JP2007028268A - 不正パケットを送信する端末の帯域割当を制限する基地局、システム及び方法 - Google Patents

Abstract

【課題】 不正パケットを送信する端末の帯域割当を制限する基地局、システム及び帯域割当制限方法を提供する。
【解決手段】 基地局１は、端末毎に無線リンク６の帯域を割り当てる無線スケジューラ部１０２と、不正パケットの送信元アドレスを含む警告情報を受信した際に、該送信元アドレスの端末に接続する無線リンク６の帯域を減少させる帯域割当制限決定部１１とを有する。基地局と通信可能なネットワークに接続された攻撃検知装置６又はサーバ３は、不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を基地局１へ送信する。
【選択図】 図２

Description

本発明は、不正パケットを送信する端末の帯域割当を制限する基地局、システム及び方法に関する。

近年、インターネットにおいて、ウイルス又はワーム等の不正プログラムが拡がっており、ユーザが知らない間に、不正プログラムによってコンピュータが感染する場合がある。不正プログラムの代表的な動作としては、他のコンピュータに、不正プログラムを含む大量のメールを送信するものがある。また、特定のサーバに大量の不正パケットを送信し、そのサーバのサービスを停止に追い込むものもある。

感染したコンピュータが、無線リンクを介して、無線アクセスネットワーク（ＲＡＮ：Radio Access Network）に接続されている場合、無線リンク及びＲＡＮに大量の不正パケットを送信し、その無線リソース及びＲＡＮリソースを無駄に使用することとなる。

無線リンクでは、インターネットに比べて端末に割り当てられる帯域が狭いにもかかわらず、無線状況が同じような場合は、トラヒックが多い端末に対しては多くの無線リソースを割り当てる。従って、大量の不正パケットが無線リンクに流れると、他の端末には十分な帯域が割り当てられず、伝送速度が低下するという影響を受けやすい。

また、不正パケットに限られず、特定の端末が意図的に大量の正常パケットを送信する場合でも、他の端末には十分な帯域が割り当てられない。例えば、無線リンク及びＲＡＮが携帯電話通信事業者ネットワークであって、定額課金制のユーザにおいては、大量の正常パケットを送信することも想定される。

図１は、従来技術におけるシステム構成図である。

基地局１は、無線リンクを介して、例えばパーソナルコンピュータ又は携帯電話機のような端末２に接続されている。また、基地局１は、例えば携帯電話通信事業者ネットワークのような無線アクセスネットワーク４に接続されている。無線アクセスネットワーク４は、サーバ３が接続されたインターネット５にも接続されている。これにより、端末２は、無線リンク６を介して基地局１と通信し、更に無線アクセスネットワーク４及びインターネット５を介してサーバ３と通信をすることができる。

例えば携帯電話事業者ネットワークのような場合、基地局１は多数設置されている。そのため、無線アクセスネットワーク４の中の回線容量には維持コストを理由とした制限が存在する。

基地局１は、無線ＭＡＣ（Media Access Control）処理部を有し、端末２に割り当てられた帯域に応じてデータパケットの送受信を制御する。「どのスロットにどのユーザを割り当てるか」ということを決定する機能を、一般的に「無線スケジューラ」という。

無線リンクは、基地局１と複数の端末２との間でデータパケットを多重化する。多重化方式としては、ＯＦＤＭＡ（Orthogonal Frequency Division Multiplexing Access、直交波周波数分割多元接続）（例えば非特許文献１参照）や、ＴＤＭＡ（Time Division Multiple Access、時分割多重）等がある。ＴＤＭＡの場合、ある一定時間間隔をスロットという単位で区分し、１スロット当たり１ユーザしか送信を許さない。図１には、ＴＤＭＡの場合のスロット割当状態が表されている。１スロットの時間間隔は、極少時間（例えば非特許文献２によれば１／６００秒）である。このように、スロット毎に、異なるユーザを割り当てることにより、複数のユーザが送信可能となる。

無線リンクの無線リソースには、帯域又は変調方式という条件による制限がある。既存の無線スケジューラは、各端末の通信状態（無線状態又はトラヒック）に基づいて帯域割当を動的に変更する（例えば非特許文献３参照）。この場合、各端末の無線状態が同一であると仮定すると、多くのトラヒックを発生する端末に多くの帯域が割り当てられる。これは、無線リソースの有効利用という側面からは適した方法である。無線スケジューラは、どのユーザにどれくらいの帯域を割り当てるかを決定するために、収容されているユーザの通信状態を帯域毎に係数化し、係数が最も大きな（又は小さい）端末に、多くの帯域を割り当てる。

IEEE Standard for Local and metropolitan area networks Part 16、「Air Interface for Fixed Broadband Wireless Access Systems」、IEEE Std 802.16-2004、1 Oct. 2004、IEEE 「cdma2000 High Rate Packet Data Air Interface Specification」、3GPP2 C.S.0024-A Version 1.0、Mar. 2004, 3GPP2、［online］、［平成１７年６月３０日検索］、インターネット＜URL: http://www.3gpp2.org/Public_html/specs/C.S0024-A_v1.0_040331.pdf＞ A. Jalali、R.Padovani及びR.Pankaj、「Data Throughput of CDMA-HDR a High Efficiency-High Data Rate Personal Communication Wireless System」、IEEE Proc. VTC-2000 Spring Ellacoya e30スイッチ、［online］、［平成１７年６月３０日検索］、インターネット＜URL: http://www.ellacoya.com/jp/products/e30.shtml＞ BlackICE、［online］、［平成１７年６月３０日検索］、インターネット＜URL: http://www.blackice.jp/＞

不正プログラムによる感染を防ぐために、コンピュータにウイルス対策ソフトウェアを導入するという解決策がある。また、端末が大量のトラヒックを発生させないように、端末においてデータパケットの送信を制限するという解決策もある。

しかし、ウイルス対策ソフトウェアの導入／管理を全ての端末において徹底することは難しい。また、端末でトラヒックを制限する方法も、結局のところ不正プログラムを送信するようなユーザほど別の方法によって回避する。即ち、端末においてトラヒックを制限することは適当といえない。

また、端末から無線リンク及びＲＡＮを介して送信された不正パケットを、インターネットに流れる前に、攻撃検知装置又はファイアウォールによって防ぐことは可能である。しかし、無線リンク及びＲＡＮを流れる不正パケットを防ぐことはできない。即ち、無線リンクでは無線リソース、ＲＡＮでは回線帯域が有限であるにも関わらず、大量の不正パケットによって無線リソース、回線リソースが無駄に消費されることとなる。

従って、本発明は、不正パケットを送信する端末の帯域割当を制限する基地局、システム及び帯域割当制限方法を提供することを目的とする。

本発明の基地局によれば、
端末毎に無線リンクの帯域を割り当てる無線スケジューラ手段と、
不正パケットの送信元アドレスを含む警告情報を受信した際に、該送信元アドレスの端末に接続する無線リンクの帯域を減少させる帯域割当制限決定手段と
を有することを特徴とする。

本発明の基地局における他の実施形態によれば、
帯域割当制限決定手段は、
補正係数Ｘ’＝攻撃係数×攻撃継続時間
によって導出された補正係数Ｘ’を無線スケジューラ手段へ通知し、
無線スケジューラ手段は、ある係数Ｘの大きさに基づいて帯域を割り当てるように構成されており、
係数Ｘに補正係数Ｘ’を補正することで、帯域割当制限をし、
攻撃係数は、不正パケットの種別に応じて、攻撃度の高い不正パケットほど大きい値となる予め決定された係数であり、
攻撃継続時間は、不正パケットが送信されている継続時間である
ことも好ましい。

本発明の無線リンクの帯域割当制限システムによれば、
前述した基地局と、該基地局と通信可能なネットワークに接続された攻撃検知装置とを有しており、
攻撃検知装置は、不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を基地局へ送信することを特徴とする。

本発明の無線リンクの帯域割当制限システムによれば、
前述した基地局と、該基地局と通信可能なネットワークに接続されたサーバとを有しており、
サーバは、不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を基地局へ送信することを特徴とする。

本発明の帯域割当制限方法によれば、
基地局と、該基地局と通信可能なネットワークに接続された攻撃検知装置とを有するシステムにおける帯域割当制限方法であって、
攻撃検知装置が、不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を基地局へ送信する第１のステップと、
警告情報を受信した際に、送信元アドレスの端末に接続する無線リンクの帯域を減少させる第２のステップと
を有することを特徴とする。

本発明の帯域割当制限方法における他の実施形態によれば、
第２のステップは、
補正係数Ｘ’＝攻撃係数×攻撃継続時間
によって導出された補正係数Ｘ’を無線スケジューラ手段に通知し、
無線スケジューラ手段は、ある係数Ｘの大きさに基づいて帯域を割り当てるようになされており、
係数Ｘに補正係数Ｘ’を補正することで、帯域割当制限をし、
攻撃係数は、不正パケットの種別に応じて、攻撃度の高い不正パケットほど大きい値となる予め決定された係数であり、
攻撃継続時間は、不正パケットが送信されている継続時間である
ことも好ましい。

本発明によれば、大量の不正パケットを送信する端末に対する帯域割当を減少させることができるので、無線リンク及びＲＡＮにおける、無線及び回線リソースの有効活用が可能となる。既存の攻撃検知装置は、有線ネットワークに備えられる。従って、無線リンクに接続された端末によって送信される不正パケットは、有線ネットワークに到達するまで制限できず、ＲＡＮにおける無線リソースを無駄に消費することとなっていた。これに対し、本発明によれば、不正パケットを送信する端末に対して、基地局の無線スケジューラによって帯域割当を制限することができるので、物理的に無線リソースを使わせないという制限が可能となり、正常パケットを送信する他の端末に無線リソースを割り当てることが可能となる。

また、本発明によれば、帯域割当を徐々に減少させることができるので、攻撃検知装置が誤検知をした場合であっても、その端末に対する帯域割当を直ぐに制限することはない。攻撃を検知した場合でも攻撃継続時間を考慮することにより、徐々に帯域割当を制限していくことができる。本来の不正パケットの場合は攻撃継続時間が長くなる場合が多く、誤検知の場合には攻撃継続時間が長くなる場合は少ない。

このように、本発明は、有線ネットワークにおける不正パケットの検知を、端末と無線リンクを接続する基地局の無線スケジューラへフィードバックし、基地局が、無線リンクの帯域割当を制限する。これにより、不正パケットを送信する端末に対しては、物理的に無線リソースを使用させることなく、ネットワーク全体における無線リソースの有効活用を提供することができる。

以下では、本発明を実施するための最良の形態について説明する。

図２は、本発明におけるシステム構成図である。

図２によれば、図１と比較して、インターネット５と無線アクセスネットワークＲＡＮ４との間に、攻撃検知装置６が接続されている。攻撃検知装置は、ＩＤＳ（Intrusion Detection System）とも称される。これは、ネットワーク間のゲートウェイ又はファイアウォールに搭載される攻撃検知ソフトウェアによって実現される（例えば非特許文献４及び５参照）。

攻撃検知装置６は、ネットワークを流れるデータパケットを監視し、不正パケットを検知したときにアラーム（警告情報）を通知する。攻撃検知装置が検知する不正パケットとは、例えば、ウイルス、ワーム又はユーザの意図的な行動等による、特徴的な大量の不正パケットの連続的な送信である。

攻撃検知装置６は、インターネット５から来る大量の不正パケットに対しては、ＲＡＮ４に流れ込む前に制限する。一方で、攻撃検知装置６は、ＲＡＮ４からインターネット５へ流れる大量の不正パケットを検知した際に、その不正パケットを送信した基地局１へアラームを送信する。例えば、大量の不正パケットの送信元アドレスへそのアラームを送信することより、その不正パケットを送信した基地局１へ返信することができる。

基地局１は、無線ＭＡＣ処理部１０と、帯域割当制限決定部１１とを有する。無線ＭＡＣ処理部１０は、既存の無線基地局に搭載される物理レイヤの処理を行う。無線ＭＡＣ処理部１０は、データパケット転送部１０１と、無線スケジューラ部１０２とを有する。

データパケット転送部１０１は、有線接続されたＲＡＮと無線接続された端末との間でデータパケットを転送する。また、データパケット転送部１０１は、攻撃検知装置６から送信されたアラームを認識し、そのアラームの情報を帯域割当制限決定部１１へ通知する。

無線スケジューラ部１０２は、スロットに割り当てるユーザを決定する。多くの帯域を割り当てられたユーザには、多くのスロットが割り当てられる。無線スケジューラ部１０２は、帯域割当制限決定部１１から通知されるユーザ毎の係数に基づいて、ユーザ毎に割り当てる帯域を決定する。

帯域割当制限決定部１１は、無線ＭＡＣ処理部１０から通知されたアラームに基づいて、帯域割当の制限を決定する。どの端末の帯域を制限すべきかについては、アラームに含まれる、不正パケットを送信した端末のＩＰアドレスから認識することができる。

ここで、帯域割当制限決定部１１は、攻撃検知装置６から当該端末に対するアラームを受信した場合、当該端末に対する帯域を直ぐに零にすることが好ましい。しかしながら、既存の攻撃検知装置は、大量の不正パケットであると検知したにもかかわらず、本来は不正なものでないという誤検知をする場合がある。そこで、本発明によれば、検知された不正パケットの不正度合い（攻撃度）と、そのような状態が継続する時間とを考慮して、徐々に帯域割当を制限することができる。攻撃度とは、その不正パケットによって他の端末が影響を受ける度合いを、その不正パケットの種別毎に予め決定したものである。攻撃度が高ければ継続時間が短くても、早急に帯域割当を制限する。一方、攻撃度が短ければその継続時間に応じて帯域割当を制限する。

ここでは、非特許文献３に記載されている無線スケジューラ部に、本発明を適用した場合の具体例を述べる。

非特許文献３の無線スケジューラ部では、第１のステップとして、通信状態（無線状態又はトラヒック）から導出される係数（係数Ｘ）の大きいユーザに、多くの帯域を割り当てる。当該端末に対して、以下の式（１）によって係数Ｘを導出することができる。
係数Ｘ＝端末に対する送信可能帯域Ｄ／端末の送信スループットＴ 式（１）

「送信可能帯域Ｄ」とは、当該端末の現在の無線状態において送信可能な帯域をいう。「送信スループットＴ」とは、当該端末が現在送信している送信スループットをいう。そして、係数Ｘの大きい端末ほど、多くの帯域が割り当てられる。この計算は、端末毎にかつ１タイムスロット毎に行われる。

以下の表１は、送信可能帯域Ｄ及び送信スループットＴから導出された係数Ｘにおける具体的な数値例である。ここでは、係数Ｘが最も大きい端末Ｄに、最も多くの帯域が割り当てられることになる。

第２のステップとして、攻撃検知装置６から端末Ｄに対するアラームが基地局１に通知されたとする。即ち、最も多くの帯域が割り当てられた端末Ｄから送信されるデータパケットが、不正なものであったと仮定する。

また、不正パケットの攻撃係数が３であったとする。攻撃係数は、不正パケットの種別毎に、その攻撃度に応じて予め決定されたものであって、検知された大量の不正トラヒックが無線リンクに与える影響の大きさを表す係数である。即ち、攻撃度が高いトラヒックほど、その攻撃係数は高くなり、帯域割当が制限されることになる。

更に、その攻撃継続時間が１分であったとする。継続時間係数は、その状況が継続している時間を示す係数であり、継続時間が長いほど、値は大きくなる。継続時間が長いほど、攻撃による影響が大きくなるため、帯域割当が制限されることになる。あるユーザが複数の不正パケットを送信している場合、これらの係数を乗算した値を複数減算することになる。

本発明によれば、補正係数Ｘ’は以下の式（２）によって計算される。
補正係数Ｘ’＝攻撃係数×攻撃継続時間 式（２）
補正係数Ｘ’を非特許文献３の無線スケジューラ部に適用した場合、補正後係数Ｙは、以下の式（３）によって計算される。
補正後係数Ｙ＝係数Ｘ−補正係数Ｘ’ 式（３）

以下の表２は、表１に対する補正後の係数である。

表２によれば、最も大きな補正後係数３である端末Ａに、最も多くの帯域が割り当てられる。補正係数Ｘ’を用いることにより、正常パケットが不正パケットと誤検知された場合であっても、その継続時間を考慮することによって、影響が大きい不正パケットかどうかを判定しつつ、帯域割当を制限することができる。

前述した実施形態によれば、該基地局と通信可能なインターネットに接続された攻撃検知装置からのアラームによって、基地局がその端末に対する帯域割当を制限するものである。しかしながら、基地局が受信するアラームは、攻撃検知装置から送信されるものに限られない。

例えば、図２によれば、サーバ３がインターネット６に接続されている。この場合、サーバ３が、端末２から大量の不正パケットの攻撃を受けた場合、過負荷状態となってサービスを提供できなくなる。また、端末２から送信されるデータパケットが、正常パケットであっても大量である場合、同様に、サーバ３は、過負荷状態となってサービスを提供できない。この場合、端末２から送信されたその正常パケットは、結局のところサーバ３によって処理をすることができない。そうすると、その正常パケットに無線リソースを多く割り当てることは無駄となる。これらの場合、前述した攻撃検知装置と同様に、サーバ３が警告情報を送信することにより、基地局３が、端末２に対する帯域割当を制限することができる。

本発明は、例えば、ＥＶ−ＤＯ又はＩＥＥＥ８０２．１６の基地局における無線スケジューラにも適用することができる。ＥＶ−ＤＯは、ｃｄｍａ２０００規格に含まれるデータ通信専用の技術仕様であり、１．２５ＭＨｚ帯を用いて最高２．４Ｍｂｐｓのデータ通信を可能とする方法である。また、前述した実施形態によれば、基地局は、無線リンクを介して直接的に端末に接続されているけれども、もちろん中継局であってもよい。

前述した本発明における種々の実施形態において、本発明の技術思想及び見地の範囲の種々の変更、修正及び省略は、当業者によれば容易に行うことができる。前述の説明はあくまで例であって、何ら制約しようとするものではない。本発明は、特許請求の範囲及びその均等物として限定するものにのみ制約される。

従来技術のシステム構成図である。 本発明におけるシステム構成図である。

符号の説明

１ 基地局
１０ 無線ＭＡＣ処理部
１０１ データパケット転送部
１０２ 無線スケジューラ
１１ 帯域割当制限決定部
２ 端末
３ サーバ
４ 無線アクセスネットワーク
５ インターネット
６ 無線リンク

Claims (6)

1. 端末毎に無線リンクの帯域を割り当てる無線スケジューラ手段と、
   不正パケットの送信元アドレスを含む警告情報を受信した際に、該送信元アドレスの端末に接続する無線リンクの帯域を減少させる帯域割当制限決定手段と
   を有することを特徴とする基地局。
2. 前記帯域割当制限決定手段は、
   補正係数Ｘ’＝攻撃係数×攻撃継続時間
   によって導出された補正係数Ｘ’を前記無線スケジューラ手段へ通知し、
   前記無線スケジューラ手段は、ある係数Ｘの大きさに基づいて帯域を割り当てるように構成されており、
   係数Ｘに補正係数Ｘ’を補正することで、帯域割当制限をし、
   前記攻撃係数は、前記不正パケットの種別に応じて、攻撃度の高い不正パケットほど大きい値となる予め決定された係数であり、
   前記攻撃継続時間は、前記不正パケットが送信されている継続時間である
   ことを特徴とする請求項１に記載の基地局。
3. 請求項１又は２に記載の基地局と、該基地局と通信可能なネットワークに接続された攻撃検知装置とを有しており、
   前記攻撃検知装置は、前記不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を前記基地局へ送信することを特徴とする無線リンクの帯域割当制限システム。
4. 請求項１又は２に記載の基地局と、該基地局と通信可能なネットワークに接続されたサーバとを有しており、
   前記サーバは、前記不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を前記基地局へ送信することを特徴とする無線リンクの帯域割当制限システム。
5. 基地局と、該基地局と通信可能なネットワークに接続された攻撃検知装置とを有するシステムにおける帯域割当制限方法であって、
   前記攻撃検知装置が、前記不正パケットを検出し、該不正パケットの送信元アドレスを含む警告情報を前記基地局へ送信する第１のステップと、
   前記警告情報を受信した際に、前記送信元アドレスの端末に接続する無線リンクの帯域を減少させる第２のステップと
   を有することを特徴とする帯域割当制限方法。
6. 前記第２のステップは、
   補正係数Ｘ’＝攻撃係数×攻撃継続時間
   によって導出された補正係数Ｘ’を無線スケジューラ手段に通知し、
   無線スケジューラ手段は、ある係数Ｘの大きさに基づいて帯域を割り当てるようになされており、
   係数Ｘに補正係数Ｘ’を補正することで、帯域割当制限をし、
   前記攻撃係数は、前記不正パケットの種別に応じて、攻撃度の高い不正パケットほど大きい値となる予め決定された係数であり、
   前記攻撃継続時間は、前記不正パケットが送信されている継続時間である
   ことを特徴とする請求項５に記載の帯域割当制限方法。

Images