JP2023532924A - モバイルネットワークにおける制御とユーザプレーンの分離の確保 - Google Patents

モバイルネットワークにおける制御とユーザプレーンの分離の確保 Download PDF

Info

Publication number
JP2023532924A
JP2023532924A JP2022581359A JP2022581359A JP2023532924A JP 2023532924 A JP2023532924 A JP 2023532924A JP 2022581359 A JP2022581359 A JP 2022581359A JP 2022581359 A JP2022581359 A JP 2022581359A JP 2023532924 A JP2023532924 A JP 2023532924A
Authority
JP
Japan
Prior art keywords
network
security
pfcp
control
security platform
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2022581359A
Other languages
English (en)
Other versions
JP7544401B2 (ja
Inventor
ブラコフスキー，レオニド
ヴァーマ，サチン
フー，フェンリャン
チェン，イ－チュン
トゥン リム，ハウ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Palo Alto Networks Inc
Original Assignee
Palo Alto Networks Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Palo Alto Networks Inc filed Critical Palo Alto Networks Inc
Publication of JP2023532924A publication Critical patent/JP2023532924A/ja
Application granted granted Critical
Publication of JP7544401B2 publication Critical patent/JP7544401B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/08—Testing, supervising or monitoring using real traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/141—Denial of service attacks against endpoints in a network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/02—Data link layer protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

モバイルネットワーク(例えば、4G/5Gネットワークといった、モバイル加入者向けサービスプロバイダネットワーク)における制御とユーザプレーンの分離を確保するための技術が開示されている。いくつかの実施形態において、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのシステム/プロセス/コンピュータプログラム製品は、いくつかの実施形態に従って、以下を含んでいる。セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングするステップであり、新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別し、モバイルネットワークは4Gネットワークまたは5Gネットワークを含んでいるステップ、セキュリティプラットフォームでPFCPメッセージから複数のパラメータを抽出するステップ、および、複数のパラメータの１つ以上に基づいて、新しいセッションのセキュリティプラットフォームでセキュリティポリシを実施するステップであり、モバイルネットワークでの制御とユーザプレーンの分離を確保するステップ。

Description

ファイアウォールは、一般的に、許可された通信がファイアウォールを通過することを許可しながら、不正アクセスからネットワークを確保する。ファイアウォールは、典型的に、ネットワークアクセスについてファイアウォール機能を提供する、デバイスまたはデバイスのセット、もしくは、コンピュータといった、デバイス上で実行されるソフトウェアである。例えば、ファイアウォールは、デバイス(例えば、コンピュータ、スマートフォン、他のネットワーク通信対応機器)のオペレーティングシステムに統合することができる。ファイアウォールは、また、コンピュータサーバ、ゲートウェイ、ネットワーク/ルーティングデバイス(例えば、ネットワークルータ)、または、データアプライアンス(例えば、セキュリティ装置または他の特殊な用途の機器)におけるソフトウェアとして、統合または実行することもできる。
ファイアウォールは、一般的に、ルールのセット（set of rules）に基づいてネットワーク伝送を拒否または許可する。これらのルールのセットは、しばしば、ポリシ（policy）と称される。例えば、ファイアウォールは、ルールのセットまたはポリシを適用することによって、着信トラフィック（inbound traffic）をフィルタリングすることができる。ファイアウォールは、また、ルールのセットまたはポリシを適用することによって、発信トラフィック（outbound traffic）をフィルタリングすることもできる。ファイアウォールは、また、基本的なルーティング機能を実行することもできる。
本発明の様々な実施形態は、以下の詳細な説明および添付図面において開示されている。
図1は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える5G無線ネットワークのアーキテクチャに係るブロック図である。 図2Aは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係るブロック図である。 図2Bは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係る別のブロック図である。 図2Cは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係る別のブロック図である。 図2Dは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係る別のブロック図である。 図3Aは、PFCPセッション確立プロシージャのためのプロトコルシーケンス図である。 図3Bは、PFCPセッション変更プロシージャのためのプロトコルシーケンス図である。 図3Cは、PFCPセッション解放プロシージャのためのプロトコルシーケンス図である。 図4は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置のハードウェアコンポーネントに係る機能図である。 図5は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置の論理コンポーネントに係る機能図である。 図6は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのプロセスに係るフローチャートである。 図7は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのプロセスに係る別のフローチャートである。
本発明は、装置、システム、物事の組成、コンピュータ可読記憶媒体において具現化されたコンピュータプログラム製品、及び／又は、プロセッサに結合されたメモリに保管され、かつ／あるいは、メモリによって提供される命令を実行するように構成されたプロセッサといった、プロセッサを含む、様々な方法で実施することができる。この仕様書において、これらの実装、または本発明がとり得る他の形式は、技法（techniques）として称される。一般的に、開示されるプロセスのステップの順序は、本発明の範囲内で変更することができる。特に断りのない限り、タスクを実行するように構成されていると説明されるプロセッサまたはやメモリといったコンポーネントは、ある時点でタスクを実行するように一時的に構成されている一般的なコンポーネント、または、タスクを実行するように製造された特定のコンポーネントとして実装され得る。ここにおいて使用されるように、「プロセッサ（“processor”）」という用語は、コンピュータプログラム命令といった、データを処理するように構成された１つ以上のデバイス、回路、及び／又は、処理コアを参照する。
本発明の１つ以上の実施形態の詳細な説明が、以下に、本発明の原理を説明する添付の図と共に提供される。本発明は、そうした実施形態に関連して説明されるが、本発明は、任意の実施形態についても限定されるものではない。本発明の範囲は、請求項によってのみ限定されるものであり、そして、本発明は、多数の代替、修正、および均等物を包含する。本発明について完全な理解を提供するために、以下の説明において、多数の具体的な詳細が記載されている。これらの詳細は、例示の目的で提供されるものであり、そして、本発明は、これらの具体的な詳細の一部または全部を用いることなく、請求項に従って実施され得る。明確にするために、本発明に関連する技術分野で知られている技術資料は、本発明が不必要に不明瞭にならないように、詳細には説明されていない。
ファイアウォールは、一般的に、不正アクセス（unauthorized access）からネットワークを保護し、一方で、承認された（authorized）通信がファイアウォールを通過するのを許可している。ファイアウォールは、典型的には、デバイスまたは一式のデバイス、または、ネットワークアクセスのためのファイアウォール機能を提供する、デバイス上で実行されソフトウェアである。例えば、ファイアウォールは、デバイス(例えば、コンピュータ、スマートフォン、または、他のタイプのネットワーク通信可能デバイス）のオペレーティングシステムの中へ統合することができる。ファイアウォールは、また、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス(例えば、ネットワークルータ）、および、データ装置(例えば、セキュリティ装置または他のタイプの特殊目的のデバイス）上のソフトウェアとして、統合され、もしくは、実行することもできる。
ファイアウォールは、典型的に、ルールのセットに基づいてネットワーク送信を拒否または許可する。これらルールのセットは、しばしば、ポリシ（policy）として参照される。例えば、ファイアウォールは、望まれない（unwanted）外部トラフィックが保護されるデバイスに到達するのを妨げるために、ルールのセットまたはポリシを適用することによって、インバウンドトラフィックをフィルタリングすることができる。ファイアウォールは、また、ルールのセットまたはポリシ(例えば、許可、ブロック、モニタリング、通知またはログ、及び／又は、他のアクションは、ここにおいて説明されるような、様々なクライテリアに基づいて、トリガされ得る、ファイアウォール/セキュリティルールまたはファイアウォール/セキュリティポリシにおいて指定することができる)を適用して、発信トラフィックをフィルタリングすることもできる。ファイアウォールは、また、ルールのセットまたはポリシを適用することによって、アンチウイルス保護、マルウェア検出/防止、または侵入保護を適用することもできる。
セキュリティデバイス(例えば、セキュリティ装置、セキュリティゲートウェイ、セキュリティサービス、他のセキュリティデバイス)は、様々なセキュリティ機能(例えば、ファイアウォール、マルウェア対策、侵入防止/検出、プロキシ、及び／又は、他のセキュリティ機能)、ネットワーク機能(例えば、ルーティング、クオリティ・オブ・サービス(QoS)、ネットワーク関連リソースのワークロードバランス、他のネットワーク機能)、及び／又は、他の機能を含むことができる。例えば、ルーティング機能は、送信元情報(例えば、セキュアIPアドレスとポート)、宛先情報(例えば、宛先IPアドレスとポート)、および、プロトコル情報に基づくことができる。
基本的パケットフィルタリングファイアウォールは、ネットワーク(例えば、ステートレスパケットフィルタリングファイアウォールである、パケットフィルタリングファイアウォールまたは第一世代ファイアウォール)を介して送信される個々のパケットを検査することによって、ネットワーク通信トラフィックをフィルタリングする。ステートレスパケットフィルタリングファイアウォールは、典型的に、個々のパケット自体を検査し、そして、検査されたパケットに基づいて、ルールを適用する(例えば、パケットの送信元と宛先のアドレス情報、プロトコル情報、および、ポート番号の組み合わせを使用する)。
アプリケーションファイアウォールは、また、アプリケーション層フィルタリングを(例えば、TCP/IPスタックのアプリケーションレベルで動作する、アプリケーション層フィルタリングファイアウォールまたは第二世代ファイアウォールを使用して)実行することもできる。アプリケーション層フィルタリングファイアウォールまたはアプリケーションファイアウォールは、一般的に、所定のアプリケーションおよびプロトコル(例えば、ハイパーテキスト転送プロトコル(HTTP)を使用したWebブラウジング、ドメインネームシステム(DNS)要求、ファイル転送プロトコル(FTP)を使用したファイル転送、および、Telnet、DHCP、TCP、UDP、およびTFTP(GSS)などの他の様々なタイプのアプリケーションや他のプロトコル)を識別することができる。例えば、アプリケーションファイアウォールは、標準ポートを介して通信しようとする不正なプロトコルをブロックできる(例えば、そのプロトコルの非標準ポートを使用して忍び込もうとしている無許可/ポリシ外のプロトコルは、一般的に、アプリケーションファイアウォールを使用して識別することができる)。
ステートフルファイアウォールは、また、ステートフルベースのパケット検査を実行することもでき、この検査では、各パケットが、そのネットワーク伝送のパケット/パケットフロー(例えば、ステートフルファイアウォールまたは第三世代ファイアウォール）に係るフローに関連付けられた一式のパケットのコンテキスト内で検査される。このファイアウォール技法は、ファイアウォールを通過する全ての接続の記録を保持し、かつ、パケットが新しい接続の開始であるか、既存の接続の一部であるか、または、無効なパケットであるかを判断できるため、一般的に、ステートフルパケット検査と称される。例えば、接続の状態自体が、ポリシ内のルールをトリガするクライテリアの１つになり得る。
先進または次世代ファイアウォールは、上述のように、ステートレスおよびステートフルパケットフィルタリングおよびアプリケーション層フィルタリングを実行することができる。次世代ファイアウォールは、追加的なファイアウォール技法を実行することもできる。例えば、先進ファイアウォールまたは次世代ファイアウォールとして、ときどき、称される所定の新しいファイアウォールは、ユーザおよびコンテンツを識別することもできる。特に、所定の次世代ファイアウォールは、これらのファイアウォールが自動的に識別できるアプリケーションのリストを数千のアプリケーションに拡大している。そうした次世代ファイアウォールの例は、パルアルトネットワークス社から市販されている(例えば、パルアルトネットワークス社のPAシリーズ次世代ファイアウォール、および、パルアルトネットワークス社のVMシリーズ仮想化次世代ファイアウォール)。
例えば、パルアルトネットワークス社の次世代ファイアウォールは、企業およびサービスプロバイダが、様々な識別テクノロジーを使用して、－ポート、IPアドレス、およびパケットだけでなく－アプリケーション、ユーザ、およびコンテンツを識別および制御するのを可能にする。正確なアプリケーション識別のためのAPP-IDTM(例えば、APP ID）、ユーザ識別(例えば、ユーザまたはユーザグループ)のためのUser-IDTM(例えば、User ID）、および、リアルタイムコンテンツスキャン(例えば、ウェブサーフィンの制御およびデータやファイル転送の制限)のためのContent-IDTM(例えば、Content ID）、といったものである。これらの識別テクノロジーにより、企業は、従来のポートブロックファイアウォールによって提供される従来のアプローチに従う代わりに、ビジネスに関連する概念を使用してアプリケーションの使用をセキュアに可能にする。また、専用装置などとして実装されている次世代ファイアウォール用の特殊目的ハードウェアは、一般的に、アプリケーション検査について、汎用ハードウェアにおいて実行されるソフトウェアよりも高いパフォーマンスレベルを提供する(例えば、パルアルトネットワークス社のPAシリーズ次世代ファイアウォールについて、パルアルトネットワークス社が提供するセキュリティ装置といったものであり、シングルパスソフトウェアエンジンと緊密に統合された専用の、機能固有の処理を利用し、ネットワークスループットを最大化し、一方で、レイテンシを最小限に抑えている)。
サービスプロバイダのための今日のモバイルネットワークにおける技術的およびセキュリティ上の課題
世界中のコンバージド（converged）(モバイルおよび固定)ネットワーク事業者は、今日、スタンドアロンの5Gモバイルネットワーク技術を展開するプロセスにある。5Gモバイルネットワークでは、制御とユーザプレーンの分離(control and User Plane Separation、CUPS)を使用した接続が企業顧客に提供される。かくして、5Gモバイルネットワーク(例えば、中央パケットコア/クラウドパケットコアに配置されたセッション管理機能(Session Management Function、SMF)と、および、顧客の構内/アクセスサイト/分散サイトに配置されたユーザプレーン機能(UPF))では、コントロールネットワーク機能間の通信を確保し（secure）、そして、検証することが重要になる。
従って、サービスプロバイダネットワークには、モバイルネットワーク内のデバイスに関する技術的およびセキュリティ上の課題が存在している。かくして、必要とされるものは、そうしたサービスプロバイダネットワーク環境(例えば、モバイルネットワーク)におけるデバイスの新しく、かつ、改善されたセキュリティ技術である。具体的に、必要とされるものは、そうしたネットワークトラフィックをモニタリングし、そして、サービスプロバイダネットワーク上で通信するデバイスにセキュリティポリシ(例えば、ファイアウォールポリシ)を適用するための、新しく、かつ、改善されたソリューションが必要である。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するための技術の概要
サービスプロバイダネットワークにおける技術的およびセキュリティ上の課題が、モバイルネットワークにおける制御とユーザプレーンの分離を確保するために存在している。具体的に、必要とされるものは、モバイルネットワーク環境(例えば、4G及び／又は5Gモバイルネットワーク)における制御とユーザプレーンの分離を確保するための新しく、かつ、改善された技術である。より具体的には、モバイルネットワークトラフィックをモニタリングし、そして、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティポリシ(例えば、セキュリティ/ファイアウォールポリシ)を適用するための新しく、かつ、改善されたソリューションが必要である。
さらに後述するように、PFCPは、制御プレーンとユーザプレーン機能との間のSx/N4インターフェイスで使用される3GPPプロトコルである(例えば、LTE用の3GPP Technical Specification(TS) 29.244 v15.7で規定されている；5G；Interface between the Control Plane and the User Plane nodes(例えば、および、以降のリリース/バージョン))。
いくつかの実施形態では、セキュリティプラットフォームによって実行可能なモバイルネットワークにおける制御とユーザプレーンの分離を確保するために、パケット転送制御プロトコル(Packet Forwarding Control Protocol、PFCP)ステートフル検査のための新しく、かつ、改善された技術が、以下でさらに説明されるように開示される。
例えば、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのPFCPステートフル検査の新しく、かつ、改善された技術は、PFCFセッションを設定し、そして、制御メッセージフローを追跡するために使用される所定の情報を抽出するために、セッション管理機能（SMF)とユーザプレーン機能(UPF)との間のN4インターフェイスにわたるPFCPメッセージを解析することにより、5Gテクノロジベースのモバイルネットワーク(例えば、5Gモバイルネットワーク)におけるセキュリティプラットフォームによって実行することができる。
別の例として、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのPFCPステートフル検査の新しく、かつ、改善された技術は、PFCFセッションを設定し、そして、制御メッセージフローを追跡するために使用される所定の情報を抽出するために、Serving Gateway(SG)-CとSG-Uとの間のSxaインターフェイス、Packet Data Network(PDN) Gateway-CとPDN Gateway-Uとの間のSxbインターフェイス、および、Traffic Detection Function(TDF)-CとTDF-Uとの間のSxcインターフェイスにわたるPFCPメッセージを解析することにより、4Gテクノロジベースのモバイルネットワーク(例えば、4Gモバイルネットワーク)のセキュリティプラットフォームによって実行することができる。
従って、PFCPトラフィックにおけるモバイルネットワーク(例えば、4G/5Gモバイルネットワーク)内セキュリティプラットフォーム(例えば、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに機能するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別の(仮想)デバイス/コンポーネント)を使用して、セキュリティ(例えば、ネットワークベースのセキュリティ)を提供することを促進する新しく、かつ、改善されたセキュリティソリューションが、いくつかの実施形態に従って開示されている。例えば、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための開示される技術は、攻撃の識別と予防を提供することができる。それらは、ローカルエリアデータネットワーク、コアネットワーク、マルチアクセス分散エッジロケーション、ローカルユーザプレーン機能(UPF)を伴うエンタープライズネットワーク、及び／又は、他の様々な4G/5Gネットワークロケーションを含む、様々な4G/5Gネットワークロケーションでの、サービス拒否(Denial of Service、DoS)、セッションエンドポイント識別子(Session Endpoint Identifier、SEID)スプーフィング、および、パケット転送制御プロトコル(PFCP)にわたるSEID推測を含んでいる。
以下にさらに説明されるように、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための様々な技術が開示される。いくつかの実施形態においては、いくつかの実施形態に従ってモバイルネットワークにおける制御とユーザプレーンの分離を確保するためのシステム/プロセス/コンピュータプログラム製品は、新しいセッションに関連付けられたパケット転送制御プロトコルPFCP)メッセージを識別するために、セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングすることを含む。そこでは、モバイルネットワークが4Gネットワークまたは5Gネットワークを含んでおり、セキュリティプラットフォームでのPFCPメッセージから複数のパラメータ(例えば、以下でさらに説明されるPFCP関連付けに関連する5タプル+ノードID(オプション))を抽出し、そして、モバイルネットワークでの制御とユーザプレーンの分離を確保するために、複数のパラメータの１つ以上に基づいて、新しいセッションにおけるセキュリティプラットフォームでセキュリティポリシを実施する。
例えば、送信元IPアドレス、SEID 1、宛先IPアドレス、SEID 2、および、PFCPアソシエーション（association）に関連する使用におけるプロトコルのパラメータを抽出するために、セキュリティプラットフォームは、PFCPメッセージを解析することができる。別の例として、セキュリティプラットフォームは、PFCPアソシエーションに関連するノードIDを抽出するために、PFCPメッセージを解析することができる。
一実装例において、セキュリティプラットフォームは、モバイルネットワークでの制御とユーザプレーンの分離を確保するために、サービス拒否(DoS)攻撃の検出と防止を実行するためのセキュリティポリシを用いて設定されている。
別の実装例において、セキュリティプラットフォームは、モバイルネットワークでの制御とユーザプレーンの分離を確保するために、セッションエンドポイント識別子(SEID)スプーフィング攻撃の検出と防止を実行するためのセキュリティポリシを用いて設定されている。
モバイルネットワークでの制御とユーザプレーンの分離を確保するための開示される技術は、様々なセキュアなモバイルネットワークソリューションを促進するために適用することができる。一例として、モバイルネットワーク事業者は、クラウドベースの制御インフラストラクチャと分散エッジロケーションとの間の通信をセキュアにするために、開示される技術を使用することができる。別の例として、プライベート4G/5G接続を伴う企業顧客は、ローカルのユーザプレーン機能(UPF)とクラウドベースの制御インフラストラクチャとの間の通信をセキュアにするために、開示される技術を使用することができる。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのこれら及び他の実施例が、以下でさらに説明される。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するための例示的なシステムアーキテクチャ
一般的に、5Gは、第5世代のモバイル通信システムである。3rd Generation Partnership Project(3GPP)は、7つの電気通信標準開発組織(すなわち、ARIB、ATIS、CCSA、ETSI、TSDSI、TTA、TTC)を含んでいる。本プロジェクトは、無線アクセス、コアトランスポートネットワーク、および、サービス機能を含む、セルラー電気通信ネットワーク技術をカバーしている。本仕様は、また、コアネットワークに対する非無線（non-radio）のアクセスについて、および、Wi-Fiネットワークを用いた協調作業（interworking）について、そして、5G標準を開発しているITU、IETF、およびETSIを含む他の組織に、フック（hook）も提供している。新しい5Gネットワーク標準の改善点のいくつかは、例えば、マルチエッジコンピューティング、低レイテンシ(例えば、概ね10ミリ秒(MS)未満)、高スループット(例えば、マルチGbps)、分散、ネットワーク機能仮想化インフラストラクチャ、並びに、オーケストレーション、分析、および自動化を含んでいる。
5Gアーキテクチャは、3GPP TS 23.501 v16.4.0(例えば、:https://portal.3GPP.org/desktopmodules/Specifications/SpecificationDetails.aspx?specificationId=3144で入手可能)(例えば、および、以降のリリース/バージョン)でサービスベースとして定義されており、そして、ネットワーク機能(NF)間の相互作用（interaction）は2個の方法で表現される。(1)サービスベースの表現では、制御プレーン(CP)内のNFが、他の許可されたネットワーク機能がサービスにアクセスするのを有効化（enable）する。(2)参照ポイントの表現では、任意の2個のネットワーク機能間におけるポイントツーポイント参照ポイントによって定義されるNFのペア間の相互作用に焦点を当てている。
5Gアーキテクチャでは、アクセスネットワークと、N3インターフェイスを介したバックボーンネットワークにわたるコアとの間(例えば、無線アクセスネットワーク(RAN)とUPF要素との間)のユーザプレーンプロトコル（User Plane Protocol）スタックは、UDPプロトコルにわたるGPRSトンネルプロトコルユーザプレーン（Tunnel Protocol User Plane）(GTP-U)に基づいており、そして、N4インターフェイスを介したもの(例えば、UPFエレメントとSMFエレメントとの間)も、また、UDPプロトコルにわたるパケット転送制御プロトコル(PFCP)に基づいている。5Gシステムアーキテクチャの制御プレーンNFは、サービスベースのアーキテクチャに基づいている。HTTP/2は、サービスベースのインターフェイスにわたり使用されるプロトコルである。新しい5Gアクセスネットワークプロトコルは、ストリーム制御伝送プロトコル（Stream Control Transmission Protocol、SCTP)に基づいている。
従って、いくつかの実施形態において、開示される技術は、例として、以下でさらに説明されるように、モニタリングされたGTP-Uトンネルセッションと新しいHTTP/2ベースのTCPセッションのとの間の相関、および、別の例として、モニタリングされたGTP-Uトンネル(例えば、N3インターフェイス上)とPFCPセッション(例えば、N4/Sxインターフェイス上)との間の相関を促進する、GTP-Uセッションおよび新しいHTTP/2ベースのTCPセッションに係るDPI機能(例えば、ステートフル検査を含む)を提供するように構成されたセキュリティプラットフォームを提供することを含んでいる(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示された手法を使用してセキュリティポリシを実装することができる別の（仮想）デバイス/コンポーネントを使用して実装することができる。Palo Alto Networks社から市販されている仮想/物理NGFWソリューション、または、別のセキュリティ/NFGWで実行されるPANOSといったものである)。
いくつかの実施形態では、セキュリティプラットフォームは、以下のDPI機能を提供するように構成されている。N3 GTP-Uトンネル及び／又はN4GTP-Uトンネルのステートフル検査、N3 GTP-Uトンネルのコンテンツ検査(例えば、N3 GTP-Uトンネルの内部IPセッションの内容を検査する)、及び／又は、N4/Sx PFCPセッションのコンテンツ検査(例えば、N4/Sx PFCPセッションのコンテンツを検査する)、5Gセルラー技術をサポートする5Gシステム用のプロシージャのための3GPP Technical Specification(TS) 29.274 v15.3.0 Release 15(例えば、および、以降のリリース/バージョン)に対するサポート、および、GTP-Uのための3GPP Technical Specification(TS) 29.281 v15.4.0 Release 14(例えば、および以降のリリース/バージョン)に対するサポート。
図1は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える5G無線ネットワークのアーキテクチャに係るブロック図である。具体的に、図1は、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための5Gモバイルネットワーク環境の一例であり、以下でさらに説明されるように、制御とユーザプレーンの分離を確保するためのセキュリティプラットフォーム102aおよび102b(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装することができる別の(仮想)デバイス/コンポーネント)を含んでいる。示されるように、5Gモバイルネットワーク環境は、また、以下も含んでいる。104で示されている固定/有線アクセス、106で示されているWi-Fiアクセスといった非3GPPアクセス、108で示されている5G無線アクセスネットワーク(RAN)アクセス、110で示されている4G RANアクセス、及び／又は、加入者(例えば、スマートフォン、ノートパソコン、コンピュータ(固定された場所に存在し得る)といった、ユーザ機器(UE)、及び／又は、CIoTデバイスといった、他のセルラー対応コンピューティングデバイス/機器、または、他のネットワーク通信対応デバイスを使用する)のためにデータ通信を促進するための他のネットワーク(図1に示されていない)であり、様々なアプリケーション、Webサービス、コンテンツホスト、等、及び／又は他のネットワークにアクセスするための中央データネットワーク(例えば、インターネット)を含んでいる。図1に示されるように、5Gネットワークアクセスメカニズム104、106、108、および110のそれぞれは、5Gユーザプレーン機能112aおよび112bと(例えば、S1-Uインターフェイスを介して)通信しており、それは、5Gユーザプレーン機能112aおよび112bと、それぞれに、通信するために、セキュリティプラットフォーム102aおよび102bを通過する。
また、図1に示されるように、それぞれに示すN4インターフェイスは、UDP上のPFCPを介して、UPF 112a/bと、セッション管理機能(SMF)130を含む5Gコア制御/シグナリング機能との間のインターフェイスを提供する。コアネットワーク140は、中央データネットワーク120と通信している、5Gユーザプレーン機能132と通信するSMF130を含んでいる。
図1を参照すると、ネットワークトラフィック通信は、セキュリティプラットフォーム102aおよび102bを使用してモニタリングされる。示されるように、ネットワークトラフィック通信は、上記と同様に、かつ、さらに以下に説明されるように、モバイルネットワークで制御とユーザプレーンの分離を確保するための開示される技術を実行するように構成されたセキュリティプラットフォーム102aおよび102b(例えば、ファイアウォール(FW)、ファイアウォールの代わりに機能するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別のデバイス/コンポーネントをそれぞれ含む(仮想) デバイス/アプライアンス)を使用して、5Gネットワークでモニタリング/フィルタリングされる。
加えて、セキュリティプラットフォーム102aおよび102bは、また、インターネットなどを介して、クラウドセキュリティサービス122(例えば、Palo Alto Networks社が提供する市販のクラウドセキュリティサービスであるWildFireTMクラウドベースのマルウェア分析環境といった、市販のクラウドベースのセキュリティサービスでは、マルウェアのサンプルの自動セキュリティ分析並びにセキュリティ専門家の分析を含み、または、他のベンダーが提供する同様のソリューションを利用することができる)とネットワーク通信することもできる。例えば、クラウドセキュリティサービス122は、セキュリティプラットフォームにマルウェア、DNS、URL、CNCマルウェア、及び／又は、他のマルウェアの動的な防止署名を提供するため、並びに、さらなるセキュリティ分析のためにマルウェアのサンプルを受信するために利用することができる。
図1を参照すると、セキュリティプラットフォーム102aおよび102bは、この例における5Gモバイルネットワーク環境で、それぞれUPF112aおよび112bとSMF130との間のN4インターフェイス上のPFCPメッセージ(例えば、PFCP over UDP)を解析することによってPFCPステートフル検査を実行し、それぞれに、PFCFセッションのセットアップに使用される特定の情報を抽出し、そして、後述する制御メッセージフローを追跡する。
これから明らかになるように、モバイルネットワークでの制御とユーザプレーンの分離のセキュリティを促進するために、5Gネットワーク内の様々な場所(例えば、5Gネットワークまたはコンバージド5Gネットワーク)でのネットワークトラフィック通信用の１つ以上のセキュリティプラットフォームを使用して、ネットワークトラフィック通信をモニタリング/フィルタリングすることができる。
図2Aは、いくつかの実施形態に従った、モバイルネットワークでの制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係るブロック図である。具体的に、図2Aは、以下でさらに説明されるように、制御とユーザプレーンの分離を確保するために、セキュリティプラットフォーム202aおよび202b(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別の(仮想)デバイス/コンポーネントを使用して実装できる)を含む、モバイルネットワークでの制御とユーザプレーンの分離を確保するための一つの例示的な4Gモバイルネットワーク環境である。4Gモバイルネットワーク環境は、また、固定/有線アクセス(図2Aに示されていない)、Wi-Fiアクセス(図2Aに示されていない)といった非3GPPアクセス、204で示されるような4G無線アクセスネットワーク(RAN)アクセス、及び／又は、他のネットワーク(図2Aに示されていない)を含むこともでき、様々なアプリケーション、Webサービス、コンテンツホスト、等、及び／又は、他のネットワークにアクセスするための中央データネットワーク(例えば、インターネット)220経由を含む、加入者のためのデータ通信を(例えば、スマートフォン、ノートパソコン、コンピュータ(固定された場所に存在し得る)といった、ユーザ機器(UE)、及び／又は、CIoTデバイスといった、他のセルラー対応コンピューティングデバイス/機器、または、他のネットワーク通信対応デバイスを使用して)促進する。
図2Aに示されるように、4GネットワークアクセスメカニズムeNodeB 204は、SGW-U+PGW-U 206として示されるユーザプレーントラフィックのための結合サービングゲートウェイ(SGW)およびパケットゲートウェイ(PGW)を含むユーザプレーンネットワーク要素と通信しており、SGW-U+PGW-U 206と通信するためにセキュリティプラットフォーム202aを通過する。
図2Aにも、また、示されるように、コアネットワーク210は、SGW-C+PGW-C 214として示される制御プレーントラフィックのための結合サービングゲートウェイ(SGW)およびパケットデータネットワーク(PDN)ゲートウェイ(PGW)を含む制御プレーンネットワーク要素を含み、これは、セキュリティプラットフォーム202bを通過してPGW-U 216と通信する。コアネットワーク210は、中央データネットワーク 220へのアクセスを促進するためのユーザプレーントラフィック用のPGW-U 216を含んでいる。具体的に、Sxaインターフェイスは、PFCP over UDPを介してSGW-C 214とSGW-U 206の間のインターフェイスを提供し、Sxbインターフェイスは、PFCP over UDPを介してPGW-C 214とPGW-U 216の間のインターフェイスを提供する。
また、示されるように、セキュリティプラットフォーム202a(例えば、および、他のセキュリティプラットフォームも同様にセキュリティクラウドサービスと通信することができる)は、また、セキュリティサービス222(例えば、Palo Alto Networks社が提供する市販のクラウドセキュリティサービスであるWildFireTM(WF)クラウドベースのマルウェア分析環境といった、市販のクラウドベースのセキュリティサービスであり、マルウェアのサンプルの自動セキュリティ分析並びにセキュリティ専門家の分析を含み、または、他のベンダーが提供する同様のソリューションを利用することができる)とのネットワーク通信も行っている。
図2Aを参照すると、図1に関して上記で説明したのと同様に、または、以下でさらに説明されるように、セキュリティプラットフォーム202aおよび202b(例えば、Sxa、Sxb、及び／又は、他の通信をモニタリングするために様々な場所に配置することができる)を使用して、ネットワークトラフィック通信をモニタリングすることができる。この実装例では、セキュリティプラットフォーム202aおよび202bは、この例示的な4Gモバイルネットワーク環境に配置されており、214で示されるサービングゲートウェイ（Serving Gateway）-Cと、206で示されるサービングゲートウェイ-Uとの間のSxaインターフェイス、および、21で示されるPDNゲートウェイ-Cと、216で示されるPDNゲートウェイ-Uとの間のSxbインターフェイス上のPFCFメッセージ(例えば、PFCP over UDP)をモニタリングおよび解析して、PFCFセッションのセットアップに使用される所定の情報を抽出し、以下でさらに説明されるように制御メッセージフローを追跡する。
図2Bは、いくつかの実施例に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4Gワイヤレスネットワークのアーキテクチャに係る別のブロック図である。具体的に、図2Bは、以下でさらに説明されるように、制御とユーザプレーンの分離を確保するためのセキュリティプラットフォーム202a、202b、および202c(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別の(仮想)デバイス/コンポーネントを使用して実装できる)を含む、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための一つの例示的な4Gモバイルネットワーク環境である。4Gモバイルネットワーク環境は、また、固定/有線アクセス(図2Bに示されていない)、Wi-Fiアクセス(図2Bに示されていない)といった非3GPPアクセス、204で示されるような4G無線アクセスネットワーク(RAN)アクセス、及び／又は、他のネットワーク(図2Bに示されていない)を含むこともでき、様々なアプリケーション、Webサービス、コンテンツホスト、等、及び／又は、他のネットワークにアクセスするための中央データネットワーク(例えば、インターネット)220経由を含む、加入者のためのデータ通信を(例えば、スマートフォン、ノートパソコン、コンピュータ(固定された場所に存在し得る)といった、ユーザ機器(UE)、及び／又は、CIoTデバイスといった、他のセルラー対応コンピューティングデバイス/機器、または、他のネットワーク通信対応デバイスを使用して)促進する。
図2Bに示されるように、4Gネットワークアクセスメカニズム204は、SGW-U+PGW-U 206として示されるユーザプレーントラフィックのためのサービングゲートウェイ(SGW)およびパケットゲートウェイ(PGW)を含む、結合されたユーザプレーンネットワーク要素と通信しており、SGW-U+PGW-U 206と通信するために、セキュリティプラットフォーム202aを通過する。
図2Bにも、また、示されるように、4Gネットワークアクセスメカニズム204は、コアネットワーク210にアクセスするためにセキュリティプラットフォーム202aを通過する、コアネットワーク210と(例えば、Sxa/Sxbインターフェイスを介して)通信している。コアネットワーク210は、SGW-C+PGW-C 214として表示される制御プレーントラフィック用のサービングゲートウェイ(SGW)およびパケットデータネットワーク(PDN)ゲートウェイ(PGW)を含む、制御プレーンネットワーク要素が組み合わされて含んでいる。
コアネットワーク210は、また、中央データネットワーク220へのアクセスを促進するためにユーザプレーントラフィック用のPGW-U 216も含んでおり、それは、セキュリティプラットフォーム202bを通過してPGW-U 216を介して中央データネットワークにアクセスし、そして、TDF-U 224として表示されるユーザプレーントラフィック用のトラフィック検出機能（Traffic Detection Function、TDF)にアクセスする。具体的に、Sxaインターフェイスは、PFCP over UDPを介してSGW-C 214とSGW-U 206との間のインターフェイスを提供し、そして、Sxbインターフェイスは、PFCP over UDPを介してPGW-C 214とPGW-U 216との間のインターフェイスを提供している。コアネットワーク210は、また、TDF-C 226として表示される制御プレーントラフィック用のトラフィック検出機能(TDF)も含んでおり、TDF-C 226とTDF-U 224との間のSxcインターフェイスにわたるネットワークトラフィックは、セキュリティプラットフォーム202cを通過する。
また、示されるように、セキュリティプラットフォーム202a(例えば、および、他のセキュリティプラットフォームも同様にセキュリティクラウドサービスと通信できる)は、マルウェア、DNS、URL、コマンドとコントロール(C&C)、及び／又は他の様々なセキュリティ更新、及び／又はクラウドベースのマルウェアサンプル分析のための動的防止署名のため、といった、セキュリティサービス222(例えば、Palo Alto Networks社が提供する市販のクラウドセキュリティサービスである、WildFireTM(WF)クラウドベースのマルウェア分析環境といった市販のクラウドベースのセキュリティサービスでは、マルウェアのサンプルの自動セキュリティ分析並びにセキュリティ専門家の分析を含み、または、他のベンダーが提供する同様のソリューションを利用することができる)とネットワーク通信することもできる。
図2Bを参照すると、図2Aに関して前述したように、そして、以下でさらに説明されるように、セキュリティプラットフォーム202a、202b、および202c(例えば、Sxa、Sxb、Sxc、及び／又は、他の通信をモニタリングするために様々な場所に配置することができる)を使用して、ネットワークトラフィック通信をモニタリングすることができる。この実装例において、セキュリティプラットフォーム202a、202b、および202cは、この例示的な4Gモバイルネットワーク環境に配置され、PFCPメッセージ(例えば、PFCP over UDP)をモニタリングおよび解析するために、214で示されるサービングゲートウェイ-Cと206で示されるサービングゲートウェイ-Uとの間のSxaインターフェイス、214で示されるPDNゲートウェイ-Cと206で示されるPDNゲートウェイ-Uとの間のSxbインターフェイス、および、226で示されるTDF-Cと224で示されるTDF-Uとの間のSxcインターフェイスを使用して、PFCFセッションのセットアップに使用される所定の情報を抽出し、そして、以下でさらに説明されるように制御メッセージフローを追跡する。
図2Cは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係る別のブロック図である。具体的に、図2Cは、以下でさらに説明されるように、制御とユーザプレーンの分離を確保するためのセキュリティプラットフォーム202(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別の(仮想)デバイス/コンポーネントを使用して実装できる)を含む、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための例示的な4Gモバイルネットワーク環境である。4Gモバイルネットワーク環境は、また、固定/有線アクセス(図2Cに示されていない)、Wi-Fiアクセス(図2Cに示されていない)といった非3GPPアクセス、204で示されるような4G無線アクセスネットワーク(RAN)アクセス、及び／又は、加入者が(例えば、スマートフォン、ノートパソコン、コンピュータ(固定された場所に存在し得る)といったユーザ機器(UE)、及び／又は、CIoTデバイスといった他のセルラー対応コンピューティングデバイス/機器、及び／又は、他のネットワーク通信対応デバイスを使用して)様々なアプリケーション、Webサービス、コンテンツホスト、等、及び／又は、他のネットワークにアクセスするためのデータ通信を促進する他のネットワーク(図2Cに示されていない)も含むこともできる。
図2Cに示されるように、4Gネットワークアクセスメカニズム204は、SGW-U+PGW-U 206として示されるユーザプレーントラフィック用のサービングゲートウェイ(SGW)およびパケットゲートウェイ(PGW)を含む、結合されたユーザプレーンネットワーク要素と通信しており、それは、SGW-U+PGW-U 206と通信するためにセキュリティプラットフォーム202を通過する。
図2Cにも、また、示されるように、4Gネットワークアクセスメカニズム204は、セキュリティプラットフォーム202を通過してコアネットワーク210にアクセスするコアネットワーク210と(例えば、Sxa/Sxbインターフェイスを経由して)通信している。コアネットワーク210は、SGW-C+PGW-C 214として示される制御プレーントラフィック用のサービングゲートウェイ(SGW)およびパケットデータネットワーク(PDN)ゲートウェイ(PGW)を含んでいる、結合制御プレーンネットワーク要素を含む。具体的に、Sxaインターフェイスは、PFCP over UDPを介してSGW-C 214とSGW-U 206との間のインターフェイスを提供し、そして、Sxbインターフェイスは、PFCP over UDPを介してPGW-C 214とPGW-U 206との間のインターフェイスを提供する。
また、示されるように、説明される202は、マルウェア、DNS、URL、コマンドとコントロール(C&C 、及び／又は他の様々なセキュリティ更新プログラム、及び／又はクラウドベースのマルウェアサンプル分析のための動的予防署名のため、といったセキュリティサービス222(例えば、Palo Alto Networks社が提供する市販のクラウドセキュリティサービスであ、るWildFireTM(WF)クラウドベースのマルウェア分析環境といった市販のクラウドベースのセキュリティサービスでは、マルウェアのサンプルの自動セキュリティ分析並びにセキュリティ専門家の分析を含み、または、他のベンダーが提供する同様のソリューションを利用することができる)とネットワーク通信することもできる。
図2Cを参照すると、ネットワークトラフィック通信は、図2A-図2Bに関して前述したのと同様に、そして、以下でさらに説明されるように、セキュリティプラットフォーム202(例えば、Sxa、Sxb、及び／又は、他の通信をモニタリングするために様々な場所に配置することができる)を使用して、モニタリングすることができる。この実装例において、セキュリティプラットフォーム202は、この例示的な4Gモバイルネットワーク環境に配置されており、214で示されるサービングゲートウェイ-Cと206で示されるサービングゲートウェイ-Uとの間のSxaインターフェイス、および、214で示されるPDNゲートウェイ-Cと206で示されるPDNゲートウェイy-Uとの間のSxbインターフェイスにおけるPFCPメッセージ(例えば、PFCP over UDP)をモニタリングおよび解析して、PFCFセッションのセットアップに使用される所定の情報を抽出し、そして、以下でさらに説明されるように制御メッセージフローを追跡する。
図2Dは、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのセキュリティプラットフォームを備える4G無線ネットワークのアーキテクチャに係る別のブロック図である。具体的に、図2Dは、以下でさらに説明されるように、制御とユーザプレーンの分離を確保するためのセキュリティプラットフォーム202aおよび202b(例えば、セキュリティ機能/プラットフォームは、ファイアウォール(FW)/次世代ファイアウォール(NGFW)、ファイアウォールの代わりに動作するネットワークセンサ、または、開示される技術を使用してセキュリティポリシを実装できる別の(仮想)デバイス/コンポーネントを使用して実装できる)を含む、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための例示的な4Gモバイルネットワーク環境である。4Gモバイルネットワーク環境は、また、固定/有線アクセス(図2Dに示されていない)、Wi-Fiアクセス(図2Dに示されていない)といった非3GPPアクセス、204で示されるような4G無線アクセスネットワーク(RAN)アクセス、及び／又は、加入者が(例えば、スマートフォン、ノートパソコン、コンピュータ(固定された場所に存在し得る)といったユーザ機器(UE)、及び／又は、CIoTデバイスといった他のセルラー対応コンピューティングデバイス/機器、及び／又は、他のネットワーク通信対応デバイスを使用して)様々なアプリケーション、Webサービス、コンテンツホスト、等、及び／又は、他のネットワークにアクセスするためのデータ通信を促進する他のネットワーク(図2Dに示されていない)を含むこともできる。
図2Dに示されるように、4Gネットワークアクセスメカニズム204は、SGW-U 208およびPGW-U 206として示されるユーザプレーントラフィック用のサービングゲートウェイ(SGW)、および、パケットゲートウェイ(PGW)を含むユーザプレーンネットワーク要素と、それぞれに、通信している。セキュリティプラットフォーム202bは、セキュリティプラットフォーム202bを通過してTDF-U 224と通信する、TDF-U 224として示されるユーザプレーントラフィック用のトラフィック検出機能とPGW-U 206との間に配置されている。
図2Dにも、また、示されるように、4Gネットワークアクセスメカニズム204は、制御プレーントラフィック用のコアネットワーク210にアクセスするためにセキュリティプラットフォーム202aを通過する、コアネットワーク210と(例えば、Sxa/Sxbインターフェイスを経由して)通信している。コアネットワーク210は、SGW-C 218およびPGW-C 216として示される制御プレーントラフィック用のサービングゲートウェイ(SGW)、および、パケットデータネットワーク(PDN)ゲートウェイ(PGW)を含む制御プレーンネットワーク要素を、それぞれ、含んでいる。コアネットワーク210は、また、TDF-C 234として示される制御プレーントラフィック用のトラフィック検出機能も含み、これは、示されるように、セキュリティプラットフォーム202bを通過する。具体的に、Sxaインターフェイスは、PFCP over UDPを介してPGW-C 216とPGW-U 206との間のインターフェイスを提供し、そして、SxbインターフェイスはPFCP over UDPを介してSGW-C 218とSGW-U 208との間のインターフェイスを提供する。同様に、SxcインターフェイスはPFCP over UDPを介してTDF-C 234とTDF-U 224との間のインターフェイスを提供する。
また、示されるように、セキュリティプラットフォーム202a(例えば、および、他のセキュリティプラットフォームも同様にセキュリティクラウドサービスと通信できる)は、マルウェア、DNS、URL、コマンドとコントロール(C&C)、及び／又は他の様々なセキュリティ更新プログラム、及び／又はクラウドベースのマルウェアサンプル分析の動的防止署名ため、といった、セキュリティサービス222(例えば、Palo Alto Networks社が提供する市販のクラウドセキュリティサービスである、WildFireTM(WF)クラウドベースのマルウェア分析環境といった市販のクラウドベースのセキュリティサービスでは、マルウェアのサンプルの自動セキュリティ分析並びにセキュリティ専門家の分析を含み、または、他のベンダーが提供する同様のソリューションを利用することができる)ともネットワーク通信する。
図2Dを参照すると、ネットワークトラフィック通信は、図2A-図2Cに関して前述したように、そして、以下でさらに説明されるように、セキュリティプラットフォーム202aおよび202b(例えば、Sxa、Sxb、Sxc、及び／又は、他の通信をモニタリングするために様々な場所に配置することができる)を使用して、モニタリングすることができる。この実装例において、セキュリティプラットフォーム202aおよび202bは、この例示的な4Gモバイルネットワーク環境に配置され、PFCPメッセージ(例えば、PFCP over UDP)をモニタリングおよび解析するために、216で示されるPDNゲートウェイ-Cと206で示されるPDNゲートウェイ-Uとの間のSxaインターフェイス、218で示されるサービングゲートウェイ-Cと208で示されるサービングゲートウェイ-Uとの間のSxbインターフェイス、および、234で示されるTDF-Cと224で示されるTDF-Uとの間のSxcインターフェイスを使用して、PFCFセッションのセットアップに使用される所定の情報を抽出し、そして、以下でさらに説明されるように制御メッセージフローを追跡する。
これから明らかになるように、モバイルネットワークにおける制御とユーザプレーンの分離のセキュリティを促進するために、4Gネットワーク及び／又は5Gネットワーク(例えば、5Gネットワークまたはコンバージド5Gネットワーク)内の様々な場所でのネットワークトラフィック通信のための１つ以上のセキュリティプラットフォームを使用して、ネットワークトラフィック通信をモニタリング/フィルタリングすることができる。
モバイルネットワークにおける制御とユーザプレーンの分離のセキュリティを確保するためのPFCPトラフィックのモニタリングに基づく例示的なセキュリティメカニズム
上記で説明したのと同様に、PFCPは、LTEの3GPP技術仕様(TS)29.244 v15.7；5G；制御プレーンとユーザプレーンノード間のインターフェイス(例えば、および、以降のリリース/バージョン)で規定されているように、制御プレーンとユーザプレーン機能の間のインターフェイスにおいて使用される。
図3Aは、PFCPセッション確立プロシージャのためのプロトコルシーケンス図である。図3Aを参照すると、SMF304は、新しいPDUセッションを確立するか、または、確立されたPDUセッションのUPFを変更するためのトリガを受信する。310で、SMF304は、N4セッション確立要求メッセージをUPF302に送信する。320で、UPF302は、N4セッション確立応答メッセージを用いて応答する。SMF304は、このプロシージャをトリガしたネットワーク機能(例えば、5Gコアアクセスおよびモビリティ管理機能(AMF)、または、ポリシ制御機能(PCF))とインタラクションする。
図3Bは、PFCPセッション変更プロシージャのためのプロトコルシーケンス図である。図3Bを参照すると、SMF304は、既存のPDUセッションを変更するためのトリガを受信する。330で、SMF304は、N4セッション変更要求メッセージをUPF302に送信する。340で、UPF302はN4セッション変更応答メッセージを用いて応答する。SMF304は、このプロシージャをトリガしたネットワーク機能(例えば、AMFまたはPCF)とインタラクションする。
図3Cは、PFCPセッション解放プロシージャのためのプロトコルシーケンス図である。図3Cを参照すると、SMF304は、PDUセッションのN4セッションコンテキストを削除するためのトリガを受信する。350で、SMF304は、N4セッション解放要求メッセージをUPF302に送信する。UPF302は、N4セッションIDによって削除されるN4セッションコンテキストを識別し、そして、セッションコンテキスト全体を削除する。360で、UPF302は、N4セッションリリース応答メッセージ(例えば、UPFがSMFに提供する必要がある任意の情報を含む)を用いて応答する。SMF304は、このプロシージャをトリガしたネットワーク機能(例えば、AMFまたはPCF)とインタラクションする。
一実装例において、PFCFステートフル検査は、マルチアクセス分散エッジ4G/5Gネットワーク、または、エンタープライズプライベートLTEネットワーク(例えば、図1および図2A-図2Dにも示されている、セキュリティプラットフォームの展開、といったもの)のセキュリティプラットフォーム展開トポロジに基づいて、以下のように実行することができる。
第１に、PFCPトラフィックをモニタリングするためにセキュリティプラットフォームを使用して、セキュリティプラットフォームは、PFCPアソシエーションに関連する5タプル（5-tuple）＋ノードID(オプション)に基づいてセッションを自動的に構築する(例えば、5タプルは、以下のパラメータを含むことができる。送信元IPアドレス、SEID 1、宛先IPアドレス、SEID 2、および、使用中のプロトコル、この例ではPFCP))。以下でさらに説明するように、といったものである。
第２に、セキュリティプラットフォームは、既存のPFCPアソシエーションに対応する「アクティブ（'ACTIVE'）」セッションに一致する制御プレーン(CP)またはユーザプレーン(UP)機能からのPFCPセッション関連メッセージのみを許可するように、セキュリティポリシを用いて設定される。
第３に、PFCPトラフィックをモニタリングするためにセキュリティプラットフォームを使用して、セキュリティプラットフォームは、以下の状態を追跡するために、自動的にPFCPセッションステートマシンを構築することができる。5タプル(例えば、5タプルは、以下のパラメータを含むことができる。送信元IPアドレス、SEID 1、宛先IPアドレス、SEID 2、および、使用中のプロトコル、この例ではPFCP)に基づくPFCPセッションの作成、更新、および、リリースの状態であり、図3A-図3Cに関して以下でさらに説明するように、といったものである。
第４に、セキュリティプラットフォームは、シーケンス番号チェックを実行するために、セキュリティポリシを用いて設定される。例えば、セキュリティプラットフォームは、PFCP要求および応答メッセージ内のシーケンス番号をチェックすることができる。この例において、セキュリティプラットフォームは、PCFP要求メッセージ(例えば、3GPP TS 29.244 v15.7.0のセクション6.4で規定されているように、PCFP要求およびその応答メッセージは、同じシーケンス番号値を有する)と一致するシーケンス番号を有するPFCP応答メッセージのみを許可するように、セキュリティポリシを用いて設定されている。
セキュリティプラットフォームは、PFCPトラフィックのモニタリングに基づいて追加的なセキュリティメカニズムを実行するように設定することができる。PFCPトラフィックのモニタリングに基づく、そうした追加的なセキュリティメカニズムの様々な例について、これから説明される。
例えば、セキュリティプラットフォームは、ユーザプレーンIPリソース情報チェックを実行するようにセキュリティポリシを用いて設定することができる。具体的には、ユーザプレーン(UP)機能と制御プレーン(CP)機能との間で交換される「ユーザプレーンIPリソース情報（‘user plane IP resource information’）」をチェックすることによって、CUPSインターフェイスにおいて追加的なセキュリティを適用することができる。PFCPアソシエーションのセットアッププロシージャの最中に、「PFCPアソシエーションのセットアップ要求（‘PFCP Association Setup Request’）」メッセージは、任意的に、IPv4及び／又はIPv6アドレスを含む「ユーザプレーンIPリソース情報」の情報要素(IE)、および、PFCPアソシエーションのセットアップの最中にCP機能がUP機能にGTP-U F-TEIDを割り当てるために使用するTEID範囲を含むことができる。この例において、セキュリティプラットフォームは、この情報を保管し、そして、PFCPアソシエーションのセットアップの最中、先に交換された正しいIPv4及び／又はIPv6アドレスを有するGTP-U F-TEIDの有効な範囲に一致するGTP-Uトンネルのセットアップのみを許可するように、セキュリティポリシを用いて設定することができる。
別の例として、セキュリティプラットフォームは、オーバーロード保護－PFCPメッセージのレート制限、を実行するように、セキュリティポリシを用いて設定することができる。具体的には、図3A-3Cに関して上記で説明したように、セキュリティプラットフォームは、PFCPアソシエーションセットアップ要求、PFCPセッション確立要求、および、PFCPセッション削除要求をモニタリングするように、セキュリティポリシ用いて設定することができる。これは、UPF、PGW-U、及び／又は、4G/5Gネットワークにおける他のネットワーク機能といった、4G/5Gネットワークにおける様々なネットワーク機能のリソースを保護するために、セキュリティプラットフォームによって適用することができる。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するための例示的なセキュリティ強化のユースケース
セキュリティポリシ実施のためにセキュリティプラットフォームを使用して、4G/5Gモバイル/サービスプロバイダネットワークのための強化されたセキュリティを提供するために開示される技術は、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのものを含み、4G/5Gモバイル/サービスプロバイダネットワーク環境のために強化されたセキュリティを促進するための様々な追加の例示的なユースケースシナリオに適用することができる。
一つの例示的なユースケースシナリオにおいて、PFCPプロトコルは、UDP上で動作し、そして、本質的にセキュアな設計を欠いている。かくして、モバイルネットワークは、サービス拒否(DoS)及び／又はスプーフィング攻撃といった、攻撃を受ける可能性がある。
一つの例示的な攻撃は、セッションエンドポイント識別子(SEID)ブルートフォーシング(例えば、0または偽のSEID)についてPFCPメッセージを受信するUPF及び／又はSMFネットワーク機能を含む、１つ以上のネットワーク機能をターゲットにすることができる。
別の例示的な潜在的攻撃は、偽の（fake）PFCPセッション変更要求及び／又はPFCPセッション削除要求を伴うスプーフィングされたPFCPメッセージを受信するUPF及び／又はSMFネットワーク機能を含む、ネットワーク機能をターゲットにすることができる。
さらに別の例示的な潜在的攻撃は、PFCPノード検出をターゲットにすることができる。そこでは、Sxa/Sxb/N4インターフェイス(例えば、他のインターフェイス)に対するアクセスを有する攻撃者が、有効なPFCPメッセージをネットワーク機能(NF)に送信し、そして、NFに関する有用な情報を伴う応答メッセージを受信することができる(例えば、そうした情報は、攻撃者が4G/5Gモバイルネットワークへの攻撃を開始するために使用することができる)。
開示された潜在的攻撃の例は、以下で説明されるように、開示される技術を使用して検出及び／又は防止することができる。
ブルートフォース0または偽のSEIDを使用したUPF及び／又はSMFに対するDoS攻撃は、前述したのと同様に、セキュリティプラットフォームによって実行されるPFCPステートフル検査を使用して検出および防止することができる。UPF及び／又はSMFに対するDoS攻撃及び／又はスプーフィング攻撃も、または、前述したのと同様に、セキュリティプラットフォームによって適用されるセキュリティポリシにおいてPFCPメッセージをレート制限する適切な閾値を設定することによって検出および防止することができる。
偽のPFCPセッション変更要求及び／又はPFCPセッション削除要求を使用したUPF及び／又はSMFに対するスプーフィング及び／又はセッション/アソシエーションハイジャック攻撃は、PFCPステートフル検査を使用して検出および防止することができる。具体的には、セキュリティプラットフォームがPFCPアソシエーションの状態を維持するので、前述したのと同様に、セキュリティプラットフォームによって適用されるセキュリティポリシに基づいて、ファイアウォールテーブル内の既存のPFCPアソシエーションに一致する有効なPFCPアソシエーションメッセージのみを許可することができる。同様に、セキュリティプラットフォームがPFCPセッションの状態を維持するので、前述したのと同様に、セキュリティプラットフォームによって適用されるセキュリティポリシに基づいて、ファイアウォールテーブル内の既存のPFCPセッションに一致する有効なPFCPセッションメッセージのみを許可することができる。
最終的に、PFCPメッセージを使用してネットワーク機能情報を収集する偵察（reconnaissance）攻撃は、前述したのと同様に、セキュリティプラットフォームによって適用されるセキュリティポリシに基づいて、PFCPステートフル検査およびPFCPメッセージレート制限の両方を使用して検出および防止することができる。
当業者にとって今から明らかになるように、セキュリティポリシ強化のためのセキュリティプラットフォームを使用する、4G/5Gモバイル/サービスプロバイダネットワークについて強化されたセキュリティを提供するための開示される技術は、モバイルネットワークでの制御とユーザプレーンの分離を確保するためのものを含んで、様々な追加のユースケースシナリオにおいて適用することができ、4G/5Gモバイル/サービスプロバイダネットワーク環境の強化されたセキュリティを促進するために、これら及び他のタイプの攻撃を検出/防止する。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置の例示的なハードウェアコンポーネント
図4は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置のハードウェアコンポーネントに係る機能図である。示される例は、ネットワーク装置400(例えば、ここにおいて開示されるセキュリティプラットフォームを実装できるアプライアンス、ゲートウェイ、またはサーバ)に含めることができる物理/ハードウェアコンポーネントの表現である。具体的に、ネットワーク装置400は、高性能マルチコアCPU402およびRAM404を含んでいる。ネットワーク装置400は、また、ストレージ410(例えば、１つ以上のハードディスクまたはソリッドステートストレージユニット)も含み、それは、ポリシおよび他の設定情報、並びに、署名を保管するために使用することができる。一つの実施形態において、ストレージ410は、図1-図3Cに関して前述したのと同様に、セキュリティプラットフォームを使用してモバイルネットワークにおける制御とユーザプレーンの分離を確保するための開示されたセキュリティポリシ実施技術を実装するためにモニタリングされる、様々なインターフェイスにわたるPFCPトラフィックから抽出された所定の情報(例えば、PFCPアソシエーションに関連する5タプル＋ノードID(オプション)、5タプル＋SEIDに基づくPFCPセッションの作成、更新、およびリリースの状態を追跡するためのPFCPセッション状態情報、PFCP要求および応答メッセージ内のシーケンス番号、など)を保管する。ネットワーク装置400は、また、任意的に１つ以上のハードウェアアクセラレータを含むこともできる。例えば、ネットワーク装置400は、暗号化および復号操作を実行するように設定された暗号化エンジン406、および、署名照合を実行し、ネットワークプロセッサとして機能し、かつ／あるいは、他のタスクを実行するように設定された１つ以上のFPGA 408を含むことができる。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置の例示的な論理コンポーネント
図5は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのネットワーク装置の論理コンポーネントに係る機能図である。示される例は、ネットワーク装置500(例えば、開示されるセキュリティ機能/プラットフォームを実装し、モバイルネットワークにおける制御とユーザプレーンの分離を確保するための開示される技術を実施することができるデータアプライアンス)に含めることができる、論理コンポーネントの表現である。示されるように、ネットワーク装置500は、管理プレーン502およびデータプレーン504を含んでいる。一つの実施形態において、管理プレーンは、ポリシの設定およびログデータの表示をするためのユーザーインターフェイスを提供することなどにより、ユーザインタラクションを管理する責任を負う。データプレーンは、パケット処理およびセッション処理を実行することなどにより、データを管理する責任を負う。
モバイルデバイスが、SSLといった、暗号化されたセッションプロトコルを使用して、リソース(例えば、リモートWebサイト/サーバ、MECサービス、CIoTデバイスといったIoTデバイス、または、他のリソース)にアクセスしようと試みると仮定する。ネットワークプロセッサ506は、モバイルデバイスからのパケットをモニタリングし、処理のためにパケットをデータプレーン504に提供するように設定されている。フロー508は、パケットが新しいセッションの一部であることを識別し、そして、新しいセッションフローを作成する。後続のパケットは、フロールックアップに基づいてセッションに属するものとして識別される。該当する場合、SSL復号は、ここで説明する様々な手法を使用して、SSL復号エンジン510によって適用される。それ以外の場合、SSL復号エンジン510による処理は省略される。アプリケーション識別(APP ID)モジュール512は、セッションに含まれるトラフィックのタイプ(例えば、図1-図3Cに関して前述したのと同様に、様々なモニタリング対象インターフェイス間のPFCP over UDPトラフィック)を決定し、そして、トラフィックフローに関連付けられたユーザを識別する(例えば、ここで説明されるように、アプリケーションIDを識別する)ように設定されている。例えば、APP ID512は、受信データ内のGET要求を認識し、そして、セッションがHTTPデコーダ514を要求していると判断することができる。別の例として、APP ID512は、PFCPセッションの確立/変更/リリースメッセージ(例えば、図3A-図3Cに関して前述したのと同様な、N4セッション確立要求/応答メッセージ、といったもの)を認識し、そして、セッションがPFCPデコーダ(例えば、図1-図3Cに関して前述したのと同様な、様々なパラメータを含むN4セッション確立関連メッセージで交換される情報を抽出する、といったもの)を要求していると判断することができる。プロトコルのタイプごとに、対応するデコーダ514が存在している。一つの実施形態において、アプリケーション識別は、アプリケーション識別モジュール(例えば、APP IDコンポーネント/エンジン)によって実行され、そして、ユーザ識別は、別のコンポーネント/エンジンによって実行される。APP ID512によって行われた決定に基づいて、パケットは、適切なデコーダ514に対して送信される。デコーダ514は、パケット(例えば、順序が狂って受信されることがある)を正しい順序に組み立て、トークン化を実行し、そして、情報を抽出する(例えば、前述したのと同様に、かつ、以下でさらに説明されるように、N4セッション確立関連のメッセージ、及び／又は、N4/Sxa/Sxb/Sxc/他のインターフェイスにわたるPFCPメッセージにおいて交換される様々な情報を抽出するため、といった)ように設定されている。デコーダ514は、また、パケットに何が起こるかを決定するために、署名マッチングも実行する。SSL暗号化エンジン516は、ここにおいて説明されるように、様々な手法を使用してSSL暗号化を実行し、そして、パケットは、次いで、示されるように、転送コンポーネント518を使用して転送される。また、示されるように、ポリシ520も、受信され、そして、管理プレーン502に保管される。一つの実施形態においては、モニタリングされ、復号され、識別され、そして、デコーディングされたセッショントラフィックフローに基づいて、様々な実施形態に関して、ここにおいて説明されるように、ポリシ実施が適用される(例えば、ポリシは１つ以上のルールを含むことができ、それは、ドメイン名及び／又はホスト名/サーバ名を使用して指定することができ、そして、ルールは、１つ以上の署名または他のマッチング基準またはヒューリスティック（heuristics）を適用することができる。例えば、ここで開示されているように、モニタリングされているHTTP/2メッセージ、及び／又は、モニタリングされているPFCP及び／又は他のプロトコルトラフィックのDPIに基づく、サービスプロバイダネットワークにおける加入者/IPフローに対するセキュリティポリシの適用、といったもの)が適用される。
図5に、また、示されるように、セキュリティ・プラットフォーム・マネージャ通信のためのインターフェイス(I/F)通信器522も(例えば、(REST)API、メッセージ、またはネットワークプロトコル通信、または他の通信メカニズムを介して)提供される。場合によっては、サービスプロバイダネットワーク上の他のネットワーク要素のネットワーク通信が、ネットワーク装置500を使用してモニタリングされ、そして、データプレーン504は、そうした通信のデコーディングをサポートする(例えば、I/Fコミュニケータ522およびデコーダ514を含む、ネットワーク装置500は、例えば、N4、Sxa、Sxb、Sxc、及び／又は、有線および無線のネットワークトラフィックフローが存在する他のインターフェイスといった、基準点インターフェイスにおいてモニタリング及び／又は通信するように設定することができる)。かくして、I/Fコミュニケータ522を含むネットワーク装置500を使用して、前述のように、かつ、以下でさらに説明されるように、MECサービスセキュリティを含むモバイル/サービスプロバイダネットワーク環境においてセキュリティポリシを実施するための開示される技術を実装することができる。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するための開示される技術の追加の例示的なプロセスについて、これから説明される。
モバイルネットワークにおける制御とユーザプレーンの分離を確保するための例示的なプロセス
図6は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのプロセスに係るフローチャートである。いくつかの実施形態においては、図6に示されるようなプロセス600が、セキュリティプラットフォーム、および、図1-図5に関して前述した実施形態を含めて、前述したのと同様な技術によって、実行される。一つの実施形態において、プロセス600は、図4に関して前述したようなデータアプライアンス400、図5に関して前述したようなネットワーク装置500、仮想アプライアンス、SDNセキュリティソリューション、クラウドセキュリティサービス、及び／又は、ここにおいて説明されるような前述の組み合わせまたはハイブリッド実装によって、実行される。
プロセスは、602で開始する。602では、セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックのモニタリングが実行されて、新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別する。ここで、モバイルネットワークは、4Gネットワークまたは5Gネットワークを含んでいる。例えば、セキュリティプラットフォーム(例えば、ファイアウォール、ファイアウォールの代わりに動作するネットワークセンサ、または、セキュリティポリシを実装できる別のデバイス/コンポーネント)は、場合によって、モバイルネットワーク上のPFCPトラフィック及び／又は他のプロトコルといった、様々なプロトコルをモニタリングすることができ、そして、より具体的には、開示される技術を実行することによって、前述したのと同様に、N4、Sxa、Sxb、およびSxcインターフェイスといった、様々なインターフェイスをモニタリングすることができる。
604では、セキュリティプラットフォームでPFCPメッセージから複数のパラメータを抽出する。例えば、セキュリティプラットフォームは、PFCPメッセージを解析して、前述したのと同様に、PFCPアソシエーションに関連する送信元IPアドレス、SEID 1、宛先IPアドレス、SEID 2、および使用中のプロトコルを抽出することができる。別の例として、セキュリティプラットフォームは、PFCPメッセージを解析して、前述したのと同様に、PFCPアソシエーションに関連するノードIDを抽出することができる。
606では、複数のパラメータのうちの１つ以上に基づいて、新しいセッションのセキュリティプラットフォームでセキュリティポリシを実施して、モバイルネットワークでの制御とユーザプレーンの分離を確保する。例えば、4G/5Gネットワークにおける制御とユーザプレーンの分離を確保するために、サービス拒否(DoS)攻撃の検出と防止は、前述したのと同様に、セキュリティプラットフォームによって実行することができる。別の例として、4G/5Gネットワークにおける制御とユーザプレーンの分離を確保するために、セッションエンドポイント識別子(SEID)スプーフィング攻撃の検出と防止は、前述したのと同様に、セキュリティプラットフォームによって実行することができる。
図7は、いくつかの実施形態に従った、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのプロセスに係る別のフローチャートである。いくつかの実施形態において、図7に示されるようなプロセス700が、セキュリティプラットフォーム、および、図1-図5に関して前述した実施形態を含み、前述したのと同様な技術によって、実行される。一つの実施形態において、プロセス700は、図4に関して前述したデータアプライアンス400、図5に関して前述したネットワーク装置500、仮想アプライアンス、SDNセキュリティソリューション、クラウドセキュリティサービス、及び／又は、ここにおいて説明されている前述の組み合わせまたはハイブリッド実装によって、実行される。
702では、セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングが実行されて、新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別する。ここで、モバイルネットワークは、4Gネットワークまたは5Gネットワークを含んでいる。例えば、セキュリティプラットフォーム(例えば、ファイアウォール、ファイアウォールの代わりに動作するネットワークセンサ、または、セキュリティポリシを実装できる別のデバイス/コンポーネント)は、場合によって、モバイルネットワーク上のPFCPトラフィック及び／又は他のプロトコルといった、様々なプロトコルをモニタリングすることができ、そして、より具体的には、開示される技術を実行することによって、前述したのと同様に、N4、Sxa、Sxb、およびSxcインターフェイスといった、様々なインターフェイスをモニタリングすることができる。
704では、モニタリングされるPCFPトラフィックからパラメータを抽出することが実行され、セキュリティプラットフォームでのPFCPアソシエーション(例えば、5タプルは、以下のパラメータを含むことができる。送信元IPアドレス、SEID 1、宛先IPアドレス、SEID 2、および、この例ではPFCPである、使用中のプロトコル)に関連する5タプル＋ノードID(オプション)に基づいて、セッションを構築する。前述したのと同様に、といったものである。
706では、モニタリングされるPCFPトラフィックからパラメータを抽出することが実行され、セキュリティプラットフォームでPFCPセッションステートマシンを構築する。例えば、セキュリティプラットフォームは、以下の状態を追跡することができる。5タプル＋SEIDに基づいたPFCPセッションの作成、更新、およびリリースであり、前述したのと同様、といったものである。
708では、セキュリティプラットフォームでセキュリティポリシを実施することが実行され、既存のPFCPアソシエーションに対応する「アクティブ」セッションに一致する制御プレーン(CP)またはユーザプレーン(UP)機能からのPFCPセッション関連メッセージのみを許可する。前述したのと同様に、といったものである。
710では、セキュリティプラットフォームでセキュリティポリシを実施することが実行され、シーケンス番号チェックを実行する。例えば、セキュリティプラットフォームは、PFCP要求および応答メッセージのシーケンス番号をチェックすることができる。この例において、セキュリティプラットフォームは、PCFP要求メッセージ(例えば、3GPP TS 29.244 v 15.7.0のセクション6.4で規定されているように、PCFP要求およびその応答メッセージは同じシーケンス番号値を有している)と一致するシーケンス番号を有するPFCP応答メッセージのみを許可するセキュリティポリシを用いて設定される。前述したのと同様に、といったものである。
開示される実施形態を考慮して、今や、明らかになるように、ネットワークサービスプロバイダ/モバイル事業者(例えば、セルラーサービスプロバイダエンティティ)、デバイス製造者(例えば、自動車エンティティ、IoTデバイスエンティティ、及び／又は、他のデバイス製造者)、及び／又は、システムインテグレーターは、4Gネットワークおよび5Gネットワークを含む、モバイルネットワークにおける制御とユーザプレーンの分離を確保するためのこれら及び他の技術的なネットワークセキュリティの課題を解決するために、開示される技術を使用して、セキュリティプラットフォームによって実施することができる、そうしたセキュリティポリシを指定することができる。
上記の実施形態は、理解を明確にするためにある程度詳細に説明されているが、本発明は、提供される詳細に限定されるものではない。本発明を実施する多くの代替方法が存在している。開示される実施形態は例示的なものであり、かつ、限定的なものではない。

Claims (20)

  1. プロセッサおよびメモリを含むシステムであって、
    前記プロセッサは、
    セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングして、新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別し、前記モバイルネットワークは、4Gネットワークまたは5Gネットワークを含んでおり、
    前記セキュリティプラットフォームで前記PFCPメッセージから複数のパラメータを抽出し、かつ、
    前記複数のパラメータの１つ以上に基づいて、前記新しいセッションの前記セキュリティプラットフォームでセキュリティポリシを実施して、前記モバイルネットワークでの制御とユーザプレーンの分離を確保する、
    ように構成されており、
    前記メモリは、前記プロセッサに結合されており、かつ、前記プロセッサに命令を提供するように構成されている、
    システム。
  2. 前記セキュリティプラットフォームで前記PFCPメッセージから抽出された複数のパラメータは、送信元IPアドレス、セッションエンドポイント識別子(SEID)1、宛先IPアドレス、SEID 2、および、使用中のプロトコル、を含む、
    請求項１に記載のシステム。
  3. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、複数のセキュリティポリシを用いて設定されている、
    請求項１に記載のシステム。
  4. 前記プロセッサは、さらに
    前記PFCPメッセージを解析して、送信元IPアドレス、セッションエンドポイント識別子(SEID)1、宛先IPアドレス、SEID 2、および、PFCPアソシエーションに関連して使用中のプロトコルを抽出する、
    ように構成されている、請求項１に記載のシステム。
  5. 前記プロセッサは、さらに、
    前記PFCPメッセージを解析して、PFCPアソシエーションに関連するノードIDを抽出する、
    ように構成されている、請求項１に記載のシステム。
  6. 前記セキュリティプラットフォームは、5Gネットワークのコアネットワークに対する、かつ／あるいは、コアネットワークにおけるネットワークトラフィックをモニタリングして、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保する、
    請求項１に記載のシステム。
  7. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、サービス拒否(DoS)攻撃の検出および防止を実行するように構成されている、
    請求項１に記載のシステム。
  8. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、セッションエンドポイント識別子(SEID)スプーフィング攻撃の検出および防止を実行するように構成されている、
    請求項１に記載のシステム。
  9. 前記プロセッサは、さらに、
    前記セキュリティポリシに基づいて、前記新しいセッションがリソースにアクセスするのをブロックする、
    ように構成されている、請求項１に記載のシステム。
  10. 前記プロセッサは、さらに、
    前記セキュリティポリシに基づいて、前記新しいセッションがリソースにアクセスできるようにする、
    ように構成されている、請求項１に記載のシステム。
  11. 方法であって、
    セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングするステップであり、
    新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別し、
    前記モバイルネットワークは、4Gネットワークまたは5Gネットワークを含んでいる、
    ステップと、
    前記セキュリティプラットフォームで前記PFCPメッセージから複数のパラメータを抽出するステップと、
    前記複数のパラメータの１つ以上に基づいて、前記新しいセッションの前記セキュリティプラットフォームでセキュリティポリシを実施するステップであり、
    前記モバイルネットワークでの制御とユーザプレーンの分離を確保する、
    ステップと、
    を含む、方法。
  12. 前記セキュリティプラットフォームで前記PFCPメッセージから抽出された複数のパラメータは、送信元IPアドレス、セッションエンドポイント識別子(SEID)1、宛先IPアドレス、SEID 2、および、使用中のプロトコル、を含む、
    請求項１１に記載の方法。
  13. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、複数のセキュリティポリシを用いて設定されている、
    請求項１１に記載の方法。
  14. 前記方法は、さらに
    前記PFCPメッセージを解析するステップであり、
    送信元IPアドレス、セッションエンドポイント識別子(SEID)1、宛先IPアドレス、SEID 2、および、PFCPアソシエーションに関連して使用中のプロトコルを抽出する、
    ステップ、
    を含む、請求項１１に記載の方法。
  15. 前記方法は、さらに
    前記PFCPメッセージを解析するステップであり、
    PFCPアソシエーションに関連するノードIDを抽出する、
    ステップ、
    を含む、請求項１１に記載の方法。
  16. 前記セキュリティプラットフォームは、5Gネットワークのコアネットワークに対する、かつ／あるいは、コアネットワークにおけるネットワークトラフィックをモニタリングして、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保する、
    請求項１１に記載の方法。
  17. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、サービス拒否(DoS)攻撃の検出および防止を実行するように構成されている、
    請求項１１に記載の方法。
  18. 前記セキュリティプラットフォームは、前記モバイルネットワークにおける制御とユーザプレーンの分離を確保するために、セッションエンドポイント識別子(SEID)スプーフィング攻撃の検出および防止を実行するように構成されている、
    請求項１１に記載の方法。
  19. 前記方法は、さらに、
    前記セキュリティポリシに基づいて、前記新しいセッションがリソースにアクセスするのを許可するか、または、ブロックするステップ、
    を含む、請求項１１に記載の方法。
  20. コンピュータプログラムであって、
    前記コンピュータプログラムは、非一時的なコンピュータ可読記憶媒体に保管されており、かつ、複数のコンピュータ命令を含んでおり、
    前記コンピュータプログラムが実行されると、コンピュータに、
    セキュリティプラットフォームでモバイルネットワークにおけるネットワークトラフィックをモニタリングするステップであり、
    新しいセッションに関連付けられたパケット転送制御プロトコル(PFCP)メッセージを識別し、
    前記モバイルネットワークは、4Gネットワークまたは5Gネットワークを含んでいる、
    ステップと、
    前記セキュリティプラットフォームで前記PFCPメッセージから複数のパラメータを抽出するステップと、
    前記複数のパラメータの１つ以上に基づいて、前記新しいセッションの前記セキュリティプラットフォームでセキュリティポリシを実施するステップであり、
    前記モバイルネットワークでの制御とユーザプレーンの分離を確保する、
    ステップと、
    を実施させる、コンピュータプログラム。
JP2022581359A 2020-06-30 2021-06-16 モバイルネットワークにおける制御とユーザプレーンの分離の確保 Active JP7544401B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US16/917,490 US11689502B2 (en) 2020-06-30 2020-06-30 Securing control and user plane separation in mobile networks
US16/917,490 2020-06-30
PCT/US2021/037590 WO2022005748A1 (en) 2020-06-30 2021-06-16 Securing control and user plane separation in mobile networks

Publications (2)

Publication Number Publication Date
JP2023532924A true JP2023532924A (ja) 2023-08-01
JP7544401B2 JP7544401B2 (ja) 2024-09-03

Family

ID=79030576

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2022581359A Active JP7544401B2 (ja) 2020-06-30 2021-06-16 モバイルネットワークにおける制御とユーザプレーンの分離の確保

Country Status (6)

Country Link
US (2) US11689502B2 (ja)
EP (1) EP4173338A4 (ja)
JP (1) JP7544401B2 (ja)
KR (1) KR20230018457A (ja)
CN (1) CN115989661A (ja)
WO (1) WO2022005748A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11343285B2 (en) * 2020-01-31 2022-05-24 Palo Alto Networks, Inc. Multi-access edge computing services security in mobile networks by parsing application programming interfaces
US11546368B2 (en) * 2020-09-28 2023-01-03 T-Mobile Usa, Inc. Network security system including a multi-dimensional domain name system to protect against cybersecurity threats
US20220225174A1 (en) * 2021-01-08 2022-07-14 Motojeannie, Inc. Experience-driven network (edn)
US20220286429A1 (en) * 2021-03-08 2022-09-08 Zscaler, Inc. Cloud-based 5G security network architectures with secure edge steering
US11895537B2 (en) * 2021-05-11 2024-02-06 Verizon Patent And Licensing Inc. Systems and methods for supporting multi-access edge computing using application-based quality of service flows
US20230396639A1 (en) * 2022-06-02 2023-12-07 Booz Allen Hamilton Inc. System and method using genetic algorithms for anomaly detection in a mobile network
US20240073698A1 (en) * 2022-08-31 2024-02-29 Palo Alto Networks, Inc. Applying subscriber-id based security, equipment-id based security, and/or network slice-id based security with user-id and syslog messages in mobile networks

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8973088B1 (en) 2011-05-24 2015-03-03 Palo Alto Networks, Inc. Policy enforcement using host information profile
US9100236B1 (en) * 2012-09-30 2015-08-04 Juniper Networks, Inc. TCP proxying of network sessions mid-flow
US9172721B2 (en) * 2013-07-16 2015-10-27 Fortinet, Inc. Scalable inline behavioral DDOS attack mitigation
US10193863B2 (en) 2016-10-07 2019-01-29 Microsoft Technology Licensing, Llc Enforcing network security policy using pre-classification
US10855656B2 (en) 2017-09-15 2020-12-01 Palo Alto Networks, Inc. Fine-grained firewall policy enforcement using session app ID and endpoint process ID correlation
US11051201B2 (en) 2018-02-20 2021-06-29 Microsoft Technology Licensing, Llc Dynamic selection of network elements
US10506506B2 (en) * 2018-04-30 2019-12-10 Ofinno, Llc 5G policy control for restricted local operator services
US10944796B2 (en) 2018-09-27 2021-03-09 Palo Alto Networks, Inc. Network slice-based security in mobile networks
US10574670B1 (en) 2018-09-27 2020-02-25 Palo Alto Networks, Inc. Multi-access distributed edge security in mobile networks
US11184953B2 (en) * 2019-10-30 2021-11-23 Verizon Patent And Licensing Inc. Systems and methods for providing low latency services via an evolved packet core network

Also Published As

Publication number Publication date
KR20230018457A (ko) 2023-02-07
US11689502B2 (en) 2023-06-27
EP4173338A4 (en) 2024-06-19
US20230412566A1 (en) 2023-12-21
WO2022005748A1 (en) 2022-01-06
JP7544401B2 (ja) 2024-09-03
US20210409375A1 (en) 2021-12-30
EP4173338A1 (en) 2023-05-03
CN115989661A (zh) 2023-04-18

Similar Documents

Publication Publication Date Title
US11792235B2 (en) Network slice-based security in mobile networks
US11019077B2 (en) Multi-access distributed edge security in mobile networks
US11750662B2 (en) Multi-access edge computing services security in mobile networks by parsing application programming interfaces
JP7540523B2 (ja) モバイルネットワークにおけるマルチアクセス分散型エッジセキュリティ
US10812971B2 (en) Service-based security per data network name in mobile networks
JP7544401B2 (ja) モバイルネットワークにおける制御とユーザプレーンの分離の確保
JP7410343B2 (ja) モバイルネットワークにおけるネットワークスライスベースのセキュリティ
US10812972B2 (en) Service-based security per user location in mobile networks
US10531305B1 (en) Service-based security per subscription and/or equipment identifiers in mobile networks

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20230224

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20240123

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20240227

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20240411

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20240723

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20240815

R150 Certificate of patent or registration of utility model

Ref document number: 7544401

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150