JP5114565B2 - マルチメディアシステムへの攻撃を検知する方法および攻撃検知機能を備えたマルチメディアシステム - Google Patents

Description

本発明は、通信元と通信先との間のマルチメディア通信フローによってマルチメディアシステム内に通信路が確立されるような、マルチメディアシステムへの攻撃を検知する方法に関する。

また、本発明は、通信元と通信先との間のマルチメディア通信フローによってマルチメディアシステム内に通信路が確立されるような、攻撃検知機能を備えたマルチメディアシステムに関する。

今日、マルチメディアシステムが広く普及し、きわめて多様なサービスをユーザに提供している。本発明において、「マルチメディアシステム」という用語は広義に理解すべきであり、例えば、ＶｏＩＰ（ボイスオーバーＩＰ）やプレゼンス情報のようなサービスを通常提供するＩＭＳ（ＩＰマルチメディアサブシステム）や、いわゆるサービス提供基盤（service delivery platform, ＳＤＰ）によって一般にサービスが提供されるＮＧＮ（次世代ネットワーク）を含む。

現在では、マルチメディアシステムは、さまざまな形態の攻撃にますますさらされるようになっている。そのような攻撃としては、例えば、ＤｏＳ（サービス拒否）攻撃や、ＶｏＩＰフィッシングが挙げられる。電子メールの分野では、大量の迷惑メール、いわゆるスパムが非常に広まり、重大な問題となっている。電子メール通信を必要とする企業がスパムメッセージによって影響を受けるのみならず、個人ユーザもまたスパムには非常に悩まされている。今日、多くのインターネットユーザにとって、受信するのは正規の電子メールよりもスパムメッセージのほうが多い。このため、ほとんどの着信電子メールサーバは、一定のルールに従って着信メールをチェックするスパムフィルタを使用している。スパムフィルタとしては、例えば、電子メールの内容中のキーワードを能動的に探索するもの、電子メールを送信するために用いられたサーバの特定の設定項目をチェックするもの、大量の電子メールを送信するためにしばしば用いられる送信元を探索するもの等がある。電子メールは、スパムと分類された場合、マークや仕分けが行われる。

電話（アナログあるいはディジタル）の分野でも、スパム（この分野ではＳＰＩＴ（Spam over Internet Telephony, ＩＰ電話上のスパム）と呼ばれる）はますます多くなっており、例えば、迷惑広告通話の場合に見られるとおりである。このような通話は、ほとんどの場合、自動発呼装置によって発呼される。現在主として用いられている交換電話網によれば、このようなスパム通話は非常に複雑で高価であるため、スパム通話の数は比較的限られている。しかし、インターネット電話がさらに一般的に利用されるようになると、このようなスパム通話ははるかに容易で安価となるため、高度化した最新のマルチメディアシステムにおいては、スパム通話が激増すると想定しなければならないであろう。

重要な課題の１つは、上記のようなマルチメディアシステムへの攻撃の検知である。今日、マルチメディアシステムへの攻撃の検知は主として侵入検知システム（ＩＤＳ）を用いることにより実行される。このようなＩＤＳシステムは、通過するトラフィックを監視し、例えば観測したトラフィック構造やトラフィック内容に応じて、ローカルな判定を行うことができる。

このようなローカルに作用するＩＤＳシステムとは別に、分散型攻撃検知方式が従来技術において既知である。このようなシステムの１つが非特許文献１に記載されている。SpaceDiveは、ローカルレベルの設計とネットワークレベルの設計に分解可能な、階層的相関に基づくシステムである。ＶｏＩＰ環境に対する上記の分散型侵入検知は、ローカルに実装されたＩＤＳシステムと比較していくつかの利点を有するが、このソリューションは依然として完全に満足なものではない。主な問題点は、階層的アーキテクチャに見られる。このアーキテクチャでは、実装およびアプリケーションの両面でシステムが複雑となり、必要なシグナリングがかなり増大する。

ドイツ国特許出願公開ＤＥ １０ ２００５ ０２９ ２８７ Ａ１

V. Apte et al. "SpaceDive: A Distributed Intrusion Detection System for Voice-over-IP Environments", Proceedings of DSN 06, The International Conference on Dependable Systems and Networks (Fast Abstracts session) "Voice Printing and Reachability Code (VPARC) Mechanism for SPIT", WIPRO, white paper

したがって、本発明の目的は、頭書のような方法およびシステムにおいて、実施の容易なメカニズムを使用することにより、必要なシグナリングをあまり増大させずに、効率的な攻撃検知が可能となるような改良を行うことである。

本発明によれば、上記の目的は、請求項１の構成を有する方法によって達成される。この請求項に記載の通り、本方法は、少なくとも２個の装置が通信路に沿って設けられ、各装置は検査装置として作用し、該検査装置を経由するマルチメディア通信フローを検査することが可能とされ、通信路に沿って個々の検査結果が集計されることを特徴とする。

また、上記の問題は、請求項１６に記載の攻撃検知機能を備えたマルチメディアシステムによって解決される。この請求項に記載の通り、本システムにおいて、マルチメディアシステムは、通信路に沿って配置された少なくとも２個の装置を備え、各装置は検査装置として作用し、該検査装置を経由するマルチメディア通信フローを検査することが可能とされ、マルチメディアシステムは、通信路に沿って個々の検査結果を集計するメカニズムをさらに備えたことを特徴とする。

本発明によって初めて認識されたこととして、観測対象となるマルチメディア通信フローの通信路上で、ネットワーク分散型攻撃検知を実行することにより、複雑な階層構造を避けることができる。この目的のため、少なくとも２個の装置が通信路に沿って設けられ、該装置を経由するマルチメディア通信フローを検査することが可能とされる。これらの検査装置は、上記の検査の目的だけのためにマルチメディアシステムに組み込まれた専用の装置であってもよい。あるいは、検査装置は、マルチメディアシステムに既に存在する何らかの装置に、適当な検査機能を追加したものであってもよい。

本発明によれば、通信路上の少なくとも２個の検査装置によって実行された個々の検査の結果が集計されて、観測対象のマルチメディア通信フローに対する全体的結果が得られる。すなわち、個々の観測点で計算された情報が、悪意のあるトランザクションの識別に向けた判定のためにまとめられる。全体的結果は、グローバルな意味を有し、適用されるさまざまな攻撃検知メカニズムからの寄与を有する。本発明は、マルチメディアシステムが通信路の概念を有することを考慮して、相互に協調するさまざまなモジュールに攻撃検知を分散させるために、このような通信路の概念を活用する。マルチメディアシステム内の複数の検査装置にわたって攻撃検知を分散させるため、すべての検査装置は等価とみなされ、関与する検査装置間には簡単明瞭なインタラクションのみが存在する。この点で、本発明による方法およびシステムは、従来技術で既知の階層的手法に比べて複雑さが少ない。

ボイスオーバーＩＰの場合の具体例では、通信元は発呼者、通信先は被呼者とすればよい。電子メールスパム保護の具体例の場合、通信元／通信先は電子メールの送信者／受信者とすればよい。また、他の具体例において、通信元は、例えば、あるサービスにアクセスするユーザであってもよい。このサービスは、マルチメディアシステム内で提供されてもよく、例えば、サーバからダウンロード可能であってもよく、その場合には通信先として機能する。

検査結果に関するデータの処理を簡単にするため、各検査装置が、自己の検査結果に関する情報を、通信路上の後続の検査装置へ転送してもよい。すなわち、各検査装置は、通信路に沿って通信先へ向かう方向における直近の検査装置にのみ、自己の部分的結果を通信してもよい。転送される情報は、検査結果自体に限らず、それに加えて、実行された検査の種類、部分的検査結果の計算に使用されたモジュールや使用されたパラメータ、集計された結果、に関する情報を含んでもよい。これにより、ある通信特性が、集計された全体的結果に重複して寄与しないことを保証することができる。

検査関連情報のホップ型転送の代わりに、情報は、通信路上のすべての検査装置間で共有されてもよい。単純転送方式と比較して、情報の共有は、通信元の近くに位置する検査装置もまた、通信先の近くに位置する装置によって実行された検査の結果を知り得るという利点を有する。

通信路上の連鎖的なホップ間転送で実現するか、それとも通信路上の全検査装置間での共有で実現するかにかかわらず、検査装置間での検査関連情報の伝達は、シグナリング拡張を用いることにより実行できる。シグナリング拡張は、ＩＰレベルで、あるいは、検査対象の通信メッセージに対して用いられるそれぞれのプロトコルを使用することにより、実装可能である。ボイスオーバーＩＰの場合、そのプロトコルはＳＩＰ（セッション開始プロトコル）とすればよい。これは広く普及しており、適当なＳＩＰヘッダに追加情報を組み込むさまざまな可能性を提供する。情報は、ＸＭＬエンコーディングを用いることにより追加してもよく、ウェブサービスへのリンクを通じた情報参照により追加してもよい。

上記のシグナリング変更は「帯域内（インバンド）」的な手法とみなすことができるが、「帯域外（アウトオブバンド）」的な情報共有技術も可能である。この場合、検査装置間での検査関連情報の共有は、適当な分散データベースや、外部アプリケーション（例えば、アプリケーションサーバ、アドホックサービス等）により実行される。データベース／外部アプリケーションは、検査装置からアクセス可能であり、そのアクセスは適当な手段によって保証すればよい。各検査装置が自己の検査結果をデータベースに書き込み、そこから次ホップの検査装置がそれを一意的に読み出すようにしてもよい。

好ましい実施形態として、マルチメディア通信フローがマルチメディアシステムへの攻撃を構成するかどうかの判定が、個々の検査結果を集計したものに基づいて行われる。有利な態様として、個々の検査結果は、通信フローの悪意性を示すスコアや確率の形で与えられる。このような場合、個々の検査結果の集計は、個々のスコア／確率を加算する等により経路累積スコア／確率を計算することによって、実行できる。個々のスコア／確率を加算する前に、特定の状況におけるある種の検査が他よりも有意性が低い可能性を考慮するために、個々の検査結果の重み付けを実行してもよい。

さらに好ましい実施形態として、各検査装置は、通信路上で先行する検査装置によって実行された検査の結果に応じて、通信フローに対して適当な対策を実施することが可能とされる。この場合、検査装置は、例えば、通信の遮断、ユーザの検疫、等が可能とされてもよい。特に、このような対処は、先行する検査装置によって実行された検査の結果を集計した悪意性スコア／確率が所定しきい値を超える場合に、検査装置によって実施されるとしてもよい。

検査によってマルチメディア通信フローが乱されることを有効に回避するため、通信路上における少なくとも第１の検査は、マルチメディアフローのシグナリング部分に対して実行されるようにしてもよい。好ましい実施形態として、第２段階の検査、すなわちマルチメディア通信フローのメディア部分に対する検査は、経路累積スコア／確率が所定しきい値を超える場合にのみ実行される。他方、マルチメディア通信フローのシグナリング部分に対して実行された検査結果の経路累積スコア／確率が所定しきい値を下回る場合、マルチメディア通信フローのメディア部分に対する検査は省略してもよい。例えば、ＶｏＩＰアプリケーションでは、第２段階の検査は、チューリングテスト（特許文献１に詳細に記載）、声紋テスト（非特許文献２に記載）、オーディオＣＡＰＴＣＨＡ(Completely Automated Public Turing test to tell Computers and Humans Apart)、グレーリスティングテスト等の発呼者対話型チェックを含んでもよい。第１段階の検査（すなわち、通信フローのシグナリング部分に対するもの）と第２段階の検査（すなわちメディアストリームに対するもの）との分離は、検査によって引き起こされる不都合が、発呼者側および被呼者側の両方で顕著に減少するという利点がある。

通信路上の検査装置は、ネットワーク装置、すなわち、通常のマルチメディアシステムの一部であるとともに攻撃検知機能を備えた装置、であってもよい。このようなネットワーク装置としては、セッションボーダーコントローラ（Session Border Controller, ＳＢＣ）、ＳＩＰプロキシサーバ、ネットワークルータ、アプリケーション層ファイアウォール、ゲートウェイ等が挙げられる。これらのネットワーク装置に加えて、検査装置としては、ユーザ機器（User Equipment, ＵＥ）が挙げられる。例えば、ＶｏＩＰの場合、被呼者のユーザ機器、すなわち被呼者の電話装置が、例えば、被呼者の電話機に記憶されたホワイトリストやブラックリストに基づいてユーザ固有のチェックを実行することにより、攻撃検知プロセスに関与してもよい。

有利な態様では、各検査装置が、攻撃検知のためのホップ／装置固有の基準に従って通信をチェックする。例えば、マルチメディアシステムの境界に位置する検査装置（例えばＳＢＣ等）は、比較的グローバルな事項に関してチェックを実行して、トラフィックの大部分が観測対象である場合のほうがより明確になる異常を検知しようとするのが好ましい。このようなチェックとしては、例えば、グローバルブラックリストに対するチェック、発呼者メッセージレートのチェック、なりすまし試行に対するチェック等が挙げられる。他方、マルチメディアシステム内部深くに位置するネットワーク装置は、よりユーザ向けのチェックを実行するとよい。例えば、サービングＳＩＰプロキシサーバのようなサーバは、ユーザが指定した基本設定（例えば、個人的な、ユーザ固有のホワイトリストやブラックリスト等）に基づくことで、ユーザ数が非常に多いネットワークの境界においてスケーラブルな形で適用できいないようなチェックを適用してもよい。

法令遵守のため、検査装置によって実行される検査、検査関連情報の伝達プロセス、および／または通信フローに対して対策を実施するプロセスは、通信先によって指定された基本設定に従って設定できるようにしてもよい。特に、ＶｏＩＰアプリケーションでは、このことは、被呼者の同意なしには通話が例えば遮断されないことを保証するために、被呼者の基本設定を（直接または間接に）考慮することを意味する。

本発明を好適な態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１および１６に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。

本発明による、マルチメディアシステムへの攻撃を検知する方法の具体例を示す。

図１に、ＶｏＩＰシステムにおいてスパム通話（ＳＰＩＴ）の形での攻撃を検知するための、本発明による方法の一実施形態を模式的に示す。具体的には、ＶｏＩＰ通話が、発呼者Ａと被呼者Ｂとの間に確立される。すなわち、発呼者Ａと被呼者Ｂとの間に通信路１が確立され、発呼者Ａは通信元として作用し、被呼者Ｂは通信先として作用する。図１に示した具体例では、発呼者Ａと被呼者Ｂとの間の通信は、ＳＩＰ（セッション開始プロトコル）通信である。通信フローのＳＩＰシグナリング部分１ａを点線で示し、マルチメディア通信フローのメディアストリーム１ｂを破線で示す。

まず、発呼者Ａによって発信された発呼要求、すなわちＳＩＰ ｉｎｖｉｔｅメッセージに、攻撃を構成する確率として０％を割り当てる。被呼者Ｂまでの途中で、メッセージは第１の検査装置２ａを経由する。これは、具体例では、セッションボーダーコントローラ（ＳＢＣ）３である。ＳＢＣ３は、通信フローの第１の攻撃検知検査、例えば、グローバルブラックリストやなりすまし試行のチェックを実行する。これらのテストの結果として、通信フローは、攻撃である確率が１０％であることがわかったとする。この結果は、通信路１上の次の検査装置２ｂ、すなわちＰ−ＣＳＣＦ（Proxy-Call Session Control Function, プロキシ−通話セッション制御機能）ＳＩＰプロキシサーバ４へ転送される。あるホップから次のホップへの伝搬は、通信メッセージを適当にマークすることによって（例えば、追加のＳＩＰヘッダ、ＩＰマーキング等によって）実現可能である。これは、（論理または物理）リンク５で示されている。別法として、リンク７経由で各ホップ／装置からアクセス可能なデータベース６に結果を書き込むことも可能である。データベース６は、スコア／確率自体、スコアを計算するのに使用された方法やパラメータに関する情報、通信を一意的に識別するための情報等のスコアリング情報を含むことが可能である。

Ｐ−ＣＳＣＦ４によって実行される第２の検査は、例えばユーザ固有のホワイト／ブラックリストのチェックである。これが、ＳＢＣ３によって実行された第１の検査と集計された結果、通信フローが悪意のある通信トランザクションを構成する経路累積確率は３０％となる。このスコア３０％が、通信路１上の次の検査装置２ｃ、すなわちＳ−ＣＳＣＦ（Serving-Call Session Control Function, サービング−通話セッション制御機能）８へ転送される。Ｓ−ＣＳＣＦ８はさらに検査を実行する。これらの検査に基づいて、Ｓ−ＣＳＣＦ８は、受け取った３０％という経路累積スコアをさらに３０％増大させ、全体の確率を６０％に変更する。

Ｓ−ＣＳＣＦ８によって得られたスコア６０％は所定しきい値を超えているため、発呼者対話型チェックを含むさらに詳細な第２段階の検査がＳ−ＣＳＣＦ８によって実施される。この目的のため、通信フローは検査装置２ｄへ回され、検査装置２ｄは発呼者対話型チェック、具体的には例えばチューリングテストを実行する。図１に示した具体例では、発呼者対話型チェックの結果、攻撃を排除することができる。その結果、経路累積スコアは０％に設定され、０％の攻撃確率がＳ−ＣＳＣＦ８に返される。なお、発呼者対話型チェックは、同じ装置、すなわちＳ−ＣＳＣＦ８自身によって実行されても、図１に示したようにリモートの検査装置２ｄによって実行されてもよい。

最後に、スコア０％が被呼者Ｂへ転送される。被呼者Ｂは、検査装置として作用してもよく、あるいは図１に示したように、別のリモートの検査装置２ｅへ通信フローを回してもよい。リモートの検査装置２ｅは、最終検査を実行する。具体例では、ユーザ固有のブラックリストに対して通信フローをチェックしたところ、発呼者Ａがブラックリストに含まれていることが判明したため、検査装置２ｅは通信フローに９９％の攻撃確率を割り当てる。その結果、この確率は所定しきい値を超えているので、検査装置２ｅは、通信フローに対して適当な対策、この場合には通話の遮断、を実施する。

簡単のため、通信フローのシグナリング部分１ａおよびメディアストリーム１ｂは、同じ通信路１に沿って流れるように図示してある。しかし、これは必ずしもその必要はなく、実際には、シグナリング部分１ａはメディアストリーム１ｂとは別の経路をとってもよい。その場合、シグナリング部分１ａとメディアストリーム１ｂとは異なる検査装置を経由し、したがって異なる装置によって検査されることになる。

なお、通信フローに対して実施されるすべての対策は、法令遵守のために、被呼者Ｂによって指定された基本設定を（直接または間接に）考慮すべきである。

上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと理解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。

Claims (16)

1. マルチメディアシステムへの攻撃を検知する方法において、通信元と通信先との間のマルチメディア通信フローによって該マルチメディアシステム内に通信路（１）が確立され、
   少なくとも２個の装置（３，４，８）が前記通信路（１）に沿って設けられ、それぞれの前記装置（３，４，８）は検査装置（２）として作用し、該検査装置（２）を経由する前記マルチメディア通信フローを検査することが可能とされ、前記通信路（１）に沿って個々の検査結果が集計され、
   それぞれの前記検査装置（２）が、自己の検査結果に関する情報を、前記通信路（１）上の後続の検査装置（２）へ転送し、
   前記検査装置（２）間での前記検査関連情報の転送および／または共有が、前記検査装置（２）からアクセス可能なデータベース（６）によって実行される
   ことを特徴とする、マルチメディアシステムへの攻撃を検知する方法。
2. 前記通信元が発呼者（Ａ）であり、前記通信先が被呼者（Ｂ）であることを特徴とする請求項１に記載の方法。
3. 転送される情報が、実行された検査自体に関する情報を含むことを特徴とする請求項２に記載の方法。
4. 個々の検査装置（２）によって実行された検査に関する情報がすべての前記検査装置（２）間で共有されることを特徴とする請求項１ないし３のいずれか１項に記載の方法。
5. 前記検査装置（２）間での前記検査関連情報の転送および／または共有が、シグナリング拡張によって実行されることを特徴とする請求項１ないし４のいずれか１項に記載の方法。
6. 前記マルチメディア通信フローが攻撃を構成するかどうかの判定が、前記個々の検査結果の集計に基づいて行われることを特徴とする請求項１ないし５のいずれか１項に記載の方法。
7. 前記個々の検査結果が、悪意性を示すスコアおよび／または確率の形で与えられることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
8. 前記個々の検査結果の集計が、経路累積スコアおよび／または確率を計算することによって実行されることを特徴とする請求項１ないし７のいずれか１項に記載の方法。
9. それぞれの前記検査装置（２）が、前記通信路（１）上で先行する検査装置（２）によって実行された検査の結果に応じて、前記通信フローに対して対策を実施することが可能とされることを特徴とする請求項１ないし８のいずれか１項に記載の方法。
10. 前記通信路（１）上における少なくとも第１の検査が、前記マルチメディア通信フローのシグナリング部分（１ａ）に対して実行されることを特徴とする請求項１ないし９のいずれか１項に記載の方法。
11. 前記マルチメディア通信フローのメディア部分（１ｂ）に対する検査は、前記経路累積スコアおよび／または確率が所定しきい値を超える場合に実行されることを特徴とする請求項７ないし１０のいずれか１項に記載の方法。
12. 前記マルチメディアシステムの境界に位置する検査装置（２）によって実行される検査が、グローバルブラックリストに対するチェック、発呼者メッセージレートのチェック、および／またはなりすまし試行に対するチェックを含むことを特徴とする請求項１ないし１１のいずれか１項に記載の方法。
13. 前記検査装置（２）によって実行される検査、検査関連情報の伝達プロセス、および前記通信フローに対して対策を実施するプロセスが、前記通信先によって指定された基本設定に従って設定されることを特徴とする請求項１ないし１２のいずれか１項に記載の方法。
14. 攻撃検知機能を備えたマルチメディアシステムにおいて、通信元と通信先との間のマルチメディア通信フローによって該マルチメディアシステム内に通信路（１）が確立され、
    前記マルチメディアシステムは、前記通信路（１）に沿って配置された少なくとも２個の装置（３，４，８）を備え、それぞれの前記装置（３，４，８）は検査装置（２）として作用し、該検査装置（２）を経由するマルチメディア通信フローを検査することが可能とされ、前記マルチメディアシステムは、前記通信路（１）に沿って個々の検査結果を集計するメカニズムをさらに備え、
    それぞれの前記検査装置（２）が、自己の検査結果に関する情報を、前記通信路（１）上の後続の検査装置（２）へ転送するように構成され、
    前記検査装置（２）間での前記検査関連情報の転送および／または共有が、前記検査装置（２）からアクセス可能なデータベース（６）によって実行される
    ことを特徴とする、攻撃検知機能を備えたマルチメディアシステム。
15. 前記検査装置（２）が、セッションボーダーコントローラ（３）、ＳＩＰプロキシサーバ（４，８）および／またはネットワークルータのようなネットワーク装置を含むことを特徴とする請求項１４に記載のシステム。
16. 前記検査装置（２）がユーザ機器を含むことを特徴とする請求項１４または１５に記載のシステム。

Images