特表 2024-533280 過負荷制御情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法、システム、およびコンピュータ可読プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-09-12

(54)【発明の名称】過負荷制御情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法、システム、およびコンピュータ可読プログラム

(51)【国際特許分類】

   H04W 12/122 20210101AFI20240905BHJP

   H04W 12/69 20210101ALI20240905BHJP

   H04W 88/14 20090101ALI20240905BHJP

【ＦＩ】

H04W12/122

H04W12/69

H04W88/14

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024514704

(86)(22)【出願日】2022-08-10

(85)【翻訳文提出日】2024-05-02

(86)【国際出願番号】 US2022039977

(87)【国際公開番号】W WO2023038756

(87)【国際公開日】2023-03-16

(31)【優先権主張番号】17/468,117

(32)【優先日】2021-09-07

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】502303739

【氏名又は名称】オラクル・インターナショナル・コーポレイション

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】ラジプット，ジャイ

(72)【発明者】

【氏名】シング，ビレンドラ

(72)【発明者】

【氏名】スリバスタバ，アンキット

【テーマコード（参考）】

5K067

【Ｆターム（参考）】

5K067AA30

5K067DD57

5K067EE16

5K067HH22

5K067HH23

(57)【要約】

本明細書に記載される主題は、ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法を含む。方法は、サービスベースインタフェース（ＳＢＩ）要求メッセージを受信し、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得し、ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、ＮＦプロファイル情報を記憶し、過負荷制御情報および過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信し、記憶されたＮＦプロファイル情報を使用して、過負荷制御情報におけるスコープ情報が有効であるかどうかを決定し、過負荷制御情報におけるスコープ情報が無効であると決定することに応じて、ＳＢＩ応答メッセージを拒否することを含む。

【特許請求の範囲】

【請求項1】

ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法であって、
少なくとも１つのプロセッサを含むＮＦにおいて、
サービスベースインタフェース（ＳＢＩ）要求メッセージを受信することと、
前記ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することと、
前記ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、前記ＮＦプロファイル情報を前記ＮＦのメモリに記憶することと、
過負荷制御情報および前記過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信することと、
前記記憶されたＮＦプロファイル情報を使用して、前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することと、
前記過負荷制御情報における前記スコープ情報が無効であると決定することに応じて、前記ＳＢＩ応答メッセージを拒否することとを含む、方法。

【請求項2】

前記ターゲットリソース識別情報を取得することは、前記ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることを含む、請求項１に記載の方法。

【請求項3】

前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることは、前記ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する構成要素の値を読み取ることを含む、請求項２に記載の方法。

【請求項4】

前記ＮＦプロファイル情報を取得することは、前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの構成要素の値のうちの前記１つ以上を使用して、ＮＦプロファイルデータベース内のルックアップを実行し、前記ターゲットリソースをホストする前記ＮＦの前記ＮＦプロファイルの位置を特定することを含む、請求項３に記載の方法。

【請求項5】

前記ターゲットリソースをホストする前記プロデューサＮＦの前記ＮＦプロファイルの属性に対応する前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値を読み取ることは、スキーム構成要素、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を読み取ることを含む、請求項３に記載の方法。

【請求項6】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、ＮＦインスタンスＩＤ、ＮＦセットＩＤ、ＮＦサービスインスタンスＩＤ、ＮＦサービスセットＩＤ、単一ネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ）、送信先ネットワーク名（ＤＮＮ）、コールバックユニフォームリソース識別子（ＵＲＩ）、およびサービス通信プロキシ（ＳＣＰ）完全修飾ドメイン名（ＦＱＤＮ）のうちの１つ以上を３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素の対応する構成要素の値と比較することを含む、先行する請求項のいずれかに記載の方法。

【請求項7】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致しないとの決定に応答して、前記過負荷制御情報における前記スコープ情報が無効であると決定することを含む、請求項１～請求項５のいずれかに記載の方法。

【請求項8】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致するとの決定に応答して、前記過負荷制御情報における前記スコープ情報が有効であると決定することを含む、請求項１～請求項５のいずれかに記載の方法。

【請求項9】

前記ネットワーク機能がサービス通信プロキシ（ＳＣＰ）を含む、先行する請求項のいずれかに記載の方法。

【請求項10】

前記ＮＦが、セキュリティエッジ保護プロキシ（ＳＥＰＰ）またはコンシューマＮＦを含む、先行する請求項のいずれかに記載の方法。

【請求項11】

ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するためのシステムであって、
少なくとも１つのプロセッサおよびメモリを含むＮＦと、
サービスベースインタフェース（ＳＢＩ）要求メッセージを受信し、前記ＳＢＩ要求メッセージからターゲットリソース識別情報を取得し、前記ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、前記ＮＦプロファイル情報を前記メモリに記憶し、過負荷制御情報および前記過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信し、前記記憶されたＮＦプロファイル情報を使用して、前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定し、前記過負荷制御情報における前記スコープ情報が無効であると決定することに応じて、前記ＳＢＩ応答メッセージを拒否するためのｏｌｃＳｃｏｐｅバリデータとを備える、システム。

【請求項12】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから１つ以上の構成要素の値を読み取ることによって前記ターゲットリソース識別情報を取得するように構成される、請求項１１に記載のシステム。

【請求項13】

前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値は、前記ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する値を含む、請求項１２に記載のシステム。

【請求項14】

前記ｏｌｃＳｃｏｐｅバリデータは、前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記属性の値のうちの１つ以上の値を使用してＮＦプロファイルデータベース内のルックアップを実行することによって前記ＮＦプロファイル情報を取得し、前記ターゲットリソースをホストする前記ＮＦの前記ＮＦプロファイルの位置を特定するように構成される、請求項１３に記載のシステム。

【請求項15】

前記ターゲットリソースをホストする前記プロデューサＮＦの前記ＮＦプロファイルの属性に対応する前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値は、スキーム属性、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を含む、請求項１３に記載のシステム。

【請求項16】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報と前記過負荷制御情報における前記スコープ情報とを比較することによって前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定するように構成される、請求項１１～請求項１５のいずれかに記載のシステム。

【請求項17】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致しないとの決定に応答して、前記過負荷制御情報における前記スコープ情報が無効であると決定するように構成される、請求項１１～請求項１５のいずれかに記載のシステム。

【請求項18】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致するという決定に応答して、前記過負荷制御情報における前記スコープ情報が有効であると決定するように構成される、請求項１１～請求項１５のいずれかに記載のシステム。

【請求項19】

前記ネットワーク機能は、サービス通信プロキシ（ＳＣＰ）、セキュリティエッジ保護プロキシ（ＳＥＰＰ）、またはコンシューマＮＦを含む、請求項１１～請求項１８のいずれかに記載のシステム。

【請求項20】

コンピュータのプロセッサによって実行されると、ネットワーク機能（ＮＦ）において、
サービスベースインタフェース（ＳＢＩ）要求メッセージを受信することと、
前記ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することと、
前記ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、前記ＮＦプロファイル情報を前記ＮＦのメモリに記憶することと、
過負荷制御情報および前記過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信することと、
前記記憶されたＮＦプロファイル情報を使用して、前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することと、
前記過負荷制御情報における前記スコープ情報が無効であると決定することに応じて、前記ＳＢＩ応答メッセージを拒否することと、
を含むステップを実行するように前記コンピュータを制御する実行可能命令が記憶された非一時的コンピュータ可読媒体。

【発明の詳細な説明】

【技術分野】

【0001】

優先権の主張
この出願は、その開示内容全体が参照により本明細書に組み込まれる、２０２１年９月７日に出願された米国特許出願第１７／４６８，１１７号の優先権の利益を主張する。

【0002】

技術分野
本明細書中に記載される主題は、ＤｏＳ攻撃が成功する可能性を減らすことに関する。より詳細には、本明細書中に記載される主題は、ターゲットリソース識別情報を使用して取得されるＮＦプロファイル情報に対してＯＣＩスコープ情報を検証することによってＤｏＳ攻撃が成功する可能性を低減するための方法、システム、およびコンピュータ可読媒体に関する。

【背景技術】

【0003】

背景
５Ｇ通信ネットワークにおいて、サービスを提供するネットワーク機能は、プロデューサネットワーク機能（ＮＦ）またはＮＦサービスプロデューサと称される。サービスを消費するネットワーク機能は、コンシューマＮＦまたはＮＦサービスコンシューマと称される。ネットワーク機能は、ネットワーク機能がサービスを消費しているのか、生産しているのか、あるいは消費して生産しているのかどうかに応じて、プロデューサＮＦ、コンシューマＮＦ、またはその両方になることができる。「プロデューサＮＦ」および「ＮＦサービスプロデューサ」という用語は、本明細書では置き替え可能に使用される。同様に、「コンシューマＮＦ」および「ＮＦサービスコンシューマ」という用語は、本明細書では置き替え可能に使用される。

【0004】

所定のプロデューサＮＦは多くのサービスエンドポイントを有する場合があり、この場合、１つのサービスエンドポイントが、プロデューサＮＦによってホストされる１つ以上のＮＦインスタンスの連絡先である。サービスエンドポイントは、インターネットプロトコル（ＩＰ）アドレスとポート番号との組み合わせ、またはプロデューサＮＦをホストするネットワークノード上のＩＰアドレスとポート番号とに分解する完全修飾ドメイン名によって識別される。ＮＦインスタンスは、サービスを提供するプロデューサＮＦのインスタンスである。所定のプロデューサＮＦが複数のＮＦインスタンスを含む場合がある。複数のＮＦインスタンスが同じサービスエンドポイントを共有できることにも留意すべきである。

【0005】

プロデューサＮＦは、ネットワーク機能リポジトリ機能（ＮＲＦ）に登録する。ＮＲＦは、各ＮＦインスタンスによってサポートされるサービスを識別する利用可能なＮＦインスタンスのサービスプロファイルを維持する。「サービスプロファイル」および「ＮＦプロファイル」という用語は、本明細書では置き替え可能に使用される。コンシューマＮＦは、ＮＲＦに登録しているプロデューサＮＦインスタンスに関する情報を受信するためにサブスクライブできる。

【0006】

コンシューマＮＦに加えて、ＮＦサービスインスタンスに関する情報を受信するためにサブスクライブできる別のタイプのネットワークノードは、サービス通信プロキシ（ＳＣＰ）である。ＳＣＰは、ＮＲＦとサブスクライブし、プロデューサＮＦサービスインスタンスに関する到達可能性およびサービスプロファイル情報を取得する。コンシューマＮＦはサービス通信プロキシに接続し、サービス通信プロキシ負荷は、必要なサービスを提供するプロデューサＮＦサービスインスタンス間でトラフィックを釣り合わせ、あるいは、トラフィックを送信先プロデューサＮＦインスタンスへ直接にルーティングする。

【0007】

ＳＣＰに加えて、プロデューサとコンシューマＮＦとの間でトラフィックをルーティングする中間プロキシノードまたはネットワークノードのグループの他の例としては、セキュリティエッジ保護プロキシ（ＳＥＰＰ）、サービスゲートウェイ、および５Ｇサービスメッシュのノードが挙げられる。ＳＥＰＰは、異なる５Ｇパブリックランドモバイルネットワーク（ＰＬＭＮ）間で交換されるコントロールプレーントラフィックを保護するために使用されるネットワークノードである。そのため、ＳＥＰＰは、ＰＬＭＮ間で送信される全てのアプリケーションプログラミングインタフェース（ＡＰＩ）メッセージに関してメッセージフィルタリング、ポリシング、およびトポロジ隠蔽を実行する。

【0008】

５Ｇ通信ネットワークにおける問題の１つは、ハッカーが誤った過負荷制御情報スコープで過負荷制御情報を送信し、ピアＮＦに別のＮＦへのトラフィックの送信を停止させる場合に起こり得る。ＮＦに送信側ＮＦへのトラフィックを抑制させて送信側ＮＦが負荷を軽減できるようにするべく、送信側ＮＦが過負荷になるときに、過負荷制御情報がＮＦによってピアＮＦに送信される。過負荷制御情報は、スコープ構成要素を含むＯＣＩヘッダで通信され、スコープ構成要素の値は、過負荷制御情報が関連するスコープを識別する（つまり、１つ以上のピアネットワーク機能識別情報）。送信ノードが指定されたスコープでＯＣＩ情報を送信する権限を持っているかどうかを確認するためのＯＣＩヘッダ内の情報の検証はない。

【0009】

したがって、ネットワーク内のＯＣＩスコープ情報を検証するための改善された方法、システム、およびコンピュータ可読媒体の必要性が存在する。

【発明の概要】

【課題を解決するための手段】

【0010】

概要
ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法は、少なくとも１つのプロセッサを含むＮＦにおいて実行されるステップを含む。ステップは、サービスベースインタフェース（ＳＢＩ）要求メッセージを受信することを含む。ステップは、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することを更に含む。ステップは、ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、ＮＦプロファイル情報をＮＦのメモリに記憶することを更に含む。ステップは、過負荷制御情報および過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信することを更に含む。ステップは、記憶されたＮＦプロファイル情報を使用して、過負荷制御情報におけるスコープ情報が有効であるかどうかを決定することを更に含む。ステップは、過負荷制御情報におけるスコープ情報が無効であると決定することに応じて、ＳＢＩ応答メッセージを拒否することを更に含む。

【0011】

本明細書中に記載される主題の他の態様によれば、ターゲットリソース識別情報を取得することは、ＳＢＩ要求メッセージの３ｇｐｐ（登録商標）－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることを含む。

【0012】

本明細書中に記載される主題の他の態様によれば、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の属性の値を読み取ることは、ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する１つ以上の構成要素の値を読み取ることを含む。

【0013】

本明細書中に記載される主題の他の態様によれば、ＮＦプロファイル情報を取得することは、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの構成要素の値のうちの１つ以上を使用して、ＮＦプロファイルデータベース内のルックアップを実行し、ターゲットリソースをホストするＮＦのＮＦプロファイルの位置を特定することを含む。

【0014】

本明細書中に記載される主題の他の態様によれば、ターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることは、スキーム構成要素、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を読み取ることを含む。

【0015】

本明細書中に記載される主題の他の態様によれば、ＮＦプロファイル情報を使用して過負荷制御情報におけるスコープ情報が有効であるかどうかを決定することは、ＮＦインスタンスＩＤ、ＮＦセットＩＤ、ＮＦサービスインスタンスＩＤ、ＮＦサービスセットＩＤ、単一ネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ）、送信先ネットワーク名（ＤＮＮ）、コールバックユニフォームリソース識別子（ＵＲＩ）、およびサービス通信プロキシ（ＳＣＰ）完全修飾ドメイン名（ＦＱＤＮ）のうちの１つ以上を３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素の対応する構成要素の値と比較することを含む。

【0016】

本明細書中に記載される主題の他の態様によれば、ＮＦプロファイル情報を使用して過負荷制御情報におけるスコープ情報が有効であるかどうかを決定することは、ＮＦプロファイル情報が過負荷制御情報におけるスコープ情報と一致しないとの決定に応答して、過負荷制御情報におけるスコープ情報が無効であると決定することを含む。

【0017】

本明細書中に記載される主題の他の態様によれば、ＮＦプロファイル情報を使用して過負荷制御情報におけるスコープ情報が有効であるかどうかを決定することは、ＮＦプロファイル情報が過負荷制御情報におけるスコープ情報と一致するとの決定に応答して、過負荷制御情報におけるスコープ情報が有効であると決定することを含む。

【0018】

本明細書中に記載される主題の他の態様によれば、ＮＦがサービス通信プロキシ（ＳＣＰ）を含む。

【0019】

本明細書中に記載される主題の他の態様によれば、ＮＦが、セキュリティエッジ保護プロキシ（ＳＥＰＰ）またはコンシューマＮＦを含む。

【0020】

本明細書中に記載される主題の他の態様によれば、ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するためのシステムが提供される。システムは、少なくとも１つのプロセッサおよびメモリを含むＮＦを含む。システムは、サービスベースインタフェース（ＳＢＩ）要求メッセージを受信し、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得し、ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、ＮＦプロファイル情報をメモリに記憶し、過負荷制御情報および過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信し、記憶されたＮＦプロファイル情報を使用して、過負荷制御情報におけるスコープ情報が有効であるかどうかを決定し、過負荷制御情報におけるスコープ情報が無効であると決定することに応じて、ＳＢＩ応答メッセージを拒否するためのｏｌｃＳｃｏｐｅバリデータを更に含む。

【0021】

本明細書中に記載される主題の他の態様によれば、ｏｌｃＳｃｏｐｅバリデータは、ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから１つ以上の構成要素の値を読み取ることによってターゲットリソース識別情報を取得するように構成される。

【0022】

本明細書中に記載される主題の他の態様によれば、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値は、ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する値を含む。

【0023】

本明細書中に記載される主題の他の態様によれば、ｏｌｃＳｃｏｐｅバリデータは、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの属性の値のうちの１つ以上の値を使用してＮＦプロファイルデータベース内のルックアップを実行することによってＮＦプロファイル情報を取得し、ターゲットリソースをホストするＮＦのＮＦプロファイルの位置を特定するように構成される。

【0024】

本明細書中に記載される主題の他の態様によれば、ターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値は、スキーム属性、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を含む。

【0025】

本明細書中に記載される主題の他の態様によれば、ｏｌｃＳｃｏｐｅバリデータは、ＮＦプロファイル情報と過負荷制御情報におけるスコープ情報とを比較することによって過負荷制御情報におけるスコープ情報が有効であるかどうかを決定するように構成される。

【0026】

本明細書中に記載される主題の他の態様によれば、ｏｌｃＳｃｏｐｅバリデータは、ＮＦプロファイル情報が過負荷制御情報におけるスコープ情報と一致しないとの決定に応答して、過負荷制御情報におけるスコープ情報が無効であると決定するように構成される。

【0027】

本明細書中に記載される主題の他の態様によれば、ｏｌｃＳｃｏｐｅバリデータは、ＮＦプロファイル情報が過負荷制御情報におけるスコープ情報と一致するという決定に応答して、過負荷制御情報におけるスコープ情報が有効であると決定するように構成される。

【0028】

本明細書中に記載される主題の他の態様によれば、ネットワーク機能は、サービス通信プロキシ（ＳＣＰ）、セキュリティエッジ保護プロキシ（ＳＥＰＰ）、またはコンシューマＮＦを含む。

【0029】

本明細書中に記載される主題の他の態様によれば、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御する実行可能命令が記憶された非一時的コンピュータ可読媒体が提供される。ステップは、サービスベースインタフェース（ＳＢＩ）要求メッセージを受信することを含む。ステップは、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することを更に含む。ステップは、ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、ＮＦプロファイル情報をＮＦのメモリに記憶することを更に含む。ステップは、過負荷制御情報および過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信することを更に含む。ステップは、記憶されたＮＦプロファイル情報を使用して、過負荷制御情報におけるスコープ情報が有効であるかどうかを決定することを更に含む。ステップは、過負荷制御情報におけるスコープ情報が無効であると決定することに応じて、ＳＢＩ応答メッセージを拒否することを更に含む。本明細書中に記載される主題は、ハードウェアおよび／またはファームウェアと組み合わせたソフトウェアで実装することができる。例えば、本明細書中に記載される主題は、プロセッサによって実行されるソフトウェアで実装することができる。１つの典型的な実装形態では、本明細書中に記載される主題は、コンピュータのプロセッサによって実行されると、ステップを実行するようにコンピュータを制御するコンピュータ実行可能命令が記憶された非一時的コンピュータ可読媒体を使用して実装することができる。本明細書中に記載される主題を実装するのに適した典型的なコンピュータ可読媒体としては、ディスクメモリデバイス、チップメモリデバイス、プログラマブルロジックデバイス、および特定用途向け集積回路などの非一時的コンピュータ可読媒体が挙げられる。更に、本明細書中に記載される主題を実装するコンピュータ可読媒体は、単一のデバイスまたはコンピューティングプラットフォーム上に配置されてもよく、あるいは複数のデバイスまたはコンピューティングプラットフォームに分散されてもよい。

【0030】

ここで、本明細書中に記載される主題の典型的な実装について添付図面を参照して説明する。

【図面の簡単な説明】

【0031】

【図1】典型的な５Ｇシステムネットワークアーキテクチャを示すネットワーク図である。

【図2】ＯＣＩスコープ情報を検証するために使用できるＮＦプロファイルの典型的な属性を示すブロック図である。

【図3】ハッカーが偽のＯＣＩスコープ情報を伴うＳＢＩメッセージを使用してＤｏＳ攻撃を開始する場合に交換される典型的なメッセージを示すメッセージフロー図である。

【図4】ターゲットリソース識別情報を使用して取得されるＮＦプロファイル情報に対してＯＣＩスコープ情報を検証することによってＤｏＳ攻撃が成功する可能性を低減するために交換される典型的なメッセージを示すメッセージフロー図である。

【図5】３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダ構成要素と、ＳＣＰまたは他のＮＦがＯＣＩスコープ情報を検証するために使用できるＮＦプロファイル属性との間の典型的なマッピングを示すブロック図である。

【図6】ＤｏＳ攻撃が成功する可能性を低減するためにＯＣＩスコープ情報を検証するためのＮＦにおける典型的なアーキテクチャを示すブロック図である。

【図7】ターゲットリソース識別情報を使用して取得されるＮＦプロファイル情報に対してＯＣＩスコープ情報を検証することによってＤｏＳ攻撃が成功する可能性を低減するためにＮＦによって実行される典型的なプロセスを示すフローチャートである。

【発明を実施するための形態】

【0032】

詳細な説明
図１は、典型的な５Ｇシステムネットワークアーキテクチャを示すブロック図である。図１のアーキテクチャはＮＲＦ１００およびＳＣＰ１０１を含み、これらは同じホームパブリックランドモバイルネットワーク（ＨＰＬＭＮ）内に配置することができる。前述のように、ＮＲＦ１００は、利用可能なプロデューサＮＦサービスインスタンスおよびそのサポートされるサービスのプロファイルを維持し、コンシューマＮＦまたはＳＣＰが新規／更新されたプロデューサＮＦサービスインスタンスの登録に加入し、その登録について通知されることを可能にすることができる。ＳＣＰ１０１はまた、サービス発見およびプロデューサＮＦインスタンスの選択をサポートすることもできる。ＳＣＰ１０１は、コンシューマＮＦとプロデューサＮＦとの間の接続の負荷分散を実行することができる。

【0033】

ＮＲＦ１００は、ＮＦまたはプロデューサＮＦインスタンスのサービスプロファイルにおけるリポジトリである。プロデューサＮＦインスタンスと通信するために、コンシューマＮＦまたはＳＣＰは、ＮＲＦ１００からプロデューサＮＦインスタンスのＮＦまたはサービスプロファイルを取得する必要がある。ＮＦまたはサービスプロファイルは、第三世代パートナーシッププロジェクト（３ＧＰＰ）技術仕様（ＴＳ）２９．５１０に定義されるＪａｖａＳｃｒｉｐｔ（登録商標）オブジェクト表記（ＪＳＯＮ）データ構造である。ＮＦまたはサービスプロファイル定義は、完全修飾ドメイン名（ＦＱＤＮ）、インターネットプロトコル（ＩＰ）バージョン４（ＩＰｖ４）アドレス、またはＩＰバージョン６（ＩＰｖ６）アドレスのうちの少なくとも１つを含む。

【0034】

図１では、サービスを要求しているか、提供しているか、または要求と提供を行っているかに応じて、ネットワーク機能のいずれかがコンシューマＮＦ、プロデューサＮＦ、あるいはその両方になることができる。図示の例では、ＮＦは、ネットワーク内でポリシー関連の動作を実行するポリシー制御機能（ＰＣＦ）１０２、ユーザデータを管理する統合データ管理（ＵＤＭ）機能１０４、およびアプリケーションサービスを提供するアプリケーション機能（ＡＦ）１０６を含む。

【0035】

図１に示されるＮＦは、アクセスおよびモビリティ管理機能（ＡＭＦ）１１０とＰＣＦ１０２との間のセッションを管理するセッション管理機能（ＳＭＦ）１０８を更に含む。ＡＭＦ１１０は、４Ｇネットワークでモビリティ管理エンティティ（ＭＭＥ）によって実行されるものと同様のモビリティ管理動作を実行する。認証サーバ機能（ＡＵＳＦ）１１２は、ネットワークへのアクセスを求めるユーザ機器（ＵＥ）１１４などのユーザ機器（ＵＥ）に対して認証サービスを実行する。

【0036】

ネットワークスライス選択機能（ＮＳＳＦ）１１６は、ネットワークスライスに関連する特定のネットワーク機能および特性にアクセスしようとするデバイスにネットワークスライシングサービスを提供する。ネットワーク公開機能（ＮＥＦ）１１８は、ネットワークに接続されたモノのインターネット（ＩｏＴ）デバイスおよび他のＵＥに関する情報を取得しようとするアプリケーション機能にアプリケーションプログラミングインタフェース（ＡＰＩ）を提供する。ＮＥＦ１１８は、４Ｇネットワークのサービス機能公開機能（ＳＣＥＦ）と同様の機能を実行する。

【0037】

無線アクセスネットワーク（ＲＡＮ）１２０は、無線リンクを介してユーザ機器（ＵＥ）１１４をネットワークに接続する。無線アクセスネットワーク１２０は、ｇノードＢ（ｇＮＢ）（図１には示されない）または他の無線アクセスポイントを使用してアクセスされ得る。ユーザプレーン機能（ＵＰＦ）１２２は、ユーザプレーンサービスのための様々なプロキシ機能をサポートすることができる。そのようなプロキシ機能の一例は、マルチパス伝送制御プロトコル（ＭＰＴＣＰ）プロキシ機能である。また、ＵＰＦ１２２は、ネットワーク性能測定値を取得するためにＵＥ１１４によって使用され得る性能測定機能もサポートし得る。また、図１には、ＵＥがインターネットサービスなどのデータネットワークサービスにアクセスするためのデータネットワーク（ＤＮ）１２４も示される。

【0038】

ＳＥＰＰ１２６は、別のＰＬＭＮから入ってくるトラフィックをフィルタリングし、ホームＰＬＭＮから出るトラフィックに対してトポロジ隠蔽を実行する。ＳＥＰＰ１２６は、外部ＰＬＭＮのセキュリティを管理する外部ＰＬＭＮ内のＳＥＰＰと通信することができる。したがって、異なるＰＬＭＮ内のＮＦ間のトラフィックは、ホームＰＬＭＮ用のものと外部ＰＬＭＮ用のものの２つのＳＥＰＰ機能を通過する可能性がある。

【0039】

前述したように、５Ｇネットワークで発生する可能性のある問題の１つは、偽のＯＣＩ情報を使用してハッカーによって開始されるＤｏＳ攻撃である。３ＧＰＰ標準規格では、ＯＣＩヘッダを使用した過負荷制御を推奨する。ＮＦサービスプロデューサまたはコンシューマが実装依存の過負荷閾値に達すると、ＮＦサービスプロデューサまたはコンシューマはＯＣＩをそのピアエンティティ（それぞれコンシューマまたはプロデューサ）に伝達する。受信したＯＣＩに基づいて、ピアは過負荷になったエンティティに送信するシグナリングをＯＣＩに従って調整する。ＯＣＩ通信に伴う問題の１つは、ＯＣＩが認可されたエンティティからのものであるかどうかが検証されないことである。ハッカーＮＦは、別のＮＦ、ＮＦセット、ＮＦサービス、ＮＦサービスセット、Ｓ－ＮＳＳＡＩ、ＤＮＮ、コールバックＵＲＩなどの過負荷の兆候を送信できる。偽のＯＣＩ情報をＳＢＩメッセージ送信者に伝えると、ＯＣＩ情報によって誤って識別されたエンティティがネットワーク外に流出する。ＯＣＩヘッダがハッカーによって悪用されないこと、および許可されたＮＦのみが所定のスコープにおけるＯＣＩヘッダで過負荷情報を示すことができることを確認する必要がある。本明細書中に記載される主題は、ＯＣＩヘッダで情報を送信しているピアエンティティがＯＣＩヘッダで指定されたスコープでＯＣＩヘッダを送信する権限があるかどうかの検証を実行することによってＳＣＰなどのＮＦがこの問題を軽減できるプロセスを含む。

【0040】

以下に示す表１は、本明細書中に記載される主題を説明する際に使用される典型的な３ＧＰＰ用語を示す。

【0041】

【表1】

【0042】

表１中の左側列の用語は、ＯＣＩヘッダのｏｌｃＳｃｏｐｅ構成要素で指定できるパラメータの名前である。例えば、ＮＦセットを指定するｏｌｃＳｃｏｐｅは、ＮＦセット全体の過負荷制御情報を通信している。そのようなパラメータが改ざんされると、ＯＣＩ情報により、受信側ＮＦがＮＦセット内の全てのＮＦインスタンスとの通信を停止する可能性がある。

【0043】

・３ＧＰＰＴＳ２９．５００のセクション６．４では、ＯＣＩヘッダを使用した過負荷制御を推奨する。過負荷制御は、送信側ＮＦが過負荷状態にあるときに、ピアＮＦに負荷を軽減することを知らせる反応的なメカニズムである。３ＧＰＰＴＳ２９．５００のセクション５．２．３．２．９では、ＯＣＩヘッダについて説明している。本明細書中に記載される主題にとって重要なＯＣＩヘッダの必須構成要素の１つはｏｌｃＳｃｏｐｅであり、その値はＮＦプロデューサスコープ、ＮＦコンシューマスコープ、またはＳＣＰスコープを指定できる。ＮＦプロデューサスコープ、ＮＦコンシューマスコープ、およびＳＣＰスコープの各々は、実際のＯＣＩヘッダ内のサブパラメータに置き換えられる。例えば、ＮＦコンシューマ、ＮＦプロデューサ、およびＮＦ ＳＣＰの各スコープは、以下のサブパラメータを使用して指定できる。

【0044】

ｎｆＰｒｏｄｕｃｅｒＳｃｏｐｅ ＝ （（“ＮＦ－Ｉｎｓｔａｎｃｅ：” ＲＷＳ ｎｆｉｎｓｔ）
／ （“ＮＦ－Ｓｅｔ：” ＲＷＳ ｎｆｓｅｔ）
／ “（ＮＦ－Ｓｅｒｖｉｃｅ－Ｉｎｓｔａｎｃｅ：” ＲＷＳ ｎｆｓｅｒｖｉｎｓｔ）
／ （“ＮＦ－Ｓｅｒｖｉｃｅ－Ｓｅｔ：” ＲＷＳ ｎｆｓｅｒｖｉｃｅｓｅｔ）） ［“；” ＲＷＳ ｓＮｓｓａｉ “；” ＲＷＳ ｄｎｎ］
ｎｆＣｏｎｓｕｍｅｒＳｃｏｐｅ ＝ （“ＮＦ－Ｉｎｓｔａｎｃｅ：” ＲＷＳ ｎｆｉｎｓｔ ［“；” ＲＷＳ “Ｓｅｒｖｉｃｅ－Ｎａｍｅ：” ＲＷＳ ｓｅｒｖｎａｍｅ］）
／ （“ＮＦ－Ｓｅｔ：” ＲＷＳ ｎｆｓｅｔ ［“；” ＲＷＳ “Ｓｅｒｖｉｃｅ－Ｎａｍｅ：” ＲＷＳ ｓｅｒｖｎａｍｅ］）
／ “（ＮＦ－Ｓｅｒｖｉｃｅ－Ｉｎｓｔａｎｃｅ：” ＲＷＳ ｎｆｓｅｒｖｉｎｓｔ）
／ （“ＮＦ－Ｓｅｒｖｉｃｅ－Ｓｅｔ：” ＲＷＳ ｎｆｓｅｒｖｉｃｅｓｅｔ）
／ （“Ｃａｌｌｂａｃｋ－Ｕｒｉ：” ＲＷＳ ＵＲＩ ＊（ ＲＷＳ “＆” ＲＷＳ ＵＲＩ））
ｓｃｐＳｃｏｐｅ ＝ （“ＳＣＰ－ＦＱＤＮ：” ＲＷＳ ｆｑｄｎ）
上記の仕様から、定義されたＮＦサービスコンシューマスコープとＮＦサービスプロデューサスコープの各々は、ＮＦインスタンス、ＮＦサービスインスタンス、ＮＦセット、またはＮＦサービスセットを識別できる。ＳＣＰスコープパラメータはＦＱＤＮを指定できる。Ｓ－ＮＳＳＡＩをｏｌｃＳｃｏｐｅで指定することもできる。これらのパラメータはいずれも、対応するエンティティを過負荷しているものとして識別するために使用できる。

【0045】

以下は、３ＧＰＰＴＳ２９．５００のセクション５．２．３．２．９で指定されるｏｌｃＳｃｏｐｅの３つの例である。

【0046】

例１：ＮＦインスタンスにおける過負荷制御情報：
３ｇｐｐ－Ｓｂｉ－Ｏｃｉ：タイムスタンプ：“２０２０年２月４日火曜日０８：４９：３７ＧＭＴ”；有効期間：７５秒；過負荷削減メトリック：５０％；ＮＦインスタンス：５４８０４５１８－４１９１－４６ｂ３－９５５ｃ－ａｃ６３１ｆ９５３ｅｄ８
例２：ＮＦサービスセットにおける過負荷制御情報：
３ｇｐｐ－Ｓｂｉ－Ｏｃｉ：タイムスタンプ：“２０２０年２月４日火曜日０８：４９：３７ＧＭＴ”；有効期間：１２０秒；過負荷削減メトリック：５０％；ＮＦサービスセット：ｓｅｔｘｙｚ．ｓｎｎｓｍｆ－ｐｄｕｓｅｓｓｉｏｎ．ｎｆｉ５４８０４５１８－４１９１－４６ｂ３－９５５ｃ－ａｃ６３１ｆ９５３ｅｄ８．５ｇｃ．ｍｎｃ０１２．ｍｃｃ３４５
例３：Ｓ－ＮＳＳＡＩにおける特定のＤＮＮに関連するＳＭＦインスタンスの過負荷制御情報：
３ｇｐｐ－Ｓｂｉ－Ｏｃｉ：タイムスタンプ：“２０２０年２月４日火曜日０８：４９：３７ＧＭＴ”；有効期間：６００秒；過負荷削減メトリック：５０％；ＮＦインスタンス：５４８０４５１８－４１９１－４６ｂ３－９５５ｃ－ａｃ６３１ｆ９５３ｅｄ８；Ｓ－ＮＳＳＡＩ：｛“ｓｓｔ”：１，“ｓｄ”：“Ａ０８９２３”｝；ＤＮＮ：ｉｎｔｅｒｎｅｔ．ｍｎｃ０１２．ｍｃｃ３４５．ｇｐｒｓ
例１において、５４８０４５１８－４１９１－４６ｂ３－９５５ｃ－ａｃ６３１ｆ９５３ｅｄ８は、過負荷制御情報が適用されるＮＦインスタンスを識別するｏｌｃＳｃｏｐｅ構成要素の値である。例２において、ｓｅｔｘｙｚ．ｓｎｎｓｍｆ－ｐｄｕｓｅｓｓｉｏｎ．ｎｆｉ５４８０４５１８－４１９１－４６ｂ３－９５５ｃ－ａｃ６３１ｆ９５３ｅｄ８．５ｇｃ．ｍｎｃ０１２．ｍｃｃ３４５は、過負荷制御情報が適用されるＮＦサービスセットを識別するｏｌｃＳｃｏｐｅ構成要素の値である。例３において、ｉｎｔｅｒｎｅｔ．ｍｎｃ０１２．ｍｃｃ３４５．ｇｐｒｓは、過負荷制御情報が適用されるＤＮＮを識別するｏｌｃＳｃｏｐｅ構成要素の値である。

【0047】

以下に示す表２は、３ＧＰＰＴＳ２９．５００のセクション６．４．３．４．５で定義されるｏｌｃＳｃｏｐｅの例を示す。

【0048】

【表2】

【0049】

３ＧＰＰＴＳ２９．５００で定義されるもう１つのヘッダは、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダである。３ＧＰＰＴＳ２９．５００のセクション６．１０．２．５によると、委任された検出の有無にかかわらず、間接通信の場合、ＨＴＴＰクライアントは、利用可能な場合、ＳＣＰに送信する要求で、ターゲットリソースにおける権限サーバのａｐｉＲｏｏｔに設定された３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダを含むものとする。特に、クライアントは、リソースの作成後、ＳＣＰに送信される後続のサービス要求で、およびＳＣＰ経由で送信される通知またはコールバックで、委任された検出を行わずに間接通信を使用して送信されるＳＢＩ要求に３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダを含める。

【0050】

ＳＣＰは、ネクストホップＳＣＰに送信する要求に、利用可能な場合、ターゲットリソースにおける機関サーバのａｐｉＲｏｏｔに設定された３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダも含む。強調すべき点は、ＳＣＰがターゲットリソース自体を見つけることも、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダからターゲットリソースを推測することもできるということである。

【0051】

以下で詳細に説明するように、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダは、ターゲットリソースが存在するプロデューサＮＦのＮＦプロファイルの１つ以上の属性に対応する構成要素を含む。ターゲットリソースが存在するプロデューサＮＦのＮＦプロファイルに共通する３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの構成要素は、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダで指定されたスコープを検証するために使用できる。図２は、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダに含まれるスコープ情報を検証するために使用できるＮＦプロファイルの典型的なパラメータを示すブロック図である。図２において、ＮＦプロファイルはｓｍｆｉｎｆｏ属性を含み、この属性は、送信先ネットワーク名（ＤＮＮ）およびセッション管理機能（ＳＭＦ）の単一ネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ）の詳細を含む。３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダによって識別されるターゲットリソースがＳＭＦである場合、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダを使用してＳＭＦのＮＦプロファイルを取得でき、ＮＦプロファイルのｓｍｆＩｎｆｏ属性は３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素におけるＤＮＮおよびＳ－ＮＳＳＡＩと比較され得る。

【0052】

３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダの構成要素のスコープを検証するために使用できるもう１つのＮＦプロファイル属性は、コールバックＵＲＩを含むｄｅｆａｕｌｔＮｏｆｉｃａｔｉｏｎＳｕｂｓｃｒｉｐｔｉｏｎｓ属性である。３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダは、ターゲットリソースのＮＦプロファイルを取得するために使用されてもよく、コールバックＵＲＩはＮＦプロファイルのｄｅｆａｕｌｔＮｏｔｉｆｉｃａｔｉｏｎＳｕｂｓｃｒｉｐｔｉｏｎｓ属性から読み取られてもよく、ＮＦプロファイルから取得されたコールバックＵＲＩは、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素から取得したコールバックＵＲＩと比較されてもよい。属性値が一致する場合、ＯＣＩは有効であると決定できる。属性値が一致しない場合、ＯＣＩは無効であると決定できる。

【0053】

３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダを使用して取得されたＮＦプロファイル属性と比較できるＯＣＩスコープの他の構成要素としては、ＮＦインスタンスＩＤ、ＮＦセットＩＤ、ＮＦサービスインスタンスＩＤ、およびＮＦサービスセットＩＤが挙げられる。図２の「ＯＣＩスコープ」という見出しが付いた表にリストアップされているＮＦプロファイル属性の任意の１つ以上は、ＯＣＩを検証するために３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素からの対応する属性値と比較され得る。図３は、コンシューマＮＦ、プロデューサＮＦ、ＳＣＰ、およびハッカーの間で交換される典型的なメッセージを示すメッセージフロー図であり、この場合、ハッカーはＯＣＩを使用してサービス拒否攻撃を開始する。図３を参照すると、１行目で、コンシューマＮＦ３００がＳＢＩ要求メッセージをＳＣＰ１０１に送信する。２行目で、ＳＣＰ１０１がＳＢＩ要求メッセージをプロデューサＮＦ３０２に転送する。３行目で、プロデューサＮＦ３０２がＳＢＩ応答メッセージをＳＣＰ１０１に送信する。４行目で、ＳＣＰ１０１はＳＢＩ応答メッセージをコンシューマＮＦ３００に転送する。コンシューマＮＦ３００とプロデューサＮＦ３０２の間の通信はＳＣＰ１０１を介して行われるため、１～４行目に示される通信モデルは間接通信モデルと呼ばれる。

【0054】

５行目で、コンシューマＮＦ３００がＳＣＰ１０１にＳＢＩ要求メッセージを送信する。６行目で、ＳＣＰ１０１がＳＢＩ要求メッセージをハッカー３０４に転送する。この例において、ハッカー３０４は、ネットワーク内でサービスを提供するプロデューサＮＦまたはプロデューサＮＦになりすましたノードである可能性がある。メッセージフロー図の７行目で、ハッカー３０４はＳＢＩ応答をＳＣＰ１０１に送信する。ＳＢＩ応答は、プロデューサＮＦ３０２が過負荷されていることを示す、プロデューサＮＦ３０２を識別する３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを、そのスコープ構成要素に含む。８行目で、ＳＣＰ１０１は、プロデューサＮＦ３０２が過負荷されていることを識別する３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを有するＳＢＩ応答メッセージをコンシューマＮＦ３００に送信する。コンシューマＮＦ３００は、プロデューサＮＦ３０２が過負荷であることを示す３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを伴うＳＢＩ応答の受信に応答して、プロデューサＮＦ３０２との通信を停止する。プロデューサＮＦ３０２がネットワーク内で必須のサービスを提供するとともにそのようなサービスの唯一のプロバイダである場合、ネットワークの停止が起こる可能性がある。例えば、プロデューサＮＦ３０２が、ネットワーク内でアクセスおよびモビリティ管理サービスを提供する唯一のＡＭＦであるとともにハッカー３０４によって送信されたＯＣＩに基づいてコンシューマＮＦ３００に利用できなくなる場合、ネットワークにアクセスしようとするＵＥは、そうすることができない可能性がある。図３に示すような、ＤｏＳ攻撃が成功する可能性を回避または低減するために、本明細書中に記載されるＳＣＰまたは他のＮＦは、ＳＢＩ要求メッセージからの情報を使用して、ＳＢＩ要求のターゲットであるＳＢＩプロデューサを識別するＮＦプロファイル情報を取得することができるとともに、記憶された情報を使用して、ＳＢＩ応答で受信したＯＣＩヘッダ内のスコープ情報を検証することができる。図４は、ＳＣＰが、ＳＢＩ要求からのターゲットリソース識別情報を使用して取得したＮＦプロファイル情報を使用して、ＳＢＩ応答のＯＣＩヘッダ内のスコープ情報を検証するときに交換される典型的なメッセージを示すメッセージフロー図である。図４を参照すると、１行目で、コンシューマＮＦ３００がＳＢＩ要求メッセージをＳＣＰ１０１に送信する。２行目で、ＳＣＰ１０１がＳＢＩ要求メッセージをプロデューサＮＦ３０２に転送する。３行目で、プロデューサＮＦ３０２がＳＢＩ応答メッセージをＳＣＰ１０１に送信する。４行目で、ＳＣＰ１０１はＳＢＩ応答メッセージをコンシューマＮＦ３００に転送する。

【0055】

５行目で、コンシューマＮＦ３００がＳＢＩ要求メッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、ＳＢＩ要求からのピア識別情報を記憶する。この場合、ピア識別情報は、ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから決定されるハッカー３０４の１つ以上のＮＦプロファイル属性である。６行目で、ＳＣＰ１０１はＳＢＩ要求メッセージをハッカー３０４に転送する。メッセージフロー図の７行目で、ハッカー３０４がＳＢＩ応答をＳＣＰ１０１に送信する。ＳＢＩ応答は、プロデューサＮＦ３０２が過負荷になっていることを示す、プロデューサＮＦ３０２を識別する３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを、そのスコープ構成要素に含む。ＳＣＰ１０１は、ＳＢＩ応答メッセージをコンシューマＮＦ３００に転送するのではなく、３ｇｐｐ－Ｓｂｉ－ＯｃｉヘッダのｏｌｃＳｃｏｐｅ構成要素で識別されたエンティティを、ＳＢＩ要求の３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから取得または決定されたＮＦプロファイル情報に対して検証する。この例では、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから決定された記憶されたＮＦプロファイル情報はハッカー３０４の識別情報である。しかしながら、ｏｌｃＳｃｏｐｅパラメータからのピア識別情報はプロデューサＮＦ３０２を識別する。識別情報が一致しないため、ＳＣＰ１０１はＳＢＩ要求メッセージを拒否する。これは、ハッカー３０４には３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダで指定されたスコープにおけるＯＣＩ情報を送信する権限がないからである。ＳＣＰ１０１は無許可のｏｌｃＳｃｏｐｅを伴うＳＢＩ要求メッセージを拒否するため、プロデューサＮＦ３０２に対するＤｏＳ攻撃が成功する可能性が低減される。

【0056】

図５は、ＮＦプロファイル属性と３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダ構成要素との間の典型的なマッピングを示すブロック図である。ＳＣＰは、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの構成要素のいずれか１つ以上を利用して、ターゲットリソースのＮＦプロファイルを識別し、図２に示されているパラメータを取得して、過負荷制御情報のスコープを検証できる。例えば、ＳＣＰ１０１は、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダからのスキーム、ＦＱＤＮ、ポート、ａｐｉＰｒｅｆｉｘ、ａｐｉＮａｍｅ、およびａｐｉＶｅｒｓｉｏｎのうちの１つ以上の値を使用して、ＮＦプロファイルデータベース内のルックアップを実行し、ターゲットリソースが存在するＮＦのＮＦプロファイルを取得することができる。その後、ＳＣＰは、図２に示されているＮＦプロファイル属性を読み取り、これらの属性を３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダのスコープ構成要素からの対応する属性の値と比較し、比較の結果に基づいて、ＯＣＩが有効であるかどうかを決定することができる。図６は、ＳＢＩ応答メッセージ内のｏｌｃＳｃｏｐｅ情報を検証するための、ＳＣＰ、ＳＥＰＰ、または他のＮＦなどのＮＦの典型的なアーキテクチャを示すブロック図である。図６を参照すると、ＮＦ６００は、少なくとも１つのプロセッサ６０２およびメモリ６０４を含む。ＳＣＰ１０１は、ＳＢＩ要求メッセージを受信し、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得し、ターゲットリソース識別情報を使用して、メモリ６０４内にあってもよいＮＦプロファイルデータベース６０８からＮＦプロファイル情報を取得し、そのＮＦプロファイル情報を使用してＳＢＩ応答メッセージで送信されたｏｌｃＳｃｏｐｅ情報を検証するためのｏｌｃＳｃｏｐｅバリデータ６０６を更に含む。代替の実施態様において、ｏｌｃＳｃｏｐｅバリデータ６０６は、ＮＦ６００の外部のＮＦプロファイルデータベースに問い合わせて、ＮＦプロファイル情報を取得することができる。ｏｌｃＳｃｏｐｅバリデータ６０６は、メモリ６０４に記憶されてプロセッサ６０２によって実行されるコンピュータ実行可能命令を使用して実装され得る。

【0057】

図７は、ピアＮＦ識別情報に対してｏｌｃＳｃｏｐｅ情報を検証する際にＮＦによって実行される典型的なプロセスを示すフローチャートである。図７を参照すると、ステップ７００において、プロセスは、ＮＦにおいてＳＢＩ要求メッセージを受信することを含む。例えば、間接通信モデルでは、ＳＣＰまたはＳＥＰＰであってもよいＮＦ６００は、プロデューサＮＦに転送するためにコンシューマＮＦからＳＢＩ要求メッセージを受信することができる。

【0058】

ステップ７０２において、プロセスは、ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することを含む。例えば、ＮＦ６００は、ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることができる。そのような構成要素の例が図５に示される。

【0059】

ステップ７０４において、ＮＦ６００は、ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、そのＮＦプロファイル情報をメモリに記憶する。例えば、ＮＦ６００は、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダからの１つ以上の属性値を利用して、ターゲットリソースが存在するＮＦのＮＦプロファイルを取得し、図２の表に示されるＯＣＩスコープ属性のいずれかに対応するＮＦプロファイルからの属性値を読み取って、ＮＦプロファイル属性の値をメモリに記憶できる。

【0060】

ステップ７０６において、プロセスは、ｏｌｃＳｃｏｐｅ情報を含む３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを含むＳＢＩ応答メッセージを受信することを含む。例えば、ＮＦ６００は、正規のプロデューサＮＦまたはハッカーから、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを含むＳＢＩ応答メッセージを受信することができる。ヘッダはｏｌｃＳｃｏｐｅ構成要素を含むことができる。

【0061】

ステップ７０８および７１０において、プロセスは、ＮＦプロファイル情報を使用して、ｏｌｃＳｃｏｐｅ情報が有効であるかどうかを決定することを含む。例えば、ＮＦ６００は、３ｇｐｐ－Ｓｂｉ－ＯｃｉヘッダのｏｌｃＳｃｏｐｅ構成要素から１つ以上の値を読み取り、ｏｌｃＳｃｏｐｅ構成要素から読み取った値を、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダを使用して取得されたＮＦプロファイルの記憶された１つ以上の構成要素と比較できる。

【0062】

ステップ７１０で、ｏｌｃＳｃｏｐｅが有効でないと決定される場合、すなわち、ｏｌｃＳｃｏｐｅ情報が記憶されたＮＦプロファイル情報と一致しない場合、制御はステップ７１２に進み、ＳＢＩ応答が拒否される。ｏｌｃＳｃｏｐｅ情報が有効であると決定される場合、すなわち、ｏｌｃＳｃｏｐｅ情報が記憶されたＮＦプロファイル情報と一致する場合、制御はステップ７１４に進み、ＳＣＰは、対応するＳＢＩ要求を送信したコンシューマＮＦにＳＢＩ応答を転送する。ステップ７１４における転送は、ｏｌｃＳｃｏｐｅ検証を実行するノードがＳＣＰまたはＳＥＰＰである場合に実施されることに留意すべきである。検証を実行するノードがコンシューマＮＦである場合、ステップ７１４は、ＳＢＩ応答を転送するのではなく、処理することを含むことができる。

【0063】

本明細書中に記載される主題の利点には、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダまたは他の同様のヘッダのスプーフィングによって実行されるサービス拒否攻撃が成功する可能性を低減することが含まれる。本明細書中に記載される主題は、３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダと同様の他のヘッダに拡張可能である。本明細書中に記載される主題は、インターパブリックランドモバイルネットワーク（ＰＬＭＮ）およびイントラＰＬＭＮシグナリングの両方に適用可能である。本明細書中に記載される主題は、ＳＣＰまたは他のＮＦ（ＳＥＰＰやコンシューマＮＦなど）で実装してｏｌｃＳｃｏｐｅを検証することができる。

【0064】

以下の各参考文献の開示は、その全体が参照により本明細書に組み込まれる。
参考文献
1. 3GPP TS 29.500 V17.3.0 (2021-06), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Technical Realization of Service Base Architecture; Stage 3; (Release 17).
2. 3GPP TS 29.501 V17.2.0 (2021-06), 3rd Generation Partnership Project; Technical Specification Group Services and System Aspects; System Architecture for the 5G System (5GS), Stage 2; (Release 17).
3. 3GPP TS 29.510 V17.2.0 (2021-06), 3rd Generation Partnership Project; Technical Specification Group Core Network and Terminals; 5G System; Network Function Repository Services; Stage 3; (Release 17).
本明細書中に記載される主題の様々な詳細は、本明細書に記載される主題の範囲から逸脱することなく変更され得ることが理解される。更に、本明細書中に記載される主題は以下に記載の特許請求の範囲によって定義されるため、前述の説明は例示のみを目的としたものであり、限定を目的とするものではない。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【手続補正書】

【提出日】2024-08-20

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するための方法であって、
少なくとも１つのプロセッサを含むＮＦにおいて、
サービスベースインタフェース（ＳＢＩ）要求メッセージを受信することと、
前記ＳＢＩ要求メッセージからターゲットリソース識別情報を取得することと、
前記ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、前記ＮＦプロファイル情報を前記ＮＦのメモリに記憶することと、
過負荷制御情報および前記過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信することと、
前記記憶されたＮＦプロファイル情報を使用して、前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することと、
前記過負荷制御情報における前記スコープ情報が無効であると決定することに応じて、前記ＳＢＩ応答メッセージを拒否することとを含む、方法。

【請求項2】

前記ターゲットリソース識別情報を取得することは、前記ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることを含む、請求項１に記載の方法。

【請求項3】

前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの１つ以上の構成要素の値を読み取ることは、前記ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する構成要素の値を読み取ることを含む、請求項２に記載の方法。

【請求項4】

前記ＮＦプロファイル情報を取得することは、前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの構成要素の値のうちの前記１つ以上を使用して、ＮＦプロファイルデータベース内のルックアップを実行し、前記ターゲットリソースをホストする前記ＮＦの前記ＮＦプロファイルの位置を特定することを含む、請求項３に記載の方法。

【請求項5】

前記ターゲットリソースをホストする前記プロデューサＮＦの前記ＮＦプロファイルの属性に対応する前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値を読み取ることは、スキーム構成要素、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を読み取ることを含む、請求項３に記載の方法。

【請求項6】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、ＮＦインスタンスＩＤ、ＮＦセットＩＤ、ＮＦサービスインスタンスＩＤ、ＮＦサービスセットＩＤ、単一ネットワークスライス選択支援情報（Ｓ－ＮＳＳＡＩ）、送信先ネットワーク名（ＤＮＮ）、コールバックユニフォームリソース識別子（ＵＲＩ）、およびサービス通信プロキシ（ＳＣＰ）完全修飾ドメイン名（ＦＱＤＮ）のうちの１つ以上を３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダのスコープ構成要素の対応する構成要素の値と比較することを含む、請求項１～請求項５のいずれか１項に記載の方法。

【請求項7】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致しないとの決定に応答して、前記過負荷制御情報における前記スコープ情報が無効であると決定することを含む、請求項１～請求項５のいずれか１項に記載の方法。

【請求項8】

前記ＮＦプロファイル情報を使用して前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定することは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致するとの決定に応答して、前記過負荷制御情報における前記スコープ情報が有効であると決定することを含む、請求項１～請求項５のいずれか１項に記載の方法。

【請求項9】

前記ネットワーク機能がサービス通信プロキシ（ＳＣＰ）を含む、請求項１～請求項５のいずれか１項に記載の方法。

【請求項10】

前記ＮＦが、セキュリティエッジ保護プロキシ（ＳＥＰＰ）またはコンシューマＮＦを含む、請求項１～請求項５のいずれか１項に記載の方法。

【請求項11】

ターゲットリソース識別情報を使用して取得されるネットワーク機能（ＮＦ）プロファイル情報に対して過負荷制御情報（ＯＣＩ）スコープ情報を検証することによってサービス拒否（ＤｏＳ）攻撃が成功する可能性を低減するためのシステムであって、
少なくとも１つのプロセッサおよびメモリを含むＮＦと、
サービスベースインタフェース（ＳＢＩ）要求メッセージを受信し、前記ＳＢＩ要求メッセージからターゲットリソース識別情報を取得し、前記ターゲットリソース識別情報を使用して、ＮＦプロファイル情報を取得し、前記ＮＦプロファイル情報を前記メモリに記憶し、過負荷制御情報および前記過負荷制御情報におけるスコープ情報を含むＳＢＩ応答メッセージを受信し、前記記憶されたＮＦプロファイル情報を使用して、前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定し、前記過負荷制御情報における前記スコープ情報が無効であると決定することに応じて、前記ＳＢＩ応答メッセージを拒否するためのｏｌｃＳｃｏｐｅバリデータとを備える、システム。

【請求項12】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから１つ以上の構成要素の値を読み取ることによって前記ターゲットリソース識別情報を取得するように構成される、請求項１１に記載のシステム。

【請求項13】

前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値は、前記ターゲットリソース識別情報によって識別されるターゲットリソースをホストするプロデューサＮＦのＮＦプロファイルの属性に対応する値を含む、請求項１２に記載のシステム。

【請求項14】

前記ｏｌｃＳｃｏｐｅバリデータは、前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記属性の値のうちの１つ以上の値を使用してＮＦプロファイルデータベース内のルックアップを実行することによって前記ＮＦプロファイル情報を取得し、前記ターゲットリソースをホストする前記ＮＦの前記ＮＦプロファイルの位置を特定するように構成される、請求項１３に記載のシステム。

【請求項15】

前記ターゲットリソースをホストする前記プロデューサＮＦの前記ＮＦプロファイルの属性に対応する前記３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダの前記１つ以上の構成要素の値は、スキーム属性、完全修飾ドメイン名（ＦＱＤＮ）構成要素、トランスポート層ポート構成要素、ａｐｉＰｒｅｆｉｘ構成要素、ａｐｉＮａｍｅ構成要素、およびａｐｉＶｅｒｓｉｏｎ構成要素のうちの１つ以上の値を含む、請求項１３に記載のシステム。

【請求項16】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報と前記過負荷制御情報における前記スコープ情報とを比較することによって前記過負荷制御情報における前記スコープ情報が有効であるかどうかを決定するように構成される、請求項１１～請求項１５のいずれか１項に記載のシステム。

【請求項17】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致しないとの決定に応答して、前記過負荷制御情報における前記スコープ情報が無効であると決定するように構成される、請求項１１～請求項１５のいずれか１項に記載のシステム。

【請求項18】

前記ｏｌｃＳｃｏｐｅバリデータは、前記ＮＦプロファイル情報が前記過負荷制御情報における前記スコープ情報と一致するという決定に応答して、前記過負荷制御情報における前記スコープ情報が有効であると決定するように構成される、請求項１１～請求項１５のいずれか１項に記載のシステム。

【請求項19】

前記ネットワーク機能は、サービス通信プロキシ（ＳＣＰ）、セキュリティエッジ保護プロキシ（ＳＥＰＰ）、またはコンシューマＮＦを含む、請求項１１～請求項１５のいずれか１項に記載のシステム。

【請求項20】

請求項１～請求項５のいずれか１項に記載の方法をプロセッサに実行させるためのコンピュータ可読プログラム。

【手続補正3】

【補正対象書類名】明細書

【補正対象項目名】００５５

【補正方法】変更

【補正の内容】

【0055】

５行目で、コンシューマＮＦ３００がＳＢＩ要求メッセージをＳＣＰ１０１に送信する。ＳＣＰ１０１は、ＳＢＩ要求からのピア識別情報を記憶する。この場合、ピア識別情報は、ＳＢＩ要求メッセージの３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから決定されるハッカー３０４の１つ以上のＮＦプロファイル属性である。６行目で、ＳＣＰ１０１はＳＢＩ要求メッセージをハッカー３０４に転送する。メッセージフロー図の７行目で、ハッカー３０４がＳＢＩ応答をＳＣＰ１０１に送信する。ＳＢＩ応答は、プロデューサＮＦ３０２が過負荷になっていることを示す、プロデューサＮＦ３０２を識別する３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダを、そのスコープ構成要素に含む。ＳＣＰ１０１は、ＳＢＩ応答メッセージをコンシューマＮＦ３００に転送するのではなく、３ｇｐｐ－Ｓｂｉ－ＯｃｉヘッダのｏｌｃＳｃｏｐｅ構成要素で識別されたエンティティを、ＳＢＩ要求の３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから取得または決定されたＮＦプロファイル情報に対して検証する。この例では、３ｇｐｐ－Ｓｂｉ－Ｔａｒｇｅｔ－ａｐｉＲｏｏｔヘッダから決定された記憶されたＮＦプロファイル情報はハッカー３０４の識別情報である。しかしながら、ｏｌｃＳｃｏｐｅパラメータからのピア識別情報はプロデューサＮＦ３０２を識別する。識別情報が一致しないため、ＳＣＰ１０１はＳＢＩ応答メッセージを拒否する。これは、ハッカー３０４には３ｇｐｐ－Ｓｂｉ－Ｏｃｉヘッダで指定されたスコープにおけるＯＣＩ情報を送信する権限がないからである。ＳＣＰ１０１は無許可のｏｌｃＳｃｏｐｅを伴うＳＢＩ応答メッセージを拒否するため、プロデューサＮＦ３０２に対するＤｏＳ攻撃が成功する可能性が低減される。

【国際調査報告】