(57)【要約】  マルチプルトランザクション機能応用部（ＴＣＡＰ）オペレーションコード（オペコード）スクリーニングのための方法は、マルチプルＴＣＡＰオペコードを含む第１のＳＳ７信号メッセージを受信するステップを含む。上記方法は、第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップをさらに含む。上記方法は、第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号するステップをさらに含み、Ｎは、２以上の整数である。上記方法は、Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、オペコードが単独でまたは第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということをフィルタのうちの１つが示していると判断するステップをさらに含む。上記方法は、オペコードが単独でまたは他のパラメータと組み合わせて許可されないということを１つのフィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行するステップをさらに含む。
2021528915.tif 000002
【特許請求の範囲】
【請求項１】
マルチプルトランザクション機能応用部（ＴＣＡＰ）オペレーションコード（オペコード）スクリーニングのための方法であって、
マルチプルＴＣＡＰオペコードを含む第１のＳＳ７信号メッセージを受信するステップと、
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップと、
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、前記第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号するステップとを備え、Ｎは、２以上の整数であり、前記方法はさらに、
前記Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、前記オペコードが単独でまたは前記第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということを前記フィルタのうちの１つが示していると判断するステップと、
前記オペコードが単独でまたは前記他のパラメータと組み合わせて許可されないということを前記１つのフィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行するステップとを備える、方法。
【請求項２】
前記受信するステップ、判断するステップ、復号するステップ、適用するステップおよび実行するステップは、ＳＳ７信号転送（ＳＴＰ）において実行される、請求項１に記載の方法。
【請求項３】
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップは、前記第１のＳＳ７信号メッセージがグローバルタイトル変換（ＧＴＴ）処理を必要とすると判断するステップを含む、請求項１または２に記載の方法。
【請求項４】
異なるＴＣＡＰオペコードによって索引付けされた複数のフィルタを含むＧＴＴセットを提供するステップを備え、前記フィルタを適用するステップは、前記第１のＳＳ７信号メッセージから復号された前記Ｎ個のＴＣＡＰオペコードの各々について前記ＧＴＴセットにおいてルックアップを実行するステップを含む、請求項３に記載の方法。
【請求項５】
前記フィルタを適用するステップは、前記Ｎ個のオペコードの各々について、前記オペコードについて前記ＧＴＴセットにおいて実現される前記フィルタが、前記オペコードを許可すべきであるということを示しているかブロックすべきであるということを示しているかを判断するステップを含む、請求項４に記載の方法。
【請求項６】
前記第１のＳＳ７信号メッセージは、第１のＴＣＡＰオペコードと、第２のＴＣＡＰオペコードとを含み、前記第１のＴＣＡＰオペコードは、フィルタを第１のＴＣＡＰオペコードに適用したことに基づいて許可されるとして示され、前記第２のＴＣＡＰオペコードは、前記１つのフィルタを前記第２のＴＣＡＰオペコードに適用したことに基づいてブロックされるとして示される、先行する請求項のいずれか１項に記載の方法。
【請求項７】
複数のＴＣＡＰオペコードを含む第２のＳＳ７信号メッセージを受信するステップと、前記第２のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップと、前記第２のＳＳ７信号メッセージからＮ個のオペコードを復号するステップと、前記第２のＳＳ７信号メッセージから復号された前記Ｎ個のＴＣＡＰオペコードの各々にフィルタを適用するステップと、前記第２のＳＳ７信号メッセージにおける前記ＴＣＡＰオペコードを全て許可すべきであると判断するステップと、前記第２のＳＳ７信号メッセージを宛先にルーティングするステップとを備える、先行する請求項のいずれか１項に記載の方法。
【請求項８】
前記第２のＳＳ７信号メッセージを宛先にルーティングするステップは、前記第２のＳＳ７信号メッセージにおける前記オペコードのうちの１つに基づいて前記第２のＳＳ７信号メッセージについての着信局コード（ＤＰＣ）を選択し、前記ＤＰＣを前記第２のＳＳ７信号メッセージに挿入し、前記ＤＰＣに基づいて前記第２のＳＳ７信号メッセージをルーティングするステップを含む、請求項７に記載の方法。
【請求項９】
前記ＤＰＣを選択するステップは、前記第２のＳＳ７信号メッセージにおける前記オペコードに優先順位を割り当て、前記割り当てられた優先順位が最も高い前記第２のＳＳ７信号メッセージにおける前記オペコードに対応する前記ＤＰＣを選択するステップを含む、請求項８に記載の方法。
【請求項１０】
ＳＳ７ファイアウォールアクションを実行するステップは、前記メッセージをモニタリングプラットフォームにコピーするステップ、通話詳細記録（ＣＤＲ）を生成するステップ、ペグカウンタをインクリメントするステップ、および警告を生成するステップのうちの少なくとも１つを含む、先行する請求項のいずれか１項に記載の方法。
【請求項１１】
マルチプルトランザクション機能応用部（ＴＣＡＰ）オペレーションコード（オペコード）スクリーニングのためのシステムであって、
複数のメッセージプロセッサを含むＳＳ７信号転送点（ＳＴＰ）を備え、前記複数のメッセージプロセッサは、
マルチプルＴＣＡＰオペコードを含む第１のＳＳ７信号メッセージを受信して、前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するための第１のメッセージプロセッサと、
第２のメッセージプロセッサとを含み、前記第２のメッセージプロセッサは、前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、前記第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号し、Ｎは、２以上の整数であり、前記Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、前記オペコードが単独でまたは前記第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということを前記フィルタのうちの１つが示していると判断し、前記オペコードが単独でまたは前記他のパラメータと組み合わせて許可されないということを前記１つのフィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行する、システム。
【請求項１２】
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断することは、前記第１のＳＳ７信号メッセージがグローバルタイトル変換（ＧＴＴ）処理を必要とすると判断することを含む、請求項１１に記載のシステム。
【請求項１３】
ＧＴＴセットを前記ＳＴＰに提供して、異なるＴＣＡＰオペコードによって索引付けされた複数のフィルタを含めることを備え、前記フィルタを適用することは、前記第１のＳＳ７信号メッセージから復号された前記Ｎ個のＴＣＡＰオペコードの各々について前記ＧＴＴセットにおいてルックアップを実行することを含む、請求項１２に記載のシステム。
【請求項１４】
前記フィルタを適用することは、前記Ｎ個のオペコードの各々について、前記オペコードについて前記ＧＴＴセットにおいて実現される前記フィルタが、前記オペコードを許可すべきであるということを示しているかブロックすべきであるということを示しているかを判断することを含む、請求項１３に記載のシステム。
【請求項１５】
前記第１のＳＳ７信号メッセージは、第１のＴＣＡＰオペコードと、第２のＴＣＡＰオペコードとを含み、前記第１のＴＣＡＰオペコードは、前記フィルタを前記第１のＴＣＡＰオペコードに適用したことに基づいて許可されるとして示され、前記第２のＴＣＡＰオペコードは、前記フィルタを前記第２のＴＣＡＰオペコードに適用したことに基づいてブロックされるとして示される、請求項１１〜１４のいずれか１項に記載のシステム。
【請求項１６】
複数のＴＣＡＰオペコードを含む第２のＳＳ７信号メッセージを受信することと、前記第２のＳＳ７信号メッセージがさらなる処理を必要とすると判断することと、前記第２のＳＳ７信号メッセージからＮ個のオペコードを復号することと、前記第２のＳＳ７信号メッセージから復号された前記Ｎ個のＴＣＡＰオペコードの各々にフィルタを適用することと、前記第２のＳＳ７信号メッセージにおける前記ＴＣＡＰオペコードを全て許可すべきであると判断することと、前記第２のＳＳ７信号メッセージを宛先にルーティングすることとを備える、請求項１１〜１５のいずれか１項に記載のシステム。
【請求項１７】
前記第２のＳＳ７信号メッセージを宛先にルーティングすることは、前記第２のＳＳ７信号メッセージにおける前記オペコードのうちの１つに基づいて前記第２のＳＳ７信号メッセージについての着信局コード（ＤＰＣ）を選択し、前記ＤＰＣを前記第２のＳＳ７信号メッセージに挿入し、前記ＤＰＣに基づいて前記第２のＳＳ７信号メッセージをルーティングすることを含む、請求項１６に記載のシステム。
【請求項１８】
前記ＤＰＣを選択することは、前記第２のＳＳ７信号メッセージにおける前記オペコードに優先順位を割り当て、前記割り当てられた優先順位が最も高い前記第２のＳＳ７信号メッセージにおける前記オペコードに対応する前記ＤＰＣを選択することを含む、請求項１７に記載のシステム。
【請求項１９】
ＳＳ７ファイアウォールアクションを実行することは、前記メッセージをモニタリングプラットフォームにコピーすること、通話詳細記録（ＣＤＲ）を生成すること、ペグカウンタをインクリメントすること、および警告を生成することのうちの少なくとも１つを含む、請求項１１〜１８のいずれか１項に記載のシステム。
【請求項２０】
実行可能な命令が格納された非一時的なコンピュータ読取可能媒体であって、前記実行可能な命令は、コンピュータのプロセッサによって実行されると、ステップを実行するように前記コンピュータを制御し、前記ステップは、
マルチプルトランザクション機能応用部（ＴＣＡＰ）オペレーションコード（オペコード）を含む第１のＳＳ７信号メッセージを受信するステップと、
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップと、
前記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、前記第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号するステップとを備え、Ｎは、２以上の整数であり、前記ステップはさらに、
前記Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、前記オペコードが単独でまたは前記第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということを前記フィルタのうちの１つが示していると判断するステップと、
前記オペコードが単独でまたは前記他のパラメータと組み合わせて許可されないということを前記１つのフィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行するステップとを備える、非一時的なコンピュータ読取可能媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
説明
優先権主張
本願は、２０１８年６月２６日に出願された米国特許出願番号第１６／０１９，４５４号の優先権利益を主張し、米国特許出願番号第１６／０１９，４５４号の開示は、全文が引用によって本明細書に援用される。
【０００２】
技術分野
本明細書に記載されている主題は、ＳＳ７ネットワークセキュリティに関する。より特定的には、本明細書に記載されている主題は、マルチプルＴＣＡＰオペコードを有する信号システム番号７（ＳＳ７）メッセージのスクリーニングに関する。
【背景技術】
【０００３】
背景
ＳＳ７信号網におけるセキュリティは重要である。なぜなら、ＳＳ７ネットワークノードは、攻撃者から守られるべき加入者情報を格納しているからであり、また、ＳＳ７信号網は、依然として、通話の確立およびデバイス間でのショートメッセージサービス（ＳＭＳ）メッセージの伝送を制御しているからである。たとえば、ホームロケーションレジスタ（ＨＬＲ）は、加入者位置情報および加入者口座情報を格納しており、これらの情報は、攻撃者がＨＬＲに格納された情報にアクセスできる場合に攻撃者によって悪用される可能性がある。また、サービス妨害攻撃および他のタイプの攻撃は、不正な信号メッセージがＳＳ７ネットワークに侵入した場合にこれらのネットワークにおいて通信の確立を妨害する可能性がある。
【発明の概要】
【課題を解決するための手段】
【０００４】
これらのおよび他のネットワークセキュリティ脅威に対処するために、構成可能なファイアウォールパラメータに基づいてＳＳ７メッセージをフィルタリングするＳＳ７ファイアウォールを使用して、ＳＳ７信号網においてセキュリティが提供されてきた。たとえば、サービスプロバイダのネットワークの端に位置するＳＳ７ファイアウォールは、特定のタイプのメッセージを外部ネットワークからブロックし得る。
【０００５】
外部ネットワークからブロックされ得る１つのタイプのメッセージは、エニータイム・インテロゲーション（ＡＴＩ）メッセージである。ＡＴＩおよび他のタイプのメッセージを外部ネットワークからブロックするようにＳＳ７ファイアウォールを構成することは、所与のＳＳ７メッセージがオペレーションコードまたはオペコードを１つだけ担持している場合には、比較的簡単である。オペレーションコードは、ＴＣＡＰメッセージに担持された値であり、ＴＣＡＰメッセージにおいてどのようにコンポーネントアクションを実行するかについてアプリケーションに指示する。ＴＣＡＰメッセージは、一般に、データベースまたはエンドオフィススイッチに向かうことになっている。たとえば、ＴＣＡＰメッセージの１つの一般的な用途は、８００番の変換である。ＴＣＡＰメッセージの用途の他の例は、ローカル番号ポータビリティ（ＬＮＰ）変換、回線情報データベース（ＬＩＤＢ）トランザクションおよび移動体通信応用部（ＭＡＰ）トランザクションである。ＴＣＡＰメッセージにおいて、オペレーションコードは、オペレーションファミリとオペレーション指定子とに分割される２オクテットフィールドである。オペレーションファミリは、７ビットフィールド（ビットＡ〜Ｇ）であり、オペレーションに関連するグループまたはカテゴリを識別する。ビットＨは、応答が見込まれるか否かを示す。オペレーションコードの第２のオクテットは、オペレーション指定子で構成されており、オペレーション指定子は、要求されているオペレーションを識別するのに使用される。この指定子は、アプリケーションに求められている特定の命令である。以下に示される表１は、例示的なオペレーションファミリを示す。
【０００６】
【表１】
2021528915.tif 000003
【０００７】
オペレーションファミリは、アプリケーションがオペレーションを処理するのに十分な情報を提供しない。オペレーションファミリは、オペレーションコードのためのカテゴリとしての役割を果たすのみである。オペレーション指定子は、オペレーションファミリにわたって固有でなくてもよい値である。オペレーション指定子と組み合わせてオペレーションファミリを使用して、どのようなオペレーションを実行するかについてアプリケーションに指示する。以下に示される表２は、表１からの発呼者インタラクションオペレーションファミリに使用され得るオペレーション指定子の例を示す。
【０００８】
【表２】
2021528915.tif 000004
【０００９】
したがって、オペレーションファミリが０００１０１（発呼者インタラクション）であり、オペレーションコードが０００００００１（告知を再生する）である場合、オペレーションコードは、告知を再生するようにアプリケーションに指示する。
【００１０】
上記のように、ＳＳ７ファイアウォールは、オペレーションコードに基づいてメッセージをスクリーニングするように構成可能である。メッセージの中には、単一のオペレーションコードを含んでいるものもある。しかし、ＳＳ７ネットワークでは、複数のオペコードを単一のＳＳ７メッセージの中に集約することは許容されている。ＳＳ７ファイアウォールが単一のＴＣＡＰオペコードしか検査しない場合、攻撃者は、許可されたオペコードも含んでいるＳＳ７メッセージの中に不許可にされたオペコードを隠すことができる。このようなメッセージは、メッセージ当たり応用部を１つだけ見込んでいるＳＳ７ファイアウォールによって渡されてもよい。
【００１１】
他の例では、ＳＳ７メッセージは、マルチプルオペコードを含んでいてもよく、このメッセージは、特定のＳＳ７ネットワークにとって妥当なまたは許可されたメッセージであってもよい。妥当な目的を有し、かつ、ネットワーク攻撃に関連付けられていないマルチプルオペコードを有するメッセージを渡すことが望ましい。
【００１２】
これらの問題に鑑みて、マルチプルＴＣＡＰオペコードスクリーニングのための改良された方法、システムおよびコンピュータ読取可能媒体が必要である。
【００１３】
概要
本明細書に記載されている主題は、マルチプルＴＣＡＰオペコードスクリーニングのための方法、システムおよびコンピュータ読取可能媒体を含む。マルチプルトランザクション機能応用部（ＴＣＡＰ）オペレーションコード（オペコード）スクリーニングのための１つの方法は、マルチプルＴＣＡＰオペコードを含む第１のＳＳ７信号メッセージを受信するステップを含む。上記方法は、上記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップをさらに含む。上記方法は、上記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、上記第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号するステップをさらに含み、Ｎは、２以上の整数である。上記方法は、上記Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、上記オペコードが単独でまたは上記第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということを上記フィルタのうちの１つが示していると判断するステップをさらに含む。上記方法は、上記オペコードが単独でまたは上記他のパラメータと組み合わせて許可されないということを上記フィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行するステップをさらに含む。
【００１４】
マルチプルＴＣＡＰオペコードスクリーニングのための本明細書に記載されている主題を使用して、ＳＳ７メッセージのＴＣＡＰ部分に担持された任意のオペコードをスクリーニングしてもよい。このようなオペコードの例としては、移動体通信応用部（ＭＡＰ）オペコード、ならびに、規格に規定され得るおよび／またはネットワークオペレータによって定義され得る他のオペコードが挙げられる。ＴＣＡＰオペコードは、発信局コード（ＯＰＣ）、発呼者アドレスなどのＳＳ７メッセージパラメータ、および／または、ソースインターネットプロトコル（ＩＰ）アドレスなどの非ＳＳ７メッセージパラメータと組み合わせてスクリーニングされてもよい。
【００１５】
本明細書に記載されている主題の一局面に従って、上記受信するステップ、判断するステップ、復号するステップ、適用するステップおよび実行するステップは、ＳＳ７信号転送（ＳＴＰ）において実行される。
【００１６】
本明細書に記載されている主題の別の局面に従って、上記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップは、上記第１のＳＳ７信号メッセージがグローバルタイトル変換（ＧＴＴ）処理を必要とすると判断するステップを含む。
【００１７】
本明細書に記載されている主題の別の局面に従って、マルチプルＴＣＡＰオペコードスクリーニングのための方法は、異なるＴＣＡＰオペコードによって索引付けされた複数のフィルタを含むＧＴＴセットを提供するステップを含み、上記フィルタを適用するステップは、上記第１のＳＳ７信号メッセージから復号された上記Ｎ個のＴＣＡＰオペコードの各々について上記ＧＴＴセットにおいてルックアップを実行するステップを含む。
【００１８】
本明細書に記載されている主題の別の局面に従って、上記フィルタを適用するステップは、上記Ｎ個のオペコードの各々について、上記オペコードについて上記ＧＴＴセットにおいて実現される上記フィルタが、上記オペコードを許可すべきであるということを示しているかブロックすべきであるということを示しているかを判断するステップを含む。
【００１９】
本明細書に記載されている主題の別の局面に従って、上記第１のＳＳ７信号メッセージは、第１のＴＣＡＰオペコードと、第２のＴＣＡＰオペコードとを含み、上記第１のＴＣＡＰオペコードは、上記フィルタを上記第１のＴＣＡＰオペコードに適用したことに基づいて許可されるとして示され、上記第２のＴＣＡＰオペコードは、上記フィルタを上記第２のＴＣＡＰオペコードに適用したことに基づいてブロックされるとして示される。
【００２０】
本明細書に記載されている主題の別の局面に従って、マルチプルＴＣＡＰオペコードスクリーニングのための方法は、複数のＴＣＡＰオペコードを含む第２のＳＳ７信号メッセージを受信するステップと、上記第２のＳＳ７信号メッセージがさらなる処理を必要とすると判断するステップと、上記第２のＳＳ７信号メッセージからＮ個のオペコードを復号するステップと、上記第２のＳＳ７信号メッセージから復号された上記Ｎ個のＴＣＡＰオペコードの各々にフィルタを適用するステップと、上記第２のＳＳ７信号メッセージにおける上記ＴＣＡＰオペコードを全て許可すべきであると判断するステップと、上記第２のＳＳ７信号メッセージを宛先にルーティングするステップとを含む。
【００２１】
本明細書に記載されている主題の別の局面に従って、上記第２のＳＳ７信号メッセージを宛先にルーティングするステップは、上記第２のＳＳ７信号メッセージにおける上記オペコードのうちの１つに基づいて上記第２のＳＳ７信号メッセージについての着信局コード（ＤＰＣ）を選択し、上記ＤＰＣを上記第２のＳＳ７信号メッセージに挿入し、上記ＤＰＣに基づいて上記第２のＳＳ７信号メッセージをルーティングするステップを含む。
【００２２】
本明細書に記載されている主題の別の局面に従って、上記第２のＳＳ７信号メッセージのための上記ＤＰＣを選択するステップは、上記第２のＳＳ７信号メッセージにおける上記オペコードに優先順位を割り当て、上記割り当てられた優先順位が最も高い上記第２のＳＳ７信号メッセージにおける上記オペコードに対応する上記ＤＰＣを選択するステップを含む。
【００２３】
本明細書に記載されている主題の別の局面に従って、ＳＳ７ファイアウォールアクションを実行するステップは、上記メッセージをモニタリングプラットフォームにコピーするステップ、通話詳細記録（ＣＤＲ）を生成するステップ、ペグカウンタをインクリメントするステップ、および警告を生成するステップのうちの少なくとも１つを含む。
【００２４】
ＴＣＡＰオペコードスクリーニングのためのシステムは、複数のメッセージプロセッサを含むＳＳ７信号転送点（ＳＴＰ）を含む。上記複数のメッセージプロセッサは、マルチプルＴＣＡＰオペコードを含む第１のＳＳ７信号メッセージを受信して、上記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断するための第１のメッセージプロセッサを含む。上記複数のメッセージプロセッサは、第２のメッセージプロセッサをさらに含み、上記第２のメッセージプロセッサは、上記第１のＳＳ７信号メッセージがさらなる処理を必要とすると判断したことに応答して、上記第１のＳＳ７信号メッセージからＮ個のＴＣＡＰオペコードを復号し、Ｎは、２以上の整数であり、上記Ｎ個のＴＣＡＰオペコードの各々について、フィルタを適用して、上記オペコードが単独でまたは上記第１のＳＳ７信号メッセージにおける他のパラメータと組み合わせて許可されないということを上記フィルタのうちの１つが示していると判断し、上記オペコードが単独でまたは上記他のパラメータと組み合わせて許可されないということを上記フィルタが示していると判断したことに応答して、ＳＳ７ファイアウォールアクションを実行する。
【００２５】
本明細書に記載されている主題は、ハードウェア、ソフトウェア、ファームウェア、またはそれらの任意の組み合わせで実現されてもよい。したがって、本明細書における「機能」、「ノード」または「モジュール」という用語は、記載されている特徴を実現するための、ソフトウェアおよび／またはファームウェアコンポーネントも含み得るハードウェアを指す。１つの例示的な実現例では、本明細書に記載されている主題は、コンピュータのプロセッサによって実行されるとステップを実行するようにコンピュータを制御するコンピュータによって実行可能な命令が格納されたコンピュータ読取可能媒体を使用して実現されてもよい。本明細書に記載されている主題を実現するのに好適な例示的なコンピュータ読取可能媒体は、ディスクメモリデバイス、チップメモリデバイス、プログラマブルロジックデバイス、および特定用途向け集積回路などの非一時的なコンピュータ読取可能媒体を含む。また、本明細書に記載されている主題を実現するコンピュータ読取可能媒体は、単一のデバイスもしくはコンピューティングプラットフォームに位置していてもよく、または、複数のデバイスもしくはコンピューティングプラットフォームに分散していてもよい。
【００２６】
ここで、本明細書に記載されている主題について、添付の図面を参照しながら説明する。
【図面の簡単な説明】
【００２７】
【図１】単一のＴＣＡＰオペコードに基づくＳＳ７ネットワークにおけるファイアウォールフィルタリングを示すネットワーク図である。
【図２】ＳＳ７信号網が単一のメッセージにおけるマルチプルオペコードを可能にするが、単一のオペコードに対してしかフィルタリングが行われないＳＳ７信号網におけるファイアウォールフィルタリングを示すネットワーク図である。
【図３】マルチプルＴＣＡＰオペコードスクリーニングを行うＳＳ７信号網を示すネットワーク図である。
【図４】マルチプルＴＣＡＰオペコードスクリーニングを実現するＳＴＰのブロック図である。
【図５Ａ】マルチプルＴＣＡＰオペコードスクリーニングを実現するためのグローバルタイトル変換（ＧＴＴ）セットの使用を示すブロック図である。
【図５Ｂ】特定のＴＣＡＰオペコードのためのフィルタルールを示す表である。
【図６】マルチプルＴＣＡＰオペコードスクリーニングのための例示的なプロセスを示すフローチャートである。
【発明を実施するための形態】
【００２８】
詳細な説明
本明細書に記載されている主題は、マルチプルＴＣＡＰオペコードスクリーニングのための方法、システムおよびコンピュータ読取可能媒体を含む。図１は、ＳＳ７ファイアウォールによって行われるシングルＴＣＡＰオペコードスクリーニングを示すネットワーク図である。図１を参照して、ＳＳ７ファイアウォール１００は、保護されたネットワーク１０２の端にあってもよい。ＳＳ７ファイアウォール１００は、ＳＳ７メッセージパラメータに基づいて、保護されたネットワーク１０２に入力されるＳＳ７信号メッセージをスクリーニングしてもよい。メッセージをスクリーニングするためにＳＳ７ファイアウォールが使用し得る１つのパラメータは、ＴＣＡＰオペコードである。ＴＣＡＰオペコードは、ＳＳ７信号メッセージを受信して処理するアプリケーションによって実行されるオペレーションのタイプを指定する、ＳＳ７メッセージに担持されたパラメータである。オペコードは、ネットワークノード間で情報を渡すためにも使用される。オペコードの値は、ネットワークによって異なっていてもよい。しかし、ネットワークの中には、他のネットワークからの特定のタイプのオペコードを許可しないものもあるため、ＳＳ７ファイアウォール１００は、特定のオペコードをブロックするようにプロビジョニングされてもよい。
【００２９】
図１に示されている例では、ＳＳ７ファイアウォール１００は、「攻撃者ネットワーク」と呼ばれる外部ネットワーク１０４からＳＳ７信号メッセージを受信する。ＳＳ７信号メッセージは、不許可にされたオペコードまたは外部ネットワークからの許可されないオペコードを含む。したがって、ＳＳ７ファイアウォール１００は、メッセージを復号して、オペコードが許可されないと判断して、メッセージをブロックする。
【００３０】
図１に示されるＳＳ７ファイアウォール１００は、メッセージがオペコードを１つだけ含む場合にネットワーク１０２を保護する。しかし、ネットワーク帯域幅を節約するために、オペレータの中には、マルチプルＴＣＡＰオペコードを単一の信号接続制御部（ＳＣＣＰ）メッセージにパッケージングするものもいる。ＳＣＣＰメッセージは、ＴＣＡＰメッセージを伝えるため、また、グローバルタイトルアドレッシング（以下で説明）を可能にするためにＳＳ７ネットワークにおいて使用される。マルチプルオペコードを１つのＳＣＣＰメッセージに集約することは、ネットワーク間でマルチプルＴＣＡＰオペコードを転送する有効な方法である。しかし、攻撃者は、ＴＣＡＰオペコード集約を使用して、許可されないであろうオペレーションのためのオペコードを、許可されたオペレーションのためのオペコードの背後に隠すことができる。
【００３１】
図２は、このようなシナリオを示す。図２では、ＳＳ７ファイアウォール１００は、図１に示されるように保護されたネットワーク１０２の端に位置している。このメッセージフローの例では、ネットワーク１０４の中にいる攻撃者は、ＳＳ７メッセージをネットワーク１０２に送信する。ＳＳ７メッセージは、マルチプルＴＣＡＰオペコードを有するＳＣＣＰメッセージである。示されている例では、オペコードは、オペコード♯１およびオペコード♯２である。ＳＳ７ファイアウォール１００は、ＳＳ７メッセージを受信して、オペコード♯１に基づいてスクリーニングを行う。この例では、オペコード♯１が許可されると仮定される。したがって、ＳＳ７ファイアウォール１００は、オペコード♯１に基づいて、保護されたネットワーク１０２にメッセージを渡す。
【００３２】
しかし、この例では、オペコード♯２は、許可されないであろうオペコードである。オペコード♯２がメッセージにおける第１のオペコードではなく、オペコード♯２に基づいてスクリーニングが行われなかったので、不許可にされたメッセージが保護されたネットワーク１０２に入力される。一例では、不許可にされたメッセージは、ＡＴＩメッセージであってもよい。ＡＴＩメッセージは、加入者の位置情報を要求するＨＬＲに送信されるＭＡＰメッセージである。示されている例では、ＡＴＩメッセージは、ＨＬＲ１０６に渡されてもよい。ＡＴＩメッセージは、加入者の国際携帯機器加入者識別子（ＩＭＳＩ）を指定してもよい。ＨＬＲ１０６は、加入者位置情報を有するＡＴＩメッセージに応答する。この情報は、攻撃者に提供され得て、攻撃者は、加入者の位置を知ることになる。
【００３３】
図２に示されるような攻撃から防護するために、信号転送点は、マルチプルＴＣＡＰオペコードスクリーニングによって、メッセージにおけるマルチプルＴＣＡＰオペコードをスクリーニングするように構成されてもよい。信号転送点は、ＳＳ７ポイントコードに基づいてＳＳ７メッセージをルーティングするＳＳ７ネットワークノードである。信号転送点は、ＭＴＰ、ＳＣＣＰおよび／またはＴＣＡＰレベルのパラメータを着信局コードに変換するグローバルタイトル変換も行ってもよい。図３は、ＳＳ７信号転送点がマルチプルＴＣＡＰオペコードスクリーニングで構成される例を示す。図３を参照して、信号転送点１０８は、マルチオペコードスクリーニングモジュール１１０を含む。ＳＴＰ１０８は、外部ネットワークからトラフィックを受信するために、保護されたネットワーク１０２の端に位置していてもよい。示されている例では、ＳＴＰ１０８は、２つのオペコード、すなわちオペコード♯１およびオペコード♯２を有するＳＳ７メッセージを受信する。ＳＴＰ１０８は、このメッセージをＴＣＡＰメッセージとして識別し、このメッセージがマルチプルオペコードを担持していると判断する。したがって、ＳＴＰ１０８は、マルチオペコードスクリーニングモジュール１１０を使用してマルチプルＴＣＡＰオペコードスクリーニングを行う。示されている例では、スクリーニングは、オペコード♯１およびオペコード♯２に基づいて行われる。１つの構成例では、オペコード♯１またはオペコード♯２のいずれかが不許可にされると、メッセージがブロックされてもよい。
【００３４】
一般に、マルチオペコードスクリーニングモジュール１１０は、Ｎ個のオペコードに基づいてＳＳ７信号メッセージをスクリーニングするように構成され得て、Ｎは、２以上の整数である。発信元ネットワークを識別するパラメータなどの、メッセージにおける１つ以上の他のパラメータと組み合わせて、Ｎ個のオペコードのうちのいずれかが不許可にされると、メッセージがブロックされてもよい。
【００３５】
図４は、マルチオペコードスクリーニングモジュール１１０を有するＳＴＰ１０８の例示的な内部アーキテクチャを示すブロック図である。図４を参照して、ＳＴＰ１０８は、複数のメッセージプロセッサ１１２，１１４，１１６および１１８を有するコンピューティングプラットフォームである。各メッセージプロセッサ１１２，１１４，１１６および１１８は、１つ以上のプロセッサ１２０およびメモリ１２４を有する印刷回路基板である。メッセージプロセッサ１１２，１１４，１１６および１１８は、内部通信媒体１２６を介して互いに通信してもよい。内部通信媒体１２６は、イーサネット（登録商標）ネットワーク、バス、またはプロセッサカード間でメッセージを伝えるためのその他の好適な通信媒体であってもよい。
【００３６】
示されている例では、メッセージプロセッサ１１２および１１４は、外部信号リンク１２８および１３０と接続している。信号リンク１２８および１３０は、ＳＴＰ１０８に対して／ＳＴＰ１０８からＳＳ７信号メッセージを伝える。示されている例では、信号リンク１２８および１３０は、インターネットプロトコル（ＩＰ）データグラムの状態でＳＳ７信号メッセージを伝えるインターネット技術タスクフォース（ＩＥＴＦ）ＳＩＧＴＲＡＮ信号リンクであってもよい。ＳＩＧＴＲＡＮは、ＩＰ信号リンクを介してＳＳ７信号メッセージをどのように伝えることができるかを定義する、ＩＥＴＦによって規定されたプロトコル群である。一般に、ＳＳ７信号メッセージの１つ以上の層は除去され、ＳＳ７信号メッセージの残りはＩＰデータグラム内に入れられる。次いで、ＩＰデータグラムは、ＳＩＧＴＲＡＮリンクを介して送信される。信号転送点１０８がＳＩＧＴＲＡＮリンクと接続しているので、メッセージプロセッサ１１２および１１４の各々は、ＩＰデータグラムの状態でＳＳ７信号メッセージを伝送するのに必要なＳＩＧＴＲＡＮプロトコルを実現するＳＩＧＴＲＡＮ層１３２を含む。代替例では、信号リンク１２８および１３０は、ＳＳ７メッセージをＩＰデータグラムに封入することなくＳＳ７メッセージを伝えるＳＳ７層１および２リンクであってもよい。
【００３７】
各メッセージプロセッサ１１２および１１４は、ＳＳ７ルーティングおよびサービス選択層１３４も含み、ＳＳ７ルーティングおよびサービス選択層１３４は、ＳＴＰ１０８によるさらなる処理を必要とするＳＳ７信号メッセージを識別して、この信号メッセージをＳＴＰ１０８内のメッセージプロセッサに転送してこのような内部処理を実行する。ＳＳ７ルーティングおよびサービス選択層１３４がＳＴＰ１０８によるさらなる処理を必要としないものとして識別するメッセージについては、ＳＳ７ルーティングおよびサービス選択層１３４は、ＳＳ７信号メッセージにおけるメッセージ転送部（ＭＴＰ）層３情報に基づいてこのメッセージをルーティングする。メッセージがさらなる処理を必要とするかルーティングを必要とするかについての判断は、ＳＳ７信号メッセージにおける１つ以上のパラメータの組み合わせに基づいて行われてもよく、１つ以上のパラメータは、グローバルタイトルインジケータ、変換タイプ、ドメイン、番号計画、アドレスインジケータの性質などを含むが、これらに限定されるものではない。
【００３８】
ＳＴＰ１０８の基本的な機能は、ＳＳ７信号メッセージをルーティングすることである。したがって、メッセージプロセッサ１１２または１１４がルーティングのみを必要とするＳＳ７信号メッセージを受信した場合、このメッセージは、メッセージプロセッサ１１２または１１４のうちの１つによって受信されてもよく、このメッセージからＭＴＰレベル３着信局コード（ＤＰＣ）が復号されてＳＳ７  ＭＴＰ層３ルーティングテーブルにおいてルーティングルックアップを行うために使用されてもよく、このメッセージは、ポイントコードに対応するアウトバウンド信号リンクに関連付けられたメッセージプロセッサにルーティングされてもよい。
【００３９】
１つ以上のＴＣＡＰオペコードを含むメッセージについては、ＳＳ７ルーティングおよびサービス選択層１３４は、このメッセージをアウトバウンド信号リンクを有するメッセージプロセッサにルーティングするのではなく、このメッセージをさらなる処理を必要とするものとして識別してもよく、ＳＳ７ルーティングおよびサービス選択層１３４は、さらなる処理のために、このメッセージをメッセージプロセッサ１１６または１１８のうちの１つに転送してもよい。ＳＳ７ルーティングおよびサービス選択層１３４は、負荷分散などの任意の好適な基準を使用して所与のＳＳ７メッセージを処理するために使用される特定のメッセージプロセッサを識別してもよい。ＳＳ７ルーティングおよびサービス選択層１３４が、受信したＳＳ７メッセージを処理するためのメッセージプロセッサを識別すると、ＳＳ７ルーティングおよびサービス選択層１３４は、このメッセージを通信媒体１２６を介してメッセージプロセッサに転送する。
【００４０】
さらなる処理を必要とするものとして識別されたメッセージを受信すると、マルチオペコードスクリーニングモジュール１１０は、メッセージのＴＣＡＰ部分を復号し、マルチプルＴＣＡＰオペコードが存在する場合にはマルチプルＴＣＡＰオペコードスクリーニングを適用する。マルチプルＴＣＡＰオペコードスクリーニングは、Ｎ（Ｎは２以上の整数である）個のオペコードをメッセージから復号することと、オペコードがメッセージを許可すべきであるということを示しているか不許可にすべきであるということを示しているかを判断することと、オペコードがメッセージを不許可にすべきであるということを示している場合にＳＳ７ファイアウォールフィルタリング機能を実行することとを含む。メッセージが許可される場合、マルチオペコードスクリーニングモジュール１１０は、メッセージをＳＳ７ルーティングモジュール１３６に渡し、ＳＳ７ルーティングモジュール１３６は、アウトバウンド信号リンクに関連付けられたメッセージプロセッサにＳＳ７信号メッセージをルーティングする。一例では、マルチオペコードスクリーニングモジュール１１０は、優先順位が最も高いＴＣＡＰオペコードを、ネットワークオペレータによって構成されたものとして識別してもよい。優先順位が最も高いＴＣＡＰオペコードは、メッセージの着信局コードの選択に使用されてもよい。優先順位が最も高いＴＣＡＰオペコードの着信局コードは、メッセージに挿入されてもよい。着信局コードは、アウトバウンド信号リンクに関連付けられたメッセージプロセッサに信号メッセージをルーティングするためにＳＳ７ルーティングモジュール１３６によって使用される。アウトバウンド信号リンクに関連付けられたメッセージプロセッサは、ＳＳ７信号メッセージをＩＰデータグラムに封入し、このメッセージをＩＰネットワークを介して宛先に転送する。アウトバウンドリンクがＳＩＧＴＲＡＮリンクでない場合には、アウトバウンドＳＳ７メッセージは、メッセージをＩＰデータグラムに封入することなくＳＳ７  ＭＴＰ層１および２リンクを介して送信されてもよい。
【００４１】
図４に示されるメッセージフローの例では、ＳＳ７信号メッセージは、メッセージプロセッサ１１４によって受信される。ＳＳ７信号メッセージは、オペコード♯１およびオペコード♯２を含む。ＳＳ７信号メッセージは、ＳＩＧＴＲＡＮ層１３２に渡され、ＳＩＧＴＲＡＮ層１３２は、メッセージからＳＩＧＴＲＡＮおよびＩＰ層を除去し、メッセージをＳＳ７ルーティングおよびサービス選択層１３４に転送する。ＳＳ７ルーティングおよびサービス選択層１３４は、メッセージをさらなる処理を必要とするものとして識別するので、メッセージをメッセージプロセッサ１１６および１１８のうちの１つに転送する。示されている例では、メッセージプロセッサ１１８がメッセージを受信する。マルチオペコードスクリーニングモジュール１１０は、メッセージのＴＣＡＰ部分を復号し、マルチプルＴＣＡＰオペコードの存在を識別し、オペコード♯１およびオペコード♯２に対してマルチオペコードスクリーニングを行う。オペコードが両方とも許可される場合、優先順位がより高いオペコードを使用してメッセージの着信局コードを選択し、この着信局コードがメッセージに挿入され、アウトバウンドメッセージがルーティングモジュール１３６によってメッセージプロセッサ１１２にルーティングされる。メッセージプロセッサ１１２は、１つ以上のＳＩＧＴＲＡＮ層をメッセージに追加し、ＳＳ７信号メッセージをＩＰデータグラムに挿入し、ネットワークを介してメッセージを宛先に転送する。メッセージが許可されない場合、マルチオペコードスクリーニングモジュール１１０は、メッセージをブロックして、メッセージが削除されたことを示す通話詳細記録（ＣＤＲ）などの１つ以上の記録を生成してもよい。以下に示される表３は、１つ以上の不許可にされたＴＣＡＰオペコードに基づいてブロックされるメッセージについて生成され得るＣＤＲの一例を示す。
【００４２】
【表３】
2021528915.tif 000005
【００４３】
表３において、ＣＤＲは、マルチプルオペコードを有するメッセージが午前６時３０分に受信されたことを示している。第１のオペコード、すなわちオペコード♯１（告知を再生するためのオペコード）が許可されたオペコードであり、第２のオペコード（エニータイム・インテロゲーションのためのオペコード）、すなわちオペコード♯２が外部ネットワークからの不許可にされたオペコードである。このような記録を使用して、ネットワークセキュリティルールを改良してもよい。たとえば、ＯＰＣ１−１−１からの複数のメッセージが、不許可にされたオペコードによりメッセージがブロックされることを生じさせる場合、ＯＰＣ１−１−１からの全てのメッセージをブロックするようにルールがＳＴＰ１０８にインストールされてもよい。このように、マルチオペコードセキュリティスクリーニングを使用して、オペコード以外のメッセージパラメータに基づいて新たなＳＳ７ファイアウォールフィルタリングルールを構築してもよい。
【００４４】
マルチオペコードスクリーニングモジュール１１０によって実行され得るＳＳ７ネットワークセキュリティアクションの別の例は、マルチオペコードスクリーニングが原因で不許可にされるメッセージのためにペグカウンタを維持するというものである。ペグカウンタは、パラメータの特定の組み合わせを有するメッセージの数である。たとえば、表３における通話詳細記録を使用して、メッセージがブロックされることを生じさせた表３に示されるパラメータセットを有するＳＳ７信号メッセージについてペグカウンタが開始されてもよい。同一のパラメータセットを有する別のメッセージが受信されると、ペグカウンタはインクリメントされてもよい。さまざまなタイプのメッセージについてペグカウンタを格納しておくことも、ネットワークセキュリティルールの改良に使用することができる。たとえば、メッセージがブロックされることを生じさせるオペコードの組み合わせについてのペグカウンタが閾値を超えると、メッセージの供給源からのメッセージをブロックする新たなネットワークセキュリティルールがインストールされてもよい。
【００４５】
本明細書に記載されている主題の１つの例示的な実現例では、マルチオペコードスクリーニングモジュール１１０は、さまざまなＴＣＡＰオペコードのためのフィルタルールを格納するグローバルタイトル変換（ＧＴＴ）セットを利用して、マルチオペコードスクリーニングを行ってもよい。図５Ａは、この例を示す。図５Ａでは、マルチオペコードスクリーニングモジュール１１０は、ＧＴＴセット１３８にアクセスしてもよい。通常、ＧＴＴセット１３８は、ＭＴＰ、ＳＣＣＰおよび／またはＴＣＡＰ層パラメータを、メッセージがネットワークを介してルーティングされる前にメッセージに挿入されるポイントコードに変換するためのデータを格納している。示されている例では、ＧＴＴセットは、さまざまなＴＣＡＰオペコードのためのフィルタルールを含む。フィルタルールは、オペコード♯１のためのフィルタルール１４０と、オペコード♯２のためのフィルタルール１４２と、オペコード♯３のためのフィルタルール１４４と、オペコード♯Ｎのためのフィルタルール１４６とを含む。
【００４６】
マルチプルＴＣＡＰオペコードを有するメッセージが受信されると、マルチオペコードスクリーニングモジュール１１０は、ＧＴＴセット１３８におけるオペコード♯１に対してＧＴＴルックアップを行う。オペコード♯１に対するＧＴＴルックアップは、オペコード♯１のためのフィルタルール１４０をもたらす。図５Ｂは、オペコード♯１のためのフィルタルールの一例を示す。示されている例では、オペコード♯１がエニータイム・インテロゲーションのためのオペコードであると仮定される。オペコード♯１のためのフィルタパラメータは、発信局コード（ＯＰＣ）を含む。したがって、オペコード１を有するメッセージにおけるＯＰＣがＳＴＰと同一のネットワークからのものであれば、フィルタアクションは許可される。ＯＰＣが外部ネットワークであれば、フィルタアクションはブロックされる。
【００４７】
図５Ａに戻って、マルチオペコードスクリーニングモジュール１１０は、構成可能な数のオペコードまたはＮ個のオペコードまで、受信したメッセージに存在する各オペコードに対してＧＴＴルックアップを行う。メッセージ処理タイミング要件のせいで、メッセージにおける全てのオペコードをスクリーニングすることは可能でないかもしれない。しかし、本明細書に記載されている主題は、任意の特定の数のオペコードのスクリーニングに限定されるものではない。Ｎ（Ｎは２以上の整数である）個のオペコードのスクリーニングは、本明細書に記載されている主題の範囲内であるよう意図されている。この例では、オペコード♯１に対するＧＴＴルックアップは許可のアクションをもたらし、オペコード♯２に対するＧＴＴルックアップはブロックのアクションをもたらした。したがって、マルチオペコードスクリーニングモジュール１１０は、オペコード♯１およびオペコード♯２を有するメッセージをブロックしてもよい。
【００４８】
図６は、マルチオペコードスクリーニングのための例示的なプロセスを示すフローチャートである。図６を参照して、ステップ２００において、ＳＳ７信号メッセージを受信する。たとえば、ＳＳ７信号メッセージは、ＳＴＰ内のメッセージプロセッサ１１２または１１４で受信されてもよい。ステップ２０２において、ＳＳ７信号メッセージがＳＴＰ１０８によるさらなる処理を必要とするか否かを判断する。ＳＳ７信号メッセージがさらなる処理を必要とするか否かを識別することは、ＳＳ７サービス選択およびルーティングモジュール１３４によって行われてもよい。メッセージがＳＴＰ１０８によるさらなる処理を必要とするか否かを判断することは、ＳＳ７信号メッセージにおける１つ以上のＳＣＣＰパラメータを調べることによって行われてもよい。上記のように、これらのパラメータは、グローバルタイトルインジケータ、ルーティングインジケータ、ドメイン、変換タイプ、番号計画、アドレスインジケータの性質、またはこのようなパラメータの任意の組み合わせを含んでもよい。メッセージがさらなる処理を必要としない場合、制御はステップ２０４に進み、ステップ２０４において、マルチオペコードスクリーニングなしにメッセージを処理する。マルチオペコードスクリーニングなしにメッセージを処理することは、ステップ２０６に示されるようにアウトバウンド信号メッセージをルーティングすることを含んでもよい。
【００４９】
ステップ２０２に戻って、メッセージがさらなる処理を必要とすると判断されると、制御はステップ２０８に進み、ステップ２０８において、メッセージをマルチプルオペコードスクリーニングに転送する。図４における例を使用して、メッセージは、マルチオペコードスクリーニングモジュール１１０を有するメッセージプロセッサ１１６および１１８のうちの１つに送信されてもよい。ステップ２１０において、メッセージからＮ個のオペコードを復号し、Ｎは、構成可能な数字である。メッセージからＮ個のオペコードを復号することは、メッセージのＴＣＡＰ層の十分な部分を復号して、各オペコードおよびオペコードをスクリーニングするのに必要とされるさらなるパラメータを識別することを含んでもよい。以下は、１６進法でのＴＣＡＰメッセージおよび対応する復号されたパラメータの一例である。
【００５０】
【数１】
2021528915.tif 000006
【００５１】
タグ長値に従って、ＴＣＡＰメッセージは以下のように復号することができる。
【００５２】
【数２】
2021528915.tif 000007
【００５３】
上記の復号されたメッセージから分かることは、復号されていないメッセージにおけるオペコード０１２Ｅ（太字で記載）が、ＴＣＡＰメッセージにおける４５番目および４６番目のオクテットである２オクテット値であるということである。ＴＣＡＰオペコードの第２のオクテット、すなわち１０進法での０ｘ２Ｅまたは４６は、メッセージをＭＡＰ移動体発信転送ショートメッセージ（ＭＯ＿ＦＳＭ）メッセージとして識別する。ＭＡＰ  ＭＯ＿ＦＳＭメッセージは、携帯電話加入者に役立つ移動交換局（ＭＳＣ）からショートメッセージサービスセンタ（ＳＭＳＣ）に送信され、宛先加入者に送信されるＳＭＳメッセージを担持している。ＴＣＡＰメッセージにおける残りの復号されたパラメータは、ＳＭＳ送信元および宛先アドレスパラメータ（ＳＭ−ＲＰ−ＯＡおよびＳＭ−ＲＰ−ＤＡ）、送信されるショートメッセージデータ（ＳＭ−ＲＰ−ＵＩ）を含む。ＴＣＡＰオペコードを復号することに加えて、マルチオペコードスクリーニングモジュール１１０は、これらのパラメータ、ならびに、各ＴＣＡＰオペコードに基づいてスクリーニングを行う際に使用されるＯＰＣおよび発呼者アドレスなどのＭＴＰおよびＳＣＣＰ層パラメータのうちのいずれか１つ以上を復号してもよい。
【００５４】
上記のＴＣＡＰメッセージの例は、単一のＴＣＡＰオペコードを含む。しかし、上記のように、マルチオペコードスクリーニングモジュール１１０は、メッセージにおけるＮ個までのオペコードをスクリーニングしてもよく、Ｎは、ネットワークオペレータによって設定される構成可能なパラメータである。以下は、２つのオペコード、すなわちＭＡＰ位置更新のためのオペコードおよびＡｃｔｉｖａｔｅＳＳのためのオペコード、を含むＳＳ７メッセージについてマルチオペコードスクリーニングモジュール１１０によって生成され得る出力の一例である。メッセージ復号の例は、ＴＣＡＰおよびＭＡＰ層を介したＭＴＰレベル２からの復号されたパラメータを含む。
【００５５】
【数３】
2021528915.tif 000008
【００５６】
【数４】
2021528915.tif 000009
【００５７】
【数５】
2021528915.tif 000010
【００５８】
【数６】
2021528915.tif 000011
【００５９】
【数７】
2021528915.tif 000012
【００６０】
【数８】
2021528915.tif 000013
【００６１】
上記のメッセージ復号の例では、メッセージにおける２つのオペコードは太字で記載されている。第１のオペコードは、第０１１５行に見られ、加入者端末の新たな位置をホームネットワークに知らせるために使用可能なトランザクションである位置更新のためのＭＡＰオペコードである。このようなトランザクションを使用してメッセージおよび通話を攻撃者に向けることができるので、信用できないネットワークからの位置更新トランザクションは許可することができない。したがって、位置更新オペコードは、メッセージが許可されるべきであるか否かを判断するために、発信局コード（ＯＰＣ）および発呼者アドレスなどの送信元ネットワーク識別パラメータと組み合わせてスクリーニングされてもよい。
【００６２】
上記のメッセージ復号の例における第２のオペコードも、太字で記載されており、第０１４８行に見られる。第２のオペコードは、ＭＡＰ  ＡｃｔｉｖａｔｅＳＳオペレーションのためのものである。ＡｃｔｉｖａｔｅＳＳオペレーションは、モバイルデバイスの発呼者ＩＤサービスなどの付加サービスを起動または停止するのに使用可能である。このようなオペレーションは、加入者デバイスが利用できるサービスを変更する可能性があるので、ＡｃｔｉｖａｔｅＳＳオペコードは、オペコードが許可されるべきであるか不許可にされるべきであるかを判断するために、送信元ネットワークパラメータなどの他のメッセージパラメータとともにスクリーニングされてもよい。
【００６３】
図６に戻って、ステップ２１２において、Ｎ個のオペコードの各々に対してマルチオペコードスクリーニングを行う。マルチオペコードスクリーニングは、１つ以上の他のメッセージパラメータと組み合わせて各オペコードを使用してＧＴＴセット１３８においてルックアップを行って、パラメータの特定の組み合わせのためのフィルタルール、および、パラメータの組み合わせがメッセージを許可すべきであることを示しているかメッセージをブロックすべきであることを示しているかを識別することを含んでもよい。ステップ２１４において、全てのオペコードが許可されるか否かを判断する。全てのオペコードが許可される場合、アウトバウンドメッセージがルーティングされる（ステップ２０６）。メッセージをルーティングする前に、優先順位が最も高いオペコードが識別されてもよい。優先順位が最も高いオペコードを使用して、メッセージの着信局コードを選択してもよい。着信局コードは、メッセージに挿入されてもよい。メッセージに挿入された着信局コードを使用して、メッセージをルーティングしてもよい。オペコードのうちのいずれかが許可されない場合、制御はステップ２１６に進み、ステップ２１６において、メッセージをブロックする。
【００６４】
メッセージをブロックすることに加えて、さらなるネットワークセキュリティアクションが実行されてもよい。上記のように、ＴＣＡＰオペコードに基づいてブロックされるメッセージについて通話詳細記録が生成されてもよい。また、このようなメッセージのためにペグカウンタが維持されてもよい。実行され得る別のネットワークセキュリティアクションは、不許可にされたメッセージについてネットワークオペレータの注意を喚起するために警告を生成し得るというものである。実行され得るさらに別のネットワークアクションは、信号メッセージをコピーしてコピーをモニタリングプラットフォームに送信するというものである。
【００６５】
このように、本明細書に記載されている主題は、不許可にされたオペコードが１つ以上の許可されたオペコードの背後に隠されている特定のメッセージをブロックすることによって、コンピュータおよびテレコミュニケーションネットワークセキュリティの技術分野を向上させる。信号転送点においてこのようなスクリーニングを実現することは有利である。なぜなら、信号転送点は、他のＳＳ７エンドポイントを相互接続するノードであるために、マルチプルオペコードスクリーニングのための効率的な位置であるからである。信号転送点内でＧＴＴセットを使用してマルチプルオペコードスクリーニングを実現することは有利である。なぜなら、ＧＴＴセットは、ネットワークオペレータによって構成可能なデータベースであるからである。したがって、許可されたオペコードまたは不許可にされたオペコードが変化すると、ネットワークオペレータは、新たなセキュリティ脅威に適合するようにＧＴＴセットをプロビジョニングすることによって、オペレータのＳＴＰによって行われるスクリーニングを更新することができる。
【００６６】
ここに開示されている主題のさまざまな詳細は、ここに開示されている主題の範囲から逸脱することなく変更されてもよい、ということが理解されるであろう。さらに、上記の説明は、単に例示を目的としており、限定を目的としているわけではない。
【図１】
2021528915.tif 000014
【図２】
2021528915.tif 000015
【図３】
2021528915.tif 000016
【図４】
2021528915.tif 000017
【図５Ａ】
2021528915.tif 000018
【図５Ｂ】
2021528915.tif 000019
【図６】
2021528915.tif 000020
【国際調査報告】
2021528915.tif 000021
2021528915.tif 000022