(57)【特許請求の範囲】
【請求項１】
ネットワークおよび端末攻撃を検出するための予め定められた警告基準を考慮して、電気通信ネットワーク内のトラフィックおよび端末活動を解析するためにネットワークセキュリティ機能(200, 400)が用いられ、前記電気通信ネットワーク内のユーザについての、課金情報を含む情報を、不正攻撃を検出するための予め定められた警告基準を考慮して解析するために不正検出機能(202, 402)が用いられる場合に、前記電気通信ネットワークにおける不正検出を支援する方法であって、
前記方法は、仲介機能(204, 404)において実行されるステップであって、
- 前記ネットワークセキュリティ機能および前記不正検出機能を監視するステップ(300)と、
- 前記ネットワークセキュリティ機能および前記不正検出機能の第１の一方から、該一方の機能の予め定められた警告基準が満たされていることを示す第１の警告を受信するステップ(302)と、
- 前記ネットワークセキュリティ機能および前記不正検出機能の第２の一方の前記警告基準を、前記受信した第１の警告に基づいて変更するステップ(306)と、を有することを特徴とする方法。
【請求項２】
前記警告基準が、前記第２の一方の機能に対して新たな検出規則を設定することによって変更されることを特徴とする請求項１記載の方法。
【請求項３】
前記第２の一方の機能が前記不正検出機能であり、前記新たな検出規則が、前記電気通信ネットワーク内の１以上の端末ユーザに対する課金パターンに異常を検出すると警告を発行するように指示するものであることを特徴とする請求項２記載の方法。
【請求項４】
前記新たな検出規則が、疑わしいサービスに関する任意の活動を検出すると警告を発行するように指示するものであることを特徴とする請求項２または請求項３記載の方法。
【請求項５】
前記第２の一方の機能から、前記第２の一方の機能の前記変更された警告基準が満たされたことを示す第２の警告が受信され、該第２の警告に基づいて前記第１の一方の機能の前記警告基準が変更されることを特徴とする請求項１から請求項４のいずれか１項に記載の方法。
【請求項６】
前記ネットワークセキュリティ機能および前記不正検出機能の前記第２の一方から、前記第１の警告に基づいて変更された前記警告基準が満たされていることを示す１つ以上の警告を受信したことに応答して警報が発行されることを特徴とする請求項１から請求項５のいずれか１項に記載の方法。
【請求項７】
ネットワークおよび端末攻撃を検出するための予め定められた警告基準を考慮して、電気通信ネットワーク内のトラフィックおよび端末活動を解析するためにネットワークセキュリティ機能(200, 400)が用いられ、前記電気通信ネットワーク内のユーザについての、課金情報を含む情報を、不正攻撃を検出するための予め定められた警告基準を考慮して解析するために不正検出機能(202, 402)が用いられる場合に、前記電気通信ネットワークにおける不正検出を支援するように構成された仲介機能(600)における装置であって、
- 前記ネットワークセキュリティ機能および前記不正検出機能を監視するとともに、前記ネットワークセキュリティ機能および前記不正検出機能の第１の一方から、前記第１の一方の機能の予め定められた警告基準が満たされたことを示す第１の警告(A)を受信するように構成された監視手段(800a)と、
- 前記ネットワークセキュリティ機能および前記不正検出機能の第２の一方の前記警告基準(AC)を、前記受信した第１の警告に基づいて変更するように構成された変更手段(800b)と、を有することを特徴とする装置。
【請求項８】
前記変更手段が、前記警告基準を、前記第２の一方の機能に対して新たな検出規則を設定することによって変更するように構成されることを特徴とする請求項７記載の装置。
【請求項９】
前記第２の一方の機能は前記ネットワークセキュリティ機能であり、前記新たな検出規則が、マルウェア、スパムおよび、悪名高いまたは疑わしい第三者またはウェブサイトとの通信、のいずれかを検出すると警告を発行するように指示するものであることを特徴とする請求項８記載の装置。
【請求項１０】
前記第２の一方の機能が前記不正検出機能であり、前記新たな検出規則が、前記電気通信ネットワーク内の１以上の端末ユーザに対する課金パターンに異常を検出すると警告を発行するように指示するものであることを特徴とする請求項８記載の装置。
【請求項１１】
前記変更手段がさらに、前記ネットワークセキュリティ機能から受信された前記第１の警告を、脅威データベース内の既知のネットワーク脅威を調べることによって評価するように構成されることを特徴とする請求項１０記載の装置。
【請求項１２】
前記新たな検出規則が予め定められた期間有効とされ、該予め定められた期間の経過後は元の警告基準に戻されることを特徴とする請求項８から請求項１１のいずれか１項に記載の装置。
【請求項１３】
前記新たな検出規則が、１以上の特定の端末ユーザに対して有効とされることを特徴とする請求項７から請求項１２のいずれか１項に記載の装置。
【請求項１４】
前記監視手段がさらに、前記第２の一方の機能から、前記第２の一方の機能の前記変更された警告基準が満たされたことを示す第２の警告を受信するように構成され、前記変更手段がさらに、該第２の警告に基づいて前記第１の一方の機能の前記警告基準を変更するように構成されることを特徴とする請求項７から請求項１３のいずれか１項に記載の装置。
【請求項１５】
前記ネットワークセキュリティ機能および前記不正検出機能の前記第２の一方から、前記第１の警告に基づいて変更された前記警告基準が満たされていることを示す１つ以上の警告を受信したことに応答して、警報を発行するように構成されることを特徴とする請求項７から請求項１４のいずれか１項に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は概して、電気通信ネットワークにおいてユーザに対する不正検出を支援するための方法および装置に関する。
【背景技術】
【０００２】
近年、電気通信に関する高度な技術およびツールが多く出現しているが、残念ながら、それにより、インターネットのような公衆電気通信ネットワークを通じた通信が不正の対象となるリスクが無視できないものとなってきている。不正者は、例えば、無許可でクレジットカード情報やネットバンキング操作用のログンクレデンシャルを取得するといった方法で、インターネットユーザから金銭を盗むためのより洗練された方法を着想している。インターネットなどにおける不正攻撃の他の一般的な方法は、特に電気通信ネットワークを通じてインターネットアクセスが行われる際に、例えばいわゆるプレミアムサービスに関する、ネットワーク内の様々な課金の仕組みを不正利用するものである。
【０００３】
不正の一例としては、端末ユーザからプレミアムサービスへの発呼またはＳＭＳ（ショートメッセージサービス）メッセージ送信を誘発させ、それによってユーザの加入口座から不正者の口座へ、ユーザに何ら通知することなく少額の自動商取り引きを発生させるというものである。別の例は、ユーザ端末にインストールされると、例えば上述したような少額の金銭取引を引き起こすＳＭＳメッセージを自動的に送信することにより、ユーザ口座から不正者の口座へ何らかの形で送金させるように動作するコンピュータプログラムが隠されたメディアまたはソフトウェアをダウンロードさせるようにするものである。このような悪意のあるコンピュータプログラムは「マルウェア」と呼ばれ、ユーザに何ら通知することなしにユーザ端末にインストールできてしまう。このように、ネットワーク内部または外部の不正者は、ユーザから金銭を盗むために、例えばマルウェアを用いて、ユーザ端末および／またはオペレータの課金の仕組みを操作することができる。
【０００４】
そのため、ネットワーク内のユーザ端末を対象としたネットワークベースの不正攻撃を発見するための様々な防御メカニズムが開発されている。今日では、様々なファイアウォール、スパムフィルタ、およびマルウェア防御メカニズムが、ネットワークノードおよび端末で広く用いられている。例えば署名、メッセージ、シグナリングパターン、犯罪活動に関連することが分かっているウェブサイトおよびサーバとの通信、等の認識による、既知の不正攻撃の認識に基づいた、ネットワークにおける不正検出のための一層洗練された仕組みが存在する。さらに、ネットワークオペレータは、不正活動と関連するおそれがある異常な課金パターンを認識可能な不正検出ツールを用いている。
【０００５】
図１は、例えば移動体通信ネットワークである電気通信ネットワークが、現状の手法に従って、不正に関連するおそれのある攻撃を検出するための様々なセキュリティシステムをどのように利用可能かを示している。ネットワークセキュリティ機能１００は、マルウェア、スパム、悪名高いウェブサイトとの通信といった、潜在的な攻撃に関し、例えばいわゆる「ディープパケットインスペクション」を用いて解析された、ネットワーク内のトラフィックに関する情報を受信する。ネットワークセキュリティ機能１００はさらに、ネットワーク内の端末における活動についての情報を受信してもよい。上述の情報を取得するため、ネットワークセキュリティ機能１００は、ネットワークノードおよび／またはユーザ端末に配置されたセンサなどを用いることができる。
【０００６】
あるいは／さらに、不正検出機能１０２は、１以上のユーザに対する課金パターンについて、不正を示すかもしれない異常性を検出するため、ネットワークの課金システム１０４から得られる情報に基づき、ネットワークオペレータのネットワーク内加入者およびユーザに対する課金についての情報を解析する。例えば、不正検出機能１０２は、ある口座に多数の送金処理が急激に発生した場合や、悪名高い、あるいは疑わしい者とつながりうる口座へ送金された場合に反応しうる。図示したように、ネットワーク攻撃または不正活動が検出されると、セキュリティ機能１００，１０２がそれぞれ、警報またはそれに準ずるものを生成することができる。しかし、不正者はネットワーク攻撃や不正を一層巧妙に行うようになっており、上述したセキュリティシステムによって検出できなくなってきている。
【０００７】
不正攻撃の対象となった場合、それがユーザにとって明らかに迷惑な行為であることは当然であるが、ネットワークオペレータにとっても、ネットワーク内の自身の加入者が金銭をだまし取られることは、特にオペレータの課金の仕組みが悪用された場合には面倒な問題となる。これはオペレータにとって金銭的な損失のみならず、オペレータが自分のネットワーク内での不正活動を抑制することができない点について、顧客からの苦情およびオペレータに対する不信の原因となりうる。
【発明の開示】
【０００８】
本発明の一目的は、基本的に、上述した問題点の少なくとも一部をおおむね解消することにある。さらに、電気通信ネットワーク内における不正攻撃の抑制を可能にするための不正検出を支援あるいは容易にすることを目的とする。これらの目的および他の目的は、以下に添付する独立請求項に係る方法および装置を提供することによって実現することができる。
【０００９】
一見地によれば、電気通信ネットワーク内の不正検出を支援するための仲介機能における方法が提供される。この方法において、ネットワークおよび端末攻撃を検出するための予め定められた警告基準の観点からネットワーク内のトラフィックおよび端末活動を解析するために、ネットワークセキュリティ機能が用いられ、ネットワーク内のユーザについての、課金情報を含む情報を、予め定められた、不正攻撃を検出するための警告基準の観点から解析するために不正検出機能が用いられる。仲介機能は、上述のネットワークセキュリティ機能および不正検出機能の両方を監視する。前記ネットワークセキュリティ機能および前記不正検出機能の第１の一方から、前記第１の機能が前記予め定られた警告状況が満たされていることを示す第１の警告を受信すると、前記受信した第１の警告に基づいて、前記ネットワークセキュリティ機能および前記不正検出機能の第２の一方の警告基準が変更される。
【００１０】
別の見地によれば、仲介機能内に、上述した方法に従って電気通信ネットワークにおける不正の検出を支援するように基本的に構成された装置が提供される。この革新的な仲介機能装置は、ネットワークセキュリティ機能および不正検出機能を監視するように構成された監視手段を有する。監視手段はさらに、前記ネットワークセキュリティ機能および前記不正検出機能の第１の一方から、前記第１の機能の予め定められた警告基準が満たされていることを示す第１の警告を受信するように構成される。仲介機能装置はさらに、前記ネットワークセキュリティ機能および前記不正検出機能の第２の一方の警告基準を前記受信した第１の警告に基づいて変更するように構成された変更手段を有する。
【００１１】
上述した方法および装置を用いる場合、前記ネットワークセキュリティ機能および前記不正検出機能の警告の出力に応じて、前記ネットワークセキュリティ機能の動作を前記不正検出機能の動作と関連付けたり、前記不正検出機能の動作を前記ネットワークセキュリティ機能の動作と関連付けたりすることができる。従って、これら機能の動作が関連付けられない従来技術と比較して、深刻な不正試行をより効率的かつ早期に発見することができる。
【００１２】
上述した方法および装置において、様々な実施形態が可能である。
【００１３】
一実施形態において、前記警告基準は、前記第２の機能に対する新たな検出規則を設定することによって変更される。ここで、規則は、前記第２の機能の前記警告基準内の既存の検出規則を変更することによって設定されてよい。前記第２の機能が前記ネットワークセキュリティ機能である場合、前記新たな検出規則は、以下のいずれかの検出に応じて警告を発行することを指示するものであってよい。マルウェア、スパム、および、悪名高いまたは疑わしい第三者またはウェブサイトとの通信。一方、前記第２の機能が前記不正検出機能である場合、前記新たな検出規則は、前記電気通信ネットワーク内の１以上のユーザについての前記課金パターンにおける異常検出に応じて警告を発行することを指示するものであってよい。後者の場合、前記仲介機能は、既知の脅威についての情報が格納されている脅威データベースで既知のネットワーク脅威をチェックすることによって、前記ネットワークセキュリティ機能からの前記第１の警告を評価してよい。
【００１４】
別の、可能性のある実施形態において、新たな検出規則は、疑わしいサービスに関する何らかの活動の検出に応じて警告を発行することを指示するものであってよい。新たな検出規則は、予め設定された有効期間を有し、有効期間経過後は以前の警告基準に復帰されてもよいし、および／または１つ以上の特定の端末ユーザについて有効であってもよい。
【００１５】
前記仲介機能が前記第２の機能から、該第２の機能の前記変更後の警告基準が満たされていることを示す第２の警告を受信した場合、受信した第２の警告に基づいて、前記第１の機能の前記警告基準についても変更することができる。不正の試行の発見能力を段階的に向上するために、警告に基づく第１および第２の機能についての警告基準の変更処理は、交互に繰り返し行われてよい。
【００１６】
別の可能性のある実施形態において、前記仲介機能は、前記ネットワークセキュリティ機能および前記不正検出機能のいずれかからの１つ以上のさらなる警告に応答して警告を発行する。実際には、前記仲介機能、ネットワークセキュリティ機能、および不正検出機能の１つ以上は、少なくとも１つのネットワークノードまたは少なくとも１つのユーザ端末において実施されうる。
【００１７】
本発明の、他の可能性のある特徴および利点を、以下に詳細に説明する。
【図面の簡単な説明】
【００１８】
【図１】従来技術において、電気通信ネットワークにおいて不正をどのように検出可能かを示す模式的なブロック図である。
【図２】１つの可能性のある実施形態に従って、仲介機能を用いてどのように不正をより効率的に検出することが可能かを示す模式的なブロック図である。
【図３】別の実施形態に従って、不正検出を支援するために仲介機能で実行される手順を示すフローチャートである。
【図４】他の実施形態に従って、不正検出を支援するための例示的な手順を示す第１の信号図である。
【図５】他の実施形態に従って、不正検出を支援するための別の例示的な手順を示す第２の信号図である。
【図６】第１の現実的な例に従って、仲介機能によって実行される手順を示すフローチャートである。
【図７】第２の現実的な例に従って、仲介機能によって実行される手順を示すフローチャートである。
【図８】別の可能性のある実施形態に係る仲介機能を、より詳細に示すブロック図である。
【発明を実施するための形態】
【００１９】
以下、添付図面を参照して、例示的な実施形態によって本発明をより詳細に説明する。
簡潔に述べれば、上述したネットワークセキュリティ機能および不正検出機能の効率および精度は、本明細書において「警告基準」と呼ぶ、警告または警報を発行するための条件をどのように規定するかに大きく依存することが理解される。この手法において、これらセキュリティ機能はいずれも、もう一方の機能から発行された警告に応じて、自身が警告を発行するための状態または検出規則、すなわち基準を、能動的に設定することにより、動的な方法で制御することができる。
【００２０】
その結果、従前の関連付けされないセキュリティ機能と比較して一層効率的な方法で、かつ比較的初期の段階にネットワークまたは端末に対する、重大な攻撃または不正試行を発見することができるよう、一方の機能の動作は、他方の機能における警告の発見および出力と関連付けられ、また同様に、もう他方の機能の動作は、一方の機能における警告の発見および出力と関連付けられる。簡単さのために、一貫して「警告基準」という用語を用いているが、「警告基準」は、実装に応じて、１つの規則または状況を表す場合を含む、任意の数の規則および／または状況を表しうる。
【００２１】
図２は、本手法が用いられるシナリオを示しており、ネットワークセキュリティ機能２００および不正検出機能２０２が、おおよそ上述したように、攻撃および不正を考慮して電気通信ネットワークを調査するように動作する。機能２００および２０２は、それらから出る破線の矢印で表されるように、例えばおおよそ通常の手順に従って、所定の監視パラメータまたは状況が所定の条件を満たした際に警報を発行するように動作してよい。これらの警報は従前、ネットワーク内でセキュリティの責任者によって監視されることが意図されていたものである。典型的には、ネットワークセキュリティ機能および不正検出機能は、調査されるネットワークの適切な複数のノード内に実装されるが、それら機能の１つまたは２つはユーザ端末内に存在してもよい。
【００２２】
本手法では、２つの既存の機能２００および２０２の関連付けを提供するための「仲介機能」という名の新しい機能２０４が導入され、それによって機能２００および２０２は以下に説明するように精度およびスピードの点で一層効率的に動作することができる。あるいは、仲介機能２０４は、例えば関連付け機能またはユニット、リンク付け機能またはユニット、または、制御機能またはユニットという名前であってもよい。
【００２３】
図示の通り、仲介機能２０４はネットワークセキュリティ機能２００および不正検出機能２０２に接続されている。ネットワークセキュリティ機能２００は基本的に、ネットワークおよび端末攻撃を検出するための予め定められた警告基準を考慮してトラフィックと端末の活動に関する情報を解析し、予め定められた警告基準が満たされた場合には常に仲介機能２０４に警告を送信する。
【００２４】
さらに、不正検出機能２０２は基本的に、不正攻撃を検出するための他の予め定められた警告基準を考慮してネットワーク内の課金情報および場合によってはユーザに関する他の情報を解析する。従って、機能２０２は、機能２０２の予め定められた警告基準が満たされれば、やはり仲介機能２０４に警告を送信する。従って、ネットワークセキュリティ機能２００および不正検出機能２０２によって解析される情報はそれぞれ「低レベル」および「高レベル」情報と見なすことができ、通常、後者はいわゆるアプリケーションレベルである。
【００２５】
このように、仲介機能２０４は、ネットワークセキュリティ機能２００および不正検出機能２０２からの警告を検出するため、これらの両方について監視する。これらの警告は、一般に「脅威(threat)」と呼ぶことのできる、ネットワークおよび／またはネットワーク内の端末に対する攻撃あるいは不正な活動を示しうる。なお、これらは既知のものであっても、単に疑わしいものであってもよい。仲介機能２０４はまた、様々なネットワークおよび端末攻撃に関する既知の脅威が記憶されている、いわゆる「脅威データベース」２０６をチェックしてもよい。機能２００，２０２のいずれかから疑わしい脅威に関する警告が受信されると、それをデータベース２０６内の既知の脅威と比較することができる。合致するものが見つかった場合、その脅威に関するさらなる情報をデータベース２０６から取得してもよい。このようにして、ネットワーク攻撃についての警告が解析済みであるかどうかを判定することができ、試行された不正と関連付けるべきか否かを知ることができる。例えば、マルウェアコードの解析は、署名などによって識別された特定のマルウェアが、ＳＭＳ不正を実行しようとしたことを示すかも知れない。
【００２６】
仲介機能２０４は、ネットワークセキュリティ機能２００および不正検出機能２０２の一方から、その機能の予め定められた警告基準が満たされたことを示す警告を受信すると、受信した警告に基づいて、ネットワークセキュリティ機能２００および不正検出機能２０２の他方の警告基準を変更または「更新」する。そして、他方の機能についての、警告を発行するための条件は、警告自体から暗示される、一方の機能によって何が検出されたのかを考慮して変更される。この手順は基本的に、機能２００，２０２のいずれかから警告が受信される都度、繰り返し行われて良い。
【００２７】
従って、ここで説明するような方法でネットワークセキュリティ機能および不正検出機能の動作を他方の動作と関連付けることで、これら機能における不正または疑わしい不正の検出精度および／または検出スピードを、一層効率的にすることができる。なお、仲介機能もまた、ネットワークにおけるセキュリティ責任者を対象とした警報を発行してもよく、ネットワークセキュリティ機能および不正検出機能から警告を発行するための条件と同様にして、仲介機能からそのような警報を発行するための別個の条件が設定されうることに留意されたい。例えば、そのような警報条件は、ネットワークセキュリティ機能および不正検出機能からの、所定数の警告の受信であってよい。
【００２８】
ネットワークセキュリティ機能２００および不正検出機能２０２の上述の関連付けは、状況に応じていくつかの異なる方法で実施することができる。基本的には、所定のユーザまたはサービスに関するネットワークセキュリティ機能２００および不正検出機能２０２の一方から警告を受信すると、もう一方の機能２００または２０２の警告基準を、その所定のユーザまたはサービスに関する所定の活動に対してより敏感となり、変更前よりも警告が早く発行されるように変更することができる。
【００２９】
例えば、不正検出機能２０２からの警告が、所定ユーザから所定口座への送金処理数が予め設定された期間内に予め設定された限度を超えたことを示す場合、仲介機能２０４は、ネットワークセキュリティ機能２００における、そのユーザまたはサービスについての警告基準を、警告がより早く発行されるように変更する。これは、例えば、そのユーザまたはサービスが、使用される端末から自動的にトラフィックを生成する、不法にインストールされるマルウェアを用いるいわゆる「トロイの木馬活動」のような、所定の「疑わしい」活動に関与しているであろうことが検出された際に実行することができる。警告基準はまた、可能なら、法的分析のための、特定の対象に対する詳細なトラフィック捕捉(targeted detailed traffic capture)を可能とするように変更されてもよい。本発明の手法を用いる別の現実的ないくつかの例を、以下でより詳細に説明する。本明細書において「疑わしい(suspect)」という言葉は、不正または他の不法活動と潜在的に関連すると見なすことのできる何かを示すために用いられる。
【００３０】
この説明において、警告基準の変更は、測定されるパラメータについて警告を発行する閾値の変更、または何らかの予め定められた閾値に関して測定されるべき新たなパラメータの導入、を含んでよい。あるいは、または、さらに、警告基準の変更は、例えば悪名高いウェブサイトまたは第三者が関与する状況や、別のトラフィックタイプに偽装された所定のトラフィックタイプ（例えばバイナリダウンロード）の検出といったような、警告基準における全く新しい警告発行条件の追加を含んでもよい。これら例示的な条件は、それ自体では十分強力な指標を構成しなくてもよいし、事前の兆候なしに実行するにはコストがかかりすぎる検出動作に関するものであってもよい。
【００３１】
図３は、電気通信ネットワークにおける不正検出を支援するための手順のステップを示すフローチャートである。図２の場合と同様、ネットワークおよび端末攻撃を検出するための予め定められた警告基準を考慮して、トラフィックと端末の活動に関する情報を解析するネットワークセキュリティ機能が用いられるものと仮定する。ここで、「端末活動(terminal activities)」という言葉は、移動機器および固定機器、コンピュータにおけるホストなど、ネットワークにおいて起こりうるいかなるタイプの通信端末も参照しうる。また、少なくとも課金情報を含むネットワーク内のユーザに関する情報を、不正攻撃の検出のために予め定められた警告基準を考慮して解析する不正検出機能もまた用いられるものと仮定する。さらに、不正関連活動の観点から、シグナリング情報が不正検出機能によって解析されてもよい。
【００３２】
本発明の範囲とはいくぶん異なるが、上述したネットワークセキュリティ機能および不正検出機能は、ネットワークおよびそのユーザに関する情報を、様々なネットワークノード、ユーザ端末、ファイアウォールなど、複数の異なるソースを用いて収集してもよい。以下のステップは、図２の例と同様に、ネットワークセキュリティ機能および不正検出機能の両方に接続されている仲介機能において実行される。
【００３３】
最初のステップ３００は、ネットワークセキュリティ機能および不正検出機能が、これら機能からの警告について、事実上連続的に監視されることを示している。次のステップ３０２において、ネットワークセキュリティ機能および不正検出機能の第１の一方から、第１の警告が受信される。受信された警告は、第１の機能の予め定められた警告基準が満たされたことを示している。
【００３４】
次の、必要に応じて実行されるステップ３０４において、受信された第１の警告が、ネットワークセキュリティ機能および不正検出機能の第２の一方についての警告基準の更新を行う理由を与えるものかどうかが判定されてよい。従って、仲介機能は、そのような更新を行う理由を与えるかどうかを判定するために任意の受信警告を解析することのできる、適切なロジックを備えることができる。もし、受信した警告が警告基準の更新を行う理由を与えるものと判定された場合、ステップ３０６で、第２の機能の警告基準は受信した第１の警告に基づいて変更される。受信した警告が警告基準の更新を行う理由を与えるものでなければ、上述したように、手順はステップ３００から繰り返されてよい。
【００３５】
さらに、必要に応じて実行されるステップ３０８で示されるように、ステップ３０２における警告の直後に、あるいはステップ３０６で警告基準が変更された後に、ネットワーク内のセキュリティ責任者宛の警報が仲介機能によって発行されてもよい。ステップ３０６において、警告基準は、攻撃脅威を検出するための第２の機能についての新たな検出規則を設定することによって変更されてもよい。ここで、規則は、第２の機能の警告基準内の既存の検出規則を変更することによって設定されてよい。
【００３６】
例えば、第２の機能がネットワークセキュリティ機能である場合、新たな検出規則は、以下のいずれかの検出に応じて警告が発行されることを指示するものであってよい。マルウェア、スパム、および、悪名高いまたは疑わしい第三者またはウェブサイトとの通信。一方、第２の機能が不正検出機能である場合、新たな検出規則は、電気通信ネットワーク内の１以上のユーザについての課金パターンにおける異常検出に応じて警告を発行することを指示するものであってよい。後者の場合、ネットワークセキュリティ機能から受信された第１の警告は、脅威データベース内の既知のネットワーク脅威をチェックすることによって評価されてもよい。さらに、新たな検出規則は、疑わしいサービスに関する何らかの活動の検出に応じて警告を発行することを指示するものであってよい。新たな検出規則は、１以上の特定の端末ユーザについて有効とされてもよい。新たな検出規則はまた、予め設定された期間について有効とされ、この期間の経過後、元の警告基準に戻されてもよい。
【００３７】
ステップ３０６で第２の機能の警告基準を変更した後、手順はステップ３００から繰り返されてもよい。例えば、その後第２の機能から、第２の機能の変更された警告基準が満たされたことを示す第２の警告が受信されてよい。それに応答して、第１の機能の警告基準が、受信した第２の警告に基づいて変更されてよい。そして手順は、一連の警告基準の変更が、ネットワークセキュリティ機能および不正検出機能で交互に実行されるように継続されてよい。
【００３８】
仲介機能は、ネットワークセキュリティ機能および不正検出機能のいずれかからの、１つ以上のさらなる警告に応答して警告を発行してもよい。実際には、仲介機能は、１つのノードで実施されてもよいし、ネットワークセキュリティ機能および不正検出機能とそれぞれ通信するために、２つの異なるノードに分割されて実施されてもよい。このように、仲介機能は少なくとも１つのネットワークノードまたは少なくとも１つのユーザ端末で実施されうる。あるいは、仲介機能は以下の二つの部分に事実上分散されてもよい。ネットワークセキュリティ機能に存在する部分と、不正検出機能に存在する部分である。また、ネットワークセキュリティ機能および不正検出機能のどれかが、ネットワークノードまたはユーザ端末に設けられてもよい。実際にどのような実装がなさようと、上述した機能はここで説明したように動作可能である。
【００３９】
図２に示した例と同様に、ネットワークセキュリティ機能４００、不正検出機能４０２、仲介機能４０４、および脅威データベース４０６が関与する図４の第１シグナリング図を参照して、不正検出を支援するための例示的な手順について説明する。従って、機能４００および４０２はいずれも、満たされた場合に仲介機能４０４に警告を発行するように設定された１つ以上の検出規則を有する予め定められた警告基準をそれぞれ有している。この手順は、例えば、多数のユーザ機器が、インストールされるとプレミアムサービスに係る予め定められた番号に少数のＳＭＳメッセージを送信するマルウェアに感染している場合に用いることができる。そして、不正行為者は、多数の感染機器による、多数のプレミアムＳＭＳメッセージによって生成された金銭を収集することができる。
【００４０】
最初の並列なステップ４：１ａおよび４：１ｂは、概して、仲介機能４０４が上述の機能４００および４０２を、それらからの警告という観点において監視していることを示し、この監視は、図示した手順の間、バックグラウンドで連続的に行うことができる。次のステップ４：２において、仲介機能４０４は、ネットワークセキュリティ機能４００の予め定められた警告基準が満たされたため、特定の加入者Ｓによって用いられる端末が関与する、観測されたネットワーク攻撃脅威Ｔを示す第１の警告を、ネットワークセキュリティ機能４００から受信する。
【００４１】
受信した警告が特定の識別された脅威Ｔに関するものであれば、脅威Ｔについてのさらなる情報を取得するため（例えば、その脅威が、スパムを送信するといった不正または他のタイプの不法活動に関するものかどうかを調べるため）、仲介機能４０４はステップ４：３で脅威データベース４０６を調べる。さもなければ、その脅威は「疑わしい」脅威であろうと見なすことができる。続くステップ４：４は、仲介機能４０４のロジックが、他方の不正検出機能４０２について、加入者Ｓに関する新たな検出規則を設定する必要があるかどうかを調べるため、とりわけステップ４：３で取得した内容に基づいて、脅威Ｔの解析および評価を行うことを示している。
【００４２】
この例において、脅威は、加入者Ｓに関する取引を監視するために、機能４０２についての特定の新たな検出規則の設定を必要とするものと仲介機能４０４に判定され、新たな検出規則がステップ４：５で機能４０２に設定される。新たな検出規則は、不正検出機能４０２の警告基準への更なる規則の追加、または警告基準内の既存の規則における閾値等の変更を含みうる。
【００４３】
やがて、仲介機能４０４がステップ４：６で、今回は不正検出機能４０２からの第２の警告であり、ステップ４：５で設定された新たな検出規則に従って以前に変更された機能４０２の警告基準が満たされたことにより、特定のサービスＰを用いた際の、加入者Ｓに関する疑わしい不正攻撃Ｆを示す第２の警告を受信する。
【００４４】
この例において、仲介機能４０４は、ステップ４：６の警告に応答して、次のステップ４：７で、例えばネットワークのセキュリティ責任者宛の、サービスＳに関する疑わしい加入者不正についての警報を発行する。従ってこの警報は、ネットワーク攻撃が、それに引き続く、サービスＰを用いる際に加入者Ｓに対して生じる不正攻撃に関するものであることを通知する。従って、ステップ４：７の警報は、ステップ４：５で警告基準が変更されなかった場合と比較して、より早く、かつより高い精度および感度で提供されることが可能である。
【００４５】
必要に応じて実行されるステップ４：８および４：９にそれぞれ示すように、この段階で、機能４００および４０２の任意の警告基準を、新たな規則を設定することによってさらに変更してもよい。例えば、不正検出機能４０２に対する新たな規則は、サービスＰに関する全てのやりとりが警告を発行させるものであり、ネットワークセキュリティ機能４００に対する新たな規則は、より多くの端末または加入者に関し、感度を上げた監視を拡大するものであるか、概して攻撃や脅威に対しての感度を上げさせるものであってよい。
【００４６】
不正検出を支援するための別の例示的な手順を、図４に示したものと同じノードを含んだ図５の第２のシグナリング図に関して説明する。最初のステップ５：１ａおよび５：１ｂは、上述したステップ４：１ａおよび４：１ｂと基本的に同じ監視処理を示している。今回、仲介機能４０４はまず、不正検出機能４０２から、特定の加入者Ｓが特定のサービスＰを用いた際の疑わしい不正攻撃Ｆについての警告をステップ５：２で受信する。従って、機能４０２の警告基準は明らかに満足されている。
【００４７】
そして、仲介機能４０４は、もう一方のネットワークセキュリティ機能４００について、加入者Ｓに関する新たな検出規則の設定が必要かどうかを確かめるため、疑わしい不正攻撃についてステップ５：３で評価する。本例において、疑わしい不正攻撃は、仲介機能のロジックにより、加入者Ｓとの通信を監視するためにネットワークセキュリティ機能４００について新たな検出規則の設定を必要とするものであると判断され、次のステップ５：４で新たな検出規則が機能４００に対して設定される。
【００４８】
やがて、仲介機能４０４がステップ５：５で、今回はネットワークセキュリティ機能４００からの第２の警告であり、ステップ５：４で設定された新たな検出規則に従って以前に変更された機能４００の警告基準が満たされたことにより、加入者Ｓに関する攻撃脅威Ｔを示す第２の警告を受信する。
【００４９】
そして仲介機能４０４は、受信した第２の警告によって示されている脅威Ｔが既知かどうかを調べるため、また脅威Ｔについてのさらなる情報を取得するため、ステップ５：６で脅威データベース４０６を調べる。続くステップ５：７は、仲介機能４０４のロジックが、本例においてはセキュリティ担当者への警報が必要かどうかを確かめるため、脅威Ｔをとりわけステップ５：６の結果に基づいて解析および評価することを示している。そして、この脅威が、サービスＰに関する疑わしい不正に関する潜在的なネットワーク攻撃を通知する警報を必要とするものであると決定される。この場合、その警報はステップ５：８に従って発行される。
【００５０】
必要に応じて実行されるステップ５：９に示すように、仲介機能４０４はさらに、新たな検出規則を設定して不正検出機能４０２の警告基準を変更すべきかどうかを決定する。本例において、新たな検出規則はサービスＰに関する全てのやりとりが機能４０２に警告を発行させるものである。
【００５１】
ネットワークセキュリティ機能４００からの警告を評価するための、上述のステップ４：４および５：７は、仲介機能４０４によっていくつかの方法で実行することができる。この評価を実行するためのより詳細な手順を、図６のフローチャートを参照し、第１の実施例に従って説明する。なお、図６に示す手順に先立って、ネットワークセキュリティ機能４００から、所定のユーザ端末（単に”Ｄ”と呼ぶ）に関する攻撃脅威”Ｔ”を示す警告が受信されており、また、上述のステップ４：３および５：６と同様に、脅威Ｔについて既知の関連情報が、脅威データベース４０６から取得されているものとする。図を簡単にするため、ネットワークセキュリティ機能４００を”ＮＳＦ”、不正検出機能４０２を”ＦＤＦ”と呼ぶ。
【００５２】
最初のステップ６００で、例えば、過去に疑わしい不正が検知されたことにより、ＮＳＦによって監視されるユーザ端末および／または加入者のリストに端末Ｄが存在するといった理由により、端末Ｄが既にＮＳＦによって特別に監視されているかどうかが判別される。もし既に特別な監視がなされていれば、ステップ６０２において、脅威Ｔが、装置に不法にインストールされるマルウェアの利用を伴うトロイの木馬活動に関するものかどうかが判別される。もし脅威Ｔがそのようなものであれば、ステップ６０４において、脅威Ｔによる疑わしい不正について警報が発行される。
【００５３】
ステップ６０４の後、あるいはステップ６００または６０２での判定が否の場合、脅威Ｔが既知の不正関係の脅威かどうかを、チェックされたデータベース４０６に従って判定するために、さらなるステップ６０６が実行される。もし既知の不正関係の脅威であれば、例えば前の既知の不正攻撃が見つかったことにより、ＦＤＦに監視されるユーザ端末および／または加入者のリストに端末を追加することにより、Ｄはステップ６０８で不正に関してＦＤＦで監視される。
【００５４】
一方、ステップ６０６での判定が否であれば、脅威Ｔが不正に関連する脅威である疑いがあるかどうか、すなわち、データベース４０６内の情報からは、既知の不正関連脅威と判断されないかどうかを判別するために、さらなるステップ６１０が実行される。この判別は、例えば、移動端末に対する攻撃を疑い、ラップトップコンピュータに対する攻撃は無視するという単純な経験則に基づくものであってよい。
【００５５】
脅威Ｔが不正に関連した脅威である疑いがある場合、Ｄの会費(subscription)がプレミアムサービスＰに関して課金された際に警告を発行するために、ステップ６１２で、端末Ｄおよび関連する会費に関してＦＤＦに新たな規則が設定される。通常、ＦＤＦは（加入者ＩＤによって特定される）会費および（機器ＩＤによって特定される）機器の両方を監視し、所定のタイプの会費不正については後者が主に監視される。このステップで、疑わしい不正攻撃を理由として、端末ＤをＦＤＦの監視対象となるユーザ端末および／または加入者のリストに加えることにより、Ｄはさらに、疑わしい不正攻撃に関してもＦＤＦで監視される。
【００５６】
図７のフローチャートを参照して、第２の実施例に従い、ＦＤＦから受信された警告を取り扱うための仲介機能における別の詳細な手順について説明する。特に、受信した警告によって示される不正攻撃は、特定のサービスＰの利用と関連した機器Ｄ内のマルウェアに関して調査されるであろう。従って、ここでは、仲介機能が、例えば上述した事例におけるステップ４：６または５：２のように、機器ＤがサービスＰを用いる際の不正に関してＦＤＦから警告を受信しているものとする。この場合、受信した警告はマルウェアの脅威が疑われることを示している。
【００５７】
最初のステップ７００で、例えば、過去に疑わしい不正が検知されたことにより、ＦＤＦによって監視されるユーザ端末および／または加入者のリストに端末Ｄが存在するといった理由により、端末Ｄがマルウェアによる攻撃を受けたことがあるかどうかが判別される。もし攻撃を受けたことがなければ、ステップ７０２で、端末Ｄがネットワーク活動に基づく不正に関してＮＳＦによって監視されているかどうかが判別される。ここでもＮＯであれば、ステップ７０４で、マルウェアに関する疑わしいダウンロードについて、ＮＳＦが端末Ｄを監視するように新たな規則が設定される。そしてこの処理は、ＦＤＦから別の警告が受信される都度ステップ７００に戻ってよい。
【００５８】
一方、ステップ７０２での判別がＹＥＳである、すなわち、端末ＤがＮＳＦによって既に監視されている場合、主にサービスＰが”疑わしい”かどうかを確かめるため、マルウェアの疑わしい脅威と関連付け可能な不正警告を考慮して、端末ＤとサービスＰとの組み合わせが、ステップ７０６で監視される。これは、Ｄ，Ｐのいわゆる”タプル”を、疑わしい脅威に関して監視される機器／サービスタプルのリストに加えることによって実行してよい。
【００５９】
続くステップ７０８で、そのサービスに関して監視されているＤ，Ｐタプルの数が予め定められた閾値を超えた場合、特定のサービスおよびマルウェアの疑わしい脅威について警報が発行されうる。従って、この警報は、そのサービスが、疑わしいネットワーク活動と多くの事象で関連したため、サービスが疑わしいことを暗に示している。ＮＳＦはネットワーク攻撃を完全には断定できないかもしれないが、サービス課金との関係は、人手による調査(manual investigation)を行う根拠となりうる。
【００６０】
ステップ７００に戻って、機器Ｄが以前に実際にマルウェアの攻撃を受けたことがあれば、すなわち、ステップ７００が肯定された場合には、ステップ７１０で、以前攻撃を受けた機器ＤがサービスＰを用いていることを示す警報が発行される。このステップにおいて、サービスＰは機器Ｄによって用いられたことがあるサービスのリストに加えられる。
【００６１】
そして、さらなるステップ７１２において、Ｄによって用いられたサービスに関する上述のリストが、リスト内の各サービスに関して、そのサービスを用いたことのある他の機器の数を判別することによって解析される。これは、他の機器の使用サービスリストにそのサービスが出現する回数を判別することによって実行することができる。機器Ｄと同じサービスを用いている機器の数が予め定められた別の閾値を超える場合、例えばそのサービスに「疑わしい」等のフラグを付与することにより、ステップ７１４で、そのサービスについての新たな検出規則がＦＤＦに設定される。例えば、後者の規則は、疑わしいサービスが機器によって使用される都度、あるいは予め定めた数の機器によって使用される都度、ＦＤＦが警告を発行するように指示してよい。
【００６２】
上述の通り、図６および図７に係る例示的な論理処理は、図４および図５に従って図示および説明した不正検出を支援するための手順の一部として統合することができる。
【００６３】
仲介機能における装置を、図８のブロック図を参照してより詳細に説明する。図示した仲介機能８００は、ネットワークおよび端末攻撃を検出するための予め定められた警告基準を考慮して不図示の電気通信ネットワーク内のトラフィックおよび端末活動を解析するためにネットワークセキュリティ機能８０２が用いられ、また、少なくとも課金情報を含む、ネットワーク内のユーザに関する情報を、不正攻撃を検出するための予め定められた警告基準を考慮して解析するために不正検出機能８０４が用いられる場合に、電気通信ネットワークにおける不正検出を支援するように構成されている。不正検出機能はまた、不正関連活動を考慮して、シグナリング情報も解析してもよい。
【００６４】
仲介機能８００は、ネットワークセキュリティ機能８００および不正検出機能８０４を、それらからの攻撃警告Ａを考慮して監視するように構成された監視部８００ａを有する。監視部８００ａはまた、ネットワークセキュリティ機能および不正検出機能の第１の一方から、第１の機能における予め定められた警告基準が満たされていることを示す第１の警告Ａを受信するように構成される。仲介機能８００はさらに、ネットワークセキュリティ機能および不正検出機能の第２の一方の警告基準を、受信した第１の警告Ａに基づいて変更するように構成された変更部８００ｂを有する。
【００６５】
図８は、仲介機能８００における様々な機能部を論理的に示すに過ぎないが、当業者はこれら機能を実際には任意の適切なソフトウェアおよびハードウェア手段を用いて自由に実現することができる。従って、本発明は概して仲介機能８００の構成として示される構成に限定されない。仲介機能８００およびその機能部８００ａ，８００ｂは、上述の図２〜７に関して説明した方法および手順に従って動作するようにも構成されてもよい。
【００６６】
上述した実施形態のいずれかに従った状況を用いた場合、不正調査を疑わしいネットワーク攻撃に関連付ける処理またはその逆の処理は、例えば疑わしい課金パターンから開始し、詐欺行為を受けているおそれのあるユーザまたは機器についての詳細なネットワークセキュリティ情報を追跡することにより、自動化されてもよい。このようにして、以下に述べる例示的な利点の１つ以上が実現されるであろう。
【００６７】
従前のように、ネットワークセキュリティシステムおよび不正検出システムが関連付けられずにそれぞれ独立して用いられる場合には回避されてしまうかもしれない、ネットワーク攻撃を用いる不正活動を、効率的に検出することができる。
【００６８】
ネットワーク攻撃を用いる不正活動にどのプレミアムサービスが用いられているかを素速く検出することにより、そのようなサービスへの支払い初期段階で停止することができるため、損失を回避できる。
【００６９】
このような、ネットワーク攻撃に基づく不正な事象の素速い検出はまた、加入者が不快な体験をすることを軽減もしくは回避することを可能にし、それによって顧客が不満を持つリスクを削減し、ネットワークおよびそのオペレータに対する信頼を高めることを可能にする。
【００７０】
本発明を特定の実施形態に関して説明してきたが、この説明は、本発明の手法が現実にどのように実現されうるのか説明することのみを目的としたものであり、本発明の範囲を限定するものして解されるべきものではない。例えば、本明細書では「ネットワークセキュリティ機能」および「不正検出機能」という用語が一貫して用いられているが、対応する他の任意の機能、ノード、および／またはユニットが、ここで説明した機能を有しうる。本発明は概して以下の独立請求項によって定義される。
【図１】
0005547289.tif 000002
【図２】
0005547289.tif 000003
【図３】
0005547289.tif 000004
【図４】
0005547289.tif 000005
【図５】
0005547289.tif 000006
【図６】
0005547289.tif 000007
【図７】
0005547289.tif 000008
【図８】
0005547289.tif 000009