(57)【要約】      （修正有）【課題】利用を許可された無線端末が、不正ＡＰを介して外部ネットワークにアクセスしていた場合に、アクセスを制限する。【解決手段】集中管理装置４００は、ＡＰ３００がアクセス要求を無線端末２００から受付けた（Ｓ２）場合、過去の当該無線端末２００によるＡＰへのアクセス履歴情報を取得し（Ｓ６）、取得した履歴情報に管理対象である無線ネットワークに属さない不正なＡＰへのアクセス履歴があるか否かを判定し、不正なＡＰへのアクセス履歴がないと判定された場合、無線ネットワークへの無線端末２００のアクセスを許可する。【選択図】図９
2014230158.tif 000002
【特許請求の範囲】
【請求項１】
管理対象である無線ネットワークへのアクセス要求を無線端末から受付けた場合、過去の当該無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を取得し、取得した履歴情報に、前記無線端末に、前記管理対象である無線ネットワークに属さない不正なアクセスポイントへのアクセス履歴があるか否かを判定する判定工程と、
前記判定工程によって前記不正なアクセスポイントへのアクセス履歴がないと判定された場合、前記無線ネットワークへの前記無線端末のアクセスを許可する制御工程と
を含んだことを特徴とするアクセス制御方法。
【請求項２】
前記制御工程は、前記判定工程によって前記不正なアクセスポイントへのアクセス履歴があると判定された場合、前記無線端末がマルウェア対策機能を有する場合には、前記無線ネットワークへの前記無線端末のアクセスを許可することを特徴とする請求項１に記載のアクセス制御方法。
【請求項３】
無線端末装置と、前記無線端末装置による管理対象である無線ネットワークへのアクセスを管理する管理装置とを有する無線通信システムにおいて、
前記無線端末は、
過去の前記無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を生成する生成部と、
前記無線ネットワークへのアクセスを前記管理装置に要求する場合、前記履歴情報を前記管理装置に送信するアクセス要求部と、
アクセス要求が許可された場合に、前記無線ネットワークにアクセスするアクセス制御部とを有し、
前記管理装置は、
前記管理対象である無線ネットワークへのアクセス要求を無線端末から受付けた場合、前記履歴情報を取得し、取得した履歴情報に、前記無線端末に、前記管理対象である無線ネットワークに属さない不正なアクセスポイントへのアクセス履歴があるか否かを判定する判定部と、
前記判定部によって前記不正なアクセスポイントへのアクセス履歴がないと判定された場合、前記無線ネットワークへの前記無線端末のアクセスを許可する制御部と
を有することを特徴とする無線通信システム。
【請求項４】
管理対象である無線ネットワークへのアクセス要求を無線端末から受付けた場合、過去の当該無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を取得し、取得した履歴情報に、前記管理対象である無線ネットワークに属さない不正なアクセスポイントへのアクセス履歴があるか否かを判定する判定部と、
前記判定部によって前記不正なアクセスポイントへのアクセス履歴がないと判定された場合、前記無線ネットワークへの前記無線端末のアクセスを許可する制御部と
を有することを特徴とする管理装置。
【請求項５】
過去の無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を生成する生成部と、
無線ネットワークへのアクセスを管理装置に要求する場合、前記履歴情報を前記管理装置に送信するアクセス要求部と、
前記管理装置が管理対象とする無線ネットワークには属さない不正なアクセスポイントへのアクセス履歴がないと前記管理装置に判定された場合に、前記無線ネットワークにアクセスするアクセス制御部と
を有することを特徴とする無線端末。
【請求項６】
コンピュータに、
管理対象である無線ネットワークへのアクセス要求を無線端末から受付けた場合、過去の当該無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を取得し、取得した履歴情報に、前記管理対象である無線ネットワークに属さない不正なアクセスポイントへのアクセス履歴があるか否かを判定する判定手順と、
前記判定手順によって前記不正なアクセスポイントへのアクセス履歴がないと判定された場合、前記無線ネットワークへの前記無線端末のアクセスを許可する制御手順と
を実行させることを特徴とするアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制御方法、無線通信システム、管理装置、無線端末及びアクセス制御プログラムに関する。
【背景技術】
【０００２】
従来、無線（Wireless）ＬＡＮ（Local  Area  Network）システム（以下、ＷＬＡＮシステムと記す）では、集中管理装置が、企業内ネットワークや学内ネットワークなどの管理対象ネットワーク内のＡＰ（Access  Point）や無線端末の状態を管理する場合がある。
【０００３】
例えば、集中管理装置は、無線端末がアクセスを要求した場合、管理対象ネットワークの利用を許可した無線端末であるか否かを判定する。具体的には、集中管理装置は、管理対象ネットワークへのアクセス認証用のＩＤ（Identifier）やパスワードを無線端末に要求する。ここで、集中管理装置は、無線端末から受付けたＩＤ及びパスワードを認証可能であると判定した場合、この無線端末に対して管理対象ネットワークへのアクセスを許可する。一方、集中管理装置は、無線端末から受付けたＩＤ及びパスワードを認証可能でないと判定した場合、この無線端末を不正な無線端末であると判定し、管理対象ネットワークへのアクセスを許可しない。
【０００４】
また、集中管理装置は、管理対象ネットワーク内のＡＰに対して、どのような無線端末及びＡＰからアクセス要求があったかを示す履歴情報を取得する。そして、集中管理装置は、管理対象ネットワークの利用を許可していないＡＰなどからアクセスがあった場合には、このＡＰを不正なＡＰ（以下、「不正ＡＰ」と記載する）として特定する。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】Cisco  Wireless  Control  System（WCS）,  http://www.cisco.com/web/JP/product/hs/wireless/wcs/prodlit/wcs41＿ds.html
【非特許文献２】Cisco  Adaptive  Wireless  Intrusion  Prevention  Service  Configuration  Guide,  Release  7.0”,  http://www.cisco.com/en/US/docs/wireless/mse/3350/7.0MR1/wIPS/configuration/guide/wIPS＿70MR1.html
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、上記の従来技術では、利用を許可された無線端末が、不正ＡＰを介して外部ネットワークにアクセスしていた場合に、アクセスを制限することができないという問題がある。
【０００７】
例えば、無線端末の利用者が、テザリング設定を有効にしたままの無線端末を管理対象ネットワーク内に持ち込んだ場合、無線端末の利用者が気づかないうちに無線端末がＡＰとして動作してしまう場合がある。かかる場合、利用を許可された端末は、ＡＰとして動作している無線端末を介して、管理対象ネットワークを介さずに、外部ネットワークにアクセス可能になる。かかる場合、管理対象ネットワーク内の機器にマルウェア感染や、外部ネットワークへの情報漏えいのリスクが高くなる。
【０００８】
また、集中管理装置は、管理対象ネットワーク内の各ＡＰに対してどの無線端末からアクセスがあったかを特定することは可能であるが、管理対象ネットワーク内の無線端末が過去にどのＡＰにアクセスしたかを特定できない。このため、集中管理装置は、無線端末が管理対象ネットワーク外のＡＰに対してアクセスしたか否かを判定できない。このため、集中管理装置は、管理対象ネットワークへの利用を許可された無線端末が、不正ＡＰを介して外部ネットワークにアクセスした場合、この無線端末からの管理対象ネットワークへのアクセスを制限することができない。かかる場合、管理対象ネットワーク内の機器にマルウェア感染や、外部ネットワークへの情報漏えいのリスクが高くなる。
【０００９】
開示の技術は、上述に鑑みてなされたものであって、利用を許可された無線端末が、不正ＡＰを介して外部ネットワークにアクセスしていた場合に、アクセスを制限することを目的とする。
【課題を解決するための手段】
【００１０】
本願の開示するアクセス制御方法は、判定工程と、制御工程とを含む。判定工程は、管理対象である無線ネットワークへのアクセス要求を無線端末から受付けた場合、過去の当該無線端末によるアクセスポイントへのアクセス履歴を含む履歴情報を取得し、取得した履歴情報に、前記無線端末に、前記管理対象である無線ネットワークに属さない不正なアクセスポイントへのアクセス履歴があるか否かを判定する。制御工程は、前記判定工程によって前記不正なアクセスポイントへのアクセス履歴がないと判定された場合、前記無線ネットワークへの前記無線端末のアクセスを許可する。
【発明の効果】
【００１１】
開示するアクセス制御方法、無線通信システム、管理装置、無線端末及びアクセス制御プログラムの一つの態様によれば、利用を許可された無線端末が外部ネットワークにアクセスしていた場合に、アクセスを制限することができるという効果を奏する。
【図面の簡単な説明】
【００１２】
【図１】図１は、本実施形態１に係るＷＬＡＮシステムの構成例を示す図である。
【図２】図２は、本実施形態１に係る無線端末の構成を示す機能ブロック図である。
【図３】図３は、本実施形態１に係るアクセス先履歴情報テーブルのデータ構造の一例を示す図である。
【図４】図４は、本実施形態１に係るＡＰの構成を示す機能ブロック図である。
【図５】図５は、本実施形態１に係るアクセス元履歴情報テーブルのデータ構造の一例を示す図である。
【図６】図６は、本実施形態１に係る集中管理装置の構成を示す機能ブロック図である。
【図７】図７は、本実施形態１に係るＡＰ管理情報テーブルのデータ構造の一例を示す図である。
【図８】図８は、本実施形態１に係る不正ＡＰ管理情報テーブルのデータ構造の一例を示す図である。
【図９】図９は、本実施形態１に係るＷＬＡＮシステムにおける処理動作を示すシーケンス図である。
【図１０】図１０は、本実施形態１に係る無線端末による処理の手順を示すフローチャートである。
【図１１】図１１は、本実施形態１に係るＡＰによる処理の手順を示すフローチャートである。
【図１２】図１２は、本実施形態１に係る集中管理装置による処理の手順を示すフローチャートである。
【図１３】図１３は、本実施形態１に係るＷＬＡＮシステムによって得られる効果を説明するための図である。
【図１４】図１４は、コンピュータシステムによる処理を実行するためのアクセス制御プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。
【発明を実施するための形態】
【００１３】
以下に、開示するアクセス制御方法、無線通信システム、管理装置、無線端末及びアクセス制御プログラムの実施形態について、図面に基づいて詳細に説明する。なお、本実施形態により開示する発明が限定されるものではない。ここでは、無線通信システムの一例として、ＷＬＡＮ（Wireless  Local  Area  Network）システムを説明する。
【００１４】
（実施形態１）
図１は、本実施形態１に係るＷＬＡＮシステム１００の構成例を示す図である。図１に示すように、ＷＬＡＮシステム１００は、無線端末２００ａと、無線端末２００ｂと、ＡＰ（Access  Point）３００と、集中管理装置４００とを有する。このＷＬＡＮシステム１００は、例えば、企業内ネットワークや学内ネットワークである。図１に示すようにＷＬＡＮシステム１００において、ＡＰ３００と、集中管理装置４００とは、ネットワーク５００に接続する。なお、このネットワーク５００のことを「管理対象ネットワーク」とも言う。また、ネットワーク５００は、無線ネットワークである。
【００１５】
無線端末２００ａ及び無線端末２００ｂは、例えば、携帯電話機やノート型ＰＣ（Personal  Computer）などの無線通信機能を有し、利用者によって持ち運ばれる端末である。この無線端末２００ａ及び無線端末２００ｂを区別せず一般化して呼ぶ場合には、無線端末２００と記載する。
【００１６】
無線端末２００は、事前に設定された設定情報に基づき、適切なＡＰ３００にアクセスすることで、ネットワーク５００に接続する。なお、ここで言う「設定情報」には、ＷＬＡＮシステム１００へのアクセス認証用のＩＤ（Identifier）及びパスワード、無線端末２００のＭＡＣ（Media  Access  Control）アドレスなどが含まれる。例えば、無線端末２００は、この設定情報を用いることで、無線端末２００自身がネットワーク５００の利用装置として登録されていることの認証を行う。
【００１７】
また、無線端末２００は、ＷＬＡＮシステム１００及び後述するＷＬＡＮシステム６００へアクセスするごとに、アクセス先のＡＰを示す「アクセス先履歴情報」を生成し、記憶部に保持する。なお、アクセス先履歴情報の詳細なデータ構造については後述する。
【００１８】
ＡＰ３００は、電波を発信、受信して、無線端末２００の通信回線を確保する装置である。ＡＰ３００は、集中管理装置４００に帰属し、無線端末２００の認証、ローミング、ＱｏＳ、ＡＰ３００のバージョンアップ等の各種処理を依頼する。
【００１９】
また、ＡＰ３００は、アクセスが要求されるごとに、アクセス元の無線端末２００及び無線端末７００の識別情報や他のＡＰの識別情報を示す「アクセス元履歴情報」を生成し、集中管理装置４００に送信する。なお、アクセス元履歴情報の詳細なデータ構造については後述する。
【００２０】
集中管理装置４００は、ＷＬＡＮシステム１００の管理を行う装置であり、例えば、無線端末２００の認証、ローミング、ＱｏＳ、ＡＰ３００のバージョンアップ等の各種処理を実行する。なお、集中管理装置４００が実行する処理の詳細については後述する。
【００２１】
また、図１に示すように、ＷＬＡＮシステム１００の外部には、ＷＬＡＮシステム１００とは異なるＷＬＡＮシステム６００も存在する場合がある。ＷＬＡＮシステム６００には、無線端末７００ａと、無線端末７００ｂと、ＡＰ８００とを有する。図１に示すようにＷＬＡＮシステム６００において、ＡＰ８００は、ネットワーク９００に接続する。なお、無線端末７００ａ及び無線端末７００ｂを区別せず一般化して呼ぶ場合には、無線端末７００と記載する。なお、ネットワーク９００のことを「外部ネットワーク」とも言う。また、ネットワーク９００は、無線ネットワークである。
【００２２】
また、ＷＬＡＮシステム６００が有する無線端末７００及びＡＰ８００は、ＷＬＡＮシステム１００に対してアクセス権限がない。言い換えると、集中管理装置４００は、無線端末７００及びＡＰ８００を管理対象外として扱う。このようなことから、説明の便宜上、無線端末７００のことを不正無線端末７００と称し、ＡＰ８００のことを不正ＡＰ８００と称する場合がある。なお、ここで言う「不正」は、集中管理装置４００の管理対象であるネットワーク５００に属さないことを示し、例えば、ＷＬＡＮシステム１００には未登録でありアクセス権限がないこと又はマルウェアなど悪意あるソフトウェアなどを配布する危険性があることのいずれかを示す。
【００２３】
また、ＷＬＡＮシステム１００が有する無線端末２００の数、ＡＰ３００の数、集中管理装置４００の数は、図１に図示した数に限定されるものではない。また、同様に、ＷＬＡＮシステム６００が有する無線端末７００の数、ＡＰ８００の数は、図１に図示した数に限定されるものではない。
【００２４】
このようなＷＬＡＮシステム１００において、無線端末２００の利用者が、テザリング設定が有効になったままの無線端末２００を管理対象ネットワーク５００内に持ち込むことで、無線端末２００の利用者が気づかないうちに無線端末２００が不正ＡＰ８００として動作してしまう場合がある。かかる場合、この不正ＡＰ８００を介して、管理対象ネットワーク５００の利用が許可されている端末２００から管理対象ネットワーク５００を介さずに外部ネットワーク９００にアクセス可能な状態になってしまう。
【００２５】
このようなことから、実施形態１に係る集中管理装置４００は、管理対象である無線ネットワーク５００へのアクセス要求を無線端末２００から受付けた場合、過去の当該無線端末２００によるアクセスポイントへのアクセス履歴を含むアクセス先履歴情報を取得し、取得した履歴情報に、管理対象である無線ネットワーク５００に属さない不正ＡＰ８００へのアクセス履歴があるか否かを判定する。そして、集中管理装置４００は、不正ＡＰ８００へのアクセス履歴がないと判定した場合、管理対象である無線ネットワーク５００への無線端末２００のアクセスを許可する。
【００２６】
次に、図１に示した無線端末２００の構成の一例について説明する。図２は、本実施形態１に係る無線端末２００の構成を示す機能ブロック図である。図２に示すように、この無線端末２００は、通信部２０１、入力部２０２、出力部２０３、記憶部２１０、制御部２２０を有する。
【００２７】
通信部２０１は、無線通信可能な範囲に含まれるＡＰ３００又はＡＰ８００、集中管理装置４００との間でデータ通信を実行する処理部である。通信部２０１は、通信装置等に対応する。後述する制御部２２０は、通信部２０１を利用して、ＡＰ３００又はＡＰ８００、集中管理装置４００とデータをやり取りする。
【００２８】
入力部２０２は、利用者等が、各種のデータを無線端末２００に入力する場合に利用する入力装置である。入力部２０２は、例えば、キーボード、マウス、タッチパネル等に対応する。出力部２０３は、各種の情報を表示する表示装置である。出力部２０３は、例えば、ディスプレイ等に対応する。
【００２９】
記憶部２１０は、アクセス先履歴情報テーブル２１１などを記憶する記憶装置である。また、この記憶部２１０は、図示しない設定情報を記憶する。また、記憶部２１０には、ウィルス定義ファイルや、ウィルス対策ソフトウェアなどが記憶される場合がある。
【００３０】
アクセス先履歴情報テーブル２１１は、無線端末２００がＷＬＡＮシステム１００及び後述するＷＬＡＮシステム６００へアクセスする際に、アクセスしたＡＰ３００及びＡＰ８００の識別情報を履歴として保持するテーブルである。なお、このアクセス先履歴情報テーブル２１１のことを「アクセス履歴情報」とも言う場合がある。図３は、本実施形態１に係るアクセス先履歴情報テーブル２１１のデータ構造の一例を示す図である。
【００３１】
図３に示すように、アクセス先履歴情報テーブル２１１は、「アクセス先ＡＰ識別情報」と、「ＭＡＣアドレス」とを対応付けた情報を記憶する。ここで、アクセス先履歴情報テーブル２１１が記憶する「アクセス先ＡＰ識別情報」は、アクセス先ＡＰのＳＳＩＤ（Service  Set  Identifier）を示す。例えば、「アクセス先ＡＰ識別情報」には、「ｘｘｘ１」、「ｘｘｘ２」などのデータ値が格納される。
【００３２】
また、アクセス先履歴情報テーブル２１１が記憶する「ＭＡＣアドレス」は、アクセス先ＡＰのＭＡＣアドレスを示す。例えば、「ＭＡＣアドレス」には、「０００１」、「０００２」などのデータ値が格納される。
【００３３】
一例をあげると、図３に示すアクセス先履歴情報テーブル２１１は、無線端末２００が、ＳＳＩＤ「ｘｘｘ１」であり、ＭＡＣアドレス「０００１」であるＡＰにアクセスしたことを示す。
【００３４】
図２の説明に戻る。制御部２２０は、アクセス要求部２２１と、アクセス制御部２２２と、履歴情報生成部２２３とを有する。
【００３５】
アクセス要求部２２１は、事前に設定された設定情報に基づき、ＡＰ３００にアクセスを要求する処理部である。なお、ここで言う「設定情報」には、ＷＬＡＮシステム１００へのアクセス認証用のＩＤ（Identifier）及びパスワード、無線端末２００のＭＡＣ（Media  Access  Control）アドレスなどが含まれる。
【００３６】
例えば、アクセス要求部２２１は、無線端末２００の利用者からネットワーク５００へのアクセスを要求する操作を受付けた場合、最寄りのＡＰ３００を検出し、検出したＡＰ３００にアクセス要求を送信する。ここで、アクセス要求部２２１は、アクセス要求に、認証処理に用いる、例えば無線端末２００自身のＩＤ及びパスワード又はＭＡＣアドレスを含めて送信する。
【００３７】
アクセス要求部２２１は、ＡＰ３００から認証処理に成功した旨を通知されると、記憶部２１０が記憶するアクセス先履歴情報テーブルからアクセス先履歴情報を読出して、ＡＰ３００を介して集中管理装置４００にアクセス先履歴情報を送信する。ここで、アクセス要求部２２１は、ＡＰ３００を介して集中管理装置４００からアクセスを許可する旨を応答された場合、アクセス制御部２２２に要求したアクセスが許可されたことを通知する。
【００３８】
また、アクセス要求部２２１は、ＡＰ３００を介して集中管理装置４００からアクセスを許可しない旨を応答された場合、ウィルス対策環境を示す情報が記憶部２１０に記憶されているか否かを判定する。ここで、アクセス要求部２２１は、ウィルス定義ファイルや、ウィルス対策ソフトウェアなどのウィルス対策環境を示す情報が記憶部２１０に記憶されている場合、ウィルス対策環境を示す情報を記憶部２１０から読出す。そして、アクセス要求部２２１は、ＡＰ３００を介して集中管理装置４００にウィルス対策環境を示す情報を送信し、ウィルスチェックが正常であるかの判定を依頼する。そして、アクセス要求部２２１は、ＡＰ３００を介して集中管理装置４００からウィルスチェックが正常である旨を応答された場合、アクセス制御部２２２に要求したアクセスが許可されたことを通知する。なお、アクセス要求部２２１は、ウィルス対策環境を示す情報が記憶部２１０に記憶されていない場合、アクセス要求を中断する。
【００３９】
アクセス制御部２２２は、アクセス要求が許可された場合に、ネットワーク５００にアクセスする。例えば、アクセス制御部２２２は、要求したアクセスが許可されたことをアクセス要求部２２１から通知された場合、ネットワーク５００へのアクセスを開始する。
【００４０】
履歴情報生成部２２３は、無線端末２００がアクセスしたＡＰ３００及びＡＰ８００を識別するアクセス先履歴情報を生成する。例えば、履歴情報生成部２２３は、無線端末２００がアクセスしたＡＰのＳＳＩＤ及びＭＡＣアドレスを取得し、アクセス先履歴情報としてアクセス先履歴情報テーブル２１１に格納する。
【００４１】
次に、図１に示したＡＰ３００の構成の一例について説明する。図４は、本実施形態１に係るＡＰ３００の構成を示す機能ブロック図である。図４に示すように、このＡＰ３００は、通信部３０１、入力部３０２、出力部３０３、記憶部３１０、制御部３２０を有する。なお、その他の構成は、従来の無線基地局（ＡＰ）と同様であるため、説明を省略する。
【００４２】
通信部３０１は、無線通信可能な範囲に含まれる無線端末２００、他のＡＰ３００又は８００、集中管理装置４００との間でデータ通信を実行する処理部である。通信部３０１は、通信装置等に対応する。後述する制御部３２０は、通信部３０１を利用して、無線端末２００、他のＡＰ３００又は８００、集中管理装置４００とデータをやり取りする。
【００４３】
なお、通信部３０１は、パワーコントローラの機能を有していても良い。通信部３０１は、他のＡＰ３００に届くように、送信する電波の強度を調整し、ＡＰ３００毎に適した電波強度によって、電波を送信する。通信部３０１が、電波の強度を調整する処理は、如何なる従来技術を用いても構わない。
【００４４】
入力部３０２は、管理者等が、各種のデータをＡＰ３００に入力する場合に利用する入力装置である。入力部３０２は、例えば、キーボード、マウス、タッチパネル等に対応する。出力部３０３は、各種の情報を表示する表示装置である。出力部３０３は、例えば、ディスプレイ等に対応する。
【００４５】
記憶部３１０は、アクセス元履歴情報テーブル３１１などを記憶する記憶装置である。アクセス元履歴情報テーブル３１１は、ＡＰ３００がアクセスを要求される際に、アクセス元の無線端末２００及び無線端末７００の識別情報や他のＡＰの識別情報を履歴として保持するテーブルである。図５は、本実施形態１に係るアクセス元履歴情報テーブル３１１のデータ構造の一例を示す図である。
【００４６】
図５に示すように、アクセス元履歴情報テーブル３１１は、「アクセス元識別情報」と、「ＭＡＣアドレス」と、「データ通信量」とを対応付けた情報を記憶する。ここで、アクセス元履歴情報テーブル３１１が記憶する「アクセス元識別情報」は、アクセス元ＡＰのＳＳＩＤやアクセス元無線端末のＩＤを示す。例えば、「アクセス元識別情報」には、「ｘｘｘａ」、「ｘｘｘｂ」などのデータ値が格納される。
【００４７】
また、アクセス元履歴情報テーブル３１１が記憶する「ＭＡＣアドレス」は、アクセス元ＡＰ又はアクセス元無線端末のＭＡＣアドレスを示す。例えば、「ＭＡＣアドレス」には、「０００ａ」、「０００ｂ」などのデータ値が格納される。
【００４８】
また、アクセス元履歴情報テーブル３１１が記憶する「データ通信量」は、アクセス元から受信したデータ量、または送信したデータ量を示す。例えば、「データ通信量」には、「２０ＭＢ（バイト）」、「１０ＭＢ（バイト）」などのデータ値が格納される。
【００４９】
一例をあげると、図５に示すアクセス元履歴情報テーブル３１１は、ＡＰ３００が、ＳＳＩＤ「ｘｘｘａ」であり、ＭＡＣアドレス「０００ａ」である無線端末から２０ＭＢのデータ量の通信を受付けたことを示す。
【００５０】
図４の説明に戻る。制御部３２０は、アクセス要求受付部３２１と、アクセス制御部３２２と、履歴情報生成部３２３とを有する。
【００５１】
アクセス要求受付部３２１は、無線端末２００、無線端末７００及び他のＡＰからネットワーク５００へのアクセス要求を受付けた場合、アクセスを要求した無線端末２００又は無線端末７００がネットワーク５００の利用装置として登録されているか否かを判定する。例えば、アクセス要求受付部３２１は、パスワード認証やＭＡＣアドレスを認証することで、アクセスを要求した無線端末２００、無線端末７００及び他のＡＰが、ネットワーク５００の利用装置として登録されているか否かを判定する。そして、アクセス要求受付部３２１は、無線端末２００の認証に成功した場合、認証に成功した旨を応答するとともにアクセス先履歴情報を無線端末２００に要求する。
【００５２】
また、アクセス要求受付部３２１は、アクセス先履歴情報を無線端末２００から取得し、取得したアクセス先履歴情報を集中管理装置４００に転送する。そして、アクセス要求受付部３２１は、無線端末２００のアクセスを許可するか否かの判定結果を集中管理装置４００から受信し、受信した判定結果を無線端末２００に応答する。
【００５３】
アクセス制御部３２２は、アクセス要求が許可された無線端末２００や他のＡＰによるネットワーク５００へのアクセスを制御する。
【００５４】
履歴情報生成部３２３は、ＡＰ３００にアクセスを要求した無線端末２００、無線端末７００及び他のＡＰを識別するアクセス元履歴情報を生成する。例えば、履歴情報生成部３２３は、無線端末２００、無線端末７００及び他のＡＰのＳＳＩＤ及びＭＡＣアドレスを取得し、アクセス元履歴情報としてアクセス元履歴情報テーブル３１１に格納する。また、履歴情報生成部３２３は、定期的に或いは集中管理装置４００からの要求に応じて、生成したアクセス元履歴情報テーブル３１１が記憶するアクセス元履歴情報を集中管理装置４００に送信する。
【００５５】
次に、図１に示した集中管理装置４００の構成の一例について説明する。図６は、本実施形態１に係る集中管理装置４００の構成を示す機能ブロック図である。図６に示すように、この集中管理装置４００は、通信部４０１、入力部４０２、出力部４０３、記憶部４１０、制御部４２０を有する。
【００５６】
通信部４０１は、無線端末２００及びＡＰ３００との間でデータ通信を実行する処理部である。通信部４０１は、通信装置等に対応する。後述する制御部４２０は、通信部４０１を利用して、無線端末２００及びＡＰ３００とデータをやり取りする。
【００５７】
入力部４０２は、管理者等が、各種のデータを集中管理装置４００に入力する場合に利用する入力装置である。入力部４０２は、例えば、キーボード、マウス、タッチパネル等に対応する。出力部４０３は、各種の情報を表示する表示装置である。出力部４０３は、例えば、ディスプレイ等に対応する。
【００５８】
記憶部４１０は、ＡＰ管理情報テーブル４１１と、不正ＡＰ管理情報テーブル４１２と、アクセス元履歴情報テーブル４１３とを記憶する記憶装置である。
【００５９】
ＡＰ管理情報テーブル４１１は、ネットワーク５００の利用装置として登録されている無線端末２００の識別情報及びＡＰ３００の識別情報を保持するテーブルである。図７は、本実施形態１に係るＡＰ管理情報テーブル４１１のデータ構造の一例を示す図である。
【００６０】
図７に示すように、ＡＰ管理情報テーブル４１１は、「ＡＰ識別情報」と、「ＭＡＣアドレス」と、「位置情報」とを対応付けた情報を記憶する。ここで、ＡＰ管理情報テーブル４１１が記憶する「ＡＰ識別情報」は、ネットワーク５００のアクセス元として登録済みであるＡＰのＳＳＩＤを示す。例えば、「ＡＰ識別情報」には、「ｘｘｘ１」、「ｘｘｘ２」などのデータ値が格納される。
【００６１】
また、ＡＰ管理情報テーブル４１１が記憶する「ＭＡＣアドレス」は、アクセス元ＡＰのＭＡＣアドレスを示す。例えば、「ＭＡＣアドレス」には、「０００１」、「０００２」などのデータ値が格納される。
【００６２】
また、ＡＰ管理情報テーブル４１１が記憶する「位置情報」は、アクセス元ＡＰが配置されている位置情報を示す。例えば、「位置情報」には、「ｘｘｘｘ」、「ｘｘｘｘ」などのデータ値が格納される。
【００６３】
一例をあげると、図７に示すＡＰ管理情報テーブル４１１は、ＳＳＩＤ「ｘｘｘ１」であり、ＭＡＣアドレス「０００１」であるＡＰ３００が、「ｘｘｘｘ」に位置することを示す。
【００６４】
不正ＡＰ管理情報テーブル４１２は、ネットワーク５００の利用装置として登録されていないＡＰ８００の識別情報を保持するテーブルである。言い換えると、不正ＡＰ管理情報テーブル４１２は、不正ＡＰ８００の識別情報を保持するテーブルである。図８は、本実施形態１に係る不正ＡＰ管理情報テーブル４１２のデータ構造の一例を示す図である。
【００６５】
図８に示すように、不正ＡＰ管理情報テーブル４１２は、「不正ＡＰ識別情報」と、「ＭＡＣアドレス」と、「位置情報」とを対応付けた情報を記憶する。ここで、不正ＡＰ管理情報テーブル４１２が記憶する「不正ＡＰ識別情報」は、ネットワーク５００のアクセス元として登録済みではないＡＰのＳＳＩＤを示す。例えば、「不正ＡＰ識別情報」には、「ｘｘｘ３」、「ｘｘｘ４」などのデータ値が格納される。
【００６６】
また、不正ＡＰ管理情報テーブル４１２が記憶する「ＭＡＣアドレス」は、アクセス元ＡＰのＭＡＣアドレスを示す。例えば、「ＭＡＣアドレス」には、「０００３」、「０００４」などのデータ値が格納される。
【００６７】
また、不正ＡＰ管理情報テーブル４１２が記憶する「位置情報」は、アクセス元ＡＰが配置されている位置情報を示す。例えば、「位置情報」には、「ｙｙｙｙ」、「ｙｙｙｙ」などのデータ値が格納される。
【００６８】
一例をあげると、図８に示す不正ＡＰ管理情報テーブル４１２は、ＳＳＩＤ「ｘｘｘ３」であり、ＭＡＣアドレス「０００３」であるＡＰ８００が、「ｙｙｙｙ」に位置することを示す。なお、不正ＡＰ管理情報テーブル４１２は、不正無線端末７００の識別情報を更に保持するようにしてもよい。
【００６９】
アクセス元履歴情報テーブル４１３は、ＡＰ３００から取得したアクセス元履歴情報を保持するテーブルである。なお、アクセス元履歴情報テーブル４１３が記憶するデータ構造は、図５に示したアクセス元履歴情報テーブル３１１のデータ構造と同様である。
【００７０】
図６の説明に戻る。制御部４２０は、アクセス要求受付部４２１と、判定部４２２と、アクセス制御部４２３と、不正ＡＰ管理情報生成部４２４とを有する。
【００７１】
アクセス要求受付部４２１は、ＡＰ３００を介して無線端末２００からアクセス先履歴情報を受信した場合、判定部４２２に不正ＡＰ判定処理を依頼する。
【００７２】
判定部４２２は、管理対象であるネットワーク５００へのアクセス要求を無線端末２００から受付けた場合、以下の不正ＡＰ判定処理を実行する。すなわち、判定部４２２は、管理対象であるネットワーク５００へのアクセス要求を無線端末２００から受付けた場合、過去の無線端末２００によるＡＰ３００及びＡＰ８００へのアクセス履歴を含むアクセス先履歴情報を取得し、取得したアクセス先履歴情報に、管理対象であるネットワーク５００に属さない不正ＡＰ８００へのアクセス履歴があるか否かを判定する。
【００７３】
例えば、判定部４２２は、取得したアクセス先履歴情報に記憶されたＡＰ識別情報に、不正ＡＰ管理情報テーブル４１２が記憶する不正ＡＰ識別情報と一致するＡＰ識別情報が存在するか否かを判定する。そして、判定部４２２は、不正ＡＰ識別情報と一致するＡＰ識別情報が存在しないと判定した場合、無線端末２００には不正ＡＰ８００へのアクセス履歴がないと判定する。この場合、判定部４２２は、判定結果をアクセス制御部４２３に引き渡す。
【００７４】
また、判定部４２２は、不正ＡＰ管理情報テーブル４１２が記憶する不正ＡＰ識別情報と一致するＡＰ識別情報が存在すると判定した場合、無線端末２００には不正ＡＰ８００へのアクセス履歴があると判定する。かかる場合、判定部４２２は、判定結果をアクセス制御部４２３に引き渡す。
【００７５】
アクセス制御部４２３は、判定部４２２によって無線端末２００に不正ＡＰ８００へのアクセス履歴がないと判定された場合、ネットワーク５００への無線端末２００のアクセスを許可する。
【００７６】
また、アクセス制御部４２３は、判定部４２２によって無線端末２００に不正ＡＰ８００へのアクセス履歴があると判定された場合、無線端末２００がマルウェア対策機能を有する場合には、ネットワーク５００への無線端末２００のアクセスを許可する。例えば、アクセス制御部４２３は、ＡＰ３００を介して無線端末２００にウィルス対策環境を示す情報を要求する。そして、アクセス制御部４２３は、ウィルス対策環境を示す情報を用いて、ウィルスチェックを行い、ウィルスチェックは正常であるか否かを判定する。例えば、アクセス制御部４２３は、ウィルス定義ファイルが最新であり、ウィルス対策ソフトがインストールされている場合、ウィルスチェックは正常であると判定する。かかる場合、アクセス制御部４２３は、ＡＰ３００を介して無線端末２００にアクセスを許可する旨を応答する。
【００７７】
不正ＡＰ管理情報生成部４２４は、不正ＡＰ管理情報を生成し、不正ＡＰ管理情報テーブル４１２に格納する。例えば、不正ＡＰ管理情報生成部４２４は、ＡＰ３００から受信したアクセス元履歴情報が記憶するＡＰ識別情報のうち、ＡＰ管理情報テーブル４１１に記憶されていないＡＰ識別情報を抽出する。また、不正ＡＰ管理情報生成部４２４は、ＡＰ３００が不正ＡＰ８００から取得した電波強度に基づいて、不正ＡＰの位置情報を推定する。そして、不正ＡＰ管理情報生成部４２４は、抽出したＡＰ識別情報と、このＡＰ識別情報に対応付けられたＭＡＣアドレスと、推定した位置情報とを不正ＡＰ管理情報として不正ＡＰ管理情報テーブル４１２に格納する。
【００７８】
次に、図９を用いて、ＷＬＡＮシステム１００における処理動作を説明する。図９は、本実施形態１に係るＷＬＡＮシステム１００における処理動作を示すシーケンス図である。ここでは、無線端末２００が、ネットワーク５００へのアクセスに成功する場合の処理動作について説明する。
【００７９】
図９に示すように、無線端末２００は、ＡＰ３００にアクセス要求を送信する（ステップＳ１）。ここで、無線端末２００は、認証処理に用いる例えばＩＤ及びパスワードをアクセス要求に含めてＡＰ３００に送信する。そして、ＡＰ３００は、無線端末２００からアクセス要求を受信し（ステップＳ２）、認証処理を実行する（ステップＳ３）。ＡＰ３００は、認証処理が成功したことを無線端末２００に通知する。
【００８０】
続いて、無線端末２００は、認証処理に成功したことを通知されると、アクセス先履歴情報（アクセス先履歴情報テーブル２１１）をＡＰ３００に送信する（ステップＳ４）。ＡＰ３００は、無線端末２００から受信したアクセス先信履歴情報を集中管理装置４００に転送する（ステップＳ５）。集中管理装置４００は、アクセス先履歴情報を受信し（ステップＳ６）、不正ＡＰ判定処理を実行する（ステップＳ７）。なお、ここでは、集中管理装置４００が不正ＡＰ判定処理の結果、無線端末２００は、不正ＡＰ８００にアクセスした履歴がないと判定した場合を説明する。
【００８１】
集中管理装置４００は、判定結果をＡＰ３００に送信する（ステップＳ８）。そして、ＡＰ３００は、集中管理装置４００から判定結果を受信し（ステップＳ９）、判定結果に基づいてアクセス制御を行う（ステップＳ１０）。具体的には、ＡＰ３００は、無線端末２００にアクセスを許可する旨を通知する。この結果、無線端末２００は、ネットワーク５００へアクセスを開始する（ステップＳ１１）。
【００８２】
次に、図１０〜図１２を用いて、ＷＬＡＮシステム１００における処理の手順を説明する。図１０は、本実施形態１に係る無線端末２００による処理の手順を示すフローチャートである。図１０に示すように、無線端末２００において、アクセス要求部２２１は、無線端末２００の利用者からアクセス要求を受付けたか否かを判定する（ステップＳ１０１）。ここで、アクセス要求部２２１は、アクセス要求を受付けたと判定した場合（ステップＳ１０１、Ｙｅｓ）、ＡＰ３００にアクセス要求を送信する（ステップＳ１０２）。ここで、無線端末２００は、認証処理に用いる例えばＩＤ及びパスワードをアクセス要求に含めてＡＰ３００に送信する。なお、アクセス要求部２２１は、アクセス要求を受付けなかったと判定した場合（ステップＳ１０１、Ｎｏ）、ステップＳ１０１の判定処理を繰り返す。
【００８３】
続いて、アクセス要求部２２１は、ＡＰ３００から認証が成功したことを示す応答を通知されたか否かを判定する（ステップＳ１０３）。ここで、アクセス要求部２２１は、ＡＰ３００から認証が成功したことを示す応答を通知されなかったと判定した場合（ステップＳ１０３、Ｎｏ）、ステップＳ１０２に移行して、アクセス要求をＡＰ３００に送信する。一方、アクセス要求部２２１は、ＡＰ３００から認証が成功したことを示す応答を通知されたと判定した場合（ステップＳ１０３、Ｙｅｓ）、アクセス先履歴情報をＡＰ３００に送信する（ステップＳ１０４）。
【００８４】
そして、アクセス要求部２２１は、アクセスを許可する応答を受信したか否かを判定する（ステップＳ１０５）。ここで、アクセス要求部２２１は、アクセスを許可する応答を受信したと判定した場合（ステップＳ１０５、Ｙｅｓ）、ステップＳ１０８に移行する。
【００８５】
一方、アクセス要求部２２１は、アクセスを許可する応答を受信しなかったと判定した場合（ステップＳ１０５、Ｎｏ）、無線端末２００が備えるウィルス対策環境を示す情報をＡＰ３００に送信し、ウィルスチェックを依頼する（ステップＳ１０６）。そして、アクセス要求部２２１は、ウィルスチェックは正常である旨の応答を受信したか否かを判定する（ステップＳ１０７）。ここで、アクセス要求部２２１が、ウィルスチェックは正常である旨の応答を受信したと判定した場合（ステップＳ１０７、Ｙｅｓ）、アクセス制御部２２２は、ネットワーク５００へのアクセスを開始する（ステップＳ１０８）。一方、アクセス要求部２２１は、ウィルスチェックは正常である旨の応答を受信しなかったと判定した場合（ステップＳ１０７、Ｎｏ）、ネットワーク５００へのアクセスを中止する（ステップＳ１０９）。
【００８６】
図１１は、本実施形態１に係るＡＰ３００による処理の手順を示すフローチャートである。図１１に示すように、ＡＰ３００において、アクセス要求受付部３２１は、アクセス要求を受付けたか否かを判定する（ステップＳ２０１）。ここで、アクセス要求受付部３２１は、アクセス要求を受付けたと判定した場合（ステップＳ２０１、Ｙｅｓ）、アクセス要求に含まれた認証情報を取得する（ステップＳ２０２）。なお、アクセス要求受付部３２１は、アクセス要求を受付けなかったと判定した場合（ステップＳ２０１、Ｎｏ）、ステップＳ２０１の判定処理を繰り返す。
【００８７】
そして、アクセス要求受付部３２１は、認証情報を用いて認証処理を行い、認証に成功したか否かを判定する（ステップＳ２０３）。ここで、アクセス要求受付部３２１は、認証に成功しなかったと判定した場合（ステップＳ２０３、Ｎｏ）、認証情報を無線端末２００に再要求し（ステップＳ２０４）、ステップＳ２０２に移行する。
【００８８】
一方、アクセス要求受付部３２１は、認証に成功したと判定した場合（ステップＳ２０３、Ｙｅｓ）、認証成功を無線端末２００に応答する（ステップＳ２０５）。そして、アクセス要求受付部３２１は、アクセス先履歴情報を無線端末２００から受信する。続いて、アクセス要求受付部３２１は、集中管理装置４００にアクセス先履歴情報を転送し（ステップＳ２０６）、アクセス許可の判定を依頼する（ステップＳ２０７）。
【００８９】
アクセス要求受付部３２１は、集中管理装置４００からアクセスを許可する応答を受信したか否かを判定する（ステップＳ２０８）。ここで、アクセス要求受付部３２１は、集中管理装置４００からアクセスを許可する応答を受信したと判定した場合（ステップＳ２０８、Ｙｅｓ）、ステップＳ２１２に移行する。一方、アクセス要求受付部３２１は、集中管理装置４００からアクセスを許可する応答を受信しなかったと判定した場合（ステップＳ２０８、Ｎｏ）、無線端末２００にウィルス対策環境を示す情報を要求する（ステップＳ２０９）。
【００９０】
そして、アクセス要求受付部３２１は、無線端末２００から取得したウィルス対策環境を示す情報を集中管理装置４００に転送し、ウィルスチェックを依頼する（ステップＳ２１０）。続いて、アクセス要求受付部３２１は、ウィルスチェックは正常である旨の応答を受信したか否かを判定する（ステップＳ２１１）。ここで、アクセス要求受付部３２１は、ウィルスチェックは正常である旨の応答を集中管理装置４００から受信したと判定した場合（ステップＳ２１１、Ｙｅｓ）、無線端末２００にアクセス許可を応答する（ステップＳ２１２）。一方、アクセス要求受付部３２１は、ウィルスチェックは正常である旨の応答を集中管理装置４００から受信しなかったと判定した場合（ステップＳ２１１、Ｎｏ）、無線端末２００にアクセス不許可を応答する（ステップＳ２１３）。
【００９１】
図１２は、本実施形態１に係る集中管理装置４００による処理の手順を示すフローチャートである。図１２に示すように、集中管理装置４００において、アクセス要求受付部４２１は、ＡＰ３００を介して無線端末２００からアクセス要求を受付けたか否かを判定する（ステップＳ３０１）。ここで、アクセス要求受付部４２１は、アクセス要求を受付けたと判定した場合（ステップＳ３０１、Ｙｅｓ）、アクセス先履歴情報を取得する（ステップＳ３０２）。そして、アクセス要求受付部４２１は、取得したアクセス先履歴情報を判定部４２２に引き渡す。一方、アクセス要求受付部４２１は、アクセス要求を受付けなかったと判定した場合（ステップＳ３０１、Ｎｏ）、ステップＳ３０１の判定処理を繰り返す。
【００９２】
続いて、判定部４２２は、取得したアクセス先履歴情報に記憶されたＡＰ識別情報に、不正ＡＰ識別情報と一致するＡＰ識別情報が存在するか否かを判定する（ステップＳ３０３）。ここで、判定部４２２は、不正ＡＰ識別情報と一致するＡＰ識別情報が存在しないと判定した場合（ステップＳ３０３、Ｎｏ）、無線端末２００には不正ＡＰ８００へのアクセス履歴がないと判定し、ステップＳ３０７に移行する。そして、判定部４２２は、判定結果をアクセス制御部４２３に引き渡す。
【００９３】
一方、判定部４２２は、不正ＡＰ識別情報と一致するＡＰ識別情報が存在すると判定した場合（ステップＳ３０３、Ｙｅｓ）、無線端末２００には不正ＡＰ８００へのアクセス履歴があると判定する。かかる場合、判定部４２２は、判定結果をアクセス制御部４２３に引き渡す。
【００９４】
そして、アクセス制御部４２３は、ＡＰ３００を介して無線端末２００にウィルス対策環境を示す情報を要求する（ステップＳ３０４）。続いて、アクセス制御部４２３は、ウィルス対策環境を示す情報を用いて、ウィルスチェックを行い、ウィルスチェックは正常であるか否かを判定する（ステップＳ３０５）。ここで、アクセス制御部４２３は、ウィルスチェックは正常であると判定した場合（ステップＳ３０５、Ｙｅｓ）、ステップＳ３０７に移行する。そして、アクセス制御部４２３は、ＡＰ３００を介して無線端末２００にアクセスを許可する旨を応答する（ステップＳ３０７）。
【００９５】
一方、アクセス制御部４２３は、ウィルスチェックは正常ではないと判定した場合（ステップＳ３０５、Ｎｏ）、ＡＰ３００を介して無線端末２００にアクセスの不許可を応答する（ステップＳ３０６）。
【００９６】
上述したように、実施形態１に係るＷＬＡＮシステム１００において、集中管理装置４００は、ネットワーク５００へのアクセス要求を無線端末２００から受付けた場合、過去の当該無線端末２００によるアクセスポイントへのアクセス履歴を含むアクセス先履歴情報をアクセス要求から取得し、取得した履歴情報に、無線端末２００に不正なアクセスポイントへのアクセス履歴があるか否かを判定する。そして、集中管理装置４００は、不正なアクセスポイントへのアクセス履歴がないと判定した場合、ネットワーク５００への無線端末２００のアクセスを許可する。これにより、実施形態１に係るＷＬＡＮシステム１００では、ネットワーク５００の利用を許可された無線端末２００が、不正ＡＰ８００を介して外部ネットワーク９００にアクセスしていた場合に、アクセスを制限することができる。
【００９７】
図１３は、本実施形態１に係るＷＬＡＮシステム１００によって得られる効果を説明するための図である。図１３に示す例では、集中管理装置４００と、ＡＰ３００ａと、ＡＰ３００ｂとが管理対象ネットワーク５００に接続する。また、図１３に示す例では、不正ＡＰ８００が外部ネットワーク９００に接続する。また、図１３に示す例では、無線端末２００ａ及び無線端末２００ｂと、ＡＰ３００ａ及びＡＰ３００ｂとは、ネットワーク５００の利用装置として登録されており、不正無線端末７００ａ及び不正無線端末７００ｂは、ネットワーク５００の利用装置として登録されていない。なお、図１３に示す例では、ＡＰ３００ａのＳＳＩＤが「ｘｘｘ１」であり、ＡＰ３００ｂのＳＳＩＤが「ｘｘｘ２」であり、不正ＡＰ８００のＳＳＩＤが「ｘｘｘ３」であるとする。
【００９８】
このようなＷＬＡＮシステムにおいて、無線端末２００ａ及び無線端末２００ｂ或いは、不正無線端末７００ａがネットワーク５００にアクセスした場合について説明する。例えば、ＡＰ３００ａに不正無線端末７００ａがアクセスした場合を説明する。無線端末７００ａは、管理対象ネットワーク５００へのアクセス認証用のＩＤ（Identifier）やパスワードを有していない。このため、集中管理装置４００は、無線端末７００ａによるネットワーク５００へのアクセスを許可しない。
【００９９】
また、例えば、ＡＰ３００ａに無線端末２００ａがアクセスした場合を説明する。無線端末２００ａは、管理対象ネットワーク５００へのアクセス認証用のＩＤ（Identifier）やパスワードを有している。このため、集中管理装置４００は、無線端末２００ａがネットワーク５００の利用装置として登録されていると判定し、アクセス先履歴情報を要求する。ここで、図１３中に示す１３ａを無線端末２００ａのアクセス先履歴情報とし、図１３中に示す１３ｂを無線端末２００ｂのアクセス先履歴情報とし、図１３中の１３ｃを不正ＡＰ識別情報とする。無線端末２００ａが、不正ＡＰ識別情報である「ｘｘｘ３」をアクセス先履歴情報に有さないので、集中管理装置４００は、無線端末２００ａのアクセスを許可する。
【０１００】
また、例えば、ＡＰ３００ａに無線端末２００ｂがアクセスした場合を説明する。無線端末２００ｂは、管理対象ネットワーク５００へのアクセス認証用のＩＤ（Identifier）やパスワードを有している。このため、集中管理装置４００は、無線端末２００ｂがネットワーク５００の利用装置として登録されていると判定し、アクセス先履歴情報を要求する。しかしながら、無線端末２００ｂが、不正ＡＰ識別情報である「ｘｘｘ３」をアクセス先履歴情報に有するので、集中管理装置４００は、無線端末２００ｂのアクセスを許可しない。このように、ＷＬＡＮシステム１００では、不正ＡＰ８００へのアクセス履歴のある無線端末２００ｂは、管理対象ネットワーク５００に接続することができない。
【０１０１】
また、集中管理装置４００は、無線端末２００ｂが不正ＡＰ８００への接続履歴がある場合は、ウィルス対策の有無を判定することなく、アクセスを許可しないようにしてもよい。あるいは、集中管理装置４００は、不正ＡＰ８００へのアクセス履歴のある無線端末２００ｂに対して安全性が確認できるまでアクセスを制限するようにしてもよい。かかる場合、不正ＡＰ８００経由で無線端末２００ｂがマルウェアに感染していても、管理対象ネットワーク５００への影響を食い止められる。
【０１０２】
また、このように管理対象ネットワーク５００への接続を制限することで、無線端末２００の利用者が意図する意図しないかに関わらず、無線端末２００が管理対象ネットワーク５００から取得した情報を、不正ＡＰ８００経由で外部ネットワーク９００に漏えいさせる危険性を減らすことができる。
【０１０３】
なお、本実施形態１では、ＡＰ３００のアクセス要求受付部３２１が、認証処理を実行するものとして説明した。しかし、この認証処理は、集中管理装置４００において実行されてもよい。例えば、集中管理装置４００において、アクセス要求受付部４２１が、認証処理を実行するようにしてもよい。かかる場合、ＡＰ３００のアクセス要求受付部３２１は、無線端末２００から受信したアクセス要求を集中管理装置４００に転送する。
【０１０４】
また、本実施形態１では、集中管理装置４００の判定部４２２が、不正ＡＰ判定処理を実行するものとして説明した。しかし、この不正ＡＰ判定処理は、ＡＰ３００において実行されてもよい。例えば、ＡＰ３００の制御部３２０が、集中管理装置４００の判定部４２２と同様の機能を有する判定部を備えるようにする。かかる場合、集中管理装置４００は、不正ＡＰ管理情報生成部４２４によって生成された不正ＡＰ管理情報テーブル４１２が記憶する不正ＡＰ管理情報を、ＡＰ３００に送信する。そして、ＡＰ３００の記憶部３１０が、不正ＡＰ管理情報を不正管理情報テーブルとして記憶する。続いて、ＡＰ３００の判定部は、不正ＡＰ管理情報を参照して、無線端末２００から受信したアクセス先履歴情報に不正ＡＰ識別情報と一致する識別情報が存在するか否かを判定する。ここで、ＡＰ３００の判定部は、不正ＡＰ識別情報をアクセス先履歴情報に有さない場合、無線端末２００のアクセスを許可する。
【０１０５】
なお、無線端末２００が有するアクセス要求部２２１は、認証処理を行う際に、ＩＤ及びパスワードなどと同時に、アクセス先履歴情報をＡＰ３００に送信するようにしてもよい。
【０１０６】
（実施形態２）
さて、これまで本発明の実施形態について説明したが、本発明は上述した実施形態以外にも、その他の実施形態にて実施されてもよい。そこで、以下では、その他の実施形態を示す。
【０１０７】
（システム構成）
また、実施形態１において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については（例えば、図１〜図１３など）、特記する場合を除いて任意に変更することができる。
【０１０８】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。
【０１０９】
（プログラム）
また、上記実施形態１に係る集中管理装置４００が実行する処理をコンピュータが実行可能な言語で記述したアクセス制御プログラムを作成することもできる。この場合、コンピュータがアクセス制御プログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるアクセス制御プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたアクセス制御プログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、図６等に示した集中管理装置４００と同様の機能を実現するアクセス制御プログラムを実行するコンピュータの一例を説明する。
【０１１０】
図１４は、コンピュータシステムによる処理を実行するためのアクセス制御プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図１４に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【０１１１】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【０１１２】
ここで、図１４に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明したアクセス制御プログラムは、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【０１１３】
また、アクセス制御プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した判定部４２２と同様の情報処理を実行する判定手順と、アクセス制御部４２３と同様の情報処理を実行する制御手順とが記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【０１１４】
また、アクセス制御プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュールやプログラムデータを必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【０１１５】
なお、アクセス制御プログラムに係るプログラムモジュールやプログラムデータは、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、アクセス制御プログラムに係るプログラムモジュールやプログラムデータは、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【０１１６】
（その他）
なお、本実施形態で説明したアクセス制御プログラムは、インターネットなどのネットワークを介して配布することができる。また、アクセス制御プログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。
【符号の説明】
【０１１７】
１００、６００          ＷＬＡＮシステム
２００、７００          無線端末
２０１、３０１、４０１  通信部
２０２、３０２、４０２  入力部
２０３、３０３、４０３  出力部
２１０、３１０、４１０  記憶部
２１１                  アクセス先履歴情報テーブル
２２０、３２０、４２０  制御部
２２１                  アクセス要求部
２２２、３２２、４２３  アクセス制御部
２２３、３２３          履歴情報生成部
３００、８００          ＡＰ
３１１、４１３          アクセス元履歴情報テーブル
３２１、４２１          アクセス要求受付部
４００                  集中管理装置
４１１                  ＡＰ管理情報テーブル
４１２                  不正ＡＰ管理情報テーブル
４２２                  判定部
４２４                  不正ＡＰ管理情報生成部
１０００                コンピュータ
１０１０                メモリ
１０１１                ＲＯＭ
１０１２                ＲＡＭ
１０２０                ＣＰＵ
１０３０                ハードディスクドライブインタフェース
１０４０                ディスクドライブインタフェース
１０５０                シリアルポートインタフェース
１０６０                ビデオアダプタ
１０７０                ネットワークインタフェース
１０８０                バス
１０９０                ハードディスクドライブ
１０９１                ＯＳ
１０９２                アプリケーションプログラム
１０９３                プログラムモジュール
１０９４                プログラムデータ
１１００                ディスクドライブ
１１１０                マウス
１１２０                キーボード
１１３０                ディスプレイ
【図１】
2014230158.tif 000003
【図２】
2014230158.tif 000004
【図３】
2014230158.tif 000005
【図４】
2014230158.tif 000006
【図５】
2014230158.tif 000007
【図６】
2014230158.tif 000008
【図７】
2014230158.tif 000009
【図８】
2014230158.tif 000010
【図９】
2014230158.tif 000011
【図１０】
2014230158.tif 000012
【図１１】
2014230158.tif 000013
【図１２】
2014230158.tif 000014
【図１３】
2014230158.tif 000015
【図１４】
2014230158.tif 000016