JP2017017553A - 移動通信システム及びゲートウェイ装置 - Google Patents

Abstract

【課題】攻撃通信のフローのパケットが宛先網へ向けて転送されるのを回避する。【解決手段】移動網に接続された端末ＵＥ４との間に設定された移動網の通信路を通じて受信された端末ＵＥ４からのパケットを宛先網へ転送するゲートウェイＰ−ＧＷ８が、パケットのフローが攻撃通信のフローであるときに防御装置ＩＰＳ３から受信される攻撃通信のフローの特定情報＜１＞を用いて、当該フローを遮断するための通信路と異なる遮断用の通信路の設定要求＜２＞を発行し、遮断部が設定要求＜２＞に応じて端末ＵＥ４とゲートウェイとの間に設定された遮断用通信路でパケットを転送することで、攻撃通信のフローを遮断する。【選択図】図５

Description

本発明は、移動通信システム及びゲートウェイ装置に関する。

業務のために、モバイル端末（以下、「移動端末」）を所持する社員が社外からモバイル網（以下、「移動網」）を介して社内網へアクセスする場合がある。移動網の発展によって、社内網へのアクセス数の増大が見込まれる。移動端末は，移動網を介してインターネットなどの公衆網に接続された公開サーバにもアクセス可能である。公開サーバが悪意のある攻撃者により設置されている場合には、移動端末が公開サーバにアクセスすることによってウィルスに感染し、攻撃者に乗っ取られる可能性がある。この場合、攻撃者がウィルスに感染した移動端末を用いて社内網への攻撃を行う可能性がある。

攻撃者に乗っ取られた移動端末から社内網へのアクセスを通じた攻撃、及び社内網内のデータ保護のために，移動網から社内網への入り口にIntrusion Prevention System（Ｉ
ＰＳ）と呼ばれる防御装置が設置される。防御装置は、移動端末と社内網との通信の挙動を監視する。防御装置は、攻撃が疑われる通信（以下、「攻撃通信」という）に関するフローのパケットを廃棄することによって、攻撃通信を遮断する。

防御装置は、通信が攻撃通信と判断したフローについてパケットの廃棄を継続する。このため、攻撃通信と判断されたフローが増大すると、防御装置の処理負荷が増大するおそれがあった。

特表２０１１−５１２７３１号公報 特開２００６−２１７１９８号公報 特開２０１４−１０３４８４号公報

上記問題に鑑み、攻撃通信であると判断されたフローの情報を移動網内の装置に通知し、装置が攻撃通信のフローを特定し、当該フローのパケットを廃棄する方法が考えられる。しかし、Long Term Evolution（ＬＴＥ）などの3rd Generation Partnership Project
（３ＧＰＰ）で規定された無線通信規格では、移動網の出口となるゲートウェイと移動端末との間でベアラと呼ばれる通信路が設定される。移動端末からのパケットは、ベアラ上を転送される。すなわち，移動網内のパケットの中継装置は，ベアラの識別子を用いてパケットを中継し、パケット内に格納されたフローの情報の識別を行わない。このため、仮に攻撃通信のフロー情報を移動網の中継装置が受信しても、対象のパケットを判別し廃棄することができなかった。

本発明は、上記問題に鑑みなされたものであり、攻撃通信のフローのパケットが宛先網へ向けて転送されるのを回避可能な技術を提供することを目的とする。

本発明の一態様は、移動網（１）に接続された移動端末（４）との間に設定された前記移動網（１）の通信路（ベアラ）を通じて受信された前記移動端末からのパケットを前記パケットの宛先網（２）へ転送するゲートウェイ（８）であって、前記パケットのフロー
が攻撃通信のフローであるときに前記宛先網（２）の防御装置（３）から受信される前記攻撃通信のフローの特定情報を用いて前記攻撃通信のフローを遮断するための前記通信路と異なる遮断用の通信路（遮断用ベアラ）の設定要求（Create Bearer Request）を発行
するゲートウェイ（８）と、前記設定要求に応じて前記移動端末（４）と前記ゲートウェイ（８）との間に設定された前記遮断用の通信路でパケットが転送される前記攻撃通信のフローを遮断する処理を行う遮断部（４，５，７，８）とを含む移動通信システムである。

本発明の一態様によれば、宛先網向けの攻撃通信のフローのパケットが宛先網へ向けて転送されるのを回避することができる。

図１は、実施形態に係る通信システム（ネットワークシステム）の構成例を示す。 図２は、ＩＰＳ，Ｓ−ＧＷ，Ｐ−ＧＷ，及びＭＭＥとして使用可能な情報処理装置（コンピュータ）のハードウェア構成例を示す図である。 図３は、基地局のハードウェア構成例を示す。 図４は、端末のハードウェア構成例を示す。 図５は、動作例１の具体的な処理例を示すシーケンス図である。 図６は、遮断用ベアラが設定済の場合において、ＩＰＳが別の攻撃通信のフローを検出した場合における動作例（動作例２）を示すシーケンス図である。 図７は、Ｐ−ＧＷにおける処理例を示すフローチャートである。 図８は、Ｓ−ＧＷにおける遮断用ベアラ設定フェーズにおける処理例を示すフローチャートである。 図９は、Ｓ−ＧＷにおけるパケット転送フェーズにおける処理例を示すフローチャートである。 図１０は、端末（ＵＥ）からＰ−ＧＷへのパケット転送を模式的に示す図である。 図１１は、実施形態１の変形例を示す。 図１２は、実施形態２の動作例を示すシーケンス図である。 図１３は、Default Bearerの解放後における端末のDefault Bearerの再設定の手順を示す。 図１４は、実施形態２におけるＰ−ＧＷの処理例を示すフローチャートである。 図１５は、図１４の３５の処理の終了後におけるＰ−ＧＷの処理例を示すフローチャートである。

以下、図面を参照して実施形態について説明する。実施形態の構成は例示であり、実施形態の構成に限定されない。

〔実施形態１〕
実施形態に係る移動通信システムは、移動網に接続された移動端末との間に設定された上記移動網の通信路を通じて受信された上記移動端末からのパケットを当該パケットの宛先網へ転送するゲートウェイを含む。上記ゲートウェイは、上記パケットのフローが攻撃通信のフローであるときに上記宛先網の防御装置から受信される上記攻撃通信のフローの特定情報を用いて上記攻撃通信のフローを遮断するための上記通信路と異なる遮断用の通信路の設定要求を発行する。さらに、移動通信システムは、上記設定要求に応じて上記移動端末と上記ゲートウェイとの間に設定された上記遮断用の通信路で転送される上記攻撃
通信のフローを遮断する処理を行う遮断部を含む。

実施形態に係る移動網は、防御装置で検出された攻撃通信のフローを移動網で遮断するための通信路の設定機能と、遮断用の通信路上を転送される攻撃通信のフローを遮断する処理を行う遮断機能（遮断部）とを具備する。遮断部は、例えば、移動網において遮断用の通信路で転送されるパケットを送信又は中継する装置に設けることができる。遮断部が設けられる装置は、例えば、Serving Gateway（Ｓ−ＧＷ），Packet Data Network Gateway (Ｐ−ＧＷ)，基地局，及び移動端末の中から選択することができる。攻撃通信のフロ
ーを遮断する処理は、例えば、攻撃通信のフローのパケットを廃棄する処理と、攻撃通信のフローのパケットをゲートウェイと異なる装置へ転送する処理との少なくとも一方を含む。

パケットのフローが攻撃通信のフローと判定された（攻撃通信のフローが検出された）場合に、防御装置は移動網と宛先網との間に配置されたゲートウェイに攻撃通信のフローを特定する情報（フローの特定情報、「遮断フロー情報」ともいう）を通知する。移動網のゲートウェイは，遮断用の通信路を移動端末との間に設定していない場合には、通信路の設定手順を用いて、移動端末とゲートウェイとの間に遮断フロー情報に応じた遮断用の通信路を設定させる。即ち、移動端末とゲートウェイとの間に、攻撃通信のフローのパケットが転送される遮断用の通信路が設定（構築）される。移動端末は、攻撃通信のフローのパケットを遮断用の通信路へ送出する設定を行う。これによって、遮断対象のフローのパケットは、移動端末から遮断用の通信路へ送出される。遮断部を備える装置は、遮断用の通信路で転送されるパケットに対する遮断処理を行う。すなわち、遮断部は、当該パケットを廃棄したり、ゲートウェイと異なる装置へパケットを転送したりする。ゲートウェイと異なる装置は、遮断部によって転送されたパケットを廃棄しても良く、キャプチャしても良く、さらにログを記録しても良い。いずれにしても、パケットがゲートウェイを介して宛先網へ転送されなくなる。これによって、攻撃通信のフローのパケットが宛先網へ転送されるのを回避することができる。従って、防衛装置の負荷低減を図ることができる。なお、遮断部が移動端末に設けられる場合、「移動網」は移動端末及び移動端末から基地局までの無線区間を含む。

＜ネットワークシステムの構成例＞
図１は、実施形態に係るネットワークシステムの構成例を示す図である。ネットワークシステムは、移動端末４（以下「端末４」という）が接続される移動網１と、移動網１に接続された企業網２とを含む。移動網１と企業網２との間には、防御装置（ＩＰＳ）３が設置されている。企業網２は、「宛先網」の一例である。

図１に示す例では、移動網１はＬＴＥ網である。但し、移動網１は、ＬＴＥ以外の無線通信規格に基づく網であっても良い。ＬＴＥ以外の無線通信規格は、例えば、Wideband Code Division Multiple Access (W-CDMA) (Universal Mobile Telecommunications System（UMTS）とも呼ばれる), CDMA2000, global system for mobile communications (GSM)
などを含む。

図１に示す例において、移動網１は、端末４を収容する基地局（ＢＳ、”ｅＮＢ”とも表記）５と、Mobility Management Entity（ＭＭＥ）６と、Serving Gateway（Ｓ−ＧＷ
）７と、Packet Data Network Gateway (Ｐ−ＧＷ)８とを含む。基地局５及びＳ−ＧＷ７は、「パケットの中継装置」の一例である。

基地局５は、移動端末（無線端末）である端末４（User Equipment（ＵＥ）と呼ばれる）４と無線接続される。無線接続によって、端末４は移動網１に接続（収容）される。ＭＭＥ６は、移動網１の制御装置である。Ｓ−ＧＷ７は、端末３が移動網１を介して送受信
するユーザプレーンのパケット（ユーザパケットと呼ばれる）を中継する。Ｐ−ＧＷ８は、移動網１と外部網との間のゲートウェイである。企業網２は、外部網の一つである。

端末４は、移動網１を介して企業網２へアクセスすることができる。端末４が基地局５に無線接続すると、移動網１にて端末４の位置登録が行われる。すると、ＭＭＥ６の制御下で、端末４からＰ−ＧＷ８までの間にパケットを転送するための通信路（ベアラ）が設定される。即ち、ＭＭＥ６は、Ｓ−ＧＷ７にベアラの設定を要求する。ベアラ設定の要求を受けたＳ−ＧＷ７は、Ｐ−ＧＷ８との間でベアラを設定するとともに、基地局５との間でベアラを設定する。基地局５と端末４との間には、通信路の一部をなす無線ベアラが設定される。このように、端末４からＰ−ＧＷ８までの通信路（ベアラ）は、Ｓ−ＧＷ７とＰ−ＧＷ８との間のベアラと、Ｓ−ＧＷ７と基地局５との間のベアラと、基地局５と端末４との間の無線ベアラとからなる。

基地局５とＳ−ＧＷ７との間のベアラ、及びＳ−ＧＷ７とＰ−ＧＷ８との間のベアラは、例えば、ＧＴＰ−Ｕ層で使用されるＧＰＲＳトンネリングプロトコル（General Packet
Radio System Tunneling Protocol：ＧＴＰ）に基づいて生成されるＧＴＰトンネルである。ＧＴＰトンネルは、ＧＴＰパスとも呼ばれ、ＴＥＩＤ（Tunnel Endpoint IDentifier）と呼ばれるトンネル（パス）の識別子で識別される。ＴＥＩＤは、ベアラを通じて転送されるパケットに対応するベアラ識別子として扱われる。

ベアラ上を転送されるパケットには、パケットに応じたＴＥＩＤを含んだヘッダ（ＧＴＰヘッダ）が付与され（パケットがＧＴＰヘッダでカプセル化され）、パケットは、ＴＥＩＤに従って移動網１内を転送され、Ｓ−ＧＷ７で中継されてＰ−ＧＷ８に到達する。Ｐ−ＧＷ８では、ＧＴＰヘッダが除去（デカプセル化）され、パケットのヘッダ（例えばＴＣＰ／ＩＰ（Transmission Control Protocol/Internet Protocol）ヘッダ）に従ってパ
ケットが転送される。例えば、パケットの宛先ＩＰアドレスが企業網２内のホストを示す場合には、当該パケットは企業網２へ向けて転送される。

ＩＰＳ３は、企業網２向けのパケットを受信し、パケットのフローが攻撃通信のフローか否かを判定する。例えば、ＩＰＳ３は、パケットの受信状況が予め定められた攻撃パターンと合致する場合には、当該パケットのフローが攻撃通信のフローであると判定する。但し、攻撃通信のフローの判定方法又は検出方法は、既存のあらゆる方法を適用することができる。

パケットのフローは、例えば、パケットに付与されたＴＣＰ／ＩＰヘッダ中の送信元ポート番号，宛先ポート番号，送信元ＩＰアドレス，及び宛先ＩＰアドレスで特定することができる。実施形態１では、送信元ポート番号，宛先ポート番号，送信元ＩＰアドレス，及び宛先ＩＰアドレスの組み合わせをフローの特定情報として扱う。但し、フローの特定情報は、上記したポート番号とＩＰアドレスとの組み合わせに限定されない。例えば、送信元及び宛先ポート番号と、送信元ＩＰアドレス及び宛先ＩＰアドレスとのいずれかが任意とされ、残りがフローの特定情報として扱われる場合もあり得る。或いは、送信元及び宛先ポート番号と、送信元ＩＰアドレス及び宛先ＩＰアドレスとの何れかの一つが他のパラメータに置き換えられても良い。或いは、送信元及び宛先ポート番号並びに送信元及び宛先ＩＰアドレスの組み合わせに他のパラメータが加えられた情報がフローの特定情報として扱われても良い。

攻撃用のフローの移動網１における遮断機能（遮断ポイント）は、図１に示す例ではＳ−ＧＷ７に設けられている。但し、遮断機能は、Ｐ−ＧＷ８或いは基地局５に設けられても良い。遮断機能は、端末４に設けられる場合もある。図１の例では、遮断機能が設けられたＳ−ＧＷ７は、ＩＰＳ３からＰ−ＧＷ８への通知を受けて移動網１に設定される遮断
用ベアラを転送されるパケットを廃棄する。遮断用ベアラは「遮断用の通信路」の一例である。

＜ＩＰＳ，Ｓ−ＧＷ，Ｐ−ＧＷ，ＭＭＥのハードウェア構成＞
次に、ＩＰＳ３，Ｓ−ＧＷ７，Ｐ−ＧＷ８，及びＭＭＥ６のハードウェア構成について説明する。図２は、ＩＰＳ３，Ｓ−ＧＷ７，Ｐ−ＧＷ８，及びＭＭＥ６として使用可能な情報処理装置（コンピュータ）のハードウェア構成例を示す図である。

図２において、情報処理装置１０は、バスＢを介して相互に接続されたCentral Processing Unit（ＣＰＵ）１１，メモリ１２，通信インタフェース（通信ＩＦ）１３，入力装
置１４及び出力装置１５を含む。情報処理装置１０として、専用又は汎用のコンピュータを適用することができる。例えば、情報処理装置１０は、パーソナルコンピュータ（ＰＣ），ワークステーション（ＷＳ），サーバマシンを適用することができる。但し、情報処理装置１０として使用されるコンピュータは、上記コンピュータの種類に限定されない。

メモリ１２は、不揮発性記憶媒体と、揮発性記憶媒体を含む。不揮発性記憶媒体は、例えば、Read Only Memory（ＲＯＭ），ハードディスクドライブ（ＨＤＤ），Solid State Drive（ＳＳＤ），フラッシュメモリ，Electrically Erasable Programmable Read-Only Memory（ＥＥＰＲＯＭ）などである。不揮発性記憶媒体は、ディスク記憶媒体やUniversal Serial Bus （ＵＳＢ）メモリのような可搬性を有する記憶媒体を含み得る。不揮発性
記憶媒体は、ＣＰＵ１１で実行されるプログラムと、プログラムの実行に際して使用されるデータとを記憶する。揮発性記憶媒体は、例えば、Random Access Memory（ＲＡＭ）である。揮発性記憶媒体は、ＣＰＵ１１の作業領域、データの記憶領域，通信用のデータのバッファ領域として使用される。

通信ＩＦ１３は、データの送受信処理を司る通信回路を含む。通信ＩＦ１３は、例えば、Local Area Network（ＬＡＮ）カード，或いはネットワークインタフェースカード（ＮＩＣ）である。入力装置１４は、データの入力に使用される。入力装置１４は、例えば、キー，ボタン，ポインティングデバイス（マウスなど），タッチパネルなどを含む。出力装置１５は、データの出力に使用される。出力装置１５は、例えば、ディスプレイ装置である。

ＣＰＵ１１は、メモリ１２の不揮発性記憶媒体に記憶されたプログラムを揮発性記憶媒体にロードして実行することによって、様々な処理を行うことができる。すなわち、ＣＰＵ１１がメモリ１２に記憶されたプログラムを実行することによって、情報処理装置１０は、ＩＰＳ３，Ｓ−ＧＷ７，Ｐ−ＧＷ８，及びＭＭＥ６のそれぞれとして動作することができる。なお、一つの情報処理装置１０に、Ｓ−ＧＷ７，Ｐ−ＧＷ８，及びＭＭＥ６のうちの少なくとも二つが実装される場合もあり得る。

情報処理装置１０がＩＰＳ３として使用される場合、メモリ１２には、ＩＰＳ３としての処理を行うためのプログラムと、攻撃通信のフローを判定するための情報（判定用情報）とが記憶される。判定用情報は、攻撃通信のフローと認められるパケットの受信パターンを示す情報を含む。ＣＰＵ１１は、プログラムの実行によって、例えば、通信ＩＦ１３で受信される各フローのパケットの受信パターンを監視し、メモリ１２に記憶された判定用の受信パターンとのマッチングを行う。或るフローのパケットの受信パターンが判定用の受信パターンとマッチする場合には、ＣＰＵ１１は、当該或るフローを攻撃通信のフローとして検出する。ＣＰＵ１１は、当該フローの特定情報（送信元及び宛先ポート番号，並びに送信元及び宛先ＩＰアドレス）をＰ−ＧＷ８に送信する。メモリ１２には、Ｐ−ＧＷ８のアドレスが予め記憶されている。

情報処理装置１０がＭＭＥ６として使用される場合には、メモリ１２には、ＩＰＳ３としての処理を行うためのプログラムと、当該プログラムの実行に際して使用されるデータとが記憶される。ＣＰＵ１１は、プログラムの実行によって、制御プレーン（Ｃプレーン）を扱い、基地局５と無線接続された端末４の位置登録を行う。また、ＭＭＥ６は、プログラムの実行によって基地局５と無線接続された端末３に関するベアラの設定を制御する。ベアラ設定の制御のために、ＣＰＵ１１は、Ｓ−ＧＷ７や基地局５向けの制御メッセージを生成し、通信ＩＦ１３から送信するための処理を行う。

情報処理装置１０がＳ−ＧＷ７として使用される場合には、メモリ１２には、Ｓ−ＧＷ７としての処理を行うためのプログラムと、当該プログラムの実行に際して使用されるデータとが記憶される。ＣＰＵ１１は、ＭＭＥ６やＰ−ＧＷ８からの要求に応じてベアラ（ＧＴＰトンネル）を設定する処理や、ベアラを通じて受信されたカプセル化パケットのＴＥＩＤを参照し、対応するベアラに送出する処理などを行う。また、遮断機能がＳ−ＧＷ７に実装される場合には、メモリ１２には、遮断機能を実行するプログラムが記憶される。ＣＰＵ１１は、当該プログラムの実行によって、攻撃通信のフローに対応するＴＥＩＤを有するパケットを廃棄したり、Ｐ−ＧＷ８と異なるパケットの終端装置へパケットを転送したりする処理を行う。

情報処理装置１０がＰ−ＧＷ８として使用される場合には、メモリ１２には、Ｐ−ＧＷ８としての処理を行うためのプログラムと、当該プログラムの実行に際して使用されるデータとが記憶される。ＣＰＵ１１は、Ｓ−ＧＷ７からベアラを通じて受信されるカプセル化パケットのデカプセル化を行い、パケットの宛先ＩＰアドレスに従って、パケットをＩＰＳ３（企業網２）へ転送する処理を行う。また、ＣＰＵ１１は、ＩＰＳ３から遮断対象の攻撃通信のフローを特定する情報（「遮断フロー情報」ともいう）を受信した場合に、遮断用のベアラの生成要求をＳ−ＧＷ７へ送信する処理を行う。

＜基地局のハードウェア構成＞
図３は、基地局５のハードウェア構成例を示す。図３において、基地局５は、バスＢ１を介して相互に接続されたＣＰＵ２１と、メモリ２２と、ベースバンド（ＢＢ）回路２３と、回線インタフェース（回線ＩＦ）２６とを含む。ＢＢ回路２３には、Radio Frequency（ＲＦ回路）２４が接続され、ＲＦ回路２４には、アンテナ２５が接続されている。

メモリ２２は、メモリ１２と同様の構成を採用することができる。メモリ２２の揮発性記憶媒体は、ＣＰＵ２１の作業領域，プログラムの実行領域，データのバッファ領域として使用される。メモリ２２の不揮発性記憶媒体は、ＣＰＵ２１によって実行されるプログラムや、プログラムの実行に際して使用されるデータを記憶する。

回線ＩＦ２６は、例えば、ＬＡＮカードやＮＩＣで形成される。回線ＩＦ２６は、ネットワークプロセッサ（ＮＰ）を含む場合もある。回線ＩＦ２６は、ＭＭＥ６や他の基地局５（図示せず）と接続される物理回線を収容する。物理回線上にＳ１回線，Ｘ２回線，ＧＴＰ−Ｕ回線が設けられる。Ｓ１回線（Ｓ１インタフェース）は、Ｓ１−ＭＭＥインタフェースとＳ１−Ｕインタフェースとを含む。Ｓ１−ＭＭＥインタフェースは、基地局５とＭＭＥ６とのインタフェースであり、Ｓ１−Ｕインタフェースは、基地局５とＳ−ＧＷ７との間のインタフェースである。ＧＴＰ−Ｕ（ＧＴＰトンネル）は、Ｓ１−Ｕインタフェース上に生成される。なお、Ｘ２回線（Ｘ２インタフェース）は、基地局５間のインタフェースである。

ＢＢ回路２３は、端末４との無線通信に係るディジタルベースバンド処理を行う。すなわち、ＢＢ回路２３は、端末４向けのデータの符号化及び変調処理を行い、ベースバンド信号を生成する。また、ＢＢ回路２３は、ＲＦ回路２４から受信されるベースバンド信号
の復調及び復号処理を行い、データを得る。ＢＢ回路２３は、例えば、Digital Signal Processor（ＤＳＰ），Field Programmable Gate Array（ＦＰＧＡ）のようなプログラマ
ブルロジックデバイス（ＰＬＤ），集積回路（ＩＣ，ＬＳＩ，Application Specific Integrated Circuit（ＡＳＩＣ）など）の少なくとも一つを用いて形成され得る。

ＲＦ回路２４は、ＢＢ回路２３でベースバンド信号をＲＦ信号（電波）に変換してアンテナ２５から放射する。また、アンテナ２５で受信されるＲＦ信号（電波）は、ＲＦ回路２４でベースバンド信号に変換され、ＢＢ回路２３に入力される。

ＣＰＵ２１は、メモリ２２に記憶されたプログラムをロードして実行する。これによって、ＣＰＵ２１は、基地局５としての処理を行う。例えば、ＣＰＵ２１は、端末４とのランダムアクセス手順により、端末４と無線接続を行う。また、基地局５（ＣＰＵ２１）は、端末４との間のメッセージ交換を通じて無線ベアラを設定する。また、基地局５（ＣＰＵ２１）は、端末４から受信される制御情報のプロトコル変換を行い、ＭＭＥ６に送る。また、基地局５（ＣＰＵ２１）は、端末４から無線ベアラを通じて受信されるパケットのプロトコル変換を行い、Ｓ−ＧＷ７向けのベアラを通じてＳ−ＧＷ７に送る。

＜端末のハードウェア構成＞
図４は、端末４のハードウェア構成例を示す。図４において、端末４は、バスＢ２を介して相互に接続されたＣＰＵ３１，メモリ３２，ＢＢ回路３３，入力装置３６，出力装置３７を含む。ＢＢ回路３３には、ＲＦ回路３４が接続され、ＲＦ回路３４には、アンテナ３５が接続されている。

メモリ３２は、メモリ１２と同様の構成を採用することができる。メモリ３２の揮発性記憶媒体は、ＣＰＵ３１の作業領域，プログラムの実行領域，データのバッファ領域として使用される。メモリ３２の不揮発性記憶媒体は、ＣＰＵ３１によって実行されるプログラムや、プログラムの実行に際して使用されるデータを記憶する。

ＢＢ回路３３，ＲＦ回路３４及びアンテナ３５の構成は、ＢＢ回路２３，ＲＦ回路２４及びアンテナ２５と同様の構成を適用することができる。入力装置３６及び出力装置３７は、入力装置１４及び出力装置１５と同様の構成を採用できる。なお、入力装置３６は、マイクロフォンのような音声入力装置を含み、出力装置３７は、スピーカのような音声出力装置を含む。

ＣＰＵ３１は、メモリ３２に記憶されたプログラムを実行することによって、端末４としての処理を行う。端末４としての処理は、基地局５と無線接続を行う処理，基地局５を介して位置登録を行う処理，基地局５との間で無線ベアラを設定する処理，企業網２向けのパケットを生成して送信する処理，企業網２からのパケットの受信処理などを含む。

なお、ＣＰＵ１１，２１，３１のそれぞれは、「プロセッサ」，「制御装置」，「制御部」及び「コントローラ」の一例である。メモリ１２，２２，３２のそれぞれは、「記憶装置」，及び「記憶媒体」の一例である。通信ＩＦ１３，回線ＩＦ２６のそれぞれは、「通信部」の一例である。また、ＣＰＵ１１，２１，３１は、プログラムの実行によって、「遮断用の通信路（ベアラ）で転送される攻撃通信のフローを遮断する処理を行う遮断部」として動作することができる。

また、ＣＰＵ１１，２１，３１のそれぞれで行われる処理の少なくとも一部は、ＤＳＰを用いて行われるようにしても良い。或いは、ＣＰＵ１１，２１，３１のそれぞれで実行される処理の少なくとも一部が、ＰＬＤや集積回路のような半導体デバイスによって行われるようにしても良い。

＜動作例＞
図１を用いて、実施形態１における動作例を説明する。端末４が企業網２にアクセスする場合には、端末４は、基地局５と無線接続を行い、移動網１に対する位置登録を行う。位置登録は、ＭＭＥ６が端末４の情報をHome Subscriber Server（ＨＳＳ、図示せず）に登録することで行われる。ＨＳＳは、サービス制御や加入者データを扱うサーバである。

位置登録が行われると、ＭＭＥ６の制御下で、端末４とＰ−ＧＷ８との間に通信路（ベアラ）が設定される。このように、移動網１（ＬＴＥ網）では、ユーザパケット転送のために、端末４とＰ−ＧＷ８との間にベアラが設定される。移動網１では、端末４とＰ−ＧＷ８との間に、複数のベアラを設定することができる。位置登録を受けて設定（生成）されるベアラは、Default Bearer（デフォルトベアラ）と呼ばれる。端末４とＰ−ＧＷ８との間には、１以上のDefault Bearerと異なるベアラを設定（生成）することができる。Default Bearerと異なるベアラは、Dedicated Bearer（ディケイテッドベアラ）と呼ばれ、Default Bearerに従属する。

端末４は、ＴＦＴ(Traffic Flow Template)に基づいて、フロー単位でパケットを転送
するベアラを識別し、該当するベアラにパケットを振り分けることができる。端末４から送出されるパケットは、対応するベアラを通って転送される。パケットは、基地局５及びＳ−ＧＷ７で中継され、Ｐ−ＧＷ８に到達する。Ｐ−ＧＷ８は、パケットを企業網２へ向けて送信する。

ＩＰＳ３は、端末４からの企業網２向けのパケットの挙動（受信状況）を監視し、当該パケットのフローが攻撃通信のフローか否かを判定することによって、攻撃通信のフローを検出する（図１＜１＞）。ＩＰＳ３は、攻撃通信のフローを検出した場合には、移動網１のゲートウェイ（図１の例ではＰ−ＧＷ８）に対し、攻撃通信のフローの特定情報（遮断フロー情報）を送信する（図１＜２＞）。

Ｐ−ＧＷ８は、遮断フロー情報を受信すると、攻撃通信のフローを移動網１で遮断するためのベアラの設定指示のメッセージをＳ−ＧＷ７へ送る（図１＜３Ａ＞）。ベアラの設定指示によって、Ｓ−ＧＷ７，ＭＭＥ６，基地局５，端末４が、端末４とＰ−ＧＷ８との間に、基地局５及びＳ−ＧＷ７を経由する遮断用のベアラ（遮断用ベアラ）を設定する（図１＜３Ｂ＞）。遮断用のベアラ設定において、Ｓ−ＧＷ７は、遮断用ベアラの識別子（ＴＥＩＤ）を認識することができる。また、端末４は、基地局５との間の遮断用の無線ベアラの設定において、攻撃通信のフローのパケットを既存のベアラでなく遮断用ベアラに送出する設定変更（ＴＦＴフィルタの設定）を行う。

したがって、端末４は、攻撃通信のフローのパケットを遮断用ベアラへ送出する（図１＜４＞）。Ｓ−ＧＷ７は、遮断用ベアラを通じて到達したパケット（遮断用ベアラのＴＥＩＤを有するカプセル化パケット）を受信すると、当該パケットを廃棄する。これによって、攻撃通信のフローが移動網１にて遮断される。

図１に示した構成によれば、企業網２のＩＰＳ３（防御装置）において，攻撃通信のフローを移動網１で遮断する際に、当該フローは、遮断用ベアラの識別子（ＴＥＩＤ：ＧＴＰ−Ｕ層における情報の参照）で判別される。このため、移動網内の中継装置（「中継ノード」ともいう）におけるＩＰ層以上の参照が不要となる。換言すれば、遮断部におけるパケットの廃棄の判定やＰ−ＧＷ８以外の装置へのパケットの転送が、ＩＰ層より下位層にあるベアラ識別子の参照で可能となる。従って、移動網１におけるフローの遮断の実現に対する機能追加量の削減および遮断機能が配備される装置での負荷増大が回避可能となる。また、攻撃通信のフローのパケットが移動網１から企業網２へ向けて転送されること
が回避されるので、ＩＰＳ３の負荷を低減することができる。

図５は、動作例１の具体的な処理例を示すシーケンス図である。図５に示すシーケンスは、端末４とＰ−ＧＷ８との間に設定された既存のベアラ（Default Bearer）と異なる遮断用ベアラを新規に設定する手順を示す。遮断用ベアラは、Dedicated Bearerの生成手順を用いて生成される。

図５に示す遮断用ベアラの設定手順は、3GPP TS 23.401 §5.4.1に規定されたDedicated Bearer Activation procedureをベースとしている。図５における太字（図５＜１＞の
「遮断フロー情報」を除く）は、TS 23.401に規定された制御信号（メッセージ）を示し
、細字（斜体文字）は、各メッセージに含まれるフィールド（情報要素群）又は情報要素を示す。

図５において、ＩＰＳ３が新たに攻撃通信のフローを検出すると（図５＜０＞）、ＩＰＳ３は、遮断フロー情報をＰ−ＧＷ８に送信する（図５＜１＞）。Ｐ−ＧＷ８のアドレスは、ＩＰＳ３において既知である。

Ｐ−ＧＷ８は、遮断フロー情報を受信すると、遮断用ベアラが既に生成されているか否かを判定する。このとき、遮断用ベアラが生成されていなければ、Ｐ−ＧＷ８は、遮断用ベアラの設定を要求するメッセージ（制御信号）”Create Bearer Request”を生成（発
行）し、Ｓ−ＧＷ７へ送信する。Ｐ−ＧＷ８のメモリ１２には、Ｓ−ＧＷ７のアドレスが記憶されており、Ｐ−ＧＷ８は、当該アドレスを用いて”Create Bearer Request”を送
信する（図５＜２＞）。メッセージ”Create Bearer Request”は、「遮断用の通信路の
設定要求」の一例である。

”Create Bearer Request”は、International Mobile Subscriber Identity（ＩＭＳ
Ｉ），EPS (Evolved Packet System) Bearer QoS パラメータ，ＴＦＴ（Traffic Flow Template）フィールド，Ｓ５／Ｓ８−ＴＥＩＤ，Charging ID，ＬＢＩ(Linked EPS Bearer Identity)，及び遮断フラグを含んでいる。

ＩＭＳＩは、端末４の識別番号である。EPS Bearer QoS パラメータは、遮断用ベアラ
のサービス品質（ＱｏＳ）に係るパラメータを示す。例えば、EPS Bearer QoS パラメー
タで、遮断用ベアラのDefault Bearerに対する優先順位（転送の優先順位）を指定することができる。転送の優先順位の指定によって、例えば、遮断用ベアラで転送されるパケットの送信レートを遮断用ベアラ以外のベアラで転送されるパケットの送信レートよりも低くすることができる。ＴＦＴフィールドは、特定のベアラにサービスデータフロー（攻撃通信のフロー）をマップするために使用される情報構造のセットであり、Ｐ−ＧＷ８は、ＴＦＴフィールドにＩＰＳから通知された遮断対象のフローの情報を設定する。

Ｓ５／Ｓ８−ＴＥＩＤは、Ｓ５／Ｓ８インタフェース（Ｓ−ＧＷ７とＰ−ＧＷ８との間のインタフェース）のＧＴＰトンネルの識別子であり、当該ＧＴＰトンネルは、Ｓ−ＧＷ７とＰ−ＧＷ８間の遮断用ベアラを形成する。Ｓ−ＧＷ７とＰ−ＧＷ８との間の遮断用ベアラは、Ｐ−ＧＷ８によって割り当てられるＳ５／Ｓ８−ＴＥＩＤで識別される。Charging IDは、課金用のＩＤ（課金ＩＤ）である。なお、Ｐ−ＧＷ８に遮断機能が設けられて
いない場合には、ダミーの（実際に使用しない）Ｓ５／Ｓ８−ＴＥＩＤ及びCharging ID
を”Create Bearer Request”に設定することができる。

ＬＢＩは、端末４とＰ−ＧＷ８との間にある既存のベアラであって、Dedicated Bearer（遮断用ベアラ）に対応するベアラ（Default Bearer）の識別子（ＩＤ）である。遮断フラグは、”Create Bearer Request”が遮断用ベアラの設定要求であることを示す情報で
ある。なお、遮断フラグは、TS 23.401に規定のないオプションの情報要素である。

Ｓ−ＧＷ７は、”Create Bearer Request”（遮断用ベアラの設定要求）を受信すると
、”Create Bearer Request”中の遮断フラグを参照し、当該”Create Bearer Request”が遮断用ベアラの設定要求であると認識する。Ｓ−ＧＷ７は、遮断用フラグを”Create Bearer Request”から削除し、ＭＭＥ６へ”Create Bearer Request”を送信する（図５＜３＞）。

ＭＭＥ６向けの”Create Bearer Request”は、Ｐ−ＧＷ８から”Create Bearer Request”中の各情報（遮断フラグを除く）を、ＭＭＥ６へ送信するCreate Bearer Request信
号の各フィールドにマッピングすることで生成される。なお、Ｓ−ＧＷ７のメモリ１２には、ＭＭＥ６のアドレスが記憶されており、Ｓ−ＧＷ７は、当該アドレスを用いて”Create Bearer Request”を送信する。このとき、Ｓ−ＧＷ７は、遮断用ベアラに割り当てる
Ｓ１−ＴＥＩＤを”Create Bearer Request”に含める。Ｓ１−ＴＥＩＤは、基地局５と
Ｓ−ＧＷ７とのＳ１−Ｕインタフェース上に設定される遮断用ベアラを形成するＧＴＰトンネルの識別子である。基地局５とＳ−ＧＷ７との間の遮断用ベアラは、Ｓ１−ＴＥＩＤによって識別される。

ＭＭＥ６は、”Create Bearer Request”を受信すると、基地局（ｅＮＢ）５及び端末
（ＵＥ）４にDedicated Bearerを設定させるためのメッセージ”Bearer Setup Request/Session Management Request”を生成し、基地局５へ送信する（図５＜４＞）。ＭＭＥ６
のメモリ１２には、基地局５のアドレスが記憶されており、ＭＭＥ６は、当該アドレスを用いてメッセージを基地局５へ送信する。”Bearer Setup Request”は基地局５向けのベアラ設定要求であり、”Session Management Request”は端末４向けの無線ベアラの設定要求である。

メッセージ”Bearer Setup Request”は、EPS Bearer Identity (EPS Bearer ID：「ベアラＩＤ」と称する)と、EPS Bearer QoS パラメータと、Ｓ１−ＴＥＩＤとを含む。EPS Bearer IDは、遮断用ベアラ（Dedicated Bearer）の識別子であり、ＭＭＥ６は、端末４
に対して未割り当てのＩＤをEPS Bearer IDとして遮断用ベアラに割り当てる。

EPS Bearer QoS パラメータ及びＳ１−ＴＥＩＤは、”Create Bearer Request”に含まれていた情報である。メッセージ”Session Management Request”は、ＴＦＴフィールドと、EPS Bearer QoS パラメータと、EPS Bearer IDと、ＬＢＩとを含む。ＴＦＴフィールド，EPS Bearer QoS パラメータ，及びＬＢＩは、”Create Bearer Request”に含まれていた情報である。EPS Bearer ID（ベアラＩＤ）は、”Bearer Setup Request”に含まれ
るＩＤと同じＩＤである。

基地局５は、EPS Bearer QoSパラメータをRadio Bearer QoS（無線ベアラのＱｏＳ）にマップする。基地局５は、Radio Bearer QoSパラメータと、EPS RB identify（EPS RB ID）と、”Session Management Request”とを含むメッセージ”RRC (Radio Resource Control) Connection Reconfiguration”を、端末４との間に確立された無線リンクを用いて
端末４に送信する（図５＜５＞）。EPS RB identify（EPS RB ID）は、無線ベアラの識別子であり、基地局５によって遮断用ベアラを形成する無線ベアラに割り当てられる。

”RRC Connection Reconfiguration”を受信した端末４は、”Session Management Request”に含まれたＱｏＳ情報，パケットフローＩＤを移動網１へのアクセス時に使用できるように記憶する。また、端末４は、EPS Bearer ID及びEPS RB Identityを関連づけて記憶し、ＬＢＩに従ってDefault Bearer と遮断用ベアラとを関連づける（リンクさせる）
。また、端末４は、ＴＦＴアップリンク（ＵＬ）フィルタ（端末４からのフローを複数の
ベアラに振り分けるためのフィルタ）の設定として、ＴＦＴフィールドで指定された攻撃通信のフローを遮断用ベアラに振り分ける設定を行う。このとき、端末４は、EPS Bearer
QoSパラメータに基づく設定（優先順位）を遮断用ベアラに設定することができる。例えば、遮断用ベアラに転送される攻撃フローのパケットの優先度を攻撃フローでない正常フローのパケットよりも低優先に設定することができる。この結果、端末４からの攻撃フローのパケットの送信レートを正常フローのパケットの送信レートより低くすることができる。これによって、攻撃フローのパケットの移動網１内での転送優先度を下げて，攻撃フローのパケットの転送による正常フローへの影響（移動網１における正常フローのパケットの遅延や通信帯域の圧迫など）を抑止或いは回避することができる。

端末４は、”RRC Connection Reconfiguration”の応答メッセージ”RRC Connection Reconfiguration Complete”を基地局５に送信し、基地局５は、遮断用ベアラを形成する
無線ベアラの活性化（アクティベート）を確認する（図５＜６＞）。基地局５は、少なくとも、ベアラＩＤ（EPS Bearer ID）と、無線ベアラＩＤ（EPS RB ID）と、Ｓ１−ＴＥＩＤとを関連づけて記憶する。記憶された情報は、基地局５が無線ベアラＩＤで特定される無線ベアラから受信されたパケットをＳ１−ＴＥＩＤを含むヘッダでカプセル化し、Ｓ−ＧＷ７へ転送するために使用される。

基地局５は、メッセージ”Bearer Setup Response”をＭＭＥ６に送り、遮断用ベアラ
の活性化（アクティベーション）を通知する。”Bearer Setup Response”は、EPS Bearer IDとＳ１−ＴＥＩＤとを含んでおり、ＭＭＥ６は、これらの情報から活性化されたベアラを特定することができる。

端末４のＮＡＳ（Non-Access Stratum）層は、EPS Bearer IDを含む”Session Management Request”の応答メッセージ”Session Management Response”を生成し、端末４は、”Session Management Response”を無線リンクを用いて基地局５へ送る（Direct Transfer：図５＜７＞）。基地局５は、”Session Management Response”をＭＭＥ６へ送る（
図５＜８＞）。基地局５において、ＭＭＥ６のアドレスは既知である。

ＭＭＥ６は、EPS Bearer ID，Ｓ１−ＴＥＩＤ，ユーザ位置情報（ＥＣＧＩ）を含むメ
ッセージ”Create Bearer Response”をＳ−ＧＷ７に送信する（図５＜９＞）ことで、EPS Bearer IDとＳ１−ＴＥＩＤとで特定されるベアラ（遮断用ベアラ）の活性化を確認す
る。

”Create Bearer Response”を受信したＳ−ＧＷ７は、遮断用ベアラの活性化を確認し、EPS Bearer ID，Ｓ５／Ｓ８−ＴＥＩＤ，及びＥＣＧＩを含むメッセージ”Create Bearer Response”をＰ−ＧＷ８へ送る（図５＜１０＞）。Ｓ−ＧＷ７は、ベアラＩＤと、Ｓ
１−ＴＥＩＤと、遮断フラグとを関連づけてメモリ１２に記憶する。以後、Ｓ−ＧＷ７は、記憶された情報を参照して、遮断用ベアラで転送されるパケット（遮断対象のＳ１−ＴＥＩＤが付与されたパケット）に対する遮断処理を行う。

Ｐ−ＧＷ８は、”Create Bearer Response”中の少なくともEPS Bearer IDを遮断用ベ
アラの識別子としてメモリ１２に記憶する。以降、Ｐ−ＧＷ８は、例えば、遮断用ベアラの識別子として記憶されたEPS Bearer IDの有無の判定を以て、ＩＰＳ３から遮断フロー
情報が受信されたときに、遮断用ベアラが既に設定されているか否かを判定する。

このように、実施形態１では、Ｐ−ＧＷ８が”Create Bearer Request”のＴＦＴに遮
断対象のフロー情報を設定し、且つ遮断フラグを含めることで、遮断対象のフローのパケットに対する遮断処理をＳ−ＧＷ７で実行するための遮断用ベアラを移動網１に設定（構築）することができる。

図６は、遮断用ベアラが設定済の場合において、ＩＰＳ３が別の攻撃通信のフローを検出した場合における動作例（動作例２）を示すシーケンス図である。当該シーケンスは、3GPP TS 23.401 §5.4.3におけるLTE bearer modification(without bearer QoS update)
procedure (PDN GW initiated)と同じ手順である。

図６において、ＩＰＳ３が別の（新たな）攻撃通信のフロー（攻撃フロー）を検出すると（図６＜０＞）、ＩＰＳ３は、新たな攻撃通信のフローの特定情報である攻撃通信のフロー情報（遮断フロー情報）をＰ−ＧＷ８へ送信する（図６＜１＞）。Ｐ−ＧＷ８は、フロー情報を受信したとき、遮断用ベアラの情報（少なくともEPS Bearer ID）がメモリ１
２に記憶されているか否かを判定する。このとき、遮断用ベアラの情報がメモリ１２に記憶されている場合には、Ｐ−ＧＷ８は遮断用ベアラが設定済と判定する。

遮断用ベアラが設定済である場合には、Ｐ−ＧＷ８は、遮断用ベアラの更新要求のメッセージ”Update Bearer Request”をＳ−ＧＷ７に送信する（図６＜２＞）。”Update Bearer Request”は、EPS Bearer ID（遮断用ベアラの識別子）と、ＴＦＴフィールドとを
含む。ＴＦＴフィールドには、ＩＰＳ３から得られた上記別の（新たな）遮断対象のフロー情報が設定される。また、遮断用ベアラの更新要求のメッセージは、攻撃通信のフロー情報を用いて、新たな攻撃通信のフローのパケットを遮断用ベアラで転送することを要求するメッセージの一例である。

Ｓ−ＧＷ７は、”Update Bearer Request”をＭＭＥ６に送る（図６＜３＞）。ＭＭＥ
６は、”Update Bearer Request”中のＴＦＴフィールド及びEPS Bearer IDを含む端末４向けのメッセージ”Downlink NAS Transport”を生成し、基地局５へ送る（図６＜４＞）。基地局５は、無線通信によって”Downlink NAS Transport”を端末４へ送る（Direct Transfer：図６＜５＞）。

端末４は、”Downlink NAS Transport”のEPS Bearer ID及びＴＦＴフィールドを参照
し、ＴＦＴフィールドで指定されたフローをＴＦＴ ＵＬフィルタで遮断用ベアラに振り分ける設定を行う。その後、端末４は、無線通信によって”Downlink NAS Transport”の応答メッセージ”Uplink NAS Transport”を基地局５へ送る（Direct Transfer：図６＜
６＞）。基地局６は、”Uplink NAS Transport”をＭＭＥ６へ送る（図６＜７＞）。

ＭＭＥ６は、”Uplink NAS Transport”中の少なくともEPS Bearer IDから、フローが
遮断用ベアラで転送されることを確認し、メッセージ”Update Bearer Response”をＳ−ＧＷ７へ送る（図６＜８＞）。Ｓ−ＧＷ７は、”Update Bearer Response”中の少なくともEPS Bearer IDから、ベアラが更新された（遮断用ベアラで転送されるフローが増加し
た）ことを確認し、”Update Bearer Response”をＰ−ＧＷ８へ送る（図６＜９＞）。

このようにして、別の攻撃フロー検出時に遮断用ベアラが設定済である場合には、当該攻撃フローを設定済の遮断用ベアラで転送するための手順が実行される。これによって、複数の攻撃フローを既存の遮断用ベアラへの設定が可能となる。

＜Ｐ−ＧＷ８における処理＞
図７は、Ｐ−ＧＷ８における処理例を示すフローチャートである。図７の処理は、Ｐ−ＧＷ８として動作する情報処理装置１０のＣＰＵ１１によって実行される。図７の処理は、ＩＰＳ３から送信された遮断対象のフロー情報（遮断フロー情報）を通信ＩＦ１３を介してＣＰＵ１１が受け取ることで開始される。

０１では、ＣＰＵ１１は、遮断対象の攻撃通信のフロー情報（遮断フロー情報）をＩＰ
Ｓ３から受信する。０２では、ＣＰＵ１１は、遮断用ベアラが設定済か否かを判定する。当該判定は、遮断用ベアラの情報（遮断用ベアラのEPS Bearer ID等）がメモリ１２に記
憶されているか否かを以て行う。

遮断用ベアラが設定済である場合には（０２のＹ）、処理が０７に進み、遮断用ベアラが設定済でなければ（０２のＮ）、処理が０３に進む。０３では、ＣＰＵ１１は、メッセージ”Create Bearer Request”を生成する。０４では、ＣＰＵ１１は、遮断フロー情報
を”Create Bearer Request”中のＴＦＴフィールドに設定する。０５では、ＣＰＵ１１
は、遮断フラグを”Create Bearer Request”に設定する。０４と０５の処理の順序は逆
でも良い。０６では、ＣＰＵ１１は、”Create Bearer Request”を通信ＩＦ１３からＳ
−ＧＷ７へ送信する。

０７に処理が進んだ場合には、ＣＰＵ１１は、メッセージ”Update Bearer Request”
を生成する。０８では、ＣＰＵ１１は、”Update Bearer Request”のＴＦＴフィールド
に遮断フロー情報を設定する。０９では、ＣＰＵ１１は、通信ＩＦ１３を介して”Update
Bearer Request”をＳ−ＧＷ７へ送信する。

＜Ｓ−ＧＷにおける処理＞
図８は、Ｓ−ＧＷ７における遮断用ベアラ設定フェーズにおける処理例を示すフローチャートである。図８に示す処理は、Ｓ−ＧＷ７として動作する情報処理装置１０のＣＰＵ１１によって実行される。

１１では、ＣＰＵ１１は、通信ＩＦ１３を介して”Create Bearer Request”を受信す
る。１２では、ＣＰＵ１１は、”Create Bearer Request”中に遮断フラグが設定されて
いるか否かを判定する。遮断フラグが設定されている場合には（１２のＹ）、処理が１４に進み、遮断フラグが設定されていない場合（１２のＮ）には、処理が１３に進む。

１３に処理が進んだ場合には、ＣＰＵ１１は、ＭＭＥ６側の”Create Bearer Request
”に、Ｐ−ＧＷ８から受信された”Create Bearer Request”中の情報をマッピングする
。１４に処理が進んだ場合には、ＣＰＵ１１は、Ｐ−ＧＷ８から受信された”Create Bearer Request”から遮断フラグを削除し、残りの情報をＭＭＥ６側の”Create Bearer Request”にマッピングする。１５では、ＣＰＵ１１は、通信ＩＦ１３を介して１３又は１４の処理で生成した”Create Bearer Request”をＭＭＥ６へ送信する。

図９は、Ｓ−ＧＷ７におけるパケット転送フェーズにおける処理例を示すフローチャートである。図９に示す処理は、Ｓ−ＧＷ７として動作する情報処理装置１０のＣＰＵ１１によって実行される。

２１では、ＣＰＵ１１は、通信ＩＦ１３を介してパケットを受信する。２２では、ＣＰＵ１１は、受信されたパケットが遮断用ベアラ上のパケットか否かを判定する。この判定は、例えば、パケットに付与されたＴＥＩＤが遮断用ベアラのＳ１−ＴＥＩＤか否かを以て行うことができる。

受信されたパケットが遮断用ベアラ上のパケットでなければ（２２のＮ）、ＣＰＵ１１は、パケットを対応するベアラ（Ｓ１−ＴＥＩＤに対応するＳ５／Ｓ８−ＴＥＩＤのベアラ）へ通信ＩＦ１３を介して転送する（２３）。これに対し、受信されたパケットが遮断用ベアラ上のパケットであれば（２２のＹ）、ＣＰＵ１１は、当該パケットを廃棄する（２４）。このとき、ＣＰＵ１１は、パケットの廃棄に代えてパケットのキャプチャを行うようにしても良い。さらに、ＣＰＵ１１は、当該パケットに係るログ記録を行うようにしても良い。このように、ＣＰＵ１１は、「遮断部」として動作する。

図１０は、端末（ＵＥ）４からＰ−ＧＷ８へのパケット転送を模式的に示す図である。実施形態１では、正常なフロー（攻撃フローでないフロー）のパケットを転送するためのDefault Bearer（Dedicated Bearerが設定されている場合もある）であるベアラＸと、攻撃フローのパケットを転送するための遮断用ベアラＹとが設定される。

端末４では、正常のフローのパケットは、ベアラＸに転送されるようにＴＦＴフィルタが設定される。また、攻撃フローのパケットは、遮断用ベアラＹに転送されるようにＴＦＴフィルタが設定される。各フローのパケットは、無線ベアラを介して端末４から基地局５に転送される。基地局５は、無線ベアラを終端し、無線ベアラＩＤに対応するＳ１−ＴＥＩＤを含むヘッダでパケットをカプセル化してＳ−ＧＷ７に転送する。正常フローでは、Ｓ−ＧＷ７は、基地局５とＳ−ＧＷ７との間のベアラを終端し、Ｓ１−ＴＥＩＤに対応するＳ５／Ｓ８−ＴＥＩＤを含むヘッダでパケットをカプセル化してＰ−ＧＷ８へ送る。Ｐ−ＧＷ８は、ベアラを終端し、パケットのデカプセル化を行い、パケットを企業網２へ向けて転送する。

攻撃フローのパケットは、Ｓ−ＧＷ７に到達された時点で、Ｐ−ＧＷ８に転送されることなく、Ｓ−ＧＷ７で廃棄される。これによって、攻撃フローのパケットがＰ−ＧＷ８から企業網２へ向けて送信されるのを回避することができる。これによって、攻撃フローのパケットによる企業網２への攻撃を回避することができる。また、ＩＰＳ３は、フロー情報をＰ−ＧＷ８へ送信するだけで、攻撃フローに対する処理を行わない。これによって、ＩＰＳ３の処理負荷を軽減できる。

図１１は、実施形態１の変形例を示す。図１１では、パケットの収集装置であるサーバ４０が設けられており、Ｓ−ＧＷ７とサーバ４０との間に、ベアラＺが設けられている。サーバ４０は、「パケットの終端装置」の一例である。サーバ４０は、Ｓ−ＧＷ７から受信される攻撃フローのパケットをキャプチャし、ログを記録する。サーバ４０は、パケットを廃棄することもできる。

変形例では、Ｓ−ＧＷ７は、攻撃フローのパケットを受信したときに、当該パケットをサーバ４０との間に設定されたベアラに転送する。パケットが、サーバ４０でキャプチャされることで、図１０の例と同様に、攻撃フローのパケットが企業網２へ送信されるのを回避することができる。サーバ４０として、情報処理装置１０のハードウェア構成を有するコンピュータを適用することができる。なお、遮断用ベアラを二つ設定し，攻撃フロー毎にそれぞれに振り分けることにより，一方の遮断用ベアラのパケットを廃棄，他方の遮断用ベアラのパケットをサーバ４０へ転送してもよい。一つの攻撃通信のフローに関して、予め企業網のキャリアと移動網のキャリアとの契約で決められた条件に基づき、パケットの廃棄とサーバ４０への転送とが選択的に実行することも可能である。但し、条件は、キャリア間の契約で決められた条件以外の所定条件であっても良い。

＜実施形態１の効果＞
実施形態１によれば、ＩＰＳ３で検出された攻撃フローを移動網１で遮断するために、移動網１で遮断用ベアラが生成され、攻撃フローのパケットが遮断用ベアラで転送される。Ｓ−ＧＷ７には、遮断機能（遮断ポイント）が設定されており、遮断用ベアラで転送されるパケットを廃棄する。このとき、Ｓ−ＧＷ７は、Ｓ１−ＴＥＩＤの参照によって、パケットを廃棄するか否か、或いは、パケットを廃棄する装置へ転送するか否かを判定することができる。すなわち、フロー判別のためにＩＰ層以上の層の情報の参照が不要である。これによって、遮断機能の実現に対する機能追加量の削減および遮断機能を配備した中継装置（中継ノード）での負荷の増大の回避が可能となる。また、攻撃フローのパケットが企業網２へ送信されるのが回避されるので、ＩＰＳ３の負荷を軽減することができる。

また，実施形態１では、Ｓ−ＧＷ７に遮断機能（遮断部）を設ける例を示したが，移動網１内の他の中継装置である，基地局５やＰ−ＧＷ８に遮断機能（遮断部）を実装しても良い。或いは、端末４に遮断機能を配置してもよい。

例えば、Ｐ−ＧＷ８に遮断機能が実装される場合には、Ｐ−ＧＷ８として動作する情報処理装置１０のＣＰＵ１１が遮断部として動作する（図９の処理を行う）。例えば、Ｐ−ＧＷ８は、遮断用ベアラ（ベアラＩＤで特定される）に対応するＳ５／Ｓ８−ＴＥＩＤを記憶し、当該Ｓ５／Ｓ８−ＴＥＩＤを含むパケットの受信時に、当該パケットを廃棄することができる。或いは、Ｐ−ＧＷ８は、パケットのデカプセル化の後に、パケットのＴＣＰ／ＩＰヘッダを参照して、フローが攻撃フローであれば当該パケットを廃棄するようにしても良い。この場合、Ｐ−ＧＷ８から送信される”Create Bearer Request”には、遮
断フラグの設定は不要である。遮断フラグは、遮断ポイントとなる装置に設定対象のベアラが遮断用ベアラであることを通知するための情報である。

基地局５に遮断機能が実装される場合には、例えば、基地局５は、遮断用ベアラで転送される（遮断用ベアラのＳ１−ＴＥＩＤが付与される）パケットを廃棄することができる。基地局５のＣＰＵ２１は、遮断部として図９に示す処理と同様の処理を行う。或いは、基地局５は、遮断用ベアラの無線ベアラを介して受信されるパケットを廃棄するようにしても良い。この場合、遮断フラグは、Ｓ−ＧＷ７で削除されず、ＭＭＥ６向けの”Create
Bearer Request”にマッピングされる。ＭＭＥ６は、”Bearer Setup Request”に遮断
フラグをマッピングする。基地局５は、遮断フラグの参照によって、設定対象のベアラが遮断用ベアラであることを認識することができる。また、この場合、基地局５とＳ−ＧＷ７との間のベアラもダミーとすることができる。

端末４に遮断機能が実装される場合には、遮断フラグは、Ｓ−ＧＷ７で削除されず、ＭＭＥ６向けの”Create Bearer Request”にマッピングされる。ＭＭＥ６は、”Session Management Request”に遮断フラグをマッピングする。端末４は、遮断フラグの参照によ
って、設定対象のベアラが遮断用ベアラであることを認識することができる。端末４は、例えば、遮断用ベアラに対応するＴＦＴフィルタから出力されるパケットを廃棄する。端末４のＣＰＵ３１は、遮断部として動作する。

〔実施形態２〕
以下、実施形態２について説明する。実施形態２の構成は、実施形態１との共通点を含むので、主として相違点について説明し、共通点については説明を省略する。

企業網２のＩＰＳ（防御装置）３から通知される遮断フロー情報が端末４から企業網２への全ての通信に該当する場合がある。例えば、遮断フロー情報に含まれる送信元ＩＰアドレスが端末４のアドレスで、宛先ＩＰアドレスが企業網２のネットワークアドレスであり、且つＴＣＰの送信元及び宛先ポート番号が任意のような場合である。或いは、ユーザ（端末４の利用者）との契約に基づき攻撃フローが検出された場合に、端末４から企業網２への全通信を遮断する場合がある。これらの場合には、Ｐ−ＧＷ８と端末４との間のDefault Bearerを解放する。

実施形態２では、Ｐ−ＧＷ８がＩＰＳ３から受信した遮断フロー情報が、Default Bearerの解放の条件を満たすような、Default Bearerで転送する全てのフローを包含するフロー情報である場合には、Ｐ−ＧＷ８は、メッセージ”Delete Bearer Request”をＳ−Ｇ
Ｗ７に送信する。”Delete Bearer Request”は、端末４とのDefault Bearerに関するベ
アラ解放要求のメッセージである。但し、ベアラ解放要求の送信条件（ベアラ解放条件）とを満たすフロー情報は、Default Bearerで転送する全てのフローを包含するフロー情報
以外の所定のフロー情報であっても良い。

移動網１内の他の中継ノード(Ｓ−ＧＷ７及び基地局５)，ＭＭＥ６，及び端末４は、通常のベアラの解放手順に従ってDefault Bearerを解放（削除）する。Dedicated Bearerは、Default Bearerに従属する。このため、Default Bearerの削除に伴い、Default Bearerと関連づけられたDedicated Bearer（遮断用フラグ含む）も解放（削除）される。

その後、Ｐ−ＧＷ８は，一定時間（例えば予め企業網と移動網との契約で決められた所定期間），或いはＩＰＳ３から端末４の再通信を認める信号を受信するまで，端末４からのDefault Bearerの再設定要求に対してReject（拒絶）を応答する。一定時間の時間長は適宜設定可能である。

図１２は、実施形態２の動作例を示すシーケンス図である。図１２に示す手順は、3GPP
TS23.401 §5.4.4.1 PDN GW initiated bearer deactivationをベースとしている。図１２において、ＩＰＳ３にて攻撃フローが検出されると（図１２＜０＞）、遮断フロー情報がＰ−ＧＷ８に送信される（図１２＜１＞）。

Ｐ−ＧＷ８は、遮断フロー情報がDefault Bearerのフローを包含するか否かを判定する。Ｐ−ＧＷ８のメモリ１２には、Default Bearerのフローの情報（Default Bearerの解放条件データ）が予め記憶されている。

遮断フロー情報がDefault Bearerの情報と一致する場合には、Ｐ−ＧＷ８は、Default Bearerの解放（削除）要求メッセージ”Delete Bearer Request”を生成し、Ｓ−ＧＷ７
へ送る（図１２＜２＞）。”Delete Bearer Request”は、Default Bearerの識別子であ
るEPS Bearer IDを含む。

Ｓ−ＧＷ７は、”Delete Bearer Request”を受信すると、”Delete Bearer Request”中の情報をＭＭＥ６側の”Delete Bearer Request”にマッピングし、”Delete Bearer Request”をＭＭＥ６に送る（図１２＜３＞）。

ＭＭＥ６は、”Delete Bearer Request”を受信すると、Default Bearerを不活状態に
するための基地局５及び端末４向けのメッセージ”Deactivate Bearer Request”を送信
する（図１２＜４＞）。”Deactivate Bearer Request”は、Default Bearerに対応する
ＴＦＴフィールドの情報及びDefault Bearerの識別子（EPS Bearer ID）を含む。

基地局５は、”Deactivate Bearer Request”を受信すると、基地局５と端末４との間
の無線ベアラ及び端末４とＭＭＥ６とのＮＡＳリンクを解放するためのメッセージ”RRC Connection Reconfiguration”を端末４に送る（図１２＜５＞）。

端末４は、”RRC Connection Reconfiguration”を受信すると、基地局５との無線ベアラを解放（削除）し、応答メッセージ”RRC Connection Reconfiguration complete”を
基地局５に送信する（図１２＜６＞）。基地局５は、”RRC Connection Reconfiguration
complete”を受信すると、”Deactivate Bearer Request”の応答メッセージ”Deactivate Bearer Response”をＭＭＥ６に送る。”Deactivate Bearer Response”は、無線ベアラの解放を示す。

また、端末４はＮＡＳ層でDefault Bearerを解放し、応答メッセージ”Deactivate EPS
Bearer Context Accept”を生成し、基地局５へ送る（Direct Transfer：図１２＜８＞
）。基地局５は、”Deactivate EPS Bearer Context Accept”をＭＭＥ６へ送る（図１２＜９＞）。

ＭＭＥ６は、”Deactivate Bearer Response”及び”Deactivate EPS Bearer Context Accept”を受信すると、”Delete Bearer Request”の応答メッセージである”Delete Bearer Response”をＳ−ＧＷ７へ送る（図１２＜１０＞）。Ｓ−ＧＷ７は、”Delete Bearer Response”の受信により、Default Bearerの解放を確認し、Ｐ−ＧＷ８向けの”Delete Bearer Response”を生成してＰ−ＧＷ８に送る（図１２＜１１＞）。このような手順
により、Default Bearerが解放される。Default Bearerの解放により、端末４は、企業網２へパケットを送れない状態となる。

図１３は、Default Bearerの解放後における端末４のDefault Bearerの再設定の手順例を示す。図１３において、端末４は、Default Bearerの再設定要求に相当するメッセージ”Attach Request”を基地局５に送信する（図１３＜１＞）。”Attach Request”は、端末４の識別子（ＩＭＳＩ）を含む。

基地局５は、端末４からの”Attach Request”中の情報をＭＭＥ６向けの信号にマッピングし、ＭＭＥ６へ送る（図１３＜２＞）。ＭＭＥ６は、”Attach Request”を受けて、Default Bearerの設定要求のメッセージ”Create Session Request”をＳ−ＧＷ７へ送る（図１３＜３＞）。

Ｓ−ＧＷ７は、”Create Session Request”中の情報をＰ−ＧＷ８向けの信号にマッピングし、Ｐ−ＧＷ８へ送る（図１３＜４＞）。Ｐ−ＧＷ８のメモリ１２には、端末４からのDefault Bearerの再設定を受け付け可能とする条件（再設定可能条件）を満たすか否かの判定（再設定可否判定）に用いられる判定用情報が記憶されている。判定用情報は、例えば、Default Bearerの解放から一定時間が経過したか否かを示す情報である。或いは、他の装置（ＩＰＳ３）から端末４からのパケットの受信を許容する情報を受信したか否かを示す情報である。判定用情報が再設定可能条件を満たさない場合には、Ｐ−ＧＷ８は、”Create Session Request”を拒絶する応答メッセージ”Create Session Response (denied)”を生成し、Ｓ−ＧＷ７へ送る（図１３＜５＞）。

Ｓ−ＧＷ７は、”Create Session Response (denied)”をＭＭＥ６向けの信号にマッピングし、ＭＭＥ６へ送る（図１３＜６＞）。ＭＭＥ６は、Ｓ−ＧＷ７からの”Create Session Response (denied)”を受信すると、Default Bearerの再設定を拒絶するメッセージ”Attach Reject”を基地局５へ送信する（図１３＜７＞）。基地局５は、端末４へ無線
リンクを介して”Attach Reject”示す信号を送る（図１３＜８＞）。

このように、Default Bearerが解放されると、再設定可能条件が満たされるまで、Default Bearerの再設定が拒絶される。これによって、攻撃フローのパケットが企業網２へ送信されるのを回避することができる。

図１４は、実施形態２におけるＰ−ＧＷ８の処理例を示すフローチャートである。図１４に示す処理は、Ｐ−ＧＷ８として動作する情報処理装置１０のＣＰＵ１１によって実行される。

３１において、ＣＰＵ１１は、遮断フロー情報をＩＰＳ３から受信する。３２では、ＣＰＵ１１は、遮断フロー情報がDefault Bearerで転送されるフローを包含するか否かを判定する。Default Bearerで転送されるフローを示す情報は、判定用情報として、メモリ１２に予め記憶されている。

遮断フロー情報がDefault Bearerで転送されるフローを包含する場合には（３２のＹ）、処理が３３に進む。遮断フロー情報がDefault Bearerで転送されるフローを包含しない
場合には（３２のＮ）、処理が０２に進む。

３３では、ＣＰＵ１１は、メッセージ”Delete Bearer Request”を生成し、”Delete Bearer Request”をＳ−ＧＷ７へ送信する（３４）。３５では、ＣＰＵ１１は、Create Session Reject用のタイマを起動する。当該タイマは、Delete Bearerの再設定要求を拒絶する期間を計時するタイマである。３５の処理が終了すると、ＣＰＵ１１は、図１４の処理を終了する。図１４の０２〜０９の処理は、実施形態１（図７）で示した０２〜０９の処理と同じであるため説明を省略する。

図１５は、図１４の３５の処理の終了後におけるＰ−ＧＷ８の処理例を示すフローチャートである。４１において、ＣＰＵ１１は、”Create Session Request”をＳ−ＧＷ７から受信する。４２では、ＣＰＵ１１は、３５の処理で起動したタイマが動作中（満了前）か否かを判定する。タイマが満了前である場合には（４２のＹ）、ＣＰＵ１１は、メッセージ”Create Session Reject” をＳ−ＧＷ７へ送信する。これによって、再設定が拒絶される。これに対し、タイマが満了している場合には（４２のＮ）、ＣＰＵ１１は、通常の受付処理を行う。これにより、Default Bearerが移動網１で再設定される。図１４及び図１５の処理によれば、Default Bearerの解放が決定されてから、例えば企業網と移動網との契約で決められた条件が満たされるまでの間（タイマが満了するまでの期間）、Default Bearerの再設定が禁止される。タイマの満了は、所定条件の一例である。

なお、実施形態２では、Ｐ−ＧＷ８がDefault Bearerの再設定要求を拒絶する例を示した。但し、Ｓ−ＧＷ７，ＭＭＥ６，基地局５のいずれかが再設定要求を拒絶する構成が採用されても良い。

例えば、”Delete Bearer Request”（図１２＜３＞：端末４のＩＭＳＩ含む）を受信
したＭＭＥ６は、ＨＳＳに対して、端末４の位置登録の拒絶要求（ＩＭＳＩを含む）を送る。ＨＳＳは、拒絶要求に従い、企業網と移動網との契約で決められた所定期間、ＭＭＥ６からの位置登録を拒絶する状態となる。所定期間、ＭＭＥ６は、端末４からの”Attach
Request”（図１３＜２＞）に対して、ＨＳＳからの位置登録の拒絶を受けて、位置登録の拒絶を示す応答メッセージを端末４へ送る。

所定期間は、ＨＳＳとして動作するコンピュータ上のタイマで計時されても良い。タイマが満了すると、ＨＳＳは、位置登録を受け付ける状態に戻る。或いは、所定期間は、ＭＭＥ６として動作するコンピュータ（情報処理装置１０）上のタイマで計時しても良い。ＭＭＥ６のタイマが満了すると、位置登録の拒絶の解除要求をＨＳＳへ送り、ＨＳＳが解除要求に従って位置登録を受け付ける状態に遷移するようにしても良い。

ＨＳＳが位置登録を拒絶する状態となることで、ＭＭＥ６と異なるＭＭＥからの端末４についてのベアラ再設定要求も拒絶される。これによって、端末４は、その位置に拘わらず、所定期間、企業網２へのアクセスが禁止される。また、ＭＭＥ６が、タイマが満了するまでの間、端末４からの位置登録要求（Attach Request）を拒絶するようにしても良い。

また，実施形態２では、Ｐ−ＧＷ８と端末４との間のDefault Bearerを解放する例を示した。当該構成の代わりに、以下のような構成を採用することもできる。遮断フロー情報が特定のフローを示す場合には、Ｐ−ＧＷ８は、端末４の識別子（例えばＩＭＳＩ）を、端末４とのコネクションの切断要求メッセージに載せてＳ−ＧＷ７へ送る。Ｓ−ＧＷ７は、ＩＭＳＩを含む切断要求をＭＭＥ６へ送る。ＭＭＥ６は、切断要求を受信すると、基地局５に端末４との無線接続（ＲＲＣコネクション）の切断指示を送る。基地局５は、切断指示に従い、端末４とのＲＲＣコネクションを切断する。ＲＲＣコネクションは、「移動
端末と移動網との間の無線接続」の一例である。なお、端末４の識別子を、端末４とのコネクションの切断要求メッセージ以外のメッセージに載せる場合もあり得る。

基地局５は、ＲＲＣコネクションを切断すると、所定のタイマの計時を開始し、タイマが満了するまでの間、端末４からのＲＲＣコネクションの接続要求（ランダムアクセス手順）を拒絶する。以上説明した実施形態の構成は、適宜組み合わせることができる。

上記した実施形態は、以下の付記を開示する。
（付記１） 移動網に接続された移動端末と、前記移動端末からのパケットを通信路を介して、防御装置を介してサーバへ転送するゲートウェイとを備えた移動通信システムであって、前記ゲートウェイは、前記防御装置から受信される前記攻撃通信のフローの特定情報を用いて前記通信路と異なる遮断用の通信路を、前記攻撃通信のフローを遮断する遮断部との間で設定することを特徴とする移動通信システム。

（付記２） 前記遮断部は、無線基地局、ゲートウェイ及び移動端末の何れかに設けることを特徴とする付記１記載の移動通信システム。（２）

（付記３） 前記遮断部は、前記攻撃通信のフローのパケットを前記ゲートウェイと異なる、前記移動通信システムを構成する装置へ転送する
付記１又は２に記載の移動通信システム。（３）

（付記４） 前記遮断用の通信路で転送されるパケットの送信レートを、前記通信路で転送されるパケットの送信レートより低いレートに制限する
付記１から３のいずれか１項に記載の移動通信システム。（４）

（付記５） 前記遮断部が前記遮断用の通信路上にあるパケットの中継装置に設けられている
付記１から４のいずれか１項に記載の移動通信システム。

（付記６） 前記遮断部が前記移動端末に設けられている
付記１から４のいずれか１項に記載の移動通信システム。

（付記７） 前記ゲートウェイは、新たな攻撃通信のフローの特定情報を前記防御装置から受信したときに前記遮断用の通信路が既に設定されている場合には、前記新たな攻撃通信のフローの特定情報を用いて前記新たな攻撃通信のフローのパケットを前記遮断用の通信路で転送する要求を発行する
付記１から６のいずれかに記載の移動通信システム。（５）

（付記８） 前記ゲートウェイは、前記防御装置から受信される攻撃通信のフローの特定情報が、Default Bearerで通信する全フロー情報であるときに、前記通信路の切断要求を発行し、前記ゲートウェイ，前記移動端末からのパケットの中継装置，及び前記中継装置の制御装置のいずれかが、企業網と移動網との契約で決められた条件が満たされるまでの間、前記移動端末から送信される前記通信路の再設定要求を拒絶する
付記１から７に記載の移動通信システム。（６）

（付記９） 移動網に接続された移動端末との間に設定された前記移動網の通信路を通じて受信された前記移動端末からのパケットを前記パケットの宛先網へ転送するゲートウェイであって、
前記パケットのフローが攻撃通信のフローであるときに前記宛先網の防御装置から受信される前記攻撃通信のフローの特定情報を受信する通信部と、
前記フローの特定情報を用いて前記攻撃通信のフローを遮断するための前記通信路と異なる遮断用の通信路の設定要求を発行する制御部と、
を含むゲートウェイ。（７）

（付記１０） 移動網に接続された移動端末との間に設定された前記移動網の通信路を通じて受信された前記移動端末からのパケットを前記パケットの宛先網へ転送するゲートウェイを用いた攻撃通信のフローの遮断方法であって、
前記ゲートウェイが、
前記パケットのフローが攻撃通信のフローであるときに前記宛先網の防御装置から受信される前記攻撃通信のフローの特定情報を受信し、
前記フローの特定情報を用いて前記攻撃通信のフローを遮断するための前記通信路と異なる遮断用の通信路の設定要求を発行する
ことを含むゲートウェイを用いた攻撃通信フローの遮断方法。（８）

（付記１１） 移動端末からのパケットを転送する移動網のゲートウェイと、前記パケットの宛先網との間に配置される防御装置であって、
前記ゲートウェイから転送されるパケットのフローが攻撃通信のフローであるときに前記攻撃通信のフローを遮断するための前記移動網の通信路の設定要求を前記ゲートウェイに発行させるために前記攻撃通信のフローの特定情報を前記ゲートウェイへ送信する制御部を含む防御装置。（９）

（付記１２） 移動端末からのパケットを転送する移動網のゲートウェイと、前記パケットの宛先網との間に配置される防御装置の防御方法であって、
前記ゲートウェイから転送されるパケットのフローが攻撃通信のフローであるときに前記攻撃通信のフローを遮断するための前記移動網の通信路の設定要求を前記ゲートウェイに発行させるために前記攻撃通信のフローの特定情報を前記ゲートウェイへ送信する
ことを含む防御装置の防御方法。（１０）

１・・・移動網
２・・・企業網
３・・・防御装置（ＩＰＳ）
４・・・移動端末
５・・・基地局
６・・・ＭＭＥ
７・・・Ｓ−ＧＷ
８・・・Ｐ−ＧＷ
１０・・・情報処理装置
１１，２１，３１・・・ＣＰＵ
１２，２２，３２・・・メモリ
４０・・・サーバ（終端装置）

Claims (10)

1. 無線基地局と接続可能な移動端末と、通信路を介して受信される前記移動端末からのパケットを防御装置を介してサーバへ転送するゲートウェイとを備えた移動通信システムであって、前記ゲートウェイは、前記防御装置から受信される攻撃通信のフローを特定する特定情報を用いて、前記通信路と異なる前記攻撃通信のフローの遮断用の通信路を、前記攻撃通信のフローを遮断する遮断部との間で設定することを特徴とする
   移動通信システム。
2. 前記遮断部は、無線基地局、前記ゲートウェイ及び前記移動端末の何れかに設けられていることを特徴とする請求項１記載の移動通信システム。
3. 前記遮断部は、前記攻撃通信のフローのパケットを前記ゲートウェイと異なる、前記移動通信システム中の装置へ転送する
   請求項１又は２に記載の移動通信システム。
4. 前記遮断用の通信路で転送されるパケットの送信レートが、前記通信路で転送されるパケットの送信レートより低いレートに制限されている
   請求項１から３のいずれか１項に記載の移動通信システム。
5. 前記ゲートウェイは、新たな攻撃通信のフローの特定情報を前記防御装置から受信したときに前記遮断用の通信路が既に設定されている場合には、前記新たな攻撃通信のフローの特定情報を用いて前記新たな攻撃通信のフローのパケットを前記遮断用の通信路で転送する要求を発行する
   請求項１から４のいずれか１項に記載の移動通信システム。
6. 前記ゲートウェイは、前記防御装置から受信される攻撃通信のフローの特定情報が、前記通信路で転送される全ての所定のフローを示す情報であるときに、前記通信路の切断要求を発行し、前記ゲートウェイ，前記移動端末からのパケットの中継装置，及び前記中継装置の制御装置のいずれかが、所定条件が満たされるまでの間、前記移動端末から送信される前記通信路の再設定要求を拒絶する
   請求項１から５のいずれか１項に記載の移動通信システム。
7. 移動網に接続された移動端末との間に設定された前記移動網の通信路を通じて受信された前記移動端末からのパケットを前記パケットの宛先網へ転送するゲートウェイであって、
   前記パケットのフローが攻撃通信のフローであるときに前記宛先網の防御装置から受信される前記攻撃通信のフローの特定情報を受信する通信部と、
   前記フローの特定情報を用いて前記攻撃通信のフローを遮断するための前記通信路と異なる遮断用の通信路の設定要求を発行する制御部と、
   を含むゲートウェイ。
8. 移動網に接続された移動端末との間に設定された前記移動網の通信路を通じて受信された前記移動端末からのパケットを前記パケットの宛先網へ転送するゲートウェイを用いた攻撃通信のフローの遮断方法であって、
   前記ゲートウェイが、
   前記パケットのフローが攻撃通信のフローであるときに前記宛先網の防御装置から受信される前記攻撃通信のフローの特定情報を受信し、
   前記フローの特定情報を用いて前記攻撃通信のフローを遮断するための前記通信路と異なる遮断用の通信路の設定要求を発行する
   ことを含むゲートウェイを用いた攻撃通信フローの遮断方法。
9. 移動端末からのパケットを転送する移動網のゲートウェイと、前記パケットの宛先網との間に配置される防御装置であって、
   前記ゲートウェイから転送されるパケットのフローが攻撃通信のフローであるときに前記攻撃通信のフローを遮断するための前記移動網の通信路の設定要求を前記ゲートウェイに発行させるために前記攻撃通信のフローの特定情報を前記ゲートウェイへ送信する制御部
   を含む防御装置。
10. 移動端末からのパケットを転送する移動網のゲートウェイと、前記パケットの宛先網との間に配置される防御装置の防御方法であって、
    前記ゲートウェイから転送されるパケットのフローが攻撃通信のフローであるときに前記攻撃通信のフローを遮断するための前記移動網の通信路の設定要求を前記ゲートウェイに発行させるために前記攻撃通信のフローの特定情報を前記ゲートウェイへ送信する
    ことを含む防御装置の防御方法。

Images