特表 2023-508567 ダイアメータエージェントおよび信号転送ポイント（ＳＴＰ）を使用して間接的な汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコル（ＧＴＰ）ファイアウォールフィルタリングを実行するための方法、システムおよびコンピュータ読取可能媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-03-02

(54)【発明の名称】ダイアメータエージェントおよび信号転送ポイント（ＳＴＰ）を使用して間接的な汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコル（ＧＴＰ）ファイアウォールフィルタリングを実行するための方法、システムおよびコンピュータ読取可能媒体

(51)【国際特許分類】

   H04W 12/12 20210101AFI20230222BHJP

   H04W 12/72 20210101ALI20230222BHJP

   H04W 12/63 20210101ALI20230222BHJP

【ＦＩ】

H04W12/12

H04W12/72

H04W12/63

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2022540480

(86)(22)【出願日】2020-12-17

(85)【翻訳文提出日】2022-08-24

(86)【国際出願番号】 US2020065763

(87)【国際公開番号】W WO2021138072

(87)【国際公開日】2021-07-08

(31)【優先権主張番号】16/732,098

(32)【優先日】2019-12-31

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】クマール，ビピン

(72)【発明者】

【氏名】マハランク，シャシキラン・バラチャンドラ

(72)【発明者】

【氏名】ラオ，ラハベンドラ・ゴパラ

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA30

5K067AA33

5K067DD17

5K067DD20

5K067HH22

(57)【要約】

間接的なＧＴＰファイアウォールフィルタリングを実行するための方法は、シグナリングメッセージルーティングノードを使用して、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出されたＩＭＳＩおよびＶＰＬＭＮ ＩＤを間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップを含む。上記方法はさらに、ＧＴＰ－Ｃメッセージに応答して生成されたＣＣＲ－Ｉメッセージを受信するステップを含む。上記方法はさらに、ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップを含む。上記方法はさらに、ＣＣＲ－Ｉメッセージから抽出されたＩＭＳＩを使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスするステップを含む。上記方法はさらに、ＩＭＳＩに対応する記録が間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断するステップを含む。上記方法はさらに、記録の中のＶＰＬＭＮ ＩＤが、ＣＣＲ－Ｉメッセージから抽出されたＶＰＬＭＮ ＩＤと一致しないことを判断するステップを含む。上記方法はさらに、記録の中のＶＰＬＭＮ ＩＤが、ＣＣＲ－Ｉメッセージから抽出されたＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、ＣＣＲ－Ｉメッセージを拒否するステップを含む。

【特許請求の範囲】

【請求項1】

間接的な汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコル（ＧＴＰ）ファイアウォールフィルタリングを実行するための方法であって、
シグナリングメッセージルーティングノードを使用して、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出された国際移動電話加入者識別子（ＩＭＳＩ）および訪問先パブリックランドモバイルネットワーク識別子（ＶＰＬＭＮ ＩＤ）を間接的ＧＴＰコア（ＧＴＰ－Ｃ）ファイアウォールフィルタリングデータベースに動的に投入するステップと、
ＧＴＰ－Ｃメッセージに応答して生成されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを受信するステップと、
前記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、
前記ＣＣＲ－Ｉメッセージから抽出された前記ＩＭＳＩを使用して前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスするステップと、
前記ＩＭＳＩに対応する記録が前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断するステップと、
前記記録の中のＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないことを判断するステップと、
前記記録の中の前記ＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、前記ＣＣＲ－Ｉメッセージを拒否するステップとを備える、方法。

【請求項2】

シグナリングメッセージルーティングノードを使用して、前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップは、前記シグナリングメッセージルーティングノードにおいて、
加入者のホームネットワークで前記加入者の位置を更新するためのダイアメータ位置更新要求（ＵＬＲ）メッセージを受信するステップと、
前記ダイアメータＵＬＲメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、
前記ダイアメータＵＬＲメッセージから抽出された前記ＩＭＳＩおよび前記ＶＰＬＭＮ ＩＤを一時的に格納するステップと、
前記加入者の前記ホームネットワークでの前記加入者の前記位置の前記更新が成功したことを判断するステップと、
前記加入者の位置の前記更新が成功したと判断したことに応答して、前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、前記ダイアメータＵＬＲメッセージから抽出された前記ＶＰＬＭＮ ＩＤを、前記ダイアメータＵＬＲメッセージから抽出された前記ＩＭＳＩと関連付けるステップとを含む、請求項１に記載の方法。

【請求項3】

前記シグナリングメッセージルーティングノードは、ダイアメータエッジエージェントを含む、先行する請求項のいずれか１項に記載の方法。

【請求項4】

前記シグナリングメッセージルーティングノードは、ダイアメータリレーエージェント（ＤＲＡ）を含む、先行する請求項のいずれか１項に記載の方法。

【請求項5】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップは、前記シグナリングメッセージルーティングノードにおいて、
加入者のホームネットワークで前記加入者の位置を更新するためのモバイルアプリケーション部（ＭＡＰ）位置更新要求メッセージを受信するステップと、
前記ＭＡＰ位置更新要求メッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、
前記ＭＡＰ位置更新要求メッセージから抽出された前記ＩＭＳＩおよび前記ＶＰＬＭＮ ＩＤを一時的に格納するステップと、
前記加入者の前記ホームネットワークでの前記加入者の前記位置の前記更新が成功したことを判断するステップと、
前記加入者の前記ホームネットワークでの前記加入者の前記位置の前記更新が成功したと判断したことに応答して、前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、前記ＶＰＬＭＮ ＩＤを、前記ＭＡＰ位置更新要求メッセージから抽出された前記ＩＭＳＩと関連付けるステップとを含む、請求項１に記載の方法。

【請求項6】

前記シグナリングメッセージルーティングノードは、信号転送ポイント（ＳＴＰ）を含む、請求項１または５に記載の方法。

【請求項7】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、前記シグナリングメッセージルーティングノードから分離されたコンピューティングプラットフォーム上にある、先行する請求項のいずれか１項に記載の方法。

【請求項8】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、前記シグナリングメッセージルーティングノードと同一場所に設置される、請求項１～６のいずれか１項に記載の方法。

【請求項9】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、前記シグナリングメッセージルーティングノードおよびホームロケーションレジスタ（ＨＬＲ）またはホーム加入者サーバ（ＨＳＳ）から分離されたコンピューティングプラットフォーム上に位置する、請求項１～７のいずれか１項に記載の方法。

【請求項10】

モビリティ管理シグナリングメッセージから抽出された国際移動体装置識別子（ＩＭＥＩ）を前記ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップと、
前記ＣＣＲ－ＩメッセージからＩＭＥＩ値を抽出するステップと、
前記ＧＴＰ－Ｃファイアウォールフィルタリングデータベース内の前記ＩＭＥＩを使用して、前記ＣＣＲ－Ｉメッセージをスクリーニングするステップとをさらに備える、先行する請求項のいずれか１項に記載の方法。

【請求項11】

間接的な汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコル（ＧＴＰ）ファイアウォールフィルタリングを実行するためのシステムであって、
間接的ＧＴＰコア（ＧＴＰ－Ｃ）ファイアウォールフィルタリングデータベースと、
少なくとも１つのシグナリングメッセージルーティングノードとを備え、前記少なくとも１つのシグナリングメッセージルーティングノードは、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出された国際移動電話加入者識別子（ＩＭＳＩ）および訪問先パブリックランドモバイルネットワーク識別子（ＶＰＬＭＮ ＩＤ）を前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入し、ＧＴＰ－Ｃメッセージに応答して生成されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを受信し、前記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、前記ＣＣＲ－Ｉメッセージから抽出された前記ＩＭＳＩを使用して前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスし、前記ＩＭＳＩに対応する記録が前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断し、前記記録の中のＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないことを判断し、前記記録の中の前記ＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、前記ＣＣＲ－Ｉメッセージを拒否するように構成される、システム。

【請求項12】

前記少なくとも１つのシグナリングメッセージルーティングノードは、
ダイアメータ位置更新要求（ＵＬＲ）メッセージを受信し、
前記ダイアメータＵＬＲメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、
前記ダイアメータＵＬＲメッセージから抽出された前記ＩＭＳＩおよび前記ＶＰＬＭＮ ＩＤを一時的に格納し、
前記加入者の位置の前記更新が成功したことを判断し、
前記加入者の位置の前記更新が成功したと判断したことに応答して、前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、前記ダイアメータＵＬＲメッセージから抽出された前記ＶＰＬＭＮ ＩＤを、前記ダイアメータＵＬＲメッセージから抽出された前記ＩＭＳＩと関連付ける、
ことによって前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するように構成される、請求項１１に記載のシステム。

【請求項13】

前記少なくとも１つのシグナリングメッセージルーティングノードは、ダイアメータエッジエージェントを含む、請求項１２に記載のシステム。

【請求項14】

前記少なくとも１つのシグナリングメッセージルーティングノードは、ダイアメータリレーエージェント（ＤＲＡ）を含む、請求項１１～１３のいずれか１項に記載のシステム。

【請求項15】

前記少なくとも１つのシグナリングメッセージルーティングノードは、
モバイルアプリケーション部（ＭＡＰ）位置更新要求メッセージを受信し、
前記ＭＡＰ位置更新要求メッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、
前記ＭＡＰ位置更新要求メッセージから抽出された前記ＩＭＳＩおよび前記ＶＰＬＭＮ ＩＤを一時的に格納し、
前記加入者の位置の前記更新が成功したことを判断し、
前記加入者の位置の前記更新が成功したと判断したことに応答して、前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、前記ＶＰＬＭＮ ＩＤを、前記ＭＡＰ位置更新要求メッセージから抽出された前記ＩＭＳＩと関連付ける、
ことによって前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するように構成される、請求項１１に記載のシステム。

【請求項16】

前記少なくとも１つのシグナリングメッセージルーティングノードは、
前記ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するための信号転送ポイント（ＳＴＰ）と、
前記ＧＴＰ－Ｃメッセージに応答して生成された前記ＣＣＲ－Ｉメッセージを受信し、前記ＣＣＲ－Ｉメッセージから前記ＩＭＳＩおよび前記ＶＰＬＭＮ ＩＤを抽出し、前記ＣＣＲ－Ｉメッセージから抽出された前記ＩＭＳＩを使用して前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスし、前記ＩＭＳＩに対応する記録が前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断し、前記記録の中の前記ＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないことを判断し、前記記録の中の前記ＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、前記ＣＣＲ－Ｉメッセージを拒否するためのダイアメータエージェントとを備える、請求項１１または１５に記載のシステム。

【請求項17】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、前記少なくとも１つのシグナリングメッセージルーティングノードと同一場所に設置される、請求項１１～１６のいずれか１項に記載のシステム。

【請求項18】

前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、前記少なくとも１つのシグナリングメッセージルーティングノードおよびホームロケーションレジスタ（ＨＬＲ）またはホーム加入者サーバ（ＨＳＳ）から分離されたコンピューティングプラットフォーム上に位置する、請求項１１～１６のいずれか１項に記載のシステム。

【請求項19】

前記少なくとも１つのシグナリングメッセージルーティングノードは、
モビリティ管理シグナリングメッセージから抽出された国際移動体装置識別子（ＩＭＥＩ）を前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入し、
前記ＣＣＲ－ＩメッセージからＩＭＥＩ値を抽出し、
前記ＧＴＰ－Ｃファイアウォールフィルタリングデータベース内の前記ＩＭＥＩを使用して、前記ＣＣＲ－Ｉメッセージをスクリーニングするように構成される、請求項１１～１８のいずれか１項に記載のシステム。

【請求項20】

実行可能な命令が格納された非一時的なコンピュータ読取可能媒体であって、前記命令は、コンピュータのプロセッサによって実行されると、ステップを実行するように前記コンピュータを制御し、前記ステップは、
シグナリングメッセージルーティングノードを使用して、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出された国際移動電話加入者識別子（ＩＭＳＩ）および訪問先パブリックランドモバイルネットワーク識別子（ＶＰＬＭＮ ＩＤ）を間接的汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコルコア（ＧＴＰ－Ｃ）ファイアウォールフィルタリングデータベースに動的に投入するステップと、
ＧＴＰ－Ｃメッセージに応答して生成されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを受信するステップと、
前記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、
前記ＣＣＲ－Ｉメッセージから抽出された前記ＩＭＳＩを使用して前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスするステップと、
前記ＩＭＳＩに対応する記録が前記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断するステップと、
前記記録の中のＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないことを判断するステップと、
前記記録の中の前記ＶＰＬＭＮ ＩＤが、前記ＣＣＲ－Ｉメッセージから抽出された前記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、前記ＣＣＲ－Ｉメッセージを拒否するステップとを備える、非一時的なコンピュータ読取可能媒体。

【発明の詳細な説明】

【技術分野】

【0001】

優先権主張
本願は、２０１９年１２月３１日に出願された米国特許出願番号第１６／７３２，０９８号の優先権利益を主張し、米国特許出願番号第１６／７３２，０９８号の開示は、全文が引用によって本明細書に援用される。

【0002】

技術分野
本明細書に記載されている主題は、ＧＴＰコア（ＧＴＰ－Ｃ）シグナリングトラフィックのためのファイアウォール機能を実行することに関する。より特定的には、本明細書に記載されている主題は、ＧＴＰ－Ｃローミングシグナリングを遮ることなく１つまたは複数のダイアメータエージェントおよびＳＴＰを使用して不正ベースの攻撃を防止するために間接的なＧＴＰファイアウォールフィルタリングを実行するための方法、システムおよびコンピュータ読取可能媒体に関する。

【背景技術】

【0003】

背景
ＧＴＰは、グローバル・システム・フォー・モバイル・コミュニケーションズ（ＧＳＭ（登録商標））、ユニバーサル移動体通信システム（ＵＭＴＳ）、ロングタームエボリューション（ＬＴＥ）および５Ｇネットワーク内でＧＰＲＳトラフィックを搬送するために使用されるＩＰベースの通信プロトコルの群である。ＧＴＰ－Ｃは、エボルブド・パケット・コア（ＥＰＣ）ネットワーク内で、サービングゲートウェイ（ＳＧＷ）とパケットゲートウェイ（ＰＧＷ）との間のシグナリングに使用される。サービングゲートウェイ機能情報をＰＧＷに伝達するため、ＧＴＰトンネルを作成、更新および削除するため、ならびにパス管理のために、ＧＴＰ－ＣコントロールプレーンメッセージがＳＧＷとＰＧＷとの間でやりとりされる。

【発明の概要】

【発明が解決しようとする課題】

【0004】

ＰＧＷは、インターネットトラフィックで使用されるので、アウトバウンドローミング加入者に仕えるＳＧＷになりすましているノードから不正ベースの攻撃を受ける可能性がある。アウトバウンドローミング加入者は、別のサービスプロバイダのネットワーク内でローミングしているサービスプロバイダのネットワークの加入者である。アウトバウンドローミング加入者は、別のネットワークの加入者がサービスプロバイダのホームネットワーク内でローミングしているインバウンドローミング加入者と区別することができる。アウトバウンドモバイル加入者に関連するシグナリングは特に、不正ベースの攻撃を受けやすい。なぜなら、特定の加入者に仕えるサービングゲートウェイまたはモビリティ管理エンティティ（ＭＭＥ）になりすましている攻撃者は、加入者の国際移動電話加入者識別番号（ＩＭＳＩ）を使用して加入者になりすますことができ、ＩＭＳＩは取得するのが難しくないからである。攻撃者は、実際の加入者のＩＭＳＩを使用して、パケットゲートウェイとのＧＴＰセッションを確立し、最低でも実際の加入者へのサービスを拒絶し得る。また、攻撃者は、加入者のホームネットワークから加入者情報を取得することもし得る。このような攻撃を防ぐ１つの可能な方法は、ホームネットワークのＰＧＷにおいてＧＴＰ－Ｃファイアウォール機能を実行するというものである。しかし、ＰＧＷにおいてＧＴＰ－Ｃファイアウォール機能を実行することは、ネットワーク上に配備され得るＰＧＷの数の観点からネットワークオペレータにとって負担になり、ＰＧＷの処理リソースにとっても負担になる可能性がある。たとえば、ＰＧＷは、ＧＴＰ－Ｃメッセージをスクリーニングするために備え付けられる場合には、ホーム加入者サーバ（ＨＳＳ）と連絡をとって、加入者がローミングアウトしているか否かを確認し、次いで当該ローミングネットワークの特定のＭＭＥまたはサービングゲートウェイ（ＳＧＷ）からのＧＴＰ－Ｃセッションを許可するか否かを判断しなければならないであろう。このような処理は、ＰＧＷにとってもＨＳＳにとっても負担になるであろう。ＰＧＷは、ＧＴＰ－Ｃシグナリングを遮って、ＨＳＳに照会して、ＨＳＳから応答を受信して、この応答に基づいてＧＴＰセッションを許可するか否かを判断しなければならないであろう。これは、ＰＧＷとＨＳＳとの間には既存の規格によって規定されたインターフェイスがないので、非標準的なＰＧＷ挙動であろう。ＨＳＳは、ネットワーク内のあらゆるＰＧＷからのあらゆるＧＴＰ－Ｃセッションについてクエリおよび応答を処理しなければならないであろう。

【0005】

したがって、コアネットワークノードに対する処理負担を減らすやり方で、ＧＴＰ－Ｃローミングシグナリングを遮ることなくＧＴＰファイアウォール機能を実行することが必要とされている。

【課題を解決するための手段】

【0006】

概要
間接的なＧＴＰファイアウォールフィルタリングを実行するための方法は、シグナリングメッセージルーティングノードを使用して、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出されたＩＭＳＩおよびＶＰＬＭＮ ＩＤを間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップを含む。上記方法はさらに、ＧＴＰ－Ｃメッセージに応答して生成されたＣＣＲ－Ｉメッセージを受信するステップを含む。上記方法はさらに、上記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップを含む。上記方法はさらに、上記ＣＣＲ－Ｉメッセージから抽出された上記ＩＭＳＩを使用して上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスするステップを含む。上記方法はさらに、上記ＩＭＳＩに対応する記録が上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断するステップを含む。上記方法はさらに、上記記録の中のＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないことを判断するステップを含む。上記方法はさらに、上記記録の中の上記ＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、上記ＣＣＲ－Ｉメッセージを拒否するステップを含む。

【0007】

本明細書に記載されている主題の別の局面に従って、シグナリングメッセージルーティングノードを使用して、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップは、上記シグナリングメッセージルーティングノードにおいて、ダイアメータ位置更新要求（ＵＬＲ）メッセージを受信するステップと、上記ダイアメータＵＬＲメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、上記ダイアメータＵＬＲメッセージから抽出された上記ＩＭＳＩおよび上記ＶＰＬＭＮ ＩＤを一時的に格納するステップと、上記加入者の上記位置の更新が成功したことを判断するステップと、上記加入者の位置の上記更新が成功したと判断したことに応答して、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、上記ダイアメータＵＬＲメッセージから抽出された上記ＶＰＬＭＮ ＩＤを、上記ダイアメータＵＬＲメッセージから抽出された上記ＩＭＳＩと関連付けるステップとを含む。

【0008】

本明細書に記載されている主題のさらに別の局面に従って、上記シグナリングメッセージルーティングノードは、ダイアメータエッジエージェント（ＤＥＡ）を含む。

【0009】

本明細書に記載されている主題のさらに別の局面に従って、上記シグナリングメッセージルーティングノードは、ダイアメータリレーエージェント（ＤＲＡ）を含む。

【0010】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップは、上記シグナリングメッセージルーティングノードにおいて、モバイルアプリケーション部（ＭＡＰ）位置更新要求メッセージを受信するステップと、上記ＭＡＰ位置更新要求メッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップと、上記ＭＡＰ位置更新要求メッセージから抽出された上記ＩＭＳＩおよび上記ＶＰＬＭＮ ＩＤを一時的に格納するステップと、上記加入者の位置の上記更新が成功したことを判断するステップと、上記加入者の位置の上記更新が成功したと判断したことに応答して、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、上記ＶＰＬＭＮ ＩＤを、上記ＭＡＰ位置更新要求メッセージから抽出された上記ＩＭＳＩと関連付けるステップとを含む。

【0011】

本明細書に記載されている主題のさらに別の局面に従って、上記シグナリングメッセージルーティングノードは、信号転送ポイント（ＳＴＰ）を含む。

【0012】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、上記シグナリングメッセージルーティングノードから分離されたコンピューティングプラットフォーム上で実現される。

【0013】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、上記シグナリングメッセージルーティングノードと同一場所に設置される。

【0014】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、上記シグナリングメッセージルーティングノードおよびホームロケーションレジスタ（ＨＬＲ）またはホーム加入者サーバ（ＨＳＳ）から分離されたコンピューティングプラットフォーム上に位置する。

【0015】

本明細書に記載されている主題のさらに別の局面に従って、間接的なＧＴＰ－Ｃファイアウォールフィルタリングのための方法は、モビリティ管理シグナリングメッセージから抽出された国際移動体装置識別子（ＩＭＥＩ）を上記ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するステップと、上記ＣＣＲ－ＩメッセージからＩＭＥＩ値を抽出するステップと、上記ＧＴＰ－Ｃファイアウォールフィルタリングデータベース内の上記ＩＭＥＩを使用して、上記ＣＣＲ－Ｉメッセージをスクリーニングするステップとを含む。

【0016】

本明細書に記載されている主題のさらに別の局面に従って、間接的な汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコル（ＧＴＰ）ファイアウォールフィルタリングを実行するためのシステムである。上記システムは、間接的ＧＴＰコア（ＧＴＰ－Ｃ）ファイアウォールフィルタリングデータベースを含む。上記システムはさらに、少なくとも１つのシグナリングメッセージルーティングノードを含み、上記少なくとも１つのシグナリングメッセージルーティングノードは、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出された国際移動電話加入者識別子（ＩＭＳＩ）および訪問先パブリックランドモバイルネットワーク識別子（ＶＰＬＭＮ ＩＤ）を上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入し、ＧＴＰ－Ｃメッセージに応答して生成されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを受信し、上記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、上記ＣＣＲ－Ｉメッセージから抽出された上記ＩＭＳＩを使用して上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスし、上記ＩＭＳＩに対応する記録が上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断し、上記記録の中のＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないことを判断し、上記記録の中の上記ＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、上記ＣＣＲ－Ｉメッセージを拒否するように構成される。

【0017】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、ダイアメータ位置更新要求（ＵＬＲ）メッセージを受信し、上記ダイアメータＵＬＲメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、上記ダイアメータＵＬＲメッセージから抽出された上記ＩＭＳＩおよび上記ＶＰＬＭＮ ＩＤを一時的に格納し、上記加入者の位置の上記更新が成功したことを判断し、上記加入者の位置の上記更新が成功したと判断したことに応答して、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、上記ダイアメータＵＬＲメッセージから抽出された上記ＶＰＬＭＮ ＩＤを、上記ダイアメータＵＬＲメッセージから抽出された上記ＩＭＳＩと関連付ける、ことによって上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するように構成される。

【0018】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、ダイアメータエッジエージェント（ＤＥＡ）を含む。

【0019】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、ダイアメータリレーエージェント（ＤＲＡ）を含む。

【0020】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、モバイルアプリケーション部（ＭＡＰ）位置更新要求メッセージを受信し、上記ＭＡＰ位置更新要求メッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出し、上記ＭＡＰ位置更新要求メッセージから抽出された上記ＩＭＳＩおよび上記ＶＰＬＭＮ ＩＤを一時的に格納し、上記加入者の位置の上記更新が成功したことを判断し、上記加入者の位置の上記更新が成功したと判断したことに応答して、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにおいて、上記ＶＰＬＭＮ ＩＤを、上記ＭＡＰ位置更新要求メッセージから抽出された上記ＩＭＳＩと関連付ける、ことによって上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するように構成される。

【0021】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、上記ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するための信号転送ポイント（ＳＴＰ）と、上記ＧＴＰ－Ｃメッセージに応答して生成された上記ＣＣＲ－Ｉメッセージを受信し、上記ＣＣＲ－Ｉメッセージから上記ＩＭＳＩおよび上記ＶＰＬＭＮ ＩＤを抽出し、上記ＣＣＲ－Ｉメッセージから抽出された上記ＩＭＳＩを使用して上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスし、上記ＩＭＳＩに対応する記録が上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断し、上記記録の中の上記ＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないことを判断し、上記記録の中の上記ＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、上記ＣＣＲ－Ｉメッセージを拒否するためのダイアメータエージェントとを備える。

【0022】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、上記シグナリングメッセージルーティングノードと同一場所に設置される。

【0023】

本明細書に記載されている主題のさらに別の局面に従って、上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、上記シグナリングメッセージルーティングノードおよびホームロケーションレジスタ（ＨＬＲ）またはホーム加入者サーバ（ＨＳＳ）から分離されたコンピューティングプラットフォーム上に位置する。

【0024】

本明細書に記載されている主題のさらに別の局面に従って、上記少なくとも１つのシグナリングメッセージルーティングノードは、モビリティ管理シグナリングメッセージから抽出された国際移動体装置識別子（ＩＭＥＩ）を上記ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入し、上記ＣＣＲ－ＩメッセージからＩＭＥＩ値を抽出し、上記ＧＴＰ－Ｃファイアウォールフィルタリングデータベース内の上記ＩＭＥＩを使用して、上記ＣＣＲ－Ｉメッセージをスクリーニングするように構成される。

【0025】

本明細書に記載されている主題のさらに別の局面に従って、実行可能な命令が格納された非一時的なコンピュータ読取可能媒体であって、上記命令は、コンピュータのプロセッサによって実行されると、ステップを実行するように上記コンピュータを制御する、非一時的なコンピュータ読取可能媒体が提供される。上記ステップは、シグナリングメッセージルーティングノードを使用して、アウトバウンドローミング加入者の位置を更新するための、モビリティ管理シグナリングメッセージから抽出された国際移動電話加入者識別子（ＩＭＳＩ）および訪問先パブリックランドモバイルネットワーク識別子（ＶＰＬＭＮ ＩＤ）を間接的汎用パケット無線サービス（ＧＰＲＳ）トンネリングプロトコルコア（ＧＴＰ－Ｃ）ファイアウォールフィルタリングデータベースに動的に投入するステップを含む。上記ステップはさらに、ＧＴＰ－Ｃメッセージに応答して生成されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを受信するステップを含む。上記ステップはさらに、上記ＣＣＲ－ＩメッセージからＩＭＳＩおよびＶＰＬＭＮ ＩＤを抽出するステップを含む。上記ステップはさらに、上記ＣＣＲ－Ｉメッセージから抽出された上記ＩＭＳＩを使用して上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスするステップを含む。上記ステップはさらに、上記ＩＭＳＩに対応する記録が上記間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに存在していることを判断するステップを含む。上記ステップはさらに、上記記録の中のＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないことを判断するステップを含む。上記ステップはさらに、上記記録の中の上記ＶＰＬＭＮ ＩＤが、上記ＣＣＲ－Ｉメッセージから抽出された上記ＶＰＬＭＮ ＩＤと一致しないと判断したことに応答して、上記ＣＣＲ－Ｉメッセージを拒否するステップを含む。

【0026】

本明細書に記載されている主題は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組み合わせで実現され得る。したがって、本明細書で使用される「機能」、「ノード」または「モジュール」という語は、記載されている特徴を実現するための、ソフトウェアおよび／またはファームウェアコンポーネントも含み得るハードウェアを指す。１つの例示的な実現例において、本明細書に記載されている主題は、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御する、コンピュータによって実行可能な命令が格納されたコンピュータ読取可能媒体を使用して実現され得る。本明細書に記載されている主題を実現するのに適した例示的なコンピュータ読取可能媒体は、ディスクメモリデバイス、チップメモリデバイス、プログラマブルロジックデバイスおよび特定用途向け集積回路などの非一時的なコンピュータ読取可能媒体を含む。また、本明細書に記載されている主題を実現するコンピュータ読取可能媒体は、単一のデバイスもしくはコンピューティングプラットフォーム上に位置してもよく、または複数のデバイスもしくはコンピューティングプラットフォームに分散されてもよい。

【図面の簡単な説明】

【0027】

【図1】４Ｇネットワークにおけるアウトバウンドローミング加入者がホームネットワークで位置更新プロシージャを実行するための例示的なメッセージングを示すネットワーク図である。

【図2】４Ｇネットワークにおけるアウトバウンドローミング加入者のためのＧＴＰ－Ｃセッション作成要求を検証するための例示的なメッセージングを示すネットワーク図である。

【図3】第二世代／第三世代（２Ｇ／３Ｇ）ネットワークにおけるアウトバウンドローミング加入者がホームネットワークで位置更新プロシージャを実行することに関連付けられた例示的なメッセージングを示すネットワーク図である。

【図4】２Ｇ／３Ｇネットワークにおけるアウトバウンドローミング加入者のためのＧＴＰ ＰＤＰコンテキスト作成要求を検証することに関連付けられた例示的なメッセージングを示すネットワーク図である。

【図5】ＧＴＰ－Ｃスクリーニングデータベースを作成するため、および、このデータベースを使用してＧＴＰ－Ｃシグナリングを遮ることなくＧＴＰ－Ｃファイアウォール機能を実行するためのＤＥＡ／ＤＲＡ／ＳＴＰノードの例示的なアーキテクチャを示すブロック図である。

【図6】ＧＴＰ－Ｃスクリーニングデータベースへのエントリを動的に投入するための例示的なプロセスを示すフローチャートである。

【図7】ＧＴＰ－Ｃローミングシグナリングを遮ることなくＧＴＰ－Ｃファイアウォール機能を実行するための例示的なプロセスを示すフローチャートである。

【発明を実施するための形態】

【0028】

詳細な説明
本明細書に記載されている主題は、ＤＥＡ、ＤＲＡおよび／またはＳＴＰによって投入された間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースを使用してＧＴＰ－Ｃファイアウォール機能を実行し、当該データベースを使用して、ＧＴＰ－Ｃローミングシグナリングを遮ることなくＧＴＰ－Ｃトラフィックをスクリーニングする。このようなデータベースは、攻撃者が正当なアウトバウンドローミング加入者に仕えるノードになりすまそうとする場合にＧＴＰ－Ｃシグナリングベースの不正検出を提供する。この解決策は、ＧＴＰ－Ｃローミングシグナリングトラフィックの遮断を必要としないので、ＰＧＷ実装が単純になる。本明細書に記載されている解決策は、ＧＴＰ－Ｃローミングシグナリングトラフィックに応答してＤＥＡおよびＤＲＡに送信されたダイアメータメッセージに基づいてＤＥＡおよびＤＲＡにおいて不正なＧＴＰ－Ｃローミングシグナリングトラフィックを間接的に検出する機能を提供する。ＤＥＡおよびＤＲＡは、攻撃者によって送信されたＧＴＰ－Ｃセッション作成要求に応答して生成された接続作成要求メッセージを受信し得る。ＤＥＡおよびＤＲＡは、間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに維持されたダイアメータ位置更新シグナリングトランザクションから取得される加入者ＰＬＭＮ情報、または、ＳＴＰによって間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに格納されたＳＳ７信号メッセージングトラフィックから取得される加入者ローミング情報を利用し得る。

【0029】

上記のように、ＧＴＰ－Ｃトラフィックは、セッション管理、情報管理および位置管理に使用され、ＵＥがインターネットにアクセスすることを可能にする。このようなトラフィックのための効率的なスクリーニング機構を提供することによって、ＧＴＰ－Ｃトラフィックに基づいてＰＧＷにおいてこのようなスクリーニングを実行するよりも効率的な方法でコアネットワークセキュリティが強化される。

【0030】

図１は、アウトバウンドローミング加入者が位置更新プロシージャを実行することに関連付けられた例示的なネットワークノードおよびメッセージングを示すネットワーク図である。図１を参照して、加入者が訪問先ネットワークにローミングすると、モビリティ管理エンティティ（ＭＭＥ）またはサービングＧＰＲＳサポートノード（ＳＧＳＮ）１００は、コアネットワークとのダイアメータ位置更新トランザクションを開始する。示されている例では、ＭＭＥ／ＳＧＳＮ１００は、位置更新要求を加入者のホームネットワークに送信する。位置更新要求は、ホームネットワーク内のホーム加入者サーバ（ＨＳＳ）１０２で加入者の位置を更新するよう意図されている。特に、第三世代パートナーシッププロジェクト（３ＧＰＰ（登録商標）） ＴＳ ２９．２７２によれば、位置更新プロシージャは、ＭＭＥとＨＳＳとの間およびＳＧＳＮとＨＳＳとの間で、ＨＳＳ内の位置情報を更新するのに使用される。以下に示される表１は、位置更新要求メッセージに含まれ得る例示的なパラメータを示す。

【0031】

【表1-1】

【0032】

【表1-2】

【0033】

【表1-3】

【0034】

表１において、位置更新要求メッセージは、必須のパラメータとして、加入者のＩＭＳＩと訪問先ＰＬＭＮ識別子とを含んでいることが分かる。これらのパラメータは、以下で詳細に説明するように、間接的なＧＴＰ－Ｃファイアウォールフィルタリングを実行するのに使用され得る。間接的なＧＴＰ－Ｃファイアウォールフィルタリングを実行するのに使用できるさらに他の情報要素であり得る別のパラメータは、ＩＭＥＩである。

【0035】

ＤＥＡ１０４は、ＭＭＥ／ＳＧＳＮ１００から位置更新要求メッセージを受信して、情報がＨＳＳによって検証されるまで、ＩＭＳＩ、訪問先ＰＬＭＮ（ＶＰＬＭＮ） ＩＤおよびＩＭＥＩを一時的に格納し得る。ＤＥＡ１０４が最初にこれらのパラメータをその間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに格納しない１つの理由は、位置更新要求メッセージが攻撃者によって開始される可能性があるからである。ＨＳＳによる検証が成功して初めて、ＤＥＡ１０４は、アウトバウンドローミング加入者の位置を識別するパラメータをそのＧＴＰ－Ｃスクリーニングデータベースに格納する。

【0036】

コールフロー図のステップ２において、ＤＥＡ１０４は、ＵＬＲメッセージをコアダイアメータリレーエージェント（ＤＲＡ）１０６に転送する。ステップ３において、コアＤＲＡ１０６は、Ｓ６Ａ ＵＬＡメッセージをＨＳＳ１０２に転送する。

【0037】

ＨＳＳ１０２は、ＵＬＲメッセージを検証し、検証が成功すると、ＨＳＳ１０２によって維持されているデータベース内の加入者の位置を更新し得る。ステップ４において、ＨＳＳ１０２は、加入者の位置の更新が成功したことを示す位置更新回答（ＵＬＡ）メッセージをコアＤＲＡ１０６に送信する。ステップ５において、コアＤＲＡ１０６は、Ｓ６Ａ ＵＬＡメッセージをＤＥＡ１０４に転送する。ステップ６において、ＤＥＡ１０４は、ＩＭＳＩ、ＶＰＬＭＮ ＩＤ、および任意にＵＬＲメッセージから以前に抽出されたＩＭＥＩで間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８を更新する。以下でより詳細に説明するように、間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８内の記録は、ＧＴＰ－Ｃトラフィックの遮断を必要とすることなくＧＴＰ－Ｃトラフィックをスクリーニングするのに使用される。ステップ７において、ＤＥＡ１０４は、ＵＬＡメッセージをＭＭＥ／ＳＧＳＮ１００に転送する。

【0038】

図１がＳＴＰ１１０も含んでいることにも留意されたい。ＳＴＰ１１０も、ＳＳ７シグナリングメッセージから取得された加入者位置情報を間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に動的に投入し得る。

【0039】

以下に示される表２は、図２に示されるコールフロー後に間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に投入され得るエントリの一例を示す。

【0040】

【表2】

【0041】

表２において、記録は、アウトバウンドローミング加入者のためのＩＭＳＩと、訪問先ネットワークのアイデンティティ（すなわち、ＶＰＬＭＮ ＩＤ）と、ＩＭＥＩとを含んでいる。

【0042】

データベースに加入者情報が投入されると、データベースは、ＧＴＰ－Ｃメッセージをスクリーニングするのに使用することができる。図２は、ＧＴＰ－Ｃメッセージを間接的にスクリーニングするための間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８の使用を示すネットワークおよびメッセージフロー図である。図２を参照して、ステップ１において、攻撃者は、偽のアウトバウンドモバイル加入者に仕えるサービングゲートウェイになりすます。このような攻撃の目的は、攻撃者とパケットゲートウェイ２０２などのコアネットワークノードとの間にセッションを作成して攻撃トラフィックをコアネットワークに送信するというものであり得る。攻撃者は、サービングネットワークのＩＭＳＩおよびＶＰＬＭＮ ＩＤを有するＧＴＰ－Ｃセッション作成要求メッセージを送信することによって攻撃を開始する。一例では、ＩＭＳＩは、ネットワーク内に実際にプロビジョニングされる加入者のＩＭＳＩであり得て、ＶＰＬＭＮ ＩＤは、アウトバウンドローミング加入者に現在仕えているネットワークではなく、攻撃者に対応する偽のネットワークであり得る。ＧＴＰ－Ｃセッション作成要求は、パケットデータネットワークセッション確立プロシージャの一部としてホームネットワークパケットゲートウェイ２０２に送信される。ＧＴＰ－Ｃセッション作成要求は、ＶＰＬＭＮ ＩＤを格納するユーザ位置情報要素を含み得る。ＧＴＰ－Ｃ接続作成要求が実際のアウトバウンドローミング加入者からの正当な接続作成要求である場合、ＶＰＬＭＮ ＩＤは、加入者がローミングしているＶＰＬＭＮのＩＤであり得る。しかし、ＧＴＰ－Ｃ接続作成要求が攻撃者から生じている場合、ＶＰＬＭＮ ＩＤは、攻撃者が位置しているネットワークを識別するＶＰＬＭＮであり得る。ＧＴＰ－Ｃ接続作成要求に含まれ得るさらに他の情報要素は、ＵＥの１５桁の識別子を含むＩＭＳＩである。この例では、攻撃者が実際のアウトバウンドローミング加入者のＩＭＳＩを取得しており、偽のＶＰＬＭＮ ＩＤをＧＴＰ－Ｃセッション作成要求に挿入する、ということが想定される。

【0043】

メッセージフロー図のステップ２において、ＰＧＷ２０２は、ＧＴＰ－Ｃセッション作成要求を受信し、それに応答して、ポリシおよび課金ルール機能（ＰＣＲＦ）２０４にアドレス指定されたクレジット制御要求－初期（ＣＣＲ－Ｉ）メッセージを構築して送信する。ＣＣＲ－Ｉメッセージは、ポリシおよび課金制御ルールをベアラに要求するため、および、ＩＰフローモビリティルーティングルールをプロビジョニングするために、ＰＧＷからＰＣＲＦに送信される。ＣＣＲ－Ｉメッセージは、加入者のＩＭＳＩを格納するサブスクリプション－ＩＤ属性値ペア（ＡＤＰ）を含む。また、ＣＣＲ－Ｉメッセージは、加入者に仕えるネットワークのＶＰＬＭＮ ＩＤなどの、加入者の現在位置の表示を格納する３ＧＰＰ位置情報ＡＶＰも含む。この例では、ＶＰＬＭＮ ＩＤは、加入者の実際のＶＰＬＭＮ ＩＤではなく、ＳＧＷ２００によって挿入されたものであり得る。

【0044】

メッセージフロー図のステップ３において、ＤＲＡ１０６は、ＣＣＲ－Ｉメッセージで受信されたＩＭＳＩを使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８においてルックアップを実行する。この例では、記録が間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に存在しており、ＶＰＬＭＮ ＩＤが当該記録に存在している、ということが想定される。したがって、ＤＲＡ１０６は、ＩＭＳＩに対応するＶＰＬＭＮ ＩＤを間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８から検索する。メッセージフロー図のステップ４において、ＤＲＡ１０６は、データベース記録から抽出されたＶＰＬＭＮ ＩＤと、ＣＣＲ－Ｉメッセージで受信されたＶＰＬＭＮ ＩＤとを比較する。この例では、ＩＭＳＩについてデータベース１０８に格納されたＶＰＬＭＮ ＩＤは、ＣＣＲ－Ｉメッセージで受信されたＶＰＬＭＮ ＩＤとは異なっていると想定される。したがって、ステップ５において、ＤＲＡ１０６は、ＶＰＬＭＮ ＩＤとの不一致を示すメッセージ、または代替的に、ＩＭＳＩに対応する記録がデータベース１０８に存在しない場合には記録が見つからなかったことを示すメッセージをＰＧＷ２０２に送信する。コアＤＲＡ１０６からＰＧＷ２０２へのメッセージは、ＧＴＰ－Ｃセッション作成要求が拒否されるべきであることを示す結果コードを有するクレジット制御回答－初期（ＣＣＡ－Ｉ）メッセージであり得る。メッセージフロー図のステップ６において、ＰＧＷ２０２は、ＡＰＮアクセス拒絶－サブスクリプションなしを示すエラーコードを有するＧＴＰ－Ｃセッション作成応答を作成して、ＳＧＷ２００に送信する。

【0045】

したがって、図２におけるステップを使用して、ダイアメータ位置更新トランザクションから取得された加入者ローミングデータが不正なＧＴＰ－Ｃトラフィックの間接的スクリーニングに使用される。このようなアプローチは、ＰＧＷ２０２が加入者の位置を取得するためにＨＬＲまたはＨＳＳに問い合わせる必要がある場合、または加入者の位置をＰＧＷにローカルに格納する必要がある場合にＰＧＷ２０２において直接的にスクリーニングを実行するよりも有利である。このような例では、ＤＥＡおよび／またはＤＲＡは、ＧＴＰメッセージを遮ることなくＧＴＰベースの不正検出を実行することができる。図１および図２に示される解決策は、モバイルネットワークオペレータからの専用のＧＴＰファイアウォールを必要としない。代わりに、ＤＥＡ１０４および／またはＤＲＡ１０６は、ＧＴＰ－Ｃセッション作成要求トラフィックに応答して生成された接続作成要求トラフィックをブロックすることによってＧＴＰファイアウォールを間接的に実現する。

【0046】

図１および図２に示される例では、ＤＥＡは、加入者の現在位置を間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に動的に投入し、ＤＲＡ１０６は、データベース１０８内の記録を使用してＧＴＰ－Ｃファイアウォール機能を実行するが、本明細書に記載されている主題は、このような実現例に限定されるものではない。代替的な実現例では、ＤＥＡ１０４は、位置更新トランザクションから取得された加入者位置情報を間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に動的に投入することができ、ＤＥＡ１０４は、データベース１０８に格納された記録を使用して接続作成トラフィックをスクリーニングすることができる。

【0047】

さらに別の代替的な実現例では、データベース１０８は、ＳＴＰ１１０などの信号転送ポイントによって取得された加入者位置情報を使用して投入されることができる。図３は、ＳＴＰ１１０によって取得された加入者位置情報を使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に投入することに関連付けられた例示的なメッセージングを示すネットワーク図である。図３を参照して、メッセージフロー図のライン１において、加入者が訪問先２Ｇまたは３Ｇネットワークにローミングすると、訪問先ネットワークにおけるローミングしている加入者に仕えるビジタロケーションレジスタ（ＶＬＲ）３００は、モバイルアプリケーション部（ＭＡＰ）位置更新要求を加入者のホームネットワーク内のホームロケーションレジスタ（ＨＬＲ）３０２に送信する。ｍａｐ位置更新要求メッセージは、加入者のＩＭＳＩと、加入者が現在ローミングしている訪問先ネットワークｘを識別するＶＰＬＭＮ ＩＤとを含む。ＳＴＰ１１０は、ｍａｐ位置更新要求を受信して、ＩＭＳＩおよびＶＰＬＭＮ ＩＤをトランザクションのために一時的に格納する。メッセージフロー図のライン２において、ＳＴＰ１１０は、ＭＡＰ位置更新要求をＨＬＲ３０２に転送する。ＨＬＲ３０２は、位置更新要求を検証し、検証されると、そのローカルロケーションデータベース内の加入者の位置を更新する。

【0048】

メッセージフロー図のライン３において、ＨＬＲ３０２は、加入者位置の更新が成功したことを示すＭＡＰ位置更新応答をＶＬＲ３００に送信する。ＨＬＲ３０２は、位置更新応答をＳＴＰ１１０に転送する。

【0049】

メッセージフロー図のステップ４において、ＳＴＰ１１０は、ｍａｐ位置更新要求を受信したことに応答して、ＳＴＰ１１０によって以前に格納されたＩＭＳＩおよびＶＰＬＭＮ ＩＤで間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８を更新する。間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８を更新することは、ＩＭＳＩに対応する記録が存在するか否かを判断することを含み得る。ＩＭＳＩに対応する記録が存在する場合、ＳＴＰ１１０は、ｍａｐ位置更新要求メッセージで受信されたＶＰＬＭＮ ＩＤで記録内のＶＰＬＭＮ ＩＤを更新し得る。データベース１０８がＩＭＳＩに対応する記録を含まない場合、ＳＴＰ１１０は、ＩＭＳＩを位置更新要求メッセージで受信されたＶＰＬＭＮ ＩＤにマッピングする新たな記録をデータベース内に作成し得る。また、ＳＴＰ１１０は、ＩＭＥＩを記録の中に格納し得る。記録は、更新または新たに作成された後、表１に上記したように現れ得る。

【0050】

図１に示される例のように、ＳＴＰ１１０は、位置更新トランザクションが成功したことの確証をＨＬＲから受信したときにのみＶＰＬＭＮ ＩＤとＩＭＳＩとの間のマッピングをデータベース１０８に投入する。位置更新トランザクションが成功したことの確証を受信するまで待つ理由は、攻撃者がＶＬＲ３００になりすまして加入者についての偽の位置情報をデータベース１０８に投入する可能性を減少させるためである。

【0051】

また、図３に示される例では、データベース１０８はＳＴＰによって投入される。データベース１０８は、本明細書に記載されている主題の範囲から逸脱することなく、物理的なＳＴＰによって投入されてもよく、または仮想のＳＴＰによって投入されてもよい、ということが理解される。このようなＳＴＰは、サービスプロバイダのネットワーク内にある物理的なオンプレミスノード、または、サービスプロバイダもしくはクラウドサービスプロバイダによってホストされるネットワーククラウド内にある仮想のＳＴＰであり得る。

【0052】

図４は、２Ｇ／３Ｇネットワークにおけるアウトバウンドローミング加入者についてのＧＴＰ－Ｃトラフィックをスクリーニングするために使用される例示的なメッセージングを示すネットワークおよびメッセージフロー図である。図４を参照して、攻撃者は、２Ｇまたは３Ｇ訪問先ネットワークにおけるアウトバウンドモバイル加入者に仕えるＳＧＳＮ４００になりすます。攻撃者は、ステップ１において、ＧＴＰ－Ｃ ＰＤＰコンテキスト作成要求メッセージを、加入者のホームネットワーク内に位置するＧＧＳＮ４０２に送信することによって、攻撃を開始する。ＧＴＰ－Ｃ ＰＤＰコンテキスト作成要求は、ＩＭＳＩと、この例では、ＩＭＳＩに対応する現在の加入者のＶＰＬＭＮ ＩＤではなく、攻撃者のネットワークを識別するＶＰＬＭＮ ＩＤとを含む。

【0053】

ＧＧＳＮ４０２は、ＧＴＰ－Ｃ ＰＤＰコンテキスト作成要求メッセージを受信して、ＣＣＲ－Ｉメッセージを構築してＰＣＲＦ２０４に送信する。ＣＣＲ－Ｉメッセージは、ＩＭＳＩと、ＶＰＬＭＮ ＩＤと、ＧＴＰ－ＣメッセージからのＩＭＥＩとを含む。ＧＧＳＮ４０２は、ＣＣＲ－ＩメッセージをＤＲＡ１０６に転送する。

【0054】

メッセージフロー図のステップ４において、ＤＲＡ１０６は、ＩＭＳＩに対応する、間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８に格納されたＶＰＬＭＮ ＩＤと、ＣＣＲ－Ｉメッセージから抽出されたＶＰＬＭＮ ＩＤとを比較する。この例では、ＩＭＳＩとＶＰＬＭＮ ＩＤとの間に不一致があると想定される。したがって、ライン５において、ＤＲＡ１０６は、５ＸＸＸ応答コードを有するＣＣＡ－ＩメッセージをＧＧＳＮ４０２に送信することによってＣＣＲ－Ｉメッセージを拒否する。拒否応答コードを有するＣＣＡ－Ｉメッセージを受信したことに応答して、ＧＧＳＮ４０２は、ＡＰＮアクセス拒絶－サブスクリプションなしを示すＰＤＰコンテキスト作成応答を攻撃者４００に送信する。したがって、図４に示されるステップを使用して、ＳＴＰによって投入されたデータベースが、訪問先２Ｇまたは３ＧネットワークにおけるＳＧＳＮになりすましている攻撃者のスクリーニングに使用することができる。

【0055】

図５は、図１～図４に関して上記した主題を実現するためのＤＥＡ／ＤＲＡ／ＳＴＰ１０４，１０６または１１０のための例示的な内部アーキテクチャを示すブロック図である。図５に示される例では、ＤＥＡ／ＤＲＡ／ＳＴＰ１０４，１０６または１１０は、ダイアメータルーティング機能と、ＳＳ７ルーティング機能とを含む。これらの機能は、同一の実際のもしくは仮想のネットワークノードで実行されてもよく、または別々のネットワークノードで実行されてもよい、ということが理解される。図５に示されるアーキテクチャを参照して、ＤＥＡ／ＤＲＡ／ＳＴＰ１０４，１０６または１１０は、複数のメッセージプロセッサ(ＭＰ)５００，５０２，５０４および５０６を含む。各メッセージプロセッサ５００，５０２，５０４および５０６は、少なくとも１つのプロセッサ５０８と、メモリ５１０とを含む。各メッセージプロセッサ５００，５０２，５０４および５０６は、印刷回路基板および当該回路基板に搭載された構成要素を相互接続するための対応するトレースを使用して実現され得る。メッセージプロセッサ５００，５０２，５０４および５０６は、内部通信媒体５１２を使用して互いに通信し得て、内部通信媒体５１２は、一例ではイーサネット(登録商標)通信媒体である。

【0056】

メッセージプロセッサ５００は、ＤＥＡおよび／またはＤＲＡ機能を実行する。したがって、メッセージプロセッサ５００は、ダイアメータ接続およびルーティング機能を実行するダイアメータプロトコルスタック５１４を含む。したがって、ダイアメータスタック５１４は、ダイアメータピアとのダイアメータ接続を開始するかまたはダイアメータピアとのダイアメータ接続に応答し、メッセージを当該メッセージの中のダイアメータ層情報に基づいてルーティングし得る。

【0057】

メッセージプロセッサ５０２は、ＳＳ７ルーティング機能を実行する。したがって、メッセージプロセッサ５０２は、メッセージの中のメッセージ転送部（ＭＴＰ）レベル３情報に基づいてＳＳ７メッセージをルーティングするためのＳＳ７プロトコルスタック５１６を含む。また、ＳＳ７スタック５１６は、ＩＰネットワークを介してＳＳ７メッセージを搬送するためのＳＩＧＴＲＡＮプロトコルも実行し得る。

【0058】

メッセージプロセッサ５０４および５０６の各々は、間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８を使用してＧＴＰ－Ｃファイアウォール機能を実行する。示されている例では、メッセージプロセッサ５０４および５０６は、ＧＴＰファイアウォールデータベース１０８のコピーと全く同じにプロビジョニングされ得て、メッセージプロセッサ５００および５０２は、メッセージプロセッサ５００と５０６との間でＧＴＰ－Ｃファイアウォールスクリーニングを必要とするメッセージの負荷分散を行い得る。また、各メッセージプロセッサ５０４および５０６は、データベース１０８に投入された加入者位置情報を使用して接続作成要求メッセージをスクリーニングし、ローミングしている加入者についてのダイアメータまたはＳＳ７位置更新メッセージから受信された情報を使用してデータベース１０８に動的に投入するための間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースコントローラ／スクリーナ５１８を含む。

【0059】

図６は、間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースに動的に投入するための例示的なプロセスを示すフローチャートである。図６を参照して、ステップ６００において、アウトバウンドローミング加入者の位置の更新のためのモビリティ管理が受信される。たとえば、ネットワークがダイアメータを使用して加入者の位置を更新する場合、モビリティ管理メッセージは、ＨＳＳに格納された加入者の位置を更新するための、ローミングしているモバイル加入者に仕えるＭＭＥまたはＳＧＳＮからの位置更新要求メッセージであり得る。ネットワークがＳＳ７メッセージングを使用して加入者の位置を更新する場合、モビリティ管理メッセージは、ＨＬＲで加入者の位置を更新するための、ＶＬＲからのＭＡＰ位置更新要求であり得る。

【0060】

ステップ６０２において、プロセスは、ＶＰＬＭＮ ＩＤおよびＩＭＳＩをメッセージから抽出して、一時的に格納することを含む。たとえば、ＤＥＡ１０４、ＤＲＡ１０６またはＳＴＰ１１０は、ダイアメータまたはＳＳ７位置更新要求から抽出された加入者のＩＭＳＩおよびＶＰＬＭＮ ＩＤを、ＤＥＡ１０４、ＤＲＡ１０６またはＳＴＰ１１０にローカルなメモリに一時的に格納し得る。ステップ６０４において、位置更新が成功したか否かが判断される。たとえば、ＤＥＡ１０４、ＤＲＡ１０６またはＳＴＰ１１０は、ＨＬＲまたはＨＳＳでの加入者の位置の更新が成功または不成功であったことを示す位置更新回答または応答メッセージをＨＬＲまたはＨＳＳから受信し得る。加入者の位置の更新が不成功であったことを位置更新回答または要求メッセージが示す場合、制御はステップ６０６に進んで、ステップ６０２において格納されたＩＭＳＩおよびＶＰＬＭＮ ＩＤが廃棄される。

【0061】

ステップ６０４において位置更新トランザクションが成功したと判断される場合、制御はステップ６０８に進んで、ＩＭＳＩを使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスする。たとえば、ＤＥＡ１０４、ＤＲＡ１０６またはＳＴＰ１１０は、位置更新メッセージから抽出されたＩＭＳＩを使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベース１０８にアクセスし得る。

【0062】

ステップ６１０において、データベースの中に記録が存在するか否かが判断される。データベースの中に記録が存在する場合、制御はステップ６１２に進んで、メッセージからのＶＰＬＭＮ ＩＤで記録が更新される。記録が存在しない場合、制御はステップ６１４に進んで、ＩＭＳＩをメッセージからのＶＰＬＭＮ ＩＤにマッピングする新たな記録が追加される。

【0063】

図７は、動的に投入された間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースを使用してＧＴＰ－Ｃ不正検出およびスクリーニングを実行する例示的なプロセスを示す図である。図７を参照して、ステップ７００において、ＧＴＰ－Ｃコンテキスト作成要求メッセージに応答して生成されたＣＣＲ－Ｉメッセージが受信される。たとえば、ＤＥＡ１０４またはＤＲＡ１０６は、ＧＴＰ－Ｃコンテキスト作成要求に関連するＣＣＲ－Ｉメッセージを正当な加入者または攻撃者から受信し得る。

【0064】

ステップ７０２において、プロセスは、メッセージからＩＭＳＩ、ＶＰＬＭＮ ＩＤおよびＩＭＥＩを抽出することを含む。ステップ７０４において、ＩＭＳＩを使用して間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースにアクセスする。

【0065】

ステップ７０６において、記録が存在する場合、制御はステップ７０８に進んで、メッセージからのＶＰＬＭＮ ＩＤがデータベース記録の中のＶＰＬＭＮ ＩＤと一致するか否かが判断される。ＶＰＬＭＮ ＩＤがデータベース記録の中のＶＰＬＭＮ ＩＤと一致しない場合、制御はステップ７１０に進んで、ＣＣＲ－Ｉメッセージが拒否される。メッセージの中のＶＰＬＭＮ ＩＤがデータベースの中のＩＭＳＩについて格納されたＶＰＬＭＮ ＩＤと一致する場合、制御はステップ７１２に進んで、ＣＣＲ－ＩメッセージがＰＣＲＦに転送される。たとえば、ＤＥＡ１０４またはＤＲＡ１０６は、ＣＣＲ－ＩメッセージをＰＣＲＦ２０４に転送し得る。ＰＣＲＦ２０４は、セッションに適切なポリシを判断して、セッションの確立が成功したことを示すクレジット制御要求－回答（ＣＣＲ－Ａ）メッセージで応答し得る。ＤＥＡ１０４またはＤＲＡ１０６は、ＣＣＲ－Ａメッセージを、ＣＣＲ－Ｉメッセージを送信したゲートウェイＧＰＲＳサポートノード（ＧＧＳＮ）に転送し得る。ＧＧＳＮは、ＰＤＰコンテキストの作成が成功したことを示すＧＴＰ－Ｃメッセージに応答し得る。

【0066】

したがって、本明細書に記載されているプロセスを使用して、動的に投入された間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースは、ＤＲＡ、ＤＥＡおよび／またはＳＴＰによってアクセス可能であって、動的に投入された間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースを使用してＧＴＰ－Ｃファイアウォールを間接的に実現することができる。このような実現例は、ＧＴＰ－Ｃシグナリングトラフィックを遮ることを必要とせず、またはＰＧＷがＧＴＰ－Ｃスクリーニング機能を実行することを必要としない。また、加入者のホームＨＬＲまたはＨＳＳから受信された回答メッセージに基づいて間接的ＧＴＰ－Ｃファイアウォールフィルタリングデータベースが動的にプロビジョニングされるので、データベースに投入するのに必要な労力が手動投入方法よりも減少する。

【0067】

以下の参考文献の各々の開示は、全文が引用によって本明細書に援用される。

【0068】

【表3】

【0069】

ここに開示されている主題のさまざまな詳細は、ここに開示されている主題の範囲から逸脱することなく変更されてもよい、ということが理解されるであろう。さらに、上記の説明は、単に例示を目的としており、限定を目的としているわけではない。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【国際調査報告】