JP5265685B2 - Ｕｍｔｓ／ｇｓｍネットワークにおいてｉｐレイヤトラフィックと無線レイヤ要素を相関付けるための方法及びシステム - Google Patents

Description

無線ネットワークにおける最近の革新によって、技術は、特に第３世代３Ｇマルチメディア能力のある技術の開発とともに無線ネットワークセキュリティへの関心及び一般無線ネットワークの認知を高めてきた。無線ネットワークはデバイス間のインターフェイスの性質上有線ネットワークよりもセキュリティの脅威及び侵入の影響を受け易い。

例えば、周知のシグナリング攻撃では、インターネットホストが大量のシグナリング／ページング・イベントをトリガするパケットを少量だけ送信することによって無線ネットワークを過負荷とする。他の例として、周知のエネルギー攻撃では、インターネットホストは、移動体装置のスリープモードに入る能力を禁止するような適当にタイミング設定されたパケットを送信する。そのような攻撃は移動体装置のエネルギー節約機能を悪用し、そのバッテリ寿命を著しく損なうことになる。

図１は従来のユニバーサル移動通信システム（ＵＭＴＳ）ネットワークの幾つかの基本構成部材を示す。

図示するように、ＵＭＴＳネットワーク１００は通常、ユーザ機器（ＵＥ）領域１１０、ＵＭＴＳ地上無線アクセスネットワーク（ＵＴＲＡＮ）１２０、及び汎用パケット無線サービス（ＧＰＲＳ）コアネットワーク１３０を含む。ＵＥ領域１１０はＵＥ即ち移動局１１１等を含み、ＵＴＲＡＮ１２０と無線で通信する。移動局１１１は、例えば、携帯電話、無線ＰＤＡ、「ＷｉＦｉ」装備コンピュータ等とすることができる。ＵＴＲＡＮ１２０は基地局（ノードＢ）１２１、無線ネットワークコントローラ（ＲＮＣ）１２３等を含み、ＵＥ１１０とコアネットワーク１３０の間の中間体として動作する。即ち、ＵＴＲＡＮ１２０は移動局１１１とエアインターフェイスを介して通信する。

コアネットワーク１３０は少なくとも１つのサービングＧＰＲＳサポートノード（ＳＧＳＮ）１３１及びゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）１３３を含む。ＳＧＳＮ１３１及びＧＧＳＮ１３３は、ＧＰＲＳコアネットワークの標準ＩＰプロトコルであるＧＰＲＳトンネリングプロトコル（ＧＴＰ）を用いてＧｎインターフェイス１３５を介して相互に通信する。ＧＧＳＮ１３３はＧｉインターフェイス１３７を介してインターネットのような外部ネットワークと通信する。ＵＭＴＳの前身である移動体通信用グローバルシステム（ＧＳＭ）も同様の構成要素を用いる。

ＵＭＴＳ／ＧＳＭネットワークの従来のネットワークアーキテクチャは当技術で周知であるので、より詳細な説明はここでは省略する。

シグナリング攻撃及びエネルギー攻撃のような多くのセキュリティ上の脅威及びネットワークの異常はＩＰレイヤの活動によって引き起こされるが、無線レイヤネットワーク構成要素にも影響を及ぼす。しかし、これらの攻撃は、下層の無線レベルの状態を知ることなしにＩＰレベルで検出することはできない。さらに、攻撃のソースは、無線レイヤ情報をＩＰレイヤと相関付けずには無線レイヤ情報を用いて特定することはできない。従って、本発明はＩＰレイヤネットワークトラフィックを下層の無線レイヤネットワーク要素と相関付ける態様を提供する。

本発明はネットワークにおいてＩＰレイヤトラフィックと無線レイヤネットワーク要素を相関付けるための相関モジュールに関する。実施例によると、相関モジュールはＲＮＣアナライザ、Ｇｎスヌープユニット、及び／又はマッピングユニットを含む。ＲＮＣアナライザは少なくとも１つのＲＮＣから無線レイヤネットワーク要素情報を収集するように構成される。Ｇｎスヌープユニットは、サービングＧＰＲＳサポートノードとゲートウェイＧＰＲＳサポートノードの間の少なくとも１つのＧｎインターフェイスから無線レイヤネットワーク要素情報及びＩＰレイヤトラフィック情報を収集するように構成される。マッピングユニットは、収集されたＩＰレイヤトラフィック情報及び収集された無線レイヤネットワーク要素情報に基づいてネットワークにおいてＩＰレイヤトラフィック及び無線レイヤネットワーク要素をマッピングするように構成される。

本発明はまた、ネットワークにおいてＩＰレイヤトラフィックと無線レイヤネットワーク要素を相関付ける方法に関する。他の実施例によると、方法は、無線レイヤネットワーク要素情報を収集するステップ、ＩＰレイヤトラフィック情報を収集するステップ、及び／又はネットワークにおいてＩＰレイヤトラフィック及び無線レイヤネットワーク要素をマッピングするステップを含む。無線レイヤネットワーク要素情報は、サービングＧＰＲＳサポートノードとゲートウェイＧＰＲＳサポートノード間の少なくとも１つのＲＮＣ及び少なくとも１つのＧｎインターフェイスから収集される。ＩＰレイヤトラフィック情報はまた、少なくとも１つのＧｎインターフェイスから収集される。ネットワークにおけるＩＰレイヤトラフィック及び無線レイヤネットワーク要素は、収集されたＩＰレイヤトラフィック情報及び収集された無線レイヤネットワーク要素情報に基づいてマッピングされる。

本発明は、以降に与えられる詳細な説明及び添付図面からより完全に理解され、図面では同様の要素は同様の参照符号で表され、それらは説明のためだけに与えられ、従って本発明を限定するものではない。

図１は従来のユニバーサル移動通信システム（ＵＭＴＳ）ネットワークの幾つかの基本構成部材を示す図である。 図２は本発明の実施例による、従来のＵＭＴＳネットワークとの関連で使用される相関モジュールを示す図である。 図３は説明目的で示される選択構成部材を用いた例示のＵＭＴＳ／ＧＳＭネットワークを示す図である。 図４は本発明の実施例による、ＲＮＣアナライザによって構築される図３のネットワーク構成部材についての例示の準備データテーブルを示す図である。 図５は本発明の実施例による、Ｇｎスヌープユニットによって構築される図３のネットワーク構成部材についての例示のＩＰトラフィックデータテーブルを示す図である。 図６は本発明の実施例による、対応のＩＰレイヤトラフィックに図３の構成部材をマッピングし、マッピングユニットによって構築される例示のダイナミック相関テーブルを示す図である。 図７は本発明の実施例による、ＩＰレイヤと無線レイヤトラフィックを相関付ける方法を示す。

本発明の詳細な実施例がここに開示される。しかし、ここに開示される特定の構造的及び機能的詳細は、実施例を説明する目的のための単なる代表例である。また、実施例は多数の形態で実施され、ここに説明する実施例のみに限定されるものとして解釈されるべきではない。

従って、実施例は種々の修正例及び代替形態が可能であるが、その実施例は図面において例示として図示され、詳細がここに記載される。なお、開示される具体的形態に本発明を限定する意図はなく、逆に、本発明は実施例の範囲内に収まる全ての修正例、均等物、及び代替例を包含することが理解されるべきである。図面の説明を通じて同様の符号は同様の要素を示す。

第１、第２などの文言は種々の要素を説明するためにここで使用されるが、これらの要素はこれらの文言によって限定されるものではないことが理解できるはずである。これらの文言は或る要素を他の要素から区別するために使用されるにすぎない。例えば、実施例の範囲を逸脱することなく、第１の要素は第２の要素と称されることもあるし、同様に、第２の要素は第１の要素と称されることもある。ここで使用する用語「及び／又は」は列挙された項目の１以上のいずれか又は全ての組合せを含む。

要素が他の要素に「接続され」又は「結合され」るものとして言及される場合、それが他の要素に直接接続又は結合されることもあるし、又は介在要素が存在することもあることが理解される。逆に、要素が他の要素に「直接接続され」又は「直接結合され」るものとして言及される場合、介在要素は存在しない。要素間の関係を記述するのに使用される他の文言（例えば、「間に」に対して「直接的に間に」、「隣接する」に対して「直接隣接する」等）も同様の態様で解釈されるべきである。

ここで使用される専門用語は具体的実施例を説明する目的のために存在し、本発明を限定することが意図されているわけではない。ここで使用される、単数形「１つの、或る（ａ）」「１つの、或る（ａｎ）」及び「その、該、前記（ｔｈｅ）」は、明示的に否定しない限り複数形も同様に含むことが意図されている。文言「備える」、「備えている」、「含む」及び／又は「含んでいる」は、ここで使用される場合、述べられる特徴、完全体、ステップ、動作、要素、及び／又は構成部材の存在を特定するが、１以上の他の特徴、完全体、ステップ、動作、要素、構成部材及び／又はそのグループの存在及び追加を除外するわけではない。

なお、幾つかの代替の実施例において、記載される機能／挙動は図面に示される順序以外でも起こり得る。例えば、連続して示す２つの図は実際にはほぼ同時に実行されることもあるし、又は関与する機能／挙動に依存して逆の順序で行われることもある。

シグナリング攻撃及びエネルギー攻撃のような多くのセキュリティ上の脅威及びネットワークの異常はＩＰレイヤの活動によって引き起こされるが、無線レイヤネットワーク構成要素にも影響を及ぼす。しかし、これらの攻撃は、下層の無線レベルの状態を知ることなしにＩＰレベルで検出することはできない。さらに、攻撃のソースは、無線レイヤ情報をＩＰレイヤと相関付けずには無線レイヤ情報を用いて特定することはできない。従って、本発明はＩＰレイヤネットワークトラフィックを下層の無線レイヤネットワーク要素と相関付ける態様を提供する。

図２は、本発明の実施例による図１の従来のＵＭＴＳネットワークとの関連で使用される相関モジュールを示す。

図示するように、相関モジュール２００はＲＮＣ１２３及びＧｎインターフェイス１３５から情報を収集する。相関モジュール２００はＲＮＣアナライザ２１０、Ｇｎスヌープユニット２２０、及びマッピングユニット２３０を含む。ＲＮＣアナライザ２１０はＲＮＣユニット１２３から情報を収集し、Ｇｎスヌープユニット２２０はＧｎインターフェイス１３５から情報を収集する。マッピングユニット２３０はＲＮＣアナライザ２１０及びＧｎスヌープユニット２２０の両方に接続される。

ＲＮＣアナライザ２１０はＲＮＣ１２３からの情報を収集及び解析する。移動局１１１は所望のサービスに接続することを望むとき、移動局１１１はコールセットアップ要求メッセージをノードＢ１２１に送信し、それが対応のＲＮＣ１２３によって処理される。ＲＮＣ１２３は、ＵＭＴＳネットワークについての関連のサービス・エリア・アイデンティティ（ＳＡＩ）又はＧＳＭネットワークについての関連のセルグローバル識別（ＣＧＩ）を含む、移動局１１１に関する所定の情報を追跡する。一般に、ＳＡＩ／ＣＧＩ測位技術は、対象となる特定の移動体加入者の公衆地上移動体ネットワークＩＤ、位置エリアコード及びサービスエリアコードを識別することによって、移動体加入者が位置する現在のセルを特定する。ＳＡＩ／ＣＧＩは、移動局１１１の物理的位置を特定するために使用され、それによって移動体インターネット等の種々の位置関連サービスが提供されることが可能となる。この情報は全てのアクティブコールについてＲＮＣ１２３構成ファイルに保持される。

ＲＮＣアナライザ２１０はＲＮＣ１２３から準備データの静的テーブルを引き出す。ここで使用する静的テーブルとは、動的テーブルと比べて相対的に遅く変化するものである。例えば、ＲＮＣアナライザ２１０はその構成ファイルに記憶された情報についてＲＮＣ１２３を照会することができる。或いは、ＲＮＣアナライザ２１０は、例えば第３者ソースから、準備データの手動入力を受信することができる。準備データはＲＮＣ１２３によってどのようなＳＡＩ／ＣＧＩがサービングされるのかをマッピングする。説明の目的のために図２には単一のＲＮＣ１２３及び単一の移動局１１１を示すが、当業者であれば、複数のＲＮＣが所与のネットワークに存在し得ること、及び複数又はゼロの移動局が各ＲＮＣに接続され得ることが分かるはずである。従って、概略として、ＲＮＣアナライザ２１０は、所与のネットワークにおける全ての関連ＲＮＣからのＳＡＩ／ＣＧＩ情報を含む準備データを収集する。

図３は説明の目的のために示された選択構成要素によって例示のネットワーク３００を示す。図示するように、第１及び第２の移動局３０１及び３０２は共通の第１のノードＢ３１１及び関連の第１のＲＮＣ３２１と通信する。第１のＲＮＣ３２１は第１のＳＧＳＮ３３１を介してＧＰＲＳサービスにアクセスする。第３の移動局３０５は第２のノードＢ３１３及び関連の第２のＲＮＣ３２３と通信する。第２のＲＮＣ３２３は第１のＳＧＳＮ３３３を介してＧＰＲＳサービスにアクセスする。当業者であれば、各ＳＧＳＮは２以上のＲＮＣをサービングすることができること、及び所与のＲＮＣはいずれかの移動局とアクティブに通信できないことが分かるはずである。例えば、第３のノードＢ３１５は第３のＲＮＣ３２５に接続され及び関連付けられる移動局がないものとして示される。第３のＲＮＣ３２５はまた、第２のＳＧＳＮ３３３を介してＧＰＲＳサービスにアクセスする。

図４に、本発明の実施例によるＲＮＣアナライザによって構成された図３のネットワーク構成部材についての例示の準備データを示す。図示するように、テーブルはネットワーク内のユーザ位置情報（ＳＡＩ／ＣＧＩ）及び対応のＲＮＣをマッピングする。図３への参照とともに図４の例では、ＲＮＣ１として特定される第１のＲＮＣ３２１は位置１として特定される第１の位置（ＳＡＩ／ＣＧＩ）をサービングする。ＲＮＣ２として特定される第２のＲＮＣ３２３は位置２として特定される第２の位置（ＳＡＩ／ＣＧＩ）をサービングする。ＲＮＣ３として特定される第１のＲＮＣ３２５は位置３として特定される第３の位置（ＳＡＩ／ＣＧＩ）をサービングする。このマッピングは各関連する追加のＲＮＣに対して続く。図２を参照すると、このテーブルはＲＮＣアナライザ２１０によってマッピングユニット２３０に送信される。

図２に戻ると、Ｇｎスヌープユニット２２０はＳＧＳＮ１３１とＧＧＳＮ１３３の間のＧｎインターフェイス１３５からデータを収集及び解析する。説明の目的のために図１及び２では単一ＳＧＳＮを示すが、当業者であれば、複数のＳＧＳＮが対応する数の個別のＧｎインターフェイスを用いて所与のＧＧＳＮに接続できることが分かるはずである。従って、Ｇｎスヌープユニット２２０は説明の目的のために単一のＧｎインターフェイス１３５を調査するものとして示すが、Ｇｎスヌープユニット２２０は複数のＧｎインターフェイスを同時に調査することができる。

Ｇｎインターフェイスは、ＧＴＰ制御プレーン（ＧＴＰ−ｃ）及びＧＴＰユーザプレーン（ＧＴＰ−ｕ）メッセージを含むＧＰＲＳトンネリングプロトコル（ＧＴＰ）を用いて通信をサポートする。ＧＴＰ−ｃメッセージは無線シグナリングについての情報を搬送するために使用され、一方、ＧＴＰ−ｄメッセージはカプセル化されたＩＰデータトラフィックを搬送するために使用される。

移動体装置１１１が、例えば、インターネットとの接続を介してｅメールをチェックするために新たなデータセッションを開始したいと望むとき、新たなパケットデータプロトコル（ＰＤＰ）コンテキストがＧＴＰ−ｃパケットを用いて確立される。ＰＤＰコンテキストは、加入者がアクティブなセッションを行っているときの加入者のセッション情報を含むデータ構造体である。移動局１１１はＧＰＲＳサービスを使用したいときに、その対応のＳＧＳＮ１３１とのＰＤＰコンテキストを確立する。新たなＰＤＰコンテキストが確立されると、ＳＧＳＮ１３１は作成ＰＤＰコンテキスト要求メッセージをＧＧＳＮ１３３に送信する。ＧＧＳＮ１３３は作成ＰＤＰコンテキスト応答メッセージを返す。

成功したＰＤＰコンテキスト作成について、要求／応答メッセージのペアは通常、以下のフィールド：国際移動体加入者識別（ＩＭＳＩ）、国際移動体機器識別（ＩＭＥＩ）、ユーザ位置情報（ＳＡＩ又はＣＧＩ）、エンドユーザアドレス（ＩＰ Ａｄｄｒ.）、トンネル・エンドポイント識別子（ＴＥＩＤ）、及びＳＧＳＮアドレスを含む。Ｇｎスヌープユニット２２０はＧｎインターフェイス１３５を調査し、ＳＧＳＮ１３１とＧＧＳＮ１３３との間で渡されるＧＴＰ−ｃパケットからＰＤＰコンテキスト情報を復号して、各ＰＤＰコンテキストについての上記の情報を収集する。ＰＤＰコンテキスト情報がＧＴＰ−ｃパケットから復号されると、Ｇｎスヌープユニット２２０は、上記に列挙した各アクティブなデータセッションから引き出された情報フィールドをマッピングユニット２３０に渡す。

図５に、図３の例示のネットワーク構成部材についてＧｎスヌープユニット２２０によって調査されたデータから端末、ＰＤＰコンテキスト情報及びＳＡＩ／ＣＧＩ情報をマッピングする例示のテーブルを示す。図３への参照とともに図５に示すように、移動体３０１に対応する第１の端末ＩＭＥＩ１は、調査されたＰＤＰコンテキスト情報「ａｂｃ」を用いてＳＡＩ／ＣＧＩ位置１にマッピングされる。移動体３０３に対応する第２の端末ＩＭＥＩ２は、調査されたＰＤＰコンテキスト情報「ｄｅｆ」を用いてＳＡＩ／ＣＧＩ位置１にマッピングされる。移動体３０５に対応する第２の端末ＩＭＥＩ３は、調査されたＰＤＰコンテキスト情報「ｘｙｚ」を用いてＳＡＩ／ＣＧＩ位置２にマッピングされる。ＰＤＰコンテキスト情報フィールド「ａｂｃ」、「ｄｅｆ」、「ｘｙｚ」等は、実際には、ネットワーク・サービス・アクセス・ポイント識別子（ＮＳＡＰＩ）等のような種々の調査されたＧＴＰ−ｃメッセージに対する識別子を表すことができる。ＰＤＰコンテキスト情報は、上記のＩＭＳＩ、ＩＰ Ａｄｄｒ.、ＴＥＩＤ、及びＳＧＳＮ Ａｄｄｒ.フィールドをさらにマッピングするために使用される。移動体３０１及び移動局３０３はここでは同じＳＡＩ／ＣＧＩ位置を有するものとして図示されているが、各ＲＮＣは２以上のサービスエリア又はセルをサービングでき、従って、共通のＲＮＣを共有する移動局は実際には異なるＳＡＩ／ＣＧＩ位置情報を有することもある。

マッピングユニット２３０は、ＲＮＣアナライザ２１０とＧｎスヌープユニット２２０によって提供された情報間で共通の隣合うフィールドとしてＳＡＩ又はＣＧＩフィールドを用いて、ＩＰレイヤトラフィックを下層の無線レイヤネットワーク構成部材に相関付ける。この態様において、マッピングユニット２３０は各接続している移動局をその対応のＲＮＣ、ＩＭＳＩ、ＩＭＥＩ、ＳＡＩ／ＣＧＩ、ＩＰ Ａｄｄｒ.、ＴＥＩＤ、及びＳＧＳＮ Ａｄｄｒ.にマッピングする動的テーブルを作成する。

図６に、本発明の実施例による、対応のＩＰレイヤトラフィックに図３の構成部材をマッピングし、マッピングユニットによって構築される例示のダイナミック相関テーブルを示す。テーブルでは、無線レイヤ構成部材とＩＰレイヤトラフィックのマッピングは、ＩＭＳＩ、ＲＮＣ、ＳＡＩ／ＣＧＩ、ＩＭＥＩ、ＩＰ Ａｄｄｒ.、ＴＥＩＤ、及びＳＧＳＮ Ａｄｄｒ.を含む上記の情報フィールドの各々を用いて構成される。例えば、移動局３０１は、図５に示すようにＧｎスヌープユニット２２０によってＩＭＥＩ１及びＰＤＰコンテキスト情報（そこからＩＭＳＩ１、ＩＰ Ａｄｄｒ.１、ＴＥＩＤ１、及びＳＧＳＮ１が引き出される）にマッピングされると、さらに図４の準備データからＲＮＣ１にマッピングされる。残りの移動局３０３及び３０５も同様の態様でマッピングされる。

従って、説明したＰＤＰコンテキストは、それらに対応付けられた固有のＩＰアドレスを有する１次ＰＤＰコンテキストであったことになる。一方、２次ＰＤＰコンテキストは他のＰＤＰコンテキストとＩＰアドレスを共有する。２次ＰＤＰコンテキストは（ＩＰアドレスを共有するために）既存のＰＤＰコンテキストに基づいて作成され、異なるサービス品質（ＱｏＳ）要件を有し得る。さらに、更新ＰＤＰコンテキスト及び削除ＰＤＰコンテキスト情報等の他のＰＤＰコンテキスト情報が、特定のＧＰＲＳセッションを変更するためにＳＧＳＮ１３１とＧＧＳＮ１３３の間で交換され得る。これらのメッセージはまた、ＩＰレイヤ及び無線レイヤトラフィックの動的マッピングが更新済みで現在のものであることを保障するために、上述の態様と同様に、Ｇｎスヌープユニット２２０によって調査され、解析され、及びマッピングユニット２３０に渡される。

より詳細を後述するように、これらの相関テーブルはネットワーク攻撃／異常の検出についての重要な入力を提供する。

図７に、本発明の実施例による、ＩＰレイヤと無線レイヤトラフィックを相関付ける方法を示す。

図２及び７を参照すると、ステップＳ７１０において、各ＲＮＣ１２３によってサービングされるＳＡＩ／ＣＧＩ等の準備データがＲＮＣ１２３から収集される。ステップＳ７２０において、各ＲＮＣ１２３がその対応のＳＡＩ／ＣＧＩにマッピングされる。上述したように、このマッピングは無線レイヤ構成部材についての情報を提供する。

ステップＳ７３０において、ネットワーク内のＩＰトラフィックについての情報を取得するために、各Ｇｎインターフェイス１３５を伝搬するＧＴＰパケットが調査される。ステップＳ７４０において、抜き取られたＧＴＰメッセージが復号される。上述のように、各Ｇｎインターフェイス１３５にわたってＧＴＰ−ｃパケットを用いて移送されているＰＤＰコンテキスト情報は、ＩＭＳＩ、ＩＭＥＩ、ユーザ位置情報（ＳＡＩ又はＣＧＩ）、エンドユーザアドレス、ＴＥＩＤ、及びＳＧＳＮアドレスフィールド等のＩＰトラフィックについての情報を含む。

ステップＳ７５０において、ＧＴＰパケットから復号されたＰＤＰコンテキスト情報フィールドは各ＲＮＣ１２３から収集されたデータに相関付けられる。上述したように、データの両セットはＳＡＩ／ＣＧＩフィールドを含み、従ってＳＡＩ／ＣＧＩフィールドを共通リンクとして用いて、ネットワークにおけるＩＰトラフィックを下層の無線レイヤ構成部材にマッピングするテーブルが作成される。

相関テーブルを動的にするために、それは現在のＩＰレイヤトラフィック及び無線レイヤ構成部材情報で定常的に更新される。図７に示すように、ステップＳ７５０において復号されたＧｎインターフェイス情報及びＲＮＣ準備データが相関付けられて相関テーブルを形成すると、処理は収集ステップであるステップＳ７１０及び調査ステップであるステップＳ７２０に戻る。従って、本発明の実施例による方法は、ＩＰレイヤトラフィックを下層の無線レイヤネットワーク要素に動的に相関付けるための方法を提供する。

以前に示唆したように、本発明の実施例によって引き出された上述のＩＰと無線レイヤの相関情報はネットワークセキュリティの脅威を緩和する際に使用できる。例えば、相関情報は無線ネットワークを標的とする悪意あるトラフィックを送信する特定のインターネットホストを特定するのに使用できる。周知のシグナリング攻撃にあるように、加入者が過度のシグナリングパケットをあてられた場合、攻撃のソースは、図６の例で示したように、無線レイヤとＩＰレイヤをブリッジするための相関テーブルを用いて悪意あるインターネットホストに辿り着くことができる。

またさらに、相関テーブルは、特定のＲＮＣ又は移動局を標的とするデータトラフィックからの攻撃を検出するために使用できる。例えば、所与の攻撃に責任を持つＧＴＰ−ｄパケットはＴＥＩＤ及びＩＰ Ａｄｄｒ.についての情報を含むので、これらのパケットが解析されると、攻撃の標的とされている特定の移動局及びＲＮＣは相関テーブルを用いて求めることができる。さらに、所与のＧＧＳＮとインターネットの間のＧｉインターフェイス１３７として図１に示すＧｉインターフェイス上の潜在的に有害なデータパケットは、標的とされた移動局についてのＩＰ Ａｄｄｒ.フィールドを含む。従って、これらのパケットはまた、相関テーブルを用いて標的とされた移動局及び横断するＲＮＣについて解析されることもできる。

図２を参照すると、さらなる例として、加入者のＩＰアドレスの特定を含む、攻撃トラフィックをＧＰＲＳコアネットワーク１３０を介して他の移動局１１１に送信する服従した加入者も特定することができる。特定のＩＰフロー、例えば、ウェブセッションを搬送するＲＮＣ１２３、ＳＧＳＮ１３１及びＧＧＳＮ１３３も特定することができる。

本発明による相関システム及び方法は、より大きいネットワークセキュリティ防御システムの一部として実施することもできる。

以上に実施例を説明したが、同じことが他の態様で変更され得ることは明らかである。例えば、本発明はネットワークセキュリティに排他的に適用される必要はない。本発明は、他の情報の中でもとりわけ、入着ＩＰトラフィックによって影響を受けるネットワークリソース（例えば、移動体バッテリ、ＲＮＣ）を特定する方法を提供し、それは多くの非セキュリティアプリケーションにおいて本来的に有用である。

そのような変形例は本発明の意図される精神と範囲から逸脱するものとしてはみなされず、当業者には明らかなそのような全ての修正例は以降の特許請求の範囲内に含まれることが意図される。

Claims (10)

1. ネットワークにおいてＩＰレイヤトラフィックと無線レイヤネットワーク要素を相関付けるための相関モジュール（２００）であって、
   少なくとも１つの無線ネットワークコントローラ（ＲＮＣ）から無線レイヤネットワーク要素情報を収集し、前記収集された無線レイヤネットワーク要素情報に基づいてユーザ位置情報と前記ＲＮＣの間を関連付けるよう構成されたＲＮＣアナライザ（２１０）、
   サービング凡用パケット無線サービス（ＧＰＲＳ）サポートノードとゲートウェイＧＰＲＳサポートノードの間の少なくとも１つのインターフェイスから無線レイヤネットワーク要素情報及びインターネットプロトコル（ＩＰ）レイヤトラフィック情報を収集するよう構成されたインターフェイススヌープユニット（２２０）、及び
   前記収集されたＩＰレイヤトラフィック情報及び前記ユーザ位置情報と前記ＲＮＣの間の関連に基づいて前記ネットワークにおける前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素をマッピングするよう構成されたマッピングユニット（２３０）
   を備えた相関モジュール。
2. 請求項１の相関モジュールにおいて、前記ＲＮＣによって収集された前記無線レイヤネットワーク要素情報が、各ＲＮＣによってサービングされる少なくとも１つのサービス・エリア・アイデンティティ又はセルグローバル識別を特定する準備データを含む、相関モジュール。
3. 請求項１の相関モジュールにおいて、前記インターフェイススヌープユニットが、各Ｇｎインターフェイスにわたって送信されるＧＰＲＳトンネリングプロトコルメッセージからＰＤＰコンテキスト情報を復号することによって前記無線レイヤネットワーク要素情報及び前記ＩＰレイヤトラフィック情報を収集する、相関モジュール。
4. 請求項１の相関モジュールにおいて、前記ＲＮＣアナライザによって収集された情報及び前記インターフェイススヌープユニットによって収集された情報各々がサービス・エリア・アイデンティティ又はセルグローバル識別フィールドを含み、前記マッピングユニットが共通のフィールドとして該サービス・エリア・アイデンティティ又はセルグローバル識別フィールドを用いて、前記収集されたＩＰレイヤトラフィック情報及び前記収集された無線レイヤネットワーク要素情報から前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素をマッピングする、相関モジュール。
5. 請求項１の相関モジュールにおいて、前記マッピングユニットが、前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素のマッピングを継続的に更新する、相関モジュール。
6. ネットワークにおいてＩＰレイヤトラフィックと無線レイヤネットワーク要素を相関付ける方法であって、
   少なくとも１つのＲＮＣから無線レイヤネットワーク要素情報を収集するステップ（Ｓ７１０）、
   前記収集された無線レイヤネットワーク要素情報に基づいてユーザ位置情報と前記ＲＮＣの間を関連付けるステップ（Ｓ７２０）、
   サービングＧＰＲＳサポートノードとゲートウェイＧＰＲＳサポートノードの間の少なくとも１つのＧｎインターフェイスから無線レイヤネットワーク要素情報及びＩＰレイヤトラフィック情報を収集するステップ（Ｓ７３０）、及び
   前記収集されたＩＰレイヤトラフィック情報及び前記ユーザ位置情報と前記ＲＮＣの間の関連に基づいて前記ネットワークにおける前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素をマッピングするステップ（Ｓ７５０）
   を備える方法。
7. 請求項６の方法であって、さらに、
   少なくとも１つのＲＮＣアナライザから収集された前記無線レイヤネットワーク要素情報に含まれる準備データに基づいて各ＲＮＣによってサービングされる少なくとも１つのサービス・エリア・アイデンティティ又はセルグローバル識別を特定するステップ
   を備える方法。
8. 請求項６の方法において、前記少なくとも１つのインターフェイスから収集された情報が、ＧＰＲＳトンネリングプロトコルメッセージを用いて各インターフェイスを横断して送信されたパケットデータプロトコル（ＰＤＰ）コンテキスト情報から復号される、方法。
9. 請求項６の方法において、前記少なくとも１つのＲＮＣから収集された情報及び前記少なくとも１つのＧｎインターフェイスから収集された情報各々がサービス・エリア・アイデンティティ又はセルグローバル識別フィールドを含み、前記マッピングするステップが、共通のフィールドとして該サービス・エリア・アイデンティティ又はセルグローバル識別フィールドを用いて、前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素をマッピングする、方法。
10. 請求項６の方法であって、さらに、
    前記ＩＰレイヤトラフィックと前記無線レイヤネットワーク要素のマッピングを継続的に更新するステップ
    を備える方法。

Images