否かが判断される。送信元IDと送信先IDの両者がそ
れと関係する容疑値をもつとき、段階Ｓ6では送信元IDと送信先IDの両者の容疑値を増加する。唯一の送信元IDがそれと関係する容疑値をもつとき、段階Ｓ7では送信元の容疑値は送信先IDと関係するように割当てられる。段階Ｓ4で送信元I
Dがそれと関係する容疑値をもたないと判断されるとき、段階Ｓ8では送信先IDが
それと関係する容疑値を有するか否かを判断し、イエスのときは、段階Ｓ9で送信先IDの容疑値の一部を送信元IDと関係するように割当てられる。送信先IDおよ
び送信元ID、またはその両者と関係する容疑値が段階Ｓ6、Ｓ7、またはＳ9で変更されると、段階Ｓ10では送信元IDまたは送信先IDに対する容疑値が閾値よりも
大きいか否かが判断される。容疑値が閾値よりも大きいときは、段階Ｓ11では高
度な不正行為が行なわれている可能性に対して、不正管理システムのオペレータ
に注意を促すように、警報を発生することができる。段階Ｓ10で閾値を越えてい
ないか、または段階Ｓ8で送信先または送信元のIDと関係している容疑値がないときは、段階Ｓ12で処理は終了する。

【００３５】段階Ｓ２で呼試行がそれと関係する課金番号およびパーソナル番号を有すると
判断されると、段階Ｓ13では課金カード番号かまたはパーソナル番号、送信元ID
および送信先IDが読取られ、段階Ｓ14では課金カード番号またはパーソナル番号
、送信元ID、および送信先IDはそれぞれ容疑値を有するか否かを判断される。イ
エスのときは、段階Ｓ15でこれらの全ての容疑値を増加する。ノーのときは、段
階16で送信元IDおよび送信先IDの両者のみが容疑値をもつか否かが判断される。
イエスのときは、段階Ｓ17で送信元IDと送信先IDの容疑値を増加し、これらの結
合された容疑の一部が課金カード番号またはパーソナル番号に割当てられる。送
信元IDおよび送信先IDの両者が容疑値をもつとき、段階Ｓ18では送信元IDと課金
カード番号かまたはパーソナル番号のみが両者とも容疑値をもつか否かが判断さ
れる。イエスのときは、段階Ｓ19では送信元IDおよび課金カード番号かまたはパ
ーソナル番号の容疑値を増加し、結合された容疑値の一部が送信先IDに割当てら
れる。段階Ｓ18で送信元IDと課金カード番号かまたはパーソナル番号との両者共
容疑値をもたないと判断されると、段階Ｓ20では送信先IDのみと課金カード番号
かまたはパーソナル番号との両者が容疑値をもつか否かが判断される。イエスの
ときは、段階Ｓ21では送信先IDと課金カード番号かまたはパーソナル番号との容
疑値を増加し、結合された容疑値は送信元IDに割当てられる。段階Ｓ20では唯一
の送信先IDのみと、課金カード番号またはパーソナル番号の両者が容疑値をもっ
ていなくても、段階Ｓ22では、送信IDまたは課金カード番号またはパーソナル番
号が容疑値を有するか否かを判断される。イエスのときは、段階Ｓ23では容疑値
の一部が容疑値をもたない他のものに割当てられる。段階Ｓ15、Ｓ17、Ｓ19、Ｓ
21、またはＳ23で容疑値が変更したとき、段階Ｓ24では課金カード番号またはパ
ーソナル番号、送信先ID、あるいは送信先IDに対する容疑値が閾値よりも大きい
か否かを判断する。イエスのときは、段階Ｓ25ではアラームを発生する。ノーの
ときは、段階Ｓ26で処理は終了する。加えて、段階Ｓ14、Ｓ16、Ｓ18、Ｓ20、お
よびＳ22において課金カード番号またはパーソナル番号、送信元ID、あるいは送
信先IDの何れもそれと関係する容疑値をもつと判断されると、段階Ｓ26で処理は
終了する。

【００３６】したがってこの実施形態では、疑わしいポイント、すなわちネットワーク内の
電話番号またはパーソナル番号、あるいはその両者間で行なわれる通信にしたが
って遠隔通信ネットワーク全体に広められる。ネットワーク内のポイントに対す
る容疑値が所定の範囲外へ移動する、すなわち閾値を越えるとき、これは、例え
ばネットワーク内でそのポイントとの間で別の呼を妨げることによって、不正管
理システムのオペレータに注意を促して、介入することができる。この方法では
、呼が完了する前にすなわち呼試行が受取られると直ぐに、その呼を禁止するこ
とができ、こうして自動的な不正防止システムを提供できる。

【００３７】図７および８は、不正呼を検知するシステムの動作を示すフローチャートであ
る。段階30ａで不正管理システムは呼試行を受取る。段階Ｓ31では呼試行と関係
する課金カード番号またはパーソナル番号があるか否かが判断される。ノーのと
きは、段階Ｓ32で、呼の送信元IDと送信先IDが判断され、段階Ｓ33で送信元IDま
たは送信先IDがそれと関係する容疑値をもつか否かが判断される。送信元IDまた
は送信先IDと関係する容疑値がないとき、段階Ｓ37で処理は終了する。送信元ID
または送信先IDと関係する容疑値があるとき、段階Ｓ34で容疑値は送信元IDまた
は送信先ID、あるいはその両者の容疑値に基づく呼に割当てられる。段階Ｓ35で
は、呼に対する容疑値が閾値よりも大きいか否かを判断される。ノーのときは、
段階Ｓ37でプロセスは終了する。呼に対する容疑値が閾値よりも高いときは、段
階Ｓ36でアラームを発生する。したがって不正管理システムのオペレータが呼を
手動で停止するか、または活動をより慎重に観察することができ、あるいは呼が
自動的に妨害されることもある。

【００３８】段階Ｓ31で呼と関係する課金カードメンバまたはパーソナル番号があると判断
されるとき、段階Ｓ39で課金カード番号またはパーソナル番号、送信元ID、およ
び端末IDを読取り、段階Ｓ40では課金カード番号かまたはパーソナル番号、送信
元IDまたは送信先IDがそれと関係する容疑値をもつか否かが判断される。ノーの
ときは、処理は段階Ｓ37で終了する。しかし容疑値をもつときは、段階Ｓ41では
容疑値は課金カード番号かまたはパーソナル番号、送信元IDまたは送信先ID、あ
るいはその両者の容疑値に基づいて呼に割当てられる。段階Ｓ42では、呼に対す
る容疑値が閾値よりも高いか否かが判断される。ノーのときは、処理が段階Ｓ37
で終了する。呼に対する容疑値が閾値よりも大きいときは、段階Ｓ36で上述のや
り方でアラームを発生する。

【００３９】この方法によって、遠隔通信ネットワークにおける呼の手動によるまたは自動
の制御が可能になる。呼がネットワーク内の非常に疑わしいポイント間で行なわ
れるとき、行なわれた呼は、必要なときに呼を禁止することができる容疑値を得
ることになる。

【００４０】図９は、あらかじめ定められた不正行為の活動に基づいてネットワーク内のあ
るポイントに対して容疑値を最初に自動的に割り当てる方法のフローチャートで
ある。段階Ｓ50では不正監理システムは、疑わしい呼に対して警報を発生する。
段階Ｓ51では送信元IDおよび送信先IDは不正管理システムの監督者（スーパーバ
イザ）に送られる。段階Ｓ52では監督者は容疑値を呼の発信元または着信先、あ
るいはその両者に割り当てることができ、段階Ｓ53では容疑値は呼の発信元また
は着信先、あるいはその両者に対する容疑者データベース内に記憶される。呼の
発信元または着信先、あるいはその両者、すなわち通信ネットワーク内のエンテ
ィティは、通信位置、通信ノード、またはユーザを識別する情報、例えば電話番
号、パーソナル番号、または課金カード番号を含むことができる。したがって次
に呼が容疑値をもつ発信元IDとの間でおこなわれるとき、上述のように疑わしい
ポイント間で行なわれる呼と同様に容疑値はネットワーク全体に行き渡るであろ
う。

【００４１】上述の実施形態において、通信は送信元から送信先へ直接に行なわれる、すな
わち遠隔通信ネットワーク内の単一のエンティティ間での直接的な通信であると
記載したが、本発明はより複雑な通信方法にも応用できる。例えば、呼は迂回し
てもよい。このような構成では、送信先のエンティティ、すなわちノードの両者
にマークを付すことができる。さらに、パーソナル番号において一人が単一の電
話番号を有し、ユーザがどこにいるかにしたがって呼が電話番号にルート設定さ
れるとき、パーソナル番号と最終的な送信先の電話番号の両者にマークを付すこ
とができる。本発明は、3以上の参加者がいるとき、例えば３者間での会話、あるいは会議呼が設定されたとき、遠隔通信ネットワーク内の不正識別に応用でき
る。

【００４２】本発明は、上述で遠隔通信ネットワークを参照して記載したが、本発明はマークを付したノード間の通信の監視を可能にし、ネットワーク内の１または複
数のマークを付したノードまたはポイントから通信のパターンを構築するネット
ワークに応用できる。この簡単なラベリング（分類）技術は、コンピュータネッ
トワークのような種々のネットワークの管理または制御に有益な情報を提供する
ことができる。この情報を使用して、例えば１つのポイントから送られているネ
ットワークトラヒックの1つのパターンを得て、効果的なネットワーク接続を設けることができる。

【００４３】本発明は上述で特定の実施形態を参照して記載したが、特許請求の範囲に記載
した本発明の技術的範囲を逸脱することなく変更を行えることは当業者に明白で
あろう。

【図面の簡単な説明】

【図１】本発明の実施形態にしたがって容疑検出システムを使用する遠隔通信ネットワ
ークの模式図。

【図２】図１の容疑検出システムの模式図。

【図３】ネットワーク全体の容疑の‘拡散’を示す模式図。

【図４】本発明の１つの実施形態にしたがう遠隔通信システム内の不正活動を監視する
方法の最初の部分を示すフローチャート。

【図５】本発明の１つの実施形態にしたがう遠隔通信システム内の不正活動を監視する
方法の図４に続く部分を示すフローチャート。

【図６】本発明の１つの実施形態にしたがう遠隔通信システム内の不正活動を監視する
方法の図５に続く部分を示すフローチャート。

【図７】本発明の実施形態にしたがう不正通信を監視する方法の最初の部分を示すフロ
ーチャート。

【図８】本発明の実施形態にしたがう不正通信を監視する方法の図７に続く部分を示す
フローチャート。

【図９】通信ネットワーク内のエンティティに対する容疑の自動的な割当てを示すフロ
ーチャート。

───────────────────────────────────────────────────── フロントページの続き (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ，ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ，ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ) ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＷ (72)発明者エドワーズ、アレキサンダー・フレーザー・マイルスイギリス国、アイピー３・８エーピー、サフォーク、イプスウイッチ、ヒルハウス・ロード８Ｆターム(参考） 5K019 AA09 AB01 AB05 BA26 BB12 BB22 BB23 BB24 CD07 DA03 DC04 5K025 AA00 EE16 EE17 EE25 JJ05 LL01 5K051 AA00 BB05 CC01 CC04 DD01 DD11 EE01 FF01

Claims

【特許請求の範囲】

【請求項１】ネットワーク上の通信パターンを監視する方法であって：通信ネットワーク内の１または複数のエンティティとマークとを関係付ける
最初の段階と；該または各マークを付されたエンティティと少なくとも１つの別のエンティ
ティとの間の通信を検出する検出段階と；該または各マークを付されたエンティティと通信する別のエンティティの各
々とマークを関係付けるマーキング段階とを含む方法。
【請求項２】前記検出段階および前記マーキング段階が複数の通信に対し
て行なわれる請求項1記載の方法。
【請求項３】各マークを付されたエンティティと関係するマークが値を有
し、前記マーキング段階が、既にマークを付されたエンティティと通信する各エ
ンティティとマーク値とを関係付けて、前記マーク値が既にマークを付されたエ
ンティティのマーク値の関数として計算される請求項１または2記載の方法。
【請求項４】前記マーキング段階が、予めマークを付したエンティティの
マーク値の一部を予めマークを付したエンティティと通信する各エンティティへ
送ることを含む請求項３記載の方法。
【請求項５】時間に関してマーク値を低減する低減段階を含む請求項３ま
たは４記載の方法。
【請求項６】前記検出段階がマークを付したエンティティ間の通信を検出
するとき、前記マークを付した段階が、エンティティと関係するマーク値の関数
として各エンティティと関係するマーク値を変更する段階を含む請求項３ないし
５の何れか1項記載の方法。
【請求項７】マークを付したエンティティ間の通信を識別する段階を含む
請求項１ないし６の何れか1項記載の方法。
【請求項８】マークを付したエントリ間の通信を識別する段階と、通信中
のマークを付したエンティティのマーク値の関数として通信に対して値を割当て
る段階とを含む請求項３ないし６の何れか1項記載の方法。
【請求項９】通信値を所定の範囲に比較する段階と、値が所定の範囲外で
あるときに信号を生成する段階とを含む請求項８記載の方法。
【請求項１０】エンティティと関係するマーク値を所定の範囲と比較する
段階と、所定の範囲外でマーク値と関係する該または各エンティティを識別する
段階とを含む請求項３、４、５、６、８または９の何れか1項記の方法。
【請求項１１】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者として通信ノードを含む請求項１ないし１０の何れか
1項記載の方法。
【請求項１２】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者としてユーザに関係するコードによって識別される目
的のユーザを含む請求項１１記載の方法。
【請求項１３】前記最初の段階で通信ネットワーク内の１または複数のエ
ンティティが最初にそれぞれ独特のマークでマークを付され、前記マーキング段
階で該または各エンティティと通信する各エンティティがそれぞれ独特のマーク
でマークを付される請求項１ないし１２の何れか1項記載の方法。
【請求項１４】マークを付したエンティティで検出された通信のそれぞれ
において各エンティティの識別子を記憶する段階を含む請求項１ないし１２の何
れか1項記載の方法。
【請求項１５】マークを付したエンティティで検出された通信のそれぞれ
において情報を記憶する段階を含む請求項１ないし１２の何れか1項記載の方法。
【請求項１６】各エンティティによる先の通信に基づく前記最初の段階に
おいて、通信ネットワーク内のいずれのエンティティがマークを付されるかを判
断する予備段階を含む請求項１ないし１５の何れか1項記載の方法。
【請求項１７】ネットワーク上の通信を監視する方法であって：通信ネットワーク内のエンティティとマークとを関係付けるマーキング段階
と；マークを付されたエンティティ間の通信を検出する検出段階と；マークを付されたエンティティ間の検出された通信を示す信号を生成する生
成段階とを含む方法。
【請求項１８】前記マーキング段階がマーク値を前記エンティティと関係
付け、前記検出段階が通信中のエンティティのマーク値を検出する段階を含み、
前記生成段階が通信に対する検出されたマーク値の関数に基づいて通信に対する
値を生成する段階を含む請求項１７記載の方法。
【請求項１９】通信値を所定の範囲と比較する段階と、前記所定の範囲外
の値を有する該または各通信を識別する段階とを含む請求項１８記載の方法。
【請求項２０】通信ネットワークのエンティティが通信の送信元または送
信先、あるいはその両者として通信ノードを含む請求項１７ないし１９の何れか
1項記載の方法。
【請求項２１】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者としてユーザに関係するコードによって識別される目
的のユーザを含む請求項２０記載の方法。
【請求項２２】ネットワーク上での通信パターンを監視する装置であって
：通信ネットワーク内の１または複数のエンティティとマークとを関係付ける
最初のマーキング手段と；該または各マークを付されたエンティティと少なくとも１つの別のエンティ
ティとの間の通信を検出する検出手段と；該または各マークを付されたエンティティと通信する各別のエンティティと
マークを関係付けるマーキング手段とを含む装置。
【請求項２３】前記検出手段および前記マーキング手段が、複数の通信に
対して前記エンティティを検出してマークを付すようにされる請求項２２記載の
装置。
【請求項２４】各マークを付したエンティティと関係するマークが値を有
し、前記マーキング手段とマーク値を予めマークを付されたエンティティと通信
する各エンティティを関係付けるようにされている請求項２２または２３記載の
装置。
【請求項２５】前記マーキング手段が予めマークを付されたエンティティ
のマーク値の一部を、予めマークを付されたエンティティと通信する各エンティ
ティへ送るようにされている請求項２４記載の装置。
【請求項２６】時間に関してマーク値を低減する手段を含む請求項２４ま
たは２５記載の装置。
【請求項２７】前記検出手段が、マークを付したエンティティ間の通信を
検出するとき、前記マーキング手段がエンティティと関係するマーク値の関数と
して各エンティティと関係するマーク値を変更するようにされている請求項２４
ないし２６の何れか1項記載の装置。
【請求項２８】マークを付されたエンティティ間の通信を識別する手段を
含む請求項２２ないし２７の何れか1項記載の装置。
【請求項２９】マークを付されたエンティティ間の通信を識別する手段と
、通信中のマークを付されたエンティティのマーク値の関数として値を識別され
た通信へ割当てる手段とを含む請求項２４ないし２７の何れか1項記載の装置。
【請求項３０】通信の値を所定の範囲と比較する手段と、値が所定の範囲
外であるときに信号を生成する手段とを含む請求項２９記載の装置。
【請求項３１】エンティティと関係するマーク値を所定の範囲と比較する
手段と、所定の範囲外でそれと関係付けられたマーク値を有する該または各エン
ティティを識別する手段とを含む請求項２４、２５、２６、２７、２９または３
０の何れか1項記載の装置。
【請求項３２】通信ネットワークのエンティティが、通信ノードと、通信
の送信元または送信先、あるいはその両者とを含む請求項２２ないし３１の何れ
か1項記載の装置。
【請求項３３】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者としてユーザに関係するコードによって識別される目
的のユーザを含む請求項３２記載の装置。
【請求項３４】前記最初のマーキング手段が最初に通信ネットワーク内の
１または複数のエンティティを各独特のマークでマークを付すようにされており
、前記マーキング手段が該または各マークを付されたエンティティと通信する各
エンティティをそれぞれ独特のマークでマークを付すようにされている請求項２
２ないし３３の何れか1項記載の装置。
【請求項３５】マークを付されたエンティティとの各検出された通信にお
いて各エンティティの識別子を記憶する手段を含む請求項２２ないし３３の何れ
か1項記載の装置。
【請求項３６】各マークを付されたエンティティとの検出された通信のそ
れぞれにおいて情報を記憶する手段をさらに含む請求項２２ないし３３の何れか
1項記載の装置。
【請求項３７】通信ネットワーク内の何れのエンティティが、前記エンテ
ィティによる先の通信に基づいて前記最初のマーキング手段によってマークを付
されることを判断する手段を含む請求項２２ないし３６の何れか1項記載の装置。
【請求項３８】ネットワーク上で通信を観察する装置であって：通信ネットワーク内のエンティティとマークとを関係付けるマーキング手段
と；マークを付されたエンティティ間の通信を検出する検出手段と；マークを付されたエンティティ間の検出された通信を示す信号を生成する生
成手段とを含む装置。
【請求項３９】前記マーキング手段が前記エンティティに対してマーク値
を関係付けるようにされており、前記検出手段が、通信中のエンティティのマー
ク値を検出するようにされており、前記生成手段が通信に対する検出されたマー
ク値の関数に基づいて通信に対する値を生成するうようにされている請求項３８
記載の装置。
【請求項４０】通信値と所定の範囲とを比較する手段と、前記所定の範囲
外の値を有する該または各通信を識別する手段とを含む請求項３９記載の装置。
【請求項４１】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者として通信ノードを含む請求項３８ないし４０の何れ
か1項記載の装置。
【請求項４２】通信ネットワークのエンティティが、通信の送信元または
送信先、あるいはその両者としてユーザに関係するコードによって識別される目
的のユーザを含む請求項４１記載の装置。