知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2024-08-19
(45)【発行日】2024-08-27
(54)【発明の名称】通信監視装置および通信監視方法
(51)【国際特許分類】
H04W 12/126 20210101AFI20240820BHJP
H04W 12/60 20210101ALI20240820BHJP
H04W 12/72 20210101ALI20240820BHJP
H04W 60/02 20090101ALI20240820BHJP
【ＦＩ】
H04W12/126
H04W12/60
H04W12/72
H04W60/02
【請求項の数】
2
(21)【出願番号】P 2024040722
(22)【出願日】2024-03-15
【審査請求日】2024-03-15
【早期審査対象出願】
(73)【特許権者】
【識別番号】397036309
【氏名又は名称】株式会社インターネットイニシアティブ
(74)【代理人】
【識別番号】100118902
【弁理士】
【氏名又は名称】山本 修
(74)【代理人】
【識別番号】100106208
【弁理士】
【氏名又は名称】宮前 徹
(74)【代理人】
【識別番号】100196508
【弁理士】
【氏名又は名称】松尾 淳一
(74)【代理人】
【識別番号】100195408
【弁理士】
【氏名又は名称】武藤 陽子
(72)【発明者】
【氏名】柿島 純
【審査官】野村 潔
(56)【参考文献】
【文献】特許第７３６７２５７（ＪＰ，Ｂ１）
【文献】米国特許第９６９９６６０（ＵＳ，Ｂ１）
【文献】中国特許出願公開第１０４７５４５７４（ＣＮ，Ａ）
【文献】山際 哲哉 Tetsuya YAMAGIWA，敵対的生成ネットワークを利用した疑似トラヒック生成に関する一考察 A Study on Pseudo Traffic Generation Using Machine Learning，電子情報通信学会技術研究報告 Ｖｏｌ．１１９ Ｎｏ．１２５ IEICE Technical Report，日本，一般社団法人電子情報通信学会 The Institute of Electronics,Information and Communication Engineers，2019年07月11日，第119巻
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｂ ７／２４－ ７／２６
Ｈ０４Ｗ ４／００－９９／００
３ＧＰＰ ＴＳＧ ＲＡＮ ＷＧ１－４
ＳＡ ＷＧ１－４
ＣＴ ＷＧ１、４
(57)【特許請求の範囲】
【請求項1】
加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを、学習済み生成器を用いて生成するように構成された生成部と、監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データを収集するように構成された収集部と、
前記監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データと、前記生成部によって生成された前記疑似履歴データとが一致するか否かを判定し、一致する場合には、前記監視対象の加入者識別子を、不正による通信が行われた恐れのある加入者識別子であると特定するように構成された判定部と、
前記判定部による判定結果および特定された加入者識別子に関する情報を提示するように構成された提示部と
を備え、
さらに、前記生成部が用いる前記学習済み生成器を、敵対的生成ネットワークの学習により構築するように構成された学習部を備え、
前記学習部は、真の履歴データである、正当な加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを生成する生成器と、前記生成器によって生成された前記疑似履歴データと前記真の履歴データとを識別する識別器とを有する前記敵対的生成ネットワークを学習し、
前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信された位置登録要求信号の送信間隔の履歴、および加入者識別子により識別されるユーザ端末から送信されたデータネットワークへのアクセス要求の送信間隔の履歴のうちの少なくともいずれかであり、
前記不正による通信とは、攻撃者が前記正当な加入者識別子を不正に入手し、前記正当な加入者識別子で識別されるユーザ端末による前記位置登録要求信号の送信間隔および前記アクセス要求の送信間隔のうちの少なくともいずれかを模した送信間隔で、前記正当な加入者識別子を用いて前記位置登録要求信号および前記アクセス要求のうちの少なくともいずれかを送信することを含む、通信監視装置。
【請求項2】
加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを、学習済み生成器を用いて生成する生成ステップと、監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データを収集する収集ステップと、
前記監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データと、前記生成ステップで生成された前記疑似履歴データとが一致するか否かを判定し、一致する場合には、前記監視対象の加入者識別子を、不正による通信が行われた恐れのある加入者識別子であると特定する判定ステップと、
前記判定ステップでの判定結果および特定された加入者識別子に関する情報を提示する提示ステップと
を備え、
さらに、前記生成ステップで用いる前記学習済み生成器を、敵対的生成ネットワークの学習により構築する学習ステップを備え、
前記学習ステップは、真の履歴データである、正当な加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを生成する生成器と、前記生成器によって生成された前記疑似履歴データと前記真の履歴データとを識別する識別器とを有する前記敵対的生成ネットワークを学習し、
前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信された位置登録要求信号の送信間隔の履歴、および加入者識別子により識別されるユーザ端末から送信されたデータネットワークへのアクセス要求の送信間隔の履歴のうちの少なくともいずれかであり、
前記不正による通信とは、攻撃者が前記正当な加入者識別子を不正に入手し、前記正当な加入者識別子で識別されるユーザ端末による前記位置登録要求信号の送信間隔および前記アクセス要求の送信間隔のうちの少なくともいずれかを模した送信間隔で、前記正当な加入者識別子を用いて前記位置登録要求信号および前記アクセス要求のうちの少なくともいずれかを送信することを含む、通信監視方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、通信監視装置および通信監視方法に関し、特に、モバイル通信ネットワークにおける不正な通信の監視技術に関する。
【背景技術】
【0002】
近年、生成ＡＩが世界的に注目されている。生成ＡＩのモデルの１つとして、敵対的生成ネットワーク（Ｇｅｎｅｒａｔｉｖｅ Ａｄｖｅｒｓａｒｒｉａｌ Ｎｅｔｗｏｒｋ：ＧＡＮ）が知られている。ＧＡＮは、実在する人物の画像データによく似た架空の人物の画像データを生成するように、用意されたデータから特徴を学習し、疑似的なデータを生成することができる生成モデルである。
【0003】
生成ＡＩはモバイル通信ネットワークにおいても活用が進むとされる一方で、モバイル通信ネットワークのセキュリティにおいて、今後、攻撃者が生成ＡＩを利用することが懸念される。特に近年、正当ユーザの加入者識別子（Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ：ＩＭＳＩ）を不正に入手し、モバイルＩＰネットワークに不正にアクセスすることで、正当ユーザに成りすまして位置登録要求信号を送信し、正当ユーザの通信などをインターセプトするいわゆるクローンＳＩＭ（Ｓｕｂｓｃｒｉｂｅｒ Ｉｄｅｎｔｉｔｙ Ｍｏｄｕｌｅ）の問題が発生している（非特許文献１、２参照）。
【0004】
このような不正な位置登録要求を検知する技術として、従来から、モバイル通信事業者ネットワーク側の制御装置への位置登録要求に含まれる基地局番号やＡＭＦ（Ａｃｃｅｓｓ ａｎｄ Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｆｕｎｃｔｉｏｎ）番号をチェックして、例えば日本と外国などの遠く離れた位置からほぼ同時に同一のＩＭＳＩでの位置登録要求がなされた場合に、不正なアクセスとして検出する技術が知られている（非特許文献１参照）。
【0005】
しかし、正当ユーザの位置から比較的近距離（例えば、日本国内）で不正な位置登録要求があった場合には、正当ユーザからの位置登録要求であるのか攻撃者からの不正な位置登録要求であるのかを見分けることが困難である。そのため、クローンＳＩＭの検知が困難であった。特に今後は、攻撃者が生成ＡＩを用いて正当ユーザからの位置登録要求と見分けることが困難な不正な位置登録要求を生成した場合の脅威に対する防御策を事前に構築することが望まれる。さらには、攻撃者が生成ＡＩを利用したことにより、従来の不正検知技術によっては正当ユーザのユーザ端末による通信であるのか不正な通信であるのかを見分けることが困難なケースであっても、より確実に不正な通信を検知することが望まれる。
【先行技術文献】
【非特許文献】
【0006】
【文献】ＧＳＭ Ａｓｓｏｃｉａｔｉｏｎ，“ＦＳ．１９ Ｄｉａｍｅｔｅｒ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｓｅｃｕｒｉｔｙ Ｖｅｒｓｉｏｎ ４．０”，０４ Ｍａｙ ２０１８．
【文献】ＧＳＭ Ａｓｓｏｃｉａｔｉｏｎ，“ＦＳ．１１－ＳＳ７ Ｉｎｔｅｒｃｏｎｎｅｃｔ Ｓｅｃｕｒｉｔｙ Ｍｏｎｉｔｏｒｉｎｇ ａｎｄ Ｆｉｒｅｗａｌｌ Ｇｕｉｄｅｌｉｎｅｓ ４．０”，０４ Ｍａｙ ２０１８．
【発明の概要】
【発明が解決しようとする課題】
【0007】
このように従来の技術では、より確実に不正な通信を検知することが困難であった。
【0008】
本発明は、上述した課題を解決するためになされたものであり、より確実に不正な通信を検知することを目的とする。
【課題を解決するための手段】
【0009】
上述した課題を解決するために、本発明に係る通信監視装置は、加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを、学習済み生成器を用いて生成するように構成された生成部と、監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データを収集するように構成された収集部と、前記監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データと、前記生成部によって生成された前記疑似履歴データとが一致するか否かを判定するように構成された判定部と、前記判定部による判定結果を提示するように構成された提示部とを備える。
【0010】
また、本発明に係る通信監視装置において、前記生成部が用いる前記学習済み生成器は、敵対的生成ネットワークの学習により構築されてもよい。
【0011】
また、本発明に係る通信監視装置において、前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信された位置登録要求信号の送信間隔の履歴であってもよい。
【0012】
また、本発明に係る通信監視装置において、前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信されたデータネットワークへのアクセス要求の送信間隔の履歴であってもよい。
【0013】
また、本発明に係る通信監視装置において、前記判定部は、前記判定結果に基づいて、不正な通信が行われている恐れのある加入者識別子を特定し、前記提示部は、特定された加入者識別子に関する情報を提示してもよい。
【0014】
上述した課題を解決するために、本発明に係る通信監視方法は、加入者識別子により識別されるユーザ端末の通信の履歴データに類似する疑似履歴データを、学習済み生成器を用いて生成する生成ステップと、監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データを収集する収集ステップと、前記監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データと、前記生成ステップで生成された前記疑似履歴データとが一致するか否かを判定する判定ステップと、前記判定ステップでの判定結果を提示する提示ステップとを備える。
【0015】
また、本発明に係る通信監視方法において、前記生成ステップで用いる前記学習済み生成器は、敵対的生成ネットワークの学習により構築されてもよい。
【0016】
また、本発明に係る通信監視方法において、前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信された位置登録要求信号の送信間隔の履歴であってもよい。
【0017】
また、本発明に係る通信監視方法において、前記通信の履歴データは、加入者識別子により識別されるユーザ端末から送信されたデータネットワークへのアクセス要求の送信間隔の履歴であってもよい。
【0018】
また、本発明に係る通信監視方法において、前記判定ステップは、前記判定結果に基づいて、不正な通信が行われている恐れのある加入者識別子を特定し、前記提示ステップは、特定された加入者識別子に関する情報を提示してもよい。
【発明の効果】
【0019】
本発明によれば、監視対象の加入者識別子により識別されるユーザ端末の通信の履歴データと、生成部によって生成された疑似履歴データとが一致するか否かを判定するため、より確実に不正な通信を検知することができる。
【図面の簡単な説明】
【0020】
【発明を実施するための形態】
【0021】
【0022】
［通信監視システムの構成］
まず、本発明の実施の形態に係る通信監視装置１を備える通信監視システムの概要について説明する。図１は、本発明の実施の形態に係る通信監視装置１を備える通信監視システムの構成を示すブロック図である。
まず、本発明の実施の形態に係る通信監視装置１を備える通信監視システムの概要について説明する。図１は、本発明の実施の形態に係る通信監視装置１を備える通信監視システムの構成を示すブロック図である。
【0023】
本実施の形態に係る通信監視システムは、例えば、５Ｇ通信規格に対応したモバイル通信ネットワークに設けられる。通信監視システムは、通信監視装置１、ユーザ端末２、基地局３、コアネットワーク４、およびデータネットワーク５を備える。通信監視システムは、モバイル通信ネットワークにおけるＩＭＳＩを用いた不正な通信を監視する。
【0024】
ユーザ端末２は、ＳＩＭ２０を備え、スマートホンなどの携帯通信端末、タブレット型コンピュータ、ラップトップ型コンピュータなどとして実現される。本実施の形態では複数のユーザ端末２が存在する。
【0025】
ユーザ端末２に搭載されるＳＩＭ２０には、ユーザの契約プロファイルが格納されている。ＳＩＭ２０の契約プロファイルには、ユーザの加入者識別情報が格納され、携帯電話の回線契約に割り当てられる加入者識別子であるＩＭＳＩ、加入者であるユーザの電話番号（ＭＳＩＳＤＮ：Ｍｏｂｉｌｅ Ｓｕｂｓｃｒｉｂｅｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｄｉｒｅｃｔｏｒｙ Ｎｕｍｂｅｒ）、ＳＩＭカード番号（ＩＣＣＩＤ：Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ Ｃａｒｄ Ｉｄｅｎｔｉｆｉｅｒ）等の識別情報が含まれる。ユーザ端末２は、割り当てられたＩＭＳＩによって一意に識別される。なお、実際の加入者であるユーザを正当ユーザと呼び、これに対して「不正」といった場合には、正当ユーザではない攻撃者等が正当ユーザのＩＭＳＩを用いて通信を行う場合の行為等をいう。
【0026】
基地局３は、５Ｇ通信規格に対応した無線基地局で構成され、通信エリアに在圏するユーザ端末２とコアネットワーク４との間の通信を中継する。基地局３は、バックホールリンクなどのネットワークＬを介してコアネットワーク４と接続する。
【0027】
コアネットワーク４は、通信監視装置１とＬＡＮやＷＡＮなどのネットワークＮＷを介して接続されている。コアネットワーク４は、制御プレーン（Ｃ－ｐｌａｎｅ）内のノードであるＡＭＦ４０、ＵＤＭ（Ｕｎｉｆｉｅｄ Ｄａｔａ Ｍａｎａｇｅｍｅｎｔ）４１、ＵＤＲ４２、およびユーザプレーン（Ｕ－ｐｌａｎｅ）内のＵＰＦ（Ｕｓｅｒ Ｐｌａｎｅ Ｆｕｎｃｔｉｏｎ）４３を備える。本実施の形態では、通信監視システムは複数のＵＤＲ４２および複数のＵＰＦ４３を備える。なお、コアネットワーク４が備える他の機能については図示を省略している。
【0028】
ＡＭＦ４０は、モビリティ制御機能を提供し、位置登録、ページング、およびハンドオーバ等の移動制御を行うノードである。ＵＤＭ４１は、ユーザの契約情報や認証情報を管理するノードである。
【0029】
ＵＤＲ４２は、ユーザ端末２のＩＭＳＩや在圏情報を保持した加入者プロファイルを格納するノードである。ＵＤＲ４２は、通信監視装置１との通信を行うための通信インターフェース４２ａを備える。また、ＵＤＲ４２は、ユーザ端末２のＩＭＳＩごとに送信された位置登録要求信号のタイムスタンプを送信履歴として記憶する。
【0030】
図２は、ＵＤＲ４２が備える、加入者プロファイルに含まれる通信の履歴データが記憶されたテーブル４２０である。テーブル４２０に示すように、加入者プロファイルには、ＩＭＳＩと、位置登録要求信号の送信タイムスタンプと、在圏情報としてＡＭＦ４１のアドレスとが関連付けられている。また、加入者プロファイルには、ＩＭＳＩごとの位置登録要求信号の送信タイムスタンプに基づいた、位置登録要求信号の送信間隔［ｍｓ］が履歴として記録されている。
【0031】
図１に戻り、ＵＰＦ４３は、ユーザプレーン機能であり、基地局３を含む無線アクセスネットワーク（ＲＡＮ）と、インターネットなどのデータネットワーク（ＤＮ）５との間のデータパケットを処理する。ＵＰＦ４３は、通信監視装置１との通信を行うための通信インターフェース４３ａを備える。ＵＰＦ４３は、ＩＭＳＩにより識別されるユーザ端末２から送信されたデータネットワーク５へのアクセス要求のタイムスタンプを通信の履歴データとして記憶する。
【0032】
図３は、ＵＰＦ４３が備える、データ通信ログが記憶されたテーブル４３０である。テーブル４３０に示すように、データ通信ログには、ＩＭＳＩと、セッションＩＤと、データネットワーク５へのアクセス要求のタイムスタンプとが関連付けられている。データ通信ログには、さらにタイムスタンプに基づくアクセス要求の送信間隔［ｍｓ］が履歴として記録されている。
【0033】
データネットワーク５は、コアネットワーク４の外部に設けられたインターネットなどのネットワークである。ユーザ端末２は、コアネットワーク４のＵＰＦ４３を介してデータネットワーク５にアクセスしてデータ通信を行う。
【0034】
［通信監視装置の機能ブロック］
図１に示すように、通信監視装置１は、収集部１０、学習部１１、生成部１２、判定部１３、記憶部１４、および提示部１５を備える。通信監視装置１は、学習済み生成器１１１’によって事前に生成された、正当ユーザによるＩＭＳＩを用いた通信の履歴データ、すなわち真の履歴データに類似する疑似履歴データと、不正な通信についての監視対象のＩＭＳＩを用いた通信の履歴データとが一致するか否かを判定することで不正な通信を監視する。
図１に示すように、通信監視装置１は、収集部１０、学習部１１、生成部１２、判定部１３、記憶部１４、および提示部１５を備える。通信監視装置１は、学習済み生成器１１１’によって事前に生成された、正当ユーザによるＩＭＳＩを用いた通信の履歴データ、すなわち真の履歴データに類似する疑似履歴データと、不正な通信についての監視対象のＩＭＳＩを用いた通信の履歴データとが一致するか否かを判定することで不正な通信を監視する。
【0035】
収集部１０は、監視対象のＩＭＳＩにより識別されるユーザ端末２の通信の履歴データを収集する。より詳細には、収集部１０は、コアネットワーク４のＵＤＲ４２から、ＩＭＳＩごとの加入者プロファイルに含まれる、位置登録要求信号のタイムスタンプの履歴を収集する。具体的には、収集部１０は、ＵＤＲ４２が記憶するテーブル４２０から、ＩＭＳＩごとに関連付けられた、位置登録要求信号のタイムスタンプに示される位置登録要求信号の送信間隔［ｍｓ］の履歴を収集する。
【0036】
収集部１０は、モバイル通信事業者が管理するコアネットワーク４全体に含まれる複数のＵＤＲ４２から、複数の加入者のＩＭＳＩに係るユーザ端末２から送信された位置登録要求信号の送信間隔の履歴を収集することができる。なお、監視対象のＩＭＳＩにより識別されるユーザ端末２の通信の履歴データは、攻撃者が不正に入手したＩＭＳＩによる不正な位置登録要求の履歴、あるいは後述のデータネットワーク５への不正なアクセス要求の履歴が含まれている可能性のある通信の履歴データである。
【0037】
また、収集部１０は、コアネットワーク４のＵＰＦ４３から、ＩＭＳＩごとのデータネットワーク５へのアクセス要求のタイムスタンプが示す履歴データを収集することができる。より具体的には、収集部１０は、ＵＰＦ４３が備えるテーブル４３０から、ＩＭＳＩごとのアクセス要求の送信間隔［ｍｓ］の履歴を収集することができる。なお、収集部１０は、モバイル通信事業者が管理するコアネットワーク４が備える複数のＵＰＦ４３から、複数の加入者のＩＭＳＩに係るユーザ端末２によるアクセス要求の送信間隔の履歴を収集することができる。
【0038】
なお、収集部１０は、監視対象のＩＭＳＩで識別されるユーザ端末２による通信の履歴データとは別途に、後述の学習部１１が用いる訓練データとしての通信の履歴データを収集することができる。
【0039】
学習部１１は、図４に示すように、生成器１１１および識別器１１２を有するＧＡＮを敵対的に学習させる。学習部１１の学習によって学習済み生成器１１１’が構築される。より詳細には、学習部１１は、ＩＭＳＩにより識別されるユーザ端末２の通信の履歴データ、すなわち真の履歴データに類似する疑似履歴データを生成する生成器１１１と、生成器１１１によって生成された疑似履歴データと真の履歴データとを識別する識別器１１２とを有するＧＡＮを学習する。
【0040】
図５および図６は、学習部１１が用いるＧＡＮの生成器１１１および識別器１１２のニューラルネットワーク構成を模式的に表した図である。図５に示すように、生成器１１１は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。生成器１１１は、ランダムな雑音から疑似履歴データを生成するモデルである。生成器１１１の入力ノードには、例えば、ガウス雑音のベクトルがランダムにｍ個サンプルされて入力される（ｚ１～ｚｍ）。生成器１１１は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て出力Ｇ（ｚ１）～Ｇ（ｚｎ）を出力する。
【0041】
本実施の形態では、生成器１１１は、ＵＤＲ４２が記憶する加入者プロファイルに含まれるＩＭＳＩごとの位置登録要求信号の送信間隔の履歴に類似する疑似履歴データを生成する生成器１１１Ａと、ＵＰＦ４３が記憶するデータ通信ログに含まれるＩＭＳＩごとのデータネットワーク５へのアクセス要求の送信間隔の履歴に類似する疑似履歴データを生成する生成器１１１Ｂとを備える。
【0042】
図６に示す識別器１１２は、入力層、隠れ層、および出力層を有するニューラルネットワークで構成される。図６の例では、入力として、ｍ個サンプルされた訓練データの履歴データｘ１～ｘｍが与えられる。本実施の形態では、識別器１１２は、位置登録要求信号の送信間隔の履歴に類似する疑似履歴データを生成する生成器１１１Ａに対応する識別器１１２Ａを備える。さらに、識別器１１２は、データネットワーク５へのアクセス要求の送信間隔の履歴に類似する疑似履歴データを生成する生成器１１１Ｂに対応する識別器１１２Ｂを備える。したがって、本実施の形態では、Ｃ－ｐｌａｎｅで処理される位置登録要求に係る履歴データを扱うＧＡＮと、Ｕ－ｐｌａｎｅで処理されるアクセス要求に係る履歴データを扱うＧＡＮとの２つのモデルが用意される。
【0043】
具体的には、識別器１１２Ａが入力として用いる履歴データｘ１～ｘｍは、収集部１０が事前にコアネットワーク４のＵＤＲ４２から収集した、ＩＭＳＩで識別されるユーザ端末２から送信された位置登録要求信号の送信間隔の履歴データである。入力として与えられる１セットの履歴データｘ１～ｘｍは、１つのＩＭＳＩで識別されるユーザ端末２による位置登録要求信号の送信間隔の履歴データである。図２で示したテーブル４２０の例を用いて説明すると、ＩＭＳＩ＿１に係る位置登録要求信号の送信間隔の履歴データｘ１は２０［ｍｓ］、履歴データｘ２は３０［ｍｓ］、履歴データｘ３は４０［ｍｓ］、・・・である。また、訓練データは真の履歴データであり、正当ユーザによる位置登録要求である場合が仮定されたものである。
【0044】
識別器１１２Ｂが入力として用いる履歴データｘ１～ｘｍは、収集部１０が事前にコアネットワーク４のＵＰＦ４３から収集した、ＩＭＳＩで識別されるユーザ端末２から送信されたデータネットワーク５へのアクセス要求の送信間隔の履歴データである。図３で示したテーブル４３０の例を用いて説明すると、ＩＭＳＩ＿１に係るアクセス要求の送信間隔の履歴データｘ１は２３［ｍｓ］、履歴データｘ２は４０［ｍｓ］、履歴データｘ３は３０［ｍｓ］、・・・である。
【0045】
識別器１１２は、入力と重みパラメータの積和演算および活性化関数によるしきい値処理を経て、例えば、１または０の出力を出す。識別器１１２は、入力された真の履歴データに係る訓練データを正しく真の履歴データであると識別すると出力ｙ＝１を出力する。一方、入力された疑似履歴データに係る訓練データを正しく疑似履歴データであると識別すると出力ｙ＝０を出力する。このように、識別器１１２は、生成器１１１が生成したモデル分布を真の分布である訓練データのデータ分布から区別するモデルである。したがって、学習によって構築される識別器１１２は、正当ユーザのＩＭＳＩにより識別されるユーザ端末２の通信の履歴データと、これに類似する疑似履歴データとを正しく見分けることができる。
【0046】
図４は、学習部１１によるＧＡＮの敵対的学習を説明するためのブロック図である。学習部１１が採用するＧＡＮの生成器１１１を関数Ｇ、識別器１１２を関数Ｄと表す。また、真の履歴データをｘ、識別器１１２による出力である予測値はｙと表し、正解ラベルをtと表す。正解ラベルｔは、真の履歴データに対して１、生成器１１１で生成された疑似履歴データに対して０と設定される。このとき、識別器１１２は、二値分類問題として次式（１）の交差エントロピーＥＣＥで表すことができる。
【0047】
【数1】
【0048】
上式（１）のブレース内の第１項が表すｔｎｌｎｙｎにおいて、識別器１１２の予測値ｙｎが、真の履歴データの正解ラベルｔｎ＝１の値に近づくことが望ましい。一方、ブレース内の第２項が表す（１－ｔｎ）ｌｎ（１－ｙｎ）においては、識別器１１２の予測値ｙｎが、疑似履歴データと識別する正解ラベルの値（１－ｔｎ）＝０に近づくことが望ましい。このように交差エントロピーＥＣＥは、予測値が正解ラベルの値に一致している場合に最大値となる。
【0049】
ここで、ＧＡＮを構成する生成器１１１は、パラメータｗＧ，θＧを有し、関数Ｇ（ｗＧ，θＧ）と表す。また、識別器１１２は、パラメータｗＤ，θＤを有し、関数Ｄ（ｗＤ，θＤ）と表す。上式（１）の交差エントロピーＥＣＥに基づいた生成器１１１と識別器１１２とを備えるＧＡＮの目的関数Ｅは、次式（２）で表すことができる。
【数2】
【0050】
上式（２）の第１項が表すＥＤ（ｘ）＝１ｌｎＤ（ｗＤ，θＤ）は、識別器１１２が真の履歴データを真の履歴データであると識別する期待値である。上式（２）の第２項が表すＥＤ（ｘ）＝０ｌｎ（１－Ｄ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ））は、生成器１１１により生成された疑似履歴データを識別器１１２が疑似履歴データであると識別する期待値である。ＧＡＮの学習では、目的関数Ｅのｍｉｎ－ｍａｘ最適化により、生成器１１１と識別器１１２とを敵対的に学習する。したがって、識別器１１２をだますような疑似履歴データを生成できるように生成器１１１を学習し、生成器１１１が生成した疑似履歴データを疑似履歴データであると識別するように識別器１１２を学習する。
【0051】
識別器１１２の学習では、真の履歴データが与えられた場合に、識別器１１２がｙ＝１に近い出力を出すことで、上式（２）の目的関数Ｅの第１項を最大化する。一方、疑似履歴データが与えられた場合に、識別器１１２がｙ＝０に近い出力を出すことで目的関数Ｅの第２項を最大化するように学習が行われる。
【0052】
生成器１１１の学習では、上式（２）のＤ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ）（図４のＤ（Ｇ（ｚ）））が１に近くなるようなＧ（ｗＧ，θＧ）（図４のＧ（ｚ））を出力することで、目的関数Ｅを最小化する。学習部１１は、生成器１１１のパラメータと識別器１１２のパラメータとを交互に更新する学習手順を用いる。なお、学習部１１による生成器１１１および識別器１１２の学習手順の詳細は後述する。
【0053】
学習部１１は、ＧＡＮの目的関数Ｅが最適化されると、学習済み生成器１１１’を生成部１２に渡す。
【0054】
生成部１２は、ＧＡＮの学習により構築された学習済み生成器１１１’を備える。生成部１２は、学習済み生成器１１１’を用いて、ＩＭＳＩで識別されるユーザ端末２による通信の履歴データに類似する疑似履歴データを生成する。
【0055】
図８は、生成部１２が学習済み生成器１１１’を用いて生成した疑似履歴データを説明するための図である。図８のテーブル１２０に示すように、疑似履歴データは、学習済み生成器１１１’から出力された疑似履歴データＧ（ｚ１），Ｇ（ｚ２），Ｇ（ｚ３），…，Ｇ（ｚｎ）と識別番号ＩＤとが関連付けられたデータである。なお、本実施の形態では、実際には位置登録要求信号に係る学習済み生成器１１１Ａ’およびデータネットワーク５へのアクセス要求に係る学習済み生成器１１１Ｂ’のそれぞれで生成された疑似履歴データを記憶する２つのテーブル１２０が設けられる。
【0056】
判定部１３は、収集部１０によって収集された、監視対象のＩＭＳＩにより識別されるユーザ端末２の通信の履歴データと、生成部１２によって生成された疑似履歴データとが一致するか否かを判定する。より詳細には、判定部１３は、不正な通信を監視する対象のＩＭＳＩに関連付けられた通信の履歴データ、例えば、図２のテーブル４２０の例では、「ＩＭＳＩ＿１」に、２０［ｍｓ］、３０［ｍｓ］、４０［ｍｓ］、・・・が対応付けられている履歴データと、疑似履歴データＧ（ｚ１），Ｇ（ｚ２），Ｇ（ｚ３），…，Ｇ（ｚｎ）とを比較する。
【0057】
具体的には、判定部１３は、判定処理の前に、監視対象のＩＭＳＩごとの通信の履歴データのうち、ＩＭＳＩが重複する履歴データを抽出し、ＩＭＳＩの重複があった履歴データに対してのみ、疑似履歴データとの一致の有無を判定することができる。
【0058】
また、判定部１３は、判定結果に基づいて、不正な通信がおこなわれているおそれのあるＩＭＳＩを特定する。具体的には、判定部１３は、収集部１０によって収集された監視対象のＩＭＳＩに係る通信の履歴データが、疑似履歴データと一致する場合には、該当するＩＭＳＩを、不正による通信が行われた恐れのあるＩＭＳＩであると特定することができる。
【0059】
記憶部１４は、学習済み生成器１１１’、および学習済み生成器１１１’によって生成された疑似履歴データを記憶する。
【0060】
提示部１５は、判定部１３による判定結果を提示する。より詳細には、提示部１５は、不正な通信が行われた恐れがあるとして特定されたＩＭＳＩの情報を、ＵＤＲ４２およびＵＰＦ４３に通知することができる。
【0061】
［通信監視装置のハードウェア構成］
次に、上述した機能を有する通信監視装置１を実現するハードウェア構成の一例について、図７を用いて説明する。
次に、上述した機能を有する通信監視装置１を実現するハードウェア構成の一例について、図７を用いて説明する。
【0062】
図７に示すように、通信監視装置１は、例えば、バス１０１を介して接続されるプロセッサ１０２、主記憶装置１０３、通信インターフェース１０４、補助記憶装置１０５、入出力Ｉ／Ｏ１０６を備えるコンピュータと、これらのハードウェア資源を制御するプログラムによって実現することができる。また、通信監視装置１は、バス１０１を介して接続される表示装置１０７を備えることができる。
【0063】
主記憶装置１０３には、プロセッサ１０２が各種制御や演算を行うためのプログラムが予め格納されている。プロセッサ１０２と主記憶装置１０３とによって、図１に示した収集部１０、学習部１１、生成部１２、判定部１３など通信監視装置１の各機能が実現される。
【0064】
通信インターフェース１０４は、通信監視装置１と各種外部電子機器との間をネットワーク接続するためのインターフェース回路である。
【0065】
補助記憶装置１０５は、読み書き可能な記憶媒体と、その記憶媒体に対してプログラムやデータなどの各種情報を読み書きするための駆動装置とで構成されている。補助記憶装置１０５には、記憶媒体としてハードディスクやフラッシュメモリなどの半導体メモリを使用することができる。
【0066】
補助記憶装置１０５は、通信監視装置１が実行するＧＡＮの学習プログラムおよび通信監視プログラムを格納するプログラム格納領域を有する。また、補助記憶装置１０５は、生成部１２によって生成された疑似履歴データが記憶されるテーブル１２０の格納領域を有する。補助記憶装置１０５によって、図１で説明した記憶部１４が実現される。さらには、例えば、上述したデータやプログラムなどをバックアップするためのバックアップ領域などを有していてもよい。
【0067】
入出力Ｉ／Ｏ１０６は、外部機器からの信号を入力したり、外部機器へ信号を出力したりする入出力装置である。
【0068】
表示装置１０７は、有機ＥＬディスプレイや液晶ディスプレイなどによって構成される。表示装置１０７によって、提示部１５を実現することも可能である。
【0069】
【0070】
図９は、通信監視装置１を備える通信監視システムの動作の概要を示す動作シーケンスである。まず、ＵＤＲ４２は、ＩＭＳＩごとの位置登録要求信号の送信間隔の履歴に係る通信の履歴データを含む加入者プロファイルを通信監視装置１に送信する（ステップＳ１）。通信監視装置１の収集部１０は、加入者プロファイルから、訓練データとして用いるための、ＩＭＳＩで識別されるユーザ端末２から送信された位置登録要求信号の送信間隔の履歴を通信の履歴データとして収集する（ステップＳ２）。なお、ステップＳ２で収集される履歴データは真の履歴データである。
【0071】
一方、ＵＰＦ４３は、ＩＭＳＩごとのデータネットワーク５へのアクセス要求の送信間隔の履歴を通信の履歴データとして含むデータ通信ログを通信監視装置１に送信する（ステップＳ３）。通信監視装置１の収集部１０は、データ通信ログから、訓練データとして用いるための、ＩＭＳＩによって識別されるユーザ端末２から送信されたアクセス要求の送信間隔の履歴を通信の履歴データとして収集する（ステップＳ４）。なお、ステップＳ４で収集される履歴データは真の履歴データである。
【0072】
次に、通信監視装置１の学習部１１は、生成器１１１と識別器１１２とを備えるＧＡＮの学習処理を行う（ステップＳ５）。
【0073】
図１０は、通信監視装置１が備える学習部１１によるＧＡＮの学習処理を示すフローチャートである。まず、図９のステップＳ２、Ｓ４で説明したように、収集部１０は、訓練データとして用いるための、ＩＭＳＩで識別されるユーザ端末２の通信の履歴データを真の履歴データとして収集する（ステップＳ５０）。ＩＭＳＩの数がＮ個ある場合には、Ｎ個の真の履歴データのセットが収集される。なお、前述したように、ＵＤＲ４２から収集される位置登録要求信号の送信間隔に係るＮ個の履歴データのセットと、ＵＰＦ４３から収集されるデータネットワーク５へのアクセス要求に係るＮ個の履歴データのセットとがそれぞれ用意される。また、真の履歴データは、正当ユーザのＩＭＳＩにより識別されるユーザ端末２による正当な位置登録要求やアクセス要求に係る履歴である。
【0074】
ここで、図４の学習部１１によるＧＡＮの学習処理に示すように、ステップＳ１で収集された真の履歴データは、識別器１１２を学習する際に入力される訓練データ１１４として用いられる。
【0075】
次に、学習部１１は、真の履歴データを訓練データ１１４として識別器１１２に入力し、真の履歴データを真の履歴データ（ｙ＝１）と識別するように、識別器１１２のパラメータｗＤ，θＤを学習し、更新する（ステップＳ５１）。ステップＳ５１において、学習部１１は、例えば、誤差逆伝搬法などを用いて識別器１１２に真の履歴データを学習させることができる。ステップＳ５１により、真の履歴データを真の履歴データと識別することができる識別器１１２が事前に構築される。
【0076】
次に、学習部１１は、ガウス雑音１１０を発生し、発生したガウス雑音１１０のランダムなベクトルを生成器１１１に入力として与える（ステップＳ５２）。続いて、生成器１１１は、与えられたガウス雑音１１０に基づいて、入力ｚと重みパラメータｗＧ，θＧの積和演算および活性化関数によるしきい値処理を行い、疑似履歴データＧ（ｚ）を生成する（ステップＳ５３）。
【0077】
次に、識別器１１２の学習を行う。識別器１１２の学習は、生成器１１１のパラメータｗＤ，θＤを固定して行われる。まず、学習部１１は、ステップＳ５０で収集された真の履歴データの訓練データ１１４を識別器１１２に入力として与え、上式（２）の目的関数Ｅが最大となるように、勾配ｄＥ／ｄｗＤ，ｄＥ／ｄθＤを算出し、誤差逆伝搬法などによりパラメータｗＤ，θＤを更新する（ステップＳ５４）。なお、訓練データ１１４のラベルは１（真の履歴データ）が設定されている。
【0078】
次に、学習部１１は、ステップＳ５３で生成器１１１によって生成された疑似履歴データを識別器１１２に入力として与え、上式（２）の目的関数Ｅが最大となるように、勾配ｄＥ／ｄｗＤ，ｄＥ／ｄθＤを算出し、誤差逆伝搬法などによりパラメータｗＤ，θＤを更新する（ステップＳ５５）。すなわち、ステップＳ５４およびステップＳ５５では、上式（２）の目的関数Ｅを最大にするために、第１項はＤ（ｗＤ，θＤ）＝１が出力され、第２項はＤ（Ｇ（ｗＧ，θＧ），ｗＤ，θＤ）＝０となるように最適化が行われる。なお、訓練データ１１４には、ラベルは０（疑似履歴データ）が設定されている。
【0079】
ステップＳ５４およびステップＳ５５での識別器１１２の学習は、図４に示すように、識別器１１２からの出力１１３に基づいて、目的関数Ｅのブロック１１５で識別器誤差が算出され、その後、識別器１１２へ誤差逆伝搬されることを示す破線の矢印に対応する。
【0080】
次に、生成器１１１の学習を行う。生成器１１１の学習では、識別器１１２のパラメータが固定されて行われる。学習部１１は、ランダムなガウス雑音１１０を生成器１１１に与えた際に疑似履歴データが生成されるように生成器１１１を学習する。具体的には、学習部１１は、上式（２）の目的関数Ｅを最小とするために、勾配－ｄＥ／ｄｗＧ，－ｄＥ／ｄθＧを算出し、誤差逆伝搬法などによりパラメータｗＧ，θＧを更新する（ステップＳ５６）。
【0081】
ステップＳ５６での学習は、図４に示す、生成器１１１へ誤差逆伝搬されることを示す破線の矢印に対応する。すなわち、ステップＳ５６は、図４の生成器１１１で生成された疑似履歴データが識別器１１２に入力され、その出力１１３から目的関数Ｅのブロック１１５で生成器誤差が算出され、さらには、生成器１１１へ誤差逆伝搬される破線矢印に対応する。
【0082】
その後、目的関数Ｅの値がナッシュ均衡に到達して収束するまで（ステップＳ５７：ＮＯ）、ステップＳ５３からステップＳ５６までの識別器１１２および生成器１１１の学習が繰り返し行われる。一方、目的関数Ｅの値が収束した場合（ステップＳ５７：ＹＥＳ）、Ｎ個の真の履歴データのうち、残りのＮ－１個の真の履歴データを用いて、生成器１１１および識別器１１２の学習が行われるまで（ステップＳ５８：ＮＯ）、ステップＳ５１からステップＳ５７までの処理が繰り返される。なお、ステップＳ５１からステップＳ５７では、位置登録要求信号の履歴データを扱う生成器１１１Ａおよび識別器１１２Ａ、ならびにデータネットワーク５へのアクセス要求の履歴データを扱う生成器１１１Ｂおよび識別器１１２Ｂをそれぞれ学習する。
【0083】
その後、残りのＮ－１個の真の履歴データを用いて生成器１１１および識別器１１２の学習が行われた場合（ステップＳ５８：ＹＥＳ）、学習部１１は、学習済み生成器１１１’を記憶部１４に記憶する（ステップＳ５９）。具体的には、学習部１１は、位置登録要求信号の履歴データを扱う学習済み生成器１１１Ａ’およびデータネットワーク５へのアクセス要求の履歴データを扱う学習済み生成器１１１Ｂ’をそれぞれ記憶部１４に記憶する。以上のステップＳ５０からステップＳ５９までの処理によって学習済み生成器１１１’が構築される。
【0084】
次に、図９のシーケンス図に戻り、生成部１２は、学習処理に係るステップＳ５で得られた学習済み生成器１１１’を用いて、ＩＭＳＩで識別されるユーザ端末２による通信の履歴データに類似する疑似履歴データを生成する（ステップＳ６）。ステップＳ６では、生成部１２は、学習済み生成器１１１Ａ’、１１１Ｂ’のそれぞれを用いて疑似履歴データを生成する。
【0085】
次に、記憶部１４は、ステップＳ６で生成された疑似履歴データを記憶する（ステップＳ７）。記憶部１４は、図８の疑似履歴データと識別番号ＩＤとを関連付けたテーブル１２０を記憶することができる。また、学習済み生成器１１１Ａ’および学習済み生成器１１１Ｂ’のそれぞれで生成された疑似履歴データのテーブル１２０がそれぞれ記憶部１４に記憶される。
【0086】
ステップＳ７で学習済み生成器１１１’を記憶部１４に記憶してから設定された期間の経過後、ＵＤＲ４２は、監視対象のＩＭＳＩごとの位置登録要求信号の履歴データを含む加入者プロファイルを通信監視装置１へ送信する（ステップＳ８）。通信監視装置１の収集部１０は、ＵＤＲ４２が記憶する加入者プロファイルから、監視対象のＩＭＳＩごとの位置登録要求信号の送信間隔の履歴を通信の履歴データとして収集する（ステップＳ９）。
【0087】
同様に、ステップＳ７で学習済み生成器１１１’を記憶部１４に記憶してから設定された期間の後、ＵＰＦ４３は、監視対象のＩＭＳＩごとのデータネットワーク５へのアクセス要求の送信間隔の履歴を通信の履歴データを含むデータ通信ログを通信監視装置１へ送信する（ステップＳ１０）。通信監視装置１の収集部１０は、データ通信ログから、監視対象のＩＭＳＩごとのアクセス要求の送信間隔の履歴を通信の履歴データとして収集する（ステップＳ１１）。設定された期間としては、１か月や１年などの任意の期間を採用することができ、また、学習済み生成器１１１’を構築後、一定期間が経ってから、１か月周期や１年周期など、定期的に監視対象の通信の履歴データを収集することもできる。
【0088】
次に、判定部１３は、ステップＳ９、Ｓ１１でそれぞれ収集された監視対象のＩＭＳＩで識別されるユーザ端末２による通信の履歴データと、ステップＳ７で記憶部１４に記憶された、学習済み生成器１１１’で生成された疑似履歴データとが一致するか否かを判定する（ステップＳ１２）。
【0089】
より具体的には、判定部１３は、ステップＳ１２において、ステップＳ９、Ｓ１１でそれぞれ収集された監視対象のＩＭＳＩについての通信の履歴データにおいて、重複するＩＭＳＩによる履歴データが存在する場合には、そのような重複するＩＭＳＩに係る通信の履歴データを予め抽出することができる。さらに、判定部１３は、抽出された重複するＩＭＳＩに係る通信の履歴データと、疑似履歴データとの一致の有無を判定することができる。
【0090】
さらに、判定部１３は、ステップＳ９で収集された監視対象のＩＭＳＩによる位置登録要求信号に係る通信の履歴データと、記憶部１４に記憶されている学習済み生成器１１１Ａ’で生成された疑似履歴データとの一致の有無を判定する。また、判定部１３は、ステップＳ１１で収集された監視対象のＩＭＳＩによるデータネットワーク５へのアクセス要求に係る通信の履歴データと、記憶部１４に記憶されている学習済み生成器１１１Ｂ’で生成された疑似履歴データとの一致の有無を判定する。
【0091】
その後、判定部１３は、ステップＳ１２での判定結果において、一致すると判定された通信の履歴データに関連付けられたＩＭＳＩを、不正による通信が行われた恐れのあるＩＭＳＩであると特定する（ステップＳ１３）。具体的には、判定部１３は、ステップＳ１２において、監視対象のＩＭＳＩ（例えば、ＩＭＳＩ＿１）で識別されるユーザ端末２により送信された位置登録要求信号の送信間隔の履歴データと、記憶部１４に記憶されている学習済み生成器１１１Ａ’で生成された疑似履歴データとが一致する場合、当該監視対象のＩＭＳＩ＿１が、不正な位置登録要求を行った恐れのあるＩＭＳＩであるとして特定する。
【0092】
同様に、判定部１３は、ステップＳ１２において、監視対象のＩＭＳＩ（例えば、ＩＭＳＩ＿１）で識別されるユーザ端末２によるデータネットワーク５へのアクセス要求の送信間隔の履歴データと、記憶部１４に記憶されている学習済み生成器１１１Ｂ’で生成された疑似履歴データとが一致する場合、当該監視対象のＩＭＳＩ＿１が、データネットワーク５への不正なアクセス要求を行った恐れのあるＩＭＳＩであると特定する。
【0093】
ステップ１２およびステップ１３により、疑似履歴データが示す位置登録要求信号やアクセス要求の送信タイミングと極めて近いＩＭＳＩが、不正な位置登録要求やアクセス要求を行ったＩＭＳＩであると特定されることになる。
【0094】
その後、提示部１５は、ステップＳ１３で特定されたＩＭＳＩに係る情報を通知する（ステップＳ１４）。例えば、ステップＳ１３において、不正な位置登録要求を行った恐れのあるＩＳＭＩとして特定されたＩＭＳＩ＿１の情報を、提示部１５は、ネットワークＮＷを介してＵＤＲ４２に通知する。また、ステップＳ１３において、不正なアクセス要求を行った恐れのあるＩＭＳＩであると特定されたＩＭＳＩ＿１の情報を、提示部１５は、ネットワークＮＷを介してＵＰＦ４３に通知する。
【0095】
続いて、通知を受けたＵＤＲ４２は、ＩＭＳＩ＿１に対して位置登録要求を拒否する（ステップＳ１５）。一方、通知を受けたＵＰＦ４３は、ＩＭＳＩ＿１に対して通信切断処理を行う（ステップＳ１６）。
【0096】
以上説明したように、本実施の形態に係る通信監視装置１によれば、予め構築された学習済み生成器１１１’によって、ＩＭＳＩで識別されるユーザ端末２による通信の履歴データに類似する疑似履歴データを生成し、監視対象であるＩＭＳＩで識別されるユーザ端末２による通信の履歴データと一致するか否かを判定する。そのため、より確実に不正な通信を検知することができる。
【0097】
また、本実施の形態に係る通信監視装置１によれば、監視対象であるＩＭＳＩによって識別されるユーザ端末２から送信された位置登録要求信号の送信間隔の履歴データと、学習済み生成器１１１’によって生成された疑似履歴データとの一致の有無を判定する。そのため、同一のＩＭＳＩを用いて、同様の時刻のタイミングで位置登録要求があった場合でも、不正な位置登録要求を検知することができる。特に、日本国内の正当ユーザの位置から比較的近い距離で同一のＩＭＳＩを用いた位置登録要求があった場合の不正な位置登録要求を検知することができる。
【0098】
また、本実施の形態に係る通信監視装置１によれば、ＵＤＲ４２およびＵＰＦ４３の各々で記録されるＩＭＳＩに関連付けられた通信の履歴データに基づいて、ＧＡＮの学習を行う。そのため、Ｃ－ｐｌａｎｅおよびＵ－ｐｌａｎｅのそれぞれでの不正な通信の検知が可能となる。
【0099】
また、本実施の形態に係る通信監視装置１によれば、正当ユーザによる通信の履歴データの特徴を学習し、疑似履歴データを生成する学習済み生成器１１１’を事前に構築して記憶部１４に記憶する。そのため、将来、攻撃者が生成ＡＩを用いて正当な位置登録要求信号やアクセス要求の送信タイミングと区別することが困難な送信タイミングでの不正な通信を行う場合の脅威に対する事前の防御策を講ずることができる。さらには、正当ユーザの通信の送信間隔を模した不正な通信によるコアネットワーク４へのＤＤｏＳ攻撃やクローンＳＩＭなどのなりすましを、より効率的に防御できる。
【0100】
なお、上述の実施の形態では、５Ｇに準拠する通信監視システムである場合を例示したが、４Ｇ／ＬＴＥや６Ｇ等に準拠する通信監視システムであってもよい。
【0101】
以上、本発明の通信監視装置および通信監視方法における実施の形態について説明したが、本発明は説明した実施の形態に限定されるものではなく、請求項に記載した発明の範囲において当業者が想定し得る各種の変形を行うことが可能である。
【符号の説明】
【0102】
１…通信監視装置、１０…収集部、１１…学習部、１２…生成部、１３…判定部、１４…記憶部、１５…提示部、２…ユーザ端末、２０…ＳＩＭ、３…基地局、４…コアネットワーク、４０…ＡＭＦ、４１…ＵＤＭ、４２…ＵＤＲ、４３…ＵＰＦ、５…データネットワーク、１０１…バス、１０２…プロセッサ、１０３…主記憶装置、４２ａ、４３ａ、１０４…通信インターフェース、１０５…補助記憶装置、１０６…入出力Ｉ／Ｏ、１０７…表示装置、１１０…雑音、１１１、１１１Ａ、１１１Ｂ…生成器、１１２、１１２Ａ、１１２Ｂ…識別器、１１１’、１１１Ａ’、１１１Ｂ’…学習済み生成器、１１３…出力、１１４…訓練データ、１１５…目的関数Ｅのブロック、４２０、４３０、１２０…テーブル、Ｌ、ＮＷ…ネットワーク。
【要約】
【課題】より確実に不正な通信を検知することを目的とする。
【解決手段】
通信監視装置１は、加入者識別子により識別されるユーザ端末２の通信の履歴データに類似する疑似履歴データを、学習済み生成器１１１’を用いて生成する生成部１２と、監視対象の加入者識別子により識別されるユーザ端末２の通信の履歴データを収集する収集部１０と、監視対象の加入者識別子により識別されるユーザ端末２の通信の履歴データと、生成部１２によって生成された疑似履歴データとが一致するか否かを判定するように構成された判定部１３と、判定部１３による判定結果を提示するように構成された提示部１５とを備える。
【選択図】図１
【解決手段】
通信監視装置１は、加入者識別子により識別されるユーザ端末２の通信の履歴データに類似する疑似履歴データを、学習済み生成器１１１’を用いて生成する生成部１２と、監視対象の加入者識別子により識別されるユーザ端末２の通信の履歴データを収集する収集部１０と、監視対象の加入者識別子により識別されるユーザ端末２の通信の履歴データと、生成部１２によって生成された疑似履歴データとが一致するか否かを判定するように構成された判定部１３と、判定部１３による判定結果を提示するように構成された提示部１５とを備える。
【選択図】図１
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
