(57)【要約】  分散システムにおける攻撃検知支援方法を提供する。分散システム内で送信元エンティティＡから１つ以上の宛先エンティティＤへ送信されるメッセージが、１つ以上の中間エンティティ（Ｂ，Ｃ）を経由して伝送される。１つ以上の中間エンティティの少なくとも１つ、すなわちタグ付けエンティティが、メッセージが攻撃を構成するかまたはその一部であるかどうかを示す攻撃情報タグをメッセージに付加する。本方法は、評判システムが設けられ、該評判システムが、タグ付けエンティティによって生成された攻撃情報タグを受信し（３）、攻撃情報タグのレーティングを生成する（４）、ように構成されることを特徴とする。
2011530910.tif 000002
【特許請求の範囲】
【請求項１】
分散システムにおける攻撃検知支援方法において、前記分散システム内で送信元エンティティから１つ以上の宛先エンティティへ送信されるメッセージが、１つ以上の中間エンティティを経由して伝送され、前記１つ以上の中間エンティティの少なくとも１つ、すなわちタグ付けエンティティが、前記メッセージが攻撃を構成するかまたはその一部であるかどうかを示す攻撃情報タグを前記メッセージに付加し、
評判システムが設けられ、該評判システムが、
前記タグ付けエンティティによって生成された前記攻撃情報タグを受信し、
前記攻撃情報タグのレーティングを生成する
ように構成されることを特徴とする、分散システムにおける攻撃検知支援方法。
【請求項２】
前記タグ付けエンティティと前記１つ以上の宛先エンティティとの間に位置する前記中間エンティティの少なくとも１つが、前記攻撃情報タグの前記レーティングについて前記評判システムに問い合わせることにより、前記タグ付けされたメッセージを評価する評価エンティティとして機能することを特徴とする請求項１に記載の方法。
【請求項３】
前記宛先エンティティの隣の最後の前記中間エンティティが、前記タグ付けされたメッセージを評価する評価エンティティとして機能することを特徴とする請求項１または２に記載の方法。
【請求項４】
前記タグ付けされたメッセージの評価が、攻撃情報タグ、または、先行する中間エンティティによって前記メッセージに付加された攻撃情報タグの組合せ、を評価することに関わることを特徴とする請求項２または３に記載の方法。
【請求項５】
前記評判システムが、前記タグ付けエンティティとの過去の経験に基づいて前記レーティングを生成することを特徴とする請求項１ないし４のいずれか１項に記載の方法。
【請求項６】
前記レーティングが、前記攻撃情報タグの信頼性および信用性を考慮することを特徴とする請求項１ないし５のいずれか１項に記載の方法。
【請求項７】
前記タグ付けエンティティまたはその識別情報のみからなるタプルが、前記評判システムによって格付けされる対象として考慮されることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項８】
前記タグ付けエンティティと、前記メッセージを査定しタグ付けするために前記タグ付けエンティティによって使用されるアルゴリズムとからなるタプルが、前記評判システムによって格付けされる対象として考慮されることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項９】
前記タグ付けエンティティと、前記タグ付けエンティティによって生成される前記レーティングとからなるタプルが、前記評判システムによって格付けされる対象として考慮されることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項１０】
前記タグ付けエンティティ、前記メッセージを査定しタグ付けするために前記タグ付けエンティティによって使用されるアルゴリズム、および前記タグ付けエンティティによって生成される前記レーティングからなるタプルが、前記評判システムによって格付けされる対象として考慮されることを特徴とする請求項１ないし６のいずれか１項に記載の方法。
【請求項１１】
前記評判システムが、前記タグ付けエンティティによって前記メッセージに付加された前記攻撃情報タグから、前記評判システムと前記評価エンティティとの間で定義が合意された情報へのマッピングを実行することを特徴とする請求項１ないし１０のいずれか１項に記載の方法。
【請求項１２】
前記情報は、前記メッセージが攻撃を構成するかまたはその一部である確率を示すことを特徴とする請求項１１に記載の方法。
【請求項１３】
前記確率が、前記タグ付けエンティティによって提供される前記攻撃情報タグ、および／または、前記タグ付けエンティティとの過去の経験および／または前記タグ付けエンティティの評判、に基づいて評価されることを特徴とする請求項１２に記載の方法。
【請求項１４】
発見的メカニズムが、評判システムを訓練するために使用されることを特徴とする請求項１ないし１３のいずれか１項に記載の方法。
【請求項１５】
フィードバックメカニズムが、好ましくは経験値および／または経験されたデータに基づいて、評判システムを訓練するために使用されることを特徴とする請求項１ないし１４のいずれか１項に記載の方法。
【請求項１６】
前記フィードバックメカニズムにより、前記評判システムは、前記宛先エンティティによる前記メッセージの実際の処理に関する情報を受信することが可能となることを特徴とする請求項１５に記載の方法。
【請求項１７】
前記１つ以上の中間エンティティがいずれも前記メッセージに攻撃情報タグを付加しない場合、前記メッセージが攻撃を構成するかまたはその一部である前記確率が、好ましくは経験値および／または経験されたデータに基づいて、前記評判システムによって査定されることを特徴とする請求項１２ないし１６のいずれか１項に記載の方法。
【請求項１８】
前記評判システムが集中型システムであることを特徴とする請求項１ないし１７のいずれか１項に記載の方法。
【請求項１９】
前記評判システムが分散型システムであることを特徴とする請求項１ないし１７のいずれか１項に記載の方法。
【請求項２０】
前記評価エンティティと前記評判システムとの間に信頼関係が確立されることを特徴とする請求項１ないし１９のいずれか１項に記載の方法。
【請求項２１】
該方法がＳＩＰ／ＶｏＩＰの場合に使用されることを特徴とする請求項１ないし２０のいずれか１項に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分散システムにおける攻撃検知支援方法に関する。前記分散システム内で送信元エンティティから１つ以上の宛先エンティティへ送信されるメッセージが、１つ以上の中間エンティティを経由して伝送される。前記１つ以上の中間エンティティの少なくとも１つ、すなわちタグ付けエンティティが、前記メッセージが攻撃を構成するかまたはその一部であるかどうかを示す攻撃情報タグを前記メッセージに付加する。
【背景技術】
【０００２】
上記のような方法が現在広く普及しており、例えば分散型データ収集および攻撃情報収集に関して、モバイルアドホックネットワーク等のさまざまな分野に適用されている。もう１つの具体的適用分野として、きわめて多様なサービスをユーザに提供する最近のマルチメディアシステムがある。マルチメディアシステムは、さまざまな形態の攻撃にますますさらされるようになっている。そのような攻撃としては、例えば、サービス中断攻撃（すなわちサービス妨害（Denial of Service, ＤｏＳ））やソーシャル攻撃（例えば、スパム、ＩＰ電話スパム（SPam over Internet Telephony, ＳＰＩＴ）、あるいはＶｏＩＰフィッシング）が挙げられる。
【０００３】
例えば電子メールの分野では、大量の迷惑電子メールメッセージ、いわゆるスパムが非常に広まり、重大な問題となっている。電子メール通信を必要とする企業がスパムメッセージによって影響を受けるのみならず、個人ユーザもまたスパムには非常に悩まされている。今日、多くのインターネットユーザにとって、受信するのは正規の電子メールよりもスパムメッセージのほうが多い。このため、ほとんどすべての着信電子メールサーバは、一定のルールに従って着信メールをチェックするスパムフィルタを使用している。スパムフィルタとしては、例えば、電子メールの内容中のキーワードを能動的に探索するもの、電子メールを送信するために使用されたサーバの特定の設定項目をチェックするもの、あるいは大量の電子メールを送信するためにしばしば使用される送信元を探索するものがある。電子メールは、スパムと分類された場合、マークや仕分けが行われる。
【０００４】
電話（アナログあるいはディジタル）の分野でも、スパム（この分野ではＳＰＩＴと呼ばれる）はますます多くなっており、例えば、迷惑広告通話の場合に見られるとおりである。このような通話は、ほとんどの場合、自動発呼装置によって発呼される。現在主として用いられている交換電話網によれば、このようなスパム通話は非常に複雑で高価であるため、スパム通話の数は比較的限られている。しかし、インターネット電話がさらに一般的に利用されるようになると、このようなスパム通話ははるかに容易で安価となるため、高度化した最新のマルチメディアシステムにおいては、スパム通話が激増すると想定しなければならないであろう。
【０００５】
重要な課題の１つは、マルチメディアシステムへの攻撃、あるいはより詳細には、個々のユーザ間のマルチメディアセッションへの攻撃の検知である。今日、マルチメディアシステムへの攻撃の検知は主として侵入検知システム（ＩＤＳ）を用いることにより実行される。このようなＩＤＳシステムは、通過するトラフィックを監視し、例えば観測したトラフィック構造やトラフィック内容に応じて、ローカルな決定をすることができる。このようなローカルに作用するＩＤＳシステムとは別に、分散型攻撃検知方式が従来技術において既知である。
【０００６】
上記のような攻撃に対処するためのさらに高度なメカニズムとして、マルチメディアセッションの各メッセージ（例えば、ＳＩＰ（Session Initiation Protocol, セッション確立プロトコル）セッションの場合、ＩＮＶＩＴＥ、ＣＡＮＣＥＬ、ＢＹＥ等）が悪意である可能性を評価するものがある。この目的のため、セッションメッセージが通過するいくつかの中間ネットワークノード（例えば、ＳＩＰプロキシサーバ、アプリケーションサーバ、セッションボーダーコントローラ（session border controller, ＳＢＣ）等）において、さまざまな方法を適用することができる。このようなメカニズムは、評価される各メッセージに対して、寄与する各ネットワークノードにおいて、そのメッセージの悪意性を示すスコアを付加することを提案している。そして、各ホップにおいてこれらのスコアを、例えば合計することにより、まとめて評価することができる。結果として得られるスコアに応じて、メッセージあるいはセッションのその後の取り扱いに関してそれぞれ決定をすることができる。例えば、結果として得られるスコアが所定しきい値を超える場合、メッセージをブロックすることに決定してもよい。別法として、追加の検査を実行することにより、高度な呼処理およびルーティングを適用してもよい。例えば、ＶｏＩＰアプリケーションでは、このような追加の検査は、チューリングテスト（特許文献１に詳細に記載）、声紋テスト（非特許文献１に記載）、オーディオＣＡＰＴＣＨＡ(Completely Automated Public Turing test to tell Computers and Humans Apart)、グレーリスティングテスト等の発呼者対話型チェックを含んでもよい。
【０００７】
多くの状況において、攻撃の検知（例えば、ＶｏＩＰ通信において悪意のあるメッセージを検知すること）は、複数のエンティティ、特に攻撃の経路上のエンティティの協調によって改善することができる。これは、ネットワーク層でのサービス妨害攻撃やアプリケーション層でのＳＰＩＴ（Spam over IP telephony）呼の発信等の攻撃場面に当てはまる。他のエンティティから収集された情報に依拠する場合、この情報が、受信側エンティティによって明確に理解されなければならない。また、この情報を評価し、その信頼性を査定しなければならない。しかし、現在のところ、事前の合意なしにこのような情報の意味を判断することは不可能である。さらに、現在のところ、他のエンティティから受信された情報であって、メッセージが攻撃の一部であるか否かを判定するために使用される情報が、どのくらい信頼できるかを判定するメカニズムは存在しない。
【０００８】
分散システムにおけるエンティティ間での攻撃検知情報の伝送を利用したＶｏＩＰセキュリティ分野の従来技術の一例として、ＲＦＣ４４７４（非特許文献２）に記載されたＳＩＰアイデンティティがある。この標準を用いて、メッセージの送信者のＳＩＰプロキシが、送信者のＳＩＰアイデンティティを認証した後に、出力メッセージに署名する。この署名を、受信端のプロキシは確認することが可能である。しかし、現在のところ、送信側プロキシのアイデンティティ確認手続きの品質、すなわち、このプロキシがアイデンティティなりすましをどのくらい正しく防御し、送信側エンティティによって使用される認証メカニズムに関してこのような署名が実際には何を意味するか、を受信側プロキシが査定する方法は存在しない。
【０００９】
別の技術として、上記のＳＰＩＴスコアリング（より詳細には非特許文献３に記載）がある。ＩＰ電話スパム（ＳＰＩＴ）を防止するため、分散ＶｏＩＰシステム内のシグナリングエンティティは、（ローカルな、独自仕様の場合もあるＳＰＩＴ検知アルゴリズムを適用した後に）メッセージを次のシグナリングホップへ送信する前に、ＳＰＩＴスコアをそのメッセージにタグ付けする。現在の技術では、一般的には、このようなＳＰＩＴスコアを有するメッセージを受信する他のエンティティが、このようなスコアのセマンティクスを理解することや、その意味を伝達したり、メッセージがＳＰＩＴであるかどうかに関してこのスコアの品質を査定したりすることは不可能である。
【００１０】
特に、メッセージが、分散システムの他のエンティティと信頼関係を有しないピアを経由しなければならない場合に問題が生じる。例えば、今日の分散型電子メールシステムにおいては、このような信頼関係はなく、受信側メールサーバは、電子メールの伝送に関与する中間エンティティのいずれをも信頼しない。しかし、ＶｏＩＰサービスアーキテクチャでは、一般的に、ピアリングプロバイダ間に（プロバイダ間の課金等の契約により）信頼関係が存在する。本発明は、特にこのような場面に関するものであって、分散方式で攻撃をより良く検知し、全体のセキュリティを向上させるために、このような信頼関係を活用しようとするものである。
【００１１】
例としてＳＰＩＴの場合、このような協調は、ＳＩＰサービスプロバイダが発呼に対して、その呼のＳＰＩＴ可能性に関する情報をタグ付けするようにすることによって実現できるとも考えられる。例えば、カスタマによって発信される発呼のレートが非常に高い場合、これらの呼がＳＰＩＴである確率が高い。呼の受信側（すなわち、受信者および被呼者のプロバイダ）には発呼者の発呼レートがわからないので、発信プロバイダによって追加された情報（発呼レート自体、またはメッセージの全ＳＰＩＴ確率の尺度）に依拠しなければならない。以下では、この追加情報を「タグ」という。
【００１２】
しかし、エンティティ（本例ではＳＩＰサービスプロバイダ）にとって、正しくタグ付けをすること（この情報は、自己のカスタマの不利益になる場合も多い）へのインセンティブはない。さらに、送信側エンティティによって使用されるアルゴリズムには欠陥があるかもしれず、そのアルゴリズムを適用するエンティティに障害があるかもしれず、また、アルゴリズムが（設定の誤りにより）不適切に、あるいは最適でない形で適用されるかもしれない。したがって、タグに依拠するエンティティにとって、その信頼性を査定することは非常に困難である。
【００１３】
さらに重要な点であるが、たとえタグが正しく提供されたとしても、依拠する側のエンティティには、タグのセマンティクスに関して事前の合意がなされた場合を除いては、その意味がわからない。一般的に、分散システムにおいて、それぞれの参加者／プロバイダにおいて実行される複数のローカルな（独自仕様の場合もある）アルゴリズムが存在すると想定することができるので、参加者／プロバイダ間でこれらのアルゴリズムのすべてのセマンティクスを通信することは実行不可能である。このため、「タグ」を受信するエンティティがそのようなタグの意味を判断するには根本的な問題が生じる。さらに、受信側エンティティにおいて、このようなタグの（攻撃検知に関しての）品質を査定する問題が生じる。
【先行技術文献】
【特許文献】
【００１４】
【特許文献１】ドイツ国特許出願公開ＤＥ  １０  ２００５  ０２９  ２８７  Ａ１
【非特許文献】
【００１５】
【非特許文献１】“Voice Printing and Reachability Code (VPARC) Mechanism for SPIT”（ＳＰＩＴに対する声紋・到達可能性符号（ＶＰＡＲＣ）メカニズム）, WIPRO, white paper
【非特許文献２】Peterson, J. & Jennings, C., “Enhancements for Authenticated Identity Management in the Session Initiation Protocol (SIP)”（セッション確立プロトコル（ＳＩＰ）における認証されたアイデンティティ管理の向上）, IETF, ２００６年
【非特許文献３】Wing, D., Niccolini, S., Stiemerling, M., and H. Tschofenig, “Spam Score for SIP”（ＳＩＰに対するスパムスコア）, draft-wing-sipping-spam-score-01（進行中）, ２００８年２月
【非特許文献４】S. Niccolini, S. Tartarelli, M. Stiemerling, S. Srivastava: “SIP Extensions for SPIT identification”（ＳＰＩＴ識別情報に対するＳＩＰ拡張）, draft-niccolini-sipping-feedback-spit-03（進行中）, ２００８年２月, http://tools.ietf.org/html/draft-niccolini-sipping-feedback-spit-03
【非特許文献５】Kamvar, S. D.; Schlosser, M. T.; Garcia-Molina, H.: “The Eigentrust algorithm for reputation management in P2P networks”（Ｐ２Ｐネットワークにおける評判管理のためのＥｉｇｅｎｔｒｕｓｔアルゴリズム）, WWW ’03: Proceedings of the 12th international conference on World Wide Web, ACM, ２００３年, ６４０〜６５１ページ, オンライン: http://www.stanford.edu/~sdkamvar/papers/eigentrust.pdf
【発明の概要】
【発明が解決しようとする課題】
【００１６】
したがって、本発明の目的は、頭書のような方法において、実施の容易なメカニズムを使用することにより、機密性の問題に対処するとともに、攻撃情報の攻撃検知品質および意味に関する向上が図られるような改良およびさらなる展開を行うことである。
【課題を解決するための手段】
【００１７】
本発明によれば、上記の目的は、請求項１の構成を備えた方法によって達成される。この請求項に記載の通り、本方法は、以下のことを特徴とする。すなわち、評判システムが設けられ、該評判システムは、前記タグ付けエンティティによって生成された前記攻撃情報タグを受信し、前記攻撃情報タグのレーティング（格付け）を生成するように構成される。
【００１８】
本発明によって初めて認識されたこととして、分散システムにおける攻撃検知を支援する場合、攻撃情報の攻撃検知品質および意味は、評判システムを使用することによって改善することができる。また、認識されたこととして、新たな方法で評判システムを適用することによって、攻撃検知の最適化および査定を実現することができる。これは実際には、他のエンティティを格付けするだけでなく、それらのエンティティの能力を考慮に入れることによって実現される。すなわち、本発明によれば、評判システムは、タグ付けエンティティによって生成された（独自仕様の場合もある）攻撃情報タグを受信するように構成される。そして、評判システムは、（独自仕様の場合もある）攻撃情報タグのレーティングを生成する。こうして、評判システムは、タグ付けエンティティの攻撃情報タグに関する査定を提供することにより、攻撃検知品質の大幅な向上を図る。その結果、受信端、すなわち宛先エンティティにおける攻撃検知（例えばＳＰＩＴ検知）の信頼性および品質が改善される。
【００１９】
考慮対象となるメッセージの種類に関して、本発明は何ら限定を含まない。メッセージは、例えば、ＩＰパケット、ＴＣＰフローまたはＳＩＰメッセージであることが可能であるが、これらに限定されない。
【００２０】
好ましい実施形態において、タグ付けエンティティと１つ以上の宛先エンティティとの間に位置する中間エンティティの少なくとも１つが、攻撃情報タグのレーティングについて評判システムに問い合わせることにより、タグ付けされたメッセージを評価する評価エンティティとして機能する。２つより多くの中間エンティティがメッセージの転送に関与することにより転送チェインを構成する場合、この転送チェイン内の各エンティティが評判システムに参加してもよい。すなわち、各中間エンティティが評判システムに問合せを行い、その問合せに応答した評判システムから受信されるレーティングを考慮して、それぞれのメッセージに対する自己の攻撃情報タグを生成してもよい。
【００２１】
特に、メッセージの受信者の隣の最後の中間エンティティ、すなわち、受信者にメッセージを転送する最終中間エンティティが、攻撃情報タグのレーティングについて評判システムに問い合わせることによって、タグ付けされたメッセージを評価する評価エンティティとして機能してもよい。
【００２２】
自由度を高めるため、タグ付けされたメッセージの評価は、（単一の）攻撃情報タグを評価すること、または、先行する中間エンティティによってメッセージに付加された攻撃情報タグの組合せを評価すること、のいずれに関わることも可能であるようにしてもよい。メッセージのどの攻撃情報タグを評価するかの選択は、評価エンティティの選好および／または能力に依存してもよい。
【００２３】
上記のことを考慮して、評判システムは、１つ以上のタグ付けエンティティの検知品質を査定するために使用可能である。この目的のため、評判システムは、タグ付けエンティティとの過去の経験に基づいてレーティングを生成してもよい。
【００２４】
また、評判システムは、攻撃情報タグの信頼性および信用性を考慮したレーティングを提供してもよい。この点で、評判システムは、通信エンドポイントやエンドユーザのレベルで信用性を査定するのではなく、サービスプロバイダのレベルで適用される。
【００２５】
好ましい実施形態によれば、タグ付けエンティティまたはその識別情報のみからなるタプルを、評判システムによって格付けされる対象として考慮してもよい。この実施形態は、どの中間エンティティもメッセージに攻撃情報タグを付加していない場合にも使用可能である。
【００２６】
場合によっては、メッセージを査定しタグ付けするためにタグ付けエンティティによって使用される特定のアルゴリズムの追加的考慮が、より高い精度および信頼性にとって有益となる可能性がある。これに関して注意すべき重要な点であるが、タグ付けエンティティは、相異なるメッセージにタグ付けするために相異なるアルゴリズムを使用してもよいし、１つの特定のメッセージにタグ付けするために複数のアルゴリズムを使用してもよい。これらの場合、各アルゴリズムは個別に格付けされてもよい。したがって、タグ付けエンティティ（またはその識別情報）と、メッセージを査定しタグ付けするためにタグ付けエンティティによって使用されるアルゴリズム（またはその識別情報）とからなるタプルを、評判システムによって格付けされる対象として考慮してもよい。こうして、評価エンティティは、ネットワーク内の相異なるポイントで適用されるセキュリティアルゴリズムの品質を査定することが可能である。さらに、これらのアルゴリズムの品質の時間変化を検知することが可能である。
【００２７】
特に、同じ１つのアルゴリズムを常に使用するタグ付けエンティティの場合、タグ付けエンティティまたはその識別情報と、タグ付けエンティティによって生成されるレーティングとからなるタプルを、評判システムによって格付けされる対象として考慮してもよい。
【００２８】
非常に高い精度を実現する特に好ましい実施形態によれば、タグ付けエンティティまたはその識別情報、メッセージを査定しタグ付けするためにタグ付けエンティティによって使用されるアルゴリズム（またはその識別情報）、およびタグ付けエンティティによって生成されるレーティングからなるタプルが、評判システムによって格付けされる対象として考慮される。
【００２９】
有利な態様として、評判システムは、タグ付けエンティティによってメッセージに付加された攻撃情報タグから、評判システムと評価エンティティとの間で定義が合意された情報へのマッピングを実行してもよい。これにより、評価エンティティは、タグ付けエンティティによって使用されるアルゴリズムを知ることを必要とせず、また、タグ付けエンティティの内部のプロセスに関するその他の情報をも必要とせずに、攻撃情報タグの評定を判断することが可能となる。すなわち、攻撃情報タグは、評価エンティティによって理解可能である必要はない。換言すれば、本方法により、タグ（例えばセキュリティスコア）のローカルな意味から、システムの参加者から見たグローバルな意味へのマッピングが可能となる。
【００３０】
評判システムによって提供される情報は、メッセージまたはメッセージに関する通信が攻撃を構成するかまたはその一部であることを示す確率の形で与えられてもよい。その場合、評判システムは、エンティティが出力メッセージにタグ付けする際に、これらのメッセージが攻撃を構成するかまたはその一部である可能性に関してどのくらい高い信頼性でタグ付けしているかを査定する。確率は、タグ付けエンティティ（例えば中間ルータやＳＩＰサービスプロバイダ）によって提供される攻撃情報タグ、および／または、タグ付けエンティティとの過去の経験および／またはタグ付けエンティティの評判、に基づいて評価してもよい。これは、タグ付けエンティティが潜在的攻撃者でないことを仮定している。ただし、実際上、この仮定は一般的に満たされる。というのは、タグ付けエンティティは通常、送信元エンティティ（例えばＳＩＰ発呼者）のサービスプロバイダであるのに対し、評価エンティティは通常、宛先エンティティ（例えばＳＩＰ被呼者）のサービスプロバイダであるからである。
【００３１】
タグ付けエンティティ、例えばメッセージがそこから受信されるＳＩＰサービスプロバイダ、の検知能力を評価するためには、メッセージが悪意であるか否か、あるいは着呼がＳＰＩＴであるか、を判断する何らかのメカニズムが必要である。そこで、評判システムを訓練するために、発見的メカニズム、例えば通話の長さに基づく発見法、を使用してもよい。別法として、評価エンティティ（これはＳＩＰサービスプロバイダであってもよい）がこのようなメカニズムを使用するようにしてもよい。
【００３２】
別の実施形態によれば、評判システムを訓練するために、好ましくは経験値および／または経験されたデータに基づいて、フィードバックメカニズムを使用してもよい。評判システムへのフィードバックはオプションとしてもよい。すなわち、フィードバックは、個々のメッセージごとには要求されない。ただし、評判システムは、少なくとも一部のメッセージについてはフィードバックを取得する必要がある。このようなフィードバックメカニズムの一例が、ＳＰＩＴユーザフィードバックを記述したＩＥＴＦ草案（非特許文献４）に与えられており、その全内容が参照により本明細書に援用される。フィードバックメカニズムにより、評判システムは、宛先エンティティによるメッセージの実際の処理に関する情報を受信することができる。
【００３３】
有利な態様として、１つ以上の中間エンティティがいずれもメッセージに攻撃情報タグを付加しない場合、メッセージが攻撃を構成するかまたはその一部である確率は、好ましくは経験値および／または経験されたデータに基づいて、評判システムによって査定されてもよい。
【００３４】
評判システム自体は、集中型でも分散型でもよい。いずれの場合でも、評価エンティティと評判システムとの間に信頼関係が確立されなければならないが、評判システムは、評価エンティティの制御下にある必要はない。ただし、評価エンティティのドメイン内で動作する分散型評判システムのインスタンスがあると有利となり得る。評判システムは、ピアツーピアファイル共有やｅＢａｙ取引等の他の場合に使用されるのと同様に使用されてもよい。一般に、評判システムは、特定のエンティティの評判に関する通信に関与する。すなわち、目標は、あるエンティティが悪意をもって挙動しているか否かについて、すべてのシステム参加者が判断することを可能にする情報を、それらのすべてのシステム参加者にとって入手可能にすることである。例えば、ファイル共有ネットワークでは、ノードＡがノードＢからウィルスを含むファイルを受信した場合、ノードＡは、ノードＢが悪意をもって挙動したというフィードバックを評判システムに与えるであろう。そこで、集中型システムの場合には、ｅＢａｙシステムと同様のシステムを評判システムとして使用してもよい。他方、分散型アプローチの場合、Ｅｉｇｅｎｔｒｕｓｔシステムを使用してもよい。Ｅｉｇｅｎｔｒｕｓｔシステムは、非特許文献５に詳細に記載されており、その全内容が参照により本明細書に援用される。
【００３５】
なお、別の実施形態によれば、分散システムにおいて攻撃検知を支援する方法がＳＩＰ／ＶｏＩＰの場合に使用される。
【００３６】
本発明を好適な態様で実施するにはいくつもの可能性がある。このためには、一方で請求項１に従属する諸請求項を参照しつつ、他方で図面により例示された本発明の好ましい実施形態についての以下の説明を参照されたい。図面を用いて本発明の好ましい実施形態を説明する際には、本発明の教示による好ましい実施形態一般およびその変形例について説明する。
【図面の簡単な説明】
【００３７】
【図１】本発明による方法の適用場面の一例を示す模式図である。
【発明を実施するための形態】
【００３８】
図１は、デジタル電話およびＳＰＩＴ検知における適用場面の一例を示している。例示した実施形態において、潜在的攻撃者Ａは、例えばエンドユーザであり、中間ノードＢとともにいわゆる発信者ドメインに属する。潜在的攻撃者Ａは、中間ノードＢおよびＣを通じて受信者Ｄへメッセージを送信する。中間ノードＣは、受信者Ｄとともにいわゆる受信者ドメインに属する。中間ノードＣは評価エンティティとして機能する。評判システムは、中間ノードＣによって信頼され、中間ノードＣのドメインに（部分的に）属してもよい。図１は、中間ノード（例えばサービスプロバイダであってもよい）経由でローカルな攻撃スコアのマッピングおよび査定を提供する評判システムを使用するための可能なシナリオを例示している。なお、本発明による方法は、特定の種類の評判システムに依拠するものではない。集中型評判システムおよび分散型評判システムのいずれも可能である。
【００３９】
以下、図１に示す例示的実施形態の個々のステップについて、より詳細に説明する。潜在的攻撃者Ａが、受信者Ｄへメッセージを送信する。ここで、第１ステップ（１）において、メッセージは中間ノードＢを通じて送信される。中間ノードＢは、発信者ドメイン内に位置する。中間ノードＢは、その能力に従ってメッセージを分析し、（独自仕様の場合もある）攻撃情報タグをメッセージに付加する。すなわち、ノードＢはタグ付けエンティティとして機能する。付加されたタグは、例えばＳＰＩＴスコアの形で、メッセージに対するノードＢの査定を構成する。中間ノードＢのこの査定は、潜在的攻撃者Ａから受信されたメッセージが攻撃を構成するかまたはその一部であるかどうかを示す。次のステップ（２）で、中間ノードＢは、タグ付けされたメッセージを（すなわち、メッセージを、メッセージに対するＢの査定とともに）中間ノードＣへ転送する。
【００４０】
中間ノードＣは、メッセージを受信し、ステップ（３）に示すように、評判システムに問い合わせることによって、タグ付けされたメッセージを評価する評価エンティティとして作用する。すなわち、中間ノードＣは、タグ付けエンティティＢと、タグ付けエンティティＢによって生成されたレーティング（すなわち攻撃スコア）とからなるタプルに関するレーティングについて問い合わせる。評判システムは、（例えば、これに限定されないが、タグ付けエンティティＢとの過去の経験に基づいて）前記タプルの自己のレーティングを生成することによって、中間ノードＣの問合せを処理し、ステップ（４）で、そのレーティングを中間ノードＣへ送信する。その後、ステップ（５）で、評価エンティティＣは、評判システムによって生成されたレーティングに基づいて、潜在的攻撃者Ａによって発信されたメッセージのさらなる処理について決定する。さらなるメッセージ処理の選択肢としては、例えば、受信者Ｄへメッセージを転送する、他へメッセージを転送する、またはメッセージを破棄する、がある。
【００４１】
最後に、オプションのステップ（６）で、評価エンティティＣは、メッセージと、評判システムのレーティングに基づくメッセージに対するＣの査定（例えばＳＰＩＴスコア）とを受信者Ｄへ転送する。
【００４２】
上記ですでに述べたように、評判システムに関して、本発明による方法は、特定の種類の評判システムに依拠するものではない。集中型および分散型のいずれの評判システムも使用可能である。中間ノードＢ（ＳＩＰサービスプロバイダであってもよい）の検知能力を評価するためには、潜在的攻撃者Ａによって発信された送信メッセージに対するＢの査定のレーティングを生成するための何らかのメカニズムが、評判システムには必要とされる。この目的のため、図１に示す例示的実施形態は、明示的なユーザフィードバックを用いたメカニズムを備える。そこで、オプションのステップ（７）および（８）が指定されている。オプションのステップ（７）で、受信者Ｄは、受信メッセージが攻撃の一部であったか否か、例えば受信メッセージがＳＰＩＴであったかを示す自己のフィードバックを評価エンティティＣへ送信する。その後、評価エンティティは、このユーザフィードバックを評判システムへ転送する。ここで、このユーザフィードバックは、ステップ（３）の問合せに関して、評判システムを訓練する目的に役立つ。これに関して、評判システムは、フィードバックを提供しないエンティティから問合せを受けることも可能である。図１が意味しているフィードバックメカニズムは、個々のメッセージごとには要求されないという意味で、オプションにすぎない。ただし、これらのメッセージの少なくとも一部についてはフィードバックが必要とされる。評判システムにフィードバックを提供する受信者が多いほど、評判システムによって与えられるレーティングの精度および信頼性が向上する。
【００４３】
なお、評判システムの機能は、１つまたは数個の中間ノード（例えばサービスプロバイダ）のみが参加する場合には、すでに保証されている。攻撃が発信される中間ノードは、評判システムを使用する必要がない。また、評判システムは、フィードバックを提供しないエンティティから問合せを受けることが可能であることが注目される。
【００４４】
以下、（ＳＩＰプロキシを使用する）ＳＩＰサービスプロバイダに対する評判フレームワークを使用した本発明の具体的実施形態について、より詳細に説明する。
【００４５】
発信プロキシとして作用するＳＩＰプロキシが、それぞれの発信ＩＮＶＩＴＥメッセージに攻撃（あるいはＳＰＩＴ）確率に関する査定を、例えば１から５までのスケールで（１は攻撃確率が低いことを示し、５は非常に高いことを示す）追加すると仮定する。ただし、発信プロキシによって使用されるこの査定関数の値域は、評判フレームワークにとって本質的ではない。
【００４６】
そして、任意の従来の分散型評判システムが使用される。査定されるべきエンティティとして、ＳＩＰサービスプロバイダおよび割り当てられたスコアのタプル、例えば（「ドメインＸ」，「スコアＹ」）が使用される。評判システムに参加するエンティティは、あるプロバイダから到来するあるスコアがタグ付けされたメッセージに悪意があるか否かの確率を査定するために、情報を交換する。すなわち、扱われるのはＳＩＰサービスプロバイダＸの評判ではなく、ＳＩＰサービスプロバイダＸによって値「Ｙ」がタグ付けされたメッセージのクラスの評判である（Ｙは、本具体例では１から５までの数である）。これにより、評判システムを参照する評価エンティティは、どのアルゴリズムが使用されているかを知ることを全く必要とせずに、Ｘによって使用されるＳＰＩＴ検知アルゴリズムの品質を考慮することが可能となる。
【００４７】
拡張として、ＳＩＰサービスプロバイダが、相異なるアルゴリズムによって生成されるタグを添付する場合、査定されるべきエンティティは、（「ドメインＸ」，「アルゴリズムａ」，「スコアｙ」）のようなタプルである。この実施形態では、プロバイダおよびその攻撃検知能力が両方とも査定される。評判システムを参照する評価エンティティは、使用されたアルゴリズムが独自仕様で秘密であっても、割り当てられたスコアのセマンティクスを識別することが可能となる。ＳＩＰサービスプロバイダがメッセージにスコアを追加しない場合、プロバイダのアイデンティティのみが評判システムへの入力（例えば、「ドメインＸ」，「」）として使用されることになる。
【００４８】
メッセージがそこから受信されるＳＩＰサービスプロバイダの検知能力を評価するためには、着呼がＳＰＩＴであるか否かを判断する何らかのメカニズムが必要である。これは、明示的なユーザフィードバックを使用することで可能である。別法として、評価ＳＩＰサービスプロバイダは、他のメカニズム（例えば、通話の長さに基づく発見法）を使用することも可能である。図１に示すように、評判システムへのフィードバックはオプションである。すなわち、フィードバックは、個々の通話ごとには要求されない。ただし、評判システムは、少なくとも一部の通話についてはフィードバックを取得する必要がある。フィードバックメカニズムは、システムが働くための前提条件である。
【００４９】
２つより多くのプロバイダがそれらのプロキシサーバとともにＩＮＶＩＴＥメッセージの転送に関与する場合、それぞれのプロバイダがメッセージに自己のタグを追加することができる。それらのプロバイダは、（１）先行するプロバイダのタグごとに順に評判システムを使用するか、または（２）エンドユーザの発信プロキシによって追加されたタグのみを考慮するか、を選択することができる。
【００５０】
上記の説明および添付図面の記載に基づいて、当業者は本発明の多くの変形例および他の実施形態に想到し得るであろう。したがって、本発明は、開示した具体的実施形態に限定されるものではなく、変形例および他の実施形態も、添付の特許請求の範囲内に含まれるものと解すべきである。本明細書では特定の用語を用いているが、それらは総称的・説明的意味でのみ用いられており、限定を目的としたものではない。
【図１】
2011530910.tif 000003
【国際調査報告】
2011530910.tif 000004
2011530910.tif 000005
2011530910.tif 000006