JP4994359B2 - ３ｇ無線ネットワークをシグナリング攻撃から防御するための方法及び装置 - Google Patents

Description

サービス拒否攻撃（ＤｏＳ）攻撃は重大な課題を投げかけ続けている。実際のところ、インターネットにおける攻撃の頻度や程度は増加の一途をたどっている。２０００年２月に起きたＹａｈｏｏ、ＣＮＮ、ＥＢａｙ等を含むポピュラーなウェブサイトへの攻撃をはじめ、最近ではルートＤＮＳサーバへの攻撃など、これまで公表された攻撃は数多くある。

ＤｏＳ攻撃は通常、ノードに対してその処理能力を超える大量のトラフィックを送りつけることによって行われ、攻撃の間、往生したノードをネットワークから追放してしまうことになる。より洗練された攻撃は分散ＤｏＳ（ＤＤｏＳ）攻撃である。

ＤＤｏＳ攻撃を仕掛けようとするアタッカーは、よく知られたセキュリティホールを使って多くのノードを破壊することによって事を開始する。これらの手に落ちたノードは実質的にアタッカーのスレーブとなり、ネットワークにトラフィックを送り込む拠点として動作する。相当数の手に落ちたノードを召喚することによって、アタッカーは複数の拠点からトラフィックをカスケード上に構成して大規模なネットワーク規模の攻撃を仕掛けることができてしまう。

ＤｏＳ攻撃に対抗するために多くの手段が提案されてきた。ＤｏＳ攻撃から防御する現在の最新技術には、ファイヤーウォール（Ｃｉｓｃｏ社のＰＩＸルータ、Ｎｅｔｓｃｒｅｅｎ、Ｃｈｅｃｋｐｏｉｎｔ'ｓ Ｆｉｒｅｗａｌｌ−１がその例である）、プッシュバックをサポートするためのルータ修正、攻撃のソースを検出するよう試みる逆追跡メカニズム、及び到来トラフィックにおける異常や兆候を調べる関連侵入検知メカニズムなどがある。これらの手法のあるものは既存のネットワーク要素における大きな変更を要するとともに配備するのにコストがかかり、また他の手法はＩＳＰにわたる協働が必要となり、従って現実的ではない。とはいっても、それでもこれらの手法は有線ＤｏＳ攻撃の脅威を軽減することにはなる。例えば、ほとんどのファイヤーウォールは接続が外部から開始されることを許可しないのでＤｏＳを氾濫させる攻撃を阻止することができる。

一方、無線ネットワークは有線ネットワークよりもかなり脆弱である。無線ネットワークには新規なＤｏＳ攻撃に悪用され得る幾つかの脆弱性がある。
・限られた無線リンク帯域幅：
低容量の無線リンクと組み合わされた少ないリソースのために、それはＤｏＳ攻撃の標的となり易い。現実に、かなり少ない（即ち、比較的少量の）トラフィックで無線リンクを過負荷にすることができるので、アタッカーの仕事は有線の場合よりも簡単に達成されてしまう。さらに、比較的少量のトラフィックのために無線ＤｏＳ攻撃を検知することが困難となる。
・処理オーバーヘッド：
標準的な３Ｇ１ｘ又はＵＭＴＳネットワークは、電力制御、リソース割当て、ページングなどの機能のホストを実行する幾つかの基盤要素を有している。無線ネットワークコントローラ（ＲＮＣ）及び基地局は各移動体のためのアクティビティに従事している。速いハンドオフによって、それらの装置が要するオーバーヘッドは膨大なものとなる。さらに、そのような装置は通常、同時にアクティブとなっている相当数のユーザの負荷を扱うよう設計されている。従って、過負荷はあらゆる無線インフラにとって大きな懸念事項となる。
・限られた電力供給：
他の構成ファクタとして、無線ネットワーク内の移動体装置（移動体）は普通は電池によって給電されているが、その限られた使用時間のために、移動体に余計な電力消費アクティビティを実行させることによって単にその電源を枯渇させるクラス攻撃の標的となってしまう。この自己の動作によって移動体は操作不能となってしまう。
・複数の標的
無線ＤｏＳ攻撃において、移動体だけでなくインフラも簡単に攻撃され得るので、アタッカーはより柔軟性を持つことになる。各移動体を個々に攻撃することによっても、あるいはより広範に効果を及ぼすために無線インフラを標的とすることによっても、同じ攻撃によって複数の移動体を標的とすることができる。さらに、常時オンの能力がある１ｘＥＶ−ＤＯのような新しいアーキテクチャが攻撃の可能性を増大させている。

無線に特化したＤｏＳ攻撃を仕掛けるアタッカーは容易にこれらの脆弱性をつくことができる。

無線攻撃の他の副作用は、攻撃が移動体に到達してしまったらもう遅いということである。無線ＤｏＳ攻撃において、サーバがダウンしてしまうのには所定の時間がかかる。なぜなら、そのようなマシンは無線終端（移動体）よりも大きな処理容量を有しているからである。これに対して、移動体は処理及び電源使用時間を制限してきた。さらに、無線リンクは有線ネットワークに比べてかなり帯域幅が制限されている。攻撃によるトラフィックが移動体に到達した時点で、攻撃は無線リンク、無線インフラ、及び移動体の電源の多くのリソースを浪費することに既に成功している。これは、攻撃を成功させるためにはサーバの処理リソースを過負荷にしなければならない標準的な有線ＤｏＳ攻撃とは対照的である。

従って、３Ｇ無線ネットワークのＤｏＳ系攻撃を検知し、阻止し、及び防御するための方法及び装置の提供が望まれている。より具体的には、ＵＭＴＳ、ＣＤＭＡ２０００及び他の３Ｇ無線ネットワークに対して仕掛けられた無線ＤｏＳ系攻撃を検知し、阻止し、及び防御するための方法及び装置の提供が望まれている。

３Ｇ無線ネットワークは、移動体とそれに関連する無線インフラの間でデータが伝送されるための専用チャネルの確立（即ち設定）を要する。チャネルを設定するために、移動体と無線インフラの要素との間にシグナリングメッセージが伝送される必要がある。シグナリング攻撃は無線インフラを過負荷とするためにこのシグナリングの性質を悪用しようとする。

＜ＵＭＴＳネットワークにおけるシグナリング攻撃＞
まず、ＵＭＴＳアーキテクチャの簡単な導入説明から始める。次に、データチャネルの設定に必要なシグナリング、及びシグナリング攻撃に対するＵＭＴＳネットワークの脆弱性の概略を説明する。

図１にＵＭＴＳ無線ネットワークアーキテクチャの例を示す。ここには、サービングＧＰＲＳサポートノード（ＳＧＳＮ）とインターネットの間の無線ゲートウェイとして機能するＧＰＲＳネットワークエンティティであるゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）をはじめ、幾つかの構成部材がある。さらに、ＧＧＳＮは動的アドレス割当てのためのＤＨＣＰサーバだけでなく、外部ネットワーク上の認証サーバとのインターフェイスを担う。移動体又はユーザがネットワークに対して正しく認証され、登録されると、ポイントトゥポイント（ＰＰＰ）リンクがＧＧＳＮと移動体の間に設定される。

ＳＧＳＮは、移動体の位置及び認証についての情報を保持することに加えて、データを移動局へ及び移動局から送信する役割を担う。通常は、複数のＳＧＳＮがあり、その各々がそのサービスエリア内に物理的に位置するＧＰＲＳユーザに従属する。

基地局コントローラ（ＢＳＣ）としても知られる無線ネットワークコントローラ（ＲＮＣ）は、無線リンク層プロトコルを終了する点である。ＲＮＣは、基地局（ＢＳ）を介して通信する無線装置とネットワークエッジとの間のインターフェイスを提供する。これは、ＢＳ間のハンドオフのような管理タスクだけでなく無線リソース制御、管理制御、チャネル割当てなどＢＳ機器における無線送受信機を制御及び管理すること、並びに電力制御パラメータを決定することを含む。ＢＳの機能には、無線リンク送信／受信、変調／復調、物理チャネル符号化、誤り処理、電力制御などがある。この階層的アーキテクチャにおいて、複数の移動体がＢＳと通信し、複数のＢＳがＲＮＣと通信し、複数のＲＮＣがＧＧＳＮ／ＳＧＳＮと交信する。

リソース割当てについてチャネルを設定するためのＵＭＴＳシグナリング制御フローを説明する。基本的に、データが加入者に到着すると、ＵＭＴＳ・ＲＮＣは加入者の基地局に無線アクセスベアラ（ＲＡＢ）を確立する必要がある。ＲＡＢはデータ転送のためのチャネルであり、不活性になるまでの期間が時間切れになると開放される。ＲＡＢを確立し、及び開放するために、大量のメッセージがＲＮＣ、移動体及び基地局の間で交換される。これはＲＮＣに対しては相当量のオーバーヘッドとなり、シグナリングの期間中多くの処理オーバーヘッドを生じさせる。

ＲＮＣ、移動体及び基地局の間でのメッセージフローの例を図２に示す。基本的に、データ呼ごとに多数のメッセージが移動体とＲＮＣの間で交換される。それらのメッセージのうちのいくつか（非アクセス層、即ち、ＮＡＳメッセージとして指定されるもの）についてはＲＮＣは送信点でないが、ＲＮＣはそれらのメッセージをコアネットワークにおける終着点（例えば、ＰＤＳＮ）に転送することが要される。

＜無線リソース制御（ＲＲＣ）メッセージ＞
ＲＲＣ系メッセージは移動体の電力測定のための無線チャネルを確立／開放するために、ページングメッセージを搬送するために、及び情報をブロードキャストするために用いられる。ＲＲＣ設定によって専用シグナリングチャネルの生成がなされ、これは移動体への／移動体からのデータ送信を有効にする際の最初のステップとなる。これはＲＮＣと移動体の間で交換される６個のメッセージを要する。これに続いて、ＰＤＳＮとのＰＰＰ接続及びＩＰアドレスの割当てを含む認証及びコンテキストの確立を目的として、移動体とコアネットワークの間で交換される一連のメッセージが続く。所与の加入者に対してコンテキストの安全を守るための暗号の交換に帰着する制御セキュリティモードのために、さらに４個のメッセージがＲＮＣ、コアネットワーク及び移動体との間で交換される。最後に、ＲＮＣで交換される追加の８個のメッセージ（コアネットワークとの２個のメッセージ、移動体との３個のメッセージ、及び基地局との３個のメッセージ）を要してＲＡＢが設定され、ＲＮＣと単一のＲＡＢを確立するのに結果的に合計２４個のメッセージを要することになる（ＲＮＣ内の異なる要素間で交換されるメッセージは含まない）。なお、その後に続くＲＡＢ確立では、制御セキュリティモードは移動体の再認証のために必要な場合があるが、ＲＲＣシグナリングチャネル設定は必要ではない。

移動体の位置に依存して、いわゆるソフトハンドオフは移動体が最も強い信号を持つ主ノードに「レッグ」又は基地局を追加することを必要とする。これにはＲＮＣで交換される追加の４個のメッセージ（移動体との２個のメッセージ、及び主基地局との２個のメッセージ）が必要となる。最後に、転送後に移動体はＲＡＢ及びＲＲＣ接続の切断を開始する。これはＩＵ開放機能によって起動される。これには、ＲＮＣで交換される合計１１個のメッセージ（コアネットワークとの２個のメッセージ、移動体との４個のメッセージ、及び基地局との５個のメッセージ）が必要となる。再度になるが、この数にはＲＮＣでの全体負荷に寄与するＲＮＣ内部処理メッセージは含まない。

移動体とそのコアネットワークとの間で交換されるデータがない場合、移動体は保留状態におかれる。このような状態において、エアリンクのリソースは開放され、他のアクティブな移動体に割り当てられ、これには４個のメッセージ（そのコアネットワークとの２個のメッセージ、及び基地局との２個のメッセージ）が必要となる。しかし、コンテキストはＲＮＣでいまだ保持され、移動体はＲＲＣ／ＲＡＢ確立の間に得られた自身のＩＰアドレスを維持する。移動体は、５秒間のアイドル時間切れ期間が発動されない限りは、パケット呼コンテキスト回復メッセージを用いて再度アクティブにすることができる。

＜脆弱性と攻撃の性質＞
アタッカーは、ＲＮＣとＢＳの間での過大なシグナリングメッセージ交換を実質的にトリガすることによって、ＲＡＢ設定のために重いシグナリングオーバーヘッドが課されることにつけ込んでくる。これは、不活性になったことによってＲＡＢが切断された直後に新しいＲＡＢの確立をトリガするバーストがアタッカーから到着するように、適宜時間設定された期間に少量のバーストを送信することによってなされる。この頻繁な設定／開放動作によって、過大な量のシグナリングメッセージをリクエストすることになるのでＲＮＣを簡単に過負荷にしてしまう。

なお、アタッカーが移動体のＩＰアドレスを入手することは比較的容易である。無線サービスプロバイダは通常、連続したＩＰアドレスのかたまりを割当てるので、アタッカーは真正な加入者を装うことによってアドレスの有効な範囲を簡単に推認することができる。

攻撃の２つの顕著な特徴は注目に値する。第１は、前述したように、攻撃では平均伝送速度が遅い（小さいバーストが周期的に送信される）ことによって、既存の検知メカニズムがトラフィックを悪性として分類することが難しくなっていることである。また、（バーストが）少量であることによってもアタッカーが攻撃を仕掛けるのが容易になる。これはアタッカーが攻撃を仕掛けるだけでも多数のホストを無能化することが必要となる従来のＤＤｏＳ攻撃の場合とは対照的である。さらに、アタッカーが攻撃の影響を拡大、拡散させるのには移動体ごとに１つのパケットだけ送りつければよいので、これがさらに検知を複雑化させている。

＜攻撃による被害＞
そのような攻撃による被害は、有効なトラフィックがリソース割当てを受けられなくなりそれがＲＮＣによって廃棄されてしまうほど深刻なものとなる。ＲＮＣも過負荷になり、相当数の加入者へのサービスを完全に拒否することになる。さらに、ＲＮＣは同時にアクティブになる相当量（例えば、１０％）の移動体／ユーザを扱うように設計されている。攻撃の少量的性質のためにアタッカーにとってこの数を超えることは容易である。

シグナリング攻撃の他の副作用は、移動体の電池を使い果たす可能性があることである。通常は電力を節約するために、パケットを送受信していない時には移動体のスイッチは低電力アイドル又は休止状態にある。少量のバーストが周期的に送られてくると、移動体は必要以上に長くアクティブでいることを強いられる。最悪のシナリオでは、移動体は休止状態に入ることが全くできずに急速にその電池を使い果たしてしまう。

発明らは攻撃の影響のシミュレーションを行った。結果のうちの幾つかを図３ａ及び３ｂのグラフに示す。図３ａは１日の一連の攻撃の時刻に対する基地局コントローラの負荷をプロットし、図３ｂは１日の時刻に対する呼の設定遅延時間（即ち、呼が到着した後に時間リソースが割り当てられるまでにかかる遅延）をプロットしている。

図３ａ及び３ｂの結果は攻撃の劇的な影響を実証している。６％の攻撃トラフィックを送信しただけで、ＲＮＣの負荷が使用率１５％から７５％に５ファクタも増加することになる。この結果はまた、呼設定遅延における５倍の増加を意味し、これによって、特にリアルタイムサービスを売りとしているプロバイダへの顧客の信頼が失われる。１０％程度の攻撃トラフィックを送信するだけでＲＮＣを過負荷状態とするのは比較的容易である。

ここで、以下は３Ｇ１ｘアーキテクチャ（例えばＣＤＭＡ２０００）及びシグナリングの簡単な説明である。

＜３Ｇ１ｘアーキテクチャ＞
図５に３Ｇ１ｘ無線ネットワークの標準的なアーキテクチャを示す。ＰＤＳＮはルータであればよく、無線ネットワーク全体における全ユーザの移動体／端末へ及びそこからのデータフローのゲートウェイとして機能する。移動体又はユーザが正しく認証され、ネットワークに登録されると、ＰＰＰリンクがＧＧＳＮとユーザ／移動体との間でされる。ＰＤＳＮへの経路上には無線インフラの一部となる３つの装置がある。ＲＮＣ及びＢＳはＵＭＴＳにおいて対応する部材と同じ機能を持つ。この階層アーキテクチャにおいては、複数の移動体が基地局と通信し、複数の基地局がＲＮＣと通信し、複数のＲＮＣがＰＤＳＮと交信する。

＜３Ｇ１ｘシグナリング＞
３Ｇ１ｘネットワークにおいて、リソース割当てについての類似の問題がある。ＵＭＴＳネットワークにおけるＲＡＢの同等物はデータを転送するために設定されなければならない基本チャネル（ＦＣＨ）である。ＦＣＨの設定に用いられる標準的な設定を図４に示す。

ＰＤＳＮは移動体のためのデータを受信すると、それは移動体をページングする。ページングメッセージに対する成功応答が受信される（３個のメッセージが交換される）と、基地局は移動体とのＦＣＨ又はトラフィックチャネルの設定を開始する（８個のメッセージを交換する）。並行して、基地局とＲＮＣの間でサービスリクエストがなされ、これは４個のメッセージを要する。ＲＮＣはまたコアネットワークへのメッセージを転送するものとし、この場合ユーザを認証する必要がある。これによって追加の６個のメッセージを使うことになる。最後に、会計上の目的のために２個の追加のメッセージがＲＮＣとＰＤＳＮの間で交換される。これがなされると、アクティブなチャネルがデータを移動体へ及び移動体から送信するために存在することになる。

呼の開放は逆の手順をたどり、ＲＮＣからＰＤＳＮ及び基地局への７個のメッセージ、基地局とＲＮＣ、ＰＤＳＮ及び移動体との間の８個のメッセージを要する。全体として、２９個のメッセージがＢＳによって、ＲＮＣがコアネットワークへ転送する役割を担っている９個のメッセージに加えて１３個のメッセージがＲＮＣによって作成され又は受信される。

各加入者には通常は主レッグが割り当てられ、それは元々は呼が最初に設定されたときに転送基地局として動作する。場合によっては、アンカーレッグといわれる追加の基地局が長期間存続する接続のために確立される。このレッグは主レッグとは区別され、移動体に対して最も強い信号を持つ基地局として定義される。アンカーレッグは、９.６ＫｂｐｓのＦＣＨで容量不足の時に用いられる補充チャネル（ＳＣＨ）をいつ割り当てるか決定する役割を持つ。

ＦＣＨの容量を超える過大なバースト形式のデータがある場合、ＳＣＨを各ユーザに生成するよう、リソースがオンデマンドで割り当てられる。１６個の追加のメッセージがアンカーレッグ、ＲＮＣ及び他の基地局の間で（ソフトハンドオフのために）交換され、補充チャネル割当て及び開放におけるアンカーレッグの同様の脆弱性を招く。

アンカーレッグへの攻撃はＲＮＣへの攻撃よりも拡散的被害が少ないが、その影響はそれでも無線サービスプロバイダに対してかなりの歳入損失をもたらすのに十分なほど重大である。アタッカーが複数のアンカーレッグに攻撃の影響を及ぼすことができる場合、被害はさらに増幅する。アタッカーは特定のアンカーレッグに属する加入者を標的とすることさえできる。

なお、アタッカーが単にランダムにアドレスを付けられたバーストを送信するだけの場合でも、被害はなお重大なものとなり得る。単一のアンカーレッグがバーストを受信している加入者を受け持っていなくても、それでもＲＮＣは複数のアンカーレッグとのやり取りのために過負荷状態になり得る。

攻撃を阻止し防御するために、本発明者らはいわゆる無線状態の情報、特にトラフィックが無線ネットワークを通過するときのシグナリングのコストの情報が必要であることを認識した。これによって悪性のトラフィックが過大なシグナリングコストをもたらそうとし始めると直ちにそれが識別されるのを可能とする。シグナリングコストは、関与する無線インフラに応じて種々のやり方で知得することができる。理想的には、正確なシグナリングコストはＲＮＣ及び基地局のような無線構成要素に照会して（これらの構成要素がそのような照会にインターフェイスを提供する時に）知得できる。しかし、現在の３Ｇ無線ネットワークはそのようなインターフェイスを有していないので、そのような照会に対応するためには修正が必要である。しかし、既存のインフラを変更することはネットワークの所有者／オペレータによって既に費やされた投資の量を考慮すると現実的な解決手段とはいえない。

本発明者らは、シグナリング呼の情報を前提としてトラフィック到着パターンからシグナリングコストを推定する簡素ではあるが新規なメカニズムを見出した。本発明者らはそのように推定されたシグナリングコストを用いて攻撃を検知するための方法及び装置を提供する。

上述のように、無線構成要素が照会のためのインターフェイスを備える場合は、シグナリングコストは簡単な照会によって知得することができる。それがない場合、問題はそのような無線構成要素の補助なしにコストを知得することである。本発明のある実施例では、シグナリングコストはトラフィック到着パターンから推定される。これはシグナリングプロトコルの情報を無線構成要素の内部に照会する。表１に、本発明の一実施例によるＵＭＴＳネットワークにおける（ＲＡＢ確立／開放による）シグナリングコストを推定する技法の例を示す。本発明の範囲内にある同様の技法を、本発明の代替的実施例によるＣＤＭＡ２０００ネットワークについての他のタイプのシグナリングコストを推定するために用いることができる。

本発明は宛先ＲＡＢが開放されていた場合にパケットが到着すると宛先移動体はＲＡＢを再確立するという事実を利用するものである。この再確立によって、アイドルタイマの時間切れのために新たなＲＡＢを確立し以前のＲＡＢを開放するための追加のコストが発生してしまう。これが、本発明によって提供される技術によって検出されるコストである。

出て行くシグナリング攻撃の確かな予兆は、たとえ実際の送信されるデータの量は小さくても過大な又は追加的なシグナリングコストを検知結果にある。なお、説明を続ける前に補足しておくと、アタッカーは、やはり過大なシグナリングコストをもたらす膨大な量のトラフィックを用いてネットワークを溢れさせることはできる。しかし、（少量の攻撃と）比較して言えば、これは既存のファイヤーウォール又は侵入検知メカニズムによって簡単に検知することができる。少量の攻撃については、検知のためにはより正確なメトリックが必要になる。本発明によると、データ対シグナリングコスト比という統計的測定がメトリックとして用いられる。この比があるプロファイリングされた閾値を超える場合、シグナリング攻撃が検知され、攻撃ソースからの悪性のトラフィック／パケットがブロックされる。本発明の更なる実施例では、同じソースからの複数の攻撃が検知された場合、例えば、他のソースからのトラフィックを通過させつつ、攻撃ソースからの悪性のトラフィック／パケット等がブロックされる。他の侵入検知メカニズムも誤警告の機会を減らすために用いることができる。

本発明の例示的方法によると、トラフィックが攻撃の一部であるかを判別する第１のステップは遅い比較のための閾値を規定することである。これはユーザ／アプリケーションに対して専用のものとすべきである。この閾値は前処理期間にユーザ／アプリケーションをプロファイリングすることによって選択すればよい。

そのような期間中に、各ユーザに対するプロファイルが統計的なデータ対シグナリングコスト比に基づいて構築される。プロファイルを作る際に使用する情報にはソース及び宛先のパケット到着時刻、ＩＰアドレス及びポート番号を含む。

本発明によって提供されるプロファイリングメカニズムの１つの新規な側面は（サーバだけでなくユーザやアプリケーションに）関連するプロファイルを統合する能力である。ユーザプロファイルによって、我々は個々のユーザに対する統計を参照する。この細分はさらに個々のアプリケーションによって分類される。例えば、ウェブサーフィンは多くのユーザによって最も頻繁に使用されるサービスである。同様に、ビデオ・オン・デマンドサーバはビデオをユーザにブロードキャストするのにＲＴＰパケットを用いることになる。個々のウェブサーバごとの統計もＨＴＴＰ／ＲＴＰパケットの到着のログをとることによって編集できる。

規模的適応を可能とするために、プロファイルを類似の挙動のユーザにわたって統合することができる。そして、現在のトラフィックが、不一致性を検知するために統合プロファイルと比較される。統合プロファイルは多くの人が使うサーバに対して、及び多くの人が使うアプリケーションに対しても類似的に保持される。異なる分類手法を用いる柔軟性によって、正常なトラフィックとみなされるトラフィックの、より広範で正確な特徴づけが可能となる。このプロファイルは異常な悪性のトラフィックを検知する鍵となる一方、積極的誤り（有効なトラフィックを悪性のトラフィックとする誤った分類）の可能性を最小にする。

上記表２はＤｏＳシグナリング攻撃から防御するためのアルゴリズムを説明するものである。この方法は、無線インフラからのユーザ状態統計情報（例えば、実際のトラフィックフロー）を推定又は収集することができる装置によって実行される。一般に、この方法は以下のように動作する。

最初のステップにおいて、データ対シグナリングコスト比のような現在の測定値が生成又は導出される。この比はインフラに直接照会することによっても、推定技術を用いることによっても得ることができる。

次に、データ対シグナリングコスト比が、閾値である基準比と比較される。あるユーザに対して導出された比が、ユーザに対するプロファイルを構築する前処理ステップで特定された閾値、即ちＳ／Ｄ_THRESHを超える場合、送信者「ｓ」からの後続のトラフィックにフラグが立てられる。

最後に、（閾値ＶＯＴＥ_THRESHと比較されたときに）送信者ｓからの相当量のパケットが疑わしいものとしてフラグが立てられた場合、又は疑わしい挙動が拡張期間（ＩＮＶＡＬＩＤ_TIMER）にわたって続いた場合、その送信者からの以降のトラフィックをブロックするためにファイヤーウォールにフィルタが適用される。

なお、前処理ステップ中に生成されたユーザプロファイルは、積極的誤りを最小限にし、違反時に正確に検知するためにユーザの挙動に適応している。より具体的には、最初のプロファイルが前処理中に作られた後に、ユーザの挙動の変化に基づいて定期的に更新されるようにしてもよい。

表２において利用される方法は多くの異なるやり方で実施でき、その１つは無線攻撃への抵抗のためのアーキテクチャ（ＡＷＡＲＥ：Architecture for Wireless Attack REsistance）といわれるものである。ＡＷＡＲＥが有効となった装置（以下、「ＡＷＡＲＥ有効化装置」という）は規格化されたものでよく、その後の攻撃に対抗するためにアップグレードをサポートすることができる。

本発明の一実施例では、ＡＷＡＲＥアーキテクチャ(例えば、有効化装置)は２つの構成部材を含み、それは学習データベース及びプロファイラ並びに／又は検知エンジン若しくは検知器である。学習データベースは前処理ステップ中にユーザに関する情報を捕捉して記憶するよう動作する。所与のユーザに対するプロファイラは正常な状況下（攻撃がない状態）でのトラフィックプロファイルを生成する。データベースおよびプロファイラは１つの同じものであってもよいし、移動体間の相関に対して他のユーザデータベース及びプロファイラと相関付けられてもよい。これらのデータベースにおける情報は検知器／検知エンジンに入力される。本発明の一実施例では、検知エンジンは各ユーザについての閾値を保持し、ユーザ又はユーザの組についての現在のトラフィックが、対応する閾値に違反しているかを確認するよう動作することができる。ＡＷＡＲＥ有効化装置（データベース、プロファイラ及び／又は検知器を内包するもの）と通信する能力を持つ無線構成要素に応じて、ＡＷＡＲＥ有効化装置の配置が以下のように異なる。

・ファイヤーウォールとの共存配置
ＡＷＡＲＥ有効化装置は無線サービスプロバイダのファイヤーウォールと共存配置することができる。そのような設計が選択される場合、必ずしも無線インフラの他の部分がＡＷＡＲＥ有効化装置の存在を認識しているとか、ＡＷＡＲＥ有効化装置と双方向通信しているという前提とする必要はない。
本発明のある実施例では、ＡＷＡＲＥ有効化装置はプロファイルを構築するためにパケット到着などのＩＰ層情報並びにＩＰ／ＴＣＰ及びアプリケーション層のヘッダからの情報を使用する。これは、ＡＷＡＲＥ有効化装置がパケットの中を見ること前提としている。ＩＰｓｅｃ（トンネルモード）が有効化されていた場合、ＡＷＡＲＥ有効化装置がパケットヘッダ及びペイロードを復号して検査することができるようにドメイン内のＩＰｓｅｃゲートウェイと共存配置することができる。
・ＰＤＳＮとＲＮＣの間の配置
本発明の代替的実施例として、ＡＷＡＲＥ有効化装置はＰＤＳＮとＲＮＣの間に配置してもよい。そのような設計において、装置はＰＤＳＮと双方向通信して、どのようにしてパケットが異なるＲＮＣに分配されるかについての情報を得る。ＲＮＣはＦＣＨ及びＳＣＨ設定／開放のためのシグナリングイベント数、シグナリングメッセージのタイムスタンプ、及び移動体の電力消費を推定する基地局を介した電力制御情報のような精細なゲイン情報を提供する。なお、ＡＷＡＲＥ有効化装置がスタンドアロン型の装置である場合は、ＡＷＡＲＥ互換インターフェイスは当該装置が無線インフラ（例えば、ファイヤーウォール）とともに動作できるようにする必要がある。

「最も入り込まない（既存のものに影響が少ない）」設計においては、ＡＷＡＲＥ有効化装置はファイヤーウォールから通過してきたＩＰパケットを、それらがＰＤＳＮに到達する前に見るだけである。必要な情報の全てはアプリケーション、ＴＣＰ及びＩＰヘッダ並びにペイロード自体に含まれている。プロファイルを構築するのに必要な情報は上記のヘッダ及びペイロードから抽出することができる。

ＡＷＡＲＥ有効化装置は既存のファイヤーウォール又はＩＰｓｅｃゲートウェイと通信可能であるべきである。理想的には、ＡＷＡＲＥ有効化装置は疑わしいトラフィックをブロックするフィルタとして動作するエンティティにおいて共存配置されるのがよい。ＡＷＡＲＥ有効化装置がＩＰｓｅｃゲートウェイと共存配置されていない場合には、トンネルモードにおいてＥＳＰでカプセル化されたパケットを復号して処理することができるような、ゲートウェイとのいわゆるセキュリティ関係が必要となる。たとえＡＷＡＲＥ有効化装置がファイヤーウォールと共存配置されていなくても、通常は、ほとんどの市販のファイヤーウォールに対してフィルタの構成を可能とするＣｈｅｃｋｐｏｉｎｔ'ｓ Ｆｉｒｅｗａｌｌ−１のようなインターフェイスがある。

ＡＷＡＲＥ有効化装置がＰＤＳＮとＲＮＣの間に配置される場合、より多くのユーザ専用状態情報（即ち、どのＲＮＣにユーザが属しているか、及びＲＬＰフレームから得られる他の可能な情報）が収集される。また、移動体は１つのＲＮＣから他のＲＮＣへと横断するので、ＡＷＡＲＥ有効化装置は移動に関する情報を得ることもできる。よく移動するエンドユーザはインフラの負荷に大きく寄与するので、検出のヒューリスティック性に対する移動情報の影響は分析する価値がある。よく移動するユーザに対する無線ＤｏＳ攻撃を仕掛けるには、より頻繁なページングのような、実質的にオーバーヘッドを処理することを追加する追加タスクが必要となる。また、移動体は転送を開始する前にＰＤＳＮとのＰＰＰ接続を起動するかもしれない。ＡＷＡＲＥ有効化装置はＰＰＰ状態履歴を得るためにＰＤＳＮに照会することもある。

発明者らは、ＡＷＡＲＥ有効化装置に加えて、ＡＷＡＲＥ関連アーキテクチャが追加の装置を必要とすることも認識した。

例えば、本発明によってＡＷＡＲＥ互換インターフェイスが提供される。本発明の一実施例では、そのようなインターフェイスは無線ユーザ／移動体の状態を照会するように動作できる。そのようなインターフェイスによって、移動体／ユーザに対する専用の情報を得るためにＡＷＡＲＥ有効化装置が無線インフラと安全を確保した上で通信することも可能となる。なお、状態情報を推定するために少なくともパケット到着を知る必要があるので、そのようなインターフェイスはＰＤＳＮだけでなくインフラ内のオプションとして含まれてもよい。

インターフェイスに加えて、本発明はプラグイン検知器を備える。

スノート（Ｓｎｏｒｔ）とは、ＡＷＡＲＥ有効化装置の機能を模擬するオープンソースのＩＤＳ機構である。スノートは規格品であり、新しいプラグインがインストールされるのを可能とし、従って、検知メカニズムが現在及び将来の攻撃に対する防御のためにカスタマイズされ高度化されることを可能とする。「プラグイン」とは、スノートの挙動を変更するために動的に追加され得るモジュールのことを意味する包括的な用語である。

本発明のある実施例では、本発明のヒューリスティック検出機能を含むスノート互換プラグインが提供される。

他のプラグインもまた本発明によって提供される。それらの実験中に発明者らはファイヤーウォールとインターフェイスし、攻撃に反応するためにスノートサム（Ｓｎｏｒｔｓａｍ）を利用した。

本発明の追加の実施例では、そのようなインターフェイスを可能とするスノートサム互換プラグインが提供される。そのようなプラグインは悪性トラフィックをブロックするフィルタとして挙動するよう動作できる。

代替的に、このプラグインは悪性トラフィックの優先度を下げるために無線パケットスケジューラとインターフェイスされてもよい。

なお、本発明の方法、ＡＷＡＲＥ有効化装置、インターフェイス、及びあらゆる下位構成部材（例えば、学習データベース、プロファイラ、検知器など）はハードウェア、ソフトウェア、フレームウェア又はこれらの何らかの組み合わせで実現されればよい。例えば、１以上のプログラマブル又はプログラム済みのコントローラ、プロセッサなどが、上記及び特許請求の範囲に記載の本発明の構成及び機能を実施するよう動作可能な１以上のプログラム又はコード（及びデータ）を記憶するよう動作する。

図１はＵＭＴＳ無線ネットワークアーキテクチャの例を示す図である。 図２は図１のＵＭＴＳ無線ネットワークに関連するメッセージフローの例を示す図である。 図３ａ及び３ｂはシグナリング攻撃の想定される影響の例示的シミュレーションを示す図である。 図４は３Ｇ１ｘ無線ネットワークにおける基本チャネルの設定の際の例示的ステップを示す図である。 図５は３Ｇ１ｘ無線ネットワークアーキテクチャの例を示す図である。 図６は本発明の一実施例による、シグナリング攻撃を検知し阻止するためのアーキテクチャの例を示す図である。

Claims (10)

1. ３Ｇ無線ネットワークに対するシグナリング攻撃を検知する方法であって、
   移動体装置に関連するトラフィックレベルを測定するステップと、
   測定された該トラフィックレベル及びデータ転送チャネルの確立及び解放に基づくシグナリングコストに関連するデータ対コストの比を生成するステップと、
   サービス拒否シグナリング攻撃が該装置に向けられたか否かを判別するために、該生成された比を、プロファイルされたデータ対コスト基準閾値の比と比較するステップとを含む、方法。
2. 請求項１の方法であって、さらに、該生成された比が該基準閾値の比以上のときに、該移動体装置を狙った悪性のトラフィックが該装置に到達するのを阻止するステップを含む、方法。
3. 請求項１の方法において、該ネットワークがＵＭＴＳ又はＣＤＭＡ２０００ネットワークからなるグループから選択される、方法。
4. 請求項１の方法であって、さらに、トラフィック到着パターンから該シグナリングコストを生成するステップを含む、方法。
5. 請求項１の方法において、該トラフィックレベルが相対的に少量のデータである、方法。
6. 無線ネットワークにおけるサービス拒否（ＤｏＳ）攻撃を検知する方法であって、
   （ａ）該無線ネットワークの正常動作中に、データ転送チャネルの確立及び解放から推定されるシグナリングコストと少なくとも１つの移動体へ又はそこから送信される実際のデータとの間の関係を特徴付ける統計的測定値を生成するステップと、
   （ｂ）該統計的測定値を現在の測定値と比較するステップと、
   （ｃ）該現在の測定値が該統計的測定値に対して閾値よりも大きく異なる場合にＤｏＳ攻撃を検知するステップとを含む、方法。
7. 請求項６の方法において、該統計的測定値が、所定期間内に少なくとも１つの移動体へ又はそこから送信される実際のデータ量に対する所定時間内のシグナリングコストの比に基づく、方法。
8. 請求項７の方法であって、さらに、該比をトラフィック到着パターンに基づいて推定するステップを含む、方法。
9. ３Ｇ無線ネットワークであって、
   該無線ネットワークとインターネットとの間のアクセスを提供するよう適合された１またはそれ以上のアクセスノードと、
   該アクセスノードと通信するよう適合された１またはそれ以上の無線ネットワークコントローラ（ＲＮＣ）と、
   ＲＮＣと通信し、及び１またはそれ以上の移動体装置と通信するよう適合された、各ＲＮＣについての１またはそれ以上の基地局と、
   アーキテクチャであって、
   （ａ）該無線ネットワークの正常動作中の、データ転送チャネルの確立及び解放から推定されるシグナリングコストと少なくとも１つの移動体へ又はそこから送信される実際のデータとの間の関係を特徴付ける統計的測定値を生成し、
   （ｂ）該統計的測定値を現在の測定値と比較し、及び
   （ｃ）該現在の測定値が該統計的測定値に対して閾値よりも大きく異なる場合にＤｏＳ攻撃を検知する、ように適合されたアーキテクチャを備える、３Ｇ無線ネットワーク。
10. ３Ｇ無線ネットワークに対するサービス拒否（ＤｏＳ）攻撃を防御する装置であって、
    移動体の情報を記憶するよう動作するデータベースと、
    該記憶された情報に基づいて、該移動体についての攻撃がない状態に関連するトラフィックプロファイルを生成するよう動作するプロファイラとを備え、前記プロファイルは、データ転送チャネルの確立及び解放から推定されるシグナリングコストと該移動体へ又はそこから送信される実際のデータとの間の関係を特徴付ける統計的測定値を含み、前記装置はさらに、
    該移動体に関連する現在のトラフィックを、少なくとも生成された該移動体のプロファイルに関連する閾値と比較することによって攻撃を検知するよう動作する検知器を備える、装置。

Images