シグナリングフローの異常を検知する方法及び装置
【課題】ＶｏＩＰネットワークにおいてもシグナリング異常を有効に検知できる新規の技法を導入する。
【解決手段】通信装置は、ラベル付き学習シグナリングフローを受信し（３０１）、データベースに供給する。これらのフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。次に、データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する（３０７）。ここで、プロファイルは、シグナリングフローを特徴付けるモデルであり、シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する。次に、学習シグナリングフローを分類する（３０９）。これにより、シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。
【解決手段】通信装置は、ラベル付き学習シグナリングフローを受信し（３０１）、データベースに供給する。これらのフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。次に、データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する（３０７）。ここで、プロファイルは、シグナリングフローを特徴付けるモデルであり、シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する。次に、学習シグナリングフローを分類する（３０９）。これにより、シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信ネットワークでのシグナリングフローの異常を検知する方法に関する。より詳細には、本発明は、通信装置が攻撃下にあるか否かを検知する方法に関する。本発明は、この方法を実施するように構成される通信装置及びコンピュータプログラムにも等しく関する。
【背景技術】
【０００２】
侵入検知システム（ＩＤＳ）が、商業情報システム及び政府情報システムで広く使用されている。様々なＩＤＳは、パターンマッチング技法又は何等かのエンティティ挙動学習（entity behavior learning）のいずれかにフォーカスしていた。パターンマッチング技法は、パケットヘッダ又はペイロードのパターンを認識しようとする。エンティティ挙動学習に基づく方法は、統計学的測定を考慮する何等かの分類技法を用いる。初期の形態では、これらの測定は、保護対象リソースへのトラフィックの監視、又は特定のインターネットプロトコル（ＩＰ）アドレスからのトラフィックの監視から成っていた。しかし、ボイスオーバインターネットプロトコル（ＶｏＩＰ）システムに対しての侵入検知作業はほとんど行われていない。この分野で行われる研究活動は、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）トラフィックに実施される方法と同じ方法を使用している。
【０００３】
パターンマッチング方法に関しては、Wu他著「SCIDIVE: A Stateful and Cross Protocol Intrusion Detection Architecture for Voice-over-IP Environments」（Purdue University）と題する発行物に、シグナリングイベントとメディアストリームプロトコルイベントとの簡易相関エンジンに基づいて数種類の攻撃を検知する方法が開示されている。この方法はさらに、ＶｏＩＰ ＩＤＳの２つの抽象概念、すなわちクロスプロトコル検知及びステートフル検知に基づく。後者は、同じセッションに属する異なるパケットを組み立て、その結果を規則照合エンジンに送ることを含む。クロスプロトコル検知は、複数のプロトコルに跨る異常を検知する照合規則の機能にフォーカスする。例えば、セッション開始プロトコル（ＳＩＰ）の異常及びリアルタイムトランスポートプロトコル（ＲＴＰ）の異常を検知する。
【０００４】
統計学的測定を考慮する分類技法に基づく方法に関しては、Festor他著「Intrusion detection mechanisms for VoIP applications」（LORIA-INRIA Lorraine France）と題する発行物に、ＴＣＰ ＥＢａｙｅｓと呼ばれるベイズモデルを使用するすでに公開されている研究に基づく方法が開示されている。従って、ＴＣＰ ＥＢａｙｅｓで行われているように、ポートスキャン及びＩＰスウィーピング（IP sweeping）を検知するために、開いているＴＣＰコネクション数、一意のＩＰアドレス数、及び一意のポート数を使用することに代えて、開いているＲＴＰポート数、待機中ダイアログの最大数等が使用される。ダイアログは、或る時間にわたって存在する２つのユーザエージェント間のピアツーピアのＳＩＰ関係である。ダイアログは、ユーザエージェント間のメッセージの順序付け及び要求の適切なルーティングに役立つ。ＩＮＶＩＴＥメソッドは、リクエストフォーコメント（ＲＦＣ）３２６１で規定される、ダイアログを確立する唯一の方法である。
【０００５】
しかし、この方法に関連する幾つかの欠点がある。一例として、トラフィックバーストのみが異常の証拠として考慮される。従って、フラッド攻撃しか検知されないであろう。これに加えて、実際の試験台がないため、システムはＶｏＩＰネットワークの場合について実験されなかった。ＴＣＰ ＥＢａｙｅｓの元々の目標は異常を検知することである。すなわち、検知はバイナリである。これは、特に、適切な対抗手段の起動を含む次の段階のために、攻撃の種類について管理者又は操作者に通知すべきオーバーレイネットワークに適用する場合には良好な方法ではない。
【０００６】
ＳＩＰはＶｏＩＰシステムで広く使用されており、ＳＩＰシグナリングプロトコルに対して実行できる多くの攻撃がある。攻撃は、ＲＦＣ３２６１により提供されるＳＩＰ文法に従わない攻撃であるシンタックス攻撃から、オーバーレイネットワークでの種々のサービス拒否（ＤｏＳ）攻撃までの多岐にわたる。他の攻撃は、サーバに対するバッファオーバーフロー等の既知の欠陥を利用するものと同じである。シンタックス攻撃及びプログラミングエラーが原因の種々の欠陥は広く調査されており、現在のＩＤＳはこのような種々の攻撃を検知する。そのため、シグナリングプロトコルに直接影響する攻撃のみが調査される。以下において、ＳＩＰ攻撃シナリオに対応する様々な攻撃の種類について考察する。これらの攻撃は、３つのカテゴリ、すなわち情報収集、サービス窃盗、及びＤｏＳに分けることができる。
【０００７】
一般に、攻撃者は、悪意のある目標を達成するために多くの動作を実行する必要がある。これらの動作は、多くの基本的な攻撃で構成される攻撃シナリオに相当する。情報収集は攻撃の一種であり、攻撃者はまず、標的サーバについての情報を収集してそのバージョンを獲得し、利用できる任意の既知の脆弱性があるか否かを調べ得る。攻撃者は、この攻撃シナリオの第２のステップがリプレイ攻撃であり得る場合、ｎｏｎｃｅ変更等の何等かのセキュリティの信用を保証する変数の変動も探し得る。パスワード推測及びディレクトリスキャンは、他の種類の情報収集攻撃に相当する。例えば、登録データベース内の既存の有効ユーザＩＤを調べることを含むディレクトリスキャン攻撃の後には、有効ユーザ名が見つかるため、パスワード推測攻撃を行い得る。
【０００８】
ＲＦＣ３２６１によれば、ＳＩＰは、ＲＦＣ２６１７により提供されるハイパーテキスト転送プロトコル（ＨＴＴＰ）認証からもたらされる、認証のステートレスなチャレンジベースのメカニズムを提供する。「ダイジェスト」認証は、メッセージ認証及びリプレイ保護のためだけにＳＩＰに導入されており、メッセージ保全性又は機密性を考慮していない。このメカニズムの信用を保証する１つの変数が、認証される応答メッセージのハッシュ値を計算するために使用される「ｎｏｎｃｅ」である。ハッシュ値は、例えばＭＤ５ハッシュアルゴリズムを使用して計算される。攻撃者はリプレイ攻撃が可能であるか否かを調べるために、ｎｏｎｃｅが認証されたメッセージ毎に変更されているか、それとも定期的に、例えば１秒毎に１回更新されるのかを調べる。ｎｏｎｃｅが定期的に変更される場合、リプレイ攻撃が可能である。
【０００９】
リプレイ攻撃を実行するには、攻撃者は短時間の間に、例えば１秒間に多くの要求を送信する。攻撃者は、ＲＥＧＩＳＴＥＲ要求バースト、例えば毎秒２０個のＲＥＧＩＳＴＥＲ要求を標的サーバに送信し、サーバメッセージ内のＷＷＷ認証ヘッダフィールドに対応するｎｏｎｃｅ値を調べることにより、ｎｏｎｃｅ値のランダム性を見つけようとする。この攻撃は、ＩＮＶＩＴＥ等の他の要求メソッドを使用して実行することもできる。この攻撃は、認証チャレンジがプロキシ認証ヘッダフィールドから抽出されるプロキシに対しても可能である。
【００１０】
ディレクトリスキャンは、操作者データベース内にある正当なクライアントに対応する有効ＩＤを収集することから成る。これは、種々のＳＩＰメッセージフローを使用して行われ得る。攻撃者は、さらに悪意のある目的のために有効な統一資源識別子（ＵＲＩ）を見つけようとするだけであるため、これは情報収集と見なされる。ディレクトリスキャンは、辞書を使用してディレクトリスキャン中に発見されたＩＤに対応するパスワードを推測するＩＤ窃盗等の別の基本的な攻撃に先行するステップであると考え得る。この攻撃は、特に、レッドリストに載っているＩＤの場合には省かれ得る。実際には、対応する操作者はこのようなリストに適切なメカニズムを追加し得る。しかし、この攻撃は種々の操作者の多くのプラットフォームに対して試験され、実験は成功している。
【００１１】
上記の攻撃は、ユーザ及びサーバについての情報の収集を含むが、ＩＤ窃盗攻撃及びサービス窃盗攻撃は、様々な理由により誤ってパスワードを保護しない状態のままにしている正当なユーザのＩＤを盗むこと、若しくは、攻撃者が辞書に基づく攻撃等の何等かの攻撃又は総当たり技法を使用することにより、パスワードを意図的にクラッキングした正当なユーザのＩＤを盗むことを含む。別の種類のＩＤ窃盗及びサービス窃盗のたぐいの攻撃は、ユーザが認可されていない又は加入していないサービスを使用することを含む。
【００１２】
パスワード推測は、辞書を使用してユーザパスワードを見つけるか、又は多数の可能性を探査することによる総当たり技法を使用する。従って、攻撃者は、ＩＤ窃盗中に発見された特定のＩＤに対して一連のパスワードを使用し得る。攻撃者は続いて、対応するユーザが適切なパスワードを選択していなかった場合は特に、このエンティティの正しいパスワードを発見し得る。
【００１３】
ＤｏＳ攻撃は、コンピュータの導入時から広く使用されている技法である。これは、正当なユーザが論理的又は物理的なリソースを利用できないようにすることを含む。この種の攻撃は２つのカテゴリに分けることができる。第１のカテゴリはフラッディングＤｏＳに基づく。一方、第２のカテゴリは、エンドポイントをクラッシュさせる不正な形式のパケットを送信することを含む。
【００１４】
ＤｏＳ攻撃を実行する場合、攻撃者は、登録サーバ(registrar)に対する膨大な数の連続したＲＥＧＩＳＴＥＲ要求を送信するか、又は多数のＩＮＶＩＴＥ要求を標的クライアントに送信する。一方、攻撃者は、ＩＮＶＩＴＥを正当なクライアントに送信する場合、ダイアログに従い、標的クライアントからＯＫ応答を受信した直後にＢＹＥ要求を送信することで、ＳＩＰシグナリングフローを停止させることができる。
【００１５】
サーバに対するＤｏＳ攻撃は、無制限の数の要求を登録サーバ等のサーバに対して送信することを含むフラッド攻撃である。この種の攻撃はまた、攻撃者がインターネットを介して多数のゾンビを集め、侵害された各マシンが膨大な数のこのような正当な要求を送信する分散ＤｏＳ（ＤＤｏＳ）攻撃に拡張され得る。
【００１６】
ＤｏＳ攻撃を正当なクライアントに対して実行する場合、攻撃者はユーザが要求に応える都度、呼び出しをキャンセルする。すなわち、呼び出しを確立しない連続したＩＮＶＩＴＥ要求に基づいて正当なクライアントを妨害しようとする。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
今まで実施されている様々な侵入検知技法は、現行のＶｏＩＰシステムを標的とする様々な攻撃の検知に適切ではないため、ＶｏＩＰネットワークにおいてもシグナリング異常を有効に検知できる新規の技法を導入することが必要とされる。
【課題を解決するための手段】
【００１８】
従って、本発明の第１の態様によれば、データベースに接続される通信装置においてシグナリングフローの異常を検知する方法であって、通信装置により実行される以下のステップを含む方法が提案される。
− ラベル付き学習シグナリングフロー(learning signaling flow)を受信し、これらのフローをデータベースに供給するステップ。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。
− データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデル(profile specific classification model)を構築するステップ。ここで、プロファイルは、シグナリングフローを特徴付けるモデルであり、シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する。
− 学習シグナリングフローを分類するステップ。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。
− 新しいシグナリングフローを受信するステップ。
− 受信されたシグナリングフローから、受信されたシグナリングフローを特徴付ける少なくとも１つの属性を抽出するステップ。
− 受信されたシグナリングフローを正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類するために、少なくとも１つの抽出された属性を使用するステップ。ここで、分類は分類モデルに基づく。
【００１９】
提案する方法により提供される種々の利点がある。第１に、自動学習により事前に既知の攻撃全体(whole a priori known attacks)を検知する。第２に、様々な攻撃と安全なＶｏＩＰトラフィックとを容易に区別する。第３に、分類モデルの構築フェーズ中に学習されない新しい異常を認識する。これは、新しい脆弱性が発見され、潜在的な攻撃者がこれらの脆弱性を様々な様式で利用して情報システムを攻撃するため、現実の生活では、すべての既存の攻撃に気付かないことを理由とする。
【００２０】
これに加えて、この方法は、攻撃を検知するのみならず、攻撃検知目標を達成するために考慮すべき関連するＶｏＩＰ属性にもフォーカスするため、完全なものである。この方法の別の目的は、ステートフル検知技法のみを使用するのではなく、ＶｏＩＰ通信を確立して維持するために使用される様々なプロトコルにも注視することである。
【００２１】
さらに、ＶｏＩＰ侵入検知目標のために、現在のパケット（又は同様に現在のトランザクション若しくはダイアログ）と最後のパケット（又は同様にトランザクション若しくはダイアログ）との間の統計学的測定を生成する。
【００２２】
最後に、種々のクラスのトラフィック（正常又は攻撃）を学習し、単純な更新により新しい攻撃及び新しい正常形態を適応的に考慮することから、拡張可能な方法である。また、ＩＰスプーフィングに影響を受けず、クライアントの移動に対応することもできる。この方法は、一旦攻撃を検知した後、対抗手段を起動させる前の最初のステップとして使用することができる。一旦攻撃を検知すると、対応する反応メカニズムに、侵入を引き起こしたトラフィックを特徴付ける種々の特徴を送信し、それにより、適切な対抗手段をとることができる。
【００２３】
本発明の第２の態様によれば、シグナリングフローでの異常を検知可能な装置のコンピュータ手段にロードされて実行されると、第１の態様による方法を実施する命令を含むコンピュータプログラム製品又はハードウェア装置がさらに提供される。
【００２４】
本発明の第３の態様によれば、データベースに接続され、シグナリングフローの異常を検知するための通信装置が提供される。この通信装置は、以下を備える。
− ラベル付き学習シグナリングフローを受信し、これらのフローをデータベースに供給する受信装置。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。受信装置はさらに、新しいシグナリングフローを受信するように構成される。
− データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する手段。ここで、プロファイルは、シグナリングフローを特徴付けるモデルである。
− 学習シグナリングフローを分類する手段。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。分類する手段はさらに、少なくとも１つの抽出された属性を使用することにより、受信された新しいシグナリングフローを、正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類するように構成され、分類は分類モデルに基づく。
− 受信されたシグナリングフローから、受信された新しいシグナリングフローを特徴付ける少なくとも１つの属性を抽出する手段。
【００２５】
本発明の他の特徴及び利点が、添付図面を参照して非限定的で例示的な実施形態の以下の説明から明らかになるであろう。
【発明を実施するための最良の形態】
【００２６】
これより、本発明のいくつかの実施形態を、添付図面を参照してより詳細に説明する。以下の説明では、本発明の実施形態はＳＩＰシグナリングプロトコルの文脈の中で説明される。
【００２７】
図１は、本発明の教示を適用することができる一環境を示す。図１には、この場合、デスクトップコンピュータであるクライアント装置１０１が示される。これは同等に、他のネットワーク要素にアクセスすることができる任意の他の装置であってもよい。以下の説明では、提案する侵入検知方法は、ＳＩＰサーバ１０３の前にある装置又は論理モジュールで実施される。この装置は侵入検知装置（ＩＤＤ）１０２と呼ばれる。ＩＤＤ１０２に課せられる唯一の条件は、監視対象のＳＩＰサーバ１０３のインバウンド及びアウトバウンドのトラフィックをすべて捕捉可能なことである。ＩＤＤ１０２は、トランスペアレントなネットワークアドレス変換（ＮＡＴ）有り又は無しのファイアウォールの背後又は前で実施してもよい。従って、この例では、ＩＤＤ１０２は、ＳＩＰサーバ１０３とは異なる場所に配置される物理的な装置である。代替的には、ＩＤＤ１０２は単にソフトウェアにより実施してもよく、ＳＩＰサーバ１０３に物理的に統合される。
【００２８】
図２は、本発明の教示が関わる限り関係するＩＤＤ１０２の幾つかのブロックを示すブロック図である。図２には、入力ＳＩＰシグナリングフローをバッファリングするバッファ２０１が示される。抽出ブロック２０３は、入力シグナリングフローから属性を抽出するように構成される。この目的のために、第１の攻撃ブロック２０５及び第２の攻撃ブロック２０６が利用され、抽出ブロック２０３に接続される。ＩＤＳツール２０８の目的は、入力シグナリングフローが異常を含むか否か、すなわち攻撃が検知されるか否かを検知することである。本発明の方法を実施するために、データベース２０９が提供される。データベース２０９は、ＩＤＳツール２０８による攻撃の検知を支援するための各種のラベル付きシグナリングフローを含む。データベース２０９に含まれるシグナリングフローは、学習シグナリングフローと呼ぶこともできる。学習シグナリングフローの目的については、以下により詳細に説明する。シグナリングフローにラベルを付けることにより、シグナリングフローを、正常なシグナリングフロー又はＳＩＰサーバ１０３に対する攻撃の可能性を示す異常なシグナリングフローのいずれかと見なし得ることに留意されたい。ＩＤＳツール及び抽出ブロック２０３にフィードバックを提供するために、アラートブロック２１１も提供される。アラートブロック２１１はまた、起こり得る攻撃についてＳＩＰサーバ１０３に通知することができる。これらのブロックの動作については、次に、図３Ａ及び図３Ｂのフローチャートを参照してより詳細に説明する。
【００２９】
ステップ３０１において、ＩＤＤ１０２は、ＩＤＤ１０２が配置されている通信ネットワークから多数の学習シグナリングフローを受信し、受信した学習シグナリングフローをバッファ２０１にバッファリングし、これらの学習シグナリングフローをデータベース２０９に供給する。従って、この段階において、データベース２０９はラベル付き学習シグナリングフローを格納する。フローはラベル付けされ、それによって、正常フロー又は様々な種類の攻撃を示すフローのいずれかであるように分類される。
【００３０】
次に、ステップ３０３において、受信したシグナリングフローが関連するプロファイルを判断する。プロファイルは１組の属性に対応し、これらの属性は、順にＶｏＩＰフローを要約すると共に正常である証拠及び異常である証拠を捕捉する。ＳＩＰシグナリングプロファイルは、パケットプロファイル、トランザクションプロファイル、又はダイアログプロファイルであり、対応するフロー（パケット、トランザクション、又はダイアログ）を正確に特徴付けるモデルである。このモデルは、値が連続しているか、又は離散している１組の属性に要約される。
【００３１】
ＶｏＩＰトラフィックを特徴付けると共にＶｏＩＰ侵入証拠を捕捉するという目標のために、３つのプロファイルが定義される。第１のプロファイルは、以下により詳細に説明するように、パケットから抽出される１組の属性と、現在のパケットに前のパケットを相関付ける種々の測定とに対応する。
【００３２】
第２のプロファイルはトランザクションに基づく。トランザクションは、サーバにおいて、特定のメソッド又は関数を呼び出す要求、及び少なくとも１つの応答から成る。ＳＩＰは、ＨＴＴＰのような要求／応答トランザクションモデルに基づく。
【００３３】
第３のプロファイルはダイアログに基づく。ダイアログは、或る時間にわたって存続する２つのユーザエージェント間のピアツーピアのＳＩＰ関係である。ダイアログは、ユーザエージェント間のメッセージの順序付け及び要求の適切なルーティングに役立つ。ＩＮＶＩＴＥメソッドは、ダイアログを確立するためのＲＦＣ３２６１で規定される唯一の方法である。ダイアログに基づくプロファイルは、シグナリング及び記述プロトコルのみならず、メディア転送に使用されるＲＴＰ及び他のプロトコルも考慮されるセッションベースのプロファイルに対応する。第３のプロファイルは、「ＳＣＩＤＩＶＥ」により使用されるクロスプロトコルを補完するものである。
【００３４】
次に、ステップ３０５において、各学習シグナリングフローから、少なくとも１つの属性が抽出される。シグナリングフローが幾つかの属性を含む場合、有利には、これらの属性はすべて抽出される。属性の抽出は、有利には、論理的な発信元アドレスから独立（すなわち、「Ｆｒｏｍ＿ＵＲＩ」属性から独立）している、又はシグナリングフローの物理的なインターネットプロトコル（ＩＰ）発信元アドレスから独立している。これにより、方法がクライアントの移動及びスプーフィングに影響されないようになる。これは、論理的又は物理的な発信元アドレスが、抽出された属性に属さないことを意味する。
【００３５】
２つの異なる種類の属性が定義される。第１の属性の組は、ＳＩＰに関連するＲＦＣ３２６１において規定されるような属性を含む。さらに、これらの属性は、上述したような既知の攻撃種類に基づいて抽出される。これらの攻撃種類は、第１の攻撃ブロック２０５に格納されている。第１の属性の組は、セキュリティ専門家、すなわち人間により手動で、ＲＦＣ３２６１から直接抽出されるため、第１の組の属性は、固有の属性（intrinsic attributes）と呼ぶことができる。
【００３６】
第２の属性の組は、第１の属性の組から自動的に抽出される。このために、第２の攻撃ブロック２０６が提供される。この後者の組は、現在のネットワークフローと過去のフローとの間の種々の統計学的測定に対応する。ここで、過去のフローは、長さＮを有する時間窓又はＭ個のフローの窓に従って測定される。但し、Ｎは正の値であり、Ｍは正の整数である。第２の組は、現在フローの属性とＮ秒の窓に含まれる最後のフローの属性との間の固有の統計学的測定を考慮することにより、又は単に最後のＭ個のフローを考慮することにより、第１の組から自動的に構築される。Ｎ及びＭの値は経験により固定される。例えば、時間窓に２秒の期間が使用され、他方の窓には現在のフローの前の２００個のフローが使用される。固有の属性は第１のクラスに属するものと定義することができ、時間窓に関連する属性は第２のクラスに属するものと定義され、Ｍ個のフローの窓に関連する属性は第３のクラスに属するものと定義される。従って、第１のクラスの属性は第１の組に属するのに対して、第２及び第３のクラスの属性は第２の組に属する。第２の属性の組は、セキュリティ専門家がこの組に属する属性を判断するため、専門家知識属性（expert knowledge attributes）と呼ぶこともできる。
【００３７】
以下に、各クラスの様々な属性をより詳細に説明する。第１及び第２のクラスに関して属性のリストが与えられるが、ＶｏＩＰパケットプロファイルに対応する属性のリストのみであることに留意されたい。本発明の教示は、通信に使用される各プロトコルに、ＲＦＣ３２６１等の適切なプロトコル規格で規定される対応する状態機械を使用することにより、その他のプロファイルにも等しく適用される。
【００３８】
第１のクラスの属性は、ＶｏＩＰプロトコル、特にＳＩＰに固有の様々な属性に対応する。表１は、このクラスの属性の非網羅的なリストを提示する。各フローにおいて、発生時刻に対応するタイムスタンプが、その他の２つのクラスの計算に考慮される。
【００３９】
【表１】
【００４０】
一例として、表１の最後の３つの属性「ＵｓｅｒＮａｍｅ」、「Ｎｏｎｃｅ」、及び「Ｒｅｓｐｏｎｓｅ」は、２つの攻撃、すなわちｎｏｎｃｅ変更及びパスワード推測に基づいて抽出される。従って、このリストは、他の脆弱性及び攻撃が発見される限り、開かれたものである。このリストを、他のフローから独立して各フローに使用することは、最適な解決策ではない場合がある。一解決策は、現在フローに先行する近い過去における最後の幾つかのフローを使用して統計学的特徴を見つけることである。これについてはクラス２及びクラス３に関連して説明する。さらに、シグナリングトラフィックの正常フローは、種々の電話通信モデルにおける統計学的法則に大いに従うことにさらに留意されたい。したがって、属性クラス２及び３は、正常フローの挙動の特徴付けに大いに寄与する。
【００４１】
第２のクラスの属性は、第１のクラスで示される属性の種々の値を使用して、現在のフローに先行する種々のシグナリングフロー間の相関測定を計算することにより得られる。表２は、このクラスの様々な攻撃及びその説明を提示する。
【００４２】
【表２−１】
【表２−２】
【００４３】
図４は、クラス２の属性を計算するために使用される概念を示す。Ｎ秒、例えば２秒の時間窓がこのために使用される。これらの攻撃は、ＶｏＩＰ ＤｏＳフラッド攻撃、並びにパスワード推測又はｎｏｎｃｅ変更等の異なる値を有する同一の要求を送信するその他の攻撃に関連する。このクラスの各種属性は自動的に構築され、現在のフローと同じ論理受信者を有する最後のＮ秒内のフローを調べる「Ｓａｍｅ＿Ｔｏ−ＵＲＩ」属性に要約される。攻撃者が「Ｆｒｏｍ＿ＵＲＩ」を偽造し得るＵＲＩスプーフィングにより各種属性を計算する際、論理発信者は考慮されない。しかしながら、サービスの提供者は、「Ｆｒｏｍ＿ＵＲＩ」のヘッダフィールドにわたるイングレスフィルタリング(ingress filtering)を使用することができる。この場合、フローの論理発信者を考慮することができる。
【００４４】
攻撃の初心者は、多数の要求を短時間窓内で送信する。第２のクラスの属性は、対応する攻撃を検知するのに十分である。しかしながら、他の攻撃者は時間を掛けて、この手法を迂回するステルス技法を使用するであろう。従って、これらの攻撃を検知するためのより大きな時間窓が必要である。このために、表２の属性と同じ属性を計算する際に現在のフローに先行する最後のＭ個のフロー、例えばＭ＝２００を考慮する第３のクラスの属性が導入される。このクラスの属性は、現在のフローに先行する最後のＭ個のフローに従って計算される。従って、これらの属性はこの文脈の中で報告されない。図５において、「ｄｓｔ＿ｕｒｉ＿ＸＸＸ」属性が第３のクラスの属性に対応することに留意されたい。例えば、「ｄｓｔ＿ｕｒｉ＿ｃｏｕｎｔ」は、過去のＭ個のフロー中での、現在フローのＵＲＩと同一のＵＲＩへのフローの数に対応する。
【００４５】
属性が抽出されると、ＶｏＩＰシグナリングフローを特徴付ける属性が、ＩＤＳツール２０８に提供される。一般に、このツールは２つのステップを有する。第１に、ステップ３０７において、ＩＤＳツール２０８は、データベース２０９に格納されているラベル付き学習シグナリングフローを使用することにより、分類モデルを構築する。
【００４６】
ＶｏＩＰシグナリングフローを特徴付け、個々を区別するために各種属性が定義されている。そのため、適切な分類という目標のために、データベース２０９に存在するすべてのラベル付き学習シグナリングフローを要約できるようなモデルを、データベース２０９を使用して構築するようなメカニズムを見つける必要がある。専門家は、例えば、各ラベル付きフローを特徴付ける規則を書くことができるかもしれない。しかしながら、この解決策は、多くの理由により非現実的である。第１に、各フローには多数の属性がある。第２に、各カテゴリ、すなわち攻撃フロー又は正常フローが、データベース２０９内に多数発生する。従って、特にギガバイトサイズの学習データセットを扱う場合に、人間はこのような規則を書くことができない。
【００４７】
従って、本発明によれば、この問題は、種々のフローを区別可能にするようなモデルを自動的に構築するデータマイニング手法を使用することにより解決される。データベース２０９のようなラベル付きデータベースから学習した後、新しいインスタンスを分類することができる多数の教師あり技法が存在する。例として、プロファイル（パケット、トランザクション、又はダイアログ）においては、各属性の値付きインスタンスが作成されることが理解される。従って、通信ネットワークからスニッフ(sniff)される各プロファイルはインスタンスである。これらの種類の技法の例は、ニューラルネットワーク、Ｋ最近傍（Ｋは正の整数）、ベイズネットワーク、単純ベイズツリー、決定木等である。決定木から構築されるモデルには表現力があるので、この技法を後に詳細に説明し、完結した実験から得られた種々の結果が与えられる。
【００４８】
この説明では、検知技法は、種々のサンプル、すなわちデータベース２０９に存在するラベル付き学習シグナリングフローを自動的に学習し、学習ステップの結果として、新しいラベル無しシグナリングフローを適切なカテゴリ、すなわち攻撃フロー又は正常フローに分類することができるような分類モデルが構築される方法と呼ばれる。対応するクラスが攻撃である場合には、後で説明するようにアラートが生成される。そうでない場合には、フローは正常と見なされる。
【００４９】
次に、ステップ３０９において、データベース２０９に格納されている各種ラベル付きシグナリングフローが適切なクラスに分類される。この分類は、ステップ３０７において構築された分類モデルに基づく。
【００５０】
学習ステップ中に、分類器とも呼ばれる分類モデルが構築され、学習シグナリングフローが分類された後、ステップ３１１において、分類モデルがデータベース２０９に格納されているラベル付きシグナリングフローと突き合わせられてテストされ、分類モデルの正確性が評価される。正確性は、正しく分類されたフロー例の数に基づく。換言すれば、攻撃があるのにアラートがない（偽陰性：false negative）場合や、攻撃がないのに少なくとも１つのアラートがある（偽陽性：false positive）場合や、或いは特定の攻撃種類に対応するフローが別の攻撃クラスに分類された場合、例えばパスワード推測攻撃がＤｏＳとして分類された場合には、データベース２０９の分類モデルとデータベース２０９のラベル付きモデルとの間に不整合があると結論付けることができる。従って、分類器が正確であるか否かを知るためには、分類の結果とデータベース２０９に含まれるラベル付きシグナリングフローとを比較することで十分である。
【００５１】
分類モデルが十分に正確ではないと見なされる場合、すなわち、検知成功率が低すぎる場合には、ステップ３１３において、後ろ向き調整(backward tuning)が行われる。３つの解決策が可能である。第１の解決策は、これらの技法の各種パラメータを調整することにより、又は新しい分類技法を導入することにより、分類技法を改良することを含む。他の解決策は、属性のリストを拡張することを含む。この拡張は、考慮される属性が、プロファイルを特徴付ける元の情報をすべて十分に保持しているとは限らない可能性があるため有用である。この状況は、元のフローを上記に提示した１組の属性により要約されるプロファイルに変形した後、幾らかの情報が失われ、異なるクラスを区別できなくなることがあるため、発生し得る。入念な選択を用いて、専門家は、異なる種類のフローを区別できる他の属性を見つけることができる。属性の専門的知識なしでの自動抽出は、侵入検知の分野では難題であることに留意されたい。第３の解決策は、安定した高い検知成功率が見つかるまで、２つの解決策を組み合わせることを含む。このステップは、検知率が許容値、一般には９９．９９％に収束するまで繰り返される。後ろ向き調整が行われた後、手続きはステップ３０３に続く。
【００５２】
分類モデルが正確である場合、手続きはステップ３１７に続く。ステップ３１７において、新しいシグナリングフローが受信される。次に、ステップ３１９において、受信されたシグナリングフローから属性が抽出される。この抽出は、ステップ３０５に関連して上記で説明したように行われる。ここでも、受け取られたシグナリングフローの論理的又は物理的な発信元アドレスは、抽出された属性に属さない。
【００５３】
属性が抽出されると、ステップ３２１において、受信されたシグナリングフローは、先のステップ３０７において構築された分類モデルに基づいて分類される。
【００５４】
次に、ステップ３２３において、分類結果が既知の攻撃に対応するか否かが判断される。これが当てはまる場合、ステップ３２５において、アラートが生成される。このモデルは、疑い（攻撃）が検知された場合にアラートを生成する。これらは基本的な攻撃であるため、通信ネットワークの管理者に通知、すなわちアラートされ、管理者はこのアラートを受け取る。侵入検知プラットフォームでは、管理者はセキュリティサイトオフィサー（ＳＳＯ）であり得る。しかしながら、数千ものアラートが１秒間に生成される場合、管理者は、さらなる調査、例えば攻撃シナリオを構築するか又はアラートを集計するために、これらのアラートを収集してＳＳＯに送信するプロセスであってもよい。
【００５５】
一方、分類結果が既知の攻撃に対応しない場合、ステップ３２７において、分類結果が正常シグナリングフローに対応するか否かを判断する。これが当てはまる場合、手続きはステップ３２９において終了する。しかしながら、分類結果が正常フローに対応しない場合、ステップ３３１において、アラートが再び生成され、新種の攻撃を検知するために診断が行われる。新種の攻撃が検知されると、この新種の攻撃が含められるようにデータベース２０９を更新することができる。データベースの更新は、新しい正常フローが検知される場合にも推奨される。それにより、新しい正常フローを再び新しいフローとして分類せず、既知の正常フローとして分類するようになる。
【００５６】
すべてのフローが適切なクラスでラベル付けされているデータベース２０９が使用されるため、分類モデルを構築するタスクに種々の教師あり分類技法を使用することができる。データマイニング文献で利用可能な多数の候補技法がある。以下において、検知を目標として、ラベル付きフローを学習して新しいフローを分類する技法としての決定木帰納アルゴリズムの一例についてより詳細に説明する。
【００５７】
しかしながら、任意の他の教師あり技法、又は教師なし技法をこの目標のために使用してもよい。これは、決定木に加えて、任意の教師あり技法を分類（又は検知）タスクに使用してもよいことを意味する。教師あり方法と教師なし方法との間には相違がある。決定木等の教師あり分類技法は、種々のインスタンスがラベル付けされるデータベースを使用する。このラベル付きデータベースを使用して、モデルが構築される。すなわち、決定木の場合には１組の規則（シグネチャ）が構築される。この分類モデルは、観察データ、すなわちラベル付きシグナリングフローを超えて首尾良く一般化すべきである。
【００５８】
分類モデルの有効性は、分類器の構築に使用されるトレーニングデータセットに対する分類モデルの分類精度、及び新しい未知のデータセットにわたる一般化精度に対応する。
【００５９】
教師なし学習については本明細書において考察しないが、このメカニズムはまた、学習データベースを使用しない教師なし方法と併せて使用してもよい。教師なし方法では、幾つかの仮定に従って、すべてのインスタンス間の関係のみが調べられる（この場合、ラベル付きではない）ため、データベースを使用しない。従って、これらのインスタンス間で区別可能なのは二項分類（攻撃又は非攻撃）だけである。この技法の主な問題は、現実の世界で常に現実であるとは限らない、事前に立てられる仮定である。
【００６０】
決定木分類器は、「分割統治」戦略に基づいて、ラベル付きインスタンスの有限で空ではない集合を含む所与の学習集合Ｓから適切なツリーを構築する。決定木は学習ステップ中に構築される。その後、決定木を使用して、新しいインスタンスのクラスを予測する。最新の決定木アルゴリズムは、「トップダウン戦略」、すなわち根から葉への戦略を使用する。決定木を使用するには、２つの主要なプロセス、すなわち構築プロセス及び分離プロセスが必要である。
【００６１】
構築プロセスは、ラベル付きトレーニングデータセット、すなわちラベル付きシグナリングフローを使用することにより、ツリーを構築することを含む。属性が他の属性よりもどの程度多くの情報を提供するかに基づいて、各ノードに属性が選択される。また、このプロセス中に、葉が対応するクラスに割り当てられる。
【００６２】
ノードがどの程度の情報を提供するかを測定するために、シャノンエントロピーを使用して、決定木を構築する。この分割戦略は、主要な目標として、最良の非分類的な属性を再帰的に選択することにより、考慮されるトレーニング例を分割するツリーを構築するために使用される。
【００６３】
第１のクラスの「Ｍｅｔｈｏｄ」属性のように離散値属性の場合、この戦略は、考慮されている属性のすべての可能な値をテストする。しかしながら、第２及び最後のクラスでのように連続値属性の場合、変換技法が導入される。これは、連続属性を離散した間隔セットに分割する新しい離散値属性を定義することを含む。このアルゴリズムは、Ａ＜ｔの場合に真であり、その他の場合に偽である新しいブール属性Ａtを動的に作成する。閾値ｔの選択は情報利得に基づく。閾値ｔは、最大の情報利得を生成するものが選択される。連続属性Ａに従って、種々のアイテムがソートされる。その後、Ａの対応する値間にある１組の閾値候補が生成される。これらの閾値候補は、各閾値候補に関連する情報利得を計算することにより評価される。次に、動的に作成されるブール属性を、ツリーを成長させるために利用できる他の離散値属性候補と比較することもできる。以下において、連続値を有する属性の評価にこの分割技法を使用する。
【００６４】
決定木は、すでに何が分かっているか、すなわちトレーニングセット（この場合、ラベル付き学習シグナリングフロー）を要約するためではなく、新しいインスタンスの正しい分類を助けるために重要である。従って、分類モデルを構築する場合、実際にどの程度良好に働くかを検証するために、モデルの構築に使用されるトレーニングデータ及びテストデータの両方を有するべきである。新しいインスタンスは、新しいインスタンスのクラスに対応する１つの葉に達するまで、属性値及びノード値に基づいてツリーを上から下にトラバースすることにより分類される。
【００６５】
構築及び分類の各ステップの他に、多数の決定木アルゴリズムは、別のオプションステップを使用する。このステップは、分類ステップにおいてツリー性能の向上に役立たないと考えられる幾つかのエッジを除去することを含む。多数の無用なエッジが除去されて、複雑なツリーがより解釈しやすいものになるので、ツリーの枝刈りはツリーを単純化する。さらに、すでに構築されているツリーは、枝刈り前よりも良好な分類結果を提供する場合にのみ枝刈りされる。
【００６６】
構築プロセスは、通常オフラインで行われる。それに対して、検知プロセスは、情報システムのセキュリティポリシーに応じてオンライン又はオフラインで行うことができる。
【００６７】
次に、学習データセットから構築されたツリーの幾つかの枝の幾つかの例を、図５を参照して示す。
【００６８】
図５は、実際のＳＩＰサーバでの種々の実験から構築された決定木の一部を示す。ツリーは、種々の登録サーバ、プロキシ、及びクライアント（ハードフォン及びソフトフォン）を有する実際のＶｏＩＰインフラを有する実際のネットワークで行われる攻撃から構築される。図５に提示されるツリーは、４つのシグネチャを提供する。すなわち、ディレクトリスキャン、フラッディングに基づくＤｏＳ、及びパスワード推測という３つの攻撃の属性セットを提供する。シグネチャの一例として、ツリーを根から「ｇｕｅｓｓｐａｓｓｗｏｒｄ」に対応する攻撃までトラバースする。その結果として得られる規則は、
【００６９】
ＩＦ（Ｒｅｓｐ＿Ｒｅｑ＝ＲＥＱＵＥＳＴ）ＡＮＤ（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ≧０．３５）ＡＮＤ（ｍｅｔｈｏｄ＝ＲＥＧＩＳＴＥＲ）ＡＮＤ（ｄｓｔ＿ｕｒｉ＿ｕｓｅｒｎａｍｅ＿ｄｉｆｆ＿Ｔｏ−ｕｒｉ＞０．１）ＡＮＤ（ｄｓｔ＿ｕｒｉ＿ｃｏｕｎｔ＞６７）ＴＨＥＮ ａｔｔａｃｋ＿ｃｌａｓｓ＝"ｇｕｅｓｓｐａｓｓｗｏｒｄ"．
【００７０】
である。
【００７１】
同じステップをたどって、種々の攻撃のすべてに、学習ステップ中に構築された決定木から自動的に抽出される適切な規則が割り当てられる。従うべき条件の１つは、学習ステップが一般的でなければならないということである。すなわち、既知の各攻撃の各種形態を示す最大数の例及び最大数の正常フロー挙動発生を含むべきであるということである。データベース２０９が十分に網羅的である場合、各種攻撃は、学習ステップから自動的に生成される正確なシグネチャを有することになり、誤検知及び検知漏れは少なくなる。
【００７２】
学習プロセス後、種々の既知の攻撃の種々のシグネチャを含むツリーが、自動的に抽出される。これらのシグネチャを有効に使用するために、枝刈り技法を使用することにより、規則がツリーから抽出される。まず、根から葉までのパスに沿った各属性テストが規則の条件部(rule antecedent)になり、葉での分類が規則の帰結部(rule consequence)になる。規則枝刈りを示すために、上記ツリーから生成される以下の規則を考える。
【００７３】
ＩＦ（Ｒｅｓｐ＿Ｒｅｑ＝Ｒｅｑｕｅｓｔ）ＡＮＤ（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ＞０．３５）ＡＮＤ（ｍｅｔｈｏｄ＝ＩＮＶＩＴＥ）ＴＨＥＮ ａｔｔａｃｋ＿ｃｌａｓｓ＝ＤｏＳ
【００７４】
次に、このような各規則は、除去により推定精度が悪化しない任意の条件部を除去することにより枝刈りされる。上記規則の場合、規則の枝刈りは条件部（Ｒｅｓｐ＿Ｒｅｑ＝Ｒｅｑｕｅｓｔ）、（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ＞０．３５）、及び（ｍｅｔｈｏｄ＝ＩＮＶＩＴＥ）の除去を検討する。最初の条件部を第１の枝刈りステップとして選択した後、この除去後の推定規則精度を検討して、このステップが推定精度を低減させないか否かを調べる。それから、第２の前提条件(precondition)をさらなる枝刈りステップとみなし、以下同様である。推定規則精度が低減する場合、枝刈りステップが実行されないことに留意されたい。枝刈りの結果として、検知モデルは、順次解析される規則セットに対応するようになる。表３は、上述した種々の攻撃から生成されるトラフィックを使用して構築されるこのような規則の一例を提供する。
【００７５】
【表３】
【００７６】
表３によれば、新しいフローが受信される都度、受信されたフローは種々の属性に従って解析される。種々の属性は、種々の規則を使用して新しいフローを特徴付ける。規則のいずれも合致しない場合、しばらくの間、新しい攻撃に対応する新しいフローと見なされる。しかしながら、対応するフローを査定して適切なクラス（安全であるか、又は新しい攻撃に対応するか）を判定するために、診断が推奨される。このメカニズムはプログラム化することができる。しかしながら、規則マッチング手続きに、３値連想メモリ（ternary content-addressable memory）（ＴＣＡＭ）を使用するハードウェア実施も可能である。
【００７７】
本発明は、ＩＤＤ１０２のコンピュータ手段にロードされて実行されると、本発明の実施形態の方法ステップのうちの任意の方法ステップを実施することができるコンピュータプログラム製品にも等しく関連する。
【００７８】
本発明は、上述した方法ステップを実施するように構成されるＩＤＤ１０２にも等しく関連する。コンピュータプログラムは、ＩＤＤ１０２により実行されるように構成することができる。
【００７９】
本発明を図面及び上記説明において詳細に図示し説明したが、このような図及び説明は説明的又は例示的なものとみなされるべきであり、制限的とみなされるべきではなく、本発明は開示される実施形態に制限されない。
【００８０】
特許請求される本発明を実施する際に、当業者は、図面の研究、本開示、及び添付の特許請求の範囲から、開示される実施形態に対する他の変形を理解し、実施することができる。例えば、図３Ａ及び図３Ｂを参照して説明した方法は、各種のプロファイルに対して別個に実施されるべきであることに留意されたい。特許請求の範囲では、「含む（comprising：備える）」なる言葉は他の要素又はステップを除外せず、不定冠詞「ａ」又は「ａｎ」は複数を除外しない。単一のプロセッサ又は他のユニットが、特許請求の範囲に記されるいくつかのアイテムの機能を満たすことができる。異なる特徴が相互に異なり相互に従属するクレームに記されるという単なる事実は、これらの特徴の組み合わせを有利に使用することができないことを示すものではない。特許請求の範囲内の任意の参照符号は、本発明の範囲を制限するものとして解釈されるべきではない。
【図面の簡単な説明】
【００８１】
【図１】本発明の教示を適用することができる一環境を示すブロック図である。
【図２】本発明の一実施形態によるシグナリングフローの異常を検知することが可能な通信装置のブロック図である。
【図３Ａ】本発明の一実施形態による方法を示すフローチャートである。
【図３Ｂ】本発明の一実施形態による方法を示すフローチャートである。
【図４】パケットを示し、且つ特定のパケットが所定のウィンドウにどのように属するかを示す図である。
【図５】本発明の一実施形態による決定木構造の一例を示す図である。
【技術分野】
【０００１】
本発明は、通信ネットワークでのシグナリングフローの異常を検知する方法に関する。より詳細には、本発明は、通信装置が攻撃下にあるか否かを検知する方法に関する。本発明は、この方法を実施するように構成される通信装置及びコンピュータプログラムにも等しく関する。
【背景技術】
【０００２】
侵入検知システム（ＩＤＳ）が、商業情報システム及び政府情報システムで広く使用されている。様々なＩＤＳは、パターンマッチング技法又は何等かのエンティティ挙動学習（entity behavior learning）のいずれかにフォーカスしていた。パターンマッチング技法は、パケットヘッダ又はペイロードのパターンを認識しようとする。エンティティ挙動学習に基づく方法は、統計学的測定を考慮する何等かの分類技法を用いる。初期の形態では、これらの測定は、保護対象リソースへのトラフィックの監視、又は特定のインターネットプロトコル（ＩＰ）アドレスからのトラフィックの監視から成っていた。しかし、ボイスオーバインターネットプロトコル（ＶｏＩＰ）システムに対しての侵入検知作業はほとんど行われていない。この分野で行われる研究活動は、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）トラフィックに実施される方法と同じ方法を使用している。
【０００３】
パターンマッチング方法に関しては、Wu他著「SCIDIVE: A Stateful and Cross Protocol Intrusion Detection Architecture for Voice-over-IP Environments」（Purdue University）と題する発行物に、シグナリングイベントとメディアストリームプロトコルイベントとの簡易相関エンジンに基づいて数種類の攻撃を検知する方法が開示されている。この方法はさらに、ＶｏＩＰ ＩＤＳの２つの抽象概念、すなわちクロスプロトコル検知及びステートフル検知に基づく。後者は、同じセッションに属する異なるパケットを組み立て、その結果を規則照合エンジンに送ることを含む。クロスプロトコル検知は、複数のプロトコルに跨る異常を検知する照合規則の機能にフォーカスする。例えば、セッション開始プロトコル（ＳＩＰ）の異常及びリアルタイムトランスポートプロトコル（ＲＴＰ）の異常を検知する。
【０００４】
統計学的測定を考慮する分類技法に基づく方法に関しては、Festor他著「Intrusion detection mechanisms for VoIP applications」（LORIA-INRIA Lorraine France）と題する発行物に、ＴＣＰ ＥＢａｙｅｓと呼ばれるベイズモデルを使用するすでに公開されている研究に基づく方法が開示されている。従って、ＴＣＰ ＥＢａｙｅｓで行われているように、ポートスキャン及びＩＰスウィーピング（IP sweeping）を検知するために、開いているＴＣＰコネクション数、一意のＩＰアドレス数、及び一意のポート数を使用することに代えて、開いているＲＴＰポート数、待機中ダイアログの最大数等が使用される。ダイアログは、或る時間にわたって存在する２つのユーザエージェント間のピアツーピアのＳＩＰ関係である。ダイアログは、ユーザエージェント間のメッセージの順序付け及び要求の適切なルーティングに役立つ。ＩＮＶＩＴＥメソッドは、リクエストフォーコメント（ＲＦＣ）３２６１で規定される、ダイアログを確立する唯一の方法である。
【０００５】
しかし、この方法に関連する幾つかの欠点がある。一例として、トラフィックバーストのみが異常の証拠として考慮される。従って、フラッド攻撃しか検知されないであろう。これに加えて、実際の試験台がないため、システムはＶｏＩＰネットワークの場合について実験されなかった。ＴＣＰ ＥＢａｙｅｓの元々の目標は異常を検知することである。すなわち、検知はバイナリである。これは、特に、適切な対抗手段の起動を含む次の段階のために、攻撃の種類について管理者又は操作者に通知すべきオーバーレイネットワークに適用する場合には良好な方法ではない。
【０００６】
ＳＩＰはＶｏＩＰシステムで広く使用されており、ＳＩＰシグナリングプロトコルに対して実行できる多くの攻撃がある。攻撃は、ＲＦＣ３２６１により提供されるＳＩＰ文法に従わない攻撃であるシンタックス攻撃から、オーバーレイネットワークでの種々のサービス拒否（ＤｏＳ）攻撃までの多岐にわたる。他の攻撃は、サーバに対するバッファオーバーフロー等の既知の欠陥を利用するものと同じである。シンタックス攻撃及びプログラミングエラーが原因の種々の欠陥は広く調査されており、現在のＩＤＳはこのような種々の攻撃を検知する。そのため、シグナリングプロトコルに直接影響する攻撃のみが調査される。以下において、ＳＩＰ攻撃シナリオに対応する様々な攻撃の種類について考察する。これらの攻撃は、３つのカテゴリ、すなわち情報収集、サービス窃盗、及びＤｏＳに分けることができる。
【０００７】
一般に、攻撃者は、悪意のある目標を達成するために多くの動作を実行する必要がある。これらの動作は、多くの基本的な攻撃で構成される攻撃シナリオに相当する。情報収集は攻撃の一種であり、攻撃者はまず、標的サーバについての情報を収集してそのバージョンを獲得し、利用できる任意の既知の脆弱性があるか否かを調べ得る。攻撃者は、この攻撃シナリオの第２のステップがリプレイ攻撃であり得る場合、ｎｏｎｃｅ変更等の何等かのセキュリティの信用を保証する変数の変動も探し得る。パスワード推測及びディレクトリスキャンは、他の種類の情報収集攻撃に相当する。例えば、登録データベース内の既存の有効ユーザＩＤを調べることを含むディレクトリスキャン攻撃の後には、有効ユーザ名が見つかるため、パスワード推測攻撃を行い得る。
【０００８】
ＲＦＣ３２６１によれば、ＳＩＰは、ＲＦＣ２６１７により提供されるハイパーテキスト転送プロトコル（ＨＴＴＰ）認証からもたらされる、認証のステートレスなチャレンジベースのメカニズムを提供する。「ダイジェスト」認証は、メッセージ認証及びリプレイ保護のためだけにＳＩＰに導入されており、メッセージ保全性又は機密性を考慮していない。このメカニズムの信用を保証する１つの変数が、認証される応答メッセージのハッシュ値を計算するために使用される「ｎｏｎｃｅ」である。ハッシュ値は、例えばＭＤ５ハッシュアルゴリズムを使用して計算される。攻撃者はリプレイ攻撃が可能であるか否かを調べるために、ｎｏｎｃｅが認証されたメッセージ毎に変更されているか、それとも定期的に、例えば１秒毎に１回更新されるのかを調べる。ｎｏｎｃｅが定期的に変更される場合、リプレイ攻撃が可能である。
【０００９】
リプレイ攻撃を実行するには、攻撃者は短時間の間に、例えば１秒間に多くの要求を送信する。攻撃者は、ＲＥＧＩＳＴＥＲ要求バースト、例えば毎秒２０個のＲＥＧＩＳＴＥＲ要求を標的サーバに送信し、サーバメッセージ内のＷＷＷ認証ヘッダフィールドに対応するｎｏｎｃｅ値を調べることにより、ｎｏｎｃｅ値のランダム性を見つけようとする。この攻撃は、ＩＮＶＩＴＥ等の他の要求メソッドを使用して実行することもできる。この攻撃は、認証チャレンジがプロキシ認証ヘッダフィールドから抽出されるプロキシに対しても可能である。
【００１０】
ディレクトリスキャンは、操作者データベース内にある正当なクライアントに対応する有効ＩＤを収集することから成る。これは、種々のＳＩＰメッセージフローを使用して行われ得る。攻撃者は、さらに悪意のある目的のために有効な統一資源識別子（ＵＲＩ）を見つけようとするだけであるため、これは情報収集と見なされる。ディレクトリスキャンは、辞書を使用してディレクトリスキャン中に発見されたＩＤに対応するパスワードを推測するＩＤ窃盗等の別の基本的な攻撃に先行するステップであると考え得る。この攻撃は、特に、レッドリストに載っているＩＤの場合には省かれ得る。実際には、対応する操作者はこのようなリストに適切なメカニズムを追加し得る。しかし、この攻撃は種々の操作者の多くのプラットフォームに対して試験され、実験は成功している。
【００１１】
上記の攻撃は、ユーザ及びサーバについての情報の収集を含むが、ＩＤ窃盗攻撃及びサービス窃盗攻撃は、様々な理由により誤ってパスワードを保護しない状態のままにしている正当なユーザのＩＤを盗むこと、若しくは、攻撃者が辞書に基づく攻撃等の何等かの攻撃又は総当たり技法を使用することにより、パスワードを意図的にクラッキングした正当なユーザのＩＤを盗むことを含む。別の種類のＩＤ窃盗及びサービス窃盗のたぐいの攻撃は、ユーザが認可されていない又は加入していないサービスを使用することを含む。
【００１２】
パスワード推測は、辞書を使用してユーザパスワードを見つけるか、又は多数の可能性を探査することによる総当たり技法を使用する。従って、攻撃者は、ＩＤ窃盗中に発見された特定のＩＤに対して一連のパスワードを使用し得る。攻撃者は続いて、対応するユーザが適切なパスワードを選択していなかった場合は特に、このエンティティの正しいパスワードを発見し得る。
【００１３】
ＤｏＳ攻撃は、コンピュータの導入時から広く使用されている技法である。これは、正当なユーザが論理的又は物理的なリソースを利用できないようにすることを含む。この種の攻撃は２つのカテゴリに分けることができる。第１のカテゴリはフラッディングＤｏＳに基づく。一方、第２のカテゴリは、エンドポイントをクラッシュさせる不正な形式のパケットを送信することを含む。
【００１４】
ＤｏＳ攻撃を実行する場合、攻撃者は、登録サーバ(registrar)に対する膨大な数の連続したＲＥＧＩＳＴＥＲ要求を送信するか、又は多数のＩＮＶＩＴＥ要求を標的クライアントに送信する。一方、攻撃者は、ＩＮＶＩＴＥを正当なクライアントに送信する場合、ダイアログに従い、標的クライアントからＯＫ応答を受信した直後にＢＹＥ要求を送信することで、ＳＩＰシグナリングフローを停止させることができる。
【００１５】
サーバに対するＤｏＳ攻撃は、無制限の数の要求を登録サーバ等のサーバに対して送信することを含むフラッド攻撃である。この種の攻撃はまた、攻撃者がインターネットを介して多数のゾンビを集め、侵害された各マシンが膨大な数のこのような正当な要求を送信する分散ＤｏＳ（ＤＤｏＳ）攻撃に拡張され得る。
【００１６】
ＤｏＳ攻撃を正当なクライアントに対して実行する場合、攻撃者はユーザが要求に応える都度、呼び出しをキャンセルする。すなわち、呼び出しを確立しない連続したＩＮＶＩＴＥ要求に基づいて正当なクライアントを妨害しようとする。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
今まで実施されている様々な侵入検知技法は、現行のＶｏＩＰシステムを標的とする様々な攻撃の検知に適切ではないため、ＶｏＩＰネットワークにおいてもシグナリング異常を有効に検知できる新規の技法を導入することが必要とされる。
【課題を解決するための手段】
【００１８】
従って、本発明の第１の態様によれば、データベースに接続される通信装置においてシグナリングフローの異常を検知する方法であって、通信装置により実行される以下のステップを含む方法が提案される。
− ラベル付き学習シグナリングフロー(learning signaling flow)を受信し、これらのフローをデータベースに供給するステップ。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。
− データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデル(profile specific classification model)を構築するステップ。ここで、プロファイルは、シグナリングフローを特徴付けるモデルであり、シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する。
− 学習シグナリングフローを分類するステップ。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。
− 新しいシグナリングフローを受信するステップ。
− 受信されたシグナリングフローから、受信されたシグナリングフローを特徴付ける少なくとも１つの属性を抽出するステップ。
− 受信されたシグナリングフローを正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類するために、少なくとも１つの抽出された属性を使用するステップ。ここで、分類は分類モデルに基づく。
【００１９】
提案する方法により提供される種々の利点がある。第１に、自動学習により事前に既知の攻撃全体(whole a priori known attacks)を検知する。第２に、様々な攻撃と安全なＶｏＩＰトラフィックとを容易に区別する。第３に、分類モデルの構築フェーズ中に学習されない新しい異常を認識する。これは、新しい脆弱性が発見され、潜在的な攻撃者がこれらの脆弱性を様々な様式で利用して情報システムを攻撃するため、現実の生活では、すべての既存の攻撃に気付かないことを理由とする。
【００２０】
これに加えて、この方法は、攻撃を検知するのみならず、攻撃検知目標を達成するために考慮すべき関連するＶｏＩＰ属性にもフォーカスするため、完全なものである。この方法の別の目的は、ステートフル検知技法のみを使用するのではなく、ＶｏＩＰ通信を確立して維持するために使用される様々なプロトコルにも注視することである。
【００２１】
さらに、ＶｏＩＰ侵入検知目標のために、現在のパケット（又は同様に現在のトランザクション若しくはダイアログ）と最後のパケット（又は同様にトランザクション若しくはダイアログ）との間の統計学的測定を生成する。
【００２２】
最後に、種々のクラスのトラフィック（正常又は攻撃）を学習し、単純な更新により新しい攻撃及び新しい正常形態を適応的に考慮することから、拡張可能な方法である。また、ＩＰスプーフィングに影響を受けず、クライアントの移動に対応することもできる。この方法は、一旦攻撃を検知した後、対抗手段を起動させる前の最初のステップとして使用することができる。一旦攻撃を検知すると、対応する反応メカニズムに、侵入を引き起こしたトラフィックを特徴付ける種々の特徴を送信し、それにより、適切な対抗手段をとることができる。
【００２３】
本発明の第２の態様によれば、シグナリングフローでの異常を検知可能な装置のコンピュータ手段にロードされて実行されると、第１の態様による方法を実施する命令を含むコンピュータプログラム製品又はハードウェア装置がさらに提供される。
【００２４】
本発明の第３の態様によれば、データベースに接続され、シグナリングフローの異常を検知するための通信装置が提供される。この通信装置は、以下を備える。
− ラベル付き学習シグナリングフローを受信し、これらのフローをデータベースに供給する受信装置。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている。受信装置はさらに、新しいシグナリングフローを受信するように構成される。
− データベースに格納されている学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する手段。ここで、プロファイルは、シグナリングフローを特徴付けるモデルである。
− 学習シグナリングフローを分類する手段。ここで、シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、分類は分類モデルに基づく。分類する手段はさらに、少なくとも１つの抽出された属性を使用することにより、受信された新しいシグナリングフローを、正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類するように構成され、分類は分類モデルに基づく。
− 受信されたシグナリングフローから、受信された新しいシグナリングフローを特徴付ける少なくとも１つの属性を抽出する手段。
【００２５】
本発明の他の特徴及び利点が、添付図面を参照して非限定的で例示的な実施形態の以下の説明から明らかになるであろう。
【発明を実施するための最良の形態】
【００２６】
これより、本発明のいくつかの実施形態を、添付図面を参照してより詳細に説明する。以下の説明では、本発明の実施形態はＳＩＰシグナリングプロトコルの文脈の中で説明される。
【００２７】
図１は、本発明の教示を適用することができる一環境を示す。図１には、この場合、デスクトップコンピュータであるクライアント装置１０１が示される。これは同等に、他のネットワーク要素にアクセスすることができる任意の他の装置であってもよい。以下の説明では、提案する侵入検知方法は、ＳＩＰサーバ１０３の前にある装置又は論理モジュールで実施される。この装置は侵入検知装置（ＩＤＤ）１０２と呼ばれる。ＩＤＤ１０２に課せられる唯一の条件は、監視対象のＳＩＰサーバ１０３のインバウンド及びアウトバウンドのトラフィックをすべて捕捉可能なことである。ＩＤＤ１０２は、トランスペアレントなネットワークアドレス変換（ＮＡＴ）有り又は無しのファイアウォールの背後又は前で実施してもよい。従って、この例では、ＩＤＤ１０２は、ＳＩＰサーバ１０３とは異なる場所に配置される物理的な装置である。代替的には、ＩＤＤ１０２は単にソフトウェアにより実施してもよく、ＳＩＰサーバ１０３に物理的に統合される。
【００２８】
図２は、本発明の教示が関わる限り関係するＩＤＤ１０２の幾つかのブロックを示すブロック図である。図２には、入力ＳＩＰシグナリングフローをバッファリングするバッファ２０１が示される。抽出ブロック２０３は、入力シグナリングフローから属性を抽出するように構成される。この目的のために、第１の攻撃ブロック２０５及び第２の攻撃ブロック２０６が利用され、抽出ブロック２０３に接続される。ＩＤＳツール２０８の目的は、入力シグナリングフローが異常を含むか否か、すなわち攻撃が検知されるか否かを検知することである。本発明の方法を実施するために、データベース２０９が提供される。データベース２０９は、ＩＤＳツール２０８による攻撃の検知を支援するための各種のラベル付きシグナリングフローを含む。データベース２０９に含まれるシグナリングフローは、学習シグナリングフローと呼ぶこともできる。学習シグナリングフローの目的については、以下により詳細に説明する。シグナリングフローにラベルを付けることにより、シグナリングフローを、正常なシグナリングフロー又はＳＩＰサーバ１０３に対する攻撃の可能性を示す異常なシグナリングフローのいずれかと見なし得ることに留意されたい。ＩＤＳツール及び抽出ブロック２０３にフィードバックを提供するために、アラートブロック２１１も提供される。アラートブロック２１１はまた、起こり得る攻撃についてＳＩＰサーバ１０３に通知することができる。これらのブロックの動作については、次に、図３Ａ及び図３Ｂのフローチャートを参照してより詳細に説明する。
【００２９】
ステップ３０１において、ＩＤＤ１０２は、ＩＤＤ１０２が配置されている通信ネットワークから多数の学習シグナリングフローを受信し、受信した学習シグナリングフローをバッファ２０１にバッファリングし、これらの学習シグナリングフローをデータベース２０９に供給する。従って、この段階において、データベース２０９はラベル付き学習シグナリングフローを格納する。フローはラベル付けされ、それによって、正常フロー又は様々な種類の攻撃を示すフローのいずれかであるように分類される。
【００３０】
次に、ステップ３０３において、受信したシグナリングフローが関連するプロファイルを判断する。プロファイルは１組の属性に対応し、これらの属性は、順にＶｏＩＰフローを要約すると共に正常である証拠及び異常である証拠を捕捉する。ＳＩＰシグナリングプロファイルは、パケットプロファイル、トランザクションプロファイル、又はダイアログプロファイルであり、対応するフロー（パケット、トランザクション、又はダイアログ）を正確に特徴付けるモデルである。このモデルは、値が連続しているか、又は離散している１組の属性に要約される。
【００３１】
ＶｏＩＰトラフィックを特徴付けると共にＶｏＩＰ侵入証拠を捕捉するという目標のために、３つのプロファイルが定義される。第１のプロファイルは、以下により詳細に説明するように、パケットから抽出される１組の属性と、現在のパケットに前のパケットを相関付ける種々の測定とに対応する。
【００３２】
第２のプロファイルはトランザクションに基づく。トランザクションは、サーバにおいて、特定のメソッド又は関数を呼び出す要求、及び少なくとも１つの応答から成る。ＳＩＰは、ＨＴＴＰのような要求／応答トランザクションモデルに基づく。
【００３３】
第３のプロファイルはダイアログに基づく。ダイアログは、或る時間にわたって存続する２つのユーザエージェント間のピアツーピアのＳＩＰ関係である。ダイアログは、ユーザエージェント間のメッセージの順序付け及び要求の適切なルーティングに役立つ。ＩＮＶＩＴＥメソッドは、ダイアログを確立するためのＲＦＣ３２６１で規定される唯一の方法である。ダイアログに基づくプロファイルは、シグナリング及び記述プロトコルのみならず、メディア転送に使用されるＲＴＰ及び他のプロトコルも考慮されるセッションベースのプロファイルに対応する。第３のプロファイルは、「ＳＣＩＤＩＶＥ」により使用されるクロスプロトコルを補完するものである。
【００３４】
次に、ステップ３０５において、各学習シグナリングフローから、少なくとも１つの属性が抽出される。シグナリングフローが幾つかの属性を含む場合、有利には、これらの属性はすべて抽出される。属性の抽出は、有利には、論理的な発信元アドレスから独立（すなわち、「Ｆｒｏｍ＿ＵＲＩ」属性から独立）している、又はシグナリングフローの物理的なインターネットプロトコル（ＩＰ）発信元アドレスから独立している。これにより、方法がクライアントの移動及びスプーフィングに影響されないようになる。これは、論理的又は物理的な発信元アドレスが、抽出された属性に属さないことを意味する。
【００３５】
２つの異なる種類の属性が定義される。第１の属性の組は、ＳＩＰに関連するＲＦＣ３２６１において規定されるような属性を含む。さらに、これらの属性は、上述したような既知の攻撃種類に基づいて抽出される。これらの攻撃種類は、第１の攻撃ブロック２０５に格納されている。第１の属性の組は、セキュリティ専門家、すなわち人間により手動で、ＲＦＣ３２６１から直接抽出されるため、第１の組の属性は、固有の属性（intrinsic attributes）と呼ぶことができる。
【００３６】
第２の属性の組は、第１の属性の組から自動的に抽出される。このために、第２の攻撃ブロック２０６が提供される。この後者の組は、現在のネットワークフローと過去のフローとの間の種々の統計学的測定に対応する。ここで、過去のフローは、長さＮを有する時間窓又はＭ個のフローの窓に従って測定される。但し、Ｎは正の値であり、Ｍは正の整数である。第２の組は、現在フローの属性とＮ秒の窓に含まれる最後のフローの属性との間の固有の統計学的測定を考慮することにより、又は単に最後のＭ個のフローを考慮することにより、第１の組から自動的に構築される。Ｎ及びＭの値は経験により固定される。例えば、時間窓に２秒の期間が使用され、他方の窓には現在のフローの前の２００個のフローが使用される。固有の属性は第１のクラスに属するものと定義することができ、時間窓に関連する属性は第２のクラスに属するものと定義され、Ｍ個のフローの窓に関連する属性は第３のクラスに属するものと定義される。従って、第１のクラスの属性は第１の組に属するのに対して、第２及び第３のクラスの属性は第２の組に属する。第２の属性の組は、セキュリティ専門家がこの組に属する属性を判断するため、専門家知識属性（expert knowledge attributes）と呼ぶこともできる。
【００３７】
以下に、各クラスの様々な属性をより詳細に説明する。第１及び第２のクラスに関して属性のリストが与えられるが、ＶｏＩＰパケットプロファイルに対応する属性のリストのみであることに留意されたい。本発明の教示は、通信に使用される各プロトコルに、ＲＦＣ３２６１等の適切なプロトコル規格で規定される対応する状態機械を使用することにより、その他のプロファイルにも等しく適用される。
【００３８】
第１のクラスの属性は、ＶｏＩＰプロトコル、特にＳＩＰに固有の様々な属性に対応する。表１は、このクラスの属性の非網羅的なリストを提示する。各フローにおいて、発生時刻に対応するタイムスタンプが、その他の２つのクラスの計算に考慮される。
【００３９】
【表１】
【００４０】
一例として、表１の最後の３つの属性「ＵｓｅｒＮａｍｅ」、「Ｎｏｎｃｅ」、及び「Ｒｅｓｐｏｎｓｅ」は、２つの攻撃、すなわちｎｏｎｃｅ変更及びパスワード推測に基づいて抽出される。従って、このリストは、他の脆弱性及び攻撃が発見される限り、開かれたものである。このリストを、他のフローから独立して各フローに使用することは、最適な解決策ではない場合がある。一解決策は、現在フローに先行する近い過去における最後の幾つかのフローを使用して統計学的特徴を見つけることである。これについてはクラス２及びクラス３に関連して説明する。さらに、シグナリングトラフィックの正常フローは、種々の電話通信モデルにおける統計学的法則に大いに従うことにさらに留意されたい。したがって、属性クラス２及び３は、正常フローの挙動の特徴付けに大いに寄与する。
【００４１】
第２のクラスの属性は、第１のクラスで示される属性の種々の値を使用して、現在のフローに先行する種々のシグナリングフロー間の相関測定を計算することにより得られる。表２は、このクラスの様々な攻撃及びその説明を提示する。
【００４２】
【表２−１】
【表２−２】
【００４３】
図４は、クラス２の属性を計算するために使用される概念を示す。Ｎ秒、例えば２秒の時間窓がこのために使用される。これらの攻撃は、ＶｏＩＰ ＤｏＳフラッド攻撃、並びにパスワード推測又はｎｏｎｃｅ変更等の異なる値を有する同一の要求を送信するその他の攻撃に関連する。このクラスの各種属性は自動的に構築され、現在のフローと同じ論理受信者を有する最後のＮ秒内のフローを調べる「Ｓａｍｅ＿Ｔｏ−ＵＲＩ」属性に要約される。攻撃者が「Ｆｒｏｍ＿ＵＲＩ」を偽造し得るＵＲＩスプーフィングにより各種属性を計算する際、論理発信者は考慮されない。しかしながら、サービスの提供者は、「Ｆｒｏｍ＿ＵＲＩ」のヘッダフィールドにわたるイングレスフィルタリング(ingress filtering)を使用することができる。この場合、フローの論理発信者を考慮することができる。
【００４４】
攻撃の初心者は、多数の要求を短時間窓内で送信する。第２のクラスの属性は、対応する攻撃を検知するのに十分である。しかしながら、他の攻撃者は時間を掛けて、この手法を迂回するステルス技法を使用するであろう。従って、これらの攻撃を検知するためのより大きな時間窓が必要である。このために、表２の属性と同じ属性を計算する際に現在のフローに先行する最後のＭ個のフロー、例えばＭ＝２００を考慮する第３のクラスの属性が導入される。このクラスの属性は、現在のフローに先行する最後のＭ個のフローに従って計算される。従って、これらの属性はこの文脈の中で報告されない。図５において、「ｄｓｔ＿ｕｒｉ＿ＸＸＸ」属性が第３のクラスの属性に対応することに留意されたい。例えば、「ｄｓｔ＿ｕｒｉ＿ｃｏｕｎｔ」は、過去のＭ個のフロー中での、現在フローのＵＲＩと同一のＵＲＩへのフローの数に対応する。
【００４５】
属性が抽出されると、ＶｏＩＰシグナリングフローを特徴付ける属性が、ＩＤＳツール２０８に提供される。一般に、このツールは２つのステップを有する。第１に、ステップ３０７において、ＩＤＳツール２０８は、データベース２０９に格納されているラベル付き学習シグナリングフローを使用することにより、分類モデルを構築する。
【００４６】
ＶｏＩＰシグナリングフローを特徴付け、個々を区別するために各種属性が定義されている。そのため、適切な分類という目標のために、データベース２０９に存在するすべてのラベル付き学習シグナリングフローを要約できるようなモデルを、データベース２０９を使用して構築するようなメカニズムを見つける必要がある。専門家は、例えば、各ラベル付きフローを特徴付ける規則を書くことができるかもしれない。しかしながら、この解決策は、多くの理由により非現実的である。第１に、各フローには多数の属性がある。第２に、各カテゴリ、すなわち攻撃フロー又は正常フローが、データベース２０９内に多数発生する。従って、特にギガバイトサイズの学習データセットを扱う場合に、人間はこのような規則を書くことができない。
【００４７】
従って、本発明によれば、この問題は、種々のフローを区別可能にするようなモデルを自動的に構築するデータマイニング手法を使用することにより解決される。データベース２０９のようなラベル付きデータベースから学習した後、新しいインスタンスを分類することができる多数の教師あり技法が存在する。例として、プロファイル（パケット、トランザクション、又はダイアログ）においては、各属性の値付きインスタンスが作成されることが理解される。従って、通信ネットワークからスニッフ(sniff)される各プロファイルはインスタンスである。これらの種類の技法の例は、ニューラルネットワーク、Ｋ最近傍（Ｋは正の整数）、ベイズネットワーク、単純ベイズツリー、決定木等である。決定木から構築されるモデルには表現力があるので、この技法を後に詳細に説明し、完結した実験から得られた種々の結果が与えられる。
【００４８】
この説明では、検知技法は、種々のサンプル、すなわちデータベース２０９に存在するラベル付き学習シグナリングフローを自動的に学習し、学習ステップの結果として、新しいラベル無しシグナリングフローを適切なカテゴリ、すなわち攻撃フロー又は正常フローに分類することができるような分類モデルが構築される方法と呼ばれる。対応するクラスが攻撃である場合には、後で説明するようにアラートが生成される。そうでない場合には、フローは正常と見なされる。
【００４９】
次に、ステップ３０９において、データベース２０９に格納されている各種ラベル付きシグナリングフローが適切なクラスに分類される。この分類は、ステップ３０７において構築された分類モデルに基づく。
【００５０】
学習ステップ中に、分類器とも呼ばれる分類モデルが構築され、学習シグナリングフローが分類された後、ステップ３１１において、分類モデルがデータベース２０９に格納されているラベル付きシグナリングフローと突き合わせられてテストされ、分類モデルの正確性が評価される。正確性は、正しく分類されたフロー例の数に基づく。換言すれば、攻撃があるのにアラートがない（偽陰性：false negative）場合や、攻撃がないのに少なくとも１つのアラートがある（偽陽性：false positive）場合や、或いは特定の攻撃種類に対応するフローが別の攻撃クラスに分類された場合、例えばパスワード推測攻撃がＤｏＳとして分類された場合には、データベース２０９の分類モデルとデータベース２０９のラベル付きモデルとの間に不整合があると結論付けることができる。従って、分類器が正確であるか否かを知るためには、分類の結果とデータベース２０９に含まれるラベル付きシグナリングフローとを比較することで十分である。
【００５１】
分類モデルが十分に正確ではないと見なされる場合、すなわち、検知成功率が低すぎる場合には、ステップ３１３において、後ろ向き調整(backward tuning)が行われる。３つの解決策が可能である。第１の解決策は、これらの技法の各種パラメータを調整することにより、又は新しい分類技法を導入することにより、分類技法を改良することを含む。他の解決策は、属性のリストを拡張することを含む。この拡張は、考慮される属性が、プロファイルを特徴付ける元の情報をすべて十分に保持しているとは限らない可能性があるため有用である。この状況は、元のフローを上記に提示した１組の属性により要約されるプロファイルに変形した後、幾らかの情報が失われ、異なるクラスを区別できなくなることがあるため、発生し得る。入念な選択を用いて、専門家は、異なる種類のフローを区別できる他の属性を見つけることができる。属性の専門的知識なしでの自動抽出は、侵入検知の分野では難題であることに留意されたい。第３の解決策は、安定した高い検知成功率が見つかるまで、２つの解決策を組み合わせることを含む。このステップは、検知率が許容値、一般には９９．９９％に収束するまで繰り返される。後ろ向き調整が行われた後、手続きはステップ３０３に続く。
【００５２】
分類モデルが正確である場合、手続きはステップ３１７に続く。ステップ３１７において、新しいシグナリングフローが受信される。次に、ステップ３１９において、受信されたシグナリングフローから属性が抽出される。この抽出は、ステップ３０５に関連して上記で説明したように行われる。ここでも、受け取られたシグナリングフローの論理的又は物理的な発信元アドレスは、抽出された属性に属さない。
【００５３】
属性が抽出されると、ステップ３２１において、受信されたシグナリングフローは、先のステップ３０７において構築された分類モデルに基づいて分類される。
【００５４】
次に、ステップ３２３において、分類結果が既知の攻撃に対応するか否かが判断される。これが当てはまる場合、ステップ３２５において、アラートが生成される。このモデルは、疑い（攻撃）が検知された場合にアラートを生成する。これらは基本的な攻撃であるため、通信ネットワークの管理者に通知、すなわちアラートされ、管理者はこのアラートを受け取る。侵入検知プラットフォームでは、管理者はセキュリティサイトオフィサー（ＳＳＯ）であり得る。しかしながら、数千ものアラートが１秒間に生成される場合、管理者は、さらなる調査、例えば攻撃シナリオを構築するか又はアラートを集計するために、これらのアラートを収集してＳＳＯに送信するプロセスであってもよい。
【００５５】
一方、分類結果が既知の攻撃に対応しない場合、ステップ３２７において、分類結果が正常シグナリングフローに対応するか否かを判断する。これが当てはまる場合、手続きはステップ３２９において終了する。しかしながら、分類結果が正常フローに対応しない場合、ステップ３３１において、アラートが再び生成され、新種の攻撃を検知するために診断が行われる。新種の攻撃が検知されると、この新種の攻撃が含められるようにデータベース２０９を更新することができる。データベースの更新は、新しい正常フローが検知される場合にも推奨される。それにより、新しい正常フローを再び新しいフローとして分類せず、既知の正常フローとして分類するようになる。
【００５６】
すべてのフローが適切なクラスでラベル付けされているデータベース２０９が使用されるため、分類モデルを構築するタスクに種々の教師あり分類技法を使用することができる。データマイニング文献で利用可能な多数の候補技法がある。以下において、検知を目標として、ラベル付きフローを学習して新しいフローを分類する技法としての決定木帰納アルゴリズムの一例についてより詳細に説明する。
【００５７】
しかしながら、任意の他の教師あり技法、又は教師なし技法をこの目標のために使用してもよい。これは、決定木に加えて、任意の教師あり技法を分類（又は検知）タスクに使用してもよいことを意味する。教師あり方法と教師なし方法との間には相違がある。決定木等の教師あり分類技法は、種々のインスタンスがラベル付けされるデータベースを使用する。このラベル付きデータベースを使用して、モデルが構築される。すなわち、決定木の場合には１組の規則（シグネチャ）が構築される。この分類モデルは、観察データ、すなわちラベル付きシグナリングフローを超えて首尾良く一般化すべきである。
【００５８】
分類モデルの有効性は、分類器の構築に使用されるトレーニングデータセットに対する分類モデルの分類精度、及び新しい未知のデータセットにわたる一般化精度に対応する。
【００５９】
教師なし学習については本明細書において考察しないが、このメカニズムはまた、学習データベースを使用しない教師なし方法と併せて使用してもよい。教師なし方法では、幾つかの仮定に従って、すべてのインスタンス間の関係のみが調べられる（この場合、ラベル付きではない）ため、データベースを使用しない。従って、これらのインスタンス間で区別可能なのは二項分類（攻撃又は非攻撃）だけである。この技法の主な問題は、現実の世界で常に現実であるとは限らない、事前に立てられる仮定である。
【００６０】
決定木分類器は、「分割統治」戦略に基づいて、ラベル付きインスタンスの有限で空ではない集合を含む所与の学習集合Ｓから適切なツリーを構築する。決定木は学習ステップ中に構築される。その後、決定木を使用して、新しいインスタンスのクラスを予測する。最新の決定木アルゴリズムは、「トップダウン戦略」、すなわち根から葉への戦略を使用する。決定木を使用するには、２つの主要なプロセス、すなわち構築プロセス及び分離プロセスが必要である。
【００６１】
構築プロセスは、ラベル付きトレーニングデータセット、すなわちラベル付きシグナリングフローを使用することにより、ツリーを構築することを含む。属性が他の属性よりもどの程度多くの情報を提供するかに基づいて、各ノードに属性が選択される。また、このプロセス中に、葉が対応するクラスに割り当てられる。
【００６２】
ノードがどの程度の情報を提供するかを測定するために、シャノンエントロピーを使用して、決定木を構築する。この分割戦略は、主要な目標として、最良の非分類的な属性を再帰的に選択することにより、考慮されるトレーニング例を分割するツリーを構築するために使用される。
【００６３】
第１のクラスの「Ｍｅｔｈｏｄ」属性のように離散値属性の場合、この戦略は、考慮されている属性のすべての可能な値をテストする。しかしながら、第２及び最後のクラスでのように連続値属性の場合、変換技法が導入される。これは、連続属性を離散した間隔セットに分割する新しい離散値属性を定義することを含む。このアルゴリズムは、Ａ＜ｔの場合に真であり、その他の場合に偽である新しいブール属性Ａtを動的に作成する。閾値ｔの選択は情報利得に基づく。閾値ｔは、最大の情報利得を生成するものが選択される。連続属性Ａに従って、種々のアイテムがソートされる。その後、Ａの対応する値間にある１組の閾値候補が生成される。これらの閾値候補は、各閾値候補に関連する情報利得を計算することにより評価される。次に、動的に作成されるブール属性を、ツリーを成長させるために利用できる他の離散値属性候補と比較することもできる。以下において、連続値を有する属性の評価にこの分割技法を使用する。
【００６４】
決定木は、すでに何が分かっているか、すなわちトレーニングセット（この場合、ラベル付き学習シグナリングフロー）を要約するためではなく、新しいインスタンスの正しい分類を助けるために重要である。従って、分類モデルを構築する場合、実際にどの程度良好に働くかを検証するために、モデルの構築に使用されるトレーニングデータ及びテストデータの両方を有するべきである。新しいインスタンスは、新しいインスタンスのクラスに対応する１つの葉に達するまで、属性値及びノード値に基づいてツリーを上から下にトラバースすることにより分類される。
【００６５】
構築及び分類の各ステップの他に、多数の決定木アルゴリズムは、別のオプションステップを使用する。このステップは、分類ステップにおいてツリー性能の向上に役立たないと考えられる幾つかのエッジを除去することを含む。多数の無用なエッジが除去されて、複雑なツリーがより解釈しやすいものになるので、ツリーの枝刈りはツリーを単純化する。さらに、すでに構築されているツリーは、枝刈り前よりも良好な分類結果を提供する場合にのみ枝刈りされる。
【００６６】
構築プロセスは、通常オフラインで行われる。それに対して、検知プロセスは、情報システムのセキュリティポリシーに応じてオンライン又はオフラインで行うことができる。
【００６７】
次に、学習データセットから構築されたツリーの幾つかの枝の幾つかの例を、図５を参照して示す。
【００６８】
図５は、実際のＳＩＰサーバでの種々の実験から構築された決定木の一部を示す。ツリーは、種々の登録サーバ、プロキシ、及びクライアント（ハードフォン及びソフトフォン）を有する実際のＶｏＩＰインフラを有する実際のネットワークで行われる攻撃から構築される。図５に提示されるツリーは、４つのシグネチャを提供する。すなわち、ディレクトリスキャン、フラッディングに基づくＤｏＳ、及びパスワード推測という３つの攻撃の属性セットを提供する。シグネチャの一例として、ツリーを根から「ｇｕｅｓｓｐａｓｓｗｏｒｄ」に対応する攻撃までトラバースする。その結果として得られる規則は、
【００６９】
ＩＦ（Ｒｅｓｐ＿Ｒｅｑ＝ＲＥＱＵＥＳＴ）ＡＮＤ（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ≧０．３５）ＡＮＤ（ｍｅｔｈｏｄ＝ＲＥＧＩＳＴＥＲ）ＡＮＤ（ｄｓｔ＿ｕｒｉ＿ｕｓｅｒｎａｍｅ＿ｄｉｆｆ＿Ｔｏ−ｕｒｉ＞０．１）ＡＮＤ（ｄｓｔ＿ｕｒｉ＿ｃｏｕｎｔ＞６７）ＴＨＥＮ ａｔｔａｃｋ＿ｃｌａｓｓ＝"ｇｕｅｓｓｐａｓｓｗｏｒｄ"．
【００７０】
である。
【００７１】
同じステップをたどって、種々の攻撃のすべてに、学習ステップ中に構築された決定木から自動的に抽出される適切な規則が割り当てられる。従うべき条件の１つは、学習ステップが一般的でなければならないということである。すなわち、既知の各攻撃の各種形態を示す最大数の例及び最大数の正常フロー挙動発生を含むべきであるということである。データベース２０９が十分に網羅的である場合、各種攻撃は、学習ステップから自動的に生成される正確なシグネチャを有することになり、誤検知及び検知漏れは少なくなる。
【００７２】
学習プロセス後、種々の既知の攻撃の種々のシグネチャを含むツリーが、自動的に抽出される。これらのシグネチャを有効に使用するために、枝刈り技法を使用することにより、規則がツリーから抽出される。まず、根から葉までのパスに沿った各属性テストが規則の条件部(rule antecedent)になり、葉での分類が規則の帰結部(rule consequence)になる。規則枝刈りを示すために、上記ツリーから生成される以下の規則を考える。
【００７３】
ＩＦ（Ｒｅｓｐ＿Ｒｅｑ＝Ｒｅｑｕｅｓｔ）ＡＮＤ（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ＞０．３５）ＡＮＤ（ｍｅｔｈｏｄ＝ＩＮＶＩＴＥ）ＴＨＥＮ ａｔｔａｃｋ＿ｃｌａｓｓ＝ＤｏＳ
【００７４】
次に、このような各規則は、除去により推定精度が悪化しない任意の条件部を除去することにより枝刈りされる。上記規則の場合、規則の枝刈りは条件部（Ｒｅｓｐ＿Ｒｅｑ＝Ｒｅｑｕｅｓｔ）、（ｓａｍｅ＿ｍｅｔｈｏｄ＿ｒａｔｅ＞０．３５）、及び（ｍｅｔｈｏｄ＝ＩＮＶＩＴＥ）の除去を検討する。最初の条件部を第１の枝刈りステップとして選択した後、この除去後の推定規則精度を検討して、このステップが推定精度を低減させないか否かを調べる。それから、第２の前提条件(precondition)をさらなる枝刈りステップとみなし、以下同様である。推定規則精度が低減する場合、枝刈りステップが実行されないことに留意されたい。枝刈りの結果として、検知モデルは、順次解析される規則セットに対応するようになる。表３は、上述した種々の攻撃から生成されるトラフィックを使用して構築されるこのような規則の一例を提供する。
【００７５】
【表３】
【００７６】
表３によれば、新しいフローが受信される都度、受信されたフローは種々の属性に従って解析される。種々の属性は、種々の規則を使用して新しいフローを特徴付ける。規則のいずれも合致しない場合、しばらくの間、新しい攻撃に対応する新しいフローと見なされる。しかしながら、対応するフローを査定して適切なクラス（安全であるか、又は新しい攻撃に対応するか）を判定するために、診断が推奨される。このメカニズムはプログラム化することができる。しかしながら、規則マッチング手続きに、３値連想メモリ（ternary content-addressable memory）（ＴＣＡＭ）を使用するハードウェア実施も可能である。
【００７７】
本発明は、ＩＤＤ１０２のコンピュータ手段にロードされて実行されると、本発明の実施形態の方法ステップのうちの任意の方法ステップを実施することができるコンピュータプログラム製品にも等しく関連する。
【００７８】
本発明は、上述した方法ステップを実施するように構成されるＩＤＤ１０２にも等しく関連する。コンピュータプログラムは、ＩＤＤ１０２により実行されるように構成することができる。
【００７９】
本発明を図面及び上記説明において詳細に図示し説明したが、このような図及び説明は説明的又は例示的なものとみなされるべきであり、制限的とみなされるべきではなく、本発明は開示される実施形態に制限されない。
【００８０】
特許請求される本発明を実施する際に、当業者は、図面の研究、本開示、及び添付の特許請求の範囲から、開示される実施形態に対する他の変形を理解し、実施することができる。例えば、図３Ａ及び図３Ｂを参照して説明した方法は、各種のプロファイルに対して別個に実施されるべきであることに留意されたい。特許請求の範囲では、「含む（comprising：備える）」なる言葉は他の要素又はステップを除外せず、不定冠詞「ａ」又は「ａｎ」は複数を除外しない。単一のプロセッサ又は他のユニットが、特許請求の範囲に記されるいくつかのアイテムの機能を満たすことができる。異なる特徴が相互に異なり相互に従属するクレームに記されるという単なる事実は、これらの特徴の組み合わせを有利に使用することができないことを示すものではない。特許請求の範囲内の任意の参照符号は、本発明の範囲を制限するものとして解釈されるべきではない。
【図面の簡単な説明】
【００８１】
【図１】本発明の教示を適用することができる一環境を示すブロック図である。
【図２】本発明の一実施形態によるシグナリングフローの異常を検知することが可能な通信装置のブロック図である。
【図３Ａ】本発明の一実施形態による方法を示すフローチャートである。
【図３Ｂ】本発明の一実施形態による方法を示すフローチャートである。
【図４】パケットを示し、且つ特定のパケットが所定のウィンドウにどのように属するかを示す図である。
【図５】本発明の一実施形態による決定木構造の一例を示す図である。
【特許請求の範囲】
【請求項１】
データベース（２０９）に接続される通信装置（１０２）においてシグナリングフローの異常を検知する方法であって、前記通信装置（１０２）により実行される、以下のステップ：
− ラベル付き学習シグナリングフローを受信し、これらのフローを前記データベース（２０９）に供給するステップ（３０１）であって、該シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている、ラベル付き学習シグナリングフローを受信及び供給するステップ（３０１）と、
− 前記データベース（２０９）に格納されている前記学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築するステップ（３０７）であって、該プロファイルは、シグナリングフローを特徴付けるモデルであり、該シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する、プロファイル固有分類モデルを構築するステップ（３０７）と、
− 前記学習シグナリングフローを分類するステップ（３０９）であって、該シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、該分類は前記分類モデルに基づく、学習シグナリングフローを分類するステップ（３０９）と、
− 新しいシグナリングフローを受信するステップ（３１７）と、
− 前記受信されたシグナリングフローから、該受信されたシグナリングフローを特徴付ける少なくとも１つの属性を抽出するステップ（３１９）と、
− 前記少なくとも１つの抽出された属性を使用するステップ（３２１）であって、それにより、前記受信されたシグナリングフローを正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類し、該分類は前記分類モデルに基づく、
抽出された属性を使用するステップ（３２１）と
を含む、シグナリングフローの異常を検知する方法。
【請求項２】
前記学習シグナリングフローから属性を抽出すること（３０５）、及び
前記分類モデルを構築するために、該抽出された属性を前記学習シグナリングフローと共に使用すること
をさらに含む、請求項１に記載の方法。
【請求項３】
前記学習シグナリングフロー又は前記新しいシグナリングフローにおける論理的又は物理的な発信元アドレスは、前記抽出される属性に属さない、請求項１又は２に記載の方法。
【請求項４】
前記分類モデルを構築するために、
前記学習シグナリングフローに関連するプロトコル規格から固有の属性を抽出すること（３０５）、及び
前記学習シグナリングフローに含まれる既知の攻撃からの知識ベースの属性を抽出すること
をさらに含む、請求項１に記載の方法。
【請求項５】
前記学習シグナリングフローのラベル付きの値と、前記分類モデルを使用することにより分類される前記シグナリングフローの対応する値とを比較することにより、前記分類モデルの精度を判断すること（３１１）をさらに含む、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
前記分類モデルが正確ではないと判断される場合、前記属性の抽出及び／又は前記分類ステップを改良すること（３１３）をさらに含む、請求項２に従属する場合における請求項５に記載の方法。
【請求項７】
前記分類モデルが正確ではないと判断される場合、前記分類ステップを改良すること（３１３）をさらに含む、請求項５に記載の方法。
【請求項８】
前記受信された新しいシグナリングフローが、既知の攻撃種類に対応するものとして分類される場合、アラートを生成すること（３２５）をさらに含む、請求項１〜７のいずれか一項に記載の方法。
【請求項９】
前記受信された信号が既知の攻撃種類に対応せず、且つ正常シグナリングフローにも対応しないものとして分類される場合、アラートを生成すること（３３１）、及び前記受信された新しいシグナリングフローの診断を行うことをさらに含む、請求項１〜８のいずれか一項に記載の方法。
【請求項１０】
前記診断に基づいて、新しい学習シグナリングフローを前記データベース（２０９）に追加することを含み、
該新しいシグナリング学習フローは、新しい攻撃の種類又は正常シグナリングフローを示す、
請求項９に記載の方法。
【請求項１１】
前記抽出することは、第１の抽出ステップ及び第２の抽出ステップを含み、
該第２の抽出ステップは、
該第１の抽出ステップの結果に基づいて第２の属性の組を自動的に抽出すること、及び
前記受信された新しいシグナリングフローと、前記受信された新しいシグナリングフローに先行するシグナリングフローとの間の相関測定に基づいて、前記第２の属性の組を得ること
を含む、請求項１又は２に記載の方法。
【請求項１２】
前記分類モデルは、データマイニング手法に基づいて構築され、
該データマイニングは、ニューラルネットワーク、Ｋ最近傍、但しＫは正の整数、ベイズネットワーク、単純ベイズツリー、決定木のうちの少なくとも１つに基づく、
請求項１〜１１のいずれか一項に記載の方法。
【請求項１３】
前記通信装置（１０２）のコンピュータ手段にロードされて実行されると、請求項１〜１２のいずれか一項に記載の方法のステップを実施する命令を含むコンピュータプログラム製品。
【請求項１４】
データベース（２０９）に接続され、シグナリングフローの異常を検知する装置（１０２）であって、
− ラベル付き学習シグナリングフローを受信し、これらのフローを前記データベース（２０９）に供給する受信装置であって、該シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされており、前記受信装置はさらに、新しいシグナリングフローを受信するように構成される、受信装置と、
− 前記データベース（２０９）に含まれる前記学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する手段（２０８）であって、該プロファイルは、シグナリングフローを特徴付けるモデルである、プロファイル固有分類モデルを構築する手段（２０８）と、
− 前記学習シグナリングフローを分類する手段（２０８）であって、該シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、該分類は前記分類モデルに基づき、
該分類する手段（２０８）はさらに、前記少なくとも１つの抽出された属性を使用することにより、前記受信された新しいシグナリングフローを、正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類し、該分類は前記分類モデルに基づく、
ように構成されるシグナリングフローを分類する手段（２０８）と、
− 前記受信されたシグナリングフローから、該受信された新しいシグナリングフローを特徴付ける少なくとも１つの属性を抽出する手段（２０３）と
を備える、装置。
【請求項１５】
装置（１０２）であって、前記分類する手段（２０８）はさらに、前記新しいシグナリングフローが既知の攻撃又は正常シグナリングフローを示すものと見なされない場合、該新しいシグナリングフローを新しい攻撃を示すシグナリングフローとして分類するように構成される、請求項１４に記載の装置。
【請求項１６】
装置（１０２）であって、前記新しいシグナリングフローが既知の攻撃又は正常トラフィックを示すものと見なされない場合、該新しいシグナリングフローを診断する手段（２０８）をさらに備える、請求項１４又は１５に記載の装置。
【請求項１７】
装置（１０２）であって、前記診断後に、新しい攻撃又は新しい正常シグナリングフローを示すものとして分類される前記新しいシグナリングフローを前記データベース（２０９）に再入力することによって前記分類モデルを更新する手段（２０８）をさらに備える、請求項１４〜１６のいずれか一項に記載の装置。
【請求項１】
データベース（２０９）に接続される通信装置（１０２）においてシグナリングフローの異常を検知する方法であって、前記通信装置（１０２）により実行される、以下のステップ：
− ラベル付き学習シグナリングフローを受信し、これらのフローを前記データベース（２０９）に供給するステップ（３０１）であって、該シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされている、ラベル付き学習シグナリングフローを受信及び供給するステップ（３０１）と、
− 前記データベース（２０９）に格納されている前記学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築するステップ（３０７）であって、該プロファイルは、シグナリングフローを特徴付けるモデルであり、該シグナリングフローは、パケット、トランザクション、又はダイアログのいずれかに対応する、プロファイル固有分類モデルを構築するステップ（３０７）と、
− 前記学習シグナリングフローを分類するステップ（３０９）であって、該シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、該分類は前記分類モデルに基づく、学習シグナリングフローを分類するステップ（３０９）と、
− 新しいシグナリングフローを受信するステップ（３１７）と、
− 前記受信されたシグナリングフローから、該受信されたシグナリングフローを特徴付ける少なくとも１つの属性を抽出するステップ（３１９）と、
− 前記少なくとも１つの抽出された属性を使用するステップ（３２１）であって、それにより、前記受信されたシグナリングフローを正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類し、該分類は前記分類モデルに基づく、
抽出された属性を使用するステップ（３２１）と
を含む、シグナリングフローの異常を検知する方法。
【請求項２】
前記学習シグナリングフローから属性を抽出すること（３０５）、及び
前記分類モデルを構築するために、該抽出された属性を前記学習シグナリングフローと共に使用すること
をさらに含む、請求項１に記載の方法。
【請求項３】
前記学習シグナリングフロー又は前記新しいシグナリングフローにおける論理的又は物理的な発信元アドレスは、前記抽出される属性に属さない、請求項１又は２に記載の方法。
【請求項４】
前記分類モデルを構築するために、
前記学習シグナリングフローに関連するプロトコル規格から固有の属性を抽出すること（３０５）、及び
前記学習シグナリングフローに含まれる既知の攻撃からの知識ベースの属性を抽出すること
をさらに含む、請求項１に記載の方法。
【請求項５】
前記学習シグナリングフローのラベル付きの値と、前記分類モデルを使用することにより分類される前記シグナリングフローの対応する値とを比較することにより、前記分類モデルの精度を判断すること（３１１）をさらに含む、請求項１〜４のいずれか一項に記載の方法。
【請求項６】
前記分類モデルが正確ではないと判断される場合、前記属性の抽出及び／又は前記分類ステップを改良すること（３１３）をさらに含む、請求項２に従属する場合における請求項５に記載の方法。
【請求項７】
前記分類モデルが正確ではないと判断される場合、前記分類ステップを改良すること（３１３）をさらに含む、請求項５に記載の方法。
【請求項８】
前記受信された新しいシグナリングフローが、既知の攻撃種類に対応するものとして分類される場合、アラートを生成すること（３２５）をさらに含む、請求項１〜７のいずれか一項に記載の方法。
【請求項９】
前記受信された信号が既知の攻撃種類に対応せず、且つ正常シグナリングフローにも対応しないものとして分類される場合、アラートを生成すること（３３１）、及び前記受信された新しいシグナリングフローの診断を行うことをさらに含む、請求項１〜８のいずれか一項に記載の方法。
【請求項１０】
前記診断に基づいて、新しい学習シグナリングフローを前記データベース（２０９）に追加することを含み、
該新しいシグナリング学習フローは、新しい攻撃の種類又は正常シグナリングフローを示す、
請求項９に記載の方法。
【請求項１１】
前記抽出することは、第１の抽出ステップ及び第２の抽出ステップを含み、
該第２の抽出ステップは、
該第１の抽出ステップの結果に基づいて第２の属性の組を自動的に抽出すること、及び
前記受信された新しいシグナリングフローと、前記受信された新しいシグナリングフローに先行するシグナリングフローとの間の相関測定に基づいて、前記第２の属性の組を得ること
を含む、請求項１又は２に記載の方法。
【請求項１２】
前記分類モデルは、データマイニング手法に基づいて構築され、
該データマイニングは、ニューラルネットワーク、Ｋ最近傍、但しＫは正の整数、ベイズネットワーク、単純ベイズツリー、決定木のうちの少なくとも１つに基づく、
請求項１〜１１のいずれか一項に記載の方法。
【請求項１３】
前記通信装置（１０２）のコンピュータ手段にロードされて実行されると、請求項１〜１２のいずれか一項に記載の方法のステップを実施する命令を含むコンピュータプログラム製品。
【請求項１４】
データベース（２０９）に接続され、シグナリングフローの異常を検知する装置（１０２）であって、
− ラベル付き学習シグナリングフローを受信し、これらのフローを前記データベース（２０９）に供給する受信装置であって、該シグナリングフローは、正常シグナリングフロー又は攻撃を示す種々のシグナリングフローとしてラベル付けされており、前記受信装置はさらに、新しいシグナリングフローを受信するように構成される、受信装置と、
− 前記データベース（２０９）に含まれる前記学習シグナリングフローを使用することにより、プロファイル固有分類モデルを構築する手段（２０８）であって、該プロファイルは、シグナリングフローを特徴付けるモデルである、プロファイル固有分類モデルを構築する手段（２０８）と、
− 前記学習シグナリングフローを分類する手段（２０８）であって、該シグナリングフローは正常シグナリングフロー又は攻撃を示す種々のシグナリングフローのいずれかに分類され、該分類は前記分類モデルに基づき、
該分類する手段（２０８）はさらに、前記少なくとも１つの抽出された属性を使用することにより、前記受信された新しいシグナリングフローを、正常シグナリングフロー又は攻撃を示すシグナリングフローのいずれかに分類し、該分類は前記分類モデルに基づく、
ように構成されるシグナリングフローを分類する手段（２０８）と、
− 前記受信されたシグナリングフローから、該受信された新しいシグナリングフローを特徴付ける少なくとも１つの属性を抽出する手段（２０３）と
を備える、装置。
【請求項１５】
装置（１０２）であって、前記分類する手段（２０８）はさらに、前記新しいシグナリングフローが既知の攻撃又は正常シグナリングフローを示すものと見なされない場合、該新しいシグナリングフローを新しい攻撃を示すシグナリングフローとして分類するように構成される、請求項１４に記載の装置。
【請求項１６】
装置（１０２）であって、前記新しいシグナリングフローが既知の攻撃又は正常トラフィックを示すものと見なされない場合、該新しいシグナリングフローを診断する手段（２０８）をさらに備える、請求項１４又は１５に記載の装置。
【請求項１７】
装置（１０２）であって、前記診断後に、新しい攻撃又は新しい正常シグナリングフローを示すものとして分類される前記新しいシグナリングフローを前記データベース（２０９）に再入力することによって前記分類モデルを更新する手段（２０８）をさらに備える、請求項１４〜１６のいずれか一項に記載の装置。
【図１】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【図２】
【図３Ａ】
【図３Ｂ】
【図４】
【図５】
【公開番号】特開２００８−３０６７０６（Ｐ２００８−３０６７０６Ａ）
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【外国語出願】
【出願番号】特願２００８−１１０３７３（Ｐ２００８−１１０３７３）
【出願日】平成２０年４月２１日（２００８．４．２１）
【出願人】（５０３１６３５２７）ミツビシ・エレクトリック・インフォメイション・テクノロジー・センター・ヨーロッパ・ビーヴィ (175)
【氏名又は名称原語表記】ＭＩＴＳＵＢＩＳＨＩ ＥＬＥＣＴＲＩＣ ＩＮＦＯＲＭＡＴＩＯＮ ＴＥＣＨＮＯＬＯＧＹ ＣＥＮＴＲＥ ＥＵＲＯＰＥ Ｂ．Ｖ．
【住所又は居所原語表記】Ｃａｐｒｏｎｉｌａａｎ ４６， １１１９ ＮＳ Ｓｃｈｉｐｈｏｌ Ｒｉｊｋ， Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ
【Ｆターム（参考）】
【公開日】平成２０年１２月１８日（２００８．１２．１８）
【国際特許分類】
【出願番号】特願２００８−１１０３７３（Ｐ２００８−１１０３７３）
【出願日】平成２０年４月２１日（２００８．４．２１）
【出願人】（５０３１６３５２７）ミツビシ・エレクトリック・インフォメイション・テクノロジー・センター・ヨーロッパ・ビーヴィ (175)
【氏名又は名称原語表記】ＭＩＴＳＵＢＩＳＨＩ ＥＬＥＣＴＲＩＣ ＩＮＦＯＲＭＡＴＩＯＮ ＴＥＣＨＮＯＬＯＧＹ ＣＥＮＴＲＥ ＥＵＲＯＰＥ Ｂ．Ｖ．
【住所又は居所原語表記】Ｃａｐｒｏｎｉｌａａｎ ４６， １１１９ ＮＳ Ｓｃｈｉｐｈｏｌ Ｒｉｊｋ， Ｔｈｅ Ｎｅｔｈｅｒｌａｎｄｓ
【Ｆターム（参考）】
[ Back to top ]