(57)【要約】本発明は、モバイル通信網の加入者端末装置からのデータの伝送中や加入者端末装置へのデータの伝送中にセキュリティ機能を提供する方法やデバイスに関する。加入者端末装置からのデータ・フローと加入者端末装置へのデータ・フローとのリアルタイムの分析がモバイル通信網のネットワーク・ノードのデバイスにおいて実行され、この分析において、加入者またはネットワーク事業者／プロバイダによって事前に定義されたコンテンツを有するデータが特定され処理される。これにより、端末装置と端末装置とに接続された加入者のデバイス群が可能な最良な形で外部の攻撃から保護されることになる。【特許請求の範囲】
【請求項１】
モバイル通信網の加入者端末装置から、及び加入者端末装置へデータを伝送するセキュリティ機能を利用可能にする方法であって、
前記加入者端末装置（１３）からの、及び前記加入者端末装置（１３）へのデータ・フロー（１２）のリアルタイムの分析が、前記モバイル通信網（１０）のネットワーク・ノードのデバイス（１）において実行され、前記加入者またはネットワーク事業者／プロバイダによって以前に指定されたコンテンツを有するデータが、認識され、さらに処理される方法。
【請求項２】
指定された送信者からのデータ・トラフィックと指定された受信者へのデータ・トラフィックとが認識され、さらに処理されることを特徴とする請求項１に記載の方法。
【請求項３】
前記認識されたデータが、選択され、かつ／または分離され、かつ／または削除され、かつ／または前記加入者または前記ネットワーク事業者／プロバイダに別々にさらなる処理のために利用可能にされることを特徴とする請求項１乃至２のいずれか１項に記載の方法。
【請求項４】
特にＩＰ／ＴＣＰベースのデータ・トラフィックのフィルタ処理が実行されることを特徴とする請求項１乃至３のいずれか１項に記載の方法。
【請求項５】
生じるデータ転送量が、前記加入者または前記ネットワーク事業者によって確立された測定値に制限されることを特徴とする請求項１乃至４のいずれか１項に記載の方法。
【請求項６】
生じるデータ転送費用が、前記加入者または前記ネットワーク事業者によって確立された測定値に制限されることを特徴とする請求項１乃至５のいずれか１項に記載の方法。
【請求項７】
前記加入者、前記ネットワーク事業者または前記ネットワーク・プロバイダに、一部のデータ・コンテンツおよび／または一部の送信者が認識された時点で通知が行われることを特徴とする請求項１乃至６のいずれか１項に記載の方法。
【請求項８】
モバイル通信網の加入者端末装置から、及び加入者端末装置へデータを伝送するセキュリティ機能を利用可能にするのデバイスであって、
前記加入者端末装置から、及び前記加入者端末装置へのデータ・フローをリアルタイムに分析するフィルタ・コンポーネント（２）と、
セキュリティ−フィルタ処理デバイスに対して加入者を認証する認証コンポーネント（３）と、
前記加入者に対するインタフェースとしての管理コンポーネント（４）と、
加入者固有データとネットワーク事業者固有データ、及びセキュリティ機能とフィルタ処理機能を格納するデータベース（５）とを有するセキュリティ−フィルタ処理デバイス（１）を含むことを特徴とするデバイス。
【請求項９】
前記セキュリティ−フィルタ処理コンポーネント（２）が、前記モバイル通信網（１０）の１つまたは複数のネットワーク・ノードにおいて確立されることを特徴とする請求項９に記載のデバイス。
【請求項１０】
一部のデータ・コンテンツに関して、特殊フィルタ・コンポーネント群が確立されることを特徴とする請求項９または１０に記載のデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイル通信網の加入者端末装置からのデータの伝送中、および加入者端末装置へのデータの伝送中にセキュリティ機能を利用可能にする方法およびデバイスに関する。
【背景技術】
【０００２】
現行のデータ・サービスおよび新たなデータ・サービスは、モバイル通信網の加入者に、インターネット、およびその他の公共データ網への直接アクセスを提供する。したがって、モバイル・アプリケーション用に使用されるモバイル電話機、ならびにノートブックまたはパーソナル・デジタル・アシスタントなどのモバイル電話機によって駆動される補助機器は、固定ネットワーク・ベースのインターネット・アクセスで生じるのと同様に、第三者による極めて多様な攻撃になすがままにされている。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
本発明の目的は、モバイル通信網の加入者端末装置からのデータの伝送中、および加入者端末装置へのデータの伝送中にセキュリティ機能を利用可能にして、加入者端末装置、ならびに加入者端末装置に接続された、または加入者端末装置に結合された装置群を効果的に保護するようにするための方法およびデバイスを提示することである。
【課題を解決するための手段】
【０００４】
この目的は、独立請求項の特徴によって達せられる。本発明の核心は、セルラ・モバイル電話網において、セルラ・モバイル電話接続および加入者ごとに個別に個人用設定されることが可能なセキュリティ・サービスを提供することである。
【０００５】
加入者は、自分のセキュリティ設定を対話式に、または動的に調整することができる。
【０００６】
ネットワーク事業者は、ウイルス防護、広告メールからの保護などのフィルタ機能のために一連の有意義な標準設定を指定することができる。
【０００７】
この環境で、保護機能は、セキュリティ−フィルタ処理デバイスの形態のネットワーク固有デバイスによって提供される。さらに、汎用保護機能が、メモリ機能と結合されることが可能である。すなわち、データ・トラフィックの諸部分が、デバイスの中に一時的に格納され、加入者によって取り出されることが可能である。したがって、セキュリティ−フィルタ処理デバイスは、いわゆるプロキシの機能もさらに引き受けることができる。「プロキシ」とは、「代理サービス」程度の意味である。プロキシは、クライアントからの、例えば、端末装置からの要求を受け入れ、その要求を、場合によっては変更された形で、インターネット供給業者などの元の宛先に転送する。プロキシは、通過させられたデータをローカルでファイルすることができ、次回のアクセス時にそのデータを提供することができる。
【０００８】
これにより、同時に、より高いパフォーマンスが実現される。というのは、一部のコンテンツがバッファに入れられることが可能だからである。
【０００９】
本発明によれば、以下の保護機能が、説明するシステムによって提供されることが可能である。すなわち、
いわゆるファイアウォール機能の形態の、ＩＰ／ＴＣＰに基づくデータ・トラフィックのフィルタ処理。さらに、ある起点（ＩＰアドレス）のデータ・パケット、あるいは、あるサービス群（ＴＣＰポート群）からのデータ・パケット、またはそのサービス群へのデータ・パケットをフィルタ処理する／拒否すること。
悪意のあるコンテンツ、またはセキュリティに不可欠なコンテンツに関するデータ・コンテンツの分析。データ接続のコンテンツ全体が、あるパターンに従って分析され、探索される。ウイルスの署名などが突き止められ、加入者の端末装置に到達する前に無害にされる。
スパム、広告、または不快感を与える題材の形態であるなどの、望ましくない主題に関するデータ・コンテンツの分析。この目的で、接続のコンテンツ全体が分析され、加入者によって望ましくないと明言されたコンテンツが、濾過されて除かれて、例えば、子供および未成年者が保護される。
【００１０】
ネットワーク事業者自体、一部の加入者に対して、費用を払う義務があるサービス群などの一部のデータ・トラフィックを、加入者がそのサービスに加入していない場合、意図的に除外するために本システムの機構を使用することができる。
【００１１】
データ・コンテンツのためのフィルタ処理機能は、以下の機能をさらに使用する同一の機構群を使用して、有意義に、技術的に拡張することができる。
【００１２】
例えば、データ転送量を制限することは、実施するのが比較的容易である。これを行うのに、一部の状況下で着信トラフィックと送信トラフィックに分けられる、トラフィック全体が、合計され、ユーザまたは事業者によって指定された制限を超えた場合、さらなるトラフィックが停止させられる。
【００１３】
さらに、補償を計算する１つのコンポーネントを使用して、予算順守が確認されることが可能である。加入者または事業者は、通信費用に関するある上限を指定することができる。確立された予算を超えた場合、加入者に通知が行われ、データ・トラフィックが停止される。これにより、効果的な費用管理および費用透明性が可能になる。
【００１４】
さらなる機能も、有意義な形でシステムに組み込むことができる。
【００１５】
一部のイベントが生じた場合、すなわち、攻撃が検出された場合、スパム・メールがフィルタ処理された場合、または類似のイベントがシステムによって認識された場合、濾過されて除かれるデータのトランスペアレントな管理を可能にするため、加入者またはネットワーク事業者について通知が行われる。
【００１６】
加入者は、自身のトラフィック全体が、システム全体で伝えられるべきか、あるいは選択的に、すなわち、ある時点で、特定の出来事に応じて、または濫用の疑いのあるときに伝えられるべきかを、管理上、決定することもできる。
【００１７】
本発明の改良形態によれば、フィルタ機能の分散型実装を提供することができる。すなわち、セキュリティ−フィルタ・デバイスは、モバイル通信システムの１つのネットワーク・ノードに集中して提供されるのではなく、複数のネットワーク・ノードにおいて分散された形で、または個々に提供される。このため、単一のノードにかかる負荷が軽減される。
【００１８】
本システムのこのデバイスは、
ａ）空間的に、またはネットワーク技術に応じて条件付けられる、すなわち、いくつかのネットワークまたはネットワーク・ノードへの分散に条件付けられるか、または
ｂ）機能的に、例えば、一部のデータ・コンテンツ用の特殊フィルタ・コンポーネント群、および、例えば、電子メール・フィルタ群、ウイルス・フィルタ群などに条件付けられるか、または
ｃ）例えば、一部の機能用の特殊なハードウェアおよびシステム・ソフトウェアの使用に基づいて、アーキテクチャまたはソフトウェア技術に応じて条件付けることが可能である。
【００１９】
以上の追加の機能の管理は、各ケースで一元的に、あるノードから実行されることが可能である。
【００２０】
本発明の典型的な実施形態を、図面を参照して以下に説明する。
【発明を実施するための最良の形態】
【００２１】
システムの技術設計を概略で示す図である。
【００２２】
本システムは、インターネット１１などの他の公共ネットワークとの複数の加入者端末装置１３通信を可能にするモバイル通信網１０の一部分である。さらに、セルラ・モバイル電話端末装置１３に接続されたＰＣ、ＰＤＡ、スマートフォンなどの結合された装置群１４が、提供されることが可能であり、装置群１４は、快適なモバイル・インターネット使用を可能にする。
【００２３】
セキュリティ−フィルタ・デバイス１が、モバイル通信網１０内に、好ましくは、交換ＭＳＣなどの適切なネットワーク・ノード内部に位置し、本発明によれば、以下の機能部分から構成されることが可能である。
【００２４】
汎用フィルタ・コンポーネント２：
このコンポーネントは、加入者／ネットワーク事業者による指定が可能な可変フィルタ処理機能を有し、加入者の端末装置１３とインターネット１１の間で交換されるデータ・フロー１２をリアルタイムで分析する。加入者トラフィック１２は、両方向で、このフィルタ２を通過し、そこで分析される。
【００２５】
認証コンポーネント３：
セキュリティ−フィルタ処理デバイス１を使用するため、加入者は、システムに対して自らを認証しなければならない。これにより、例えば、加入者の個人用設定に対して、許可のないアクセスが全く行われ得ないことが確実になる。最も単純なケースでは、認証は、加入者の呼び出し番号ＭＳＩＳＤＮを介して行われることが可能である。加入者は、追加のＰＩＮまたはパスワードの使用により、より高いセキュリティで、よりよく保護される。必要な場合、暗号認証法、例えば、加入者の証明書を使用することができる。
【００２６】
管理コンポーネント４：
このコンポーネントは、システムと加入者の間のインタフェースを形成する。このコンポーネントにおいて、加入者は、自分の個人用設定を管理することができる。これは、セルラ・モバイル電話システム、インターネット、またはネットワーク事業者の固定ネットワーク・ベースの顧客インタフェース群を介して直接に行われることが可能である。
【００２７】
データベース５：
データベース５は、いずれのデータが、フィルタ処理コンポーネント２によって濾過されて除かれるべきか、または処理されるべきかを記述する。このデータベース５は、有利には、４つのデータバンクに分割することができる。第１のデータバンク６は、加入者別の個別のフィルタおよび設定を含む。第２のデータバンク７は、モバイル電話タイプ別のフィルタおよび設定を含む。
【００２８】
第３のデータバンク８は、ネットワーク事業者固有の設定およびフィルタを含み、第４のデータバンク９は、汎用の設定およびフィルタを含む。
【図面の簡単な説明】
【００２９】
【図１】システムの技術設計を概略で示す図である。
【図１】
2005530400.tif 000002
【国際調査報告】
2005530400.tif 000003
2005530400.tif 000004
2005530400.tif 000005
2005530400.tif 000006