JP2016158157A - 呼制御装置、呼制御方法、及び、呼制御システム - Google Patents

Abstract

【課題】攻撃による輻輳発生を抑制する。
【解決手段】管理装置と、管理装置に登録されることによって発呼が許可される装置と、呼制御装置を含む呼制御システムである。呼制御装置は、発呼信号を受信する受信部と、発呼信号の発信元装置から攻撃を受けていることを判定するための所定の条件が満たされる場合に、該発信元装置を未登録にするよう管理装置に依頼する制御部と、を備える。また、呼制御装置は、発呼信号が不正であるか否かを判定する判定部と、発呼信号が不正であると判定された場合に、発信元装置に対して、呼を継続させるための信号を生成して送信する生成部と、をさらに備える。また、判定部は、発呼信号が不正であることを判定した場合に、該発信元装置に関する情報を、所定の宛先装置に送信する。
【選択図】図１

Description

本発明は、呼制御装置、呼制御方法、及び、呼制御システムに関する。

図１は、ＳＩＰ（Session Initiation Protocol）が用いられるネットワークシステム
の一例である。ネットワークシステム１００は、キャリア交換網１１０、端末３、加入者データ管理サーバ４を含む。ＳＩＰを用いることによって、音声通話用のネットワーク以外でも音声通話が可能になる。ＳＩＰは、平文の可読なテキストを含むメッセージを用いるプロトコルであり、メッセージの内容を改ざんすることが容易なプロトコルである。そのため、ＳＩＰ信号を用いて、キャリア交換網１１０の脆弱性をついた攻撃が行われることがある。

例えば、３Ｇ（3rd Generation）のネットワークでは、３Ｇ端末からキャリア交換網１１０に到達するまでに、図１では、ＳＩＰ信号は、ＲＮＣ（Radio Network Controller）、ＡＴＭ（Asynchronous Transfer Mode）交換機を通過する。３Ｇ端末から送信されたＳＩＰ信号は、一旦、ＡＴＭ交換機で終端されるため、直接キャリア交換網には届くことがない。そのため、３Ｇのネットワークでは、キャリア交換網１１０は、ＳＩＰ信号を用いた脆弱性攻撃から守られている。

一方、ＬＴＥ（Long Term Evolution）のネットワークでは、ＬＴＥ端末３から、いず
れの交換機等において変換されることなく、ＳＩＰ信号が届く。そのため、ＬＴＥのネットワークでは、ＬＴＥ端末を操作することによって、簡単にキャリア交換網１１０に対してＳＩＰ脆弱性をついた攻撃をすることが可能となることが考えられる。

図２は、キャリア交換網１１０のシステム構成の一例を示す図である。キャリア交換網１１０は、複数のＳＩＰプロキシ呼制御サーバ１、複数の加入者管理呼制御サーバ２を含む。ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰプロキシサーバである。加入者管理呼制御サーバ２は、無線ネットワークとＩＰネットワークとの接続を行うサーバである。加入者データ管理サーバ４は、ＳＩＰロケーションサーバである。ＳＩＰでは、ＳＩＰロケーションサーバである加入者データ管理サーバ４に、ＬＴＥ端末３の加入者情報が登録されていないと、ＬＴＥ端末３は発呼を許可されない。加入者情報は、ＬＴＥ端末３を識別するための情報であり、例えば、電話番号、ＩＰアドレスを含む。加入者データ管理サーバ４は、「管理装置」の一例である。

加入者管理呼制御サーバ２は、発呼信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを受信すると、加入者データ管理サーバ４に発信元の端末の加入者情報が登録されているか否かを確認する。加入者データ管理サーバ４に発信元の端末の加入者情報が登録されていない場合には、加入者管理呼制御サーバ２は、呼の切断を示すＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを発信元の端末に送信する。４ＸＸは、ＲＥＳＰＯＮＳＥメッセージのステータスコードが４００番台であることを示す。ステータスコードが４００番台の場合には、クライアントエラー、すなわち、発信側に異常があることが示される。

加入者データ管理サーバ４に発信元の端末の加入者情報が登録されている場合には、加入者管理呼制御サーバ２は、複数のＳＩＰプロキシ呼制御サーバ１の中から該ＳＩＰ＿ＩＮＶＩＴＥメッセージの回送先を選択して回送する。

図３は、ＳＩＰ脆弱性攻撃信号を受信した場合のキャリア交換網１１０における処理の
シーケンスの一例を示す図である。なお、以降、ＬＴＥ端末は、ＵＥ（User Equipment）ともいう。図３では、ＵＥ ３の加入者情報は、加入者データ管理サーバ４に登録されているものとする。また、図３では、ＳＩＰプロキシ呼制御サーバの符号はＰ１とする。また、図３では、複数の加入者管理呼制御サーバ２、ＳＩＰプロキシ呼制御サーバＰ１の中から、それぞれ、ＳＩＰ脆弱性攻撃信号の処理に係るものが抜粋されて表示されている。

Ｓ１では、ＵＥ ３がＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを送信する。ＵＥ ３の加入者データは加入者データ管理サーバ４に登録されているので、該ＳＩＰ＿ＩＮＶＩＴＥメッセージは、加入者管理呼制御サーバ２からＳＩＰプロキシ呼制御サーバＰ１に送信される。

Ｓ２では、ＳＩＰプロキシ呼制御サーバＰ１は、ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信し、ＳＩＰの脆弱性チェックを行う。ＳＩＰ脆弱性攻撃信号のＳＩＰ＿ＩＮＶＩＴＥメッセージには、例えば、ヘッダのフィールドに規定されていない不正な情報が含まれていたり、データ部に意味をなさない文字列が格納されていたりする。ＳＩＰプロキシ呼制御サーバＰ１は、例えば、ＳＩＰメッセージが、標準形式に違反する不正な形式であるか、ＩＰＡ（情報処理推進機構）に報告されている脆弱性攻撃のメッセージであるか、をチェックして脆弱性チェックを行う。

ＳＩＰプロキシ呼制御サーバＰ１が受信したＳＩＰ＿ＩＮＶＩＴＥメッセージはＳＩＰ脆弱性攻撃信号であるので、Ｓ２では、ＳＩＰプロキシ呼制御サーバＰ１は、ＳＩＰ＿ＩＮＶＩＴＥメッセージを不正と判定し、ＳＩＰ脆弱性攻撃を検出する。

Ｓ３では、ＳＩＰプロキシ呼制御サーバＰ１は、発信元のＵＥ ３に対して、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを生成して送信する。ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを受信すると、発信元は、該当する呼を切断する。

Ｓ４では、ＵＥ ３は、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを受信したので、呼を切断する。

特開２００７−２６７０６４号公報 特開２００５−２５８４９８号公報 特開２００７−１８８４３７号公報

しかしながら、従来のＳＩＰ脆弱性攻撃信号を受信した場合の処理では、輻輳が発生し、キャリア交換網１１０のサービスが停止してしまう可能性がある。

図４は、ＳＩＰ脆弱性攻撃による輻輳発生の一例を示すシーケンス図である。図４では、ＵＥ＃Ａ及びＵＥ＃Ｃは、正当な加入者端末であり、ＵＥ＃Ｂは、脆弱性攻撃者の不正端末である。ＵＥ＃Ａ、ＵＥ＃Ｂ、ＵＥ＃Ｃのいずれの加入者情報も、加入者データ管理サーバ４に登録されていることとする。また、ＵＥ＃Ａ、ＵＥ＃Ｂ、ＵＥ＃Ｃは、それぞれ近い場所に位置しており、ＵＥ＃Ａ、ＵＥ＃Ｂ、ＵＥ＃Ｃから発信されるＳＩＰ＿ＩＮＶＩＴＥメッセージは、同一の加入者管理呼制御サーバ２、ＳＩＰプロキシ呼制御サーバＰ１によって処理されることとする。

Ｓ１１では、ＵＥ＃Ｃが、ＳＩＰ＿ＩＮＶＩＴＥメッセージを送信する。ＵＥ＃Ｃは、
正当な加入者端末であるため、該ＳＩＰ＿ＩＮＶＩＴＥメッセージは、加入者管理呼制御サーバ２、ＳＩＰプロキシ呼制御サーバＰ１を経由して着信側のＵＥ ３に送信される。

Ｓ１２では、不正端末であるＵＥ＃Ｂから連続して大量のＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージが送信される。ＵＥ＃Ｂから送信されるＳＩＰ＿ＩＮＶＩＴＥメッセージは、例えば、それぞれ異なるＣＡＬＬ−ＩＤを含み、ＳＩＰプロキシ呼制御サーバＰ１からそれぞれ異なる呼として識別される。ＣＡＬＬ−ＩＤは、発信元によって任意に設定可能である。

Ｓ１３では、ＳＩＰプロキシ呼制御サーバＰ１は、連続して受信するＵＥ＃ＢからのＳＩＰ＿ＩＮＶＩＴＥメッセージに対して、脆弱性チェックを行う。ＵＥ＃ＢからのＳＩＰ＿ＩＮＶＩＴＥメッセージは、ＳＩＰ脆弱性攻撃信号であるので、各ＳＩＰ＿ＩＮＶＩＴＥメッセージに対してＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを送信する。

Ｓ１４では、ＵＥ＃Ｂから次々に送信されるＳＩＰ＿ＩＮＶＩＴＥメッセージと、ＳＩＰプロキシ呼制御サーバＰ１から送信されるＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージとによって、ＳＩＰプロキシ呼制御サーバＰ１に輻輳が発生する。

Ｓ１５では、キャリア交換網１１０に輻輳が発生している状態で、正当な加入者端末であるＵＥ＃ＡからＳＩＰ＿ＩＮＶＩＴＥメッセージが送信され、該ＳＩＰ＿ＩＮＶＩＴＥメッセージがＳＩＰプロキシ呼制御サーバＰ１に届く。

Ｓ１６では、ＳＩＰプロキシ呼制御サーバＰ１は、輻輳状態であるため、ＵＥ＃ＡからのＳＩＰ＿ＩＮＶＩＴＥメッセージに係る処理を行うことができず、ＵＥ＃Ａに対してＳＩＰ＿５０３＿ＲＥＳＰＯＮＳＥメッセージを送信する。ステータスコード５００番台のＲＥＳＰＯＮＳＥメッセージは、サーバエラー、すなわち、ＳＩＰサーバ側に異常があることを示すメッセージである。ステータスコードの５０３は、サービス利用不可を示し、一例として、ネットワークが輻輳している場合に用いられる。ＳＩＰ＿５０３＿ＲＥＳＰＯＮＳＥメッセージを受信すると、発信元は呼を切断する。

Ｓ１７では、ＵＥ＃Ａは、ＳＩＰ＿５０３＿ＲＥＳＰＯＮＳＥメッセージを受信し、呼を切断する。

Ｓ１８では、ＵＥ＃Ａから送信されたＳＩＰ＿ＩＮＶＩＴＥメッセージの着信先のＵＥ３からのＳＩＰ＿１８３＿ＲＥＳＰＯＮＳＥメッセージがＳＩＰプロキシ呼制御サーバＰ１に届く。ステータスコード１８３は、セッション進行中を示す。Ｓ１９では、ＳＩＰプロキシ呼制御サーバＰ１は、輻輳のため、受信したＳＩＰ＿１８３＿ＲＥＳＰＯＮＳＥメッセージを破棄する。

図４に示されるように、ＳＩＰ脆弱性攻撃によってネットワークに輻輳が発生すると、正当な加入者端末であっても発呼が切断されてしまう。また、新規呼に限らず、既存呼に対しても影響が及ぶ可能性があり、サービスが停止してしまう可能性がある。

本発明の一態様は、攻撃による輻輳発生を抑制可能な呼制御装置、呼制御方法、及び、呼制御システムを提供することを目的とする。

本発明の態様の一つは、管理装置に登録されることによって発呼が許可される装置からの発呼信号を受信する受信部と、発呼信号の発信元装置から攻撃を受けていることを判定するための所定の条件が満たされる場合に、発信元装置を未登録にするよう管理装置に依
頼する制御部と、を備える呼制御装置である。

開示の呼制御装置、呼制御方法、及び、呼制御システムによれば、攻撃による輻輳発生を抑制することができる。

ＳＩＰが用いられるネットワークシステムの一例である。 キャリア交換網のシステム構成の一例を示す図である。 ＳＩＰ脆弱性攻撃信号を受信した場合のキャリア交換網における処理のシーケンスの一例を示す図である。 ＳＩＰ脆弱性攻撃による輻輳発生の一例を示すシーケンス図である。 ＳＩＰプロキシ呼制御サーバのハードウェア構成の一例を示す図である。 ＳＩＰプロキシ呼制御サーバの機能構成の一例を示す図である。 加入者情報テーブルの一例である。 加入者データテーブルの一例である。 ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信した場合のＳＩＰプロキシ呼制御サーバの処理のフローチャートの一例である。 加入者情報取得応答を受信した場合のＳＩＰプロキシ呼制御サーバの処理のフローチャートの一例である。 ＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージを受信した場合のＳＩＰプロキシ呼制御サーバの処理のフローチャートの一例である。 加入者情報変更応答を受信した場合のＳＩＰプロキシ呼制御サーバの処理のフローチャートの一例である。 ＳＩＰ脆弱性攻撃が行われる場合のネットワークシステムにおける処理のシーケンスの一例を示す図である。 ＳＩＰ脆弱性攻撃が行われる場合のネットワークシステムにおける処理のシーケンスの一例を示す図である。 ＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを受信した場合のネットワークシステムにおける処理のシーケンスの一例を示す図である。 ＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージが送信された場合のネットワークシステムにおける処理のシーケンスの一例を示す図である。

以下、図面に基づいて、本発明の実施の形態を説明する。以下の実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。

＜第１実施形態＞
第１実施形態では、ネットワークシステムのシステム構成、キャリア交換網のシステム構成は、それぞれ、図１、図２と同じものが想定される。ただし、第１実施形態では、ネットワークシステム１００は、キャリア交換網１１０、ＵＥ ３、加入者データ管理サーバ４に加え、受付台５を含む。受付台５は、例えば、警察等のＳＩＰ脆弱性攻撃信号の発信元の情報を収集する機関に設置されたＳＩＰ対応のＩＰ−ＰＢＸ（Private Branch eXchange：構内交換機）である。

ＳＩＰプロキシ呼制御サーバ１は、脆弱性チェックにより、ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３からのＳＩＰ脆弱性攻撃を判定した場合には、加入者データ管理サーバ４に対して、発信元のＵＥ ３の加入者情報の登録状態を未登録に変更するよう依頼する。加入者データ管理サーバ４に加入者情報が登録されていないＵＥ ３は、加入者管理呼制御サーバ２によって発呼が拒否されるため、以降のＳＩＰ脆弱性攻撃は、ＳＩ
Ｐプロキシ呼制御サーバ１に届く前にブロックされる。ＳＩＰ＿ＩＮＶＩＴＥメッセージは、「発呼信号」の一例である。

また、第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰ＿ＩＮＶＩＴＥメッセージに対して脆弱性チェックを行い、ＮＧである場合には、発信元に対して、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージではなく、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを送信する。ステータスコード１００番台は、正常に処理が進行していることを示すコードである。ステータスコード１８０は、呼び出し中を示す。

ステータスコード１００番台のＲＥＳＰＯＮＳＥメッセージは、通常、着信先のＵＥ ３から送信される。そのため、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを受信すると、発信元のＵＥ ３は、該メッセージを着信先のＵＥ ３から受信したとみなすため、呼を維持する。呼が維持される間は、該呼で使用されるＣＡＬＬ−ＩＤでの発呼を抑制することができる。

従来のＳＩＰ脆弱性攻撃信号の受信時の処理では、脆弱性チェックの結果がＮＧである場合には、ＳＩＰプロキシ呼制御サーバは、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを発信元のＵＥ ３に送信して処理を終了しており、発信元のＵＥ ３の特定は行わない。第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰ＿ＩＮＶＩＴＥメッセージに対して脆弱性チェックを行い、発信元のＵＥ ３からのＳＩＰ脆弱性攻撃を判定する場合には、発信元のＵＥ ３の加入者情報を加入者データ管理サーバ４から取得する。ＳＩＰプロキシ呼制御サーバ１は、取得したＳＩＰ脆弱性攻撃信号の発信元のＵＥ ３の加入者情報を、受付台５に通知する。これによって、他のネットワークシステムと脆弱性攻撃者の情報を共有することができ、将来の同じ発信元からのＳＩＰ脆弱性攻撃を防ぐことができる。受付台５は、「所定の宛先装置」の一例である。

＜装置構成＞
図５は、ＳＩＰプロキシ呼制御サーバ１のハードウェア構成の一例を示す図である。ＳＩＰプロキシ呼制御サーバ１は、例えば、専用又は汎用のコンピュータである。第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、専用のコンピュータである、と想定する。ＳＩＰプロキシ呼制御サーバ１は、ＣＰＵ（Central Processing Unit）１０１、主記憶
装置１０２、補助記憶装置１０３、ネットワークインタフェース１０４を備える。また、これらはバス１０５により互いに電気的に接続されている。ＳＩＰプロキシ呼制御サーバ１は、「呼制御装置」の一例である。

補助記憶装置１０３は、様々なプログラムや、各プログラムの実行に際してＣＰＵ １０１が使用するデータを格納する。補助記憶装置１０３は、例えば、ＥＰＲＯＭ（Erasable Programmable ROM）、フラッシュメモリ、又はハードディスクドライブ（Hard Disk Drive）等の不揮発性のメモリである。補助記憶装置１０３は、例えば、オペレーティングシステム（ＯＳ）、ＳＩＰプロキシサーバプログラム、脆弱性攻撃対応プログラム１０３Ｐ、その他様々なアプリケーションプログラムを保持する。ＳＩＰプロキシサーバプログラムは、コンピュータをＳＩＰプロキシサーバとして動作させるためのプログラムである。脆弱性攻撃対応プログラム１０３Ｐは、ＳＩＰ脆弱性攻撃を検出し、対応するためのプログラムである。脆弱性攻撃対応プログラム１０３Ｐは、例えば、ＳＩＰプロキシサーバプログラムのモジュールである。

主記憶装置１０２は、ＣＰＵ １０１に、補助記憶装置１０３に格納されているプログラムをロードする記憶領域および作業領域を提供したり、バッファとして用いられたりする。主記憶装置１０２は、例えば、ＲＡＭ（Random Access Memory）のような揮発性の半導体メモリを含む。

ＣＰＵ １０１は、補助記憶装置１０３に保持されたＯＳや様々なアプリケーションプログラムを主記憶装置１０２にロードして実行することによって、様々な処理を実行する。ＣＰＵ １０１は、１つに限られず、複数備えられてもよい。

ネットワークインタフェース１０４は、ネットワークとの情報の入出力を行うインタフェースである。ネットワークインタフェース１０４は、有線のネットワークと接続するインタフェース、無線のネットワークと接続するインタフェースを含む。ネットワークインタフェース１０４は、例えば、ＮＩＣ（Network Interface Card）、無線ＬＡＮ（Local Area Network）カード等である。ネットワークインタフェース１０４で受信されたデータ等は、ＣＰＵ １０１に出力される。

なお、図５に示されるＳＩＰプロキシ呼制御サーバ１のハードウェア構成は、一例であり、上記に限られず、実施の形態に応じて適宜構成要素の省略や置換、追加が可能である。例えば、ＳＩＰプロキシ呼制御サーバ１は、可搬記録媒体駆動装置を備え、可搬記録媒体に記録されたプログラムを実行してもよい。可搬記録媒体は、例えば、ＳＤカード、ｍｉｎｉＳＤカード、ｍｉｃｒｏＳＤカード、ＵＳＢ（Universal Serial Bus）フラッシュメモリ、ＣＤ（Compact Disc）、ＤＶＤ(Digital Versatile Disc)、Ｂｌｕ−ｒａｙ（登録商標） Ｄｉｓｃ、又はフラッシュメモリカードのような記録媒体である。ＳＩＰプロキシ呼制御サーバ１が汎用のコンピュータである場合には、例えば、キーボードやマウス等の入力装置、ディスプレイやプリンタ等の出力装置を備えてもよい。

図６は、ＳＩＰプロキシ呼制御サーバ１の機能構成の一例を示す図である。ＳＩＰプロキシ呼制御サーバ１は、機能構成として、信号振分制御部１１、入側信号制御部１２、セキュリティ制御部１３、呼接続制御部１４、加入者情報制御部１５、加入者情報テーブル１６、受付台接続制御部１７、受付台入側信号制御部１８を備える。これらの機能構成は、ＳＩＰプロキシ呼制御サーバ１のＣＰＵ １０１が補助記憶装置１０３に格納されているＳＩＰプロキシサーバプログラム及び脆弱性攻撃対応プログラム１０３Ｐを実行することによって達成される機能構成である。例えば、呼接続制御部１４、加入者情報制御部１５、加入者情報テーブル１６、受付台接続制御部１７、受付台入側信号制御部１８は、ＣＰＵ １０１が補助記憶装置１０３に格納されている脆弱性攻撃対応プログラム１０３Ｐを実行することによって達成される機能構成である。

信号振分制御部１１は、加入者管理呼制御サーバ２又はＵＥ ３からＳＩＰ信号を受信し、該ＳＩＰ信号の呼に対応する入側信号制御部１２へ信号を振り分ける。なお、第１実施形態では、ＳＩＰプロキシ呼制御サーバ１が加入者管理呼制御サーバ２又はＵＥ ３から受信するＳＩＰ信号は、ＳＩＰ＿ＩＮＶＩＴＥメッセージであるので、以降、ＳＩＰ＿ＩＮＶＩＴＥメッセージに限定して説明する。

入側信号制御部１２は、ＳＩＰプロキシ呼制御サーバ１が処理を担当する呼の数分存在する。図６では、便宜上、１つの入側信号制御部１２が表示されている。呼は、例えば、ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる、発信電話番号、着信電話番号、ＣＡＬＬ−ＩＤの組み合わせで識別される。ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる発信元又は着信先のＵＥ ３の電話番号、ＣＡＬＬ−ＩＤの組み合わせが新たな組み合わせである場合には、該ＳＩＰ＿ＩＮＶＩＴＥメッセージは新たな呼と識別され、新たな入側信号制御部１２が生成される。入側信号制御部１２は、「受信部」の一例である。

入側信号制御部１２は、信号振分制御部１１から、担当する呼のＳＩＰ＿ＩＮＶＩＴＥメッセージの入力を受け、該ＳＩＰ＿ＩＮＶＩＴＥメッセージを終端する。また、入側信号制御部１２は、セキュリティ制御部１３に対して、受信したＳＩＰ＿ＩＮＶＩＴＥメッ
セージの脆弱性チェックの依頼を行う。

脆弱性チェックの結果がＯＫである場合には、セキュリティ制御部１３から入側信号制御部１２に脆弱性チェック結果ＯＫの通知が入力される。脆弱性チェック結果ＯＫの通知が入力されると、入側信号制御部１２は、ＳＩＰ＿ＩＮＶＩＴＥメッセージの着信先のＵＥ ３に対して、該ＳＩＰ＿ＩＮＶＩＴＥメッセージを送信する。

脆弱性チェックの結果がＮＧである場合には、呼接続制御部１４から入側信号制御部１２に、複数種類のＳＩＰ＿ＲＥＳＰＯＮＳＥメッセージが入力され、入側信号制御部１２は、該ＳＩＰ＿ＲＥＳＰＯＮＳＥメッセージを、ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３に送信する。呼接続制御部１４から入側信号制御部１２に入力されるＳＩＰ＿ＲＥＳＰＯＮＳＥメッセージの詳細は、後述される。

セキュリティ制御部１３は、入側信号制御部１２からの依頼を受けて、ＳＩＰ＿ＩＮＶＩＴＥメッセージの脆弱性チェックを行う。セキュリティ制御部１３は、例えば、ＳＩＰ＿ＩＮＶＩＴＥメッセージの形式、ヘッダ内の各フィールドの値、データ部に含まれる文字列等がＳＩＰ脆弱性攻撃信号としてＩＰＡに報告されたものであるか否かを判定することで脆弱性チェックを行う。ＩＰＡに報告されたＳＩＰ＿ＩＮＶＩＴＥメッセージの情報は、予め補助記憶装置１０３に記憶されている。

ＳＩＰ＿ＩＮＶＩＴＥメッセージの形式、ヘッダ内の各フィールドの値、データ部に含まれる文字列等がＳＩＰ脆弱性攻撃信号としてＩＰＡに報告されたものである場合には、セキュリティ制御部１３は、脆弱性チェック結果をＮＧと判定する。ＳＩＰ＿ＩＮＶＩＴＥメッセージの形式、ヘッダ内の各フィールドの値、データ部に含まれる文字列等がＳＩＰ脆弱性攻撃信号としてＩＰＡに報告されたものでない場合には、セキュリティ制御部１３は、脆弱性チェック結果をＯＫと判定する。

ＳＩＰ＿ＩＮＶＩＴＥメッセージの脆弱性チェック結果がＯＫである場合には、セキュリティ制御部１３は、脆弱性チェック結果ＯＫを該当の入側信号制御部１２に通知する。ＳＩＰ＿ＩＮＶＩＴＥメッセージの脆弱性チェック結果がＮＧである場合には、セキュリティ制御部１３は、脆弱性チェック結果ＮＧを呼接続制御部１４に通知する。セキュリティ制御部１３は、「判定部」の一例である。

呼接続制御部１４は、セキュリティ制御部１３からＳＩＰ＿ＩＮＶＩＴＥメッセージの脆弱性チェックＮＧの通知を受けると、加入者情報制御部１５に対して、該ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３の加入者情報の取得要求である加入者情報取得要求を送信する。また、呼接続制御部１４は、加入者情報取得要求の送信とともに、該ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３に対するＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを生成し、該当の入側信号制御部１２に送信する。

呼接続制御部１４は、加入者情報取得要求に対する応答が加入者情報制御部１５から入力されると、該ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３に対するＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを生成し、該当の入側信号制御部１２に送信する。呼接続制御部１４は、「生成部」の一例である。

加入者情報制御部１５は、呼接続制御部１４から加入者情報取得要求が入力されると、加入者データ管理サーバ４に対して、該当のＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３の加入者情報の取得要求である加入者情報取得要求を送信する。加入者情報制御部１５は、加入者データ管理サーバ４から発信元のＵＥ ３の加入者情報を含む加入者情報取得応答を受信すると、受付台５に送信するために、該加入者情報を受付台接続制御部
１７に送信する。

加入者情報取得要求には、例えば、対象のＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる発信元のＵＥ ３の電話番号が含まれる。加入者データ管理サーバ４から受信される加入者情報取得要求には、例えば、加入者情報として、該発信元のＵＥ ３の電話番号とＩＰアドレスとが含まれる。電話番号とＩＰアドレスとは、発信元のＵＥ ３を特定するために最低限必要とされる情報である。

また、加入者情報制御部１５は、加入者情報取得要求の送信後、該加入者情報取得要求の対象である発信元のＵＥ ３からＳＩＰ脆弱性攻撃を受けていることの判定を行う。この判定は、該発信元のＵＥ ３の加入者データ管理サーバ４への登録状態を強制的に未登録とするか否かの判定である、とも言える。ＳＩＰ脆弱性攻撃は、例えば、図４に示される例のように、連続して大量の不正なＳＩＰ＿ＩＮＶＩＴＥメッセージが送信されることが多い。そのため、該判定は、第１実施形態では、同一のＵＥ ３からＳＩＰ＿ＩＮＶＩＴＥメッセージをＮ秒間にＴ回以上受信したか否かで行われる。Ｎ及びＴは、正の整数であって、キャリア交換網１１０の管理者によって任意に設定可能である。

加入者情報制御部１５は、後述の加入者情報テーブル１６に脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３の情報を記録する。加入者情報制御部１５は、加入者情報テーブル１６に基づいて、同一のＵＥ ３からＮ秒間にＴ回以上ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信したか否かの判定を行う。同一のＵＥ ３からＮ秒間にＴ回以上ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信したか否かの判定の詳細は、後述される。

加入者情報制御部１５は、同一のＵＥ ３からＮ秒間にＴ回以上ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信したことを判定した場合には、該ＵＥ ３の加入者情報の登録状態を強制的に未登録にするよう依頼する加入者情報変更要求を加入者データ管理サーバ４へ送信する。加入者情報制御部１５と加入者データ管理サーバ４との間の通信は、例えば、ＭＡＰ（Mobile Application Part）を用いて行われるが、これに限られない。加入者情報制
御部１５は、「制御部」の一例である。

受付台接続制御部１７は、加入者情報制御部１５から脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３の加入者情報が入力されると、該加入者情報を含むＳＩＰ＿ＩＮＦＯメッセージを生成し、受付台入側信号制御部１８に出力する。また、受付台接続制御部１７は、受付台５からのＳＩＰ＿ＩＮＦＯメッセージに対する応答であるＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージを受付台入側信号制御部１８を通じて入力されると、該応答を加入者情報制御部１５に出力する。

受付台入側信号制御部１８は、受付台５用の入側信号制御部である。受付台５と受付台入側信号制御部１８との間では、呼の確立は行われない。受付台５と受付台入側信号制御部１８との間は、呼の確立なく送信可能なＳＩＰ＿ＩＮＦＯメッセージとその応答としてのＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージとがやり取りされる。

図７は、加入者情報テーブル１６の一例である。加入者情報テーブル１６は、脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ３の情報を記憶するテーブルである。加入者情報テーブル１６は、加入者情報制御部１５によって、同一ＵＥ ３からのＳＩＰ＿ＩＮＶＩＴＥメッセージをＮ秒間にＴ回以上受信したか否かの判定に用いられる。加入者情報テーブル１６は、補助記憶装置１０３の記憶領域に記憶され、加入者情報制御部１５によって管理される。

加入者情報テーブル１６は、エントリに、「電話番号」、「時刻」、「受信回数」の項目を含む。「電話番号」には、脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる発信元のＵＥ ３の電話番号が格納される。

「時刻」には、「電話番号」の発信元のＵＥ ３から脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージを最初に受信した時刻、すなわち、該エントリが登録された時刻が格納される。「受信回数」は、「電話番号」の発信元のＵＥ ３から脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの受信回数が格納される。

図８は、加入者データテーブルの一例である。加入者データテーブル４１は、加入者データ管理サーバ４の補助記憶装置の記憶領域に記憶されている。加入者データテーブル４１は、位置登録が完了したＵＥ ３の加入者情報を保持するテーブルであって、加入者データテーブル４１に登録されていないＵＥ ３は、発呼が許可されない。

加入者データテーブル４１は、エントリに、「電話番号」、「登録状態」、「アドレス」、「強制未登録フラグ」を含む。「電話番号」には、位置登録完了のＵＥ ３の電話番号が格納される。

「登録状態」には、「登録」又は「未登録」のいずれかの値が格納される。「登録」の場合には、該当のＵＥ ３が使用可能な状態であることが示される。「未登録」の場合には、該当のＵＥ ３が使用可能な状態でないことが示される。

ＵＥ ３がＳＩＰ＿ＲＥＧＩＳＴＥＲメッセージを送信して位置登録することによって、該ＵＥ ３の加入者情報が加入者データテーブル４１へ登録される。位置登録完了後も、ＵＥ ３は、所定の周期でＳＩＰ＿ＲＥＧＩＳＴＥＲメッセージを送信する。加入者データ管理サーバ４は、所定の周期でＳＩＰ＿ＲＥＧＩＳＴＥＲメッセージを受信することで、加入者データテーブル４１の該ＵＥ ３の加入者情報のエントリの「登録状態」を「登録」の値で維持する。ＳＩＰ＿ＲＥＧＩＳＴＥＲメッセージが所定時間経過しても加入者データ管理サーバ４に届かない場合には、加入者データテーブル４１の該ＵＥ ３の加入者情報のエントリの「登録状態」が「未登録」に変更される。

ただし、第１実施形態では、加入者データ管理サーバ４がＳＩＰプロキシ呼制御サーバ１から加入者情報変更要求を受信し、対象のＵＥ ３の加入者情報を強制的に未登録状態にするよう依頼された場合にも、「登録状態」は「未登録」に変更される。

「アドレス」には、位置登録完了のＵＥ ３のＩＰアドレスが格納される。「登録状態」が「登録」の場合には、「アドレス」にＩＰアドレスが格納される。「登録状態」が「未登録」の場合には、「アドレス」にはいずれの値も格納されない。

「強制未登録フラグ」は、ＳＩＰプロキシ呼制御サーバ１からの加入者情報変更要求によって強制的に未登録状態にするよう依頼されたことを示すフラグである。

加入者データ管理サーバ４は、ＳＩＰプロキシ呼制御サーバ１から加入者情報取得要求を受信した場合には、該加入者情報取得要求に含まれる電話番号をキーとして、加入者データテーブル４１を検索し、該当のエントリからＩＰアドレスを取得する。加入者データ管理サーバ４は、キーとして利用した電話番号と、加入者データテーブル４１から取得したＩＰアドレスとを含む加入者情報取得応答をＳＩＰプロキシ呼制御サーバ１に送信する。

加入者データ管理サーバ４は、ＳＩＰプロキシ呼制御サーバ１から加入者情報変更要求
を受信した場合には、該加入者情報変更要求に含まれる電話番号をキーとして、加入者データテーブル４１を検索する。加入者データ管理サーバ４は、該当のエントリの「登録状態」を「未登録」に、「強制未登録フラグ」を「ＯＮ」にして、ＳＩＰプロキシ呼制御サーバ１に加入者情報変更応答を送信する。

＜処理の流れ＞
図９は、ＳＩＰ＿ＩＮＶＩＴＥメッセージを受信した場合のＳＩＰプロキシ呼制御サーバ１の処理のフローチャートの一例である。図９に示される処理は、ＳＩＰプロキシ呼制御サーバ１がＳＩＰ＿ＩＮＶＩＴＥメッセージを受信すると開始される。なお、以降のフローチャートは、いずれも実際の動作主体はＣＰＵ １０１であるが、便宜上、各処理を担当する機能構成を動作主体として説明する。

ＯＰ１では、セキュリティ制御部１３は、信号振分制御部１１、該当の入側信号制御部１２を通じて受信したＳＩＰ＿ＩＮＶＩＴＥメッセージに対して脆弱性チェックを行う。次に処理がＯＰ２に進む。

ＯＰ２では、セキュリティ制御部１３は、脆弱性チェック結果を判定する。脆弱性チェック結果がＯＫである場合には（ＯＰ２：ＮＯ）、セキュリティ制御部１３は、該当の入側信号制御部１２に脆弱性チェック結果ＯＫを通知し、次に処理がＯＰ３に進む。ＯＰ３では、入側信号制御部１２は、通常の呼処理の通り、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージを着信先のＵＥ ３に送信する。その後、図９に示される処理が終了する。

脆弱性チェック結果がＮＧである場合には（ＯＰ２：ＹＥＳ）、セキュリティ制御部１３は、脆弱性チェック結果ＮＧを呼接続制御部１４に通知し、次に処理がＯＰ４に進む。

ＯＰ４では、呼接続制御部１４は、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを生成し、該当の入側信号制御部１２に送信する。該ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージは、信号振分制御部１１を経由して、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３に送信される。次に処理がＯＰ５に進む。

ＯＰ５では、呼接続制御部１４は、加入者情報制御部１５に加入者情報取得要求を出力し、加入者情報制御部１５は、該加入者情報取得要求を加入者データ管理サーバ４に送信する。次に処理がＯＰ６に進む。

ＯＰ６では、加入者情報制御部１５は、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号に該当する加入者情報テーブル１６のエントリの「時刻」（図中「時刻情報」）と現在時刻とを比較する。次に処理がＯＰ７に進む。

ＯＰ７では、加入者情報制御部１５は、加入者情報テーブル１６の該エントリの「時刻」からＮ秒以上経過しているか否か、すなわち、該当の電話番号を有するＳＩＰ＿ＩＮＶＩＴＥメッセージを最初に受信してからＮ秒以上経過しているか否かを判定する。加入者情報テーブル１６の該エントリの「時刻」からＮ秒以上経過している場合には（ＯＰ７：ＹＥＳ）、処理がＯＰ８に進む。加入者情報テーブル１６の該エントリの「時刻」からＮ秒以上経過していない場合には（ＯＰ７：ＮＯ）、処理がＯＰ９に進む。

ＯＰ８では、加入者情報制御部１５は、加入者情報テーブル１６の該エントリの「時刻」からＮ秒以上経過しており、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３からはＳＩＰ脆弱性攻撃を受けていないことを判定する。加入者情報制御部１５は、加入者情報テーブル１６の該当のエントリを削除する。次に処理がＯＰ９に進む。

ＯＰ９では、加入者情報制御部１５は、加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号と同一の電話番号を有するエントリがあるか否かを判定する。加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号と同一の電話番号を有するエントリがある場合には（ＯＰ９：ＹＥＳ）、処理がＯＰ１０に進む。加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号と同一の電話番号を有するエントリがない場合には（ＯＰ９：ＮＯ）、処理がＯＰ１１に進む。

ＯＰ１０では、加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号と同一の電話番号を有するエントリがあるので、加入者情報制御部１５は、該当のエントリの「受信回数」を、現状の値に１を加算した値に更新する。その後、図９に示される処理が終了する。

ＯＰ１１では、加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号と同一の電話番号を有するエントリがないので、加入者情報制御部１５は、加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージのエントリを登録する。新たに登録されたエントリの「受信回数」は、１である。その後、図９に示される処理が終了する。

ＯＰ６において、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号に該当する加入者情報テーブル１６のエントリがない場合には、ＯＰ７からＯＰ９、ＯＰ９からＯＰ１１へと処理が進む。ＯＰ１１において、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージについて新たに加入者情報テーブル１６にエントリが登録される。

ＯＰ８において、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号に該当する加入者情報テーブル１６のエントリが削除された場合には、ＯＰ９からＯＰ１１へと処理が進む。ＯＰ１１において、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージについて、新たに加入者情報テーブル１６にエントリが登録される。

図１０は、図９のＯＰ５において送信された加入者情報取得要求に対する加入者情報取得応答を受信した場合のＳＩＰプロキシ呼制御サーバ１の処理のフローチャートの一例である。図１０に示される処理は、加入者情報制御部１５が加入者データ管理サーバ４から加入者情報取得応答を受信した場合に開始される。

ＯＰ２１では、加入者情報制御部１５は、加入者情報取得要求から加入者情報を抽出し、受付台接続制御部１７に出力する。受付台接続制御部１７は、加入者情報制御部１５から加入者情報の入力を受けて、該加入者情報を含むＳＩＰ＿ＩＮＦＯメッセージを生成する。加入者情報には、脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３の電話番号とＩＰアドレスとが含まれる。次に処理がＯＰ２２に進む。

ＯＰ２２では、受付台接続制御部１７は、生成したＳＩＰ＿ＩＮＦＯメッセージを受付台入側信号制御部１８に出力し、受付台入側信号制御部１８は、信号振分制御部１１を通じて、該ＳＩＰ＿ＩＮＦＯメッセージを受付台５に送信する。その後、図１０に示される処理が終了する。

図１１は、図１０のＯＰ２２において送信されたＳＩＰ＿ＩＮＦＯメッセージに対するＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージを受信した場合のＳＩＰプロキシ呼制御サーバ１の処理のフローチャートの一例である。図１１に示される処理は、信号振分制御部１１を通じて、受付台入側信号制御部１８が受付台５からＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージを受信した場合に開始される。

ＯＰ３１では、加入者情報制御部１５が、受付台接続制御部１７からＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージの受信の通知を受け、ＳＩＰ＿ＩＮＦＯメッセージで受付台５に報告された電話番号をキーに加入者情報テーブル１６を検索する。次に処理がＯＰ３２に進む。ＳＩＰ＿ＩＮＦＯメッセージで受付台５に報告された電話番号は、図９において受信したＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号であるので、以降、単に、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号、と称する。

ＯＰ３２では、加入者情報制御部１５は、加入者情報テーブル１６に、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号と同一の電話番号のエントリがあるか否かを判定する。加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号と同一の電話番号のエントリがある場合には（ＯＰ３２：ＹＥＳ）、処理がＯＰ３３に進む。加入者情報テーブル１６に受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号と同一の電話番号のエントリがないことは、第１実施形態では通常起こりえないと考えられるため、この場合には（ＯＰ３２：ＮＯ）、エラーとなり、図１１に示される処理が終了する。

ＯＰ３３では、加入者情報制御部１５は、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号と同一の電話番号の加入者情報テーブル１６のエントリの「受信回数」がＴ回以上であるか否かを判定する。「受信回数」がＴ回以上である場合には（ＯＰ３３：ＹＥＳ）、処理がＯＰ３４に進む。「受信回数」がＴ回未満である場合には（ＯＰ３３：ＮＯ）、加入者情報制御部１５は、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号のＵＥ ３からＳＩＰ脆弱性攻撃を受けていないと判定し、図１１に示される処理が終了する。

ＯＰ３４では、加入者情報テーブル１６の該当エントリの「受信回数」がＴ回以上であり、加入者情報制御部１５は、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号のＵＥ ３からＳＩＰ脆弱性攻撃を受けていると判定する。加入者情報制御部１５は、加入者データ管理サーバ４に、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号のＵＥ ３の加入者情報の強制未登録を依頼する加入者情報変更要求を送信する。次に処理がＯＰ３５に進む。

ＯＰ３５では、加入者情報制御部１５は、呼接続制御部１４に加入者情報取得要求に対する応答を出力し、呼接続制御部１４は、該応答を受け、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを作成し、該当の入側信号制御部１２に出力する。該ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージは、該当の入側信号制御部１２、信号振分制御部１１を通じて、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元のＵＥ ３に送信される。その後、図１１に示される処理が終了する。

図１２は、図１１のＯＰ３４で送信された加入者情報変更要求に対する加入者情報変更応答を受信した場合のＳＩＰプロキシ呼制御サーバ１の処理のフローチャートの一例である。図１２に示される処理は、加入者情報制御部１５が加入者データ管理サーバ４から加入者情報変更応答を受信した場合に開始される。

ＯＰ４１では、加入者情報制御部１５は、加入者情報変更応答の対象の電話番号と同じ電話番号の加入者情報テーブル１６のエントリがあるか否かを判定する。加入者情報変更応答の対象の電話番号は、図９において受信したＳＩＰ＿ＩＮＶＩＴＥメッセージに含まれる電話番号であるので、以降、単に、受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号、と称する。

受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号と同じ電話番号の加入者情報テーブル１６のエントリがある場合には（ＯＰ４１：ＹＥＳ）、処理がＯＰ４２に進む。受信ＳＩ
Ｐ＿ＩＮＶＩＴＥメッセージの電話番号と同じ電話番号の加入者情報テーブル１６のエントリがないことは、第１実施形態において通常起こりえないと考えられるため、この場合には（ＯＰ４１：ＮＯ）、エラーとなり、図１２に示される処理が終了する。

ＯＰ４２では、加入者情報制御部１５は、加入者情報テーブル１６の該当エントリを削除する。受信ＳＩＰ＿ＩＮＶＩＴＥメッセージの電話番号のＵＥ ３の加入者情報が加入者データ管理サーバ４に未登録状態となったので、以降、該電話番号のＵＥ ３からのＳＩＰ＿ＩＮＶＩＴＥメッセージはＳＩＰプロキシ呼制御サーバ１に届かなくなる。そのため、加入者情報テーブル１６内の該電話番号のエントリは不要となるためである。その後、図１２に示される処理が終了する。

図９から図１２に示されるフローチャートは一例であって、各フローチャートに含まれる処理ブロックの実行の有無や実行順等は、これらに限定されない。例えば、受付台５に脆弱性チェック結果ＮＧであるＳＩＰ＿ＩＮＶＩＴＥメッセージの加入者情報を報告しない場合には、図９のＯＰ５、図１０のＯＰ２１〜ＯＰ２２を実行せずに、図９のＯＰ１０から図１１のＯＰ３１の処理に進んでもよい。

＜具体例＞
図１３Ａ、図１３Ｂは、ＳＩＰ脆弱性攻撃が行われる場合のネットワークシステム１００における処理のシーケンスの一例を示す図である。ＵＥ＃Ｂは、ＳＩＰ脆弱性攻撃を行う端末であるとする。また、ＵＥ＃Ｂの加入者情報は、加入者データ管理サーバ４の加入者データテーブル４１に登録されていることを前提とする。

Ｓ１１では、ＵＥ＃Ｂは、ＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを送信する。このＳＩＰ＿ＩＮＶＩＴＥメッセージの送信は、Ｔ回目であるとする。Ｓ１２では、加入者管理呼制御サーバ２が、ＵＥ＃Ｂから送信されたＳＩＰ＿ＩＮＶＩＴＥメッセージを受信し、ＵＥ＃Ｂの加入者情報が登録されているか否かを確認するため加入者データ管理サーバ４に問い合わせを行う。Ｓ１３では、加入者データ管理サーバ４は、加入者管理呼制御サーバ２からの問い合わせに対して、ＵＥ＃Ｂの加入者情報が登録されていることを応答する。

Ｓ１４では、加入者管理呼制御サーバ２は、ＵＥ＃Ｂに加入者情報が加入者データ管理サーバ４に登録されていることを確認したので、ＵＥ＃ＢからのＳＩＰ＿ＩＮＶＩＴＥメッセージをＳＩＰプロキシ呼制御サーバ１に転送する。

Ｓ１５では、ＳＩＰプロキシ呼制御サーバ１は、受信したＳＩＰ＿ＩＮＶＩＴＥメッセージに対して脆弱性チェックを行い（図９、ＯＰ１）、脆弱性チェック結果ＮＧを判定する（図９、ＯＰ２：ＹＥＳ）。Ｓ１６では、ＳＩＰプロキシ呼制御サーバ１は、脆弱性チェック結果がＮＧであったので、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージをＵＥ＃Ｂに送信する（図９、ＯＰ４）。

Ｓ１７では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ＃Ｂの加入者情報取得要求を加入者データ管理サーバ４に送信する（図９、ＯＰ５）。加入者情報取得要求には、ＵＥ＃Ｂの電話番号が含まれている。

Ｓ１８では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ＃Ｂの電話番号に該当する加入者情報テーブル１６のエントリの「時刻」と現在時刻とを比較し（図９、ＯＰ６）、その差分がＮ秒未満であることを判定する（図９、ＯＰ７：ＮＯ）。

Ｓ１９では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ＃Ｂの電話番号に該当する加入者
情報テーブル１６のエントリの「受信回数」の値に１を加算する（図９、ＯＰ９：ＹＥＳ、ＯＰ１０）。Ｓ１１におけるＵＥ＃ＢからのＳＩＰ＿ＩＮＶＩＴＥメッセージの送信はＴ回目であることを想定しているので、Ｓ１９において、ＵＥ＃Ｂの電話番号に該当する加入者情報データテーブル１６のエントリの「受信回数」はＴとなる。

Ｓ２０では、加入者データ管理サーバ４は、加入者取得要求に対する加入者取得応答をＳＩＰプロキシ呼制御サーバ１に送信する。この加入者取得応答には、ＵＥ＃Ｂの電話番号とＩＰアドレスとが含まれている。

Ｓ２１では、ＳＩＰプロキシ呼制御サーバ１は、加入者データ管理サーバ４から加入者情報取得応答を受信し、ＵＥ＃Ｂの加入者情報として電話番号とＩＰアドレスとを含むＳＩＰ＿ＩＮＦＯメッセージを生成し（図１０、ＯＰ２１）、受付台５に送信する（図１０、ＯＰ２２）。Ｓ２２では、受付台５は、ＳＩＰプロキシ呼制御サーバ１からのＳＩＰ＿ＩＮＦＯメッセージに対するＳＩＰ＿２００＿ＲＥＳＰＯＮＳＥメッセージを送信する。

Ｓ２３では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ＃Ｂの電話番号に該当する加入者情報テーブル１６のエントリの「受信回数」がＴ回以上であることを判定する（図１１、ＯＰ３３：ＹＥＳ）。

Ｓ２４では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ＃Ｂの加入者情報の未登録状態への変更を依頼する加入者情報変更要求を加入者データ管理サーバ４に送信する（図１１、ＯＰ３４）。Ｓ２５では、ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを生成して、ＵＥ＃Ｂに送信する（図１１、ＯＰ３５）。

Ｓ２６では、加入者データ管理サーバ４は、ＳＩＰプロキシ呼制御サーバ１から加入者情報変更要求を受信し、加入者情報テーブル１６のＵＥ＃Ｂのエントリの「登録状態」を「登録」から「未登録」に変更する。また、加入者データ管理サーバ４は、加入者データテーブル４１のＵＥ＃Ｂのエントリの「強制未登録フラグ」を「ＯＮ」に変更する。Ｓ２７では、加入者データ管理サーバ４は、加入者情報変更要求に対する加入者情報変更応答をＳＩＰプロキシ呼制御サーバ１に送信する。

Ｓ２８では、ＳＩＰプロキシ呼制御サーバ１は、加入者データ管理サーバ４から加入者情報変更応答を受信し、加入者情報テーブル１６のＵＥ＃Ｂのエントリを削除する（図１２、ＯＰ４１：ＹＥＳ、ＯＰ４２）。

＜第１実施形態の作用効果＞
図１４は、図１３Ｂの処理後にＵＥ＃ＢからＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを受信した場合のネットワークシステム１００における処理のシーケンスの一例を示す図である。図１４では、加入者データサーバ４の加入者データテーブル４１には、ＵＥ＃Ｂのエントリの「登録状態」は「未登録」となっている。

Ｓ３１では、ＵＥ＃Ｂは、ＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージを送信する。Ｓ３２では、加入者管理呼制御サーバ２が、ＵＥ＃Ｂから送信されたＳＩＰ＿ＩＮＶＩＴＥメッセージを受信し、ＵＥ＃Ｂの加入者情報が登録されているか否かを確認するため加入者データ管理サーバ４に問い合わせを行う。Ｓ３３では、加入者データ管理サーバ４は、ＵＥ＃Ｂの電話番号に該当する加入者データテーブル４１のエントリの「登録状態」は「未登録」であるので、加入者管理呼制御サーバ２からの問い合わせに対して、ＵＥ＃Ｂの加入者情報が未登録であることを応答する。

Ｓ３４では、加入者管理呼制御サーバ２は、加入者データ管理サーバ４からＵＥ＃Ｂの
加入者情報が未登録である旨の応答を受信したので、ＵＥ＃Ｂに対して、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを送信する。ＵＥ＃Ｂは、ＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥメッセージを受信すると、呼を切断する。

以降、ＵＥ＃ＢかＳＩＰ＿ＩＮＶＩＴＥメッセージが送信された場合も、Ｓ３１〜Ｓ３４の処理と同様に処理が行われる。すなわち、ＳＩＰプロキシ呼制御サーバに１にＳＩＰ＿ＩＮＶＩＴＥメッセージが届く前に、呼を切断することができるため、ＳＩＰプロキシサーバ１の負荷が大きくなり、輻輳が発生することを抑制することができる。

加入者データ管理サーバ４には、ＵＥ＃Ｂの電話番号をキーにエントリが登録されている。そのため、ＵＥ＃ＢがＣＡＬＬ−ＩＤを変更し別の呼として認識されるようにＳＩＰ＿ＩＮＶＩＴＥメッセージを偽装して送信した場合でも、該ＳＩＰ＿ＩＮＶＩＴＥメッセージの呼は、加入者管理呼制御サーバ２において、呼切断される。

図１５は、ＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージが送信された場合のネットワークシステム１００における処理のシーケンスの一例を示す図である。

Ｓ４１〜Ｓ４６は、図１３ＡのＳ１１〜Ｓ１６と同様であって、ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰ＿ＩＮＶＩＴＥメッセージの脆弱性チェック結果がＮＧの場合には、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージをＵＥ＃Ｂに送信する。

この後、ＵＥ＃Ｂの電話番号に該当する加入者情報テーブル１６の「受信回数」がＴ回に満たない場合には、Ｓ４１で送信されたＳＩＰ＿ＩＮＶＩＴＥメッセージに対するＳＩＰ＿４ＸＸ＿ＲＥＳＰＯＮＳＥは送信されない。ＵＥ＃Ｂは、自発的に切断しない限り、Ｓ４１で送信したＳＩＰ＿ＩＮＶＩＴＥメッセージの呼を維持し続けることとなる。

ＵＥ＃Ｂは、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを受信すると、呼が維持されているとみなすため、呼が切断されるまで、該当のＣＡＬＬ−ＩＤを用いて発呼ができなくなる。例えば、図１５の場合では、Ｓ４１においてＣＡＬＬ−ＩＤ＝１でＳＩＰ＿ＩＮＶＩＴＥメッセージが送信されたとすると、Ｓ４６の処理以降、ＵＥ＃Ｂは、自発的に呼を切断しない限り、ＣＡＬＬ−ＩＤ＝１を用いてＳＩＰ＿ＩＮＶＩＴＥメッセージを送信することができない。これによって、ＳＩＰ脆弱性攻撃を行うＵＥ＃ＢからのＳＩＰ脆弱性攻撃信号であるＳＩＰ＿ＩＮＶＩＴＥメッセージの送信を抑制することができる。

また、第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、脆弱性チェック結果がＮＧとなったＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元装置の加入者情報を受付台５に報告する。これによって、脆弱性攻撃者の情報を他のシステムとも共有することができる。

＜その他＞
第１実施形態では、ＳＩＰのネットワークシステムにおけるＳＩＰ脆弱性攻撃について説明されたが、第１実施形態で説明された技術は、ＳＩＰ以外の呼制御プロトコルを用いるネットワークシステムにも適用可能である。

第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、Ｎ秒以内にＴ回以上同じ電話番号の発信元装置からＳＩＰ＿ＩＮＶＩＴＥメッセージを受信した場合に、該送信元装置からＳＩＰ脆弱性攻撃を受けていることを判定する。ＳＩＰ脆弱性攻撃を受けていることを判定する条件は、これに限られず、例えば、所定の形式のＳＩＰ＿ＩＮＶＩＴＥメッセージを受信することを条件としてもよい。

また、第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、ＳＩＰ＿ＩＮＶＩＴＥメ
ッセージに対する脆弱性チェック結果がＮＧである場合には、該ＳＩＰ＿ＩＮＶＩＴＥメッセージの発信元装置にＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージを送信する。ＳＩＰ＿ＩＮＶＩＴＥメッセージに対する脆弱性チェック結果がＮＧである場合に発信元装置に送信されるメッセージは、ＳＩＰ＿１８０＿ＲＥＳＰＯＮＳＥメッセージに限定されない。呼を継続可能なメッセージであれば、１００番台、２００番台のＲＥＳＰＯＮＳＥメッセージを採用することができる。

また、第１実施形態では、ＳＩＰプロキシ呼制御サーバ１は、ＵＥ ３を識別するために電話番号を用いるが、ＵＥ ３の識別方法はこれに限られない。例えば、発呼信号にＵＥ ３固有の識別情報が含まれる場合には、ＳＩＰプロキシ呼制御サーバ１は、該固有識別情報をＵＥ ３の識別方法として用いてもよい。

＜記録媒体＞
コンピュータその他の機械、装置（以下、コンピュータ等）に上記いずれかの機能を実現させるプログラムをコンピュータ等が読み取り可能な記録媒体に記録することができる。コンピュータ等に、この記録媒体のプログラムを読み込ませて実行させることにより、その機能を提供させることができる。

ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる非一時的な記録媒体をいう。このような記録媒体のうちコンピュータ等から取り外し可能なものとしては、例えばフレキシブルディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、ブルーレイディスク、ＤＡＴ、８ｍｍテープ、フラッシュメモリなどのメモリカード等がある。また、コンピュータ等に固定された記録媒体としてハードディスク、ＲＯＭ（リードオンリーメモリ）等がある。さらに、ＳＳＤ（Solid State Drive）は、コンピュータ等から取り外し可能な記録媒体としても、コ
ンピュータ等に固定された記録媒体としても利用可能である。

１ ＳＩＰプロキシ呼制御サーバ
２ 加入者管理呼制御サーバ
３ ＵＥ
４ 加入者データ管理サーバ
５ 受付台
１１ 信号振分制御部
１２ 入側信号制御部
１３ セキュリティ制御部
１４ 呼接続制御部
１５ 加入者情報制御部
１６ 加入者情報テーブル
１７ 受付台接続制御部
１８ 受付台入側信号制御部
４１ 加入者データテーブル
１０１ ＣＰＵ
１０２ 主記憶装置
１０３ 補助記憶装置
１０４ ネットワークインタフェース

Claims (7)

1. 管理装置に登録されることによって発呼が許可される装置からの発呼信号を受信する受信部と、
   前記発呼信号の発信元装置から攻撃を受けていることを判定するための所定の条件が満たされる場合に、前記発信元装置を未登録にするよう前記管理装置に依頼する制御部と、を備える呼制御装置。
2. 前記発呼信号が不正であるか否かを判定する判定部と、
   前記発呼信号が不正であると判定された場合に、前記発信元装置に対して、前記発呼信号による呼を継続させるための信号を生成して送信する生成部と、
   をさらに備える請求項１に記載の呼制御装置。
3. 前記判定部は、前記発呼信号が不正であることを判定した場合に、前記発信元装置に関する情報を、所定の宛先装置に送信する、
   請求項２に記載の呼制御装置。
4. 前記制御部は、前記所定の条件として、同一の発信元装置から所定期間中に所定回数以上発呼信号を受信した場合に、該発信元装置から攻撃を受けていることを判定する、
   請求項１から３のいずれか一項に記載の呼制御装置。
5. 前記情報処理装置は、ＳＩＰ（Session Initiation Protocol）プロキシサーバであり
   、
   前記管理装置は、ＳＩＰロケーションサーバであり、
   前記発呼信号は、ＳＩＰ＿ＩＮＶＩＴＥメッセージである、
   請求項１から４のいずれか一項に記載の呼制御装置。
6. コンピュータが、
   管理装置に登録されることによって発呼が許可される装置からの発呼信号を受信し、
   前記発呼信号の発信元装置から攻撃を受けていることを判定するための所定の条件が満たされる場合に、前記発信元装置を未登録にするよう前記管理装置に依頼する、
   呼制御方法。
7. 管理装置と、
   前記管理装置に登録されることによって発呼が許可される装置と、
   発呼信号を受信する受信部と、
   前記発呼信号の発信元装置から攻撃を受けていることを判定するための所定の条件が満たされる場合に、前記発信元装置を未登録にするよう前記管理装置に依頼する制御部と、
   を備える呼制御装置と、
   を含む呼制御システム。

Images