JP2010514248A - 点対点トンネリング通信のための侵入防止装置及び方法 - Google Patents

Abstract

【解決手段】本発明は、点対点トンネリングパケットデータに対して非正常なトラフィックを探知し、その侵入を防止する方法であって、トンネリングパケットデータをＩＰパケットデータに復元し、このＩＰパケットデータに対して非正常なトラフィックであるか否かを判別した後、ＩＰパケットデータが非正常なトラフィックであると判断されれば上記トンネリングパケットデータを廃棄し、ＩＰパケットデータが正常なトラフィックであると判断されれば上記トンネリングパケットデータを他のネットワークノードに伝送することを特徴とする。

Description

本発明は、移動通信網での点対点（ｐｏｉｎｔ‐ｔｏ‐ｐｏｉｎｔ）トンネリング通信に関するものであって、より詳しくは、移動通信端末間に伝送されるトンネリングパケットデータに対して非正常なトラフィックをモニタリングし、遮断する装置及び方法に関する。

ＩＰデータ網保安システムの中で侵入防止システム（ＩＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｐｒｏｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）は、潜在的な脅威を認知した後これに即刻対応をするためのネットワーク保安技術のうち予防的次元の接近方式に該当する。ＩＰＳも侵入探知システムであるＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｎｇ Ｓｙｓｔｅｍ）と同様に、ネットワークトラフィックを監視する。

攻撃者が内部の権限を獲得してからはシステムの悪意的利用が非常に速く進行され得るので、ＩＰＳもネットワーク管理者が設定しておいた一連の規則に基づいて即刻行動を取ることができる能力を持っていなければならない。このため、ＩＰＳは、ある一つのパケットを検査してそれが不当なパケットであると判断されれば、該当のＩＰまたはポートから入ってくるすべてのトラフィックを封鎖する一方、合法的なトラフィックに対しては何の妨害やサービスの遅延なく受信側に伝達する。

このような侵入防止システム（ＩＰＳ）は、バックボーンスイッチとホストコンピュータとの間に位置し、非正常なＩＰパケットデータを遮断する機能を行う。従って、移動通信網で着・発信端末間に直接伝送される点対点トンネリングパケットデータの場合にはＩＰ網を経由しないので、非正常なトラフィックの攻撃から無防備状態に置かれている。

特許文献１（韓国公開特許公報第２００６‐１１８８３０号）には、非同期式移動通信網（ＷＣＤＭＡ網）のＳＧＳＮとＧＧＳＮとの間に送・受信されるパケットデータを信号パケットとデータパケットとに分割し、信号パケットをさらにソースごとに分類して不要な信号パケットや故意的な信号パケットを除去することで、故意的で且つ悪意的な信号パケットや非正常状態の信号パケットが多量受信されることを防止する装置及び方法を開示する。

しかし、特許文献１の方法は、パケットデータを信号パケットとデータパケットとに分割しなければならず、信号パケットはまたそのソースごとに分類しなければならないので、非正常なトラフィックを探知する手続きが複雑である。また、非正常なトラフィックを探知するにおいて、信号パケットとデータパケットとを比較するか、設定された臨界値と比較して異常であるか否かを判別するので、多様な有害情報の監視や遮断は困難である。

韓国公開特許公報第２００６‐１１８８３０号

本発明は、移動通信網の点対点トンネリングパケットに対して侵入防止機能を提供することを目的とする。

また本発明は、ＩＰパケットに使用される有害トラフィック判断政策をそのまま移動通信網のトンネリングパケットに適用することを他の目的とする。

また本発明は、非同期式移動通信網だけでなく同期式移動通信網にも適用できる侵入防止システムを構築することをまた他の目的とする。

本発明の他の目的及び長所は以下に説明し、本発明の実施によって分かるであろう。また、本発明の目的及び長所は添付した特許請求の範囲に示された手段及び組み合わせによって実現できる。

上述の目的を達成するための本発明による一様態としての、移動通信網に位置し移動通信端末間の点対点トンネリングパケット通信に対して侵入防止機能を実現する侵入防止装置は、移動通信端末間に伝送されるトンネリングパケットデータからＩＰパケットデータを復元する復元手段；上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別手段；及び上記ＩＰパケットデータが非正常なトラフィックであると判断されれば、上記トンネリングパケットデータを廃棄する手段を含む。

また、上記侵入防止装置は、上記判別手段で上記ＩＰパケットデータを正常なトラフィックであると判断すれば、上記トンネリングパケットデータを次のネットワーク要素に伝送する手段をさらに含む。

また、上記侵入防止装置は、多数の非正常なトラフィックパターン情報を貯蔵し管理する有害情報データベースをさらに含むことができ、これによって上記判別手段は、上記有害情報データベースを参照して上記ＩＰパケットデータが非正常なトラフィックであるか否かを判別する。

上記復元手段は、上記トンネリングパケットデータをデカプセル化（ｄｅｃａｐｓｕｌａｔｉｏｎ）するためのデカプセル化手段；及び上記トンネリングパケットデータのペイロード（ｐａｙｌｏａｄ）を統合する統合手段を含む。また、上記復元手段は、上記トンネリングパケットデータの圧縮を解除するための圧縮解除手段をさらに含むことができる。

本発明の他の様態による移動通信端末間の点対点トンネリング通信を行うパケットデータ伝送システムは、アクセス網とのトンネリングパケット通信を支援する第１ネットワークノード；他のパケット交換網との連結を支援する第２ネットワークノード；及び上記第１ネットワークノードと第２ネットワークノードとの間に位置して、交換されるトンネリングパケットデータをＩＰパケットデータに復元し、復元されたＩＰパケットデータが非正常なトラフィックである場合上記トンネリングパケットデータを廃棄する侵入防止装置；を含む。

このとき、上記侵入防止装置は、上記トンネリングパケットデータからＩＰパケットデータを復元する復元手段；上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別手段；及び上記ＩＰパケットデータが非正常なトラフィックであると判断されれば、上記トンネリングパケットデータを廃棄する手段を含む。

また、上記侵入防止装置は、上記判別手段で上記ＩＰパケットデータを正常なトラフィックであると判断すれば、上記トンネリングパケットデータを第１ネットワークノードまたは第２ネットワークノードに伝送する手段をさらに含む。

このとき、上記第１ネットワークノードは、ＰＣＦ（Ｐａｃｋｅｔ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ）またはＳＧＳＮ（Ｓｅｒｖｉｎｇ ＧＰＲＳ Ｓｕｐｐｏｒｔｉｎｇ Ｎｏｄｅ）であり、上記第２ネットワークノードは、ＰＤＳＮ（Ｐａｃｋｅｔ Ｄａｔａ Ｓｅｒｖｉｎｇ Ｎｏｄｅ）またはＧＧＳＮ（Ｇａｔｅｗａｙ ＧＰＲＳ Ｓｕｐｐｏｒｔｉｎｇ Ｎｏｄｅ）である。

本発明のまた他の様態としての、移動通信端末間の点対点トンネリングパケットデータに対して非正常なトラフィックを探知し、遮断する侵入防止方法は、上記トンネリングパケットデータをＩＰパケットデータに復元する復元段階；上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別段階；及び上記判別段階で上記ＩＰパケットデータが非正常なトラフィックであると判断されれば上記トンネリングパケットデータを廃棄し、上記ＩＰパケットデータが正常なトラフィックであると判断されれば上記トンネリングパケットデータを他のネットワークノードに伝送するパケット処理段階を含む。

このとき、上記復元段階は、上記トンネリングパケットデータをデカプセル化するためのデカプセル化段階；及び上記トンネリングパケットデータのペイロードを統合する統合段階を含む。

上記トンネリングパケットデータがＶＪＣ（Ｖａｎ Ｊａｃｏｂｓｏｎ ｃｏｍｐｒｅｓｓｉｏｎ）圧縮されたＧＲＥ（Ｇｅｎｅｒｉｃ Ｒｏｕｔｉｎｇ Ｅｎｃａｐｓｕｌａｔｉｏｎ）パケットデータである場合、上記復元段階は、上記トンネリングパケットデータの圧縮を解除するための圧縮解除段階をさらに含む。

本明細書に添付される下記の図面は本発明の望ましい実施例を例示するものであって、発明の詳細な説明とともに本発明の技術思想をさらに理解させる役割を果たすものであるため、本発明はそのような図面に記載された事項にのみ限定されて解釈されてはいけない。
本発明による侵入防止機能を行うトンネリングパケット伝送システムのブロック構成図である。 上記図１のシステムに適用される侵入防止システムの内部ブロック構成図である。 図３の（ａ）及び図３の（ｂ）は、ＣＤＭＡ‐２０００に基づくＧＲＥパケットデータからＩＰパケットデータを復元する状態図である。 図４の（ａ）及び図４の（ｂ）は、ＷＣＤＭＡに基づくＧＴＰパケットデータからＩＰパケットデータを復元する状態図である。 本発明による点対点トンネリングパケットデータの侵入防止機能を説明するためのデータ流れ図である。

以下、添付した図面を参照しながら本発明の望ましい実施例を詳しく説明する。

図１は、本発明による侵入防止機能を行うトンネリングパケット伝送システムのブロック構成図である。

図１を参照すれば、本発明のパケット伝送システムは、移動通信端末１０、アクセス網１００、コア網２００、ＩＰ網３００及びインターネット網４００を含む。図１のアクセス網１００とコア網２００とからなる移動通信網は、非同期式移動通信網（ＧＳＭ、ＷＣＤＭＡ）または同期式移動通信網（ＣＤＭＡ、ＣＤＭＡ２０００ ＥＶ‐ＤＯ）がすべて可能である。

上記移動通信端末１０は、上記移動通信網を通じて他の移動通信端末と点対点トンネリングパケット通信を行うモバイル情報通信端末であって、例えば、同期式または非同期式移動電話端末、ＰＤＡ、無線通信が可能なノートＰＣ、ＤＭＢフォンなどをすべて含む。

上記アクセス網１００は、トンネリングパケット通信時に移動通信端末１０とコア網２００とをインターフェースするものであって、ＷＣＤＭＡではノード Ｂ（Ｎｏｄｅ Ｂ）とＲＮＣ（Ｒａｄｉｏ Ｎｅｔｗｏｒｋ Ｃｏｎｔｒｏｌｌｅｒ）とからなり、ＣＤＭＡ２０００ではＢＴＳ（Ｂａｓｅ Ｔｒａｎｃｅｉｖｅｒ Ｓｔａｔｉｏｎ）とＲＮＣ（Ｒａｄｉｏ Ｎｅｔｗｏｒｋ Ｃｏｎｔｒｏｌｌｅｒ）とからなる。

また、上記コア網２００は、加入者の呼処理、セッション管理、移動性制御、そして網内のスイッチングなどと関連したすべての網構成要素を含む。特に、本発明のコア網２００には、図２に示した構成の侵入防止システム２５０が位置している。

この侵入防止システム２５０は、アクセス網から伝達されるトンネリングパケットの非正常なトラフィック（または有害トラフィック）を探知し、遮断するためのネットワーク要素であって、コア網２００のどこに配置しても構わない。但し、図１のように、コア網２００の第１パケット支援ノード２１０と第２パケット支援ノード２６０との間に介在されることが望ましい。

図１のシステムがＷＣＤＭＡに基づく場合、上記第１パケット支援ノード２１０はＳＧＳＮ（Ｓｅｒｖｉｎｇ ＧＰＲＳ Ｓｕｐｐｏｒｔｉｎｇ Ｎｏｄｅ）であり、上記第２パケット支援ノード２６０はＧＧＳＮ（Ｇａｔｅｗａｙ ＧＰＲＳ Ｓｕｐｐｏｒｔｉｎｇ Ｎｏｄｅ）である。

上記ＳＧＳＮは、アクセス網１００に向かうパケット交換サービスを管理、支援するネットワーク要素であって、パケット交換サービスを提供受ける移動通信端末の移動性管理のために、ルーティング領域更新、位置情報登録、呼出しなどの機能を行う。

上記ＧＧＳＮは、パケット交換領域をＩＰ網３００やインターネット網４００のような他のパケット交換網に連結させるネットワーク要素である。

一方、図１のシステムがＣＤＭＡ‐２０００に基づく場合、上記第１パケット支援ノード２１０はＰＣＦ（Ｐａｃｋｅｔ Ｃｏｎｔｒｏｌ Ｆｕｎｃｔｉｏｎ）であり、上記第２パケット支援ノード２６０はＰＤＳＮ（Ｐａｃｋｅｔ Ｄａｔａ Ｓｅｒｖｉｎｇ Ｎｏｄｅ）である。

ここで、上記ＰＣＦは、アクセス網１００及びＰＤＳＮと連結されてＰＤＳＮとの接続を設定／維持／解除する機能を行い、アクセス網にパケットデータ伝送のための無線資源割当を要求し、課金情報を収集してＰＤＳＮに伝送するネットワーク要素である。

上記ＰＤＳＮは、アクセス網１００から伝達受けたパケットデータをＩＰ網３００やインターネット網４００のような他のパケット交換網に伝送するネットワーク要素である。

上記ＩＰ網３００は、コア網２００の第２パケット支援ノード２６０、インターネット網４００及びその他ネットワーク要素（例えば、Ｈｏｍｅ Ａｇｅｎｔ、ＳＩＰサーバーなど）を連結するための網であって、ＩＰ網３００に連結されたすべての構成要素間のデータ伝送を中継する役割をする。

上記インターネット網４００は、ＴＣＰ／ＩＰプロトコル及びその上位階層に存在する多くのサービス、すなわち、ＨＴＴＰ、Ｔｅｌｎｅｔ、ＦＴＰ、ＤＮＳ、ＳＭＴＰ、ＳＮＴＰ、ＮＦＳ及びＮＩＳを提供する全世界的な開放型コンピュータネットワーク構造を意味する。

次いで、図２を参照しながら上記侵入防止システム２５０の具体的な構成を説明する。

望ましくは、上記侵入防止システム２５０は、コア網２００の第１パケット支援ノード２１０と第２パケット支援ノード２６０との間に位置してアクセス網１００から伝達されるトンネリングパケットデータと他の移動通信端末から伝達されるトンネリングパケットデータとから非正常なトラフィックを監視し、遮断する役割をする。

このような役割を果たすため、上記侵入防止システム２５０は、トンネリングパケット送受信部２５１、ＩＰパケット生成部２５２、非正常なトラフィック探知及び処理部２５３及び有害情報データベース２５４を含む。

上記トンネリングパケット送受信部２５１は、第１パケット支援ノード２１０からアクセス網１００を経由して伝達されるトンネリングパケットデータ（例えば、ＧＲＥ／ＶＪＣパケットまたはＧＴＰパケット）を受信し、非正常なトラフィック探知及び処理部２５３の指示に従って上記トンネリングパケットデータを廃棄するか第２パケット支援ノード２６０に送信する役割をする。

上記ＩＰパケット生成部２５２は、上記トンネリングパケット送受信部２５１に受信されたトンネリングパケットデータ３０、４０、５０、６０を図３の（ａ）ないし図４の（ｂ）のようにＩＰパケットデータ３１、４１、５１、６１に復元した後、非正常なトラフィック探知及び処理部２５３に伝達する。

上記非正常なトラフィック探知及び処理部２５３は、上記ＩＰパケット生成部２５２から伝達受けたＩＰパケットデータ３１、４１、５１、６１に非正常なトラフィック（例えば、ワーム／ウイルス、ＵＤＰ Ｆｌｏｏｄｉｎｇ、ＩＰ Ｓｐｏｏｆｉｎｇ、ＤｏＳトラフィックなど）が存在するか否かをモニタリングする。モニタリングの結果、ＩＰパケットデータ内に非正常なトラフィックが存在する場合上記トンネリングパケット送受信部２５１に該当のトンネリングパケットの廃棄を指示し、非正常なトラフィックが存在しない場合には該当のトンネリングパケットの正常な伝送を指示する。

上記有害情報データベース２５４は、既存に発見された非正常なトラフィックパターンや運用者によって設定された非正常なトラフィックパターンを貯蔵し管理する。この有害情報データベース２５４は周期的にまたはイベントに応じて非正常なトラフィックパターンのアップデートが可能である。上記非正常なトラフィックパターン（例えば、ワーム、ウイルス、ＵＤＰ Ｆｌｏｏｄｉｎｇ、ＩＰ Ｓｐｏｏｆｉｎｇ、ＤｏＳ トラフィックなど）は外部攻撃による非正常なトラフィックパターンを含む。

このように、本発明の侵入防止システム２５０は、トンネリングパケットデータをＩＰパケットデータに復元するので、既存のＩＰパケットデータに対するＩＰＳと同一の判断政策を使用して非正常なトラフィックを探知することができる。

以下、図３の（ａ）ないし図４の（ｂ）を参照しながら点対点トンネリングパケットデータからＩＰパケットデータを復元するメカニズムをより詳しく説明する。

まず、図３の（ａ）を参照しながら侵入防止システムのＩＰパケット生成部２５２がＣＤＭＡ‐２０００に基づくＧＲＥ／ＶＪＣパケットデータからＩＰパケットデータを復元する原理を説明する。

侵入防止システム２５０のトンネリングパケット送受信部２５１から伝達されるＧＲＥ／ＶＪＣパケットデータ３０は、データフレーム内に追加的なヘッダーが添付されてカプセル化され、ＶＪＣ圧縮されている。また、ＧＲＥ／ＶＪＣパケットデータ３０のＴＣＰペイロード内にはワーム／ウイルスが存在する。

ＩＰパケット生成部２５２は、上記ＧＲＥ／ＶＪＣパケットデータ３０をデカプセル化してＩＰパケットデータのためのＩＰヘッダー及びＴＣＰヘッダーを生成する。また、ＧＲＥ／ＶＪＣパケットデータのＶＪＣ圧縮を解除し（ＶＪＣ Ｄｅｃｏｍｐｒｅｓｓｉｏｎ）、ＴＣＰペイロードを統合してＩＰパケットデータ３１を復元する。従って、復元されたＩＰパケットデータ３１のＴＣＰペイロード内にもワーム／ウイルスが存在することになる。

このように復元されたＩＰパケットデータ３１は上記非正常なトラフィック探知及び処理部２５３に伝達され、非正常なトラフィック探知及び処理部２５３は復元されたＩＰパケットデータ３１のペイロード内のワーム／ウイルスのパターン情報、ポート情報、時間当発生回数などを判断して非正常なトラフィックであるか否かを判別する。

図３の（ｂ）にはＣＤＭＡ‐２０００に基づくＧＲＥパケットデータ４０とこのパケットデータから復元されたＩＰパケットデータ４１のフォーマットが示されている。

侵入防止システムのトンネリングパケット送受信部２５１から伝達されるＧＲＥパケットデータ４０は、データフレーム内に追加的なヘッダーが添付されカプセル化されている。また、上記ＧＲＥパケットデータ４０のＵＤＰペイロード内にはワーム／ウイルスが存在する。

ＩＰパケット生成部２５２は、図３の（ｂ）のＧＲＥパケットデータ４０をデカプセル化してＩＰパケットデータのＩＰヘッダー及びＵＤＰヘッダーを生成し、ＵＤＰペイロードを統合してＩＰパケットデータ４１を復元する。従って、復元されたＩＰパケットデータのＵＤＰペイロード内にもワーム／ウイルスが存在することになる。

次いで、図４の（ａ）及び図４の（ｂ）は、ＷＣＤＭＡに基づくＧＴＰ（ＧＰＲＳ Ｔｕｎｎｅｌｉｎｇ Ｐｒｏｔｏｃｏｌ）パケットデータ５０、６０と、このパケットデータから復元されたＩＰパケットデータ５１、６１のフォーマットを示している。

侵入防止システムのトンネリングパケット送受信部２５１から伝達されるＧＴＰパケットデータ５０、６０は、データフレーム内に追加的なヘッダーが添付されカプセル化されている。また、ＧＴＰパケットデータ５０、６０のＴＣＰペイロード内にはワーム／ウイルスが存在する。

ＩＰパケット生成部２５２は、図４の（ａ）及び図４の（ｂ）のＧＴＰパケットデータ５０、６０をデカプセル化してＩＰパケットデータのＩＰヘッダー（または内部ＩＰヘッダー）及びＴＣＰヘッダーを生成し、ＴＣＰペイロードを統合してＩＰパケットデータ５１、６１を復元する。従って、復元されたＩＰパケットデータのＴＣＰペイロード内にもワーム／ウイルスが存在することになる。

このように復元されたＩＰパケットデータ５１、６１は上記非正常なトラフィック探知及び処理部２５３に伝達され、非正常なトラフィック探知及び処理部２５３は復元されたＩＰパケットデータ５１、６１のペイロード内のワーム／ウイルスのパターン情報、ポート情報、時間当発生回数などを判断して非正常なトラフィックであるか否かを判別する。
次いで、図５を参照しながら本発明によるトンネリングパケットデータの伝送方法を詳しく説明する。

移動通信端末１０から点対点トンネリングパケットデータ（例えば、ＧＲＥ／ＶＪＣパケットデータまたはＧＴＰパケットデータ）を受信したコア網２００の第１パケット支援ノード２１０は、このトンネリングパケットデータを侵入防止システム２５０のトンネリングパケット送受信部２５１に伝達する（Ｓ１００、Ｓ２００）。

侵入防止システム２５０のＩＰパケット生成部２５２は、上記トンネリングパケットデータ３０、４０、５０、６０に対してデカプセル化、圧縮解除及びペイロード統合のうち少なくとも何れか一つの処理を行うことによって、図３の（ａ）ないし図４の（ｂ）のように、ヘッダー部（ＩＰヘッダー‐ＴＣＰヘッダーまたはＩＰヘッダー‐ＵＤＰヘッダー）と、ペイロード（ＴＣＰペイロードまたはＵＤＰペイロード）とからなったＩＰパケットデータ３１、４１、５１、６１を生成する（Ｓ３００）。

このように生成されたＩＰパケットデータ３１、４１、５１、６１は、侵入防止システム２５０の非正常なトラフィック探知及び処理部２５３に伝達され、非正常なトラフィック探知及び処理部２５３は有害情報データベース２５４を参照してＩＰパケットデータが非正常なトラフィック（例えば、ワーム、ウイルス、ＵＤＰ Ｆｌｏｏｄｉｎｇ、ＩＰ Ｓｐｏｏｆｉｎｇ、ＤｏＳトラフィックなど）に該当するか否かを判断する（Ｓ４００）。

このとき、上記ＩＰパケットデータが非正常なトラフィックであると判断されれば、非正常なトラフィック探知及び処理部２５３はトンネリングパケット送受信部２５１に該当のトンネリングパケットデータの廃棄を指示する（Ｓ４２０）。その反面、上記ＩＰパケットデータが正常であると判断されれば、非正常なトラフィック探知及び処理部２５３はトンネリングパケット送受信部２５１に該当のトンネリングパケットデータを第２パケット支援ノード２６０に伝送することを指示する（Ｓ４１０）。これによって、アクセス網１００を経由して受信されたトンネリングパケットデータが非正常なトラフィックであるか否かが判別された後、第２パケット支援ノード２６０を経由して該当の移動通信端末に直接伝送される。

したがって、ＩＰ網のＩＰＳを経由しない移動通信端末間の点対点トンネリングパケット通信においても、既存のＩＰＳ機能をそのまま使用して非正常なトラフィックの遮断が可能になる。

上述のように、本発明は移動通信端末から移動通信網にトンネリングパケットデータがアップリンクされる場合を代表的な例として説明した。しかし、本発明はトンネリングパケットデータが移動通信網から移動通信端末にダウンリンクされる場合にも実質的に同一に適用されることは言うまでもない。

以上では本発明による望ましい実施例を添付した図面を参照しながら詳細に説明した。しかし、本発明の実施例は本発明が属した技術分野で通常の知識を持つ者により多様な変形や応用が可能であり、本発明による技術的思想の範囲は後述する特許請求範囲によって定められるべきである。

本発明によれば、非同期式または同期式移動通信網での移動通信端末間の点対点トンネリング通信において、既存のＩＰパケットデータに対する非正常なトラフィック判別政策をそのまま使用しながらトンネリングパケットが非正常なトラフィックであるか否かを判別することができる。

また、本発明の侵入防止装置は、移動通信網のコア網内に構築されるので課金の前に非正常なトラフィックを遮断することができて誤った課金を根本的に防止することができる。

Claims (21)

1. 移動通信網に位置し移動通信端末間の点対点トンネリングパケット通信に対して侵入防止機能を実現する装置であって、
   移動通信端末間に伝送されるトンネリングパケットデータからＩＰパケットデータを復元する復元手段；
   上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別手段；及び
   上記ＩＰパケットデータが非正常なトラフィックであると判断されれば、上記トンネリングパケットデータを廃棄する手段を含むことを特徴とする侵入防止装置。
2. 上記判別手段で上記ＩＰパケットデータを正常なトラフィックであると判断すれば、上記トンネリングパケットデータを次のネットワーク要素に伝送する手段をさらに含むことを特徴とする請求項１に記載の侵入防止装置。
3. 多数の非正常なトラフィックパターン情報を貯蔵し管理する有害情報データベースをさらに含み、
   上記判別手段は、上記有害情報データベースを参照して上記ＩＰパケットデータが非正常なトラフィックであるか否かを判別することを特徴とする請求項１または請求項２に記載の侵入防止装置。
4. 上記復元手段は、
   上記トンネリングパケットデータをデカプセル化するためのデカプセル化手段；及び
   上記トンネリングパケットデータのペイロードを統合する統合手段を含むことを特徴とする請求項３に記載の侵入防止装置。
5. 上記復元手段は、
   上記トンネリングパケットデータの圧縮を解除するための圧縮解除手段をさらに含むことを特徴とする請求項４に記載の侵入防止装置。
6. 上記侵入防止装置が移動通信網のコア網内に位置することを特徴とする請求項３に記載の侵入防止装置。
7. 上記移動通信網が同期式である場合、
   上記侵入防止装置は、ＰＣＦとＰＤＳＮとの間に位置することを特徴とする請求項６に記載の侵入防止装置。
8. 上記移動通信網が非同期式である場合、
   上記侵入防止装置は、ＳＧＳＮとＧＧＳＮとの間に位置することを特徴とする請求項６に記載の侵入防止装置。
9. 移動通信端末間の点対点トンネリング通信を行うパケットデータ伝送システムであって、
   アクセス網とのトンネリングパケット通信を支援する第１ネットワークノード；
   他のパケット交換網との連結を支援する第２ネットワークノード；及び
   上記第１ネットワークノードと第２ネットワークノードとの間に位置して、交換されるトンネリングパケットデータをＩＰパケットデータに復元し、復元されたＩＰパケットデータが非正常なトラフィックである場合上記トンネリングパケットデータを廃棄する侵入防止装置；を含むことを特徴とするパケットデータ伝送システム。
10. 上記侵入防止装置は、
    上記トンネリングパケットデータからＩＰパケットデータを復元する復元手段；
    上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別手段；及び
    上記ＩＰパケットデータが非正常なトラフィックであると判断されれば、上記トンネリングパケットデータを廃棄する手段を含むことを特徴とする請求項９に記載のパケットデータ伝送システム。
11. 上記侵入防止装置は、
    上記判別手段で上記ＩＰパケットデータを正常なトラフィックであると判断すれば、上記トンネリングパケットデータを第１ネットワークノードまたは第２ネットワークノードに伝送する手段をさらに含むことを特徴とする請求項１０に記載のパケットデータ伝送システム。
12. 上記侵入防止装置は、多数の非正常なトラフィックパターン情報を貯蔵し管理する有害情報データベースさらに含み、
    上記判別手段は、上記有害情報データベースを参照して上記ＩＰパケットデータが非正常なトラフィックであるか否かを判別することを特徴とする請求項１０または請求項１１に記載のパケットデータ伝送システム。
13. 上記復元手段は、
    上記トンネリングパケットデータをデカプセル化するためのデカプセル化手段；及び
    上記トンネリングパケットデータのペイロードを統合する統合手段を含むことを特徴とする請求項１０に記載のパケットデータ伝送システム。
14. 上記復元手段は、
    上記トンネリングパケットデータの圧縮を解除するための圧縮解除手段をさらに含むことを特徴とする請求項１３に記載のパケットデータ伝送システム。
15. 上記第１ネットワークノードはＰＣＦであり、上記第２ネットワークノードはＰＤＳＮであることを特徴とする請求項１０に記載のパケットデータ伝送システム。
16. 上記第１ネットワークノードはＳＧＳＮであり、上記第２ネットワークノードはＧＧＳＮであることを特徴とする請求項１０に記載のパケットデータ伝送システム。
17. 移動通信端末間の点対点トンネリングパケットデータに対して非正常なトラフィックを探知し、遮断する侵入防止方法であって、
    上記トンネリングパケットデータをＩＰパケットデータに復元する復元段階；
    上記ＩＰパケットデータに対して非正常なトラフィックであるか否かを判別する判別段階；及び
    上記判別段階で、上記ＩＰパケットデータが非正常なトラフィックであると判断されれば上記トンネリングパケットデータを廃棄し、上記ＩＰパケットデータが正常なトラフィックであると判断されれば上記トンネリングパケットデータを他のネットワークノードに伝送するパケット処理段階を含むことを特徴とする侵入防止方法。
18. 上記復元段階は、
    上記トンネリングパケットデータをデカプセル化するためのデカプセル化段階；及び
    上記トンネリングパケットデータのペイロードを統合する統合段階を含むことを特徴とする請求項１７に記載の侵入防止方法。
19. 上記トンネリングパケットデータがＧＴＰパケットデータであることを特徴とする請求項１８に記載の侵入防止方法。
20. 上記トンネリングパケットデータがＶＪＣ圧縮されたＧＲＥパケットデータであることを特徴とする請求項１８に記載の侵入防止方法。
21. 上記復元段階は、
    上記トンネリングパケットデータの圧縮を解除するための圧縮解除段階をさらに含むことを特徴とする請求項２０に記載の侵入防止方法。

Images