WO2017064824A1 - 監視装置、基地局、監視方法、制御方法、及び非一時的なコンピュータ可読媒体 - Google Patents

監視装置、基地局、監視方法、制御方法、及び非一時的なコンピュータ可読媒体 Download PDF

Info

Publication number
WO2017064824A1
WO2017064824A1 PCT/JP2016/003172 JP2016003172W WO2017064824A1 WO 2017064824 A1 WO2017064824 A1 WO 2017064824A1 JP 2016003172 W JP2016003172 W JP 2016003172W WO 2017064824 A1 WO2017064824 A1 WO 2017064824A1
Authority
WO
WIPO (PCT)
Prior art keywords
communication terminal
base station
communication
mobile network
monitoring
Prior art date
Application number
PCT/JP2016/003172
Other languages
English (en)
French (fr)
Inventor
一彰 中島
真二 益田
田村　利之
秀水 石川
将之 新庄
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2017545076A priority Critical patent/JP6737283B2/ja
Priority to US15/768,315 priority patent/US11190541B2/en
Publication of WO2017064824A1 publication Critical patent/WO2017064824A1/ja
Priority to US17/482,979 priority patent/US20220014550A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/125—Protection against power exhaustion attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/18—Management of setup rejection or failure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions

Definitions

  • the present invention relates to a monitoring device, a base station, a monitoring method, a control method, and a program, and more particularly, to a monitoring device, a base station, a monitoring method, a control method, and a program for monitoring an attack on a mobile network.
  • Non-Patent Document 1 describes an ATTACH processing procedure of a communication terminal. By executing the ATTACH process, authentication of the communication terminal, setting of a communication bearer used for the communication terminal to transmit and receive data, and the like are performed.
  • An object of the present invention is to provide a monitoring device, a base station, a monitoring method, a control method, and a program capable of reducing the threat of DoS attack on a mobile network.
  • the monitoring apparatus is directed to the mobile network according to the number of times the ATTACH process for registering information related to the communication terminal communicating with the base station in the communication apparatus arranged in the mobile network is rejected.
  • a signal monitoring unit that estimates a specific base station that communicates with a communication terminal that performs an attack, and the specific base station, according to communication terminal identification information set in a signal transmitted from a subordinate communication terminal, And a base station control unit that determines whether or not to execute ATTACH processing for the communication terminal.
  • the base station corresponds to the number of times that the ATTACH process for registering information related to the communication terminal located in the communication area formed by the own device to the communication device arranged in the mobile network is rejected.
  • a signal monitoring unit that estimates whether or not there is a communication terminal that attacks the mobile network in the communication area, and communication terminal identification information set in a signal transmitted from the communication terminal located in the communication area
  • a signal control unit that determines whether or not to execute ATTACH processing related to the communication terminal.
  • the monitoring method is directed to the mobile network according to the number of times that ATTACH processing for registering information related to a communication terminal communicating with a base station in a communication device arranged in the mobile network is rejected.
  • the specific base station that communicates with the communication terminal that performs the attack is estimated, and the ATTACH related to the subordinate communication terminal is determined according to the communication terminal identification information set in the signal transmitted from the subordinate communication terminal in the specific base station It is determined whether or not to execute the process.
  • the control method according to the fourth aspect of the present invention is based on the number of times the ATTACH process for registering information related to communication terminals located in a communication area formed by a base station to a communication device arranged in a mobile network is rejected. , Estimating whether there is a communication terminal that attacks the mobile network in the communication area, according to the communication terminal identification information set in the signal transmitted from the communication terminal located in the communication area, It is determined whether or not to execute ATTACH processing relating to the communication terminal.
  • the program according to the fifth aspect of the present invention attacks the mobile network according to the number of times that ATTACH processing for registering information related to a communication terminal communicating with a base station in a communication device arranged in the mobile network is rejected.
  • a specific base station that communicates with a communication terminal that performs communication, and in the specific base station, ATTACH processing related to the subordinate communication terminal according to communication terminal identification information set in a signal transmitted from the subordinate communication terminal The computer is caused to determine whether or not to execute.
  • a monitoring device it is possible to provide a monitoring device, a base station, a monitoring method, a control method, and a program that can reduce the threat of DoS attacks on the mobile network.
  • FIG. 1 is a configuration diagram of a communication system according to a first exemplary embodiment; It is a block diagram of the mobile network concerning Embodiment 2.
  • FIG. It is a figure which shows the outline
  • FIG. It is a figure which shows the outline
  • FIG. It is a figure which shows the flow of a process when UE concerning Embodiment 2 attacks. It is a figure which shows the flow of a process when UE concerning Embodiment 2 attacks. It is a figure which shows the flow of a process when UE concerning Embodiment 2 attacks. It is a block diagram of eNB concerning Embodiment 2.
  • eNB concerning Embodiment 2.
  • FIG. 10 is a configuration diagram of a mobile network according to a fifth exemplary embodiment.
  • FIG. 10 is a configuration diagram of a mobile network according to a fifth exemplary embodiment.
  • FIG. 10 is a configuration diagram of a mobile network according to a fifth exemplary embodiment.
  • FIG. 10 is a configuration diagram of a mobile network according to a fifth exemplary embodiment.
  • the communication system in FIG. 1 includes a monitoring device 10, a base station 20, a communication terminal 30, a communication device 40, and a subscriber data device 50.
  • the monitoring device 10, the base station 20, the communication terminal 30, the communication device 40, and the subscriber data device 50 may be computer devices that operate when a processor executes a program stored in a memory.
  • the base station 20, the communication device 40, and the subscriber data device 50 may be node devices defined in 3GPP (3rd Generation Partnership Project).
  • the base station 20 may be a NodeB or an eNB (evolved NodeB).
  • the communication device 40 may be an SGSN (Serving GPRS Support Node) or an MME (Mobility Management Entity).
  • the subscriber data device 50 may be an HSS (Home Subscriber Server) or HLR (Home Location Register).
  • the communication terminal 30 is a terminal that performs wireless communication with the base station 20.
  • the communication terminal 30 may be, for example, a mobile phone terminal, a smartphone, or a tablet terminal.
  • the communication terminal 30 may be an M2M (Machine to Machine) terminal or an MTC (Machine to Type Communication) terminal.
  • the monitoring device 10 includes a signal monitoring unit 11 and a base station control unit 12.
  • the signal monitoring unit 11 and the base station control unit 12 may be software or a module in which processing is executed when a processor executes a program stored in a memory.
  • the signal monitor unit 11 and the base station control unit 12 may be hardware such as a circuit or a chip.
  • the signal monitor unit 11 monitors the number of times that the ATTACH process for registering information about the communication terminal 30 communicating with the base station 20 in the communication device 40 is rejected. Furthermore, the signal monitor unit 11 estimates a base station that communicates with a communication terminal that attacks the mobile network according to the monitoring result.
  • a base station that communicates with a communication terminal that attacks the mobile network is hereinafter referred to as a specific base station.
  • the specific base station may be a sector constituting the base station.
  • the mobile network is a network including the base station 20, the communication device 40, and the subscriber data device 50, for example.
  • the ATTACH process is a process performed to allow the communication terminal 30 to use the mobile network.
  • the information regarding the communication terminal 30 may be information regarding the position of the communication terminal 30, for example.
  • the communication device 40 refuses to register information regarding the communication terminal 30 when the communication terminal 30 cannot be authenticated or when the communication terminal 30 is a communication terminal that cannot use the mobile network. . Specifically, it is determined that the communication terminal 30 cannot be authenticated, for example, when the communication terminal 30 disguises the identification information of the communication terminal.
  • the communication device 40 may reject registration of information related to the communication terminal 30 by communicating with the subscriber data device 50 that holds subscriber information related to the communication terminal 30.
  • the signal monitoring unit 11 sends the base station 20 to the mobile network. It is presumed that there is a communication terminal that performs an attack. That is, the signal monitor unit 11 estimates the base station 20 as a specific base station.
  • the base station control unit 12 transmits information on the communication terminal 30 and the like according to the communication terminal identification information set in the signal transmitted from the communication terminal 30 and the like under the base station 20 estimated as the specific base station.
  • the base station 20 is instructed to determine whether or not to execute the process of registering in the base station 20.
  • the base station 20 does not execute the process of registering information related to all communication terminals under its control in the communication device 40, but sends information related to some or all communication terminals to the communication device 40 based on the communication terminal identification information.
  • the registration process is not performed.
  • the monitoring apparatus 10 can estimate a specific base station that is communicating with a communication terminal that attacks the mobile network. Furthermore, the monitoring device 10 can determine whether or not to execute processing for registering information related to the communication terminal in the communication device 40 in the specific base station.
  • the base station 20 can reduce the number of processes for registering information related to the communication terminal to the communication device 40. Therefore, even when there is a communication terminal that attacks the mobile network, an increase in the number of signals can be suppressed.
  • the mobile network of FIG. 2 is configured using node devices defined in 3GPP. 2 includes UE (User Equipment) 31 to 33, ATT (ATTACKER) UE 34, eNB 21, eNB 22, MME 41, HSS 51, SGW (Serving Gateway) 61, PGW (Packet Data Network Gateway) 62, and PCRF (Policy). and Charging Rule Function) 63.
  • UE User Equipment
  • ATT ATTACKER
  • UE 34 UE
  • eNB 21, eNB 22, MME 41 HSS 51
  • SGW Serving Gateway
  • PGW Packet Data Network Gateway
  • PCRF Policy
  • Charging Rule Function Charging Rule Function
  • FIG. 2 mainly shows communication paths of control data or C-Plane data used when setting up PDN connections or communication bearers related to UEs 31 to 33 and ATT UE34.
  • the UEs 31 to 33 and the ATT UE 34 correspond to the communication terminal 30 in FIG. UE is a general term for communication terminals in 3GPP.
  • the ATT UE 34 indicates a UE that attacks the mobile network.
  • the eNB 21 and the eNB 22 correspond to the base station 20 in FIG.
  • the eNB 21 and the eNB 22 are base stations that support LTE as a wireless communication method.
  • the MME 41 corresponds to the communication device 40 in FIG.
  • the MME 41 manages the location information of the UEs 31 to 33 and the ATT UE 34.
  • the HSS 51 corresponds to the subscriber data device 50 of FIG.
  • the HSS 51 manages subscriber information of the UEs 31 to 33 and the ATT UE 34.
  • the SGW 61 and the PGW 62 are gateway devices that transmit user data related to the UEs 31 to 33 and the ATT UE 34.
  • the user data may be referred to as U-Plane data.
  • the PCRF 63 is a device that performs QoS (Quality of Service) control and charging control for the UEs 31 to 33 and the ATT UE.
  • the PCRF 63 may be referred to as a PCRF entity or a PCRF device.
  • the ATT UE 34 performs, for example, a DoS attack on the mobile network. Specifically, the ATT UE 34 increases the control data transmitted in the mobile network by repeatedly executing the Initial-Attach process. Each node device in the mobile network increases the processing to be executed and the processing load increases as the control data increases.
  • the outline of the Initial-Attach process defined in 3GPP will be described with reference to FIGS. 3 and 4, an outline of an initial attach process of a general UE 31 that does not execute an attack on a mobile network will be described.
  • the Initial-Attach process is executed when the UE 31 is turned on for the first time or when the UE 31 roams from a foreign country and communicates with the eNB 21 for the first time.
  • the UE 31 transmits an RRC (Radio Resource Control) connection request message to the eNB 21 (S21).
  • RRC Radio Resource Control
  • the UE 31 sets an arbitrary value as identification information of the UE 31 in the RRC31connection ⁇ Request message in step S21.
  • the arbitrary value may be referred to as, for example, random value.
  • the eNB 21 transmits an RRC connection setup message to the UE 31 as a response message to the RRC connection request message (S22).
  • the UE 31 transmits an RRCeNBconnection setup complete message including a NAS message used in the NAS (Non-Access Stratum) protocol to the eNB 21 (S23).
  • an ATTACH request message is set as the NAS message.
  • the UE 31 sets IMSI (International Mobile Subscriber Identity) as identification information of the UE 31 in the ATTACH request message.
  • IMSI International Mobile Subscriber Identity
  • IMSI is an identification number that uniquely identifies a UE in all mobile networks operated by a carrier.
  • the eNB 21 selects an MME that manages position information related to the UE 31 (S24). For example, the eNB 21 may select the MME in consideration of the load status of the MME. Here, it is assumed that the eNB 21 selects the MME 41.
  • the MME 41 transmits an Authentication Information Request message in which the IMSI of the UE 31 is set to the HSS 51 in order to execute an authentication process related to the UE 31 (S26).
  • the HSS 51 transmits an Authentication Information Answer message including Authentication Vectors associated with the IMSI of the UE 31 to the MME 41 (S27).
  • Authentication Vectors includes parameters necessary for performing authentication related to the UE 31 in the MME 41.
  • Authentication Vectors includes parameters such as RAND (Random challenge), AUTN (Authentication token), and XRES (Expected user response).
  • the MME 41 transmits an Authentication Request message including RAND and AUTN transmitted from the HSS 51 to the UE 31 (S28).
  • UE31 calculates RES (User
  • the UE 31 transmits an Authentication Response message including the calculated RES to the MME 41 (S29).
  • the MME 41 executes an authentication process related to the UE 31 using the RES transmitted from the UE 31 and the XRES transmitted from the HSS 51 (S30). Specifically, the MME 41 determines whether or not RES and XRES match. When the RES and XRES match, the MME 41 permits the UE 31 to use the mobile network. In step S30, it is assumed that the MME 41 permits the UE 31 to use the mobile network.
  • the MME 41 transmits a SECURITY MODE COMMAND message including a security algorithm used in the security association to the UE 31 (S31).
  • the UE 31 transmits a SECURITY MODE MODE COMPLETE message to the MME 41 as a response message to the SECURITY MODE COMMAND message (S32).
  • the MME 41 transmits an Update-Location-Request message to the HSS 51 in order to update the location information regarding the UE 31 held in the HSS 51 (S33).
  • the HSS 51 transmits an Update Location Ack message to the MME 41 as a response message to the Update Location Request message (S34).
  • the MME 41 transmits a Create Session Request message to the SGW 61 in order to set a communication bearer (S35). Further, the SGW 61 transmits a Create Session Request message to the PGW 62 (S36). Next, the PGW 62 exchanges a message regarding the QoS negotiation with the PCRF 63 in order to determine the QoS to be applied to the PDN (Packet Data Network) Connection related to the UE 31 (S37).
  • PDN Packet Data Network
  • the PGW 62 transmits a Create Session Response message to the SGW 61 as a response message to the Create Session Request message in Step S36 (S38). Further, the SGW 61 transmits a Create Session Response message to the MME 41 as a response message to the Create Session Request message in step S35 (S39).
  • the MME 41 performs wireless setting between the UE 31 and the eNB 21 (S40).
  • the MME 41 transmits / receives a Modify Bearer Request message and a Modify Bearer Response message to and from the SGW 61 in order to update the communication bearer after wireless setting (S41 and S42).
  • the MME 41 assigns GUTI (Globally Unique Temporary Identity) to the UE 31 as temporary identification information of the UE 31 (S43).
  • MME41 transmits the ATTACH
  • the Initial Attach process executed by the ATT UE 34 intended to attack the mobile network will be described.
  • the following attacks can be considered as an attack method using the ATT UE 34.
  • an Initial Attach process is executed using an IMSI with an inappropriate number of bits or number format.
  • an IMSI having a value that is not managed in any mobile network operated by the communication carrier is set, and the Initial Attach process is executed.
  • the IMSI of another UE is set as the identification information of the ATT UE 34, and the Initial Attach process is executed by impersonating the other UE.
  • Steps S51 to S55 are the same as steps S21 to S25 in FIG.
  • step S55 when the MME 41 receives an Initial UE message including an ATTACH request message in which inappropriate IMSI is set, the MME 41 transmits an Initial Context Setup Request message including an ATTACH reject message to the eNB 21 (S56). Next, the eNB 21 transmits an RRC connection Reconfiguration message including the ATTACH reject message to the ATT UE 34 (S57).
  • Step S61 to S66 are the same as steps S21 to S26 in FIG.
  • the HSS 51 receives an IMSI having a value that is not managed in any mobile network operated by the communication carrier.
  • the HSS 51 transmits, to the MME 41, an Authentication InformationCaAnswer message in which a Cause indicating that the received IMSI value does not exist is set (S67).
  • the Cause that the received IMSI value does not exist may be, for example, EPS services and non-EPS services not allowed.
  • the MME 41 transmits an Initial Context Setup message including an ATTACH reject message to the eNB 21 (S68).
  • the eNB 21 transmits an RRC connection Reconfiguration message including the ATTACH reject message to the ATT UE 34 (S69).
  • Steps S71 to S79 are the same as steps S21 to S29 in FIG.
  • the ATT UE 34 sets the IMSI of another UE and impersonates the other UE. Therefore, the ATT UE 34 cannot generate a RES having the same value as the XRES generated by the HSS 51 even if the RAND and AUTN transmitted in step S78 are used. Therefore, the MME 41 determines that the RES transmitted in step S79 is different from the XRES transmitted in step S77 in the authentication of the ATT UE 34 (S80). That is, the MME 41 refuses that the ATT UE 34 uses the mobile network.
  • the eNB 21 transmits an Authentication reject message to the ATT UE 34 (S81).
  • the eNB 21 includes an RRC signal monitoring unit 71 and a NAS signal control unit 72. Further, the NAS signal control unit 72 includes a NAS signal monitor unit 73 and a signal control unit 74.
  • the NAS signal monitoring unit 73 corresponds to the signal monitoring unit 11 in FIG.
  • the signal control unit 74 corresponds to the base station control unit 12 in FIG. That is, the NAS signal control unit 72 executes a function similar to the function executed by the monitoring device 10 in FIG.
  • FIG. 8 illustrates a configuration in which the monitoring device 10 in FIG. 1 is included in the eNB 21 that is the base station 20.
  • the RRC signal monitoring unit 71 monitors or monitors RRC signals transmitted from a plurality of UEs located in the communication area formed by the eNB 21.
  • the RRC signal monitoring unit 71 monitors RRC signals transmitted and received in the eNB 21 every arbitrary time, every day, every week, every month, every year, etc., and generates statistical data regarding the number of RRC signals Also good. By generating statistical data, the RRC signal monitoring unit 71 can grasp at what time of day a large amount of traffic occurred, on which day of the week a large amount of traffic occurred, etc. it can.
  • the RRC signal monitoring unit 71 may associate weather information, event information, and the like as factors that cause a large amount of traffic.
  • the event information may be an event where many people gather, such as a concert or a meeting.
  • the RRC signal monitoring unit 71 When the RRC signal monitoring unit 71 generates statistical data to detect an unusual traffic tendency, that is, when an abnormal network operation is detected, whether or not the ATT UE 34 exists is verified. You may perform the process to do. The processing for verifying whether or not the ATT UE 34 exists is executed in the NAS signal control unit 72. Therefore, the RRC signal monitor unit 71 may activate the NAS signal control unit 72 when detecting an abnormality in the network operation. In this case, the NAS signal control unit 72 is normally stopped.
  • NAS signal monitoring unit 73 monitors messages transmitted to and received from MME 41. For example, the NAS signal monitoring unit 73 counts the number of ATTACH reject messages received in step S56 of FIG. 5 or step S68 of FIG. The NAS signal monitoring unit 73 counts the number of Authentication reject messages transmitted from the MME 41 in step S81 in FIG.
  • the NAS signal monitoring unit 73 assumes that the ATT UE 34 exists when the number of ATTACH reject messages and the number of AuthenticationAuthreject messages transmitted and received in unit time exceed an arbitrary threshold.
  • an arbitrary threshold value a constant value may be used or may be changed dynamically.
  • the arbitrary threshold value may be dynamically changed based on statistical data generated in the RRC signal monitor unit 71. Specifically, by analyzing the statistical data generated in the RRC signal monitoring unit 71, it is possible to assume a time zone, a day of the week, a season, a weather condition, or the like where traffic is generated or reduced. Accordingly, the threshold value may be set high in a time zone where a lot of traffic occurs, and the threshold value may be set low in a time zone where the traffic occurs little.
  • the threshold for the schedule for the event may be set high.
  • the signal control unit 74 sets the communication area formed by the eNB 21.
  • the Initial Attach process for some UEs among the located UEs is rejected.
  • some UEs for which the Initial-Attach process is rejected may be UEs for which S-TMSI is not set in UE-identity in the RRC-connection-Request message.
  • the signal control unit 74 may set a time for executing a process for rejecting the Initial-Attach process for some UEs among UEs located in the communication area formed by the eNB 21. When the set time has elapsed, the signal control unit 74 cancels the process of rejecting the Initial-Attach process for some UEs among the UEs located in the communication area formed by the eNB 21.
  • many ATT UEs 34 cannot successfully complete the Initial Attach process, so when performing the Initial Attach process repeatedly to perform an attack, S- Cannot set TMSI. This is because the S-TMSI is identification information included in the GUTI assigned to the UE when the Initial-Attach process is normally completed.
  • UEs that do not intend to attack the mobile network and that have been powered on for the first time or have roamed from other mobile networks such as overseas may be subject to the rejection of the Initial-Attach process. is there.
  • the Initial-Attach process can be normally terminated.
  • the RRC signal monitoring unit 71 determines whether or not a network operation abnormality is detected from the generated statistical data (91). If the RRC signal monitoring unit 71 does not detect a network operation abnormality, step S91 is performed. Repeat the process. When the RRC signal monitor unit 71 detects an abnormality in the network operation, the NAS signal monitor unit 73 determines whether or not the ATT UE 34 exists (S92).
  • the NAS signal monitoring unit 73 determines that the ATT UE 34 does not exist, the NAS signal monitoring unit 73 repeats the process of step S91.
  • the signal control unit 74 rejects the Initial-Attach process for some UEs among the UEs located in the communication area formed by the eNB 21 (S93).
  • FIG. 10 is a sequence related to step S93 in FIG.
  • the mobile network in FIG. 11 includes UEs 31 to 33, ATT UE 34, NB (Node B) 23, NB 24, RNC 25, SGSN 42, GGSN 43, HSS 51, and PCRF 63.
  • the NB 23 and the NB 24 are base stations that support radio systems used in the second generation mobile phone system and the third generation mobile phone system.
  • the RNC 25 corresponds to the eNB 21 or the eNB 22 and is a control device that controls the radio base station.
  • the eNB 21 and the eNB 22 operate as a base station having a function corresponding to the RNC 25.
  • the SGSN 42 corresponds to the MME 41, and is a device that manages UE location information and transmits user data.
  • the GGSN 43 corresponds to the PGW 62.
  • the RNC 25 includes the RRC signal monitoring unit 71 and the NAS signal control unit 72 in FIG. 8, so that the same processing as the eNB 21 in FIG. 2 can be executed.
  • attack methods other than the above (1) to (3) the following attack methods are also assumed.
  • the MME 41 transmits an Authentication ⁇ Request message to the ATT UE34 in step S78 of FIG. 7, the ATT UE34 disconnects the connection with the eNB 21 or sends a response message to the Authentication Request message without intentionally processing. Do not send.
  • the session with the ATT UE 34 is maintained in the MME 41 for a certain period of time, the number of sessions managed in the MME 41 increases.
  • the MME 41 resends the Authentication Request message after a certain period of time, and if it does not receive a response message even after the retransmission, the MME 41 disconnects the session with the ATT UE 34 due to timeout. Therefore, the NAS signal monitoring unit 73 may assume that the ATT UE 34 is present when the number of retransmitted messages or the number of times of timeout exceeds an arbitrary threshold per unit time.
  • the Cause value is a value indicating the reason for sending an ATTACH reject message or an Authentication reject message.
  • the NAS signal monitoring unit 73 may monitor the number of ATTACH reject messages and the number of Authentication reject messages having a Cause value indicating that the UE executing the Initial Attach process is an inappropriate UE.
  • the Cause value indicating that the UE is inappropriate may be, for example, the value illustrated in FIG. Figure 12 shows the Cause value indicating that the UE is inappropriate from the Cause values shown in 3GPP TS 24.301 V13.3.0 2015-09 Table E9.9.3.9.1: EMM Cause information is doing.
  • the NAS signal monitoring unit 73 only includes the number of ATTACH reject messages and the number of Authentication reject messages having a Cause value indicating an inappropriate UE among all ATTACH reject messages and Authentication reject messages. Count.
  • the eNB 21 does not count an AuthenticationAuthreject message that occurs when a failure occurs in the HSS or the like. Therefore, if the number of ATTACH reject messages and the number of Authentication reject messages with Cause values indicating inappropriate UEs exceed the threshold, compare with the case where all ATTACH reject messages and Authentication reject messages exceed the threshold Thus, the eNB 21 can estimate the possibility that the ATT UE 34 exists with high accuracy.
  • Steps S111 to S113 are the same as steps S21 to S23 of FIG.
  • the eNB 21 determines that the IMSI included in the specific value range (specific range) is set in the UE identity set in the RRC connection setup complete message ( S114). Next, the eNB 21 discards the RRC connection setup complete message received in step S113, and stops the Initial Attach process (S115).
  • the eNB 21 may set the value of the specific range used in step S114 as follows. For example, the eNB 21 is set by the UE in the Initial-Attach process in which the ATTACH reject message and the Authentication-reject message are to be transmitted in Step S56 of FIG. 5, Step S67 of FIG. 6, and Step S81 of FIG.
  • the width of the range value may be set so as to include the IMSI.
  • the number of IMSIs included in the range may be any number.
  • the eNB 21 discards the RRC “connection” setup “complete” message in which the IMSI included in the specific range in which the ATT UE 34 is likely to be included, thereby causing the eNB 21 to move the mobile from the ATT UE 34. Can defend against attacks on the network.
  • the number of messages related to the Initial-Attach process does not decrease in the eNB 21 even after executing the method of defending against the attack from the ATT UE 34 in FIGS. 10 and 13, it is set in the RRC connection-Request message in step S21 in FIG.
  • the Initial Attach process may be rejected for a certain period of time regardless of the UE identity.
  • the eNB 21 that is estimated to be present may be prevented from receiving a message relating to a stop or attachment process for a certain period of time.
  • the NAS signal monitoring unit 73 detects the frequency band accessed by the UE in the Initial-Attach process in which the ATTACH reject message and the Authentication-reject message are transmitted, the sector that supports the frequency band detected in the eNB 21 You may stop only.
  • the ATT UE 34 performs a DoS attack and the processing load of the MME 41 increases, transmission restriction and the like are performed in all eNBs under the MME 41, and the DoS attack may be affected in a wide range.
  • the eNB 21 estimated to be communicating with the ATT UE 34 for a certain period of time or by stopping only a part of the sectors of the eNB 21 the range of influence of the DoS attack is narrowed. Can do.
  • the mobile network in FIG. 14 has a configuration in which a Security GW 81 and a monitoring device 91 are added to the mobile network in FIG.
  • the Security GW 81 is connected to the eNB 21 and the eNB 22.
  • the monitoring device 91 relays communication between the Security GW 81 and the MME 41.
  • the security of the communication path may be ensured by IPsec between the eNB 21 and the Security GW 81 and further between the eNB 22 and the Security GW 81.
  • the monitoring device 91 is a device having the RRC signal monitoring unit 71 and the NAS signal control unit 72 in FIG. In other words, the monitoring device 91 determines whether or not the ATT UE 34 exists, and determines to reject the Initial-Attach process for some UEs in the eNB that communicates with the ATT UE 34.
  • the monitoring device 91 may be provided in the Security GW 81 or may be provided in the MME 41.
  • the mobile network in FIG. 15 has a configuration in which a Security GW 81 and a monitoring device 91 are added to the mobile network in FIG.
  • the Security GW 81 is connected to the RNC 25.
  • the monitoring device 91 relays communication between the Security GW 81 and the SGSN 42.
  • the monitoring device 91 may be provided in the Security GW 81 or in the SGSN 42.
  • the monitoring device 91 may be arranged in front of the MME 41 or SGSN 42.
  • the function executed in the monitoring device 91 as shown in FIG. 8 need not be included in all eNBs or RNCs on the mobile network. Therefore, as compared with the case where the function of the monitoring device 91 is executed in the eNB as shown in FIG. 8, it is possible to easily incorporate a function for protecting the DoS attack into the mobile network.
  • the network management apparatus 100 may be configured to collectively manage a plurality of monitoring apparatuses 91.
  • the network management apparatus 100 may be referred to as EMS (Element Management System) or NMS (Network Management System).
  • EMS Element Management System
  • NMS Network Management System
  • the eNB 21 and the eNB 22 may communicate with an MME other than the MME 41.
  • the eNB 21 can select an MME for each UE in step S54 of FIG. 5 and can therefore communicate with a plurality of MMEs.
  • the monitoring device 91 connected to the Security GW 81 monitors the number of messages generated for each eNB by monitoring messages transmitted from the eNB and messages destined for the eNB. However, since each eNB communicates with a plurality of MMEs, a message when each eNB communicates with another MME is monitored by another monitoring device different from the monitoring device 91.
  • a network management apparatus 100 that collects and manages a plurality of monitoring apparatuses 91 is used.
  • the network management device 100 collects information on the number of messages generated for each eNB from the monitoring devices 91_1 and 91_2, and 91_n (n is an integer of 1 or more).
  • the network management device 100 can accurately monitor the number of messages generated for each eNB by collecting information from a plurality of monitoring devices and adding the number of messages generated for each eNB.
  • FIG. 17 is a block diagram illustrating a configuration example of the node device 140.
  • the node device 140 includes a network interface 1201, a processor 1202, and a memory 1203.
  • the network interface 1201 is used to communicate with other network node devices constituting the communication system.
  • the network interface 1201 may include, for example, a network interface card (NIC) compliant with IEEE 802.3 series.
  • NIC network interface card
  • the processor 1202 reads out and executes software (computer program) from the memory 1203, thereby performing the processing of the node device 140 described with reference to the sequence diagram and the flowchart in the above-described embodiment.
  • the processor 1202 may be, for example, a microprocessor, MPU, or CPU.
  • the processor 1202 may include a plurality of processors.
  • the memory 1203 is configured by a combination of a volatile memory and a nonvolatile memory.
  • Memory 1203 may include storage located remotely from processor 1202. In this case, the processor 1202 may access the memory 1203 via an I / O interface not shown.
  • the memory 1203 is used for storing software module groups.
  • the processor 1202 can perform the processing of the server 140 described in the above-described embodiment by reading these software module groups from the memory 1203 and executing them.
  • each of the processors included in each node device constituting the communication system has one or more programs including a group of instructions for causing a computer to execute the algorithm described with reference to the drawings. Execute.
  • Non-transitory computer readable media include various types of tangible storage media (tangible storage medium).
  • Examples of non-transitory computer-readable media include magnetic recording media (eg flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg magneto-optical discs), CD-ROMs (Read Only Memory), CD-Rs, CD-R / W, semiconductor memory (for example, mask ROM, PROM (Programmable ROM), EPROM (Erasable ROM), flash ROM, RAM (Random Access Memory)) are included.
  • the program may also be supplied to the computer by various types of temporary computer-readable media. Examples of transitory computer readable media include electrical signals, optical signals, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • Embodiments 1 to 5 may be combined as appropriate.
  • the process of estimating the presence of the ATT UE 34 in the second embodiment may be replaced with the process of estimating the presence of the ATT UE 34 in the third embodiment.
  • the processing when defending the attack from the ATT UE 34 in the second embodiment may be replaced with the processing when defending the attack from the ATT UE 34 in the fourth embodiment.
  • (Appendix 1) Estimate a specific base station that communicates with a communication terminal that attacks the mobile network according to the number of times that the ATTACH process for registering information about the communication terminal that communicates with the base station is registered in a communication device arranged in the mobile network A signal monitoring unit to A base station controller configured to determine whether or not to perform ATTACH processing for the subordinate communication terminal in accordance with communication terminal identification information set in a signal transmitted from the subordinate communication terminal in the specific base station; A monitoring device. (Appendix 2) The communication device The monitoring apparatus according to appendix 1, wherein registration of information relating to a communication terminal for which the inappropriate communication terminal identification information is set is refused to be registered in the communication apparatus.
  • the communication device The registration according to appendix 1, wherein if the authentication information generated at the communication terminal and the authentication information generated within the mobile network do not match, information regarding the communication terminal is refused to be registered in the communication device.
  • Monitoring device The signal monitor unit A specific base station that communicates with a communication terminal that attacks the mobile network according to the number of messages for which a predetermined Cause value is set among messages transmitted when rejecting the ATTACH process.
  • the monitoring apparatus according to any one of appendices 1 to 3, which is estimated.
  • the base station controller Causing the specific base station to reject processing for registering information related to a communication terminal that has transmitted a signal set with the communication terminal identification information indicating that the communication terminal is the first communication terminal in the mobile network.
  • the monitoring device according to any one of appendices 1 to 4.
  • the base station controller The specific base station rejects processing for registering information related to a communication terminal that has transmitted a signal in which an IMSI included in a determination value having at least one value is set as the communication terminal identification information to the communication device.
  • the monitoring apparatus according to any one of 1 to 4.
  • the base station controller The monitoring apparatus according to any one of supplementary notes 1 to 6, wherein the specific base station is not allowed to execute processing for registering information related to communication terminals under the specific base station in the communication apparatus for a predetermined period.
  • the base station controller The monitoring device according to appendix 7, wherein the radio wave in the specific base station is stopped.
  • Appendix 9 Generates statistical data on the number of messages transmitted and received at the base station, and activates the signal monitoring unit and the base station control unit when a traffic tendency different from the traffic tendency indicated in the statistical data is generated
  • the monitoring apparatus according to any one of appendices 1 to 8, further comprising a wireless signal monitor unit.
  • a signal monitoring unit that estimates whether a terminal exists;
  • a base station comprising: a signal control unit that determines whether or not to perform ATTACH processing on the communication terminal according to communication terminal identification information set in a signal transmitted from a communication terminal located in the communication area .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

モバイルネットワークへのＤｏＳ攻撃の脅威を軽減することができる監視装置を提供することを目的とする。本発明にかかる監視装置（１０）は、基地局（２０）と通信する通信端末（３０）に関する情報をモバイルネットワークに配置されている通信装置（４０）へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、モバイルネットワークへ攻撃を行う通信端末（３０）と通信する特定基地局を推定する信号モニタ部（１１）と、特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる基地局制御部（１２）と、を備えるものである。

Description

監視装置、基地局、監視方法、制御方法、及び非一時的なコンピュータ可読媒体
　本発明は監視装置、基地局、監視方法、制御方法、及びプログラムに関し、特にモバイルネットワークに対する攻撃を監視する監視装置、基地局、監視方法、制御方法、及びプログラムに関する。
　通信端末が携帯電話事業者によって運用されるモバイルネットワークを利用して通信を行うために、モバイルネットワークを構成する装置において様々な処理が実行される。非特許文献１には、通信端末のＡＴＴＡＣＨ処理手順が記載されている。ＡＴＴＡＣＨ処理を実行することによって、通信端末の認証、及び通信端末がデータを送受信するために用いられる通信ベアラの設定等が行われる。
3GPP TS23.401 V13.3.0 (2015-06)
　近年、モバイルネットワークへのＤｏＳ（Denial of Service）攻撃の脅威が高まっている。例えば、大量の制御信号がモバイルネットワークへ送信された場合、モバイルネットワーク内において制御信号の処理を担うノード装置に大きな負荷が発生する。さらに、大量の制御信号がモバイルネットワーク内において伝送されることによって、伝送路が輻輳に陥る可能性もある。携帯電話事業者は、全世界からのGlobal roamingサービスを提供するために、通信端末の認証等を行う際に、他の携帯電話事業者が運用するモバイルネットワークと連携した制御を行う必要がある。そのため、モバイルネットワークへのＤｏＳ攻撃は、一つの携帯電話事業者が運用するモバイルネットワークのみならず複数の携帯電話事業者が運用するモバイルネットワークに影響を与える可能性がある。
　そこで、モバイルネットワークを安定して運用するために、モバイルネットワークへのＤｏＳ攻撃の脅威を軽減することが望まれている。
　本発明の目的は、モバイルネットワークへのＤｏＳ攻撃の脅威を軽減することができる監視装置、基地局、監視方法、制御方法、及びプログラムを提供することにある。
　本発明の第１の態様にかかる監視装置は、基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定する信号モニタ部と、前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる基地局制御部と、を備えるものである。
　本発明の第２の態様にかかる基地局は、自装置が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定する信号モニタ部と、前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定する信号制御部と、を備えるものである。
　本発明の第３の態様にかかる監視方法は、基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させるものである。
　本発明の第４の態様にかかる制御方法は、基地局が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定し、前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定するものである。
　本発明の第５の態様にかかるプログラムは、基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させることをコンピュータに実行させるものである。
　本発明により、モバイルネットワークへのＤｏＳ攻撃の脅威を軽減することができる監視装置、基地局、監視方法、制御方法、及びプログラムを提供することができる。
実施の形態１にかかる通信システムの構成図である。 実施の形態２にかかるモバイルネットワークの構成図である。 実施の形態２にかかるInitial Attach処理の概要を示す図である。 実施の形態２にかかるInitial Attach処理の概要を示す図である。 実施の形態２にかかるＵＥが攻撃を行った場合の処理の流れを示す図である。 実施の形態２にかかるＵＥが攻撃を行った場合の処理の流れを示す図である。 実施の形態２にかかるＵＥが攻撃を行った場合の処理の流れを示す図である。 実施の形態２にかかるｅＮＢの構成図である。 実施の形態２にかかるｅＮＢにおけるＵＥからの攻撃を防御する処理の流れを示す図である。 実施の形態２にかかるＡＴＴ　ＵＥとｅＮＢとの間におけるＡＴＴ　ＵＥからの攻撃を防御する際の処理の流れを示す図である。 実施の形態２にかかるモバイルネットワークの構成図である。 実施の形態３にかかるCause値の一覧を示す図である。 実施の形態４にかかるＡＴＴ　ＵＥとｅＮＢとの間におけるＡＴＴ　ＵＥからの攻撃を防御する際の処理の流れを示す図である。 実施の形態５にかかるモバイルネットワークの構成図である。 実施の形態５にかかるモバイルネットワークの構成図である。 実施の形態５にかかるモバイルネットワークの構成図である。 それぞれの実施の形態におけるノード装置の構成図である。
　（実施の形態１）
　以下、図面を参照して本発明の実施の形態について説明する。図１を用いて本発明の実施の形態１にかかる通信システムの構成例について説明する。図１の通信システムは、監視装置１０、基地局２０、通信端末３０、通信装置４０、及び、加入者データ装置５０を有している。監視装置１０、基地局２０、通信端末３０、通信装置４０、及び、加入者データ装置５０は、プロセッサがメモリに格納されているプログラムを実行することによって動作するコンピュータ装置であってもよい。
　基地局２０、通信装置４０、及び加入者データ装置５０は、３ＧＰＰ（3rd Generation Partnership Project）において規定されているノード装置であってもよい。例えば、基地局２０は、ＮｏｄｅＢもしくはｅＮＢ（evolved NodeB）であってもよい。通信装置４０は、ＳＧＳＮ（Serving GPRS Support Node）もしくはＭＭＥ（Mobility Management Entity）であってもよい。また、加入者データ装置５０は、ＨＳＳ（Home Subscriber Server）もしくはＨＬＲ（Home Location Register）であってもよい。
　通信端末３０は、基地局２０と無線通信する端末である。通信端末３０は、例えば、携帯電話端末、スマートフォン、またはタブレット型端末等であってもよい。あるいは、通信端末３０は、Ｍ２Ｍ（Machine to Machine）端末またはＭＴＣ（Machine Type Communication）端末等であってもよい。
　続いて、監視装置１０の構成例について説明する。監視装置１０は、信号モニタ部１１及び基地局制御部１２を有している。信号モニタ部１１及び基地局制御部１２は、プロセッサがメモリに格納されているプログラムを実行することによって処理が実行されるソフトウェアもしくはモジュールであってもよい。あるいは、信号モニタ部１１及び基地局制御部１２は、回路もしくはチップ等のハードウェアであってもよい。
　信号モニタ部１１は、基地局２０と通信する通信端末３０に関する情報を通信装置４０へ登録するＡＴＴＡＣＨ処理を拒否された回数を監視する。さらに、信号モニタ部１１は、監視結果に応じて、モバイルネットワークへ攻撃を行う通信端末と通信する基地局を推定する。モバイルネットワークへ攻撃を行う通信端末と通信する基地局を、以下において、特定基地局と称する。特定基地局は、基地局を構成するセクタの場合であってもかまわない。
　モバイルネットワークは、例えば、基地局２０、通信装置４０、及び、加入者データ装置５０を含むネットワークである。
　ＡＴＴＡＣＨ処理は、通信端末３０がモバイルネットワークを利用することを可能とするために行われる処理である。通信端末３０に関する情報は、例えば、通信端末３０の位置に関する情報であってもよい。
　通信装置４０は、例えば、通信端末３０の認証を行えない場合、もしくは通信端末３０がモバイルネットワークを利用することができない通信端末である場合等に、通信端末３０に関する情報を登録することを拒否する。具体的には、通信端末３０が、通信端末の識別情報を偽装した場合等に、通信端末３０の認証を行えないと判断される。通信装置４０は、通信端末３０に関する加入者情報を保持する加入者データ装置５０と通信を行う事で、通信端末３０に関する情報の登録を拒否してもかまわない。
　信号モニタ部１１は、例えば、基地局２０に帰属する通信端末に関する情報を通信装置４０へ登録することを拒否された回数が、任意の閾値を超えた場合に、基地局２０に、モバイルネットワークへ攻撃を行う通信端末が存在すると推定する。つまり、信号モニタ部１１は、基地局２０を特定基地局と推定する。
　基地局制御部１２は、特定基地局と推定された基地局２０配下の通信端末３０等から送信された信号に設定されている通信端末識別情報に応じて、通信端末３０等の情報を通信装置４０へ登録する処理を実行するか否かを基地局２０が判定することを基地局２０に指示する。
　基地局２０は、配下のすべての通信端末に関する情報を通信装置４０へ登録する処理を実行するのではなく、通信端末識別情報に基づいて、一部もしくは全ての通信端末に関する情報を通信装置４０へ登録する処理を行わないことになる。
　以上説明したように、図１の通信システムを用いることによって、監視装置１０は、モバイルネットワークを攻撃する通信端末と通信している特定基地局を推定することができる。さらに、監視装置１０は、特定基地局において、通信端末に関する情報を通信装置４０へ登録する処理を実行するか否かを判定させることができる。
　これより、基地局２０が、通信端末に関する情報を通信装置４０へ登録する処理の回数を減少させることができる。そのため、モバイルネットワークを攻撃する通信端末が存在する場合であっても、信号数の増加を抑えることができる。
　（実施の形態２）
　続いて、図２を用いて本発明の実施の形態２にかかるモバイルネットワークの構成例について説明する。図２のモバイルネットワークは、３ＧＰＰにおいて規定されているノード装置を用いて構成されている。図２のモバイルネットワークは、ＵＥ（User Equipment）３１～３３、ＡＴＴ（ATTACKER）　ＵＥ３４、ｅＮＢ２１、ｅＮＢ２２、ＭＭＥ４１、ＨＳＳ５１、ＳＧＷ（Serving Gateway）６１、ＰＧＷ（Packet Data Network Gateway）６２、及びＰＣＲＦ（Policy and Charging Rule Function）６３を有している。
　また、図２は、主にＵＥ３１～３３及びＡＴＴ　ＵＥ３４に関するPDN Connectionもしくは通信ベアラを設定する際に用いられる制御データもしくはC-Planeデータの通信経路を示している。
　ＵＥ３１～３３、及びＡＴＴ　ＵＥ３４は、図１の通信端末３０に相当する。ＵＥは、３ＧＰＰにおける通信端末の総称である。また、ＡＴＴ　ＵＥ３４は、モバイルネットワークを攻撃するＵＥを示している。
　ｅＮＢ２１及びｅＮＢ２２は、図１の基地局２０に相当する。ｅＮＢ２１及びｅＮＢ２２は、無線通信方式としてＬＴＥをサポートする基地局である。
　ＭＭＥ４１は、図１の通信装置４０に相当する。ＭＭＥ４１は、ＵＥ３１～３３及びＡＴＴ　ＵＥ３４の位置情報を管理する。ＨＳＳ５１は、図１の加入者データ装置５０に相当する。ＨＳＳ５１は、ＵＥ３１～３３及びＡＴＴ　ＵＥ３４の加入者情報を管理する。
　ＳＧＷ６１及びＰＧＷ６２は、ＵＥ３１～３３及びＡＴＴ　ＵＥ３４に関するユーザデータを伝送するゲートウェイ装置である。ユーザデータは、U-Planeデータと称されてもよい。
　ＰＣＲＦ６３は、ＵＥ３１～３３及びＡＴＴ　ＵＥ３４に関するＱｏＳ（Quality of Service）制御及び課金制御を実行する装置である。また、ＰＣＲＦ６３は、ＰＣＲＦエンティティもしくはＰＣＲＦ装置等と称されてもよい。
　ここで、ＡＴＴ　ＵＥ３４が実行するモバイルネットワークに対する攻撃について説明する。ＡＴＴ　ＵＥ３４は、例えば、モバイルネットワークに対して、ＤｏＳ攻撃を行う。具体的には、ＡＴＴ　ＵＥ３４は、Initial Attach処理を繰り返し実行することによって、モバイルネットワークにおいて伝送される制御データを増加させる。モバイルネットワーク内の各ノード装置は、制御データが増加することによって、実行する処理が増加し、処理負担が増加する。
　図３及び図４を用いて、３ＧＰＰに規定されているInitial Attach処理の概要を説明する。図３及び図４においては、モバイルネットワークに対して攻撃を実行しない一般的なＵＥ３１のInitial Attach処理の概要を説明する。Initial Attach処理は、ＵＥ３１が初めて電源を投入した場合、もしくは、ＵＥ３１が外国からローミングしてきて、初めてｅＮＢ２１と通信を行う場合に実行される。
　はじめに、ＵＥ３１は、ｅＮＢ２１へRRC（Radio Resource Control） connection Requestメッセージを送信する（Ｓ２１）。ＵＥ３１が初めてｅＮＢ２１と通信を行う場合、ＵＥ３１とｅＮＢ２１との間の無線区間についてセキュリティが確保されていない。そのため、ＵＥ３１は、ステップＳ２１において、ＵＥ３１の識別情報として任意の値をRRC connection Requestメッセージに設定する。任意の値は、例えば、random valueと称されてもよい。ＵＥ３１は、例えば、UE identity=random valueとの情報をRRC connection Requestメッセージに設定する。
　次に、ｅＮＢ２１は、RRC connection Requestメッセージに対する応答メッセージとして、RRC connection setupメッセージをＵＥ３１へ送信する（Ｓ２２）。次に、ＵＥ３１は、ＮＡＳ（Non-Access Stratum）プロトコルにおいて用いられるＮＡＳメッセージを含むRRC connection setup completeメッセージをｅＮＢ２１へ送信する（Ｓ２３）。例えば、ＮＡＳメッセージとして、ATTACHリクエストメッセージが設定される。ＵＥ３１は、ATTACHリクエストメッセージに、ＵＥ３１の識別情報としてＩＭＳＩ（International Mobile Subscriber Identity）を設定する。具体的には、ＵＥ３１は、ATTACHリクエストメッセージに、Mobile Identity=IMSIとして設定する。ＩＭＳＩは、通信事業者によって運用される全てのモバイルネットワークにおいてＵＥを一意に識別する識別番号である。
　次に、ｅＮＢ２１は、ＵＥ３１に関する位置情報を管理するＭＭＥを選択する（Ｓ２４）。例えば、ｅＮＢ２１は、ＭＭＥの負荷状況等を考慮して、ＭＭＥを選択してもよい。ここでは、ｅＮＢ２１は、ＭＭＥ４１を選択したとする。
　次に、ｅＮＢ２１は、ＭＭＥ４１へ、Mobile Identity=IMSIが設定されたATTACHリクエストメッセージを含むInitial UE messageを送信する（Ｓ２５）。
　次に、ＭＭＥ４１は、ＵＥ３１に関する認証処理を実行するために、ＵＥ３１のＩＭＳＩを設定したAuthentication Information RequestメッセージをＨＳＳ５１へ送信する（Ｓ２６）。次に、ＨＳＳ５１は、ＵＥ３１のＩＭＳＩに関連づけられたAuthentication Vectorsを含むAuthentication Information AnswerメッセージをＭＭＥ４１へ送信する（Ｓ２７）。Authentication Vectorsは、ＭＭＥ４１において、ＵＥ３１に関する認証を行うために必要なパラメータを含む。例えば、Authentication Vectorsには、RAND（Random challenge）、AUTN（Authentication token）、及びXRES（Expected user response）等のパラメータが含まれる。
　次に、ＭＭＥ４１は、ＨＳＳ５１から送信されたRAND及びAUTNを含むAuthentication RequestメッセージをＵＥ３１へ送信する（Ｓ２８）。次に、ＵＥ３１は、ＭＭＥ４１から送信されたRAND及びAUTNを用いて、RES（User response）を算出する。ＵＥ３１は、算出したRESを含むAuthentication ResponseメッセージをＭＭＥ４１へ送信する（Ｓ２９）。
　次に、ＭＭＥ４１は、ＵＥ３１から送信されたRESと、ＨＳＳ５１から送信されたXRESとを用いてＵＥ３１に関する認証処理を実行する（Ｓ３０）。具体的には、ＭＭＥ４１は、RESとXRESとが一致するか否かを判定する。ＭＭＥ４１は、RESとXRESとが一致すると、ＵＥ３１がモバイルネットワークを利用することを許可する。ステップＳ３０において、ＭＭＥ４１は、ＵＥ３１がモバイルネットワークを利用することを許可したとする。
　次に、ＭＭＥ４１は、セキュリティアソシエーションを確立するために、セキュリティアソシエーションにおいて使用するセキュリティアルゴリズムを含むSECURITY MODE COMMANDメッセージをＵＥ３１へ送信する（Ｓ３１）。次に、ＵＥ３１は、SECURITY MODE COMMANDメッセージに対する応答メッセージとして、SECURITY MODE COMPLETEメッセージをＭＭＥ４１へ送信する（Ｓ３２）。
　次に、ＭＭＥ４１は、ＨＳＳ５１において保持されているＵＥ３１に関する位置情報を更新するために、Update Location RequestメッセージをＨＳＳ５１へ送信する（Ｓ３３）。次に、ＨＳＳ５１は、Update Location Requestメッセージに対する応答メッセージとして、Update Location AckメッセージをＭＭＥ４１へ送信する（Ｓ３４）。
　次に、ＭＭＥ４１は、通信ベアラを設定するために、ＳＧＷ６１へCreate Session Requestメッセージを送信する（Ｓ３５）。さらに、ＳＧＷ６１は、ＰＧＷ６２へCreate Session Requestメッセージを送信する（Ｓ３６）。次に、ＰＧＷ６２は、ＵＥ３１に関するPDN（Packet Data Network） Connectionに適用するＱｏＳを決定するために、ＰＣＲＦ６３とＱｏＳ交渉に関するメッセージを交換する（Ｓ３７）。
　次に、ＰＧＷ６２は、ステップＳ３６におけるCreate Session Requestメッセージに対する応答メッセージとして、Create Session ResponseメッセージをＳＧＷ６１へ送信する（Ｓ３８）。さらに、ＳＧＷ６１は、ステップＳ３５におけるCreate Session Requestメッセージに対する応答メッセージとして、Create Session ResponseメッセージをＭＭＥ４１へ送信する（Ｓ３９）。
　次に、ＭＭＥ４１は、ＵＥ３１とｅＮＢ２１との間の無線設定を行う（Ｓ４０）。次に、ＭＭＥ４１は、無線設定後に、通信ベアラを更新するために、ＳＧＷ６１との間において、Modify Bearer Requestメッセージ及びModify Bearer Responseメッセージを送受信する（Ｓ４１及びＳ４２）。
　次に、ＭＭＥ４１は、ＵＥ３１の一時的な識別情報としてＧＵＴＩ（Globally Unique Temporary Identity）をＵＥ３１に割り当てる（Ｓ４３）。次に、ＭＭＥ４１は、ＧＵＴＩを含むATTACH AcceptメッセージをＵＥ３１へ送信する（Ｓ４４）。
　ステップＳ４４までの処理が実行され、ＡＴＴＡＣＨ処理が正常に完了すると、ＵＥ３１は、ＧＵＴＩを有することになる。これ以降、ＵＥ３１が再びＡＴＴＡＣＨ処理を実行する場合には、ＵＥ３１は、ステップＳ２１において送信するRRC connection Requestメッセージに、UE identity=S-TMSI（SAE-Temporary Mobile Subscriber Identity）を設定する。Ｓ－ＴＭＳＩは、ＵＥ３１を識別する情報としてＧＵＴＩに含まれる値である。つまり、ＵＥ３１が再びＡＴＴＡＣＨ処理を実行する場合、UE identity=random valueを設定する代わりに、UE identity=S-TMSIを設定する。
　ここで、モバイルネットワークを攻撃する意図を有するＡＴＴ　ＵＥ３４が実行するInitial Attach処理について説明する。例えば、ＡＴＴ　ＵＥ３４を用いた攻撃方法として、以下の攻撃が考えられる。
（１）ＡＴＴ　ＵＥ３４の識別情報として、ビット数もしくは番号形態等が不適切なＩＭＳＩを用いてInitial Attach処理を実行する。
（２）ＡＴＴ　ＵＥ３４の識別情報として、通信事業者によって運用されるいずれのモバイルネットワークにおいても管理されていない値のＩＭＳＩを設定し、Initial Attach処理を実行する。
（３）ＡＴＴ　ＵＥ３４の識別情報として、他のＵＥのＩＭＳＩを設定し、他のＵＥに成りすましてInitial Attach処理を実行する。
　図５を用いて、ＡＴＴ　ＵＥ３４が、上述した（１）の攻撃を実行した場合の処理の流れについて説明する。ステップＳ５１～Ｓ５５は、図３のステップＳ２１～Ｓ２５と同様であるため詳細な説明を省略する。
　ＭＭＥ４１は、ステップＳ５５において、不適切なＩＭＳＩが設定されたATTACHリクエストメッセージを含むInitial UE messageを受信すると、ATTACHリジェクトメッセージを含むInitial Context Setup RequestメッセージをｅＮＢ２１へ送信する（Ｓ５６）。次に、ｅＮＢ２１は、ATTACHリジェクトメッセージを含むRRC connection ReconfigurationメッセージをＡＴＴ　ＵＥ３４へ送信する（Ｓ５７）。
　以上説明したように、ＡＴＴ　ＵＥ３４が上述した（１）の攻撃を実行した場合、ステップＳ５１～Ｓ５７の処理が実行される。
　続いて、図６を用いて、ＡＴＴ　ＵＥ３４が上述した（２）の攻撃を実行した場合の処理の流れについて説明する。ステップＳ６１～Ｓ６６は、図３のステップＳ２１～Ｓ２６と同様であるため詳細な説明を省略する。ＨＳＳ５１は、ステップＳ６６において、通信事業者によって運用されるいずれのモバイルネットワークにおいて管理されていない値のＩＭＳＩを受信する。この場合、ＨＳＳ５１は、受信したＩＭＳＩの値が存在しないとするCauseを設定したAuthentication Information AnswerメッセージをＭＭＥ４１へ送信する（Ｓ６７）。受信したＩＭＳＩの値が存在しないとするCauseは、例えば、EPS services and non-EPS services not allowed等であってもよい。
　次に、ＭＭＥ４１は、受信したＩＭＳＩの値が存在しないとするCauseを設定したAuthentication Information Answerメッセージを受信すると、ATTACHリジェクトメッセージを含むInitial Context SetupメッセージをｅＮＢ２１へ送信する（Ｓ６８）。次に、ｅＮＢ２１は、ATTACHリジェクトメッセージを含むRRC connection ReconfigurationメッセージをＡＴＴ　ＵＥ３４へ送信する（Ｓ６９）。
　以上説明したように、ＡＴＴ　ＵＥ３４が上述した（２）の攻撃を実行した場合、ステップＳ６１～Ｓ６９の処理が実行される。
　続いて、図７を用いて、ＡＴＴ　ＵＥ３４が上述した（３）の攻撃を実行した場合の処理の流れについて説明する。ステップＳ７１～Ｓ７９は、図３のステップＳ２１～Ｓ２９と同様であるため詳細な説明を省略する。
　ＡＴＴ　ＵＥ３４は、他のＵＥのＩＭＳＩを設定し、他のＵＥに成りすましている。そのため、ＡＴＴ　ＵＥ３４は、ステップＳ７８において送信されたRAND及びAUTNを用いても、ＨＳＳ５１が生成したXRESと同じ値のRESを生成することができない。そのため、ＭＭＥ４１は、ＡＴＴ　ＵＥ３４の認証において、ステップＳ７９において送信されたRESと、ステップＳ７７において送信されたXRESとが異なると判定する（Ｓ８０）。つまり、ＭＭＥ４１は、ＡＴＴ　ＵＥ３４がモバイルネットワークを利用することを拒否する。
　次に、ｅＮＢ２１は、Authentication rejectメッセージをＡＴＴ　ＵＥ３４へ送信する（Ｓ８１）。
　以上説明したように、ＡＴＴ　ＵＥ３４が上述した（３）の攻撃を実行した場合、ステップＳ７１～Ｓ８１の処理が実行される。
　続いて、図８を用いて本発明の実施の形態２にかかるｅＮＢ２１の構成例について説明する。ｅＮＢ２１は、ＲＲＣ信号モニタ部７１及びＮＡＳ信号制御部７２を有している。さらに、ＮＡＳ信号制御部７２は、ＮＡＳ信号モニタ部７３及び信号制御部７４を有している。
　ＮＡＳ信号モニタ部７３は、図１の信号モニタ部１１に相当する。信号制御部７４は、図１の基地局制御部１２に相当する。つまり、ＮＡＳ信号制御部７２は、図１における監視装置１０が実行する機能と同様の機能を実行する。言い換えると、図８は、図１における監視装置１０が、基地局２０であるｅＮＢ２１に含まれる構成を示している。
　ＲＲＣ信号モニタ部７１は、ｅＮＢ２１が形成する通信エリアに在圏している複数のＵＥから送信されるＲＲＣ信号を監視、もしくはモニタする。ＲＲＣ信号モニタ部７１は、任意の時間ごと、一日ごと、一週間ごと、一カ月ごと、もしくは一年ごと等にｅＮＢ２１において送受信したＲＲＣ信号を監視し、ＲＲＣ信号数に関する統計データを生成してもよい。ＲＲＣ信号モニタ部７１は、統計データを生成することによって、一日のうちどの時間にトラヒックが大量に発生したか、一週間のうちどの曜日にトラヒックが大量に発生したか等を把握することができる。
　さらに、ＲＲＣ信号モニタ部７１は、トラヒックが大量に発生した要因として、気象情報、イベント情報等とを関連付けてもよい。イベント情報とは、例えば、コンサート、集会等の人が多く集まるイベントであってもよい。
　ＲＲＣ信号モニタ部７１が、統計データを生成することによって、通常とは違うトラヒックの傾向を検出した場合、つまり、ネットワーク動作の異常を検出した場合に、ＡＴＴ　ＵＥ３４が存在しているか否かを検証する処理を実行してもよい。ＡＴＴ　ＵＥ３４が存在しているか否かを検証する処理は、ＮＡＳ信号制御部７２において実行される。そのため、ＲＲＣ信号モニタ部７１は、ネットワーク動作の異常を検出した場合に、ＮＡＳ信号制御部７２を起動してもよい。この場合、ＮＡＳ信号制御部７２は、通常は停止している状態である。
　ＮＡＳ信号モニタ部７３は、ＭＭＥ４１との間において送受信されるメッセージを監視する。例えば、ＮＡＳ信号モニタ部７３は、図５のステップＳ５６もしくは図６のステップＳ６８において受信したATTACHリジェクトメッセージの数を数える。また、ＮＡＳ信号モニタ部７３は、図７のステップＳ８１においてＭＭＥ４１から送信されたAuthentication rejectメッセージの数を数える。
　ＮＡＳ信号モニタ部７３は、単位時間において送受信したATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数が、任意の閾値を超えた場合に、ＡＴＴ　ＵＥ３４が存在すると想定する。任意の閾値は、一定値が用いられてもよく、動的に変更されてもよい。
　例えば、任意の閾値は、ＲＲＣ信号モニタ部７１において生成された統計データに基づいて動的に変更されてもよい。具体的には、ＲＲＣ信号モニタ部７１において生成された統計データを分析することによって、トラヒックが多くもしくは少なく発生する時間帯、曜日、季節、もしくは気象条件等を想定することができる。これより、トラヒックが多く発生する時間帯等においては、閾値を高く設定し、トラヒックが少なく発生する時間帯においては、閾値を低く設定してもよい。
　また、人が多く集まるイベントが開催される日程が予め判明している場合、イベントが開催される日程における閾値を高く設定してもよい。
　信号制御部７４は、ＮＡＳ信号モニタ部７３において、単位時間において送受信したATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数が、任意の閾値を超えたと判定された場合に、ｅＮＢ２１が形成する通信エリアに位置するＵＥのうち一部のＵＥに関するInitial Attach処理を拒否する。Initial Attach処理を拒否する対象となる一部のＵＥは、例えば、RRC connection Requestメッセージにおいて、UE identity=random valueが設定されているＵＥとしてもよい。言い換えると、Initial Attach処理を拒否する対象となる一部のＵＥは、RRC connection Requestメッセージにおいて、UE identityに、S-TMSIが設定されていないＵＥとしてもよい。
　さらに、信号制御部７４は、ｅＮＢ２１が形成する通信エリアに位置するＵＥのうち一部のＵＥに関するInitial Attach処理を拒否する処理を実行する時間を設定してもよい。信号制御部７４は、設定した時間を経過した場合、ｅＮＢ２１が形成する通信エリアに位置するＵＥのうち一部のＵＥに関するInitial Attach処理を拒否する処理を解除する。
　RRC connection Requestメッセージにおいて、UE identity=random valueが設定されているＵＥとは、はじめて電源を投入したＵＥ、もしくは、海外等の他のモバイルネットワークからローミングしてきたＵＥが対象となる。また、多くのＡＴＴ　ＵＥ３４は、図５～図７において説明したように、Initial Attach処理を正常に終了することができないため、攻撃を行うために繰り返しInitial Attach処理を行う場合、UE identityにS-TMSIを設定することができない。S-TMSIは、正常にInitial Attach処理を終了した場合に、ＵＥに割り当てられるＧＵＴＩに含まれる識別情報だからである。
　そのため、RRC connection Requestメッセージにおいて、UE identity=random valueが設定されているＵＥのInitial Attach処理を拒否することによって、ＡＴＴ　ＵＥ３４が実行する攻撃を減少させることができる。
　また、モバイルネットワークを攻撃する意思のないＵＥであって、はじめて電源を投入したＵＥ、もしくは、海外等の他のモバイルネットワークからローミングしてきたＵＥについても、Initial Attach処理を拒否する対象となることがある。このようなＵＥについては、一定時間経過後に、Initial Attach処理を拒否する処理が解除された後に、正常にInitial Attach処理を終了することができる。また、UE identity=random valueが設定されているＵＥのInitial Attach処理を拒否する動作は、特定基地局のみ行われることより、モバイルネットワークを攻撃する意思のないＵＥが特定基地局外のエリアに移動する事で正常にInitial Attach処理を終了することができる。ただし、UE identity=random valueが設定されているＵＥのInitial Attach処理を拒否する動作は、特定基地局の近隣基地局を含む複数の基地局で実施されてもかまわない。
　続いて、図９を用いて、ｅＮＢ２１におけるＡＴＴ　ＵＥ３４からの攻撃を防御する処理の流れについて説明する。はじめに、ＲＲＣ信号モニタ部７１は、生成した統計データからネットワーク動作の異常を検出したか否かを判定する（９１）ＲＲＣ信号モニタ部７１は、ネットワーク動作の異常を検出しなかった場合、ステップＳ９１の処理を繰り返す。ＲＲＣ信号モニタ部７１がネットワーク動作の異常を検出した場合、ＮＡＳ信号モニタ部７３は、ＡＴＴ　ＵＥ３４が存在するか否かを判定する（Ｓ９２）。
　ＮＡＳ信号モニタ部７３は、ＡＴＴ　ＵＥ３４が存在しないと判定した場合、ステップＳ９１の処理を繰り返す。ＮＡＳ信号モニタ部７３がＡＴＴ　ＵＥ３４が存在すると想定した場合、信号制御部７４は、ｅＮＢ２１が形成する通信エリアに位置するＵＥのうち一部のＵＥに関するInitial Attach処理を拒否する（Ｓ９３）。
　続いて、図１０を用いて、ＡＴＴ　ＵＥ３４とｅＮＢ２１との間におけるＡＴＴ　ＵＥ３４からの攻撃を防御する際の処理の流れについて説明する。図１０は、図９におけるステップＳ９３に関連するシーケンスである。はじめに、ＡＴＴ　ＵＥ３４は、UE identity=random valueを設定したRRC connection RequestメッセージをｅＮＢ２１へ送信する（Ｓ１０１）。
　次に、ｅＮＢ２１は、受信したRRC connection Requestメッセージに、UE identity=random valueが設定されていると判定する（Ｓ１０２）。次に、ｅＮＢ２１は、ＡＴＴ　ＵＥ３４へ、RRC connection Rejectメッセージを送信する（Ｓ１０３）。
　以上説明したように、本発明の実施の形態２にかかるｅＮＢ２１は、単位時間において受信したATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数を監視することによって、ＡＴＴ　ＵＥ３４が存在するか否かを推定することができる。さらに、ｅＮＢ２１は、ＡＴＴ　ＵＥ３４が存在すると推定した場合、UE identity=random valueが設定されたRRC connection Requestメッセージを送信してきたＵＥに関するInitial Attach処理を拒否する。UE identity=random valueが設定されたRRC connection Requestメッセージを送信してきたＵＥには、ＡＴＴ　ＵＥ３４が含まれている可能性が高いため、ｅＮＢ２１は、ＡＴＴ　ＵＥ３４による攻撃を防御することができる。
　また、モバイルネットワークを攻撃する意思のないＵＥがInitial Attach処理を拒否された場合、UE identity=random valueが設定されたRRC connection Requestメッセージを送信してきたＵＥに関するInitial Attach処理を拒否する処理が解除された後に、ＵＥが再度Initial Attach処理を実行することによって、正常にInitial Attach処理を終了することができる。また、UE identity=random valueが設定されているＵＥのInitial Attach処理を拒否する動作は、特定基地局のみ行われることより、モバイルネットワークを攻撃する意思のないＵＥが特定基地局外のエリアに移動する事で正常にInitial Attach処理を終了することができる。
　UE identity=random valueが設定されたRRC connection Requestメッセージを送信してきたＵＥは、はじめて電源を投入したＵＥ、もしくは、海外等の他のモバイルネットワークからローミングしてきたＵＥが対象となる。そのため、既にモバイルネットワークにおいて正常にInitial Attach処理が完了しているＵＥのサービスに影響を与えることはない。
　また、実施の形態２においては、図２のＬＴＥをサポートするモバイルネットワークの構成について主に説明したが、図１１に示す、第２世代携帯電話システムもしくは第３世代携帯電話システムと称される方式をサポートするモバイルネットワークが用いられてもよい。図１１のモバイルネットワークは、ＵＥ３１～３３、ＡＴＴ　ＵＥ３４、ＮＢ（NodeB）２３、ＮＢ２４、ＲＮＣ２５、ＳＧＳＮ４２、ＧＧＳＮ４３、ＨＳＳ５１、及びＰＣＲＦ６３を有する。ＮＢ２３及びＮＢ２４は、第２世代携帯電話システム及び第３世代携帯電話システムに用いられる無線方式をサポートする基地局である。ＲＮＣ２５は、ｅＮＢ２１もしくはｅＮＢ２２に相当し、無線基地局を制御する制御装置である。なお、ｅＮＢ２１及びｅＮＢ２２は、ＲＮＣ２５に相当する機能を有する基地局として動作する。ＳＧＳＮ４２は、ＭＭＥ４１に相当し、ＵＥの位置情報の管理及びユーザデータの伝送等を行う装置である。ＧＧＳＮ４３は、ＰＧＷ６２に相当する。
　図１１においては、ＲＮＣ２５が、図８におけるＲＲＣ信号モニタ部７１及びＮＡＳ信号制御部７２を有することによって、図２におけるｅＮＢ２１と同様の処理を実行することができる。
　また、上述した（１）～（３）以外の攻撃方法として、以下の攻撃方法も想定される。図７のステップＳ７８において、ＭＭＥ４１がAuthentication RequestメッセージをＡＴＴ　ＵＥ３４へ送信した場合に、ＡＴＴ　ＵＥ３４は、ｅＮＢ２１とのコネクションを切断しておく、もしくは、わざと処理を行わずにAuthentication Requestメッセージに対する応答メッセージを送信しない。この場合、一定時間、ＭＭＥ４１において、ＡＴＴ　ＵＥ３４とのセッションを維持することになるため、ＭＭＥ４１において管理するセッション数が多くなる。
　このような場合、ＭＭＥ４１は、一定時間経過後にAuthentication Requestメッセージを再送信し、再送信後も応答メッセージを受信しない場合、タイムアウトによって、ＡＴＴ　ＵＥ３４とのセッションを切断する。そのため、ＮＡＳ信号モニタ部７３は、単位時間当たりに、再送信したメッセージ数、もしくはタイムアウトした回数が任意の閾値を超えた場合に、ＡＴＴ　ＵＥ３４が存在すると想定してもよい。
　（実施の形態３）
　続いて、実施の形態３にかかるＡＴＴ　ＵＥ３４の存在を推定する処理について説明する。実施の形態３にかかるｅＮＢ２１の構成は、図８と同様であるため詳細な説明を省略する。実施の形態３においては、ＮＡＳ信号モニタ部７３が、予め定められたCause値を有するATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数を監視する。
　Cause値は、ATTACHリジェクトメッセージもしくはAuthentication rejectメッセージを送信する理由を示す値である。例えば、ＮＡＳ信号モニタ部７３は、Initial Attach処理を実行するＵＥが不適切なＵＥであることを示すCause値を有するATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数を監視してもよい。不適切なＵＥであることを示すCause値は、例えば、図１２に示す値であってもよい。図１２は、3GPP TS 24.301 V13.3.0 (2015-09) Table 9.9.3.9.1:EMM cause information elementに示されているCause値の中から、不適切なＵＥであることを示すCause値を抽出している。
　以上説明したように、ＮＡＳ信号モニタ部７３は、全てのATTACHリジェクトメッセージ及びAuthentication rejectメッセージのうち、不適切なＵＥであることを示すCause値を有するATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数のみを数える。これにより、例えば、ｅＮＢ２１は、ＨＳＳ等に障害が発生した場合に発生するAuthentication rejectメッセージ等をカウントすることがなくなる。そのため、不適切なＵＥであることを示すCause値を有するATTACHリジェクトメッセージの数及びAuthentication rejectメッセージの数が閾値を超えた場合、全てのATTACHリジェクトメッセージ及びAuthentication rejectメッセージが閾値を超えた場合と比較して、ｅＮＢ２１は、ＡＴＴ　ＵＥ３４が存在する可能性を高精度に推定することができる。
　（実施の形態４）
　続いて、図１３を用いてＡＴＴ　ＵＥ３４とｅＮＢ２１との間におけるＡＴＴ　ＵＥ３４からの攻撃を防御する際の処理の流れについて説明する。ステップＳ１１１～Ｓ１１３は、図２のステップＳ２１～Ｓ２３と同様であるため詳細な説明を省略する。
　ｅＮＢ２１は、ステップＳ１１３においてRRC connection setup completeメッセージを受信すると、RRC connection setup completeメッセージに設定されたUE identityに特定の値の範囲（特定のレンジ）に含まれるIMSIが設定されていると判定する（Ｓ１１４）。次に、ｅＮＢ２１は、ステップＳ１１３において受信したRRC connection setup completeメッセージを破棄し、Initial Attach処理を停止する（Ｓ１１５）。
　ｅＮＢ２１は、ステップＳ１１４において用いる特定のレンジの値を、次のように設定してもよい。例えば、ｅＮＢ２１は、図５のステップＳ５６、図６のステップＳ６７、及び図７のステップＳ８１において、ATTACHリジェクトメッセージ及びAuthentication rejectメッセージが送信されることになったInitial Attach処理において、ＵＥが設定していたＩＭＳＩを含むようにレンジの値の幅を設定してもよい。レンジに含まれるＩＭＳＩの数は、任意の数であってもよい。
　以上説明したように、ｅＮＢ２１が、ＡＴＴ　ＵＥ３４が含まれている可能性の高い特定のレンジに含まれるＩＭＳＩが設定されたRRC connection setup completeメッセージを破棄することによって、ｅＮＢ２１において、ＡＴＴ　ＵＥ３４からのモバイルネットワークに対する攻撃を防御することができる。
　また、図１０及び図１３におけるＡＴＴ　ＵＥ３４からの攻撃を防御する方法を実行しても、ｅＮＢ２１においてInitial Attach処理に関するメッセージ数が減少しない場合、図５のステップＳ２１における、RRC connection Requestメッセージに設定されているUE identityによらず、一律、一定時間の間Initial Attach処理を拒否してもよい。
　さらに、一定時間の間、一律Initial Attach処理を拒否しても、ｅＮＢ２１においてInitial Attach処理に関するメッセージ数が減少しない場合、ＡＴＴ　ＵＥ３４からの攻撃を効果的に防御するために、ＡＴＴ　ＵＥ３４と通信していると推定されるｅＮＢ２１を一定時間の間停波もしくはAttach処理に関するメッセージを受け付けないようにしてもよい。もしくは、ＮＡＳ信号モニタ部７３が、ATTACHリジェクトメッセージ及びAuthentication rejectメッセージが送信されたInitial Attach処理において、ＵＥがアクセスしてくる周波数帯を検出している場合、ｅＮＢ２１において検出した周波数帯をサポートするセクタのみ停波してもよい。
　一般的に、ＡＴＴ　ＵＥ３４がＤｏＳ攻撃を行い、ＭＭＥ４１の処理負荷が上昇した場合に、ＭＭＥ４１配下の全てのｅＮＢにおいて発信規制等が行われ、広範囲においてＤｏＳ攻撃の影響が及ぶことがある。これに対して、ＡＴＴ　ＵＥ３４と通信していると推定されるｅＮＢ２１を一定時間の間停波、もしくは、ｅＮＢ２１の一部のセクタのみ停波することによって、ＤｏＳ攻撃の影響が及ぶ範囲を狭めることができる。
　（実施の形態５）
　続いて、図１４を用いて、図２及び図１１とは異なるモバイルネットワークの構成例について説明する。図１４のモバイルネットワークは、図２のモバイルネットワークに、Ｓｅｃｕｒｉｔｙ　ＧＷ８１及び監視装置９１を追加した構成である。Ｓｅｃｕｒｉｔｙ　ＧＷ８１は、ｅＮＢ２１及びｅＮＢ２２と接続している。また、監視装置９１は、Ｓｅｃｕｒｉｔｙ　ＧＷ８１とＭＭＥ４１との間の通信を中継する。
　また、ｅＮＢ２１とＳｅｃｕｒｉｔｙ　ＧＷ８１との間、さらに、ｅＮＢ２２とＳｅｃｕｒｉｔｙ　ＧＷ８１との間は、ＩＰｓｅｃにより通信経路のセキュリティが確保されていてもよい。
　監視装置９１は、図８におけるＲＲＣ信号モニタ部７１及びＮＡＳ信号制御部７２を有する装置である。つまり、監視装置９１が、ＡＴＴ　ＵＥ３４が存在するか否かを判定し、ＡＴＴ　ＵＥ３４と通信を行うｅＮＢにおいて、一部のＵＥに関するInitial Attach処理を拒否することを決定する。
　また、監視装置９１は、Ｓｅｃｕｒｉｔｙ　ＧＷ８１内に設けられてもよく、ＭＭＥ４１内に設けられてもよい。
　続いて、図１５を用いて、図２、図１１、及び図１４と異なるモバイルネットワークの構成例について説明する。図１５のモバイルネットワークは、図１１のモバイルネットワークに、Ｓｅｃｕｒｉｔｙ　ＧＷ８１及び監視装置９１を追加した構成である。Ｓｅｃｕｒｉｔｙ　ＧＷ８１は、ＲＮＣ２５と接続している。また、監視装置９１は、Ｓｅｃｕｒｉｔｙ　ＧＷ８１とＳＧＳＮ４２との間の通信を中継する。
　また、監視装置９１は、Ｓｅｃｕｒｉｔｙ　ＧＷ８１内に設けられてもよく、ＳＧＳＮ４２内に設けられてもよい。
　図１４及び図１５に示すように、監視装置９１は、ＭＭＥ４１またはＳＧＳＮ４２の前段に配置されてもよい。これによって、図８のように監視装置９１において実行される機能をモバイルネットワーク上の全てのｅＮＢもしくはＲＮＣに盛り込む必要がなくなる。そのため、図８のようにｅＮＢにおいて監視装置９１の機能を実行する場合と比較して、容易に、モバイルネットワークに、ＤｏＳ攻撃を防御するための機能を盛り込むことが可能となる。
　さらに、図１６に示すように、複数の監視装置９１を、ネットワーク管理装置１００が集約して管理するように構成されてもよい。ネットワーク管理装置１００は、ＥＭＳ（Element Management System）もしくはＮＭＳ（Network Management System）と称されてもよい。例えば、図１４において、ｅＮＢ２１及びｅＮＢ２２は、ＭＭＥ４１以外のＭＭＥとも通信を行うことがある。例えば、ｅＮＢ２１は、図５のステップＳ５４において、ＵＥ毎にＭＭＥを選択することが可能であるため、複数のＭＭＥと通信を行うことができる。
　Ｓｅｃｕｒｉｔｙ　ＧＷ８１に接続されている監視装置９１は、ｅＮＢから送信されるメッセージ及びｅＮＢを宛先とするメッセージを監視することによってｅＮＢ毎に発生するメッセージの数を監視する。しかし、それぞれのｅＮＢは、複数のＭＭＥと通信を行っているため、それぞれのｅＮＢが他のＭＭＥと通信を行う場合のメッセージは、監視装置９１とは異なる他の監視装置において監視される。
　そのため、一つの監視装置９１のみでは、ｅＮＢ毎に発生するメッセージ数を正確に監視することはできない。そこで、複数の監視装置９１を集約して管理するネットワーク管理装置１００を用いる。ネットワーク管理装置１００は、監視装置９１＿１、９１＿２、さらに、９１＿ｎ（ｎは、１以上の整数）から、ｅＮＢ毎に発生したメッセージ数に関する情報を収集する。ネットワーク管理装置１００は、複数の監視装置から情報を収集し、ｅＮＢ毎に発生したメッセージ数を足し合わせることによって、ｅＮＢ毎に発生したメッセージ数を正確に監視することができる。
　続いて以下では、図１７を用いて、上述の複数の実施形態で説明された図１、図２、図１１、図１４、図１５、図１６に示される通信システムを構成するノード装置の構成例について説明する。図１７は、ノード装置１４０の構成例を示すブロック図である。図１７を参照すると、ノード装置１４０は、ネットワークインターフェース１２０１、プロセッサ１２０２、及びメモリ１２０３を含む。ネットワークインターフェース１２０１は、通信システムを構成する他のネットワークノード装置と通信するために使用される。ネットワークインターフェース１２０１は、例えば、IEEE 802.3 seriesに準拠したネットワークインタフェースカード（NIC）を含んでもよい。
　プロセッサ１２０２は、メモリ１２０３からソフトウェア（コンピュータプログラム）を読み出して実行することで、上述の実施形態においてシーケンス図及びフローチャートを用いて説明されたノード装置１４０の処理を行う。プロセッサ１２０２は、例えば、マイクロプロセッサ、MPU、又はCPUであってもよい。プロセッサ１２０２は、複数のプロセッサを含んでもよい。
　メモリ１２０３は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１２０３は、プロセッサ１２０２から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１２０２は、図示されていないI/Oインタフェースを介してメモリ１２０３にアクセスしてもよい。
　図１７の例では、メモリ１２０３は、ソフトウェアモジュール群を格納するために使用される。プロセッサ１２０２は、これらのソフトウェアモジュール群をメモリ１２０３から読み出して実行することで、上述の実施形態において説明されたサーバ１４０の処理を行うことができる。
　図１７を用いて説明したように、通信システムを構成する各ノード装置が有するプロセッサの各々は、図面を用いて説明されたアルゴリズムをコンピュータに行わせるための命令群を含む１又は複数のプログラムを実行する。
　上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory））を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。また、実施の形態１乃至５に記載されている内容は適宜組み合わせて実施されてもよい。例えば、実施の形態２におけるＡＴＴ　ＵＥ３４の存在を推定する処理を、実施の形態３におけるＡＴＴ　ＵＥ３４の存在を推定する処理に置き換えてもよい。また、実施の形態２におけるＡＴＴ　ＵＥ３４からの攻撃を防御する際の処理を、実施の形態４におけるＡＴＴ　ＵＥ３４からの攻撃を防御する際の処理に置き換えてもよい。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　この出願は、２０１５年１０月１５日に出願された日本出願特願２０１５－２０３６２６を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定する信号モニタ部と、
　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる基地局制御部と、を備える監視装置。
　（付記２）
　前記通信装置は、
　不適切な前記通信端末識別情報を設定している通信端末に関する情報を前記通信装置へ登録することを拒否する、付記１に記載の監視装置。
　（付記３）
　前記通信装置は、
　前記通信端末において生成された認証情報と、前記モバイルネットワーク内において生成された認証情報とが一致しない場合に、前記通信端末に関する情報を前記通信装置へ登録することを拒否する、付記１に記載の監視装置。
　（付記４）
　前記信号モニタ部は、
　前記ＡＴＴＡＣＨ処理を拒否する際に送信されるメッセージのうちに、予め定められたCause値が設定されているメッセージの数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定する、付記１乃至３のいずれか１項に記載の監視装置。
　（付記５）
　前記基地局制御部は、
　前記モバイルネットワーク内において初めて通信を行う通信端末であることを示す前記通信端末識別情報が設定された信号を送信してきた通信端末に関する情報を前記通信装置へ登録する処理を前記特定基地局に拒否させる、付記１乃至４のいずれか１項に記載の監視装置。
　（付記６）
　前記基地局制御部は、
　前記通信端末識別情報として、少なくとも１つの値を有する判定値に含まれるＩＭＳＩが設定された信号を送信してきた通信端末に関する情報を前記通信装置へ登録する処理を前記特定基地局に拒否させる、付記１乃至４のいずれか１項に記載の監視装置。
　（付記７）
　前記基地局制御部は、
　前記特定基地局配下の通信端末に関する情報を前記通信装置へ登録する処理を所定期間前記特定基地局に実行させない、付記１乃至６のいずれか１項に記載の監視装置。
　（付記８）
　前記基地局制御部は、
　前記特定基地局における電波を停波させる、付記７に記載の監視装置。
　（付記９）
　前記基地局において送受信されるメッセージ数に関する統計データを生成し、前記統計データに示されるトラヒックの傾向と異なるトラヒックの傾向が発生している場合に、前記信号モニタ部及び前記基地局制御部を起動する無線信号モニタ部をさらに備える、付記１乃至８のいずれか１項に記載の監視装置。
　（付記１０）
　自装置が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定する信号モニタ部と、
　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定する信号制御部と、を備える基地局。
　（付記１１）
　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、
　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる、監視方法。
　（付記１２）
　基地局が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定し、
　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定する、制御方法。
　（付記１３）
　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、
　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させることをコンピュータに実行させるプログラム。
　（付記１４）
　基地局が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定し、
　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定することをコンピュータに実行させるプログラム。
　１０　監視装置
　１１　信号モニタ部
　１２　基地局制御部
　２０　基地局
　２１　ｅＮＢ
　２２　ｅＮＢ
　２３　ＮＢ
　２４　ＮＢ
　２５　ＲＮＣ
　３０　通信端末
　３１　ＵＥ
　３２　ＵＥ
　３３　ＵＥ
　３４　ＡＴＴ　ＵＥ
　４０　通信装置
　４１　ＭＭＥ
　４２　ＳＧＳＮ
　４３　ＧＧＳＮ
　５０　加入者データ装置
　５１　ＨＳＳ
　６１　ＳＧＷ
　６２　ＰＧＷ
　６３　ＰＣＲＦ
　７１　ＲＲＣ信号モニタ部
　７２　ＮＡＳ信号制御部
　７３　ＮＡＳ信号モニタ部
　７４　信号制御部
　８１　Ｓｅｃｕｒｉｔｙ　ＧＷ
　９１　監視装置
　１００　ネットワーク管理装置

Claims (14)

  1. 　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定する信号モニタ手段と、
    　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる基地局制御手段と、を備える監視装置。
  2. 　前記通信装置は、
    　不適切な前記通信端末識別情報を設定している通信端末に関する情報を前記通信装置へ登録することを拒否する、請求項１に記載の監視装置。
  3. 　前記通信装置は、
    　前記通信端末において生成された認証情報と、前記モバイルネットワーク内において生成された認証情報とが一致しない場合に、前記通信端末に関する情報を前記通信装置へ登録することを拒否する、請求項１に記載の監視装置。
  4. 　前記信号モニタ手段は、
    　前記ＡＴＴＡＣＨ処理を拒否する際に送信されるメッセージのうちに、予め定められたCause値が設定されているメッセージの数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定する、請求項１乃至３のいずれか１項に記載の監視装置。
  5. 　前記基地局制御手段は、
    　前記モバイルネットワーク内において初めて通信を行う通信端末であることを示す前記通信端末識別情報が設定された信号を送信してきた通信端末に関する情報を前記通信装置へ登録する処理を前記特定基地局に拒否させる、請求項１乃至４のいずれか１項に記載の監視装置。
  6. 　前記基地局制御手段は、
    　前記通信端末識別情報として、少なくとも１つの値を有する判定値に含まれるＩＭＳＩが設定された信号を送信してきた通信端末に関する情報を前記通信装置へ登録する処理を前記特定基地局に拒否させる、請求項１乃至４のいずれか１項に記載の監視装置。
  7. 　前記基地局制御手段は、
    　前記特定基地局配下の通信端末に関する情報を前記通信装置へ登録する処理を所定期間前記特定基地局に実行させない、請求項１乃至６のいずれか１項に記載の監視装置。
  8. 　前記基地局制御手段は、
    　前記特定基地局における電波を停波させる、請求項７に記載の監視装置。
  9. 　前記基地局において送受信されるメッセージ数に関する統計データを生成し、前記統計データに示されるトラヒックの傾向と異なるトラヒックの傾向が発生している場合に、前記信号モニタ手段及び前記基地局制御手段を起動する無線信号モニタ手段をさらに備える、請求項１乃至８のいずれか１項に記載の監視装置。
  10. 　自装置が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定する信号モニタ手段と、
    　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定する信号制御手段と、を備える基地局。
  11. 　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、
    　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させる、監視方法。
  12. 　基地局が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定し、
    　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定する、制御方法。
  13. 　基地局と通信する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記モバイルネットワークへ攻撃を行う通信端末と通信する特定基地局を推定し、
    　前記特定基地局において、配下の通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記配下の通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定させることをコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  14. 　基地局が形成する通信エリアに位置する通信端末に関する情報をモバイルネットワークに配置されている通信装置へ登録するＡＴＴＡＣＨ処理を拒否された回数に応じて、前記通信エリアに前記モバイルネットワークへ攻撃を行う通信端末が存在するか否かを推定し、
    　前記通信エリアに位置する通信端末から送信された信号に設定されている通信端末識別情報に応じて、前記通信端末に関するＡＴＴＡＣＨ処理を実行するか否かを判定することをコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2016/003172 2015-10-15 2016-07-04 監視装置、基地局、監視方法、制御方法、及び非一時的なコンピュータ可読媒体 WO2017064824A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2017545076A JP6737283B2 (ja) 2015-10-15 2016-07-04 監視装置、基地局、及び監視方法
US15/768,315 US11190541B2 (en) 2015-10-15 2016-07-04 Monitor device, base station, monitoring method, control method, and non-transitory computer readable medium
US17/482,979 US20220014550A1 (en) 2015-10-15 2021-09-23 Monitor device, base station, monitoring method, control method, and non-transitory computer readable medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-203626 2015-10-15
JP2015203626 2015-10-15

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US15/768,315 A-371-Of-International US11190541B2 (en) 2015-10-15 2016-07-04 Monitor device, base station, monitoring method, control method, and non-transitory computer readable medium
US17/482,979 Continuation US20220014550A1 (en) 2015-10-15 2021-09-23 Monitor device, base station, monitoring method, control method, and non-transitory computer readable medium

Publications (1)

Publication Number Publication Date
WO2017064824A1 true WO2017064824A1 (ja) 2017-04-20

Family

ID=58517935

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/003172 WO2017064824A1 (ja) 2015-10-15 2016-07-04 監視装置、基地局、監視方法、制御方法、及び非一時的なコンピュータ可読媒体

Country Status (3)

Country Link
US (2) US11190541B2 (ja)
JP (2) JP6737283B2 (ja)
WO (1) WO2017064824A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109104335A (zh) * 2018-08-27 2018-12-28 广东电网有限责任公司 一种工控设备网络攻击测试方法与系统
WO2021129803A1 (zh) * 2019-12-26 2021-07-01 华为技术有限公司 一种信息处理方法及通信装置

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3744058B1 (en) * 2018-01-25 2023-09-06 Telefonaktiebolaget Lm Ericsson (Publ) Technique for enabling signaling message correlation
US10681556B2 (en) * 2018-08-13 2020-06-09 T-Mobile Usa, Inc. Mitigation of spoof communications within a telecommunications network
JP7091472B2 (ja) * 2018-11-28 2022-06-27 京セラ株式会社 通信機器、車両、及び方法
CN113811022B (zh) * 2021-08-12 2024-03-12 天翼物联科技有限公司 异常终端拒绝方法、系统、装置及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004241842A (ja) * 2003-02-03 2004-08-26 Toshiba Corp サービス提供装置、サービス送受信システム及びサービス提供プログラム
WO2014049909A1 (ja) * 2012-09-28 2014-04-03 日本電気株式会社 無線アクセスネットワーク装置、移動通信システム、通信方法、およびプログラムが格納された非一時的なコンピュータ可読媒体

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020188868A1 (en) * 2001-06-12 2002-12-12 Budka Kenneth C. Method for protecting use of resources in a network
CN100413370C (zh) * 2004-12-13 2008-08-20 上海贝尔阿尔卡特股份有限公司 传输多媒体广播/多播业务告知指示的方法和设备
CN103370899B (zh) 2011-02-14 2016-09-28 瑞典爱立信有限公司 无线设备、注册服务器和无线设备预配置方法
US8897751B2 (en) 2011-03-14 2014-11-25 Alcatel Lucent Prevention of eavesdropping type of attack in hybrid communication system
US8955113B2 (en) * 2011-09-28 2015-02-10 Verizon Patent And Licensing Inc. Responding to impermissible behavior of user devices
US20150033335A1 (en) * 2012-11-28 2015-01-29 Verisign, Inc. SYSTEMS AND METHODS TO DETECT AND RESPOND TO DISTRIBUTED DENIAL OF SERVICE (DDoS) ATTACKS
US9654361B2 (en) * 2014-05-13 2017-05-16 Cisco Technology, Inc. Dynamic collection of network metrics for predictive analytics
US9900801B2 (en) * 2014-08-08 2018-02-20 Parallel Wireless, Inc. Congestion and overload reduction
WO2016020012A1 (en) * 2014-08-08 2016-02-11 Telefonaktiebolaget L M Ericsson (Publ) Authentication procedure in a control node
US10327137B2 (en) * 2015-03-16 2019-06-18 Mavenir Systems, Inc. System and method for detecting malicious attacks in a telecommunication network

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004241842A (ja) * 2003-02-03 2004-08-26 Toshiba Corp サービス提供装置、サービス送受信システム及びサービス提供プログラム
WO2014049909A1 (ja) * 2012-09-28 2014-04-03 日本電気株式会社 無線アクセスネットワーク装置、移動通信システム、通信方法、およびプログラムが格納された非一時的なコンピュータ可読媒体

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109104335A (zh) * 2018-08-27 2018-12-28 广东电网有限责任公司 一种工控设备网络攻击测试方法与系统
WO2021129803A1 (zh) * 2019-12-26 2021-07-01 华为技术有限公司 一种信息处理方法及通信装置

Also Published As

Publication number Publication date
JPWO2017064824A1 (ja) 2018-08-02
US20180309783A1 (en) 2018-10-25
US20220014550A1 (en) 2022-01-13
JP6737283B2 (ja) 2020-08-05
JP2020174391A (ja) 2020-10-22
US11190541B2 (en) 2021-11-30

Similar Documents

Publication Publication Date Title
JP6737283B2 (ja) 監視装置、基地局、及び監視方法
JP6564022B2 (ja) 異種ネットワークに対して有効なユーザ機器識別情報
BR112020002580A2 (pt) dipositivo sem fio e entidade ou função de rede núcleo para prover controle de gap de serviço e métodos de operação relacionados
US10327137B2 (en) System and method for detecting malicious attacks in a telecommunication network
CN102905266B (zh) 一种实现移动设备附着的方法及装置
CN107925954B (zh) 用来支持实时业务定向网络的信令接口
CN102917332B (zh) 一种实现移动设备附着的方法及装置
US11882445B2 (en) Authentication system
EP3300417B1 (en) Method, apparatus and system for detecting anomaly of terminal device
Xenakis et al. An advanced persistent threat in 3G networks: Attacking the home network from roaming networks
US20170310761A1 (en) First terminal apparatus, server apparatus, and control method
US11882105B2 (en) Authentication system when authentication is not functioning
US20220038904A1 (en) Wireless-network attack detection
US10492056B2 (en) Enhanced mobile subscriber privacy in telecommunications networks
WO2017146076A1 (ja) ゲートウェイ装置、通信方法、及び、非一時的なコンピュータ可読媒体
JP2019114950A (ja) Ｌｔｅ通信システム及び通信制御方法
CN108702619A (zh) 获取、发送用户设备标识的方法及设备
JP6230130B2 (ja) 通信端末、通信システム、通信方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16855082

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017545076

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 15768315

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16855082

Country of ref document: EP

Kind code of ref document: A1