JP4891641B2 - 無線ネットワーク内の電力消耗サービス拒否攻撃の検出 - Google Patents

Description

本発明は、通信ネットワークに関し、より詳細には、無線ネットワーク内のサービス拒否（ＤｏＳ：ｄｅｎｉａｌ−ｏｆ−ｓｅｒｖｉｃｅ）攻撃に関する。

サービス拒否（ＤｏＳ）攻撃は、ネットワーク・オペレータに大きな課題を提示し続けている。最近、インターネットのリソースを対象とする攻撃の頻度および大きさは、着実に増加してきている。これらの攻撃は、ｗｗｗ．ｙａｈｏｏ．ｃｏｍ、ｗｗｗ．ｃｎｎ．ｃｏｍ、ｗｗｗ．ｅｂａｙ．ｃｏｍを含む人気のあるウェブ・サイトに対する２０００年２月の攻撃、および中核のインターネット・ドメイン・ネーム・サーバ（ＤＮＳ：ｄｏｍａｉｎ ｎａｍｅ ｓｅｒｖｅｒ）に対する最近の攻撃を含む。

ＤｏＳ攻撃は一般に、ノードの処理容量を超えるトラフィック量でネットワーク・ノード（サーバなど）を猛攻することを伴う。このトラフィック量は常に、攻撃の間、ノードの動作をディセーブルする。より精緻なタイプのＤｏＳ攻撃は、分散ＤｏＳ（ＤＤｏＳ）攻撃として知られている。ＤＤｏＳでは、ＤＤｏＳ攻撃を開始しようとする攻撃者は、（例えばよく知られているセキュリティの抜け道を介して）複数のノードを打倒し、それらを事実上攻撃者に従属させることによって開始する。次いで、危険にさらされたこれらのノードは、ネットワーク内にトラフィックを投入する開始点として使用される。危険にさらされた妥当な数のノードを呼び集めることによって攻撃者は、複数の開始点からのトラフィックを調整することによってネットワーク全体に渡る大規模な攻撃を潜在的に開始することができる。

ＤｏＳ対策に関連する研究は不足していない。実際に、多種多様な解決策が提案されてきた。ＤｏＳ攻撃防衛の現在の最新技術には、（１）ステートフル・ファイアウォール（カリフォルニア州Ｓａｎ ＪｏｓｅのＣｉｓｃｏ Ｓｙｓｔｅｍｓ社からのＰＩＸルータ、カリフォルニア州ＳｕｎｎｙｖａｌｅのＪｕｎｉｐｅｒ Ｎｅｔｗｏｒｋｓ社からのネットスクリーン、カリフォルニア州Ｒｅｄｗｏｏｄ ＣｉｔｙのＣｈｅｃｋｐｏｉｎｔ Ｓｙｓｔｅｍｓ社からのファイアウォオール１など）、（２）「プッシュバック」（すなわち攻撃の標的からソースに向かって逆方向にフィルタをインストールする）をサポートするためのルータ修正、（３）「トレースバック」（すなわち攻撃源の検出を試みる）および（４）トラフィック到着の異常または署名を探す侵入検出機構が含まれる。プッシュバック、トレースバックおよび侵入検出に関するさらなる情報は、Ｉｏａｎｎｉｄｉｓ Ｊ．ａｎｄ Ｂｅｌｌｏｖｉｎ Ｓ．、「Ｉｍｐｌｅｍｅｎｔｉｎｇ ｐｕｓｈｂａｃｋ：Ｒｏｕｔｅｒ−ｂａｓｅｄ ｄｅｆｅｎｓｅ ａｇａｉｎｓｔ ＤＤｏＳ ａｔｔａｃｋｓ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｎｅｔｗｏｒｋ ａｎｄ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ、２００２年２月、Ｓｎｏｅｒｅｎ Ａ．、「Ｈａｓｈ−ｂａｓｅｄ ＩＰ Ｔｒａｃｅｂａｃｋ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＣＭ ＳＩＧＣＯＭＭ、２００１年、および「Ｓｎｏｒｔ：Ｏｐｅｎ−ｓｏｕｒｃｅ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ」、ｈｔｔｐ：／／ｗｗｗ．ｓｎｏｒｔ．ｏｒｇに見られ得る。これらの各文献の全体を、参照により本明細書に組み込む。

これらの手法の一部は既存のネットワーク要素に対するかなりの変更を要し、したがって展開するのに多大な費用がかかることがあり、他の手法は、インターネット・サービス・プロバイダ（ＩＰＳ：Ｉｎｔｅｒｎｅｔ ｓｅｒｖｉｃｅ ｐｒｏｖｉｄｅｒ）間の協力を必要とし、したがって非実用的であり得る。しかし、これらの手法は、有線ＤｏＳ攻撃の脅威を低減させる。例えば、接続が企業ＬＡＮの外部から開始されることを防ぐファイアウォールの一般的な特徴は、多くのＤｏＳフラッド攻撃の効果を緩和することにかなり成功する。

有線ネットワークについては多くの解決策が存在するが、無線ネットワークについては解決策がほとんど存在しない。Ｂｌｕｅｔｏｏｔｈ、ワイヤレス・フィデリティ（ＷｉＦｉ：Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）、ユニバーサル・モバイル通信システム（ＵＭＴＳ：ｕｎｉｖｅｒｓａｌ ｍｏｂｉｌｅ ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｓｙｓｔｅｍ）、および第３世代無線（３Ｇ）などの実現技術（ｅｎａｂｌｉｎｇ ｔｅｃｈｎｏｌｏｇｙ）を伴うＰＤＡおよび携帯電話など、無線装置のますますの普及は、ＤｏＳ攻撃の新しい機会を提示している。これは、無線ネットワークが、有線ネットワークには存在しない複数の脆弱性を含むからである。この脆弱性には、制約付きの無線リンク帯域幅に起因する限られたトラフィック許容量、比較的に複雑な性質に起因する無線リンクに関連したより多くの処理オーバヘッド、および無線クライアント装置に関連する限られた電力が含まれる。

トラフィック：リソースの不足が無線リンクの低容量と相まって、無線ネットワークをＤｏＳ攻撃の容易な標的にする。無線リンクに過負荷をかけることは、有線リンクに過負荷をかけることに比べてかなり少ないトラフィックを要する。

処理オーバヘッド：典型的な３ＧまたはＵＭＴＳネットワークは、電力制御、リソース割当て、ページングなど、多数の機能を実施する複数の基盤要素を有する。無線ネットワーク制御装置（ＲＮＣ：ｒａｄｉｏ ｎｅｔｗｏｒｋ ｃｏｎｔｒｏｌｌｅｒ）および基地局は、各移動局のこれらの活動に関与し、また高速ハンドオフ・システムでは、これらの装置上のオーバヘッドは途方もなく大きい。無線ネットワーク内のこうした装置は一般に、同時にアクティブであるユーザの所与の数に関連する限られた負荷に対処するように設計されている。したがって、過負荷は、無線基盤にとって重大な懸念事項である。

限られた電力供給：無線ネットワーク内のモバイル・クライアントは通常バッテリによって電力供給され、このバッテリの寿命が限られていることは、そのモバイル・クライアントを、移動体に冗長な電力消費活動を実施させることにより単に電力を消耗させるある類の攻撃の標的にする。電力消耗は迅速に、移動体を動作不可能にし得る。

無線特有のＤｏＳ攻撃を開始する攻撃者は、これらの脆弱性を容易に利用することができる。有線ＤｏＳに比べてこうした無線攻撃を向上させ、容易にし得る２つの重要な側面がある。

攻撃量：無線攻撃では攻撃者は、１つまたは複数のサーバを圧倒することに成功するためにネットワーク上に大量のデータを送り込まなければならない（ｆｌｏｏｄ ｏｎｔｏ）。これは攻撃源の検出の確率を高めるので、有線ＤｏＳ攻撃の効果を小さくする。無線回線は、かなり少ないトラフィックで過負荷状態にすることがより容易である。これは、攻撃者にとって二重の利点をもたらす。（１）攻撃者の観点からの攻撃開始の容易さ、（２）比較的に小さいトラフィック量に起因する攻撃源の検出の難しさ。

攻撃の標的：無線ネットワークではサーバは一般に、ＤｏＳ攻撃の標的である。したがって、対抗策は、サーバをより堅牢にすることに焦点を当てることができた。しかし、無線ネットワークでは攻撃の意図される標的は、サーバ、クライアントおよび基盤を含めて、ネットワーク内の多数の異なる要素のうちの１つであり得る。無線ＤｏＳ攻撃では攻撃者は、基盤と移動体の両方が容易に攻撃され得るので、柔軟性を増してきた。同じ攻撃が、各移動体を個々に攻撃することによって、またはより広範囲に及ぶ効果を求めて無線基盤を標的にすることによって複数の移動体を標的にすることができる。さらに、常時接続の移動体を伴う進化データ特化型（ＥＶ−ＤＯ：Ｅｖｏｌｕｔｉｏｎ Ｄａｔａ Ｏｎｌｙ）ネットワークなどの拡張型無線アーキテクチャは、電力消耗攻撃に対する脆弱性を増してきた。

有線ネットワーク上のＤｏＳ攻撃では、サーバは一般にかなりの帯域幅および処理能力を有するので、サーバがディセーブルされるにはある程度の時間量を要する。しかし、無線ネットワークでは移動体は一般に、極めて限られた帯域幅および処理能力、ならびに限られたバッテリ寿命を有する。したがって、移動体に達した攻撃は、無線リンク上の極めて重要なリソース、無線基盤、ならびに移動体のバッテリ・リソースを浪費することに既に成功している。
Ｉｏａｎｎｉｄｉｓ Ｊ．ａｎｄ Ｂｅｌｌｏｖｉｎ Ｓ．、「ｉｍｐｌｅｍｅｎｔｉｎｇ ｐｕｓｈｂａｃｋ：Ｒｏｕｔｅｒ−ｂａｓｅｄ ｄｅｆｅｎｓｅ ａｇａｉｎｓｔ ＤＤｏＳ ａｔｔａｃｋｓ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｎｅｔｗｏｒｋ ａｎｄ Ｄｉｓｔｒｉｂｕｔｅｄ Ｓｙｓｔｅｍｓ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ、２００２年２月 Ｓｎｏｅｒｅｎ Ａ．、「Ｈａｓｈ−ｂａｓｅｄ ＩＰ Ｔｒａｃｅｂａｃｋ」、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＡＣＭ ＳＩＧＣＯＭＭ、２００１年 「Ｓｎｏｒｔ：Ｏｐｅｎ−ｓｏｕｒｃｅ Ｎｅｔｗｏｒｋ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ」、ｈｔｔｐ：／／ｗｗｗ．ｓｎｏｒｔ．ｏｒｇ

したがって、無線環境に特有であり、またその特徴的な脆弱性に対処するＤｏＳおよびＤＤｏＳ攻撃の対抗策が求められている。

本発明の原理によれば従来技術の問題は、無線環境内の移動体からの電力消耗を対象とするサービス拒否（ＤｏＳ）攻撃を防御するための方法および装置によって対処される。
ある実施形態では本発明は、無線ＤｏＳ（Ｗ−ＤｏＳ：Ｗｉｒｅｌｅｓｓ ＤｏＳ）攻撃を検出し、防御するため無線ネットワークに追加される無線攻撃耐性（ＡＷＡＲＥ：Ｗｉｒｅｌｅｓｓ Ａｔｔａｃｋ ＲＥｓｉｓｔａｎｃｅ）のためのアーキテクチャである。ＡＷＡＲＥアーキテクチャは、プロファイラと、検出器と、プロテクタとを含む。プロファイラは、電力消費の基準をネットワーク内の移動体のトラフィックの関数として判断する。検出器は、その基準を、ネットワーク内の様々な移動体によって体験されるトラフィックに対する電力消費の実際値と比較する。実際値が１つまたは複数の指定された閾値を超える場合、検出器は、無線ネットワークが攻撃を受けていると見なし、ＡＷＡＲＥプロテクタは攻撃に対抗するために、無線ネットワーク内に存在する既存の機能（ブラックリスティングなど）を使用する。ＡＷＡＲＥアーキテクチャは、ファイアウォールと同じ場所に置かれ、無線基盤および移動体自体の１つまたは複数の要素間で分散され得る。

ＡＷＡＲＥプロファイラは、前処理工程で各ユーザについての情報を捕捉する学習データベースとして実装されることができ、この前処理工程は、それが各ユーザについての通常のトラフィック・プロファイルを学習することを可能にする。またこのデータベースは、移動体間の相関のため、他のユーザ・データベースと相関される。これらのデータベース内の情報は検出器に提供され、この検出器は、各ユーザについての閾値を維持し、あるユーザまたは１組のユーザについてのトラフィックが対応する閾値を超えるかどうか判断する。

ある実施形態では本発明は、無線ネットワーク内のサービス拒否攻撃を検出するための方法およびアーキテクチャである。無線ネットワークの通常動作時の無線ネットワークの移動体による電力消費と、移動体にまたはそこから送信されるデータとの間の関係を特徴付ける統計的な尺度が生成される。この統計的尺度は、関係の現在の尺度と比較される。ＤｏＳ攻撃は、現在の尺度が統計的尺度よりも指定された閾値より多く異なっている場合に検出される。

別の実施形態では本発明は、（１）無線ネットワークとインターネットの間のアクセスを提供するように適応されたアクセス・ノードと、（２）アクセス・ノードと通信するように適応された１つまたは複数の無線ネットワーク制御装置（ＲＮＣ）と、（３）各ＲＮＣごとの、ＲＮＣおよび１つまたは複数の移動体と通信するように適応された１つまたは複数の基地局とを備える無線ネットワーク、および前段落の方法を実施するように適応されたアーキテクチャである。
本発明の他の側面、特徴および利点は、以下の詳細な説明、添付の特許請求の範囲、および付属の図面からより完全に明らかになる。

本明細書では「ある実施形態」または「一実施形態」への言及は、その実施形態に関連して述べる特定の特徴、機能または特性が、本発明の少なくとも１つの実装に含まれ得ることを意味する。語句「ある実施形態では」が本明細書の様々な所に現れていることは、必ずしもすべてが同じ実施形態に言及しているとは限らず、また別個のまたは代替の実施形態が、必ずしも他の実施形態と互いに排他的であるとは限らない。

序論
図１は、従来技術の例示的な無線ネットワーク１００を示している。無線ネットワーク１００は、移動体（ラップトップまたは携帯電話など）１０２と、セル・タワー１０４と、基地局（ＢＳ：ｂａｓｅ ｓｔａｔｉｏｎ）１０６と、無線ネットワーク制御装置１０８と、パケット・データ・サービス・ノード（ＰＤＳＮ：Ｐａｃｋｅｔ Ｄａｔａ Ｓｅｒｖｉｎｇ Ｎｏｄｅ）１１０とを含む。

通常動作時に移動体１０２は、認証し、それ自体をネットワークに登録するためにセル・タワー１０４、ＢＳ１０６およびＲＮＣ１０８を介してＰＤＳＮ１１０と通信する。ＰＤＳＮ１１０は基本的に、無線ネットワーク内のすべてのモバイルにまたはそこからのデータ・フローのゲートウェイとして機能するルータである。ＰＤＳＮは、移動体のために、インターネット、イントラネットおよびアプリケーション・サーバへのアクセスを提供する。ＰＤＳＮは、アクセス・ゲートウェイとして働き、単純インターネット・プロトコル（ＩＰ：Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）およびモバイルＩＰアクセス、外部エージェント・サポート、および仮想プライベート・ネットワーキングのためのパケット移送を提供する。ＰＤＳＮはさらに、認証、許可、アカウンティング（ＡＡＡ；ａｕｔｈｅｎｔｉｃａｔｉｏｎ，ａｕｔｈｏｒｉｚａｔｉｏｎ，ａｎｄ ａｃｃｏｕｎｔｉｎｇ）サーバのためのクライアントとして働き、移動体にＩＰネットワークへのゲートウェイを提供する。ＰＤＳＮは、移動体が移動し、依然としてパケットをそれに転送させることを可能にする。

用語「パケット・データ・サービス・ノード」およびその頭文字「ＰＤＳＮ」は、ＣＤＭＡ（Ｃｏｄｅ−Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅ−Ａｃｃｅｓｓ：符号分割多重アクセス）規格に準拠したネットワーク内のアクセス・ノードを指す。ＵＭＴＳネットワークでは、ＰＤＳＮアナログはゲートウェイＧＰＲＳサポート・ノードすなわちＧＧＳＮと称され、ただし、ＧＰＲＳは汎用パケット無線サービスを表す。特許請求の範囲中で使用されるときに用語「アクセス・ノード」は、ＣＤＭＡ ＰＤＳＮノードとＵＭＴＳ ＧＧＳＮノードの両方を網羅するものと理解されよう。

移動体が首尾よく認証し、ネットワークに登録するときに、ポイントツーポイント（ＰＰＰ：ｐｏｉｎｔ−ｔｏ−ｐｏｉｎｔ）リンクがＰＤＳＮと移動体の間で設定される。図１に明示的には示されていないが、アーキテクチャは、各タワー１０４によってサービスされている複数の移動体１０２、各基地局１０６によってサービスされている１つまたは複数のタワー、各ＲＮＣ１０８によってサービスされている複数のＢＳ、および最後に、各ＰＤＳＮ１１０と通信する複数のＲＮＣを伴う階層型である。

いくつかの他の代替物（ソーラー・パワーなど）も存在するが、一般にバッテリがネットワーク内の移動体に電力を供給するために使用される。いずれの場合にも移動体は一般に、限られた電力容量によって特徴付けられる。一般的な移動体ではバッテリは、通常の１組の使用条件のもとであるバッテリ寿命を提供すると見込まれる。この通常の条件下で移動体は、わずかな時間の間、アクティブに使用され、残りの時間はアイドル状態である。移動体がアイドル状態であるときに電力管理ソフトウェアは、移動体を低電力待機および／またはスリープ・モードに置き、それによってそのバッテリ寿命を延長する。効率的な電力管理は、バッテリ容量が、比較的に迅速に増加してきた移動体コンピューティング容量および電力消費に比べて非常に遅く（３５年ごとに２倍だけ）改良されてきたので、移動体の動作にとって極めて重要である。効率的な電力管理アルゴリズムは、バッテリ寿命を複数倍増加させ得ることが実証されている。

無線ＤｏＳ電力消耗攻撃
移動体の電力容量は限られているので、Ｗ−ＤｏＳ攻撃のカテゴリは、移動体が通常より早くバッテリを消耗するようトリガすることを目標とする攻撃を含む。これが達成されるあるやり方は、無線基盤要素（具体的にはＢＳおよびＲＮＣ）に、範囲設定および登録などの基本の維持動作に必要である以上に移動体と頻繁に通信させることによって達成される。攻撃者が移動体をアクティブに保つことによってそれがその通常の低電力待機状態に入ることを防ぐ場合、移動体のバッテリ寿命は劇的に短縮され得る。これを行うため攻撃者は、「コード注入」および「少量データ・トリガ」を含めて、複数の異なる戦略を使用し得る。

コード注入攻撃
コード注入は、移動体内に、それを使用中状態に保つプログラムを注入することを伴う。このプログラムは、（１）エネルギーを多大に要するモバイル・アプリケーションを用いた合法的なもの、または（２）唯一の仕事が多くのエネルギーを消費することであるウイルスであり得る。これらの類の攻撃による損害は深刻であり得るが、防御は比較的に簡単明瞭である。ウイルスベースのプログラムを検出し取り除くために、ウイルススキャン・プログラムが使用され得る。さらにユーザは、その移動体上にインストールされたプログラムを注意深く検査し、エネルギーを多大に要するアプリケーションの使用を最小限に抑え、またはそのエネルギー使用のプロファイルをカスタマイズすることができる。例えば、デジタル・カメラを含む移動体では、カメラの「常時オン」または「高輝度」ディスプレイ機能をオフにすると、バッテリ寿命がかなり増加され得る。

少量データ・トリガ攻撃
少量データ・トリガ（ＬＶＤＴ：ｌｏｗ−ｖｏｌｕｍｅ ｄａｔａ ｔｒｉｇｇｅｒ）攻撃は、移動体をアクティブ状態に長く保つほど、バッテリが速く消耗するという原理に基づいて動作する。このタイプの攻撃は、防御するのが極めて難しい。一般的な移動体は、無線ネットワークに接続されているときにアクティブ状態とアイドル状態の間で交替する。移動体は、パケットを送信しまたは受信する必要があるときにアクティブ状態に入る。電力管理手法は、指定されたタイムアウト期間の間にデータが送信されないまたは受信されない場合にアイドル状態に遷移することを確実にする。ＬＶＤＴ攻撃は、少量のデータを定期的に移動体に送信することによって電力管理手法を壊すことを伴い得る。パケット到着のタイミングを適切に合わせることによって攻撃者は、移動体を継続的にアクティブ・モードに保ち、比較的に少量のトラフィックで法外に高い電力消耗をもたらすことができる。ＬＶＤＴ攻撃は、その攻撃の少量の性質により開始するのが容易であり、検出するのが難しいが、深刻な損害を引き起こし得る。

本発明は、ＬＶＤＴ攻撃戦略に焦点を当てる。本明細書でバッテリ攻撃とも称される少量データ・トリガ攻撃は、移動体のそれぞれ異なる状態、および各状態で消費される電力の文脈で最もよく理解され得る。
・電源オフ：この状態では、移動体は電力を消費しない。
・休止：この状態では、移動体は電源投入されているが、無線ネットワークに接続されていない。移動体は、（低頻度のページングのため以外には）無線ネットワークと通信しないので、この状態では電力を保存する。
・アイドル：これは、移動体がそれ自体を無線ネットワークに接続し、認証した後に入る状態である。この状態では移動体は、データを送受信する準備ができているが、現在それを行っていない。定期的に（例えば一般的な３Ｇ実装では２０ｍｓごとなど）移動体は、無線リンクの品質に関する情報を基地局に提供するため電力制御フレームを基地局に送信する。移動体は、電力制御フレームの送信により、アイドル状態で電力を消費する。移動体は、データが送信されないまたは受信されないときに無線リンク上の非活動期間（２０秒など）がある場合に休眠状態に入る。
・Ｔｘ／Ｒｘ：この状態では移動体は、データをアクティブに送信しまたは受信している。最も大きい電力が、この状態で、連続的な送信および／または受信により消費される。

一般に移動体のネットワーク・インターフェース上の活動が大きくなるほど、より多くの電力が消費される。移動体は、アイドル状態の間に電力制御フレームを送信するためにネットワーク・インターフェースを頻繁に使用することにより、Ｔｘ／Ｒｘ状態で消費するのとほとんど同じ電力をアイドル状態で消費する。さらに、電源がオフにされるとき以外では、移動体は、インターフェースが活動しないことにより、休止状態において最少量の電力を消費する。これは、一般的なＰＤＡでの実験結果と一致する。この実験結果は例えば、休止状態で３０ｍＡ、アイドル状態で２７０ｍＡ、Ｔｘ／Ｒｘ状態で３００ｍＡの電力消費を示している。

これは、攻撃者が移動体をアクティブ状態（例えばアイドルまたはＴｘ／Ｒｘ状態）に保つのに十分なだけのトラフィック量を送信することによって最大量の損害を引き起こし得ることを示唆している。例えば実験は、ｐｉｎｇが２０秒ごとに１回だけ繰り返されるとする移動体への単純な「ｐｉｎｇ」攻撃が、通常の動作条件下における移動体の電力消費のほぼ１０倍の、移動体による電力消費増加を引き起こし得ることを示している。

バッテリ攻撃の特性
バッテリ攻撃の重要な特性は以下である。
・攻撃開始の容易さ：移動体をアクティブに保つため攻撃者によって必要とされることは、アイドル・タイマーの時間切れ前に移動体に１つの小さいパケットを送信することである。ｘを指定されたアイドル・タイマー時間切れ間隔として、時間間隔ｘの間、移動体がアイドル状態である（すなわちデータを送信しないまたは受信していない）場合に、移動体は休止状態に遷移する。
・検出の難しさ：攻撃の少量の性質は、攻撃者が、有線ネットワークＤｏＳ攻撃で通常見られるような大量の攻撃トラフィックをフィルタ除去する多くの閾値ベース侵入検出機構およびファイアウォールをバイパスすることを可能にする。
・広範囲に及ぶ効果：無線ネットワーク内では単一の攻撃者が、多くの移動体をアクティブ状態に保つことができる。それに対して有線ネットワーク内の従来のＤＤｏＳ攻撃は、とりわけｗｗｗ．ｃｎｎ．ｃｏｍ、ｗｗｗ．ｙａｈｏｏ．ｃｏｍサーバなど、人気のあるサーバは非常に大きい帯域幅および処理能力を有しているので、成功するためには攻撃者が何千ものホストを危険にさらすことを必要とする。

有線ネットワーク内で使用される従来のＤｏＳ攻撃とは異なり無線ネットワークでは、バッテリ攻撃が移動体に到達する前にそれを阻止しようと試みることが重要である。これは、移動体が攻撃を受けていることを認識するまでにかなりの量の電力が既に浪費されていることがあるからである。したがって、無線基盤内に存在し、こうしたパケットが移動体に到達することを防ぐ解決策を有することが非常に望ましい。

無線攻撃耐性（ＡＷＡＲＥ）のためのアーキテクチャ
図２は、本発明の一実施形態による例示的な無線ネットワーク２００を示している。無線ネットワーク２００は、図１の例示的な無線ネットワーク１００内の要素、すなわち移動体２０２、セル・タワー２０４、基地局（ＢＳ）２０６、無線ネットワーク制御装置（ＲＮＣ）２０８およびパケット・データ・サービス・ノード（ＰＤＳＮ）２１０に対応する要素を含む。ネットワーク２００のこれらの要素はそれぞれ、ネットワーク１００内のその対応する要素と同じように機能する。

無線ネットワーク２００は、無線攻撃耐性（ＡＷＡＲＥ）２１２のためのアーキテクチャをも含む。図２ではＡＷＡＲＥアーキテクチャはＰＤＳＮとインターネットの間に、ファイアウォールと同じ場所に置かれて実装されるものとして示されているが、ＡＷＡＲＥアーキテクチャの代替の実装が可能であることに留意されたい。以下の議論に鑑みて当業者には理解されるようにＡＷＡＲＥアーキテクチャは、スタンドアロンのハードウェアとして、あるいは無線ネットワークの他の要素のうちの１つまたは複数と同じ場所に置かれたソフトウェア機能として実装され得る。ＡＷＡＲＥアーキテクチャ２１２の動作について、以下でより詳しく述べる。

図３は、図２のＡＷＡＲＥアーキテクチャ２１２によって実施される処理の一部の最上位機能フロー３００を示している。この処理は、プロファイリング３０２、検出３０４および保護３０６の工程を含む。プロファイリング工程３０２では、ネットワークおよび移動体の通常のトラフィック特性、ならびに移動体の電力消費の推定を使用して、１組の通常のエネルギー消費効率（ＥＥＲ：ｅｎｅｒｇｙ ｅｆｆｉｃｉｅｎｃｙ ｒａｔｉｏ）を判断し、ただしＥＥＲは、所与の間隔内に移動体によって送信されまたは受信されるデータ量と、同じ間隔の間にその移動体によって費やされる電力量との比と定義される。検出工程３０４で、ネットワーク内の移動体の実際のＥＥＲが判断される。これらは、（例えば攻撃無しの）通常の動作条件下のネットワーク内の移動体のＥＥＲと比較される。比率が基準から十分に逸脱している場合、攻撃が行われていると見なされ、工程３０６で、ネットワークを保護するための措置（動的フィルタリングなど）が講じられる。ＥＥＲは、解析対象の通信に最も関係があるＥＥＲベースの閾値が選択されることを可能にする多種多様な通信シナリオのためのプロファイリングおよび検出時に推定され得る。一例として、所与のビットレートのオーディオをストリーミングする単一のユーザ用に策定されたＥＥＲ統計値を使用して、所与のビットレット範囲に渡るオーディオをストリーミングするその特定のシナリオまたは１組のシナリオに適した閾値を策定することができる。

エネルギー消費効率
ＥＥＲは、複数のやり方で計算され得る。例えば、コンピュータ実施の実施形態では以下の計算が、ＥＥＲを判断するためにＡＷＡＲＥアーキテクチャ内のプロセッサによって実施され得る。

ただし、Ｄ_ｉは時間間隔Ｔの間に送信され、または受信される各パケットｉのビット単位のデータ・サイズであり、Ｐ_ｉは、ｉ番のパケットの送信または受信によって消費される電力である。

一部の実施形態では、ＥＥＲを計算するのに必要とされる詳細を最小限に抑えるための仮定が行われ得る。例えば、一部のアプリケーションにとっては、各パケットの正確なサイズを追跡するのではなく、パケット数を単純にトラッキングすることで十分であり得る。また、数式（１）の分母で使用するため各パケット転送のために消費された電力の合計を計算するのではなく、間隔の間に費やされた総電力が代わりに報告され、捕捉され、または電力消費率のサンプリングなどが行われ得る。他の手法が可能である。基本的な考えは、「通常」の状況下のＥＥＲの推定を達成することである。

１組のＥＥＲ値は、それぞれ異なる状況および条件についてパラメータ化された１組の通常のＥＥＲ統計値に対応する。それぞれのユーザについてのプロファイルを作成する際に使用され得る追加の情報は、パケット到着回数、ソースおよび宛先のＩＰアドレスおよびポート数、ならびにトラフィックのタイプ（ＨＴＴＰ、ＲＴＰ）などのアプリケーション層特性を含む。

様々な実施形態においてプロファイラは、統計値をユーザ単位、アプリケーション単位およびサーバ単位に集約する。ユーザ単位の統計値は、例えばアプリケーション単位の統計値にさらに分類され得る。例えば、ウェブ・サーフィングは頻繁に使用されるサービスである。同様に、ビデオ・オンデマンド・サーバは、ユーザにビデオをブロードキャストするためにＲＴＰパケットを使用し得る。ウェブ・サーバ単位の統計値もまた、ＨＴＴＰ／ＲＴＰパケットの到着を記録することによって編纂され得る。

スケーラビリティを可能にするためにプロファイルは、類似の振舞いをもつユーザに渡って集約され得る。次いで、トラフィックは、不整合を検出するために集合体プロファイルと比較され得る。集合体プロファイルは、普及しているサーバについて、また普及しているアプリケーションについて同じように維持され得る。

それぞれ異なる分類手法を使用する柔軟性は、通常のトラフィックと見なされるものについてのより包括的で正確な特徴付けを可能にする。このプロファイルは、ある実施形態ではＥＥＲ機構を用いて「異常な」トラフィックとは何かを判断し、またフォールス・ポジティブ（有効なトラフィックを悪意のあるトラフィックとする誤った分類）の確率を最小限に抑えるために使用される。

例えば図２の悪意のあるサーバ２１４からの悪意のある攻撃の存在を検出するために、指定された量の送信データについての電力消費がそれが通常の状況下にあるよりも著しく大きいなど、検出に適したヒューリスティックが使用される。図２はインターネットを介して開始されるＤｏＳ攻撃を表しているが、ＤｏＳ攻撃は、移動体のエンドポイント上を含めて無線基盤内でも開始され得ることにも留意されたい。モバイルによって開始されたすべてのトラフィックがファイアウォール（ファイアウォールと同じ場所にＡＷＡＲＥアーキテクチャが配置される）にルーティングされる場合、悪意のある移動体は、インターネット上の悪意のあるサーバと同じに扱われ得る。

移動体を関与させずにトラフィック量を判断することは、比較的に簡単明瞭である。移動体への経路上にある無線基盤内のほとんどどんな装置もが、移動体についての十分な情報が与えられれば、移動体内に入りまたはそこから出て行くトラフィック量を計算することができる。しかし、そのトラフィックのために消費される電力は、移動体の助け無しには容易に入手できない。移動体は、その電力消費に関する情報を通信するように修正され得る。あるいは、電力消費は、パケット到着パターンに基づいて推定され得る。

ＥＥＲ計算の最も難しい部分は、移動体上の電力消費を測定することである。正確な電力消費が必要であれば、移動体は、この情報を仲介物に報告するように修正されなければならない。しかし、これは、移動体の修正がインターフェース標準化のための複数当事者の調整を要するなどの理由により、実際には困難であり得る。移動体が修正され得るとしても、移動体上の他の活動（ＭＰ３の聴取など）のために消費される電力に対して、データ送信のために消費される電力をどのように分離するかに関して別の課題が残る。

まずこの問題は、電力消費の測定が非常に正確である必要はないことを観察することによって対処される。重要な点は、電力消費が通常より異常に高いことを確認できることである。したがって、電力消費は、移動体へのまたそこからのトラフィックに基づいて推定され得る。ＣＤＭＡネットワークでは例えば、ＲＮＣは、移動体の送信電力を制御する。結果として、移動体に到達しまたそこから離れるパケットについての知識が与えられれば、適度に正確なエネルギー消費の推定がＲＮＣから得られ得る。

ＡＷＡＲＥアーキテクチャの複数の可能な場所が存在し、その場所のそれぞれが、バッテリ攻撃の検出を可能にする、ＡＷＡＲＥアーキテクチャがＢＳおよび／またはＲＮＣと同じ場所に置かれることは、これが移動体についての電力勧告でＢＳから移動体に送信される電力制御情報へのアクセスを可能にするので有用に見え得る。しかし、移動体は勧告された値で送信しないことがあるので、電力消費データのこのソースは、正確なＥＥＲ値を必ずしも提供するとは限らない。しかし、ＥＥＲ比は、対応する送信データに対する消費されたエネルギーを表し、また正確である必要はない。ここでの目標は正確なＥＥＲ値を導出することではなく、この目的は、異常な傾向を検出するために相対的なＥＥＲ値を見ることである。具体的には、ユーザの現在の振舞いがそのユーザの平均的なプロファイルに一致しない場合、ＥＥＲ超過が発生した可能性が高い。

それぞれ異なる動作についてランダムに生成された電力消費の重みを割り当てることによってＥＥＲを推定すると、移動体の実際の電力勧告を使用するものと比較されるのと同じフローが検出されることになる。したがって、無線基盤内の他の可能な場所のいずれかと比べて、任意の特定の場所でＡＷＡＲＥアーキテクチャを同じ場所に配置することの精度利得はない。攻撃に対する反応時間は検出機構と同じ程度重要であるので、最速の反応時間を達成するために、ＡＷＡＲＥアーキテクチャをファイアウォールと同じ場所に置くことが望まれ得る。

ファイアウォール／ゲートウェイとのインターフェース
ある可能な実施形態ではＡＷＡＲＥアーキテクチャは、無線サービス・プロバイダのファイアウォールと同じ位置に配置される。このモデルでは、ＡＷＡＲＥアーキテクチャを認識し、それと対話する無線基盤のいずれに関する仮定も存在しない。ＡＷＡＲＥアーキテクチャは、プロファイル作成のため、パケット到着などのＩＰ層情報、およびＩＰ／ＴＣＰおよびアプリケーション層ヘッダからの情報を使用する。これは、ＡＷＡＲＥアーキテクチャがパケットの内部を見ることができると仮定している。トンネル・モードのＩＰｓｅｃがイネーブルされている場合、ＡＷＡＲＥアーキテクチャは、パケット・ヘッダおよびペイロードを解読し検査できるようにドメイン内のＩＰｓｅｃゲートウェイと同じ場所に配置され得る。

比較的に非侵略的なアーキテクチャでは、ＡＷＡＲＥアーキテクチャは、ファイアウォールに渡され、またそこから渡されるＩＰパケットを、それがＰＤＳＮに到達する前に見る。すべての情報は、アプリケーション、ＴＰＣおよびＩＰヘッダ、ならびにペイロード自体に含まれる。プロファイル作成のために使用される関連情報は、上記ヘッダおよびペイロードから抽出され得る。

ＡＷＡＲＥアーキテクチャは、既存のファイアウォールまたはＩＰｓｅｃゲートウェイと通信できるべきである。理想的にはＡＷＡＲＥアーキテクチャは、例えば疑わしいトラフィックを阻止するため即座にフィルタをインストールするために、これらのエンティティと同じ場所に配置され得る。ＡＷＡＲＥアーキテクチャがＩＰｓｅｃゲートウェイと同じ場所に配置されない場合、トンネル・モードでＥＳＰカプセル化されたパケットを解読し処理できるように、ゲートウェイとのセキュリティ関連付けが確立される。ＡＷＡＲＥアーキテクチャがファイアウォールと同じ場所に配置されない場合でも、フィルタの構成を可能にするＣｈｅｃｋｐｏｉｎｔ社のファイアウォール１など、市販されているほとんどのファイアウォールとのインターフェースが一般に存在する。

ＡＷＡＲＥアーキテクチャは、市販されている、オープン・ソースの既成の装置を使用して配置され得る。相関のため、無線基盤とのインターフェースが無線ユーザの状態について問い合わせるために定義される。このインターフェースは、ＡＷＡＲＥアーキテクチャがユーザ特有の情報を取得するために無線基盤と安全なやり方で通信することを可能にする。

検出のため、Ｓｎｏｒｔと呼ばれるオープン・ソースＩＤＳ機構が、ＡＷＡＲＥアーキテクチャの機能をエミュレートするために使用され得る。具体的にはＳｎｏｒｔは、無線基盤から取得される情報を相関させる。この状態は、上記で略述したアルゴリズムを使用して推定されることもできる。Ｓｎｏｒｔは、ユーザによって定義された規則に対する一致を求めてネットワーク・トラフィックを分析し、それが見たことに基づいて複数の動作を実施することができる。例えば、Ｓｎｏｒｔは、特定のソース・アドレスを含むヘッダをもつすべてのパケットを阻止するためにファイアウォール内に規則をインストールすることができる。Ｓｎｏｒｔは、モジュラであり、新しいプラグインがインストールされることを可能にし、検出機構が現在および将来の攻撃に対する防御のためカスタマイズされまたは拡張されることを可能にする。プラグインは、Ｓｎｏｒｔの振舞いを変更するために動的に追加され得るモジュールを指す一般名称である。例えば、検出機能を向上させるため、検出プラグインが取り入れられ得る。上述した検出ヒューリスティックは、Ｓｎｏｒｔ内の新しい検出プラグインとして組み込まれ得る。

反応のために、Ｓｎｏｒｔｓａｍと呼ばれるインターフェース・プラグインが、ファイアウォールとインターフェースし、検出されたＤｏＳ攻撃に対して反応するために使用され得る。Ｓｎｏｒｔｓａｍは実際に、Ｓｎｏｒｔと安全に通信しながらファイアウォール自体上で実行されるソフトウェアベースのエージェントである。このエンティティは、Ｃｈｅｃｋｐｏｉｎｔのファイアウォール１、ＣＩＳＣＯ ＰＩＸなどの普及しているファイアウォールと通信するためにＯＰＳＥＣ規格を使用する。Ｓｎｏｒｔは最初に、悪意のあるトラフィックを阻止するためファイアウォール上にフィルタをインストールするために使用される。次いで、Ｓｎｏｒｔは、悪意のあるトラフィックの優先順位を下げるために、無線パケット・スケジューラとインターフェースされ得る。

本発明について例示的な実施形態を参照して述べたが、この説明は、限定的な意味で解釈すべきでない。上述の諸実施形態の様々な修正、ならびに本発明が関係する当業者には明らかである本発明の他の実施形態は、特許請求の範囲中で表現される本発明の原理および範囲内にあると見なされる。
添付の方法クレーム内の諸工程は対応するラベル付けを伴う特定の順序で列挙されているが、クレームの列挙がさもなければ、それらの工程の一部またはすべてを実施するための特定の順序を示唆していない限り、それらの工程はその特定の順序で実施されることに必ずしも限定されるものではない。

従来技術の例示的な無線ネットワークの図である。 本発明の一実施形態による例示的な無線ネットワークの図である。 図２の無線攻撃耐性（ＡＷＡＲＥ）のためのアーキテクチャによって実施される処理の一部の最上位機能フローチャートである。

Claims (10)

1. 無線ネットワーク内でサービス拒否（ＤｏＳ）攻撃を検出するための方法であって、
   （ａ）前記無線ネットワークの通常の動作時の前記無線ネットワークの移動体による電力消費と、前記移動体にまたそこから送信されるデータとの間の関係を特徴付ける統計的尺度を生成する工程と、
   （ｂ）前記統計的尺度を前記関係の現在の尺度と比較する工程と、
   （ｃ）前記現在の尺度が前記統計的尺度よりも指定された閾値より多く異なる場合に前記ＤｏＳ攻撃を検出する工程とを備える方法。
2. 前記統計的尺度が、指定された時間間隔内に前記移動体にまたはそこから送信されるデータ量と、前記指定された時間間隔の間に前記移動体によって消費される電力量との比に基づく請求項１に記載の方法。
3. 前記比が、
   

   

   によって与えられるエネルギー消費効率ＥＥＲであり、ただし、Ｄ_ｉが前記時間間隔Ｔの間に送信されまたは受信される各パケットｉのビット単位のデータ・サイズであり、Ｐ_ｉがｉ番のパケットの送信または受信の間に前記移動体によって消費される電力量である請求項２に記載の方法。
4. 前記ＤｏＳ攻撃が検出される場合に前記移動体との少なくとも特定の通信を阻止する工程をさらに備える請求項１に記載の方法。
5. 前記無線ネットワーク内の無線攻撃耐性のためのアーキテクチャによって実施され、
   前記無線ネットワークが、前記移動体とインターネットの間のアクセスを提供するアクセス・ノードを備え、
   前記アーキテクチャが前記アクセス・ノードとインターネットの間で実装される請求項１に記載の方法。
6. 工程（ａ）および（ｂ）が前記無線ネットワーク内の各モバイル・ユーザごとに実施される請求項１に記載の方法。
7. 前記移動体による前記電力消費が、前記移動体のパケット到着パターンに基づいて、前記無線ネットワークの無線攻撃耐性のためのアーキテクチャによって推定される請求項１に記載の方法。
8. 前記統計的尺度が、指定された時間間隔内に前記移動体にまたはそこから送信されるデータ量と、前記指定された時間間隔の間に前記移動体によって消費される電力量との比に基づき、
   前記比が、
   

   

   によって与えられるエネルギー消費効率ＥＥＲであり、ただし、Ｄ_ｉが前記時間間隔Ｔの間に送信されまたは受信される各パケットｉのビット単位のデータ・サイズであり、Ｐ_ｉがｉ番のパケットの送信または受信の間に前記移動体によって消費される電力量であり、
   前記無線ネットワークが前記移動体とインターネットの間のアクセスを提供するアクセス・ノードを備え、
   前記ＤｏＳ攻撃が前記インターネットを介して、または前記無線ネットワーク内の移動体から開始され、
   前記ＤｏＳ攻撃が検出される場合に前記移動体との少なくとも特定の通信を阻止する工程であって、前記特定の通信の選択が、前記特定の通信に関連するパケットのソースに基づく工程をさらに備え、
   前記方法が前記無線ネットワーク内の無線攻撃耐性のためのアーキテクチャによって実施され、
   前記アーキテクチャが前記アクセス・ノードと前記インターネットの間で実装され、
   工程（ａ）および（ｂ）が前記無線ネットワーク内の各モバイル・ユーザごとに実施され、
   前記移動体による前記電力消費が前記移動体のパケット到着パターンに基づいて前記アーキテクチャによって推定される請求項１に記載の方法。
9. 無線ネットワーク内でサービス拒否（ＤｏＳ）攻撃を検出するためのアーキテクチャであって、
   （ａ）前記無線ネットワークの通常の動作時の前記無線ネットワークの移動体による電力消費と、前記移動体にまたそこから送信されるデータとの間の関係を特徴付ける統計的尺度を生成し、
   （ｂ）前記統計的尺度を前記関係の現在の尺度と比較し、
   （ｃ）前記現在の尺度が前記統計的尺度よりも指定された閾値より多く異なる場合に前記ＤｏＳ攻撃を検出するように適応されるアーキテクチャ。
10. 無線ネットワークとインターネットの間のアクセスを提供するように適応されたアクセス・ノードと、
    前記アクセス・ノードと通信するように適応された１つまたは複数の無線ネットワーク制御装置（ＲＮＣ）と、
    各ＲＮＣごとの、前記ＲＮＣおよび１つまたは複数の移動体と通信するように適応された１つまたは複数の基地局と、
    （ａ）前記無線ネットワークの通常の動作時の前記無線ネットワークの移動体による電力消費と、前記移動体にまたそこから送信されるデータの間の関係を特徴付ける統計的尺度を生成し、
    （ｂ）前記統計的尺度を前記関係の現在の尺度と比較し、
    （ｃ）前記現在の尺度が前記統計的尺度よりも指定された閾値より多く異なる場合に前記ＤｏＳ攻撃を検出するように適応されたアーキテクチャとを備える無線ネットワーク。
    

Images