知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024059530
(43)【公開日】2024-05-01
(54)【発明の名称】情報セキュリティ早期警報装置及び方法
(51)【国際特許分類】
G06F 21/55 20130101AFI20240423BHJP
【ＦＩ】
G06F21/55 320
【審査請求】有
【請求項の数】10
【出願形態】ＯＬ
(21)【出願番号】P 2022186335
(22)【出願日】2022-11-22
(11)【特許番号】
(45)【特許公報発行日】2024-02-29
(31)【優先権主張番号】111139523
(32)【優先日】2022-10-18
(33)【優先権主張国・地域又は機関】TW
(71)【出願人】
【識別番号】502003596
【氏名又は名称】財団法人 資訊工業策進会
【氏名又は名称原語表記】ＩＮＳＴＩＴＵＴＥ ＦＯＲ ＩＮＦＯＲＭＡＴＩＯＮ ＩＮＤＵＳＴＲＹ
【住所又は居所原語表記】１１Ｆ， ＮＯ．１０６， ＳＥＣ．２， ＨＥＰＩＮＧ Ｅ． ＲＤ．， ＴＡＩＰＥＩ， ＴＡＩＷＡＮ，
(74)【代理人】
【識別番号】110002527
【氏名又は名称】弁理士法人北斗特許事務所
(72)【発明者】
【氏名】童 裕淇
(72)【発明者】
【氏名】陳 秉君
(57)【要約】 （修正有）
【課題】複数の命令にアクセスする情報セキュリティ早期警報装置及び方法を提供する。
【解決手段】情報セキュリティ早期警報装置１００は、プロセッサ及び悪意のある特性データベースを備える。プロセッサは、仮想ユーザ装置、仮想基地局及び仮想コアネットワークを実行させ、第１データフローが悪意のあるトラフィックでなく、且つ異常であると検出した場合、第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できるか否かを判定し、接続を確立できる場合、第１データフローを用いて異常検出の設定を更新する。接続を確立できない場合、仮想コアネットワークにより生成された複数の検出ログから第１悪意のあるプロシージャコードを含むエラーログを選択し、第１悪意のあるプロシージャコード及び第１データフローを用いて悪意のある特性データベースを更新する。
【選択図】図１
【解決手段】情報セキュリティ早期警報装置１００は、プロセッサ及び悪意のある特性データベースを備える。プロセッサは、仮想ユーザ装置、仮想基地局及び仮想コアネットワークを実行させ、第１データフローが悪意のあるトラフィックでなく、且つ異常であると検出した場合、第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できるか否かを判定し、接続を確立できる場合、第１データフローを用いて異常検出の設定を更新する。接続を確立できない場合、仮想コアネットワークにより生成された複数の検出ログから第１悪意のあるプロシージャコードを含むエラーログを選択し、第１悪意のあるプロシージャコード及び第１データフローを用いて悪意のある特性データベースを更新する。
【選択図】図１
【特許請求の範囲】
【請求項1】
第１データフローをミラー方法で取得するデータ取得回路と、
悪意のある特性データベース及び複数の命令を記憶するためのメモリと、
前記データ取得回路及び前記メモリに接続され、仮想ユーザ装置、仮想基地局及び仮想コアネットワークを実行させるためのプロセッサと、
を含み、
前記プロセッサは、
前記悪意のある特性データベースに基づいて前記第１データフローを検出し、前記第１データフローが悪意のあるトラフィックでない場合に、前記第１データフローに対して異常検出を行う工程と、
前記第１データフローが異常であると検出した場合に、前記第１データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第１データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記異常検出の設定を更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記仮想コアネットワークにより生成された複数の検出ログから、前記第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、
前記第１悪意のあるプロシージャコード及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を実行するために前記複数の命令にアクセスする、
情報セキュリティ早期警報装置。
悪意のある特性データベース及び複数の命令を記憶するためのメモリと、
前記データ取得回路及び前記メモリに接続され、仮想ユーザ装置、仮想基地局及び仮想コアネットワークを実行させるためのプロセッサと、
を含み、
前記プロセッサは、
前記悪意のある特性データベースに基づいて前記第１データフローを検出し、前記第１データフローが悪意のあるトラフィックでない場合に、前記第１データフローに対して異常検出を行う工程と、
前記第１データフローが異常であると検出した場合に、前記第１データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第１データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記異常検出の設定を更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記仮想コアネットワークにより生成された複数の検出ログから、前記第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、
前記第１悪意のあるプロシージャコード及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を実行するために前記複数の命令にアクセスする、
情報セキュリティ早期警報装置。
【請求項2】
前記プロセッサは更に、
正常なトラフィックホワイトリストを前記第１データフローと比較して、前記第１データフローが異常であるか否かを判定する工程と、
前記第１データフローと前記正常なトラフィックホワイトリストの比較が一致しない場合に、前記第１データフローが異常であると判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記正常なトラフィックホワイトリストを更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
正常なトラフィックホワイトリストを前記第１データフローと比較して、前記第１データフローが異常であるか否かを判定する工程と、
前記第１データフローと前記正常なトラフィックホワイトリストの比較が一致しない場合に、前記第１データフローが異常であると判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記正常なトラフィックホワイトリストを更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
【請求項3】
前記プロセッサは更に、
前記第１悪意のあるプロシージャコードに対応するプロシージャコード関連テーブル、及び前記第１悪意のあるプロシージャコードに基づいて第２悪意のあるプロシージャコードを生成する工程と、
第２エラーパケットを生成するために、前記第１エラーパケット内の前記第１悪意のあるプロシージャコードの代わりに前記第２悪意のあるプロシージャコードを用いる工程と、
第２データフローを生成するために、前記第１データフローにおける前記第１エラーパケットの代わりに前記第２エラーパケットを用いる工程と、
前記第２データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第２データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記第２悪意のあるプロシージャコード及び前記第２データフローを用いて前記悪意のある特性データベースを更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第２データフローを用いて前記異常検出の設定を更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
前記第１悪意のあるプロシージャコードに対応するプロシージャコード関連テーブル、及び前記第１悪意のあるプロシージャコードに基づいて第２悪意のあるプロシージャコードを生成する工程と、
第２エラーパケットを生成するために、前記第１エラーパケット内の前記第１悪意のあるプロシージャコードの代わりに前記第２悪意のあるプロシージャコードを用いる工程と、
第２データフローを生成するために、前記第１データフローにおける前記第１エラーパケットの代わりに前記第２エラーパケットを用いる工程と、
前記第２データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第２データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記第２悪意のあるプロシージャコード及び前記第２データフローを用いて前記悪意のある特性データベースを更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第２データフローを用いて前記異常検出の設定を更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
【請求項4】
前記プロシージャコード関連テーブルには前記第１悪意のあるプロシージャコードと複数の候補プロシージャコードとの間の複数の関連性数値が含まれ、
前記プロセッサは更に、
前記複数の候補プロシージャコードから最も高い関連性数値を有する候補プロシージャコードを選択し、前記最も高い関連性数値を有する候補プロシージャコードを前記第２悪意のあるプロシージャコードとする工程、を実行する、
請求項３に記載の情報セキュリティ早期警報装置。
前記プロセッサは更に、
前記複数の候補プロシージャコードから最も高い関連性数値を有する候補プロシージャコードを選択し、前記最も高い関連性数値を有する候補プロシージャコードを前記第２悪意のあるプロシージャコードとする工程、を実行する、
請求項３に記載の情報セキュリティ早期警報装置。
【請求項5】
前記プロセッサは更に、
前記第１悪意のあるプロシージャコードに対応する情報要素ルールテーブルに基づいて前記第１エラーパケット内の複数の情報要素が異常であるか否かを検出する工程と、
前記第１エラーパケット内の前記複数の情報要素のうちの少なくとも１つが異常であると検出した場合に、前記第１悪意のあるプロシージャコード、前記複数の情報要素のうちの前記少なくとも１つ、及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
前記第１悪意のあるプロシージャコードに対応する情報要素ルールテーブルに基づいて前記第１エラーパケット内の複数の情報要素が異常であるか否かを検出する工程と、
前記第１エラーパケット内の前記複数の情報要素のうちの少なくとも１つが異常であると検出した場合に、前記第１悪意のあるプロシージャコード、前記複数の情報要素のうちの前記少なくとも１つ、及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を実行する、
請求項１に記載の情報セキュリティ早期警報装置。
【請求項6】
第１データフローをミラー方法で取得する工程と、
悪意のある特性データに基づいて前記第１データフローを検出し、前記第１データフローが悪意のあるトラフィックでない場合に、前記第１データフローに対して異常検出を行う工程と、
前記第１データフローが異常であると検出した場合に、前記第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第１データフローを受信した後に仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記異常検出の設定を更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記仮想コアネットワークにより生成された複数の検出ログから、前記第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、
前記第１悪意のあるプロシージャコード及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を含む、
情報セキュリティ早期警報方法。
悪意のある特性データに基づいて前記第１データフローを検出し、前記第１データフローが悪意のあるトラフィックでない場合に、前記第１データフローに対して異常検出を行う工程と、
前記第１データフローが異常であると検出した場合に、前記第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第１データフローを受信した後に仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記異常検出の設定を更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記仮想コアネットワークにより生成された複数の検出ログから、前記第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、
前記第１悪意のあるプロシージャコード及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を含む、
情報セキュリティ早期警報方法。
【請求項7】
正常なトラフィックホワイトリストを前記第１データフローと比較して、前記第１データフローが異常であるか否かを判定する工程と、
前記第１データフローと前記正常なトラフィックホワイトリストの比較が一致しない場合に、前記第１データフローが異常であると判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記正常なトラフィックホワイトリストを更新する工程と、を更に含む、
請求項６に記載の情報セキュリティ早期警報方法。
前記第１データフローと前記正常なトラフィックホワイトリストの比較が一致しない場合に、前記第１データフローが異常であると判定する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第１データフローを用いて前記正常なトラフィックホワイトリストを更新する工程と、を更に含む、
請求項６に記載の情報セキュリティ早期警報方法。
【請求項8】
前記第１悪意のあるプロシージャコードに対応するプロシージャコード関連テーブル、及び前記第１悪意のあるプロシージャコードに基づいて第２悪意のあるプロシージャコードを生成する工程と、
第２エラーパケットを生成するために、前記第１エラーパケット内の前記第１悪意のあるプロシージャコードの代わりに前記第２悪意のあるプロシージャコードを用いる工程と、
第２データフローを生成するために、前記第１データフローにおける前記第１エラーパケットの代わりに前記第２エラーパケットを用いる工程と、
前記第２データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第２データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記第２悪意のあるプロシージャコード及び前記第２データフローを用いて前記悪意のある特性データベースを更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第２データフローを用いて前記異常検出の設定を更新する工程と、を更に含む、
請求項７に記載の情報セキュリティ早期警報方法。
第２エラーパケットを生成するために、前記第１エラーパケット内の前記第１悪意のあるプロシージャコードの代わりに前記第２悪意のあるプロシージャコードを用いる工程と、
第２データフローを生成するために、前記第１データフローにおける前記第１エラーパケットの代わりに前記第２エラーパケットを用いる工程と、
前記第２データフローを前記仮想基地局から前記仮想コアネットワークにアナログ送信し、前記仮想コアネットワークが前記第２データフローを受信した後に前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できない場合に、前記第２悪意のあるプロシージャコード及び前記第２データフローを用いて前記悪意のある特性データベースを更新する工程と、
前記仮想ユーザ装置と前記仮想コアネットワークとの間に接続を確立できる場合に、前記第２データフローを用いて前記異常検出の設定を更新する工程と、を更に含む、
請求項７に記載の情報セキュリティ早期警報方法。
【請求項9】
前記プロシージャコード関連テーブルには前記第１悪意のあるプロシージャコードと複数の候補プロシージャコードとの間の複数の関連性数値が含まれ、
前記プロシージャコード関連テーブル及び前記第１悪意のあるプロシージャコードに基づいて前記第２悪意のあるプロシージャコードを生成する工程は、
前記複数の候補プロシージャコードから最も高い関連性数値を有する候補プロシージャコードを選択し、前記最も高い関連性数値を有する候補プロシージャコードを前記第２悪意のあるプロシージャコードとする工程を含む、
請求項８に記載の情報セキュリティ早期警報方法。
前記プロシージャコード関連テーブル及び前記第１悪意のあるプロシージャコードに基づいて前記第２悪意のあるプロシージャコードを生成する工程は、
前記複数の候補プロシージャコードから最も高い関連性数値を有する候補プロシージャコードを選択し、前記最も高い関連性数値を有する候補プロシージャコードを前記第２悪意のあるプロシージャコードとする工程を含む、
請求項８に記載の情報セキュリティ早期警報方法。
【請求項10】
前記第１悪意のあるプロシージャコードに対応する情報要素ルールテーブルに基づいて前記第１エラーパケット内の複数の情報要素が異常であるか否かを検出する工程と、
前記第１エラーパケット内の前記複数の情報要素のうちの少なくとも１つが異常であると検出した場合に、前記第１悪意のあるプロシージャコード、前記複数の情報要素のうちの前記少なくとも１つ、及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を更に含む、
請求項６に記載の情報セキュリティ早期警報方法。
前記第１エラーパケット内の前記複数の情報要素のうちの少なくとも１つが異常であると検出した場合に、前記第１悪意のあるプロシージャコード、前記複数の情報要素のうちの前記少なくとも１つ、及び前記第１データフローを用いて前記悪意のある特性データベースを更新する工程と、を更に含む、
請求項６に記載の情報セキュリティ早期警報方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は通信技術に関し、特に情報セキュリティ早期警報装置及び方法に関する。
【背景技術】
【0002】
第５世代スタンドアローン（５ｔｈ ｇｅｎｅｒａｔｉｏｎ ｓｔａｎｄａｌｏｎｅ、５Ｇ ＳＡと略称）アーキテクチャでは、第５世代基地局のソフトウェア化の傾向により、現在、外部からの攻撃に加え、アクセス・モビリティ管理機能（ａｃｃｅｓｓ ａｎｄ ｍｏｂｉｌｉｔｙ ｍａｎａｇｅｍｅｎｔ ｆｕｎｃｔｉｏｎ、ＡＭＦと略称）と次世代ノードＢ（ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ ｎｏｄｅ Ｂ、ｇＮＢと略称）との間でも攻撃を受ける可能性がある。オープンなオリジナルコードを基にして開発された基地局コンポーネントは、第５世代コアネットワーク（５ｔｈ ｇｅｎｅｒａｔｉｏｎ ｃｏｒｅ ｎｅｔｗｏｒｋ、５ＧＣと略称）を攻撃するための攻撃スプリングボードとして侵入される（特にＮ２インターフェースを経由する）可能性もある。
【発明の概要】
【0003】
本開示は、第１データフローをミラー方法で取得するデータ取得回路と、悪意のある特性データベース及び複数の命令を記憶するためのメモリと、データ取得回路及びメモリに接続され、仮想ユーザ装置、仮想基地局及び仮想コアネットワークを実行させるためのプロセッサと、を含み、前記プロセッサは、悪意のある特性データベースに基づいて第１データフローを検出し、第１データフローが悪意のあるトラフィックでない場合に、第１データフローに対して異常検出を行う工程と、第１データフローが異常であると検出した場合に、第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、仮想コアネットワークが第１データフローを受信した後に仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できるか否かを判定する工程と、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できる場合に、第１データフローを用いて異常検出の設定を更新する工程と、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できない場合に、仮想コアネットワークにより生成された複数の検出ログから、第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、第１悪意のあるプロシージャコード及び第１データフローを用いて悪意のある特性データベースを更新する工程と、を実行するために複数の命令にアクセスする情報セキュリティ早期警報装置を提供する。
【0004】
本開示は、第１データフローをミラー方法で取得する工程と、悪意のある特性データベースに基づいて第１データフローを検出し、第１データフローが悪意のあるトラフィックでない場合に、第１データフローに対して異常検出を行う工程と、第１データフローが異常であると検出した場合に、第１データフローを仮想基地局から仮想コアネットワークにアナログ送信し、仮想コアネットワークが第１データフローを受信した後に仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できるか否かを検出する工程と、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できる場合に、第１データフローを用いて異常検出の設定を更新する工程と、仮想ユーザ装置と仮想コアネットワークとの間に接続を確立できない場合に、仮想コアネットワークにより生成された複数の検出ログから、第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示すエラーログを選択する工程と、第１悪意のあるプロシージャコード及び第１データフローを用いて悪意のある特性データベースを更新する工程と、を含む情報セキュリティ早期警報方法を提供する。
【図面の簡単な説明】
【0005】
【図1】本開示の情報セキュリティ早期警報装置の模式図である。
【図2】本開示のいくつかの実施例による情報セキュリティ早期警報方法を実行する模式図である。
【図4】本開示のいくつかの実施例によるアナログ伝送の模式図である。
【図5】本開示のいくつかの実施例による接続確立の模式図である。
【図6】本開示のいくつかの実施例による検出ログの模式図である。
【発明を実施するための形態】
【0006】
現在の第５世代モバイルネットワーク（５ｔｈ ｇｅｎｅｒａｔｉｏｎ ｍｏｂｉｌｅ ｎｅｔｗｏｒｋｓ、５Ｇと略称）技術では、無線アクセスネットワーク（ｒａｄｉｏ ａｃｃｅｓｓ ｎｅｔｗｏｒｋ、ＲＡＮと略称）と第５世代コアネットワーク（５ｔｈ ｇｅｎｅｒａｔｉｏｎ ｃｏｒｅ ｎｅｔｗｏｒｋ、５ＧＣと略称）との間のＮ２インターフェースは、悪意のある攻撃に対する完全な警告や防御がないため、ネットワークセキュリティに大きな脆弱性をもたらすことが多い。また、無線アクセスネットワークはソフトウェア化されており、且つソフトウェア化されたところ、より多くの脆弱性をもたらす可能性があるため（従来技術における基地局はいずれも統一されたハードウェア仕様を採用し、脆弱性が発生しにくい）、ネットワーク攻撃者はＮ２インターフェースを経由して第５世代コアネットワークを攻撃しやすくなる。これに鑑みて、本開示は、Ｎ２インターフェースを経由したデータフロー（ｄａｔａ ｆｌｏｗ）を動的に分析する情報セキュリティ早期警報装置を提出し、このような動的分析は、仮想マシンの動的シミュレーションを利用して悪意のある特性データベース及び正常なトラフィックホワイトリストを更に更新する。これにより、悪意のある攻撃警告の精度を大幅に向上させる。
【0007】
本開示の情報セキュリティ早期警報装置１００の模式図である図１を参照する。図１に示すように、現代の第５世代モバイルネットワークアーキテクチャでは、ユーザ装置ＵＥは、無線アクセスネットワークＲＡＮに接続され、無線アクセスネットワークＲＡＮは、第５世代コアネットワーク５ＧＣに接続され、無線アクセスネットワークＲＡＮにおける次世代ノードＢ（ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ ｎｏｄｅ Ｂ、ｇＮＢと略称）（図示せず）と、第５世代コアネットワーク５ＧＣにおけるアクセス・モビリティ管理機能（ａｃｃｅｓｓ ａｎｄ ｍｏｂｉｌｉｔｙ ｍａｎａｇｅｍｅｎｔ ｆｕｎｃｔｉｏｎ， ＡＭＦ）（図示せず）との間にＮ２インターフェース（Ｎ２ ｉｎｔｅｒｆａｃｅ）Ｎ２Ｉが存在する。本開示の情報セキュリティ早期警報装置１００はＮ２インターフェースＮ２Ｉからデータフローを取得する。
【0008】
本実施例において、情報セキュリティ早期警報装置１００は、データ取得回路１１０、メモリ１２０及びプロセッサ１３０を含む。プロセッサ１３０は、データ取得回路１１０及びメモリ１２０に接続される。
【0009】
いくつかの実施例において、データ取得回路１１０は、Ｎ２インターフェースＮ２Ｉからデータフローを取得するための伝送回路によって実現されてもよい。いくつかの実施例において、メモリ１２０は、メモリユニット、フラッシュメモリ、読み出し専用メモリ、ハードディスク又は任意の同等の記憶コンポーネントによって実現されてもよい。いくつかの実施例において、プロセッサ１３０は、プロセッサユニット、中央処理ユニット又は計算ユニットによって実現されてもよい。
【0010】
データ取得回路１１０は、データフローをミラー（ｍｉｒｒｏｒ）方法で取得する（以下、取得されたデータフローを第１データフローと呼ぶ）。いくつかの実施例において、データ取得回路１１０は、Ｎ２インターフェースＮ２ＩからＮｅｔＦｌｏｗ形式の第１データフローをミラー方法で取得してもよい。言い換えれば、データ取得回路１１０は、Ｎ２インターフェースＮ２Ｉ上で伝送されているデータフローをコピーして取得することができる。
【0011】
メモリ１２０は、悪意のある特性（ｍａｌｉｃｉｏｕｓ ｆｅａｔｕｒｅ）データベースＢＤ及び複数の命令を記憶する。いくつかの実施例において、複数の命令は、ファームウェア又はソフトウェアによって実現される命令であってもよい。いくつかの実施例において、悪意のある特性データベースＢＤには、複数の悪意のある特性が記憶されてもよく、悪意のある特性は、悪意のある攻撃のデータフローに関連する特性を示す。いくつかの実施例において、悪意のある特性は、悪意のあるプロシージャコード（ｐｒｏｃｅｄｕｒｅ ｃｏｄｅ）シーケンス、悪意のある情報要素（ｉｎｆｏｒｍａｔｉｏｎ ｅｌｅｍｅｎｔ）又は上記両方の組み合わせを含んでもよい。
【0012】
例示的には、悪意のあるプロシージャコードシーケンスは、順番に並んだ複数のプロシージャコードを含んでもよく、このように順番に並んだこれらのプロシージャコードは、第５世代コアネットワーク５ＧＣをダウンさせることができる。悪意のある情報要素は、データフローのパケット内の悪意のあるフィールド（例えば、次世代アプリケーションプロトコル（ｎｅｘｔ ｇｅｎｅｒａｔｉｏｎ ａｐｐｌｉｃａｔｉｏｎ ｐｒｏｔｏｃｏｌ、ＮＧＡＰと略称）で定義されたパケットフィールド以外の余分なフィールド、又は次世代アプリケーションプロトコルによる定義の下で欠落したフィールド）、又は特定のフィールド内の悪意のある数値（例えば、特定のフィールド内の数値は、次世代アプリケーションプロトコルで定義された特定のフィールドの数値と一致しない）であり、悪意のあるフィールド又は特定のフィールド内の悪意のある数値は、第５世代コアネットワーク５ＧＣをダウンさせることもある。
【0013】
いくつかの実施例において、メモリ１２０は更に、正常なトラフィックホワイトリスト（ｗｈｉｔｅｌｉｓｔｉｎｇ）ＷＤを記憶してもよく、正常なトラフィックホワイトリストＷＤは、複数の正常なトラフィック特性を含んでもよい。いくつかの実施例において、正常なトラフィック特性は、正常なプロシージャコードシーケンス、正常な情報要素又は上記両方の組み合わせを含んでもよい。
【0014】
例示的には、正常なプロシージャコードシーケンスは、順番に並んだ複数のプロシージャコードを含んでもよく、このように順番に並んだこれらのプロシージャコードは、第５世代コアネットワーク５ＧＣのダウンを引き起こさない。正常な情報要素は、データフローのパケット内の正常なフィールド（例えば、次世代アプリケーションプロトコルによって定義されたパケットフィールド）、及びフィールド内の正常な数値（例えば、次世代アプリケーションプロトコルによって定義されたフィールドに一致する数値）であり、正常なフィールド及び正常な数値は、第５世代コアネットワーク５ＧＣのダウンを引き起こさない。
【0015】
いくつかの実施例において、プロセッサ１３０は、対応するソフトウェア又はファームウェア命令プロシージャに基づいて機械学習（ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ）モデルを実行してもよく、機械学習モデルは、悪意のある特性データベースＢＤを用いて訓練して、データフローが悪意のあるトラフィックであるか否かを判定してもよい。また、プロセッサ１３０は、対応するソフトウェア又はファームウェア命令プロシージャに基づいて他の機械学習モデルを実行してもよく、他の機械学習モデルは、正常なトラフィックホワイトリストＷＤを用いて訓練して、データフローが異常であるか否かを判定してもよい。
【0016】
なお、上記のこれらのデータベースの更新は、後続の段落で詳しく説明する。
【0017】
プロセッサ１３０は、対応するソフトウェア又はファームウェア命令プロシージャに基づいて仮想ユーザ装置ＶＵＥ、仮想基地局ＶｇＮＢ及び仮想コアネットワークＶ５ＧＣを実行し、上記複数の命令にアクセスする。いくつかの実施例において、プロセッサ１３０は、仮想マシン（ｖｉｒｔｕａｌ ｍａｃｈｉｎｅ）を用いて仮想ユーザ装置ＶＵＥ、仮想基地局ＶｇＮＢ及び仮想コアネットワークＶ５ＧＣを実行してもよい。いくつかの実施例において、仮想ユーザ装置ＶＵＥ及び仮想基地局ＶｇＮＢは、１つの仮想マシンによって実行されてもよく、且つ仮想コアネットワークＶ５ＧＣは、他の仮想マシンによって実行されてもよい（仮想コアネットワークＶ５ＧＣは、より複雑な機能及び演算能力を有するからである）。
【0018】
いくつかの実施例において、プロセッサ１３０は、メモリ１２０に予め記憶された仮想マシン仕様及び映像ファイルの関連情報に基づいて仮想マシンを生成及び実行してもよく、仮想マシンは、対応する仮想オペレーティングシステム及び仮想アプリケーションプロシージャを仮想ハードウェア又はソフトウェアによって実行してもよい。
【0019】
いくつかの実施例において、仮想ユーザ装置ＶＵＥは、仮想化された上記ユーザ装置ＵＥであってもよく、且つユーザ装置ＵＥと同じ機能及び演算能力を有する。いくつかの実施例において、仮想基地局ＶｇＮＢは、仮想化された上記無線アクセスネットワークＲＡＮにおける次世代ノードＢであってもよく、且つ次世代ノードＢと同じ機能及び演算能力を有する。いくつかの実施例において、仮想コアネットワークＶ５ＧＣは、仮想化された上記第５世代コアネットワーク５ＧＣにおけるアクセス・モビリティ管理機能であってもよく、且つアクセス・モビリティ管理機能と同じ機能及び演算能力を有する。
【0020】
なお、上記仮想ユーザ装置ＶＵＥ、仮想基地局ＶｇＮＢ及び仮想コアネットワークＶ５ＧＣの動作は、後続の段落で詳しく説明する。
【0021】
本開示のいくつかの実施例による情報セキュリティ早期警報方法を実行する模式図である図２を併せて参照する。図２に示す実施例の方法は、図１における情報セキュリティ早期警報装置１００に適用でき、情報セキュリティ早期警報装置１００における各コンポーネントとともに説明するが、これに限定されない。図２に示すように、情報セキュリティ早期警報方法は、工程Ｓ２１０～Ｓ２６０を含む。
【0022】
まず、工程Ｓ２１０において、データ取得回路１１０は、第１データフローをミラー方法で取得する。次に、静的分析段階（即ち工程Ｓ２２０～Ｓ２３０）に進む。いくつかの実施例において、データ取得回路１１０は、Ｎ２インターフェースＮ２Ｉにおいて伝送される第１データフローを取得してもよい。
【0023】
工程Ｓ２２０において、プロセッサ１３０は、悪意のある特性データベースＢＤに基づいて第１データフローを検出する（即ち、第１悪意のある検出）。第１データフローが悪意のあるトラフィックでない場合に、工程Ｓ２３０に進む。逆に、悪意のある警告メッセージを生成し、悪意のある警告メッセージを第５世代プライベートネットワーク安全監視プラットフォームＯＡＭに伝送する。
【0024】
いくつかの実施例において、悪意のある警告メッセージは、現在、Ｎ２インターフェースＮ２Ｉ上で既に悪意のある攻撃が発生したことを示してもよい。いくつかの実施例において、第５世代プライベートネットワーク安全監視プラットフォーム（Ｏｐｅｒａｔｉｏｎ Ａｄｍｉｎｉｓｔｒａｔｉｏｎ ａｎｄ Ｍａｉｎｔｅｎａｎｃｅ；ＯＡＭ）は、ネットワークを管理するためのネットワーク管理ホスト又はネットワーク管理サーバによって実現されてもよい。
【0025】
工程Ｓ２３０において、プロセッサ１３０は、第１データフローに対して異常検出を行う。以下、異常検出を更に説明する。
【0026】
【0027】
工程Ｓ２３１において、プロセッサ１３０は、正常なトラフィックホワイトリストＷＤを第１データフローと比較する。第１データフローと正常なトラフィックホワイトリストの比較が一致しない場合に、工程Ｓ２３２Ａに進む。逆に、工程Ｓ２３２Ｂに進む。工程Ｓ２３２Ａにおいて、プロセッサ１３０は、第１データフローが異常であると判定する。工程Ｓ２３２Ｂにおいて、プロセッサ１３０は、第１データフローが正常であると判定する。
【0028】
図２に示すように、プロセッサ１３０は、第１データフローが異常であると判定する場合に、動的分析段階（即ち、工程Ｓ２４０～Ｓ２５０Ｂ）に進む。プロセッサ１３０は、第１データフローが正常であると判定する場合に、プロセッサ１３０は、第１データフローが正常なトラフィックであると判定する。
【0029】
工程Ｓ２４０において、プロセッサ１３０は、第１データフローを仮想基地局ＶｇＮＢから仮想コアネットワークＶ５ＧＣにアナログ送信し（即ち、仮想マシンシミュレーション）、仮想コアネットワークＶ５ＧＣが第１データフローを受信した後に仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できるか否かを判定する（即ち、第２悪意のある検出）。仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できない（即ち、悪意のあると判定する）場合に、工程Ｓ２５０Ａに進み、更に悪意のある警告メッセージを生成して、悪意のある警告メッセージを第５世代プライベートネットワーク安全監視プラットフォームＯＡＭに伝送する。逆に（即ち、悪意のないと判定する）、プロセッサ１３０は、第１データフローが正常なトラフィックであると判定し、工程Ｓ２５０Ｂに進む。
【0030】
以下、アナログ伝送及び接続の確立について更に説明する。
【0031】
本開示のいくつかの実施例によるアナログ伝送の模式図である図４を併せて参照する。図４に示すように、プロセッサ１３０は、仮想マシンＶＭ１～ＶＭ２を実行させる。仮想マシンＶＭ１は、仮想ユーザ装置ＶＵＥ及び仮想基地局ＶｇＮＢをシミュレートするために用いられる。仮想マシンＶＭ２は、仮想コアネットワークＶ５ＧＣをシミュレートするために用いられる。プロセッサ１３０によって、仮想基地局ＶｇＮＢ、仮想ユーザ装置ＶＵＥ及び仮想コアネットワークＶ５ＧＣの間に仮想接続が確立され、プロセッサ１３０は、仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に仮想Ｎ２インターフェースＶＮ２Ｉをシミュレートし、且つ仮想Ｎ２インターフェースＶＮ２Ｉは、次世代アプリケーションプロトコルＮＧＡＰをサポートする。
【0032】
第５世代コアネットワーク５ＧＣに対する攻撃の多くは、無線アクセスネットワークＲＡＮからのものであるため、プロセッサ１３０は、トラフィックとして判定された第１データフローＡＦ（即ち、異常トラフィック）を仮想基地局ＶｇＮＢに導入して仮想コアネットワークＶ５ＧＣに伝送する。
【0033】
本開示のいくつかの実施例による接続確立の模式図である図５を併せて参照する。図５に示すように、プロセッサ１３０は、異常であると判定された第１データフローＡＦを仮想基地局ＶｇＮＢに導入して仮想コアネットワークＶ５ＧＣに伝送した後に、プロセッサ１３０は、仮想コアネットワークＶ５ＧＣが第１データフローＡＦを受信した後に仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できるか否かを判定する（即ち、接続テスト）。
【0034】
例示的には、プロセッサ１３０は、仮想ユーザ装置ＶＵＥが仮想基地局ＶｇＮＢを経由して接続要求（ｃｏｎｎｅｃｔｉｏｎ ｒｅｑｕｅｓｔ）を仮想コアネットワークＶ５ＧＣに伝送することをシミュレートすることができ、仮想ユーザ装置ＶＵＥが接続応答（ｃｏｎｎｅｃｔｉｏｎ ｒｅｓｐｏｎｓｅ）を受信したか否かを検出する。接続応答を受信した場合に、プロセッサ１３０は、仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できると判定する。
【0035】
図２に示すように、工程Ｓ２５０Ａにおいて、プロセッサ１３０は、仮想コアネットワークＶ５ＧＣにより生成された複数の検出ログ（ｌｏｇｓ）からエラーログ（即ち、悪意のある特性分析）を選択し、エラーログは、第１データフローにおける第１エラーパケットには第１悪意のあるプロシージャコードがあることを示す。
【0036】
いくつかの実施例において、仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できない場合に、仮想コアネットワークＶ５ＧＣは、仮想基地局ＶｇＮＢによりアップロードされた第１データフローを検出して複数の検出ログを生成してもよく、各検出ログは、第１データフローにおける各パケットに対応する。
【0037】
いくつかの実施例において、仮想基地局ＶｇＮＢは、検出ログが第１データフローにおけるパケットのプロシージャコードにエラーがあるのを示していると検出した場合に、仮想基地局ＶｇＮＢは、この検出ログをエラーログとし、パケット及びプロシージャコードをそれぞれ第１エラーパケット及び第１悪意のあるプロシージャコードとし、このエラーパケットを取得してもよい。
【0038】
例示的には、仮想基地局ＶｇＮＢは、仮想コアネットワークＶ５ＧＣと特定のプロシージャ（例えば、仮想ユーザ装置ＶＵＥによる仮想コアネットワークＶ５ＧＣへの接続要求）を行う必要がある場合に、仮想基地局ＶｇＮＢは、特定のプロシージャに対応するデータフローを伝送し、データフローにおける複数のパケットのプロシージャコードは、特定の数値及び順序を有する。仮想コアネットワークＶ５ＧＣは、特定のプロシージャに基づいて複数のパケットのプロシージャコードの数値及び順序を識別することができる。仮想コアネットワークＶ５ＧＣは、あるパケットのプロシージャコードの数値又は順序のエラーを検出した場合に、エラーログを生成することができ、エラーログは、データフローにおけるエラーパケットが悪意のあるプロシージャコードを有することを示す。
【0039】
以下、エラーログを実例によって説明する。
【0040】
本開示のいくつかの実施例による検出ログＬＯＧＳの模式図である図６を併せて参照する。図６に示すように、仮想基地局ＶｇＮＢは、仮想コアネットワークＶ５ＧＣと特定のプロシージャを行う必要がある場合に、特定のプロシージャに対応するデータフローを伝送し、仮想コアネットワークＶ５ＧＣは、データフローに基づいて監視情報を生成する。仮想コアネットワークＶ５ＧＣは、データフローに基づいて現在行われている特定のプロシージャを検出し、特定のプロシージャに基づいてデータフローにおける複数のパケットのプロシージャコードが持つべき数値及び順序を識別し、更にこれに基づいて監視情報を生成する。
【0041】
監視情報には、複数の検出結果を示す検出情報ＩＮＦＯと、特定のプロシージャコード情報（例えば、「ＨａｎｄｌｅＮａｓＮｏｎＤｅｌｉｖｅｒｙ）を示す検出ログＬＯＧＳとが含まれる。プロセッサ１３０は、検出情報ＩＮＦＯから異常情報ＡＢ＿ＩＮＦＯ（「ＥＲＲＯＲ」又は「ＷＡＲＮＩＮＧ」を示す情報）を取得し、検出ログＬＯＧＳから異常情報ＡＢ＿ＩＮＦＯに対応するエラーログＡＢ＿ＬＯＧを取得することができる。エラーログＡＢ＿ＬＯＧは、エラープロシージャコード情報「ＨａｎｄｌｅＮａｓＮｏｎＤｅｌｉｖｅｒｙ」を示し、エラープロシージャコード情報「ＨａｎｄｌｅＮａｓＮｏｎＤｅｌｉｖｅｒｙ」は、プロシージャコードを示し、このプロシージャコードは、３５（次世代アプリケーションプロトコルによってプロシージャコード情報がどのプロシージャコードに対応するかを定義する）である。これにより、プロセッサ１３０は、検出ログＬＯＧＳからエラーログＡＢ＿ＬＯＧを選択する。また、プロセッサ１３０は、第１データフローからこのプロシージャコードを有するパケットを選択して、このパケットにエラーが発生していることを把握することもできる。
【0042】
図２に示すように、工程Ｓ２５０Ｂにおいて、プロセッサ１３０は、第１データフローを用いて異常検出の設定を更新する。いくつかの実施例において、プロセッサ１３０は、第１データフローを用いて正常なトラフィックホワイトリストＷＤを更新してもよい。いくつかの実施例において、プロセッサ１３０は、第１データフローに対応する正常なプロシージャコードシーケンスを用いて正常なトラフィックホワイトリストＷＤを更新してもよい。
【0043】
例示的には、第１データフローは、第１データフローにおける３つのパケットのプロシージャコードにより生成され得る１つの正常なプロシージャコードシーケンスを有し、この正常なプロシージャコードシーケンスは１－＞６－＞７である。言い換えれば、３つのパケットのプロシージャコードは、順に１、６及び７である場合に、第５世代コアネットワーク５ＧＣのダウンを引き起こさない。したがって、この正常なプロシージャコードシーケンスを正常なトラフィックホワイトリストＷＤ（即ち、正常なトラフィックホワイトリストＷＤを更新する）に記憶することができる。
【0044】
なお、本開示は、このように正常なトラフィックホワイトリストＷＤをリアルタイムで動的に更新するため、データフローが異常であると誤って報告される可能性を大幅に低減させる。
【0045】
工程Ｓ２６０において、プロセッサ１３０は、第１悪意のあるプロシージャコード及び第１データフローを用いて悪意のある特性データベースＢＤを更新する。
【0046】
いくつかの実施例において、プロセッサ１３０は、第１データフローにおける複数のパケットのプロシージャコードにより第１悪意のあるプロシージャコードシーケンスを生成し、第１悪意のあるプロシージャコードシーケンス及び第１悪意のあるプロシージャコードを含む悪意のある特性を生成し、更に悪意のある特性を悪意のある特性データベースＢＤに記憶してもよい。例示的には、下記表１は悪意のある特性である。
【0047】
【表1】
【0048】
表１から分かるように、上記悪意のある特性の悪意のある特性番号はＡであり、悪意のあるプロシージャコードシーケンスは、順に１５、６及び７であり、悪意のあるプロシージャコードは１５であり、及びこのような悪意のある特性は、第５世代コアネットワーク５ＧＣのダウン（即ち、エラー）を引き起こす。言い換えれば、このような悪意のある特性は、３つのパケットのプロシージャコードが順に１５、６及び７である場合に、第５世代コアネットワーク５ＧＣのダウンを引き起こし、且つ主にプロシージャコード１５により引き起こされることを示す。
【0049】
本開示は、第５世代コアネットワーク５ＧＣのダウンを引き起こす悪意のある特性を用いて悪意のある特性データベースＢＤを更新することができることに加えて、更に悪意のある特性を拡張することができる。以下、悪意のある特性の拡張を更に説明する。
【0050】
【0051】
工程Ｓ２５０Ｂを実行する場合に、工程Ｓ２５１’に進むことができる。工程Ｓ２５１’において、プロセッサ１３０は、プロシージャコード関連テーブル（ｐｒｏｃｅｄｕｒｅ ｒｅｌａｔｉｏｎａｌ ｔａｂｌｅ）及び第１悪意のあるプロシージャコードに基づいて第２悪意のあるプロシージャコードを生成し、プロシージャコード関連テーブルは、第１悪意のあるプロシージャコードに対応する。いくつかの実施例において、プロシージャコード関連テーブルは、第１悪意のあるプロシージャコードと複数の候補プロシージャコードとの間の複数の関連性数値（プロシージャコードがどのプロシージャコードに最も関連するかを次世代アプリケーションプロトコルによって定義する）を含む。いくつかの実施例において、プロセッサ１３０は、複数の候補プロシージャコードから最も高い関連性数値を有する候補プロシージャコードを選択し、最も高い関連性数値を有する候補プロシージャコードを第２悪意のあるプロシージャコードとする。
【0052】
例示的には、下記表２はプロシージャコード関連テーブルである。
【0053】
【表2】
【0054】
表２から分かるように、これは、プロシージャコード情報「ＤｏｗｎＬｉｎｋＮＡＳＴｒａｎｓｐｏｒｔ」のプロシージャコード関連テーブルである。プロシージャコード関連テーブルは、プロシージャコード情報「ＤｏｗｎＬｉｎｋＮＡＳＴｒａｎｓｐｏｒｔ」と最も関連するのがプロシージャコード情報「ＤｏｗｎＬｉｎｋＮＡＳ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｔｒａｎｓｐｏｒｔ」及びプロシージャコード情報「ＤｏｗｎＬｉｎｋＮＡＳ Ｓｔａｔｕｓ Ｔｒａｎｓｐｏｒｔ」（即ち、最も高い関連性数値３を有する）であることを示す。したがって、プロシージャコード６又は７を第２悪意のあるプロシージャコードとすることができる。
【0055】
工程Ｓ２５２’において、プロセッサ１３０は、第２エラーパケットを生成するために、第１エラーパケット内の第１悪意のあるプロシージャコードの代わりに第２悪意のあるプロシージャコードを用いる。言い換えれば、プロセッサ１３０は、元の第１悪意のあるプロシージャコードの代わりに、第２悪意のあるプロシージャコードを第１エラーパケット内のプロシージャコードとし、更に第２エラーパケットを生成する。
【0056】
工程Ｓ２５３’において、プロセッサ１３０は、第２データフローを生成するために、第１データフローにおける第１エラーパケットの代わりに第２エラーパケットを用いる。言い換えれば、プロセッサ１３０は、第１データフローにおける第１エラーパケットを第２エラーパケットによって取って代わることである。
【0057】
例示的には、表１を参照し、仮に第１悪意のあるプロシージャコードシーケンスは１５－＞６－＞７、第１悪意のあるプロシージャコードは１５であり、そして第１悪意のあるプロシージャコード１５と最も関連するのはプロシージャコード１６であると、プロセッサ１３０は、プロシージャコード１６を第２悪意のあるプロシージャコードとし、第１悪意のあるプロシージャコードに対応する第１エラーパケットのプロシージャコードを１６に修正して第２エラーパケットを生成することができる。これにより、プロセッサ１３０は、第２データフローを生成するために、第１データフローにおける第１エラーパケットの代わりに第２エラーパケットを用いることができる。この場合、プロセッサ１３０は、第２データフローにより第２悪意のあるプロシージャコードシーケンスを生成することができ、第２データフローの第２悪意のあるプロシージャコードシーケンスは１６－＞６－＞７である。
【0058】
工程Ｓ２５４’において、プロセッサ１３０は、第２データフローを仮想基地局ＶｇＮＢから仮想コアネットワークＶ５ＧＣにアナログ送信し、仮想コアネットワークＶ５ＧＣが第２データフローを受信した後に仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できるか否かを検出する。仮想ユーザ装置ＶＵＥと仮想コアネットワークＶ５ＧＣとの間に接続を確立できる（即ち、悪意のないと判定する）場合に、工程Ｓ２５５Ａ’に進む。逆に（即ち、悪意のあると判定する）、工程Ｓ２５５Ｂ’に進む。
【0059】
なお、第２データフローに対するアナログ接続方法は上記第１データフローに対するアナログ接続方法と同じであるため、ここでは詳細な説明を省略する。
【0060】
なお、工程Ｓ２５５Ａ’において、プロセッサ１３０は、第２データフローを用いて異常検出の設定を更新する。工程Ｓ２５５Ｂ’において、プロセッサ１３０は、第２悪意のあるプロシージャコード及び第２データフローを用いて悪意のある特性データベースＢＤ（即ち、未知の攻撃が追加される特性）を更新する。その後、本開示の情報セキュリティ早期警報方法を終了する。なお、ここで異常検出の設定を更新する方法及び悪意のある特性データベースＢＤを更新する方法は、それぞれ上記工程Ｓ２５０Ｂ及び工程Ｓ２６０と同じであるため、ここでは詳細な説明を省略する。
【0061】
本開示では、悪意のある特性を拡張できることに加えて、更に悪意のある特性に悪意のある情報要素（ｉｎｆｏｒｍａｔｉｏｎ ｅｌｅｍｅｎｔ）を拡張することができる。以下、悪意のある特性の拡張を更に説明する。
【0062】
【0063】
工程Ｓ２５０Ｂを実行する場合に、工程Ｓ２５１”に進んでもよい。工程Ｓ２５１”において、プロセッサ１３０は、情報要素ルールテーブル（ｉｎｆｏｒｍａｔｉｏｎ ｅｌｅｍｅｎｔｓ ｔａｂｌｅ）に基づいて第１エラーパケット内の複数の情報要素が異常であるか否かを検出し、情報要素ルールテーブルは、第１悪意のあるプロシージャコードに対応する。第１エラーパケット内の複数の情報要素のうちの少なくとも１つが異常であると検出した場合に、工程Ｓ２５２”に進む。逆に、本開示の情報セキュリティ早期警報方法を終了する。
【0064】
いくつかの実施例において、情報要素ルールテーブルは、第１悪意のあるプロシージャコードに対応するパケットに含まれる複数の必要なフィールド、及び各必要なフィールドに対応する数値の範囲（いずれも次世代アプリケーションプロトコルによって定義される）を示す。言い換えれば、プロシージャコードごとに異なる情報要素ルールテーブルがある。
【0065】
いくつかの実施例において、プロセッサ１３０は、第１エラーパケットの複数のフィールドを上記複数の必要なフィールドと比較して、第１エラーパケットに余分なフィールド又は欠落したフィールドが存在するか否かを判定し、第１エラーパケットの複数のフィールドと複数の対応する数値範囲とを比較して、第１エラーパケットにフィールド異常値が存在するか否かを判定する。続いて、プロセッサ１３０は、余分なフィールド又は欠落したフィールドを悪意のあるフィールドとし、フィールド異常値を悪意のある数値としてもよい。
【0066】
工程Ｓ２５２”において、プロセッサ１３０は、第１悪意のあるプロシージャコード、複数の情報要素のうちの少なくとも１つ、及び第１データフローを用いて悪意のある特性データベースＢＤを更新する。
【0067】
いくつかの実施例において、プロセッサ１３０は、第１データフローのプロシージャコードに基づいて第１悪意のあるプロシージャコードシーケンスを生成し、複数の情報要素のうちの少なくとも１つにより悪意のあるフィールド又は悪意のある数値を生成してもよい。続いて、プロセッサ１３０は、悪意のある特性を生成してもよく、悪意のある特性は、第１悪意のあるプロシージャコード、第１悪意のあるプロシージャコードシーケンス、及び悪意のあるフィールド／悪意のある数値を含む。これにより、プロセッサ１３０は、この悪意のある特性を用いて悪意のある特性データベースＢＤを更新してもよい。
【0068】
以上のように、本開示の情報セキュリティ早期警報装置及び方法は、５Ｇ環境をシミュレートする方法を利用して、Ｎ２インターフェースのデータフローが５Ｇコアネットワークのダウンを引き起こすか否かを動的に判定し、判定結果に基づいて悪意のある特性データベース及び正常なトラフィックホワイトリストを更新する。これにより、悪意のあるトラフィック及びトラフィックの異常の判定精度を大幅に向上させることができる。また、本開示の情報セキュリティ早期警報装置及び方法は、更にプロシージャコード関連テーブル及び情報要素ルールテーブルを利用して、悪意のある特性を更に拡張して、悪意のある特性データベースを更新する。このようにして、将来起こりうる未知の攻撃を回避するために、未知の攻撃の特性を得ることができる。
【0069】
本発明は、実施例で上記のように開示されたが、それらの実施例は本発明を限定するものではなく、当業者は、本発明の精神及び範囲を逸脱することなく、様々な変更及び修正を行うことができ、したがって本発明の保護範囲は、後付の特許請求の範囲によって定義されるものに準ずるものとする。
【符号の説明】
【0070】
ＵＥ ユーザ装置
ＲＡＮ 無線アクセスネットワーク
Ｎ２Ｉ Ｎ２インターフェース
５ＧＣ 第５世代コアネットワーク
１００ 情報セキュリティ早期警報装置
１１０ データ取得回路
１２０ メモリ
１３０ プロセッサ
ＢＤ 悪意のある特性データベース
ＷＤ 正常なトラフィックホワイトリスト
ＶＵＥ 仮想ユーザ装置
ＶｇＮＢ 仮想基地局
Ｖ５ＧＣ 仮想コアネットワーク
ＯＡＭ 第５世代プライベートネットワーク安全監視プラットフォーム
Ｓ２１０～Ｓ２６０、Ｓ２３１～Ｓ２３２Ｂ、Ｓ２５０’、Ｓ２５１’～Ｓ２５５Ｂ’、Ｓ２５０”、Ｓ２５１”～Ｓ２５２” 工程
ＡＦ 第１データフロー
ＶＭ１、ＶＭ２ 仮想マシン
ＶＮ２Ｉ 仮想Ｎ２インターフェース
ＮＧＡＰ 次世代アプリケーションプロトコル
ＩＮＦＯ 検出情報
ＡＢ＿ＩＮＦＯ 異常情報
ＡＢ＿ＬＯＧ エラーログ
ＬＯＧＳ 検出ログ
ＲＡＮ 無線アクセスネットワーク
Ｎ２Ｉ Ｎ２インターフェース
５ＧＣ 第５世代コアネットワーク
１００ 情報セキュリティ早期警報装置
１１０ データ取得回路
１２０ メモリ
１３０ プロセッサ
ＢＤ 悪意のある特性データベース
ＷＤ 正常なトラフィックホワイトリスト
ＶＵＥ 仮想ユーザ装置
ＶｇＮＢ 仮想基地局
Ｖ５ＧＣ 仮想コアネットワーク
ＯＡＭ 第５世代プライベートネットワーク安全監視プラットフォーム
Ｓ２１０～Ｓ２６０、Ｓ２３１～Ｓ２３２Ｂ、Ｓ２５０’、Ｓ２５１’～Ｓ２５５Ｂ’、Ｓ２５０”、Ｓ２５１”～Ｓ２５２” 工程
ＡＦ 第１データフロー
ＶＭ１、ＶＭ２ 仮想マシン
ＶＮ２Ｉ 仮想Ｎ２インターフェース
ＮＧＡＰ 次世代アプリケーションプロトコル
ＩＮＦＯ 検出情報
ＡＢ＿ＩＮＦＯ 異常情報
ＡＢ＿ＬＯＧ エラーログ
ＬＯＧＳ 検出ログ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
