JP4849984B2 - 電話内線攻撃の検出、記録および知的防止 - Google Patents

Description

本発明は、通信システムを内線攻撃から保護することに関し、より詳細には、本発明は、内線攻撃を検出し、進行中の攻撃および攻撃が将来発生することを防ぐために適切な対応策を取るための方法およびシステムに関する。

本出願は、２００５年７月２０日に出願した米国仮出願第６０／７０１２２２号の優先権を主張するものである。同特許の開示全体を、参照により本明細書に組み込む。
通信のセキュリティは、ほとんどの企業および政府機関にとってますます高まる懸念である。ＩＰ電話の出現およびインターネットの他の使用によって、組織は現在複数の通信手段を有するが、しかし、この増大した通信能力によって、組織の通信システムへのアクセスを得たいと望むハッカーに対する企業の脆弱さもがもたらされてきた。ほとんどの電話内線攻撃は、たとえば様々な物およびサービスを宣伝するための未承諾メッセージ（ｕｎｓｏｌｉｃｉｔｅｄ ｍｅｓｓａｇｅ）を組織に提供する目的で行われる。しかし、多くの内線攻撃は、明らかに違法の目的、たとえば機密の組織情報へのアクセスを得るために開始され得る。

開始され得るそれぞれ異なる複数のタイプの電話内線攻撃が存在する。ＩＰ電話では、インターネット電話を使ったＳＰＡＭ（ＳＰＩＴ：ＳＰＡＭ ｏｖｅｒ Ｉｎｔｅｒｎｅｔ Ｔｅｌｅｐｈｏｎｙ）は、ＩＰ電話装置を使った大量の未承諾求メッセージの一斉送信を備える。ＳＰＩＴは、電子メールＳＰＡＭおよびＳＰＩＭ（ＳＰＡＭ ｏｖｅｒ Ｉｎｓｔａｎｔ Ｍｅｓｓａｇｉｎｇ：インスタント・メッセージングを使ったＳＰＡＭ）に密接に関連するものである。ＳＰＩＴは、ＳＰＡＭほどには広まっていないが、通信業界は、時間が経つにつれてＳＰＩＴが重要な問題になると予想している。他のタイプの内線攻撃には、サービス拒否攻撃、ウォー・ダイヤリング、音声メール・パスワード総当り攻撃、内線パスワード総当り攻撃、料金詐欺などが含まれる。

電話内線攻撃に対処するためのいくつかの解決策が存在する。現在入手可能な商品は主として規則ベースのものであり、限られた効果をもたらし、攻撃源を隠すためＩＰまたは発呼者ＩＤスプーフィングを使用する攻撃の防止には特に効果がない。２つの知られている商品は、ＳｅｃｕｒｅＬｏｇｉｘ（登録商標）による音声ファイヤウォールおよび音声侵入防止システム、ならびにＳａｎｄｓｔｏｒｍ（登録商標）によるＳａｎｄｔｒａｐ（登録商標）を含む。

これらの製品は、その意図する目的には十分であり得るが、ＳＰＩＴなどのボイス・オーバＩＰに付随する新しいより巧妙な攻撃を検出し防止することができる解決策が依然として求められている。より具体的には、従来の電話（回線交換）とＩＰ電話（パケット交換）通信システムの両方において発生する攻撃を検出し、記録し、警告し、有効に防止し得る電話内線攻撃の解決策が求められている。
米国仮出願第６０／７０１２２２号

本発明は、従来技術の上記問題および欠点を解決することを対象とする。

本発明の実施形態によれば、電話内線攻撃を検出し、攻撃を記録し、管理者などに攻撃について警告し、次いで進行中の攻撃の停止および将来の攻撃の有効な防止を行う矯正能力を提供するための方法およびシステムが提供される。
本明細書の好ましい一実施形態によれば、本発明の方法およびシステムは、呼が電話内線攻撃であり得るかを判断するために呼の複数の属性を分析する。呼の属性が分析されると、呼が攻撃である可能性が高いかどうかに関して、リスクが各属性に関連付けられる。分析され得る呼の属性は、呼のソース、トランクＩＤ、発呼者ＩＤまたはＩＰアドレス（ＶｏＩＰ呼の場合）、呼の宛先、一方向（ソース）メディア・ストリーム・ランダム性、呼の継続時間、呼の時間、呼のタイプ、呼の方向を含む。さらに、特定のソースから受信される呼の数（呼の量）もまた、呼の属性と定義されることができ、潜在的な攻撃を判断する際の評価に重要な要因である。リスクの査定によって、知覚された攻撃の発見がもたらされるならば、着呼を監視している通信サーバまたはスタンドアロン・サーバは、選択的に呼属性をログし、メディア・ストリームを含むように疑わしいイベントを記録し、知覚された攻撃について管理者に警告する。

進行中の攻撃および将来の攻撃の防止は、呼属性を考慮することにより、もたらされるリスクの査定に基づいて１つまたは複数の対応策を取り入れることによって達成される。対応策は、３つの主な形、すなわち手動、自動、および自動補助型の対応策に分類され得る。手動の対応策は、攻撃防止のため通信システム、またはシステムの影響された部分をロックダウンするための手作業を含む。ロックダウンの一例は、他にもあるが特に挙げると、モデムの切断、または着呼を受信するための制限クラスの変更である。自動対応策の一例は、呼の特定の属性に適用される所定の１組の規則を含み、呼の属性が該規則の事前設定された基準を満たす場合に攻撃防止のため通信システムがシステム全体、またはシステムの影響された部分の自動ロックダウンを実施する。所定の１組の規則は、過去に発生したかもしれない攻撃の履歴分析に応答して、システムの微調整に対処するように時間と共に変更されることができ、それによって脅威リスクの適切なレベルの対応策が提供される。疑わしい呼の属性はログされ、それによって適切な対応策を判断するための履歴の基礎が提供される。自動補助型手動（ＡＡＡ：ａｕｔｏｍａｔｉｃａｌｌｙ ａｓｓｉｓｔｅｄ ｍａｎｕａｌ）対応策は、知覚される攻撃への適切な応答を提供するために手動と自動の両方の方法を選択的に混合することである。対応策は、低リスクの攻撃についてはより規則ベースのものであり、より高いリスクの攻撃については、システムの提案を人間の影響力と組み合わせることによるより知的なものである。対応策による防止は、電子メール、テキスト・メッセージ、または携帯電話通話を含む多くの形でユーザ／管理者に通信され得る。これらの措置の有効化（ａｃｔｉｖａｔｉｏｎ）は、メニュー選択を伴うユーザ・インターフェース画面の使用、通信サーバ／スタンドアロン・サーバ内の対話型音声応答（ＩＶＲ：Ｉｎｔｅｒａｃｔｉｖｅ Ｖｏｉｃｅ Ｒｅｓｐｏｎｓｅ）アプリケーションの使用、または標的とされる通信装置を分離するための手動の介入によって達成される。
本発明の追加の特徴および利点は、特に添付の図面と併せて考慮される場合に、以下の理論からより明らかになる。

図１は、本発明の好ましい一実施形態に関連して使用するのに適した通信システム１０を示している。通信システム１０は、通信ネットワーク１２と、通信サーバまたはゲートウェイ１４と、第１のグループまたはタイプの通信装置１８と、第２のグループまたはタイプの通信装置２０とを含む。本発明によって達成される機能は、通信サーバ１４に組み込まれるものとして示されており、電話内線−攻撃検出、記録、知的防止（ＴＥＡ−ＤＲＩＰ：ｔｅｌｅｐｈｏｎｙ ｅｘｔｅｎｓｉｏｎ ａｔｔａｃｋ ｗｉｔｈ ｄｅｔｅｃｔｉｏｎ，ｒｅｃｏｒｄｉｎｇ ａｎｄ ｉｎｔｅｌｌｉｇｅｎｔ ｐｒｅｖｅｎｔｉｏｎ）と称される。通信ネットワーク１２は、公衆交換電話網（ＰＳＴＮ：ｐｕｂｌｉｃ ｓｗｉｔｃｈｅｄ ｔｅｌｅｐｈｏｎｅ ｎｅｔｗｏｒｋ）を備えることができ、かつ／または通信がボイス・オーバ・インターネット・プロトコル（ＶｏＩＰ：ｖｏｉｃｅ ｏｖｅｒ Ｉｎｔｅｒｎｅｔ ｐｒｏｔｏｃｏｌ）に従って送信されるパケット・データ・ネットワークを含むことができる。通信装置１８および２０は、音声およびデータ通信に関連して使用するのに適した任意のタイプの通信装置を備え得る。たとえば、通信装置１８は一般に、コンピュータとして示されており、したがってＶｏＩＰ電話、ファックス、ソフトＶｏＩＰ電話、モデムなどを表し得る。通信装置２０は、従来の電話、および／または携帯電話、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ：携帯情報端末）、ＩＰデスクセットなどの無線音声通信装置を表すものとして示されている。また通信サーバ１４は構内交換機（ＰＢＸ：ｐｒｉｖａｔｅ ｂｒａｎｃｈ ｅｘｃｈａｎｇｅ）や他の任意の類似のコンタクト処理スイッチ（ｃｏｎｔａｃｔ ｐｒｏｃｅｓｓｉｎｇ ｓｗｉｔｃｈ）またはサーバを表し得るが、本発明は、いずれかの特定のタイプの通信スイッチまたはサーバ、あるいは類似のシステム要素の構成での使用に限定されないことを理解されたい。通信サーバ１４は、１つまたは複数の企業または政府事業体など、１つまたは複数の通信企業体（ｃｏｍｍｕｎｉｃａｔｉｏｎ ｅｎｔｅｒｐｒｉｓｅ）に専用である。通信ネットワーク１２はデータを運ぶことができる１つまたは複数のネットワークをさらに備えることができ、このデータは、通信装置間、またはデータ・パケットのソースと通信装置のうちの１つまたは複数の装置との間のリアルタイム・データを含み得る。通信ネットワーク１２は、ローカル・エリア・ネットワーク、私設イントラネットまたはインターネットを含めて、コンピュータ・ネットワークを備えることもできる。

攻撃源２２は、たとえば、標的とされる通信装置１８または別の関連装置がその意図する機能を実施することを妨げる目的で悪意のあるデータ・パケット・ストリームを送信しているハッカーの制御下にあるデータ・パケット・ソースを含み得る。したがって、攻撃源２２は、特定のタイプの内線攻撃として、サービス拒否（ＤｏＳ）攻撃に関連付けられ得る。攻撃源は、ＳＰＩＴ（インターネット電話を使ったＳＰＡＭ）、ＳＰＡＭ、ウォー・ダイヤリング、音声メール・パスワード総当り攻撃、内線パスワード総当り攻撃、料金詐欺などに関連付けられることもできる。ウォー・ダイヤリングは、コンピュータによって指示されるモデムを使用することによって通信システム内へのハッキングを試みることを指し、このコンピュータは、モデム、ファックス、音声メール、または内線に関連する他の通信装置が存在するかどうか判断することを望んで、企業体の複数の内線番号に順次にまたは疑似ランダムにダイヤルする。ハッカーがダイヤルされた各内線の結果を記録することを可能にするウォー・ダイヤリング・ソフトウェアが入手可能である。モデム、ファックスおよび音声メールによって応答される番号／内線は、ダイヤルされるときに応答を生成しない内線／番号とは異なり、後に攻撃を受ける。音声メール・パスワード総当り攻撃および内線パスワード総当り攻撃は、用語「総当り」が、ハッカーが通信システムの特定の装置内へのハッキングを試みていること暗示していることを除いて、ウォー・ダイヤリング攻撃に類似する。たとえば、ハッカーは、特定の電話内線に関する音声メールへのパスワードを取得するために一連の番号をダイヤルする。音声メールは、占有の情報および機密の組織情報を含むことがあり、音声メールへの無許可のアクセスは明らかに組織にリスクをもたらす。料金詐欺は、企業体の通信システムへのアクセスを有する誰か、たとえば無許可の長距離電話や通信システムの他の無許可の使用を行う従業員によって行われる攻撃を指す。

図２および図３を参照すると、本発明の別の実施形態が、例示的な通信システムに関して示されている。具体的には、本発明によって達成される機能は、特定の企業体の既存の通信サーバ１４と通信する別個のサーバまたはゲートウェイ３０内に組み込まれるものとして示されている。スタンドアロンの通信装置３０として、サーバ３０は、プロセッサ３２とメモリ３４と入力装置３６と出力装置３８と通信ネットワーク・インターフェース４０と、１つまたは複数のデータベースおよび／または１つまたは複数のソフトウェア／ファームウェア・アプリケーションの形のデータ・ストレージ３１とを一般に含むものとして示され得る。そのアプリケーションは、以下でより完全に論じるように、通信アプリケーションと攻撃防止アプリケーションとを含み得る。さらに、オペレーティング・システム・プログラム、ならびにサーバ３０の操作の一環として格納される他の任意のアプリケーションおよびデータは、データ・ストレージ内に格納されることができる。実行可能なプログラミング命令に関する本発明の機能は、データ・ストレージ３１内の攻撃防止アプリケーション３３として示されている。データ・ストレージのタイプには、磁気記憶装置、ソリッドステート記憶装置、光記憶装置、論理回路、またはこうした装置の任意の組合せが含まれ得る。データ・ストレージ３１内に維持されるアプリケーション／プログラムおよびデータは、ソフトウェア、ファームウェアまたはハードワイヤード論理を備え得ることをさらに理解されたい。通信バス４２は、様々な構成要素間の通信を可能にする。プロセッサ３２は、アプリケーション・プログラムまたは命令を実行するための任意の汎用プログラマブル・プロセッサまたはコントローラを含み得る。あるいは、プロセッサは、専用に構成された特定用途向け集積回路（ＡＳＩＣ：ａｐｐｌｉｃａｔｉｏｎ ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）を備え得る。プロセッサ３２は一般に、本明細書で述べる様々な検出、ロギング、記録、警告および対応策の操作を含む、サーバ３０によって実施されかつ／または実装される様々な機能を実装するプログラミング・コードを実行するように機能する。これらの機能のそれぞれは、ひとまとめにして攻撃防止アプリケーション３３と称される。メモリ３４は、プログラムの実行に関連した使用、およびデータまたはプログラム命令の一時的または長期的格納のために提供され得る。メモリ３４は、ＤＲＡＭおよびＳＤＲＡＭなど、ソリッドステート・メモリを備え得る。プロセッサ３２がコントローラを備える場合、メモリ３４はプロセッサに不可欠であり得る。サーバ３０は、１つまたは複数の入力装置３６と、１つまたは複数の出力装置３８とを含み得る。当業者には理解され得るように、提供され得る入力装置の例には、テンキー、キーボード、ポインティング装置などが含まれる。当業者にはやはり理解されるように、出力装置３８の例には、スピーカー、ヘッドフォン、視覚表示装置などが含まれ得る。通信ネットワーク・インターフェース４０は、サーバ３０を通信ネットワーク１２に相互接続するために設けられる。たとえば、通信ネットワーク・インターフェース４０は、イーサネット（登録商標）・インターフェースを含み得る。通信サーバ３０が相互接続される特定のタイプの通信ネットワークは一般に、通信ネットワーク・インターフェースを判断する。

図４を参照すると、本発明の別の実施形態が、例示的な通信システムに関して示されている。図４で、ＴＥＡ−ＤＲＩＰサーバ３０は通信サーバ１４の下流に位置しており、サーバ３０は、モデム５０など、企業体の選択された通信装置だけにサービスを行う。したがって、本発明は、通信企業体の特定の部分内だけで選択的に組み込まれ得ることが理解されよう。

進行中の攻撃を阻止し、または将来の攻撃を防止するためのプロトコルまたは方法論を設定するために、本発明は、呼属性の包括的な分析を提供し、次いで各属性にリスクを割り当てる。これらの属性は、呼のソース、呼の宛先、メディア・ストリーム・ランダム性、呼の継続時間、呼の時間、呼のタイプ、呼の量および呼の方向を含む。受信されるそれぞれの呼について、これらの属性がそれぞれ分析されることができ、または属性のうちの選択されたものだけが分析され得る。呼のソースでは、これは、トランクＩＤ、発呼者ＩＤおよびＩＰアドレス（ＶｏＩＰ呼の場合）を含む。攻撃者は、発呼者ＩＤまたはＩＰアドレスを容易に、あるいは発呼者ＩＤとＩＰアドレスの両方をより苦労してスプーフィングすることができる。しかし、トランクＩＤのスプーフィングはさらに難しい。本発明の方法およびシステムは、スプーフィングされた発呼者ＩＤおよびＩＰアドレス、具体的には、企業の外部から生じているが、企業の内部からのものであると主張するスプーフィングされた発呼者ＩＤおよびＩＰアドレスを検出する能力を有する。たとえば、ＰＳＴＮまたはＩＳＰから到着しているが、企業内部からのアドレスを有するいずれのデータ・パケットもが、スプーフィングされたＩＤまたはアドレスと見なされ得る。あるいは、正引き（またはＳＩＰのための逆引き）が、ＩＰアドレスおよび発呼者ＩＤがスプーフィングされているかどうか判断するために実施され得る。スプーフィング検出の別の例は、同じメディア・ストリームが複数のソースから送信されていることの検出を含む。以下でさらに論じるように、同じメディア・ストリームが複数のソースから到着していると結論付けるメディア・ストリーム・ランダム性の分析は、その呼がスプーフィングされている高い確率を示す。スプーフィングされたトランクＩＤを検出するために、このタイプのスプーフィングの検出は一部の場合では、呼のＩＰアドレスおよび／または発呼者ＩＤを分析することによって達成され得る。さらに、専用トランクが特定の呼タイプだけを取り扱うために設けられており、またＡＮＩ（Ａｕｔｏｍａｔｉｃ Ｎｕｍｂｅｒ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ：自動番号識別）が別のトランクを介して到着する呼タイプを示している場合には、これはトランクのスプーフィングを示している。これらの３つのソース属性のうちのいくつがスプーフィングされているかに応じて、本発明の警告および防止方法は、以下でさらに論じるように変化し得る。

呼宛先の属性では、本発明のシステムは、連続した内線番号、たとえば８０００、８００１、８００２などに呼が行われる場合に検出する能力を有する。攻撃者が、管理されていない番号／内線を含めて、ある範囲の内線に呼を行う場合、管理されていない番号に呼が行われた回数は、それらの番号が発呼または着呼のために使用されているのではないので、攻撃であり得ることを意味し得る。発信のシステム・メッセージは、管理されている番号に対して、攻撃者への管理されていない番号を識別し得る。したがって、ウォー・ダイヤリングは、後に活用するために、音声メールを有するものを含めて、生きている番号をマップし得る。本発明によれば、管理者は、攻撃の呼をわなに掛けるために、複数の未使用／未公開の内線番号を意図的に割り当て、管理し得る。これらの内線番号は、「ハニーポット」内線と称され得る。ファックス、モデムまたは他の呼タイプなど、音声以外の内線番号もまた、攻撃の発呼の監視のために使用され得る。たとえば、（管理されているハニーポット番号など）３つの内線番号が公開され管理されている番号の範囲外で管理され、短い期間内に３つのすべての番号が呼を有する場合、これらの未公開内線へのいずれかの呼を受信する確率は極めて低いので、攻撃の疑いまたはリスクは高いと見なされ得る。

メディア・ストリーム・ランダム性の属性では、音声通信は統計的にランダムな性質のものなので、呼を記録し再生せずにそれを複製することは攻撃者にとって極めて困難であり、ほとんど無価値である。したがって、本発明は、一意性を検出するために、疑わしい着信メディア・ストリームを、前に受信されたメディア・ストリームと比較し得る。プライバシーの理由から、着信メディア・ストリームを記録し、それを他の着信メディア・ストリームと比較するのではなく、ハッシュが疑わしい着信ストリームについて作成され、次いで比較され得る。ハッシュは、着信ストリームに適用されるアルゴリズムまたは数学的操作と定義されることができ、受信される各メディア・ストリームに割り当てられる値、または値の範囲をもたらす。またハッシュは、データ記憶空間内に有意に保存されることができ、割り当てられた値を単純に比較することによって単純な比較を可能にする。

呼の量の属性では、呼の量は１日、１週間および数ヶ月に渡って変化するが、パターンが現れる。呼の量が高い場合、ウォー・ダイヤリング攻撃が、過度な量の原因であり得る。

呼の継続時間の属性では、自動ウォー・ダイヤリング・マシンは最もしばしば、呼の継続時間が同一でないとしても非常に類似した、準備されたメッセージを送信する。したがって、単純に呼の継続時間を比較することは、多くの内線攻撃についての呼の一意性を測る良い測定法でもあり得る。

呼の時間の属性では、呼が受信される時間は、攻撃が行われたかどうかに関する標識であり得る。具体的には、企業が２４時間営業を行わない場合、発呼の時間がうまく確立される。営業時間後に行われる呼は、攻撃としてより疑わしい。営業時間後の呼が他の属性と組み合わされると、攻撃が進行中であるか、それとも通常の営業時間後の呼が行われているどうかを立証する助けとなり得る。

呼タイプの属性では、これは、呼が音声か、モデムか、ファックスか、それともその他かを指す。たとえば、未承諾ファックスの呼が突然大量となることは、攻撃を意味し得る。

呼方向の属性では、呼の方向によって、攻撃が企業内から、たとえば従業員によって引き起こされているか、それとも恐らく、１つまたは複数の電話装置の制御権を得ており、それを攻撃のために使用している攻撃者によって引き起こされているかどうか判断される。さらに、攻撃が内部的に生じている場合には、料金詐欺の試み、または他の潜在的に違法な使用を検出する際に、呼の宛先および時刻が考慮に入れられ得る。たとえば、営業時間後に市外局番への呼が行われている場合、料金詐欺が存在し得る。攻撃が企業の外部から引き起こされている場合、代替の警告および防止措置が取られ得る。

あり得る攻撃が検出されると、呼属性をログし、選択された部分または全体のメディア・ストリームを記録することによって、イベントを記録することが可能である。着呼の属性が分析され、リスクが属性のそれぞれに関連付けられる。次いで、イベントを記録し、管理者に警告し、対応策を取るかどうか判断するために、全体的なリスクが割り当てられ、またはあり得る攻撃に関連付けられる。割り当てられる全体的なリスクは、様々なアルゴリズムまたは他の数学的関係を攻撃シグニチャ、すなわち潜在的な攻撃に関して収集されたデータに適用することを含む複数のやり方で判断され得る。さらに、呼はグループ・ベースで分析されることができ、すなわち、データは特定の期間内の呼のグループの属性に関して収集されることができ、次いでこのグループは、企業に対する潜在的な攻撃について分析される。呼に関連するリスクがどのように割り当てられ得るかについての一例は、属性が１つまたは複数の攻撃属性または特性の存在に基づいて、低い、中程度、高いリスクと識別される単純な３層の分類システムである。適切な応答または対応策を促すために潜在的な攻撃が分類され得る別のやり方は単純に、攻撃シグニチャ内に存在する特定の属性に数値を割り当て、次いで値を合計することによる。値が所定の閾値を超える場合、１つまたは複数の対応策がトリガされる。

着呼について分析される属性は、潜在的な攻撃を阻止しようとする特定の企業の特別な必要性に従って様々なリスク・レベルに関連付けられ得ることを理解されたい。さらに、高リスクの査定の生成を自動的にもたらし、したがって適切な対応策が取られるよう促すいくつかのタイプの呼属性が存在し得る。本発明は、企業がその運営に最もよく一致するリスク査定および対応策を作ることができるように、時間と共に修正され得る。呼属性リスクが修正され得る１つのやり方は単純に、ユーザがリスク・レベル判断のために割り当てられた任意の値またはアルゴリズムを変更することを可能にするユーザ・インターフェースを提供し、そうでない場合には、呼属性に関して収集されたデータを操作することである。したがって、本発明は、ユーザが適切な対応策をトリガするためにリスク査定を修正する能力をもたない規則ベースのシステムと比較して遥かに大きい柔軟性を有する「知的」システムを明らかに企図している。もちろん、すべての所定の対策は、対策を修正し、または対策を実行しないことを選択することによる人間の対話によって、その不適切な部分が除かれる（ｓａｎｉｔｉｚｅ）。

呼または呼のグループに呼に関連する全体的な分類またはリスクが割り当てられると、いずれかの対応策が行われるべきかどうかに関する判断が行われる。特定の呼に関連する低いリスクが存在する場合、好ましいオプションはさらなる措置を取らないことであり得る。さらなる措置を取らないことの決定は、必要とされる唯一の措置は呼属性をログすることであり、しかし他の措置は必要とされないことを意味する。したがって、警告は発せられず、対応策は勧告されない。特定の呼に割り当てられるリスク・レベルが低くなく、中程度または高い場合、イベントが記録され、かつ／またはシステム管理者は攻撃の存在に関して警告され得る。管理者が警告され得る形は、他にもあるが特に挙げると、音声メール・メッセージ、電子メール・メッセージ、または管理者の携帯電話に対して生成される呼が含まれ得る。通信装置１８、２０、通信サーバ１４およびＴＥＡ−ＤＲＩＰサーバ３０は、呼属性をログし、疑わしい呼を記録するように指定され得る。多くの電話装置は、音声メッセージを送信し、あるいは自動的に携帯電話にダイヤルしまたはポケベルを鳴らす、組み込まれた能力を既に有している。警告は、攻撃のリスク・レベルまたは巧妙さのレベルに基づく事前選択された１つまたは複数のメッセージであり得る。警告は、特定の企業に最もよく適合するように、リアルタイムに、遅延された時間に、またはその両方で行われ得る。識別される攻撃の履歴は、将来の攻撃を予測し、将来の攻撃を防止し、攻撃および攻撃者のトラッキングおよび追跡における必要に応じた法律の施行の助けとするのに有用である。

また呼属性はテーブルの形で管理者に伝えられることができ、このテーブルは、分析された各属性、呼に関連する、割り当てられた分類またはリスク、ならびに収集されたデータから引き出され得る他の結論を示している。たとえば、取られるべき潜在的な対応策を判断する際の管理者の負担を緩和するために、管理者に伝えられるメッセージは、受信された特定のタイプの呼についての１つまたは複数の所定の勧告された対応策を含み得る。次いで、管理者は、勧告される措置を受け入れ、または必要に応じてそれを修正することを選択し得る。管理者は、通信サーバ内に組み込まれる対話型音声応答（ＩＶＲ）アプリケーションを介して１つまたは複数の対応策を選択し得る。管理者は、警告を受けており、システム・コンピュータへのアクセスを有していた場合には、警告内で生成されるユーザ・インターフェース画面上で一連の措置を選択し得る。次いで、この選択によって、システムが、対応策を取り、たとえば１つまたは複数の通信装置を切断することによって応答を行うようになる。ＩＶＲ機能は、ＩＶＲを攻撃することによってさもなければ通信システムを制御し得る攻撃者からＩＶＲアクセスを保護し続けるために、機能アクセス・コード（ＦＡＣ：ｆｅａｔｕｒｅ ａｃｃｅｓｓ ｃｏｄｅ）またはパスワードを要求すべきである。

イベントがログされかつ／またはそれが記録され、管理者が警告を受けた後に、攻撃の継続を防止し、将来の攻撃を防ぐために適切な対応策が取られる。対応策は３つの一般的な形、すなわち手動、自動および自動補助型の手動を有し得る。手動の対応策は、進行中の攻撃を防止するために通信システム、またはシステムの標的とされる部分をロックダウンしまたは分離するための、たとえばシステム管理者による手動の作業として表され得る。手動措置は、システムから特定の通信装置を切断すること、制限のクラスを変更すること、および内線番号／アドレスを変更することを含み得る。

自動の対応策ではシステムは、知覚された攻撃への応答を生成するようにプログラムされることができ、この応答は、１つまたは複数の通信装置をシステムから切断することなどをも含み得る。自動対応策は、一意の１組の呼属性特性、または呼に割り当てられた数値の存在に基づいてトリガされ得る。本発明は、管理者が履歴分析（ロギング）、および特定の企業に独特な他の一意の要因に基づいてこれらの自動対応策を作ることができることをも企図している。

自動補助型手動の対応策の能力は、手動と自動の両方の対応策を混合する概念を指す。このタイプの対応策によって向上された機能がもたらされる状況の一例は、次の日が母の日であり、企業がその前の晩に営業時間外の注文が殺到する花の宅配会社である場合である。異常な数の営業時間外の呼によって通常は、不適切な自動応答、たとえば１つまたは複数の通信装置のシャットダウンがトリガされ得る。明らかにこれは、多くの顧客が翌日のために花を注文するためのアクセスを拒否されるので、取られる壊滅的な対応策である。したがって、管理者は、この特定の夜にはさらに多くの営業時間外の呼があることを知り、措置が取られないことを決定すべきである。

攻撃を防止し、または少なくとも潜在的な攻撃をさらに分析するために取られ得る対応策の他の具体的な例には、（ｉ）イベントを記録するが防止措置を取らないこと、（ｉｉ）将来の呼をやめさせるための事前記録された警告メッセージでＳＰＡＭ発呼者に応答すること、（ｉｉｉ）ローカルまたは長距離プロバイダによる助けまたは他の分析を求めて、疑わしい呼をオペレータに転送すること、（ｉｖ）サービス拒否攻撃を防止するために攻撃ソースからの呼をレート制限すること（理想的にはレートは、攻撃者がその攻撃レートをレート制限に一致するように調整することを防ぐためにランダムな間隔に制限される）、（ｖ）攻撃の源からの呼を終了させること（ファックスされるＳＰＡＭは、ファックスに接続すべきでない呼の一例である）、（ｖｉ）ある期間の間、あるソースからのすべての呼を一時的に阻止することによって攻撃源からの将来の呼を防止すること（この一連の措置は、攻撃者が攻撃の源をスプーフィングすることによってサービス拒否を引き起こすことを可能にし得るので潜在的には望まれないことがあるが、しかし、阻止の措置は、選択された所定のとき、また特に疑わしい電話番号またはＩＰアドレスなど事前選択された呼のソースについてだけ取られ得る）、（ｖｉｉ）手動分析または呼の追跡のために呼を記録すること、および（ｖｉｉｉ）電話番号／ＩＰアドレスにコールバックを要求すること（この最後の対応策によって企業は、少なくともスプーフィングされた内線番号からは保護される）が含まれる。

図５Ａおよび５Ｂは、（ｉ）呼の属性の分析、（ｉｉ）呼の属性についてのリスクの査定、（ｉｉｉ）イベントの記録、（ｉｖ）管理者への警告、および（ｖ）対応策を取ることを含む、本発明に関連する機能の一実装例を示している。図５Ａに示すように、呼がＩＰまたはＰＳＴＮ攻撃８０として生成される。次いで、呼の複数の属性８２が分析される。属性が分析された後に、リスク査定８４が呼の属性に割り当てられる。図５Ａの実施例によれば、低いリスク８６、中程度のリスク８８または高いリスク９０は、呼属性の測定されたまたは評価された各特性について割り当てられる。様々な呼属性８２に戻ると、分析される属性は、ソースからの呼の数（量）９１、スプーフィングされる呼のソース９２、呼の宛先９４、時刻９６、呼のタイプ９８、呼の方向１００、呼の継続時間１０２、およびメディア・ハッシュの値１０４を含み得る。論じたようにメディア・ハッシュの値は、着信メディア・ストリームに適用されるアルゴリズムによって判断され得る。呼の量９１に戻ると、リスク割当ての１つのやり方は、営業時間の間または後に発生する呼の数を分析することである。この実施例では、ブロック１０５を参照すると、営業時間中に予期していない数の呼がソースから受信される場合は低リスクが割り当てられ、営業時間後に予期していない数の呼が受信される場合は中程度リスクが割り当てられている。スプーフィングされた呼ソースの属性９２では、ＩＰアドレス１０６がスプーフィングされる場合は、低いリスクが割り当てられる。発呼者ＩＤ１０８がスプーフィングされる場合は、低いリスクが割り当てられる。しかし、ＩＰアドレスと発呼者ＩＤの両方がスプーフィングされる場合は、中程度リスクが割り当てられる。トランクＩＤ１１０がスプーフィングされる場合は、高いリスクが割り当てられる。トランクＩＤおよび他の任意のＩＤがスプーフィングされる場合は、高いリスクがやはり割り当てられる。呼宛先の属性９４では、連続した呼宛先１１２が存在する（たとえば、連続した内線番号がダイヤルされる）場合は、中程度のリスクが割り当てられる。管理されていない番号では、それらの番号への時折の呼または「ヒット」は低リスクとなり、これらの番号への呼の高い頻度は高いリスクとなる。管理されていない番号１１６（故意に割当てが行われず、密接に監視される番号）では、これらのハニーポット番号に対して行われる呼は高いリスクとなる。時刻の属性９６では、ブロック１１８で、呼が営業時間中に受信されるか、営業時間外に受信されるかに関して分析される。呼が営業時間中に行われる場合は低リスクが割り当てられ、呼が営業時間外に行われる場合は中程度リスクが割り当てられる。呼タイプの属性９８では、ブロック１２０に示すように、呼が音声か、ファックスか、モデムか、それともその他に関して分類される。モデムの呼は、中程度のリスクと一般に見なされる音声呼と比較して高いリスクと一般に見なされることができ、ファックス呼などの他の呼は一般に低リスクと見なされ得る。呼の方向の属性１００では、ブロック１２２で、呼の方向が分析される。内方向の呼出しの呼は通信企業体の内部の内線から行われる呼であり、外方向の呼出しの呼は企業の外部から生じる呼である。内方向呼出しが存在する場合は高リスクが割り当てられ、外方向呼出しには低リスクが割り当てられる。呼継続時間の属性１０２では、ブロック１２４で、呼の継続時間が分析される。比較される呼の間の呼継続時間が同じである場合は高リスクが割り当てられ、複数の呼継続時間には低リスクが割り当てられる。事前に記録されたメッセージが同じ呼継続時間をもたらすアウトバウンドのコール・センタの場合には、例外が適用され得る。メディア・ハッシュの属性１０４では、ブロック１２６で、比較される呼の間でメディア・ハッシュ値が同じ場合は高いリスクがそのイベントに関連付けられ、メディア・ハッシュ値が同じでない場合は、低リスクがそのイベントに割り当てられる。呼の単一の属性、または呼の属性の組合せに基づいて、特定の呼の属性に適用され得る任意の数の規則を含めるために、全体的なリスクの査定１２７が判断される。

図５Ｂを参照すると、低い全体的リスクの査定によって、ブロック１２８で、選択された呼属性がログされることになる。検出される属性に応じて、３つのオプション、すなわち（ｉ）（電子メール、ポケベル通知、携帯電話の呼などによって）ブロック１３０でメディア・ストリームを記録し、管理者に警告すること、（ｉｉ）勧告される対応策を直接取ること、または（ｉｉｉ）ブロック１３１で示すように単純にさらなる措置を取らないことのうちの１つが提供される。中程度の全体的リスクが割り当てられると、選択された呼属性がログされ、管理者が警告を受け、メディア・ストリームが記録され、次いで、さらなる措置を取らないことを含み得る適切な対応策が取られる。高いリスクが特定の呼に関連付けられる場合、選択された呼の属性がログされ、メディア・ストリームが記録され、管理者に通知され、次いで適切な対応策が取られる。高リスクのシナリオでは、何らかの対応策を取らないことはまれである。やはり図５Ｂに示すように、取られるべき対応策のために、手動の応答１３２、自動補助型の手動応答１３４および自動の応答１３６を含めて３つの一般的なオプションが提供される。自動補助型のオプション１３４では、管理者は、システムによって提供されるオプションを受け入れ、システムによって提供されるオプションを取り消し、またはシステムによって提供されるオプションを修正する。最後に、ブロック１３８で、攻撃は、阻止されまたは防止されている。

本発明の別の態様では、選択された呼だけが潜在的な攻撃として分析されることが企図される。たとえば、営業時間中の外方向を有する音声呼は、これらのタイプの呼は一般に、攻撃者から開始されるものとして低いリスクを有するので、分析される呼のサンプルから削除され得る。

本発明の別の態様では、確認された攻撃が発生し、攻撃源が識別されると、将来同じ攻撃源から呼が行われることによって、属性分析およびリスク査定がバイパスされ、対応策が行われまたは勧告されることになり得る。したがって、過去に攻撃の源であることが判明したありとあらゆるＩＰアドレスおよび電話番号について、「ブラック・リスト」が策定され得る。この状況では、取られる対応策は、一部または全体のメディア・ストリームを自動的に記録し、次いで呼を終了させることをも含み得る。ログされた属性の形の履歴データがすべての攻撃について維持され、それらの同じアドレス／番号からの攻撃を即座に阻止しまたは防止するためのバイパス命令が提供され得る。

本発明の方法およびシステムには多くの利点がある。着呼の複数の属性を分析することによって、リスク査定に基づいて適切な対応策を生成するための大きい柔軟性がもたらされる。リスク査定は静的な査定ではなく、管理者は、属性が特定のリスク・レベルをなすべきものであるかどうか判断する規則を操作することによって、時間と共にリスク査定を調整することができる。適応可能なリスク査定を伴う詳細な属性分析は、内線攻撃を最もよく阻止しまたは防止するために特定の企業に合わせて作られ得る「知的」モデルを提供する。メディア・ハッシュの作成は、本発明がメディア・ストリームを評価し、メディア・ストリーム全体ではなくメディア・ハッシュ値だけを記録し、それによってシステム内の使用可能な記憶空間を保存し、さもなければ実際のメディア・ストリームを記録することによって不注意のプライバシー違反行為を防止することを可能にする。
本発明をその好ましい実施形態に関して示したが、本明細書に添付される特許請求の範囲内において、本発明に様々な他の変更および修正が加えられ得ることを理解されたい。

本発明の第１の実施形態のシステムおよび方法を組み込む例示的な通信システムを示す概略図である。 例示的な通信システム、ならびに本発明の第２の実施形態のシステムおよび方法を示す概略図である。 本発明の第２の実施形態を組み込む通信装置の概略図である。 本発明の第３の実施形態を組み込む通信システムを示す別の概略図である。 本発明の操作の一実装例を示す図である。 本発明の操作の一実装例を示す図である。

Claims (7)

1. 通信サーバに関連する、プロセッサ、メモリ、入出力装置及び内線攻撃防止アプリケーションを含む通信システムによって通信企業体の通信サービスを保護する方法であって、
   前記通信企業体の通信システム内の１つまたは複数の内線に向けられる呼の形の内線攻撃を検出する工程であって、前記呼の少なくとも１つの属性を分析することを含む工程と、
   前記少なくとも１つの属性の分析に基づいて前記呼に関連するリスクを分類する工程と、
   前記呼に関連するリスクに従って、前記攻撃を防止するための対応策を取る工程とを備え、
   前記検出が、（i）着信メディア・ストリームに関連する所与のアルゴリズムを前記呼の第１のメディア・ストリームに適用すること、（ii）前記第１メディア・ストリームの内容を表す第１のメディア・ハッシュ値を生成すること、（iii）前記アルゴリズムを前記通信企業体の通信システムに向けられる後続の呼の第２のメディア・ストリームに適用すること、（iv）前記第２メディア・ストリームを表す第２のメディア・ハッシュ値を生成すること、および（ｖ）前記第１と第２のメディア・ハッシュ値を比較することを備え、
   前記第１および第２のメディア・ハッシュ値が事前指定された範囲内に含まれる場合には、前記呼に関連するリスクに基づいた対応策を取る方法。
2. 前記呼を記録する工程と、
   前記通信企業体の管理者が前記取られる対応策に影響を及ぼすように、前記管理者に前記呼に関連するタイプおよびリスクについて警告する工程とをさらに含む請求項１に記載の方法。
3. 前記検出が、スプーフィングされた呼のソースのＩＤ属性と、実際の呼のソースのＩＤとを比較することで、前記スプーフィングされた呼のソースを検出する工程を含み、
   正引きまたは逆引きが前記実際の呼のソースを判断するために実施される請求項１に記載の方法。
4. 通信ネットワークに相互接続されており、前記ネットワークを介して少なくとも１つの攻撃源から通信を受信する通信サーバと、
   アドレスを含んでおり、前記通信サーバを介して前記ネットワークから通信を送受信する送受信装置と、
   前記通信サーバに関連する内線攻撃防止アプリケーションであって、呼の呼属性を分析し、前記呼に関連するリスクを割り当て、前記割り当てられたリスクが所定の対応策の基準を満たす場合に、攻撃を阻止するための対応策を通信システムに提案するアプリケーションとを備え、
   前記内線攻撃防止アプリケーションが、第１のメディア・ハッシュ値を生成するために、前記呼の第１のメディア・ストリームに適用されるアルゴリズムと、第２のメディア・ハッシュ値を生成するために、後続の呼の第２のメディア・ストリームに前記アルゴリズムを適用する手段と、前記第１および第２のメディア・ハッシュ値を比較して、前記第１および第２のメディア・ハッシュ値が事前指定された範囲内に含まれる場合には、前記呼に関連するリスクに基づいた対応策を取る手段を含む通信システム。
5. 前記査定手段が、前記呼属性のうちの少なくとも１つの特性を測定又は評価する手段、分析される少なくとも１つの呼属性に関連するリスクを割当てる手段とを含む請求項４に記載のシステム。
6. 前記通知する手段が、前記通信サーバ内に組み込まれた対話型音声応答アプリケーションを含み、前記管理者に、対応策オプションを選択することによって適切な対応策の生成における複数のオプションが提供される請求項４に記載のシステム。
7. 通信企業体の通信リソースを保護するための機器であって、
   プロセッサと、
   内線攻撃防止アプリケーションを含む、前記プロセッサによって実行されるプログラミング命令であって、前記アプリケーションが疑わしい呼の属性を検出し、前記属性をログし、前記疑わしい呼に関連するリスクを割り当て、攻撃を阻止するために取られるべき対応策についての勧告を、前記通信リソースに提供するプログラミング命令と、
   前記プログラミング命令の実行に関連付けられており、データおよび前記プログラミング命令を格納するためのメモリ手段と、
   前記プログラミング命令を実行し、前記攻撃に応答して装置から生成される出力とインターフェースを取るための少なくとも１つの入力装置とを備え、
   前記属性は、メディア・ハッシュ値およびスプーフィングされた呼のソースを含む機器。

Images