JP5320458B2 - パケットベースのネットワークのための攻撃保護 - Google Patents

Description

本発明は、パケットベースのネットワークを攻撃から保護するための方法および保護ユニット、こうした保護ユニットを備える、パケットベースのネットワークのためのセキュリティ境界ノード、ならびに少なくとも２つのこうした保護ユニットを備えるパケットベースのネットワークに関する。

本発明は、通信／コンピュータネットワークなど、パケットベースのネットワーク、特にコアネットワークをどんな種類の攻撃に対しても保護することに関する。コアネットワークは、ＴＩＳＰＡＮ（Ｔｅｌｅｃｏｍｓ＆Ｉｎｔｅｒｎｅｔ ｃｏｎｖｅｒｇｅｄ Ｓｅｒｖｉｃｅｓ ＆ Ｐｒｏｔｏｃｏｌｓ ｆｏｒ Ａｄｖａｎｃｅｄ Ｎｅｔｗｏｒｋｓ：高度ネットワークのための通信＆インターネットコンバージドサービス＆プロトコル）、１つまたは複数の参加者とのセッションを作成、変更および終了するためのセッション開始プロトコル（ＳＩＰ：Ｓｅｓｓｉｏｎ Ｉｎｉｔｉａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）などのアプリケーション層制御（シグナリング）プロトコルを使用したＩＭＳ（ＩＰマルチメディアサブシステム）を備えたそれぞれの次世代ネットワーク（ＮＧＮ：ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ ｎｅｔｗｏｒｋ）アーキテクチャを使用して実装され得る。こうしたコアネットワークでは、攻撃は、様々な層（ＩＰ、トランスポート、アプリケーション層まで）で生じることがあり、攻撃戦略は様々であり得る。具体的には、コアネットワークの境界ノード内のアプリケーションプロトコルスタックは、非常に危険にさらされ、したがって、とりわけ正常に動作するユーザ／装置のためにシステム全体の要求された高い可用性を達成するための保護機構が求められている。本発明は、ＳＩＰシグナリングを用いたＮＧＮ／ＩＭＳ／ＴＩＳＰＡＮネットワークに限定されないが、他のタイプのシグナリングプロトコル、たとえばＳＯＡＰ（Ｓｉｍｐｌｅ Ｏｂｊｅｃｔ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ：簡易オブジェクトアクセスプロトコル）を使用したすべてのタイプのＩＰネットワークに関することが理解されよう。

上述されたタイプのコアネットワーク１が、図１に示されている。コアネットワーク１は、コアネットワーク１をアクセスネットワーク３に接続するための複数の（セキュリティ）境界ノード２ａから２ｆを有し、これらの境界ノードはそれ自体、エンドユーザ装置４に接続される。境界ノード２ａから２ｆの一部は、コアネットワーク１を他のコアネットワーク（図示せず）に接続するためにも使用され得る。境界ノード２ａから２ｆにおいて、潜在的に危険なトラフィックから即座に有効と識別するセキュリティポリシーが適用される必要がある。識別された不正トラフィックは、下記ではシグネチャとも呼ばれる（識別データシーケンス、または別の識別シグネチャパターンを提供することによって）ブロックされる必要がある。

現在のセキュリティ解決策は、新しい攻撃パターンに高速であるが適応可能ではないシグネチャ検出に基づいており、または／かつ適用可能ではあるが高い処理負荷を引き起こす分類ベースの検出アルゴリズムを使用している。さらに、セキュリティ戦略は現在、それぞれ単一の個々のセッション境界コントローラ（ＳＢＣ：Ｓｅｓｓｉｏｎ Ｂｏｒｄｅｒ Ｃｏｎｔｒｏｌｌｅｒ）またはセキュリティ境界ノードに集中している。

本発明の目的は、パケットベースのネットワークを攻撃から保護するための方法および保護ユニット、こうした保護ユニットを備えるセキュリティ境界ノード、ならびに少なくとも２つのこうした保護ユニットを備えるネットワークを提供することであり、そのすべてが、パケットベースのネットワークを攻撃から効率的に保護することを可能にする。

この目的は、上述された方法によって達成され、この方法は、パケットストリームのシグネチャを以前に識別された攻撃のシグネチャのセットと比較することによって攻撃を検出するために、ネットワークのセキュリティ境界ノードで受信されたパケットストリームに対するシグネチャ解析を実施するステップと、パケットストリーム内の異常を検出するために、パケットストリームの少なくとも一部に対する異常検出、具体的には統計解析を実施するステップと、パケットストリーム内の異常が検出されたときにシグネチャセットを更新するステップとを備え、更新されたシグネチャセットがその後に、シグネチャ解析を実施するために使用され、更新されたシグネチャセットの各シグネチャが、ネットワークの少なくとも１つのさらなる、好ましくはそれぞれのさらなるセキュリティ境界ノードに配信される。

本発明は、ファイアウォールおよびシグネチャベースの保護論理を異常検出で拡張することを提案し、それは、データストリーム（デジタル信号）のブロックの解析を一般に実施する分類ベースの統計解析、またはたとえば機械学習アルゴリズムに基づく別のタイプの粒度解析として実施されてよい。一般に、１バイトまたはマルチバイトのアナライザが、異常検出のために統計解析を実施するのに使用され得る。次いで、検出された異常は、シグネチャ干渉エンジンに報告され、このシグネチャ干渉エンジンは、統計解析の分類結果を新しいシグネチャセットに変換することによってシグネチャまたは検出論理の更新を導出する。このようにして、新しい攻撃を検出するための処理の負担は、処理負荷が減少され得るようにファイアウォールおよびシグネチャ検出にシフトされ得る。

１つまたは複数の新しいシグネチャおよび検出論理が何らかの検証テストを通過した後、生成された構成ファイルは、他のセキュリティ境界ノードにプッシュされてよく、他のセキュリティ境界ノードのセキュリティ機能に適用され、したがって、新しく導出された攻撃ブロック戦略がパケットベースのネットワークのセキュリティ境界ノード間で自動的に配信される。

非常に好ましい変形形態では、この方法は、アプリケーション層制御メッセージ、具体的にはパケットストリームのセッション開始プロトコル、ＳＩＰ、メッセージに対する異常検出を実施するステップをさらに備え、シグネチャセットの更新が、異常検出の結果を考慮に入れる。アプリケーション層でだけ検出され得る攻撃については、アプリケーション層制御スタック、具体的にはＳＩＰスタックは、どんな異常をも報告するインターフェースを有することもできる。これらの異常は、適切なシグネチャを決定するためにシグネチャ干渉エンジン内でも調査され、それによって、保護論理の第１の非常に早い段階（「ＦＷ」、「シグネチャ」）でこれらのメッセージを検出することが可能になる。

好ましくは、この方法は、攻撃検出および／または異常検出のセキュリティ閾値を使用してシグネチャ解析および／または異常検出の感度を制御するステップをさらに備え、セキュリティ閾値が好ましくは、攻撃の少なくとも１つの特性、具体的には時間単位当たりの検出された攻撃の数に依存して調整される。具体的には、適切な制御ソフトウェアによって設定され得る攻撃表示を生成するための閾値レベルは、コンピュータネットワークの履歴および／または現在の状況に基づいて制御されてよい。

この変形形態の好ましい改良物では、統計解析は、並列のマルチシーケンスバイト解析として実施され、バイトシーケンス解析の重みが、現在の攻撃状況に基づいて、セキュリティインスタンスによってセキュリティ閾値に依存して制御される。バイト解析の形の統計解析は、解析の各サイクルの間に１バイトだけシフトされるスライディングウィンドウを使用して、いわゆるｎグラム、すなわち所与のシーケンス（一般には文字列）のｎアイテム（一般にはバイト）のシーケンスに対して実施される。並列マルチシーケンスバイト解析では、それぞれ異なるサイズのｎグラム、たとえばユニグラム（サイズ１）、バイグラム（サイズ２）などの解析を実施する複数の並列アナライザが使用される。並列アナライザの解析の結果は、セキュリティ閾値に依存して結果に重み付けする決定器に提供される。

上述された方法は好ましくは、上述されたステップを実施するコード手段を備えるコンピュータプログラム製品で実施されてよい。具体的には、この方法は、ソフトウェアとして実施されてもよいし、または適切なハードウェアコンポーネント（ＡＳＩＣなど）で実施されてもよい。

本発明の第２の態様は、ネットワークのセキュリティ境界ノードで受信されたパケットストリームを解析し、パケットストリームのシグネチャを以前に識別された攻撃のシグネチャセットと比較することによって攻撃を検出するシグネチャアナライザと、パケットストリーム内の異常を検出する異常検出器、具体的には統計アナライザと、パケットストリーム内の異常が検出されたときにシグネチャセットを更新するシグネチャ干渉ユニットであって、更新されたシグネチャセットがその後に、シグネチャ解析を実施するシグネチャアナライザによって使用される、シグネチャ干渉ユニットと、更新されたシグネチャセットの少なくとも１つのシグネチャを、ネットワークの少なくとも１つのさらなる、好ましくはそれぞれのさらなるセキュリティ境界ノードに配信する配信ユニットとを備える、パケットベースのネットワークを攻撃から保護する保護ユニットで実施される。

専用のシグネチャは、シグネチャファイルのサイズを制限することを可能にする有効期間表示を有することができる。シグネチャ干渉ユニットは、保護論理を直ちに更新できるようにバイト解析および対応するシグネチャからの攻撃報告の情報タプルを格納することができる。このようにして、パケットベースのネットワークの１つのまたは限られた数のネットワークポートで検出された攻撃からネットワークを保護するためのシグネチャがすべてのネットワークポートに速く配信され、したがって、複数のノードに渡って保護の性能および品質が向上する。具体的には、検出されたシグネチャのデータベースをインターネットなどのグローバルネットワーク内にインストールすることも可能であってよく、データベースは、他のプロバイダによって運営されているネットワークのセキュリティ境界ノードに新しいシグネチャも配信され得るように、複数のネットワークプロバイダからアクセスすることができる。近い時間相関性を有しており、その内容にも相関性がある２つ以上の異常を検出することによって、シグネチャセットの更新の信頼性が高まり得ることが理解されよう。

非常に好ましい実施形態では、保護ユニットは、パケットストリーム内に含まれたアプリケーション層制御メッセージ、具体的にはＳＩＰメッセージに対して異常検出を実施するためのシグナリングスタック、好ましくはＳＩＰスタックをさらに備え、シグネチャ干渉ユニット内のシグネチャセットの更新は、異常検出の結果を考慮に入れる。したがって、アプリケーション層でしか検出され得ない攻撃も、シグネチャセットの更新のために考慮に入れられ得る。

別の非常に好ましい実施形態では、保護ユニットは、攻撃検出および／または異常検出のセキュリティ閾値を使用してシグネチャアナライザおよび／または異常検出器の感度を制御する制御ユニットをさらに備え、セキュリティ閾値が好ましくは、攻撃の少なくとも１つの特性に依存して、具体的には事前定義された時間間隔の間に検出された攻撃の数に基づいて調整される。このようにして、セキュリティ感度は、攻撃履歴および攻撃に関する現在の状況に基づいて制御され得る。攻撃のさらなる特徴は、特定のタイプの攻撃がネットワークにもたらし得る損害であることがあり、セキュリティレベルが、１つまたは複数の特に危険な攻撃が検出された場合に増加される。

さらなる好ましい実施形態では、統計アナライザは、並列のマルチシーケンスバイトアナライザであり、バイトシーケンス解析の重みが、セキュリティ閾値に依存して制御される。一般に、偽警告を減少させるために、より大きいサイズを有するｎグラムの解析結果には、より小さいサイズを有するｎグラムの解析結果と比べてより高い重みが与えられる。

別の非常に好ましい実施形態では、保護ユニットは、データストリーム内に含まれたアプリケーション層制御メッセージを処理するためのセキュリティ保護されたシグナリングスタック、具体的にはセキュリティ保護されたＳＩＰスタックをさらに備え、セキュリティ保護されたシグナリングスタック内で処理されなければならないメッセージに関する決定が好ましくは、セキュリティ閾値に依存して行われる。異常が検出される場合のサービスの失敗を防ぐために、セキュリティ境界ノードは、異常なメッセージ、一般にはＳＩＰメッセージを、いわゆる「サンドボックス」環境内でセキュリティ保護される低優先度のＳＩＰスタックにディスパッチしてよい。セキュリティ保護されたＳＩＰスタック内の処理は、ＳＩＰメッセージがいずれかの認識可能な攻撃を含むかどうか完全にチェックするのに十分な時間が与えられるように、回線速度では通常実施されない。

別の有利な実施形態では、保護ユニットは、メッセージに関する、具体的には、異常検出が実施されなければならないデータストリーム内に含まれるＳＩＰメッセージに関する決定を行う決定ユニットと、異常検出が実施されるメッセージをキューに入れるセッションキューイングユニットとをさらに備え、キューに入れられたメッセージは好ましくは、異常検出の結果に依存して廃棄されまたは処理される。決定ユニットは、メッセージが異常検出器でさらに解析されなければならないかどうか、またはシグネチャ解析の利用が十分であるかどうか決定する。決定ユニットへの入力は、メッセージのタイプ（要求／応答）、ＳＩＰ方法、メッセージの発生元であるネットワークのネットワークＩＤ、発呼ＩＤのようなＳＩＰヘッダ、前のＳＩＰメッセージまたは方法のうちの１つまたは複数に関するＳＩＰスタックからのフィードバック、あるいはトランザクションＩＤであってよい。

さらなる実施形態では、保護ユニットは、データストリームからメッセージを廃棄するためのピンホールをさらに備え、ピンホールが、統計アナライザおよび／またはシグネチャアナライザによってフィードバックループ内で制御される。ピンホールは、専用の５タプルによって識別されたメッセージ／パケットをフィルタリング除去することを可能にし、フィルタリングされるトラフィックの量は、統計アナライザおよび／またはシグネチャアナライザによって適用されるセキュリティ閾値に依存する。

本発明の第３の態様は、上述されたタイプの保護ユニットを備える、パケットベースのネットワーク用のセキュリティ境界ノードで実施される。複数の分散型セキュリティ／境界ノードで実行される検出アルゴリズムによって、全体的な検出精度を向上させるために機械学習情報またはフロー指向のパターンが配信され、したがって、セキュリティ情報のノード間相関を実施することができる。こうしたノード間の相関を実施する１つのやり方は、各セキュリティ境界ノードがそれ自体の保護ユニットを備える場合に可能である、セキュリティ境界ノード間のピアツーピア情報交換である。

本発明の第４の態様は、上述されたタイプの少なくとも２つの保護ユニットを備えるパケットベースのネットワーク内で実施され、保護ユニットは、コンピュータネットワークのコンバージドネットワークセキュリティインスタンス内に好ましくは配置される共通のシグネチャ干渉ユニットを有する。このようにして、提示されたファイアウォールアーキテクチャは、クロスオペレータドメインのセキュリティエンティティ（ネットワークセキュリティインスタンス）の導入によって向上され得る。この主制御エンティティは、複数のサイトのセキュリティ関連情報を収集し、処理し、再配信することを可能にする。この場合も、すべての使用可能な情報を相関させるために、機械学習アルゴリズムが実装されてよい。

さらなる特徴および利点は、かなりの詳細を示す図面の諸図を参照して、例示的な実施形態についての以下の説明に述べられており、また特許請求の範囲に定義されている。個々の特徴は、それ自体によって個々に実施されてもよいし、そのうちの一部が、任意の所望の組合せで実施されてもよい。

例示的な実施形態が、略図に示されており、以下の記述において説明される。以下の図が示される。

複数のセキュリティ境界ノードを備えた、本発明によるパケットベースのネットワークの一実施形態の概略図である。 適応分散型セキュリティループアーキテクチャを有する保護ユニットとして働く、本発明のセキュリティ境界ノードの一実施形態を示す図である。 適応分散型セキュリティループアーキテクチャを共に実施するコンバージドシグネチャ干渉ユニットおよびセキュリティ境界ノードを備えた保護ユニットの一実施形態を示す図である。 追加のアプリケーション層セキュリティループを備えた、図２に示されたタイプのセキュリティ境界ノードの一実施形態を示す図である。 追加のアプリケーション層セキュリティループを備えた、図３に示されたタイプのセキュリティ境界ノードの一実施形態を示す図である。 パケットストリーム内に含まれたどのメッセージが、セキュリティ保護されたＳＩＰスタック内で処理されるべきか決定するための調整可能なセキュリティ閾値を用いたバイトアナライザを示す図である。 パケットストリーム内に含まれたどのメッセージが、セキュリティ保護されたＳＩＰスタック内で処理されるべきか決定するための調整可能なセキュリティ閾値を用いたシグネチャアナライザを示す図である。 データ経路（ａ）内で実施されるバイトシーケンス解析を示す図である。 データ経路（ｂ）外で選択されたメッセージに対して実施されるバイトシーケンス解析を示す図である。 バイトシーケンス解析の調整可能な重みを用いた並列のマルチバイトシーケンスアナライザを示す図である。 バイトアナライザとシグネチャアナライザとピンホールの間のフィードバックリンクを示す図である。 信号経路内でバイト解析が実施される、マルチ戦略セキュリティアーキテクチャを実装する保護ユニットの一実施形態を示す図である。 信号経路外でバイト解析が実施される、マルチ戦略セキュリティアーキテクチャを実装する保護ユニットのさらなる実施形態を示す図である。

図２は、図１のパケットベースのネットワーク１のセキュリティ境界ノード２ａのより詳細な図である。セキュリティ境界ノード２ａは、セキュリティ境界ノード２ａへの入力で受信されたパケットストリーム６を解析するシグネチャアナライザ５を備える。シグネチャアナライザ５は、パケットストリーム６のシグネチャを以前に識別されたシグネチャセットと比較することによって攻撃を検出する。パケットストリーム６の信号経路８でシグネチャアナライザ５の後に続くのは、バイトアナライザ７として実装された統計アナライザの形の異常検出器である。バイトアナライザ７は、パケットストリーム６内の異常を検出するために、パケットストリーム６に対する可変長バイトシーケンスの統計解析（ｎバイト解析）を実施する。

どんな異常もがシグネチャ干渉ユニット９に報告され、このシグネチャ干渉ユニット９は、検出された異常を考慮に入れて新しいシグネチャセットを計算する。セキュリティ境界ノード２ａは、修正されたシグネチャセットを、テストユニット１１に格納された１組の正確な攻撃テストパターン（図示せず）に対してテストする自動化検証ユニット１０をさらに備える。検証が成功した後、更新されたシグネチャセット１２が、シグネチャアナライザ５に提供され、このシグネチャアナライザ５はその後に、更新されたシグネチャセット１２に基づいてシグネチャ解析を実施する。上述されたようにして、保護ユニット１５は、セキュリティ境界ノード２ａで実装される。

更新されたシグネチャセット１２は、セキュリティ境界ノード２ａの配信ユニット１３にも提供され、この配信ユニット１３は、更新されたシグネチャセット１２をコアネットワーク１の他のセキュリティ境界ノード２ｂから２ｆに配信する。セキュリティ境界ノード２ａの配信ユニット１３は、他のセキュリティ境界ノード２ｂから２ｆより、更新されたシグネチャセットを受信することもでき、シグネチャアナライザ５は、セキュリティ境界ノード２ａ自体の中で、またはさらなるセキュリティ境界ノード２ｂから２ｆのいずれか１つにおいて以前に識別されたいずれかの種類の攻撃を識別することができる。このように、すべてのセキュリティ境界ノード２ａから２ｆは、ピアツーピア情報交換に基づく分散型適応セキュリティループの一部である。

シグネチャアナライザ５とバイトアナライザ７の両方が信号経路８内に配置されるので、シグネチャベースの攻撃解析は、回線速度／リアルタイムで実施され得る。したがって、上記の方法論は、各セキュリティ境界ノード２ａから２ｆ、および各入口ポートで攻撃を自律的に解析し、シグネチャセットを更新し、したがって他のすべてのセキュリティ境界ノード２ａから２ｆを攻撃に対して強化する。

図２のアーキテクチャの変形形態が図３に示されており、この図３で、シグネチャ干渉ユニット９、検証ユニット１０、テストユニット１１、および配信ユニット１３は、中央ネットワークセキュリティインスタンス１４内に配置されている。したがって、図１のコアネットワーク１を保護する分散型保護ユニット１５は、ネットワークセキュリティインスタンス１４、セキュリティ境界ノード２ａのシグネチャアナライザ５およびバイトアナライザ７によって形成される。セキュリティ境界ノード２ａだけでなく、他のセキュリティ境界ノード２ｂから２ｆもまた、そのバイト解析の結果を中央シグネチャ干渉ユニット９に報告することが理解されよう。ネットワーク１の単一の位置でシグネチャの更新を実施することによって、シグネチャの一貫性はより容易に保証されることができ、必要なリソースは減少する。

上記の戦略は、境界ノード領域に渡って拡張されてもよい。これは、適応されたすべての境界ノード（世界規模）が、より上位の階層レベルに報告を送信できることを意味し、したがって、世界規模のクロスプロダクト、恐らくはクロスプロバイダのシグネチャ干渉ユニットが、新しいシグネチャセットを生成することができ、次いで、このシグネチャセットは、すべてのセキュリティ境界ノード、またはシグネチャ解析を適用する特定の企業の製品にダウンロードされる。一実現変形形態は、各領域または製品でシグネチャ干渉ユニットを適用するものであり、新しいシグネチャが導出される場合、このシグネチャは、世界中に配信される。

セキュリティ境界ノード２ａの保護ユニット１４および分散型保護ユニット１４上のさらなるフィードバックループの実装形態が、それぞれ図４および図５に示されている。第２のフィードバックループは、ＳＩＰスタック１６で実施される、データストリーム６に含まれたＳＩＰメッセージのアプリケーション層解析に基づく。この第２のループは、バイトアナライザ７によっては識別され得ないがアプリケーション層処理を介してのみ識別され得る最初に現れる攻撃のために設計されている。ＳＩＰスタック１６は、ＳＩＰメッセージの特徴的な（非意味論的な）内容をシグネチャ干渉ユニット９に報告し、次いで、このシグネチャ干渉ユニット９は、上述されたように新しいシグネチャセットを生成する。これは、ＳＩＰスタック１６が、その不正確さが複数のヘッダフィールド間の内容においてしか明らかになり得ない意味論的に不正確なＳＩＰメッセージを識別することを意味する。ＳＩＰスタック１６は、これらの矛盾を見つけた後、関連性のあるヘッダコンテンツを含む報告を生成し、シグネチャ干渉ユニット９に報告を送信する。

追加のフィードバックループを備えた保護ユニット１５の２つのアーキテクチャ変形形態が、図４および図５に表されている。第１の変形形態では、保護ユニット１５は、セキュリティ境界ノード２ａで実装されており、第２の変形形態では、保護ユニット１５は、コンバージドネットワークセキュリティインスタンス１４を有する分散型のものである（図２と図３をも比較されたい）。両方の変形形態において、アプリケーション層レベルで攻撃を識別するための手順は、以下のとおりである：攻撃の最初の登場は、それぞれシグネチャアナライザ５またはバイトアナライザ７によって識別されない。次いで、ＳＩＰスタック１６内のＳＩＰアプリケーションレベルの意味論的処理は、攻撃を識別し、ＳＩＰメッセージから一部を抽出し、このシーケンス（および恐らくさらなるレイヤ３／レイヤ４情報）をシグネチャ干渉ユニット９に報告する。このようにして、シグネチャセットが更新された後、第２の類似のメッセージ攻撃が、シグネチャ解析ユニット５によって検出される。

図２から図５に示された例では、シグネチャアナライザ５とバイトアナライザ７の両方が調整可能なセキュリティ閾値１７ａを備えてよく、このセキュリティ閾値１７ａは、バイト解析および／またはシグネチャ解析の感度を制御する制御ユニット１７（図６および７参照）によって設定される。制御ユニット１７は、攻撃の量および／または攻撃の特性、たとえば攻撃のタイプに依存して調整可能な閾値を制御する制御ソフトウェアとして実装されてよい。このために、制御ユニット１７は、それぞれシグネチャアナライザ５、バイトアナライザ７、およびＳＩＰスタック１６の報告に含まれた情報を収集する。制御ユニット１７は、セキュリティ境界ノード２ａで実装されてよく、次いで、セキュリティ境界ノード２ａによって受信されたデータストリーム６だけに依存してセキュリティレベルを制御することができ、または制御ユニット１７は、コンバージドネットワークセキュリティインスタンス１４の一部であり、したがってセキュリティ閾値の調整のためにそれぞれ異なるセキュリティ境界ノード２ａから２ｆからの報告を考慮に入れることができる。どんな場合でも、攻撃表示を生成するための閾値レベルは、履歴および現在の攻撃状況に基づいて制御され得る。

さらに、それぞれバイトアナライザ７およびシグネチャアナライザ５について図６および図７に示されたように、閾値を超えた場合、ＳＩＰメッセージは、通常通りには処理され得ないが、セキュリティ保護されたＳＩＰスタック１８に転送されてよく、このＳＩＰスタック１８は、低い処理優先度を有する「サンドボックス」環境内で実行される。ＳＩＰメッセージが認識可能な攻撃を含まない場合、セキュリティ保護されたＳＩＰスタック１８は、そのメッセージを、正常に動作する他のいずれかのメッセージとして処理する。次いで、セキュリティ保護されたＳＩＰスタック１８の処理フィードバック（肯定／否定）が、たとえば制御ユニット１７に報告されてよく、次いで、この制御ユニット１７は、セキュリティ閾値を適応させるためにセキュリティ感度決定レベルを修正することを決定できる。

図８ａおよび図８ｂに、バイト解析を実施する２つの代替的なやり方が示されている。図８ａに表された第１の代替案では、バイトアナライザ７は、トークナイザ１９とセッションキューイングユニット２０とをさらに備えるデータ経路８内のインライン要素として提供されている。この場合、スループットがバイト解析によって減少されないので、処理労力および処理性能要件は高い。したがって、シグネチャアナライザ５、バイトアナライザ７およびトークナイザ１９のチェーンは、最大の期待メッセージレートで実行可能でなければならない。バイトアナライザ７は、「奇妙」なメッセージを示し、セッションキューイングユニット２０に、サンドボックス内で実行されているセキュリティ保護されたＳＩＰスタック１８にこれらのメッセージを送信するように指示することができる。セキュリティ保護されたＳＩＰスタック１８が攻撃、さらにはクラッシュを識別する場合、このセッションのメッセージは、フィルタ除去され、セッションキューが閉じられる。任意選択で、別のＳＩＰスタック（図示せず）が、セッションまたはクライアントを通常のやり方で閉じるためにレジストラまたはＳ−ＣＳＣＦ（サービングセッション制御機能）にメッセージを送信するようにトリガされる。

図８ｂに示された例では、バイトアナライザ７は、メッセージ経路８から外れて配置され、バイト解析は、さらなる決定ユニット２１が肯定的な結果を与える場合にだけ適用され、したがって、バイトアナライザ７は、決定ユニット２１の結果に依存して特定のＳＩＰメッセージだけを解析する。これらのＳＩＰメッセージは、セッションキューイングユニット２０が、さらなる調査が実施されるまでそれがこれらのメッセージをキューイングしなければならいことを知るように、マーク付けされる。バイトアナライザ７は、セキュリティ保護されたＳＩＰスタック１８内でメッセージのさらなる解析を実施することを決定することもできる。いずれの場合も、テスト結果は、バイトアナライザ７によって処理されたメッセージを削除し、または処理することを示すテスト結果が、セッションキューイングユニット２０に提供される。バイトアナライザ７がメッセージが処理されるべきことを示す場合、処理は、重要でない他のいずれかのメッセージと同様に実施される。この解決策の利点は、総処理労力が減少され、スループットが向上するが、この解決策の成功がシグネチャ解析の品質および調整可能なセキュリティ閾値に依存することであり、決定ユニット２１がシグネチャアナライザ５の一部である場合と同様に、セキュリティ閾値は、この決定のために考慮に入れられる。決定ユニット２１への入力は、メッセージのタイプ（要求／応答）、ＳＩＰ方法、メッセージを送信したネットワークのネットワークＩＤ、発呼ＩＤのようなＳＩＰヘッダ、前のＳＩＰメッセージまたは方法のうちの１つまたは複数に関するＳＩＰスタックからのフィードバック、あるいはトランザクションＩＤを含むこともできる。

図９は、セキュリティ閾値１７ａがバイトアナライザ７内でどのように有利に使用され得るか示しており、このバイトアナライザ７は、ディスパッチ／コピーユニット２２と、それぞれ異なる長さを有する文字列を解析する複数の文字列解析ユニット（図９には字列解析ユニット２３ａから２３ｃの３つが示されている）と、セキュリティ閾値１７ａに依存して文字列解析ユニット２３ａから２３ｃの結果に重み付けする重み付き決定器２４とを有する並列マルチバイトシーケンスアナライザとして実装され、このセキュリティ閾値１７ａは、制御ユニット１７によってバイトアナライザ５に提供され、したがって、現在の攻撃状況に基づいてバイト解析を適応させる。

図２から図８に示された例のいずれにおいても、バイトアナライザ７、シグネチャアナライザ５およびピンホール２５の間のフィードバックは、たとえば、図１０に示されるように実施されてよい：シグネチャアナライザ５は、専用５タプルから受信されたメッセージをフィルタ除去するようにピンホールブロック２５を制御し、シグネチャ解析の特定のセキュリティ閾値（図示せず）を超過する場合は、シグネチャアナライザ５だけがこの専用のブロッキングを実施する。シグネチャアナライザ５およびバイトシーケンスアナライザ７の両方が、正常に動作しない永久メッセージを示す場合、ピンホールモジュール２５は、（所与の時間の間）ピンホールを閉じるように制御されてよい。

バイトアナライザ７から、先行する機能モジュールへの類似のフィードバックも存在する。シグネチャアナライザ５へのフィードバックは、シグネチャアナライザ５からの「メッセージチェック」要求のある種の反証または検証である。これによって、専用セッションの閾値の増加または減少が可能となり、この場合、シグネチャアナライザ５は、決定ユニットとして使用されてよい。たとえば、同じセッションの間のバイトアナライザ７への複数のメッセージチェック要求が常に「攻撃識別されず」の結果をもたらす場合、シグネチャアナライザ５は、このセッションの追加チェックの実施の閾値を増加させることができる。

最後に、図１１および図１２で、図２から図１０に示された構成ブロック（ｂｕｉｌｄｉｎｇ ｂｌｏｃｋ）が、クロスレイヤおよびマルチ戦略セキュリティアーキテクチャを実装する保護ユニット１４の２つの有利な例を形成するように組み合わされている。

図１１に示された例では、バイト解析は、図８ａに関して述べられたようにデータ経路８内で実施され、セッションキューイングユニット２０が優先度スケジューラ２０ａを含み、この優先度スケジューラ２０ａは、「奇妙」と見なされて、処理のためにセキュリティ保護されたＳＩＰスタック１８に送信されるＳＩＰメッセージに、低優先度の属性を与える。バイトアナライザ７によって「奇妙」と見なされないＳＩＰメッセージは、保護されていないＳＩＰスタック１６に送信され、より高い優先度で処理される。

図１２の例示的な実施形態では、バイトアナライザ７は、データ経路８から外れて配置され、シグネチャアナライザ５は、データストリーム６内に含まれたＳＩＰメッセージのうちのどれがバイトアナライザ７によってチェックされるべきか決定する決定ユニット（図示せず）を備える。この場合、セッションキューイングユニット２０は、バイト解析が実施されるＳＩＰメッセージをキューに入れ、キューに入れられたメッセージは、図８ｂを参照してより詳しく論じられたように、バイト解析の結果に依存して廃棄または処理される。

両方の場合において、シグネチャアナライザ５およびバイトアナライザ７のセキュリティ閾値は、単純にするために図１１および図１２に示されていない制御ユニットによって制御され得る。

図１１および図１２の機能ブロックは、セキュリティ境界ノードの入口ポートに全回線速度処理モジュールを置くことが有利であり得るので、図１１および図１２に示されるようにセキュリティ境界ノード２ａ内にローカルに置かれる必要はないことが当業者には理解されよう。具体的には、トークナイザ１９、セッションキューイングユニット２０、優先度スケジューラ２０ａ、ならびに特にＳＩＰスタック１６およびセキュリティ保護されたＳＩＰスタック１８は、（セキュリティ境界ノード内の）より中央に、さらにはコンバージドネットワークセキュリティインスタンス１４などのコンバージドネットワーク要素内に置かれてよい。さらに、図１１および図１２に示された保護ユニット１５の分散型アーキテクチャを使用するのではなく、図２および４を参照して述べられたように、セキュリティ境界ノード２ａ内に保護ユニット１５全体を統合することも可能であることが理解されよう。

要約すると、上述された種類の保護ユニットを提供することによって、１つまたは限られた数のネットワークポート上で検出されるネットワーク攻撃に対してコンピュータネットワークを効率的に保護し、他のネットワークポートへのシグネチャの高速配信を実施することが可能となる。保護ユニットは、ネットワークのセキュリティ境界ノードで必ずしも実装されるとは限らず、一部の場合のように、ネットワーク内の特定のノード上に保護ユニットを実装することも有利であり得ることが理解されよう。最後に、上記の例ではＳＩＰメッセージの処理について述べられているが、上述された概念は、アプリケーション層のシグナリングに用いられる他のタイプのアプリケーション層制御メッセージに適用され得ることが当業者には理解されよう。また、異常検出についてバイト解析を参照して上記に述べられたが、他のタイプの統計解析、または機械学習などの他の異常検出方法に基づく、異常検出を実施する他のやり方が存在することが理解されよう。

好ましい実施形態についての上記説明は、例示するために示されている。与えられた開示から、当業者には、本発明およびその付随する利点が理解されるだけでなく、開示された構造および方法への明らかな様々な変更および修正が見出されよう。したがって、出願人は、添付の特許請求の範囲に定められた本発明の精神および範囲内に含まれるすべてのこうした変更および修正、ならびにその等価物を網羅しようと努める。

Claims (11)

1. パケットベースのネットワーク（１）を攻撃から保護するための方法であって、
   パケットストリーム（６）のシグネチャを以前に識別された攻撃のシグネチャセットと比較することによって攻撃を検出するために、ネットワーク（１）のセキュリティ境界ノード（２ａ）で受信されたパケットストリーム（６）に対するシグネチャ解析を実施するステップと、
   パケットストリーム（６）内の異常を検出するために、パケットストリーム（６）の少なくとも一部に対する異常検出を実施するステップと、
   パケットストリーム（６）内の異常が検出されたときにシグネチャセットを更新するステップであって、更新されたシグネチャセット（１２）が後に、シグネチャ解析を実施するために使用される、ステップと、
   更新されたシグネチャセット（１２）の少なくとも１つのシグネチャをネットワーク（１）の少なくとも１つのさらなるセキュリティ境界ノード（２ｂから２ｆ）に配信するステップとを備える方法において、
   パケットストリーム（６）のアプリケーション層制御メッセージに対して異常検出を実施するステップと、
   異常検出のセキュリティ閾値（１７ａ）を使用して異常検出の感度を制御するステップとを備え、
   シグネチャセットの更新が異常検出の結果を考慮に入れることを特徴とする、方法。
2. セキュリティ閾値（１７ａ）が攻撃の数に依存して調整される、請求項１に記載の方法。
3. 異常検出が、並列マルチシーケンスバイト解析として実施され、バイトシーケンス解析の重みが、セキュリティ閾値（１７ａ）に依存して制御される、請求項１に記載の方法。
4. パケットベースのネットワーク（１）を攻撃から保護する保護ユニット（１５）であって、
   ネットワーク（１）のセキュリティ境界ノード（２ａ）で受信されたパケットストリーム（６）を解析し、パケットストリーム（６）のシグネチャを以前に識別された攻撃のシグネチャセットと比較することによって攻撃を検出するシグネチャアナライザ（５）と、
   パケットストリーム（６）内の異常を検出する異常検出器と、
   パケットストリーム（６）内の異常が検出されるときにシグネチャセットを更新するシグネチャ干渉ユニット（９）であって、更新されたシグネチャセット（１２）がその後に、シグネチャ解析を実施するためにシグネチャアナライザ（５）によって使用される、シグネチャ干渉ユニット（９）と、
   更新されたシグネチャセット（１２）のうちの少なくとも１つのシグネチャを、パケットベースのネットワーク（１）の少なくとも１つのさらなるセキュリティ境界ノード（２ｂから２ｆ）に配信する配信ユニット（１３）とを備える保護ユニットにおいて、
   パケットストリーム（６）に含まれるアプリケーション層制御メッセージに対する異常検出を実施するシグナリングスタックと、
   異常検出のセキュリティ閾値（１７ａ）を使用して異常検出器の感度を制御する制御ユニット（１７）とを備え、
   シグネチャ干渉ユニット（９）内のシグネチャセットの更新が異常検出の結果を考慮に入れることを特徴とする、保護ユニット（１５）。
5. セキュリティ閾値（１７ａ）が攻撃の数に依存して調整される、請求項４に記載の保護ユニット。
6. 異常検出器が並列マルチシーケンスバイトアナライザ（７）であり、バイトシーケンス解析の重みが、セキュリティ閾値（１７ａ）に依存して制御される、請求項４に記載の保護ユニット。
7. データストリーム（６）内に含まれたアプリケーション層制御メッセージを処理するセキュリティ保護されたシグナリングスタックをさらに備える、請求項４に記載の保護ユニット。
8. メッセージに関する、具体的には異常検出が実施されなければならないデータストリーム（６）内に含まれるＳＩＰメッセージに関する決定を行う決定ユニット（２１）と、
   異常検出が実施されるメッセージをキューに入れるセッションキューイングユニット（２０）とをさらに備える、請求項４に記載の保護ユニット。
9. 異常検出器（７）および／またはシグネチャアナイザ（５）によってフィードバックループ内で制御される、データストリーム（６）からメッセージを廃棄するためのピンホール（２５）をさらに備える、請求項４に記載の保護ユニット。
10. 請求項４に記載の保護ユニット（１５）を備える、パケットベースのネットワーク（１）のためのセキュリティ境界ノード（２ａ）。
11. 請求項４に記載の保護ユニット（１５）を少なくとも２つ備えるパケットベースのネットワーク（１）であって、保護ユニット（１５）が、共通のシグネチャ干渉ユニット（９）を有する、ネットワーク（１）。

Images