JP2011523314A - パケットベースのネットワークを攻撃から保護する方法、およびセキュリティボーダーノード - Google Patents

Abstract

本発明は、以下を備える、パケットベースのネットワークを攻撃から保護するためのセキュリティボーダーノード２ａに関する：異常検出、具体的には統計分析、をセッション制御メッセージ１１、具体的にはセキュリティボーダーノード２ａで受信されたパケットストリーム５に含まれるＳＩＰメッセージ、に実行するための異常検出装置１０。このセキュリティボーダーノードはさらに、少なくとも１つのセッション制御メッセージ１１を、そのセッション制御メッセージ１１、１１ａから１１ｆが帰属させられるクライアント２２および／またはセッション２３に関連するメッセージ文脈情報１２、１７、２４と共に異常検出装置１０に提供するためのメッセージ文脈プロビジョニング装置１３を備える。本発明はまた、攻撃からパケットベースのネットワークを保護する方法、コンピュータプログラム製品、およびパケットベースのネットワークに関する。

Description

本発明は、セッション制御メッセージ、具体的にはネットワークのセキュリティボーダーノードで受信されるパケットストリームに含まれるセッション開始プロトコル（ＳＩＰ）メッセージ、の異常検出、具体的には統計分析、を実行するステップを備える、攻撃からパケットベースのネットワークを保護する方法、ならびに、その方法を実行するように構成されたコンピュータプログラム製品に関する。本発明はさらに、セッション制御メッセージ、具体的にはセキュリティボーダーノードで受信されるパケットストリームに含まれるＳＩＰメッセージ、の異常検出、具体的には統計分析、を実行するための異常検出装置を備える、攻撃からパケットベースのネットワークを保護するためのセキュリティボーダーノード、ならびに、少なくとも１つのかかるセキュリティボーダーノードを備えるパケットベースのネットワークに関する。

本発明は、任意の種類の攻撃に対する、通信／コンピュータネットワークなどのパケットベースのネットワーク、具体的にはコアネットワーク、の保護に関する。コアネットワークは、１人または複数の参加者とのセッションを作成、修正および終了するためのセッション開始プロトコル（ＳＩＰ）などのセッション／アプリケーション層制御（シグナリング）プロトコルを使用する３ＧＰＰ／ＩＭＳ（ＩＰマルチメディアサブシステム）による各次世代ネットワーク（ＮＧＮ）アーキテクチャ、ＥＴＳＩ／ＴＩＳＰＡＮ（Ｔｅｌｅｃｏｍｓ ＆ Ｉｎｔｅｒｎｅｔ ｃｏｎｖｅｒｇｅｄ Ｓｅｒｖｉｃｅｓ ＆ Ｐｒｏｔｏｃｏｌｓ ｆｏｒ Ａｄｖａｎｃｅｄ Ｎｅｔｗｏｒｋｓ）を使用して実装されることができる。かかるコアネットワークでは、攻撃は異なる層（ＩＰ、トランスポートからアプリケーション層まで）で生じることがあり、攻撃形式も異なり得る。具体的には、コアネットワークのボーダーノード内のアプリケーション／セッションプロトコルスタックは、高い危険にさらされており、したがって、特に正しく行動するユーザ／デバイスのために、システム全体の所要の高い可用性を実現するための保護機構を必要とする。本発明は、ＳＩＰシグナリングによるＮＧＮ／ＩＭＳ／ＴＩＳＰＡＮネットワークに限定されず、たとえばＳＯＡＰ（シンプルオブジェクトアクセスプロトコル）、Ｈ．３２３などの他のタイプのシグナリングプロトコルを使用するすべてのタイプのＩＰネットワークに関することが、理解される。

前述のタイプのコアネットワーク１が図１に示されている。コアネットワーク１は、それら自体がエンドユーザ機器４に接続されているアクセスネットワーク３にコアネットワーク１を接続するための複数の（セキュリティ）ボーダーノード２ａから２ｆを有する。ボーダーノード２ａから２ｆのうちのいくつかは、コアネットワーク１を他のコアネットワーク（非表示）に接続するために使用されることもできる。ボーダーノード２ａから２ｆ内で、潜在的に危険なトラフィックから有効なものを直ちに識別するセキュリティポリシーが適用される必要があり、識別された不正なトラフィックは遮断される必要がある。この目的のために、（ＯＳＩモデルの）第３層／第４層で動作するファイアウォールおよびシグネチャ解析機能が、ネットワークを保護するために適用される。これらの解決法は、攻撃の形式が事前に知られていることを必要とする。しかし、新しい形式を適用するこれから起こる攻撃は、これらの保護方法を通過することができる。したがって、「ゼロデイ」（即ち、初めて出現する）攻撃は識別されることができず、深刻な障害につながり得る。

したがって、ＳＩＰアプリケーション／セッション制御層上に、異なるタイプの攻撃に対処する異なるタイプの保護技術も存在する：ＳＩＰメッセージ構文攻撃は、ＡＢＮＦ（拡張バッカスナウア記法）チェッカなどの技法で明らかにされ、対処されることができる。一方、ＳＩＰメッセージ攻撃は正しい構文を示し、それらが不正であると識別するための知られているシグネチャは存在しない。これらの種類の攻撃を識別するために、異常検出形式は、バイトストリームの２進および可変長の（ｎグラム）シーケンスを調査して新しい種類の攻撃シナリオを検出する。（たとえば「Ｌａｎｇｕａｇｅ Ｍｏｄｅｌｓ ｆｏｒ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｕｎｋｎｏｗｎ Ａｔｔａｃｋｓ ｉｎ Ｎｅｔｗｏｒｋ Ｔｒａｆｆｉｃ」、Ｋ．Ｒｉｅｃｋ、Ｐ．Ｌａｓｋｏｖ著、Ｆｒａｕｎｈｏｆｅｒ ＦＩＲＳＴ、ｈｔｔｐ：／／ｗｗｗ．ｓｐｒｉｎｇｅｒｌｉｎｋ．ｃｏｍを参照）。これらの機構は、バイトストリーム内の「ゼロデイ」攻撃を検出することができる。しかし、これらの機構は、第ｎシーケンスを第（ｎ＋ｍ）シーケンスと関連付けることによってのみ可視になることができる攻撃を検出するための（シーケンス）メモリをもたない。したがって、特定の相関（たとえば、シーケンス番号、時間依存性、ソース／宛先依存性、およびこれらの任意の組合せなど）で構成されるそれらのすべてのＳＩＰメッセージ攻撃は、今日の技法では識別されることができない。

「Ｌａｎｇｕａｇｅ Ｍｏｄｅｌｓ ｆｏｒ Ｄｅｔｅｃｔｉｏｎ ｏｆ Ｕｎｋｎｏｗｎ Ａｔｔａｃｋｓ ｉｎ Ｎｅｔｗｏｒｋ Ｔｒａｆｆｉｃ」、Ｋ．Ｒｉｅｃｋ、Ｐ．Ｌａｓｋｏｖ著、Ｆｒａｕｎｈｏｆｅｒ ＦＩＲＳＴ、ｈｔｔｐ：／／ｗｗｗ．ｓｐｒｉｎｇｅｒｌｉｎｋ．ｃｏｍ

本発明の目的は、以下を提供することである：前述の方法で異常検出を実行することによって明らかにされることができない攻撃を識別することをそれらすべてが可能にする、方法、コンピュータプログラム製品、セキュリティボーダーノード、およびパケットベースのネットワーク。

この目的は、さらに以下を備える前述の方法によって達成される：少なくとも１つのセッション制御メッセージに、ならびにそのセッション制御メッセージが帰属させられるクライアントおよび／またはセッションに関連するセッション制御メッセージについてのメッセージ文脈情報に、異常検出を実行するステップ。各ＳＩＰ（要求）メッセージはクライアント（ユーザエージェント）に関連付けられ、ＳＩＰメッセージはたとえばユーザエージェントを登録するためなどに使用される（ＲＥＧＩＳＴＥＲ）。各ＳＩＰメッセージは、通常は、セッションにも関連付けられる（たとえば、セッションを開始するための（ＩＮＶＩＴＥ）、セッションを終了するための（ＢＹＥ）など）。そのクライアントおよびセッションに関連する文脈情報は、それぞれ、文脈情報と共にＳＩＰメッセージの内容を検査するためにＳＩＰメッセージと共に異常検出に提供される。この目的のために、異常検出装置は、文脈情報と共に複数のサンプルメッセージを異常検出装置に提供し、異常検出の所望の出力を生成するために、フィードバックを実行することによって異常検出アルゴリズムを適合させることによって、ＳＩＰメッセージと文脈情報の組合せで攻撃を検出するように訓練されることができる。

かかる方法では、メッセージ文脈（クライアントおよび／またはセッション情報）が考慮されることができ、本発明は、メッセージ履歴および／またはクライアント行動が相関性がある（たとえばＩＮＶＩＴＥフラッディングなど）場合にのみ明らかにされることができる高度な攻撃が検出されることができるように、ＳＩＰベースのアプリケーションのための（最先端の）異常検出システム（ＡＤＳ）の機能を拡張する。新しい機能は以下のとおりである：セッションおよびメッセージプロトコル異常の検出（即ち、攻撃がいくつかのＳＩＰメッセージを検査するときにのみ可視になる）、スパムオーバーインターネットテレフォニー（ＳＰＩＴ、Ｓｐａｍ Ｏｖｅｒ Ｉｎｔｅｒｎｅｔ Ｔｅｌｅｐｈｏｎｙ）検出、および異なるソースから生成されるメッセージレート異常の検出。

好ましい一変形形態では、本方法はさらに、メッセージ文脈情報をセッション制御メッセージに含めるステップを備える。含めることによって、即ちメッセージ文脈情報を異常検出に提供されるＳＩＰメッセージのメッセージテキストに追加または添付することによって、文脈情報およびＳＩＰメッセージが異常検出装置によっていつも同時に検査されることが保証される。かかる方法では、ＳＩＰメッセージと同時に文脈情報を提供するために追加のインタフェースは必要なく、異常検出を実行するために求められるコンポーネントの再設計も必要とされない。異常検出の後およびＳＩＰスタック内のＳＩＰメッセージの処理の前に、文脈情報が取り除かれるべきであることは理解されよう。

好ましい一変形形態では、本方法はさらに以下を備える：セッション制御メッセージに含まれる情報、具体的にはクライアントＩＤ、セッションＩＤ、ソースＩＰアドレスおよび／またはメッセージタイプ、を使用するメッセージ文脈情報を格納し、取り出すためのデータベースにアドレスするステップ。通常は、異常検出に提供されることになる各ＳＩＰメッセージについて、クライアントＩＤ（クライアントアドレス）およびセッションＩＤ（もし既に存在すれば）がデータベースにアドレスするために使用される。メッセージタイプ（ＩＮＶＩＴＥ、ＯＰＴＩＯＮ、ＢＹＥなど）、ソースＩＰアドレスなどの、追加の情報は、データベースにアドレスするためにおよび／またはデータベースに文脈情報として格納されるために提供されることができる。この目的のために、データベースは、クライアントおよびセッション記録を動的に挿入し、抽出するように構成されることができる。クライアント記録は、ツリーの根にクライアントが保持するセッションの葉を構築する。ＳＩＰメッセージに含まれる情報でデータベースにアドレスした後、データベースは、そのメッセージが属するセッション／クライアントの記録に関連する補足（文脈）情報を提供する。適切な補足情報の選択が、どの（追加の）異常が異なる層で異常検出によって検出されることができるかを決定する。

好ましい一変形形態では、以下で構成されるグループからメッセージ文脈情報が選択される：セッション履歴またはセッション状態の情報、具体的にはメッセージシーケンスおよび／または許可された次のメッセージタイプに関するもの、メッセージ到着時間間隔、ならびにクライアント履歴情報。セッション履歴情報は、現在のセッションの状態についての情報が異常検出に利用可能になることができるように、メッセージシーケンスを含むことができる。各セッション状態に関して、限られた数の許可された次のメッセージタイプのみが存在し、セッション状態／メッセージシーケンスに関する情報か許可された次のメッセージタイプに関する情報のどちらかが文脈情報として異常検出に提供されることができる。たとえば、たとえそのセットアップ／更新が異なるセッションに属しても、特定のクライアントのセッションセットアップ／更新がキャンセルされたか数回完了されなかったとき、検査を受けようとするＳＩＰメッセージが帰属するセッション／クライアントのメッセージのメッセージ到着時間間隔の提供が、セッション内のまたは（クライアント）セッションを横切るプロトコル異常に隠れた攻撃を検出することを可能にすることができる。さらに、異常検出は、メッセージ到着時間間隔情報で拡張されるセッション制御メッセージを与えられるとき、メッセージレート攻撃検出を黙示的に実行することができる。クライアント履歴情報、即ち過去のそのクライアントの行動に関する統計、が、ＳＩＰメッセージに添付される補足情報の量を適合させるために使用されることができる。

前述の方法は、前述のすべてのステップを実行するように構成されたコード手段を備えるコンピュータプログラム製品に実装されることができる。このコンピュータプログラム製品は、適切なソフトウェアまたはハードウェア、具体的には書替え可能ゲートアレイ（ＦＰＧＡ）または特定用途向け集積回路（ＡＳＩＣ）、に実装されることができる。

本発明はまた、そのセッション制御メッセージが帰属するクライアントおよび／またはセッションに関連するメッセージ文脈情報と共に異常検出装置に少なくとも１つのセッション制御メッセージを提供するためのメッセージ文脈プロビジョニング装置をさらに備える前述のタイプのセキュリティボーダーノードにも実装される。

別個のインタフェースが、セッション制御メッセージと共に異常検出装置に文脈情報を提供するためのメッセージ文脈プロビジョニング装置に配備されることができる。

好ましくは、メッセージ文脈プロビジョニング装置は、メッセージ文脈情報をセッション制御メッセージに含めるように構成される。かかる方法では、メッセージ文脈プロビジョニング装置から異常検出装置への追加のインタフェースは必要とされない。メッセージ文脈は通常は、異常検出の前に各入力セッション制御メッセージに添付され、異常検出が終了した後にセッション制御メッセージから取り除かれる。かかる方法では、異常検出は、追加の−以前は不可視の−情報を取得し、追加の情報かこの情報とセッション制御メッセージ内容の組合せのどちらかに隠された攻撃を識別することができる。

好ましい一実施形態では、セキュリティボーダーノードは、メッセージ文脈情報を格納し、取り出すためのデータベースと、セッション制御メッセージに含まれる情報、具体的にはクライアントＩＤ、セッションＩＤ、ソースＩＰアドレスおよび／またはメッセージタイプ、を使用してデータベースにアドレスするメッセージ文脈プロビジョニング装置とをさらに備える。適切な文脈情報は、必須のおよび適応可能な記録で構成されることができる。必須の記録は、たとえば、クライアントおよびサーバアドレス（同一クライアントへの／からの前のメッセージを形成する）と、要求またはメッセージタイプの履歴（ＩＮＶＩＴＥ、ＯＰＴＩＯＮＳ、２００ ＯＫ、ＡＣＫ、ＢＹＥなど）と、同一セッションまたは要求に属するタイムスタンプとを備えることができる。メッセージ文脈プロビジョニング装置は、セッション制御メッセージに含まれる情報でデータベースにアドレスし、そのセッション制御メッセージが属するセッションおよび／またはクライアントに関連する文脈情報を取り出す。データベース入力に割り当てられることができないメッセージが着信する場合、それは、文脈情報プロビジョニング装置自体によってドロップするかまたは（ドロップ）指示入力がそのメッセージに追加される。さらに、メッセージレートまたはセッションセットアップレートが観測されることができ、準じた値は、異常検出がこの値にも応じてその決定を行うことができるように、メッセージに挿入されることができる。

好ましくは、データベースは、以下から構成されるグループから選択されるメッセージ文脈情報を格納するように構成される：セッション履歴またはセッション状態情報、具体的にはメッセージシーケンスおよび／または許可された次のメッセージタイプに関するもの、メッセージ到着時間間隔、ならびにクライアント履歴情報。前述のように、これらのすべてのタイプの文脈情報は、セッションおよび／またはクライアント履歴を考慮することによってのみ検出されることができる攻撃を検出するのに役立つ。しかし、以下にさらに説明するように、他のタイプの情報の提供もまたこの目的に役立つことができるので、文脈情報は前述の例に限定されないことが、理解される。

非常に好ましい一実施形態では、メッセージ文脈プロビジョニング装置は、データベースにセッション制御メッセージのタイムスタンプを提供するように構成される。タイムスタンプは、メッセージ到着時間間隔を判定するために使用されることができ、したがって、特定のクライアントのメッセージレートを計算することおよび単位時間当たりのメッセージの増加数に基づいて攻撃を識別することを可能にする（たとえば、ＩＮＶＩＴＥフラッディング）。

もう１つの好ましい実施形態では、セキュリティボーダーノードは、異常検出の結果に基づいてセッション制御メッセージがドロップされなければならないかまたは転送されなければならないかを決定するための決定装置を備え、この決定装置は好ましくはデータベースにその決定の結果に関する文脈情報を提供し、そして／またはセッション制御メッセージからメッセージ文脈情報を取り除く。決定装置は、異常検出装置の決定、即ち異常検出装置から受信されたセッション制御メッセージをドロップするかそれをセッション制御メッセージスタック、通常はＳＩＰスタック、に転送するかの決定、を実行するように構成される。後者の場合、文脈情報がセッション制御メッセージのテキストに追加されているとき、決定装置は先ずセッション制御メッセージから文脈情報を取り除く。さらに、決定の結果に関する文脈情報は複数状態情報でもよく、即ち必ずしも２進情報ではなく、したがって、セッションおよび／またはクライアントについての異なる信頼のレベルおよびいずれの方向も表す。かかる方法では、いくつかの前のメッセージに実行された異常検出の決定が異常に近かった場合、これらの決定の累積が最終的に「ドロップする」決定につながり得る。

もう１つの好ましい実施形態では、セキュリティボーダーノードは、データベースへのメッセージ文脈情報として処理の結果に関する情報を提供するように好ましくは構成された、セッション制御メッセージを処理するためのセッション制御メッセージスタック、具体的にはＳＩＰスタック、をさらに備える。かかる方法では、具体的にはその処理中の異常または許可された次のメッセージタイプに関連する、メッセージの処理からのフィードバックがデータベースに提供されることができる。

非常に好ましい１つの開発では、セキュリティボーダーノードは、同一のクライアントおよび／またはセッションに帰属する前のセッション制御メッセージの処理の結果に関する決定および／または情報の結果に関するメッセージ文脈情報に応じた異なる方法でセッション制御メッセージを処理するためのメッセージ処理装置をさらに備える。メッセージ処理装置は、攻撃セッションまたは攻撃クライアントとして識別されたセッションまたはクライアントに属するメッセージをドロップすることができる。さらに、メッセージ処理装置は、クライアント履歴がそのクライアントが正しく行動しており、即ちいかなる攻撃も生成したことがなく、異常検出活動が費やされる必要がないことを示しているため、このメッセージから攻撃は何ら予期されない場合に、異常検出を実行することなく（即ち、異常検出をバイパスして）、決定装置にまたはＳＩＰスタックに直接メッセージを転送することができる。しかしながら、ＳＩＰスタックからのネガティブフィードバックは、メッセージ処理装置に特定のクライアントからのメッセージの異常検出をもはやバイパスしないようにさせることができると理解されたい。別法としてまたは追加で、メッセージ処理装置は、具体的には疑わしいメッセージを低い優先順位に帰属させてそして／またはそれらを（低い）優先順位の行列に帰属させることによって、ある特定のメッセージへの異常検出の実行を遅らせることができる。メッセージ処理装置はまた、メッセージ文脈プロビジョニング装置に、これらのメッセージが追加のセキュリティインスタンスに送り込まれる必要があることを示す疑わしいメッセージにヘッダを追加させることもできる。

本発明のさらなる一態様は、少なくとも１つの前述のようなセキュリティボーダーノードを備え、パケットベースのネットワークに実装されることができる。パケットベースのネットワークにかかるセキュリティボーダーノードを備えることによって、以前に識別されていない攻撃からのパケットベースのネットワークの効率的な保護が可能である。

さらなる特徴および利点は、重要な詳細を示す図面を参照して、例示的な実施形態の以下の説明において述べられ、特許請求の範囲によって定義される。個々の特徴は、単独で個々に実装されることができ、または、それらのうちのいくつかが任意の所望の組合せで実装されることができる。

例示的な実施形態が図表に示され、以下の記載で説明される。

いくつかのセキュリティボーダーノードを有する本発明によるパケットベースのネットワークの実施形態の概略図である。 メッセージ文脈情報を考慮した、セッション制御メッセージに異常検出を実行するための本発明によるセキュリティボーダーノードの実施形態を示す図である。 図２のセキュリティボーダーノードに配置されたデータベースの動作を示す図である。

図２は、図１のコアネットワーク１のセキュリティボーダーノード２ａを示し、簡潔性を目的としてすべてのコンポーネントは示されていない。アクセスネットワーク３からのパケットストリーム５が、セキュリティボーダーノード２ａの処理経路６に提供される。パケットストリーム５は最初に、当該技術分野で知られている、したがって本明細書でさらに詳しく説明される必要のない方法で第３層（ネットワーク層）／第４層（トランスポート層）攻撃に対処するファイアウォール７に送り込まれる。ファイアウォール７に続くＡＢＮＦ（拡張バッカスナウア記法）チェッカ８が、パケットストリーム５に含まれるセッション制御（ＳＩＰ）メッセージの構文チェックを実行するために使用される。ファイアウォール７およびＡＢＮＦチェッカ８は、パケット／メッセージが攻撃として識別される場合にそれらをドロップするように構成される。処理経路５内のＡＢＮＦチェッカ８に続くシグネチャチェッカ９は、パケットストリーム５のパケットのシグネチャを以前に識別された攻撃の１セットのシグネチャと比較し、以前に識別された攻撃のシグネチャがパケットストリーム５内に見つかった場合にはパケット／メッセージをドロップする。シグネチャチェッカ９に続くのは、本例においてＳＩＰメッセージの形態で配備されるパケットストリーム５に含まれるセッション制御メッセージ１１に統計分析（ｎグラム分析）を実行するための、異常検出モジュール（ＡＤＭ）とも称される、異常検出装置１０である。異常検出装置１０は、セッションまたはＳＩＰメッセージ／要求について何も知らず、したがってセッションの現在の状態に関するいかなる情報も格納せず、それはＳＩＰメッセージのシーケンスで構成される攻撃を識別することができない。

かかる攻撃を検出するために、ＳＩＰメッセージ１１が、現在検査されようとしているセッション制御メッセージに関するメッセージ文脈情報１２と共に異常検出装置１０に送り込まれ、このメッセージ文脈情報１２はそのセッション制御メッセージ１１が属するクライアントおよび／またはセッションに関連する。メッセージ文脈情報１２を使用することを目的として、３つの追加の装置が異常検出装置１０の周りに配置される：異常検出装置１０にメッセージ文脈情報１２と共にセッション制御メッセージ１１を提供するためのメッセージ文脈プロビジョニング装置１３と、メッセージ文脈情報を格納し、取り出すためのデータベース１４と、異常検出の結果に基づいてセッション制御メッセージがドロップされるべきかまたはＳＩＰスタック１６に転送されるべきかを決定するための決定装置１５。この決定装置１５はまたデータベース１４に決定の結果に関する文脈情報１７を提供する。以下に、３つの装置１３、１４、１５についてさらに詳しく説明する。

セキュリティボーダーノード２ａのメッセージ文脈プロビジョニング装置１３は、データベース１４から取り出されたメッセージ文脈情報１２を、異常検出装置１０による検査をその後に受けることになるＳＩＰメッセージ１１に含めるように構成される。この目的のために、メッセージ文脈プロビジョニング装置１３は、以下に詳述するように、ＳＩＰメッセージ１１から情報１８を、具体的にはユーザエージェントのクライアントＩＤおよび現在のセッションのコールＩＤを抽出し、その情報１８を、特定のクライアントＩＤおよびコールＩＤに関連するデータベース１４の記録に保存された文脈情報１２を取り出すための、かかる記録を動的に挿入し、抽出するように構成された、データベース１４に提供する。メッセージ文脈プロビジョニング装置１３はまたＳＩＰメッセージ１１からメッセージタイプを抽出し、メッセージタイプに関する情報もまたデータベース１４に提供され、後者は同一のセッションおよびクライアントに帰属するその後のＳＩＰメッセージ１１についての文脈情報として使用される。さらに、メッセージ文脈プロビジョニング装置１３は、現在処理されているＳＩＰメッセージ１１にタイムスタンプを提供するように構成されたクロック発振器１９を備え、そのタイムスタンプはまたデータベース１４にも提供され、同一のクライアントまたはセッションに帰属するその後のＳＩＰメッセージ１１についての追加的な文脈情報として使用されることができる。

データベース１４から受信された現在処理されているＳＩＰメッセージ１１に関連する文脈情報１２は、たとえば、セッション履歴情報、具体的にはメッセージシーケンスおよび／または許可された次のメッセージタイプに関する情報、メッセージ到着時間間隔、ならびにクライアント履歴情報、具体的には同一のクライアントによって要求される単位時間当たりのコールの数を示すコールレートに関する情報、として選択されることができる。

以下に示される文脈情報プロビジョニング装置１３内で受信されるＢＹＥタイプのＳＩＰメッセージのテキストに関して以下に説明されるように、文脈情報プロビジョニング装置１３は、メッセージ文脈情報を直接ＳＩＰメッセージ１１のテキストに含めるように構成される：

メッセージ文脈プロビジョニング装置１３は次に、ＳＩＰメッセージ１１が帰属するクライアントのコールレートに関連するメッセージ文脈情報、ならびにセッションの以前に交換されたメッセージに関する情報を追加し、本例では、ＩＮＶＩＴＥ、２００ ＯＫ、およびＡＣＫメッセージが、メッセージテキストへのメッセージ到着時間間隔と共に、以下のメッセージテキスト内の角括弧内に表示される：

図２の破線矢印によって示されるように、別個のインタフェースを使用する異常検出装置１０に、検査を受けようとするＳＩＰメッセージ１１と同時にメッセージ文脈情報１２を提供することも可能となり得るので、メッセージ文脈プロビジョニング装置１３がメッセージ文脈情報１２を直接ＳＩＰメッセージ１１に含める必要はないことが理解されよう。ＳＩＰメッセージ１１に含まれるメッセージ文脈情報１２を考慮するために、いずれの場合にも、文脈情報と共に非常に多数のサンプルＳＩＰメッセージを事前に異常検出装置１０に提供することによって訓練が実行されることができ、異常検出装置は結合されたメッセージ内容および文脈情報に異常検出を実行する方法を学習することができる。

異常検出が実行された後に、決定装置１５は、攻撃を検出したか否かの異常検出の結果に応じて、検査を受けたＳＩＰメッセージをドロップするかそれらをＳＩＰスタック１６に転送するかのどちらかを行う。メッセージ文脈情報がＳＩＰメッセージ１１に直接含まれる場合、決定装置１５が、メッセージをＳＩＰスタック１６に転送する前に、メッセージからメッセージ文脈情報を取り除くことが理解されよう。

さらに、決定装置１５は、その決定の結果に関する文脈情報１７をデータベース１４に提供する。この文脈情報１７は、メッセージ文脈プロビジョニング装置１３に、さらに具体的にはその中に配置されたメッセージ処理装置１３ａに、クライアント／セッションのその後のメッセージが異常検出装置１０に送り込まれるべきかどうかを決定する情報を提供するために使用されることができる複数状態情報でもよい。具体的には、文脈情報１７は、そのセッション／クライアントが攻撃するセッション／クライアントとして識別された場合に、クライアント／セッションの次の個別のすべてのメッセージがドロップされるべきであることを指示することができる。そのクライアントが過去に正しく行動していた場合、文脈情報１７は、ある特定のクライアント／セッションに帰属するＳＩＰメッセージ１１は、バイパス２０を使用して、それぞれ決定装置１５またはＳＩＰスタック１６に直接転送されるべきであることを指示することができる。別法としてまたは追加で、文脈情報１７は、ある特定のクライアント／セッションのＳＩＰメッセージ１１は、追加条件が満たされるときに、異常検出装置１０にのみ提供されるべきであることを指示することができる。かかる方法では、信頼の異なるレベルの属性が、それぞれ、セッションまたはクライアントに与えられることができる。

メッセージ処理装置２０によってメッセージをドロップする代わりに、ＳＩＰメッセージ１１が最後に決定装置１５でドロップされるように、ドロップされるべきＳＩＰメッセージ１１に文脈情報を含めることが可能であり、これは異常検出装置１１内の攻撃検出につながることが理解されよう。さらに、メッセージ処理装置２０は、疑わしいメッセージに表示、たとえばヘッダ、を追加し、これらのメッセージが追加のセキュリティインスタンス（非表示）に送り込まれるべきであることを指示することができる。メッセージ処理装置２０はまた、たとえば疑わしいメッセージを低い優先順位に帰属させることによって、そして、それらを（低い）優先順位の行列に帰属させることによって、ある特定のメッセージへの異常検出の実行を遅らせることもできる。

以下では、クライアントおよびセッションごとの補足（文脈）情報を格納するクライアント／コールデータベース１４が、図３に関して、さらに詳しく説明される。データベース１４は、動的に記録、クライアントかセッションのどちらかを表す記録、を挿入および抽出することを可能にする。クライアント記録は、ツリーの根に、クライアントが保持するセッションに対応するツリーの葉／枝を構築する。データベース１４内でクライアントの記録が何も入手可能でない場合、クライアントはそれまでに登録されていない。この場合には、メッセージ文脈プロビジョニング装置１３がデータベース１４にＲＥＧＩＳＴＥＲタイプのＳＩＰメッセージ１１ａに関する情報を提供する場合に、記録コンストラクタ２１が新しいクライアント記録２２（以下、クライアントという）を作成する。クライアント２２のメッセージレートまたはセッションセットアップレートはクライアントコンストラクタ２１で観測されることができ、準じた値は、前述の方法でそれをメッセージ文脈プロビジョニング装置１３に提供するために、文脈情報２２ａとしてクライアント記録２２に追加されることができ、異常検出装置１０はこの値を考慮してその決定を行うことができる。

クライアント記録２２が生成された後は、以下においてセッションとも称される新しいセッション記録２３が、ＩＮＶＩＴＥタイプのＳＩＰメッセージ１１ｂを受信したときに生成されることになる。セッション２３のＩＮＶＩＴＥメッセージ１１ｂおよびそれに続くＳＩＰメッセージ１１ｃから１１ｆについては、セッション２３に関連する文脈情報２３ａが継続的に更新され、したがって、メッセージ履歴、即ちセッション２３のメッセージシーケンス１１ｂから１１ｆおよびメッセージ到着時間間隔ΔＴをメッセージ文脈プロビジョニング装置１３に利用可能にする。さらに、決定装置１５からの追加文脈情報はまた、セッション２３の文脈情報２３ａまたはクライアント２２の文脈情報２２ａに追加されることができる。さらに、ＳＩＰスタック１６はまた、メッセージ文脈情報２４としてのＳＩＰメッセージ１１の処理中の異常に関する情報もデータベース１４に提供することができる（図２を参照）。

ＳＩＰメッセージ１１が、データベース入力、たとえばクライアント記録に帰属させられることができないそしてＲＥＧＩＳＴＥＲタイプではないＳＩＰメッセージ、に割り当てられることができないメッセージ文脈プロビジョニング装置１３内に到達する場合、それはメッセージ文脈プロビジョニング装置１３自体によってドロップされるか、そのＳＩＰメッセージ１１に（ドロップする）指示入力が追加される。クライアント記録２２およびセッション記録２３の両方に帰属させられることができるＳＩＰメッセージにも同じことが適用されるが、そのメッセージタイプは、たとえばＩＮＶＩＴＥメッセージがＡＣＫメッセージの後に受信されるとき、または同一メッセージタイプの２つ以上のＳＩＰメッセージがメッセージ文脈プロビジョニング装置１３で繰返して受信されるとき、セッション２３のＳＩＰメッセージ１１ｂから１１ｆの許可されたシーケンスに準拠していない。かかる方法では、メッセージ文脈プロビジョニング装置は、許可されたメッセージタイプ、即ちシーケンス１１ｂから１１ｆ内の特定のセッション状態について予期されるメッセージタイプ、であるそれらのＳＩＰメッセージ１１のみを異常検出装置１０に提供することができる。

異常検出に提供される文脈情報は前述のタイプに限定されず、適切な文脈情報の選択が
どの（追加の）異常を異常検出装置１０が異なる層で検出することができるかを決定することが、当業者には理解されよう。具体的には、過去のクライアントの行動に関する統計値が、そのクライアントのＳＩＰメッセージ１１に含まれる補足情報の量を適合させるために使用されることができる。さらに、メッセージ文脈プロビジョニング装置１３、決定装置１５および／またはＳＩＰスタック１６からデータベース１４に提供される文脈情報は、たとえばメッセージ履歴からセッションの次のメッセージについての許可されたメッセージタイプを判定することによって、修正された文脈情報を形成するためにデータベース１４内でさらに処理されることができ、この情報をメッセージ文脈プロビジョニング装置１３にのみ提供する。別法として、メッセージ文脈プロビジョニング装置１３は、データベース１４によって提供される文脈情報を処理し、修正された文脈情報を異常検出装置１０に提供するように構成されることができる。

前述の説明はセッション制御メッセージの一例としてＳＩＰメッセージに関して与えられているが、前述の手法が他のプロトコルタイプ、たとえばＨ．３２３プロトコルタイプ、のメッセージにも適用されることができることが、当業者には理解されよう。要約すれば、前述の方法では、これらのメッセージについての異常検出アルゴリズムの「ゼロデイ」攻撃検出機能は、連鎖メッセージまたは連結セッション内に隠された攻撃に対してネットワークをより効率的に保護することを可能にするシグナリング状態アウェアネスへと拡張される。

好ましい実施形態の前述の説明は、例として与えられている。与えられた開示から、当業者は本発明およびそれに付随する利点を理解するだけでなく、開示された構造および方法の明白な様々な変更形態および修正形態もまた見つけるであろう。したがって、本出願人は、添付の特許請求の範囲によって定義される本発明の趣旨および範囲に含まれるようなすべてのかかる変更形態および修正形態、ならびにその同等のものを包含することを求める。

Claims (14)

1. 攻撃からパケットベースのネットワーク（１）を保護する方法であって、
   ネットワーク（１）のセキュリティボーダーノード（２ａ）で受信されたパケットストリーム（５）に含まれるセッション制御メッセージ（１１、１１ａから１１ｆ）に異常検出を実行するステップを備える方法において、
   セッション制御メッセージ（１１、１１ａから１１ｆ）が帰属させられるセッション（２３）に関連するセッション制御メッセージ（１１、１１ａから１１ｆ）に関するメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）と共に少なくとも１つのセッション制御メッセージ（１１、１１ａから１１ｆ）に異常検出を実行し、そのメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）がセッション履歴情報を備える
   ことを特徴とする、方法。
2. メッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）をセッション制御メッセージ（１１、１１ａから１１ｆ）に含めるステップをさらに備える、請求項１に記載の方法。
3. セッション制御メッセージ（１１、１１ａから１１ｆ）に含まれる情報（１８）、具体的にはクライアントＩＤ、セッションＩＤ、ソースＩＰアドレスおよび／またはメッセージタイプ、を使用してメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）を格納し、取り出すためのデータベース（１４）にアドレスするステップをさらに備える、請求項１に記載の方法。
4. 追加のメッセージ文脈情報（１２、２２ａ、２３ａ）が、セッション状態情報、具体的にはメッセージシーケンスおよび／または許可された次のメッセージタイプに関する情報、メッセージ到着時間間隔、ならびにクライアント履歴情報で構成されるグループから選択される、請求項１に記載の方法。
5. 攻撃からパケットベースのネットワーク（１）を保護するためのセキュリティボーダーノード（２ａ）であって、
   セキュリティボーダーノード（２ａ）で受信されたパケットストリーム（５）に含まれるセッション制御メッセージ（１１、１１ａから１１ｆ）に異常検出を実行するための異常検出装置（１０）を備えるセキュリティボーダーノードにおいて、
   セッション制御メッセージ（１１、１１ａから１１ｆ）が帰属させられるセッション（２３）に関連するメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）と共に、異常検出装置（１０）に少なくとも１つのセッション制御メッセージ（１１、１１ａから１１ｆ）を提供するためのメッセージ文脈プロビジョニング装置（１３）であって、そのメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）がセッション履歴情報を備える
   文脈プロビジョニング装置を特徴とする、セキュリティボーダーノード。
6. メッセージ文脈プロビジョニング装置（１３）がメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）をセッション制御メッセージ（１１、１１ａから１１ｆ）に含めるように構成された、請求項５に記載のセキュリティボーダーノード。
7. メッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）を格納し、取り出すためのデータベース（１４）をさらに備え、メッセージ文脈プロビジョニング装置（１３）がセッション制御メッセージ（１１、１１ａから１１ｆ）に含まれる情報（１８）、具体的にはクライアントＩＤ、セッションＩＤ、ソースＩＰアドレス、および／またはメッセージタイプ、を使用してデータベース（１４）にアドレスする、請求項５に記載のセキュリティボーダーノード。
8. データベース（１４）が、セッション履歴またはセッション状態情報、具体的にはメッセージシーケンスおよび／または許可された次のメッセージタイプに関するもの、メッセージ到着時間間隔、ならびにクライアント履歴情報からなるグループから選択されるメッセージ文脈情報（２２ａ、２３ａ）を格納するように構成された、請求項７に記載のセキュリティボーダーノード。
9. メッセージ文脈プロビジョニング装置（１３）がデータベース（１４）にセッション制御メッセージ（１１、１１ａから１１ｆ）のタイムスタンプを提供するように構成された、請求項７に記載のセキュリティボーダーノード。
10. 異常検出の結果に基づいてセッション制御メッセージ（１１、１１ａから１１ｆ）がドロップされなければならないかまたは転送されなければならないかを決定するための、好ましくはデータベース（１４）にその決定の結果に関する文脈情報（１７）を提供し、さらに／またはセッション制御メッセージ（１１、１１ａから１１ｆ）からメッセージ文脈情報（１２、１７、２２ａ、２３ａ、２４）を取り除く、決定装置（１５）をさらに備える、請求項５に記載のセキュリティボーダーノード。
11. セッション制御メッセージ（１１、１１ａから１１ｆ）を処理するための、好ましくはデータベース（１４）にメッセージ文脈情報（２４）として処理の結果に関する情報を提供するように構成された、セッション制御メッセージスタック、具体的にはＳＩＰスタック（１６）、をさらに備える、請求項７に記載のセキュリティボーダーノード。
12. 決定の結果に関するメッセージ文脈情報（１７）および／または同一のクライアント（２２）および／またはセッション（２３）に帰属させられた以前のセッション制御メッセージ（１１、１１ａから１１ｆ）の処理の結果に関する情報に応じた異なる方法でセッション制御メッセージ（１１、１１ａから１１ｆ）を処理するためのメッセージ処理装置（１３ａ）をさらに備える、請求項１０または１１のいずれか一項に記載のセキュリティボーダーノード。
13. 請求項５に記載のセキュリティボーダーノード（２ａ）を少なくとも１つ備える、パケットベースのネットワーク（１）。
14. 請求項１に記載の方法のステップをすべて実行するように構成されたコード手段を備える、コンピュータプログラム製品。

Images