WO2023233580A1 - 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム - Google Patents

検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム Download PDF

Info

Publication number
WO2023233580A1
WO2023233580A1 PCT/JP2022/022305 JP2022022305W WO2023233580A1 WO 2023233580 A1 WO2023233580 A1 WO 2023233580A1 JP 2022022305 W JP2022022305 W JP 2022022305W WO 2023233580 A1 WO2023233580 A1 WO 2023233580A1
Authority
WO
WIPO (PCT)
Prior art keywords
attack
detection
data
controller
unit
Prior art date
Application number
PCT/JP2022/022305
Other languages
English (en)
French (fr)
Inventor
雄太 風戸
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2022/022305 priority Critical patent/WO2023233580A1/ja
Publication of WO2023233580A1 publication Critical patent/WO2023233580A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Definitions

  • the present invention relates to a detection and response control system, a detection and response control method, a hardware accelerator, a controller, and a program for detecting cyber attacks in the network security field.
  • 5G New Radio which is the next generation standard for mobile communications, which is one of the forms of network communication, will include the formulation of standard specifications for communication standards, as well as the communication Opening of devices and communication interfaces and software virtualization are progressing.
  • the RIC RAN Intelligence Controller
  • AI Artificial Intelligence
  • 5G is being promoted, there are concerns about a sharp increase in cyberattacks and associated damage that exploit the technical specifications of 5G, such as ultra-high speed, multiple simultaneous connections, ultra-low latency, and open interfaces. .
  • control plane (C-Plane) signals which are responsible for session control and management between terminals and communication devices/base stations
  • user User communications are realized by separating user plane (U-Plane) signals that transmit data communications.
  • These control signals and user data signals are attacked by cyber attacks such as signaling fraud attacks, volume DDoS attacks, and jamming.
  • Occurs in the protocol layer, etc. and performs unauthorized control of user communications and communication equipment, denial of service by compressing network bandwidth, and unauthorized acquisition of confidential information.
  • Patent Document 1 uses a filtering function of communication equipment to implement countermeasure control against cyber-attacks.
  • RIC A RAN intelligent controller platform for AI-enabled cellular networks
  • Non-Patent Document 1 cannot detect cyber attacks in real time due to increases in delay time and resources (used resources, network transfer resources).
  • the technology described in Patent Document 1 uses a filtering method in the communication device, and does not support machine learning or offloading to an accelerator, resulting in a decrease in attack response accuracy and processing capacity. . Therefore, if attack detection and attack response cannot be realized in real time, it may become impossible to provide network user communications and services as a whole.
  • the present invention has been made in view of these points, and an object of the present invention is to reduce the delay time of attack detection and attack response in cyber attacks on communication networks, and to reduce the resources used by communication devices. shall be.
  • a detection and response control system includes a controller that performs network control in an access network, a communication device of the access network, and a hardware accelerator connected to the controller, and is equipped with a controller that performs network control in an access network.
  • a data preprocessing unit that executes preprocessing for statistical processing and transmits the preprocessed data to the controller; and a data acquisition unit that acquires a learning model for detecting an attack using the communication data from the controller; an attack detection unit that uses the learning model to determine inline whether or not the communication data is an attack; and detection information including the reason for detecting the communication data determined to be an attack, and the communication.
  • a detection alert notification unit that generates a detection alert containing network information regarding the data and sends it to the controller; and the data acquisition unit acquires the data based on a countermeasure control policy including information necessary for responding to an attack acquired from the controller.
  • a countermeasure execution unit that executes inline countermeasures against attacks on communication data, and the controller obtains the preprocessed data and generates the learning model for detecting attacks based on the communication data.
  • a learning unit and the acquired detection alert are used to determine whether attack countermeasures are necessary, and if attack countermeasures are necessary, create the countermeasure control policy including the attack type and countermeasure method, and generate the countermeasure control policy using the hardware accelerator. and a countermeasure determining unit that transmits the information to the user.
  • the present invention it is possible to reduce the delay time for attack detection and attack response in a cyber attack on a communication network, and to reduce the resources used by a communication device.
  • FIG. 1 is a diagram showing the overall configuration of a detection and response control system according to the present embodiment. It is a sequence diagram showing the flow of learning processing by the detection and response control system according to the present embodiment. It is a flowchart which shows the flow of attack detection processing by the hardware accelerator of the detection response control system concerning this embodiment. It is a sequence diagram showing the flow of attack countermeasure processing by the detection countermeasure control system according to the present embodiment. It is a figure showing the whole structure of a detection countermeasure control system concerning a modification of this embodiment.
  • FIG. 2 is a hardware configuration diagram showing an example of a computer that implements the functions of the controller according to the present embodiment.
  • FIG. 1 is a diagram showing the overall configuration of a detection and response control system 1000 according to this embodiment.
  • a NIC-equipped FPGA board hardware accelerator 10
  • a security function a security function
  • a centralized controller controller 20
  • attack detection and attack response are realized by separating the functions.
  • the detection response control system 1000 includes an access network communication device 30 (access network communication device) that is connected to the user terminal 5 and transfers data etc. acquired from the user terminal 5 to the core network communication device 40. ), a hardware accelerator 10, and a controller 20.
  • the core network communication device 40 is a device that transfers data acquired from the access network communication device 30 and the like to a data network (such as the Internet).
  • data transfer units 31 and 41 transfer RAN data (U-plane/C-plane) received from the user terminal 5 or other communication devices, and also transfer the RAN data (U-plane/C-plane) received from the user terminal 5 or other communication device.
  • the protocol processing units 32 and 42 execute processing such as conversion.
  • the hardware accelerator 10 is connected to the communication device as, for example, an FPGA (Field Programmable Gate Array) board (FPGA SmartNIC) equipped with a NIC (Network Interface Card). More specifically, it is connected to the access network communication device 30 as an FPGA board using an expansion interface such as PCIe (Peripheral Component Interconnect Express).
  • FPGA Field Programmable Gate Array
  • NIC Network Interface Card
  • PCIe Peripheral Component Interconnect Express
  • the controller 20 is connected to the hardware accelerator 10 and executes the generation of a learning model for detecting a cyber attack, the creation of a response control policy regarding attack response, and the like.
  • the hardware accelerator 10 and the controller 20 work together to perform learning, attack detection, and attack response functions separately, thereby achieving low latency and reducing the resources used by communication devices (mainly operating resources and NW resources). Realize.
  • the hardware accelerator 10 and controller 20 will be described in detail below.
  • the hardware accelerator 10 includes a security processing unit 100 that implements security functions.
  • the security processing section 100 includes a data acquisition section 110, a data preprocessing section 120, an attack detection section 130, a detection alert notification section 140, and a countermeasure execution section 150.
  • the data acquisition unit 110 receives input of communication data (for example, U-plane and C-plane data) transferred from the access network communication device 30. Of the received data, the data acquisition unit 110 may acquire all data as a target for attack detection, or acquire only specific signaling (call control information), or perform sampling. Data may be acquired efficiently. For example, the data acquisition unit 110 may specify a field of a specific RAN packet and acquire the information. The data acquisition unit 110 outputs the acquired data to the data preprocessing unit 120.
  • communication data for example, U-plane and C-plane data
  • the data acquisition unit 110 may acquire all data as a target for attack detection, or acquire only specific signaling (call control information), or perform sampling. Data may be acquired efficiently. For example, the data acquisition unit 110 may specify a field of a specific RAN packet and acquire the information.
  • the data acquisition unit 110 outputs the acquired data to the data preprocessing unit 120.
  • the data preprocessing unit 120 performs preprocessing on the data received from the data acquisition unit 110. This preprocessing function is implemented in the programmable logic of the hardware accelerator 10, and the preprocessing is executed in an inline manner.
  • the data preprocessing unit 120 extracts predetermined data necessary for attack detection by, for example, removing unnecessary data for attack detection from the acquired communication data or processing the data ( (first step of pre-processing).
  • the data preprocessing unit 120 also performs statistical processing on the processed communication data (second stage preprocessing), and after a statistical execution period (for example, 60 seconds, 5 minutes) has elapsed, the data preprocessing unit 120 performs statistical processing on the processed communication data.
  • the processed data is sent to the controller 20.
  • As the statistical processing for example, calculation of the average value, variance value, maximum value, and minimum value, regularization processing, standardization processing, etc. are executed.
  • the data preprocessing unit 120 extracts only data fields related to attack features (predetermined data necessary for attack detection) from the RAN communication data, performs statistical processing on the data, and transmits the extracted data to the controller 20. The amount of data can be reduced.
  • the attack detection unit 130 uses the learning model (learning model for detecting an attack) received from the controller 20 to perform inline attack detection processing on the communication data (RAN communication data) acquired by the data acquisition unit 110. . At this time, the attack detection unit 130 performs attack detection processing on data (preprocessed data) that has undergone the same processing as the above-described preprocessing (first-stage and second-stage processing). If the attack detection unit 130 determines that an attack has been detected as a result of executing the attack detection process, it generates detection information including the reason for detection (information such as exceeding a threshold, matching characteristics with the attack, etc.), and issues a detection alert notification. 140. Note that information stored in advance in the storage means is used as threshold information and information on the feature amount of each attack for generating the detection reason.
  • the attack detection unit 130 updates the learning model by receiving a learning model for detection (weight data, etc.) from the controller 20 at predetermined time intervals. This allows the attack detection unit 130 to detect attacks occurring in the RAN and abnormalities in accordance with the communication status.
  • the detection alert notification unit 140 creates a detection alert from the detection information acquired from the attack detection unit 130 and information based on the network environment, and sends it to the controller 20.
  • this detection alert includes information such as the communication source IP address, UE (user terminal) information, accommodation cell/communication device information, network route, etc. is included.
  • the countermeasure execution unit 150 executes inline countermeasures against attacks on communication data based on the countermeasure control policy acquired from the controller 20 . Specifically, the countermeasure execution unit 150 creates a countermeasure filter in the hardware accelerator 10 based on the acquired countermeasure control policy, and checks whether the filter matches the communication data input from the NIC (not shown). By doing so, it blocks attack communication data and performs defense.
  • the controller 20 is connected to the hardware accelerator 10 and executes a learning process for detecting a cyber attack, an attack detection process, and an attack countermeasure process in a separated manner from the hardware accelerator 10.
  • the controller 20 is constituted by a computer including a control section, an input/output section, and a storage section (all not shown).
  • the input/output unit inputs and outputs information to and from the hardware accelerator 10 and the like.
  • This input/output unit consists of a communication interface that sends and receives information via a communication line, and an input/output interface that inputs and outputs information between an input device such as a keyboard and an output device such as a monitor (not shown). configured.
  • the storage unit includes a hard disk, flash memory, RAM (Random Access Memory), and the like. This storage section temporarily stores programs for executing each function of the control section and information necessary for processing of the control section.
  • the control unit is in charge of overall processing executed by the controller 20, and is configured to include a learning unit 210, a learning model transmitting unit 220, and a response determining unit 230, as shown in FIG.
  • the learning unit 210 acquires preprocessed data from the hardware accelerator 10 and generates an AI learning model (a learning model for detecting an attack). For example, the learning unit 210 learns the normal state from normal data, and also acquires information determined to be attack data (detection alert) from the response determining unit 230 (described later), and learns the characteristics of the attack. Generate the model. The learning unit 210 re-learns the learning model by acquiring preprocessed data and attack data at predetermined time intervals, and updates the learning model.
  • an AI learning model a learning model for detecting an attack. For example, the learning unit 210 learns the normal state from normal data, and also acquires information determined to be attack data (detection alert) from the response determining unit 230 (described later), and learns the characteristics of the attack. Generate the model. The learning unit 210 re-learns the learning model by acquiring preprocessed data and attack data at predetermined time intervals, and updates the learning model.
  • the learning model transmitting unit 220 transmits the learning model generated by the learning unit 210 to the hardware accelerator 10.
  • the learning model transmitter 220 may transmit all of the information on the generated learning model, or may transmit only necessary weight data regarding the updated learning model. By doing so, the learning model transmitter 220 can reduce the amount of data transmitted to the hardware accelerator 10.
  • the response determination unit 230 receives the detection alert from the hardware accelerator 10 (detection alert notification unit 140), and determines whether or not attack response is necessary. Specifically, the response determination unit 230 determines the threat information (attack type, IP address, UE identification information) that has been set in advance and the degree of impact of the attack based on the threat information (for example, attack Whether or not to respond to attacks is determined based on the frequency of attacks and scope of impact (service delays, denial of service, etc.).
  • threat information attack type, IP address, UE identification information
  • the response determination unit 230 When determining that an attack should be dealt with, the response determination unit 230 creates a response control policy based on the threat information of the detection alert. Then, the countermeasure determination unit 230 transmits the created countermeasure control policy to the hardware accelerator 10 (countermeasure execution unit 150).
  • the countermeasure determination unit 230 can create a countermeasure control policy based on threat information unique to RAN (UE identification information, RAN attack, etc.).
  • threat information unique to RAN is information regarding attacks targeting RAN.
  • the countermeasure control policy includes information necessary for countering attacks with the hardware accelerator 10 and the like.
  • the information necessary to deal with attacks includes, for example, the type of attack, information on the source of the attack, information on the target of the attack, and countermeasures.
  • a method for dealing with an RRC protocol signaling DDoS attack in the hardware accelerator 10 will be described as an example.
  • the attack type includes the RRC protocol signaling DDoS attack and information about which signaling sequence is the DoS attack.
  • Information on the source of the attack includes UE identification information, information on the cell/communication base station that accommodates the UE, and information on the radio bearer used by the UE for communication.
  • the information on the attack destination includes information on the network on the attack destination and information on the impact of the attack.
  • countermeasures include packet blocking and steering (transfer) to a security analysis device (not shown). These pieces of information are compiled into an arbitrary data structure such as JSON (JavaScript Object Notation) as a countermeasure control policy, and transmitted from the controller 20 to the hardware accelerator 10.
  • JSON JavaScript Object Notation
  • FIG. 2 is a sequence diagram showing the flow of learning processing by the detection and response control system 1000 according to the present embodiment.
  • communication data input to the hardware accelerator 10 is preprocessed and transmitted to the controller 20.
  • the controller 20 generates a learning model using the preprocessed data and attack data, and transmits the generated learning model to the hardware accelerator 10.
  • the hardware accelerator 10 acquires and updates the learning model at predetermined time intervals. This will be explained in detail below.
  • the data acquisition unit 110 of the hardware accelerator 10 receives input of communication data (for example, U-plane and C-plane data) transferred from the access network communication device 30 (step S10). Then, the data acquisition unit 110 acquires communication data targeted for attack detection from among the received communication data, and outputs it to the data preprocessing unit 120.
  • communication data for example, U-plane and C-plane data
  • the data preprocessing unit 120 of the hardware accelerator 10 performs first-stage preprocessing on the acquired communication data (step S11). As a first-stage preprocessing, the data preprocessing unit 120 removes unnecessary data for attack detection and processes the acquired communication data. Then, the data preprocessing unit 120 determines whether a statistical execution period (for example, 60 seconds or 5 minutes) has elapsed (step S12). If the statistical execution time has not elapsed (step S12 ⁇ No), the process returns to step S10 and continues acquisition and preprocessing of communication data.
  • a statistical execution period for example, 60 seconds or 5 minutes
  • step S12 determines whether the statistical execution period has elapsed (step S12 ⁇ Yes).
  • the data preprocessing unit 120 executes statistical processing (average value calculation, regularization processing, etc.) on the processed data (step S13), transmitting the statistically processed data to the controller 20;
  • the learning unit 210 of the controller 20 generates an AI learning model using the received preprocessed data (statistically processed data) as learning data (step S14). Note that after executing the attack detection process (FIG. 3), the learning unit 210 updates the learning model by taking in information determined to be attack data (detection alert) as learning data and relearning.
  • the learning model transmitting unit 220 transmits the learning model generated by the learning unit 210 to the hardware accelerator 10 (step S15).
  • the learning model transmitter 220 may transmit all the data of the generated learning model to the hardware accelerator 10, or may transmit only the weight data of the learning model to the hardware accelerator 10.
  • the attack detection unit 130 of the hardware accelerator 10 acquires and sets a learning model from the controller 20 (step S16).
  • the attack detection unit 130 acquires the data of the learning model after already acquiring and setting the learning model from the controller 20, the attack detection unit 130 performs the setting based on the data (for example, the weight data of the learning model). Update the current learning model.
  • the learning process through cooperation between the hardware accelerator 10 and the controller 20 is completed. Note that this learning process is performed in advance before actually executing communication data attack detection processing and attack countermeasure processing. Further, even after the attack detection process and the attack countermeasure process are executed, the learning model is updated by executing the process at predetermined time intervals.
  • FIG. 3 is a flowchart showing the flow of attack detection processing by the detection and response control system 1000 (hardware accelerator 10) according to the present embodiment.
  • the hardware accelerator 10 performs preprocessing on the acquired communication data and then inputs the data to a learning model to detect an attack inline. This will be explained in detail below.
  • the data acquisition unit 110 of the hardware accelerator 10 receives input of communication data (for example, U-plane and C-plane data) transferred from the access network communication device 30 (step S20). Then, the data acquisition unit 110 acquires communication data targeted for attack detection from among the received communication data, and outputs it to the data preprocessing unit 120.
  • communication data for example, U-plane and C-plane data
  • the data preprocessing unit 120 of the hardware accelerator 10 performs first-stage preprocessing on the acquired communication data (step S21). As a first-stage preprocessing, the data preprocessing unit 120 removes unnecessary data for attack detection and processes the acquired communication data. Then, the data preprocessing unit 120 determines whether a statistical execution period (for example, 60 seconds or 5 minutes) has elapsed (step S22). If the statistical execution time has not elapsed (step S22 ⁇ No), the process returns to step S20 and continues acquisition and preprocessing of communication data.
  • a statistical execution period for example, 60 seconds or 5 minutes
  • step S22 if the statistical execution period has elapsed (step S22 ⁇ Yes), the data preprocessing unit 120 executes statistical processing (average value calculation, regularization processing, etc.) on the processed data (step S23), the statistically processed data is output to the attack detection unit 130.
  • statistical processing average value calculation, regularization processing, etc.
  • the attack detection unit 130 executes attack detection processing on communication data (statistically processed data) using the set learning model, and determines whether or not the communication data is an attack (attack communication data) (step S24). . If the attack detection unit 130 determines that it is not an attack (step S24 ⁇ No), the process ends.
  • the attack detection unit 130 determines that it is an attack (detects an attack) (step S24 ⁇ Yes), it generates detection information including the detection reason (exceeding a threshold, matching the attack and characteristics, etc.), It is output to the detection alert notification section 140.
  • the detection alert notification unit 140 creates a detection alert from the detection information acquired from the attack detection unit 130 and information based on the network environment, and transmits it to the controller 20 (step S25).
  • This detection alert includes, for example, a communication source IP address, UE (user terminal) information, host cell/communication device information, network route, and detection information (reason for detection, etc.). This completes the attack detection processing by the hardware accelerator 10.
  • FIG. 4 is a sequence diagram showing the flow of attack response processing by the detection response control system 1000 according to the present embodiment.
  • the hardware accelerator 10 blocks attack communication data by filtering based on the countermeasure control policy created by the controller 20. This will be explained in detail below.
  • the action determination unit 230 of the controller receives a detection alert from the hardware accelerator 10 (step S30). Subsequently, the response determination unit 230 determines whether or not attack response is necessary based on the threat information included in the detection alert (step S31).
  • the threat information is, for example, attack type, IP address, UE identification information, etc. Based on this threat information and the degree of impact of the attack (attack frequency, range of influence, etc.), the response determination unit 230 determines whether or not to respond to the attack. Here, if the response determination unit 230 determines that the attack should not be addressed (step S31 ⁇ No), the process ends.
  • the response determination unit 230 creates a response control policy based on the threat information included in the detection alert (step S32), and sends the response to the hardware accelerator 10. Send.
  • the countermeasure execution unit 150 of the hardware accelerator 10 creates a countermeasure filter in the hardware accelerator 10 based on the acquired countermeasure control policy (step S33).
  • the countermeasure execution unit 150 determines whether the communication data acquired from the access network communication device 30 or the data preprocessed (statistically processed) on the communication data by the data preprocessing unit 120 matches the filter. It is determined whether or not (step S34). If it does not match the filter (step S34 ⁇ No), the process ends without taking any action.
  • step S34 if it matches the filter (step S34 ⁇ Yes), the countermeasure execution unit 150 executes countermeasures and blocks the communication data as attack communication data (step S35).
  • the hardware accelerator 10 can block attack communication data by filtering based on the countermeasure control policy created by the controller 20.
  • an FPGA board (hardware accelerator 10) equipped with a NIC is connected to the access network communication device 30, and attack detection and attack response processing is performed on the FPGA board.
  • the communication device is executed in an inline format to achieve low latency and reduced consumption of resources used by the communication device.
  • the NIC-equipped FPGA board is, for example, an FPGA SmartNIC, and can be connected to a communication device (access network communication device 30) built on a general-purpose IA (Intel Architecture) server using an expansion interface such as PCIe.
  • FIG. 5 is a diagram showing the overall configuration of a detection response control system 1000A according to a modification of the present embodiment.
  • the access network communication device 30A includes a security processing unit 100 (for example, configured with FPGA SmartNIC) of the hardware accelerator 10.
  • a security processing unit 100 for example, configured with FPGA SmartNIC
  • Each function of the security processing unit 100 data acquisition unit 110, data preprocessing unit 120, attack detection unit 130, detection alert notification unit 140, countermeasure execution unit 150
  • the function of the security processing unit 100 shown in FIG. is the same as
  • the access network communication device 30A transfers the input communication data to the connected FPGA board (hardware accelerator 10).
  • the FPGA board (hardware accelerator 10) uses the input communication data as input to the built-in user logic, and uses this user logic to detect attacks and take countermeasures against them, thereby controlling the CPU of the access network communication device 30A. Attack detection and attack countermeasures can be executed inline without going through the network. As a result, the access network communication device 30A does not need to perform attack detection or attack countermeasure processing, making it possible to reduce delay time and resource consumption.
  • the contents and processing flow of each function within the security processing unit 100 are the same as those of the detection response control system 1000 according to the present embodiment, so a description thereof will be omitted.
  • the controller 20 of the detection and response control system 1000 is realized by, for example, a computer 900 configured as shown in FIG.
  • FIG. 6 is a hardware configuration diagram showing an example of a computer 900 that implements the functions of the controller 20 according to the present embodiment.
  • the computer 900 includes a CPU (Central Processing Unit) 901, a ROM (Read Only Memory) 902, a RAM 903, an HDD (Hard Disk Drive) 904, an input/output I/F (Interface) 905, a communication I/F 906, and a media I/F 907. have a CPU (Central Processing Unit) 901, a ROM (Read Only Memory) 902, a RAM 903, an HDD (Hard Disk Drive) 904, an input/output I/F (Interface) 905, a communication I/F 906, and a media I/F 907.
  • a CPU Central Processing Unit
  • ROM Read Only Memory
  • RAM 903 Random Access Memory
  • HDD Hard Disk Drive
  • I/F Interface
  • the CPU 901 operates based on a program stored in the ROM 902 or the HDD 904, and performs control by the control unit (learning unit 210, learning model transmitting unit 220, response determining unit 230).
  • the ROM 902 stores a boot program executed by the CPU 901 when the computer 900 is started, programs related to the hardware of the computer 900, and the like.
  • the CPU 901 controls an input device 910 such as a mouse or a keyboard, and an output device 911 such as a display or printer via an input/output I/F 905.
  • the CPU 901 acquires data from the input device 910 via the input/output I/F 905 and outputs the generated data to the output device 911.
  • a GPU Graphics Processing Unit
  • the like may be used in addition to the CPU 901 as the processor.
  • the HDD 904 stores programs executed by the CPU 901 and data used by the programs.
  • the communication I/F 906 receives data from other devices via a communication network (for example, NW (Network) 920) and outputs it to the CPU 901, and also sends data generated by the CPU 901 to other devices via the communication network. Send to device.
  • NW Network
  • the media I/F 907 reads the program or data stored in the recording medium 912 and outputs it to the CPU 901 via the RAM 903.
  • the CPU 901 loads a program related to target processing from the recording medium 912 onto the RAM 903 via the media I/F 907, and executes the loaded program.
  • the recording medium 912 is an optical recording medium such as a DVD (Digital Versatile Disc) or a PD (Phase change rewritable disk), a magneto-optical recording medium such as an MO (Magneto Optical disk), a magnetic recording medium, a semiconductor memory, or the like.
  • the CPU 901 of the computer 900 realizes the functions of the controller 20 by executing a program loaded onto the RAM 903. Furthermore, data in the RAM 903 is stored in the HDD 904 .
  • the CPU 901 reads a program related to target processing from the recording medium 912 and executes it. In addition, the CPU 901 may read a program related to target processing from another device via a communication network (NW 920).
  • NW 920 a communication network
  • the detection and response control system 1000 includes a controller 20 that performs network control in an access network, a communication device of the access network (access network communication device 30) and a hardware accelerator 10 connected to the controller 20, and is equipped with a controller 20 that performs network control in an access network.
  • Detection and response control system 1000 detects and responds to attacks, in which the hardware accelerator 10 connects a data acquisition unit 110 that acquires communication data from a communication device, and acquires predetermined data necessary for attack detection from the acquired communication data.
  • a data preprocessing unit 120 executes preprocessing to extract and perform statistical processing, and sends the preprocessed data to the controller 20.
  • a learning model for detecting an attack using communication data is acquired from the controller 20, and data is acquired.
  • An attack detection unit 130 that uses the learning model to determine inline whether or not the communication data acquired by the unit 110 is an attack; and detection information including a reason for detecting the communication data determined to be an attack.
  • a detection alert notification unit 140 generates a detection alert including network information regarding the communication data and sends it to the controller 20; and a data acquisition unit 110 based on a countermeasure control policy including information necessary to counter attacks acquired from the controller 20.
  • a countermeasure execution unit 150 that executes inline countermeasures against attacks on the communication data acquired by the controller 20, the controller 20 obtains preprocessed data and generates a learning model for detecting attacks by the communication data.
  • the learning unit 210 uses the acquired detection alert to determine whether or not attack countermeasures are necessary, and if attack countermeasures are necessary, creates a countermeasure control policy including the attack type and countermeasure method, and executes the hardware accelerator 10. and a countermeasure determining unit 230 that transmits the information to the user.
  • the hardware accelerator 10 and the controller 20 perform functional separation in learning, attack detection, and attack response, thereby reducing the delay time of attack detection and attack response, and
  • the resources used by (the access network communication device 30) can be reduced.
  • the detection and response control system 1000 can detect and respond to attacks with low latency and low resources, it is possible to analyze data, detect attacks, and respond to attacks in real time even in networks with strict latency requirements, thereby creating a secure network. enable operation.
  • the detection and response control system 1000 reduces the load on the communication device (access network communication device 30) by functionally separating security-related functions in learning, attack detection, and attack response between the hardware accelerator 10 and the controller 20. Security functions can be introduced without affecting services such as delays or delays.
  • the detection response control system 1000 can switch specific processing offload, share security functions with other functions, and It is possible to improve the resource usage and power efficiency compared to the previous operation.
  • the learning unit 210 of the controller 20 constructs a learning model using preprocessed data acquired at predetermined time intervals and information on detection alerts that require attack response. It is characterized in that relearning is performed, the relearned learning model is sent to the hardware accelerator 10, and the attack detection unit 130 of the hardware accelerator 10 updates its own learning model using the relearned learning model.
  • the detection response control system 1000 can update the learning model according to the communication situation, and can perform more appropriate attack detection.
  • the detection response control system includes a controller 20 that performs network control in an access network, and an access network communication device (access network communication device 30A) equipped with a hardware accelerator 10 connected to the controller 20.
  • a detection and response control system 1000A that detects and responds to cyber attacks, in which the hardware accelerator 10 includes a data acquisition unit 110 that acquires communication data input to a communication device (access network communication device 30A), and a data acquisition unit 110 that acquires communication data input to a communication device (access network communication device 30A);
  • a data preprocessing unit 120 extracts predetermined data necessary for attack detection and performs statistical processing on the communication data, and sends the preprocessed data to the controller 20.
  • an attack detection unit 130 that acquires a learning model for detecting an attack, and uses the learning model to determine whether or not an attack is an attack on the communication data acquired by the data acquisition unit 110;
  • a detection alert notification unit 140 generates a detection alert including detection information including the reason for detection of the determined communication data and network information regarding the communication data and sends it to the controller 20;
  • a countermeasure execution unit 150 that executes inline attack countermeasures against the communication data acquired by the data acquisition unit 110 based on a countermeasure control policy including information, the controller 20 acquires the preprocessed data,
  • a learning unit 210 that generates a learning model for detecting an attack using communication data, and determines whether or not an attack response is necessary using the acquired detection alert, and if an attack response is necessary, determines the attack type and response method.
  • the present invention is characterized by comprising a countermeasure determination unit 230 that creates a countermeasure control policy including the following and sends it to the hardware accelerator 10.
  • the hardware accelerator 10 installed in the communication device (access network communication device 30A) and the controller 20 perform functional separation in learning, attack detection, and attack response, and perform attack detection and response. It is possible to reduce the delay time for dealing with attacks and attacks, and to reduce the resources used by the communication device (access network communication device 30). Furthermore, since the detection and response control system 1000 can detect and respond to attacks with low latency and low resources, it is possible to analyze data, detect attacks, and respond to attacks in real time even in networks with strict latency requirements, thereby creating a secure network. enable operation. Further, in the detection response control system 1000A, communication data input to the communication device (access network communication device 30A) is transferred to the hardware accelerator 10.
  • attack detection and attack countermeasures can be performed in-line without going through the CPU of the server that constitutes the communication device.
  • the communication device does not need to perform attack detection or attack countermeasure operations, and the delay time and resources used in the communication device can be reduced.
  • the hardware accelerator according to the present invention is a hardware accelerator 10 that is connected to a controller 20 that performs network control in an access network and a communication device (access network communication device 30) of the access network.
  • a data acquisition unit 110 that acquires communication data from the communication device 30) executes preprocessing to extract and statistically process predetermined data necessary for attack detection on the acquired communication data, and sends the preprocessed data to the controller 20.
  • a learning model for detecting an attack using communication data is acquired from the data preprocessing unit 120 and the controller 20, and the learning model is used to detect an attack on the communication data acquired by the data acquisition unit 110.
  • the attack detection unit 130 executes inline determination as to whether or not the communication data is an attack, and generates a detection alert including detection information including the reason for detection of the communication data determined to be an attack and network information regarding the communication data, and sends it to the controller 20.
  • a detection alert notification unit 140 and a countermeasure execution unit 150 that executes inline countermeasures against an attack on communication data acquired by the data acquisition unit 110 based on a countermeasure control policy including information necessary for countermeasures against an attack acquired from the controller 20; It is characterized by comprising the following.
  • the hardware accelerator 10 performs functional separation with the controller 20 in learning, attack detection, and attack response, and performs attack detection using the learning model acquired from the controller 20.
  • Attack countermeasures can be executed based on the countermeasure control policy acquired from 20. As a result, it is possible to reduce the delay time for attack detection and attack response, and to reduce the resources used by the communication device (access network communication device 30).
  • the controller according to the present invention is a controller 20 that is communicatively connected to a hardware accelerator 10 connected to a communication device of an access network (access network communication device 30), and receives predetermined information necessary for attack detection from the hardware accelerator 10.
  • a learning unit 210 acquires communication data that has been subjected to preprocessing to extract data and perform statistical processing, and generates a learning model for detecting attacks using the communication data, and a hardware accelerator 10 uses the learning model. Acquires a detection alert for communication data that detected an attack, uses the acquired detection alert to determine whether or not an attack response is necessary, and if an attack response is necessary, creates a response control policy that includes the attack type and response method. It is characterized by comprising a countermeasure determination unit 230 that creates and transmits the generated information to the hardware accelerator 10.
  • the controller 20 performs functional separation between learning, attack detection, and attack response with the hardware accelerator 10, and generates a learning model for detecting an attack and a countermeasure control policy. It can be performed. As a result, it is possible to reduce the delay time for attack detection and attack response, and to reduce the resources used by the communication device (access network communication device 30).

Abstract

検知対処制御システム（１０００）は、コントローラ（２０）とハードウェアアクセラレータ（１０）とを備える。ハードウェアアクセラレータ（１０）は、通信装置から通信データを取得するデータ取得部（１１０）と、取得したデータの前処理を実行するデータ前処理部（１２０）と、学習モデルを用いて攻撃を判定する攻撃検知部（１３０）と、検知アラートを生成する検知アラート通知部（１４０）と、対処制御ポリシーに基づき攻撃対処を実行する対処実行部（１５０）とを備える。コントローラ２０は、攻撃を検知するための学習モデルを生成する学習部（２１０）と、攻撃に対する対処制御ポリシーを作成する対処判定部（２３０）とを備える。

Description

検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム
　本発明は、ネットワークセキュリティ分野におけるサイバー攻撃の検知についての検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラムに関する。
　ネットワーク通信形態の一つである移動体通信の次世代規格である５ＧＮＲ（5G New Radio）では、通信規格の標準仕様の策定に加えて、無線アクセスネットワーク（Radio Access Network：ＲＡＮ）を構成する通信機器や通信インタフェースのオープン化・ソフトウェア仮想化が進められている。このようなオープンＲＡＮにおいて、例えば、非特許文献１に示されるＡＩ（Artificial Intelligence）機能を搭載した集中管理型コントローラの一種である ＲＩＣ（RAN Intelligence Controller）では、ネットワーク制御やリソースの最適化等が推進される一方で、５Ｇの要求条件である超高速、多数同時接続、超低遅延、オープン化されたＩＦ等の技術仕様を悪用したサイバー攻撃とそれに伴う被害の急激な増加が懸念されている。
　現在のＮＦＶ（Network Functions Virtualization）やＳＤＮ（Software Defined Networking），ＲＡＮのネットワークでは、端末と通信装置・基地局間のセッション制御や管理を担うコントロールプレーン（C-Plane）信号と、ユーザの実際のデータ通信の伝送を行うユーザプレーン（U-Plane）信号の分離によりユーザ通信が実現されている。この制御信号とユーザデータ信号に対して、例えば、シグナリング詐欺攻撃、Volume DDoS攻撃、ジャミング等のサイバー攻撃が、端末と通信装置間の通信レイヤ、無線物理レイヤや通信制御を担うＲＲＣ（Radio Resource Control）プロトコルレイヤなどで発生し、ユーザの通信や通信機器の不正制御、ネットワークの帯域圧迫によるサービス妨害や機密情報の不正取得などを実行する。その結果、ユーザの通信障害や情報漏洩、更にはサービス全体が不能となる可能性がある。このようなネットワーク通信を対象としたサイバー攻撃に対処するために、特許文献１では通信機器のフィルタリング機能を用いてサイバー攻撃に対する対処制御を実現している。
Balasubramanian, Bharath, et al.,"RIC: A RAN intelligent controller platform for AI-enabled cellular networks,"IEEE Internet Computing 25.2 (2021): 7-17.
特開2018-133753号公報
　しかしながら、従来技術であるＡＩ機能を搭載した集中管理型コントローラ方式を用いた攻撃検知・対処では、U-Plane、C-Planeの全データを対象に分析を行う必要があることから、リアルタイムの攻撃検知ができなかった。また、攻撃検知時の遅延の際や、対処時に、通信装置の使用リソースが消費されてしまう。
　具体的には、非特許文献１に記載の技術では、遅延時間とリソース（使用リソース、ネットワーク転送リソース）の増加によりサイバー攻撃に対するリアルタイムの攻撃検知ができない。また、特許文献１に記載の技術は、通信装置でのフィルタリング方式による対処であり、機械学習やアクセラレータへのオフロードに対応していないことから、攻撃対処の精度や処理能力が低下してしまう。よって、リアルタイムに攻撃検知や攻撃対処が実現できない場合、ネットワークのユーザ通信やサービス全体の提供が不可能となる可能性がある。
　このような点に鑑みて本発明がなされたのであり、本発明は、通信ネットワークに対するサイバー攻撃における、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置の使用リソースを低減することを課題とする。
　上記課題を解決するため、本発明に係る検知対処制御システムは、アクセスネットワークにおいてネットワーク制御を行うコントローラと、前記アクセスネットワークの通信装置および前記コントローラに接続されるハードウェアアクセラレータとを備え、サイバー攻撃の検知および対処を行う検知対処制御システムであって、前記ハードウェアアクセラレータが、前記通信装置から通信データを取得するデータ取得部と、取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータを前記コントローラへ送信するデータ前処理部と、前記コントローラから、前記通信データによる攻撃を検知するための学習モデルを取得し、前記データ取得部が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部と、前記攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、前記コントローラへ送信する検知アラート通知部と、前記コントローラから取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、前記データ取得部が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部と、を備え、前記コントローラが、前記前処理されたデータを取得して、前記通信データによる攻撃を検知するための前記学習モデルを生成する学習部と、取得した前記検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む前記対処制御ポリシーを作成し、前記ハードウェアアクセラレータに送信する対処判定部と、を備えることを特徴とする。
　本発明によれば、通信ネットワークに対するサイバー攻撃における、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置の使用リソースを低減することができる。
本実施形態に係る検知対処制御システムの全体構成を示す図である。 本実施形態に係る検知対処制御システムによる学習処理の流れを示すシーケンス図である。 本実施形態に係る検知対処制御システムのハードウェアアクセラレータによる攻撃検知処理の流れを示すフローチャートである。 本実施形態に係る検知対処制御システムによる攻撃対処処理の流れを示すシーケンス図である。 本実施形態の変形例に係る検知対処制御システムの全体構成を示す図である。 本実施形態に係るコントローラの機能を実現するコンピュータの一例を示すハードウェア構成図である。
　次に、本発明を実施するための形態（以下、「本実施形態」と称する。）について説明する。
　図１は、本実施形態に係る検知対処制御システム１０００の全体構成を示す図である。
　本実施形態では、ＲＡＮ（５Ｇ ＲＡＮ）において、セキュリティ機能を備えたＮＩＣ搭載ＦＰＧＡボード（ハードウェアアクセラレータ１０）と、ＡＩ機能を備えた集中管理型コントローラ（ＲＩＣ）（コントローラ２０）との連携により、攻撃検知および攻撃対処を機能分離して実現する例として説明する。
　図１で示すように、検知対処制御システム１０００は、ユーザ端末５に接続され、ユーザ端末５から取得したデータ等を、コアネットワーク通信装置４０に転送するアクセスネットワーク通信装置３０（アクセスネットワークの通信装置）と、ハードウェアアクセラレータ１０と、コントローラ２０とを含んで構成される。
　なお、コアネットワーク通信装置４０は、アクセスネットワーク通信装置３０等から取得したデータを、データネットワーク（インターネット等）に転送する装置である。
　アクセスネットワーク通信装置３０およびコアネットワーク通信装置４０では、ユーザ端末５または他の通信装置から受信したＲＡＮデータ（U-plane／C-plane）の転送をデータ転送部３１，４１が実行するとともに、プロトコル変換等の処理をプロトコル処理部３２，４２が実行する。
　ハードウェアアクセラレータ１０は、通信装置に対して、例えば、ＮＩＣ（Network Interface Card）を搭載したＦＰＧＡ（Field Programmable Gate Array）ボード（FPGA SmartNIC）として接続される。より詳細には、アクセスネットワーク通信装置３０に対し、ＰＣＩｅ（Peripheral Component Interconnect Express）のような拡張インタフェースを用いてＦＰＧＡボードとして接続される。このハードウェアアクセラレータ１０は、取得したデータの前処理や、攻撃検知処理、攻撃を検知した場合の攻撃対処処理を実行する。
　コントローラ２０は、ハードウェアアクセラレータ１０に接続され、サイバー攻撃を検知するための学習モデルの生成や、攻撃対処に関する対処制御ポリシーの作成等を実行する。
　このハードウェアアクセラレータ１０とコントローラ２０とが連携し、学習、攻撃検知および攻撃対処を、機能分離して行うことにより、低遅延かつ通信装置の使用リソース（主に、動作リソース、ＮＷリソース）の低減を実現する。
　以下、ハードウェアアクセラレータ１０およびコントローラ２０について、詳細に説明する。
＜ハードウェアアクセラレータ＞
　ハードウェアアクセラレータ１０は、セキュリティ機能を実現するセキュリティ処理部１００を備えている。このセキュリティ処理部１００は、図１で示すように、データ取得部１１０、データ前処理部１２０、攻撃検知部１３０、検知アラート通知部１４０および対処実行部１５０を備える。
　データ取得部１１０は、アクセスネットワーク通信装置３０から転送された通信データ（例えば、U-plane, C-planeのデータ）の入力を受け付ける。
　そして、データ取得部１１０は、受け付けたデータのうち、全データを攻撃検知の対象として取得するようにしてもよいし、特定のシグナリング（呼制御情報）のみを取得したり、サンプリングを実行することにより、データを効率的に取得したりしてもよい。
　例えば、データ取得部１１０は、ＲＡＮの特定パケットのフィールドを指定して、その情報を取得するようにしてもよい。
　データ取得部１１０は、取得したデータを、データ前処理部１２０へ出力する。
　データ前処理部１２０は、データ取得部１１０から受け取ったデータに対して、前処理を実行する。この前処理の機能は、ハードウェアアクセラレータ１０のプログラマプルロジックに実装し、インライン方式で前処理を実行する。
　このデータ前処理部１２０は、例えば、取得した通信データに対して、攻撃検知に不要なデータを取り除いたり、データの加工を行ったりすることにより、攻撃検知に必要な所定のデータを抽出する（前処理の一段階目の処理）。
　また、データ前処理部１２０は、データ加工された通信データについて、統計処理を実行し（前処理の二段階目の処理）、統計実行期間（例えば、60秒、5分）を経過後、統計処理されたデータをコントローラ２０へ送信する。統計処理としては、例えば、平均値、分散値、最大値、最小値の算出や、正則化処理、標準化処理等を実行する。
　このデータ前処理部１２０は、例えば、ＲＡＮ通信データのうち、攻撃特徴量に関連するデータフィールドのみ（攻撃検知に必要な所定のデータ）を抽出して統計処理することで、コントローラ２０へ送信するデータ量を低減することができる。
　「攻撃特徴量に関するデータフィールド」の例について説明する。ＵＥ（ユーザ端末）と通信基地局が接続を確立する際には、Random Access、RRC Setupの手続きが実施される。これらのシーケンスを狙った攻撃であるＭＡＣプロトコルシグナリングＤｏＳ攻撃や、ＲＲＣ（Radio Resource Control protocol）プロトコルシグナリングＤｏＳ攻撃では、攻撃特徴量に関連するデータフィールドとして、ＵＥ識別情報やセル情報（例えば、Radio Network Temporary Identifier/RNDIの値）、RRC Request Messageの種類、データのパケットサイズが該当する。また、ＲＡＮ通信データに関する付随情報であり、ＵＥ・通信基地局からリソース情報として取得可能なＵＥの電波品質情報、基地局の電波強度情報、Cellのリソース情報なども、攻撃特徴量に関するデータフィールドとして利用可能である。
　なお、データ前処理部１２０は、データフィールドの情報を抽出後、データ前処理としての統計処理を行い、例えば、RRC Request Messageの統計量の算出を行う。
　攻撃検知部１３０は、コントローラ２０から受信した学習モデル（攻撃を検知するための学習モデル）を用いて、データ取得部１１０が取得した通信データ（ＲＡＮ通信データ）の攻撃検知処理をインラインで実行する。その際、攻撃検知部１３０は、上記した前処理（一段階目および二段階目の処理）と同様の処理を実行したデータ（前処理したデータ）に関して、攻撃検知処理を実行する。攻撃検知部１３０は、攻撃検知処理を実行した結果、攻撃を検知したと判定した場合には、検知理由（閾値超過、攻撃と特徴一致等の情報）を含む検知情報を生成し、検知アラート通知部１４０に出力する。なお、検知理由を生成するための、閾値情報や、各攻撃の特徴量の情報は、予め記憶手段に記憶しておいた情報を利用する。
　攻撃検知部１３０は、コントローラ２０から検知用の学習モデル（重みデータ等）を、所定の時間間隔で受信することにより学習モデルを更新する。これにより、攻撃検知部１３０は、ＲＡＮにおいて発生している攻撃や、通信状況に合わせた異常検知が可能となる。
　検知アラート通知部１４０は、攻撃検知部１３０から取得した検知情報と、ネットワーク環境に基づく情報とから検知アラートを作成し、コントローラ２０へ送信する。
　この検知アラートには、攻撃検知部１３０が生成した検知情報（検知理由）に加えて、例えば、通信元ＩＰアドレス、ＵＥ（ユーザ端末）情報、収容先セル／通信装置情報、ネットワーク経路等の情報が含まれる。
　対処実行部１５０は、コントローラ２０から取得した対処制御ポリシーに基づき、通信データに対しての攻撃対処をインラインで実行する。
　具体的には、対処実行部１５０は、取得した対処制御ポリシーに基づき、ハードウェアアクセラレータ１０に対処用フィルタを作成し、図示を省略したＮＩＣから入力した通信データに対してフィルタ一致の確認を行うことにより、攻撃通信データを遮断し防御を行う。
＜コントローラ＞
　コントローラ２０は、ハードウェアアクセラレータ１０と接続され、サイバー攻撃検知ための学習処理、攻撃検知処理および攻撃対処処理を、ハードウェアアクセラレータ１０との間で機能分離して実行する。
　このコントローラ２０は、制御部、入出力部、記憶部（いずれも図示省略）を備えるコンピュータにより構成される。
　入出力部は、ハードウェアアクセラレータ１０等との間の情報について入出力を行う。この入出力部は、通信回線を介して情報の送受信を行う通信インタフェースと、図示を省略したキーボード等の入力装置やモニタ等の出力装置との間で情報の入出力を行う入出力インタフェースとから構成される。
　記憶部は、ハードディスクやフラッシュメモリ、ＲＡＭ（Random Access Memory）等により構成される。
　この記憶部には、制御部の各機能を実行させるためのプログラムや、制御部の処理に必要な情報が一時的に記憶される。
　制御部は、コントローラ２０が実行する処理の全般を司り、図１で示すように、学習部２１０と、学習モデル送信部２２０と、対処判定部２３０とを含んで構成される。
　学習部２１０は、ハードウェアアクセラレータ１０から、前処理したデータを取得し、ＡＩの学習モデル（攻撃を検知するための学習モデル）を生成する。例えば、学習部２１０は、正常データから正常状態を学習し、また、後記する対処判定部２３０から、攻撃データと判断した情報（検知アラート）を取得して、攻撃の特徴を学習することにより学習モデルを生成する。
　この学習部２１０は、所定の時間間隔で、前処理したデータや攻撃データを取得することにより、学習モデルの再学習を行い、学習モデルを更新する。
　学習モデル送信部２２０は、学習部２１０で生成した学習モデルをハードウェアアクセラレータ１０へ送信する。
　ここで、学習モデル送信部２２０は、生成した学習モデルの情報のすべてを送信するようにしてもよいし、更新された学習モデルに関し、必要となる重みデータのみを送信するようにしてもよい。このようにすることにより、学習モデル送信部２２０は、ハードウェアアクセラレータ１０へ送信するデータ量を低減することができる。
　対処判定部２３０は、ハードウェアアクセラレータ１０（検知アラート通知部１４０）から、検知アラートを受信し、攻撃対処が必要か否かを判定する。
　具体的には、対処判定部２３０は、検知アラートに含まれる情報のうち、予め設定しておいた脅威情報（攻撃種類、ＩＰアドレス、ＵＥ識別情報）とそれに基づく攻撃の影響度（例えば、攻撃の頻度、影響範囲（サービス遅延、サービス拒否等））により、攻撃に対処するか否かを判定する。
　対処判定部２３０は、攻撃に対処すると判定した場合に、検知アラートの脅威情報に基づき対処制御ポリシーを作成する。そして、対処判定部２３０は、作成した対処制御ポリシーを、ハードウェアアクセラレータ１０（対処実行部１５０）に送信する。
　対処判定部２３０は、例えば、ＲＡＮならではの脅威情報（ＵＥ識別情報、ＲＡＮ攻撃等）に基づき対処制御ポリシーを作成することができる。
　ＲＡＮならではの脅威情報の具体例は、ＲＡＮを対象とした攻撃に関する情報であり、例えば、ＵＥ（ユーザ端末）を識別するためのＵＥ固有または通信基地局から払い出されるＵＥ識別情報があり、この情報を用いることで攻撃元である不正ＵＥやボット（不正なプログラム）に感染したＵＥの正確な特定が可能となる。
　対処制御ポリシーには、ハードウェアアクセラレータ１０等で攻撃に対処するために必要な情報が含まれる。攻撃対処に必要な情報は、例えば、攻撃種類、攻撃元の情報、攻撃先の情報、対処手法である。以下、ハードウェアアクセラレータ１０におけるＲＲＣプロトコルシグナリングＤＤｏＳ攻撃への対処を例に対処手法を説明する。
　ＲＲＣプロトコルシグナリングＤＤｏＳ攻撃では、攻撃種類として、ＲＲＣプロトコルシグナリングＤＤｏＳ攻撃、さらにどのシグナリングシーケンスのＤｏＳ攻撃であるかの情報が含まれる。攻撃元の情報として、ＵＥ識別情報、ＵＥを収容するセル・通信基地局の情報、ＵＥが通信に用いる無線ベアラの情報が含まれる。攻撃先の情報として、攻撃先のネットワークの情報、攻撃影響の情報が含まれる。また、対処手法として、パケット遮断、セキュリティ分析装置（図示省略）へのステアリング（転送）が含まれる。これらの情報を、対処制御ポリシーとして、ＪＳＯＮ（JavaScript Object Notation）のような任意のデータ構造にまとめ、コントローラ２０からハードウェアアクセラレータ１０に送信する。
≪処理の流れ≫
　次に、本実施形態に係る検知対処制御システム１０００が実行する処理の流れについて説明する。
　ここでは、ハードウェアアクセラレータ１０とコントローラ２０が連携して行う処理として、学習処理（図２）、攻撃検知処理（図３）、攻撃対処処理（図４）について説明する。
＜学習処理＞
　図２は、本実施形態に係る検知対処制御システム１０００による学習処理の流れを示すシーケンス図である。
　学習処理では、ハードウェアアクセラレータ１０に入力された通信データについて、前処理を行い、コントローラ２０へ送信する。そして、コントローラ２０において、前処理したデータや攻撃データを用いて学習モデルを生成し、生成した学習モデルをハードウェアアクセラレータ１０へ送信する。ハードウェアアクセラレータ１０では、所定の時間間隔で、学習モデルを取得して更新する。以下、具体的に説明する。
　まず、ハードウェアアクセラレータ１０のデータ取得部１１０は、アクセスネットワーク通信装置３０から転送された通信データ（例えば、U-plane, C-planeのデータ）の入力を受け付ける（ステップＳ１０）。
　そして、データ取得部１１０は、受け付けた通信データのうち攻撃検知の対象とする通信データを取得して、データ前処理部１２０へ出力する。
　次に、ハードウェアアクセラレータ１０のデータ前処理部１２０は、取得した通信データに対して一段階目の前処理を実行する（ステップＳ１１）。
　データ前処理部１２０は、一段階目の前処理として、取得した通信データについて、攻撃検知に不要なデータを取り除いたり、データの加工を行ったりする。
　そして、データ前処理部１２０は、統計実行期間（例えば、60秒や５分）が経過したか否かを判定する（ステップＳ１２）。そして、統計実行時間が経過していなければ（ステップＳ１２→Ｎｏ）、ステップＳ１０へ戻り、通信データの取得と前処理を続ける。
　一方、統計実行期間が経過していれば（ステップＳ１２→Ｙｅｓ）、データ前処理部１２０は、データ加工を行ったデータについて統計処理（平均値の算出や正則化処理等）を実行し（ステップＳ１３）、統計処理されたデータをコントローラ２０へ送信する。
　コントローラ２０の学習部２１０は、受信した前処理されたデータ（統計処理されたデータ）を学習データとして、ＡＩの学習モデルを生成する（ステップＳ１４）。
　なお、学習部２１０は、攻撃検知処理（図３）の実行後においては、攻撃データと判断した情報（検知アラート）も学習データとして取り込み、再学習することにより、学習モデルを更新する。
　続いて、学習モデル送信部２２０は、学習部２１０で生成した学習モデルをハードウェアアクセラレータ１０へ送信する（ステップＳ１５）。
　ここで、学習モデル送信部２２０は、生成した学習モデルのデータすべてをハードウェアアクセラレータ１０に送信してもよいし、学習モデルの重みデータのみをハードウェアアクセラレータ１０に送信するようにしてもよい。
　次に、ハードウェアアクセラレータ１０の攻撃検知部１３０は、コントローラ２０から学習モデルを取得し設定する（ステップＳ１６）。ここで、攻撃検知部１３０は、すでに学習モデルをコントローラ２０から取得して設定した後に、学習モデルのデータを取得した場合には、そのデータ（例えば、学習モデルの重みデータ）により、設定している学習モデルを更新する。
　以上で、ハードウェアアクセラレータ１０とコントローラ２０の連携による学習処理を終了する。なお、この学習処理は、実際に通信データの攻撃検知処理や攻撃対処処理を実行する前に予め行う。また、攻撃検知処理や攻撃対処処理が実行された後においても、所定の時間間隔で実行することで、学習モデルを更新する。
＜攻撃検知処理＞
　次に、攻撃検知処理について説明する。
　図３は、本実施形態に係る検知対処制御システム１０００（ハードウェアアクセラレータ１０）による攻撃検知処理の流れを示すフローチャートである。
　攻撃検知処理では、ハードウェアアクセラレータ１０が、取得した通信データについて前処理を行った上で、学習モデルにデータを入力することにより、インラインで攻撃を検知する。以下、具体的に説明する。
　まず、ハードウェアアクセラレータ１０のデータ取得部１１０は、アクセスネットワーク通信装置３０から転送された通信データ（例えば、U-plane, C-planeのデータ）の入力を受け付ける（ステップＳ２０）。
　そして、データ取得部１１０は、受け付けた通信データのうち攻撃検知の対象とする通信データを取得して、データ前処理部１２０へ出力する。
　次に、ハードウェアアクセラレータ１０のデータ前処理部１２０は、取得した通信データに対して一段階目の前処理を実行する（ステップＳ２１）。
　データ前処理部１２０は、一段階目の前処理として、取得した通信データについて、攻撃検知に不要なデータを取り除いたり、データの加工を行ったりする。
　そして、データ前処理部１２０は、統計実行期間（例えば、60秒や５分）が経過したか否かを判定する（ステップＳ２２）。そして、統計実行時間が経過していなければ（ステップＳ２２→Ｎｏ）、ステップＳ２０へ戻り、通信データの取得と前処理を続ける。
　一方、統計実行期間が経過していれば（ステップＳ２２→Ｙｅｓ）、データ前処理部１２０は、データ加工を行ったデータについて統計処理（平均値の算出や正則化処理等）を実行し（ステップＳ２３）、統計処理されたデータを攻撃検知部１３０に出力する。
　攻撃検知部１３０は、設定した学習モデルを用いて、通信データ（統計処理されたデータ）の攻撃検知処理を実行し、通信データが攻撃（攻撃通信データ）か否かを判定する（ステップＳ２４）。
　そして、攻撃検知部１３０が、攻撃でないと判定した場合には（ステップＳ２４→Ｎｏ）、処理を終了する。
　一方、攻撃検知部１３０が、攻撃であると判定（攻撃を検知）した場合には（ステップＳ２４→Ｙｅｓ）、検知理由（閾値超過、攻撃と特徴一致等）を含む検知情報を生成して、検知アラート通知部１４０に出力する。
　検知アラート通知部１４０は、攻撃検知部１３０から取得した検知情報と、ネットワーク環境に基づく情報とから検知アラートを作成し、コントローラ２０へ送信する（ステップＳ２５）。
　この検知アラートには、例えば、通信元ＩＰアドレス、ＵＥ（ユーザ端末）情報、収容先セル／通信装置情報、ネットワーク経路、検知情報（検知理由等）が含まれる。
　以上で、ハードウェアアクセラレータ１０による攻撃検知処理を終了する。
＜攻撃対処処理＞
　次に、攻撃対処処理について説明する。
　図４は、本実施形態に係る検知対処制御システム１０００による攻撃対処処理の流れを示すシーケンス図である。
　攻撃対処処理では、コントローラ２０が作成した対処制御ポリシーに基づき、ハードウェアアクセラレータ１０が、フィルタリングにより、攻撃通信データの遮断を行う。以下、具体的に説明する。
　まず、コントローラの対処判定部２３０は、ハードウェアアクセラレータ１０から検知アラートを受信する（ステップＳ３０）。
　続いて、対処判定部２３０は、検知アラートに含まれる脅威情報に基づき、攻撃対処が必要か否かを判定する（ステップＳ３１）。
　ここで、脅威情報は、例えば、攻撃種類、ＩＰアドレス、ＵＥ識別情報等である。この脅威情報と攻撃の影響度（攻撃頻度、影響範囲等）とに基づき、対処判定部２３０は、攻撃に対処するか否かを判定する。
　ここで、対処判定部２３０が、攻撃に対処しないと判定した場合には（ステップＳ３１→Ｎｏ）、処理を終了する。
　一方、攻撃に対処すると判定した場合には（ステップＳ３１→Ｙｅｓ）、対処判定部２３０は、検知アラートに含まれる脅威情報に基づき、対処制御ポリシーを作成し（ステップＳ３２）、ハードウェアアクセラレータ１０へ送信する。
　次に、ハードウェアアクセラレータ１０の対処実行部１５０は、取得した対処制御ポリシーに基づき、ハードウェアアクセラレータ１０に対処用フィルタを作成する（ステップＳ３３）。
　続いて、対処実行部１５０は、アクセスネットワーク通信装置３０から取得した通信データ、またはその通信データに対してデータ前処理部１２０が前処理（統計処理）したデータに対して、フィルタに一致するか否かを判定する（ステップＳ３４）。
　そして、フィルタに一致しない場合には（ステップＳ３４→Ｎｏ）、対処を実行せず処理を終了する。
　一方、フィルタに一致する場合には（ステップＳ３４→Ｙｅｓ）、対処実行部１５０は、対処を実行し、その通信データを攻撃通信データとして遮断する（ステップＳ３５）。
　このようにすることにより、コントローラ２０が作成した対処制御ポリシーに基づき、ハードウェアアクセラレータ１０が、フィルタリングにより、攻撃通信データの遮断を行うことができる。
≪変形例≫
　次に、本実施形態に係る検知対処制御システム１０００の変形例について説明する。
　図１で示す検知対処制御システム１０００では、アクセスネットワーク通信装置３０からのデータ転送を行い、転送データをハードウェアアクセラレータ１０が取得することにより、攻撃検知および攻撃対処の処理を、コントローラ２０と連携して実現している。
　これに対し、本実施形態の変形例に係る検知対処制御システム１０００Ａでは、アクセスネットワーク通信装置３０にＮＩＣ搭載のＦＰＧＡボード（ハードウェアアクセラレータ１０）を接続し、攻撃検知および攻撃対処の処理をＦＰＧＡボードにおいてインライン形式で実行し、低遅延と、通信装置の使用リソース消費の低減とを実現する。
　ＮＩＣ搭載のＦＰＧＡボードは、例えば、FPGA SmartNICであり、ＰＣＩｅ等の拡張インタフェースを用いて汎用ＩＡ（Intel Architecture）サーバ上で構築した通信装置（アクセスネットワーク通信装置３０）に接続することができる。
　図５は、本実施形態の変形例に係る検知対処制御システム１０００Ａの全体構成を示す図である。
　図５で示すように、アクセスネットワーク通信装置３０Ａは、ハードウェアアクセラレータ１０のセキュリティ処理部１００（例えば、FPGA SmartNICで構成）を備える。セキュリティ処理部１００が備える各機能（データ取得部１１０、データ前処理部１２０、攻撃検知部１３０、検知アラート通知部１４０、対処実行部１５０）は、図１で示したセキュリティ処理部１００の各機能と同じである。
　アクセスネットワーク通信装置３０Ａでは、入力された通信データに対して、接続したＦＰＧＡボード（ハードウェアアクセラレータ１０）にデータを転送する。ＦＰＧＡボード（ハードウェアアクセラレータ１０）では、入力された通信データを、内蔵するユーザロジックへの入力とし、このユーザロジックにより、攻撃検知および攻撃対処を実行することで、アクセスネットワーク通信装置３０ＡのＣＰＵを経由せずに、インライン方式で攻撃検知及び攻撃対処を実行することができる。その結果、アクセスネットワーク通信装置３０Ａでは、攻撃検知や攻撃対処の処理を実行する必要がなくなり、遅延時間および使用リソース消費を低減することが可能となる。
　なお、セキュリティ処理部１００内の各機能の内容および処理の流れは、本実施形態に係る検知対処制御システム１０００と同様であるので、記載を省略する。
＜ハードウェア構成＞
　本実施形態に係る検知対処制御システム１０００のコントローラ２０は、例えば図６に示すような構成のコンピュータ９００によって実現される。
　図６は、本実施形態に係るコントローラ２０の機能を実現するコンピュータ９００の一例を示すハードウェア構成図である。コンピュータ９００は、ＣＰＵ（Central Processing Unit）９０１、ＲＯＭ（Read Only Memory）９０２、ＲＡＭ９０３、ＨＤＤ（Hard Disk Drive）９０４、入出力Ｉ／Ｆ（Interface）９０５、通信Ｉ／Ｆ９０６およびメディアＩ／Ｆ９０７を有する。
　ＣＰＵ９０１は、ＲＯＭ９０２またはＨＤＤ９０４に記憶されたプログラムに基づき作動し、制御部（学習部２１０、学習モデル送信部２２０、対処判定部２３０）による制御を行う。ＲＯＭ９０２は、コンピュータ９００の起動時にＣＰＵ９０１により実行されるブートプログラムや、コンピュータ９００のハードウェアに係るプログラム等を記憶する。
　ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、マウスやキーボード等の入力装置９１０、および、ディスプレイやプリンタ等の出力装置９１１を制御する。ＣＰＵ９０１は、入出力Ｉ／Ｆ９０５を介して、入力装置９１０からデータを取得するともに、生成したデータを出力装置９１１へ出力する。なお、プロセッサとしてＣＰＵ９０１とともに、ＧＰＵ（Graphics Processing Unit）等を用いても良い。
　ＨＤＤ９０４は、ＣＰＵ９０１により実行されるプログラムおよび当該プログラムによって使用されるデータ等を記憶する。通信Ｉ／Ｆ９０６は、通信網（例えば、ＮＷ（Network）９２０）を介して他の装置からデータを受信してＣＰＵ９０１へ出力し、また、ＣＰＵ９０１が生成したデータを、通信網を介して他の装置へ送信する。
　メディアＩ／Ｆ９０７は、記録媒体９１２に格納されたプログラムまたはデータを読み取り、ＲＡＭ９０３を介してＣＰＵ９０１へ出力する。ＣＰＵ９０１は、目的の処理に係るプログラムを、メディアＩ／Ｆ９０７を介して記録媒体９１２からＲＡＭ９０３上にロードし、ロードしたプログラムを実行する。記録媒体９１２は、ＤＶＤ（Digital Versatile Disc）、ＰＤ（Phase change rewritable Disk）等の光学記録媒体、ＭＯ（Magneto Optical disk）等の光磁気記録媒体、磁気記録媒体、半導体メモリ等である。
　例えば、コンピュータ９００が本発明のコントローラ２０として機能する場合、コンピュータ９００のＣＰＵ９０１は、ＲＡＭ９０３上にロードされたプログラムを実行することにより、コントローラ２０の機能を実現する。また、ＨＤＤ９０４には、ＲＡＭ９０３内のデータが記憶される。ＣＰＵ９０１は、目的の処理に係るプログラムを記録媒体９１２から読み取って実行する。この他、ＣＰＵ９０１は、他の装置から通信網（ＮＷ９２０）を介して目的の処理に係るプログラムを読み込んでもよい。
＜効果＞
　以下、本発明に係る検知対処制御システム１０００等の効果について説明する。
　本発明に係る検知対処制御システムは、アクセスネットワークにおいてネットワーク制御を行うコントローラ２０と、アクセスネットワークの通信装置（アクセスネットワーク通信装置３０）およびコントローラ２０に接続されるハードウェアアクセラレータ１０とを備え、サイバー攻撃の検知および対処を行う検知対処制御システム１０００であって、ハードウェアアクセラレータ１０が、通信装置から通信データを取得するデータ取得部１１０と、取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータをコントローラ２０へ送信するデータ前処理部１２０と、コントローラ２０から、通信データによる攻撃を検知するための学習モデルを取得し、データ取得部１１０が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部１３０と、攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、コントローラ２０へ送信する検知アラート通知部１４０と、コントローラ２０から取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、データ取得部１１０が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部１５０と、を備え、コントローラ２０が、前処理されたデータを取得して、通信データによる攻撃を検知するための学習モデルを生成する学習部２１０と、取得した検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む対処制御ポリシーを作成し、ハードウェアアクセラレータ１０に送信する対処判定部２３０と、を備えることを特徴とする。
　このように、検知対処制御システム１０００は、ハードウェアアクセラレータ１０と、コントローラ２０とが、学習、攻撃検知、攻撃対処において機能分離を行い、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置（アクセスネットワーク通信装置３０）の使用リソースを低減することができる。また、検知対処制御システム１０００は、低遅延・低リソースで攻撃検知および攻撃対処ができることから、遅延要件が厳しいネットワークにおいても、リアルタイムでのデータ分析、攻撃検知、攻撃対処が可能となり、セキュアなネットワーク運用を可能にする。
　また、検知対処制御システム１０００は、ハードウェアアクセラレータ１０と、コントローラ２０とが、学習、攻撃検知、攻撃対処においてセキュリティ関連機能を機能分離することにより、通信装置（アクセスネットワーク通信装置３０）への負荷や遅延などのサービス影響を与えずに、セキュリティ機能を導入することができる。
　さらに、検知対処制御システム１０００では、プログラマブルなハードウェアアクセラレータ１０を備えることで、特定処理オフロードの切り替えが可能であり、セキュリティ機能を他の機能と共用化した上で、通信装置のＣＰＵでの動作と比較し、使用リソースや電力効率を改善することができる。
　また、検知対処制御システム１０００において、コントローラ２０の学習部２１０は、所定の時間間隔で取得した前処理されたデータと、攻撃対処が必要とされた検知アラートの情報とを用いて、学習モデルの再学習を行い、再学習した学習モデルをハードウェアアクセラレータ１０に送信し、ハードウェアアクセラレータ１０の攻撃検知部１３０は、再学習した学習モデルにより、自身の学習モデルを更新することを特徴とする。
　このようにすることにより、検知対処制御システム１０００は、通信状況に合わせて学習モデルを更新することができ、より適切な攻撃検知を実行することが可能となる。
　本発明に係る検知対処制御システムは、アクセスネットワークにおいてネットワーク制御を行うコントローラ２０と、コントローラ２０に接続されるハードウェアアクセラレータ１０を搭載する、アクセスネットワークの通信装置（アクセスネットワーク通信装置３０Ａ）とを備え、サイバー攻撃の検知および対処を行う検知対処制御システム１０００Ａであって、ハードウェアアクセラレータ１０が、通信装置（アクセスネットワーク通信装置３０Ａ）に入力された通信データを取得するデータ取得部１１０と、取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータをコントローラ２０へ送信するデータ前処理部１２０と、コントローラ２０から、通信データによる攻撃を検知するための学習モデルを取得し、データ取得部１１０が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部１３０と、攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、コントローラ２０へ送信する検知アラート通知部１４０と、コントローラ２０から取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、データ取得部１１０が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部１５０と、を備え、コントローラ２０が、前処理されたデータを取得して、通信データによる攻撃を検知するための学習モデルを生成する学習部２１０と、取得した検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む対処制御ポリシーを作成し、ハードウェアアクセラレータ１０に送信する対処判定部２３０と、を備えることを特徴とする。
　このように、検知対処制御システム１０００Ａは、通信装置（アクセスネットワーク通信装置３０Ａ）に搭載されたハードウェアアクセラレータ１０と、コントローラ２０とが、学習、攻撃検知、攻撃対処において機能分離を行い、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置（アクセスネットワーク通信装置３０）の使用リソースを低減することができる。また、検知対処制御システム１０００は、低遅延・低リソースで攻撃検知および攻撃対処ができることから、遅延要件が厳しいネットワークにおいても、リアルタイムでのデータ分析、攻撃検知、攻撃対処が可能となり、セキュアなネットワーク運用を可能にする。
　さらに、検知対処制御システム１０００Ａでは、通信装置（アクセスネットワーク通信装置３０Ａ）に入力された通信データを、ハードウェアアクセラレータ１０へ転送する。このため、通信装置を構成するサーバのＣＰＵを経由せずに、インライン方式で攻撃検知および攻撃対処を行うことができる。その結果、通信装置では攻撃検知や攻撃対処の動作する必要がなくなり、通信装置での遅延時間および使用リソースを低減することができる。
　本発明に係るハードウェアアクセラレータは、アクセスネットワークにおいてネットワーク制御を行うコントローラ２０と、アクセスネットワークの通信装置（アクセスネットワーク通信装置３０）とに接続されるハードウェアアクセラレータ１０であって、通信装置（アクセスネットワーク通信装置３０）から通信データを取得するデータ取得部１１０と、取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータをコントローラ２０へ送信するデータ前処理部１２０と、コントローラ２０から、通信データによる攻撃を検知するための学習モデルを取得し、データ取得部１１０が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部１３０と、攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、コントローラ２０へ送信する検知アラート通知部１４０と、コントローラ２０から取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、データ取得部１１０が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部１５０と、を備えることを特徴とする。
　このようにすることにより、ハードウェアアクセラレータ１０は、コントローラ２０との間で、学習、攻撃検知、攻撃対処において機能分離を行い、コントローラ２０から取得した学習モデルを用いて攻撃検知を行うとともに、コントローラ２０から取得した対処制御ポリシーに基づき、攻撃対処を実行することができる。これにより、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置（アクセスネットワーク通信装置３０）の使用リソースを低減することができる。
　本発明に係るコントローラは、アクセスネットワークの通信装置（アクセスネットワーク通信装置３０）に接続されるハードウェアアクセラレータ１０と通信接続するコントローラ２０であって、ハードウェアアクセラレータ１０から、攻撃検知に必要な所定のデータを抽出して統計処理する前処理が実行された通信データを取得して、通信データによる攻撃を検知するための学習モデルを生成する学習部２１０と、ハードウェアアクセラレータ１０が学習モデルを用いて攻撃を検知した通信データの検知アラートを取得し、取得した検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む対処制御ポリシーを作成して、ハードウェアアクセラレータ１０に送信する対処判定部２３０と、を備えることを特徴とする。
　このようにすることにより、コントローラ２０は、ハードウェアアクセラレータ１０との間で、学習、攻撃検知、攻撃対処において機能分離を行い、攻撃を検知するための学習モデルの生成と、対処制御ポリシーの作成を行うことができる。これにより、攻撃検知や攻撃対処の遅延時間を低減するとともに、通信装置（アクセスネットワーク通信装置３０）の使用リソースを低減することができる。
　なお、本発明は、以上説明した実施形態に限定されるものではなく、多くの変形が本発明の技術的思想内で当分野において通常の知識を有する者により可能である。
　５　　　ユーザ端末
　１０　　ハードウェアアクセラレータ
　２０　　コントローラ
　３０，３０Ａ　アクセスネットワーク通信装置
　３１　　データ転送部
　３２　　プロトコル処理部
　４０　　コアネットワーク通信装置
　４１　　データ転送部
　４２　　プロトコル処理部
　１００　セキュリティ処理部
　１１０　データ取得部
　１２０　データ前処理部
　１３０　攻撃検知部
　１４０　検知アラート通知部
　１５０　対処実行部
　２１０　学習部
　２２０　学習モデル送信部
　２３０　対処判定部
　１０００，１０００Ａ　検知対処制御システム

Claims (7)

  1. 　アクセスネットワークにおいてネットワーク制御を行うコントローラと、前記アクセスネットワークの通信装置および前記コントローラに接続されるハードウェアアクセラレータとを備え、サイバー攻撃の検知および対処を行う検知対処制御システムであって、
    　前記ハードウェアアクセラレータは、
    　前記通信装置から通信データを取得するデータ取得部と、
    　取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータを前記コントローラへ送信するデータ前処理部と、
    　前記コントローラから、前記通信データによる攻撃を検知するための学習モデルを取得し、前記データ取得部が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部と、
    　前記攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、前記コントローラへ送信する検知アラート通知部と、
    　前記コントローラから取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、前記データ取得部が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部と、を備え、
    　前記コントローラは、
    　前記前処理されたデータを取得して、前記通信データによる攻撃を検知するための前記学習モデルを生成する学習部と、
    　取得した前記検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む前記対処制御ポリシーを作成し、前記ハードウェアアクセラレータに送信する対処判定部と、を備えること
    　を特徴とする検知対処制御システム。
  2. 　前記コントローラの学習部は、所定の時間間隔で取得した前記前処理されたデータと、前記攻撃対処が必要とされた前記検知アラートの情報とを用いて、前記学習モデルの再学習を行い、再学習した学習モデルを前記ハードウェアアクセラレータに送信し、
    　前記ハードウェアアクセラレータの攻撃検知部は、前記再学習した学習モデルにより、自身の学習モデルを更新すること
    　を特徴とする請求項１に記載の検知対処制御システム。
  3. 　アクセスネットワークにおいてネットワーク制御を行うコントローラと、前記コントローラに接続されるハードウェアアクセラレータを搭載する、前記アクセスネットワークの通信装置とを備え、サイバー攻撃の検知および対処を行う検知対処制御システムであって、
    　前記ハードウェアアクセラレータは、
    　前記通信装置に入力された通信データを取得するデータ取得部と、
    　取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータを前記コントローラへ送信するデータ前処理部と、
    　前記コントローラから、前記通信データによる攻撃を検知するための学習モデルを取得し、前記データ取得部が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部と、
    　前記攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、前記コントローラへ送信する検知アラート通知部と、
    　前記コントローラから取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、前記データ取得部が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部と、を備え、
    　前記コントローラは、
    　前記前処理されたデータを取得して、前記通信データによる攻撃を検知するための前記学習モデルを生成する学習部と、
    　取得した前記検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む前記対処制御ポリシーを作成し、前記ハードウェアアクセラレータに送信する対処判定部と、を備えること
    　を特徴とする検知対処制御システム。
  4. 　アクセスネットワークにおいてネットワーク制御を行うコントローラと、前記アクセスネットワークの通信装置および前記コントローラに接続されるハードウェアアクセラレータとを備え、サイバー攻撃の検知および対処を行う検知対処制御システムの検知対処制御方法であって、
    　前記ハードウェアアクセラレータは、
    　前記通信装置から通信データを取得するステップと、
    　取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータを前記コントローラへ送信するステップと、を実行し、
    　前記コントローラは、
    　前記前処理されたデータを取得して、前記通信データによる攻撃を検知するための学習モデルを生成するステップを実行し、
    　前記ハードウェアアクセラレータは、
    　前記コントローラから前記学習モデルを取得し、取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行するステップと、
    　前記攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、前記コントローラへ送信するステップと、を実行し、
    　前記コントローラは、
    　取得した前記検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む対処制御ポリシーを作成し、前記ハードウェアアクセラレータに送信するステップを実行し、
    　前記ハードウェアアクセラレータは、
    　前記コントローラから取得した前記対処制御ポリシーに基づき、取得する通信データに対する攻撃対処を、インラインで行うステップを実行すること
    　を特徴とする検知対処制御方法。
  5. 　アクセスネットワークにおいてネットワーク制御を行うコントローラと、前記アクセスネットワークの通信装置とに接続されるハードウェアアクセラレータであって、
    　前記通信装置から通信データを取得するデータ取得部と、
    　取得した通信データについて、攻撃検知に必要な所定のデータを抽出して統計処理する前処理を実行し、前処理したデータを前記コントローラへ送信するデータ前処理部と、
    　前記コントローラから、前記通信データによる攻撃を検知するための学習モデルを取得し、前記データ取得部が取得する通信データに対して、当該学習モデルを用いて、攻撃か否かの判定をインラインで実行する攻撃検知部と、
    　前記攻撃と判定された通信データの検知理由を含む検知情報と当該通信データに関するネットワーク情報と含む検知アラートを生成し、前記コントローラへ送信する検知アラート通知部と、
    　前記コントローラから取得した、攻撃対処に必要な情報を含む対処制御ポリシーに基づき、前記データ取得部が取得する通信データに対する攻撃対処を、インラインで実行する対処実行部と、を備えること
    　を特徴とするハードウェアアクセラレータ。
  6. 　アクセスネットワークの通信装置に接続されるハードウェアアクセラレータと通信接続するコントローラであって、
    　前記ハードウェアアクセラレータから、攻撃検知に必要な所定のデータを抽出して統計処理する前処理が実行された通信データを取得して、前記通信データによる攻撃を検知するための学習モデルを生成する学習部と、
    　前記ハードウェアアクセラレータが前記学習モデルを用いて攻撃を検知した通信データの検知アラートを取得し、取得した前記検知アラートを用いて攻撃対処が必要か否かを判定し、攻撃対処が必要な場合に、攻撃種類および対処手法を含む対処制御ポリシーを作成して、前記ハードウェアアクセラレータに送信する対処判定部と、を備えること
    　を特徴とするコントローラ。
  7. 　コンピュータを、請求項６に記載のコントローラとして機能させるためのプログラム。
PCT/JP2022/022305 2022-06-01 2022-06-01 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム WO2023233580A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/022305 WO2023233580A1 (ja) 2022-06-01 2022-06-01 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/022305 WO2023233580A1 (ja) 2022-06-01 2022-06-01 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム

Publications (1)

Publication Number Publication Date
WO2023233580A1 true WO2023233580A1 (ja) 2023-12-07

Family

ID=89026055

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/022305 WO2023233580A1 (ja) 2022-06-01 2022-06-01 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム

Country Status (1)

Country Link
WO (1) WO2023233580A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008507010A (ja) * 2004-06-25 2008-03-06 テロス， インコーポレイテッド ステートレス通信プロトコルにおけるサーバ状態推測
WO2015107862A1 (ja) * 2014-01-14 2015-07-23 株式会社Pfu 情報処理装置、方法およびプログラム
JP2018194880A (ja) * 2017-05-12 2018-12-06 株式会社Pfu 情報処理装置、不正活動分類方法および不正活動分類用プログラム
JP2019535068A (ja) * 2016-09-16 2019-12-05 オラクル・インターナショナル・コーポレイション 脅威を検出するための動的ポリシーの導入およびアクセスの可視化

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008507010A (ja) * 2004-06-25 2008-03-06 テロス， インコーポレイテッド ステートレス通信プロトコルにおけるサーバ状態推測
WO2015107862A1 (ja) * 2014-01-14 2015-07-23 株式会社Pfu 情報処理装置、方法およびプログラム
WO2015107861A1 (ja) * 2014-01-14 2015-07-23 株式会社Pfu 情報処理装置、不正活動判定方法および不正活動判定用プログラム、並びに、情報処理装置、活動判定方法および活動判定用プログラム
JP2019535068A (ja) * 2016-09-16 2019-12-05 オラクル・インターナショナル・コーポレイション 脅威を検出するための動的ポリシーの導入およびアクセスの可視化
JP2018194880A (ja) * 2017-05-12 2018-12-06 株式会社Pfu 情報処理装置、不正活動分類方法および不正活動分類用プログラム

Similar Documents

Publication Publication Date Title
CN108173812B (zh) 防止网络攻击的方法、装置、存储介质和设备
US11671402B2 (en) Service resource scheduling method and apparatus
US7580974B2 (en) Systems and methods for content type classification
US20150229669A1 (en) Method and device for detecting distributed denial of service attack
JP6258562B2 (ja) 中継装置、ネットワーク監視システム及びプログラム
US10491628B2 (en) Attack observation apparatus and attack observation method
CN111133427B (zh) 生成和分析网络配置文件数据
CN111787038B (zh) 一种提供边缘服务的方法、系统及计算设备
CN112468518B (zh) 访问数据处理方法、装置、存储介质及计算机设备
CN112422567B (zh) 一种面向大流量的网络入侵检测方法
CN116346418A (zh) 基于联邦学习的DDoS检测方法及装置
CN115484047A (zh) 云平台中的泛洪攻击的识别方法、装置、设备及存储介质
CN109040086B (zh) 一种工业控制系统ddos攻击仿真方法及装置
CN113518042B (zh) 一种数据处理方法、装置、设备及存储介质
US20180248910A1 (en) Anti-Attack Data Transmission Method and Device
CN110784436A (zh) 维持互联网协议安全隧道
WO2023233580A1 (ja) 検知対処制御システム、検知対処制御方法、ハードウェアアクセラレータ、コントローラ、および、プログラム
Shalini et al. DOCUS-DDoS detection in SDN using modified CUSUM with flash traffic discrimination and mitigation
CN115633359A (zh) Pfcp会话安全检测方法、装置、电子设备和存储介质
US11477126B2 (en) Network device and method for processing data about network packets
WO2023233582A1 (ja) 攻撃検知装置、攻撃検知システム、攻撃検知方法および攻撃検知プログラム
CN115426654A (zh) 一种构建面向5g通信系统的网元异常检测模型的方法
CN114866310A (zh) 一种恶意加密流量检测方法、终端设备及存储介质
CN114553730A (zh) 一种应用识别方法、装置、电子设备及存储介质
JP2006311048A (ja) 帯域制御装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22944865

Country of ref document: EP

Kind code of ref document: A1