JP2018033144A - 通信ネットワークでの挙動を検出するシステム - Google Patents

Abstract

【課題】通信ネットワークでのモバイル通信デバイスの挙動を検出するためのシステムを提供する。
【解決手段】通信ネットワークは、少なくとも１つのモバイル通信デバイスを認識し、モバイル通信デバイスからのアタッチ信号を受信し２０１、カウンタＮＡと開始時間ＳＴＡを記憶する２０３。さらに通信ネットワークは、モバイル通信デバイスからの次のアタッチ信号を受信し２０４、カウンタＮＡと開始時間ＳＴＡを更新し２０５、更新したカウンタＮＡと開始時間ＳＴＡを記憶する２０８。そして通信ネットワークは、カウントＮＡが通信ネットワークにおけるモバイル通信デバイスの許容可能な挙動を示すレベルＬｉｍｉｔＡを超過したとき２０６、アラートを設定して２０７、モバイル通信デバイスが悪意ある状態であることを登録する。
【選択図】図２

Description

本発明は、通信ネットワーク内でモバイル通信デバイスの挙動(behavior)を検出するシステムに関し、また、通信ネットワーク内でモバイル通信デバイスの挙動を検出するデバイスに関するものである。

通信ネットワークは、通例、合意され規格化された無線プロトコル（例えば当業者にとって公知のＧＳＭ，ＵＴＭＳ，ＬＴＥ）により、モバイル・デバイスのユーザに無線通信を提供する。

モバイル通信デバイスは一般的なものであり、モバイル・フォン、特に、スマートフォン、タブレット・デバイス、および他のハンドヘルド・コンピュータ・デバイス、ハンドヘルド・パーソナル・アシスタンスや、車両内に位置する通信デバイスさえも含まれる。何れもが、相互の通信および移動中のインターネットへのアクセスをユーザに提供する。

インターネットへのアクセスは、マルウェアや悪意のあるアプリケーションにデバイスを晒す。マルウェアや悪意のあるアプリケーションは、インターネットからモバイル・デバイスに偶然にまたはその他でダウンロードされることがある。通例、そして頻繁に、モバイル通信デバイスは、より小さいサイズおよびメモリ容量のために、インターネット・アクセスを有するデスクトップ・コンピュータや他の大型のデバイスにとって利用可能なものと同じくらいの厳重なセキュリティ機能は収容しない。このように、これらより小型のモバイル通信デバイスは、マルウェアや悪意のあるアプリケーションによる感染および攻撃を受けやすく、通例は、モバイル・デバイスのアプリケーション・プロセッサを感染させることになる。しかしながら、モバイル通信デバイスはまた、通例は、無線通信ネットワークと直接コンタクトするので、ネットワークそのものが、モバイル・デバイスに存在する如何なるマルウェアまたは悪意のあるアプリケーションからの攻撃に弱い。

悪意のあるモバイル・デバイスの挙動を検出するための既存の方法は、モバイル・ハンドセットそのものに全面的に適用される。例えば、Collin Mulliner, Steffen Liebergeld, Matthias Lange, Jean-Pierre Seifertによる「Taming Mr Hayes: スマートフォンへのアタックに基づくシグナリングの軽減(Mitigating signaling based attacks on smartphones)」、信頼性システムおよびネットワークに関するIEEE/IFIPインターナショナル・カンファレンス (DSN 2012), 2012, dsn, pp. 1-12では、モバイル・フォンのアプリケーション・プロセッサ内で悪意のある挙動を検出する方法について説明しており、解決策の一部としてアプリケーション・プロセッサの仮想パーティションを提案する。

しかしながら、当該方法の不利な点は、モバイル・デバイスがマルウェアに感染した場合に、検出方法そのものを信頼することができるという実際の確実性がなくなる可能性があるということである。

同様に、ＵＳ２００６／０２８８４０７は、モバイル・ハンドセット上での検出を実行する方法が記載され、従ってまた、結果として同様の不利な点を有する。

それにもかかわらず、モバイル・デバイス上でマルウェアまたは悪意のあるソフトウェアの存在を正確に特定するには課題がある。何故ならば、感染したデバイスをたった一度正確に特定しただけで、取ることができる行動を専有する(appropriate)可能性があるからである。

課題は、特許請求の範囲に記載した発明に従って解決される。
特許請求の範囲は、通信ネットワーク内でモバイル通信デバイスの挙動を検出するためのシステムについて記載する。本システムは、少なくとも１つのモバイル通信デバイスを識別し、モバイル通信デバイスから信号を受信し、更に信号をデータ・ストリームへと処理するように構成される通信ネットワークを含む。データ・ストリームは、通信ネットワーク内で第１種別のイベントを生じさせるように構成される第１種別のデータを含む。ネットワークは、第１種別のデータについてのデータ・ストリームでの発生を監視するように構成され、当該発生が通信ネットワーク内でモバイル通信デバイスの許容可能な挙動を示すレベルを超過したときを登録するように構成される。

特許請求するシステムは、モバイル・デバイス内の悪意のある挙動を識別することによって上記課題を解決するものの、通信ネットワークそのもの内からの挙動を識別する。このことは、データ・ストリーム、即ちデータの移送を監視することによる本発明の構成に従って実施される。データの移送は、ネットワークおよびモバイルの間の相互作用に因ってネットワーク内で発生する。このデータは、特定信号の過剰な発生について監視される。

モバイル・デバイス上に存在するマルウェアは、そのデバイスに、悪意のある挙動に従事させる場合がある。悪意のある挙動は通例、明確なユーザの意図に対することなく、ネットワーク・リソースを使い果たすものとなる。通例は、ユーザにとって、即ちデバイスにとって、有益となる結果を伴わないことを除き、ネットワーク・リソースを使い果たすものがある。例えば、モバイル・デバイスのユーザは、デバイス上で閲覧するためにビデオをダウンロードするのを望むことがある。このことは、リソースを使い果たすことになるが、この場合のリソースの使用には時間制限があり、如何なる場合も、一旦ビデオがダウンロードされたら、ユーザはビデオを見ることに時間を費やす一方で、そのようにすることは、他のビデオをダウンロードし、または他のタスクを実行することの可能性は低い。しかしながら、マルウェアは、継続的にビデオをダウンロードするようにプログラムされることがあり、また、過剰なネットワーク・リソースを消費する。

代替の例では、マルウェアはネットワークへのモバイル・デバイスのアタッチおよびデタッチを継続的に実行するようにプログラムされることがある。このことは、過剰なネットワーク・リソースを消費することになる。何故ならば、ネットワークは、モバイル・デバイスがアタッチする毎に当該デバイスを認証するのを試みることになるからである。継続的なアタッチおよびデタッチは、しかしながら、ユーザまたはモバイル・デバイスのいずれかにとって有利となる結果とはならない。

代替の例では、マルウェアは、ハンドオーバーの決定のために、ネットワークによって用いられる信号レベルのレポートを操作するようにプログラムすることがある。モバイル・デバイスは、継続的に、周囲のセルの基地局からの信号レベルを測定し、当該信号レベルをネットワークにレポートする。ネットワークは、モバイル・デバイスとの通信を、モバイル・デバイスに現在サービス提供している基地局とは異なる基地局にハンドオーバーするかについてデバイスに対する上記レポートや他の情報を用いる。マルウェアは、非常に数多くのハンドオーバーを実施するように測定レポートを操作するようにプログラムされることがあり、当該ハンドオーバーは過剰なネットワーク・リソースを消費する。

代替の例では、マルウェアを搬送するモバイル・デバイスに対し、マルウェアは、呼転送(call forwarding)を継続的に要求するのを強制するようにプログラムされることがある。呼転送の要求が行われるときに、デバイスは入来する呼を２番目の番号に転送することをネットワークに要求する。当該要求の継続的な実施によってネットワーク・リソースを使い果たすことになる。

代替の例では、マルウェアは、デバイスおよびネットワークの間のベアラ、特に新規ベアラのセットアップを継続的に要求することがある。このことはまた、ネットワーク・リソースを使い果たす。

代替の例では、マルウェアを搬送するモバイル・デバイスに対し、マルウェアは、申し出た(proffered)サービスを用いることなくサービスの要求を継続的に実施させることがある。当該要求は、通信ネットワークによって通例提供される、如何なる種別のサービスに対するものとすることができるが、サービスへの継続的な要求が、ユーザまたは当該要求を実施するデバイスのいずれかの利益となる、被提供サービスという結果にはならないときに、ネットワーク・リソースを浪費する。

これら全ての例示では、データの交換は、モバイル・デバイスおよび通信ネットワークの間で生じるが、更には通信ネットワークそのもの内でも生じる。当業者には知られるように、モバイル・デバイスが信号を通信ネットワークに送信するときに、当該信号は基地局で受信され、通信ネットワーク内部でデータ・ストリームへと処理される。例えば、モバイル・デバイスによってアタッチ要求が実施されると、次いで、アタッチ要求を受け取る通信ネットワークは、モバイル・デバイスを認証するよう試行する。当業者には知られるように、このことは、結果として、例えばＵＭＴＳネットワークの例では、無線ネットワーク・コントローラＲＮＣ、モバイル交換センタＭＳＣ、ホーム・ロケーション・レジスタＨＬＲ、および認証センタＡｕＣの間で送信されるデータ・ストリーム、すなわち信号となる。当業者にはまた知られるように、上記の他の悪意のある挙動であればまた、結果として、デバイスおよびネットワークの間だけでなく、ネットワークそのもの内でも送信されるシグナリング、即ちデータ・ストリームとなる。

それ故、ネットワークは、該ネットワーク内のデータ・ストリームにおいて、第１種別（通例は、信号の通常処理のためにネットワーク・デバイス間のネットワークでの或る相互作用を表す所定の種別）のデータの発生を監視することによって、悪意のある挙動を検出することができる。更に、ネットワークは、この発生が、通信ネットワークにおいて許容可能なモバイル通信デバイスの挙動を示すレベルを超過するときを登録する。言い換えれば、ネットワークは、ネットワークそれ自体の内の様々な種別のデータ・ストリームの発生率(incidence)を監視および検出し、発生が余りに高いときを登録することによって、悪意のある挙動を検出する。

例えば、デバイスが継続的にネットワークのアタッチおよびデタッチを試行する悪意のある挙動を検出するために、モバイル・スイッチング・センタＭＳＣは、認証センタＡｕＣでのデバイスの認証を要求する回数を計数することができ、または代替として、認証センタＡｕＣが応答の信号を戻す回数を計数することができる。

特に有利な実施形態では、データ・ストリームの検出は、コア・ネットワークにおいて、特に、ネットワークがＬＴＥネットワークである場合は移動性管理エンティティＭＭＥにおいて、ネットワークがＵＭＴＳ若しくはＧＳＭネットワークである場合はＭＳＣにおいて、またはＧＰＲＳネットワークでのサービング・ゲートウェイ・サポート・ノードＳＧＳＮで実行される。本実施形態では、特定の、または所定のデータ・ストリームの発生率は、各ネットワーク内の中央位置で識別することができる。このことは、マルウェアによって影響を受けることになるモバイル・デバイスの識別を通信ネットワークが行うのに要する時間を低減するという有利な点を有する。

しかしながら、特定のデータ・ストリームの発生は、ネットワーク内に更に戻されて検出されることがある。この例では、モバイル・デバイス毎に認証の試行を検出することにより、ＡｕＣにおいて過剰なアタッチ要求を検出することができる。代替として、特定のモバイル・デバイスに関するデータをネットワークが要求する回数をＨＲＬで計数することにより、過剰なアタッチ要求を検出することができる。

特定の実施形態では、検出は、ｅＮｏｄｅＢ、即ち基地局において実行することができる。このことは、悪意のある挙動の検出が、より少ないネットワーク・リソースを使用するという有利な点を有する。例えば、過剰な回数のアタッチおよびデタッチは、受信する基地局で検出することができる。しかしながら、基地局での検出を実行する特定の不利な点は、モバイル・デバイスからの信号が異なる基地局を通じてネットワークに到達する場合に生じる。この場合の一例として、デバイスが基地局セルを跨がって物理的に素早く移動している場合がある。この場合には、どの１つの基地局、即ちｅＮｏｄｅＢもが、デバイスからの完全なシグナリングを必ずしも受信することにはならず、それ故、どの基地局もが、検出を明白に実行できるということにはならない。

特定の有利な実施形態では、ネットワークは、特定のデータ信号の発生についてのレートが所定の時間レートを超過するときに、当該特定のデータ信号の発生を計数する。例えば、ネットワークがＡｕＣへの認証要求の送信を監視する場合は、ネットワークは、特定のモバイルについての認証要求の送信のレートが所定の閾値を超過する場合に検出され、また、認証要求が所定のレートを超過している間に認証が次いで要求された回数を計数するようにも構成される。

換言すれば、ネットワークは、データ・ストリームの特定の所定の信号、即ちデータが発生する頻度が高くなり過ぎる時を監視および検出する。ネットワークは次いで、レートが所定の時間レートより大きく維持される間、発生の回数を計数することを続ける。

当該特定の実施形態は、検出した発生そのものの回数が所定の閾値を超過するときをネットワークが登録するように更に構成される場合に、尚もより有利なものとなる。我々の例では、このことは、それぞれが所定の時間レートよりも大きいレートで受信された認証要求の回数が特定の数を超過するときをネットワークが登録することを意味することになる。

更なる有利な実施形態では、信号即ちデータが発生するイベント、例えばＡｕＣに送信される認証の要求についてのレートが、連続して発生する間の経過時間を測定することによって所定の時間レートで、またはそれより大きいレートで発生する。当該実施形態では、ネットワークは、我々の例では、ＡｕＣに対する２つの連続する認証要求の間の経過時間を検出し、当該経過時間が所定の時間間隔未満となるときを計算するように構成される。データの発生は、所定の時間間隔のそれぞれで発生するときの所定のレートを超過するレートにおいて、発生するものとみなされる。

特に有利な実施形態では、ネットワークは、カウンタＣを含み、そして、検出可能なイベントＸを検出するように構成される。イベントＸは、ネットワーク内で生じ、例えば、アタッチ、即ちＡｕＣへの認証の要求の送信、またはハンドオーバーが実施されたことを示すＭＭＥ内のシグナリングの到達についての最初のインスタンス内で生じ、カウンタをスタートさせる。

次いで、カウンタは、Ｃ＝１となる。

同時に、ネットワークはタイマをスタートさせる。カウンタは格納され、モバイル・デバイスに関連付けられる。

ネットワーク内でＸの次の検出が所定の時間間隔内で実施されると、次いで、カウンタは、Ｃ＝２となる。

一実施形態では、タイマは、Ｘについて最初の検出からの時間ｔを測定する。この場合は、カウンタは、次の検出が時間ｔ＜Δで生じる場合に１だけインクリメントされる。Δは所定の時間間隔である。代替の実施形態では、イベントＸについて各検出の時間が登録される。最初のイベントの時間ＳＴが格納され、モバイル・デバイスと関連付けられている。タイマＴはＳＴで開始し、またカウンタは、次の検出イベントＸの時間がｔである場合にインクリメントされる。ここでは、ｔ＜ＳＴ＋Δである。

当該実施形態において、ＳＴの値は次いで、２番目のイベントＸが検出された新規の時間ＮＴによって置き換えられる。

どちらの実施形態でも、カウンタは、Ｘの次の検出が同一の時間間隔内で生じる場合に、再びインクリメントされる。このような場合には、カウンタは、これよりＣ＝３として登録されることになろう。

カウンタが所定の閾値、即ちＣ_ｎに達し、カウンタがＣ＝Ｃ_ｎとなる場合、通信ネットワークはその事実を登録する。このことは、フラグを設定することによって行うことができるが、当業者には代替の登録方法があることが知られる。

代替の実施形態では、ネットワークは、カウンタが所定の閾値を超過する場合に登録する。Ｘが所定の時間間隔内で再度検出されない場合は、カウンタはゼロに戻る。

代替の実施形態では、ネットワークは、特定のモバイル・デバイスのデタッチの回数を監視および計数することができる。

ハンドオーバーが検出される実施形態では、次のような更なる実施形態が特に有利である。ネットワークは、モバイル・デバイスの追跡領域の記録を保持し、また、追跡領域が変更するときの指標も保持する。これにより、いつデバイスが移動しているかをネットワークが知ることが可能になる。ネットワークがハンドオーバーについて過剰な回数を登録する場合に、追跡領域の情報を使用して、デバイスが実際に物理的に迅速に移動しているときの過剰なハンドオーバーを差し引く(discount)ことができる。

更なる実施形態では、ネットワークは、隣接する基地局間でデバイスが頻繁に切り替わる(switch)ときを登録する。このことは、真に悪意のある挙動の指標となる。何故ならば、このような切り替えは、通常、既存のハンドオーバーのアルゴリズムによって抑制され、その結果、２つのセルの間の境界に実際に物理的に位置するモバイル・デバイスにおける過剰なハンドオーバーを回避できるからである。

代替の実施形態、また特に有利となる実施形態では、ネットワークは、起こりそうもない(improbable)サービス要求の組み合わせを監視する。例えば、ユーザが並行して５つのムービーをダウンロードするストリームを要求するのは好ましいことではない。これと同様に、ユーザが、電話で話している間に彼自身のボイス・メールを聞くのを真に試行するのも好ましいことではない。好ましくない挙動についてのこのような例は、ネットワークによって判断および監視することができる。

悪意のある挙動を検出するのに続いて、ネットワークは、幾らかの動作を実行することができる。これら動作には、モバイル・デバイスをデタッチすること、ネットワークへのアクセスを永久に遮断するためにデバイスに信号を送ること、モバイル・デバイスが特定の時間期間内で別の接続要求を行うのを防ぐために、バック・オフ・タイマを開始すること、警告メッセージをデバイスの所有者に送ることが含まれる。最後の例では、警告は、例えばｓｍｓを通じてモバイル・デバイスそのものに送信することができるものの、デバイスがマルウェアに感染され信頼できない場合、ネットワークは、デバイスそのものに送信される如何なる警告メッセージをもユーザは見たり聞いたりすることがないものと想定される可能性がある。それ故、警告は、ユーザについて格納された他のデータに依存する他のチャネルを通じて、例えば、公知の電子メール・アドレスへの電子メールによって、ユーザに送信することができる。

更なる有利な実施形態では、ネットワークは、幾らかのデバイスの挙動を追跡し、その結果を集約(aggregate)する。このようにして、マルウェアの挙動を追跡し、全ネットワークにわたり監視することができる。

更なる有利な実施形態では、ネットワークは、データ・ストリームにおける第２種別のデータの発生について監視する。通例、ネットワーク中を通過するデータ・ストリームは２以上の種別のデータを含む。また、通信ネットワーク内での第１種別のイベントを生じさせるように構成される第１種別のデータを含むのに加えて、通信ネットワークでの第２種別のイベントを生じさせるように構成される第２種別のデータを含むことができる。特に有利な実施形態では、ネットワークは、第１種別および第２種別のデータの両方の発生を監視し、それぞれが或る所定の閾値を超過したときを判断することによって、モバイル・デバイスの悪意のある挙動を監視することができる。この場合、各々は別個に予め定められた閾値を超過することがあり、当該複数の所定の閾値は異なるものと、または同一のものとすることができ、或いは、双方の発生を集計し、共に単一の所定の閾値と比較することができる。一例では、ネットワークは、上述したように、デバイスのアタッチを示すネットワーク内のデータ発生について監視することができるが、これに加えて、デバイス・デタッチを示すデータ発生について監視することもできる。また、両方の発生が独立した所定の閾値を超過した場合にのみ、ネットワークは、悪意のある挙動が発生していることを登録する。当該二重の測定は、効率的にデバイスの挙動を２回計数することにより別途のネットワーク・リソースを用いるが、エラーのようなネットワーク内の異質の他の要因に因る悪意のある継続的なアタッチについての偶発的な登録に対するフェールセーフをネットワークに供する。

代替の実施形態では、ネットワークは、ハンドオーバーを示す第１種別のデータの発生を計数することができ、また、追跡領域の変更を示す第２種別のデータの発生についても計数することができる。

本発明の更なる実施形態について図面で説明する。

図１は、本発明を有利に使用できる通信ネットワークを示す。 図２は、本発明の実施形態のフロー図を示す。 図３は、本発明の実施形態のフロー図を示す。

図１は、本発明を用いることができる通信ネットワークを示す。当業者に知られるように、通信システムを規定する様々な通信規格によって説明される多数の技術がある。通例、通信システムは次のレイアウトを含むが、システムが機能する方法には軽微な変形や相違がある場合があることが当業者には知られ、認められる。

通信システムは送信機１０１を含む。これは通常、基地局、セル・タワー、またはＬＴＥネットワークではｅＮｏｄｅＢと称される。送信機は、基地局コントローラ１０２によって制御される。ただし、例えばＵＭＴＳネットワークでは、これは無線ネットワーク・コントローラ１０２であり、例えばＬＴＥネットワークでは基地局コントローラ１０２の制御機能はｅＮｏｄｅＢに包含されることがある。ハンドヘルド・モバイル・デバイスからの無線信号は、送信機１０１で受信され、信号へと処理されて、そしてコア・ネットワークに送信される。

ＧＳＭまたは２Ｇネットワークの場合、信号はモバイル・スイッチング・センタＭＳＣ１０３まで通される。ＭＳＣは呼をルーティングする。信号をモバイルから最初に受信すると、ホーム・ロケーション・レジスタＨＬＲ１０４に問い合わせることになる。ＨＬＲは、モバイル加入者のデータを保持し、受信した信号が、ネットワークに加入するモバイル・デバイスからのものであるかを検証する。モバイル・デバイスを認証するために、認証センタＡｕＣ１０５で保持される鍵を使用することになる。

ＵＴＭＳまたは３Ｇネットワークの場合、検証および認証された信号は、ゲートウェイ・サポート・ノード１０６を通じてルーティングされる。

ＬＴＥまたは４Ｇのネットワークの場合、信号は移動性管理エンティティＭＭＥ１０３に通され、また、モバイルはホーム加入者サーバＨＳＳ１０４／１０５において検証および認証される。呼は次いで、サービング・ゲートウェイ１０６を通じて更なるネットワーク１０７へと更にルーティングされる。更なるネットワーク１０７はインターネットとするのがよい。

図２は、通信ネットワークへのモバイル・デバイスの過剰なアタッチを検出するのに適する本発明の実施形態のフロー図を示す。有利な実施形態では、デバイスは時間ｔ_１で基地局を通じてネットワークにアタッチし（２０１）、ネットワークはアタッチを登録すると共に、モバイル・デバイスを識別して認証手順を開始する。アタッチ要求についての通常の処理と並行して、ネットワークは次のステップを実行する。カウンタＮＡ、開始時間ＳＴＡ、およびタイマが開始される（２０２）。通例、カウンタはゼロにセットされることになり、有利な実施形態では、タイマは時間ｔ_１にセットされて、ネットワークによって登録される。カウンタ値および開始時間は将来の参照のために格納される（２０３）。次の時間で、アタッチが同一のデバイスについて登録され、即ち、時間ｔ_２では、経過時間Ｔはｔ_２−ＳＴＡに等しく、所定の時間間隔ΔＡと比較される（２０４）。

Ｔ＝ΔＡ、またはＴ＞ΔＡの場合、カウンタＮＡおよびタイマはクリアされる（２０２）。

Ｔ＜ΔＡの場合、カウンタＮＡは１の値だけ増加し、ＳＴＡの値は時間ｔ_２で置き換えられる（２０５）。ＮＡおよびＳＴＡが再び格納される（２０８）。この場合、カウンタ値は、更に所定の閾値ＬｉｍｉｔＡと比較される（２０６）。

ＮＡ＝ＬｉｍｉｔＡの場合、警告が設定される。そうでない場合は、本方法は、ステップ２０４に戻る。

当業者にとって、実施形態への軽微な変形例があり、尚も機能することになるものと理解される。例えば、カウンタは、ＴがΔＡ以下である場合は増加され、またＴがΔＡより大きい場合はクリアのみされる。また例えば、ＬｉｍｉｔＡは超過しなければならない値とすることができ、警告フラグはＮＡ＞ＬｉｍｉｔＡの場合にセットされることになる。他の有利な実施形態では、カウンタの値が０より大きい場合に、ステップ２０２において、カウンタＮＡをクリアするのに替えてカウンタをデクリメントしてもよい。

当業者にとって、ＬｉｍｉｔＡおよび所定の時間間隔ΔＡについての適切な値は、ネットワークおよびカスタマ・ベースに応じて変更することになることが理解される。しかしながら、適切な値は、ΔＡ＝５００ｍｓおよびＬｉｍｉｔＡ＝１０である。

上記の方法により、ネットワークが、感染したモバイルからの過剰なアタッチ要求の形態で、悪意のある挙動を検出するのを可能にする。また、有利な実施形態では、ネットワークが有するＭＳＣ、サービング・デートウェイ、またはＭＭＥにおいて適切なものとして実行される。

図３は、通信ネットワークにおいてモバイル・デバイスの過剰なハンドオーバーを検出するのに適した本発明の実施形態のフロー図を示す。特に有利な実施形態では、ネットワークのＭＭＥにおいて実行され、Ｓ１ハンドオーバーと称されるハンドオーバーが実施される前に、またはＸ２ハンドオーバーと称されるハンドオーバーが発生した後に、ハンドオーバーが通知される。

本方法を実行するために、ＭＭＥは、モバイル・デバイスのグループに対しその領域内で次のステップを実行する。監視されるデバイスのグループは、その領域内で全てのモバイル・デバイスを備えるグループとすることができるが、当該グループのサブ・グループまたは規定される或る別のグループとすることもできる。例えば、監視されるモバイルのグループは、全ての新規のモバイルを備えることができ、または、例えば頻繁なダウンロード要求を行う場合に感染のリスクがあり得ると以前の活動が示唆するモバイルを備えることができる。または、特定のユーザ、即ち頻繁にモバイルを変更するユーザに登録されるモバイルを備えることができる。

この有利な実施形態では、デバイスは時間ｔ_１で基地局を通じてネットワークにアタッチし（３０１）、ネットワークはアタッチを登録すると共に、モバイル・デバイスを識別して認証手順を開始する。アタッチ要求についての通常の処理と並行して、ネットワークは次のステップを実行する。カウンタＮＨ、開始時間ＳＴＨ、およびタイマが開始される（３０２）。通例、カウンタはゼロにセットされることになり、有利な実施形態では、タイマは、ネットワークによって登録された時間ｔ_１にセットされる。カウンタ値および開始時間は将来の参照のために格納される（３０３）。次の時間で、アタッチが同一のデバイスによって登録され、即ち、時間ｔ_２では、経過時間Ｔはｔ_２−ＳＴＨに等しく、所定の時間間隔ΔＨと比較される（３０４）。

Ｔ＝ΔＨ、またはＴ＞ΔＨの場合、カウンタＮＨおよびタイマはクリアされる（３０５）。
Ｔ＜ΔＨの場合、カウンタＮＨは１の値だけ増加し、ＳＴＨの値は時間ｔ_２で置き換えられる（３０５）。ＮＨおよびＳＴＨが再び格納される（３０８）。この場合、カウンタ値は、更に所定の閾値ＬｉｍｉｔＨと比較される（３０６）。

ＮＨ＝ＬｉｍｉｔＨの場合、警告が設定される。そうでない場合は、本方法は、ステップ３０４に戻る。

再び、当業者にとって、実施形態への軽微な変形例があり、尚も機能することになることが理解される。例えば、カウンタは、ＴがΔA以下である場合は増加され、またＴがΔＡより大きい場合はクリアのみされる。また例えば、ＬｉｍｉｔＨは超過しなければならない値とすることができ、警告フラグがＮＨ＞ＬｉｍｉｔＨの場合にセットされることになる。

本発明の特定の有利な点は、通信ネットワークが、モバイル・デバイス内の悪意のある活動を監視し、特定のデバイスが、マルウェアによって潜在的に感染されるときを識別できるということである。本発明の使用はネットワーク・リソースを必要とし、さもなければ消費されないことになるものの、本発明は、識別されていない場合に遙かに大きいネットワーク・リソースを使い果たすこともあるデバイスの容易な識別を可能にする。

当業者は理解することになるように、ＬｉｍｉｔＨおよび所定の時間間隔ΔΗについての適切な値は、ネットワークおよびカスタマ・ベースに応じて変更することになる。しかしながら、適切な値は、ΔΗ＝２ｓ、およびＬｉｍｉｔＨ＝２０である。

Claims (15)

1. 通信ネットワーク内でモバイル通信デバイスの挙動を検出するためのシステムであって、
   少なくとも１つのモバイル通信デバイスを識別し、前記モバイル通信デバイスから信号を受信し、更に前記信号を処理してデータ・ストリームとするように構成される通信ネットワークを備え、
   前記データ・ストリームが、前記通信ネットワーク内で第１種別のイベントを生じさせるように構成される第１種別のデータを含み、
   前記ネットワークが、前記第１種別のデータについて前記データ・ストリームでの発生を監視するように構成され、前記発生が前記通信ネットワーク内で前記モバイル通信デバイスの許容可能な挙動を示すレベルを超過したときを登録するように構成されることを特徴とする、システム。
2. 請求項１記載のシステムにおいて、前記通信ネットワークは、前記発生が所定の時間レートを超過したときに、前記第１種別のデータが前記データ・ストリームに検出される回数を計数することによって、前記第１種別のデータの前記発生を監視するように構成され、更に、
   前記通信ネットワークが、前記検出した発生の回数が所定の閾値を超過したときを登録するように構成される、システム。
3. 請求項２記載のシステムにおいて、前記通信ネットワークが、検出される発生および以前に検出された発生の間の時間が所定の時間間隔内であるときに、前記データ・ストリームにおける前記第１種別のデータの前記発生を計数するように構成される、システム。
4. 請求項３記載のシステムにおいて、前記通信ネットワークが更に、カウンタおよびタイマを備え、
   前記通信ネットワークが、前記第１種別のデータの発生の検出に応じて前記カウンタを開始するように、また、前記タイマを開始するように構成され、
   前記通信ネットワークが更に、前記第１種別のデータの次の検出が前記タイマによって測定される所定の時間間隔Ｔ内で発生する場合に、前記カウンタを１単位増加させるように構成される、システム。
5. 前記通信ネットワークが、第１種別のデータについての前記データ・ストリームでの発生が所定のレートを超過したときを検出するように構成される、請求項１記載のシステム。
6. 請求項５記載のシステムにおいて、前記通信ネットワークが更に、カウンタおよびタイマを備え、
   前記通信ネットワークが、前記第１種別のデータの発生の検出に応じて前記カウンタを開始するように、また、前記タイマを開始するように構成され、
   前記通信ネットワークが更に、前記タイマによって測定される前記時間に対する、前記第１種別のデータにおける前記計数した発生の検出の比率として前記レートを計算するように構成される、システム。
7. 請求項１記載のシステムにおいて、前記通信ネットワークがフラグをセットすることによって、および／またはバック・オフ・タイマを開始することによって、前記発生が許容可能な挙動を示す前記レベルを超過するときを登録するように構成される、システム。
8. 前記第１種別のデータが、前記モバイル通信デバイスの前記通信ネットワークへのアタッチを示す、請求項１記載のシステム。
9. 前記第１種別のデータが、前記モバイル通信デバイスによるベアラのセットアップを示す、請求項１記載のシステム。
10. 前記第１種別のデータが、前記モバイル通信デバイスのハンドオーバーを示す、請求項１記載のシステム。
11. 請求項１０記載のシステムにおいて、前記通信ネットワークが更に、前記モバイル通信デバイスの追跡領域を監視し、また、前記モバイル通信デバイスが単一の追跡領域内のままにあることを前記追跡領域の監視が示すときのみ、ハンドオーバーを示すデータの発生を登録するように構成される、システム。
12. 前記通信ネットワークが、該通信ネットワークのＭＭＥ、ＳＧＳＮまたはＭＳＣにおいて前記第１種別のデータの前記データ・ストリームでの前記発生を監視するように構成される、請求項１記載のシステム。
13. 請求項１記載のシステムにおいて、前記通信ネットワークが、更に、
    − 少なくとも１つの追加のモバイル通信デバイスを識別し、
    − 前記少なくとも１つの追加のモバイル通信デバイスから信号を受信して、該信号を処理して追加のデータ・ストリームとし、
    − 前記第１種別のデータについて前記追加のデータ・ストリームでの発生を監視して、前記発生が前記通信ネットワーク内で前記モバイル通信デバイスの許容可能な挙動を示すレベルを超過したときを登録する
    ように構成され、
    前記通信ネットワークが更に、前記モバイル通信デバイスおよび前記少なくとも１つのモバイル通信デバイスについて前記登録されたデータを集計するように構成される、システム。
14. 通信ネットワークに信号を送信するように構成されるモバイル通信デバイスの挙動を検出するためのデバイスであって、
    前記信号が処理されて、前記通信ネットワークでのデータ・ストリームとされ、
    更に、前記データ・ストリームが、前記通信ネットワークでの第１種別のイベントを生じるように構成される第１種別のデータを含み、
    当該デバイスが、前記通信ネットワークに結合されるように構成され、また、前記データ・ストリームを受信するように構成され、更に、
    当該デバイスが、前記第１種別のデータについて前記データ・ストリームでの発生を監視するように構成され、また、前記発生が前記通信ネットワーク内で前記モバイル通信デバイスの許容可能な挙動を示すレベルを超過したときを登録するように構成される、デバイス。
15. 前記デバイスが更に、ＭＭＥ、ＳＧＳＮまたはＭＳＣにおいて動作するように構成される、請求項１４記載のデバイス。