JP4499161B2

JP4499161B2 - 移動通信システムにおいてデータサービスのセキュリティを実現する方法、システム及び装置

Info

Publication number: JP4499161B2
Application number: JP2007548674A
Authority: JP
Inventors: 志彬 ▲ツェン▼; 廷永 ▲リウ▼; ▲ウェイ▼▲フア▼ ▲ツ▼; 志鵬侯
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2004-12-28
Filing date: 2005-12-20
Publication date: 2010-07-07
Anticipated expiration: 2025-12-20
Also published as: US20070169169A1; EP1772988A4; CN100433899C; EP1772988A1; JP2008526144A; CN1798436A; WO2006069522A1; EP2254360A1

Description

本発明はセキュリティ(security)通信技術に関し、特に移動通信システムにおいてデータサービスのセキュリティを実現する方法、システム及び装置に関する。

移動通信システムにおけるデータサービスの応用、特に移動端末の知能化への発展の趨勢に伴って、移動端末においては一般的な音声通信能力のほかに、パーソナルデジタルアシスタント(PDA:personal digital assistant)などの機能も備え、知能オペレーティングシステムプラットフォーム及び応用ソフトウェアを提供することが可能となっている。また、PCMCIA(personal computer memory card international association)カードの応用の普及に伴って、益々多くのユーザがポータブル(portable)機へカードを挿入することによって、移動データネットワークを通じてネットワークサービスを実現している。しかし、ポータブル機にもWINDOWS（登録商標）オペレーティングシステム及び様々な応用ソフトウェアが存在するため、移動端末の作用が既にコンピュータと緊密に結ばれ、現在の固定ネットワークにて発生するウイルス問題が移動ネットワークにも同様に存在している。

移動ネットワークにおいて、一般的なウイルス防止方法は主に以下の２種類である。
１)端末側にウイルス防止ソフトウェアをインストールし、データの伝送が必要な場合、端末がインストールされたウイルス防止ソフトウェアにより、伝送されるデータに対して走査及びウイルス駆除を行う。
２)ネットワークにウイルス防止ゲートウェイをインストールして、データフローがゲートウェイを経過中に、オンライン走査及びウイルス駆除を行う。ただし、当該方法でのウイルス防止ゲートウェイには、より高い性能が要求される。例えば、ショートメッセージからのウイルスに対して、ショートメッセージゲートウェイでウイルスの走査と防護を行うのが必要である。

上記方法からわかるように、一般的なウイルス防止方法として、データが経過するデバイスにウイルス駆除ソフトウェアをインストールして、経過するデータに対して走査及びウイルス駆除を行う。したがって、現在使用している全てのウイルス駆除ソフトウェアは既知のウイルスだけに対しては検出や駆除を行うことができる。その一方、未知のウイルスの蔓延を防止することは困難であり、一部の無名のウイルスによるネットワークトラフィックへの侵害につながる。

また、ウイルスとワームの影響は、オペレーティングシステムバージョン、ウイルス防止ソフトウェアバージョン及びウイルス防止ソフトウェアの能力などを含む多様な要素によってもたらされるものである。例えば、オペレーティングシステムのバージョンパッチ(version patch)が適時にインストールされていないことによって、オペレーティングシステムが大攻撃を受けるおそれがあること、ブラスターワーム(Worm.Blaster)ウイルスが主にｗｉｎｄｏｗｓ（登録商標）オペレーティングシステムのバグを利用して生じられることなどである。実際にウイルスの爆発前に、オペレーティングシステムのプロバイダがみなパッチの報告を公表しているが、一般的に、大量なＰＣ機にパッチが適時にインストールされていないため、ウイルスの広範囲な伝播につながる。また、ウイルス防止ソフトウェアをインストールした端末にとって、ウイルス防止ソフトウェアバージョンの更新も非常に重要である。

本発明は上記に鑑みてなされたものであって、移動通信ネットワーク中の各種のウイルスに対して処理と抑制を有効に行うことができる、移動通信システムにおいてデータサービスのセキュリティを実現する方法を提供することを主な目的とする。

また、本発明は、ネットワークと端末が連合にしてセキュリティ処理を行うメカニズムを形成する。さらに、移動通信ネットワーク中の各種ウイルスに対する防御を高める、移動通信システムにおいてデータサービスのセキュリティを実現するシステムを提供することを他の目的とする。

さらに、本発明は、セキュリティポリシーを確定・保存・分配することができる、移動通信システムにおいてデータサービスのセキュリティを実現する装置を提供することを他の目的とする。

上記目的を達成するため、本発明の技術案は以下のように実現される。

本発明による、移動通信システムにおいてデータサービスのセキュリティを実現する方法は、
ユーザ端末のセキュリティ関連配置情報を取得することと、
ユーザ端末のセキュリティ関連配置情報及び記憶されたセキュリティポリシー情報に基づいて、ユーザ端末に対するセキュリティポリシーを確定し、且つ確定したセキュリティポリシーをパケットサービスサポートノード及び／又はユーザ端末に送信することと、
セキュリティポリシーを受信したパケットサービスサポートノード及び／又はユーザ端末がセキュリティポリシーに基づいて制御処理を完成することとを含む。

本発明による、移動通信システムにおいてデータサービスのセキュリティを実現するシステムは、
パケットサービスサポートノードと、
移動通信ネットワークを通じてパケットサービスサポートノードと接続するユーザ端末と、
ユーザ端末のセキュリティ関連配置情報を取得し、相応のユーザ端末に対するセキュリティポリシーを確定し、セキュリティポリシーをパケットサービスサポートノード及び／又はユーザ端末に送信し、パケットサービスサポートノードと接続されているポリシーサービスエンティティとを含む。

本発明による、移動通信システムにおいてデータサービスのセキュリティを実現する装置は、
ユーザ端末と接続し、且つユーザ端末のセキュリティ関連配置情報を取得し、取得したセキュリティ関連配置情報をセキュリティポリシー確定モジュールに送信するセキュリティ情報取得モジュールと、
セキュリティ関連配置情報、及びセキュリティポリシー記憶モジュールに記憶されたセキュリティポリシー情報に基づいて、セキュリティポリシーを確定し、確定したセキュリティポリシーをセキュリティポリシー分配モジュールに送信するセキュリティポリシー確定モジュールと、
セキュリティポリシー情報を保存するセキュリティポリシー記憶モジュールと、
受信したセキュリティポリシーを指定のネットワークエンティティに送信するセキュリティポリシー分配モジュールとを含む。

本発明に提供された移動通信システムにおいてデータサービスのセキュリティを実現する方法、システム及び装置は、従来の移動通信ネットワークにポリシーサービスエンティティを追加して、セキュリティポリシーを保存し、且つユーザ端末のセキュリティ関連配置状況に基づいてセキュリティポリシーを制定することができ、ネットワーク側パケットサービスサポートノード及び／又はユーザ端末に、相応の防御処理を行うことを通知する。そのため、本発明は以下のような利点と特点を備える。
１)本発明でのポリシーサービスエンティティは端末とネットワークとの間のセキュリティポリシーを関連付けして、ネットワークと端末が連合にしてセキュリティ処理を行うメカニズムを提供して、端末側とネットワーク側が連合で総合的に防備することにより、全方位からセキュリティ防護を行って、既知のウイルスを防止するだけでなく、未知のウイルスも防止して、全面防護の目的を達する。
２)セキュリティ脅威がみな端末から出されるため、本発明の方法は端末から報告されたセキュリティ関連配置情報に基づいて、相応のセキュリティポリシーを確定することにより、ユーザ端末に対して制御を行う。そのため、本発明はセキュリティの源地への制御を行うことができ、端末に対する有効な制御により、脅威の拡散を防止することができる。同時に、ネットワークの協力により、ウイルストラフィックに対して有効な処理と抑制を行うことができる。
３)今後ますます厳しくなる携帯電話のウイルスに対して、本発明のセキュリティシステムアーキテクチャーを利用し、有効なセキュリティ技術を採用して移動通信ネットワーク内のウイルスを抑制することにより、携帯電話ウイルスの拡散を制御することができる。
４)本発明はユーザ端末のセキュリティ状況を適時に取得し、ユーザ端末のセキュリティ状況のバグに対して、相応のセキュリティポリシーを適時に制定し、且つセキュリティポリシーに基づいて制御を行うことをパケットサービスサポートノード及び／又はユーザ端末に通知することができるため、ネットワークが侵害されないように有効に保護することができ、とりわけ、ワームウイルスの発生によるネットワークへの影響を防止することができる。
５)パケットサービスサポートノードがGGSNである場合、本発明はアップリンク／ダウンリンクデータパケットに対するセキュリティ制御をサポートできて、移動ネットワークから公衆ネットワークに対する攻撃、又は公衆ネットワークから移動ネットワークに対する攻撃を有効に防止することができる。そして、この状況で、セキュリティポリシーがGGSNで実行されてもよく、GGSNによりSGSN又はRNCに相応の制御操作の実行を通知してもよいことで、実現方式が多様で、柔軟である。
６)本発明はパケットサービスサポートノード、ユーザ端末、セキュリティゲートウェイデバイスの機能処理モジュールに対して少し変更して、又は簡単なプロトコルを追加するだけで、有効なセキュリティインターワーキングを実現し、且つデータパケットに対するセキュリティ処理を実現することができて、実現が簡単で、便利であり、且つハードウェアのコストを増加しない。

本発明の核心的発明思想として、従来の移動通信ネットワークにポリシーサービスエンティティを設置し、ポリシーサービスエンティティによりユーザ端末のセキュリティ関連配置情報に基づいてセキュリティポリシーを制定し、且つネットワーク側パケットサービスサポートノードデバイス及び／又はユーザ端末に、制定のセキュリティポリシーに基づいて相応の防御処理を行うことを通知する。

ここで、前記ポリシーサービスエンティティはポリシーサーバ、又は他のネットワークエンティティに嵌め込んだ機能モジュール、又はカードであってよい。前記ユーザ端末とは主に移動知能端末及び／又はカードスロット付きのポータブル端末を指すものである。前記ネットワーク側パケットサービスサポートノードはサービングGPRSサポートノード(SGSN)、又はゲートウェイGPRSサポートノード(GGSN)、又はパケットデータサポートノード(PDSN)であってよい。

図１に示すように、本発明に係る一つの実施例に提出された、移動通信システムにおいてデータサービスのセキュリティを実現するシステムには、主にポリシーサービスエンティティ、SGSN及び複数のユーザ端末を含む。ここで、ポリシーサービスエンティティは移動通信ネットワークに並列接続されており、セキュリティポリシーを制定するように、直接に又はネットワークを介してSGSNと接続されることができる。ポリシーサービスエンティティはSGSNを介してユーザ端末とやりとりを行って、ユーザ端末のセキュリティ関連配置情報を取得し、またユーザ端末のセキュリティ関連配置情報と自身に記憶されたセキュリティポリシー情報に基づいて、異なるユーザ端末に対して相応のセキュリティポリシーを制定し、且つ制定したセキュリティポリシーをユーザ端末又はSGSNに送信することができる。ポリシーサービスエンティティは、また、コアネットワークデバイスから送信されたセキュリティポリシーを保存することができ、直接に配置されたセキュリティポリシーを保存することもできる。

ここで、ポリシーサービスエンティティは、単独のポリシーサーバであり、又はネットワークデバイスに設置された例えばSGSNのような機能モジュールであり、又はSGSNに嵌め込んだ、ポリシー管理機能を有するカードであることができる。前記ユーザ端末は移動知能端末及び／又はカードスロット付きのポータブル端末であってよいが、これに限らず、ポリシーサービスエンティティとの間でセキュリティ情報のやりとりを行うことができ、且つ移動性を備えた端末デバイスであればよい。

ポリシーサービスエンティティとインターワーキングを行うため、ポリシーサービスエンティティとの間のやりとりをサポートするように、ユーザ端末に、セキュリティポリシー処理の機能モジュールを追加して設置する必要がある。当該セキュリティポリシー処理の機能モジュールは、主にポリシーサービスエンティティからの指令情報を受信し、指令情報に応じて相応の操作を行うものである。例えば、ポリシーサービスエンティティからユーザ端末に、セキュリティ関連配置情報を取得する必要があるという要求が送信され、当該要求を受信したセキュリティポリシー処理の機能モジュールは、自身のセキュリティ関連配置情報を収集して、ポリシーサービスエンティティに報告する。これにより、ポリシーサービスエンティティは、ユーザ端末のセキュリティポリシー処理の機能モジュールによって、例えばユーザ端末のオペレーティングシステムバージョン情報、ウイルス防止ソフトウェア情報、パッチソフトウェアのインストール状況等のような、ユーザ端末のセキュリティ関連配置情報を収集することができる。

該セキュリティポリシー処理の機能モジュールは定時的に、又は周期的に、又は自身の配置情報に変化が発生するときに、自身のセキュリティ関連配置情報をポリシーサービスエンティティに主動的に報告することができる。該セキュリティポリシー処理の機能モジュールが一つの独立のソフトウェアであることができて、ポリシーサービスエンティティとインターワーキングするユーザ端末は該ソフトウェアをインストールするだけでよい。該セキュリティポリシー処理の機能モジュールにウイルス防止ソフトウェアが保存されることもできる。

SGSNと接続されているポリシーサービスエンティティはユーザ端末のセキュリティ関連配置情報を保存する。ポリシーサービスエンティティと、ユーザ端末のセキュリティポリシー処理の機能モジュールとの間でセキュリティプロトコルネゴシエーションを確立した後、即ち、相互のセキュリティ信頼関係を確立した後、ポリシーサービスエンティティがユーザ端末にポリシー情報を収集する必要があるという要求を送信することができ、ユーザ端末は、例えばウイルス防止ソフトウェア情報、パッチソフトウェアのインストール状況等のようなセキュリティ関連配置情報を報告する。

ポリシーサービスエンティティのニーズに応じて、相応のユーザ端末に対して制御を行うことをSGSNに可能とするため、SGSNにも、ポリシーサービスエンティティとインターワーキングするセキュリティポリシー処理の機能モジュール、及びポリシーサービスエンティティとネゴシエーションするプロトコルが追加されて、これにより、SGSNがポリシーサービスエンティティから与えられたセキュリティポリシーに基づいて、相応のユーザ端末に対して制御を行うことができ、一方、SGSNがポリシーサービスエンティティに相応のセキュリティポリシーサポートニーズを提供することもできる。ここで、前記SGSNとポリシーサービスエンティティがネゴシエーションするプロトコルは、双方によりネゴシエーションできた、やりとりを行う方式及びメッセージフォーマットなどを指すものである。

図２に示すように、本発明に係るもう一つの実施例に提出された、移動通信システムにおいてデータサービスのセキュリティを実現するシステムには、主にポリシーサービスエンティティ、GGSN及び複数のユーザ端末を含み、SGSN、RNCと基地局NodeBも含む。ここで、ポリシーサービスエンティティは移動通信ネットワークに並列接続されており、セキュリティポリシーを制定するように、直接に又はネットワークを介してGGSNと接続されることができる。ポリシーサービスエンティティはGGSNを介して、またSGSN、RNCとNodeBを経由してユーザ端末とやりとりを行って、ユーザ端末のセキュリティ関連配置情報を取得し、またユーザ端末のセキュリティ関連配置情報と自身に記憶されたセキュリティポリシー情報に基づいて、異なるユーザ端末に対して相応のセキュリティポリシーを制定し、且つ制定したセキュリティポリシーをユーザ端末とGGSNに送信することができる。ポリシーサービスエンティティは、また、コアネットワークデバイスから送信されたセキュリティポリシー情報を保存することができ、直接に配置されたセキュリティポリシー情報を保存することもできる。

ここで、ポリシーサービスエンティティは、単独のポリシーサーバであり、又はネットワークデバイスに設置された例えばGGSNのような機能モジュールであり、又はGGSNに嵌め込んだ、ポリシー管理機能を有するカードであることができる。前記ユーザ端末は移動知能端末及び／又はカードスロット付きのポータブル端末であってよいが、これに限らず、ポリシーサービスエンティティとの間でセキュリティ情報のやりとりを行うことができ、且つ移動性を備えた端末デバイスでさえあればよい。

実際の応用において、ポリシーサービスエンティティがGGSN、SGSN、RNCとNodeBを介して、ユーザ端末と情報のやりとりを行うが、そのうち、SGSN、RNCとNodeBにおいてやりとり情報はただ透過的に伝送されるだけである。

GGSNと接続されているポリシーサービスエンティティはユーザ端末のセキュリティ関連配置情報を保存する。ポリシーサービスエンティティと、ユーザ端末のセキュリティポリシー処理の機能モジュールとの間でセキュリティプロトコルネゴシエーションを確立した後、即ち、相互のセキュリティ信頼関係を確立した後、ポリシーサービスエンティティがユーザ端末にポリシー情報を収集する必要があるという要求を送信することができ、ユーザ端末は、例えばウイルス防止ソフトウェア情報、パッチソフトウェアのインストール状況等のようなセキュリティ関連配置情報を報告する。

ポリシーサービスエンティティのニーズに応じて、相応のユーザ端末に対して制御を行うことをGGSNに可能とするため、GGSNにも、ポリシーサービスエンティティとインターワーキングするセキュリティポリシー処理の機能モジュール、及びポリシーサービスエンティティとネゴシエーションするプロトコルが追加されて、これにより、GGSNがポリシーサービスエンティティから与えられたセキュリティポリシー情報に基づいて、相応のユーザ端末に対して制御を行うことができ、一方、GGSNがポリシーサービスエンティティに相応のセキュリティポリシーサポートニーズを提供することもできる。

GGSNがアップリンク、ダウンリンクIPデータパケットの７層での解析を行うことができ、リダイレクション機能を備えるため、本実施例のシステムには、異なるセキュリティ保障機能を完成する、又は異なるウイルスを検出する一つ又は複数のセキュリティゲートウェイデバイスをさらに含むことができ、GGSNが相応のデータパケットを相応のセキュリティゲートウェイデバイスにリダイレクトしてセキュリティ検出を行うことができる。例えば、ウイルス防止ゲートウェイにリダイレクトして、ウイルス防止ゲートウェイによりデータパケットに対してウイルス駆除を行い、且つウイルス駆除を経たデータパケットをGGSNに返信して、GGSNを介してInternetのような公衆ネットワークに送信する。

相応に、GGSNは公衆ネットワークからのIPパケットをセキュリティゲートウェイデバイスにリダイレクトして、セキュリティゲートウェイデバイスの処理を通過した後、例えば、ウイルス防止ゲートウェイのウイルス駆除を経た後、またGGSNに返信して、SGSN、RNCとNodeBを介して、IPパケットを移動端末のようなユーザ端末に送信する。ここで、GGSNがどのIPパケットをどのセキュリティゲートウェイデバイスに伝送して処理を行うべきであるかは、ポリシーサービスエンティティによって確定されたセキュリティポリシーに基づいて制御される。例えば、ネットワークには、それぞれ異なるIPアドレスからのIPパケットを検出する三つのセキュリティゲートウェイデバイスが設置されており、がポリシーサービスエンティティは、１０．１０．１０．０〜１０．１０．１０．２５６のIPアドレスから送信されたIPパケットを第一セキュリティゲートウェイデバイスにリダイレクトしてセキュリティ検出を行うよう決定する。

図２に示したシステムにおいて、GGSNが相応のセキュリティポリシーを取得した後、自分で実行しなく、例えばユーザ情報の非アクティブ(deactivate)のような関連のセキュリティポリシー制御情報をSGSN、RNCに送信して、SGSN又はRNCで相応の操作を完成してもよい。また、ポリシーサービスエンティティが直接にSGSNと接続して単方向制御を提供することもできる。ここで、SGSNがデータパケットの解析を行うことができないため、例えばあるIPアドレスのユーザを阻止するような簡単なセキュリティポリシーしか実施できない。

図１、図２に示したシステムに基づき、ポリシーサービスエンティティがポリシーサーバであることを例とし、且つSGSN、GGSNをパケットサービスサポートノードと総称する場合、本発明の実現方法は図３に示すように、具体的に以下のステップを含む。

ステップ３０１で、ポリシーサーバはあるユーザ端末に要求情報を送信して、当該ユーザ端末のセキュリティ関連配置情報の報告を該ユーザ端末に要求する。ここで、ユーザ端末は移動知能端末及び／又はカードスロット付きのポータブル端末であることができるが、これに限られない。

本ステップにおいて、前記要求がポリシーサーバによって随時に開始されることができ、且つ該要求情報はSGSNを介してユーザ端末に透過的に伝送され、同時に、当該必要な情報の指示、例えば、ユーザ端末のパッチソフトウェアのインストール情報を報告するように該ユーザ端末に要求する指示が該要求情報に含まれる。要求情報の具体的なフォーマットについては、ポリシーサーバとユーザ端末とのネゴシエーションによって予め確定されたフォーマットを採用してよい。例えば、異なるフィールドが、ポリシーサーバが取得する必要のある異なるタイプの情報を表すことなどである。

ステップ３０２で、ユーザ端末はポリシーサーバからの要求を受信した後、ポリシーサーバのニーズに応じて、自身のセキュリティポリシー処理の機能モジュールにより、自身のセキュリティ関連配置情報を収集し、且つ収集したセキュリティ関連配置情報をポリシーサーバに報告する。

ステップ３０３で、ユーザ端末のセキュリティ関連配置情報を受信した後、ポリシーサーバはユーザ端末のセキュリティ関連配置情報及び自身に記憶されたセキュリティポリシー情報に基づいて、相応のユーザ端末に対するユーザ制御情報を確定し、また確定したユーザ制御情報をセキュリティポリシーとしてパケットサービスサポートノード及び／又はユーザ端末に送信する。

ここで、ポリシーサーバの記憶したセキュリティポリシー情報は、ユーザ端末がインストールすべきパッチソフトウェア情報、ユーザ端末がインストールすべきウイルス防止ソフトウェア情報などを含むことができるが、これに限られない。前記パケットサービスサポートノードはGGSNであり、又はSGSNであり、又はPDSNである。

ステップ３０４で、パケットサービスサポートノード及び／又はユーザ端末は相応のセキュリティポリシーを受信した後、ポリシーサーバのニーズに応じて相応の制御処理を行う。例えば、GGSNにとって、セキュリティポリシーが、あるユーザ端末が伝送したデータに対してあるウイルスの検出を要求することである場合、GGSNが指定のIPアドレスからのデータ又は指定のIPアドレスへのデータを受信した後、相応のデータを指定のセキュリティゲートウェイデバイスに伝送してウイルス走査とウイルス駆除を行うこと、あるいは、GGSNがある種類のデータを指定のセキュリティゲートウェイデバイスを介して伝送することなどである。

図１に示したシステムに対して、ポリシーサーバはセキュリティポリシーをSGSNに送信し、SGSNにより、受信したセキュリティポリシーに基づいて、相応の制御操作を完成する。図２に示したシステムに対して、ポリシーサーバはセキュリティポリシーをGGSNに送信し、GGSNにより、受信したセキュリティポリシーに基づいて、相応の制御操作を完成し、あるいは、GGSNによりSGSNに相応の処理を行い通知する。例えばあるIPアドレスのユーザ端末から送信されたIPパケットを阻止するように通知する。

ここで、GGSNは必要に応じて、指定のアップリンク／ダウンリンクIPデータパケットをセキュリティゲートウェイデバイスにリダイレクトして、例えばウイルス走査とウイルス駆除のような相応のセキュリティ処理を行うことができる。セキュリティ処理を経た後で、セキュリティゲートウェイデバイスから、処理を経たIPデータパケットをGGSNに返信して、後続の伝送と処理を継続する。

実際の応用において、パケットサービスサポートノードからポリシーサーバにポリシー要求情報を送信して、要求がポリシーサーバに受信された後で、また上記ステップ３０１〜３０４を実行してよい。または、ユーザ端末からポリシーサーバに自身のセキュリティ関連配置情報を主動的に報告して、ポリシーサーバに受信された後で、ステップ３０３とステップ３０４を実行してもよい。ここで、周期的に報告し、又は定時的に報告し、又は自身の配置情報に変化が発生するときに報告するなどの方式を採用することができる。

具体的な応用の実現プロセスにおいて、ポリシーサービスエンティティがカードとしてGGSN又はSGSNのようなパケットサービスサポートノードに嵌め込まれて、相応のセキュリティサービスを提供することもできる。

本発明ではポリシーサービスエンティティがセキュリティポリシーを制定することにより、ネットワーク側でユーザ端末の置かれたセキュリティ状態を判別することができ、且つセキュリティ脅威情報又は潜在脅威をポリシーサービスエンティティに通知して、ポリシーサービスエンティティにより判断と選択によって、ユーザ端末に対して実施する相応のセキュリティポリシーを確定し、且つパケットサービスサポートノードがユーザ端末に対する制御により、脅威の拡散を防止することができる。

ここで、パッチソフトウェアをインストールして管理する例をあげる。現在、多くのワームウイルスの拡散はみなユーザ端末に相応のパッチソフトウェアが適時にインストールされていないためであり、また、「ブラスター」、「サッサー」(Sasser)等のようなウイルスもみなこの状況に属する。本発明の方法によっては、パッチソフトウェアが適時にインストールされていないため、ウイルスがネットワークに対する攻撃が拡散されることを防止することができる。

本例において、パケットサービスサポートノードはSGSNである。ポリシーサービスエンティティはポリシーサーバであり、当該ポリシーサーバには全てのインストールすべきパッチソフトウェア情報が記憶され、個々のパッチソフトウェア情報の関連情報、例えば重要程度などがさらに保存されることができる。ユーザ端末のセキュリティ関連配置情報はパッチソフトウェアの配置状況である。本例において、データサービスのセキュリティを実現する方法の具体的な実現プロセスは以下の通りである。
１)ポリシーサーバはユーザ端末Mに、オペレーティングシステムのパッチ配置情報のニーズを送信して、ユーザ端末Mに、ユーザ端末Mのパッチソフトウェアの配置状況を返信することを要求する。
２)ユーザ端末Mは要求を受信した後、自身のセキュリティポリシー処理の機能モジュールにより、自身のオペレーティングシステムにインストールされたパッチソフトウェアの状況を取り出し、且つ取り出したパッチソフトウェアのインストール情報をポリシーサーバにアップロードする。
３)ポリシーサーバはユーザ端末Mのパッチソフトウェアのインストール情報を受信した後、取得したユーザ端末Mのパッチソフトウェアのインストール情報及び自身に記憶されたインストールすべきパッチソフトウェア情報に基づいて、ユーザ端末Mのパッチインストール状況に対して判断を行い、その結果、ユーザ端末Mが一つの重要なパッチをインストールしていないことを発見する。例えば、ユーザ端末の基本的なセキュリティ状態を保証するためには、個々のユーザ端末が少なくともA、B、C、Dという四つのパッチプログラムのインストールを必要とするが、現在ユーザ端末MにただA、C、Dだけがインストールされており、Bはインストールされていない。
４)ポリシーサーバは、あるパッチプログラムがインストールされていないという通知情報を該ユーザ端末Mに送信し、例えば、パッチプログラムＢがインストールされていないということをユーザ端末Mに通知する。同時に、ポリシーサーバが現在取得した情報に基づいてセキュリティポリシーを制定することができ、例えば、当該ユーザ端末Mに対して帯域幅を制限し、その後、ポリシーサーバがSGSNに該ユーザ端末Mの帯域幅制限情報を送信する。
５)SGSNは該ユーザ端末Mの帯域幅制限情報を受信した後、当該ユーザ端末Mに対して帯域幅制限を行い、当該ネットワーク接続阻止まで該ユーザ端末Mに対して行う。

ユーザ端末Mは、ステップ４)での通知に基づいて、パッチプログラムＢをインストールするかどうかを決定することができる。

上記パッチソフトウェアをインストールして管理する例において、パケットサービスサポートノードがGGSNである場合、ユーザデータパケットがGGSNに伝送された時に、GGSNが現在受信されたデータパケットをセキュリティゲートウェイデバイス、例えばウイルス防止ゲートウェイにリダイレクトすることができ、ウイルス防止ゲートウェイにより相応のセキュリティ検出及びウイルス駆除を行い、その後、GGSNに返信する。

実際の応用において、上記のポリシーサービスエンティティを移動通信システムにおいてデータサービスのセキュリティを実現する一つの単独の装置としてもよい。図４に示すように、当該装置にはセキュリティ情報取得モジュール、セキュリティポリシー確定モジュール、セキュリティポリシー記憶モジュール及びセキュリティポリシー分配モジュールをさらに含む。

ここで、セキュリティ情報取得モジュールは、ユーザ端末と接続して、ユーザ端末とのやりとりにより、ユーザ端末のセキュリティ関連配置情報を取得し、且つ取得したセキュリティ関連配置情報をセキュリティポリシー確定モジュールに送信する。セキュリティポリシー確定モジュールは、取得したユーザ端末のセキュリティ関連配置情報及びセキュリティポリシー記憶モジュールに記憶されたセキュリティポリシー情報に基づいて、実行すべきセキュリティポリシーを確定し、且つ確定したセキュリティポリシーをセキュリティポリシー分配モジュールに送信して分配し、セキュリティポリシー記憶モジュールは、ユーザ端末のセキュリティポリシー情報を記憶し、セキュリティポリシー分配モジュールは、受信したセキュリティポリシーを、例えばユーザ端末、SGSN、GGSNなどのような指定のネットワークエンティティに送信する。

また、セキュリティ情報取得モジュールは、セキュリティポリシー記憶モジュールと直接に接続され、取得したセキュリティ関連配置情報をそのままセキュリティポリシー情報として記憶することができる。セキュリティポリシー記憶モジュールは、例えばコアネットワークデバイスのような外部デバイスと接続され、外部デバイスによって配置されたセキュリティポリシー情報を直接に取得して保存することもできる。セキュリティポリシー記憶モジュールはマン・マシーン・インターフェース(MMI:man machine interface)を通じて、配置命令により配置されたセキュリティポリシー情報を取得することもできる。

本発明は2GのGPRSシステム、EDGEシステム及び3GのWCDMAシステム、TD-SCDMAシステム、CDMA2000システムに適用することができる。とにかく、以上述べたのはあくまでも本発明の好ましい実施例にすぎず、本発明の精神と請求の範囲を限定するものではない。

図１は本発明のシステムに係る一つの実施例の構成を示す図である。図２は本発明のシステムに係るもう一つの実施例の構成を示す図である。図３は本発明の方法に係る実施例を実現するフローチャートである。図４は本発明の装置の構成図である。

符号の説明

３０１ポリシーサーバはユーザ端末にセキュリティ関連配置情報を取得することを要求する要求情報を送信
３０２ユーザ端末は自身のセキュリティ関連配置情報を収集し、ポリシーサーバに報告
３０４パケットサービスサポートノード及び／又はユーザ端末は、受信したセキュリティポリシーに基づいて、相応の制御処理を行う

Claims

移動通信システムにおいてデータサービスのセキュリティを実現する方法であって、
ユーザ端末のセキュリティ関連配置情報をポリシーサービスエンティティによって取得することと、
ユーザ端末のセキュリティ関連配置情報及び記憶されたセキュリティポリシー情報に基づいて、ユーザ端末に対するセキュリティポリシーを前記ポリシーサービスエンティティによって確定し、且つ確定したセキュリティポリシーを前記ポリシーサービスエンティティによってパケットサービスサポートノードに送信することと、
セキュリティポリシーを受信したパケットサービスサポートノードがセキュリティポリシーに基づいて制御処理を完成することと
を含むことを特徴とする方法。
前記ユーザ端末のセキュリティ関連配置情報を取得することは、ユーザ端末が現在収集した自身のセキュリティ関連配置情報を周期的に、又は定時的に、又は自身のセキュリティ関連配置情報に変化が発生するときに、主動的に前記ポリシーサービスエンティティに報告することを特徴とする請求項１に記載の方法。
前記ユーザ端末のセキュリティ関連配置情報を取得することは、
セキュリティ関連配置情報の報告をユーザ端末に要求する要求をユーザ端末に送信することと、
前記要求を受信した後、ユーザ端末がポリシーサービスエンティティのニーズに応じて、自身のセキュリティ関連配置情報を収集し、且つ収集したセキュリティ関連配置情報を前記ポリシーサービスエンティティに報告することと
を含むことを特徴とする請求項１に記載の方法。
前記セキュリティ関連配置情報の報告をユーザ端末に要求する要求をユーザ端末に送信する前に、パケットサービスサポートノードが前記ポリシーサービスエンティティにポリシー要求を送信し、
前記要求を受信した後、セキュリティ関連配置情報の報告をユーザ端末に要求する要求をユーザ端末に送信することをさらに含むことを特徴とする請求項３に記載の方法。
前記セキュリティ関連配置情報が、ユーザ端末のオペレーティングシステムバージョン情報、又はウイルス防止ソフトウェア情報、又はパッチソフトウェアのインストール状況、又は三者の任意の組合せを含むことを特徴とする請求項１〜４のいずれか１項に記載の方法。
前記パケットサービスサポートノードが、サービングGPRSサポートノード(SGSN)であり、又はゲートウェイGPRSサポートノード(GGSN)であり、又はパケットデータサポートノード(PDSN)であることを特徴とする請求項１〜４のいずれか１項に記載の方法。
前記パケットサービスサポートノードがGGSNであり、前記パケットサービスサポートノード及び／又はユーザ端末がセキュリティポリシーに基づいて制御処理を完成することは、セキュリティポリシーを受信したGGSNが、セキュリティポリシーに基づいて相応の制御処理を完成することをSGSN又はRNCに通知することをさらに含むことを特徴とする請求項１に記載の方法。
前記パケットサービスサポートノードがGGSNであり、
G GSNが現在受信したデータパケットをセキュリティゲートウェイデバイスにリダイレクトしてセキュリティ処理を行うことと、
セキュリティ処理の後、セキュリティゲートウェイデバイスがデータパケットをGGSNに返信することと
をさらに含むことを特徴とする請求項１に記載の方法。
前記セキュリティゲートウェイデバイスがウイルス防止ゲートウェイであり、前記セキュリティ処理が、受信したデータパケットに対してウイルス走査とウイルス駆除を行うことを含むことを特徴とする請求項８に記載の方法。
移動通信システムにおいてデータサービスのセキュリティを実現するシステムであって、
パケットサービスサポートノードと、
移動通信ネットワークを通じてパケットサービスサポートノードと接続するユーザ端末と、
ユーザ端末のセキュリティ関連配置情報を取得し、相応のユーザ端末に対するセキュリティポリシーを確定し、セキュリティポリシーをパケットサービスサポートノードに送信し、パケットサービスサポートノードと接続されているポリシーサービスエンティティとを含み、
前記パケットサービスサポートノードは、前記セキュリティポリシーに基づいて制御処理を完成するよう構成されることを特徴とするシステム。
前記ユーザ端末とパケットサービスサポートノードには、ポリシーサービスエンティティとインターワーキングを行うセキュリティポリシー処理の機能モジュールがそれぞれ設置されて、ポリシーサービスエンティティの指令情報を受信し、指令情報に基づいて相応の処理を完成し、及び／又はポリシーサービスエンティティにセキュリティ関連配置情報を送信することを特徴とする請求項１０に記載のシステム。
パケットサービスサポートノードによってリダイレクトされてきたデータパケットに対してセキュリティ処理を行うセキュリティゲートウェイデバイスをさらに含むことを特徴とする請求項１０に記載のシステム。
前記セキュリティゲートウェイデバイスがウイルス防止ゲートウェイであることを特徴とする請求項１２に記載のシステム。
前記ポリシーサービスエンティティが単独のポリシーサーバであり、又はネットワークデバイスに設置された機能モジュールであり、又はポリシー管理機能を有するカードであることを特徴とする請求項１０〜１３のいずれかに記載のシステム。
前記パケットサービスサポートノードがSGSNであり、又はGGSNであり、又はPDSNであることを特徴とする請求項１０〜１４のいずれかに記載のシステム。
前記ユーザ端末が移動知能端末及び／又はカードスロット付きのポータブル端末であることを特徴とする請求項１０〜１３のいずれかに記載のシステム。
移動通信システムにおいてデータサービスのセキュリティを実現する装置であって、
ユーザ端末と接続し、且つユーザ端末のセキュリティ関連配置情報を取得し、取得したセキュリティ関連配置情報をセキュリティポリシー確定モジュールに送信するセキュリティ情報取得モジュールと、
セキュリティ関連配置情報、及びセキュリティポリシー記憶モジュールに記憶されたセキュリティポリシー情報に基づいて、セキュリティポリシーを確定し、確定したセキュリティポリシーをセキュリティポリシー分配モジュールに送信するセキュリティポリシー確定モジュールと、
セキュリティポリシー情報を保存するセキュリティポリシー記憶モジュールと、
受信したセキュリティポリシーを、前記セキュリティポリシーに基づいて制御処理を完成するよう構成されるパケットサービスサポートノードに送信するセキュリティポリシー分配モジュールと
を含むことを特徴とする装置。