JP2019506662A - ネットワーク管理 - Google Patents

Abstract

本発明の例示の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するように構成された、メモリと、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するように構成され、かつ、挙動決定の結果に対する応答として、有効なネットワークノードのリストにそのネットワークノードが含まれるかどうかを検証するように構成された、少なくとも１つの処理コアと、を備える装置、が提供される。

Description

本発明は、たとえば通信ネットワークなどの、ネットワークの管理の分野に関する。

たとえばセルラー通信ネットワークなどの通信ネットワークは、ネットワークノードからなる。ネットワークのネットワークノードは、異なるノードタイプに細分化され得、たとえば、セルラー通信ネットワークは、基地局、基地局コントローラ、スイッチ、ゲートウェイ、およびアプリケーション機能を含み得る。インターネットプロトコル、ＩＰ、ネットワークは、ルータおよびゲートウェイを含み得る。

ネットワークを設計するとき、立案者は、ネットワークのカバレージエリア内での負荷状況を推定し得る。たとえば都市の人通りが多い区域では、中心部から離れた地域よりも通信が頻繁に、およびより高強度で発生することが推定され得る。したがって、セルラーネットワークの場合、より人通りの多い地域ではセルをより小さくすることが可能であり、これらのより小さいセルを制御するために割り当てられた基地局は、高ピーク負荷を取り扱うのに十分なデータ処理機能を備えることができる。たとえば基地局には、いくつかのデータ処理カードを装備することができる。同様に、高ピーク負荷が予想される基地局との間でデータを伝搬するタスクが与えられたネットワークノードは、これらの高負荷を取り扱うことが可能なように寸法を決定することができる。

ネットワーク保守を単純化するために、ネットワーク機能の仮想化を採用することができる。機能が少なくとも部分的に仮想化されているネットワークにおいて、仮想化されたネットワーク機能は、たとえばデータセンター内に位置し得るサーバコンピュータ上のソフトウェア・エンティティ（実体）として実行することができる。仮想化されるネットワーク機能のタイプに応じて、たとえば、機能が単純であるか複雑であるかに応じて、仮想化ネットワーク機能、ＶＮＦを、複数のＶＮＦ構成要素、ＶＮＦＣに分割することができる。単純なＶＮＦの例がファイアウォールであり、複雑なＶＮＦの例がホームロケーションレジスタである。

ターゲットを攻撃するために、犯罪者によって悪意あるソフトウェアが採用される場合がある。攻撃の背後にある動機には、たとえば、スパイ行為、窃盗、なりすまし犯罪、復讐、サイバー戦争、およびサイバーテロなどが含まれ得る。悪意あるソフトウェアは、コンピュータウィルス、トロイの木馬、およびルートキットなどの形を取り得る。悪意あるソフトウェアに対する対抗手段は、アンチウィルスプログラム、ファイアウォール、およびデータセキュリティプロシージャなどを含む。

本発明は、独立請求項の特徴によって定義される。いくつかの特定の実施形態は従属請求項内に定義される。

本発明の第１の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するように構成された、メモリと、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するように構成され、かつ、挙動決定の結果に対する応答として、有効なネットワークノードのリストにそのネットワークノードが含まれるかどうかを検証するように構成された、少なくとも１つの処理コアと、を備える装置、が提供される。

第１の態様の様々な実施形態は、下記の箇条書きリストからの少なくとも１つの特徴を含むことができる。
・ネットワークノードは、仮想化ネットワーク機能または仮想化ネットワーク機能の構成要素である
・少なくとも１つの処理コアは、ネットワークノードが有効な認証を有することを検証するように構成される
・少なくとも１つの処理コアは、挙動決定の結果に対する応答として、ネットワークノードが有効な認証を有するかどうかを、ユーザの介入なしに自動的に検証するように構成される
・ランタイム挙動パターンは、第１に、ネットワークノードの能力の低下と相まったＣＰＵ負荷の増加、第２に、通信スループットの向上と同時に発生することのないメモリ使用量の増加、第３に、ネットワークノード内へのトラフィックの増加に対応することのないネットワークノードから出ていくトラフィックの増加、および第４に、ネットワークノードが第１のリストに含まれることなくインスタンス化されアクティブである、という、４つのパターンのうちの、少なくとも１つを有する
・挙動決定を実行することは、ネットワークノードを実行する計算基板にランタイム情報を要求することを含む
・ネットワークノードが有効な認証を有するかどうかを検証することは、ネットワークノードの認証を取得すること、および、検証機能から、認証が有効かどうかを照会することを含む
・検証機能は、有効な認証のリストを保有しているノードまたは機能を含む
・認証は、ネットワークノードの実行環境の少なくとも一部のハッシュ、ネットワークノードの公開鍵、ネットワークノードの秘密鍵、ネットワークノードに関するデータにおける静的特徴、および暗号トークンのうちの、少なくとも１つを含む
・ネットワークノードが有効な認証を有するかどうかを検証することは、署名要求をネットワークノードに伝送すること、それに応えてノードから暗号署名を取得すること、および、暗号署名が正しいことを検証させることを含む
・署名要求は、その秘密鍵を使用して署名するための、ネットワークノードについてのトークンを含む

本発明の第２の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、挙動決定の結果に対する応答として、有効なネットワークノードのリストにそのネットワークノードが含まれるかどうかを検証することを含む、方法が提供される。

第２の態様の様々な実施形態は、第１の態様に関して列挙された前述の箇条書きリストからの特徴に対応する少なくとも１つの特徴を含み得る。

本発明の第３の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するように構成された、メモリと、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するように構成され、かつ、挙動決定の結果に応答して、ネットワークノードを終了させるように構成された、少なくとも１つの処理コアと、を備える装置、が提供される。

第３の態様の様々な実施形態は、下記の箇条書きリストからの少なくとも１つの特徴を含み得る。
・少なくとも１つの処理コアは、有効なネットワークノードのリストにそのネットワークノードが含まれることを検証するように構成される
・少なくとも１つの処理コアは、ネットワークノードが有効な認証を有することを検証するように、および、ネットワークノードが、有効な認証を有し、有効なネットワークノードのリストに含まれる場合、終了させるようにも、構成される
・装置は、ネットワークノードのランタイム観察に基づいて、ランタイム挙動パターンを決定するように構成される

本発明の第４の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、挙動決定の結果に応答して、ネットワークノードを終了させることを含む、方法が提供される。

第４の態様の様々な実施形態は、第３の態様に関して列挙された前述の箇条書きリストからの特徴に対応する少なくとも１つの特徴を含み得る。

本発明の第５の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するための手段と、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するための手段と、挙動決定の結果に対する応答として、有効なネットワークノードのリストにそのネットワークノードが含まれるかどうかを検証するための手段とを備える、装置が提供される。

本発明の第６の態様によれば、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するための手段と、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するための手段と、挙動決定の結果に応答して、ネットワークノードを終了させるための手段とを備える、装置が提供される。

本発明の第７の態様によれば、コンピュータ読取可能な複数の命令のセットが記憶された、非一時的なコンピュータ読取可能な媒体がであって、前記複数の命令は、少なくとも１つのプロセッサによって実行されたときに、少なくとも１つのランタイム挙動パターンを特徴付ける情報を少なくとも記憶すること、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、挙動決定の結果に対する応答として、有効なネットワークノードのリストにそのネットワークノードが含まれるかどうかを検証することを、装置に実行させる。

本発明の第８の態様によれば、コンピュータ読取可能な複数の命令のセットが記憶された、非一時的なコンピュータ読取可能な媒体であって、前記複数の命令は、少なくとも１つのプロセッサによって実行されたときに、少なくとも１つのランタイム挙動パターンを特徴付ける情報を少なくとも記憶すること、記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、挙動決定の結果に応答して、ネットワークノードを終了させることを、装置に実行させる。

本発明の第９の態様によれば、第２および第４の態様のうちの少なくとも１つに従った方法を実行させるように構成された、コンピュータプログラムが提供される。

本発明の少なくともいくつかの実施形態をサポートすることが可能な、例示のシステムを示す図である。 本発明の少なくともいくつかの実施形態に従った例示のネットワークアーキテクチャを示す図である。 本発明の少なくともいくつかの実施形態をサポートすることが可能な、例示の装置を示す図である。 本発明の少なくともいくつかの実施形態に従ったシグナリングを示す図である。 本発明の少なくともいくつかの実施形態に従ったシグナリングを示す図である。 本発明の少なくともいくつかの実施形態に従った方法を示すフローチャートである。 本発明の少なくともいくつかの実施形態に従った方法を示すフローチャートである。

ネットワーク内にどのようなノードが存在するかを理解できるようにするために、ネットワーク上で実行しているＶＮＦまたは他のネットワークノードをリスト表示することができる。リスト上にないノードも存在する可能性があり、これらのリスト表示されないノードは、合法的であるが非表示のノード、および／または偽ノードを含む。リスト表示されないノードが検出されると、偽ノードと合法的な非表示のノードとを区別できるようにするために、その認証を検証することができる。合法的な非表示のノードに気付く作業員ができる限り少ないように、こうした検証は自動的である。代替または追加として、リスト上のノードがマルウェアによって危険にさらされた場合、その変更された挙動を検出することによって、その変更された挙動を検出することができ、危険にさらされたノードを終了させることが可能になる。

セルラーネットワークに関して論じたが、非セルラーネットワークも等しく例示のシステムを示す働きをする。非セルラー技術の例には、Ｗｉ−Ｆｉとも呼ばれるワイヤレスローカルエリアネットワーク、ＷＬＡＮ、および、ｗｏｒｌｄｗｉｄｅ ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ ｍｉｃｒｏｗａｖｅ ａｃｃｅｓｓ、ＷｉＭＡＸが含まれる。本発明の実施形態は、好適な形で、ワイヤレスリンクが発生しないＩＰネットワークなどのワイヤラインネットワークにも適用可能である。

図１は、本発明の少なくともいくつかの実施形態をサポートすることが可能な、例示のシステムを示す。図１のシステムにおいて、移動体（モバイル装置）１１０は無線ノード１２２を伴うワイヤレスリンク１１２を有する。無線ノード１２２は、無線ハードウェアを備えるが、情報処理機能は少ないかまたは備えていない、縮小バージョンの基地局である。無線ノード１３２は、同様に、図１のシステムにおいて基地局の代わりを務める。無線ノード１２２および無線ノード１３２は、どちらも、図１の無線ノード内には見られない基地局の情報処理機能を実行できるように配置された、処理コアおよびメモリなどの、コンピューティングリソースと共に構成されたコンピュータシステムを備えるサーバ１Ｖ１に、別々に接続される。言い換えれば、基地局の情報処理機能の少なくとも一部が、図１のシステム内のサーバ１Ｖ１に配置されている。

サーバ１Ｖ１内で行われる無線ノード１２２に関する情報処理機能は、仮想化基地局１２０ｖとして示されている。サーバ１Ｖ１内で行われる無線ノード１３２に関する情報処理機能は、仮想化基地局１３０ｖとして示されている。

サーバ１Ｖ２は、図１のシステムにおいて、コアネットワークノードの仮想化バージョンを実行するように構成される。図１のシステムにおいて、サーバ１Ｖ２は、たとえばモビリティ管理エンティティ、ＭＭＥ、またはルータを備え得る、仮想化コアネットワークノード１４０ｖを実行する。コアネットワークノード１４０ｖはさらに、さらなるコアネットワークノード１５０ｖに動作可能に接続される。さらなるコアネットワークノード１５０ｖは、インターネット、たとえば１５０ｖなどの、さらなるネットワークへのアクセスを提供するように構成された、たとえばゲートウェイを備え得る。使用中、仮想化基地局１２０ｖは、無線ノード１２２から情報を受信し、受信した情報に関して処理動作を実行し得る。仮想化基地局１２０ｖは、処理した情報を、たとえばサーバ１Ｖ２内の仮想化コアネットワークノード１４０ｖに転送するように構成され得る。

サーバ１Ｖ１および１Ｖ２は、ｘ８６アーキテクチャマルチコアプロセッサのセット、または、たとえば縮小命令セットコンピューティング、ＲＩＳＣプロセッサなどの、汎用計算技術に基づくことができる。サーバ１Ｖ１は、必ずしもサーバ１Ｖ２と同じ計算技術に基づく必要はない。

一般に、仮想化ネットワーク機能は、汎用計算ハードウェア上の、ソフトウェア・エンティティを備えてもよく、このソフトウェア・エンティティは、対応するネットワーク機能と同じ規格に少なくとも部分的にしたがって実行されるように構成され、ネットワーク機能は、仮想化されていない、すなわち、専用ハードウェア上で実行される。汎用計算ハードウェアとは、特定タイプの仮想化ネットワーク機能を実行するように設計されていないハードウェアを意味する。言い換えれば、仮想化ネットワーク機能は、通信ネットワークの論理ネットワークノードのソフトウェア実施を含むことができる。これには、他のネットワーク要素に関して、ネットワーク要素が仮想化されているか否かをこれらの他の要素が知る必要がないという効果がある。したがって、たとえば仮想化された呼び出しセッション制御機能、ＣＳＣＦは、仮想化されていないＣＳＣＦと同じ種類のメッセージが送信され得る。仮想化ネットワーク機能、ＶＮＦは、複数の仮想化ネットワーク機能構成要素、ＶＮＦＣからなり得る。

図１のシステムは、仮想化ネットワーク機能が欠けているシステムを超える利点を与える。詳細には、仮想化基地局１２０ｖは必要に応じて拡縮できるが、非仮想化基地局は、常に予測される最大負荷に合わせて寸法を決定しなければならない。たとえば、負荷が軽い場合、仮想化基地局１２０ｖは、サーバ１Ｖ１内の少数の、またはわずか１つの処理コアで実行され得るが、サーバ１Ｖ１の他の処理コアは、たとえばグリッドコンピューティングなどの他の処理タスクに使用可能である。無線ノード１２２を介する負荷の増加に対する応答として、仮想化基地局１２０ｖに、動的ネットワーク管理アクションにおいてより多くの処理コアを割り振ることができる。

図１のシステムはネットワーク管理アクションを実行可能であり、各ネットワーク管理アクションは、少なくとも１つの仮想化ネットワーク機能または仮想化ネットワーク機能構成要素を含む。仮想化ネットワーク機能は、たとえば仮想化基地局および／または仮想化コアネットワークノードを備えることができる。ネットワーク管理アクションは、仮想化ネットワーク機能または仮想化ネットワーク機能構成要素に割り振られるリソースを増加させること、仮想化ネットワーク機能または仮想化ネットワーク機能構成要素に割り振られるリソースを減少させること、仮想化ネットワーク機能または仮想化ネットワーク機能構成要素のインスタンス（実体化、実体）を開始すること、および、仮想化ネットワーク機能または仮想化ネットワーク機能構成要素のインスタンスを終了することのうちの、少なくとも１つを含むことができる。

仮想化ネットワーク機能または仮想化ネットワーク機能構成要素のインスタンスを開始することは、たとえば、少なくとも部分的にテンプレートまたはイメージに基づいて、新しい仮想化ネットワーク機能または仮想化ネットワーク機能構成要素を初期化することを含み得る。図１に関して、これはたとえば、サーバ１Ｖ２内のさらなる仮想化コアネットワークノード「１５５ｖ」を初期化することを含み得る。新しい仮想化ネットワーク機能、またはノードには、少なくとも１つのプロセッサコアおよびメモリに関して、リソースを割り振ることができる。新しい仮想ネットワーク機能は、いったん関連付けられたソフトウェアイメージ／テンプレートがアップロードされ、仮想化ネットワーク機能のリストに追加されると、仮想インフラストラクチャに搭載され、いったん計算リソースが割り当てられると、インスタンス化（実体化）されるものと、見なすことができる。通常、仮想化ネットワーク機能は、搭載およびインスタンス化の両方が実行される。

仮想化ネットワーク機能の終了は、それに応じて、仮想化ネットワーク機能を実行するプロセッサタスクを終わらせることを含み得る。終了は通常、円滑であり得、たとえば、終了されるべき仮想化ネットワーク機能によるサービスを受けているいずれのユーザも、接続の中断を回避するために、別の仮想化ネットワーク機能に引き継がれる。終了は、たとえば仮想化ネットワーク機能が不正を行っていると判断された場合、突然実行される可能性もあり、オペレータは突然の終了を選択することができる。不正行為は、ＶＮＦの挙動をたとえば挙動パターンと比較することによって判別可能である。

２つのサーバ１Ｖ１および１Ｖ２の代わりに、実施形態およびネットワークの実施に応じて、別の数のサーバを採用することができる。たとえば、１つ、３つ、または７つのサーバが使用可能である。一般に、サーバは、仮想化ネットワーク機能および／または仮想化ネットワーク機能構成要素を実行するように配置された、計算装置の一例である。こうした装置は、代替として、計算基板と呼ぶこともできる。

図１のシステムは、仮想化制御ノード１６０ｖを実行するサーバ１Ｖ３をさらに備える。制御ノードは、等しい設備を伴って、仮想されないかまたは仮想化されることができ、たとえばサーバ１Ｖ１または１Ｖ２上で実行可能である。本明細書で制御ノードについて言及する場合、簡潔に示すために、仮想化制御ノード１６０ｖは、別個の制御ノードと同様のアクションを実行し、同様の役割を想定するように構成され得る。

制御ノードは、図１のネットワークに含まれるネットワークノードの機能に関する情報を収集するように構成される。たとえば制御ノードは、他のノードにおけるエラー条件を検出するために監視機能を実行するように構成され得る。制御ノードは、制御ノードまたは別のノードが、別のノードの挙動を特徴付ける挙動パターンを導出できるようにする、ランタイム（実行時、実行に要する時間）情報を取得するように配置され得る。仮想化コアネットワークノード１４０ｖの挙動パターンは、たとえば、仮想化コアネットワークノード１４０ｖがウィルスに感染された場合に、修正される可能性がある。

制御ノードは、図１に関して前述したように、制御ノードまたは別のノードが、別のノードの挙動を特徴付ける挙動パターンを導出できるようにする、ランタイム情報を取得することができる。この情報は、たとえばネットワークノードを実行しているサーバに要求することによって取得可能である。ランタイム情報は、ノードまたは仮想化ネットワーク要素が動作している、すなわち機能している間に生成される情報に関する。同様に、ランタイム挙動パターンは、動作中の挙動を特徴付ける。

ウィルス、トロイの木馬、またはルートキットなどの悪意あるプログラムが、ＶＩＭなどのネットワーク管理機能に首尾よくアクセスした場合、この悪意あるプログラムは、適切に選択されたサーバ上で、ネットワーク内の仮想化ネットワーク機能をインスタンス化させることができる。追加または代替として、悪意あるプログラムは、ネットワーク内に既に存在しているＶＮＦを感染させることができる。悪意あるプログラムによってインスタンス化された仮想化ネットワーク機能は、偽仮想化ネットワーク機能と呼ばれる。偽仮想化ネットワーク機能を使用して、ネットワークを介して伝搬される通信に対してスパイ行為をすること、ネットワークからスパムを伝送すること、または、たとえばオペレータまたは法的機関には不可視の秘密通信を容易にすることを含む、ネットワークオペレータの利益とは逆に働くアクションを実行することができる。偽ってインスタンス化されたＶＮＦは、ＶＮＦＭまたはＮＦＶＯ層内での可視性なしに、危険にさらされたＶＩＭを介してインスタンス化され得る。

制御ノードは、物理ノード、仮想化ネットワーク機能、またはサーバのいずれかの、ネットワークノードに関する、挙動パターンを取得することができる。挙動パターンは、下記のうちの少なくとも１つを含むことができる。
・ネットワークノードの能力の低下と相まったＣＰＵ負荷の増加
・通信スループットの向上と同時に発生することのないメモリ使用量の増加
・ネットワークノード内へのトラフィックの増加に対応することのないネットワークノードから出ていくトラフィックの増加
・またはより複雑であるが起こりそうにない、複数のメトリクスにわたって反映される確立されたパターンにおける変化

能力の低下と相まった、すなわち同時に生じる、中央処理ユニット、ＣＰＵにおける負荷の増加は、ＣＰＵリソースが偽仮想化ネットワーク機能またはノード上で消費されていることを示唆する場合がある。偽ノードは、悪意あるソフトウェアに感染した、図１に示されるようなノードを含むことができる。メモリ使用量の増加は、通常、ノードまたは仮想化ネットワーク機能をトラバースするトラフィックの増加に関連付けられるが、メモリが、通信スループットにおける同時増加なしにその他の方法で引き継がれる場合、偽のアクティビティが進行中である合図であり得る。内部へのトラフィックの増加に対応することのない外部へのトラフィックの増加は、仮想化ネットワーク機能またはノードが、適用可能であれば、トラフィックの中継ではなくトラフィックのソースになっていることを示し得る。こうしたトラフィックは、スパムまたはサービス妨害トラフィックなどの偽であり得る。サービス妨害トラフィックは、サービス妨害攻撃に含まれ得る。これらの挙動パターンに加えて、またはそれらに代わって、パターンは、たとえば警察またはマルウェア対策機関から制御ノード内で受信可能であり、こうした受信されるパターンは、特定の悪意あるソフトウェアアイテムによって生成される偽仮想化ネットワーク機能の挙動を特徴付ける。挙動パターンのさらなる例は、問題のＶＮＦの観察によって確立されるものであり、言い換えれば、ＶＮＦが以前に確立されたそれ自体の挙動パターン特徴とは異なるような挙動を開始した場合、制御ノードは本明細書で説明するようなアクションを実行するようにトリガされ得る。パターンは、たとえば観察に基づいて確立され得る。

制御ノードは、ネットワークノード、すなわち仮想化ネットワーク機能、サーバ、またはノードが潜在的に偽である旨の決定に応答して、このネットワークノードの少なくとも１つの認証（認証情報、クレデンシャル（credential）情報）を検証するように構成可能である。この決定は、挙動パターンに従ったネットワークノード動作の決定に基づくことが可能であり、上記のようにパターンが偽って動作するネットワークノードを特徴付ける場合、または、パターンが適切に挙動するノードの挙動を特徴付ける場合、制御ノードは、ネットワークノードがパターンから逸脱していることに応答して認証を検証することができる。言い換えれば、認証の検証は、挙動パターンに関与する決定によってトリガすることができる。パターン自体を、正常または異常な挙動を特徴付けるものとして表すことができる。

検証は、ユーザの介入なしに、制御ノードによって自動的に実行することができる。言い換えれば、制御ノードは、ネットワークノード、それらの挙動、およびそれらの認証を、自動化プロセスとして監視するように構成され得る。制御ノードは、ネットワークノードが有効な認証を有さないことを示す検証に応答して、アクションを実行するように構成され得る。こうしたアクションは自動であってもよい。

認証検証に不合格である場合、すなわち、ネットワークノードが有効な認証を有さない場合、制御ノードは、ネットワークノードに対してアクションを実行するように構成され得る。たとえば、ネットワークノードを縮小する、隔離する、または終了することができる。隔離は、ネットワークノードを通信不能にすることを含むことができる。ユーザには、ネットワークノードに対して実行されたアクションを通知することができる。

認証の検証は、たとえば認証を要求し、これに応答して受信することによって、ネットワークノードから認証を取得することを含み得る。さらに制御ノードは、認証がリストに含まれるかどうかをチェックすることが可能であり、リストは、合法的なネットワークノードの認証のリストを含む。認証がリスト上にない場合、検証は不合格であると見なされ得る。認証がリストに含まれる場合、検証は合格であると見なされ得る。リストをチェックすることは、検証機能から、認証がリスト上にあるかどうかを照会することを含み得る。制御ノードから検証機能に送信される照会は、たとえば、認証または認証のハッシュを含み得る。いくつかの実施形態において、ネットワークノードが認証の提供を要求された際にそれを提供しなかった場合、検証は不合格と見なされる。

認証は、ネットワークノードの実行環境、またはその一部のハッシュを含み得る。認証は、ネットワークノードの公開暗号鍵を含み得る。公開鍵および対応する秘密鍵は、公開鍵暗号鍵ペアを形成する。代替または追加として、認証は暗号トークンまたは署名を含み得る。

いくつかの実施形態において、認証の検証は、ネットワークノードへの署名要求の伝送を含む。署名要求は、その秘密鍵を使用してネットワークノードに署名するための、ナンスなどのトークンを含み得る。代替として、ネットワークノードはどの情報に署名するかをわかっていることが想定され、たとえばネットワークノードは、署名要求のヘッダフィールドに含まれるタイムスタンプに署名することが予測され得、したがって、署名するために別のトークンを提供することを不要にする。署名は、たとえば制御ノードまたは検証機能において使用可能であり得る、ネットワークノードの公開鍵を使用して検証可能である。

いくつかのネットワークノードは、偽でないにもかかわらず、初期には偽として見られる場合がある。たとえば、電話またはデータトラフィックの合法的な傍受は、傍受型ＶＮＦをインスタンス化することによって配置可能であるが、合法的な傍受の存在を隠すために、搭載されていないかまたは有効なノードのリストに含まれていない。この場合、ネットワークオペレータの何人かの従業員でさえも、いずれのインターネットプロトコル、ＩＰアドレス、または電話加入者が合法的な傍受の対象であるかを決定することができず、セキュリティを強化することになる。さもなければ、犯罪者が、ネットワークオペレータ要員達の中に作業員を侵入させることによって、合法的な傍受に関する情報にアクセスできるようになる可能性がある。合法的な傍受ネットワークノードには有効な認証が提供され、これを前述のように検証して、偽のノードと合法的な傍受ノードとを分離することができる。検証がユーザの介入なしに自動的に実行される場合、合法的な傍受の存在、および実際には合法的であるが非表示の他のノードの存在を、より効果的に隠すことが可能である一方で、作業員が偽のネットワークノードを発見し、これを安全化することを可能にする。

したがって、合法的傍受ＶＮＦの開始、または実行中のＶＮＦＣへの挿入は、ＶＮＦのインスタンス化、または現在実行中のＶＮＦＣの維持、およびその認証の登録を含み得るため、制御ノードが挙動パターンを使用して合法的傍受ＶＮＦまたはＶＮＦＣを選択する場合、ＶＮＦまたはＶＮＦＣは制御ノードによって実行される認証検証に合格することになる。認証の登録は、有効な認証のリストにその認証を入れること、または、暗号認証を提供することを含み得、すなわち、ＶＮＦ自体に対応する秘密鍵を与えながら、有効な認証のリストに公開鍵を入力する形であり、その結果、秘密鍵を使用して生成された暗号署名が公開鍵を使用して検証できるようになる。認証は、ＶＮＦまたはＶＮＦＣに関するデータ内の静的特徴を含み得る。

いくつかの実施形態において、制御ノードは、既知のノードのリストにないノードが検出されたときに、人間のユーザに通知するように構成される。通知することは、危険にさらされたＶＩＭを使用して偽のＶＮＦがインスタンス化される可能性があるため、ＶＩＭが危険にさらされているという指示を含むことができる。

一般に、ＶＮＦによって、これは、特定のＶＮＦインスタンス、あるいは、ＶＮＦインスタンスに含まれるＶＮＦＣまたはＶＮＦＣのセットと呼ばれる場合がある。ＶＮＦインスタンスは、別個の計算基板上に存在するＶＮＦＣを含み得る。

図２は、本発明の少なくともいくつかの実施形態に従った例示のネットワークアーキテクチャを示す。図２において、ＶＮＦ ２１０は、たとえば図１に関して上記で説明したような仮想化ネットワーク機能などの、仮想化ネットワーク機能を含む。ＶＮＦ ２１０はＶＮＦマネージャ２３０とのインターフェースを有し、ＶＮＦマネージャ２３０は、たとえば、仮想化ネットワーク機能の負荷レベルにおける変化に応答して、または決定された障害条件に応答して、ネットワーク管理アクションを始動するように構成され得る。ＶＮＦマネージャ２３０は、仮想化インフラストラクチャマネージャ、すなわちＶＩＭ ２２０とのインターフェースを有する。ＶＩＭ ２２０は、負荷または他の事前に定義されたしきい値を超える仮想化ネットワーク機能を検出し、それに応じてネットワーク管理アクションをトリガするための、監視機能を実施することができる。たとえば、負荷レベルが第１のしきい値を超えた場合、より多くのリソースを仮想化ネットワーク機能に割り振ること、および／または、負荷レベルが第２のしきい値よりも低下した場合、リソースを仮想化ネットワーク機能から他の用途に割り振ることが、可能である。ＮＦＶオーケストレータ、ＮＦＶＯ ２７０および／または別のノードは、機械学習プロセスによって定義された予測モデルによって計算されたスコアと結合された理由コードに応答するように構成され得、傾向スコアと結合された理由コードは、ネットワーク管理アクションをネットワークの少なくとも１つの動作条件に関連付ける。アーキテクチャは、複数のＶＮＦ ２１０、ＶＩＭ ２２０、および／または、複数のＶＮＦマネージャ２３０を含み得る。

ＶＮＦ ２１０およびＶＩＭ ２２０はどちらも、ネットワーク機能仮想化インフラストラクチャ、すなわちＮＦＶＩ ２４０へのインターフェースを有する。ＮＦＶＩ ２４０は、ＶＮＦが展開される環境を構築する、ハードウェアおよびソフトウェア構成要素のセットを提供することができる。ＶＮＦ ２１０は、さらに、要素マネージャ、ＥＭ ２５０とのインターフェースを有する。ＥＭ ２５０は、複数のネットワーク要素の関連タイプのセットを管理するための、エンドユーザ機能を提供することができ、複数のネットワーク要素は、仮想化ネットワーク機能または非仮想化ネットワーク機能、あるいはその両方を備える、複数のネットワーク要素を含み得る。これらの機能は、要素管理機能およびサブネットワーク管理機能という、２つの主カテゴリに分割することができる。いくつかの実施形態において、ＥＭ ２５０は、ネットワーク管理アクションに関する決定を行うように、および、たとえば、決定に関するシグナリングをＶＮＦマネージャ２３０に対して行うことによって、決定を実施させるように構成され得る。ＥＭ ２５０は、たとえば決定された障害条件への応答として、ネットワーク管理機能に関する決定を行うことができる。ＥＭ ２５０は、動作サポートシステムおよび／または、ビジネスサポートシステム、ＯＳＳ／ＢＳＳ ２６０とのインターフェースを有する。ＯＳＳ／ＢＳＳ ２６０は、エンドツーエンド電気通信サービスをサポートするように構成され得る。ＯＳＳ／ＢＳＳ ２６０は、たとえば負荷監視を実施することができる。次にＯＳＳ／ＢＳＳ ２６０は、ＮＦＶオーケストレータ、ＮＦＶＯ ２７０とのインターフェースを有する。ＮＦＶＯ ２７０は、ネットワークサービス、ＮＳライフサイクルを管理し、リソースおよび接続の最適な割り振りを保証するために、ＮＳライフサイクル、ＶＮＦライフサイクル、およびＮＦＶＩ ２４０リソースの管理を調整する、機能ブロックを含むことができる。ＮＦＶＯ ２７０は、ＮＳカタログ２７２、ＶＮＦカタログ２７４、ネットワーク機能仮想化ＮＦＶインスタンス２７６、およびＮＦＶＩリソース２７８の、各々とのインターフェースを有する。ＶＩＭ ２２０は、ＮＦＶＯ ２７０とのインターフェースをさらに有することができる。ＶＮＦマネージャ２３０も同様に、ＮＦＶＯ ２７０とのインターフェースを有することができる。ＶＮＦカタログ２７４は、上記で言及した既知のＶＮＦのリストを含むことができる。

いくつかの実施形態において、制御ノード２８０は、前述のように、挙動パターンに基づいてＮＦＶに関する決定を実行するように構成される。制御ノード２８０は、挙動情報を取得するためのＶＮＦ ２１０へのインターフェース、ならびに、ＶＮＦ ２１０が既知のＶＮＦのリストに含まれるかどうかをチェックするためのＮＦＶＯ ２７０および／またはＶＮＦＭ ２３０へのインターフェースを有する。制御ノード２８０は、ＶＩＭ ２２０とのインターフェースをさらに有し得る。制御ノード２８０は、ＶＮＦを終了するようにＶＩＭ ２２０に命じることによって、ＶＮＦを終了することができる。制御ノード２８０は、予測機能を有し得るか、または予測機能と同じ物理ノード上で実行され得る。

いくつかの実施形態において、ネットワーク管理リソーススケーリングアクションを実施するために、ＮＦＶＯ ２７０は、少なくとも１つのＶＮＦ ２１０に追加のリソースを与えるようにＶＩＭ ２２０に命じる。ＶＩＭ ２２０が追加のリソースについて肯定応答する場合、ＮＦＶＯ ２７０は、リソースをスケーリングするように、仮想化ネットワーク機能マネージャ、ＶＮＦＭ ２３０に通知することができる。任意選択として、ＮＦＶＯ ２７０は第１に、ＶＮＦがスケーリング可能であるかどうか、およびいずれのリソースをスケーリングする必要があるかを、ＶＮＦＭ ２３０に要求することができる。スケールダウンまたはスケールインする場合、ＮＦＶＯ ２７０は、ＶＮＦをスケーリングするようにＶＮＦＭ ２３０に通知することが可能であり、ＶＮＦＭ ２３０はリソースをスケーリングし、それに関してＮＦＶＯ ２７０に通知することが可能であり、次いでＮＦＶＯ ２７０は、これらのリソースがもはや使用されない旨をＶＩＭ ２２０に通知することが可能であり、その後、ＶＩＭ ２２０はそのように実行することが可能である。ＮＦＶＯ ２７０は、リソースがもはや使用できない旨を、ＮＦＶＯ ２７０に通知することもできる。

様々な実施形態において、図２に示される少なくとも２つのエンティティ（実体）は、同じハードウェアリソース上で実行するように配置されたソフトウェア・エンティティを含む。たとえば、制御ノード２８０は、図２に示された少なくとも１つの他の要素と同じ計算基板上で実行する、制御機能を含むことができる。

図２はアーキテクチャの一例を示しているが、本発明の異なる実施形態では他のアーキテクチャも可能である。たとえば、ネットワークがインターネットプロトコル、ＩＰネットワークである場合、アーキテクチャは図２に示されるよりも単純であり得る。

図３は、本発明の少なくともいくつかの実施形態をサポートすることが可能な例示の装置を示す。図示されたデバイス３００は、たとえば図１のサーバを含み得る。デバイス３００は、たとえば、シングルコアまたはマルチコアのプロセッサを含み得る、プロセッサ３１０を備え、シングルコアプロセッサは１つの処理コアを備え、マルチコアプロセッサは複数の処理コアを備える。プロセッサ３１０は複数のプロセッサを含み得る。処理コアは、たとえばＡＲＭ Ｈｏｌｄｉｎｇｓによって製造されるＣｏｒｔｅｘ−Ａ８処理コア、または、Ａｄｖａｎｃｅｄ Ｍｉｃｒｏ Ｄｅｖｉｃｅｓ Ｃｏｒｐｏｒａｔｉｏｎによって生産されるＳｔｅａｍｒｏｌｌｅｒ処理コアを、含むことができる。プロセッサ３１０は、少なくとも１つのＡＭＤ Ｏｐｔｅｒｏｎおよび／またはＩｎｔｅｌ Ｃｏｒｅプロセッサを含み得る。プロセッサ３１０は、少なくとも１つの特定用途向け集積回路、ＡＳＩＣを含み得る。プロセッサ３１０は、少なくとも１つのフィールドプログラマブルゲートウェイ、ＦＰＧＡを含み得る。プロセッサ３１０は、デバイス３００において方法ステップを実行するための手段であり得る。プロセッサ３１０は、少なくとも部分的にコンピュータ命令によってアクションを実行するように構成され得る。

デバイス３００はメモリ３２０を備えることができる。メモリ３２０は、ランダムアクセスメモリおよび／または永続メモリを含み得る。メモリ３２０は、少なくとも１つのＲＡＭチップを含み得る。メモリ３２０は、たとえばソリッドステート、磁気、光、および／またはホログラフのメモリを含み得る。メモリ３２０には、少なくとも部分的にプロセッサ３１０からアクセス可能である。メモリ３２０は、少なくとも部分的にプロセッサ３１０に含まれ得る。メモリ３２０は、情報を記憶するための手段であり得る。メモリ３２０は、プロセッサ３１０が実行するように構成されたコンピュータ命令を含み得る。あるアクションをプロセッサに実行させるように構成されたコンピュータ命令がメモリ３２０内に記憶され、デバイス３００全体が、メモリ３２０からのコンピュータ命令を使用するプロセッサ３１０の指示の下で実行するように構成される場合、プロセッサ３１０および／またはその少なくとも１つの処理コアは、当該のあるアクションを実行するように構成されるものと見なし得る。メモリ３２０は、少なくとも部分的にプロセッサ３１０に含まれ得る。メモリ３２０は、少なくとも部分的にデバイス３００の外部であり得るが、デバイス３００からアクセス可能であり得る。

デバイス３００は送信器３３０を備え得る。デバイス３００は受信器３４０を備え得る。送信器３３０および受信器３４０は、少なくとも１つのセルラーまたは非セルラー規格に従って、情報を、それぞれ、送信および受信するように構成され得る。送信器３３０は、複数の送信器を含み得る。受信器３４０は、複数の受信器を含み得る。送信器３３０および／または受信器３４０は、たとえば、イーサネット（登録商標）および／またはｗｏｒｌｄｗｉｄｅ ｉｎｔｅｒｏｐｅｒａｂｉｌｉｔｙ ｆｏｒ ｍｉｃｒｏｗａｖｅ ａｃｃｅｓｓ、ＷｉＭＡＸ規格に従って動作するように構成され得る。

デバイス３００は、ユーザインターフェース、ＵＩ ３６０を備え得る。ＵＩ ３６０は、ディスプレイ、キーボード、タッチスクリーン、デバイス３００を振動させることによってユーザに合図するように配置されたバイブレータ、スピーカ、およびマイクロフォンのうちの、少なくとも１つを含み得る。ユーザは、たとえば、隔離されたネットワークノードに関するアクションを管理するために、ＵＩ ３６０を介してデバイス３００を動作させることが可能であり得る。

プロセッサ３１０は、プロセッサ３１０からの情報を、デバイス３００内部の導線を介して、デバイス３００に含まれる他のデバイスに出力するように配置された、送信器を備えることができる。こうした送信器は、たとえば、少なくとも１つの導線を介して、内部に記憶するためにメモリ３２０に情報を出力するように配置された、シリアルバス送信器を備えることができる。送信器は、シリアルバスの代わりに、パラレルバス送信器を備えることもできる。同様にプロセッサ３１０は、デバイス３００に含まれる他のデバイスから、デバイス３００内部の導線を介して、プロセッサ３１０内に情報を受信するように配置された、受信器を備え得る。こうした受信器は、たとえば、プロセッサ３１０内で処理するために、少なくとも１つの導線を介して受信器３４０から情報を受信するように配置された、シリアルバス受信器を備え得る。受信器は、シリアルバスの代わりに、パラレルバス受信器を備えることもできる。

デバイス３００は、図３に示されていないさらなるデバイスも含み得る。いくつかの実施形態では、デバイス３００には、前述の少なくとも１つのデバイスがない。

プロセッサ３１０、メモリ３２０、送信器３３０、受信器３４０、ＮＦＣ送受信器３５０、ＵＩ ３６０、および／またはユーザ識別モジュール３７０は、多数の異なる様式で、デバイス３００内部の導線によって相互接続可能である。たとえば、前述のデバイスの各々は、デバイスが情報を交換できるようにするために、デバイス３００内部のマスタバスに別々に接続可能である。しかしながら、当業者であれば理解されるように、これは単なる一例であり、本発明の範囲を逸脱することなく、実施形態に応じて、前述のデバイスのうちの少なくとも２つを相互接続する様々な様式を選択することができる。

図４は、本発明の少なくともいくつかの実施形態に従ったシグナリングを示す。縦軸上には、左から右へ、ＮＦＶＩ ２４０、ＶＩＭ ２２０、ＮＦＶＯ ２７０、制御ノード２８０、および最後に検証機能「Ｖｅｒ」が配設されている。時間は上から下に向かって進行する。いくつかの実施形態において、検証機能「Ｖｅｒ」は制御ノード２８０に含まれる。

段階４１０において、新規のＶＮＦまたはＶＮＦ構成要素、ＶＮＦＣのインスタンス化の際に、ＶＩＭ ２２０はこのように実行することをＮＦＶＩ ２４０にシグナリングすることになる。インスタンス化は適切であるかまたは偽であり得、たとえば、ＶＩＭ ２２０が悪意あるプログラムによってアクセスされた場合は、偽であり得る。段階４２０において、ＶＩＭ ２２０はインスタンス化を制御ノード２８０に通知する。段階４２０は、図に示されるように段階４１０に関連して、たとえば同時に、わずかに前に、またはわずかに後に、発生し得る。段階４２０の通知は、実際は自動であるか、または適用可能であれば暗黙的であってよい。暗黙的な場合、制御ノード２８０は、たとえばＮＦＶＩ ２４０を監視することによって、インスタンス化が実行されたことを推測することができる。

段階４３０において、制御ノード２８０は、ＮＦＶＯ ２７０によって維持されるかまたはこれを介してアクセス可能な既知のノードのリストから、新しくインスタンス化されたＶＮＦまたはＶＮＦＣがリスト上にあるかどうかをチェックする。リストに含まれるということは、インスタンス化が許可され、偽ではないことを示す。新しくインスタンス化されたＶＮＦまたはＶＮＦＣがリストに含まれない場合、処理は、たとえば、図５に示される段階５３０に対応する段階４４０と同時に、段階４６０をトリガする。そうでなければ、処理は単に段階４４０へと進む。

段階４４０において、制御ノード２８０は新しくインスタンス化されたＶＮＦまたはＶＮＦＣの挙動パターンを確立する。挙動パターンは、代替または追加として、同様のタイプの別のＶＮＦまたはＶＮＦＣの挙動を観察することによって確立され得、同様のタイプのノードの挙動は同様であると予想される。挙動パターンは観察に基づいて確立されるため、段階４４０は数日間あるいは数週間続く場合がある。パターンは、たとえば、通信強度、メモリ使用量、ＣＰＵ負荷などのうちの、少なくとも１つに関するパターンを含むことができる。代替または追加として、挙動パターンは、たとえば既知の信頼されるマルウェア対策会社から事前に構成されるかまたは受信することができる。

段階４５０において、挙動パターンからの逸脱は、たとえば前述のようにＣＰＵ負荷に関して決定される。これに応答して、段階４６０において、新しくインスタンス化されたＶＮＦまたはＶＮＦＣの認証は、検証機能「Ｖｅｒ」を用いて検証される。この検証がどのように進行されるかの例は、上記で説明している。

認証が検証に合格しない場合、言い換えれば、検証に不合格な場合、段階４７０において、制御ノード２８０は、インスタンス化されたＶＮＦまたはＶＮＦＣに関して実行されるアクションに関する決定を行うことができる。図４に示された例では、決定はＶＮＦを終了することである。制御ノード２８０は、ＶＮＦを終了するようにＶＩＭ ２２０に命じるために、ＶＩＭ ２２０にシグナリングすることによって、ＶＮＦまたはＶＮＦＣを終了させる。

図５は、本発明の少なくともいくつかの実施形態に従ったシグナリングを示す。縦軸は図４の縦軸に対応する。図４に示されるように、時間は上から下に向かって進行する。

段階５１０において、搭載されインスタンス化されたＶＮＦは、正常に実行する。このＶＮＦは合法的にインスタンス化されており、ネットワークにおいてその役割を実行する。段階５２０は、ＶＮＦおよびそのＶＮＦ構成要素の実行が、ランタイム中に制御ノード２８０によってどのように監視されるかを示す。前述のように、監視されたアクティビティおよび／または他のソースに基づいて、段階５３０において、少なくとも１つの挙動パターンが確立される。挙動パターンは、発生した場合、正常な挙動または異常であると判別された挙動のいずれかを反映する。

イベント５ｘｘは、ＶＮＦまたはＶＮＦ構成要素、ＶＮＦＣへの未許可のアクセスを示し、その挙動を修正するためにＶＮＦまたはＶＮＦＣに関して悪意ある要素がインストールされている。悪意ある要素の結果、ＶＮＦの実行が変化し、このように修正された実行は、段階５４０において制御ノード２８０によって監視される。これに応答して、段階５５０において、制御ノード２８０は、少なくとも部分的に挙動パターンに基づいて、挙動を決定する。任意選択として、ＶＮＦまたはＶＮＦＣの認証のチェックは検証機能「Ｖｅｒ」を使用して行われる。これは、段階５６０として示されている。

段階５７０において、ＶＮＦで実行する内容に関する決定が制御ノード２８０内で行われる。図示された例において、制御ノード２８０は、危険にさらされたＶＮＦまたはＶＮＦＣを置き換えるために新しいＶＮＦまたはＶＮＦＣをインスタンス化させ、危険にさらされたＶＮＦまたはＶＮＦＣをシャットダウンさせる。ユーザにとって円滑な体験を保証するために、トラフィックを、危険にさらされたＶＮＦまたはＶＮＦＣから新しいＶＮＦまたはＶＮＦＣに引き渡すことができる。制御デバイス２８０は、１つまたは２つのメッセージでＮＦＶＯ ２７０にシグナリングすることによって、段階５８０においてこれらの決定を実施させることができる。代替として、制御ノード２８０は、たとえばこれらの決定を実施するために、ＥＭ、要素マネージャ、またはＶＮＦＭ、ＶＮＦマネージャにシグナリングすることができる。

図６は、本発明の少なくともいくつかの実施形態に従った方法のフローチャートである。示された方法の段階は、たとえば制御ノード２８０、制御機能、補助デバイス、またはサーバコンピュータにおいて、あるいは、内部に埋め込まれた場合は、それらの機能を制御するように構成された制御デバイスにおいて、実行可能である。

段階６１０は、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶することを含む。段階６２０は、ネットワークノードに関して、記憶された情報に少なくとも部分的に基づいて挙動決定を実行することを含む。最後に、段階６３０は、挙動決定の結果に対する応答として、有効なネットワークノードのリストにネットワークノードが含まれているかどうかを検証することを含む。ネットワークノードは、たとえばノード、仮想化ネットワーク機能、またはサーバを含むことができる。段階６３０は、ネットワークノードの識別子がリストに含まれるかどうかを検証することを含み得る。

図７は、本発明の少なくともいくつかの実施形態に従った方法のフローチャートである。示された方法の段階は、たとえば制御ノード２８０、制御機能、補助デバイス、またはサーバコンピュータにおいて、あるいは、内部に埋め込まれた場合は、それらの機能を制御するように構成された制御デバイスにおいて、実行可能である。

段階７１０は、少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶することを含む。段階７２０は、ネットワークノードに関して、記憶された情報に少なくとも部分的に基づいて挙動決定を実行することを含む。最後に、段階７３０は、挙動決定の結果に応答して、ネットワークノードを終了させることを含む。

当業者であれば理解されるように、開示された本発明の実施形態は、本明細書で開示された特定の構造、処理ステップ、または材料に限定されず、それらの等価物まで拡張されることを理解されよう。本明細書で使用される用語は、特定の実施形態を説明するためにのみ使用されており、限定することは意図されていないことも理解されたい。

本明細書全体を通じて、一実施形態または実施形態という言いまわしは、実施形態に関して説明される特定の機能、構造、または特徴が、本発明の少なくとも１つの実施形態に含まれることを意味する。したがって、本明細書全体を通じて様々な場所で使われる「一実施形態において」または「実施形態において」という語句は、必ずしも同じ実施形態を指すものとは限らない。たとえば、約またはおよそなどの語句を使用して数値を言い表している場合、正確な数値も開示されている。

本明細書で使用される、複数のアイテム、構造的要素、組成要素、および／または材料は、便宜上、共通リストに提示することができる。しかしながらこれらのリストは、リストの各メンバが、別々な固有のメンバとして個々に識別されるものと解釈されるべきである。したがって、それとは反対に、指示なしに単に共通グループ内でのそれらの提示に基づいて、こうしたリストの個々のメンバのいずれも、事実上、同じリストの任意の他のメンバの等価物として解釈されるべきではない。加えて、本発明の様々な実施形態および例は、本明細書において、それらの様々な構成要素の代替と共に参照することができる。こうした実施形態、例、および代替は、事実上、互いに等価物として解釈されるものではなく、本発明の別々の自律的な表現と見なされるものであることを理解されよう。

さらに、説明された機能、構造、または特徴は、１つまたは複数の実施形態において、任意の好適な様式で組み合わせることが可能である。前述の説明では、本発明の実施形態を完全に理解できるように、長さ、幅、形状の例などの、多数の特定の詳細が提供されている。しかしながら、当業者であれば、本発明は、特定の詳細のうちの１つまたは複数を用いることなく、あるいは、他の方法、構成要素、材料などを用いて、実施可能であることを理解されよう。他の場合には、本発明の態様を不明瞭にしないために、周知の構造、材料、または動作は詳細に図示または説明していない。

前述の例は、１つまたは複数の特定の適用例における本発明の原理を例示するものであり、当業者であれば、発明的な能力を発揮することなく、および、本発明の原理および概念から逸脱することなく、実施の形式、使用例、および細部における多数の改変が可能であることが明らかとなろう。したがって本発明は、以下に記載される特許請求の範囲によって限定される場合を除き、限定されることは意図されていない。

「備える」および「含む」という動詞は、本明細書では、記載されていない特徴の存在をも排除するかまたは要求することのない、開いた制限として使用される。従属請求項に記載された特徴は、特に明示的に示されていない限り、相互に自由に組み合わせることが可能である。さらに、「ａ」または「ａｎ」、すなわち単数形の使用は、本明細書全体を通じて複数形を排除するものではないことを理解されよう。

本発明の少なくともいくつかの実施形態は、合法的な非表示のノードを隠しながら偽のノードを発見するために、ネットワークを管理することにおいて、産業上適用される。

頭字語のリスト
ＣＰＵ 中央処理ユニット
ＥＭ 要素マネージャ
ＮＦＶＩ ネットワーク機能仮想化インフラストラクチャ
ＮＦＶＯ ネットワーク機能仮想化オーケストレータ
ＯＳＳ／ＢＳＳ 動作サポートシステムおよび／またはビジネスサポートシステム
ＶＩＭ 仮想化インフラストラクチャマネージャ
ＶＮＦ 仮想化ネットワーク機能
ＶＮＦＣ 仮想化ネットワーク機能構成要素
ＶＮＦＭ 仮想化ネットワーク機能マネージャ
ＷＣＤＭＡ（登録商標） 広帯域符号分割多元アクセス

Claims (35)

1. 装置であって、
   − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するように構成された、メモリと、
   − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するように、および、前記挙動決定の結果に対する応答として、有効なネットワークノードのリストに前記ネットワークノードが含まれるかどうかを検証するように、構成された、少なくとも１つの処理コアと、
   を備える、装置。
2. 前記ネットワークノードは、仮想化ネットワーク機能または仮想化ネットワーク機能の構成要素である、請求項１に記載の装置。
3. 前記少なくとも１つの処理コアは、前記ネットワークノードが有効な認証を有することを検証するように構成される、請求項１または２に記載の装置。
4. 前記少なくとも１つの処理コアは、前記挙動決定の前記結果に対する応答として、前記ネットワークノードが有効な認証を有するかどうかを、ユーザの介入なしに自動的に検証するように構成される、請求項１から３のいずれかに記載の装置。
5. 前記ランタイム挙動パターンは、第１に、前記ネットワークノードの能力の低下と相まったＣＰＵ負荷の増加、第２に、通信スループットの向上と同時に発生することのないメモリ使用量の増加、第３に、前記ネットワークノード内へのトラフィックの増加に対応することのない前記ネットワークノードから出ていくトラフィックの増加、および第４に、前記ネットワークノードが第１のリストに含まれることなくインスタンス化されアクティブである、という、４つのパターンのうちの、少なくとも１つを有する、請求項１から４のいずれかに記載の装置。
6. 前記挙動決定を実行することは、前記ネットワークノードを実行する計算基板にランタイム情報を要求することを含む、請求項１から５のいずれかに記載の装置。
7. 前記ネットワークノードが有効な認証を有するかどうかを検証することは、前記ネットワークノードの前記認証を取得すること、および、検証機能から、前記認証が有効かどうかを照会することを含む、請求項１から６のいずれかに記載の装置。
8. 前記検証機能は、有効な認証のリストを保有しているノードまたは機能を含む、請求項７に記載の装置。
9. 前記認証は、前記ネットワークノードの実行環境の少なくとも一部のハッシュ、前記ネットワークノードの公開鍵、前記ネットワークノードの秘密鍵、前記ネットワークノードに関するデータにおける静的特徴、および暗号トークンのうちの、少なくとも１つを含む、請求項１から８のいずれかに記載の装置。
10. 前記ネットワークノードが有効な認証を有するかどうかを検証することは、署名要求を前記ネットワークノードに伝送すること、それに応えて前記ノードから暗号署名を取得すること、および、前記暗号署名が正しいことを検証させることを含む、請求項１から９のいずれかに記載の装置。
11. 前記署名要求は、その秘密鍵を使用して署名するための、前記ネットワークノードについてのトークンを含む、請求項１０に記載の装置。
12. 方法であって、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、
    − 前記挙動決定の結果に対する応答として、有効なネットワークノードのリストに前記ネットワークノードが含まれるかどうかを検証すること、
    を含む、方法。
13. 前記ネットワークノードは、仮想化ネットワーク機能または仮想化ネットワーク機能の構成要素である、請求項１２に記載の方法。
14. 前記ネットワークノードが有効な認証を有することを検証することをさらに含む、請求項１２または１３に記載の方法。
15. 前記ネットワークノードが有効な認証を有するかどうかを検証することは、前記挙動決定の前記結果に対する応答として、ユーザの介入なしに自動的に実行される、請求項１２から１４のいずれかに記載の方法。
16. 前記ランタイム挙動パターンは、第１に、前記ネットワークノードの能力の低下と相まったＣＰＵ負荷の増加、第２に、通信スループットの向上と同時に発生することのないメモリ使用量の増加、第３に、前記ネットワークノード内へのトラフィックの増加に対応することのない前記ネットワークノードから出ていくトラフィックの増加、および第４に、前記ネットワークノードが第１のリストに含まれることなくインスタンス化されアクティブである、という、４つのパターンのうちの、少なくとも１つを有する、請求項１２から１５のいずれかに記載の方法。
17. 前記挙動決定を実行することは、前記ネットワークノードを実行する計算基板にランタイム情報を要求することを含む、請求項１２から１６のいずれかに記載の方法。
18. 前記ネットワークノードが有効な認証を有するかどうかを検証することは、前記ネットワークノードの前記認証を取得すること、および、検証機能から、前記認証が有効かどうかを照会することを含む、請求項１２から１７のいずれかに記載の方法。
19. 前記検証機能は、有効な認証のリストを保有しているノードまたは機能を含む、請求項１８に記載の方法。
20. 前記認証は、前記ネットワークノードの実行環境の少なくとも一部のハッシュ、前記ネットワークノードの公開鍵、前記ネットワークノードの秘密鍵、前記ネットワークノードに関するデータにおける静的特徴、および暗号トークンのうちの、少なくとも１つを含む、請求項１２から１９のいずれかに記載の方法。
21. 前記ネットワークノードが有効な認証を有するかどうかを検証することは、署名要求を前記ネットワークノードに伝送すること、それに応えて前記ノードから暗号署名を取得すること、および、前記暗号署名が正しいことを検証させることを含む、請求項１２から２０のいずれかに記載の方法。
22. 前記署名要求は、その秘密鍵を使用して署名するための、前記ネットワークノードについてのトークンを含む、請求項２１に記載の方法。
23. 装置であって、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するように構成された、メモリと、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するように、および、前記挙動決定の結果に応答して、前記ネットワークノードを終了させるように、構成された、少なくとも１つの処理コアと、
    を備える、装置。
24. 前記少なくとも１つの処理コアは、有効なネットワークノードのリストに前記ネットワークノードが含まれることを検証するように構成される、請求項２３に記載の装置。
25. 前記少なくとも１つの処理コアは、前記ネットワークノードが有効な認証を有することを検証するように、および、前記ネットワークノードが、有効な認証を有し、有効なネットワークノードの前記リストに含まれる場合、前記終了させるようにも、構成される、請求項２４に記載の装置。
26. 前記装置は、前記ネットワークノードのランタイム観察に基づいて、前記ランタイム挙動パターンを決定するように構成される、請求項２３から２５のいずれかに記載の装置。
27. 方法であって、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、
    − 前記挙動決定の結果に応答して、前記ネットワークノードを終了させること、
    を含む、方法。
28. 有効なネットワークノードのリストに前記ネットワークノードが含まれることを検証することをさらに含む、請求項２７に記載の方法。
29. 前記ネットワークノードが有効な認証を有することを検証することをさらに含み、前記ネットワークノードが、有効な認証を有する場合、および有効なネットワークノードの前記リストに含まれる場合にも、前記終了が行われる、請求項２８に記載の方法。
30. 前記ネットワークノードのランタイム観察に基づいて、前記ランタイム挙動パターンを決定することをさらに含む、請求項２７から２９のいずれかに記載の方法。
31. 装置であって、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するための手段と、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するための手段と、
    − 前記挙動決定の結果に対する応答として、有効なネットワークノードのリストに前記ネットワークノードが含まれるかどうかを検証するための手段と、
    を備える、装置。
32. 装置であって、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶するための手段と、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行するための手段と、
    − 前記挙動決定の結果に応答して、前記ネットワークノードを終了させるための手段と、
    を備える、装置。
33. コンピュータ読取可能な複数の命令のセットが記憶された、非一時的なコンピュータ読取可能な媒体であって、前記複数の命令は、少なくとも１つのプロセッサによって実行されたときに、少なくとも、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、
    − 前記挙動決定の結果に対する応答として、有効なネットワークノードのリストに前記ネットワークノードが含まれるかどうかを検証すること、
    を、装置に実行させる、コンピュータ読取可能な媒体。
34. コンピュータ読取可能な複数の命令のセットが記憶された、非一時的なコンピュータ読取可能な媒体であって、前記複数の命令は、少なくとも１つのプロセッサによって実行されたときに、少なくとも、
    − 少なくとも１つのランタイム挙動パターンを特徴付ける情報を記憶すること、
    − 前記記憶された情報に少なくとも部分的に基づいて、ネットワークノードに関する挙動決定を実行すること、および、
    − 前記挙動決定の結果に応答して、前記ネットワークノードを終了させること、
    を、装置に実行させる、コンピュータ読取可能な媒体。
35. 請求項１２から２２または２７から３０のうちの少なくとも一項に記載の方法を実行させるように構成された、コンピュータプログラム。