JP7449256B2 - 不正通信対処システム及び方法 - Google Patents

Description

本発明は、概して、不正通信についての対処に関する。

3GPP（Third Generation Partnership Project）で定義される無線通信の一つとして、ＬＴＥ（Long Term Evolution）通信がある。特許文献１は、コアネットワーク装置からデータを送信する通信回線の異常を検出し異常の検出された通信回線の通信可能容量を低減する防御装置を開示する。

特開2019-114950号公報

特許文献１によれば、防御装置は、コアネットワーク装置よりサーバ側に配置されている。このため、コアネットワーク装置と基地局とを繋ぐ無線通信区間での不正通信を検知することができず、故に、当該不正通信に対処することはできない。

無線通信区間での不正通信を検知し対処するために防御装置を無線通信区間に配置することが考えられるが、無線通信区間における通信を常に防御装置がチェックするため無線通信が遅延するおそれがある。

この種の問題は、ＬＴＥ通信以外の無線通信（例えば、５Ｇ（5th Generation）通信）についてもあり得る。

通信が不正通信か否かの判定である不正通信判定をパケットに基づき行う不正通信検知装置により検知された不正通信についての対処である不正通信対処を行う不正通信対処システムが構築される。当該システムは、ルーティング装置と、不正通信対処装置とを備える。ルーティング装置は、基地局とコアネットワーク装置とを繋ぐ通信区間である無線通信区間において無線通信プロトコルに従いパケットのルーティングを行う装置であり、ルーティング対象のパケットについてネットワークタップを行い、当該ネットワークタップされたパケットを不正通信検知装置に送信する。不正通信対処装置は、ネットワークタップされたパケットに基づく不正通信判定の結果が真となった通信である不正通信について、当該不正通信の制御のための情報である通信制御情報をルーティング装置及びコアネットワーク装置のうちの少なくとも一つに設定することを含む不正通信対処を行う。

本発明によれば、無線通信の遅延無しに無線通信区間における不正通信についての対処を行うことができる。

実施形態に係るシステム全体の構成例を示す。 ルーティング装置の構成例を示す。 不正通信検知装置の構成例を示す。 不正通信対処装置の構成例を示す。 C-plane装置の構成例を示す。 U-plane装置の構成例を示す。 管理画面の一例を示す。 フィルタリングルールテーブルの構成例を示す。 ルーティングアクションテーブルの構成例を示す。 不正通信判定テーブルの第１の構成例を示す。 ＩＰ－ＳＩＭテーブルの構成例を示す。 ＳＩＭ－対処テーブルの第１の構成例を示す。 対処内容テーブルの構成例を示す。 ＳＩＭ状態テーブルの構成例を示す。 上り処理テーブルの構成例を示す。 下り処理テーブルの構成例を示す。 不正通信の検知及び対処の第１のケースの流れの例を示す。 第１のケースにおける不正通信検知部の処理流れの例を示す。 第１のケースにおける不正通信対処部の処理流れの例を示す。 不正通信判定テーブルの第２の構成例を示す。 ＳＩＭ－対処テーブルの第２の構成例を示す。 不正通信の検知及び対処の第２のケースの流れの例を示す。 第２のケースにおける不正通信対処部の処理流れの例を示す。

以下の説明では、「インターフェース装置」は、一つ以上のインターフェースデバイスでよい。当該一つ以上のインターフェースデバイスは、下記のうちの少なくとも一つでよい。
・一つ以上のＩ／Ｏ（Input/Output）インターフェースデバイス。Ｉ／Ｏ（Input/Output）インターフェースデバイスは、Ｉ／Ｏデバイスと遠隔の表示用計算機とのうちの少なくとも一つに対するインターフェースデバイスである。表示用計算機に対するＩ／Ｏインターフェースデバイスは、通信インターフェースデバイスでよい。少なくとも一つのＩ／Ｏデバイスは、ユーザインターフェースデバイス、例えば、キーボード及びポインティングデバイスのような入力デバイスと、表示デバイスのような出力デバイスとのうちのいずれでもよい。
・一つ以上の通信インターフェースデバイス。一つ以上の通信インターフェースデバイスは、一つ以上の同種の通信インターフェースデバイス（例えば一つ以上のＮＩＣ（Network Interface Card））であってもよいし二つ以上の異種の通信インターフェースデバイス（例えばＮＩＣとＨＢＡ（Host Bus Adapter））であってもよい。

また、以下の説明では、「メモリ」は、一つ以上の記憶デバイスの一例である一つ以上のメモリデバイスであり、典型的には主記憶デバイスでよい。メモリにおける少なくとも一つのメモリデバイスは、揮発性メモリデバイスであってもよいし不揮発性メモリデバイスであってもよい。

また、以下の説明では、「永続記憶装置」は、一つ以上の記憶デバイスの一例である一つ以上の永続記憶デバイスでよい。永続記憶デバイスは、典型的には、不揮発性の記憶デバイス（例えば補助記憶デバイス）でよく、具体的には、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、ＮＶＭＥ（Non-Volatile Memory Express）ドライブ、又は、ＳＣＭ（Storage Class Memory）でよい。

また、以下の説明では、「記憶装置」は、メモリと永続記憶装置の少なくともメモリでよい。

また、以下の説明では、「プロセッサ」は、一つ以上のプロセッサデバイスでよい。少なくとも一つのプロセッサデバイスは、典型的には、ＣＰＵ（Central Processing Unit）のようなマイクロプロセッサデバイスでよいが、ＧＰＵ（Graphics Processing Unit）のような他種のプロセッサデバイスでもよい。少なくとも一つのプロセッサデバイスは、シングルコアでもよいしマルチコアでもよい。少なくとも一つのプロセッサデバイスは、プロセッサコアでもよい。少なくとも一つのプロセッサデバイスは、処理の一部又は全部を行うハードウェア記述言語によりゲートアレイの集合体である回路（例えばＦＰＧＡ（Field-Programmable Gate Array）、ＣＰＬＤ（Complex Programmable Logic Device）又はＡＳＩＣ（Application Specific Integrated Circuit））といった広義のプロセッサデバイスでもよい。

また、以下の説明では、「ｘｘｘテーブル」といった表現にて、入力に対して出力が得られる情報を説明することがあるが、当該情報は、どのような構造のデータでもよいし（例えば、構造化データでもよいし非構造化データでもよいし）、入力に対する出力を発生するニューラルネットワーク、遺伝的アルゴリズムやランダムフォレストに代表されるような学習モデルでもよい。従って、「ｘｘｘテーブル」を「ｘｘｘ情報」と言うことができる。また、以下の説明において、各テーブルの構成は一例であり、一つのテーブルは、二つ以上のテーブルに分割されてもよいし、二つ以上のテーブルの全部又は一部が一つのテーブルであってもよい。

また、以下の説明では、「ｙｙｙ部」の表現にて機能を説明することがあるが、機能は、一つ以上のコンピュータプログラムがプロセッサによって実行されることで実現されてもよいし、一つ以上のハードウェア回路（例えばＦＰＧＡ又はＡＳＩＣ）によって実現されてもよいし、それらの組合せによって実現されてもよい。プログラムがプロセッサによって実行されることで機能が実現される場合、定められた処理が、適宜に記憶装置及び／又はインターフェース装置等を用いながら行われるため、機能はプロセッサの少なくとも一部とされてもよい。機能を主語として説明された処理は、プロセッサあるいはそのプロセッサを有する装置が行う処理としてもよい。プログラムは、プログラムソースからインストールされてもよい。プログラムソースは、例えば、ネットワークで接続されたプログラム配付計算機又は計算機が読み取り可能な記録媒体（例えば非一時的な記録媒体）であってもよい。各機能の説明は一例であり、複数の機能が一つの機能にまとめられたり、一つの機能が複数の機能に分割されたりしてもよい。

また、以下の説明では、同種の要素を区別しないで説明する場合には、参照符号のうちの共通符号を使用し、同種の要素を区別する場合は、参照符号を使用することがある。

以下、幾つかの実施形態を説明する。なお、以下の説明では、下記が採用される。
・U-plane及びC-planeが必要とされる通信サービスとして、５Ｇを例に取る。しかし、本発明は、５Ｇ以外の通信、例えば、ＬＴＥにも適用可能である。
・「端末」は、ＵＥ（User Equipment）の一例であり、ユーザの情報処理端末（典型的にはモバイル端末）である。端末は、ユーザ又はその関係者が所有する又は貸与された情報処理端末でよい。ユーザの関係者は、例えば、ユーザの従業員又は顧客でよい。
・「サーバ」は、端末の通信相手の一例である。端末が別の端末の通信相手の一例となることもある。
・「U-plane」は、ユーザプレーンのことであり、具体的には、ユーザデータの転送を行う機能群（一つ以上の機能）である。以下の実施形態では、U-planeは、装置（例えば、一つ以上のデバイス）として実現されるが、装置における機能群でもよい。装置として実現されるU-planeは、「U-plane装置」と呼ばれてよい。
・「C-plane」は、制御プレーンのことであり、具体的には、端末の認証とセッション管理に関する制御とのうちの少なくとも一つを行う機能群（一つ以上の機能）である。C-planeが行う制御として、例えば、端末を接続するための認証に関する制御や、端末の移動に伴うハンドオーバに関する制御がある。以下の実施形態では、C-planeは、装置（例えば、一つ以上のデバイス）として実現されるが、装置における機能群でもよい。装置として実現されるC-planeは、「C-plane装置」と呼ばれてよい。

図１は、実施形態に係るシステム全体の構成例を示す。

端末１０１とサーバ１０７間の通信において、パケットが、基地局（基地局には電波を送受するアンテナを含む）１０８、ルーティング装置１０２及びコアネットワーク装置１０９を経由する。コアネットワーク装置１０９は、C-plane装置１０５及びU-plane装置１０６のうち少なくとも一つ（例えば少なくともC-plane装置１０５）を含む。

基地局１０８とコアネットワーク装置１０９とを繋ぐ通信区間が、無線通信区間１１１（典型的にはＭＢＨ（Mobile Back Haul））である。無線通信区間１１１では、無線通信プロトコルに従う無線通信が行われる。具体的には、例えば、端末１０１は、ＳＩＭ（Subscriber Identity Module）カード１１３を有しており、ＳＩＭカード１１３に記憶されているＩＣＣＩＤ（Integrated Circuit Card ID）を用いた無線通信を行う。ＳＩＭカード１１３は、拡張されたＳＩＭカード（例えばＵＩＭ（User Identity Module）カード）でもよい。ＩＣＣＩＤは、無線通信に使用されるデバイスＩＤの一例でよい。ＩＣＣＩＤに代えて又は加えて、他種のデバイスＩＤ（例えば、ＩＭＳＩ（International Mobile Subscriber Identity））が採用されてよい。ここで言う「デバイスＩＤ」は、送信元及び宛先の各々について、装置それ自体又は装置が有する通信用デバイス（例えば、ＳＩＭカード１１３のようなＩＣカード）を同定するためのＩＤでよい。

コアネットワーク装置１０９とサーバ１０７とを繋ぐ通信区間が、ＩＰ（Internet
Protocol）通信区間１１２である。ＩＰ通信区間１１２は、ＩＰに従う通信が行われる通信区間である。コアネットワーク装置１０９は、例えば、ＥＰＣ（Evolved Packet Core）装置である。

端末１０１とサーバ１０７間の通信において、パケットは、無線通信区間１１１、コアネットワーク装置１０９及びＩＰ通信区間１１２を経由する。端末１０１と端末１０１間の通信において、パケットは、無線通信区間１１１、コアネットワーク装置１０９及び無線通信区間１１１を経由する。これらの通信の経路において、適宜、スイッチ群１５０（一つ以上のスイッチ装置）をパケットが経由してよい。例えば、基地局１０８とルーティング装置１０２間の通信がスイッチ群１５０Ａ経由で行われてもよいし、ルーティング装置１０２とコアネットワーク装置１０９間の通信がスイッチ群１５０Ｂ経由で行われてもよいし、C-plane装置１０５とU-plane装置１０６間の通信がスイッチ群１５０Ｃ経由で行われてもよい。スイッチ群１５０Ａ～１５０Ｃが一つのスイッチ群であってもよい。

本実施形態に係る不正通信対処システムは、パケットに基づき通信が不正通信か否かの判定である不正通信判定を行う不正通信検知装置（以下、検知装置）１０３により検知された不正通信についての対処である不正通信対処を行う。当該システムは、ルーティング装置１０２と不正通信対処装置（以下、対処装置）１０４とを備える。

ルーティング装置１０２は、無線通信区間１１１において無線通信プロトコルに従いパケットのルーティング（トラフィックルーティング）を行う装置であり、例えば、ＭＥＣ（Multi-access Edge Computing）装置である。ルーティング装置１０２は、ルーティング対象のパケットについてネットワークタップを行い、当該ネットワークタップされたパケットを検知装置１０３に送信する。

対処装置１０４は、ネットワークタップされたパケットに基づく不正通信判定の結果が真となった通信である不正通信（つまり、検知装置１０３により検知された不正通信）について、当該不正通信の制御のための情報である通信制御情報を、破線矢印で示すように、ルーティング装置１０２及びコアネットワーク装置１０９（具体的には、例えば、C-plane装置１０５）のうちの少なくとも一つに設定することを含む不正通信対処を行う。

検知装置１０３及び対処装置１０４は、端末１０１が送受信するパケットが経由する無線通信区間１１１から分岐した経路に存在する。無線通信区間１１１におけるルーティング装置１０２がネットワークタップを行うことで、無線通信区間１１１から分岐した経路に、ネットワークタップされたパケットが送信されて、不正通信の検知及び対処が行われる。このため、無線通信区間１１１における無線通信の遅延無しに無線通信区間１１１における不正通信についての対処を行うことができる。

また、ネットワークタップされて検知装置１０３に送信されるパケットは、ルーティング対象のパケットそれ自体（無線通信プロトコルに従うパケット）の複製でもよいが、本実施形態では、送信元及び宛先の各々のＩＰアドレスを表す情報を含んだＩＰヘッダを有するＩＰパケットである。具体的には、例えば、本実施形態において、「ネットワークタップ」は、無線通信プロトコルに従うルーティング対象のパケットをデカプセル化することでＩＰパケットを抽出し、抽出されたＩＰパケットを複製すること（又は、抽出されたルーティング対象のパケットを複製した後にデカプセル化を行うことで複製パケットからＩＰパケットを抽出すること）でよい。検知装置１０３の一例としてＩＤＳ（Intrusion Detection System）があるが、ＩＤＳは、一般的に、ＩＰパケットを基に不正通信を検知するようになっており、無線通信プロトコルに従うパケットを分析することができるようにはなっていない。本実施形態において、ルーティング装置１０２によりネットワークタップされて検知装置１０３に送信されるパケットは、ＩＰパケットである。このため、無線通信区間１１１における不正通信を一般的なＩＤＳにより検知することの実現が期待される。

以下、図１に示された装置１０２～１０６の各々を詳細に説明する。

図２は、ルーティング装置１０２の構成例を示す。

ルーティング装置１０２は、インターフェース装置、記憶装置、及び、それらに接続されたプロセッサを有してよい。インターフェース装置の一例が、ダウンストリームＩＦ２０３、ＭＥＣ ＩＦ２０４、アップストリームＩＦ２０５及び設定ＩＦ２０６である。記憶装置に格納される情報の一例が、フィルタリングルールテーブル２０１及びルーティングアクションテーブル２０２である。記憶装置に格納されプロセッサにより実行されるプログラムの一例が、ルーティング管理部２０７及びルーティング処理部２０８といった機能を実現するためのプログラムである。ルーティング管理部２０７及びルーティング処理部２０８の少なくとも一部が、ハードウェア回路により実現されてもよい。

ＩＦ２０３～２０６のうちのいずれも、一つ又は複数備えられてよい。ＩＦ２０３～２０６のうちのいずれも、例えばポートである。ダウンストリームＩＦ２０３は、基地局１０８に接続されるＩＦである。アップストリームＩＦ２０５は、コアネットワーク装置１０９に接続されるＩＦである。ＩＦ２０３及び２０５経由で、端末１０１とサーバ１０７間の通信が行われる。ＭＥＣ ＩＦ２０４は、ネットワークタップされたＩＰパケットが出力されるＩＦであり、検知装置１０３に接続されるＩＦである。設定ＩＦ２０６は、テーブル２０１及び２０２の少なくとも一つに設定される情報が受け付けられるＩＦである。

フィルタリングルールテーブル２０１は、ルーティング処理部２０８が行うフィルタリングのルールを表すテーブルである。ルーティングアクションテーブル２０２は、ルーティング処理部２０８が行うルーティングアクションが規定されたテーブルである。

ルーティング管理部２０７が、ルーティング装置１０２を管理する。例えば、ルーティング管理部２０７は、設定ＩＦ２０６が受け付けた設定情報（テーブル２０１及び２０２の少なくとも一つに設定される情報）をテーブル２０１及び２０２の少なくとも一つに設定する。設定は、ルーティング処理部２０８経由又は非経由で行われてよい。

ルーティング処理部２０８は、フィルタリングルールテーブル２０１に基づきパケットのフィルタリングを行ったり、ルーティングアクションテーブル２０２に基づきパケットのルーティングを行ったりする。

図３は、検知装置１０３の構成例を示す。

検知装置１０３は、インターフェース装置、記憶装置、及び、それらに接続されたプロセッサを有してよい。インターフェース装置の一例が、受信ＩＦ３０２、アラート通知ＩＦ３０３及び設定ＩＦ３０４である。記憶装置に格納される情報の一例が、不正通信判定テーブル３０１である。記憶装置に格納されプロセッサにより実行されるプログラムの一例が、検知装置管理部３０５及び不正通信検知部３０６といった機能を実現するためのプログラムである。検知装置管理部３０５及び不正通信検知部３０６の少なくとも一部が、ハードウェア回路により実現されてもよい。

ＩＦ３０２～３０４のうちのいずれも、一つ又は複数備えられてよい。ＩＦ３０２～３０４のうちのいずれも、例えばポートである。受信ＩＦ３０２は、ルーティング装置１０２に接続されるＩＦであり、ネットワークタップされたパケットをルーティング装置１０２から受信するＩＦである。アラート通知ＩＦ３０３は、対処装置１０４に接続されるＩＦであり、不正通信検知部３０６により検知された不正通信についての情報であるアラート情報が出力されるＩＦである。設定ＩＦ３０４は、不正通信判定テーブル３０１に設定される情報が受け付けられるＩＦである。

不正通信判定テーブル３０１は、受信ＩＦ３０２で受信されたパケットに基づき行われる不正通信判定（通信が不正通信か否かの判定）に使用されるテーブルである。

検知装置管理部３０５が、検知装置１０３を管理する。例えば、検知装置管理部３０５は、設定ＩＦ３０４が受け付けた設定情報（テーブル３０１に設定される情報）をテーブル３０１に設定する。設定は、不正通信検知部３０６経由又は非経由で行われてよい。

不正通信検知部３０６は、不正通信判定テーブル３０１を用いて、受信ＩＦ３０２が受信したパケットに基づき不正通信判定を行い、不正通信判定の結果が真となった不正通信についてのアラート情報をアラート通知ＩＦ３０３経由で対処装置１０４に送信する。不正通信検知部３０６が行う処理は、後に詳述する。

図４は、対処装置１０４の構成例を示す。

対処装置１０４は、インターフェース装置、記憶装置、及び、それらに接続されたプロセッサを有してよい。インターフェース装置の一例が、アラート受信ＩＦ４０４、対処ＩＦ４０５、設定ＩＦ４０６及び管理ＩＦ４０７である。記憶装置に格納される情報の一例が、ＩＰ－ＳＩＭテーブル４０１、ＳＩＭ－対処テーブル４０２及び対処内容テーブル４０３である。記憶装置に格納されプロセッサにより実行されるプログラムの一例が、対処装置管理部４０８及び不正通信対処部４０９といった機能を実現するためのプログラムである。対処装置管理部４０８及び不正通信対処部４０９の少なくとも一部が、ハードウェア回路により実現されてもよい。

ＩＦ４０４～４０７のうちのいずれも、一つ又は複数備えられてよい。ＩＦ４０４～４０７のうちのいずれも、例えばポートである。アラート受信ＩＦ４０４は、検知装置１０３に接続されるＩＦであり、アラート情報を検知装置１０３から受信するＩＦである。対処ＩＦ４０５は、コアネットワーク装置１０９（例えばC-plane装置１０５）及びルーティング装置１０２の少なくとも一つに接続されるＩＦであり、不正通信の制御のための情報である通信制御情報が出力されるＩＦである。設定ＩＦ４０６は、テーブル４０１～４０３の少なくとも一つに設定される情報が受け付けられるＩＦである。管理ＩＦ４０７は、管理画面（例えば、インシデントを表す情報が表示される画面）の提供に使用されるＩＦであり、例えば、図示しない管理者装置に接続される。図示しない管理者装置が、管理者の情報処理端末（例えば、パーソナルコンピュータ又はスマートフォン）でよい。管理者装置に、管理画面が表示されてよい。管理者装置が、装置１０２～１０６のうちの少なくとも一つに設定情報を送信してよい。

ＩＰ－ＳＩＭテーブル４０１は、ＩＰアドレスとＳＩＭ（ＩＣＣＩＤ）との関係を表すテーブルである。ＳＩＭ－対処テーブル４０２は、ＳＩＭ（ＩＣＣＩＤ）と不正通信対処との関係を表すテーブルである。対処内容テーブル４０３は、不正通信対処の内容を表すテーブルである。

対処装置管理部４０８が、対処装置１０４を管理する。例えば、対処装置管理部４０８は、設定ＩＦ４０６が受け付けた設定情報（テーブル４０１～４０３の少なくとも一つに設定される情報）をテーブル４０１～４０３の少なくとも一つに設定する。設定は、不正通信対処部４０９経由又は非経由で行われてよい。

不正通信対処部４０９は、アラート受信ＩＦ４０４が受信したアラート情報と、テーブル４０１～４０３とを基に、不正通信対処の内容を判定し、判定された内容の不正通信対処のための通信制御情報を対処ＩＦ４０５経由でコアネットワーク装置１０９及びルーティング装置１０２の少なくとも一つに設定する。不正通信対処部４０９が行う処理は、後に詳述する。

図５は、C-plane装置１０５の構成例を示す。

C-plane装置１０５、インターフェース装置、記憶装置、及び、それらに接続されたプロセッサを有してよい。インターフェース装置の一例が、C-plane信号ＩＦ５０２、U-plane操作ＩＦ５０３及び設定ＩＦ５０４である。記憶装置に格納される情報の一例が、ＳＩＭ状態テーブル５０１である。記憶装置に格納されプロセッサにより実行されるプログラムの一例が、C-plane管理部５０５及びC-Planeパケット処理部５０６といった機能を実現するためのプログラムである。C-plane管理部５０５及びC-Planeパケット処理部５０６の少なくとも一部が、ハードウェア回路により実現されてもよい。

ＩＦ５０２～５０４のうちのいずれも、一つ又は複数備えられてよい。ＩＦ５０２～５０４のうちのいずれも、例えばポートである。C-plane信号ＩＦ５０２は、C-plane信号による制御対象の装置に接続されるＩＦであり、C-plane信号が出力されるＩＦである。U-plane操作ＩＦ５０３は、U-plane装置１０６に接続されるＩＦであり、U-plane操作のための信号が出力されるＩＦである。設定ＩＦ５０４は、ＳＩＭ状態テーブル５０１に設定される情報が受け付けられるＩＦであり、例えば対処装置１０４に接続されるＩＦである。

ＳＩＭ状態テーブル５０１は、ＩＣＣＩＤ毎にＳＩＭの状態を表すテーブルである。

C-plane管理部５０５が、C-plane装置１０５を管理する。例えば、C-plane管理部５０５は、設定ＩＦ５０４が受け付けた設定情報（例えば通信制御情報）をＳＩＭ状態テーブル５０１に設定する。

C-Planeパケット処理部５０６は、無線通信区間１１１を経由するパケットの送受信を、ＳＩＭ状態テーブル５０１に基づき制御する。C-Planeパケット処理部５０６は、通信制御情報に基づきデバイスＩＤ単位で通信を制御する機能の一例である。

図６は、U-plane装置１０６の構成例を示す。

U-plane装置１０６は、インターフェース装置、記憶装置、及び、それらに接続されたプロセッサを有してよい。インターフェース装置の一例が、モバイルＩＦ６０１、ＬＡＮ ＩＦ６０２及び設定ＩＦ６０３である。記憶装置に格納される情報の一例が、処理テーブル６０５である。記憶装置に格納されプロセッサにより実行されるプログラムの一例が、U-plane管理部６０６及びU-planeパケット処理部６０４といった機能を実現するためのプログラムである。U-plane管理部６０６及びU-planeパケット処理部６０４の少なくとも一部が、ハードウェア回路により実現されてもよい。

ＩＦ６０１～６０３のうちのいずれも、一つ又は複数備えられてよい。ＩＦ６０１～６０３のうちのいずれも、例えばポートである。モバイルＩＦ６０１は、基地局１０８に接続され、無線通信プロトコルに従うパケットフォーマットのパケットを基地局１０８との間で送受信する。ＬＡＮ ＩＦ６０２は、基地局１０８との間で送受信されるパケットに基づくＩＰパケットを送受信する。設定ＩＦ６０３は、処理テーブル６０５に設定される情報が受け付けられるＩＦである。

処理テーブル６０５は、U-plane装置１０６が送受信するパケットの処理のために参照されるテーブルである。サーバ１０７へのパケットの送信が「上り通信」であり、サーバ１０７からのパケットの送信が「下り通信」である。処理テーブル６０５としては、上り通信の処理のための上り処理テーブルと、下り通信の処理のための下り処理テーブルとがある。

U-plane管理部６０６が、U-plane装置１０６を管理する。例えば、U-plane管理部６０６は、設定ＩＦ６０３が受け付けた設定情報を処理テーブル６０５に設定する。設定は、U-planeパケット処理部６０４経由又は非経由で行われてよい。

U-planeパケット処理部６０４は、モバイルＩＦ６０１又はＬＡＮ ＩＦ６０２経由でパケットを受信し、受信したパケットを、処理テーブル６０５に基づき処理する。具体的には、U-planeパケット処理部６０４が、処理テーブル６０５を基に、無線通信区間１１１経由でモバイルＩＦ６０１が受信したパケットに基づくＩＰパケットをＬＡＮ ＩＦ６０２からＩＰ通信区間１１２経由でサーバ１０７へ送信したり、ＩＰ通信区間１１２経由でＬＡＮ ＩＦ６０２が受信したＩＰパケットに基づくパケットをモバイルＩＦ６０１から無線通信区間１１１経由で端末１０１へ送信したりする。

図７は、対処装置１０４から提供される管理画面７００の一例を示す。

管理画面７００は、ＵＩ（User Interface）の一例であり、例えばＧＵＩ（Graphical
User Interface）である。管理画面７００の提供は、不正通信対処の実施の少なくとも一部に該当してもよい。管理画面７００は、図７に例示のように、インシデント（例えば、不正通信の検知）を表すインシデント情報７１０を表示した画面である。インシデント情報７１０は、例えば、インシデント毎に、インシデント通知日時（インシデントが通知された日時）を表す情報７１１、インシデント内容（インシデントの詳細）を表す情報７１２、及び、自動対処済み（不正通信対処が既に自動で行われた）か否かを表す情報７１３を含んでよい。自動対処済みのインシデントについては、情報７１３は、不正通信対処に対応した対処ＩＤを表してよい。

なお、不正通信対処部４０９が、当該対処ＩＤをキーとした問合せを管理画面７００経由で受け付けてもよい。不正通信対処部４０９は、当該問合せを受け付けた場合、当該対処ＩＤに対応した対処内容を対処内容テーブル４０３から特定し、特定された対処内容を表す情報を管理画面７００（又は別のＵＩ）経由で管理者に提供してよい。

また、管理画面７００は、インシデントの通知のためのＵＩの一例であることに代えて又は加えて、不正通信対処の実施の許否の問合せと当該実施の承認の受付けとのためのＵＩの一例でもよい。不正通信対処の実施の承認が受け付けられた場合に、承認された不正通信対処が実施されてよい。不正通信対処の実施の許否の問合せと当該実施の承認の受付けも、不正通信対処の実施の一部でもよい。

また、インシデント内容を表す情報７１２は、事前に用意した文章変換ルールに従ってインシデント内容や対処内容が文章化されたものでもよいし、手動入力された対処内容を表す情報でもよい。

以下、各種テーブルを説明する。なお、本実施形態において、異なる組織（例えば、異なる企業、異なる部署）又は異なる管理権限の管理者が存在する場合、少なくとも一つのテーブルについて、テーブルのうち管理権限がある部分にのみ閲覧又は更新といったアクセスが可能なアクセス制御が設定されてもよい。

図８は、フィルタリングルールテーブル２０１の構成例を示す。

フィルタリングルールテーブル２０１は、フィルタリングルール毎にレコードを有する。各レコードが、基地局ＩＰアドレス８０１、ＭＢＨ ＱＣＩ８０２、送信元ＩＰアドレス８０３、送信元ポート番号８０４、宛先ＩＰアドレス８０５、宛先ポート番号８０６、プロトコル８０７及びルーティングアクションＩＤ８０８といった情報を有する。一つのフィルタリングルールを例に取る（図８の説明において「対象ルーティングアクション」）。なお、例えば、レコードは、フィルタリングルールの優先順位の昇順（又は降順）でよい。

基地局ＩＰアドレス８０１は、対象フィルタリングルールが採用されるパケットが送受信される基地局１０８のＩＰアドレスを表す。ＭＢＨ ＱＣＩ８０２は、対象フィルタリングルールが採用されるパケットで指定されているＭＢＨ ＱＣＩ（無線通信区間１１１であるＭＢＨでのパケットで指定されているＱＣＩ（QoS Class Identifier））を表す。

送信元ＩＰアドレス８０３、送信元ポート番号８０４、宛先ＩＰアドレス８０５、宛先ポート番号８０６は、対象フィルタリングルールが採用されるパケット内のＩＰヘッダに記述されている送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス及び宛先ポート番号を表す。プロトコル８０７は、対象ルーティングアクションが採用されるパケットについてＩＰパケットの通信に使用されるプロトコルを表す。

ルーティングアクションＩＤ８０８は、対象フィルタリングルールが採用されるパケットのルーティングアクションのＩＤを表す。

情報８０１～８０７の各々について、“Ａｎｙ”は、いずれの値でもよいことを意味する。

図９は、ルーティングアクションテーブル２０２の構成例を示す。

ルーティングアクションテーブル２０２は、ルーティングアクション毎にレコードを有する。各レコードが、ルーティングアクションＩＤ９０１、アクション９０２及び送出先ＩＦ９０３といった情報を有する。一つのルーティングアクションを例に取る（図８の説明において「対象ルーティングアクション」）。

ルーティングアクションＩＤ９０１は、対象ルーティングアクションのＩＤを表す。アクション９０２は、対象ルーティングアクションの内容を表す。送出先ＩＦ９０３は、対象ルーティングアクションに従うパケットの送出先のＩＦを表す。

図８及び図９に例示のテーブル２０１及び２０２によれば、例えば下記の通りである。
・フィルタリングルールテーブル２０１の１番目のレコードに該当する通信におけるパケットは、“ＲＡ０００”以外のルーティングアクションＩＤ８０８が無いため、ルーティング装置１０２を単に通過する。
・フィルタリングルールテーブル２０１の２番目のレコードに該当する通信におけるパケットは、ルーティングアクションＩＤ８０８が“ＲＡ９９９”及び“ＲＡ００１”であるため、ルーティング装置１０２を通過できず遮断され、且つ、ネットワークタップされる。
・フィルタリングルールテーブル２０１の３番目のレコードに該当する通信におけるパケットは、ルーティングアクションＩＤ８０８が“ＲＡ０００”及び“ＲＡ００１”であるため、ルーティング装置１０２を通過し、且つ、ネットワークタップされる。

送信元ＩＰアドレス及び宛先ＩＰアドレスのセットは、送信元と宛先のペアの単位での通信を定義する。送信元ＩＰアドレス及び宛先ＩＰアドレスの他に送信元ポート番号、宛先ポート番号及びプロトコルを含んだセットは、送信元と宛先のペアの単位での通信におけるＩＰフローを定義する。本実施形態では、送信元と宛先のペアの単位での不正通信も、ＩＰフロー単位での不正通信も、検知及び対処することができる。

また、ネットワークタップされるパケットは、通信が上り通信であるか下り通信であるかに関わらずルーティング装置１０２が受信した全てのパケットでもよいが、図８及び図９が示す例によれば、ネットワークタップされるパケットは、ルーティング対象のパケットが有するＩＰパケットのうち、所定の条件を満たす情報を含んだＩＰヘッダを有するＩＰパケットでよい。「所定の条件を満たす情報を含んだＩＰヘッダ」としては、例えば、フィルタリングルールにおいて指定されたＩＰアドレス及びポート番号に適合しているＩＰアドレス及びポート番号を含んだＩＰヘッダでよい。これにより、検知装置１０３に送信されるパケットの量が削減されるので、検知装置１０３が分析するパケットの量が削減され、以って、検知装置１０３の処理負荷を軽減することができる。また、契約等により分析対象外とすべきＩＰパケットの分析を避けることも期待できる。

図１０は、不正通信判定テーブル３０１Ａの構成例を示す。図２０は、不正通信判定テーブル３０１Ｂの構成例を示す。

上述したように、本実施形態では、送信元と宛先のペアの単位での不正通信も、ＩＰフロー単位での不正通信も、検知及び対処することができる。不正通信判定テーブル３０１Ａは、送信元と宛先のペアの単位での特定された通信が不正通信であるか否かの判定に使用されるテーブルであり、不正通信判定テーブル３０１Ｂは、特定されたＩＰフローが不正通信であるか否かの判定に使用されるテーブルである。なお、不正通信判定テーブル３０１Ｂの方が詳細なテーブルであるため、不正通信判定テーブル３０１Ｂがある場合、不正通信判定テーブル３０１Ａは無くてもよい。

不正通信判定テーブル３０１Ａは、図１０に示すように、送信元と宛先のペア毎にレコードを有する。各レコードが、送信元ＩＰアドレス１００１、宛先ＩＰアドレス１００２、通信量１００３、パケット数１００４、パケットサイズ１００５及び無通信時間１００６といった情報を有する。一つのペアを例に取る（図１０の説明において「対象ペア」）。

送信元ＩＰアドレス１００１及び宛先ＩＰアドレス１００２は、対象ペアを構成する送信元と宛先のＩＰアドレスを表す。

情報１００３～１００６は、対象ペアの通信が不正通信であることの条件又は当該条件の基の一例である。通信量１００３は、対象ペアの通信の通信量を表す。パケット数１００４は、対象ペアの通信におけるパケットの数を表す。パケットサイズ１００５は、対象ペアの通信におけるパケットのサイズを表す。無通信時間１００６は、対象ペアの通信がされていない継続時間長を表す。

不正通信判定テーブル３０１Ｂは、図２０に示すように、ＩＰフロー毎にレコードを有する。各レコードが、図１０に示した情報１００１～１００６の他に、送信元ポート番号２０１１、宛先ポート番号２０１２及びプロトコル２０１３といった情報を有する。送信元ポート番号２０１１、宛先ポート番号２０１２及びプロトコル２０１３は、ＩＰフローの定義の要素である送信元ポート番号、宛先ポート番号及びプロトコルを表す。

送信元と宛先のペアの通信が不正通信であると判定される条件は、予め定義されていてよい。例えば、送信元と宛先のペアがテーブル３０１Ａ及び３０１Ｂのいずれからも特定されない場合、当該ペアの通信は不正通信と判定されてよい。送信元と宛先のペアがテーブル３０１Ａ及び３０１Ｂのいずれかから特定される場合、当該ペア（又は、当該ペアを含むＩＰフロー）の通信の振舞い（例えば、一定時間における通信量、パケット数、パケットサイズの平均及び無通信時間）と、当該ペア（又は当該ＩＰフロー）に対応した情報１００３～１００６が表す状況との差が一定量以下か否かでもよし、当該ペア（又は当該ＩＰフロー）の通信の振舞いが、当該ペアに対応した情報１００３～１００６の少なくとも一部を超えているか（又は下回っているか）否かでもよい。

図１１は、ＩＰ－ＳＩＭテーブル４０１の構成例を示す。

ＩＰ－ＳＩＭテーブル４０１は、装置（ＳＩＭカード）毎に、レコードを有する。各レコードは、ＩＰアドレス１１０１及びＩＣＣＩＤ１１０２といった情報を有する。一つの装置を例に取る（図１１の説明において「対象装置」）。

ＩＰアドレス１１０１は、対象装置のＩＰアドレスを表す。“Ｏｔｈｅｒ”は、テーブル４０１に記述されているＩＰアドレス以外のいずれのＩＰアドレスでもよいことを意味する。本実施形態では、一つ以上のサーバ１０７のいずれのサーバ１０７についても、当該サーバ１０７のＩＰアドレスは“Ｏｔｈｅｒ”に該当し、当該サーバ１０７のＩＣＣＩＤとして“サーバ”が設定されている。サーバ１０７毎に、ＩＰアドレスとＩＣＣＩＤのペアが定義されていてもよい。また、本実施形態では、ＩＰ－ＳＩＭテーブル４０１の通り、ＩＰアドレスとＩＣＣＩＤとの関係が動的に変更されず固定でよい。

図１２は、ＳＩＭ－対処テーブル４０２Ａの構成例を示す。図２１は、ＳＩＭ－対処テーブル４０２Ｂの構成例を示す。

ＳＩＭ－対処テーブル４０２Ａは、送信元と宛先のペアの単位での検知された不正通信の対処内容の判定に使用されるテーブルであり、ＳＩＭ－対処テーブル４０２Ｂは、検知された不正通信としてのＩＰフローの対処内容の判定に使用されるテーブルである。なお、ＳＩＭ－対処テーブル４０２Ｂの方が詳細なテーブルであるため、ＳＩＭ－対処テーブル４０２Ｂがある場合、ＳＩＭ－対処テーブル４０２Ａは無くてもよい。

ＳＩＭ－対処テーブル４０２Ａは、図１２に示すように、送信元と宛先のペア毎にレコードを有する。各レコードが、送信元ＩＣＣＩＤ１２０１、宛先ＩＣＣＩＤ１２０２及び対処ＩＤ１２０３といった情報を有する。一つのペアを例に取る（図１２の説明において「対象ペア」）。

送信元ＩＣＣＩＤ１２０１及び宛先ＩＣＣＩＤ１２０２は、対象ペアを構成する送信元と宛先のＩＣＣＩＤを表す。対処ＩＤは、対象ペアに対応した対処ＩＤを表す。

ＳＩＭ－対処テーブル４０２Ｂは、図２１に示すように、ＩＰフロー毎にレコードを有する。各レコードが、図１２に示した情報１２０１～１２０３の他に、送信元ポート番号２３１１、宛先ポート番号２３１２及びプロトコル２３１３といった情報を有する。送信元ポート番号２３１１、宛先ポート番号２３１２及びプロトコル２３１３は、ＩＰフローの定義の要素である送信元ポート番号、宛先ポート番号及びプロトコルを表す。

図１３は、対処内容テーブル４０３の構成例を示す。

対処内容テーブル４０３は、不正通信対処毎にレコードを有する。各レコードは、対処ＩＤ１３０１、アプリケーション種別１３０２及び対処内容１３０３といった情報を有する。以下、一つの不正通信対処を例に取る（図１３の説明において「対象対処」）。

対処ＩＤ１３０１は、対象対処の対処ＩＤを表す。アプリケーション種別１３０２は、ユーザの業務遂行に対する該当の通信の重要性（言い換えれば、該当の通信を維持する優先度）を表す。対処内容１３０３は、対象対処の内容（詳細）を表す。

図１３が示す例によれば、対処内容は、ＳＩＭカード１１３の無効化、又は、ＩＰフローの遮断を含む。ＳＩＭカード１１３の無効化が、送信元と宛先のペア単位での通信の遮断の一例である。遮断に代えて、帯域制限が採用されてもよい。対処内容は、管理者に不正通信対処の内容（及び当該内容の実施）の許否の問合せを含んでもよい。すなわち、不正通信対処は、例えば、下記（ａ）乃至（ｆ）のうちの少なくとも一つでよい。このため、送信元と宛先のペア単位での通信と、当該通信の一部としてのＩＰフローのいずれについても、不正と検知された場合に適切な対処が期待できる。
（ａ）検知された不正通信の送信元及び宛先の少なくとも一つについて、コアネットワーク装置１０９（例えばC-plane装置１０５）に、ＩＰアドレスに対応したＩＣＣＩＤに関し無効化又は帯域制限を意味する通信制御情報を設定すること。
（ｂ）（ａ）を行ったことの通知を、例えば管理者が使用する管理者装置に送信すること。
（ｃ）（ａ）を行うことの許否の問合せを行い、当該問合せに応答して許可を受けた場合に、（ａ）を行うこと。
（ｄ）検知された不正通信の送信元及び宛先の少なくとも一つについて、ルーティング装置１０２に、ＩＰフローの遮断又は帯域制限を意味する通信制御情報を設定すること。
（ｅ）（ｄ）を行ったことの通知を、例えば管理者が使用する管理者装置に送信すること。
（ｆ）（ｄ）を行うことの許否の問合せを行い、当該問合せに応答して許可を受けた場合に、（ｄ）を行うこと。

図１４は、ＳＩＭ状態テーブル５０１の構成例を示す。

ＳＩＭ状態テーブル５０１は、送信元及び宛先のいずれかとなり得る装置（例えばＳＩＭカード１１３）毎にレコードを有する。各レコードは、ＩＣＣＩＤ４０１及び状態１４０２といった情報を有する。ＩＣＣＩＤ１４０１は、装置（ＳＩＭカード１１３）のＩＣＣＩＤを表す（“サーバ”という値が採用されてもよい）。状態１４０２は、装置の状態（例えば、“有効”又は“無効”）を表す。状態１４０２“無効”は、送信元及び宛先のペア単位の通信の通信制御情報の一例であり、当該状態に対応した装置の通信が遮断されることを意味する。

図１５は、上り処理テーブル６０５Ｕの構成例を示す。

上り処理テーブル６０５Ｕは、U-plane装置１０６における処理テーブル６０５の一つであり、上り通信の処理のためのテーブルである。上り処理テーブル６０５Ｕは、端末１０１毎にレコードを有する。各レコードは、ＩＣＣＩＤ１５０１、Ｍ－ＩＤ１５０２、ＡＰＮ１５０３及びＱＣＩ１５０４といった情報を有する。一つの端末１０１を例に取る（図１５の説明において「対象端末１０１」）。

ＩＣＣＩＤ１５０１は、対象端末１０１のＳＩＭカード１１３のＩＤを表す。Ｍ－ＩＤ１５０２は、対象端末１０１のＩＤ（例えば、ＩＰアドレスやシステム内でデバイスを一意に識別するためのＩＤ）を表す。ＡＰＮ１５０３は、対象端末１０１の通信で指定されるＡＰＮ（Access Point Name）を表す。

図１６は、下り処理テーブル６０５Ｄの構成例を示す。

下り処理テーブル６０５Ｄは、U-plane装置１０６における処理テーブル６０５の一つであり、下り通信の処理のためのテーブルである。下り処理テーブル６０５Ｄは、端末１０１毎にレコードを有する。各レコードは、ＩＣＣＩＤ１６０１、Ｍ－ＩＤ１６０２及びＡＰＮ１６０３といった情報を有する。情報１６０１～１６０３は、図１５を参照して説明した情報１５０１～１５０３と同様である。

以下、本実施形態で行われる処理の例を説明する。

図１７は、不正通信の検知及び対処の第１のケースの流れの例を示す。第１のケースは、送信元と宛先のペア単位の通信についての不正通信検知及び対処のケースである。

或る端末１０１にマルウェアが侵入し、当該マルウェアが侵入した端末１０１から、或るサーバ１０７を攻撃対象とした不正な通信が行われたとする（Ｓ１７０１）。

ルーティング装置１０２において、ルーティング処理部２０８が、当該通信におけるパケットが、フィルタリングルールテーブル２０１のいずれかのレコードが表すフィルタリングルール（情報８０１～８０７）に該当するか否かを判定する。

ここで、当該パケットから特定される送信元ＩＰアドレス及び宛先ＩＰアドレスを含んだ通信セットが、ルーティングアクションＩＤ８０８“ＲＡ００１”（ネットワークタップ）に該当しているために、当該パケットがネットワークタップされ、ネットワークタップされたＩＰパケットが検知装置１０３に送信される（Ｓ１７０２）。ここで言う「通信セット」を、図１７～図１９を参照した説明において「対象通信セット」と言う。

検知装置１０３において、不正通信検知部３０６が、ネットワークタップされたＩＰパケットをルーティング装置１０２から受信する都度に、当該ＩＰパケットを分析し（Ｓ１７０３）、分析結果を表す情報を記憶装置に格納する。不正通信検知部３０６は、対象通信セットについての当該分析結果（又は、対象通信セットについての一定時間におけるＩＰパケットの分析結果の統計）を基に、対象通信セットについての通信が不正通信であると不正通信判定テーブル３０１Ａ（図１０参照）を基に検知された場合、検知された不正通信についての情報を表すアラート情報を、対処装置１０４に送信する（Ｓ１７０４）。

対処装置１０４において、不正通信対処部４０９が、アラート情報と、テーブル４０１、４０２Ａ（図１２参照）及び４０３とを基に対処内容を特定する（Ｓ１７０５）。特定された対処内容によって、不正通信対処部４０９は、通信制御情報（該当するＩＣＣＩＤに対応したＳＩＭカード１１３の無効化）の設定をコアネットワーク装置１０９（C-plane装置１０５）に対して行ったり（Ｓ１７０６）、管理画面７００経由でインシデント情報を通知したりする（Ｓ１７０７）。なお、Ｓ１７０６の設定は、Ｓ１７０７で通知された情報を見た管理者からの手動操作に応答して行われてもよい。

図１８は、第１のケースにおける不正通信検知部３０６の処理流れの例を示す。この処理は、図１７に示したＳ１７０３及びＳ１７０４を含む。

不正通信検知部３０６が、ネットワークタップされたパケットを受信し（Ｓ１８０１）、受信したパケットを分析することで、送信元ＩＰアドレス及び宛先ＩＰアドレスを表す情報を含む通信セットを特定する（Ｓ１８０２）。通信セットは、送信元ポート番号、宛先ポート番号及びプロトコルを表す情報を更に含んでもよい。

不正通信検知部３０６が、Ｓ１８０２で特定された通信セット中の送信元ＩＰアドレス及び宛先ＩＰアドレスのペアと一致するペアを表す情報が不正通信判定テーブル３０１Ａ（又は３０１Ｂ）に存在するか否かを判定する（Ｓ１８０３）。Ｓ１８０３の判定結果が偽の場合（Ｓ１８０３：ＮＯ）、不正通信検知部３０６が、Ｓ１８０２で特定された通信セットを「不正な通信セット」と判定する（Ｓ１８０４）。

Ｓ１８０３の判定結果が真の場合（Ｓ１８０３：ＹＥＳ）、不正通信検知部３０６が、当該通信セットについて一定時間に行われたパケット分析結果を基に当該通信セットについて通信の振舞い（通信量、パケット数、パケットサイズ及び無通信時間）を特定する（Ｓ１８０５）。不正通信検知部３０６が、不正通信判定テーブル３０１Ａ（又は３０１Ｂ）のうちの、Ｓ１８０２で特定された通信セットに対応したレコードを基に、Ｓ１８０５で特定された通信の振舞いが適正範囲か否かを判定する（Ｓ１８０６）。「通信の振舞いが適正範囲」とは、当該レコードが表す情報１００３～１００６に基づく、不正通信としての振舞いに該当しないことを意味する。Ｓ１８０６の判定結果が真の場合（Ｓ１８０６：ＹＥＳ）（すなわち、Ｓ１８０５で特定された通信の振舞いが不正通信としての振舞いに該当しない場合）、処理が終了する。

Ｓ１８０６の判定結果が偽の場合（Ｓ１８０６：ＮＯ）（すなわち、Ｓ１８０５で特定された通信の振舞いが不正通信としての振舞いに該当した場合）、不正通信検知部３０６が、Ｓ１８０２で特定された通信セットを「不正な振舞いの通信セット」と判定する（Ｓ１８０７）。

Ｓ１８０４又はＳ１８０７が行われた場合、不正通信検知部３０６が、Ｓ１８０２で特定された通信セットについて、「不正な通信セット」又は「不正な振舞いの通信セット」に対応した不正通信についてのアラート情報を送信する（Ｓ１８０８）。第１のケースは、送信元と宛先のペア単位の通信についての不正通信検知であるため、アラート情報は、送信元及び宛先のペアの各々のＩＰアドレス（Ｓ１８０１で受信されたパケットの分析により特定されたＩＰアドレス）を表す情報と、検知された不正通信（例えば、「不正な通信セット」又は「不正な振舞いの通信セット」）を含む。

図１９は、第１のケースにおける不正通信対処部４０９の処理流れの例を示す。この処理は、図１７に示したＳ１７０５～Ｓ１７０７を含む。

不正通信対処部４０９が、アラート情報を検知装置１０３から受信する（Ｓ１９０１）。不正通信対処部４０９が、送信元及び宛先の各々について、Ｓ１９０１で受信されたアラート情報からＩＰアドレスを特定し、当該ＩＰアドレスに対応したＩＣＣＩＤをＩＰ－ＳＩＭテーブル４０１から特定する（Ｓ１９０２）。不正通信対処部４０９が、送信元と宛先のＩＣＣＩＤ（Ｓ１９０２で特定されたＩＣＣＩＤ）のペアに対応した対処ＩＤを、ＳＩＭ－対処テーブル４０２Ａから特定する（Ｓ１９０３）。不正通信対処部４０９が、Ｓ１９０３で特定された対処ＩＤに対応した対処内容１３０３を、対処内容テーブル４０３から特定する（Ｓ１９０４）。

Ｓ１９０４で特定された対処内容１３０３が、ＳＩＭの無効化（例えば、「送信元ＳＩＭ及び宛先ＳＩＭの無効化」）を含んでいる場合（Ｓ１９０５：ＹＥＳ）、不正通信対処部４０９が、Ｓ１９０２で特定されたＩＣＣＩＤに対応した状態１４０２“無効”を、C-plane装置１０５のＳＩＭ状態テーブル５０１に設定する（Ｓ１９０６）。

Ｓ１９０４で特定された対処内容１３０３が、インシデント通知（例えば、「管理画面にインシデント通知」）を含んでいる場合（Ｓ１９０７：ＹＥＳ）、不正通信対処部４０９が、インシデント（例えば、検知された不正通信と、実施された不正通信対処の内容）を表す情報を管理画面７００通じて通知する（Ｓ１９０８）。

図１７～図１９が示した例によれば、不正通信対処部４０９は、ＩＰ－ＳＩＭテーブル４０１を基に、アラート情報が表す送信元ＩＰアドレス及び宛先ＩＰアドレスの両方（又は一方）について、ＩＰアドレスに対応したＩＣＣＩＤ１１０２を特定する。不正通信対処は、特定されたＩＣＣＩＤから同定される装置の通信の制御のための情報である通信制御情報を、ルーティング装置１０２及びコアネットワーク装置１０９のうちの少なくとも一つに設定することを含む。これにより、装置（例えばＳＩＭカード１１３）単位、装置と装置とのペアの単位、及び、当該装置と装置とのペアでのＩＰフローの単位といった異なる単位のうちの任意の単位で不正通信に対する対処を行うことができる。例えば、不正通信対処部４０９は、検知された不正通信の送信元及び宛先の少なくとも一つについて、ＩＰアドレスに対応したＩＣＣＩＤの状態１４０２“無効”を、C-plane装置１０５のＳＩＭ状態テーブル５０１に設定する。これにより、装置単位、又は、装置と装置とペアの単位での不正通信対処がされる。なお、常にＩＰフローの単位で不正通信の検知及び対処する必要がある場合（すなわち、コアネットワーク装置１０９に対する通信制御情報の設定が不要な場合）、不正通信対処のためにアラート情報から特定される送信元ＩＰアドレス及び宛先ＩＰアドレスをＩＣＣＩＤに変換することは行われないでもよい。

図２２は、不正通信の検知及び対処の第２のケースの流れの例を示す。第２のケースは、ＩＰフローとしての通信についての不正通信検知及び対処のケースである。

或る端末１０１にマルウェアが侵入し、当該マルウェアが侵入した端末１０１から、或るサーバ１０７を攻撃対象とした不正な通信が行われたとする（Ｓ２２０１）。

ルーティング装置１０２において、ルーティング処理部２０８が、当該通信におけるパケットが、フィルタリングルールテーブル２０１のいずれかのレコードが表すフィルタリングルール（情報８０１～８０７）に該当するか否かを判定する。

ここで、当該パケットから特定される送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号及びプロトコルを含んだ通信セットが、ルーティングアクションＩＤ８０８“ＲＡ００１”（ネットワークタップ）に該当しているために、当該パケットがネットワークタップされ、ネットワークタップされたＩＰパケットが検知装置１０３に送信される（Ｓ２２０２）。ここで言う「通信セット」を、図２２及び図２３を参照した説明において「対象通信セット」と言う。

検知装置１０３において、不正通信検知部３０６が、ネットワークタップされたＩＰパケットをルーティング装置１０２から受信する都度に、当該ＩＰパケットを分析し（Ｓ２２０３）、分析結果を表す情報を記憶装置に格納する。不正通信検知部３０６は、対象通信セットについての当該分析結果（又は、対象通信セットについての一定時間におけるＩＰパケットの分析結果の統計）を基に、対象通信セットについてのＩＰフローが不正通信であると不正通信判定テーブル３０１Ｂ（図２０参照）を基に検知された場合、検知された不正通信についての情報を表すアラート情報を、対処装置１０４に送信する（Ｓ２２０４）。

対処装置１０４において、不正通信対処部４０９が、アラート情報と、テーブル４０１、４０２Ｂ（図２１参照）及び４０３とを基に対処内容を特定する（Ｓ２２０５）。特定された対処内容によって、不正通信対処部４０９は、通信制御情報（該当するＩＰフローの遮断）の設定をルーティング装置１０２に対して行ったり（Ｓ２２０６）、管理画面７００経由でインシデント情報を通知したりする（Ｓ２２０７）。なお、Ｓ２２０６の設定は、Ｓ２２０７で通知された情報を見た管理者からの手動操作に応答して行われてもよい。

第２のケースにおける不正通信検知部３０６の処理流れの例は、図１８に示した例と同様でよい。第２のケースでの処理の例は、Ｓ２２０３及びＳ２２０４を含む。Ｓ１８０２で特定される通信セットは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号及びプロトコルを含んだ通信セットであり、ＩＰフローを表す。

図２３は、第２のケースにおける不正通信対処部４０９の処理流れの例を示す。この処理は、図２２に示したＳ２２０５～Ｓ２２０７を含む。

Ｓ１９０１～Ｓ１９０４と同様の処理が行われる（Ｓ２３０１～Ｓ２３０４）。アラート情報は、検知された不正通信としてのＩＰフロー（送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号及びプロトコル）を表す情報を含んでいる。

Ｓ２３０４で特定された対処内容１３０３が、「ＩＰフローの遮断」を含んでいる場合（Ｓ２３０５：ＹＥＳ）、不正通信対処部４０９が、Ｓ２３０２で特定されたＩＣＣＩＤに対応したＩＰアドレス（送信元及び宛先の各々について）を含むフィルタリングルールをフィルタリングルールテーブル２０１から特定する（Ｓ２３０６）。不正通信対処部４０９が、Ｓ２３０６で特定されたフィルタリングルールに対応したルーティングアクションＩＤ８０８から“ＲＡ００１”（ネットワークタップ）以外を削除する（Ｓ２３０７）。不正通信対処部４０９が、Ｓ２３０６で特定されたフィルタリングルールに対応したルーティングアクションＩＤ８０８に“ＲＡ９９９”（遮断）を追加する（Ｓ２３０８）。

Ｓ２３０４で特定された対処内容１３０３が、インシデント通知（例えば、「管理画面にインシデント通知」）を含んでいる場合（Ｓ２３０９：ＹＥＳ）、不正通信対処部４０９が、インシデント（例えば、検知された不正通信と、実施された不正通信対処の内容）を表す情報を管理画面７００通じて通知する（Ｓ２３１０）。

図１７～図２３（特に図２２及び図２３が示した例）によれば、不正通信対処部４０９は、検知された不正通信の送信元及び宛先の両方（又は一方）について、ＩＰフローの通信制御情報の一例として、当該ＩＰフローが該当するフィルタリングルールに対応したルーティングアクションＩＤ８０８として“ＲＡ９９９”（遮断）を、ルーティング装置１０２のフィルタリングルールテーブル２０１に設定する。これにより、ＩＰフロー単位の不正通信対処が実現される。

また、不正通信対処部４０９は、送信元と宛先の一方又は両方である通信単位毎にどのような不正通信対処を行うかを表す対処内容を表す情報である対処管理情報（例えば、図１１～図１３に示したテーブル４０１～４０３）を基に、検知された不正通信の送信元及び宛先（例えば、アラート情報から特定された送信元及び宛先）の少なくとも一つについて対処内容を判定し、当該判定された対処内容に従う不正通信対処を行う。これにより、検知された不正通信の内容（例えば特性又は種類）に適した不正通信対処が期待できる。具体的には、例えば、下記の対処がされる。つまり、検知された不正通信が送信元及び宛先のペア単位であるかＩＰフロー単位であるかに応じた適切な対処（対処先の決定、及び、対処として設定される情報の決定）が期待できる。
・判定された対処内容１３０３が、ＳＩＭ単位の通信制御を含む場合、不正通信対処部４０９は、不正通信の送信元及び宛先の少なくとも一つについて、ＩＰアドレスに対応したＩＣＣＩＤについての通信制御情報をC-plane装置１０５に設定する。一方、例えば、
・判定された対処内容１３０３が、ＩＰフロー単位の通信制御の場合、不正通信対処部４０９は、不正通信の送信元及び宛先の少なくとも一つについて、ＩＰフローについての通信制御情報を、ルーティング装置１０２に設定する。

以上、一実施形態を説明したが、これは本発明の説明のための例示であって、本発明の範囲をこの実施形態にのみ限定する趣旨ではない。本発明は、他の種々の形態でも実行することが可能である。例えば、本発明は、送信元と宛先のペアの単位での不正通信と、ＩＰフロー単位での不正通信と両方を対処可能なシステムに限らず、それらのうちの一方の不正通信のみを対処するシステムにも適用可能である。

１０２…ルーティング装置 １０３…不正通信検知装置 １０４…不正通信対処装置

Claims (11)

1. 通信が不正通信か否かの判定である不正通信判定をパケットに基づき行う不正通信検知装置により検知された不正通信についての対処である不正通信対処を行う不正通信対処システムであって、
   基地局とコアネットワーク装置とを繋ぐ通信区間である無線通信区間において無線通信プロトコルに従いパケットのルーティングを行う装置であり、ルーティング対象のパケットについてネットワークタップを行い、当該ネットワークタップされたパケットを前記不正通信検知装置に送信するルーティング装置と、
   前記ネットワークタップされたパケットに基づく不正通信判定の結果が真となった通信である不正通信について、当該不正通信の制御のための情報である通信制御情報を前記ルーティング装置及び前記コアネットワーク装置のうちの少なくとも一つに設定することを含む不正通信対処を行う不正通信対処装置と
   を備える不正通信対処システム。
2. 前記コアネットワーク装置は、前記無線通信区間とＩＰ通信区間とに接続されており、
   前記ＩＰ通信区間は、ＩＰに従う通信が行われる通信区間であり、
   前記ネットワークタップされたパケットは、送信元及び宛先の各々のＩＰアドレスを表す情報を含んだＩＰヘッダを有するＩＰパケットである、
   請求項１に記載の不正通信対処システム。
3. 前記ネットワークタップされたパケットは、前記ルーティング対象のパケットが有するＩＰパケットのうち、所定の条件を満たす情報を含んだＩＰヘッダを有するＩＰパケットである、
   請求項２に記載の不正通信対処システム。
4. 前記コアネットワーク装置は、前記無線通信区間とＩＰ通信区間とに接続されており、
   前記ＩＰ通信区間は、ＩＰに従う通信が行われる通信区間であり、
   前記不正通信検知装置は、前記ネットワークタップされたパケットに基づき送信元及び宛先の各々のＩＰアドレスを特定する装置であり、
   前記不正通信対処装置は、ＩＰアドレスとデバイスＩＤとの対応関係を表す情報であるＩＰ－ＳＩＭ情報を基に、前記検知された不正通信の送信元及び宛先の少なくとも一つについて、ＩＰアドレスに対応したデバイスＩＤを特定し、
   前記不正通信対処は、前記特定されたデバイスＩＤから同定される装置の通信の制御のための情報である通信制御情報を、前記ルーティング装置及び前記コアネットワーク装置のうちの少なくとも一つに設定することを含む、
   請求項１に記載の不正通信対処システム。
5. 前記コアネットワーク装置は、通信制御情報に基づきデバイスＩＤ単位で通信を制御する装置であり、
   前記不正通信対処装置は、前記検知された不正通信の送信元及び宛先の少なくとも一つについて、ＩＰアドレスに対応したデバイスＩＤの通信制御情報を、前記コアネットワーク装置に設定する、
   請求項４に記載の不正通信対処システム。
6. 前記ルーティング装置が、ＩＰフローを特定し当該特定されたＩＰフローの通信制御情報に従うルーティングアクションを行う装置であり、
   ＩＰフローは、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、及び、前記ＩＰ通信区間で使用されるプロトコル、に従う通信であり、
   前記不正通信対処装置は、前記検知された不正通信の送信元及び宛先の少なくとも一つについて、ＩＰフローの通信制御情報を、前記ルーティング装置に設定する、
   請求項４に記載の不正通信対処システム。
7. 前記不正通信対処装置は、
   送信元と宛先の一方又は両方である通信単位毎にどのような不正通信対処を行うかを表す対処内容を表す情報である対処管理情報を基に、前記検知された不正通信の送信元及び宛先の少なくとも一つについて対処内容を判定し、
   当該判定された対処内容に従う不正通信対処を行う、
   請求項１に記載の不正通信対処システム。
8. 前記ルーティング装置が、ＩＰフローを特定し当該特定されたＩＰフローの通信制御情報に従うルーティングアクションを行う装置であり、
   前記コアネットワーク装置は、設定された通信制御情報に基づきデバイスＩＤ単位で通信を制御する装置であり、
   前記不正通信対処装置は、
   前記判定された対処内容が、デバイスＩＤ単位の通信制御を含む場合、前記不正通信の送信元及び宛先の少なくとも一つについて、ＩＰアドレスに対応したデバイスＩＤについての通信制御情報を、前記コアネットワーク装置に設定し、
   前記判定された対処内容が、ＩＰフロー単位の通信制御の場合、前記不正通信の送信元及び宛先の少なくとも一つについて、ＩＰフローについての通信制御情報を、前記ルーティング装置に設定する、
   請求項７に記載の不正通信対処システム。
9. 前記不正通信対処は、下記（ａ）乃至（ｆ）のうちの少なくとも一つである、
   （ａ）前記検知された不正通信の送信元及び宛先の少なくとも一つについて、前記コアネットワーク装置に、ＩＰアドレスに対応したデバイスＩＤに関し無効化又は帯域制限を意味する通信制御情報を設定すること、
   （ｂ）（ａ）を行ったことの通知を行うこと、
   （ｃ）（ａ）を行うことの許否の問合せを行い、当該問合せに応答して許可を受けた場合に、（ａ）を行うこと、
   （ｄ）前記検知された不正通信の送信元及び宛先の少なくとも一つについて、前記ルーティング装置に、ＩＰフローの遮断又は帯域制限を意味する通信制御情報を設定すること、
   （ｅ）（ｄ）を行ったことの通知を行うこと、
   （ｆ）（ｄ）を行うことの許否の問合せを行い、当該問合せに応答して許可を受けた場合に、（ｄ）を行うこと、
   請求項７に記載の不正通信対処システム。
10. 通信が不正通信か否かの判定である不正通信判定をパケットに基づき行う不正通信検知装置により検知された不正通信についての対処である不正通信対処を行う不正通信対処方法であって、
    無線通信プロトコルに従う通信が行われ基地局とコアネットワーク装置とを繋ぐ通信区間である無線通信区間において前記無線通信プロトコルに従いパケットのルーティングを行うルーティング装置によりネットワークタップされたパケットに基づく不正通信判定の結果が真となった場合、当該不正通信判定の結果が真となった不正通信についての情報であるアラート情報を受信し、
    当該アラート情報が表す不正通信について、当該不正通信の制御のための情報である通信制御情報を前記ルーティング装置及び前記コアネットワーク装置のうちの少なくとも一つに設定することを含む不正通信対処を行う、
    不正通信対処方法。
11. パケットに基づき通信が不正通信か否かの判定である不正通信判定を行う不正通信検知装置により検知された不正通信についての対処である不正通信対処を行う不正通信対処装置であって、
    基地局とコアネットワーク装置とを繋ぐ通信区間である無線通信区間において無線通信プロトコルに従いパケットのルーティングを行うルーティング装置によりネットワークタップされたパケットに基づく不正通信判定の結果が真となった場合、当該不正通信判定の結果が真となった不正通信についての情報であるアラート情報を受信するインターフェース装置と、
    当該アラート情報が表す不正通信について、当該不正通信の制御のための情報である通信制御情報を前記ルーティング装置及び前記コアネットワーク装置のうちの少なくとも一つに設定することを含む不正通信対処を行う対処制御装置と
    を備える不正通信対処装置。

Images