特表 2024-505991 ネットワーク機能（ＮＦ）でのサービス拒否（ＤｏＳ）攻撃を緩和するための方法、システム、およびコンピュータ読取可能媒体

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-02-08

(54)【発明の名称】ネットワーク機能（ＮＦ）でのサービス拒否（ＤｏＳ）攻撃を緩和するための方法、システム、およびコンピュータ読取可能媒体

(51)【国際特許分類】

   H04W 12/126 20210101AFI20240201BHJP

   H04W 12/30 20210101ALI20240201BHJP

   H04W 88/18 20090101ALI20240201BHJP

【ＦＩ】

H04W12/126

H04W12/30

H04W88/18

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023547252

(86)(22)【出願日】2022-01-21

(85)【翻訳文提出日】2023-10-02

(86)【国際出願番号】 US2022013367

(87)【国際公開番号】W WO2022169617

(87)【国際公開日】2022-08-11

(31)【優先権主張番号】17/167,319

(32)【優先日】2021-02-04

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ラジプット，ジャイ

(72)【発明者】

【氏名】シング，ビレンドラ

(72)【発明者】

【氏名】ジャヤラマチャー，アマーナス

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA28

5K067AA30

5K067DD57

5K067HH22

5K067HH23

(57)【要約】

ＮＦでのＤｏＳ攻撃のための方法は、第１のＮＦで、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを維持するステップを含む。方法はさらに、第１のＮＦで、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信するステップを含む。方法はさらに、第１のＮＦが、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップと、第１のＮＦが、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップとを含む。方法はさらに、第１のＮＦが、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップを含む。方法はさらに、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回るとの判定に応答して、サブスクリプションの確立を防止するステップを含む。

【特許請求の範囲】

【請求項1】

ネットワーク機能（ＮＦ：network function）でのサービス拒否（ＤｏＳ：denial of service）攻撃を緩和するための方法であって、前記方法は、
第１のＮＦで、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを維持するステップと、
前記第１のＮＦで、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信するステップと、
前記第１のＮＦが、前記サブスクリプション要求は前記ＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップと、
前記第１のＮＦが、前記少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップと、
前記第１のＮＦが、前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップと、
前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの前記最大数を上回るとの判定に応答して、前記サブスクリプションの確立を防止するステップとを含む、方法。

【請求項2】

前記第１のＮＦは、プロデューサＮＦを含む、請求項１に記載の方法。

【請求項3】

前記第１のＮＦは、サービス通信プロキシ（ＳＣＰ：service communication proxy）を含む、先行する請求項のいずれか１項に記載の方法。

【請求項4】

前記ＮＦサブスクリプションデータベースを維持するステップは、ＮＦタイプを特定する基準を有する少なくとも１つのルールを有する前記データベースを維持するステップを含む、先行する請求項のいずれか１項に記載の方法。

【請求項5】

前記ＮＦサブスクリプションデータベースにアクセスするステップは、前記サブスクリプション要求からＮＦタイプ情報を抽出または推測し、前記サブスクリプション要求から抽出または推測された前記ＮＦタイプ情報を、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するステップを含む、請求項４に記載の方法。

【請求項6】

前記ＮＦサブスクリプションデータベースを維持するステップは、公衆陸上移動体通信網（ＰＬＭＮ：public land mobile network）の基準を特定する少なくとも１つのルールを有する前記データベースを維持するステップを含む、先行する請求項のいずれか１項に記載の方法。

【請求項7】

前記ＮＦサブスクリプションデータベースにアクセスするステップは、前記サブスクリプション要求から前記第２のＮＦのＰＬＭＮ情報を抽出または推測し、前記サブスクリプション要求から抽出または推測された前記第２のＮＦの前記ＰＬＭＮ情報を、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するステップを含む、請求項６に記載の方法。

【請求項8】

前記ＮＦサブスクリプションデータベースを維持するステップは、ＮＦインスタンスＩＤの基準を特定する少なくとも１つのルールを有する前記データベースを維持するステップを含み、前記ＮＦサブスクリプションデータベースにアクセスするステップは、前記サブスクリプション要求からＮＦインスタンスＩＤを抽出し、前記サブスクリプション要求から抽出された前記ＮＦインスタンスＩＤを、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するステップを含む、先行する請求項のいずれか１項に記載の方法。

【請求項9】

前記ＮＦサブスクリプションデータベースを維持するステップは、前記ルールの各々についての前記基準と一致する、前記第１のＮＦによって現在取り扱われているサブスクリプションの数のカウントを維持するステップを含む、先行する請求項のいずれか１項に記載の方法。

【請求項10】

前記第１のＮＦが、前記サブスクリプション要求は前記ＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップは、前記サブスクリプション要求は前記データベースにおける複数のルールについての基準と一致すると判定するステップを含み、
前記第１のＮＦが、前記少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップは、前記サブスクリプション要求と一致する基準を有する前記ルールの各々についての前記カウントをインクリメントするステップを含み、
前記第１のＮＦが、前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップは、前記サブスクリプション要求と一致する基準を有する前記ルールのうちのいずれかについての前記サブスクリプションの数の前記カウントが、前記ルールについての許容サブスクリプションの前記最大数を上回ると判定するステップを含む、請求項９に記載の方法。

【請求項11】

ネットワーク機能（ＮＦ：network function）でのサービス拒否（ＤｏＳ：denial of service）攻撃を緩和するためのシステムであって、前記システムは、
少なくとも１つのプロセッサとメモリとを含む第１のＮＦと、
前記メモリにおいて具現化され、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースと、
ＮＦサブスクリプションポリサーとを含み、前記ＮＦサブスクリプションポリサーは、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信し、前記サブスクリプション要求は前記ＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定し、前記少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントし、前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定し、前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの前記最大数を上回るとの判定に応答して、前記サブスクリプションの確立を防止するためのものである、システム。

【請求項12】

前記第１のＮＦは、プロデューサＮＦを含む、請求項１１に記載のシステム。

【請求項13】

前記第１のＮＦは、サービス通信プロキシ（ＳＣＰ：service communication proxy）を含む、請求項１１または請求項１２に記載のシステム。

【請求項14】

前記ＮＦサブスクリプションデータベースは、ＮＦタイプを特定する基準を有する少なくとも１つのルールを含む、請求項１１～１３のいずれか１項に記載のシステム。

【請求項15】

前記ＮＦサブスクリプションデータベースにアクセスする際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求から前記第２のＮＦのＮＦタイプ情報を抽出または推測し、前記サブスクリプション要求から抽出または推測された前記第２のＮＦの前記ＮＦタイプ情報を、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するように構成される、請求項１４に記載のシステム。

【請求項16】

前記ＮＦサブスクリプションデータベースは、公衆陸上移動体通信網（ＰＬＭＮ：public land mobile network）を特定する基準を有する少なくとも１つのルールを含み、前記ＮＦサブスクリプションデータベースにアクセスする際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求から前記第２のＮＦについてのＰＬＭＮ識別子を抽出または推測し、前記サブスクリプション要求から抽出または推測された前記ＰＬＭＮ識別子を、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するように構成される、請求項１１～１５のいずれか１項に記載のシステム。

【請求項17】

前記ＮＦサブスクリプションデータベースは、ＮＦインスタンスＩＤを特定する基準を有する少なくとも１つのルールを含み、前記ＮＦサブスクリプションデータベースにアクセスする際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求からＮＦインスタンスＩＤを抽出し、前記サブスクリプション要求から抽出された前記ＮＦインスタンスＩＤを、前記データベースにおける前記ルールについて特定された前記基準と突き合わせるためのキーとして使用するように構成される、請求項１１～１６のいずれか１項に記載のシステム。

【請求項18】

前記ＮＦサブスクリプションポリサーは、前記ルールの各々についての基準と一致する、前記第１のＮＦによって取り扱われているサブスクリプションの現在の数のカウントを維持するように構成される、請求項１１～１７のいずれか１項に記載のシステム。

【請求項19】

前記サブスクリプション要求は前記ＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定する際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求は前記データベースにおける複数のルールについての基準と一致すると判定するように構成され、
前記少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントする際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求と一致する基準を有する前記ルールの各々についての前記カウントをインクリメントするように構成され、
前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定する際、前記ＮＦサブスクリプションポリサーは、前記サブスクリプション要求と一致する基準を有する前記ルールのうちのいずれかについての前記サブスクリプションの数の前記カウントが、前記ルールについての許容サブスクリプションの前記最大数を上回ると判定するように構成される、請求項１８に記載のシステム。

【請求項20】

コンピュータのプロセッサによって実行されると複数のステップを行なうように前記コンピュータを制御する実行可能命令が格納された、非一時的コンピュータ読取可能媒体であって、前記複数のステップは、
第１のネットワーク機能（ＮＦ：network function）で、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを維持するステップと、
前記第１のＮＦで、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信するステップと、
前記第１のＮＦが、前記サブスクリプション要求は前記ＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップと、
前記第１のＮＦが、前記少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップと、
前記第１のＮＦが、前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップと、
前記サブスクリプションの数の前記少なくとも１つのカウントは前記少なくとも１つのルールについての許容サブスクリプションの前記最大数を上回るとの判定に応答して、前記サブスクリプションの確立を防止するステップとを含む、非一時的コンピュータ読取可能媒体。

【発明の詳細な説明】

【技術分野】

【0001】

優先権主張
本願は、２０２１年２月４日に出願された米国特許出願連続番号第１７／１６７，３１９号の優先権利益を主張する。当該特許出願の開示はその全体がここに引用により援用される。

【0002】

技術分野
本明細書に記載されている主題は、ネットワークセキュリティに関する。より特定的には、本明細書に記載されている主題は、５Ｇプロデューサネットワーク機能（network function：ＮＦ）などのＮＦでのサービス拒否（denial of service：ＤｏＳ）攻撃を緩和するための方法、システム、およびコンピュータ読取可能媒体に関する。

【背景技術】

【0003】

背景
５Ｇ電気通信ネットワークでは、サービスを提供するネットワーク機能は、プロデューサネットワーク機能（ＮＦ）、またはＮＦサービスプロデューサと呼ばれる。サービスを消費するネットワーク機能は、コンシューマＮＦ、またはＮＦサービスコンシューマと呼ばれる。ネットワーク機能は、当該ネットワーク機能がサービスを消費しているか、生成しているか、または、消費および生成しているかによって、プロデューサＮＦ、コンシューマＮＦ、またはそれら双方であり得る。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、本明細書では交換可能に使用される。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、本明細書では交換可能に使用される。

【0004】

所与のプロデューサＮＦは、多くのサービスエンドポイントを有し得る。サービスエンドポイントとは、プロデューサＮＦによってホストされる１つ以上のＮＦインスタンスのための接点である。サービスエンドポイントは、プロデューサＮＦをホストするネットワークノード上のインターネットプロトコル（Internet protocol：ＩＰ）アドレスおよびポート番号または完全修飾ドメイン名（ＩＰアドレスとポート番号とに分解する）の組合せである。ＮＦインスタンスとは、サービスを提供するプロデューサＮＦのインスタンスである。所与のプロデューサＮＦは２つ以上のＮＦインスタンスを含み得る。なお、複数のＮＦインスタンスが同じサービスエンドポイントを共有することができる。

【0005】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（network function repository function：ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされるサービスを識別する、利用可能なＮＦインスタンスのサービスプロファイルを維持する。「サービスプロファイル」および「ＮＦプロファイル」という用語は、本明細書では交換可能に使用される。コンシューマＮＦは、ＮＲＦに登録したプロデューサＮＦインスタンスについての情報の受信をサブスクライブすることができる。

【0006】

コンシューマＮＦに加えて、ＮＦサービスインスタンスについての情報の受信をサブスクライブすることができる別のタイプのネットワークノードは、サービス通信プロキシ（service communication proxy：ＳＣＰ）である。ＳＣＰは、ＮＲＦにサブスクライブし、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦはサービス通信プロキシに接続し、サービス通信プロキシは、要求されたサービスを提供するプロデューサＮＦサービスインスタンス間でトラフィックを負荷分散するか、または、トラフィックを宛先プロデューサＮＦインスタンスへ直接ルーティングする。

【0007】

ＳＣＰに加えて、プロデューサＮＦとコンシューマＮＦとの間でトラフィックをルーティングする中間プロキシノードまたはネットワークノード群の他の例は、５Ｇサービスメッシュにおけるセキュリティエッジ保護プロキシ（security edge protection proxy：ＳＥＰＰ）、サービスゲートウェイ、およびノードを含む。ＳＥＰＰとは、異なる５Ｇ公衆陸上移動体通信網（public land mobile network：ＰＬＭＮ）間で交換される制御プレーントラフィックを保護するために使用されるネットワークノードである。そのため、ＳＥＰＰは、ＰＬＭＮ間で送信されるすべてのアプリケーションプログラミングインターフェイス（application programming interface：ＡＰＩ）メッセージのために、メッセージフィルタリング、ポリシー化、およびトポロジ隠蔽を行なう。

【0008】

５Ｇ通信ネットワークにおける１つの問題は、プロデューサＮＦが多数のサブスクリプション要求に起因して圧倒されるようになる場合に生じる。５ＧネットワークにおけるほぼすべてのＮＦは、通信のためのサブスクライブ／通知メカニズムを使用する。通信のためのサブスクライブ／通知メカニズムでは、コンシューマＮＦは、プロデューサＮＦについて通知されるためにプロデューサＮＦにサブスクライブする。たとえば、ＮＲＦは、コンシューマＮＦがネットワークトポロジー変更について知りたい場合に通知されるためにサブスクライブ／通知通信を使用する。ユーザデータ管理ノード（user data management：ＵＤＭ）は、サブスクライバデータ変更についてコンシューマＮＦに知らせるためにサブスクライブ／通知通信を使用する。ネットワークスライス選択機能（network slice selection function：ＮＳＳＦ）は、単一ネットワークスライス選択支援情報（single network slice selection assistance information：Ｓ－ＮＳＳＡＩ）における変更についてＡＭＦに知らせるためにサブスクライブ／通知通信を使用する。ポリシー制御機能（policy control function：ＰＣＦ）は、ポリシー制御事象についてコンシューマＮＦに知らせるためにサブスクライブ／通知通信を使用する。

【発明の概要】

【発明が解決しようとする課題】

【0009】

プロデューサＮＦでのサブスクリプションの数が、プロデューサＮＦの処理能力が圧倒されることを引き起こす場合、ＮＦサービスプロファイルまたは他の情報についての通知を受けようとするコンシューマＮＦへのサービスが拒否されるおそれがある。現在、プロデューサＮＦは、コンシューマＮＦによって作成可能なサブスクリプションの数を制限していない。プロデューサＮＦでの過剰な数のＮＦサブスクリプションがコンシューマＮＦによって故意にまたは誤って作成されるおそれがあり、プロデューサＮＦによって提供されるサービスにアクセスしようとする他のＮＦへのサービス拒否をもたらす。サービス拒否は、多過ぎるサブスクリプションレコードに起因するプロデューサＮＦのストレージ容量の枯渇によって引き起こされ得る。サービス拒否はまた、過剰な処理要求に起因してプロデューサＮＦのＣＰＵが枯渇した場合に結果として生じ得る。処理中のサブスクリプションレコードの数がプロデューサＮＦのメモリ容量を上回る場合、プロデューサＮＦのメモリリソースも枯渇し得る。サービス拒否はまた、サブスクリプション応答のための望ましくない処理オーバーヘッドに起因するネットワークリソース枯渇によって引き起こされ得る。なお、他の動作（たとえば、ＮＲＦへのＮＦ登録）は、サブスクリプションと同じ問題を抱えていない。なぜなら、メッセージの内容（登録要求におけるＮＦインスタンスＩＤ）が、同じＮＦインスタンスのために複数の登録を作成できないことを確認するのを助けるためである。しかしながら、サブスクライブメッセージでは、またはサブスクライブメッセージについては、そのような保護はない。

【0010】

したがって、ＮＦでのＤｏＳ攻撃を緩和するための方法、システム、およびコンピュータ読取可能媒体に対する要望が存在する。

【課題を解決するための手段】

【0011】

概要
ネットワーク機能（ＮＦ）でのサービス拒否（ＤｏＳ）攻撃を緩和するための方法が提供される。方法は、第１のＮＦで、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを維持するステップを含む。方法はさらに、第１のＮＦで、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信するステップを含む。方法はさらに、第１のＮＦが、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップを含む。方法はさらに、第１のＮＦが、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップを含む。方法はさらに、第１のＮＦが、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップを含む。方法はさらに、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回るとの判定に応答して、サブスクリプションの確立を防止するステップを含む。

【0012】

本明細書に記載されている主題の別の局面によれば、第１のＮＦは、プロデューサＮＦを含む。

【0013】

本明細書に記載されている主題の別の局面によれば、第１のＮＦは、サービス通信プロキシ（ＳＣＰ）を含む。

【0014】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースを維持するステップは、ＮＦタイプを特定する基準を有する少なくとも１つのルールを有するデータベースを維持するステップを含む。

【0015】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースにアクセスするステップは、サブスクリプション要求からＮＦタイプ情報を抽出または推測し、サブスクリプション要求から抽出または推測されたＮＦタイプ情報を、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するステップを含む。

【0016】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースを維持するステップは、公衆陸上移動体通信網（ＰＬＭＮ）の基準を特定する少なくとも１つのルールを有するデータベースを維持するステップを含む。

【0017】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースにアクセスするステップは、サブスクリプション要求から第２のＮＦのＰＬＭＮ情報を抽出または推測し、サブスクリプション要求から抽出または推測された第２のＮＦのＰＬＭＮ情報を、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するステップを含む。

【0018】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースを維持するステップは、ＮＦインスタンスＩＤの基準を特定する少なくとも１つのルールを有するデータベースを維持するステップを含み、ＮＦサブスクリプションデータベースにアクセスするステップは、サブスクリプション要求からＮＦインスタンスＩＤを抽出し、サブスクリプション要求から抽出されたＮＦインスタンスＩＤを、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するステップを含む。

【0019】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースを維持するステップは、ルールの各々についての基準と一致する、第１のＮＦによって現在取り扱われているサブスクリプションの数のカウントを維持するステップを含む。

【0020】

本明細書に記載されている主題の別の局面によれば、第１のＮＦが、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップは、サブスクリプション要求はデータベースにおける複数のルールについての基準と一致すると判定するステップを含み、第１のＮＦが、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップは、サブスクリプション要求と一致する基準を有するルールの各々についてのカウントをインクリメントするステップを含み、第１のＮＦが、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップは、サブスクリプション要求と一致する基準を有するルールのうちのいずれかについてのサブスクリプションの数のカウントが、ルールについての許容サブスクリプションの最大数を上回ると判定するステップを含む。

【0021】

本明細書に記載されている主題の別の局面によれば、ネットワーク機能（ＮＦ）でのサービス拒否（ＤｏＳ）攻撃を緩和するためのシステムが提供される。システムは、少なくとも１つのプロセッサとメモリとを含む第１のＮＦを含む。システムはさらに、メモリにおいて具現化され、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを含む。システムはさらに、ＮＦサブスクリプションポリサーを含み、ＮＦサブスクリプションポリサーは、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信し、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定し、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントし、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定し、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回るとの判定に応答して、サブスクリプションの確立を防止するためのものである。

【0022】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースは、ＮＦタイプを特定する基準を有する少なくとも１つのルールを含む。

【0023】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースにアクセスする際、ＮＦサブスクリプションポリサーは、サブスクリプション要求から第２のＮＦのＮＦタイプ情報を抽出または推測し、サブスクリプション要求から抽出または推測された第２のＮＦのＮＦタイプ情報を、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するように構成される。

【0024】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースは、公衆陸上移動体通信網（ＰＬＭＮ）を特定する基準を有する少なくとも１つのルールを含み、ＮＦサブスクリプションデータベースにアクセスする際、ＮＦサブスクリプションポリサーは、サブスクリプション要求から第２のＮＦについてのＰＬＭＮ識別子を抽出または推測し、サブスクリプション要求から抽出または推測されたＰＬＭＮ識別子を、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するように構成される。

【0025】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションデータベースは、ＮＦインスタンスＩＤを特定する基準を有する少なくとも１つのルールを含み、ＮＦサブスクリプションデータベースにアクセスする際、ＮＦサブスクリプションポリサーは、サブスクリプション要求からＮＦインスタンスＩＤを抽出し、サブスクリプション要求から抽出されたＮＦインスタンスＩＤを、データベースにおけるルールについて特定された基準と突き合わせるためのキーとして使用するように構成される。

【0026】

本明細書に記載されている主題の別の局面によれば、ＮＦサブスクリプションポリサーは、ルールの各々についての基準と一致する、第１のＮＦによって取り扱われているサブスクリプションの現在の数のカウントを維持するように構成される。

【0027】

本明細書に記載されている主題の別の局面によれば、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定する際、ＮＦサブスクリプションポリサーは、サブスクリプション要求はデータベースにおける複数のルールについての基準と一致すると判定するように構成され、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントする際、ＮＦサブスクリプションポリサーは、サブスクリプション要求と一致する基準を有するルールの各々についてのカウントをインクリメントするように構成され、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定する際、ＮＦサブスクリプションポリサーは、サブスクリプション要求と一致する基準を有するルールのうちのいずれかについてのサブスクリプションの数のカウントが、ルールについての許容サブスクリプションの最大数を上回ると判定するように構成される。

【0028】

本明細書に記載されている主題の別の局面によれば、コンピュータのプロセッサによって実行されると複数のステップを行なうようにコンピュータを制御する実行可能命令が格納された、非一時的コンピュータ読取可能媒体が提供される。複数のステップは、第１のネットワーク機能（ＮＦ）で、許容サブスクリプションの最大数を特定するルールと対応するルール基準とを含むＮＦサブスクリプションデータベースを維持するステップを含む。複数のステップはさらに、第１のＮＦで、第２のＮＦから、サブスクリプションを確立するためのサブスクリプション要求を受信するステップを含む。複数のステップはさらに、第１のＮＦが、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップを含む。複数のステップはさらに、第１のＮＦが、少なくとも１つのルールについてのサブスクリプションの数の少なくとも１つのカウントをインクリメントするステップを含む。複数のステップはさらに、第１のＮＦが、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回ると判定するステップを含む。複数のステップはさらに、サブスクリプションの数の少なくとも１つのカウントは少なくとも１つのルールについての許容サブスクリプションの最大数を上回るとの判定に応答して、サブスクリプションの確立を防止するステップを含む。

【0029】

本明細書に記載されている主題は、ハードウェアおよび／またはファームウェアと組合されたソフトウェアで実現され得る。たとえば、本明細書に記載されている主題は、プロセッサによって実行されるソフトウェアで実現され得る。例示的な一実現化例では、本明細書に記載されている主題は、コンピュータのプロセッサによって実行されると複数のステップを行なうようにコンピュータを制御するコンピュータ実行可能命令が格納された非一時的コンピュータ読取可能媒体を使用して実現され得る。本明細書に記載されている主題を実現するために好適である例示的なコンピュータ読取可能媒体は、ディスクメモリデバイス、チップメモリデバイス、プログラマブルロジックデバイス、および特定用途向け集積回路といった、非一時的コンピュータ読取可能媒体を含む。加えて、本明細書に記載されている主題を実現するコンピュータ読取可能媒体は、単一のデバイスまたはコンピューティングプラットフォーム上に位置していてもよく、もしくは、複数のデバイスまたはコンピューティングプラットフォーム間で分散されていてもよい。

【図面の簡単な説明】

【0030】

【図1】例示的な５Ｇシステムネットワークアーキテクチャを示すネットワーク図である。

【図2】プロデューサＮＦへのサブスクリプションを作成するために交換される例示的なメッセージを示すメッセージフロー図である。

【図3】プロデューサＮＦがサブスクリプションに関する通知をコンシューマＮＦに送信する場合に交換される例示的なメッセージを示すメッセージフロー図である。

【図4】ＮＦサービスコンシューマが過剰なサブスクリプションに起因してＮＦサービスプロデューサの処理リソースを圧倒する場合に交換される例示的なメッセージを示すメッセージフロー図である。

【図5】オペレータ構成基準に基づいてコンシューマＮＦについて許容されるサブスクリプションの数をポリシー化するために交換される例示的なメッセージを示すメッセージフロー図である。

【図6】オペレータ構成基準に基づいてコンシューマＮＦについて許容されるサブスクリプションの数をポリシー化することが、オペレータ定義最大限度を上回ったことに応答してサブスクリプションの確立を防止することをもたらす場合に交換される例示的なメッセージを示すメッセージフロー図である。

【図7】オペレータ構成基準に基づいてコンシューマＮＦからのサブスクリプションの数をポリシー化することによってＤｏＳ攻撃を緩和することができるコンシューマＮＦまたはＳＣＰを示すブロック図である。

【図8】オペレータ構成基準に基づいてコンシューマＮＦからのサブスクリプションの数をポリシー化することによってＤｏＳ攻撃を緩和するための例示的なプロセスを示すフローチャートである。

【発明を実施するための形態】

【0031】

詳細な説明
図１は、例示的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャは、同じホーム公衆陸上移動体通信網（home public land mobile network：ＨＰＬＭＮ）に位置し得るＮＲＦ１００とＳＣＰ１０１とを含む。上述のように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびそれらのサポートされるサービスのプロファイルを維持し、コンシューマＮＦまたはＳＣＰが、新たな／更新されたプロデューサＮＦサービスインスタンスをサブスクライブしてその登録を通知されることを可能にし得る。ＳＣＰ１０１はまた、サービス発見およびプロデューサＮＦインスタンスの選択をサポートし得る。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの接続の負荷分散を行ない得る。

【0032】

ＮＲＦ１００は、プロデューサＮＦインスタンスのＮＦプロファイルまたはサービスプロファイルのためのリポジトリである。プロデューサＮＦインスタンスと通信するために、コンシューマＮＦまたはＳＣＰは、ＮＲＦ１００からプロデューサＮＦインスタンスのＮＦプロファイルまたはサービスプロファイルを取得しなければならない。ＮＦプロファイルまたはサービスプロファイルは、第３世代パートナーシッププロジェクト（Third Generation Partnership Project：３ＧＰＰ（登録商標））技術仕様書（Technical Specification：ＴＳ）２９．５１０で定義されたＪａｖａＳｃｒｉｐｔ（登録商標）オブジェクト表記法（JavaScript object notation：ＪＳＯＮ）データ構造である。ＮＦプロファイルまたはサービスプロファイルの定義は、完全修飾ドメイン名（fully qualified domain name：ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレス、またはＩＰバージョン６（ＩＰｖ６）アドレスのうちの少なくとも１つを含む。

【0033】

図１では、ネットワーク機能はいずれも、それらがサービスを要求しているか、提供しているか、または、要求および提供しているかによって、コンシューマＮＦ、プロデューサＮＦ、またはそれら双方であり得る。図示された例では、ＮＦは、ネットワークにおいてポリシー関連動作を行なうＰＣＦ１０２と、ユーザデータを管理するＵＤＭ機能１０４と、アプリケーションサービスを提供するアプリケーション機能（application function：ＡＦ）１０６とを含む。

【0034】

図１に示されるＮＦはさらに、アクセスおよびモビリティ管理機能（access and mobility management function：ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（session management function：ＳＭＦ）１０８を含む。ＡＭＦ１１０は、４Ｇネットワークにおいてモビリティ管理エンティティ（mobility management entity：ＭＭＥ）によって行なわれるものと同様のモビリティ管理動作を行なう。認証サーバ機能（authentication server function：ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（user equipment：ＵＥ）１１４などのユーザ機器（ＵＥ）のための認証サービスを行なう。

【0035】

ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連付けられた特定のネットワーク能力および特性にアクセスしようとするデバイスのためのネットワークスライシングサービスを提供する。ネットワーク公開機能（network exposure function：ＮＥＦ）１１８は、ネットワークに接続されたインターネット・オブ・シングス（ＩｏＴ）デバイスおよび他のＵＥについての情報を取得しようとするアプリケーション機能のためのアプリケーションプログラミングインターフェイス（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークにおけるサービス能力公開機能（service capability exposure function：ＳＣＥＦ）と同様の機能を行なう。

【0036】

無線アクセスネットワーク（radio access network：ＲＡＮ）１２０は、無線リンクを介してユーザ機器（ＵＥ）１１４をネットワークに接続する。無線アクセスネットワーク１２０は、ｇノードＢ（ｇＮＢ）（図１に図示せず）または他の無線アクセスポイントを使用してアクセスされ得る。ユーザプレーン機能（user plane function：ＵＰＦ）１２２は、ユーザプレーンサービスのためのさまざまなプロキシ機能性をサポートすることができる。そのようなプロキシ機能性の一例は、マルチパス伝送制御プロトコル（multipath transmission control protocol：ＭＰＴＣＰ）プロキシ機能性である。ＵＰＦ１２２は性能測定機能性もサポートすることができ、それは、ネットワーク性能測定値を取得するためにＵＥ１１４によって使用され得る。図１にはデータネットワーク（data network：ＤＮ）１２４も図示されており、それを通してＵＥは、インターネットサービスなどのデータネットワークサービスにアクセスする。

【0037】

ＳＥＰＰ１２６は、別のＰＬＭＮからの着信トラフィックをフィルタリングし、ホームＰＬＭＮを出るトラフィックのためのトポロジ隠蔽を行なう。ＳＥＰＰ１２６は、外部ＰＬＭＮのためのセキュリティを管理する、当該外部ＰＬＭＮにおけるＳＥＰＰと通信し得る。このため、異なるＰＬＭＮにおけるＮＦ間のトラフィックは、ホームＰＬＭＮのためのＳＥＰＰ機能と外部ＰＬＭＮのためのＳＥＰＰ機能という２つのＳＥＰＰ機能を横断し得る。

【0038】

上述のように、５Ｇ通信ネットワークのための３ＧＰＰネットワークアーキテクチャでの１つの問題は、プロデューサＮＦが、コンシューマＮＦからの過剰なサブスクリプションから生じる処理に圧倒されるようになり得ることである。図２は、サブスクリプションを作成する際にＮＦサービスコンシューマとＮＦサービスプロデューサとの間で交換される例示的なメッセージを示すメッセージフロー図である。図２を参照して、ＮＦサービスコンシューマ２００は、他のＮＦにサブスクライブする、図１に示されたＮＦのうちのいずれかであり得る。ＮＦサービスプロデューサ２０２は、サブスクリプションを処理する、図１に示されたＮＦのうちのいずれかであり得る。図２におけるメッセージフローを参照して、ライン１で、ＮＦサービスコンシューマ２００はＨＴＴＰ Ｐｏｓｔ要求をＮＦサービスプロデューサ２０２に送信する。ＨＴＴＰ Ｐｏｓｔ要求は、通知をトリガする１組の事象をフィルタリングするための追加の基準を含むコールバックＵＲＩを含む。メッセージフロー図のライン２で、ＮＦサービスプロデューサ２０２は２０１ ＣｒｅａｔｅｄメッセージをＮＦサービスコンシューマ２００に送信する。２０１ Ｃｒｅａｔｅｄメッセージは、サブスクリプションが作成されたことを示す。

【0039】

サブスクリプションを作成して維持することは、ＮＦサービスプロデューサ２０２の処理リソース、メモリリソース、およびストレージリソースを利用する。たとえば、サブスクリプションに対応するレコードが、ＮＦサービスプロデューサ２０２によって維持されるサブスクリプションデータベースにおいて作成されなければならない。ＮＦサービスプロデューサ２０２は、ＮＦサービスコンシューマへの通知が必要とされるかどうかをそれが判定できるように、そのステータスの変化が生じたときにはいつでも、そのサブスクリプションデータベースにおけるレコードを繰り返しチェックしなければならない。ＮＦサービスプロデューサ２０２はまた、各サブスクリプションの満了時間を判定するために、各サブスクリプションのためのタイマーを維持しなければならない。更新または削除メッセージといった、既存のサブスクリプションに関連付けられた次のメッセージを処理することも、プロデューサＮＦ２０２のプロセッササイクルを消費する。オペレータ定義基準と一致するサブスクリプションの数のチェックまたは実施がないため、過剰なサブスクリプションがＮＦサービスプロデューサ２０２の処理容量を圧倒するおそれがある。

【0040】

図３は、サブスクリプションによって要求された通知をトリガする事象が生じた場合にＮＦサービスコンシューマ２００とＮＦサービスプロデューサ２０２との間で交換される例示的なメッセージを示す。図３を参照して、メッセージフロー図のライン１で、ＮＦサービスプロデューサ２０２は、通知を受信するためにＮＦサービスコンシューマ２００によって特定された基準と一致する事象が生じたと判定する。たとえば、ＮＦサービスプロデューサがＮＲＦである場合、事象は、通知を受信するためにＮＦサービスコンシューマ２００がサブスクライブした特定のサービスを提供するためにプロデューサＮＦが利用可能または利用不可能であるという、プロデューサＮＦからのメッセージの受信であり得る。この事象が生じると、ＮＦサービスプロデューサ２０２は、サブスクリプションによって要求されたデータを含むＨＴＴＰ ＰｏｓｔポストメッセージをＮＦサービスコンシューマ２００に送信する。通知中、サブスクリプションプロセス中に提供されたコールバックリファレンスが、Ｐｏｓｔ要求をＮＦサービスプロデューサ２０２からＮＦサービスコンシューマ２００に送信するために使用される。通知を送信する際、ＮＦサービスプロデューサ２０２はＨＴＴＰクライアントとして機能しており、ＮＦサービスコンシューマ２００はＨＴＴＰサーバとして機能している。図３に示されたメッセージフロー図のライン２で、ＮＦサービスコンシューマ２００は、Ｐｏｓｔメッセージがサブスクリプションに関する予想される通知に対応したかどうかに依存して、２００ ＯＫまたは２０４ Ｎｏ Ｃｏｎｔｅｎｔメッセージで通知に応答する。

【0041】

多数のＮＦサービスコンシューマと、単一のＮＦサービスコンシューマによって作成可能なサブスクリプションの数とを踏まえると、ＮＦサービスプロデューサのリソースが圧倒されるおそれがある。このシナリオは図４に示される。図４を参照して、ライン１で、ＮＦサービスコンシューマ２００は、サブスクリプション要求１を含むＰｏｓｔメッセージをＮＦサービスプロデューサ２０２に送信する。ＮＦサービスプロデューサ２０２はライン２で、サブスクリプション要求を含むＰｏｓｔメッセージを受信し、サブスクライブするノードを認証し、サブスクリプションの作成が成功したことを示す２０１ Ｃｒｅａｔｅｄメッセージで応答する。なお、ＮＦサービスコンシューマ２００によるサブスクリプションの数、ＮＦサービスコンシューマ２００のＰＬＭＮ、サブスクリプションの総数などに関し、チェックはない。したがって、ＮＦサービスプロデューサ２０２の処理リソース、メモリリソース、またはストレージリソースが枯渇するまで、ＮＦサービスコンシューマ２００は、ＮＦサービスプロデューサ２０２へのＮ個のサブスクリプションを作成し続け得る。Ｎ番目のサブスクリプションはラインＮによって示される。ラインＮ＋１で、ＮＦサービスプロデューサ２０２はＮ番目のサブスクリプションを作成し、２０１ Ｃｒｅａｔｅｄメッセージで応答する。

【0042】

ラインＮ＋２で、ＮＦサービスコンシューマ２００は、サブスクリプションＮ＋１を作成するための別のサブスクリプション要求をＮＦサービスプロデューサ２０２に送信する。ＮＦサービスプロデューサ２０２の処理リソースは、この時点で圧倒される。したがって、ＮＦサービスプロデューサ２０２はラインＮ＋３でエラーメッセージを送信するか、または、ＮＦサービスプロデューサ２０２が応答を生成するために十分な処理リソースを有していないためにＮＦサービスコンシューマ２００に応答できない。

【0043】

図４に示されたシナリオは望ましくない。なぜなら、ＮＦサービスプロデューサ２０２は、それがＮＦサービスコンシューマ２００からの過剰なサブスクリプションに起因して十分なリソースを有していないために、新たなサブスクリプション要求を処理できず、さらには、既存のサブスクリプションを取り扱うことすらできないかもしれないためである。しかしながら、ＮＦタイプ、ＰＬＭＮ、または他のパラメータに依存して、ＮＦサービスコンシューマが複数のサブスクリプションを作成するよう許容されるいくつかのシナリオがあり得る。

【0044】

図５は、ＮＦサービスプロデューサ２０２がオペレータ構成基準に基づいて許容サブスクリプションの数を制限する場合のメッセージの例示的な交換を示すメッセージフロー図である。図５を参照して、メッセージフロー図のステップ１で、ＮＦサービスコンシューマ２００はサブスクリプション要求をＮＦサービスプロデューサ２０２に送信する。ＮＦサービスプロデューサ２０２は、サービス要求メッセージにおけるＯＡｕｔｈトークンまたはトランスポート層セキュリティ（transport layer security：ＴＬＳ）証明書からのＮＦサービスコンシューマのアイデンティティ、ソースＰＬＭＮ、ＮＦタイプ、または他の好適なパラメータといったパラメータをサブスクリプション要求メッセージから抽出する。ステップ２で、ＮＦサービスプロデューサは、サブスクリプション要求メッセージから抽出されたパラメータが、サブスクリプションデータベース５００における複数のルールのうちのいずれかと一致するかどうかを判定する。メッセージパラメータがサブスクリプションデータベース５００におけるルールのうちのいずれかと一致する場合、ＮＦサービスプロデューサ２０２は、対応するルール（複数可）についてのサブスクリプションカウントをインクリメントし、サブスクリプションカウントがルールについてのサブスクリプションの許容数を上回るかどうかを判定する。図５に示された例示的なサブスクリプションデータベースにおいて、ルール基準は、ＮＦタイプと、ＰＬＭＮとＮＦタイプとの組合せと、ＮＦサービスプロデューサ２０２が取り扱うことができるサブスクリプションの最大総数についてのワイルドカードルールとを含む。なお、例示的なデータベースにおいて、「ＮＦタイプ」は、ネットワークオペレータによって特定されるであろうＮＦのタイプを表わす。たとえば、オペレータは、ＵＤＭからの許容サブスクリプションの最大数とは異なる、ＡＭＦのＮＦタイプについてのサブスクリプションの最大許容数を特定し得る。加えて、ＮＦサービスプロデューサ２０２によって取り扱われているサブスクリプションの数の現在のカウントが、各ルールについて格納される。なお、メッセージからの基準が複数のルールと一致する場合、一実現化例では、一致するルールについてのサブスクリプションの最大許容数のうちのいずれかの１つを上回る場合に、新たなサブスクリプションが拒否され得る。

【0045】

一致するルールについてのサブスクリプションカウントが、ルールについて特定されたサブスクリプションの最大許容数を上回らない場合、ＮＦサービスプロデューサ２０２は、ステップ４Ａで示されるように、サブスクリプションの作成成功を示すサブスクリプション応答メッセージで応答し得る。上述のように、サブスクリプション応答は、２０１ Ｃｒｅａｔｅｄメッセージであり得る。一致するルールについてのサブスクリプションカウントが、ルールについてのサブスクリプションの最大許容数を上回る場合、ＮＦサービスプロデューサ２０２は、ステップ４Ｂで示されるように、サブスクリプションの作成失敗を示す失敗応答メッセージを送信し得る。

【0046】

以下に示された表１は、サブスクリプションデータベース５００に含まれ得るサブスクリプションカウントデータをより詳細に示す。

【0047】

【表1】

【0048】

表１では、各行は、新たなサブスクリプション要求に対して比較するためのルールに対応する。各ルールは、ルール基準と、許容サブスクリプションの対応する最大数と、各ルールと一致する、ＮＦによって現在取り扱われているサブスクリプションの現在のサブスクリプションカウントとを含む。表１における第１のルールは、ＰＬＭＮ１については、サブスクリプションの最大許容数がＭＡＸ１であるということを示す。表１における第２のルールは、基準ＰＬＭＮ１およびＮＦＴＹＰＥ１については、許容サブスクリプションの最大数がＭＡＸ２であるということを示す。表１における第３のルールは、ＰＬＭＮ１およびＮＦＴＹＰＥ２については、許容サブスクリプションの最大数がＭＡＸ３であるということを示す。表１における第４のルールは、ＮＦＴＹＰＥ１についての許容サブスクリプションの最大数がＭＡＸ４であるということを示す。表１における第５のルールは、ＮＦＩＮＳＴＡＮＣＥＩＤ１についての許容サブスクリプションの最大数がＭＡＸ５であるということを示す。

【0049】

サブスクリプションカウントも各ルールについて維持される。上述のように、サブスクリプションカウントとは、各ルールと一致する、ＮＦによって取り扱われているサブスクリプションの現在の数である。表１では、ＮＦＩＮＳＴＡＮＣＥＩＤ１およびＮＦＴＹＰＥ１というＮＦタイプを有するＮＦからのサブスクリプション要求がＰＬＭＮ１から受信された場合、ルール１、２、４、および５のサブスクリプションカウントが各々インクリメントされるであろう。なぜなら、サブスクリプション要求が、これらのルールの各々について特定された基準と一致するためである。一致するルールのうちのいずれかについてのサブスクリプションの最大数を上回る場合、一実現化例では、サブスクリプション要求は拒否されるであろう。

【0050】

図６は、一致するルールについての許容サブスクリプションの最大数を上回る場合にサブスクリプションを拒絶する際のＮＦサービスプロデューサ２０２の動作を示すメッセージフロー図である。図６を参照して、ステップ１で、ＮＦサービスコンシューマ２００は、サブスクリプション１についてのサブスクリプション要求を有するＰｏｓｔメッセージをＮＦサービスプロデューサ２０２に送信する。ステップ２で、ＮＦサービスプロデューサ２０２は、図６の例ではＮＦ１についてのＮＦインスタンスＩＤのみを含む一致するルールを探し出し、一致するルールについてのサブスクリプションカウントをインクリメントし、インクリメントされたサブスクリプションカウントが、許容サブスクリプションの最大数を上回ることを引き起こすかどうかを判定する。図６の例示的なルールでは、ルールについての許容サブスクリプションの最大数はＮであり、ここでＮ＞１である。したがって、サブスクリプション要求１についてのＰｏｓｔメッセージは、許容サブスクリプションの最大数を上回ることを引き起こさず、ステップ３で、ＮＦサービスプロデューサ２０２はサブスクリプションを作成し、サブスクリプション１が作成されたことを示すメッセージをＮＦサービスコンシューマ２００に送信する。

【0051】

ＮＦサービスプロデューサ２０２は、ＮＦサービスコンシューマ２００から新たなサブスクリプションを受け付け続ける。図６のメッセージフローのステップＮで、ＮＦサービスコンシューマ２００は、サブスクリプションＮについてのＰｏｓｔメッセージをＮＦサービスプロデューサ２０２に送信する。この例では、サブスクリプションＮは、ＮＦサービスコンシューマ２００から受信されたＮ番目のアクティブなサブスクリプションであると仮定される。ステップＮ＋１で、ＮＦサービスプロデューサ２０２は現在のサブスクリプションカウントをインクリメントし、それは、現在のカウントがＮと等しいことをもたらす。したがって、サブスクリプションカウントが許容サブスクリプションの最大数と等しいため、ステップＮ＋２で、ＮＦサービスプロデューサ２０２はサブスクリプションを作成し、サブスクリプションＮが作成されたことを示す２０１ ＣｒｅａｔｅｄメッセージでＮＦサービスコンシューマ２００に応答する。

【0052】

ステップＮ＋３で、ＮＦサービスコンシューマ２００は、（Ｎ＋１）番目のサブスクリプションを作成するためにＰｏｓｔメッセージをＮＦサービスプロデューサ２０２に送信する。ステップＮ＋４で、ＮＦサービスプロデューサ２０２は現在のサブスクリプションカウントをインクリメントし、現在のサブスクリプションカウントが許容サブスクリプションの最大数を上回るかどうかを判定する。この例では、許容サブスクリプションの最大数はＮであり、それは、インクリメントされた現在のサブスクリプションカウント（Ｎ＋１）よりも小さい。したがって、ＮＦサービスプロデューサ２０２は新たなサブスクリプションを作成せず、オプションで、ステップＮ＋５によって示されるように、サブスクリプションの最大数を上回ったことを示すメッセージをＮＦサービスコンシューマ２００に送信する。

【0053】

このため、図６のステップを使用して、ルールごとにサブスクリプションの最大許容数を維持することによって、ＮＦサービスプロデューサ２０２は、ＮＦサービスコンシューマからの有効なサービス拒否攻撃の可能性を減少させる。上に示された他の例では、ＰＬＭＮ、ＮＦタイプ、または任意の他のオペレータ特定基準からのそのような攻撃の有効性を減少させることができる。本明細書に記載されている主題はまた、故意でないサービス拒否の可能性、すなわち、ＮＦコンシューマが多過ぎる正規のサブスクリプション要求をＮＦサービスプロデューサに送信する可能性を減少させる。なお、データベース５００における個々のルールについての許容サブスクリプションの最大数は、ネットワークオペレータの要件に従ったコンシューマＮＦ間のリソースの相対的な割り当てを保証するように設定され得る。すべてのルールにわたる、または、ワイルドカード基準を有するデフォルトルールによって特定されるような、許容サブスクリプションの総数は、許容サブスクリプションの最大総数に達した場合に、ＮＦサービスプロデューサ２０２が、ＮＦサービスプロデューサ動作を取り扱うために利用可能である設計された量の確保された処理容量、ストレージ容量、および／またはメモリ容量を有し得るように設定され得る。

【0054】

図７は、本明細書に記載されているようにＮＦサブスクリプションポリシー化を行なうＮＦ７００のための例示的なアーキテクチャを示すブロック図である。なお、ＮＦサービスプロデューサ２０２に関して上述されたサブスクリプションポリシー化機能性は、それに代えてＳＣＰで実現され得る。なぜなら、ＳＣＰはサブスクリプション要求メッセージをルーティングし、よって、プロデューサＮＦについての許容サブスクリプションの最大数を上回らないことを保証するようにサブスクリプション要求メッセージがポリシー化される場所であり得るためである。したがって、図７では、ＮＦ７００は、ＮＦサービスプロデューサ２０２、または、メッセージをプロデューサＮＦへルーティングし、プロデューサＮＦに代わってサブスクリプションポリシー化を行なうＳＣＰといった、プロデューサＮＦであり得る。図７では、ＮＦ７００は、少なくとも１つのプロセッサ７０２と、メモリ７０４とを含む。ＮＦ７００はまた、ＮＦ７００がＮＦサービスプロデューサである場合にサブスクリプションに関連するデータを格納するＮＦサブスクリプションデータベース７０６を含み得る。ＮＦサブスクリプションデータベース７０６はまた、（ＮＦ７００がＮＦサービスプロデューサまたはＳＣＰである場合に）表１に関して上述された最大許容サブスクリプションルールを格納し得る。ＮＦが、コンシューマＮＦからサブスクリプション受信して処理するＮＦサービスプロデューサである場合、ＮＦ７００はさらにＮＦサブスクリプションハンドラ７０８を含む。ＮＦ７００がＮＦサービスプロデューサまたはＳＣＰである場合、ＮＦ７００は、ＮＦサブスクリプションデータベース７０６にプロビジョニングされたルールについての許容サブスクリプションの最大数を上回らないことを保証するように上述のポリシー化を行なうＮＦサブスクリプションポリサー７１０を含み得る。

【0055】

ＮＦ７００がＳＣＰである場合、サブスクリプションデータベース７０６には、表１に示されるようなサブスクリプションポリシー化ルールが、ＳＣＰがサブスクリプション要求メッセージをルーティングする各ＮＦサービスプロデューサについて、ＮＦサービスプロデューサごとにプロビジョニングされ得る。複数のＮＦサービスプロデューサに代わってサブスクリプションをポリシー化するためにＳＣＰなどの集中型ノードを使用することは、スケーラビリティおよび効率の観点から有利であり得る。サブスクリプション要求がサブスクリプションポリシー化に合格した場合、ＳＣＰとして機能するＮＦ７００は、要求されたサブスクリプションを作成できるプロデューサＮＦへサブスクリプション要求メッセージをルーティングし得る。サブスクリプション要求メッセージがサブスクリプションポリシー化に合格しなかった場合、ＮＦ７００は、メッセージをプロデューサＮＦへルーティングする代わりにメッセージを破棄してもよく、それにより、要求されたサブスクリプションが確立されることを防止する。

【0056】

図８は、サブスクリプションルールに基づいてプロデューサＮＦまたはＳＣＰでのサービス拒否攻撃を緩和するための例示的なプロセスを示すフローチャートである。図８を参照して、ステップ８００で、プロセスは、第１のＮＦで、許容サブスクリプションの最大数を特定するルールと対応する基準とを含むＮＦサブスクリプションデータベースを維持するステップを含む。たとえば、第１のＮＦは、プロデューサＮＦまたはＳＣＰであり得る。ＮＦサブスクリプションデータベースは、ＮＦインスタンスＩＤ、ＰＬＭＮ ＩＤ、ＮＦタイプ、またはそれらの任意の組合せといった基準を特定し、各組の基準と一致する許容サブスクリプションの最大数を特定し得る。

【0057】

ステップ８０２で、プロセスは、第１のＮＦで、サブスクリプションを確立するために第２のＮＦからサブスクリプション要求を受信するステップを含む。たとえば、プロデューサＮＦまたはＳＣＰは、サブスクリプション要求を受信したプロデューサＮＦのステータス、または、ＳＣＰの場合には、ＳＣＰがコンシューマＮＦに代わってメッセージをルーティングするプロデューサのステータスに関する更新の通知を受信するために、サブスクリプション要求を受信し得る。ステップ８０４で、プロセスは、第１のＮＦが、サブスクリプション要求はＮＦサブスクリプションデータベースにおける少なくとも１つのルールについての基準と一致すると判定するステップを含む。たとえば、プロデューサＮＦまたはＳＣＰは、サブスクリプション要求メッセージから、ＮＦインスタンスＩＤ、ＮＦタイプ、ＰＬＭＮ ＩＤなどといったパラメータを抽出し、これらのパラメータを使用してＮＦサブスクリプションデータベースにおいてルックアップを行ない得る。第１のＮＦは、メッセージから抽出されたパラメータをデータベースにおける各ルールについてのルール基準と比較し、１つ以上の一致するルールを識別し得る。

【0058】

ステップ８０６で、プロセスは、第１のＮＦが、一致するルールのサブスクリプションカウントをインクリメントするステップを含む。たとえば、プロデューサＮＦまたはＳＣＰは、所与のルールについての基準と一致するメッセージをＳＣＰがルーティングするプロデューサＮＦ（複数可）によって維持されるアクティブなサブスクリプションの数を示す、各ルールについてのサブスクリプションカウントを維持し得る。新たなサブスクリプションについての要求が受信されると、プロデューサＮＦまたはＳＣＰは、一致する各ルールについてのサブスクリプションカウントを更新またはインクリメントし得る。

【0059】

ステップ８０８で、プロセスは、第１のＮＦが、サブスクリプションカウントは一致するルールのうちの１つ以上についての許容サブスクリプションの最大数を上回ると判定するステップを含む。たとえば、プロデューサＮＦまたはＳＣＰは、現在のサブスクリプション要求から抽出または導き出されたパラメータと一致するとして識別された各ルールについてのサブスクリプションカウントを更新し、ルールのうちの１つについての最大カウントを上回ると判定し得る。

【0060】

ステップ８１０で、プロセスは、サブスクリプションの作成を防止するステップを含む。たとえば、現在のサブスクリプション要求のためのサブスクリプションを作成することによって、ルールのうちのいずれかについての最大許容サブスクリプションカウントを上回るであろうとプロデューサＮＦまたはＳＣＰが判定した場合、プロデューサＮＦまたはＳＣＰは、第１のサブスクリプションが確立されることを防止し、サブスクリプション要求メッセージを除外または破棄し、オプションで、サブスクリプション要求を送信したコンシューマＮＦにエラーメッセージを送信し得る。

【0061】

このため、本明細書に記載されている主題は、プロデューサＮＦまたはＳＣＰでの過剰なサブスクリプションの可能性を減少させることによって、サービス拒否攻撃を緩和する。上述のように、本明細書に記載されている主題は、コンシューマＮＦと通信するためにサブスクリプションを利用するあらゆるプロデューサＮＦに、または、サブスクリプション要求メッセージをプロデューサＮＦへルーティングするＳＣＰによって、適用可能である。本明細書に記載されている主題が実現され得るプロデューサＮＦの例は、ＮＲＦ、ＰＣＦ、ＢＳＦ、ＮＳＳＦ、ＵＤＲ、ＵＤＭ、またはＮＥＦを含む。ＮＲＦまたはＳＣＰなどの集中型ノードで本明細書に記載されている主題を実現することは、特に有利であると考えられる。なぜなら、そのようなノードは、それらが取り扱い得るサブスクリプションの数に起因して、サービス拒否攻撃についてのリスクが高い場合があるためである。

【0062】

以下の参考文献の各々の開示は、その全体がここに引用により援用される：
参考文献
１．３ＧＰＰ ＴＳ ２３．５０２ Ｖ１６．７．０（２０２０－１２）、第３世代パートナーシッププロジェクト；技術仕様書 グループサービスおよびシステム局面；５Ｇシステム（5G System：５ＧＳ）のための手順；ステージ２（リリース１６）
２．３ＧＰＰ ＴＳ ２３．５０１ Ｖ１６．７．０（２０２０－１２）、第３世代パートナーシッププロジェクト；技術仕様書 グループサービスおよびシステム局面；５Ｇシステム（５ＧＳ）のためのシステムアーキテクチャ；ステージ２（リリース１６）
３．３ＧＰＰ ＴＳ ２９．５１０ Ｖ１７．０．０（２０２０－１２）、第３世代パートナーシッププロジェクト；技術仕様書 グループコアネットワークおよび端末；５Ｇシステム；ネットワーク機能リポジトリサービス；ステージ３（リリース１７）。

【0063】

本明細書に記載されている主題のさまざまな詳細は、本明細書に記載されている主題の範囲から逸脱することなく変更され得るということが理解されるであろう。さらに、本明細書に記載されている主題は、以下に述べられるような請求項によって定義されるため、上述の説明は、限定のためではなく、例示のためのものであるに過ぎない。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【国際調査報告】