(57)【要約】【解決手段】  データを通過させてネットワークと交換可能とするワイヤレス・アクセス・ポイントを監視し、不正アクセス・ポイントを識別し、識別された不正アクセス・ポイントの位置の決定、フィルタリングの設定、およびアクセス・サービスの課金の制御を含む様々な方法で監視されたデータ・フローに応答する、方法、装置、およびプログラム・プロダクト。
2005522073.tif 000002
【特許請求の範囲】
【請求項１】
データを通過させてネットワークと交換可能とするアクセス・ポイントを監視するステップと、
不正アクセス・ポイントを識別するステップと、
前記識別した不正アクセス・ポイントを通るトラヒックを監視するステップと、
を備える、方法。
【請求項２】
前記識別した不正アクセス・ポイントの地理的位置を求めるステップを更に備える、請求項１に記載の方法。
【請求項３】
前記識別した不正アクセス・ポイントを通る監視されたトラヒックにトラヒック・フィルタリングを適用するステップを更に備える、請求項１および２の１項に記載の方法。
【請求項４】
不正アクセス・ポイントのための製造業者、モデルおよびデフォルト構成パスワードを決定することによって前記不正アクセス・ポイントの識別に応答するステップと、
前記デフォルト・パスワードを用いて前記不正アクセス・ポイントをアドレシングし、それに対するアクセスを得る際に、前記アクセス・ポイントを認証済みアクセス・ポイントに再構成するステップと、
を更に備える、請求項１、２、および３の１項に記載の方法。
【請求項５】
前記識別した不正アクセス・ポイントに識別されたネットワーク・リソースのアクセスおよび使用の課金を蓄積するステップを更に備える、請求項１ないし４の１項に記載の方法。
【請求項６】
前記不正アクセス・ポイントを識別するステップは、監視したアクセス・ポイントの識別子（identity）を認証済みアクセス・ポイントのデータベースと比較するステップを備える、請求項１ないし５の１項に記載の方法。
【請求項７】
前記監視するステップは、複数のコンピュータ・デバイスに対してアクセス可能なアクセス・ポイントを検出し、検出したアクセス・ポイントの識別子（identity）をサーバ・コンピュータ・システムに報告するため、前記デバイスの各々に装備を行うステップを備える、請求項６に記載の方法。
【請求項８】
前記監視するステップは、ネットワーク・ノードに維持されたノード識別接続テーブルに対する最近のエントリについて前記ノードにクエリを行うステップを備える、請求項６に記載の方法。
【請求項９】
前記監視するステップは間欠的および周期的に実行される、請求項７および８に記載の方法。
【請求項１０】
前記監視するステップは所定の一定の間隔で実行される、請求項９に記載の方法。  
【請求項１１】
前記監視するステップはランダムな不規則の間隔で実行される、請求項９に記載の方法。
【請求項１２】
前記識別した不正アクセス・ポイントの地理的位置を求めるステップは、全てが前記識別した不正アクセス・ポイントの検出を報告する複数のコンピュータ・デバイスの位置を比較するステップを備える、請求項２に記載の方法。
【請求項１３】
前記トラヒック・フィルタリングのステップは、前記識別した不正アクセス・ポイントを介した前記ネットワークへのアクセスを拒否するステップを備える、請求項３に記載の方法。
【請求項１４】
コンピュータ・システムと、
前記システムに接続され、前記システムとネットワークとの間の通信チャネルを提供するネットワーク・インタフェースと、
前記コンピュータ・システムにアクセス可能にストアされたプログラム命令であって、前記コンピュータ・システム上で実行されると、前記コンピュータ・システムと協働して、データを通過させてネットワークと交換可能とするアクセス・ポイントを監視し、不正アクセス・ポイントの識別を支援し、識別した不正アクセス・ポイントを通るトラヒックを監視するプログラム命令と、
を備える、装置。
【請求項１５】
前記コンピュータ・システムはワークステーション・コンピュータ・システムであり、更に、前記プログラム命令は、前記システム上で実行されると、それと協働して、前記インタフェースを介してアクセス可能なアクセス・ポイントを識別するアクセス・ポイント識別プログラムと、前記システム上で実行されると、前記識別プログラムおよび前記システムと協働して、前記インタフェースを介してアクセスされたポイントの識別子（identity）をリモート・サーバ・コンピュータ・システム報告する報告プログラムとを含む、請求項１４に記載の方法。
【請求項１６】
前記コンピュータ・システムは、サーバ・コンピュータ・システムであり、更に、前記プログラム命令は、前記システム上で実行されると、それと共同して、前記インタフェースを介して前記システムにアクセス可能な不正アクセス・ポイントを識別するノード識別データベースを含む、請求項１４に記載の方法。
【請求項１７】
実行されると有効となって不正アクセス・ポイントの物理的位置を導出する地理的位置決定プログラムを更に備える、請求項１５および１６の１項に記載の装置。
【請求項１８】
実行されると有効となって不正ノードを介して前記ネットワークと交換されるトラヒックに選択的にフィルタを配するトラヒック・フィルタ制御プログラムを更に備える、請求項１５ないし１７の１項に記載の装置。  
【請求項１９】
実行されると、不正アクセス・ポイントのための製造業者、モデルおよびデフォルト構成パスワードを決定することによって前記不正アクセス・ポイントの識別に応答し、前記デフォルト・パスワードを用いて前記不正アクセス・ポイントをアドレシングし、それに対するアクセスを得る際に、前記アクセス・ポイントを認証済みアクセス・ポイントに再構成する制御プログラムを更に備える、請求項１５ないし１８の１項に記載の装置。
【請求項２０】
実行されると、前記識別した不正アクセス・ポイントに識別されたネットワーク・リソースのアクセスおよび使用の課金を蓄積する課金制御プログラムを更に備える、請求項１５ないし１９の１項に記載の装置。
【請求項２１】
コンピュータ読み取り可能媒体と、
コンピュータ・システムにアクセス可能に前記媒体にストアされたプログラム命令であって、システム上で実行されると有効となり、
データを通過させてネットワークと交換可能とするアクセス・ポイントを監視し、
不正アクセス・ポイントを識別し、
前記識別した不正アクセス・ポイントを通るトラヒックを監視する、プログラム命令と、
を備える、プログラム・プロダクト。
【請求項２２】
前記プログラム命令は、有効となって前記識別した不正アクセス・ポイントの物理的位置を求める命令を更に備える、請求項２１に記載のプログラム・プロダクト。
【請求項２３】
前記プログラム命令は、有効となって前記識別した不正アクセス・ポイントを通る監視されたトラヒックにトラヒック・フィルタリングを適用する命令を更に備える、請求項２１および２２の１項に記載のプログラム・プロダクト。
【請求項２４】
前記プログラム命令は、有効となって不正アクセス・ポイントのための製造業者、モデルおよびデフォルト構成パスワードを決定することによって前記不正アクセス・ポイントの識別に応答し、前記デフォルト・パスワードを用いて前記不正アクセス・ポイントをアドレシングし、それに対するアクセスを得る際に、前記アクセス・ポイントを認証済みアクセス・ポイントに再構成する命令を更に備える、請求項２１、２２、および２３の１項に記載のプログラム・プロダクト。
【請求項２５】
前記プログラム命令は、有効となって前記識別した不正アクセス・ポイントに識別されたネットワーク・リソースのアクセスおよび使用の課金を蓄積する命令を更に備える、請求項２１ないし２４の１項に記載のプログラム・プロダクト。
【請求項２６】
前記プログラム命令は、有効となって監視したアクセス・ポイントの識別子（identity）を認証済みアクセス・ポイントのデータベースと比較する命令を更に備える、請求項２１ないし２５の１項に記載のプログラム・プロダクト。
【発明の詳細な説明】
【技術分野】
【０００１】
以下の記載は、かかる通信ネットワークにおいて用いられるネットワーク・データ通信およびスイッチおよびルータの知識を前提としている。特に、この記載は、ネットワーク動作を層（layer）に分割するネットワーク・アーキテクチャのＩＳＯモデルに精通していることを前提とする。
【背景技術】
【０００２】
以下の記載は、かかる通信ネットワークにおいて用いられるネットワーク・データ通信およびスイッチおよびルータの知識を前提としている。特に、この記載は、ネットワーク動作を層（layer）に分割するネットワーク・アーキテクチャのＩＳＯモデルに精通していることを前提とする。ＩＳＯモデルに基づく典型的なアーキテクチャでは、物理経路または媒体である層１（時に、「Ｌ１」とも示す）を信号が通過し、層２、３、４等を通って層７まで上る。この最後の層は、ネットワークにリンクされたコンピュータ・システム上で実行するアプリケーション・プログラミング層である。この文書において、Ｌ１、Ｌ２等の言及は、ネットワーク・アーキテクチャの対応する層を示すことを意図している。また、この開示は、かかるネットワーク通信においてパケットおよびフレームとして知られるビット・ストリングの基本的な理解を前提としている。
【０００３】
８０２．１１規格は、２．４ギガビット帯域幅空間におけるワイヤレス・ローカル・エリア・ネットワークのために電気電子学会（ＩＥＥＥ：Institute of Electrical and Electronics Engineers Inc.）が生成した仕様ファミリである。８０２．１１は、コンピュータおよびその他の電子デバイスを、極めて高速で、わずらわしい配線を用いずに、相互におよびインターネットへと接続するための方法として考えることができる。これは、基本的に、どのようにコードレス電話をその基地局にリンクするかを高速化したものである。８０２．１１により、電子デバイスは、約３００フィートの距離を毎秒１１メガビットで互いに通信を行うことができ、これは企業における一部の有線ネットワークより速い。
【０００４】
８０２．１１を用いたデバイスは、Ｗｉ−Ｆｉとしてますます知られるようになっており、比較的安価である。ネットワーク・アクセス・ポイントは、約５００ドルで購入することができ、範囲内の全ての８０２．１１装備デバイスの通信を調整し、このアクセス・ポイントをリンクするインターネットおよび／またはイントラネットへのリンクを与える。ラップトップ・コンピュータまたは他のデバイスをネットワークに「プラグ（plug）」インするカードは、１００から２００ドルである。一部の個人用通信デバイスは、追加のカードを必要とせずに８０２．１１通信に対応可能である。ワイヤレス８０２．１１カードおよびアクセス・ポイントは、コンピュータ供給業者から飛ぶように売れている。人々は、８０２．１１規格の製品との容易な接続性を望み、これを発見した。また、かかるネットワークは、アドホック・ワイヤレス・ネットワーク、場合によってはモバイル・アドホックネットワークすなわちＭＡＮＥＴという更に正式な名前で知られる。
【０００５】
ワイヤレス速度を適度な価格で提供することは、いつでも／どこでもの通信を好む世界にとって大きな意味を持つ。Ｗｉ−Ｆｉは、急速に普及している。大学生は、寮や食堂でネットワークをセットアップしている。サン・フランシスコの一部では、人々は、近所をカバーする８０２．１１ネットワークを構築している。とりわけ、スターバックス社（Starbucks Corp.）、ユナイテッド・エアライン社（UnitedAirlines Inc.）およびホリデイ・イン社（HolidayInn）は、店舗、空港のラウンジ、およびホテルで、顧客が常時接続状態を望むのに対応して、８０２．１１ネットワークをインストールしている。シナージ・リサーチ・グループ（Synergy Research Group）によると、２０００年には、ワイヤレス・ローカル・エリア・ネットワークを用いる人の数は１５０パーセント増大したことが報告されている。アリゾナ州スコッツデールに本社を置くマーケット・リサーチの会社Cahners In-Stat Groupは、ビジネスにおけるワイヤレス・データのユーザ数は、今日の６６０万人から、２００６年までには３９００万人以上に増えると予測している。この傾向を促進するのは、中小企業の全社員のうち約４分の１がモバイル・ワーカ（mobile worker）であり、労働時間のうち少なくとも２０パーセントを会社から離れて過ごすという事実である。ワイヤレス電子メールは、彼らの最も重要なニーズであり、このため、常にオンの電子メール機能を有するモバイル・コンピューティング製品は、高い売上げを維持している。２００２年初めには、毎日２５，０００人から５０，０００人の人々が８０２．１１ネットワークをインストールし管理すると予想された。
【０００６】
ワイヤレスの流行が、家庭用ネットワーキング市場にも広がっていくことは避けられないであろう。主な理由は価格である。アクセス・ポイント、ワイヤレス・ネットワークに接続する機器、および、ＰＣとアクセス・ポイントとの間のリンクを形成するネットワーク・インタフェース・カードすなわちＮＩＣのコストが下がっている。この低価格が購買者の目を引き、このため家庭用市場は２００１年の第４四半期に２０パーセント成長した。
【０００７】
８０２．１１の後に続く技術が現れつつある。１つは、超広帯域無線技術すなわちＵＷＢ（ultra-wide band radio technology）であり、これは、低電力で広スペクトル技術を用いて、極めて高速でデータを転送する。ＵＷＢは、おそらく８０２．１１よりも１０倍の速度であるが、ここで論じたのと同じ障害のいくつかがある。別のものは、無線周波数機能を、システム中央プロセッサおよびネットワーク・プロセッサ等の他の機能を実行するチップ上に直接含ませることである。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
そして、問題があり、本当のジレンマを生じさせる。ここでも、情報技術の管理者およびユーザは、使用の容易さとセキュリティの必要性との間で板ばさみになっている。今日のワイヤレスには２つの大きな問題があり、これは将来にまで残ると予想され得る。１つは、何らセキュリティ対策を講じずに実施されることがあまりに多いということである。もう１つは、難しい設定等が不要のセキュリティの選択肢は、顧客がスイッチ・オンした場合、完全に無駄だということである。Gartner Dataquestによると、コンピュータ・ネットワークを用いる全企業のうち約３０パーセントは、公式または非公式に、何らかの種類のワイヤレス・ネットワークを有する。更に、企業または隣のカフェがワイヤレス・ネットワークを有する場合、その企業でトラブルが起こる恐れがある。
【０００９】
ワイヤレスは非常に広く開かれているので、実際、新しい科学技術者のオリンピック・スポーツを生んだ。戦争ドライブ（war driving）である。このゲームは、いくつの潜在的ターゲットを発見することができるかを見るものである。プレイするのに必要なのは、ラップトップ・コンピュータ、ワイヤレスＰＣカード、およびいくつかのソフトウエアだけである。戦争ドライブは、技術出版物および技術ウエブ・サイトにおいて広く論じられてきており、定期的に行われている。退屈したティーンエージャーおよび技術マニアの新しい趣味は、ワイヤレス・アクセス・ポイントを捜し求めて、アンテナとラップトップ・コンピュータにひもで結びつけたＧＰＳとを持ってドライブして回ることである。ほとんどの人は、悪意からネットワークに攻撃するのではなく、ネットワークおよびそれに含まれるファイルにアクセスすることを慎重に避けるが、全ての人がそう礼儀正しいわけではない。
【００１０】
戦争ドライブで用いられる人気のあるツールの１つ、NetStumblerは、アクセス・ポイントの名前、暗号化が可能か、および多数の他の情報ビットを教えてくれる。また、NetStumblerは、企業に接続された非公式で不正のアクセス・ポイントを識別しようとする管理者にとっても利用できるツールである。あるユーザは、シリコン・バレーでハイウエイ１０１を短時間ドライブする間に２０のアクセス・ポイントを見つけた。別のユーザは、ロンドンの金融街を移動し、空のプリングルス（Pringles）ポテト・チップ缶から作ったアンテナを用いて、３０分でほぼ６０のアクセス・ポイントを見つけることができた。Kismetは、NetStumblerと同じ機能の多くを含む、Ｌｉｎｕｘ用ワイヤレス・ネットワーク・スニファ（sniffer）である。AirSnortは、暗号鍵を回復しようとするＬｉｎｕｘベースのツールである。これらおよび多くのツールは、インターネットで自由に入手可能である。
【００１１】
企業は、メイン・インターネット・ゲートウエイの保護について用心深いはずであるが、企業の周辺は、ワイヤレスに拡大している。何人のユーザが、ＶＰＮまたは他のリモート・アクセス手段を介して内部ネットワークにアクセスするか？  それらのユーザのうち何人が家庭にワイヤレス・ネットワークを有するか？  それらは安全か？  そうでない場合、どんなにメイン・インターネット・ゲートウエイが安全であるかに関わらず、内部ネットワークは傷つきやすい。８０２．１１およびＵＷＢが安全に作られ、安全と証明されるまで、賢いネットワーク管理人は心配し続けることになる。特に、その認証を得ていない従業員がサービスの良いコンピュータ用品店に行き、ワイヤレス・アクセス・ポイントを買い、それを職場に持っていき、電源を入れて雇用者のイントラネットに接続するような場合がある。
【００１２】
今日のアクセス・ノードまたはポイントは、一般に層２で機能し、層３アドレッシングの知識を持たないが、それらが接続するエッジ・ルータは、層３アドレッシングの全知識を有することを注記しておくのは重要である。技術が進歩するにつれて、アクセス・ポイントに組み込まれる機能はいっそう多くなっている。例えば、元来これらは、完全に無電源製品であったＩＢＭ８２２８等の過度に単純化した「有線コンセントレータ（wiring concentrators）」であった。今日、これらのアクセス・ポイントは、通常、ワイヤレスであれ有線であれ、層２の全知識、または媒体アクセス制御（ＭＡＣ：Medium Access Control）、それらに接続されるデバイスのアドレスを有する層２スイッチである。
【００１３】
将来、低コストのネットワーク・プロセッサ（文献において別個に記載したような）の出現により、これらのアクセス・ポイントは、特にそれらに接続されるエンド・ステーションのＩＰアドレスを知ることに関して、完全に層３対応になるであろう。むろん、今日、エッジ・ルータは、すでにそれに直接接続されているエンド・デバイスのＩＰアドレスのこの知識を有する。今日、全てのエッジ・ノードおよびいくつかのアクセス・ノードは、シンプル・ネットワーク管理プロトコル（ＳＮＭＰ：Simple Network Management Protocol）として既知のメッセージング・プロトコルを用いて、ネットワークを介して、ネットワーク管理コンソールに接続する機能を有する。将来、全てのアクセス・ノードはこの機能を有するであろう。
【課題を解決するための手段】
【００１４】
本発明は、１つの目的として、ネットワーク管理者またはマネージャが、非公式または不正のアクセス・ポイントの存在を識別することを可能とし、これによってネットワークのセキュリティ向上を支援する。更に別の目的は、不正のアクセス・ポイントの地理的な位置を決定することを可能とすることである。また、本発明は、１つの目的として、ネットワーク管理者またはマネージャが、非公式または不正のアクセス・ポイントのアクティビティを制御することを可能とする。また、本発明は、１つの目的として、ネットワーク管理者またはマネージャが、非公式または不正のアクセス・ポイントの制御を自動化することを可能とし、これによってネットワークの操作性の向上を支援する。また、本発明は、１つの目的として、ネットワーク管理者またはマネージャが、非公式または不正のアクセス・ポイントを介してネットワークと交換したアクティビティの決算または請求を制御することを可能とし、これによってネットワークの金融セキュリティの向上を支援する。
【００１５】
これらの目的は、データを通過させてネットワークと交換可能とするアクセス・ポイントを監視し、不正のアクセス・ポイントを識別し、アクセス・ポイントを介したあるアクティビティを制御する方法、装置、およびプログラム・プロダクトによって達成される。
【００１６】
本発明の目的のあるものはすでに述べ、他のものは、添付図面と関連付けた場合に、説明が進むにつれて明らかになろう。
【発明を実施するための最良の形態】
【００１７】
本発明について、本発明の好適な実施形態を示す添付図面を参照して、以下で更に充分に説明するが、後に続く説明の最初に、当業者は、本発明の良好な結果を達成しながら、ここに記載する本発明を変更可能であることは理解されよう。従って、以下の説明は、本発明の限定としてではなく、当業者を対象とする幅広い教示の開示として理解されるものとする。
【００１８】
先に簡単に述べたように、８０２．１１規格の普及に伴う問題は、ネットワークを管理する責任を担う情報技術（ＩＴ）企業が知らないうちに、誰かが、ネットワークに対するワイヤレス・アクセス・ポイントを容易にセットアップすることができることである。これが問題である理由は、かかるアクセス・ポイントは、恐らく（そして通常は）誤って構成され、このため、ネットワークへのアクセスおよびそこに存在するデータを世界中に与えてしまうからである。
【００１９】
かかるアクセス・ポイントが確立されると、ネットワークにクエリを行うことによって、それらがあるか、またはそれらがどのように構成されているかを判定することは難しい場合がある。これは、展開するアクセス・ポイントの具体的なタイプおよびネットワーク洗練度によって異なる可能性がある。これについては、以下で更に充分に説明する。単純なアクセス・ポイントに対する現在の解決策は、ノートブックまたはパーソナル・デジタル・アシスタント（ＰＤＡ：personal digital assistant）等のモバイル・コンピューティング・デバイス上でNet Stumbler（または同様のソフトウエア）を用い、信号強度測定を用いていつユーザがアクセス・ポイントに近づいているかまたは離れているかを決定し、インデクスに手動で参照を行ってアクセス・ポイントが不正の「非公式なもの」であるかを判定することである。これには、ある人が不正のアクセス・ポイントを発見するために周期的に設備全体を調べる必要がある。
【００２０】
本発明は、ユーザがあちこち調べることを必要とせずに、不正のアクセス・ポイントを迅速に突き止めるためのいくつかの方法を提供する。
【００２１】
ここで具体的に図面を参照すると、図１はネットワーク１０を示し、これは、サーバ・コンピュータ・システム１１、ワイヤレスまたは有線とすることができる複数の認証済みアクセス・ポイント１２、および、複数のワークステーション・コンピュータ・システム１４を有する。各ワークステーション・コンピュータ・システム１４は、ワイヤレス接続を介して、または、恐らくは有線接続、または双方を介して、ネットワークに結合されている。設備の大きさおよび範囲に応じて、管理されるネットワークには、複数種類のシステムおよび複数種類の接続が混在する場合がある。ワークステーションは、ノートブック・コンピュータ・システム、パーソナル・デジタル・アシスタント・システム、高度機能電話、デスクトップまたはミニタワー・システム、またはアクセス・ポイントを介してネットワーク１０にアクセスすることができる他のデバイスとすることができる。
【００２２】
ネットワーク１０に対するアクセスは、認証済みのワイヤレス・アクセス・ポイント１５を介して、および、例示したネットワークでは、不正のまたは非公式ワイヤレス・アクセス・ポイント１６を介して行われる場合がある。非公式アクセス・ポイント１６は、情報技術管理の知識も許可もなく行動する個人またはグループによって確立された可能性がある。本発明のいくつかの目的に従って、非公式アクセス・ポイント１６の検出および位置付けは、達成されるべき目標である。
【００２３】
本発明によれば、ワークステーション１４のうち複数または全てでなくても、少なくとも１つに、ネットワークに対するワイヤレスすなわち無線周波数接続のための設備を備える。また、これまたはこれらのワークステーションは、Net Stumbler等の監視ソフトウエアをインストールしており、これはシステムが通信を行うことができる全てのワイヤレス・アクセス・ポイントに関する情報を検出し収集することができる。更に、本発明によれば、システム（複数のシステム）は、監視プログラムが収集した情報をネットワーク１０およびサーバ・コンピュータ・システム１１に送信することができる報告ソフトウエアもインストールしている。図２は、ここで論じている本発明の態様に従ってワークステーション１４上にインストールされたソフトウエアの機能を概略的に示す。
【００２４】
最小の数の監視および報告ソフトウエアを用いることが望ましい場合、この数を、稠密集合（dense set）として数学的に知られるものまで減らすことができる。すなわち、非公式アクセス・ポイントが位置する可能性がある全地点に充分に近いシステム集合であり、少なくとも１つのシステムが非公式なものを検出する。小さいビルまたは領域では、単一のシステムで稠密集合を提供することができる。もっと大きい領域では、図１に示すような複数のシステムがいっそう望ましい。
【００２５】
本発明では、ワークステーションが検出したアクセス・ポイントに関する収集された情報は、信号強度に関する情報を含むことが考えられる。また、本発明では、監視ソフトウエアは、連続的とは異なり、周期的に実行可能であることも考えられる。このため、ソフトウエアは、１時間に１度または１日に１度、通常の就業時間中に実行して、ワークステーションの他の使用に過剰な負担をかけないようにすることができる。監視ソフトウエアの実行には、ネットワーク・インタフェース・カード（ＮＩＣ：network interface card）またはワイヤレス・インタフェースを異なるモードに一時的にセットして情報を収集し、次いでインタフェースをリセットして通常の動作が継続するようにする必要がある。これは、ユーザの全員でなくても、ほとんどが気づかないように、充分に素早く実行可能である。また、信号強度測定を適切に較正可能とするため、監視には、検知されたアクセス・ポイントのアクティビティの初期チェックが含まれる場合がある。
【００２６】
単一のワークステーションを用いて監視を行うことにより、２つのデータ・ポイントを提供する。すなわち、非公式アクセス・ポイントがあるか否か、および非公式アクセス・ポイントの信号強度である。この説明では、後に、多数の監視ステーションを用いることの潜在的な利点について説明する。
【００２７】
監視が行われて情報が収集されると、情報はネットワークを介してサーバ１１に報告される。送信される情報は、暗号化されるか、または不適切なアクセスに対して他の方法で保護することができる。サーバ・システムは、報告された情報を受信するソフトウエアをインストールしており、認証済みのアクセス・ポイントのリストを維持し、報告された情報をリストと比較する。サーバ・システムは、これによって、図１のポイント１６等、監視ワークステーションの１つの通信範囲内にある非公式または不正のアクセス・ポイントを識別する。また、サーバ・システムは、報告された信号強度に関する情報をストアする。
【００２８】
責任を担うＩＴ企業は、各ワークステーション１４の位置を知っており、または、図１のポイント１５および１６等の報告されたアクセス・ポイントの信号強度を分析することによって、その位置を求めることができる（ワークステーションがモバイルである場合）。この情報から、および非公式アクセス・ポイントの検出の報告された信号強度から、非公式アクセス・ポイントの位置を決定することができる。図３は、本発明のいくつかの態様に従ってサーバ・システム１１上にインストールされたソフトウエアの機能を概略的に示す。
【００２９】
本発明では、ネットワークに特に接続されていないワイヤレス・アクセス・ポイントを監視対象の領域中に分散させて設ける等の取り組みによって、説明する動作を改善可能であると考えられる。かかるダミー・アクセス・ポイントは、相対信号強度に関する追加情報を提供し、認証済みアクセス・ポイントからいくぶん離れて位置するポイントを突き止めるのに役立てることができる。更に、固定またはモバイルのワークステーションの通常分布からいくぶん離れている可能性のある領域を監視する目的のため、ワークステーションとして非アクティブである監視ステーションを、同様に、監視対象の領域中に分散させることができる。監視ステーションおよびアクセス・ポイントについて、情報を選択的に収集し、分析のための追加データ・ポイントを与えることができる。かかる他のクライアントに関する情報は、監視または報告することができ、サーバ・システムは、かかる情報を用いて、監視システムならびに非公式および認証済みのアクセス・ポイントを位置付ける場合もあり、または位置付けない場合もある。
【００３０】
ワークステーションおよびサーバ・システムの協働により、本発明が実施する方法では、データを通過させてネットワークと交換可能とするアクセス・ポイントの監視が行われ、不正アクセス・ポイントを識別し、識別された不正アクセス・ポイントの位置を求める。この前に、複数のコンピュータ・デバイスに対してアクセス可能なアクセス・ポイントを検出し、検出したアクセス・ポイントの識別子（identity）をサーバ・コンピュータ・システムに報告するため、デバイスの各々に装備を行う。監視は、アクセス・ポイントの可用性を間欠的および周期的に決定することを含み、所定の一定の間隔でまたはランダムな不規則な間隔で監視を行うことによって、アクセス・ポイントの可用性を間欠的および周期的に決定することができる。不正アクセス・ポイントの識別は、監視したアクセス・ポイントの識別子（identity）を認証済みアクセス・ポイントのデータベースと比較することによって行われる。識別した不正アクセス・ポイントの位置の決定は、識別した不正アクセス・ポイントの検出を報告した複数のコンピュータ・デバイスの位置を比較することによって行われる。
【００３１】
ここで、この考察において、アクセス・ポイントに関する情報は本質的に受動的に得られる。かかる情報の受動的獲得は、以下で説明するようにアクセス・ポイントを再構成することが望ましい場合、困難を生じる恐れがある。受動的に得られる情報には、ＭＡＣアドレス、信号強度、およびアクセス・ポイントについての少なくとも何らかの構成データが含まれるが、アクセス・ポイントに対する制御を確立するのに必要な場合があるＩＰアドレスは含まない。
【００３２】
本発明では、非公式アクセス・ポイントとして識別されるアクセス・ポイントを更に識別可能なステップ・シーケンスが考えられる。「聞いている（listening）」クライアントは、アクセス・ポイントを介したトラヒックの監視を続け、パケット・ストリームを監視して、アクセス・ポイントに接続するクライアントのＩＰアドレスを求めるか、またはＤＨＣＰが行われるのを見る。このように収集した情報をサーバに供給し、アクセス・ポイントが実際に企業のイントラネット内にあるか否かを判定するために充分な情報をサーバに与える。アクセス・ポイントが企業のイントラネット内にある場合、サーバは、接続したクライアントにメッセージを送信して、このクライアントに、アクセス・ポイントのＩＰアドレスを決定するためのアクティブな手段を用いるように指示する。これは、質問技法によって行われ、特別なＩＣＭＰパケットをＭＡＣアドレスに向けたアクセス・ポイントに送信するが、サブネットに同報通信する。アクセス・ポイントは、そのＩＰアドレスによって応答し、これは次いでサーバに送信される。
【００３３】
ここに記載した機能に適切なソフトウエアは、図７に示すディスク等のコンピュータ読み取り可能媒体を用いてユーザに分配することができ、これに含ませることができるソフトウエアは、ワークステーション・システムまたはサーバ・システム上で実行されると、ソフトウエアがインストールされているシステムのタイプに応じて適宜、図２および３に示すシーケンスをシステムに実行させる。
【００３４】
図４に、本発明の他の態様による例示的なアクセス・ポイントを示す。アクセス・ポイントは、全体として２０で示す。アクセス・ポイント２０は、ネットワーク１０におけるノードであり、有線接続またはインタフェース２１を介していくつかの他の要素に、および、おそらくワイヤレス接続またはインタフェース２２を介して他に接続されている。アクセス・ポイント２０は、内部に接続テーブル２４を格納している。２つのレベルのインタフェース２１、２２間に介在させてネットワークにテーブルを格納することができる。
【００３５】
業界のコンサルタントは、ネットワーク・プロセッサ（ここでは「ＮＰ」とも呼ぶ）を、以下の機能のうち１つ以上を実行可能なプログラム可能通信集積回路として規定している。
パケット分類−アドレスまたはプロトコル等、既知の特徴に基づいてパケットを識別すること。
パケット変更−ＩＰ、ＡＴＭ、または他のプロトコルに適合するようにパケットを変更すること（例えばＩＰ用のヘッダ内でタイム・トゥ・リブ（time-to-live）・フィールドを更新すること）。
キュー／ポリシ管理−特定用途のためのパケットのキューイング（queuing）デキューイング（de-queuing）、およびスケジューリングの設計戦略を反映させること。
パケット転送−スイッチ・ファブリック（switchfabric）上でデータを送信および受信すること、ならびにパケットを適切なアドレスに転送またはルーティングすること。
【００３６】
この規定は、初期のＮＰの基本的な特徴を正確に記述したものであるが、ＮＰの完全な潜在的な機能および利点は、まだ実現されていない。ネットワーク・プロセッサは、以前はソフトウエアにおいて処理したネットワーキング・タスクをハードウエアにおいて実行可能とすることによって、広範囲の用途において、帯域幅を増し、レイテンシの問題を解決することができる。更に、ＮＰは、並列分散処理およびパイプライン処理設計等のアーキテクチャによって、速度向上を与えることができる。これらの機能は、効率的なサーチ・エンジンを可能とし、スループットを増大させ、複雑なタスクを素早く実行することができる。
【００３７】
ネットワーク・プロセッサは、ＰＣにとってのＣＰＵと同じように、ネットワークにとって基本的なネットワーク構築ブロックになると予想される。ＮＰが提供する典型的な機能は、実時間処理、セキュリティ、ストアおよび転送、スイッチ・ファブリック接続性、ならびにＩＰパケット処理および学習機能である。ＮＰはＩＳＯ層２ないし５を対象とし、ネットワークに固有のタスクを最適化するように設計されている。
【００３８】
プロセッサ・モデルＮＰは、多数の汎用プロセッサおよび特殊化論理を組み込んでいる。供給業者は、この設計に合わせて、適時の費用対効果の大きい方法で変化に対応することができる、スケーラブルで柔軟な解決策を提供する。プロセッサ・モデルＮＰは、より低いレベルの統合で分散処理を可能とし、スループット、柔軟性、および制御を向上させる。プログラム可能であることによって、新たなＡＳＩＣ設計を必要とすることなく、新しいプロトコルおよび技術に容易に移行することができる。プロセッサ・モデルＮＰにより、ネットワーク機器のベンダは、払い戻し不可能な技術的コストの低下および市場までの時間の改善から利益を得る。
【００３９】
従来のネットワーク動作によれば、ネットワーク１０のノードは、通信を確立することができる他のノードのアドレスを含む接続テーブルを維持する。かかるテーブルを維持するノードの特徴に応じて、テーブルは、ルーティングまたは信頼できる隣接テーブルと呼ぶことができる。かかるテーブルは、検出された接続性の同報通信通知に基づいて、周期的にリフレッシュされる。本発明は、かかるルーティングまたは信頼できる隣接テーブルおよびインテリジェント・ノードが上述のような処理を実行する機能を利用する。
【００４０】
これを背景として、考察している本発明の態様では、周期的またはランダムに、中央サイトのネットワーク管理コンソールが、ＳＮＭＰまたはいっそう洗練された技法を用いて、ワイヤレス・アクセスまたはワイヤレス・エッジ・ノードに質問可能であることが考えられる。この質問の目的は、層３ルーティング・テーブルに対する最新の追加を判定し、サーバ・アクセスの拒否等、異常なアクティビティについて、最新のエントリおよびそれらのトラヒック・フローを監視することである。あるいは、質問が層２デバイスのものである場合、最も最近のエントリおよび上述のように監視したトラヒックについて、「信頼できる隣接テーブル」に質問する。
【００４１】
即座のアクションが望ましい場合、ＳＮＭＰおよび他の技法によって、層２または層３のフィルタ・テーブル（適宜）は、すぐに、ネットワークに対するアクセスを拒否するようセットすることができる。侵入者を把握する試みが望ましい場合、上述の信号強度技法を用いて、非公式アクセス・ポイントの位置を決定することができる。侵入者を「止める（stall）」ために、フィルタリング・テーブルを層２または層３ケースにセットして、非公式アクセス・ポイントと交換されるトラヒックを安全なサーバにルーティングすることができ、これは侵入者にネットワークにアクセスを得ていると感じさせる一連のスクリプトによってプログラムすることができる。
【００４２】
管理プログラムおよびアクセス・ポイントの機能に応じて、多くの環境において、識別した「非公式」アクセス・ポイントの製造業者を識別することが可能となる。製造業者を識別することで、適切に構成したテーブルから、かかるアクセス・ポイントのデフォルト構成およびパスワードにアクセスすることが可能となる。デフォルト・パスワードを有し、ネットワーク上に「ポイントを確立する」職員によって代替的なインストールが行われないと仮定すると、管理システム・ソフトウエアは、アクセス・ポイントのセキュリティ機構にアクセスし、アクセス・ポイントをルーティングおよび信頼できる隣接テーブルの再構成以上に再構成することができる。更に具体的には、アクセス・ポイントを、認められた公式のアクセス・ポイントに変換することができ、従来のネットワーク管理制御を適用する。これらの管理制御は、アクセスに課金する等の金融制御、および、システム管理決定パスワードの設定等のセキュリティ制御を含むことができる。
【００４３】
本発明の重要な特徴は、このため、エッジ・ルータのルーティング・テーブルまたはアクセス・ポイントの信頼できる隣接テーブルに質問し、これらのテーブルにランダムまたは決定的な方法で質問して新しいエントリがあるか判定し、これらの新しいエントリからのトラヒック・フローを監視してそれらがサービス拒否等のネットワークとの問題を有するかを決定し、ルーティングおよび信頼できる隣接テーブルによって、侵入者のトラヒックをフィルタリングし、テーブルへの適切なエントリによってそれらを遮断するか、またはそれらのフローを安全なサーバにルーティングしてイベント・シーケンスを初期化して侵入者を把握する。それらのステップは、図５に例示するようなものである。
【００４４】
更に、本発明の他の目標と共に、アクセス・ポイントの識別子（identity）は、再構成されると、課金を割り当てるポートのレジスタに追加され、使用およびアクセスの課金はそのポート識別子（identity）に対して蓄積される。図６に、関連ステップを示す。
【００４５】
ここで再び、上述したように、サーバ１１等のシステム上で実行しながらこれらのステップを実施するのに有用なプログラムは、図７に示すディスク等、適切なコンピュータ読み取り可能媒体上に書き込むことによって分配することができる。
【００４６】
図面および明細書において、本発明の好適な実施形態について述べ、特定の用語を用いたが、このように与えた記載は、限定の目的でなく、一般的かつ記述的な意味でのみ専門用語を用いる。
【図面の簡単な説明】
【００４７】
【図１】設備内にインストールされたネットワークの概略図であり、ワークステーション・コンピュータ・システムおよびサーバ・コンピュータ・システムを含み、これに不正のアクセス・ポイントが接続されている。
【図２】図１のネットワークにおいて実行されるステップを示す簡略化フローチャートである。
【図３】図１のネットワークにおいて実行されるステップを示す簡略化フローチャートである。
【図４】図１に示すネットワークにおいて機能可能であるようなワイヤレス・アクセス・ポイントの概略図であり、ネットワーク・プロセッサを組み込んでいる。
【図５】図１のネットワークにおいて実行されるステップを示す簡略化フローチャートである。
【図６】図１のネットワークにおいて実行されるステップを示す簡略化フローチャートである。
【図７】図１のシステムの適切な１つで実行して図２、３、５、６のステップを実施する場合に有効なプログラムを有するコンピュータ読み取り可能媒体の図である。
【図１】
2005522073.tif 000003
【図２】
2005522073.tif 000004
【図３】
2005522073.tif 000005
【図４】
2005522073.tif 000006
【図５】
2005522073.tif 000007
【図６】
2005522073.tif 000008
【図７】
2005522073.tif 000009
【国際調査報告】
2005522073.tif 000010
2005522073.tif 000011