(57)【要約】      （修正有）【課題】端末の移設を検知することができる異常検知装置、異常検知方法及びプログラムを提供する。【解決手段】異常検知装置は、端末から送信されるメッセージを取得する取得部と、取得部が取得したメッセージとの差分を比較する対象である比較対象情報を記憶する記憶部と、取得部が取得したメッセージと、記憶部に記憶されている比較対象情報との差分の有無を判定する差分判定部と、メッセージと比較対象情報とで差分があると差分判定部が判定した場合、メッセージに含まれるＩＰアドレスのプレフィックス部分を示す情報と、異常検知装置が有する又は異常検知装置とネットワークを介して接続されるユーザ情報ＤＢに格納されているユーザ情報のうち、メッセージに含まれる契約番号と同一の契約番号のユーザ情報に含まれるプレフィックス情報とが一致するか否かを判定するマッチング部を有する。【選択図】図４
2020053718.tif 000002
【特許請求の範囲】
【請求項１】
端末が移設されたことを示す異常を検知する異常検知装置であって、
前記端末から送信されるメッセージを取得する取得部と、
前記取得部が取得したメッセージとの差分を比較する対象である比較対象情報を記憶する記憶部と、
前記取得部が取得したメッセージと、前記記憶部に記憶されている比較対象情報との差分の有無を判定する第１の判定部と、
前記メッセージと前記比較対象情報とで差分があると前記第１の判定部が判定した場合、前記メッセージに含まれるIPアドレスのプレフィックス部分を示す情報と、前記異常検知装置が有する又は前記異常検知装置とネットワークを介して接続されるユーザ情報DBに格納されているユーザ情報のうち、前記メッセージに含まれる契約番号と同一の契約番号のユーザ情報に含まれるプレフィックス情報とが一致するか否かを判定する第２の判定部と、
前記IPアドレスのプレフィックス部分を示す情報と前記プレフィックス情報とが一致しないと前記第２の判定部が判定した場合、前記異常を検知する異常検知部と、
を有することを特徴とする異常検知装置。
【請求項２】
前記取得部は、
所定の時間毎に、前記メッセージを取得し、
前記異常検知部は、
前記IPアドレスのプレフィックス部分を示す情報と前記プレフィックス情報とが一致しないと前記第２の判定部によって所定の回数連続で判定された場合、前記異常を検知する、ことを特徴とする請求項１に記載の異常検知装置。
【請求項３】
前記IPアドレスのプレフィックス部分を示す情報と前記プレフィックス情報とが一致すると前記第２の判定部が判定した場合、前記取得部が取得したメッセージで、前記記憶部に記憶されている比較対象情報を更新する更新部を有する、ことを特徴とする請求項２に記載の異常検知装置。
【請求項４】
前記第１の判定部は、
前記メッセージに含まれるIPアドレスと、前記比較対象情報に含まれるIPアドレス又はプレフィックス情報との差分を判定する、ことを特徴とする請求項１乃至３の何れか一項に記載の異常検知装置。
【請求項５】
前記異常を前記異常検知部が検知した場合、前記端末が移設されたことを示すアラートを所定の端末に通知する通知部を有する、ことを特徴とする請求項１乃至４の何れか一項に記載の異常検知装置。
【請求項６】
前記異常を前記異常検知部が検知した場合、前記端末からの発信を抑止する制御を実行する制御部を有する、ことを特徴とする請求項１乃至５の何れか一項に記載の異常検知装置。
【請求項７】
前記メッセージは、SIPサーバへの登録要求である、ことを特徴とする請求項１乃至６の何れか一項に記載の異常検知装置。
【請求項８】
端末が移設されたことを示す異常を検知する異常検知装置が、
前記端末から送信されるメッセージを取得する取得手順と、
前記取得手順が取得したメッセージと、前記異常検知装置が有する記憶部に記憶されている比較対象情報との差分の有無を判定する第１の判定手順と、
前記メッセージと前記比較対象情報とで差分があると前記第１の判定手順が判定した場合、前記メッセージに含まれるIPアドレスのプレフィックス部分を示す情報と、前記異常検知装置が有する又は前記異常検知装置とネットワークを介して接続されるユーザ情報DBに格納されているユーザ情報のうち、前記メッセージに含まれる契約番号と同一の契約番号のユーザ情報に含まれるプレフィックス情報とが一致するか否かを判定する第２の判定手順と、
前記IPアドレスのプレフィックス部分を示す情報と前記プレフィックス情報とが一致しないと前記第２の判定手順が判定した場合、前記異常を検知する異常検知手順と、
を実行することを特徴とする異常検知方法。
【請求項９】
コンピュータを、請求項１乃至７の何れか一項に記載の異常検知装置における各部として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、異常検知装置、異常検知方法及びプログラムに関する。
【背景技術】
【０００２】
近年、音声通話を実現する技術として、VoIP（Voice over Internet Protocol）が用いられている。VoIPでは、音声通話のユーザ側環境に設置されるVoIP端末が登録要求をSIP（Session Initiation Protocol）サーバに送信することで、当該VoIP端末の認証が行われる。このとき、VoIP端末が送信する登録要求に含まれる情報（例えば、電話番号等）は、音声通話を提供するVoIP事業者によって払い出され、VoIP端末に予め設定される。
【０００３】
ここで、仮に、ユーザがVoIP事業者に事前に申請した回線とは異なる回線にVoIP端末を勝手に移設した場合であっても、移設先の回線がIPを利用できる状態であれば、SIPサーバへの登録要求は成功する。このため、ユーザがVoIP端末を移設することで、事前に申請した回線の利用場所（つまり、VoIP端末の設置場所）とは異なる場所からの発信も可能となってしまう。
【０００４】
しかしながら、電話番号として0ABJ番号を利用するためには、緊急通報時等のために発信場所と発信番号とを対応させておくことが要請されている。このため、地理的識別地域（番号区画）と異なる電話番号での発信を防止する必要がある。これに対して、例えば、事前に申請されたVoIP端末の設置場所（回線）と電話番号とをIPアドレスを介して紐付けて管理し、設置場所と電話番号との組み合わせが一致しない場合にVoIP端末の移設を検知することで、地理的識別地域と異なる電話番号での発信を抑止する方法が考えられる。
【０００５】
他方で、NGN（Next Generation Network）を利用したIPv6（Internet Protocol Version 6）インターネット接続方式として、IPoE（Internet Protocol over Ethernet）方式が知られている（例えば、非特許文献１参照）。このIPoE方式によるIPv6インターネット接続では、半固定的にIPv6Prefixが払い出される。なお、半固定的とは、払い出されるIPv6Prefixに変更が生ずる場合があることを意味する。
【０００６】
また、NGNを提供する事業者（以降、「NGN提供業者」とも表す。）から払い出されるIPv6Prefixが変更された場合、変更後のIPv6PrefixがNGN提供業者からIPoE接続事業者に通知される。なお、IPoE接続事業者とは、IPoE方式によるインターネット接続サービスを提供する事業者のことである。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】ＮＴＴ東日本、ＮＴＴ西日本、"NGN IPv6 ISP接続＜ネイティブ方式＞サービス仕様書"、［online］、2010年4月、インターネット＜URL: https://www.ntt-east.co.jp/info-st/mutial/ngn/110721native_service.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００８】
ここで、NGN提供業者から払い出されたIPv6PrefixをVoIP事業者が把握するためにはIPoE接続事業者から入手する必要がある。しかしながら、NGN提供業者から払い出されるIPv6Prefixに変更が生じた後、変更後のIPv6PrefixがIPoE接続事業者に通知されるまでにはタイムラグが存在する。このため、VoIP事業者が変更後のIPv6Prefixを把握するのにも同様にタイムラグが存在する。なお、VoIP事業者とIPoE接続事業者とは同一の事業者であっても良いし、異なる事業者であっても良い。
【０００９】
したがって、例えば、事前に申請されたVoIP端末の設置場所（回線）と電話番号とをIPアドレス（IPv6アドレス）を介して紐付けて管理することはできず、VoIP端末が移設された場合であっても、VoIP事業者は、それを検知することができなかった。
【００１０】
本発明の実施の形態は、上記の点に鑑みてなされたので、端末の移設を検知することを目的とする。
【課題を解決するための手段】
【００１１】
上記目的を達成するため、本発明の実施の形態は、端末が移設されたことを示す異常を検知する異常検知装置であって、前記端末から送信されるメッセージを取得する取得部と、前記取得部が取得したメッセージとの差分を比較する対象である比較対象情報を記憶する記憶部と、前記取得部が取得したメッセージと、前記記憶部に記憶されている比較対象情報との差分の有無を判定する第１の判定部と、前記メッセージと前記比較対象情報とで差分があると前記第１の判定部が判定した場合、前記メッセージに含まれるIPアドレスのプレフィックス部分を示す情報と、前記異常検知装置が有する又は前記異常検知装置とネットワークを介して接続されるユーザ情報DBに格納されているユーザ情報のうち、前記メッセージに含まれる契約番号と同一の契約番号のユーザ情報に含まれるプレフィックス情報とが一致するか否かを判定する第２の判定部と、前記IPアドレスのプレフィックス部分を示す情報と前記プレフィックス情報とが一致しないと前記第２の判定部が判定した場合、前記異常を検知する異常検知部と、を有することを特徴とする。
【発明の効果】
【００１２】
VoIP端末の移設を検知することができる。
【図面の簡単な説明】
【００１３】
【図１】本発明の実施の形態における異常検知システムの全体構成の一例を示す図である。
【図２】異常検知の概略の一例を説明する図である。
【図３】本発明の実施の形態における異常検知装置のハードウェア構成の一例を示す図である。
【図４】本発明の実施の形態における異常検知装置の機能構成の一例を示す図である。
【図５】ユーザ情報DBで管理されているユーザ情報の一例を示す図である。
【図６】本発明の実施の形態における異常検知処理の一例を示すフローチャートである。
【発明を実施するための形態】
【００１４】
以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。本発明の実施の形態では、例えば、ユーザがVoIP端末を事前に申請した設置場所（回線）とは異なる場所に移設した場合に、VoIP端末が移設されたことを異常として検知する異常検知システム１について説明する。
【００１５】
＜全体構成＞
まず、本発明の実施の形態における異常検知システム１の全体構成について、図１を参照しながら説明する。図１は、本発明の実施の形態における異常検知システム１の全体構成の一例を示す図である。
【００１６】
図１に示すように、本発明の実施の形態における異常検知システム１には、異常検知装置１０と、キャプチャ装置２０と、ユーザ情報DB３０と、VoIPゲートウェイ４０と、電話機５０と、SIPサーバ６０と、SBC（Session Border Controller）７０とが含まれる。
【００１７】
SIPサーバ６０は、IP電話サービスを提供するVoIP事業者のネットワーク（VoIP基盤網）内のサーバであり、VoIPゲートウェイ４０の認証や発呼制御等のIP電話サービスに関する各種管理・制御を行う。
【００１８】
SBC７０は、VoIP基盤網と他のネットワークとの境界に設置されるゲートウェイ装置である。SBC７０は、後述するように、VoIPゲートウェイ４０から送信された登録要求をSIPサーバ６０に転送する。この登録要求は、キャプチャ装置２０でも取得（キャプチャ）される。
【００１９】
VoIPゲートウェイ４０は、VoIP端末の一例であり、IP電話サービスを利用するユーザ側環境の境界に設置されるゲートウェイ装置である。VoIPゲートウェイ４０には、IP電話サービスの利用前に、VoIP事業者から払い出された契約番号（ここで、本発明の実施の形態では、契約番号は電話番号であるものとする。）が登録される。
【００２０】
ここで、VoIPゲートウェイ４０は、NGNを利用したIPoE方式によるIPv6インターネット接続を行うものとする。したがって、例えば非特許文献１に記載されているように、VoIPゲートウェイ４０がNGNに接続するための回線に接続すると、NGN提供業者から半固定的にIPv6Prefixが払い出される。そして、VoIPゲートウェイ４０は、このIPv6Prefixを利用する。また、このIPv6PrefixはIPoE接続事業者にも通知され、このIPoE接続事業者から当該IPv6Prefixを入手したVoIP事業者によって、VoIPゲートウェイ４０のユーザの契約番号等と対応付けてユーザ情報DB３０で管理される。なお、VoIPゲートウェイ４０が利用するIPv6アドレスは、このIPv6Prefixと、当該VoIPゲートウェイ４０のMAC（Media Access Control）アドレスとから生成される。
【００２１】
また、VoIP事業者は、IPoE接続事業者から任意の方法によりIPv6Prefixを入手すれば良い。例えば、VoIP事業者は、IPoE接続事業者からIPv6Prefixの通知を受けても良いし、IPoE接続事業者に対してIPv6Prefixの通知要求を行って、この通知要求に対する応答としてIPv6Prefixを入手しても良い。
【００２２】
VoIPゲートウェイ４０は、VoIP基盤網への接続時及びその後の所定の時間毎（例えば、３０分毎）に登録要求（具体的には、SIPで規定されるRegisterメッセージ）をSIPサーバ６０に送信する。このRegisterメッセージには、例えば、契約番号やIPv6アドレス等が含まれる。また、このRegisterメッセージは、NGNと、IPoE接続事業者が提供するネットワーク（以降、「IPoE接続事業者ネットワーク」とも表す。）とを介して、VoIP基盤網のSBC７０に送信され、当該SBC７０によってSIPサーバ６０に転送される。また、当該Registerメッセージは、キャプチャ装置２０にも取得（キャプチャ）される。なお、上述したように、VoIP事業者とIPoE接続事業者とは同一の事業者であっても良いし、異なる事業者であっても良い。
【００２３】
以降では、簡単のため、VoIP事業者とIPoE接続事業者とが異なる事業者である旨を明記した場合を除き、VoIP事業者とIPoE接続事業者とは同一の事業者であるものとして説明する。したがって、以降では、IPv6Prefixは、NGN提供業者からVoIP事業者に通知される。なお、上述したように、VoIP事業者とIPoE接続事業者とが異なる事業者である場合は、NGN提供業者からIPoE接続事業者にIPv6Prefixが通知され、VoIP事業者は、IPoE接続事業者から当該IPv6Prefixを入手することになる。
【００２４】
電話機５０は、VoIPゲートウェイ４０に接続される電話機である。ユーザは、電話機５０を用いて、他の電話機５０や電話網に接続される電話機（例えば、携帯電話やスマートフォン、固定電話機等）との間で、IP電話サービスによる音声通話を行うことができる。なお、電話機５０は、PC（パーソナルコンピュータ）等をソフトフォンとして機能させたものであっても良い。また、VoIPゲートウェイ４０と電話機５０との間に、例えば、IP-PBX（Internet Protocol Private Branch Exchange）等が設置されていても良い。
【００２５】
キャプチャ装置２０は、SBC７０から転送されたRegisterメッセージをキャプチャする。キャプチャしたRegisterメッセージは、例えば、キャプチャ装置２０の記憶装置等に保存される。
【００２６】
ユーザ情報DB３０は、例えばデータベースサーバ等であり、NGN提供業者から通知されたIPv6Prefixを契約番号等と対応付けたユーザ情報を管理する。
【００２７】
異常検知装置１０は、キャプチャ装置２０から取得したRegisterメッセージと、ユーザ情報DB３０で管理されているユーザ情報とに基づいて、VoIPゲートウェイ４０が移設されたことを異常として検知する。異常検知装置１０は、後述するように、同一契約番号のRegisterメッセージ及びユーザ情報に関して、当該Registerメッセージに含まれるIPv6アドレスと、当該ユーザ情報に含まれるIPv6Prefixとがアンマッチである場合に、当該Registerメッセージの送信元のVoIPゲートウェイ４０が移設されたものとして異常を検知する。なお、IPv6アドレスとIPv6Prefixとがアンマッチであるとは、当該IPv6アドレスのPrefix部分と、当該IPv6Prefixとが一致しないことを意味する。
【００２８】
なお、図１に示す異常検知システム１の構成は一例であって、他の構成であっても良い。例えば、異常検知装置１０と、キャプチャ装置２０と、ユーザ情報DB３０とのうちの任意の２以上の装置が１台の装置で実現されていても良い。
【００２９】
＜異常検知の概略＞
ここで、本発明の実施の形態における異常検知システム１による異常検知の概略について、図２を参照しながら説明する。図２は、異常検知の概略の一例を説明する図である。
【００３０】
図２では、IP電話サービスのユーザを「ユーザ甲」として、ユーザ甲が設置場所「大阪府・・・」に設置されているVoIPゲートウェイ４０を設置場所「福岡県・・・」に勝手に移設した場合に、この移設を異常として検知する場合について説明する。
【００３１】
（移設前）
ここで、VoIPゲートウェイ４０に登録されている契約番号を「06-1234-5678」として、移設前のVoIPゲートウェイ４０が利用する回線（すなわち、初期設置以降、移設前に利用する回線）を「CAF1111111」、設置場所を「大阪府・・・」、IPv6アドレスを「A」とする。このとき、VoIPゲートウェイ４０の設置（すなわち、回線「CAF1111111」への接続）に応じて、NGN提供業者からIPv6Prefixが払い出され、VoIP事業者にも当該IPv6Prefixが通知される。このIPv6Prefixは、IPv6アドレス「A」のPrefix部分に相当する情報である。以降では、このIPv6Prefixを「第１のIPv6Prefix」とも表す。
【００３２】
これにより、ユーザ情報DB３０では、契約番号「06-1234-5678」と、当該第１のIPv6Prefixとが含まれるユーザ情報が管理される。なお、IPv6アドレス「A」は、当該第１のIPv6Prefixと、VoIPゲートウェイ４０のMACアドレスとから生成される。
【００３３】
この場合、VoIPゲートウェイ４０は、所定の時間毎（例えば、３０分毎）に、SIPサーバ６０宛にRegisterメッセージを送信する。このとき、SBC７０では、VoIPゲートウェイ４０からのRegisterメッセージを受信する度に、当該RegisterメッセージをSIPサーバ６０に転送する。このとき、キャプチャ装置２０は、SBC７０から転送されたRegisterメッセージをキャプチャして記憶装置等に保存する。なお、このRegisterメッセージには、契約番号「06-1234-5678」と、IPv6アドレス「A」とが含まれる。
【００３４】
他方で、異常検知装置１０は、所定の時間毎（例えば、１時間乃至２時間毎等）に、キャプチャ装置２０からRegisterメッセージを取得する。そして、異常検知装置１０は、当該Registerメッセージと同一契約番号のユーザ情報に含まれるIPv6Prefixをユーザ情報DB３０から取得して、当該Registerメッセージに含まれるIPv6アドレスとアンマッチであるか否かを判定する。
【００３５】
VoIPゲートウェイ４０の移設前では、キャプチャ装置２０から取得したRegisterメッセージに含まれるIPv6アドレスは「A」であり、同一契約番号のユーザ情報に含まれるIPv6Prefixは「第１のIPv6Prefix」（つまり、IPv6アドレス「A」のPrefix部分に相当する情報）である。したがって、この場合、アンマッチでないと判定され、異常は検知されない。
【００３６】
（移設後）
次に、移設後のVoIPゲートウェイ４０が利用する回線を「CAF2222222」、設置場所を「福岡県・・・」、IPv6アドレスを「B」とする。このとき、VoIPゲートウェイ４０の設置（すなわち、回線「CAF2222222」への接続）に応じて、NGN提供業者からIPv6Prefixが払い出される。このIPv6Prefixは、IPv6アドレス「B」のPrefix部分に相当する情報である。以降では、このIPv6Prefixを「第２のIPv6Prefix」とも表す。
【００３７】
なお、上述したように、本発明の実施の形態では、VoIPゲートウェイ４０の移設された場合、第２のIPv6PrefixがNGN提供業者からVoIP事業者に通知されるまで（VoIP事業者とIPoE事業者とが異なる場合は、IPoE事業者に通知されるまで）にはタイムラグが存在するものとする。このため、ユーザ情報DB３０で管理されているユーザ情報（ユーザ甲のユーザ情報）に含まれる第１のIPv6Prefixが第２のIPv6Prefixに更新されるまで同様のタイムラグが存在する。
【００３８】
この場合も、移設前と同様に、VoIPゲートウェイ４０は、所定の時間毎（例えば、３０分毎）に、SIPサーバ６０宛にRegisterメッセージを送信する。このとき、SBC７０では、VoIPゲートウェイ４０からのRegisterメッセージを受信する度に、当該RegisterメッセージをSIPサーバ６０に転送する。このとき、キャプチャ装置２０は、SBC７０から転送されたRegisterメッセージをキャプチャして記憶装置等に保存する。なお、このRegisterメッセージには、契約番号「06-1234-5678」と、IPv6アドレス「B」とが含まれる。
【００３９】
同様に、異常検知装置１０は、所定の時間毎（例えば、１時間乃至２時間毎等）に、キャプチャ装置２０からRegisterメッセージを取得する。そして、異常検知装置１０は、当該Registerメッセージと同一契約番号のユーザ情報に含まれるIPv6Prefixをユーザ情報DB３０から取得して、当該Registerメッセージに含まれるIPv6アドレスとアンマッチであるか否かを判定する。
【００４０】
VoIPゲートウェイ４０の移設後では、キャプチャ装置２０から取得したRegisterメッセージに含まれるIPv6アドレスは「B」であり、同一契約番号のユーザ情報に含まれるIPv6Prefixは「第１のIPv6Prefix」（つまり、IPv6アドレス「A」のPrefix部分に相当する情報）である。したがって、この場合、アンマッチであると判定され、異常が検知される。なお、後述するように、より具体的には、キャプチャ装置２０から取得したRegisterメッセージと同一契約番号のユーザ情報とが所定の回数連続でアンマッチであった場合に異常が検知される。
【００４１】
このように、本発明の実施の形態における異常検知システム１では、VoIPゲートウェイ４０が移設されたことが異常として検知される。ここで、異常検知装置１０は、異常を検知した場合、例えば、VoIP事業者の端末や装置等に異常が検知されたことを通知しても良いし、該当のVoIPゲートウェイ４０（すなわち、移設されたVoIPゲートウェイ４０）の発信を抑止する制御を行っても良い。
【００４２】
＜ハードウェア構成＞
次に、本発明の実施の形態における異常検知装置１０のハードウェア構成について、図２を参照しながら説明する。図３は、本発明の実施の形態における異常検知装置１０のハードウェア構成の一例を示す図である。
【００４３】
図３に示すように、本発明の実施の形態における異常検知装置１０は、ハードウェアとして、入力装置１１と、表示装置１２と、外部I/F１３と、RAM（Random Access Memory）１４と、ROM（Read Only Memory）１５と、CPU（Central Processing Unit）１６と、通信I/F１７と、補助記憶装置１８とを有する。これら各ハードウェアは、それぞれがバスＢを介して通信可能に接続されている。
【００４４】
入力装置１１は、例えばキーボードやマウス、タッチパネル等であり、異常検知装置１０のユーザが各種操作を入力するのに用いられる。表示装置１２は、例えばディスプレイ等であり、異常検知装置１０の処理結果を表示する。
【００４５】
外部I/F１３は、外部装置とのインタフェースである。外部装置には、記録媒体１３ａ等がある。異常検知装置１０は、外部I/F１３を介して、記録媒体１３ａ等の読み取りや書き込みを行うことができる。記録媒体１３ａには、異常検知装置１０が有する各機能部を実現する１以上のプログラム等が記録されていても良い。
【００４６】
記録媒体１３ａとしては、例えば、フレキシブルディスク、CD（Compact Disc）、DVD（Digital Versatile Disk）、SDメモリカード（Secure Digital memory card）、USB（Universal Serial Bus）メモリカード等が挙げられる。
【００４７】
RAM１４は、プログラムやデータを一時保持する揮発性の半導体メモリである。ROM１５は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリである。ROM１５には、例えば、OS（Operating System）に関する設定情報やネットワークに関する設定情報等が格納されている。
【００４８】
CPU１６は、ROM１５や補助記憶装置１８等からプログラムやデータをRAM１４上に読み出して、各種処理を実行する演算装置である。
【００４９】
通信I/F１７は、異常検知装置１０をネットワークに接続するためのインタフェースである。異常検知装置１０が有する各機能部を実現する１以上のプログラムは、通信I/F１７を介して、所定のサーバ等から取得（ダウンロード）されても良い。
【００５０】
補助記憶装置１８は、例えばHDD（Hard Disk Drive）やSSD（Solid State Drive）等であり、プログラムやデータを格納している不揮発性の記憶装置である。補助記憶装置１８に格納されているプログラムやデータには、例えば、OS、アプリケーションプログラム、異常検知装置１０が有する各機能部を実現する１以上のプログラム等がある。
【００５１】
本発明の実施の形態における異常検知装置１０は、図３に示すハードウェア構成を有することにより、後述する各種処理を実現することができる。なお、図３に示す例では、異常検知装置１０が１台のコンピュータで実現される場合のハードウェア構成を示したが、これに限られず、異常検知装置１０は複数台のコンピュータで実現されていても良い。
【００５２】
＜機能構成＞
次に、本発明の実施の形態における異常検知装置１０の機能構成について、図４を参照しながら説明する。図４は、本発明の実施の形態における異常検知装置１０の機能構成の一例を示す図である。
【００５３】
図４に示すように、本発明の実施の形態における異常検知装置１０は、機能部として、メッセージ取得部１０１と、差分判定部１０２と、ユーザ情報取得部１０３と、マッチング部１０４と、異常検知部１０５と、異常検知後処理部１０６とを有する。これら各機能部は、例えば、異常検知装置１０にインストールされた１以上のプログラムがCPU１６に実行させる処理により実現される。
【００５４】
メッセージ取得部１０１は、所定の時間毎（例えば、１時間乃至２時間毎等）に、キャプチャ装置２０からRegisterメッセージを取得する。なお、メッセージ取得部１０１は、例えば、所定の時間毎に、各契約番号のRegisterメッセージをキャプチャ装置２０からそれぞれ取得しても良い。
【００５５】
また、メッセージ取得部１０１は、マッチング部１０４によりアンマッチでないと判定された場合、当該Registerメッセージで、後述する比較対象情報を更新する。
【００５６】
差分判定部１０２は、メッセージ取得部１０１により取得されたRegisterメッセージと、例えば補助記憶装置１８等に記憶されている比較対象情報のうち、同一契約番号の比較対象情報とでIPv6アドレス（又はIPv6Prefix）に差分があるか否かを判定する。
【００５７】
ここで、比較対象情報とは、例えば、Registerメッセージに含まれる契約番号（電話番号）及びIPv6アドレス（又はIPv6Prefix）と、当該比較対象情報の最終更新日時とが含まれる情報である。なお、比較対象情報には、IPv6アドレス又はIPv6Prefixのいずれが含まれていても良いし、両方が含まれていても良い。また、比較対象情報は、契約番号毎に、例えば補助記憶装置１８等に記憶される。比較対象情報は、例えば、契約番号をキーとして、テーブルに格納されるレコード（契約番号と、IPv6アドレス（又はIPv6Prefix）と、最終更新日時とが対応付けられたレコード）で表現される。
【００５８】
ユーザ情報取得部１０３は、差分判定部１０２により差分があると判定された場合、ユーザ情報DB３０で管理されているユーザ情報のうち、当該Registerメッセージと同一の契約番号のユーザ情報を検索する。そして、ユーザ情報取得部１０３は、検索されたユーザ情報からIPv6Prefixを取得する。
【００５９】
マッチング部１０４は、当該Registerメッセージに含まれるIPv6アドレスと、ユーザ情報取得部１０３により取得されたIPv6Prefixとがアンマッチであるか否かを判定する。すなわち、マッチング部１０４は、当該IPv6アドレスのPrefix部分が当該IPv6Prefixと不一致であるか否かを判定する。
【００６０】
そして、マッチング部１０４は、当該IPv6アドレスと当該IPv6Prefixとがアンマッチであると判定した場合、該当の契約番号に対応するアンマッチ回数に１を加算する。一方で、マッチング部１０４は、当該IPv6アドレスと当該IPv6Prefixとがアンマッチでないと判定した場合、該当の契約番号に対応するアンマッチ回数を０にクリアする。なお、アンマッチ回数は、契約番号毎に、例えば補助記憶装置１８等に記憶される。
【００６１】
ここで、当該IPv6アドレスと当該IPv6Prefixとがアンマッチでないと判定された場合（すなわち、比較対象情報と差分があり、かつ、アンマッチでないと判定される場合）とは、NGN提供業者により払い出されたIPv6Prefixが変更され、かつ、その変更がVoIP事業者に通知（VoIP事業者とIPoE事業者とが異なる場合は、IPoE事業者に通知）されると共に、この通知によりVoIP事業者によってユーザ情報DB３０で管理されている該当のユーザ情報のIPv6Prefixが更新された場合のことを意味する。
【００６２】
異常検知部１０５は、アンマッチ回数が所定の閾値以上となったか否かを判定する。そして、異常検知部１０５は、アンマッチ回数が所定の閾値以上であると判定した場合、VoIPゲートウェイ４０が移設されたものとして異常を検知する。
【００６３】
異常検知後処理部１０６は、異常検知部１０５により異常が検知された場合に、所定の処理を実行する。所定の処理としては、例えば、該当のVoIPゲートウェイ４０が移設されたことを示すアラート等を所定の端末に通知する処理、該当のVoIPゲートウェイ４０からの発信を抑止する処理等が挙げられる。なお、アラートを所定の端末に通知する場合におけるアラート通知先端末としては、例えば、VoIP事業者のオペレータや営業担当者等が利用する端末装置が挙げられる。
【００６４】
＜ユーザ情報＞
ここで、ユーザ情報DB３０で管理されているユーザ情報について、図５を参照しながら説明する。図５は、ユーザ情報DB３０で管理されているユーザ情報の一例を示す図である。
【００６５】
図５に示すように、ユーザ情報DB３０で管理されているユーザ情報には、契約番号と、IPv6Prefixと含まれる。ここで、契約番号は、VoIP事業者から払い出された電話番号である。また、IPv6Prefixは、当該契約番号が登録されたVoIPゲートウェイ４０に払い出されたIPv6のPrefix部分を示す情報である。このように、各ユーザ情報では、契約番号と、この契約番号のVoIPゲートウェイ４０に払い出されたIPv6Prefixとが対応付けられている。
【００６６】
＜異常検知処理＞
以降では、異常検知装置１０が実行する異常検知処理について、図６を参照しながら説明する。図６は、本発明の実施の形態における異常検知処理の一例を示すフローチャートである。なお、図６の異常検知処理は、所定の時間毎（例えば、１時間乃至２時間毎等）に繰り返し実行される。
【００６７】
まず、メッセージ取得部１０１は、キャプチャ装置２０からRegisterメッセージを取得する（ステップＳ１０１）。
【００６８】
次に、差分判定部１０２は、上記のステップＳ１０１で取得されたRegisterメッセージと、同一契約番号の比較対象情報とでIPv6アドレスに差分があるか否かを判定する（ステップＳ１０２）。すなわち、差分判定部１０２は、当該Registerメッセージに含まれるIPv6アドレスと、当該比較対象情報に含まれるIPv6アドレス（又はIPv6Prefix）とが同一であるか否かを判定する。
【００６９】
なお、当該Registerメッセージに含まれるIPv6アドレスと当該比較対象情報に含まれるIPv6Prefixとに差分があるか否かを判定する場合、差分判定部１０２は、当該IPv6アドレスのPrefix部分と当該IPv6Prefixとに差分があるか否かを判定する。
【００７０】
また、当該Registerメッセージと同一契約番号の比較対象情報が存在しない場合、差分判定部１０２は、「差分あり」と判定する。これにより、例えば、VoIP端末の移設だけでなく、最初から誤った場所（VoIP事業者に申請した場所とは異なる場所）にVoIP端末を設置した場合も異常として検知可能となる。
【００７１】
ステップＳ１０２で差分があると判定された場合、ユーザ情報取得部１０３は、ユーザ情報DB３０で管理されているユーザ情報のうち、当該契約番号と同一の契約番号が含まれるユーザ情報を検索する。そして、ユーザ情報取得部１０３は、検索されたユーザ情報からIPv6Prefixを取得する（ステップＳ１０３）。
【００７２】
ステップＳ１０３に続いて、マッチング部１０４は、上記のステップＳ１０１で取得されたRegisterメッセージに含まれるIPv6アドレスと、上記のステップＳ１０３で取得されたIPv6Prefixとがアンマッチであるか否かを判定する（ステップＳ１０４）。すなわち、マッチング部１０４は、当該IPv6アドレスのPrefix部分が当該IPv6Prefixと不一致であるか否かを判定する。
【００７３】
ステップＳ１０４で当該Pv6アドレスと当該IPv6Prefixとがアンマッチであると判定された場合、マッチング部１０４は、アンマッチ回数に１を加算する（ステップＳ１０５）。
【００７４】
次に、異常検知部１０５は、当該契約番号に対応するアンマッチ回数が所定の閾値以上となったか否かを判定する（ステップＳ１０６）。ここで、所定の閾値としては、任意の値を設定することができる。
【００７５】
ステップＳ１０６でアンマッチ回数が所定の閾値以上であると判定された場合、異常検知後処理部１０６は、異常検知部１０５により異常が検知されたとして、異常検知後処理を実行する（ステップＳ１０７）。すなわち、異常検知後処理部１０６は、例えば、当該契約番号のVoIPゲートウェイ４０が移設されたことを示すアラート等をVoIP事業者の端末や装置等に通知したり、当該契約番号のVoIPゲートウェイ４０からの発信を抑止したりする等の処理を行う。
【００７６】
一方で、ステップＳ１０４で当該IPv6アドレスと当該IPv6Prefixとがアンマッチでないと判定された場合、マッチング部１０４は、アンマッチ回数を０にクリアする（ステップＳ１０８）。
【００７７】
次に、メッセージ取得部１０１は、上記のステップＳ１０１で取得したRegisterメッセージで、同一契約番号の比較対象情報を更新する（ステップＳ１０９）。すなわち、メッセージ取得部１０１は、当該Registerメッセージに含まれるIPv6アドレス（のPrefix部分）で、当該比較対象情報に含まれるIPv6Prefixを更新する。なお、同一の契約番号の比較対象情報が存在しない場合は、メッセージ取得部１０１は、当該Registerメッセージに含まれる契約番号及びIPv6アドレス（のPrefix部分）を用いて、比較対象情報を作成する。
【００７８】
＜まとめ＞
以上のように、本発明の実施の形態における異常検知システム１は、VoIPゲートウェイ４０（VoIP端末）から送信されるRegisterメッセージに含まれるIPv6アドレスと、ユーザ情報として管理されているIPv6Prefixとのアンマッチ有無を判定することで、VoIPゲートウェイ４０が移設されたことを異常として検知することができる。このため、本発明の実施の形態における異常検知システム１によれば、ユーザがVoIPゲートウェイ４０を勝手に移設してしまったような場合に、例えば、当該VoIPゲートウェイ４０からの発信を抑止する等の措置を講じることができるようになる。
【００７９】
しかも、本発明の実施の形態における異常検知システム１では、キャプチャ装置２０及びユーザ情報DB３０から取得した情報により異常検知装置１０が異常検知を行うことで、VoIP基盤網の構成を変更せずに、異常検知を行うことができる。
【００８０】
なお、本発明の実施の形態では、メッセージはRegisterメッセージ（登録要求）であるものとして説明したが、これに限られず、例えば、Inviteメッセージ（招待要求や接続要求）等であっても良い。また、本発明の実施の形態では、IPアドレスはIPv6であるものとして説明したが、これに限られず、例えば、IPv4であっても良い。
【００８１】
また、本発明の実施の形態では、VoIP端末が移設されたことを異常と検知する場合について説明したが、VoIP端末に限られず、NGN及びIPoE接続事業者ネットワークを介してSIPサーバ６０に登録要求を送信する任意の端末の移転を検知する場合にも同様に適用することができる。
【００８２】
また、本発明の実施の形態では、VoIPゲートウェイ４０の移設された場合に、移設後のVoIPゲートウェイ４０に払い出されたIPv6PrefixがNGN提供業者からVoIP事業者に通知されるまで（VoIP事業者とIPoE事業者とが異なる場合は、IPoE事業者に通知されるまで）にはタイムラグが存在するものとして説明したが、このタイムラグが無くなる可能性も有り得る。この場合（すなわち、タイムラグが無くなった場合）であっても本発明の実施の形態を同様に適用することができる。この場合、VoIPゲートウェイ４０が移設されると、タイムラグが無く、ユーザ情報として管理されているIPv6Prefixも更新される。このため、この場合、異常検知装置１０は、キャプチャ装置２０から取得したRegisterメッセージに含まれるIPv6アドレスと、同一契約番号（すなわち、当該Registerメッセージに含まれる契約番号と同一の契約番号）のユーザ情報に含まれるIPv6Prefixとにアンマッチがある場合に、異常を検知すれば良い。
【００８３】
また、本発明の実施の形態では、NGN提供業者から払い出されるIPv6Prefixは半固定であるものとして説明したが、例えば、NGN提供業者から払い出されるIPv6Prefixが固定となる可能性も有り得る。この場合であっても本発明の実施の形態を同様に適用することができる。この場合、上記と同様に、異常検知装置１０は、キャプチャ装置２０から取得したRegisterメッセージに含まれるIPv6アドレスと、同一契約番号のユーザ情報に含まれるIPv6Prefixとにアンマッチがある場合に、異常を検知すれば良い。
【００８４】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更が可能である。
【符号の説明】
【００８５】
１        異常検知システム
１０      異常検知装置
２０      キャプチャ装置
３０      ユーザ情報DB
４０      VoIPゲートウェイ
５０      電話機
６０      SIPサーバ
７０      SBC
１０１    メッセージ取得部
１０２    差分判定部
１０３    ユーザ情報取得部
１０４    マッチング部
１０５    異常検知部
１０６    異常検知後処理部
【図１】
2020053718.tif 000003
【図２】
2020053718.tif 000004
【図３】
2020053718.tif 000005
【図４】
2020053718.tif 000006
【図５】
2020053718.tif 000007
【図６】
2020053718.tif 000008