特許 7540523 モバイルネットワークにおけるマルチアクセス分散型エッジセキュリティ

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-08-19

(45)【発行日】2024-08-27

(54)【発明の名称】モバイルネットワークにおけるマルチアクセス分散型エッジセキュリティ

(51)【国際特許分類】

   H04W 12/088 20210101AFI20240820BHJP

   H04L 12/66 20060101ALI20240820BHJP

   H04W 12/086 20210101ALI20240820BHJP

   H04W 12/69 20210101ALI20240820BHJP

   G06F 21/62 20130101ALI20240820BHJP

【ＦＩ】

H04W12/088

H04L12/66

H04W12/086

H04W12/69

G06F21/62 318

【請求項の数】 6

【外国語出願】

(21)【出願番号】P 2023037389

(22)【出願日】2023-03-10

(62)【分割の表示】P 2021180103の分割

【原出願日】2020-03-23

(65)【公開番号】P2023072002

(43)【公開日】2023-05-23

【審査請求日】2023-03-10

(31)【優先権主張番号】16/368,759

(32)【優先日】2019-03-28

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】517392861

【氏名又は名称】パロ アルト ネットワークス，インコーポレイテッド

【氏名又は名称原語表記】Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ，Ｉｎｃ．

【住所又は居所原語表記】３０００ Ｔａｎｎｅｒｙ Ｗａｙ，Ｓａｎｔａ Ｃｌａｒａ，Ｃａｌｉｆｏｒｎｉａ ９５０５４，Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(74)【代理人】

【識別番号】100135079

【弁理士】

【氏名又は名称】宮崎 修

(72)【発明者】

【氏名】ベルマ・サシャン

(72)【発明者】

【氏名】バラコフスキー・レオニード

【審査官】三枝 保裕

(56)【参考文献】

【文献】米国特許出願公開第２０１８／０３６７５７８（ＵＳ，Ａ１）

【文献】国際公開第２０１８／１９２５２８（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｂ ７／２４－ ７／２６

Ｈ０４Ｗ ４／００－９９／００

Ｈ０４Ｌ １２／６６

Ｇ０６Ｆ ２１／６２

３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４

ＳＡ ＷＧ１－４

ＣＴ ＷＧ１、４

(57)【特許請求の範囲】

【請求項1】

システムであって、プロセッサおよびメモリを含み、
前記プロセッサは、
新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する工程であって、前記セキュリティプラットフォームは、５Ｇネットワークにマルチアクセス分散型エッジセキュリティを提供するために、前記５Ｇネットワークのためのモバイルコアネットワーク内の制御プロトコルおよびユーザデータトラフィックについて複数のインターフェースを含む無線インターフェースを監視し、前記サービスプロバイダネットワークは、前記５Ｇネットワークまたは統合５Ｇネットワークを含み、かつ、前記ネットワークトラフィックを監視することは、前記ネットワークトラフィックにおけるＣｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作またはＣｒｅａｔｅサービス動作を識別することを含む、工程と、
前記新しいセッションに関連するユーザトラフィックのネットワークアクセス識別子情報を前記セキュリティプラットフォームで抽出する工程であって、前記工程は、前記ネットワークトラフィックにおける前記Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作または前記Ｃｒｅａｔｅサービス動作から、サブスクリプションおよび／または機器識別子情報を抽出するためにＨＴＴＰ／２メッセージをパースすることを含み、かつ、前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、工程と、
前記ネットワークアクセス識別子情報に基づいて、前記セキュリティプラットフォームで前記新しいセッションに適用するセキュリティポリシーを決定する工程であって、前記セキュリティポリシーは、前記ＮＡＩ関連情報に少なくとも部分的に基づいて実施される、工程と、
前記セキュリティポリシーに基づいて、前記新しいセッションがリソースにアクセスするのをブロックする、工程と、
を実行するように構成されており、
前記メモリは、
前記プロセッサに接続され、前記プロセッサに命令を提供するよう構成されている、
システム。

【請求項2】

請求項１に記載のシステムであって、
前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、システム。

【請求項3】

方法であって、
新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する工程であって、前記セキュリティプラットフォームは、５Ｇネットワークにマルチアクセス分散型エッジセキュリティを提供するために、前記５Ｇネットワークのためのモバイルコアネットワーク内の制御プロトコルおよびユーザデータトラフィックについて複数のインターフェースを含む無線インターフェースを監視し、前記サービスプロバイダネットワークは、前記５Ｇネットワークまたは統合５Ｇネットワークを含み、かつ、前記ネットワークトラフィックを監視することは、前記ネットワークトラフィックにおけるＣｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作またはＣｒｅａｔｅサービス動作を識別することを含む、工程と、
前記新しいセッションに関連するユーザトラフィックのネットワークアクセス識別子情報を前記セキュリティプラットフォームで抽出する工程であって、前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、工程と、
前記ネットワークアクセス識別子情報に基づいて、前記セキュリティプラットフォームで前記新しいセッションに適用するセキュリティポリシーを決定する工程であって、前記工程は、前記ネットワークトラフィックにおける前記Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作または前記Ｃｒｅａｔｅサービス動作から、サブスクリプションおよび／または機器識別子情報を抽出するためにＨＴＴＰ／２メッセージをパースすることを含み、かつ、前記セキュリティポリシーは、前記ＮＡＩ関連情報に少なくとも部分的に基づいて実施される、工程と、
前記セキュリティポリシーに基づいて、前記新しいセッションがリソースにアクセスするのをブロックする、工程と、
を備える、方法。

【請求項4】

コンピュータプログラムであって、有形で持続性のコンピュータ読み取り可能な記憶媒体上に保管されているコンピュータ命令を含み、コンピュータによって実行されると、
新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する工程であって、前記セキュリティプラットフォームは、５Ｇネットワークにマルチアクセス分散型エッジセキュリティを提供するために、前記５Ｇネットワークのためのモバイルコアネットワーク内の制御プロトコルおよびユーザデータトラフィックについて複数のインターフェースを含む無線インターフェースを監視し、前記サービスプロバイダネットワークは、前記５Ｇネットワークまたは統合５Ｇネットワークを含み、かつ、前記ネットワークトラフィックを監視することは、前記ネットワークトラフィックにおけるＣｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作またはＣｒｅａｔｅサービス動作を識別することを含む、工程と、
前記新しいセッションに関連するユーザトラフィックのネットワークアクセス識別子情報を前記セキュリティプラットフォームで抽出する工程であって、前記工程は、前記ネットワークトラフィックにおける前記Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔサービス動作または前記Ｃｒｅａｔｅサービス動作から、サブスクリプションおよび／または機器識別子情報を抽出するためにＨＴＴＰ／２メッセージをパースすることを含み、かつ、前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、工程と、
前記ネットワークアクセス識別子情報に基づいて、前記セキュリティプラットフォームで前記新しいセッションに適用するセキュリティポリシーを決定する工程であって、前記セキュリティポリシーは、前記ＮＡＩ関連情報に少なくとも部分的に基づいて実施される、工程と、
前記セキュリティポリシーに基づいて、前記新しいセッションがリソースにアクセスするのをブロックする、工程と、
を実施する、コンピュータプログラム。

【請求項5】

請求項３に記載の方法であって、
前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、方法。

【請求項6】

請求項４に記載のコンピュータプログラムであって、
前記ネットワークアクセス識別子情報は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、前記ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する、コンピュータプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

他の出願の相互参照
本願は、同時係属の米国特許出願第１６／１４４，１４３号「ＮＥＴＷＯＲＫ ＳＬＩＣＥ－ＢＡＳＥＤ ＳＥＣＵＲＩＴＹ ＩＮ ＭＯＢＩＬＥ ＮＥＴＷＯＲＫＳ」（２０１８年９月２７日出願）、および、米国特許出願第１６／１４４，１４７号「ＳＥＲＶＩＣＥ－ＢＡＳＥＤ ＳＥＣＵＲＩＴＹ ＰＥＲ ＳＵＢＳＣＲＩＰＴＩＯＮ ＡＮＤ／ＯＲ ＥＱＵＩＰＭＥＮＴ ＩＤＥＮＴＩＦＩＥＲＳ ＩＮ ＭＯＢＩＬＥ ＮＥＴＷＯＲＫＳ」（２０１８年９月２７日出願）の一部係属出願であり、これらの出願は、すべての目的のために参照により本明細書に組み込まれる。

【背景技術】

【0002】

ファイアウォールは、一般に、不正アクセスからネットワークを保護しつつ、承認された通信がファイアウォールを通過することを許可する。ファイアウォールは、通例、ネットワークアクセスに対するファイアウォール機能を提供するデバイスまたはデバイスセットもしくはデバイス（コンピュータなど）上で実行されるソフトウェアである。例えば、ファイアウォールは、デバイス（例えば、コンピュータ、スマートフォン、または、その他のタイプのネットワーク通信可能なデバイス）のオペレーティングシステムに統合されうる。ファイアウォールは、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス（例えば、ネットワークルータ）、または、データアプライアンス（例えば、セキュリティアプライアンスまたはその他のタイプの専用デバイス）上のソフトウェアに統合されてもよいし、かかるソフトウェアとして実行されてもよい。

【0003】

ファイアウォールは、通例、１セットのルールに基づいてネットワーク伝送を拒否または許可する。これらのセットのルールは、しばしば、ポリシーと呼ばれる。例えば、ファイアウォールは、１セットのルールまたはポリシーを適用することによってインバウンドトラフィックをフィルタリングできる。ファイアウォールは、１セットのルールまたはポリシーを適用することによってアウトバウンドトラフィックをフィルタリングすることもできる。ファイアウォールは、基本的なルーティング機能を実行することもできる。

【図面の簡単な説明】

【0004】

以下の詳細な説明と添付の図面において、本発明の様々な実施形態を開示する。

【0005】

【図1A】いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチアクセスセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図。

【0006】

【図1B】いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチエッジセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図。

【0007】

【図1C】いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇローミングセキュリティ－ホームルーテッドシナリオを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図。

【0008】

【図1D】いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇローミングセキュリティ－ローカルブレイクアウトシナリオを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図。

【0009】

【図1E】いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチアクセス分散型エッジセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図。

【0010】

【図2A】いくつかの実施形態に従って、５Ｇネットワークにおける非ローミングおよびローカルブレイクアウトでのローミングのためのＵＥ要求ＰＤＵセッション確立のフローの一例を示す図。

【0011】

【図2B】いくつかの実施形態に従って、５Ｇネットワークにおける非ローミングおよびローカルブレイクアウトでのローミングのためのＵＥ要求ＰＤＵセッション確立および変更／更新のフローの一例を示す図。

【0012】

【図2C】いくつかの実施形態に従って、５ＧネットワークにおいてＮ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバのフローの一例を示す図。

【0013】

【図2D】いくつかの実施形態に従って、５ＧＳネットワークにおいてＮ２６インターフェースを用いないＥＰＳから５ＧＳへのモビリティ手順のフローの一例を示す図。

【0014】

【図2E】いくつかの実施形態に従って、５ＧネットワークにおいてソースＡＭＦによって用いられるＳＭコンテキストのＳＭＦリソース識別子をターゲットＡＭＦが知らない３ＧＰＰアクセスおよび非３ＧＰＰアクセスの間のＰＤＵセッションのハンドオーバのフローの一例を示す図。

【0015】

【図2F】いくつかの実施形態に従って、５ＧネットワークにおけるＨＰＬＭＮ（ホームルートローミング）内のＮ３ＩＷＦによる３ＧＰＰアクセスから信頼できない非３ＧＰＰへのＰＤＵセッションのハンドオーバのフローの一例を示す図。

【0016】

【図2G】いくつかの実施形態に従って、５ＧネットワークにおけるＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバのフローの一例を示す図。

【0017】

【図2H】いくつかの実施形態に従って、５ＧネットワークにおけるＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバのフローの一例を示す図。

【0018】

【図2I】いくつかの実施形態に従って、５ＧネットワークにおけるホームルーテッドローミングシナリオのためのＵＥ要求ＰＤＵセッション確立のフローの一例を示す図。

【0019】

【図2J】いくつかの実施形態に従って、５ＧネットワークにおけるホームルーテッドローミングシナリオのためのＵＥ要求ＰＤＵセッション確立および変更／更新のフローの一例を示す図。

【0020】

【図2K】いくつかの実施形態に従って、５Ｇネットワークにおける５Ｇユーザプレーン機能（ＵＰＦ）と５Ｇコア制御／シグナリング機能（ＳＭＦ）との間のＮ４インターフェース上でのプロトコルデータユニット（ＰＤＵ）セッション確立のフローの一例を示す図。

【0021】

【図3】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスのハードウェアコンポーネントを示す機能図。

【0022】

【図4】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスの論理コンポーネントを示す機能図。

【0023】

【図5】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示すフローチャート。

【0024】

【図6】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャート。

【0025】

【図7】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャート。

【0026】

【図8】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャート。

【0027】

【図9】いくつかの実施形態に従って、サービスプロバイダのための５Ｇネットワークのマルチアクセス分散型エッジセキュリティを実行するためのパケット転送制御プロトコル（ＰＦＣＰ）セッション確立要求パケットキャプチャ（ｐｃａｐ）のスナップショットを示すスクリーンショット図。

【0028】

【図10】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための処理を示すフローチャート。

【0029】

【図11】いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための処理を示す別のフローチャート。

【発明を実施するための形態】

【0030】

本発明は、処理、装置、システム、物質の組成、コンピュータ読み取り可能な格納媒体上に具現化されたコンピュータプログラム製品、および／または、プロセッサ（プロセッサに接続されたメモリに格納および／またはそのメモリによって提供される命令を実行するよう構成されたプロセッサ）を含め、様々な形態で実装されうる。本明細書では、これらの実装または本発明が取りうる任意の他の形態を、技術と呼ぶ。一般に、開示された処理の工程の順序は、本発明の範囲内で変更されてもよい。特に言及しない限り、タスクを実行するよう構成されるものとして記載されたプロセッサまたはメモリなどの構成要素は、ある時間にタスクを実行するよう一時的に構成された一般的な構成要素として、または、タスクを実行するよう製造された特定の構成要素として実装されてよい。本明細書では、「プロセッサ」という用語は、１または複数のデバイス、回路、および／または、コンピュータプログラム命令などのデータを処理するよう構成された処理コアを指すものとする。

【0031】

以下では、本発明の原理を示す図面を参照しつつ、本発明の１または複数の実施形態の詳細な説明を行う。本発明は、かかる実施形態に関連して説明されているが、どの実施形態にも限定されない。本発明の範囲は、特許請求の範囲によってのみ限定されるものであり、本発明は、多くの代替物、変形物、および、等価物を含む。以下の説明では、本発明の完全な理解を提供するために、多くの具体的な詳細事項が記載されている。これらの詳細事項は、例示を目的としたものであり、本発明は、これらの具体的な詳細事項の一部または全てがなくとも特許請求の範囲に従って実施可能である。簡単のために、本発明に関連する技術分野で周知の技術事項については、本発明が必要以上にわかりにくくならないように、詳細には説明していない。

【0032】

ファイアウォールは、一般に、不正アクセスからネットワークを保護しつつ、承認された通信がファイアウォールを通過することを許可する。ファイアウォールは、通例、ネットワークアクセスに対するファイアウォール機能を提供するデバイス、デバイスセット、または、デバイス上で実行されるソフトウェアである。例えば、ファイアウォールは、デバイス（例えば、コンピュータ、スマートフォン、または、その他のタイプのネットワーク通信可能なデバイス）のオペレーティングシステムに統合されうる。また、ファイアウォールは、コンピュータサーバ、ゲートウェイ、ネットワーク／ルーティングデバイス（例えば、ネットワークルータ）、または、データアプライアンス（例えば、セキュリティアプライアンスまたはその他のタイプの専用デバイス）など様々なタイプのデバイスまたはセキュリティデバイス上のソフトウェアアプリケーションに統合されうる、もしくは、かかるソフトウェアアプリケーションとして実行されうる。

【0033】

ファイアウォールは、通例、１セットのルールに基づいてネットワーク伝送を拒否または許可する。これらのセットのルールは、しばしば、ポリシー（例えば、ネットワークポリシーまたはネットワークセキュリティポリシー）と呼ばれる。例えば、ファイアウォールは、望ましくない外部のトラフィックが保護されたデバイスに到達するのを防ぐために、１セットのルールまたはポリシーを適用することによってインバウンドトラフィックをフィルタリングできる。また、ファイアウォールは、１セットのルールまたはポリシーを
適用することによってアウトバウンドトラフィックをフィルタリングできる（例えば、許可、ブロック、監視、通知、または、記録、および／または、その他の動作を、ファイアウォール／セキュリティ・ルールまたはファイアウォール／セキュリティ・ポリシー内に記述できる。ルールまたはポリシーは、本明細書に記載したような様々な規準に基づいてトリガされうる）。また、ファイアウォールは、１セットのルールまたはポリシーを適用することによって、アンチウィルス保護、マルウェア検出／防御、もしくは、侵入防止を適用しうる。

【0034】

セキュリティデバイス（例えば、セキュリティアプライアンス、セキュリティゲートウェイ、セキュリティサービス、および／または、その他のセキュリティデバイス）は、様々なセキュリティ機能（例えば、ファイアウォール、マルウェア対策、侵入防止／検出、プロキシ、および／または、その他のセキュリティ機能）、ネットワーク機能（例えば、ルーティング、クオリティオブサービス（ＱｏＳ）、ネットワーク関連リソースの負荷バランシング、および／または、その他のネットワーク機能）、ならびに／もしくは、その他の機能を備えうる。例えば、ルーティング機能は、接続元情報（例えば、接続元ＩＰアドレスおよびポート）、接続先情報（例えば、接続先ＩＰアドレスおよびポート）、ならびに、プロトコル情報に基づきうる。

【0035】

基本的なパケットフィルタリング・ファイアウォールは、ネットワークを介して伝送された個々のパケットを調べることによってネットワーク通信トラフィックをフィルタリングする（例えば、ステートレスパケットフィルタリング・ファイアウォールであるパケットフィルタリング・ファイアウォールまたは第１世代のファイアウォール）。ステートレスパケットフィルタリング・ファイアウォールは、通例、個々のパケット自体を調べ、調べたパケットに基づいて（例えば、パケットの送信元および宛先アドレス情報、プロトコル情報、ならびに、ポート番号の組み合わせを用いて）ルールを適用する。

【0036】

また、アプリケーション・ファイアウォールは、（例えば、ＴＣＰ／ＩＰスタックのアプリケーションレベルで機能するアプリケーションレイヤフィルタリング・ファイアウォールまたは第２世代のファイアウォールを用いて）アプリケーションレイヤフィルタリングを実行できる。アプリケーションレイヤフィルタリング・ファイアウォールまたはアプリケーション・ファイアウォールは、一般に、特定のアプリケーションおよびプロトコルを識別できる（例えば、ハイパーテキストトランスファープロトコル（ＨＴＴＰ）、ドメインネームシステム（ＤＮＳ）要求、ファイルトランスファープロトコル（ＦＴＰ）を用いたファイル転送、ならびに、様々なその他のタイプのアプリケーションおよびその他のプロトコル（Ｔｅｌｎｅｔ、ＤＨＣＰ、ＴＣＰ、ＵＤＰ、および、ＴＦＴＰ（ＧＳＳ）など））。例えば、アプリケーション・ファイアウォールは、標準ポートで通信を試みる無許可プロトコルをブロックできる（例えば、プロトコルに非標準ポートを用いて忍び込もうとする無許可／ポリシー外のプロトコルが、一般に、アプリケーション・ファイアウォールを用いて識別されうる）。

【0037】

また、ステートフル・ファイアウォールは、各パケットがネットワーク伝送のパケットのフロー／パケットフローに関連する一連のパケットのコンテキスト内で検査されるステートフルベースのパケット検査を実行できる（例えば、ステートフル・ファイアウォールまたは第３世代のファイアウォール）。このファイアウォール技術は、一般に、ファイアウォールを通過するすべての接続の記録を維持するのでステートフルパケット検査と呼ばれており、パケットが新しい接続の開始であるのか、既存の接続の一部であるのか、または、無効なパケットであるのかを判定できる。例えば、接続の状態自体が、ポリシー内のルールをトリガする基準の１つでありうる。

【0038】

先進ファイアウォールすなわち次世代ファイアウォールは、上述のように、ステートレスおよびステートフルパケットフィルタリングとアプリケーションレイヤフィルタリングとを実行できる。また、次世代ファイアウォールは、さらなるファイアウォール技術を実行できる。例えば、先進ファイアウォールまたは次世代ファイアウォールとも呼ばれる特定の新しいファイアウォールは、ユーザおよびコンテンツの識別もできる。特に、特定の次世代ファイアウォールは、これらのファイアウォールが数千のアプリケーションを自動的に識別できるアプリケーションのリストを拡張している。かかる次世代ファイアウォールの例は、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社から市販されている（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のＰＡシリーズ・次世代ファイアウォールおよびＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のＶＭシリーズ・仮想次世代ファイアウォール）。

【0039】

例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社の次世代ファイアウォールは、企業およびサービスプロバイダが、以下のような様々な識別技術を用いて、ポート、ＩＰアドレス、および、パケットだけでなく、アプリケーション、ユーザ、および、コンテンツを識別して制御することを可能にする：正確なアプリケーション識別のためのＡｐｐ－ＩＤＴＭ（例えば、ＡＰＰ－ＩＤ）、（例えば、ユーザまたはユーザグループによる）ユーザ識別のためのユーザ－ＩＤＴＭ（例えば、ユーザＩＤ）、および、リアルタイムのコンテンツスキャニング（例えば、ウェブサーフィンの制御、ならびに、データおよびファイル転送の制限）のためのコンテンツ－ＩＤＴＭ（例えば、コンテンツＩＤ）。これらの識別技術により、企業が、従来のポート遮断ファイアウォールによって提供される従来のアプローチに従う代わりに、ビジネス関連概念を用いたアプリケーション利用を確実に実現することが可能になる。また、例えば専用アプライアンスとして実装された次世代ファイアウォールのための専用ハードウェアは、一般に、汎用ハードウェアで実行されるソフトウェアよりもアプリケーション検査のパフォーマンスレベルが高い（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のＰＡシリーズ・次世代ファイアウォールでネットワークスループットを最大化しつつ待ち時間を最小化するためにシングルパスソフトウェアエンジンと緊密に統合された専用の機能特異的な処理を用いるＰａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のセキュリティアプライアンスなど）。

【0040】

サービスプロバイダのための現在のモバイルネットワークにおける技術的およびセキュリティ上の課題

【0041】

現在のサービスプロバイダネットワーク環境において、サービスプロバイダは、通例、サービスプロバイダの無線ネットワーク上で通信する無線デバイスのための静的なセキュリティポリシーだけを実施することができ（例えば、サービスプロバイダは、サービスプロバイダの無線ネットワーク上で通信する無線デバイスのために、エンドポイントごとおよび／またはフローごとにセキュリティ／ファイアウォールポリシーを規定することができない）、任意の変化が、一般に、ネットワークインフラのアップデートを必要とする。

【0042】

したがって、サービスプロバイダネットワークの技術的およびセキュリティ上の課題が、モバイルネットワーク内のデバイスに対して存在する。そのため、かかるサービスプロバイダネットワーク環境（例えば、モバイルネットワーク）内のデバイスのための新しい改良セキュリティ技術が必要とされている。具体的には、サービスプロバイダネットワークトラフィックを監視し、サービスプロバイダネットワーク上で通信するデバイスのためのセキュリティポリシー（例えば、ファイアウォールポリシー）を適用するための新しい改良ソリューションが必要とされている。

【0043】

モバイルネットワークにおけるネットワークスライスベースのセキュリティのための技術の概要

【0044】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるネットワークスライスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。さらに具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるネットワークスライスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内の実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。

【0045】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてネットワークスライス情報を抽出することによりセキュリティプラットフォームを用いて適用できるネットワークスライスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0046】

具体的には、ＩＥＴＦ ＲＦＣ ７５４０（例えば、ｈｔｔｐｓ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ／ｒｆｃ７５４０で入手可能）に記載されている通り、ＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３（例えば、ｈｔｔｐｓ：／／ｔｏｏｌｓ．ｉｅｔｆ．ｏｒｇ／ｈｔｍｌ／ｒｆｃ７９３で入手可能）に記載されたＴＣＰを転送プロトコルとして用いる。ネットワークスライスは、コアネットワークコントロールプレーンおよびユーザプレーンネットワーク機能を含む地上波公共移動通信ネットワーク（ＰＬＭＮ）内の論理ネットワークであり、サービングＰＬＭＮにおいて、ＮＧラジオアクセスネットワーク、または、非３ＧＰＰアクセスネットワークへの非３ＧＰＰインターワーキング機能（Ｎ３ＩＷＦ）の少なくとも一方である。

【0047】

より具体的には、ネットワークスライスは、シングルネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ：Ｓｉｎｇｌｅ Ｎｅｔｗｏｒｋ Ｓｌｉｃｅ Ｓｅｌｅｃｔｉｏｎ Ａｓｓｉｓｔａｎｃｅ Ｉｎｆｏｒｍａｔｉｏｎ）によって識別される。Ｓ－ＮＳＳＡＩは、以下で構成される：（１）スライス／サービスタイプ（ＳＳＴ）－機能およびサービスに関して予測されるネットワークスライス挙動のことである；および、（２）スライスディファレンシエータ（例えば、同じＳＳＴの複数のネットワークスライスを区別するためのオプション情報。

【0048】

さらに、Ｓ－ＮＳＳＡＩは、標準値または非標準値を有しうる。３ＧＰＰによって規定された標準ＳＳＴ値を以下に提供する：

【表1】

【0049】

いくつかの実施形態において、所与の５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、Ｓ－ＮＳＳＡＩ情報が、以下で詳述する２つの選択肢の内の１以上を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝３３４０で入手可能な３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＳ－ＮＳＳＡＩ情報を抽出する。‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順例で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。

【0050】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＳ－ＮＳＳＡＩ情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順例で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。

【0051】

いくつかの実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、様々な実施形態および例に関して後に詳述するように、ネットワークスライス識別子（Ｓ－ＮＳＳＡＩ）を用いて、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のためのセキュリティを適用することを含む。

【0052】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のためのセキュリティの提供が、５ＧネットワークにおいてＳ－ＮＳＳＡＩごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0053】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のための脅威検出の提供が、５ＧネットワークにおいてＳ－ＮＳＳＡＩごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0054】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のための脅威防御の提供が、５ＧネットワークにおいてＳ－ＮＳＳＡＩごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0055】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、ネットワークスライス識別子（Ｓ－ＮＳＳＡＩ）を用いて、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客にユニフォームリソースロケータ（ＵＲＬ）フィルタリングを適用することが、５ＧネットワークにおいてＳ－ＮＳＳＡＩごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0056】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のためのセキュリティの提供が、５ＧネットワークにおいてＳＳＴごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0057】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のための脅威検出の提供が、５ＧネットワークにおいてＳＳＴごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0058】

一実施形態において、モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客のための脅威防御の提供が、５ＧネットワークにおいてＳＳＴごとに適用されうるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行されることを含む。

【0059】

例えば、開示技術は、５Ｇコンバージドオペレータが、５Ｇラジオアクセス技術と、５Ｇおよび非５Ｇアクセス技術の間のハンドオーバとを用いてネットワークに接続する複数の加入者、ユーザ、および／または、インターネット・オブ・シングス（ＩｏＴ）デバイス（例えば、セルラーＩｏＴ（ＣＩｏＴ）デバイス）を持つ任意の顧客に、ネットワークスライスベースのセキュリティを提供することを可能にしうる。

【0060】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ネットワークスライスベースのファイアウォールサービス；（２）既知の脅威に対するネットワークスライスベースの基本的な脅威検出サービス；（３）未知の脅威に対するネットワークスライスベースの高度な脅威検出サービス；（４）既知の脅威に対するネットワークスライスベースの基本的な脅威防御サービス；（５）未知の脅威に対するネットワークスライスベースの高度な脅威防御サービス；（６）ネットワークスライスベースのＵＲＬフィルタリングサービス；（７）ネットワークスライスベースのアプリケーションＤｏＳ検出サービス；（８）ネットワークスライスベースのアプリケーションＤｏＳ防御サービス；および、（９）ＮＧＦＷにおけるＵＲＬフィルタリングが、５ＧネットワークにおいてＳＳＴごとに実行されうる。

【0061】

モバイルネットワークにおいてネットワークスライスベースのセキュリティを提供するためのこれらおよびその他の実施形態および例について、以下でさらに説明する。

【0062】

サービスプロバイダのためのモバイルネットワークにおけるサブスクリプション識別子および／または機器識別子ごとのサービスベースのセキュリティのための技術の概要

【0063】

サブスクリプション永久識別子（ＳＵＰＩ）ごとのサービスベースのセキュリティ

【0064】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるサービスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、ＨＴＴＰ／２メッセージをパースして、サービスプロバイダのため（５Ｇセルラーネットワークのため、など）のモバイルネットワークにおけるサブスクリプション永久識別子（ＳＵＰＩ）情報を抽出することによって、セキュリティプラットフォームを用いて適用できるサービスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよび提供するための様々な処理が開示されている。

【0065】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてＳＵＰＩ情報を抽出することによりセキュリティプラットフォームを用いて適用できるサブスクリプション永久識別子（ＳＵＰＩ）ごとのサービスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0066】

具体的には、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。ＩＥＴＦ ＲＦＣ ７５４０に記載されているＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３に記載されたＴＣＰを転送プロトコルとして用いる。

【0067】

より具体的には、ＳＵＰＩは、５Ｇシステムにおいて各加入者に割り当てられ、ユニバーサルデータマネジメント（ＵＤＭ）／ユニバーサルデータリポジトリ（ＵＤＲ）内に提供されるグローバルに一意な５Ｇサブスクリプション識別子である。ＳＵＰＩは、３ＧＰＰシステム内で用いられる。ＳＵＰＩは、以下の情報を含んでよい：（１）ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝７２９で入手可能な３ＧＰＰ ＴＳ ２３．００３で規定されたＩＭＳＩ、または、（２）ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝７２９で入手可能な３ＧＰＰ ＴＳ ２３．００３で規定されたプライベートネットワークに用いられるネットワーク固有の識別子。一部の例において、ＳＵＰＩは、ＩＭＳＩベースまたは非ＩＭＳＩベース（例えば、非３ＧＰＰアクセス技術でまたはプライベートネットワークのために用いられる場合）のいずれかのＮＡＩに対して、３ＧＰＰ ＴＳ ２３．００３に規定されたＮＡＩ ＲＦＣ ７５４２べースのユーザ識別を用いたネットワークアクセス識別子（ＮＡＩ）の形態を取りうる。進化型パケットコア（ＥＰＣ）とのインターワークのために、３ＧＰＰユーザ機器（ＵＥ）に割り当てられたＳＵＰＩは、ＵＥがＩＭＳＩをＥＰＣに提示することを可能にするように、常にＩＭＳＩに基づく。

【0068】

いくつかの実施形態において、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＳＵＰＩ情報が、以下の２つの選択肢を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＳＵＰＩ情報を抽出する。 例えば、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0069】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＳＵＰＩ情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0070】

いくつかの実施形態において、モバイルネットワークにおいてサブスクリプション永久識別子（ＳＵＰＩ）ごとにサービスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、モバイル加入者および加入者のデバイスにセキュリティを提供することを含み、ＨＴＴＰ／２メッセージをパースして５ＧネットワークにおけるＳＵＰＩ情報を抽出することによってセキュリティプラットフォームを用いて適用できるセキュリティポリシーを用いて実行される。

【0071】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ＳＵＰＩベースのファイアウォールサービスのためにＳＵＰＩ情報ごとに適用できるセキュリティポリシー；（２）既知の脅威に対するＳＵＰＩベースの脅威検出サービス；（３）未知の脅威に対するＳＵＰＩベースの高度な脅威検出サービス；（４）既知の脅威に対するＳＵＰＩベースの基本的な脅威防御サービス；（５）未知の脅威に対するＳＵＰＩベースの高度な脅威防御サービス；（６）ＳＵＰＩベースのＵＲＬフィルタリングサービス；（７）ＳＵＰＩベースのアプリケーションＤｏＳ検出サービス；および、（８）ＳＵＰＩベースのアプリケーションＤｏＳ防御サービス。

【0072】

永久機器識別子（ＰＥＩ：Ｐｅｒｍａｎｅｎｔ Ｅｑｕｉｐｍｅｎｔ Ｉｄｅｎｔｉｆｉｅｒ）ごとのサービスベースのセキュリティ

【0073】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるサービスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、ＨＴＴＰ／２メッセージをパースして、サービスプロバイダのため（５Ｇセルラーネットワークのため、など）のモバイルネットワークにおける永久機器識別子（ＰＥＩ）情報を抽出することによって、セキュリティプラットフォームを用いて適用できるサービスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよび提供するための様々な処理が開示されている。

【0074】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてＰＥＩ情報を抽出することによりセキュリティプラットフォームを用いて適用できる永久機器識別子（ＰＥＩ）ごとのサービスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0075】

具体的には、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。ＩＥＴＦ ＲＦＣ ７５４０に記載されているＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３に記載されたＴＣＰを転送プロトコルとして用いる。

【0076】

より具体的には、ＰＥＩは、３ＧＰＰ ＵＥが５Ｇシステムにアクセスするために規定された永久機器識別子である。ＰＥＩは、異なるＵＥタイプおよび利用事例に対して異なるフォーマットを取ることができる。ＵＥは、利用されているＰＥＩフォーマットの示唆と共にネットワークへのＰＥＩを共有する。ＵＥが、少なくとも１つの３ＧＰＰアクセス技術をサポートする場合、ＵＥは、国際モバイル機器識別番号（ＩＭＥＩ）フォーマットのＰＥＩを割り当てられる。例えば、ＰＥＩは、以下の情報を含みうる：ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝７２９で入手可能な３ＧＰＰ ＴＳ ２３．００３で規定されたＩＭＥＩまたはＩＭＥＩＳＶ。

【0077】

いくつかの実施形態において、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＰＥＩ情報が、以下の２つの選択肢を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＰＥＩ情報を抽出する。‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0078】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＰＥＩ情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0079】

いくつかの実施形態において、モバイルネットワークにおいて永久機器識別子（ＰＥＩ）ごとにサービスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、モバイル加入者および加入者のデバイスにセキュリティを提供することを含み、ＨＴＴＰ／２メッセージをパースして５ＧネットワークにおけるＰＥＩ情報を抽出することによってセキュリティプラットフォームを用いて適用できるセキュリティポリシーを用いて実行される。

【0080】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ＰＥＩベースのファイアウォールサービスのためにＰＥＩ情報ごとに適用できるセキュリティポリシー；（２）既知の脅威に対するＰＥＩベースの脅威検出サービス；（３）未知の脅威に対するＰＥＩベースの高度な脅威検出サービス；（４）既知の脅威に対するＰＥＩベースの基本的な脅威防御サービス；（５）未知の脅威に対するＰＥＩベースの高度な脅威防御サービス；（６）ＰＥＩベースのＵＲＬフィルタリングサービス；（７）ＰＥＩベースのアプリケーションＤｏＳ検出サービス；および、（８）ＰＥＩベースのアプリケーションＤｏＳ防御サービス。

【0081】

一般公開サブスクリプション識別子（ＧＰＳＩ：Ｇｅｎｅｒａｌ Ｐｕｂｌｉｃ Ｓｕｂｓｃｒｉｐｔｉｏｎ Ｉｄｅｎｔｉｆｉｅｒ）ごとのサービスベースのセキュリティ

【0082】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるサービスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、ＨＴＴＰ／２メッセージをパースして、サービスプロバイダのため（５Ｇセルラーネットワークのため、など）のモバイルネットワークにおける一般公開サブスクリプション識別子（ＧＰＳＩ）情報を抽出することによって、セキュリティプラットフォームを用いて適用できるサービスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよび提供するための様々な処理が開示されている。

【0083】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてＧＰＳＩ情報を抽出することによりセキュリティプラットフォームを用いて適用できる一般公開サブスクリプション識別子（ＧＰＳＩ）ごとのサービスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0084】

具体的には、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。ＩＥＴＦ ＲＦＣ ７５４０に記載されているＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３に記載されたＴＣＰを転送プロトコルとして用いる。

【0085】

より具体的には、ＧＰＳＩは、３ＧＰＰシステムの外側の異なるデータネットワークにおいて３ＧＰＰサブスクリプションを扱うために用いられる。３ＧＰＰシステムは、ＧＰＳＩと、対応するＳＵＰＩとの間の関連付けをサブスクリプションデータ内に格納する。ＧＰＳＩは、３ＧＰＰシステムの内側および外側の両方で利用される公開識別子である。ＧＰＳＩは、ＭＳＩＳＤＮまたは外部識別子のいずれかである（例えば、ＴＳ ２３．００３に規定されている）。ＭＳＩＳＤＮがサブスクリプションデータに含まれる場合、同じＭＳＩＳＤＮ値が５ＧＳおよびＥＰＳの両方でサポートされることが可能である。

【0086】

いくつかの実施形態において、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＧＰＳＩ情報が、以下の２つの選択肢を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＧＰＳＩ情報を抽出する。‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0087】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＧＰＳＩ情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0088】

いくつかの実施形態において、モバイルネットワークにおいて一般公開サブスクリプション識別子（ＧＰＳＩ）ごとにサービスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、モバイル加入者および加入者のデバイスにセキュリティを提供することを含み、ＨＴＴＰ／２メッセージをパースして５ＧネットワークにおけるＧＰＳＩ情報を抽出することによってセキュリティプラットフォームを用いて適用できるセキュリティポリシーを用いて実行される。

【0089】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ＧＰＳＩベースのファイアウォールサービスのためにＧＰＳＩ情報ごとに適用できるセキュリティポリシー；（２）既知の脅威に対するＧＰＳＩベースの脅威検出サービス；（３）未知の脅威に対するＧＰＳＩベースの高度な脅威検出サービス；（４）既知の脅威に対するＧＰＳＩベースの基本的な脅威防御サービス；（５）未知の脅威に対するＧＰＳＩベースの高度な脅威防御サービス；（６）ＧＰＳＩベースのＵＲＬフィルタリングサービス；（７）ＧＰＳＩベースのアプリケーションＤｏＳ検出サービス；および、（８）ＧＰＳＩベースのアプリケーションＤｏＳ防御サービス。

【0090】

モバイルネットワークにおいてサブスクリプション識別子および／または機器識別子ごとにサービスベースのセキュリティを提供するためのこれらおよびその他の実施形態および例について、以下でさらに説明する。

【0091】

サービスプロバイダのためのモバイルネットワークにおけるデータネットワーク名ごとのサービスベースのセキュリティのための技術の概要

【0092】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるサービスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、ＨＴＴＰ／２メッセージをパースして、サービスプロバイダのため（５Ｇセルラーネットワークのため、など）のモバイルネットワークにおけるデータネットワーク名（ＤＮＮ）情報を抽出することによって、セキュリティプラットフォームを用いて適用できるサービスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよび提供するための様々な処理が開示されている。

【0093】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてＤＮＮ情報を抽出することによりセキュリティプラットフォームを用いて適用できるデータネットワーク名（ＤＮＮ）ごとのサービスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0094】

具体的には、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。ＩＥＴＦ ＲＦＣ ７５４０に記載されているＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３に記載されたＴＣＰを転送プロトコルとして用いる。

【0095】

より具体的には、ＤＮＮは、ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝７２９で入手可能なＴＳ ２３．００３で規定されたアクセスポイント名（ＡＰＮ）と等価である。両方の識別子は、等価な意味を有し、同じ情報を運ぶ。例えば、ＤＮＮは、以下のために用いられてよい：（１）ＰＤＵセッションのためにＳＭＦおよび１以上のＵＰＦを選択するため；もしくは、（２）このＰＤＵセッションに適用するためのポリシーを決定するため。

【0096】

いくつかの実施形態において、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＤＮＮ情報が、以下の２つの選択肢を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＤＮＮ情報を抽出する。‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0097】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からＤＮＮ情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0098】

いくつかの実施形態において、モバイルネットワークにおいてデータネットワーク名（ＤＮＮ）ごとにサービスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、モバイル加入者および加入者のデバイスにセキュリティを提供することを含み、ＨＴＴＰ／２メッセージをパースして５ＧネットワークにおけるＤＮＮ情報を抽出することによってセキュリティプラットフォームを用いて適用できるセキュリティポリシーを用いて実行される。

【0099】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ＤＮＮベースのファイアウォールサービスのためにＤＮＮ情報ごとに適用できるセキュリティポリシー；（２）既知の脅威に対するＤＮＮベースの脅威検出サービス；（３）未知の脅威に対するＤＮＮベースの高度な脅威検出サービス；（４）既知の脅威に対するＤＮＮベースの基本的な脅威防御サービス；（５）未知の脅威に対するＤＮＮベースの高度な脅威防御サービス；（６）ＤＮＮベースのＵＲＬフィルタリングサービス；（７）ＤＮＮベースのアプリケーションＤｏＳ検出サービス；および、（８）ＤＮＮベースのアプリケーションＤｏＳ防御サービス。

【0100】

モバイルネットワークにおいてネットワーク名ごとにサービスベースのセキュリティを提供するためのこれらおよびその他の実施形態および例について、以下でさらに説明する。

【0101】

サービスプロバイダのためのモバイルネットワークにおけるユーザ位置ごとのサービスベースのセキュリティのためのセキュリティ技術の概要

【0102】

したがって、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワーク（５Ｇセルラーネットワークなど）におけるサービスベースのセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、ＨＴＴＰ／２メッセージをパースして、サービスプロバイダのため（５Ｇセルラーネットワークのため、など）のモバイルネットワークにおけるユーザ位置情報を抽出することによって、セキュリティプラットフォームを用いて適用できるサービスベースのセキュリティのためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよび提供するための様々な処理が開示されている。

【0103】

いくつかの実施形態において、ＨＴＴＰ／２メッセージをパースしてユーザ位置情報を抽出することによりセキュリティプラットフォームを用いて適用できるユーザ位置ごとのサービスベースのセキュリティを適用するための様々な技術が開示されている。例えば、５Ｇセルラーネットワークにおいて、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。

【0104】

具体的には、ＨＴＴＰ／２は、サービスベースインターフェース内で利用される。ＩＥＴＦ ＲＦＣ ７５４０に記載されているＨＴＴＰ／２は、単一の接続上での複数のストリームの多重化、ヘッダ圧縮、および、サーバからクライアントへの要求されていないプッシュをサポートするバイナリプロトコルである。ＨＴＴＰ／２は、ＩＥＴＦ ＲＦＣ ７９３に記載されたＴＣＰを転送プロトコルとして用いる。

【0105】

より具体的には、ユーザ位置は、ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝３３４７で入手可能な３ＧＰＰ Ｔ．Ｓ ２９．５７１のとおり、ＥｕｔｒａＬｏｃａｔｉｏｎ、ＮＲＬｏｃａｔｉｏｎ、および、Ｎ３ｇａＬｏｃａｔｉｏｎとして規定される。例えば、それらの少なくとも１つが、ユーザ位置に存在する。一部の例において、それらのいくつかが、以下の例に示すように存在してよい。
・ＥｕｔｒａＬｏｃａｔｉｏｎ＝トラッキングエリアＩＤ（ＴＡＩ）＋ＥＣＧＩ（ＥＵＴＲＡセルＩＤ）
・ＮＲＬｏｃａｔｉｏｎ＝ＴＡＩ＋ＮＲセルＩＤ（ＮＣＧＩ）
・Ｎ３ｇａＬｏｃａｔｉｏｎ－ＩＰｖ４Ａｄｄｒ、ＩＰｖ６Ａｄｄｒ、Ｕｉｎｔｅｇｅｒ
・ＴＡＩ＝ＰＬＭＮ ＩＤ（ＰｌｍｎＩｄ）＋トラッキングエリアコード（ＴＡＣ）
・ＥＣＧＩ＝ＰｌｍｎＩｄ＋ＥＵＴＲＡセルＩＤ（ＥｕｔｒＣｅｌｌＩｄ）
・ＮＣＧＩ＝ＰｌｍｎＩｄ＋ＮＲセルＩＤ（ＮｒＣｅｌｌＩｄ）

【0106】

いくつかの実施形態において、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ユーザ位置情報が、以下の２つの選択肢を用いて抽出されうる。第１の選択肢として、セキュリティプラットフォームは、‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作中にＮＦサービスコンシューマからセッション管理機能（ＳＭＦ）へ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型‘ＳｍＣｏｎｔｅｘｔＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からユーザ位置情報を抽出する。‘Ｃｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ’サービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＳＭＦにおいて、または、ホームルーテッド（ＨＲ：Ｈｏｍｅ Ｒｏｕｔｅｄ）ローミングシナリオのためのＶ－ＳＭＦにおいて、所与のプロトコルデータユニット（ＰＤＵ）セッションについて、個々のセッション管理（ＳＭ）コンテキストを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いた進化型パケットシステム（ＥＰＳ）から５Ｇシステム（５ＧＳ）へのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦ（非３ＧＰＰインターワーキング機能）へのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧ（進化型パケットデータゲートウェイ）から５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0107】

第２の選択肢として、セキュリティプラットフォームは、Ｃｒｅａｔｅサービス動作中にＮＦサービスコンシューマからその後にＨ－ＳＭＦへ送信されるＨＴＴＰ／２ ＰＯＳＴ要求のペイロード内のデータ型’ＰｄｕＳｅｓｓｉｏｎＣｒｅａｔｅＤａｔａ’（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）からユーザ位置情報を抽出する。Ｃｒｅａｔｅサービス動作（例えば、３ＧＰＰ ＴＳ ２９．５０２で規定されている）は、ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて個々のＰＤＵセッションを生成するために、以下の手順で用いられる：（１）ＵＥが要求したＰＤＵセッション確立；（２）Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバ；（３）Ｎ２６インターフェースを用いないＥＰＳ ５ＧＳモビリティ；（４）特定のシナリオでの３ＧＰＰアクセスと非３ＧＰＰアクセスとの間のＰＤＵセッションのハンドオーバ；（５）ＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバ；および、（６）ＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバ。なお、各々について、後に詳述する。

【0108】

いくつかの実施形態において、モバイルネットワークにおいてユーザ位置ごとにサービスベースのセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、モバイル加入者および加入者のデバイスにセキュリティを提供することを含み、ＨＴＴＰ／２メッセージをパースして５Ｇネットワークにおけるユーザ位置情報を抽出することによってセキュリティプラットフォームを用いて適用できるセキュリティポリシーを用いて実行される。

【0109】

開示技術を用いて提供できるモバイルネットワーク（例えば、統合モバイルネットワーク事業者／サービスプロバイダ）のための新しい改良セキュリティサービスの例は、以下の内の１以上を含む：（１）ユーザ位置ベースのファイアウォールサービスのためにユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）情報ごとに適用できるセキュリティポリシー；（２）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行される既知の脅威に対する脅威検出サービス；（３）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行される未知の脅威に対する高度な脅威検出サービス；（４）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行される既知の脅威に対する基本的な脅威防御サービス；（５）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行される未知の脅威に対する高度な脅威防御サービス；（６）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行されるＵＲＬフィルタリングサービス；（７）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行されるＤｏＳ検出サービス；および、（８）ユーザ位置（例えば、ＥｕｔｒａＬｏｃａｔｉｏ
ｎまたはＮＲＬｏｃａｔｉｏｎ）ごとに実行されるアプリケーションＤｏＳ防御サービス。

【0110】

モバイルネットワークにおいてユーザ位置ごとにサービスベースのセキュリティを提供するためのこれらおよびその他の実施形態および例について、以下でさらに説明する。

【0111】

モバイルネットワークにおけるマルチアクセス分散型エッジセキュリティのための技術の概要

【0112】

５Ｇモバイルネットワーク（例えば、５Ｇネットワーク）において、マルチアクセスエッジコンピューティング（ＭＥＣ）を利用して、ホスティングアプリケーション、インターネット・オブ・シングス（ＩｏＴ）データ解析（例えば、ＩｏＴデータの集計ポイントとしてＭＥＣを用いる）、および／または、その他のサービスなど、高度なプレミアムサービスの待ち時間を低減することができる。しかしながら、制御プレーンおよびユーザプレーンが、５Ｇネットワークにおいて別個であると仮定すると、同じセキュリティプラットフォームでＭＥＣサイトに加入者およびデバイスレベルでセキュリティを適用することは技術的に困難である。

【0113】

したがって、サービスプロバイダネットワークの技術的およびセキュリティ上の課題が、モバイルネットワークにおけるマルチアクセス分散型エッジセキュリティに対して存在する。そのため、かかるサービスプロバイダネットワーク環境（例えば、５Ｇモバイルネットワーク）におけるマルチアクセス分散型エッジセキュリティのための新しい改良セキュリティ技術が必要とされている。具体的には、サービスプロバイダネットワークトラフィックを監視し、サービスプロバイダネットワークにおけるマルチアクセス分散型エッジセキュリティのためのセキュリティポリシー（例えば、ファイアウォールポリシー）を適用するための新しい改良ソリューションが必要とされている。

【0114】

モバイルネットワーク（例えば、５Ｇネットワークなど、モバイル加入者のためのサービスプロバイダネットワーク）においてマルチアクセス分散型エッジセキュリティを提供するための技術が開示されている。いくつかの実施形態において、いくつかの実施形態に従ったモバイルネットワークにおけるマルチアクセス分散型エッジセキュリティのためのシステム／処理／コンピュータプログラム製品は、新しいセッションを識別するために、セキュリティプラットフォームで、５Ｇネットワークまたは統合５Ｇネットワークを含むサービスプロバイダネットワーク上のネットワークトラフィックを監視することと；セキュリティプラットフォームで新しいセッションに関連するユーザトラフィックのサブスクリプションおよび／または機器の識別子情報を抽出することと；サブスクリプションおよび／または機器の識別子情報に基づいて、新しいセッションにセキュリティプラットフォームで適用するセキュリティポリシーを決定することと、を含む。

【0115】

例えば、モバイル事業者は、一般に、５Ｇモバイルネットワークにおけるマルチアクセスエッジコンピューティング（ＭＥＣ）が、ホスティングアプリケーション、インターネット・オブ・シングス（ＩｏＴ）データ解析（例えば、ＩｏＴデータの集計ポイントとしてＭＥＣを用いる）、および／または、その他のサービスなど、高度なプレミアムサービスの待ち時間を低減するのを容易にするために有利であると考える。多くのモバイル事業者は、独自のサービスにと共に、５Ｇネットワーク内のエッジコンピューティングサイト（例えば、エッジサイト）でサードパーティ５Ｇアプリケーションをホストすることを計画している。

【0116】

一般に、ＭＥＣおよび制御プレーン／ユーザプレーンの分離は、５Ｇネットワークにおいてさらなる分散を促進しうる。例えば、米国におけるＴＩＥＲ１モバイル事業者の数十のコアサイトが、配備された５Ｇネットワークにおいて、数十のコアサイトに加えて数百から数千の分散ローカルＭＥＣサイトに移行しうる。

【0117】

したがって、モバイルネットワーク（例えば、５Ｇネットワークなど、モバイル加入者のためのサービスプロバイダネットワーク）においてマルチアクセス分散型エッジセキュリティを提供するために、サービスプロバイダネットワーク環境内での改良セキュリティプラットフォーム（例えば、開示技術を用いてセキュリティポリシーを実施できるファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに動作するネットワークセンサ、または、別のデバイス／コンポーネント）のための技術が開示されている。具体的には、サービスプロバイダのためのモバイルネットワークにおけるマルチアクセス分散型エッジセキュリティを提供できるセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。より具体的には、サービスプロバイダのためのモバイルネットワークにおけるマルチアクセス分散型エッジセキュリティを提供するためのセキュリティプラットフォームをサービスプロバイダネットワーク環境内に実装するための様々なシステムアーキテクチャおよびそれを提供するための様々な処理が開示されている。

【0118】

いくつかの実施形態において、所与の５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、５Ｇ ＭＥＣセキュリティが、５Ｇ技術ベースのモバイルネットワークにおいてセキュリティプラットフォームを用いて（例えば、図１Ｅに関して後に詳述するような、５Ｇネットワーク内のＮ４インターフェースを監視するために様々な位置に配備された１以上のセキュリティプラットフォームを用いて）実行される。セキュリティプラットフォームは、セッション管理機能（ＳＭＦ）コンポーネント／要素と、ユーザプレーン機能（ＵＰＦ）コンポーネント／要素との間のＮ４インターフェース上でパケット転送制御プロトコル（ＰＦＣＰ）メッセージをパースする。セキュリティプラットフォームは、パースされたＰＦＣＰメッセージから、例えば、サブスクリプション関連情報および／または機器識別子関連情報を抽出するよう構成される。５Ｇ規格／仕様に規定されるように、ＰＦＣＰメッセージは、（例えば、ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝３１１１で入手可能な３ＧＰＰ ＴＳ ２９．２４４ Ｖ１５．３で規定されるように）５Ｇネットワークにおける制御プレーンおよびユーザプレーン機能の間のインターフェース上で用いられる。

【0119】

一実施例において、マルチアクセス分散型エッジ５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、サブスクリプションおよび機器の識別子は、後に詳述するように抽出されうる。ＰＦＣＰセッション確立要求が、ユーザプレーン（ＵＰ）機能（ＵＰＦ）（例えば、図１Ｅに示すような５Ｇユーザプレーン機能）において新たなＰＦＣＰセッションコンテキストを確立するために、制御プレーン（ＣＰ）機能（例えば、図１Ｅに示すような５Ｇコア制御／シグナリング機能）によってＮ４インターフェースで送信される。このメッセージは、任意選択的な情報要素（ＩＥ）「ユーザＩＤ」例えば、「ユーザＩＤ」ＩＥは、図２Ｋに示すようなＮ４セッション確立要求に含まれうる）を含んでよく、この情報要素は、事業者ポリシーに基づいて存在してよい（例えば、３ＧＰＰ ＴＳ ２９．２４４ Ｖ１５．３仕様に基づいて、ＵＰ機能が信頼できる環境に位置する場合にのみ送信される）。「ユーザＩＤ」ＩＥは、以下の情報／パラメータを含みうる：国際モバイル加入者識別番号（ＩＭＳＩ）（例えば、ＩＭＳＩは、３ＧＰＰ ＴＳ ２３．００３に規定されるように、各モバイル加入者に割り当てられる１５桁以下の一意的な数字である）、国際モバイル機器識別番号（ＩＭＥＩ）（例えば、ＩＭＥＩは、３ＧＰＰ ＴＳ ２３．００３に規定されるように、１５または１６桁の一意的な機器識別子である）、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）（例えば、ＭＳＩＳＤＮは、３ＧＰＰ ＴＳ ２３．００３に規定されている）、および／または、ネットワークアクセス識別子（ＮＡＩ）（例えば、ＮＡＩは、ネットワークアクセス認証中にクライアントによって提示されるユーザＩＤであり、ローミングのために、ＮＡＩは、ユーザの識別および認証要求のルーティングの支援のために利用されてよく、３ＧＰＰ ＴＳ ２３．００３に規定されるようにプライベートネットワークに用いられてもよい）。

【0120】

一実施形態において、セキュリティプラットフォームは、パケット転送制御プロトコル（ＰＦＣＰ）セッション確立要求およびＰＦＣＰセッション確立応答メッセージをパースして、サブスクリプションおよび／または機器識別子情報を抽出し、ここで、サブスクリプションおよび／または機器識別子情報は、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、および／または、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）関連情報によって識別される。

【0121】

一実施形態において、モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、さらに、セキュリティポリシーに基づいて、新しいセッションがリソースにアクセスするのをブロックすることを含む。

【0122】

一実施形態において、モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、新しいセッションを識別するために、セキュリティプラットフォームで、５Ｇネットワークまたは統合５Ｇネットワークを含むサービスプロバイダネットワーク上のネットワークトラフィックを監視することと；セキュリティプラットフォームで新しいセッションに関連するユーザトラフィックのネットワークアクセス識別子情報を抽出することと；ネットワークアクセス識別子情報に基づいて、新しいセッションにセキュリティプラットフォームで適用するセキュリティポリシーを決定することと、を含む。

【0123】

一実施形態において、ネットワークアクセス識別子は、ネットワークアクセス識別子（ＮＡＩ）関連情報によって識別され、ここで、ＮＡＩは、ネットワークアクセス認証中にクライアントによって提示されるユーザ識別子に関連する。

【0124】

いくつかの実施形態において、モバイルネットワークでマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、５Ｇネットワークにおいて国際モバイル加入者識別番号（ＩＭＳＩ）ごとに（例えば、適用されうるセキュリティプラットフォームによって実装されたセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0125】

いくつかの実施形態において、モバイルネットワークでマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、５Ｇネットワークにおいてネットワークアクセス識別子（ＮＡＩ）ごとに（例えば、適用されうるセキュリティプラットフォームによって実装されたセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0126】

いくつかの実施形態において、モバイルネットワークでマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、５Ｇネットワークにおいて国際モバイル機器識別番号（ＩＭＥＩ）ごとに（例えば、適用されうるセキュリティプラットフォームによって実装されたセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0127】

いくつかの実施形態において、モバイルネットワークでマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、５Ｇネットワークにおいてモバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）ごとに（例えば、適用されうるセキュリティプラットフォームによって実装されたセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0128】

いくつかの実施形態において、モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、さらに、５Ｇネットワークにおいてマルチアクセス分散型エッジ位置で（例えば、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客に）脅威識別および防御を提供するために、ＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、および／または、ＮＡＩごとに（例えば、適用できるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0129】

いくつかの実施形態において、モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、さらに、５Ｇネットワークにおいてマルチアクセス分散型エッジ位置で（例えば、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客に）アプリケーション識別（ＡＰＰ ＩＤ）および制御を提供するために、ＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、および／または、ＮＡＩ毎に（例えば、適用できるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0130】

いくつかの実施形態において、モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのシステム／処理／コンピュータプログラム製品は、さらに、５Ｇネットワークにおいてマルチアクセス分散型エッジ位置で（例えば、複数の加入者、モバイル加入者、および、加入者のデバイスを持つ顧客に）ユニフォームリソースロケータ（ＵＲＬ）フィルタリングを提供するために、ＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、および／または、ＮＡＩごとに（例えば、適用できるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供することを含む。

【0131】

一例として、モバイルネットワーク事業者は、開示されたセキュリティプラットフォームおよび技術を用いて、５Ｇネットワークにおいてマルチアクセス分散型エッジベースのネットワークを保護することができる。

【0132】

別の例として、モバイルネットワーク事業者は、開示されたセキュリティプラットフォームおよび技術を用いて、５Ｇネットワークにおいてエッジコンピューティングソリューションを利用する業種（工場／倉庫、空港、駅、ショッピングモール、コンテンツプロバイダ、コネクテッドビークル、および／または、様々なインターネット・オブ・シングス（ＩｏＴ）デバイス（例えば、５Ｇラジオアクセス技術と、５Ｇおよび非５Ｇアクセス技術の間のハンドオーバとを利用するネットワークに接続するセルラーＩｏＴ（ＣＩｏＴ）デバイス）など）に様々なセキュリティサービスを提供することができる。

【0133】

モバイルネットワークにおいてマルチアクセス分散型エッジセキュリティを提供するためのこれらおよびその他の実施形態および例について、以下でさらに説明する。

【0134】

サービスプロバイダのための５Ｇネットワークの強化セキュリティを実装するためのシステムアーキテクチャ例

【0135】

一般に、５Ｇは、モバイル通信システムの第５世代である。第３世代パートナーシッププロジェクト（３ＧＰＰ）（例えば、３ＧＰＰは、７つの遠隔通信規格開発機関（ＡＲＩＢ、ＡＴＩＳ、ＣＣＳＡ、ＥＴＳＩ、ＴＳＤＳＩ、ＴＴＡ、ＴＴＣ）を含む）。プロジェクトは、ラジオアクセス、コア伝送ネットワーク、および、サービス機能など、セルラー遠隔通信ネットワーク技術を網羅する。また、仕様は、コアネットワークへの非ラジオアクセスのためおよびＷｉ－Ｆｉネットワークとのインターワークのためのフックを提供し、ＩＴＵ、ＩＥＴＦ、および、ＥＴＳＩを含むその他の機関が５Ｇ規格を開発している。新しい５Ｇネットワーク規格の改善の一部は、例えば、短い待ち時間（例えば、約１０ミリ秒（ＭＳ）未満）、高スループット（例えば、数Ｇｂｐｓ）、分散、ネットワーク機能仮想化インフラ、ならびに、組織化、解析、および、自動化を含む。

【0136】

５Ｇアーキテクチャは、（例えば、ｈｔｔｐｓ：／／ｐｏｒｔａｌ．３ｇｐｐ．ｏｒｇ／ｄｅｓｋｔｏｐｍｏｄｕｌｅｓ／Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ／ＳｐｅｃｉｆｉｃａｔｉｏｎＤｅｔａｉｌｓ．ａｓｐｘ？ｓｐｅｃｉｆｉｃａｔｉｏｎＩｄ＝３１４４で入手可能な）３ＧＰＰ ＴＳ ２３．５０１ ｖ１５．３．０でサービスベースのアーキテクチャとして規定されており、ネットワーク機能（ＮＦ）の間の相互作用は、以下の２つの方法で表される：（１）サービスベース表現：ここで、制御プレーン（ＣＰ）内のＮＦは、他の許可ネットワーク機能がそれらのサービスにアクセスすることを可能にする；および、（２）基準点表現：任意の２つのネットワーク機能の間のポイントツーポイントの基準点によって規定されたＮＦのペアの間の相互作用に重点を置く。

【0137】

５Ｇアーキテクチャにおいて、アクセスネットワークと、バックボーンネットワーク上のコアとの間のユーザプレーンプロトコルスタックは、Ｎ３インターフェース上（例えば、ラジオアクセスネットワーク（ＲＡＮ）とＵＰＦ要素との間）では、（例えば、後に詳述する図１Ｅに示すような）ＵＤＰプロトコル上のＧＰＲＳトンネルプロトコルユーザプレーン（ＧＴＰ－Ｕ）に基づき、また、Ｎ４インターフェース上（例えば、ＵＰＦ要素とＳＭＦ要素との間）では、（後に詳述する図１Ｅに示すような）ＵＤＰプロトコル上のパケット転送制御プロトコル（ＰＦＣＰ）に基づく。５Ｇシステムアーキテクチャにおける制御プレーンＮＦは、サービスベースのアーキテクチャに基づく。ＨＴＴＰ／２は、サービスベースのインターフェース上で用いられるプロトコルである。新しい５Ｇアクセスネットワークプロトコルは、ストリーム制御伝送プロトコル（ＳＣＴＰ）に基づく。

【0138】

したがって、いくつかの実施形態において、開示技術は、監視されたＧＴＰ－Ｕトンネルセッションと新しいＨＴＴＰ／２ベースのＴＣＰセッションとの間の相関（後に詳述する）、および、別の例として、（例えば、Ｎ３インターフェース上の）監視されたＧＴＰ－Ｕトンネルと（例えば、Ｎ４インターフェース上の）ＰＦＣＰセッションとの間の相間（後に詳述する）を容易にする、例えば、ＧＴＰ－Ｕセッションおよび新しいＨＴＴＰ／２ベースＴＣＰセッションのＤＰＩ機能（例えば、ステートフルインスペクションを含む）を提供するよう構成されたセキュリティプラットフォーム（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のＮＧＦＷ上で実行するＰＡＮＯＳ、または、別のセキュリティプラットフォーム／ＮＦＧＷ）を提供することを含む。

【0139】

いくつかの実施形態において、セキュリティプラットフォーム（例えば、Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社のＮＧＦＷ上で実行するＰＡＮＯＳ、または、別のセキュリティプラットフォーム／ＮＦＧＷ）は、以下のＤＰＩ機能を提供するよう構成される：Ｎ３ ＧＴＰ－Ｕトンネルおよび／またはＮ４ ＧＴＰ－Ｕトンネルのステートフルインスペクション；（例えば、Ｎ３ ＧＴＰ－Ｕトンネルの内部ＩＰセッションのコンテンツを検査するための）Ｎ３ ＧＴＰ－Ｕトンネルおよび／または（例えば、Ｎ４ ＰＦＣＰセッションのコンテンツを検査するための）Ｎ４ ＰＦＣＰセッションのコンテンツインスペクション；５Ｇシステムが５Ｇセルラー技術をサポートするためのプロシージャのための３ＧＰＰ技術仕様（ＴＳ）２９．２７４ Ｖ１５．３．０ Ｒｅｌｅａｓｅ １５（例えば、および、より新しいリリース）のサポート；ならびに、ＧＴＰ－Ｕプロトコルのための３ＧＰＰ技術仕様（ＴＳ）２９．２８１ Ｖ１５．４．０ Ｒｅｌｅａｓｅ １４（例えば、および、より新しいリリース）のサポート。

【0140】

図１Ａは、いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチアクセスセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図である。図１Ａは、以下で詳述するように５Ｇマルチアクセスセキュリティを提供するために、制御プレーン／シグナリングネットワークにセキュリティプラットフォーム１０２ａおよびセキュリティプラットフォーム１０２ｂを備えたマルチアクセス５Ｇネットワークアーキテクチャのためのサービスプロバイダネットワーク環境の一例である（例えば、セキュリティプラットフォームの各々は、ファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを用いて実装されうる）。図に示すように、５Ｇネットワークは、さらに、様々なアプリケーション、ウェブサービス、コンテンツホストなど、および／または、他のネットワークへアクセスするために、ローカルデータネットワーク（例えば、企業ネットワーク）１１２およびデータネットワーク（例えば、インターネット）１２０などで、（例えば、スマートフォン、ラップトップ、コンピュータ（固定位置にあってよい）、および／または、ＣＩｏＴデバイスなどのその他のセルラー対応デバイス／機器、または、その他のネットワーク通信対応デバイスなど、ユーザ機器（ＵＥ）を用いて）加入者のためのデータ通信を容易にするために、１０４で示すような固定／有線アクセス、１０６で示すようなＷｉ－Ｆｉアクセスなどの非３ＧＰＰアクセス、１０８で示すような５Ｇラジオアクセスネットワーク（ＲＡＮ）、１１０で示すような４Ｇ ＲＡＮアクセス、および／または、その他のネットワーク（図１Ａでは図示せず）を備えうる。 図１Ａに示すように、５Ｇネットワークアクセスメカニズム１０４、１０６、１０８、および、１１０の各々は、セキュリティプラットフォーム１０２ａを通して、５Ｇユーザプレーン機能１１４ａと通信し、５Ｇユーザプレーン機能１１４ａは、５Ｇユーザプレーン機能１１４ｂと通信する。図に示すように、４Ｇ ＲＡＮ１１０および５Ｇ ＲＡＮ１０８は、５Ｇコア制御／シグナリング機能１１８と通信し、５Ｇコア制御／シグナリング機能１１８は、５Ｇユーザプレーン機能１１４ｂと通信する。

【0141】

図１Ａを参照すると、ネットワークトラフィック通信が、セキュリティプラットフォーム１０２ａおよび１０２ｂを用いて監視される。例えば、セキュリティプラットフォーム１０２ａは、後に詳述するように、監視されたＧＴＰ－Ｕトンネルセッションと新しいＨＴＴＰ／２ベースのＴＣＰセッションとの間の相関を提供するなどの目的で、開示技術を容易にするために、セキュリティプラットフォーム１０２ｂとも通信できる。図に示すように、ネットワークトラフィック通信は、後に詳述するように、開示セキュリティ技術を実行するよう構成されたセキュリティプラットフォーム１０２ａおよび１０２ｂ（例えば、ファイアウォール（ＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを各々備えた（仮想）デバイス／アプライアンス）を用いて、５Ｇネットワーク内で監視／フィルタリングされる。さらに、セキュリティプラットフォーム１０２ａおよび／または１０２ｂは、インターネットなどを介して、クラウドセキュリティサービス１２２（例えば、マルウェアサンプルの自動解析と、セキュリティエキスパート解析とを含む市販のクラウドベースセキュリティサービス（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供する市販のクラウドセキュリティサービスであるＷｉｌｄＦｉｒｅ（商標）クラウドベースマルウェア解析環境など）：ただし、別のベンダーが提供する同様のソリューションが利用されてもよい）ともネットワーク通信できる。例えば、クラウドセキュリティサービス１２２は、マルウェア、ＤＮＳ、ＵＲＬ、ＣＮＣマルウェア、および／または、その他のマルウェアに対する動的防御シグネチャをセキュリティプラットフォームに提供するため、および、さらなるセキュリティ解析に向けてマルウェアサンプルを受信するために利用されうる。ここで明らかになるように、ネットワークトラフィック通信は、５Ｇマルチアクセスセキュリティを容易にするために、５Ｇネットワーク内の様々な位置でネットワークトラフィック通信のための１以上のセキュリティプラットフォームを用いて監視／フィルタリングされうる。

【0142】

図１Ｂは、いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチエッジセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図である。図１Ｂは、以下で詳述するように５Ｇマルチエッジセキュリティを提供するために、５Ｇユーザプレーン機能１１４ａ～ｃおよびローカルデータネットワーク１１２ａ～ｂへの通信を監視するために、１０２ａ、１０２ｂ、１０２ｃ、および、１０２ｄで示すように５Ｇネットワークのエッジ上の様々な位置にあるセキュリティプラットフォームと、コアネットワーク１１６内の５Ｇコア制御／シグナリング機能１１８への通信を監視するためのセキュリティプラットフォーム１０２ｅと、を備えるマルチエッジ５Ｇネットワークアーキテクチャのためのサービスプロバイダネットワーク環境の一例である（例えば、セキュリティプラットフォームの各々は、ファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを用いて実装されうる）。

【0143】

図１Ｂを参照すると、ネットワークトラフィック通信が、セキュリティプラットフォーム１０２ａ～ｅを用いて監視される。 例えば、セキュリティプラットフォーム１０２ａおよび１０２ｂは、後に詳述するように、監視されたＧＴＰ－Ｕトンネルセッションと新しいＨＴＴＰ／２ベースのＴＣＰセッションとの間の相関を提供するなどの目的で、開示技術を容易にするために、セキュリティプラットフォーム１０２ｅとも通信できる。図に示すように、ネットワークトラフィック通信は、後に詳述するように、開示セキュリティ技術を実行するよう構成されたセキュリティプラットフォーム１０２ａ～ｅ（例えば、ファイアウォール（ＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを各々備えた（仮想）デバイス／アプライアンス）を用いて、５Ｇネットワーク内で監視／フィルタリングされる。図１Ａに関して上述したのと同様に、セキュリティプラットフォーム１０２ａ～ｅの内の１以上は、インターネットなどを介して、クラウドセキュリティサービス１２２（図１Ｂでは図示せず）（例えば、マルウェアサンプルの自動解析と、セキュリティエキスパート解析とを含む市販のクラウドベースセキュリティサービス（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供する市販のクラウドセキュリティサービスであるＷｉｌｄＦｉｒｅ（商標）クラウドベースマルウェア解析環境など）：ただし、別のベンダーが提供する同様のソリューションが利用されてもよい）ともネットワーク通信できる。例えば、クラウドセキュリティサービス１２２は、マルウェア、ＤＮＳ、ＵＲＬ、ＣＮＣマルウェア、および／または、その他のマルウェアに対する動的防御シグネチャをセキュリティプラットフォームに提供するため、および、さらなるセキュリティ解析に向けてマルウェアサンプルを受信するために利用されうる。ここで明らかになるように、ネットワークトラフィック通信は、５Ｇマルチエッジセキュリティを容易にするために、５Ｇネットワーク内の様々な位置でネットワークトラフィック通信のための１以上のセキュリティプラットフォームを用いて監視／フィルタリングされうる。

【0144】

図１Ｃは、いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇローミングセキュリティ－ホームルーテッドシナリオを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図である。図１Ｃは、以下で詳述するように５Ｇローミングセキュリティを提供するために、５Ｇユーザプレーン機能１１４－ｂおよびローミング／ピアリングネットワーク１２４への通信を監視するため、および、５Ｇコア制御／シグナリング機能１１８を監視するためのセキュリティプラットフォームを備えたローミング５Ｇネットワークアーキテクチャのためのサービスプロバイダネットワーク環境の一例である（例えば、セキュリティプラットフォームは、ファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを用いて実装されうる）。

【0145】

図１Ｃを参照すると、ネットワークトラフィック通信が、セキュリティプラットフォーム１０２ａを用いて監視される。 具体的には、このローミングセキュリティ－ホームルーテッドシナリオでは、単一のファイアウォールが、制御プレーン（ＨＴＴＰ／２）トラフィックおよびユーザプレーン（ＧＴＰ－Ｕ）トラフィックの両方を監視する（例えば、図１Ｃに示すように、Ｎ３２インターフェースが制御プレーントラフィックを伝送し、Ｎ９インターフェースがＧＴＰ－Ｕトラフィックを伝送する）。例えば、セキュリティプラットフォーム１０２ａは、後に詳述するように、監視されたＧＴＰ－Ｕトンネルセッションと新しいＨＴＴＰ／２ベースのＴＣＰセッションとの間の相関を提供するなどの目的で、開示技術を容易にすることができる。図に示すように、ネットワークトラフィック通信は、後に詳述するように、開示セキュリティ技術を実行するよう構成されたセキュリティプラットフォーム１０２ａ（例えば、ファイアウォール（ＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを備えた（仮想）デバイス／アプライアンス）を用いて、５Ｇネットワーク内で監視／フィルタリングされる。図１Ａに関して上述したのと同様に、セキュリティプラットフォーム１０２ａは、インターネットなどを介して、クラウドセキュリティサービス１２２（図１Ｃでは図示せず）（例えば、マルウェアサンプルの自動解析と、セキュリティエキスパート解析とを含む市販のクラウドベースセキュリティサービス（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供する市販のクラウドセキュリティサービスであるＷｉｌｄＦｉｒｅ（商標）クラウドベースマルウェア解析環境など）：ただし、別のベンダーが提供する同様のソリューションが利用されてもよい）ともネットワーク通信できる。例えば、クラウドセキュリティサービス１２２は、マルウェア、ＤＮＳ、ＵＲＬ、ＣＮＣマルウェア、および／または、その他のマルウェアに対する動的防御シグネチャをセキュリティプラットフォームに提供するため、および、さらなるセキュリティ解析に向けてマルウェアサンプルを受信するために利用されうる。ここで明らかになるように、ネットワークトラフィック通信は、５Ｇローミングセキュリティを容易にするために、５Ｇネットワーク内の様々な位置でネットワークトラフィック通信のための１以上のセキュリティプラットフォームを用いて監視／フィルタリングされうる。

【0146】

図１Ｄは、いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇローミングセキュリティ－ローカルブレイクアウトシナリオを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図である。図１Ｄは、以下で詳述するように５Ｇローミングセキュリティを提供するために、５Ｇユーザプレーン機能１１４ａ～ｂおよびローカルデータネットワーク１１２およびローミング／ピアリングネットワーク１２４への通信を監視するためのセキュリティプラットフォーム１０２ａと、５Ｇコア制御／シグナリング機能１１８への通信を監視するためのセキュリティプラットフォーム１０２ｂとを含む５Ｇネットワークのエッジ上の様々な位置にあるセキュリティプラットフォームを備えたローミング５Ｇネットワークアーキテクチャのためのサービスプロバイダネットワーク環境の一例である（例えば、セキュリティプラットフォームの各々は、ファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを用いて実装されうる）。

【0147】

図１Ｄを参照すると、ネットワークトラフィック通信が、セキュリティプラットフォーム１０２ａおよび１０２ｂを用いて監視される。具体的には、このローミングセキュリティ－ローカルブレイクアウトシナリオでは、Ｎ３２インターフェースは、制御プレーントラフィックを伝送し、Ｎ３インターフェースは、５Ｇ ＲＡＮと、ＧＴＰ－Ｕトラフィックを伝送するユーザプレーン機能との間のインターフェースである。例えば、セキュリティプラットフォーム１０２ａは、後に詳述するように、監視されたＧＴＰ－Ｕトンネルセッションと新しいＨＴＴＰ／２ベースのＴＣＰセッションとの間の相関を提供するなどの目的で、開示技術を容易にするために、セキュリティプラットフォーム１０２ｂとも通信できる。図に示すように、ネットワークトラフィック通信は、後に詳述するように、開示セキュリティ技術を実行するよう構成されたセキュリティプラットフォーム１０２ａおよび１０２ｂ（例えば、ファイアウォール（ＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを各々備えた（仮想）デバイス／アプライアンス）を用いて、５Ｇネットワーク内で監視／フィルタリングされる。図１Ａに関して上述したのと同様に、セキュリティプラットフォーム１０２ａおよび１０２ｂの内の１以上は、インターネットなどを介して、クラウドセキュリティサービス１２２（図１Ｄでは図示せず）（例えば、マルウェアサンプルの自動解析と、セキュリティエキスパート解析とを含む市販のクラウドベースセキュリティサービス（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供する市販のクラウドセキュリティサービスであるＷｉｌｄＦｉｒｅ（商標）クラウドベースマルウェア解析環境など）：ただし、別のベンダーが提供する同様のソリューションが利用されてもよい）ともネットワーク通信できる。例えば、クラウドセキュリティサービス１２２は、マルウェア、ＤＮＳ、ＵＲＬ、ＣＮＣマルウェア、および／または、その他のマルウェアに対する動的防御シグネチャをセキュリティプラットフォームに提供するため、および、さらなるセキュリティ解析に向けてマルウェアサンプルを受信するために利用されうる。ここで明らかになるように、ネットワークトラフィック通信は、５Ｇローミングセキュリティを容易にするために、５Ｇネットワーク内の様々な位置でネットワークトラフィック通信のための１以上のセキュリティプラットフォームを用いて監視／フィルタリングされうる。

【0148】

図１Ｅは、いくつかの実施形態に従って、モバイルネットワークにおいて５Ｇマルチアクセス分散型エッジセキュリティを提供するためのセキュリティプラットフォームを備えた５Ｇ無線ネットワークを示すブロック図である。図１Ｅは、以下で詳述するように５Ｇマルチアクセスセキュリティを提供するために、５Ｇユーザプレーン機能１１４ａ～ｃおよびローカルデータネットワーク１１２ａ～ｂへの通信ならびにコアネットワーク１１６内の５Ｇコア制御／シグナリング機能１１８への通信を監視するための様々な位置にあるセキュリティプラットフォーム１０２ａおよびセキュリティプラットフォーム１０２ｂを備えたマルチアクセス分散型エッジ５Ｇネットワークアーキテクチャのためのサービスプロバイダネットワーク環境の一例である（例えば、セキュリティプラットフォームの各々は、ファイアウォール（ＦＷ）／次世代ファイアウォール（ＮＧＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを用いて実装されうる）。図に示すように、５Ｇネットワークは、さらに、様々なアプリケーション、ウェブサービス、コンテンツホストなど、および／または、他のネットワークへアクセスするために、ローカルデータネットワーク（例えば、企業ネットワーク）１１２ａおよび１１２ｂならびに中央データネットワーク（例えば、インターネット）１２０などで、（例えば、スマートフォン、ラップトップ、コンピュータ（固定位置にあってよい）、および／または、ＣＩｏＴデバイスなどのその他のセルラー対応デバイス／機器、または、その他のネットワーク通信対応デバイスなど、ユーザ機器（ＵＥ）を用いて）加入者のためのデータ通信を容易にするために、１０４で示すような固定／有線アクセス、１０６で示すようなＷｉ－Ｆｉアクセスなどの非３ＧＰＰアクセス、１０８で示すような５Ｇラジオアクセスネットワーク（ＲＡＮ）、１１０で示すような４Ｇ ＲＡＮアクセス、および／または、その他のネットワーク（図１Ｅでは図示せず）を備えうる。図１Ｅに示すように、５Ｇネットワークアクセスメカニズム１０４、１０６、１０８、および、１１０の各々は、セキュリティプラットフォーム（例えば、ＮＧＦＷ）１０２ａを通して、５Ｇユーザプレーン機能１１４ａと通信し、セキュリティプラットフォーム（例えば、ＮＧＦＷ）１０２ｂを通して、５Ｇユーザプレーン機能１１４ｂと通信する。図に示すように、４Ｇ ＲＡＮ１１０および５Ｇ ＲＡＮ１０８は、５Ｇコア制御／シグナリング機能（ＳＭＦ）１１８と通信し、５Ｇコア制御／シグナリング機能１１８は、５Ｇユーザプレーン機能１１４ｃと通信する。

【0149】

図１Ｅを参照すると、ネットワークトラフィック通信が、セキュリティプラットフォーム１０２ａおよび／または１０２ｂを用いて監視される。例えば、セキュリティプラットフォーム１０２ａおよび／または１０２ｂは、後に詳述するように、監視されたＧＴＰ－Ｕトンネル（例えば、Ｎ３インターフェース上）とＰＦＣＰセッション（例えば、Ｎ４インターフェース上）との間の相関を提供するなどの目的で、開示技術を容易にするよう構成可能である（例えば、任意選択的に、互いに通信する、（セキュリティプラットフォーム１０２ａに関して示した）クラウドセキュリティ１２２と通信する、および／または、他のセキュリティプラットフォーム（図示せず）と通信することができる）。図に示すように、ネットワークトラフィック通信は、後に詳述するように、開示セキュリティ技術を実行するよう構成されたセキュリティプラットフォーム１０２ａおよび／または１０２ｂ（例えば、ファイアウォール（ＦＷ）、ファイアウォールの代わりに機能するネットワークセンサ、または、開示技術を用いてセキュリティポリシーを実施できる別のデバイス／コンポーネントを各々備えた（仮想）デバイス／アプライアンス）を用いて、５Ｇネットワーク内で監視／フィルタリングされる。さらに、セキュリティプラットフォーム１０２ａおよび／または１０２ｂは、インターネットなどを介して、クラウドセキュリティサービス１２２（例えば、マルウェアサンプルの自動解析と、セキュリティエキスパート解析とを含む市販のクラウドベースセキュリティサービス（Ｐａｌｏ Ａｌｔｏ Ｎｅｔｗｏｒｋｓ社が提供する市販のクラウドセキュリティサービスであるＷｉｌｄＦｉｒｅ（商標）クラウドベースマルウェア解析環境など）：ただし、別のベンダーが提供する同様のソリューションが利用されてもよい）ともネットワーク通信できる。例えば、クラウドセキュリティサービス１２２は、マルウェア、ＤＮＳ、ＵＲＬ、ＣＮＣマルウェア、および／または、その他のマルウェアに対する動的防御シグネチャをセキュリティプラットフォームに提供するため、および、さらなるセキュリティ解析に向けてマルウェアサンプルを受信するために利用されうる。ここで明らかになるように、ネットワークトラフィック通信は、５Ｇマルチアクセス分散型エッジ（例えば、ＭＥＣ）セキュリティを容易にするために、５Ｇネットワーク内の様々な位置でネットワークトラフィック通信のための１以上のセキュリティプラットフォームを用いて監視／フィルタリングされうる。

【0150】

したがって、これらおよび様々なその他のネットワークアーキテクチャ例は、トラフィック監視およびフィルタリングを実行するために１以上のセキュリティプラットフォームが提供されうる５Ｇモバイルネットワーク環境に開示セキュリティ技術を用いて、後に詳述するようにシグナリングおよびＤＰＩ情報に基づいてサービスプロバイダのための５Ｇモバイルネットワークに新規な改良５Ｇ関連セキュリティ技術（改良５Ｇ関連ＭＥＣセキュリティ技術など）を提供することができる。開示された実施形態に照らして当業者にとって明らかなように、１以上のセキュリティプラットフォームが、後に詳述するように開示セキュリティ技術を実行するために、これらのネットワークアーキテクチャ内の様々な他の位置に（例えば、図１Ａ～Ｅに示したようなセキュリティプラットフォームによって示したもの、および／または、図１Ａ～Ｅに示したような５Ｇユーザプレーン機能および／または５Ｇコア制御／シグナリング機能内のエンティティなどサービスプロバイダのネットワーク内の既存デバイスで実行されうるエージェントまたは仮想マシン（ＶＭ）インスタンスとして実装されるものなど、インラインのパススルーＮＧＦＷ）、および、様々
な無線ネットワーク環境に、同様に提供されてもよい。

【0151】

５Ｇネットワークにおけるネットワークスライスベースのセキュリティ

【0152】

ネットワークスライスは、地上波公共移動通信ネットワーク（ＰＬＭＮ）内の論理ネットワークであり、ＰＬＭＮは、ラジオアクセスネットワーク（ＲＡＮ）機能、コアネットワーク制御プレーン、および、ユーザプレーン機能を含む完全なネットワークの機能を提供できる。１つのネットワークが、１またはいくつかのネットワークスライスをサポートできる。一般に、ネットワークスライシングは、事業者（例えば、５Ｇネットワークのサービスプロバイダ）が、カスタマイズされたネットワークを提供することを可能にする。例えば、機能（例えば、優先順位、課金、ポリシー制御、セキュリティ、および、モビリティ）に関する異なる要件、性能要件（例えば、待ち時間、モビリティ、利用可能性、信頼性、および、データレート）の差が存在しうるか、もしくは、ネットワークが、特定のユーザ（例えば、ＭＰＳユーザ、公衆安全ユーザ、企業顧客、ローミングサービス利用者、または、仮想移動体通信業者（ＭＶＮＯ）のホスト）にのみサービスを提供しうる。

【0153】

ネットワークスライスは、Ｓ－ＮＳＳＡＩ（シングルネットワークスライス選択支援情報）によって識別される。５Ｇの標準的な実装の例において、Ｓ－ＮＳＳＡＩは、スライス／サービスタイプ（ＳＳＴ）（８ビット）と、スライスディファレンシエータ（ＳＤ）およびオプション情報（２４ビット）と、を含む。本明細書にさらに記載するように、ネットワークスライス情報は、いくつかの実施形態に従って、５Ｇネットワークにおいてセキュリティを適用するために監視および抽出されうる。

【0154】

いくつかの実施形態において、ネットワークスライスベースのセキュリティが、ＨＴＴＰ／２メッセージをパースしてネットワークスライス情報を抽出することによって、５Ｇ携帯電話ネットワーク内に配置されたセキュリティプラットフォームを用いて実行される。一実施例において、ＨＴＴＰ／２は、３ＧＰＰ ＴＳ ２９．５００ Ｖ１５．１．０で規定されるようにサービスベースのインターフェース内で用いられる。
５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ネットワークスライス情報は、以下の２つのサービス動作制御メッセージから抽出されうる：

【0155】

（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ：ＳＭＦにおいて、または、ＨＲローミングシナリオのためのＶ－ＳＭＦにおいて、所与のＰＤＵセッションについて、個々のＳＭコンテキストを生成するために、３ＧＰＰ ＴＳ ２９．５０２ Ｖ １５．３．０で規定されたＣｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔサービス動作で用いられる。

【0156】

（２） Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔ：ＨＲローミングシナリオのためのＨ－ＳＭＦにおいて、個々のＰＤＵセッションを生成するために、３ＧＰＰ ＴＳ ２９．５０２ Ｖ １５．３．０で規定されたＣｒｅａｔｅサービス動作で用いられる。

【0157】

具体的には、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔは、以下の手順で用いられる：

【0158】

（１）３ＧＰＰ ＴＳ ２３．５０２ Ｖ１５．３．０の４．３．２項で規定された非ローミングおよびローカルブレイクアウトでのローミングのためのＵＥ要求ＰＤＵセッション確立手順のケース。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔは、図２Ａに関して以下で詳述するように、ＡＭＦからＳＭＦへ送信される。

【0159】

図２Ａは、いくつかの実施形態に従って、５Ｇネットワークにおける非ローミングおよびローカルブレイクアウトでのローミングのためのＵＥ要求ＰＤＵセッション確立のフローの一例を示す図である。図２Ａを参照すると、ＡＭＦ２０６からＳＭＦ２１０へ送信される第１メッセージは、２０２で示すようにＮｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージである。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージは、ＳＭＦにおいて、または、ＨＲローミングシナリオのためのＶ－ＳＭＦにおいて、所与のＰＤＵセッションについて、個々のＳＭコンテキストを生成するために、３ＧＰＰ ＴＳ ２９．５０２ Ｖ １５．３．０で規定されたＣｒｅａｔｅ ＳＭ Ｃｏｎｔｅｘｔサービス動作で用いられる。それに応答して、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｓｐｏｎｓｅメッセージが、２０４で示すように、ＳＭＦ２１０からＡＭＦ２０６へ送信される。

【0160】

図２Ｂは、いくつかの実施形態に従って、５Ｇネットワークにおける非ローミングおよびローカルブレイクアウトでのローミングのためのＵＥ要求ＰＤＵセッション確立および変更／更新のフローの一例を示す図である。図２Ｂを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＵｐｄａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２１２で示すように、ＡＭＦ２０６からＳＭＦ２１０へ送信される。それに応答して、 Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＵｐｄａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｓｐｏｎｓｅメッセージが、２１４で示すように、ＳＭＦ２１０からＡＭＦ２０６へ送信される。

【0161】

図２Ｃは、いくつかの実施形態に従って、５ＧネットワークにおいてＮ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバのフローの一例を示す図である。例えば、Ｎ２６インターフェースを用いたＥＰＳから５ＧＳへのアイドルモードモビリティまたはハンドオーバのケースは、３ＧＰＰ ＴＳ ２３．５０２ Ｖ１５．２．０の４．１１項に規定されている。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔが、Ｖ－ＳＭＦからＨ－ＳＭＦへ送信される。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ＡＭＦからＳＭＦ＋ＰＧＷ－Ｃへ送信される。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ホームルーテッドシナリオの場合に、ＡＭＦからＶ－ＳＭＦへ送信される。図２Ｃを参照すると、ＭＭＥ２２０からＳＭＦ＋ＰＧＷ－Ｃ２２２へ送信される第１メッセージは、２２４で示すようにＮｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージである。それに応答して、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｓｐｏｎｓｅメッセージが、２２６で示すように、ＰＧＷ－Ｃ２２２からＭＭＥ２２０へ送信される。

【0162】

図２Ｄは、いくつかの実施形態に従って、５ＧＳネットワークにおいてＮ２６インターフェースを用いないＥＰＳから５ＧＳへのモビリティ手順のフローの一例を示す図である。例えば、Ｎ２６インターフェースケースを用いないＥＰＳから５ＧＳへのモビリティのケースは、３ＧＰＰ ＴＳ ２３．５０２ Ｖ１５．２．０の４．１１．２．３項に規定されている。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔが、Ｖ－ＳＭＦからＨ－ＳＭＦへ送信される。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、新たなＡＭＦ２３０からＳＭＦ＋ＰＧＷ－Ｃ ２３２へ送信される。図２Ｄを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２３４に示すように、ＵＥ要求ＰＤＵセッション確立手順中にやり取りされる。

【0163】

図２Ｅは、いくつかの実施形態に従って、５ＧネットワークにおいてソースＡＭＦによって用いられるＳＭコンテキストのＳＭＦリソース識別子をターゲットＡＭＦが知らない３ＧＰＰアクセスおよび非３ＧＰＰアクセスの間のＰＤＵセッションのハンドオーバのフローの一例を示す図である。一例は、３ＧＰＰ ＴＳ ２３．５０２ Ｖ１５．２．０の４．９．２．３．２項に規定されたようにターゲットＡＭＦがＮ３ＩＷＦのＰＬＭＮ内にない場合など、５ＧネットワークにおいてソースＡＭＦによって用いられるＳＭコンテキストのＳＭＦリソース識別子をターゲットＡＭＦが知らない３ＧＰＰアクセスおよび非３ＧＰＰアクセスの間のＰＤＵセッションのハンドオーバである。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ＡＭＦ２３６からＶ－ＳＭＦ２３８へ送信される。図２Ｅを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２４０に示すように、ＵＥ要求ＵＥセッション確立手順中にやり取りされる。

【0164】

図２Ｆは、いくつかの実施形態に従って、５ＧネットワークにおけるＨＰＬＭＮ（ホームルートローミング）内のＮ３ＩＷＦによる３ＧＰＰアクセスから信頼できない非３ＧＰＰへのＰＤＵセッションのハンドオーバのフローの一例を示す図である。例えば、この例は、３ＧＰＰ ＴＳ ２３．５０２の４．９．２．４．２項に規定されるように、ＵＥがローミングしており、選択されたＮ３ＩＷＦがＨＰＬＭＮ内にある場合の利用ケースシナリオを扱う。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔが、Ｖ－ＳＭＦからＨ－ＳＭＦへ送信される。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ＡＭＦ２４２からＨ－ＳＭＦ２４４へ送信される。図２Ｆを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２４６に示すように、ＰＤＵセッション確立手順中にやり取りされる。

【0165】

図２Ｇは、いくつかの実施形態に従って、５ＧネットワークにおけるＥＰＳから５ＧＣ－Ｎ３ＩＷＦへのハンドオーバのフローの一例を示す図である。例えば、この例は、３ＧＰＰ ＴＳ ２３．５０２の４．１１．３．１項に規定されたＥＰＳから５ＧＣ－Ｎ３ＩＷＦ へのハンドオーバの利用ケースシナリオを扱う。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ＡＭＦ２４８からＰＧＷ＋ＳＭＦ／ＵＰＦ２５０へ送信される。図２Ｇを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２５２に示すように、ＰＤＵセッション確立手順中にやり取りされる。

【0166】

図２Ｈは、いくつかの実施形態に従って、５ＧネットワークにおけるＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバのフローの一例を示す図である。例えば、この例は、３ＧＰＰ ＴＳ ２３．５０２の４．１１．４．１項に規定されたＥＰＣ／ｅＰＤＧから５ＧＳへのハンドオーバの利用ケースシナリオを扱う。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔが、ＡＭＦ２５４からＰＧＷ＋ＳＭＦ／ＵＰＦへ送信される。図２Ｈを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージが、２５８に示すように、ＰＤＵセッション確立手順中にやり取りされる。

【0167】

図２Ｉは、いくつかの実施形態に従って、５ＧネットワークにおけるホームルーテッドローミングシナリオのためのＵＥ要求ＰＤＵセッション確立のフローの一例を示す図である。例えば、この例は、３ＧＰＰ ＴＳ ２３．５０２の ４．３．２．２．２項に規定されたＵＥ要求ＰＤＵセッション確立の利用ケースシナリオを扱う。Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔが、Ｖ－ＳＭＦ２６０からＨ－ＳＭＦ２６２へ送信される。図２Ｉを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＲｅｑｕｅｓｔメッセージが、２６４に示すように、ＰＤＵセッション確立手順中にやり取りされる。

【0168】

図２Ｊは、いくつかの実施形態に従って、５ＧネットワークにおけるホームルーテッドローミングシナリオのためのＵＥ要求ＰＤＵセッション確立および変更／更新のフローの一例を示す図である。図２Ｊを参照すると、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＵｐｄａｔｅＳＭＣｏｎｔｅｘｔＲｅｑｕｅｓｔメッセージが、ＡＭＦ２６６とＨ－ＳＭＦ２６８との間に２７０で示すように、図２Ｊに示すＰＤＵセッション確立手順中にやり取りされる。

【0169】

一実施形態において、セキュリティプラットフォームは、図２Ａ～図２Ｊに関して上述したようなこれらのメッセージを監視して、セキュリティポリシーに基づいてこれらのメッセージ内に含まれるネットワークスライス関連情報および／またはその他のパラメータ／情報（本明細書に記載したものなど）を抽出する（例えば、５Ｇコアネットワーク内の様々なエンティティの間に配置されたパススルーファイアウォール／ＮＧＦＷを用いて、または、５Ｇコアネットワーク内の様々なエンティティ上で実行されるＶＭインスタンスまたはエージェントとして実装されたファイアウォール／ＮＧＦＷを用いて、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔおよび／またはその他のメッセージを監視する）。例えば、セキュリティプラットフォームは、これらのメッセージを監視し、Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔメッセージおよび／またはその他のメッセージ（後に詳述するものなど）を抽出することで、ネットワークスライス情報（例えば、スライス／サービスタイプ（ＳＳＴ）（８ビット）と、スライスディファレンシエータ（ＳＤ）およびオプション情報（２４ビット）とを含むＳ－ＮＳＳＡＩ）を取得できる。

【0170】

一実施形態において、開示技術は、（例えば、ＡＰＰ ＩＤ、ユーザＩＤ、コンテンツＩＤを識別するためにＤＰＩを実行する、ＵＲＬフィルタリングを実行する、および／または、セキュリティ／脅威検出／防御のためのその他のファイアウォール／セキュリティポリシーを実行することができるＮＧＦＷを用いて実装されるような、セキュリティプラットフォームを用いて）、サービスプロバイダネットワーク内のシグナリング／制御トラフィック（ＨＴＴＰ／２トラフィックなど）の検査と、サービスプロバイダネットワーク内の（例えば、ＲＡＮとＵＰＦとの間のＮ３ ＧＴＰ－Ｕトンネル、または、ＵＰＦの間のＮ９ ＧＴＰ－Ｕトンネルなど）トンネルされたユーザトラフィック（ＧＴＰ－Ｕトラフィックなど）の検査と、を実行する。一実施形態において、開示技術は、ＨＴＴＰ／２トラフィックでやり取りされる情報（例えば、後に詳述するような、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報などのパラメータ）を抽出するために、サービスプロバイダネットワーク内のシグナリング／制御トラフィック（ＨＴＴＰ／２トラフィックなど）の検査を実行する。一実施形態において、開示技術は、ＨＴＴＰ／２トラフィックでやり取りされる情報（例えば、上述および後述するようなパラメータ）を抽出するため、および、この抽出された情報に基づいておよび／または後に詳述するようなＤＰＩと組み合わせてセキュリティポリシーの適用に用いるサービスプロバイダネットワーク内でトンネルされたユーザトラフィックを（例えば、上述および後述するようなＤＰＩを用いて）監視するために、サービスプロバイダネットワーク内のシグナリング／制御トラフィック（ＨＴＴＰ／２トラフィックなど）の検査を実行する。

【0171】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0172】

５Ｇネットワークにおけるデータネットワーク名ごとのサービスベースのセキュリティ

【0173】

データネットワーク名ごとのサービスベースのセキュリティのための技術も、いくつかの実施形態に従って開示されている。５Ｇネットワークにおいて、データネットワーク名（ＤＮＮ）は、ＴＳ ２３．００３Ｖ１５．３．０で規定されるように、一般に、アクセスポイント名（ＡＰＮ）と等価である（例えば、ＡＰＮは、ＰＧＷ／ＧＧＳＮへの参照であり、別のネットワーク（インターネットなど）へのアクセスの形態を識別し、以下の２つの部分で構成される：（１）ＡＰＮネットワーク識別子（必須）；および、（２）ＡＰＮオペレータ識別子（オプション））。両方の識別子は、等価な意味を有し、同じ情報を運ぶ。ＤＮＮは、例えば、以下の目的で用いられてよい：（１）ＰＤＵセッションのためのＳＭＦおよび１以上のＵＰＦを選択するため；（２）ＰＤＵセッションのためのデータネットワークへのインターフェース（Ｎ６）を選択するため；および／または、（３）このＰＤＵセッションに適用するポリシーを決定するため。

【0174】

いくつかの実施形態において、データネットワーク名（ＤＮＮ）ごとのサービスベースのセキュリティが、ＨＴＴＰ／２メッセージをパースしてＤＮＮ情報を抽出することによって、５Ｇネットワークにおいてセキュリティプラットフォームを用いて適用される。

【0175】

上述したのと同様に、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ネットワークスライス情報は、以下の２つのサービス動作制御メッセージから抽出されうる：（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ要求；および、（２）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ要求。

【0176】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0177】

５Ｇネットワークにおけるサブスクリプション永久識別子ごとのサービスベースのセキュリティ

【0178】

サブスクリプション永久識別子ごとのサービスベースのセキュリティのための技術も、いくつかの実施形態に従って開示されている。５Ｇネットワークにおいて、サブスクリプション永久識別子（ＳＵＰＩ）は、５Ｇシステムにおいて各加入者に割り当てられたグローバルに一意な５Ｇサブスクリプション識別子である。それは、３ＧＰＰシステム内にのみ存在し、３ＧＰＰ ＴＳ ２３．５０１ Ｖ１５．３．０の５．９．２項に規定されている。

【0179】

例えば、ＳＵＰＩは、以下を含んでよい：（１）３ＧＰＰ ＴＳ ２３．００３ Ｖ１５．３．０で規定されたＩＭＳＩ（例えば、ＩＭＳＩは、ＧＳＭ／ＵＭＴＳ／ＥＰＳシステムにおいて各モバイル加入者に割り当てられた一意的な１５桁の数字である）；および、（２）ネットワーク固有の識別子（例えば、ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤである）。ローミングにおいて、ＮＡＩの目的は、ユーザを識別すること、および、認証要求のルーティングを支援することであり、３ＧＰＰ ＴＳ２３．００３ Ｖ１５．３．０に規定されるようにプライベートネットワークに用いられる。

【0180】

いくつかの実施形態において、サブスクリプション永久識別子（ＳＵＰＩ）ごとのサービスベースのセキュリティは、ＨＴＴＰ／２メッセージをパースしてＳＵＰＩ情報を抽出することによって、５Ｇネットワークにおいてセキュリティプラットフォームを用いて適用される。

【0181】

上述したのと同様に、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ネットワークスライス情報は、以下の２つのサービス動作制御メッセージから抽出されうる：（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ；および、（２）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔ。

【0182】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0183】

５Ｇネットワークにおける永久機器識別子ごとのサービスベースのセキュリティ

【0184】

永久機器識別子ごとのサービスベースのセキュリティのための技術も、いくつかの実施形態に従って開示されている。５Ｇネットワークにおいて、永久機器識別子（ＰＥＩ）は、５Ｇシステムにアクセスする３ＧＰＰ ＵＥに対して規定される。ＰＥＩは、異なるＵＥタイプおよび利用事例に対して異なるフォーマットを取ることができる。

【0185】

例えば、ＵＥが少なくとも１つの３ＧＰＰアクセス技術をサポートする場合、ＵＥは、ＩＭＥＩフォーマットのＰＥＩを割り当てられなければならない（例えば、ＩＭＥＩは、各移動局機器に割り当てられた一意的な１５または１６桁の数字である）。最新リリースの規格のとおり、ＰＥＩパラメータのためにサポートされるフォーマットは、ＴＳ ２３．００３ Ｖ１５．３．０に規定されるように、ＩＭＥＩおよびＩＭＥＩＳＶのみである。

【0186】

いくつかの実施形態において、永久機器識別子（ＰＥＩ）ごとのサービスベースのセキュリティは、ＨＴＴＰ／２メッセージをパースしてＰＥＩ情報を抽出することによって、５Ｇネットワークにおいてセキュリティプラットフォームを用いて適用される。

【0187】

上述したのと同様に、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＰＥＩ情報は、以下の２つのサービス動作制御メッセージから抽出されうる：（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ；および、（２）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔ。

【0188】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0189】

５Ｇネットワークにおける一般公開サブスクリプション識別子ごとのサービスベースのセキュリティ

【0190】

一般公開サブスクリプション識別子ごとのサービスベースのセキュリティのための技術も、いくつかの実施形態に従って開示されている。一般に、一般公開サブスクリプション識別子（ＧＰＳＩ）は、３ＧＰＰシステムの内部および外部の両方で用いられる公開識別子である。

【0191】

例えば、ＧＰＳＩは、３ＧＰＰシステムの外側の異なるデータネットワークにおいて３ＧＰＰサブスクリプションを扱うために用いられる。具体的には、ＧＰＳＩは、３ＧＰＰ ＴＳ ２３．００３ Ｖ１５．３．０に規定されるように、ＭＳＩＳＤＮ（例えば、ＭＳ国際ＩＳＤＮ番号は、ＩＴＵ－Ｔ勧告Ｅ．１６４番号計画から割り当てられ、これは、移動局が登録されている国の国番号（ＣＣ）の後に、国内宛先番号（ＮＤＣ）および加入者番号（ＳＮ）を含む国内携帯電話番号、を含む。）、または、外部識別子のいずれかである。

【0192】

いくつかの実施形態において、一般公開サブスクリプション識別子（ＧＰＳＩ）ごとのサービスベースのセキュリティは、ＨＴＴＰ／２メッセージをパースしてＧＰＳＩ情報を抽出することによって、５Ｇネットワークにおいてセキュリティプラットフォームを用いて適用される。

【0193】

上述したのと同様に、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ＧＰＳＩ情報は、以下の２つのサービス動作制御メッセージから抽出されうる：（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ；および、（２）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔ。

【0194】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0195】

５Ｇネットワークにおけるユーザ位置ごとのサービスベースのセキュリティ

【0196】

ユーザ位置ごとのサービスベースのセキュリティのための技術も、いくつかの実施形態に従って開示されている。

【0197】

いくつかの実施形態において、ユーザ位置ごとのサービスベースのセキュリティは、ＨＴＴＰ／２メッセージをパースしてユーザ位置情報を抽出することによって、５Ｇネットワークにおいてセキュリティプラットフォームを用いて適用される。

【0198】

上述したのと同様に、５Ｇネットワークにおけるセキュリティプラットフォーム展開トポロジに基づいて、ユーザ位置情報は、以下の２つのサービス動作制御メッセージから抽出されうる：（１）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿ＣｒｅａｔｅＳＭＣｏｎｔｅｘｔ Ｒｅｑｕｅｓｔ；および、（２）Ｎｓｍｆ＿ＰＤＵＳｅｓｓｉｏｎ＿Ｃｒｅａｔｅ Ｒｅｑｕｅｓｔ。

【0199】

ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報に基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるセキュリティ強化をサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0200】

５ＧネットワークにおけるＮ４セッション確立手順

【0201】

図２Ｋは、いくつかの実施形態に従って、５Ｇネットワークにおける５Ｇユーザプレーン機能（ＵＰＦ）と５Ｇコア制御／シグナリングセッション管理機能（ＳＭＦ）との間のＮ４インターフェース上でのプロトコルデータユニット（ＰＤＵ）セッション確立のフローの一例を示す図である。図２Ｋを参照すると、ＳＭＦ２８２が、２７２で示すように、新しいＰＤＵセッションを確立するため、または、確立されたＰＤＵセッションのためにＵＰＦ２８０を変更／再配置するために、トリガを受信する。２７４で、ＳＭＦ２８２は、Ｎ４セッション確立要求メッセージをＵＰＦ２８０へ送信する。２７６で、ＵＰＦ２８０は、Ｎ４セッション確立応答メッセージで応答する。ＳＭＦ２８２は、この手順（例えば、アクセスおよびモビリティ管理機能（ＡＭＦ）またはポリシー制御機能（ＰＣＦ））をトリガしたネットワーク機能と相互作用する。また、セッション確立要求およびセッション確立応答メッセージの情報要素およびフォーマットについては、図９に関して後に詳述する。

【0202】

５Ｇネットワークにおけるマルチアクセス分散型エッジセキュリティ

【0203】

一実施形態において、セキュリティプラットフォームは、図２Ｋに関して上述したようなこれらのＮ４セッション確立関連メッセージを監視して、セキュリティポリシーに基づいてこれらのメッセージ内に含まれる様々な情報および／またはその他のパラメータ／情報（本明細書に記載したものなど）を抽出する（例えば、５Ｇコアネットワーク内の様々なエンティティの間に配置されたパススルーファイアウォール／ＮＧＦＷを用いて、または、５Ｇコアネットワーク内の様々なエンティティ上で実行されるＶＭインスタンスまたはエージェントとして実装されたファイアウォール／ＮＧＦＷを用いて、Ｎ４セッション確立要求／応答メッセージおよび／またはその他のメッセージを監視する）。例えば、セキュリティプラットフォームは、これらのメッセージを監視し、監視Ｎ４セッション確立要求および監視Ｎ４セッション確立応答メッセージおよび／またはその他のメッセージを抽出することで、様々な情報および／またはその他のパラメータ／情報（後に詳述するようなものなど）を取得することができる。

【0204】

一実施形態において、開示技術は、（例えば、ＡＰＰ ＩＤ、ユーザＩＤ、コンテンツＩＤを識別するためにＤＰＩを実行する、ＵＲＬフィルタリングを実行する、および／または、セキュリティ／脅威検出／防御のためのその他のファイアウォール／セキュリティポリシーを実行することができるＮＧＦＷを用いて実装されるような、セキュリティプラットフォームを用いて）、サービスプロバイダネットワーク内のシグナリング／制御トラフィック（Ｎ４セッション確立関連トラフィックなど）の検査と、ＧＴＰ－Ｕトラフィックなど、サービスプロバイダネットワーク内の（例えば、ＲＡＮとＵＰＦとの間のＮ３ ＧＴＰ－Ｕトンネルを含む）監視対象のトンネルされたユーザトラフィックおよび（例えば、ＵＰＦとＳＭＦまたは別のＵＰＦとの間などのＮ４インターフェース上の）監視対象のＰＦＣＰセッションの検査およびそれらの間の相関と、を実行する。一実施形態において、開示技術は、５Ｇネットワークにおけるマルチアクセス分散型エッジ位置でセキュリティ強化を提供する目的で、ＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、および／または、ＮＡＩごとに（例えば、適用できるセキュリティプラットフォームによって実装されるセキュリティポリシーを用いて実行される）サービスベースのセキュリティを提供するために、Ｎ４セッション確立関連トラフィック（例えば、ＰＦＣＰセッションを含む）など、サービスプロバイダネットワーク内のシグナリング／制御トラフィックの検査を実行して、Ｎ４セッション確立関連トラフィックでやり取りされる情報（例えば、後に詳述するような、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）、および／または、ネットワークアクセス識別子（ＮＡＩ）関連情報などのパラメータ）を抽出する。一実施形態において、開示技術は、後に詳述するような５Ｇモバイル／サービスプロバイダネットワーク環境のためのマルチアクセス分散型エッジセキュリティを促進する目的で、Ｎ４セッション確立関連トラフィックでやり取りされる情報（例えば、上述および後述するようなパラメータ）を抽出するため、および、この抽出された情報に基づいておよび／またはＤＰＩと組み合わせてセキュリティポリシーの適用に用いるサービスプロバイダネットワーク内でトンネルされたユーザトラフィックを（例えば、上述および後述するようなＤＰＩを用いて）監視するために、（例えば、ＰＦＣＰセッションを含む）Ｎ４セッション確立関連トラフィックなど、サービスプロバイダネットワーク内のシグナリング／制御トラフィックの検査を実行する。

【0205】

ＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、および／または、ＮＡＩに基づいて（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、その他のＤＰＩおよび／またはＮＧＦＷ技術と組み合わせて）、５Ｇネットワークにおけるマルチアクセス分散型エッジセキュリティをサービスプロバイダに提供するためのこれらおよびその他の技術について、以下でさらに説明する。

【0206】

サービスプロバイダのための５Ｇネットワークの強化セキュリティの利用例

【0207】

セキュリティポリシー施行のためにセキュリティプラットフォームを用いて５Ｇモバイル／サービスプロバイダのセキュリティを強化するための開示技術は、５Ｇモバイル／サービスプロバイダネットワーク環境のための強化されたより柔軟かつ動的なセキュリティを容易にするために、様々なさらなる利用例シナリオで適用されうる。さらなる利用例シナリオについて、以下でさらに説明する。

【0208】

第１利用例シナリオとして、モバイルおよび統合ネットワーク事業者が、公共設備（例えば、ガス、水道、電気など）、水道メータ管理会社、車両運行追跡会社、および／または、その他のタイプの顧客など、狭帯域ＩｏＴ（ＮＢ－ＩｏＴ）およびＬＴＥ－Ｍを含む無線ＩｏＴ技術（例えば、ＣＩｏＴデバイス）をＩｏＴ／Ｍ２Ｍの顧客に提供していると仮定する。ＣＩｏＴデバイスのほとんどは、セキュリティ機能を提供するための計算能力およびリソースを持っておらず、典型的には、安全にコードされていない。結果として、これは、モバイルおよび統合ネットワーク事業者が、セキュリティポリシー施行のためのセキュリティプラットフォームを用いたモバイル／サービスプロバイダネットワークにおけるＣＩｏＴの強化セキュリティのための開示技術で（例えば、本明細書に記載のＮ３およびインターフェース上のインスペクションおよびセキュリティ機能を用いて）提供できるネットワークベースのセキュリティサービスをこれらの顧客に提供する機会を作る。

【0209】

第２利用例シナリオとして、モバイルおよび統合ネットワーク事業者が、公共設備（例えば、ガス、水道、電気など）、水道メータ管理会社、車両運行追跡会社、および／または、その他のタイプの顧客など、狭帯域ＩｏＴ（ＮＢ－ＩｏＴ）およびＬＴＥ－Ｍを含む無線ＩｏＴ技術（例えば、ＣＩｏＴデバイス）をＩｏＴ／Ｍ２Ｍの顧客に提供していると仮定する。ＣＩｏＴデバイスのほとんどは、セキュリティ機能を提供するための計算能力およびリソースを持っておらず、典型的には、安全にコードされていない。結果として、ＣＩｏＴデバイスが接続されたモバイルネットワーク（例えば、およびＭＥＣシステム）にＣＩｏＴデバイスから攻撃が開始されうる。本明細書で同様に記載されたように、Ｓ１１－Ｕインターフェース上のインスペクションおよびセキュリティ機能を含むセキュリティポリシー施行のためのセキュリティプラットフォームを用いたモバイル／サービスプロバイダネットワークにおけるＣＩｏＴの強化セキュリティのための開示技術は、攻撃するＣＩｏＴデバイスからモバイルネットワークの重要なネットワーク要素を保護するために実行されうる。

【0210】

ＩｏＴ脅威の例

【0211】

スマートホームの脆弱性の例は、Ｂｅｌｋｉｎ社Ｗｅｍｏ ＵＰｎＰリモートコマンド実行の脆弱性を含む。ルータの脆弱性の例は、以下を含む：（１）Ｑｕａｎｔａ社ＬＴＥルータＲＣＥの脆弱性；（２）Ｎｅｔｇｅａｒ社ＰｒｏＳＡＦＥのリモートコマンド実行の脆弱性；（３）ＺＴＥ社ＺＸＶ１０ルータのコマンド実行の脆弱性；（４）Ｎｅｔｇｅａｒ社Ｆｉｒｍａｄｙｎｅコマンドインジェクションの脆弱性；（５）Ｓｉｅｒｒａ Ｗｉｒｅｌｅｓｓ社の未認証のコマンドインジェクションの脆弱性；および、（６）Ｄ－Ｌｉｎｋ社のルータのリモートコマンド実行の脆弱性。カメラの脆弱性は、Ｂｅｗａｒｄ社のＩＰカメラのリモートコマンド実行の脆弱性、および、Ａｘｉｓ社のカメラのリモートコマンド実行の脆弱性を含む。サービスプロバイダネットワークにおいてＤＮＮ、ＩＭＥＩ、および／または、アプリケーションＩＤに基づくセキュリティ実施を適用するための上述の技術は、かかるルータの脆弱性の例に対応するために実行されてよい。一例として、或るＤＮＮに対して、モバイル事業者は、すべてのルータ関連リモートコード実行の脆弱性に対して、（例えば、ドロップおよびログのための）アクションブロックを定義することができる。別のＤＮＮに対して、モバイル事業者は、すべてのルータ関連リモートコード実行の脆弱性に対して、（例えば、許可およびログのための）アクションアラートを定義することを選択できる。別の例として、或る型式割り当てコード（ＴＡＣ）（ＴＡＣは、例えば、ＩｏＴデバイス、携帯電話、タブレット、ウェアラブル、モデム、ＷＬＡＮルータを含むデバイスのメーカおよびモデルを識別するために用いられるＩＭＥＩの最初の８桁である）に対して、モバイル事業者は、すべてのルータ関連リモートコード実行の脆弱性に対して、（例えば、ドロップおよびログのための）アクションブロックを定義できる。別のグループのＩＭＥＩに対して、モバイル事業者は、すべてのルータ関連リモートコード実行の脆弱性に対して、（例えば、許可およびログのための）アクションアラートを定義することを選択できる。

【0212】

Ｍｉｒａｉ（マルウェア）ボットネット攻撃は、オンライン消費者デバイス（ＩＰカメラおよびホームルータなど）を主にターゲットとするボットネット攻撃の一例である。一例として、ＤＮＮに対して、モバイル事業者は、アンチスパイウェアシグネチャ脅威ＩＤ：１３９９９および１３９７４ ｈｔｔｐｓ：／／ｔｈｒｅａｔｖａｕｌｔ．ｐａｌｏａｌｔｏｎｅｔｗｏｒｋｓ．ｃｏｍ／を用いて、すべてのＭｉｒａｉのコマンドおよび制御トラフィックに対して、（例えば、ドロップおよびログのための）アクションブロックを定義できる。別のＡＰＮに対して、モバイル事業者は、すべてのＭｉｒａｉのコマンドおよび制御トラフィックに対して、（例えば、許可およびログのための）アクションアラートを定義することを選択できる。別の例として、プレフィックスまたは範囲によって定義された或るＩＭＳＩグループに対して、モバイル事業者は、アンチスパイウェアシグネチャ脅威ＩＤ：１３９９９および１３９７４ ｈｔｔｐｓ：／／ｔｈｒｅａｔｖａｕｌｔ．ｐａｌｏａｌｔｏｎｅｔｗｏｒｋｓ．ｃｏｍ／を用いて、すべてのＭｉｒａｉのコマンドおよび制御トラフィックに対して、（例えば、ドロップおよびログのための）アクションブロックを定義できる。プレフィックスまたは範囲によって定義された別のＩＭＳＩグループに対して、モバイル事業者は、すべてのＭｉｒａｉのコマンドおよび制御トラフィックに対して、（例えば、許可およびログのための）アクションアラートを定義することを選択できる。

【0213】

開示された実施形態に照らして明らかなように、ネットワークサービスプロバイダ／モバイル事業者（例えば、セルラーサービスプロバイダ事業体）、デバイス製造業者（例えば、自動車事業体、ＣＩｏＴデバイス事業体、および／または、その他のデバイス製造業者）、および／または、システムインテグレータが、５Ｇモバイル／サービスプロバイダネットワーク環境にマルチアクセス分断型エッジセキュリティを提供する際の技術的なネットワークセキュリティの課題を含め、これらおよびその他の技術的なネットワークセキュリティ上の課題を解決するために、開示技術を用いてセキュリティプラットフォームによって施行できるかかるセキュリティポリシーを規定することができる。

【0214】

サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスのハードウェアコンポーネントの例

【0215】

図３は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスのハードウェアコンポーネントを示す機能図である。図の例は、ネットワークデバイス３００に含まれうる物理的／ハードウェアコンポーネントの表現である（例えば、本明細書に開示のセキュリティプラットフォームを実施できる機器、ゲートウェイ、または、サーバ）。具体的には、ネットワークデバイス３００は、高性能マルチコアＣＰＵ３０２と、ＲＡＭ３０４と、を備える。ネットワークデバイス３００は、さらに、ストレージ３１０（例えば、１または複数のハードディスクまたはソリッドステートストレージユニット）を備えており、ストレージ３１０は、ポリシーと、その他の構成情報およびシグネチャとを格納するために用いられてよい。一実施形態において、ストレージ３１０は、セキュリティプラットフォーム／ファイアウォールデバイスを用いて、開示されたセキュリティポリシー施行技術を実装するために監視されるＩＭＳＩ、ＩＭＥＩ、ＭＳＩＳＤＮ、ＮＡＩ、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および／または、ユーザ位置情報、ならびに、関連ＩＰアドレスおよび場合によりその他の情報（例えば、アプリケーションＩＤ、コンテンツＩＤ、ユーザＩＤ、ＵＲＬ、および／または、その他の情報）を格納する。ネットワークデバイス３００は、さらに、１以上の任意選択的なハードウェアアクセラレータを備えてもよい。例えば、ネットワークデバイス３００は、暗号化および復号動作を実行するよう構成された暗号エンジン３０６と、シグネチャマッチングを実行する、ネットワークプロセッサとして動作する、および／または、その他のタスクを実行するよう構成された１以上のＦＰＧＡ３０８とを備えてよい。

【0216】

サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスの論理コンポーネントの例

【0217】

図４は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するためのネットワークデバイスの論理コンポーネントを示す機能図である。図の例は、ネットワークデバイス４００に含まれうる論理コンポーネントの表現である（例えば、開示されたセキュリティプラットフォームを実装して、開示された技術を実行できるデータアプライアンス）。図に示すように、ネットワークデバイス４００は、管理プレーン４０２およびデータプレーン４０４を備える。一実施形態において、管理プレーンは、ポリシーを構成すると共にログデータを閲覧するためのユーザインターフェースを提供するなどして、ユーザとの相互作用の管理に関与する。データプレーンは、パケット処理およびセッションハンドリングを実行するなどして、データを管理することに関与する。

【0218】

モバイルデバイスが、暗号化されたセッションプロトコル（ＳＳＬなど）を用いてリソース（例えば、リモートウェブサイト／サーバ、ＣＩｏＴデバイスなどのＩｏＴデバイス、または、別のリソース）にアクセスを試みると仮定する。ネットワークプロセッサ４０６は、モバイルデバイスからのパケットを監視し、処理に向けてデータプレーン４０４にパケットを提供するよう構成されている。フロー４０８は、それらのパケットを新しいセッションの一部として、新しいセッションフローを作成する。後続のパケットは、フロールックアップに基づいて、そのセッションに属するものとして識別される。該当する場合、ＳＳＬ復号が、本明細書に記載の様々な技術を用いてＳＳＬ復号エンジン４１０を用いて適用される。そうでなければ、ＳＳＬ復号エンジン４１０による処理は省略される。アプリケーション識別（ＡＰＰ ＩＤ）モジュール４１２は、セッションがどのタイプのトラフィックを含むのかを判定し、トラフィックフローに関連するユーザを識別する（例えば、本明細書に記載のようにアプリケーションＩＤを識別する）よう構成されている。例えば、ＡＰＰ ＩＤ４１２は、受信されたデータ内のＧＥＴ要求を認識し、セッションがＨＴＴＰデコーダ４１４を必要とすると結論づけることができる。別の例として、ＡＰＰ ＩＤ４１２は、ＧＴＰ－Ｕメッセージ（例えば、図２Ｋに関して上述したようなものなど、Ｎ４セッション確立要求／応答メッセージ）を認識し、（例えば、図２Ｋに関して上述したような、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）、および／または、ネットワークアクセス識別子（ＮＡＩ）関連情報など、様々なパラメータを含むＮ４セッション確立関連メッセージでやり取りされる情報を抽出するために）セッションがＧＴＰデコーダを必要としていると結論づけ、セッションがＧＴＰデコーダを必要としていると結論づけることができる。各タイプのプロトコルについて、対応するデコーダ４１４が存在する。一実施形態において、アプリケーション識別は、アプリケーション識別モジュール（例えば、ＡＰＰ ＩＤコンポーネント／エンジン）によって実行され、ユーザ識別は、別のコンポーネント／エンジンによって実行される。ＡＰＰ ＩＤ４１２によってなされた決定に基づいて、パケットは、適切なデコーダ４１４に送信される。デコーダ４１４は、（例えば、順序通りでなく受信されうる）パケットを正確な順序にし、トークン化を実行し、（例えば、上述したのと同様の、そして、図９に関して後に詳述するような、Ｎ４セッション確立関連メッセージでやり取りされる様々な情報を抽出するために、上述したような）情報を抽出するよう構成されている。また、デコーダ４１４は、パケットに何がなされるべきかを決定するために、シグネチャマッチングを実行する。ＳＳＬ暗号化エンジン４１６は、本明細書に記載の様々な技術を用いてＳＳＬ暗号化を実行し、その後、パケットは、図に示すように転送コンポーネント４１８を用いて転送される。また、図に示すように、ポリシー４２０が受信され、管理プレーン４０２に格納される。一実施形態において、ポリシー施行（例えば、ポリシーは、ドメインおよび／またはホスト／サーバ名を用いて記述されうる１以上のルールを含んでよく、ルールは、本明細書に開示するように、監視されたＨＴＴＰ／２メッセージおよび／または監視されたＧＴＰ－ＵトラフィックのＤＰＩから抽出された様々なパラメータ／情報に基づいて、サービスプロバイダネットワーク上の加入者／ＩＰフローに対するセキュリティポリシー施行などのために、１以上のシグネチャもしくはその他のマッチング基準または経験則を適用できる）が、監視、復号、識別、および、デコードされたセッショントラフィックフローに基づいて、様々な実施形態に関して本明細書に記載するように適用される。

【0219】

また、図４に示すように、インターフェース（Ｉ／Ｆ）コミュニケータ４２２も、（例えば、（ＲＥＳＴ）ＡＰＩ、メッセージ、または、ネットワークプロトコル通信、もしくは、その他の通信メカニズムによる）セキュリティプラットフォームマネージャ通信のために提供される。一部の例において、サービスプロバイダネットワーク上の他のネットワーク要素のネットワーク通信が、ネットワークデバイス４００を用いて監視され、データプレーン４０４は、かかる通信の復号をサポートする（例えば、Ｉ／Ｆコミュニケータ４２２およびデコーダ４１４を備えたネットワークデバイス４００は、例えば、サービスベースのインターフェース（Ｎ３、Ｎ４、Ｎ９、および／または、本明細書に記載したのと同様に有線および無線ネットワークトラフィックフローが存在するその他のインターフェースなど、Ｎｓｍｆ、Ｎｎｅｆ、および、基準点インターフェースなど）を監視する、および／または、かかるインターフェース上で通信するよう構成されうる）。したがって、Ｉ／Ｆコミュニケータ４２２を備えたネットワークデバイス４００は、上述のように、および、以下で詳述するように、モバイル／サービスプロバイダネットワーク環境上のセキュリティポリシー施行のための開示技術を実施するために利用できる。

【0220】

ここで、モバイル／サービスプロバイダネットワーク環境上のＣＩｏＴのための強化セキュリティを実行するための開示技術のための処理のさらなる例について説明する。

【0221】

サービスプロバイダのための５Ｇネットワークの強化セキュリティのための処理の例

【0222】

図５は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示すフローチャートである。いくつかの実施形態において、図５に示す処理５００は、図１Ａ～図４に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理５００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0223】

処理は、工程５０２で始まる。工程５０２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－ＵおよびＨＴＴＰ／２トラフィックを監視できる。

【0224】

工程５０４で、新しいセッションに関連するユーザトラフィックのネットワークスライス情報をセキュリティプラットフォームで抽出する動作が実行される。例えば、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、ＨＴＴＰ／２メッセージをパースして、ネットワークスライス情報を抽出することができ、ここで、ネットワークスライスは、シングルネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ）によって識別される。

【0225】

工程５０６で、ネットワークスライス情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、上述したのと同様なものなど、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報の様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0226】

工程５０８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0227】

図６は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャートである。いくつかの実施形態において、図６に示す処理６００は、図１Ａ～図４に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理６００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0228】

処理は、工程６０２で始まる。工程６０２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－ＵおよびＨＴＴＰ／２トラフィックを監視できる。

【0229】

工程６０４で、新しいセッションに関連するユーザトラフィックのサブスクリプションおよび／または機器識別子情報をセキュリティプラットフォームで抽出する動作が実行される。例えば、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、ＨＴＴＰ／２メッセージをパースして、サブスクリプションおよび／または機器識別子情報を抽出することができ、ここで、サブスクリプションおよび／または機器識別子情報は、サブスクリプション永久識別子（ＳＵＰＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および／または、永久機器識別子（ＰＥＩ）によって識別される。

【0230】

工程６０６で、サブスクリプションおよび／または機器識別子情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、上述したのと同様なものなど、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報の様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0231】

工程６０８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0232】

図７は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャートである。いくつかの実施形態において、図７に示す処理７００は、図１Ａ～図４に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理７００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0233】

処理は、工程７０２で始まる。工程７０２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－ＵおよびＨＴＴＰ／２トラフィックを監視できる。

【0234】

工程７０４で、新しいセッションに関連するユーザトラフィックのネットワーク名情報をセキュリティプラットフォームで抽出する動作が実行される。例えば、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、ＨＴＴＰ／２メッセージをパースして、ネットワーク名情報を抽出することができ、ここで、ネットワーク名情報は、データネットワーク名（ＤＮＮ）によって識別される。

【0235】

工程７０６で、ネットワーク名情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、上述したのと同様なものなど、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報の様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0236】

工程７０８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0237】

図８は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークの強化セキュリティを実行するための処理を示す別のフローチャートである。いくつかの実施形態において、図８に示す処理８００は、図１Ａ～図４に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理８００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0238】

処理は、工程８０２で始まる。工程８０２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－ＵおよびＨＴＴＰ／２トラフィックを監視できる。

【0239】

工程８０４で、新しいセッションに関連するユーザトラフィックのユーザ位置情報をセキュリティプラットフォームで抽出する動作が実行される。例えば、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、ＨＴＴＰ／２メッセージをパースして、ユーザ位置情報を抽出することができ、ここで、ユーザ位置情報は、ＥｕｔｒａＬｏｃａｔｉｏｎ （例えば、トラッキングエリアＩＤ（ＴＡＩ）およびＥＣＧＩ（ＥＵＴＲＡセルＩＤ））、および／または、ＮＲＬｏｃａｔｉｏｎ（例えば、トラッキングエリアＩＤ（ＴＡＩ）およびＮＲセルＩＤ（ＮＣＧＩ））によって識別される。

【0240】

工程８０６で、ユーザ位置情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、上述したのと同様なものなど、ネットワークスライス情報、データネットワーク名（ＤＮＮ）、サブスクリプション永久識別子（ＳＵＰＩ）、永久機器識別子（ＰＥＩ）、一般公開サブスクリプション識別子（ＧＰＳＩ）、および、ユーザ位置情報の様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0241】

工程８０８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0242】

開示された実施形態に照らして明らかなように、ネットワークサービスプロバイダ／モバイル事業者（例えば、セルラーサービスプロバイダ事業体）、デバイス製造業者（例えば、自動車事業体、ＩｏＴデバイス事業体、および／または、その他のデバイス製造業者）、および／または、システムインテグレータが、５Ｇネットワークを含むモバイルネットワークに関するこれらおよびその他の技術的なネットワークセキュリティ上の課題を解決するために、開示技術を用いてセキュリティプラットフォームによって施行できるかかるセキュリティポリシーを規定することができる。

【0243】

ここで、サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための開示技術のためのさらなる処理の例について記載する。

【0244】

サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための処理の例

【0245】

図９は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇネットワークのマルチアクセス分散型エッジセキュリティを実行するためのパケット転送制御プロトコル（ＰＦＣＰ）セッション確立要求パケットキャプチャ（ｐｃａｐ）のスナップショットを示すスクリーンショット図である。図９を参照すると、ＰＦＣＰセッション確立要求（
ＰＦＣＰ Ｓｅｓｓｉｏｎ Ｅｓｔａｂｌｉｓｈｍｅｎｔ Ｒｅｑｕｅｓｔ）のｐｃａｐが、９０２に示されている。３ＧＰＰ ＴＳ ２９．２４４ Ｖ１５．３（例えば、セクション７．５．２を参照）に規定されるように、ＰＦＣＰセッション確立要求は、ユーザプレーン（ＵＰ）機能内に新しいＰＦＣＰセッションコンテキストを確立するために制御プレーン（ＣＰ）機能によってＳｘａ、Ｓｘｂ、Ｓｘｃ、および、Ｎ４インターフェース上で送信される。３ＧＰＰ ＴＳ ２９．２４４ Ｖ１５．３（例えば、セクション７．５．３を参照）に規定されるように、ＰＦＣＰセッション確立応答（ＰＦＣＰ Ｓｅｓｓｉｏｎ Ｅｓｔａｂｌｉｓｈｍｅｎｔ Ｒｅｓｐｏｎｓｅ）は、ＰＦＣＰセッション確立要求への応答として、ＵＰ機能によってＳｘａ、Ｓｘｂ、Ｓｘｃ、および、Ｎ４インターフェース上でＣＰ機能へ送信される。セッション確立要求およびセッション確立応答メッセージの情報要素およびフォーマットは、３ＧＰＰ ＴＳ ２９．２４４ Ｖ１５．３に規定されている（例えば、情報要素を含む「ＰＦＣＰセッション確立要求」メッセージ詳細の詳細についてはセクション７．５．２を、そして、情報要素を含む「ＰＦＣＰセッション確立応答」メッセージ詳細の詳細についてはセクション７．５．３を参照）。

【0246】

図１０は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための処理を示すフローチャートである。いくつかの実施形態において、図１０に示す処理１０００は、図１Ａ～図５および図９に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理１０００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0247】

処理は、工程１００２で始まる。工程１００２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－Ｕトラフィックを監視できる。

【0248】

工程１００４で、新しいセッションに関連するユーザトラフィックのサブスクリプションおよび／または機器識別子情報をセキュリティプラットフォームで抽出する動作が実行される。一実施形態において、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、パケット転送制御プロトコル（ＰＦＣＰ）セッション確立要求およびＰＦＣＰセッション確立応答メッセージをパースして、サブスクリプションおよび／または機器識別子情報を抽出できる（例えば、サブスクリプションおよび／または機器識別子情報は、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、および／または、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）関連情報によって識別される）。

【0249】

工程１００６で、サブスクリプションおよび／または機器識別子情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、同様に上述したものなど、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、および／または、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）関連情報の様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリング、ネットワークアクセス識別子（ＮＡＩ）など、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0250】

工程１００８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0251】

図１１は、いくつかの実施形態に従って、サービスプロバイダのための５Ｇモバイルネットワークのマルチアクセス分散型エッジセキュリティを実行するための処理を示す別のフローチャートである。いくつかの実施形態において、図１１に示す処理１１００は、図１Ａ～図５および図９に関して上述した実施形態など、上述したのと同様のセキュリティプラットフォームおよび技術によって実行される。一実施形態において、処理１１００は、図３に関して上述したデータアプライアンス３００、図４に関して上述したネットワークデバイス４００、仮想アプライアンス、ＳＤＮセキュリティソリューション、クラウドセキュリティサービス、および／または、本明細書に記載の上述したものの組み合わせまたは混合実装によって実行される。

【0252】

処理は、工程１１０２で始まる。工程１１０２で、新しいセッションを識別するために、サービスプロバイダネットワーク上のネットワークトラフィックをセキュリティプラットフォームで監視する動作が実行される。ここで、サービスプロバイダネットワークは、５Ｇネットワークまたは統合５Ｇネットワークを含む。例えば、セキュリティプラットフォーム（例えば、ファイアウォール、ファイアウォールの代わりに機能するネットワークセンサ、または、セキュリティポリシーを実施できる別のデバイス／コンポーネント）が、上述したのと同様にモバイルコアネットワーク上のＧＴＰ－Ｕトラフィックを監視できる。

【0253】

工程１１０４で、新しいセッションに関連するユーザトラフィックのネットワークアクセス識別子情報をセキュリティプラットフォームで抽出する動作が実行される。例えば、セキュリティプラットフォームは、上述したのと同様にＤＰＩベースのファイアウォール技術を用いて、パケット転送制御プロトコル（ＰＦＣＰ）セッション確立要求およびＰＦＣＰセッション確立応答メッセージをパースして、ネットワークアクセス識別子（ＮＡＩ）関連情報を抽出することができ、ここで、ＮＡＩは、ネットワークアクセス認証中にクライアントによって提出されるユーザＩＤに関連する。

【0254】

工程１１０６で、ネットワークアクセス識別子情報に基づいて、セキュリティプラットフォームで新しいセッションに適用するセキュリティポリシーを決定する動作が実行される。例えば、セキュリティポリシーは、ネットワークアクセス識別子（ＮＡＩ）と、同様に上述したものなど、国際モバイル加入者識別番号（ＩＭＳＩ）、国際モバイル機器識別番号（ＩＭＥＩ）、および／または、モバイル加入者ＩＳＤＮ（ＭＳＩＳＤＮ）関連情報を含むかかるＰＦＣＰセッション確立要求／応答メッセージから抽出できる他の情報との様々な組み合わせに基づいて、（例えば、および／または、アプリケーションＩＤ、ユーザＩＤ、コンテンツＩＤ、ＵＲＬフィルタリングなど、他のＤＰＩベースのファイアウォール技術と組み合わせて）、決定および／または施行されうる。

【0255】

工程１１０８で、セキュリティプラットフォームを用いて新しいセッションにセキュリティポリシーを施行する動作が実行される。例えば、様々な施行動作（例えば、許可／通過、ブロック／ドロップ、警告、タグ、監視、ログ、スロットル、アクセス制限、および／または、その他の施行動作）が、上述したのと同様にセキュリティプラットフォームを用いて実行されうる。

【0256】

開示された実施形態に照らして明らかなように、ネットワークサービスプロバイダ／モバイル事業者（例えば、セルラーサービスプロバイダ事業体）、デバイス製造業者（例えば、自動車事業体、ＩｏＴデバイス事業体、および／または、その他のデバイス製造業者）、および／または、システムインテグレータが、５Ｇネットワークを含むモバイルネットワーク上でマルチアクセス分散型エッジセキュリティを提供する際のこれらおよびその他の技術的なネットワークセキュリティ上の課題を解決するために、開示技術を用いてセキュリティプラットフォームによって施行できるかかるセキュリティポリシーを規定することができる。

【0257】

上述の実施形態は、理解しやすいようにいくぶん詳しく説明されているが、本発明は、提供された詳細事項に限定されるものではない。本発明を実施する多くの代替方法が存在する。開示された実施形態は、例示であり、限定を意図するものではない。

【図1A】

【図1B】

【図1C】

【図1D】

【図1E】

【図2A】

【図2B】

【図2C】

【図2D】

【図2E】

【図2F】

【図2G】

【図2H】

【図2I】

【図2J】

【図2K】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】