ホーム > 特許ランキング > トヨタ自動車株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2025062920
(43)【公開日】2025-04-15
(54)【発明の名称】通信システム、制御装置、及び、通信方法
(51)【国際特許分類】
H04L 12/22 20060101AFI20250408BHJP
H04L 12/66 20060101ALI20250408BHJP
H04W 12/122 20210101ALI20250408BHJP
【ＦＩ】
H04L12/22
H04L12/66
H04W12/122
【審査請求】未請求
【請求項の数】20
【出願形態】ＯＬ
(21)【出願番号】P 2023172288
(22)【出願日】2023-10-03
(71)【出願人】
【識別番号】000003207
【氏名又は名称】トヨタ自動車株式会社
(74)【代理人】
【識別番号】110002860
【氏名又は名称】弁理士法人秀和特許事務所
(72)【発明者】
【氏名】岡田 和也
(72)【発明者】
【氏名】金子 直矢
(72)【発明者】
【氏名】邵 校
(72)【発明者】
【氏名】馬 じん
(72)【発明者】
【氏名】朝岡 拓也
【テーマコード（参考）】
5K030
5K067
【Ｆターム（参考）】
5K030GA15
5K030HA08
5K030JA10
5K030JA11
5K030LC13
5K067EE02
5K067EE16
(57)【要約】
【課題】ネットワークへの攻撃を従来よりも広範で確実に把握し、攻撃に適切に対応する。
【解決手段】通信システムは、通信装置に通信ネットワークを提供する。本通信システムは、制御装置を備える。本制御装置は、通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける処理と、受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する。
【選択図】図５
【解決手段】通信システムは、通信装置に通信ネットワークを提供する。本通信システムは、制御装置を備える。本制御装置は、通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける処理と、受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する。
【選択図】図５
【特許請求の範囲】
【請求項1】
通信装置に通信ネットワークを提供する通信システムであって、
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する制御装置を備える通信システム。
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する制御装置を備える通信システム。
【請求項2】
前記制御装置は、前記通信システムに接続中の前記通信装置に対して一律に前記防御処理を実行する請求項１に記載の通信システム。
【請求項3】
前記脅威情報は、前記脅威による攻撃の対象となる特定通信装置を特定する情報を有し、
前記制御装置は、前記特定通信装置に対して前記防御処理を実行する請求項１に記載の通信システム。
前記制御装置は、前記特定通信装置に対して前記防御処理を実行する請求項１に記載の通信システム。
【請求項4】
前記特定通信装置は、車両に搭載される装置であり、
前記特定する情報は、前記車両を特定する情報を含む請求項３に記載の通信システム。
前記特定する情報は、前記車両を特定する情報を含む請求項３に記載の通信システム。
【請求項5】
前記通信ネットワークは、５Ｇコアネットワークを含み、
前記制御装置は、前記５Ｇコアネットワークに設けられるNetwork Exposure Function
（ＮＥＦ）を利用して前記脅威に関する前記脅威情報を受け付ける請求項１に記載の通信システム。
前記制御装置は、前記５Ｇコアネットワークに設けられるNetwork Exposure Function
（ＮＥＦ）を利用して前記脅威に関する前記脅威情報を受け付ける請求項１に記載の通信システム。
【請求項6】
前記通信ネットワークは、５Ｇコアネットワークを含み、
前記制御装置は、前記５Ｇコアネットワークに設けられるNetwork Exposure Function
（ＮＥＦ）を介さないで直接前記脅威に関する前記脅威情報を受け付ける請求項１に記載の通信システム。
前記制御装置は、前記５Ｇコアネットワークに設けられるNetwork Exposure Function
（ＮＥＦ）を介さないで直接前記脅威に関する前記脅威情報を受け付ける請求項１に記載の通信システム。
【請求項7】
前記制御装置は、前記５Ｇコアネットワークに設けられるPolicy Control Function（
ＰＣＦ）を通じて、User Plane Function（ＵＰＦ）において前記防御処理を実行する請
求項５に記載の通信システム。
ＰＣＦ）を通じて、User Plane Function（ＵＰＦ）において前記防御処理を実行する請
求項５に記載の通信システム。
【請求項8】
前記制御装置は、前記脅威情報の形式が前記防御処理を実行な形式とは異なる場合に、前記防御処理を実行な形式に前記脅威情報の形式を変換すること、または、前記脅威情報に対応して前記ＵＰＦにおいて実行する前記防御処理を特定することを実行し、
さらに、前記変換された形式の前記脅威情報に対応する前記防御処理または前記特定された前記防御処理を前記ＵＰＦにおいて実行する請求項７に記載の通信システム。
さらに、前記変換された形式の前記脅威情報に対応する前記防御処理または前記特定された前記防御処理を前記ＵＰＦにおいて実行する請求項７に記載の通信システム。
【請求項9】
前記制御装置は、前記通信ネットワークに接続されるルータ、または前記通信ネットワークに接続されるセキュリティ装置に対して前記防御処理を実行する請求項１に記載の通信システム。
【請求項10】
前記制御装置は、前記脅威情報の形式が前記防御処理を実行な形式とは異なる場合に、前記防御処理を実行な形式に前記脅威情報の形式を変換すること、または、前記脅威情報に対応して前記ルータまたは前記セキュリティ装置において実行する前記防御処理を特定することを実行し、
さらに、前記変換された形式の前記脅威情報に対応する前記防御処理または前記特定された前記防御処理を前記ルータまたは前記セキュリティ装置において実行する請求項９に記載の通信システム。
さらに、前記変換された形式の前記脅威情報に対応する前記防御処理または前記特定された前記防御処理を前記ルータまたは前記セキュリティ装置において実行する請求項９に記載の通信システム。
【請求項11】
前記通信装置のユーザと前記通信システムを管理する事業者との契約に基づく契約データを記憶する記憶装置を有し、
前記制御装置は、複数の前記通信装置のうち、前記契約データを基に前記防御処理を適用する前記通信装置を決定する請求項１に記載の通信システム。
前記制御装置は、複数の前記通信装置のうち、前記契約データを基に前記防御処理を適用する前記通信装置を決定する請求項１に記載の通信システム。
【請求項12】
前記制御装置は、前記通信システムの外部に接続された情報処理環境に前記通信装置または前記通信装置を搭載した移動体内の環境を模倣した模擬受信システムを作成し、前記通信システムが提供する前記通信ネットワークの内外からの攻撃を模擬受信システムに誘導する請求項１に記載の通信システム。
【請求項13】
前記通信ネットワークは、５Ｇコアネットワークを含み、
前記制御装置は、前記５Ｇコアネットワークに設けられる請求項１に記載の通信システム。
前記制御装置は、前記５Ｇコアネットワークに設けられる請求項１に記載の通信システム。
【請求項14】
前記通信ネットワークは、５Ｇコアネットワークを含み、
前記制御装置は、前記５Ｇコアネットワークに接続されるApplication Function（ＡＦ）として設けられる請求項１に記載の通信システム。
前記制御装置は、前記５Ｇコアネットワークに接続されるApplication Function（ＡＦ）として設けられる請求項１に記載の通信システム。
【請求項15】
通信装置に通信ネットワークを提供する通信システムの制御装置であって、
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する制御装置。
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する制御装置。
【請求項16】
通信装置に通信ネットワークを提供する通信システムにおける通信方法であって、
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する通信方法。
前記通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける受付処理と、
受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する通信方法。
【請求項17】
前記脅威情報は、前記脅威による攻撃の対象となる特定通信装置を特定する情報を有し、
前記特定通信装置に対して前記防御処理を実行する請求項１６に記載の通信方法。
前記特定通信装置に対して前記防御処理を実行する請求項１６に記載の通信方法。
【請求項18】
前記特定通信装置は、車両に搭載される装置であり、
前記特定する情報は、前記車両を特定する情報を含む請求項１７に記載の通信方法。
前記特定する情報は、前記車両を特定する情報を含む請求項１７に記載の通信方法。
【請求項19】
前記通信ネットワークは、５Ｇコアネットワークを含み、
前記受付処理では、前記５Ｇコアネットワークに設けられるNetwork Exposure Function（ＮＥＦ）を利用して前記脅威に関する前記脅威情報が受け付けられる請求項１６に記
載の通信方法。
前記受付処理では、前記５Ｇコアネットワークに設けられるNetwork Exposure Function（ＮＥＦ）を利用して前記脅威に関する前記脅威情報が受け付けられる請求項１６に記
載の通信方法。
【請求項20】
前記通信システムの外部に接続された情報処理環境に前記通信装置または前記通信装置を搭載した移動体内の環境を模倣した模擬受信システムを作成し、前記通信システムが提供する前記通信ネットワークの内外からの攻撃を模擬受信システムに誘導することをさらに実行する請求項１６に記載の通信方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、通信システム、制御装置、及び、通信方法に関するものである。
【背景技術】
【0002】
今日、５Ｇ(5th Generation)、５Ｇ Evolution、さらに６Ｇ(6th Generation)に例示されるように、通信システムの高度化が期待されている。しかし、通信システムが高度化されても、外部からの通信信号がネットワークに与える影響は無視できない。そこで、例えば、従来の技術として、正常な通信信号を少なくとも１つ含んだ正常コールフロー（正常信号群）の特徴量、及び、異常な通信信号を少なくとも１つ含んだ異常コールフロー（異常信号群）を判定するシステムが提案されている。ここで、異常コールフローとは、外部からの攻撃に係る信号を含む既知の攻撃コールフローである。このシステムは、正常コールフローと異常コールフローとを予め学習させた学習モデル（学習データ）と、前処理部によって抽出された判定対象コールフローの特徴量とに基づき、判定対象コールフローが未知のコールフローである未知コールフロー（未知信号群）であるか否かを判定する。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０２０－０２５２２０号公報
【特許文献2】特開２０２０－１７４３９１号公報
【非特許文献】
【0004】
【非特許文献1】3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; Procedures for the 5G System (5GS);Stage 2(Release 18)3GPP（登録商標） TS 23.502 V18.2.0 (2023-06)
【非特許文献2】3rd Generation Partnership Project; Technical Specification Group Services and System Aspects;5G System Enhancements for Edge Computing; Stage 2(Release 18) 3GPP（登録商標） TS 23.548 V18.3.0 (2023-09)
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、通信システムが高度化され、通信システムが提供する通信ネットワークが複雑化すると、例えば、通信ネットワークを管理する通信システム単独で、通信ネットワークへの攻撃に係る信号を特定することは容易ではない。
【0006】
本開示の実施の形態の課題は、通信ネットワークへの攻撃を従来よりも広範で確実に把握し、攻撃に適切に対応することである。
【課題を解決するための手段】
【0007】
開示の実施形態は、通信装置に通信ネットワークを提供する通信システムによって例示される。本通信システムは、制御装置を備える。本制御装置は、通信システムの外部の組織から、前記通信ネットワークを利用する前記通信装置に対する脅威に関する脅威情報を受け付ける処理と、受け付けた前記脅威情報を基に前記通信装置を防御する防御処理と、を実行する。
【発明の効果】
【0008】
本通信システムによれば、通信システムが提供する通信ネットワークへの攻撃を従来よりも広範で確実に把握し、攻撃に適切に対応することができる。
【図面の簡単な説明】
【0009】
【発明を実施するための形態】
【0010】
以下、図面を参照して、本開示の実施形態に係る通信システム、制御装置、及び、通信方法が説明される。以下の各実施形態は説明のための例示に過ぎず、本開示は実施形態の構成に限定されない。例えば、以下では、本開示を第５世代移動通信システムに適用した例を説明するが、本開示は、第４世代のあるいは第５世代以降の移動通信システムに適用されてもよい。本開示は、また、３ＧＰＰ（登録商標）以外によって規定される移動通信システムに適用されてもよいし、移動通信システム以外の任意の無線通信システムあるいは有線通信システムに適用されてもよい。
【0011】
本通信システムは、通信装置に通信ネットワークを提供する。本通信システムは、通信システムの外部の組織から、通信ネットワークを利用する通信装置に対する脅威に関する脅威情報を受け付ける処理と、受け付けた脅威情報を基に通信装置を防御する防御処理と、を実行する制御装置を備える。また、本通信システムは、例えば、図１に例示するＮＥＦ１１ｅ(Network Exposure Function)という機能を有し、通信システムから外部に提供
される機能を公開する。また、ＮＥＦ１１ｅは、外部のアプリケーションサーバ等から、本通信システムへの情報の提供を受ける。脅威情報は、通信ネットワークに対するサイバー攻撃に関する情報、通信ネットワークの脆弱性等に関する情報を含む。サイバー攻撃とは、一般的には、情報処理装置または端末等への攻撃をいう。本実施形態では、主として、通信ネットワークに接続する通信装置（図１のＵＥ２）に対する攻撃を例に説明がされる。
される機能を公開する。また、ＮＥＦ１１ｅは、外部のアプリケーションサーバ等から、本通信システムへの情報の提供を受ける。脅威情報は、通信ネットワークに対するサイバー攻撃に関する情報、通信ネットワークの脆弱性等に関する情報を含む。サイバー攻撃とは、一般的には、情報処理装置または端末等への攻撃をいう。本実施形態では、主として、通信ネットワークに接続する通信装置（図１のＵＥ２）に対する攻撃を例に説明がされる。
【0012】
本通信システムの外部の組織は、例えば、本通信システムに接続され、アプリケーションサーバと呼ばれるコンピュータを利用する。アプリケーションサーバは、例えば、上記のＮＥＦ１１ｅを介して、または、ＮＥＦ１１ｅを介さないで直接制御装置に脅威情報を提供する。本制御装置は、受け付けた脅威情報を基に通信装置を防御する防御処理を実行する。ここで、脅威情報は、ネットワークへの攻撃者９０（例えば、図５参照）を特定するための情報を含む。なお、以下の各実施形態において、「攻撃者」とは脅威となる攻撃
のパケットあるいは攻撃のトラフィックの送信元の通信装置、情報処理装置等をいう。また、脅威情報は、攻撃者９０が攻撃の対象とする通信装置、例えば、ＵＥ２(User Equipment、図１参照)と呼ばれるものを特定する情報、または、ＵＥ２を搭載した移動体等を特定する情報を含んでもよい。
のパケットあるいは攻撃のトラフィックの送信元の通信装置、情報処理装置等をいう。また、脅威情報は、攻撃者９０が攻撃の対象とする通信装置、例えば、ＵＥ２(User Equipment、図１参照)と呼ばれるものを特定する情報、または、ＵＥ２を搭載した移動体等を特定する情報を含んでもよい。
【0013】
本通信システムの特徴は、通信システムの外部の組織から受け付けた脅威情報を基に、通信ネットワークを利用する通信装置（ＵＥ２）に防御処理を実行できる点にある。すなわち、本通信システムは、本通信システムが単独で有する情報のみではなく、外部の組織からの脅威情報を有効に活用し、本通信システムが提供する通信ネットワークを利用する通信装置を攻撃から防御できる。
【0014】
＜第１実施形態＞（通信システムの構成）
以下、図面に基づいて、第１実施形態が説明される。図１は、第５世代移動通信システム（５Ｇ網、５ＧＮＷ（Network）とも呼ばれる）を構成するコンポーネント（構成要素
）を例示する。図１において、ＵＥ２は、ユーザ（加入者）の端末である。ＲＡＮ（Radio Access Network）３は、５Ｇコアネットワーク（５ＧＣ）へのアクセス網である。ＲＡＮ３は、基地局（ｇＮＢ（next Generation Node B））によって構成される。
以下、図面に基づいて、第１実施形態が説明される。図１は、第５世代移動通信システム（５Ｇ網、５ＧＮＷ（Network）とも呼ばれる）を構成するコンポーネント（構成要素
）を例示する。図１において、ＵＥ２は、ユーザ（加入者）の端末である。ＲＡＮ（Radio Access Network）３は、５Ｇコアネットワーク（５ＧＣ）へのアクセス網である。ＲＡＮ３は、基地局（ｇＮＢ（next Generation Node B））によって構成される。
【0015】
５Ｇ網は、５Ｇコアネットワーク（５ＧＣ）及びアクセス網（（Ｒ）ＡＮ）を有し、５Ｇ網には、ＵＥ２、ＤＮ（Data Network）５、及びＡＦ(Application Function)１２が接続されている。また、５ＧＣは、太字で示される、ＮＦ１１ａ～１１ｋ、１１ｎを有する。ＮＦ１１ａ～１１ｋ、１１ｎの夫々は、１又は２以上のコンピュータ（情報処理装置）がプログラムを実行することによって実現される機能である。ただし、単一のコンピュータがＮＦ１１ａ～１１ｋ、１１ｎのいずれか２以上を実現してもよい。なお、本実施形態において、５ＧＣの構成要素は、総称としてはＮＦ１１(Network Function)と呼ばれる。また、５ＧＣの構成要素は、個別にはＮＥＦ１１ｅ等のように呼ばれる。図１では、各構成要素に、総称の符号とともに（）内に個別の符号が付されている。５ＧＣは、通信システムの一例ということができる。
【0016】
上述のように、５ＧＣは、ＮＦ１１と呼ばれる所定の機能を有するコンポーネントの集合によって構成される。図１には、５ＧＣを構成するＮＦ１１として、以下が図示されている。図１では太線の矩形で示す。
ＵＰＦ(User Plane Function)１１ａ
ＡＭＦ(Access and Mobility Management Function)１１ｂ
ＳＭＦ(Session Management Function)１１ｃ
ＰＣＦ(Policy Control Function)１１ｄ
ＮＥＦ(Network Exposure Function)１１ｅ
ＮＲＦ(Network Repository Function)１１ｇ
ＮＳＳＦ(Network Slice Selection Function)１１ｈ
ＡＵＳＦ(Authentication Server Function)１１ｉ
ＵＤＭ(Unified Data Management)１１ｊ
ＮＷＤＡＦ(Network Data Analytics Function)１１ｋ
セキュリティ連携部１１ｎ
本実施形態では、ＵＥ２が送受信するユーザプレーンのパケットはユーザパケットと呼ばれる。ＵＰＦ１１ａは、ユーザパケットのルーティング及び転送、パケット検査、ＱｏＳ処理を行う。ＡＭＦ１１ｂは、５ＧＣにおけるＵＥ２の在圏収容装置である。ＡＭＦ１１ｂは、ＲＡＮ３を収容し、加入者認証制御、ＵＥ２の位置（モビリティ）管理などを行う。
ＵＰＦ(User Plane Function)１１ａ
ＡＭＦ(Access and Mobility Management Function)１１ｂ
ＳＭＦ(Session Management Function)１１ｃ
ＰＣＦ(Policy Control Function)１１ｄ
ＮＥＦ(Network Exposure Function)１１ｅ
ＮＲＦ(Network Repository Function)１１ｇ
ＮＳＳＦ(Network Slice Selection Function)１１ｈ
ＡＵＳＦ(Authentication Server Function)１１ｉ
ＵＤＭ(Unified Data Management)１１ｊ
ＮＷＤＡＦ(Network Data Analytics Function)１１ｋ
セキュリティ連携部１１ｎ
本実施形態では、ＵＥ２が送受信するユーザプレーンのパケットはユーザパケットと呼ばれる。ＵＰＦ１１ａは、ユーザパケットのルーティング及び転送、パケット検査、ＱｏＳ処理を行う。ＡＭＦ１１ｂは、５ＧＣにおけるＵＥ２の在圏収容装置である。ＡＭＦ１１ｂは、ＲＡＮ３を収容し、加入者認証制御、ＵＥ２の位置（モビリティ）管理などを行う。
【0017】
ＳＭＦ１１ｃは、ＰＤＵ（Protocol Data Unit）セッションを管理し、ＱｏＳ（Qualit
y of Service）制御及びポリシー制御の実施のためにＵＰＦ１１ａを制御する。ＰＤＵセッションは、ＵＥ２とＤＮ５との間でデータのやり取りを行うための仮想的な通信路である。ＤＮ５は、５ＧＣ外部のデータネットワーク（インターネット等）である。
y of Service）制御及びポリシー制御の実施のためにＵＰＦ１１ａを制御する。ＰＤＵセッションは、ＵＥ２とＤＮ５との間でデータのやり取りを行うための仮想的な通信路である。ＤＮ５は、５ＧＣ外部のデータネットワーク（インターネット等）である。
【0018】
ＰＣＦ１１ｄは、ＳＭＦ１１ｃと連携し、ＱｏＳ制御、ポリシー制御、課金制御などを行う。ＱｏＳ制御では、パケットの優先転送などの通信の品質の制御が行われる。ポリシー制御では、ネットワーク或いは加入者情報に基づくＱｏＳ、パケット転送可否、課金などの通信制御が行われる。
【0019】
ＮＥＦ１１ｅは、ＡＦ１２、または、５ＧＣ外部のノードと３ＧＰＰ（登録商標）のＮＦ１１との通信を仲介する役割を果たす。例えば、ＮＥＦ１１ｅは、各ＮＦ１１の機能とイベントをサードパーティ、ＡＦ１２、エッジコンピュータ等に安全に公開する。また、ＮＥＦ１１ｅは、５ＧＣの内部情報と外部情報との変換を行う。ＮＥＦ１１ｅは、例えば、ＡＦ１２によって取り扱われる情報と５ＧＣの各ＮＦ１１によって取り扱われる情報を変換する。例えば、ＮＥＦ１１ｅは、ＡＦ１２におけるサービス識別子と５ＧＣ内部情報とを変換する。
【0020】
ＡＦ１２は、ユーザにサービスを提供するために５ＧＣと相互作用する要素であり、例えば、外部アプリケーションサーバと呼ばれる。５Ｇ網のオペレータによって信頼されていると考えられるＡＦ１２は、５ＧＣの関連するＮＦ１１に直接アクセスできる。５ＧＣの関連するＮＦ１１に直接アクセスすることが許可されていないＡＦ１２は、５ＧＣのネットワーク機能にアクセスするために、ＮＥＦ１１ｅを介して外部公開されたインタフェースを利用する。
【0021】
情報源ＡＦ１２ａは、ＡＦ１２の１つである。情報源ＡＦ１２ａは、例えば、５ＧＣ外部の組織からアクセス可能なアプリケーションサーバである。情報源ＡＦ１２ａは、通信システムである５ＧＣ外部の組織から、通信ネットワークを利用する通信装置であるＵＥ２等に対するサイバー攻撃等に関する情報を受け付ける。５ＧＣ外部の組織としては、例えば、５ＧＣを運用する通信ネットワークオペレータ外部のＣＥＲＴ（Computer Emergency Response Team）、米国ＮＩＳＴ（NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY）、ＪＰＣＥＲＴ／ＣＣ(Japan Computer Emergency Response Team / Coordination Center)、産業ＩＳＡＣ(Information Sharing and Analysis Center)、個別端末メーカ、移
動体の製造元事業者、販売元事業者、ＯＥＭ（Original Equipment Manufacturer）等が
例示される。
動体の製造元事業者、販売元事業者、ＯＥＭ（Original Equipment Manufacturer）等が
例示される。
【0022】
情報源ＡＦ１２ａは、例えば、５ＧＣ外部の組織に設けられる。または、情報源ＡＦ１２ａは、５ＧＣ外部の組織からアクセス可能に５ＧＣ外部の組織のコンピュータに接続される。情報源ＡＦ１２ａは、５ＧＣ外部の組織からの脅威情報（ＳＴＩＸ（Structured Threat Information eXpression）などの形式）をセキュリティ連携部１１ｎに提供する。
【0023】
本実施形態では、情報源ＡＦ１２ａからＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに提供される脅威情報は、例えば、要求／応答モデルで提供される。例えば、情報源ＡＦ１２ａは、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに脅威情報の提供の要求メッセージを送信する。そして、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎが脅威情報を受け取ると、応答メッセージを情報源ＡＦ１２ａに返す。
【0024】
ただし、情報源ＡＦ１２ａからＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに提供される脅威情報は、例えば、サブスクライブ／通知モデルで提供されてもよい。すなわち、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎは、情報源ＡＦ１２ａにサブスクライブのメッセージを送信しておく。そして、情報源ＡＦ１２ａは、脅威情報が更新されるなどの
トリガ条件が満たされると、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに通知を送信する。すると、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎは、情報源ＡＦ１２ａにアクセスして脅威情報を取得すればよい。
トリガ条件が満たされると、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに通知を送信する。すると、ＮＥＦ１１ｅまたはセキュリティ連携部１１ｎは、情報源ＡＦ１２ａにアクセスして脅威情報を取得すればよい。
【0025】
本実施形態では、情報源ＡＦ１２ａから提供される脅威情報に対応するため、セキュリティ連携部１１ｎがＮＦ１１の１つとして設けられる。ただし、セキュリティ連携部１１ｎがＡＦ１２の１つとして設けられてもよい。情報源ＡＦ１２ａは制御装置の一例である。セキュリティ連携部１１ｎは、例えば、車両の製造元事業者（または販売元事業者）からの脅威情報を受けた場合、通信ネットワークに接続している当該製造元が製造した車両に搭載されるＵＥ２のすべてに対して、攻撃への防御処理を実行してもよい。また、セキュリティ連携部１１ｎは、通信ネットワークに接続している車両であって、当該製造元が製造した車両のうち、特定の車種に搭載されるＵＥ２に限定して防御処理を実行してもよい。ここで、防御処理は、例えば、脅威情報に基づき、脅威となるパケットまたはトラフィックをフィルタリングする処理、所定の緩和値を超過したトラフィックを緩和し、異常パケットを破棄する処理、および攻撃を解析する処理等を含む。
【0026】
セキュリティ連携部１１ｎは、脅威情報に基づく攻撃に対して通信ネットワークで一括して防御処理を実施することで、通信ネットワーク内で統一的かつ迅速に、当該脅威に対応可能となる。セキュリティ連携部１１ｎは、ＣＥＲＴ／ＮＩＳＴから提供される情報により、ＵＥ２のメーカ等を問わず通信ネットワーク全体で、脅威となるパケットあるいはトラフィックの遮断、もしくは緩和措置を適用する。また、セキュリティ連携部１１ｎは、例えば、ＣＶＳＳスコア１０の脆弱性、すなわち、深刻度が「緊急」であることが公開された情報などにも対応する。例えば、セキュリティ連携部１１ｎは、脆弱であることが判明した対象のコンピュータプログラム等を搭載するＵＥ２等を選択し、当該ＵＥ２が接続するＵＰＦ１１ａにおいて通信ネットワークで一括して防御処理を適用する。
【0027】
セキュリティ連携部１１ｎは、制御装置の一例である。すなわち、本通信システムは、通信装置に通信ネットワークを提供する通信システムであって、制御装置として、セキュリティ連携部１１ｎを備える。セキュリティ連携部１１ｎは、通信システムの外部の組織から、通信ネットワークを利用する通信装置（ＵＥ２）に対する脅威に関する脅威情報を受け付ける処理と、受け付けた脅威情報を基に通信装置を防御する防御処理と、を実行する。ここで、脅威情報は、例えば、シグネチャと呼ばれる、各種攻撃の特徴を記したデータを含んでもよい。
【0028】
ＮＲＦ１１ｇは、５ＧＣ内におけるＮＦ１１（例えば、ＡＭＦ１１ｂ、ＳＭＦ１１ｃ、ＵＰＦ１１ａなど）の情報を記憶及び管理している。ＮＲＦ１１ｇは、使用を所望するＮＦ１１に係る問い合わせに対して、複数のＮＦ１１の候補を問い合わせ元に返信することができる。
【0029】
ＮＳＳＦ１１ｈは、ネットワークスライシングによって生成されたネットワークスライスの中から、加入者が使用するネットワークスライスを選択する機能を有する。ネットワークスライスは、用途に応じたスペックを有する仮想のネットワークである。
【0030】
ＡＵＳＦ１１ｉは、ＡＭＦ１１ｂの制御下で加入者認証を行う加入者認証用サーバである。ＵＤＭ１１ｊは、加入者関連情報を保持し、または、管理する。加入者関連情報は契約データの一例ということができる。契約データは、例えば、通信装置（ＵＥ２）のユーザと通信システムを管理する事業者（オペレータ、ＭＮＯ（Mobile Network Operator）
ともいう）との契約に基づく情報である。ＵＤＭ１１ｊは、加入者関連情報の各ＮＦ１１への提供、或いは、ＵＥ２の状態の取得、登録、削除、変更を行う。
ともいう）との契約に基づく情報である。ＵＤＭ１１ｊは、加入者関連情報の各ＮＦ１１への提供、或いは、ＵＥ２の状態の取得、登録、削除、変更を行う。
【0031】
ＮＷＤＡＦ１１ｋは、各ＮＦ１１、ＯＡＭ（Operations，Administration，and Maintenance）端末などからのデータ収集、解析を行う機能を有している。ここで、ＯＡＭ端末
は、ネットワーク（５ＧＣ）の運用・管理・保守を行う。すなわち、ＮＷＤＡＦ１１ｋは、ネットワークの分析情報を提供するＮＦ１１である。
は、ネットワーク（５ＧＣ）の運用・管理・保守を行う。すなわち、ＮＷＤＡＦ１１ｋは、ネットワークの分析情報を提供するＮＦ１１である。
【0032】
ＤＮ５は、通信システム外部のネットワーク、例えば、インターネットである。ＤＮ５は、ＵＰＦ１１ａの１つを介して本通信システム（５ＧＣ）が提供する通信ネットワークに接続される。なお、ＵＰＦ１１ａは、多段構成を取ることができる。ＤＮ５に接続される最終段のＵＰＦ１１ａは、ＰＳＡ ＵＰＦ（PDU Session Anchor User Plane Function）と呼ばれる。また、ＲＡＮ３とＰＳＡ ＵＰＦの間に設けられるＵＰＦ１１ａはＩ(Intermediary) ＵＰＦと呼ばれる。
【0033】
図１の例では、ＤＮ５には、セキュリティ装置５１、ルータ５２、情報源ＥＡＳ（Edge
Application Server）５０が接続される。セキュリティ装置５１は、例えば、ファイア
ウォールが構築されたコンピュータである。情報源ＥＡＳ５０は、脅威情報を通信システムのセキュリティ連携部１１ｎに通知するＤＮ５上のコンピュータである。ただし、セキュリティ装置５１、ルータ５２は、ＡＦ１２の１つであってもよい。なお、情報源ＥＡＳ５０のアプリケーションプログラムがＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに脅威情報を提供する場合には、ＡＦ１２の１つを介して脅威情報が提供される。そこで、以下の各実施形態では、脅威情報の提供は、情報源ＡＦ１２ａによるものとして説明がなされる。
Application Server）５０が接続される。セキュリティ装置５１は、例えば、ファイア
ウォールが構築されたコンピュータである。情報源ＥＡＳ５０は、脅威情報を通信システムのセキュリティ連携部１１ｎに通知するＤＮ５上のコンピュータである。ただし、セキュリティ装置５１、ルータ５２は、ＡＦ１２の１つであってもよい。なお、情報源ＥＡＳ５０のアプリケーションプログラムがＮＥＦ１１ｅまたはセキュリティ連携部１１ｎに脅威情報を提供する場合には、ＡＦ１２の１つを介して脅威情報が提供される。そこで、以下の各実施形態では、脅威情報の提供は、情報源ＡＦ１２ａによるものとして説明がなされる。
【0034】
図２に脅威情報の構成を例示する。本実施形態では、脅威情報は、ヘッダとボディを有する。ただし、脅威情報が図２の形式に限定される訳ではない。なお、脅威情報は、ＳＴＩＸ言語等の文法にしたがって文字列で記述さてもよい。ただし、脅威情報は、バイナリ形式のデータであってもよい。
【0035】
ヘッダは、例えば、プロトコル、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号、パケットの方向等のうち、少なくとも１つの情報を含んでもよい。セキュリティ連携部１１ｎは、図２で例示される情報によって、脅威となる監視対象のパケットあるいはトラフィイクを特定する。
【0036】
プロトコルは、脅威情報を基に監視される対象となるパケットが授受されるプロトコルである。送信元ＩＰアドレスは、パケットの送信元、すなわち、攻撃者９０のＩＰアドレスである。送信元ポート番号は、パケットが送信されたポート番号である。宛先ＩＰアドレスと宛先ポート番号は、パケットの宛先を特定するＩＰアドレスおよびポート番号である。パケットの方向は、監視される対象となるパケットが送信される方向であり、例えば、送信元から宛先への方向、または、宛先から送信元への方向が指定される。また、ヘッダに記載される情報は、それぞれ個別に省略することが可能である。これらのいずれかの情報が省略された場合には、セキュリティ連携部１１ｎは、例えば、省略された情報に対して「すべて」が指定されたものと解釈すればよい。例えば、宛先ＩＰアドレスが省略された場合には、すべての宛先が監視対象となる。
【0037】
ボディには、攻撃者９０を特定する追加情報が設定される。攻撃者９０を特定する追加情報は、たとえば、パケット内のデータの指定、フローの状態、通信のアプリケーションを特定する情報、パケットのヘッダ情報、アプリケーション（ＨＴＴＰ等）のヘッダ情報の少なくとも１つを含む。ただし、攻撃者９０を特定する追加情報のいずれか、またはすべてが省略されてもよい。
【0038】
パケット内のデータの指定は、例えば、監視対象のパケットに含まれるデータが指定さ
れる。監視対象のパケットに含まれるデータは、例えば、文字列情報である。また、監視対象のパケットに含まれるデータは、バイナリデータ（ビットパターン）であってもよい。バイナリデータ（ビットパターン）は、例えば、１６進数で指定されてもよい。
れる。監視対象のパケットに含まれるデータは、例えば、文字列情報である。また、監視対象のパケットに含まれるデータは、バイナリデータ（ビットパターン）であってもよい。バイナリデータ（ビットパターン）は、例えば、１６進数で指定されてもよい。
【0039】
フローの状態は、例えば、ＴＣＰ（Transmission Control Protocol）のコネクション
が確立しているか、否か等である。通信のアプリケーションを特定する情報は、例えば、ＨＴＴＰ（Hypertext Transfer Protocol）等のアプリケーション層のプロトコルが例示
される。パケットのヘッダ情報は、例えば、ＩＰデータグラムヘッダ中のフラグメントビットの指定等である。アプリケーションのヘッダ情報は、例えば、ＨＴＴＰにおけるリクエストのメソッドと、メソッドに指定されたリクエストＵＲＩ（Uniform Resource Identifier）の指定等である。さらに、攻撃者９０を特定する追加情報には、パケットの送信
元ドメインを示す情報が含まれてもよい。
が確立しているか、否か等である。通信のアプリケーションを特定する情報は、例えば、ＨＴＴＰ（Hypertext Transfer Protocol）等のアプリケーション層のプロトコルが例示
される。パケットのヘッダ情報は、例えば、ＩＰデータグラムヘッダ中のフラグメントビットの指定等である。アプリケーションのヘッダ情報は、例えば、ＨＴＴＰにおけるリクエストのメソッドと、メソッドに指定されたリクエストＵＲＩ（Uniform Resource Identifier）の指定等である。さらに、攻撃者９０を特定する追加情報には、パケットの送信
元ドメインを示す情報が含まれてもよい。
【0040】
また、ボディには、攻撃対象の通信装置を特定する追加情報が設定されてもよい。攻撃対象の通信装置を特定する追加情報は、例えば、通信装置（ＵＥ２）の機種、ＯＳ（Operating System）の種類およびバージョン、ＵＥ２にインストールされたコンピュータプログラムの種類およびバージョン、ＵＥ２を搭載した移動体を特定する情報等である。ＵＥ２を搭載した移動体を特定する情報は、例えば、移動体が車両の場合のメーカ（ＯＥＭ）、車種、年式（初度登録年）等である。
【0041】
セキュリティ連携部１１ｎは、本通信システムに接続中のＵＥ２に対して一律に防御処理を実行してもよい。一律にとは、防御処理の対象となるＵＥ２を限定しないことをいう。ただし、図２のように、脅威情報は、脅威による攻撃の対象となる特定通信装置（対象ＵＥ２）を特定する情報を有する場合もある。特定する情報とは、宛先のＩＰアドレス、宛先ポート番号、攻撃対象の対象ＵＥ２を特定する追加情報等である。したがって、セキュリティ連携部１１ｎは、脅威情報で指定された対象ＵＥ２に対して防御処理を実行してもよい。
【0042】
＜情報処理装置及び端末の構成＞
図３は、ＮＦ１１ａ～１１ｋ、１１ｎ、ＡＦ１２、情報源ＡＦ１２ａ、セキュリティ装置５１、ルータ５２、情報源ＥＡＳ５０等の夫々として動作可能な情報処理装置２０の構成例を示す図である。図３において、情報処理装置２０は、パーソナルコンピュータ（ＰＣ）、ワークステーション（ＷＳ）、又はサーバマシンなどの専用又は汎用の情報処理装置（コンピュータ）を用いて構成可能である。もっとも、情報処理装置２０は、１又は２以上のコンピュータの集合体（クラウド）であってもよい。
図３は、ＮＦ１１ａ～１１ｋ、１１ｎ、ＡＦ１２、情報源ＡＦ１２ａ、セキュリティ装置５１、ルータ５２、情報源ＥＡＳ５０等の夫々として動作可能な情報処理装置２０の構成例を示す図である。図３において、情報処理装置２０は、パーソナルコンピュータ（ＰＣ）、ワークステーション（ＷＳ）、又はサーバマシンなどの専用又は汎用の情報処理装置（コンピュータ）を用いて構成可能である。もっとも、情報処理装置２０は、１又は２以上のコンピュータの集合体（クラウド）であってもよい。
【0043】
情報処理装置２０は、バス２６を介して相互に接続された、処理部又は制御部（コントローラ）としてのプロセッサ２１と、記憶装置２２と、通信インタフェース２３（通信ＩＦ２３）と、入力装置２４と、ディスプレイ２５とを含む。
【0044】
記憶装置２２は、主記憶装置と補助記憶装置とを含む。主記憶装置は、プログラム及びデータの記憶領域、プログラムの展開領域、プログラムの作業領域、及び通信データのバッファ領域などの少なくとも一つとして使用される。主記憶装置はＲＡＭ（Random Access Memory）、又はＲＡＭとＲＯＭ（Read Only Memory）との組み合わせで構成される。補助記憶装置は、データ及びプログラムの記憶領域として使用される。補助記憶装置には、不揮発性記憶媒体が適用される。不揮発性記憶媒体は、例えば、ハードディスク、Solid State Drive（ＳＳＤ）、フラッシュメモリ、或いはＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）などである。また、記憶装置２２は、ディスク記録媒体のドライブ装置を含むことができる。
【0045】
通信ＩＦ２３は、通信処理を行う回路である。例えば、通信ＩＦ２３は、ネットワークインタフェースカード（ＮＩＣ）である。また、通信ＩＦ２３は、無線通信（５Ｇ、無線ＬＡＮ（Ｗｉ-Ｆｉ（登録商標））、ＢＬＥ（Bluetooth（登録商標） Low Energy）など
）を行う無線通信回路であってもよい。また、通信ＩＦ２３は、有線の通信処理を行う回路と、無線通信回路との組み合わせであってもよい。
）を行う無線通信回路であってもよい。また、通信ＩＦ２３は、有線の通信処理を行う回路と、無線通信回路との組み合わせであってもよい。
【0046】
入力装置２４は、キー、ボタン、ポインティングデバイス、及びタッチパネル等を含み、情報の入力に使用される。ディスプレイ２５は例えば液晶ディスプレイ、ＯＥＬ（有機エレクトロルミネッセンス、Organic Electro-Luminescence）ディスプレイなどである。ディスプレイ２５は情報及びデータを表示する。
【0047】
プロセッサ２１は、記憶装置２２に記憶された各種のプログラムを実行することによって、様々な処理を行う。プロセッサ２１が記憶装置２２に記憶されたプログラムを実行することによって、情報処理装置２０は、ＮＦ１１（ＵＰＦ１１ａ等）、ＡＦ１２、情報源ＡＦ１２ａ、セキュリティ装置５１、ルータ５２、情報源ＥＡＳ５０等の夫々として動作することができる。
【0048】
図４は、ＵＥ２として動作可能な端末４０の構成例を示す図である。端末４０は、バス４６を介して相互に接続された、プロセッサ４１と、記憶装置４２と、通信インタフェース４３（通信ＩＦ４３）と、入力装置４４と、ディスプレイ４５とを含む。プロセッサ４１、記憶装置４２、通信ＩＦ４３、入力装置４４、及びディスプレイ４５は、プロセッサ２１、記憶装置２２、通信ＩＦ２３、入力装置２４、及びディスプレイ２５と同様のものを使用可能である。このため、これらの説明は省略する。
【0049】
プロセッサ２１及び４１は、例えば、Central Processing Unit(ＣＰＵ)である。ＣＰ
ＵはMicroprocessor Unit(ＭＰＵ)とも呼ばれる。プロセッサ２１及び４１は、単一のプ
ロセッサ構成であってもマルチプロセッサ構成であってもよい。また、単一のソケットで接続される単一の物理ＣＰＵがマルチコア構成を有していても良い。プロセッサ２１及び４１は、Digital Signal Processor(ＤＳＰ)、或いはGraphics Processing Unit(ＧＰＵ)などの様々な回路構成の演算装置を含んでも良い。また、プロセッサ２１及び４１は、集積回路(ＩＣ)、その他のディジタル回路、及びアナログ回路などの少なくとも一つと連携する構成を有していてもよい。集積回路は、ＬＳＩ、Application Specific Integrated Circuit(ＡＳＩＣ)、及びプログラマブルロジックデバイス(ＰＬＤ)などを含む。ＰＬＤ
は、例えば、Field-Programmable Gate Array(ＦＰＧＡ)を含む。プロセッサ２１及び４
１は、例えば、マイクロコントローラ（ＭＣＵ）、ＳｏＣ(System-on-a-chip)、システムＬＳＩ、或いはチップセットなどと呼ばれるものも含む。
ＵはMicroprocessor Unit(ＭＰＵ)とも呼ばれる。プロセッサ２１及び４１は、単一のプ
ロセッサ構成であってもマルチプロセッサ構成であってもよい。また、単一のソケットで接続される単一の物理ＣＰＵがマルチコア構成を有していても良い。プロセッサ２１及び４１は、Digital Signal Processor(ＤＳＰ)、或いはGraphics Processing Unit(ＧＰＵ)などの様々な回路構成の演算装置を含んでも良い。また、プロセッサ２１及び４１は、集積回路(ＩＣ)、その他のディジタル回路、及びアナログ回路などの少なくとも一つと連携する構成を有していてもよい。集積回路は、ＬＳＩ、Application Specific Integrated Circuit(ＡＳＩＣ)、及びプログラマブルロジックデバイス(ＰＬＤ)などを含む。ＰＬＤ
は、例えば、Field-Programmable Gate Array(ＦＰＧＡ)を含む。プロセッサ２１及び４
１は、例えば、マイクロコントローラ（ＭＣＵ）、ＳｏＣ(System-on-a-chip)、システムＬＳＩ、或いはチップセットなどと呼ばれるものも含む。
【0050】
（処理の例）
図５および図６は、本通信システムにおける脅威情報の受け付けと防御処理を例示するシーケンス図である。また、図５と図６とは、Ａ１からＨ１で示される端子で接続される。この処理では、まず、情報源ＡＦ１２ａが脅威情報をＮＥＦ１１ｅに通知する（Ｓ１）。脅威情報の通知は、防御情報の通知と呼ぶこともできる。脅威情報は、例えば、図２に例示のように、攻撃者９０を特定する情報と、攻撃の対象である対象ＵＥ２を特定する情報を含むことができる。ＮＥＦ１１ｅは、受付処理の一例として脅威情報を受け付ける。
図５および図６は、本通信システムにおける脅威情報の受け付けと防御処理を例示するシーケンス図である。また、図５と図６とは、Ａ１からＨ１で示される端子で接続される。この処理では、まず、情報源ＡＦ１２ａが脅威情報をＮＥＦ１１ｅに通知する（Ｓ１）。脅威情報の通知は、防御情報の通知と呼ぶこともできる。脅威情報は、例えば、図２に例示のように、攻撃者９０を特定する情報と、攻撃の対象である対象ＵＥ２を特定する情報を含むことができる。ＮＥＦ１１ｅは、受付処理の一例として脅威情報を受け付ける。
【0051】
すると、ＮＥＦ１１ｅは、脅威情報（防御情報）をさらにセキュリティ連携部１１ｎに通知する（Ｓ２）。なお、情報源ＡＦ１２ａが通信システムのＭＮＯによって信頼されている状況においては、情報源ＡＦ１２ａは、セキュリティ連携部１１ｎに直接、ＮＥＦ１１ｅを介さないで、脅威情報（防御情報）を通知することができる（Ｓ１Ａ）。セキュリティ連携部１１ｎは、受付処理の一例として脅威情報を受け付ける。
【0052】
次に、セキュリティ連携部１１ｎは、通知された脅威情報から、脅威情報において攻撃の対象とされている対象ＵＥ２を特定するための情報を取得する。そして、セキュリティ連携部１１ｎは、対象ＵＥ２または対象ＵＥ２が接続しているＵＰＦ情報を検索することを要求するメッセージをＵＤＭ１１ｊに送信する（Ｓ３）。検索することを要求するメッセージは、対象ＵＥ２を特定するための情報を含む。対象ＵＥ２を特定するための情報は、図２に例示されるものである。宛先IPアドレス、宛先ポート番号、対象ＵＥ２の機種、ＯＳの種類およびバージョン、インストールされたコンピュータプログラムの種類およびバージョン、対象ＵＥ２を搭載した移動体を特定する情報（車種）等が例示される。
【0053】
すると、ＵＤＭ１１ｊは、対象ＵＥ２の情報、例えば、５ＧＣでのユニークな識別子、または対象ＵＥ２が接続しているＵＰＦ情報等をセキュリティ連携部１１ｎに応答する（Ｓ４）。ここで、ＵＰＦ情報とは、ＩＰアドレス、ＵＲＩなど５ＧＣ内で任意のＵＰＦを一意に識別可能な識別子である。
【0054】
ただし、ＵＤＭ１１ｊは、セキュリティ連携部１１ｎからの対象ＵＥ２の情報の検索要求（Ｓ３）に対して、加入者関連情報中の契約データから防御処理の実行可否または実行要否を取得し、セキュリティ連携部１１ｎに応答してもよい（Ｓ４）。セキュリティ連携部１１ｎは、契約データにおいて、防御処理の実行が可能と設定されているＵＥ２に対してのみ、防御処理を実行すればよい。また、セキュリティ連携部１１ｎは、防御処理の実行が契約データに明記されているユーザのＵＥ２に対してのみ、防御処理を実行してもよい。
【0055】
セキュリティ連携部１１ｎは、対象ＵＥ２の情報または対象ＵＥ２が接続しているＵＰＦ情報等の応答を受け取ると、対象ＵＥ２が接続している該当ＵＰＦ１１ａに対して脅威に対する防御設定を実施する（Ｓ５）。ここで、防御設定は、例えば、該当ＵＰＦ１１ａに対して、攻撃者９０からのパケットまたはトラフィックを遮断、フィルタリングまたは緩和処理を実行する設定である。攻撃者９０からのパケットまたはトラフィックは、図２に例示した脅威情報のヘッダおよび攻撃者９０を特定する追加情報等によって特定される。
【0056】
セキュリティ連携部１１ｎは、この防御設定によって、少なくとも、対象ＵＥ２がＵＤＰセッションを確立しているＵＰＦ１１ａにおいて、攻撃者９０からのパケットあるいはトラフィックを遮断等できる。なお、セキュリティ連携部１１ｎは、対象ＵＥ２が接続しているＵＰＦ１１ａ以外を含む全ＵＰＦ１１ａに対して、防御設定を行ってもよい。セキュリティ連携部１１ｎは、全ＵＰＦ１１ａに対する防御設定によって、本通信システムが管理する通信ネットワーク全体で一律に攻撃を防御できる。
【0057】
同様に、セキュリティ連携部１１ｎは、対象ＵＥ２が接続しているＵＰＦ１１ａがアンカーとなって、ＤＮ５を介して接続している外部のセキュリティ装置５１、ルータ５２等に対して脅威に対する防御設定を実行する（Ｓ６）。図１おいて、すでに述べたように、ＤＮ５に接続される最終段のＵＰＦ１１ａは、ＰＳＡ ＵＰＦと呼ばれる。また、ＲＡＮ３とＰＳＡ ＵＰＦの間に設けられるＵＰＦ１１ａはＩ ＵＰＦと呼ばれる。上記防御設定は、ＰＳＡ ＵＰＦとＩ ＵＰＦのいずれに行ってもよい。
【0058】
ただし、セキュリティ装置５１、ルータ５２は、ＡＦ１２の１つであってもよい。セキュリティ装置５１、ルータ５２等がＡＦ１２の１つである場合には、セキュリティ連携部１１ｎは、脅威情報を要求／応答モデルにしたがって、脅威情報の通知と防御処理の設定をセキュリティ装置５１、ルータ５２等に要求してもよい。また、セキュリティ装置５１、ルータ５２等がＡＦ１２の１つである場合には、セキュリティ連携部１１ｎは、サブス
クライブ／通知モデルにしたがって、脅威情報ととともに防御処理を設定するための情報をセキュリティ装置５１、ルータ５２等に提供してもよい。サブスクライブ／通知モデルの場合には、セキュリティ連携部１１ｎは、トリガ条件として脅威情報の通知を受けたときに、セキュリティ装置５１、ルータ５２等に脅威情報の発生を通知する。そして、セキュリティ装置５１、ルータ５２等は、脅威情報の発生を通知されると、セキュリティ連携部１１ｎから、脅威情報と防御処理を設定するための情報を取得し、防御処理を設定すればよい。以上のような防御設定によって、少なくとも、対象ＵＥ２が接続中であってコネクションが設定されているセキュリティ装置５１、ルータ５２等において、攻撃者９０からのパケットあるいはトラフィックが遮断等される。
クライブ／通知モデルにしたがって、脅威情報ととともに防御処理を設定するための情報をセキュリティ装置５１、ルータ５２等に提供してもよい。サブスクライブ／通知モデルの場合には、セキュリティ連携部１１ｎは、トリガ条件として脅威情報の通知を受けたときに、セキュリティ装置５１、ルータ５２等に脅威情報の発生を通知する。そして、セキュリティ装置５１、ルータ５２等は、脅威情報の発生を通知されると、セキュリティ連携部１１ｎから、脅威情報と防御処理を設定するための情報を取得し、防御処理を設定すればよい。以上のような防御設定によって、少なくとも、対象ＵＥ２が接続中であってコネクションが設定されているセキュリティ装置５１、ルータ５２等において、攻撃者９０からのパケットあるいはトラフィックが遮断等される。
【0059】
Ｓ５の処理またはＳ６の処理によって防御設定がなされると、対象ＵＥ２は攻撃者９０への通信を遮断される（Ｓ７－１）。また、対象ＵＥ２は、接続中のセキュリティ装置５１、ルータ５２等において、攻撃者９０への通信を遮断される（Ｓ７－２）。なお、セキュリティ連携部１１ｎは、ＡＭＦ１１ｂを介して、対象ＵＥ２に脅威情報を通知し、脅威に対する防御設定を対象ＵＥ２自身において実行させてもよい。次に、図６によって説明が継続される。
【0060】
図５で説明された脅威防御設定により、ＵＰＦ１１ａにおいて、攻撃者９０からの対象ＵＥ２への攻撃が遮断される（Ｓ８）。また、セキュリティ装置５１およびルータ５２において、攻撃者９０からの対象ＵＥ２への攻撃が遮断される（Ｓ９）。
【0061】
その後、攻撃者９０による脅威がなくなると、情報源ＡＦ１２ａは、通信システムの外部の組織から脅威が消滅したことの設定を受ける。すると、情報源ＡＦ１２ａは、ＮＥＦ１１ｅに防御停止を要求するメッセージを通知する（Ｓ１０）。さらに、ＮＥＦ１１ｅは、セキュリティ連携部１１ｎに防御停止を要求するメッセージを通知する（Ｓ１１）。なお、情報源ＡＦ１２ａが通信システムのＭＮＯによって信頼されている状況においては、情報源ＡＦ１２ａは、セキュリティ連携部１１ｎに直接、ＮＥＦ１１ｅを介さないで、防御停止を要求するメッセージを通知することができる（Ｓ１０Ａ）。
【0062】
そして、セキュリティ連携部１１ｎは、防御停止の要求を通知されると、ＵＰＦ１１ａにおいて、脅威防御設定の削除を要求するメッセージを送信する（Ｓ１２）。また、セキュリティ連携部１１ｎは、セキュリティ装置５１、ルータ５２等に脅威防御設定の削除を要求するメッセージを送信する（Ｓ１３）。
【0063】
図７は、上記図５のＳ２の処理またはＳ１Ａの処理の後に、セキュリティ連携部１１ｎ等で実行されるフォーマット変換処理を例示する図である。情報源ＡＦ１２ａから提供される脅威情報は、例えば、図２に例示される。しかし、本通信システムのＮＦ１１によって処理可能な脅威情報のフォーマットが情報源ＡＦ１２ａから提供される脅威情報のフォーマットと異なる場合もあり得る。そのような場合、例えば、セキュリティ連携部１１ｎは、情報源ＡＦ１２ａから提供される脅威情報を本通信システムのＮＦ１１によって処理可能な脅威情報のフォーマットに変換する。
【0064】
この処理では、例えば、セキュリティ連携部１１ｎが通信システムのＦＮ１１でサポートするフォーマットと異なるフォーマットの脅威情報を受信した場合に起動される（Ｓ１０１）。セキュリティ連携部１１ｎは、通信システムのＦＮ１１でサポートするフォーマットと異なるフォーマット（異フォーマットという）の脅威情報を例えば、異フォーマット専用のＡＰＩ（Application Programming Interface）から受信する（Ｓ１０１）。し
たがって、セキュリティ連携部１１ｎが本通信システムのＦＮ１１でサポートするフォーマットで脅威情報を受信した場合には、図７の処理は実行されない。
たがって、セキュリティ連携部１１ｎが本通信システムのＦＮ１１でサポートするフォーマットで脅威情報を受信した場合には、図７の処理は実行されない。
【0065】
そして、セキュリティ連携部１１ｎは、異フォーマット専用のＡＰＩから受信した脅威情報のフォーマットを通信システムのＦＮ１１でサポートするフォーマットに変換する（Ｓ１０２）。例えば、セキュリティ連携部１１ｎは図２で例示した、ヘッダ、ボディ等のそれぞれの構成要素のうち、異フォーマットのものを本通信システムのＮＦ１１によって処理可能な脅威情報のフォーマットに変換する。
【0066】
そして、セキュリティ連携部１１ｎは、フォーマット変換した脅威情報を本通信システムの次のＮＦ１１に送信する（Ｓ１０３）。例えば、図５のＳ２の処理またはＳ１Ａの処理では、次のＮＦ１１は、例えば、ＵＤＭ１１ｊである。また、セキュリティ連携部１１ｎは、図５のＳ６の処理において、フォーマット変換した脅威情報を基に、外部のセキュリティ装置５１、ルータ５２等に対して設定可能な防御方法を選択してもよい。なお、図７は、セキュリティ連携部１１ｎがフォーマット変換する処理を例示する。しかし、このようなフォーマット変換は、他のＦＮ１１、例えば、ＮＥＦ１１ｅ、ＵＤＭ１１ｊ等で実行されてもよい。
【0067】
図８は、セキュリティ連携部１１ｎが異フォーマットの脅威情報を受信した場合に実行される、防御処理を選択する処理を例示する図である。すなわち、セキュリティ連携部１１ｎが異フォーマットの脅威情報を受信した場合に（Ｓ１１１）、フォーマット変換する代わりに、異フォーマットの脅威情報に対応する防御処理を選択してもよい（Ｓ１１２）。セキュリティ連携部１１ｎは、選択した防御処理を次のＦＮ１１に要求すればよい。次のＦＮ１１は、例えば、図５のＳ２の処理またはＳ１Ａの処理では、ＵＤＭ１１ｊ、ＵＰＦ１１ａ等である。ただし、セキュリティ連携部１１ｎは、図５のＳ６の処理において、セキュリティ装置５１、またはルータ５２に対して設定する防御処理をＳ１１２において選択してもよい。そして、セキュリティ連携部１１ｎは、選択した防御処理をセキュリティ装置５１、またはルータ５２等に対して設定すればよい（Ｓ１１３）。すなわち、セキュリティ連携部１１ｎは、異フォーマットの脅威情報を基に、ＵＤＭ１１ｊ、ＵＰＦ１１ａ、セキュリティ装置５１、またはルータ５２に設定要求可能な防御処理を選択すればよい。
【0068】
（第１実施形態の効果）
上述のように、セキュリティ連携部１１ｎは、制御装置の一例として、通信システムの外部の組織から、通信ネットワークを利用する通信装置であるＵＥ２に対する脅威情報を受け付ける処理を実行する。また、セキュリティ連携部１１ｎは、受け付けた脅威情報を基にＵＥ２を防御する防御処理を実行する。このため、本通信システムは、通信ネットワークを利用するＵＥ２への攻撃を通信ネットワークの中で統一した処理で迅速に防御できる。
上述のように、セキュリティ連携部１１ｎは、制御装置の一例として、通信システムの外部の組織から、通信ネットワークを利用する通信装置であるＵＥ２に対する脅威情報を受け付ける処理を実行する。また、セキュリティ連携部１１ｎは、受け付けた脅威情報を基にＵＥ２を防御する防御処理を実行する。このため、本通信システムは、通信ネットワークを利用するＵＥ２への攻撃を通信ネットワークの中で統一した処理で迅速に防御できる。
【0069】
この場合、セキュリティ連携部１１ｎは、本通信システムに接続中のＵＥ２に対して、それぞれの接続先のＵＰＦ１１ａにおいて一律に防御処理を実行してもよい。したがって、通信システムに接続中のＵＥ２すべてを漏れなく防御できる。また、セキュリティ連携部１１ｎは、本通信システムの全ＵＰＦ１１ａにおいて一律に防御処理を実行してもよい。この場合には、通信システム全体で脅威情報に対応できる。
【0070】
ただし、情報源ＡＦ１２ａは、脅威情報の中に、攻撃の対象となる特定通信装置（対象ＵＥ２）を特定する情報を含めることができる。この場合には、セキュリティ連携部１１ｎは、特定通信装置に対して防御処理を実行すればよい。したがって、セキュリティ連携部１１ｎは、通信ネットワークを提供する通信システムの処理に極力影響を与えないで、防御処理を実行できる。
【0071】
そして、攻撃対象の特定通信装置が移動体、例えば、車両に搭載される装置の場合、情
報源ＡＦ１２ａは、脅威情報に特定通信装置が搭載された車両のメーカ、車種、年式等の情報を含めることができる。そして、情報源ＡＦ１２ａは、例えば、車種等の情報を基にＵＤＭ１１ｊに検索を要求し、攻撃の対象である対象ＵＥ２を特定できる。
報源ＡＦ１２ａは、脅威情報に特定通信装置が搭載された車両のメーカ、車種、年式等の情報を含めることができる。そして、情報源ＡＦ１２ａは、例えば、車種等の情報を基にＵＤＭ１１ｊに検索を要求し、攻撃の対象である対象ＵＥ２を特定できる。
【0072】
また、セキュリティ連携部１１ｎは、５ＧＣに設けられるＮＥＦ１１ｅを利用して脅威情報を受け付ける。したがって、セキュリティ連携部１１ｎは、５ＧＣの規格と整合がとれた処理で、脅威情報を受け付け、脅威に対する防御設定の設定と解除を実行できる。
【0073】
また、セキュリティ連携部１１ｎは、ＮＥＦ１１ｅを介さないで直接、脅威情報を受け付ける。したがって、情報源ＡＦ１２ａが信頼できるアプリケーションサーバである場合には、セキュリティ連携部１１ｎは、迅速に脅威情報を受け付け、脅威に対する防御設定の設定と解除を実行できる。
【0074】
また、セキュリティ連携部１１ｎは、ＤＮ５を介して通信ネットワークに接続されるセキュリティ装置５１、ルータ５２等に対して防御処理を実行する。また、セキュリティ連携部１１ｎは、ＡＦ１２の１つとして本通信システム（５ＧＣ等）に接続されるセキュリティ装置５１、ルータ５２等に対して防御処理を実行する。すなわち、セキュリティ連携部１１ｎは、本通信システムの外部の組織から情報源ＡＦ１２ａを介して提供される脅威情報を基に、本通信システムが提供する通信ネットワーク上のセキュリティ装置５１、ルータ５２等において、脅威に対する防御設定を実行できる。
【0075】
また、セキュリティ連携部１１ｎ、ＮＥＦ１１ｅ、ＵＤＭ１１ｊ等のＮＦ１１は、本通信システムでサポートしない異フォーマットの脅威情報を本通信システムのＦＮ１１でサポートするフォーマットに変換する。また、セキュリティ連携部１１ｎは、本通信システムのＦＮ１１でサポートしない異フォーマットの脅威情報に対応し、ＦＮ１１で実施可能な防御処理を特定し、選択する。そして、セキュリティ連携部１１ｎ等、本通信システムのＦＮ１１は、特定した防御処理を本通信システムで実施できる。さらに、セキュリティ連携部１１ｎは、本通信システムでサポートしない異フォーマットの脅威情報に対応する、セキュリティ装置５１またはルータ５２において要求可能な防御処理を特定する。そして、セキュリティ連携部１１ｎは、特定した防御処理をセキュリティ装置５１またはルータ５２に設定できる。
【0076】
また、上述のＵＤＭ１１ｊは、加入者関連情報を保持する。加入者関連情報は契約データの一例ということができる。すなわち、本通信システムはＵＥ２のユーザと本通信システムを管理する事業者（ＭＮＯ）との契約に基づく契約データを記憶する記憶装置（例えば、ＵＤＲ（Unified Data Repository））を有する。そして、セキュリティ連携部１１
ｎは、複数のＵＥ２のうち、ＵＤＭ１１ｊが保持または管理する契約データを基に防御処理を適用する対象を特定し、または決定する。このため、本通信システムは上記契約データを有効活用して防御処理を実行できる。例えば、加入者情報として、セキュリティ連携部１１ｎによる防御処理の実行可否または実行の要否がＵＤＲに保存されればよい。したがって、本通信システムは、ユーザとＭＮＯとの契約に基づいて、防御処理を適用するＵＥ２を特定し、または、限定できる。
ｎは、複数のＵＥ２のうち、ＵＤＭ１１ｊが保持または管理する契約データを基に防御処理を適用する対象を特定し、または決定する。このため、本通信システムは上記契約データを有効活用して防御処理を実行できる。例えば、加入者情報として、セキュリティ連携部１１ｎによる防御処理の実行可否または実行の要否がＵＤＲに保存されればよい。したがって、本通信システムは、ユーザとＭＮＯとの契約に基づいて、防御処理を適用するＵＥ２を特定し、または、限定できる。
【0077】
すなわち、ＵＤＭ１１ｊは、セキュリティ連携部１１ｎからの対象ＵＥ２の情報の検索要求において、防御処理の実行可否または実の要否をＵＤＲから取得し、セキュリティ連携部１１ｎに応答すればよい。このため、セキュリティ連携部１１ｎは、契約データにおいて、防御処理の実行が可能または実行が必要と設定されているＵＥ２に対してのみ、防御処理を実行すればよい。
【0078】
以上述べた通り、情報源ＡＦ１２ａは、通信システムとしての５ＧＣに接続されるＡＦ
１２の１つとして設けられる。したがって、情報源ＡＦ１２ａは、５ＧＣのＦＮ１１と連携しつつ、通信システム外部の組織から脅威情報を得ることができる。なお、図１に例示したように、情報源ＡＦ１２ａは、ＤＮ５に接続されるＥＡＳ等に設けられてもよい。また、情報源ＡＦ１２ａは、ＵＥ２に設けられてもよい。
１２の１つとして設けられる。したがって、情報源ＡＦ１２ａは、５ＧＣのＦＮ１１と連携しつつ、通信システム外部の組織から脅威情報を得ることができる。なお、図１に例示したように、情報源ＡＦ１２ａは、ＤＮ５に接続されるＥＡＳ等に設けられてもよい。また、情報源ＡＦ１２ａは、ＵＥ２に設けられてもよい。
【0079】
＜第２実施形態＞（処理の例）
図９を参照して、第２実施形態の通信システム、制御装置および通信方法が説明される。上記第１実施形態では、セキュリティ連携部１１ｎは、ＮＥＦ１１ｅを介して受信し、または、情報源ＡＦ１２ａから直接受信した脅威情報に基づいて、ＵＰＦ１１ａに脅威に対する防御設定を実行し、例えば、攻撃者９０への通信を遮断した。しかし、このような処理に代えて、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに防御設定のためのポリシーの設定を要求してもよい。また、ＰＣＦ１１ｄは設定の要求を受けたポリシーを設定し、さらに設定したポリシーにしたがって、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、ＵＰＦ１１ａに防御設定を行ってもよい。
図９を参照して、第２実施形態の通信システム、制御装置および通信方法が説明される。上記第１実施形態では、セキュリティ連携部１１ｎは、ＮＥＦ１１ｅを介して受信し、または、情報源ＡＦ１２ａから直接受信した脅威情報に基づいて、ＵＰＦ１１ａに脅威に対する防御設定を実行し、例えば、攻撃者９０への通信を遮断した。しかし、このような処理に代えて、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに防御設定のためのポリシーの設定を要求してもよい。また、ＰＣＦ１１ｄは設定の要求を受けたポリシーを設定し、さらに設定したポリシーにしたがって、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、ＵＰＦ１１ａに防御設定を行ってもよい。
【0080】
本実施形態において、以下の（１）（２）以外の処理は、第１実施形態と同様である。（１）セキュリティ連携部１１ｎがＰＣＦ１１ｄに脅威に対する防御設定のためのポリシーを設定する処理である。（２）ＰＣＦ１１ｄがＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、ＵＰＦ１１ａに防御設定を行う処理である。そこで、第１実施形態と同一の処理については、その説明が省略される。また、ＰＣＦ１１ｄによる処理およびＳＭＦ１１ｃによる処理以外の第１実施形態の処理は、そのまま本実施形態においても実行される。
【0081】
図９および図１０は、本通信システムにおける防御処理を例示するシーケンス図である。なお、図５のＳ１、Ｓ２、およびＳ１Ａの処理は、図９の前に実行されているものとする。また、図９の処理は、端子Ｂ１、Ｋ１、Ｌ１、Ｃ１、Ｄ１、およびＥ１によって図１０に継続される。また、図９において、Ｓ３およびＳ６の処理は、図５と同様であるので、その説明が省略される。
【0082】
図９では、セキュリティ連携部１１ｎは、対象ＵＥ２の情報または対象ＵＥ２が接続しているＵＰＦ情報等の応答を受け取った後（Ｓ４）の処理が記載されている。本実施形態では、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに対して、対象ＵＥ２が接続している該当ＵＰＦ１１ａに対して脅威に対する防御設定を実施するためのポリシーの設定を要求する（Ｓ５１）。すると、ＰＣＦ１１ｄは、脅威に対する防御設定を実施するためのポリシーを設定する。そして、ＰＣＦ１１ｄは、設定したポリシーにしたがって、ＳＭＦ１１ｃに、対象ＵＥ２が接続している該当ＵＰＦ１１ａに対して防御設定を行うことを要求する（Ｓ５２）。すると、ＳＭＦ１１ｃは、対象ＵＥ２が接続している該当ＵＰＦ１１ａに対して防御設定を行う（Ｓ５３）。なお、ＰＣＦ１１ｄは、設定したポリシーにしたがって、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａに対して防御設定を行ってもよい（Ｓ５４）。以降、図９においては、図５と同様、Ｓ６の処理が実行される。また、Ｓ７－１、Ｓ７－２と同様に、通信が遮断される。
【0083】
次に、図１０により説明が継続される。ここで、図６と同様、Ｓ８からＳ１１およびＳ１０Ａの処理が実行されるが、その説明は省略される。また、図１０では、これらの処理が省略されている。図１０において、セキュリティ連携部１１ｎは、防御停止を通知されると（図６のＳ１１、Ｓ１０Ａ）、ＰＣＦ１１ｄに対して、脅威に対する防御設定を実施するためのポリシーを解除するように要求する（Ｓ１２１）。すると、ＰＣＦ１１ｄは、防御設定を実施するためのポリシーを解除する。そして、ＰＣＦ１１ｄは、ＳＭＦ１１ｃに、脅威に対する防御を停止することを要求する（Ｓ１２２）。すると、ＳＭＦ１１ｃは、防御停止を行う（Ｓ１２３）。なお、ＰＣＦ１１ｄは、防御設定を実施するためのポリ
シーを解除するとともに、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａに対して防御停止を行ってもよい（Ｓ１２４）。以降、図１０においては、図６と同様、Ｓ１３の処理が実行される。
シーを解除するとともに、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａに対して防御停止を行ってもよい（Ｓ１２４）。以降、図１０においては、図６と同様、Ｓ１３の処理が実行される。
【0084】
なお、本実施形態においても、実施形態１の図７で述べた処理と同様のフォーマット変換処理が実行されてもよい。すなわち、セキュリティ連携部１１ｎ等の通信システムのＦＮ１１は、異フォーマットの脅威情報を通信システムのＮＦ１１によって処理可能な脅威情報のフォーマットに変換してもよい。また、図８で述べた処理と同様、セキュリティ連携部１１ｎは、異フォーマットの脅威情報を受信した場合に、受信した脅威情報に対応する防御処理を特定し、選択するようにしてもよい。
【0085】
（第２実施形態の効果）
以上述べたように、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに防御処理のポリシーの設定を要求し、ＰＣＦ１１ｄを通じてＵＰＦ１１ａにおいて防御処理を実行する。また、ＰＣＦ１１ｄは、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａに対して防御設定を行う。したがって、セキュリティ連携部１１ｎは、通信ネットワークにおいて統一して、脅威情報に対応する防御処理を実行できる。
以上述べたように、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに防御処理のポリシーの設定を要求し、ＰＣＦ１１ｄを通じてＵＰＦ１１ａにおいて防御処理を実行する。また、ＰＣＦ１１ｄは、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａに対して防御設定を行う。したがって、セキュリティ連携部１１ｎは、通信ネットワークにおいて統一して、脅威情報に対応する防御処理を実行できる。
【0086】
また、セキュリティ連携部１１ｎは、実施形態１の図７の処理と同様、脅威情報のフォーマットが通信システムのＦＮ１１において防御処理を実行なフォーマットとは異なる場合の処理を実行する。すなわち、セキュリティ連携部１１ｎ等は、脅威情報のフォーマットをＦＮ１１において防御処理を実行なフォーマットに変換する。また、セキュリティ連携部１１ｎは、実施形態１の図８の処理と同様、脅威情報のフォーマットが防御処理を実行な形式とは異なる場合に、脅威情報に対応してＵＰＦ１１ａ、セキュリティ装置５１、ルータ５２等において実行する防御処理を特定氏、選択する。さらに、セキュリティ連携部１１ｎは、特定された防御処理をＵＰＦ１１ａ、セキュリティ装置５１、ルータ５２等において実行する。したがって、本通信システムは、本通信システムの外部からの様々なフォーマットの脅威情報に基づいて防御処理を実行できる。
【0087】
＜第３実施形態＞（処理の例）
図１１および図１２を参照して、実施形態３の通信システムが説明される。実施形態１では、脅威情報に基づいて、防御処理が設定される通信システムが例示された。実施形態２では、実施形態１の処理に加えて、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに脅威防御設定のためのポリシーの設定を要求する処理が例示された。また、ＰＣＦ１１ｄは、設定の要求を受けたポリシーにしたがって、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、ＵＰＦ１１ａに脅威防御設定を行う処理が例示された。
図１１および図１２を参照して、実施形態３の通信システムが説明される。実施形態１では、脅威情報に基づいて、防御処理が設定される通信システムが例示された。実施形態２では、実施形態１の処理に加えて、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄに脅威防御設定のためのポリシーの設定を要求する処理が例示された。また、ＰＣＦ１１ｄは、設定の要求を受けたポリシーにしたがって、ＳＭＦ１１ｃを介して、または、ＳＭＦ１１ｃを介さないで直接、ＵＰＦ１１ａに脅威防御設定を行う処理が例示された。
【0088】
本実施形態では、脅威情報に基づいて、攻撃者９０からのトラフィックをＭＥＣ（Multi-access Edge Computing）に構築されたハニーポットに誘導する処理が例示される。ハ
ニーポットとは、ＭＥＣ基盤５５上に構築された、攻撃者９０のトラフィックを誘導する誘導先のコンピュータをいう。ハニーポットでは、攻撃者９０のトラフィックに応答するアプリケーションが実行される。なお、複数のコンピュータ、ネットワーク設備等に仮想技術を適用してＭＥＣを提供するシステムは、ＭＥＣ基盤５５と呼ばれる。
ニーポットとは、ＭＥＣ基盤５５上に構築された、攻撃者９０のトラフィックを誘導する誘導先のコンピュータをいう。ハニーポットでは、攻撃者９０のトラフィックに応答するアプリケーションが実行される。なお、複数のコンピュータ、ネットワーク設備等に仮想技術を適用してＭＥＣを提供するシステムは、ＭＥＣ基盤５５と呼ばれる。
【0089】
また、本実施形態の処理は、実施形態１の処理および実施形態２の処理とは独立に実施可能である。したがって、本通信システムは、実施形態１の処理、実施形態２の処理か、実施形態３の処理かを自在に選択して実施できる。
【0090】
図１１および図１２は、本通信システムにおける脅威情報の受け付けとハニーポット誘導処理を例示するシーケンス図である。また、図１１と図１２とは、Ａ２からＨ２で示さ
れる端子で接続される。この処理では、まず、情報源ＡＦ１２ａが脅威情報とともに、ハニーポット誘導開始の要求をＮＥＦ１１ｅに通知する（Ｓ２１）。
れる端子で接続される。この処理では、まず、情報源ＡＦ１２ａが脅威情報とともに、ハニーポット誘導開始の要求をＮＥＦ１１ｅに通知する（Ｓ２１）。
【0091】
すると、ＮＥＦ１１ｅは、脅威情報とハニーポット誘導開始の要求をさらにセキュリティ連携部１１ｎに通知する（Ｓ２２）。なお、情報源ＡＦ１２ａが通信システムのＭＮＯによって信頼されている状況においては、情報源ＡＦ１２ａは、セキュリティ連携部１１ｎに直接、ＮＥＦ１１ｅを介さないで、脅威情報とハニーポット誘導開始の要求を通知することができる（Ｓ２１Ａ）。
【0092】
次に、セキュリティ連携部１１ｎは、通知された脅威情報とハニーポット誘導開始の要求から、脅威情報において攻撃の対象とされている対象ＵＥ２を特定するための情報を取得する。そして、セキュリティ連携部１１ｎは、対象ＵＥ２または対象ＵＥ２が接続しているＵＰＦ情報を検索することを要求するメッセージをＵＤＭ１１ｊに送信する（Ｓ２３）。
【0093】
すると、ＵＤＭ１１ｊは、対象ＵＥ２の情報、例えば、５ＧＣでのユニークな識別子、または対象ＵＥ２が接続しているＵＰＦ情報等をセキュリティ連携部１１ｎに応答する（Ｓ２４）。ここで、ＵＰＦ情報とは、ＩＰアドレス、ＵＲＩなど５ＧＣ内で任意のＵＰＦを一意に識別可能な識別子である。
【0094】
ただし、ＵＤＭ１１ｊは、セキュリティ連携部１１ｎからの対象ＵＥ２の情報の検索要求（Ｓ３）において、ハニーポット誘導処理の実行可否または要否等をＵＤＲ等から取得し、セキュリティ連携部１１ｎに応答してもよい（Ｓ２４）。セキュリティ連携部１１ｎは、契約データにおいて、ハニーポット誘導処理の実行が可能、または実行が必要等と設定されているＵＥ２に対してのみ、ハニーポット誘導処理を実行すればよい。
【0095】
セキュリティ連携部１１ｎは、対象ＵＥ２の情報または対象ＵＥ２が接続しているＵＰＦ情報等の応答を受け取ると、対象ＵＥ２が接続している該当ＵＰＦ１１ａをアンカーとしてアクセスできるＭＥＣに、1または複数のハニーポットを起動する（Ｓ２５）。ただ
し、ハニーポットは対象ＵＥ２が接続している該当ＵＰＦ１１ａをアンカーとするものには限定されない。要するに、セキュリティ連携部１１ｎは、複数段のＵＰＦ１１ａを介して、攻撃者９０からのパケットあるいはトラフィックをハニーポットに誘導すればよい。また、起動されるハニーポットは、例えば、脅威情報に応じた種類のアプリケーションの実行により起動される。また、起動されるハニーポットは、例えば、脅威情報に応じたパラメータがアプリケーションに設定されて起動される。脅威情報に応じた種類、または、設定とは、例えば、攻撃者９０からの通信のプロトコル、送信元ドメイン、宛先ＩＰアドレス、宛先ポート番号、送信元のアプリケーションの種類、攻撃者を特定する追加情報に応じたものという意味である。そして、ＭＥＣ基盤５５は、ハニーポットの立ち上げが完了したことを示す応答をセキュリティ連携部１１ｎに返す（Ｓ２６）。
し、ハニーポットは対象ＵＥ２が接続している該当ＵＰＦ１１ａをアンカーとするものには限定されない。要するに、セキュリティ連携部１１ｎは、複数段のＵＰＦ１１ａを介して、攻撃者９０からのパケットあるいはトラフィックをハニーポットに誘導すればよい。また、起動されるハニーポットは、例えば、脅威情報に応じた種類のアプリケーションの実行により起動される。また、起動されるハニーポットは、例えば、脅威情報に応じたパラメータがアプリケーションに設定されて起動される。脅威情報に応じた種類、または、設定とは、例えば、攻撃者９０からの通信のプロトコル、送信元ドメイン、宛先ＩＰアドレス、宛先ポート番号、送信元のアプリケーションの種類、攻撃者を特定する追加情報に応じたものという意味である。そして、ＭＥＣ基盤５５は、ハニーポットの立ち上げが完了したことを示す応答をセキュリティ連携部１１ｎに返す（Ｓ２６）。
【0096】
ここで、ＭＥＣ基盤５５は、アンカーとなるＰＳＡ ＵＰＦに接続されるＤＮ５において、通信システムの外部に接続された情報処理環境の一例である。したがって、ハニーポットを起動することは、通信装置または通信装置を搭載した移動体内の環境を模倣した模擬受信システムを作成することの一例である。移動体内の環境とは、例えば、ハニーポットが移動体内のＵＥ２にインストールされるＯＳ、アプリケーション等を実行することをいう。
【0097】
すると、セキュリティ連携部１１ｎは、対象ＵＥ２が接続している該当ＵＰＦ１１ａに対して、該当トラフィックをＭＥＣ基盤５５のハニーポットへ誘導するように設定する（Ｓ２７）。なお、誘導は、複数段のＵＰＦ１１ａを経由するものでもよい。また、セキュ
リティ連携部１１ｎおよび関連するＮＦ１１は、実施形態２で説明した処理と同様の手順を実行してもよい。すなわち、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄへのポリシーの設定と、ＰＣＦ１１ｄからＳＭＦ１１ｃへの該当ＵＰＦ１１ａに対する誘導要求によって、該当トラフィックをＭＥＣ基盤５５のハニーポットへ誘導するようにしてもよい。
リティ連携部１１ｎおよび関連するＮＦ１１は、実施形態２で説明した処理と同様の手順を実行してもよい。すなわち、セキュリティ連携部１１ｎは、ＰＣＦ１１ｄへのポリシーの設定と、ＰＣＦ１１ｄからＳＭＦ１１ｃへの該当ＵＰＦ１１ａに対する誘導要求によって、該当トラフィックをＭＥＣ基盤５５のハニーポットへ誘導するようにしてもよい。
【0098】
このとき、ＰＣＦ１１ｄは、ＳＭＦ１１ｃを介さないで直接、該当ＵＰＦ１１ａにトラフィックの誘導を設定することによって、該当トラフィックをＭＥＣ基盤５５のハニーポットへ誘導するようにしてもよい。
【0099】
攻撃者のトラフィックをハニーポットに誘導する具体的手順は以下に例示される。例えば、3GPP（登録商標） TS 23.548 V18.3.0 (2023-09)の6.3 Edge Relocationの節には、
ＵＥ２がアクセスするＤＮ５上のＥＡＳ(Edge Application Server)を再配置する手順お
よびＥＡＳが接続されるＰＳＡ ＵＰＦを再配置する手順が記載されている。また、上記6.3節には、このＰＳＡ ＵＰＦが、ＥＡＳを用いるアプケーションに関連するトラフィ
ックに対して、ＥＡＳのＩＰアドレスおよびポート番号を置き換えることが記載されている。また、ＥＡＳの移転時に、ＡＦ１２が通信システム（５ＧＣ）に対して、ソースＰＳＡとターゲットＰＳＡの両方に同時接続する要求と、その処理について記載されている。ここで、ソースＰＳＡは、ＥＡＳの移転前にＵＥ２が接続していたＰＳＡをいい、ターゲットＰＳＡとは、ＥＡＳの移転後にＵＥ２が接続していたＰＳＡをいう。これらの規格は、ＵＥ２のアクセス先であるＥＡＳおよびＰＳＡ ＵＰＦを置き換える処理に関するものである。本実施形態では、これらの規格の手順が攻撃のパケットまたはトラフィイクをハニーポットへ誘導する、セキュリティ連携部１１ｎの手順に変形して適用される。
ＵＥ２がアクセスするＤＮ５上のＥＡＳ(Edge Application Server)を再配置する手順お
よびＥＡＳが接続されるＰＳＡ ＵＰＦを再配置する手順が記載されている。また、上記6.3節には、このＰＳＡ ＵＰＦが、ＥＡＳを用いるアプケーションに関連するトラフィ
ックに対して、ＥＡＳのＩＰアドレスおよびポート番号を置き換えることが記載されている。また、ＥＡＳの移転時に、ＡＦ１２が通信システム（５ＧＣ）に対して、ソースＰＳＡとターゲットＰＳＡの両方に同時接続する要求と、その処理について記載されている。ここで、ソースＰＳＡは、ＥＡＳの移転前にＵＥ２が接続していたＰＳＡをいい、ターゲットＰＳＡとは、ＥＡＳの移転後にＵＥ２が接続していたＰＳＡをいう。これらの規格は、ＵＥ２のアクセス先であるＥＡＳおよびＰＳＡ ＵＰＦを置き換える処理に関するものである。本実施形態では、これらの規格の手順が攻撃のパケットまたはトラフィイクをハニーポットへ誘導する、セキュリティ連携部１１ｎの手順に変形して適用される。
【0100】
また、攻撃者のトラフィックをハニーポットに誘導する具体的手順には、従来のネットワーク上のゲートウェイでのＮＡＴ（Network Address Translation）の手順を適用する
ことができる。その手順は、以下のように例示される。
ことができる。その手順は、以下のように例示される。
【0101】
（１）セキュリティ連携部１１ｎは、ＵＰＦ１１ａにおいて、直接、またはＰＣＦ１１ｄとＳＭＦ１１ｃを介して、ソース宛先アドレスとソース宛先ポート番号の組に対して、ターゲット宛先アドレスとターゲット宛先ポート番号の組を対応付ける。そして、セキュリティ連携部１１ｎは、ソースとターゲットとの対応付けを誘導用のアドレス変換テーブルに設定する。ここで、ソース宛先アドレスとソース宛先ポート番号は、アドレス変換前の宛先アドレスと宛先ポート番号をいい、攻撃者９０によるパケットまたはトラフィックの宛先をいう。また、ターゲット宛先アドレスとターゲット宛先ポート番号は、アドレス変換後の宛先アドレスと宛先ポート番号をいい、ハニーポットへの宛先アドレスと宛先ポート番号である。
【0102】
（２）セキュリティ連携部１１ｎは、例えば、図２に例示した特徴を有する送信元のパケットまたはトラフィックに対して上記（１）の誘導用のアドレス変換テーブルによるアドレス変換処理を指示するように、ＵＰＦ１１ａに指示する。セキュリティ連携部１１ｎは、直接、またはＰＣＦ１１ｄとＳＭＦ１１ｃを介して、アドレス変換処理をＵＰＦ１１ａに指示する。
【0103】
（３）以降、ＵＰＦ１１ａは、攻撃者のパケットをハニーポットに誘導する。なお、ＵＥ２と攻撃者９０との間のセッションは、例えば、タイムアウトによって消滅する。すでに述べたように、ＵＰＦ１１ａは、ＲＡＮ３とＤＮ５との間で、多段構成をとる場合がある。上記（１）（２）の設定は、ＰＳＡ ＵＰＦおよびＩ ＵＰＦのいずれに対して行うことができる。
【0104】
次に、図１２によって説明が継続される。ここで、セキュリティ連携部１１ｎが上記攻
撃者９０のパケットまたはトラフィックをＭＥＣ基盤５５のハニーポットへ誘導することは、通信システムが提供する通信ネットワークの内外からの攻撃を模擬受信システムに誘導することの一例である。通信ネットワーク内からの攻撃としては、ＵＥ２が接続するＭＮＯ内部の他のＵＥもしくは攻撃者９０に乗っ取られた５ＧＣ機能からの攻撃が想定される。攻撃内容は外部からの攻撃と同じく、ＤｏＳ（Denial of Service Attack）／ＤＤｏＳ（Distributed Denial of Service Attack）または各種脆弱性をついた攻撃などが想定される。ここで、ＤｏＳとは、アクセスが集中することでサーバ等の処理が輻輳することを利用し、悪意を持ってサーバ等の情報処理装置に大量のデータを送りつけるサイバー攻撃のことである。また、ＤＤｏＳとは、複数のコンピュータから大量のパケットをサーバ等の情報処理装置に送りつけることで、サーバ等の正常な処理を妨げる行為をいう。
撃者９０のパケットまたはトラフィックをＭＥＣ基盤５５のハニーポットへ誘導することは、通信システムが提供する通信ネットワークの内外からの攻撃を模擬受信システムに誘導することの一例である。通信ネットワーク内からの攻撃としては、ＵＥ２が接続するＭＮＯ内部の他のＵＥもしくは攻撃者９０に乗っ取られた５ＧＣ機能からの攻撃が想定される。攻撃内容は外部からの攻撃と同じく、ＤｏＳ（Denial of Service Attack）／ＤＤｏＳ（Distributed Denial of Service Attack）または各種脆弱性をついた攻撃などが想定される。ここで、ＤｏＳとは、アクセスが集中することでサーバ等の処理が輻輳することを利用し、悪意を持ってサーバ等の情報処理装置に大量のデータを送りつけるサイバー攻撃のことである。また、ＤＤｏＳとは、複数のコンピュータから大量のパケットをサーバ等の情報処理装置に送りつけることで、サーバ等の正常な処理を妨げる行為をいう。
【0105】
Ｓ２７と同様に、セキュリティ連携部１１ｎは、対象ＵＥ２が接続しているＰＳＡ ＵＰＦとＤＮ５を介して接続している外部のルータ５２等に対して該当トラフィックをＭＥＣ基盤５５のハニーポットへ誘導するように設定してもよい（Ｓ２８）。外部のルータ５２等は、ＡＦ１２の１つとして、通信システムに接続しているものでもよい。このトラフィックの誘導の設定によって、少なくとも、対象ＵＥ２が接続中でコネクションが設定されているルータ５２等において、攻撃者９０からのトラフィックは対象ＵＥ２には到達せず、ハニーポットで受信される（Ｓ２９）。
【0106】
その後、攻撃者９０による脅威がなくなると、情報源ＡＦ１２ａは、通信システム外部の組織から脅威が消滅したことの設定を受ける。すると、情報源ＡＦ１２ａは、ハニーポットへの誘導の停止をＮＥＦ１１ｅに通知する（Ｓ３０）。さらに、ＮＥＦ１１ｅは、セキュリティ連携部１１ｎに防御停止を要求する（Ｓ３１）。なお、情報源ＡＦ１２ａが通信システムのＭＮＯによって信頼されている状況においては、情報源ＡＦ１２ａは、セキュリティ連携部１１ｎに直接、ＮＥＦ１１ｅを介さないで、ハニーポットへの誘導の停止を通知することができる（Ｓ３０Ａ）。
【0107】
そして、セキュリティ連携部１１ｎは、防御停止を通知されると、ＵＰＦ１１ａに対して、ハニーポットへの誘導を停止させる。ここで、設定の停止には、例えば、上記誘導用のアドレス変換テーブルのクリア、または削除等も含まれる。また、セキュリティ連携部１１ｎは、ＭＥＣ基盤５５にハニーポットの停止および種々の設定の削除を要求するメッセージを送信する（Ｓ３２）。ＭＥＣ基盤５５にハニーポットの停止および種々の設定の削除を完了すると、その旨をセキュリティ連携部１１ｎに通知して応答する（Ｓ３３）。
【0108】
（実施形態３の効果）
以上述べたように、上記トラフィックの誘導によって、少なくとも、対象ＵＥ２への攻撃者９０からのトラフィックは対象ＵＥ２には到達せず、ハニーポットで受信される。したがって、本実施形態の通信システムおよびＮＦ１１は、通信システムの外部からの攻撃を有効に防御できる。また、本実施形態の通信システムおよびＮＦ１１は、通信システムの外部からの攻撃に対するさらなる処理をとるまでの時間稼ぎをすることができる。
以上述べたように、上記トラフィックの誘導によって、少なくとも、対象ＵＥ２への攻撃者９０からのトラフィックは対象ＵＥ２には到達せず、ハニーポットで受信される。したがって、本実施形態の通信システムおよびＮＦ１１は、通信システムの外部からの攻撃を有効に防御できる。また、本実施形態の通信システムおよびＮＦ１１は、通信システムの外部からの攻撃に対するさらなる処理をとるまでの時間稼ぎをすることができる。
【0109】
＜第１実施形態から第３実施形態の効果＞
ＵＥ２またはＵＥ２を搭載する移動体を製造し販売するメーカ、ＯＥＭあるいはベンダ等は、サイバー攻撃を通信ネットワークで防御し、攻撃の被害軽減を図ることが可能になる。例えば、ＯＳあるいはアプリケーションの修正パッチを準備するまでの時間稼ぎが可能となる。一方、通信ネットワークを管理し、ユーザに提供するＭＮＯは、ユーザを保護できる。また、ＭＮＯは、上記メーカ、ＯＥＭ、ベンダ、およびユーザにメディアコンテンツを提供するOver The Top（ＯＴＴ）、ＯＳあるいは端末等のベンダに対する課金手段を得ることができる。
ＵＥ２またはＵＥ２を搭載する移動体を製造し販売するメーカ、ＯＥＭあるいはベンダ等は、サイバー攻撃を通信ネットワークで防御し、攻撃の被害軽減を図ることが可能になる。例えば、ＯＳあるいはアプリケーションの修正パッチを準備するまでの時間稼ぎが可能となる。一方、通信ネットワークを管理し、ユーザに提供するＭＮＯは、ユーザを保護できる。また、ＭＮＯは、上記メーカ、ＯＥＭ、ベンダ、およびユーザにメディアコンテンツを提供するOver The Top（ＯＴＴ）、ＯＳあるいは端末等のベンダに対する課金手段を得ることができる。
【0110】
＜その他の実施形態＞
上記の実施形態はあくまでも一例であって、本開示はその要旨を逸脱しない範囲内で適宜変更して実施し得る。また、本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。
上記の実施形態はあくまでも一例であって、本開示はその要旨を逸脱しない範囲内で適宜変更して実施し得る。また、本開示において説明した処理や手段は、技術的な矛盾が生じない限りにおいて、自由に組み合わせて実施することができる。
【0111】
また、１つの装置が行うものとして説明した処理が、複数の装置によって分担して実行されてもよい。あるいは、異なる装置が行うものとして説明した処理が、１つの装置によって実行されても構わない。コンピュータシステムにおいて、各機能をどのようなハードウェア構成（サーバ構成）によって実現するかは柔軟に変更可能である。
【0112】
本開示は、上記の実施形態で説明した機能を実装したコンピュータプログラムをコンピュータに供給し、当該コンピュータが有する１つ以上のプロセッサがプログラムを読み出して実行することによっても実現可能である。このようなコンピュータプログラムは、コンピュータのシステムバスに接続可能な非一時的なコンピュータ可読記憶媒体によってコンピュータに提供されてもよいし、ネットワークを介してコンピュータに提供されてもよい。非一時的なコンピュータ可読記憶媒体は、例えば、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクドライブ（ＨＤＤ）等）、光ディスク（ＣＤ－ＲＯＭ、ＤＶＤディスク、ブルーレイディスク等）など任意のタイプのディスク、読み込み専用メモリ（ＲＯＭ）、ランダムアクセスメモリ（ＲＡＭ）、ＥＰＲＯＭ、ＥＥＰＲＯＭ、磁気カード、フラッシュメモリ、または光学式カードのような、電子的命令を格納するために適した任意のタイプの媒体を含む。
【符号の説明】
【0113】
２ ＵＥ
３ ＲＡＮ
５ ＤＮ
１１ ＦＮ
１２ ＡＦ
１２Ａ 情報源ＡＦ
２０ 情報処理装置
４０ 端末
５０ 情報源ＥＡＳ
５１ セキュリティ装置
５２ ルータ
３ ＲＡＮ
５ ＤＮ
１１ ＦＮ
１２ ＡＦ
１２Ａ 情報源ＡＦ
２０ 情報処理装置
４０ 端末
５０ 情報源ＥＡＳ
５１ セキュリティ装置
５２ ルータ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】