JP7492091B1 - 推定装置および推定方法 - Google Patents

Abstract

【課題】バーストトラヒックが発生した場合に、特定の攻撃によるものなのか、他の原因によって発生したものであるのかを区別することを目的とする。【解決手段】特定の攻撃の発生確率を事前分布とし、第１観測データおよび第２観測データを含む観測データを与えることで得られる、バーストトラヒックが発生した条件での特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算する学習部１４と、計算された事後分布の値に基づいて、特定の攻撃の発生の有無を判定する判定部１５と、判定部１５による判定結果を提示する提示部１７とを備える。【選択図】図１

Description

本発明は、推定装置および推定方法に関する。

従来から、正当ユーザの複数の通信端末のＩＭＳＩ（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ：加入者識別番号）をインターセプトして、ＵＤＲ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｒｅｐｏｓｉｔｏｒｙ：統合データリポジトリ）に意図的に大量の位置登録要求信号を送信して高い負荷をかける攻撃が報告されている（非特許文献１参照）。このようなＤＤｏＳ攻撃は、故意に位置登録要求信号によるバーストトラヒックを発生させるケースもある。

位置登録要求信号によるバーストトラヒックは、ＤＤｏＳ攻撃に起因する以外にも、ユーザの通信の利用状況や移動にともない、１日のうちの特定の時間帯などに通信が集中することで発生する場合がある。バーストトラヒックの解析に関し、例えば特許文献１は、呼接続要求に含まれる複数のパラメータの値のパターンと、アプリ通信による呼接続要求の特徴パターンとが一致するか否かを判定する技術を開示する。

しかし、特許文献１が開示するバーストトラヒックの解析技術では、特定のアプリ通信に起因する呼接続要求によるバーストトラヒックを特定することはできるが、バーストトラヒックがＤＤｏＳ攻撃によるものであるかを区別して特定することはできない。

特開２０１５－２２０５４４号公報

ＧＳＭ Ａｓｓｏｃｉａｔｉｏｎ，"ＦＳ．１９ Ｄｉａｍｅｔｅｒ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｓｅｃｕｒｉｔｙ Ｖｅｒｓｉｏｎ ４．０， ４．３．１"， ０４ Ｍａｙ ２０１８．

このように、従来の技術によれば、バーストトラヒックが発生した場合に、特定の攻撃によるものなのか、他の原因によって発生したものであるのかを区別することができなかった。

本発明は、上述した課題を解決するためになされたものであり、バーストトラヒックが発生した場合に、特定の攻撃によるものなのか、他の原因によって発生したものであるのかを区別することを目的とする。

上述した課題を解決するために、本発明に係る推定装置は、位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得するように構成された第１取得部と、前記バーストトラヒックの発生のうち、過去に発生した前記バーストトラヒックの履歴と傾向が一致する前記バーストトラヒックが発生した回数を、コアネットワークに対する特定の攻撃以外の原因により発生したバーストトラヒックの第２観測データとして取得するように構成された第２取得部と、前記特定の攻撃の発生確率を事前分布とし、前記第１観測データおよび前記第２観測データを含む観測データを与えることで得られる、前記バーストトラヒックが発生した条件での前記特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算するように構成された学習部と、計算された前記事後分布の値に基づいて、前記特定の攻撃の発生の有無を判定するように構成された判定部と、前記判定部による判定結果を提示するように構成された提示部とを備える。

また、本発明に係る推定装置において、さらに、前記判定部によって、前記特定の攻撃が発生したと判定された場合に、前記コアネットワークが備える統合データリポジトリに記憶されている、通信端末に割り当てられた加入者識別番号ごとの位置登録要求信号の送信履歴から、前記特定の攻撃に関与する加入者識別番号を特定するように構成された特定部を備え、前記提示部は、前記特定部によって特定された加入者識別番号に関する情報を提示してもよい。

上述した課題を解決するために、本発明に係る推定装置は、さらに、通信端末に割り当てられた加入者識別番号ごとに送信された前記位置登録要求信号の数であって、設定時間ごとの前記位置登録要求信号の数を、前記コアネットワークから収集するように構成された収集部と、収集された前記設定時間ごとの前記位置登録要求信号の数が、設定された数を超える場合に、バーストトラヒックの発生を検出するように構成された検出部とを備えていてもよい。

また、本発明に係る推定装置において、前記特定の攻撃は、前記コアネットワークが備える制御プレーンのノードを標的として、複数の通信端末の加入者識別番号を用いて意図的に大量の位置登録要求信号を送信する攻撃を含んでいてもよい。

上述した課題を解決するために、本発明に係る推定方法は、位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得する第１取得ステップと、前記バーストトラヒックの発生のうち、過去に発生した前記バーストトラヒックの履歴と傾向が一致する前記バーストトラヒックが発生した回数を、コアネットワークに対する特定の攻撃以外の原因により発生したバーストトラヒックの第２観測データとして取得する第２取得ステップと、前記特定の攻撃の発生確率を事前分布とし、前記第１観測データおよび前記第２観測データを含む観測データを与えることで得られる、前記バーストトラヒックが発生した条件での前記特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算する学習ステップと、計算された前記事後分布の値に基づいて、前記特定の攻撃の発生の有無を判定する判定ステップと、前記判定ステップでの判定結果を提示する提示ステップとを備える。

また、本発明に係る推定方法において、さらに、前記判定ステップで、前記特定の攻撃が発生したと判定された場合に、前記コアネットワークが備える統合データリポジトリに記憶されている、通信端末に割り当てられた加入者識別番号ごとの位置登録要求信号の送信履歴から、前記特定の攻撃に関与する加入者識別番号を特定する特定ステップを備え、前記提示ステップは、前記特定ステップで特定された加入者識別番号に関する情報を提示してもよい。

また、本発明に係る推定方法において、さらに、通信端末に割り当てられた加入者識別番号ごとに送信された前記位置登録要求信号の数であって、設定時間ごとの前記位置登録要求信号の数を、前記コアネットワークから収集する収集ステップと、収集された前記設定時間ごとの前記位置登録要求信号の数が、設定された数を超える場合に、バーストトラヒックの発生を検出する検出ステップとを備えていてもよい。

本発明によれば、特定の攻撃の発生確率を事前分布とし、第１観測データおよび第２観測データを含む観測データを与えることで得られる、バーストトラヒックが発生した条件での特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算する。そのため、バーストトラヒックが発生した場合に、特定の攻撃によるものなのか、他の原因によって発生したものであるのかを区別することができる。

図１は、本発明の実施の形態に係る推定装置を含む推定システムの構成を示すブロック図である。 図２は、本実施の形態に係る推定装置のハードウェア構成を示すブロック図である。 図３は、本実施の形態に係る推定装置の動作を示すフローチャートである。

以下、本発明の好適な実施の形態について、図１から図３を参照して詳細に説明する。

［推定システムの構成］
図１は、本発明の実施の形態に係る推定装置１を備える推定システムの構成を示すブロック図である。本実施の形態に係る推定システムは、例えば、５Ｇモバイル通信ネットワークに設けられ、推定装置１、通信端末２、基地局３、およびコアネットワーク４を備える。推定システムは、位置登録要求信号によるバーストトラヒックが発生した場合に、コアネットワーク４に対するＤＤｏＳ攻撃の発生の有無を推定し、さらに、ＤＤｏＳ攻撃に関与した可能性のあるＩＭＳＩを特定する。

通信端末２は、ＳＩＭ２０を備え、スマートフォンなどの携帯通信端末、タブレット型コンピュータ、ラップトップ型コンピュータなどとして実現される。本実施の形態では複数の通信端末２が存在する。

通信端末２に搭載されるＳＩＭ２０には、ユーザの契約プロファイルが格納されている。ＳＩＭ２０の契約プロファイルには、ユーザの加入者識別情報が格納され、携帯電話の回線契約に割り当てられるＩＭＳＩ、加入者であるユーザの電話番号（ＭＳＩＳＤＮ：Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｄｉｒｅｃｔｏｒｙ Ｎｕｍｂｅｒ）、ＳＩＭカード番号（ＩＣＣＩＤ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｉｄｅｎｔｉｆｉｅｒ）等の識別子情報が含まれる。通信端末２は、割り当てられたＩＭＳＩによって一意に識別される。

基地局３は、５Ｇ通信規格に対応した無線基地局で構成され、通信エリアに在圏する通信端末２とコアネットワーク４との間の通信を中継する。基地局３は、バックホールリンクなどのネットワークＬを介してコアネットワーク４と接続する。

コアネットワーク４は、推定装置１とＬＡＮやＷＡＮなどのネットワークＮＷを介して接続されている。コアネットワーク４は、制御プレーン（Ｃ－ｐｌａｎｅ）内のノードであるＡＭＦ（Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）４０、ＵＤＭ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）４１、およびＵＤＲ４２を備える。ＵＤＲ４２は、推定装置１との通信を行うための通信インターフェース４２ａを備える。なお、コアネットワーク４が備える他の機能については図示を省略している。

ＡＭＦ４０は、モビリティ制御機能を提供し、位置登録、ページング、およびハンドオーバ等の移動制御を行うノードである。ＵＤＭ４１は、ユーザの契約情報や認証情報を管理するノードである。

ＵＤＲ４２は、通信端末２のＩＭＳＩや在圏情報を保持した加入者プロファイルを格納するノードである。また、ＵＤＲ４２は、通信端末２のＩＭＳＩごとに送信された位置登録要求信号のタイムスタンプを発信ログとして記憶する。

通信端末２は、通信を開始する初期登録の際や移動にともない通信エリアを跨ぐ場合、在圏する通信エリアの基地局３を介して、コアネットワーク４に位置登録要求信号を送信する。また、通信端末２は、１秒ごとなど設定された周期で、在圏する基地局３を介してコアネットワーク４に位置登録要求信号を送信する場合がある。位置登録要求信号には、送信元の通信端末２に割り当てられたＩＭＳＩが含まれる。

通信端末２によって送信された位置登録要求信号は基地局３からＡＭＦ４０、およびＵＤＭ４１を介してＵＤＲ４２に到達する。位置登録要求信号がＵＤＲ４２に到達すると、ＩＭＳＩごとの位置登録要求信号の発信タイムスタンプが記録され、加入者プロファイルの在圏情報には、通信端末２が経由したＡＭＦ４０のアドレス情報が書き込まれる。

複数の通信端末２から同時間帯に一定数以上の位置登録要求信号が送信される場合、ＵＤＲ４２などのコアネットワーク４の制御プレーンに設置されているノードにおける負荷が高くなり、処理速度が低下する場合がある。場合によっては、ＵＤＲ４２等のノードにおける処理能力を超えた場合には、機能停止の状態となり得る。

このようなバーストトラヒックが発生する原因は、ＤＤｏＳ攻撃の他、正当なユーザによる通信端末２の移動や偶発的な通信の集中によっても発生し得る。例えば、朝の通勤ラッシュの時間帯や、昼の通信混雑の時間帯などにおいて、通常のモバイル通信が行われている場合あってもバーストトラヒックが発生することがある。

一方、前述したように、攻撃端末５によるＤＤｏＳ攻撃によってバーストトラヒックが発生する場合がある。攻撃端末５は、通信端末２のＩＭＳＩをインターセプトし、さらにインターセプトしたＩＭＳＩを用いて大量の位置登録要求信号をコアネットワーク４に送信するＤＤｏＳ攻撃を行う。本実施の形態では、特定の攻撃とは、コアネットワーク４が備える制御プレーンのノードを標的として、複数の通信端末２のＩＭＳＩを用いて意図的に大量の位置登録要求信号を送信するＤＤｏＳ攻撃を含む。また、特定の攻撃には、同時間帯に大量の位置登録要求信号を送信するＤＤｏＳ攻撃が含まれる。

攻撃端末５は、例えば、１５桁で構成されるＩＭＳＩの値をランダムに生成し、正当なユーザの通信端末２に割り当てられたＩＭＳＩをインターセプトする。攻撃端末５は、複数のインターセプトしたＩＭＳＩを用いて大量の位置登録要求信号を送信することで、バーストトラヒックを生じさせてコアネットワーク４が備えるＵＤＲ４２を攻撃する。

本実施の形態に係る推定システムでは、ＤＤｏＳ攻撃の発生確率を事前分布とし、バーストトラヒックの発生に係る観測データが与えられることで得られる事後分布、すなわちバーストトラヒックが発生した条件でのＤＤｏＳ攻撃の発生確率をベイズ推定により計算する。さらに、計算された事後分布の値に基づいて、ＤＤｏＳ攻撃の発生の有無が判定される。

［推定装置の機能ブロック］
図１に示すように、推定装置１は、収集部１０、検出部１１、第１取得部１２、第２取得部１３、学習部１４、判定部１５、特定部１６、提示部１７、第１記憶部１８、および第２記憶部１９を備える。

収集部１０は、ＩＭＳＩごとに送信された位置登録要求信号の数であって、設定時間ごとの位置登録要求信号の数を、コアネットワーク４から収集する。より具体的には、収集部１０は、ＩＭＳＩに関連付けられた位置登録要求信号の発信タイムスタンプをＵＤＲ４２から収集する。収集部１０は、例えば、１秒ごとの位置登録要求信号の数を収集することができる。

検出部１１は、収集された設定時間ごとの位置登録要求信号の数が、設定された数を超える場合に、バーストトラヒックの発生を検出する。例えば、検出部１１は、１秒ごとに通信端末２によって送信された位置登録要求信号の数をカウントし、設定されたしきい値を超える場合には、バーストトラヒックが発生したことを検出することができる。しきい値は過去のバーストトラヒックの発生履歴等に基づいて具体的な値を設定することができる。

第１取得部１２は、位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得する。第１取得部１２は、検出部１１によってバーストトラヒックが検出された回数をカウントして取得する。第１取得部１２によって取得されるバーストトラヒックの発生回数は、あらゆる原因により発生したバーストトラヒックの発生回数である。第１取得部１２は、１か月単位や１年単位などの任意に設定された期間でのバーストトラヒックの発生回数を取得することができる。

第２取得部１３は、バーストトラヒックの発生のうち、過去に発生したバーストトラヒックの履歴と傾向が一致するバーストトラヒックが発生した回数を、コアネットワーク４に対する特定の攻撃以外の原因により発生したバーストトラヒックの第２観測データとして取得する。

より詳細には、第２取得部１３は、検出部１１によって検出されたバーストトラヒックの発生のうち、ＤＤｏＳ攻撃以外の事象に起因することが判明しているバーストトラヒックの発生回数を取得する。したがって、第２観測データは、第１観測データに含まれるバーストトラヒックの発生回数のうち、ＤＤｏＳ攻撃以外の事象に起因することが判明しているバーストトラヒックの発生回数ということになる。

前述したように、朝の通勤ラッシュ時間帯や昼の時間帯などユーザの行動に応じて決まった時間帯に位置登録要求信号の送信数が増加することが知られている。第２取得部１３は、過去のバーストトラヒックの発生履歴の解析に基づいて、検出部１１が検出したバーストトラヒックの発生時間帯などを、過去のバーストトラヒックの発生履歴の時間帯と比較することで、ＤＤｏＳ攻撃以外の既知の発生原因によるバーストトラヒックの発生回数を取得する。

学習部１４は、ＤＤｏＳ攻撃の発生確率を事前分布とし、第１観測データおよび第２観測データを含む観測データを与えることで得られる、バーストトラヒックが発生した条件でのＤＤｏＳ攻撃の発生確率を示す事後分布を、ベイズ推定により計算する。学習部１４が採用するベイズ推定は、ある条件における事象の確率を、既知の確率と観測データから求める手法である。以下、学習部１４がベイズ推定で用いる確率モデルのパラメータについて説明する。

学習部１４は、まず、事象Ｘを、ある原因となった事象とする。また、事象Ｙを、原因により起きたと想定される事象とする。事象Ｘ、Ｙは確率変数として扱われる。具体的には、事象Ｘは、ＤＤｏＳ攻撃の発生、事象Ｙは、バーストトラヒックの発生として定義される。

学習部１４は、事象Ｘが発生する確率分布Ｐ（Ｘ）を、観測データが与えられる前のパラメータの分布である事前分布として仮定する。具体的には、学習部１４は、ＤＤｏＳ攻撃が発生している確率として、経験則や過去の履歴の解析等に基づいた確率値を仮定する。例えば、１か月で０．２（＝２０％）の発生確率でＤＤｏＳ攻撃が発生していると仮定することができる。

学習部１４は、さらに、観測データの表現方法である尤度関数Ｐ（Ｙ｜Ｘ）を設定する。尤度関数Ｐ（Ｙ｜Ｘ）は、パラメータの値が条件付けされているときに、観測データＹがどれだけモデルから発生しやすいかを表す。具体的には、ＤＤｏＳ攻撃が発生している条件のもとバーストトラヒックが発生している確率として表される。例えば、任意の値として、０．８（＝８０％）等の値を採用することができる。なお、尤度関数Ｐ（Ｙ｜Ｘ）についての値０．８は、ＤＤｏＳ攻撃が発生した場合であっても、バーストトラヒックが発生しない場合が一定割合で含まれることを示す。

学習部１４は、ベイズの定理を利用して、尤度関数、事前分布、および観測データから得られる情報を反映させ、事象Ｙが発生した条件のもと、事象Ｘが発生する確率である事後分布Ｐ（Ｘ｜Ｙ）を計算する。この場合、事後分布Ｐ（Ｘ｜Ｙ）は、バーストトラヒックが発生した条件のもと、ＤＤｏＳ攻撃が発生している確率分布である。本実施の形態では、次式（１）のベイズの定理に基づいた、次式（２）で表されるベイズ推定近似式を用いて事後分布Ｐ（Ｘ｜Ｙ）が計算される。

上式（１）の分母にＰ（Ｙ）＝Σ_ＸＰ（Ｙ｜Ｘ）Ｐ（Ｘ）を代入すると、次式（２）で表される。

上式（２）の下段の近似式の分母において、「バーストトラヒックが発生している全回数」とは、第１取得部１２によって取得された第１観測データである。また、「ＤＤｏＳ以外の原因によりバーストトラヒックが発生している回数」は、第２取得部１３によって取得された第２観測データである。

ここで、前述したように、事前分布Ｐ（Ｘ）の仮定により、ＤＤｏＳ攻撃が発生する確率が１か月で０．２（＝２０％）であると仮定されている。例えば、１か月間に１０００回のバーストトラヒックが発生した場合において、２００回のＤＤｏＳ攻撃が発生し、ＤＤｏＳ攻撃以外の事象を原因としたバーストトラヒックの発生回数は単純計算すると８００回となる。

しかしながら、本実施の形態では、ＤＤｏＳ攻撃以外の原因によりバーストトラヒックが発生している回数であって、その原因が判明しているものの発生回数を考慮して、単純に計算した場合の８００回よりも低い値を採用する。このように、エビデンスあるいは周辺尤度と呼ばれる事象Ｙが発生する確率分布Ｐ（Ｙ）については、第２観測データに基づいて調整した値が用いられる。

すなわち、上式（２）では、ＤＤｏＳ攻撃以外の原因によりバーストトラヒックが発生している回数であって、その原因が判明しているものの発生回数が少ないほど、事後分布と事前分布とは、Ｐ（Ｘ｜Ｙ）＞Ｐ（Ｘ）の傾向となる。

判定部１５は、学習部１４によって計算された事後分布の値に基づいて、ＤＤｏＳ攻撃の発生の有無を判定する。具体的には、判定部１５はしきい値処理を行い、ＤＤｏＳ攻撃の発生の有無を判定することができる。しきい値としては、例えば０．３（＝３０％）を採用し、事後分布Ｐ（Ｘ｜Ｙ）の値がしきい値を超える場合には、ＤＤｏＳ攻撃が発生したと判定することができる。

特定部１６は、判定部１５によって、ＤＤｏＳ攻撃が発生したと判定された場合に、コアネットワーク４が備えるＵＤＲ４２に記憶されている、ＩＭＳＩごとの位置登録要求信号の送信履歴から、ＤＤｏＳ攻撃に関与するＩＭＳＩを特定する。より詳細には、特定部１６は、ＵＤＲ４２に記憶されている加入者プロファイルから、位置登録要求信号の異常な発信をしているＩＭＳＩを特定することができる。例えば、１ｍｓ間隔などの短い時間間隔で位置登録要求信号を送信し続けているＩＭＳＩについて、ＤＤｏＳ攻撃に関与するＩＭＳＩであると特定することができる。

提示部１７は、判定部１５による判定結果を提示する。また、提示部１７は、特定部１６によって特定された通信端末２に関する情報を提示する。提示部１７は、判定結果や通信端末２の情報を外部のサーバなどに送信することができる。さらに、提示部１７は、表示装置１０７にこれらの情報を表示させることができる。

第１記憶部１８は、学習部１４がベイズ推定に用いるベイズの定理（式（１））およびベイズ推定近似式（式（２））を記憶する。また、第１記憶部１８は、事前分布や観測データの尤度関数に関する設定情報を記憶している。

第２記憶部１９は、過去に発生したバーストトラヒックの履歴およびその解析情報を記憶する。

［推定装置のハードウェア構成］
次に、上述した機能を有する推定装置１を実現するハードウェア構成の一例について、図２を用いて説明する。

図２に示すように、推定装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。また、推定装置１は、バス１０１を介して接続される表示装置１０７を備えることができる。

主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図１に示した収集部１０、検出部１１、第１取得部１２、第２取得部１３、学習部１４、判定部１５、特定部１６など推定装置１の各機能が実現される。

通信インターフェース１０４は、推定装置１と各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。

補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。

補助記憶装置１０５は、推定装置１が実行するベイズ推定プログラムを格納するプログラム格納領域を有する。補助記憶装置１０５によって、図１で説明した第１記憶部１８、第２記憶部１９が実現される。さらには、例えば、上述したデータやプログラムなどをバックアップするためのバックアップ領域などを有していてもよい。

入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりする入出力装置である。

表示装置１０７は、有機ＥＬディスプレイや液晶ディスプレイなどによって構成される。

［推定装置の動作］
次に、上述した構成を有する推定装置１の動作を、図３のフローチャートを参照して説明する。

まず、収集部１０は、通信端末２に割り当てられているＩＭＳＩに関連付けられた位置登録要求信号の発信タイムスタンプをＵＤＲ４２から収集する（ステップＳ１）。次に、検出部１１は、収集された設定時間ごとの位置登録要求信号の数が、設定されたしきい値を超える場合に、バーストトラヒックが発生したことを検出する（ステップＳ２）。しきい値は過去のバーストトラヒックの発生履歴等に基づいて設定することができる。

次に、第１取得部１２は、位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得する（ステップＳ３）。第１取得部１２は、１か月単位や１年単位などの任意に設定された期間で発生したバーストトラヒックの回数をカウントし取得することができる。

次に、第２取得部１３は、ステップＳ２で検出されたバーストトラヒックの発生のうち、ＤＤｏＳ攻撃の以外の事象に起因することが判明しているバーストトラヒックの発生回数を第２観測データとして取得する（ステップＳ４）。第２取得部１３は、過去のバーストトラヒックの発生履歴の解析により、昼の時間帯などバーストトラヒックが発生した原因がＤＤｏＳ攻撃の以外の既知の原因によるものであることが判明している場合に、検出されたバーストトラヒックのうち、既知の原因によるバーストトラヒックの発生回数を取得する。

次に、学習部１４は、ＤＤｏＳ攻撃の発生確率を事前分布Ｐ（Ｘ）とし、第１観測データおよび第２観測データを含む観測データを与えることで得られる、バーストトラヒックが発生した条件でのＤＤｏＳ攻撃の発生確率を示す事後分布Ｐ（Ｘ｜Ｙ）を、ベイズ推定により計算する（ステップＳ５）。より具体的には、学習部１４は、上式（２）のベイズ推定近似式を用いて、事前に仮定された事前分布Ｐ（Ａ）および観測データの尤度関数Ｐ（Ｙ｜Ｘ）に基づいて、事後分布Ｐ（Ｘ｜Ｙ）を計算する。

その後、判定部１５は、ステップＳ５で計算された事後分布の値に対するしきい値処理を行い、しきい値を超えた場合には、ＤＤｏＳ攻撃の発生の有と判定する（ステップＳ６）。次に、特定部１６は、ステップＳ６で、ＤＤｏＳ攻撃が発生したと判定された場合に、ＵＤＲ４２に記憶されている加入者プロファイルから、位置登録要求信号の異常な発信をしているＩＭＳＩを特定する（ステップＳ７）。

提示部１７は、ステップＳ６での判定結果、およびステップＳ７で特定された通信端末２のＩＭＳＩに関する情報を提示する（ステップＳ８）。

以上説明したように、本実施の形態に係る推定装置１によれば、ＤＤｏＳ攻撃の発生確率を事前分布とし、第１観測データおよび第２観測データを含む観測データを与えることで得られる、バーストトラヒックが発生した条件でのＤＤｏＳ攻撃の発生確率を示す事後分布を、ベイズ推定により計算する。そのため、バーストトラヒックが発生した場合に、ＤＤｏＳ攻撃によるものなのか、ＤＤｏＳ攻撃ではない他の原因によって発生したものであるのかを区別することができる。

また、本実施の形態に係る推定装置１によれば、ベイズ推定により得られた事後分布の値に基づいて、ＤＤｏＳ攻撃が発生したと判定された場合に、ＵＤＲ４２の加入者プロファイルからＤＤｏＳ攻撃に関与するＩＭＳＩを特定する。したがって、ＤＤｏＳ攻撃の発生元を特定することができる。

なお、上述の実施の形態では、５Ｇに準拠する推定システムである場合を例示したが、３Ｇ／ＬＴＥや６Ｇ等に準拠する推定システムであってもよい。

以上、本発明の推定装置および推定方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。

１…推定装置、１０…収集部、１１…検出部、１２…第１取得部、１３…第２取得部、１４…学習部、１５…判定部、１６…特定部、１７…提示部、１８…第１記憶部、１９「…第２記憶部、２…通信端末、２０…ＳＩＭ、３…基地局、４…コアネットワーク、５…攻撃端末、４０…ＡＭＦ、４１…ＵＤＭ、４２…ＵＤＲ、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、４２ａ、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、Ｌ、ＮＷ…ネットワーク。

Claims (7)

1. 位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得するように構成された第１取得部と、
   前記バーストトラヒックの発生のうち、過去に発生した前記バーストトラヒックの履歴と傾向が一致する前記バーストトラヒックが発生した回数を、コアネットワークに対する特定の攻撃以外の原因により発生したバーストトラヒックの第２観測データとして取得するように構成された第２取得部と、
   前記特定の攻撃の発生確率を事前分布とし、前記第１観測データおよび前記第２観測データを含む観測データを与えることで得られる、前記バーストトラヒックが発生した条件での前記特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算するように構成された学習部と、
   計算された前記事後分布の値に基づいて、前記特定の攻撃の発生の有無を判定するように構成された判定部と、
   前記判定部による判定結果を提示するように構成された提示部と
   を備える推定装置。
2. 請求項１に記載の推定装置において、
   さらに、前記判定部によって、前記特定の攻撃が発生したと判定された場合に、前記コアネットワークが備える統合データリポジトリに記憶されている、通信端末に割り当てられた加入者識別番号ごとの位置登録要求信号の送信履歴から、前記特定の攻撃に関与する加入者識別番号を特定するように構成された特定部を備え、
   前記提示部は、前記特定部によって特定された加入者識別番号に関する情報を提示する
   ことを特徴とする推定装置。
3. 請求項１に記載の推定装置において、
   さらに、通信端末に割り当てられた加入者識別番号ごとに送信された前記位置登録要求信号の数であって、設定時間ごとの前記位置登録要求信号の数を、前記コアネットワークから収集するように構成された収集部と、
   収集された前記設定時間ごとの前記位置登録要求信号の数が、設定された数を超える場合に、バーストトラヒックの発生を検出するように構成された検出部と
   を備える推定装置。
4. 請求項１から３の何れか１項に記載の推定装置において、
   前記特定の攻撃は、前記コアネットワークが備える制御プレーンのノードを標的として、複数の通信端末の加入者識別番号を用いて意図的に大量の位置登録要求信号を送信する攻撃を含む
   ことを特徴とする推定装置。
5. コンピュータによって各ステップが実行される推定方法であって、
   位置登録要求信号によるバーストトラヒックが発生した回数を示す第１観測データを取得する第１取得ステップと、
   前記バーストトラヒックの発生のうち、過去に発生した前記バーストトラヒックの履歴と傾向が一致する前記バーストトラヒックが発生した回数を、コアネットワークに対する特定の攻撃以外の原因により発生したバーストトラヒックの第２観測データとして取得する第２取得ステップと、
   前記特定の攻撃の発生確率を事前分布とし、前記第１観測データおよび前記第２観測データを含む観測データを与えることで得られる、前記バーストトラヒックが発生した条件での前記特定の攻撃の発生確率を示す事後分布を、ベイズ推定により計算する学習ステップと、
   計算された前記事後分布の値に基づいて、前記特定の攻撃の発生の有無を判定する判定ステップと、
   前記判定ステップでの判定結果を提示する提示ステップと
   を備える推定方法。
6. 請求項５に記載の推定方法において、
   さらに、前記判定ステップで、前記特定の攻撃が発生したと判定された場合に、前記コアネットワークが備える統合データリポジトリに記憶されている、通信端末に割り当てられた加入者識別番号ごとの位置登録要求信号の送信履歴から、前記特定の攻撃に関与する加入者識別番号を特定する特定ステップを備え、
   前記提示ステップは、前記特定ステップで特定された加入者識別番号に関する情報を提示する
   ことを特徴とする推定方法。
7. 請求項５に記載の推定方法において、
   さらに、通信端末に割り当てられた加入者識別番号ごとに送信された前記位置登録要求信号の数であって、設定時間ごとの前記位置登録要求信号の数を、前記コアネットワークから収集する収集ステップと、
   収集された前記設定時間ごとの前記位置登録要求信号の数が、設定された数を超える場合に、バーストトラヒックの発生を検出する検出ステップと
   を備える推定方法。