(57)【要約】無線ローカルまたはメトロポリタンエリアネットワークは、データを送信しあう複数のステーションとポリシングステーションとを有する。ポリシングステーションは、承認されていない期間中における送信を検出し、これに基づく侵入警告を生成するため、ステーション間の送信を監視することにより、無線ネットワークへの侵入を検出する。ポリシングステーションはまた、各自のデータパケットに対応しない完全性チェック値、ステーションによる不連続なＭＡＣシーケンス番号、及びパケットタイプ及び/またはＭＡＣアドレスの衝突の１以上に基づき侵入を検出する。
2005536120.tif 000002
【特許請求の範囲】
【請求項１】
無線ローカルまたはメトロポリタンエリアネットワークであって、
データを送信しあう複数のステーションと、
該無線ネットワークへの侵入を検出するポリシングステーションと、
から構成され、
前記ポリシングステーションは、
承認されていない期間中における送信と、
前記複数のステーションがパケットによりデータを送信し、各パケットとの送信のため、各自の完全性チェック値を生成するネットワークにおいて、各自のデータパケットに対応しない完全性チェック値と、
前記複数のステーションがＭＡＣレイヤを介しパケットによりデータを送信し、また各データパケットと共に各自のＭＡＣシーケンス番号を送信するネットワークにおいて、ステーションによる不連続なＭＡＣシーケンス番号の使用と、
前記複数のステーションが各々関連付けされたパケットタイプを有するパケットによりデータを送信するネットワークにおいて、所定のパケットタイプを有するパケットの第１衝突閾値回数と、
前記複数のステーションがＭＡＣレイヤを介しデータを送信し、各ステーションがそこから送信されたデータと共に送信するため関連付けされたＭＡＣアドレスを有するネットワークにおいて、同一のＭＡＣアドレスの第２衝突閾値回数と、
該無線ネットワークが関連付けされた少なくとも１つのサービスセット識別情報（ＩＤ）を有するネットワークにおいて、前記関連付けされた無線ネットワークのサービスセットＩＤとは異なる関連付けされたサービスセットＩＤと、
前記複数のステーションが少なくとも１つのチャネルを介し送信するネットワークにおいて、前記複数のステーションの１つからでない前記少なくとも１つのチャネルを介する送信と、
の少なくとも１つを検出するため、前記複数のステーション間の送信を監視することにより該無線ネットワークへの侵入を検出し、対応する侵入警告を生成することを特徴とするネットワーク。
【請求項２】
請求項１記載の無線ネットワークであって、
前記所定のパケットタイプは、認証パケット、関連パケット、ビーコンパケット、ＲＴＳパケット及びＣＴＳパケットの少なくとも１つから構成されることを特徴とするネットワーク。
【請求項３】
請求項１記載の無線ネットワークであって、
前記第１衝突閾値回数と前記第２衝突閾値回数は３より大きいことを特徴とするネットワーク。
【請求項４】
請求項１記載の無線ネットワークであって、
前記第１衝突閾値回数は、前記所定のパケットタイプを有する監視されるパケットの合計のある割合に基づくことを特徴とするネットワーク。
【請求項５】
請求項１記載の無線ネットワークであって、
前記ポリシングステーションはさらに、前記複数のステーションの少なくとも１つに侵入警告を送信することを特徴とするネットワーク。
【請求項６】
複数のステーションからなる無線ローカルまたはメトロポリタンエリアネットワークのための侵入検出方法であって、
前記複数のステーション間においてデータを送信するステップと、
前記複数のステーション間の送信を監視するステップと、
対応する侵入警告を生成するステップと、
から構成され、
前記監視するステップは、
承認されていない期間中における送信と、
前記複数のステーションがパケットによりデータを送信し、各パケットとの送信のため、各自の完全性チェック値を生成するネットワークにおいて、各自のデータパケットに対応しない完全性チェック値と、
前記複数のステーションがＭＡＣレイヤを介しパケットによりデータを送信し、また各データパケットと共に各自のＭＡＣシーケンス番号を送信するネットワークにおいて、ステーションによる不連続なＭＡＣシーケンス番号の使用と、
前記複数のステーションが各々関連付けされたパケットタイプを有するパケットによりデータを送信するネットワークにおいて、所定のパケットタイプを有するパケットの第１衝突閾値回数と、
前記複数のステーションがＭＡＣレイヤを介しデータを送信し、各ステーションがそこから送信されたデータと共に送信するため関連付けされたＭＡＣアドレスを有するネットワークにおいて、同一のＭＡＣアドレスの第２衝突閾値回数と、
該無線ネットワークが関連付けされた少なくとも１つのサービスセット識別情報（ＩＤ）を有するネットワークにおいて、前記関連付けされた無線ネットワークのサービスセットＩＤとは異なる関連付けされたサービスセットＩＤと、
前記複数のステーションが少なくとも１つのチャネルを介し送信するネットワークにおいて、前記複数のステーションの１つからでない前記少なくとも１つのチャネルを介する送信と、
の少なくとも１つを検出するためのものであることを特徴とする方法。
【発明の詳細な説明】
【発明の詳細な説明】
【０００１】
［発明の背景］
無線ネットワークは、ここ数年においてますます進展してきた。２つの例として、無線ローカルエリアネットワーク（ＬＡＮ）と無線メトロポリタンエリアネットワーク（ＭＡＮ）があげられる。基本サービスセット（ＢＳＳ）では、このようなネットワークは、例えば、無線周波数信号を介しアクセスポイントまたは基地局（サーバなど）と通信する１以上の無線ステーション（例えば、無線ネットワークインタフェースカード（ＮＩＣ）を有するラップトップなど）を有する。基地局は、同期化、調整、配信パケットの転送、無線ＬＡＮ/ＭＡＮと電話網など有線ネットワークとの間のブリッジの提供などの様々な機能を実行する。
【０００２】
拡張サービスセット（ＥＳＳ）では、複数の基地局がネットワークに含まれている。他方、無線ＬＡＮ/ＭＡＮでは、基地局はなく、互いにピア・ツー・ピア通信を行う無線ステーションのみが設けられている。このトポロジーは、独立基本サービスセット（ＩＢＳＳ）と呼ばれ、ＩＢＳＳでは、典型的には無線ステーションの１つが欠如した基地局のプロキシーとして機能するよう選ばれる。
【０００３】
おそらく無線ＬＡＮ/ＭＡＮの普及の最も重要な理由は、そのようなネットワークが有線のインフラが不要であるという点から、相対的に安価かつ配置が容易であるというものである。しかしながら、無線ＬＡＮ/ＭＡＮはまた、有線ネットワークにはないいくつかの重大な短所を有する。例えば、無線ＬＡＮ/ＭＡＮ装置がこれほどまで普及しているため、このような装置は、ネットワークへの侵入を試みたり、認証されていない無線ステーション（すなわち、ロウグステーション（ｒｏｇｕｅ  ｓｔａｔｉｏｎ））を利用したネットワークセキュリティへの脅威を与えようとするハッカー予備軍に容易に利用可能となっている。また、無線ＬＡＮ/ＭＡＮ同士が互いに密接に動作しすぎると、これらのネットワークは互いに侵入され、特に共通のチャネルを共有する場合には、ネットワークの破壊を招くことになる。
【０００４】
無線ＬＡＮ/ＭＡＮ内での通信を規制するため開発されてきた重要な規格の１つは、その内容が参照することによりここに含まれる、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ  ｏｆ  Ｅｌｅｃｔｒｉｃａｌ  ａｎｄ  Ｅｌｅｃｔｒｏｎｉｃ  Ｅｎｇｉｎｅｅｒｓ）８０２ＬＡＮ/ＭＡＮ規格委員会による１９９９年の「ＩＥＥＥ  Ｓｔａｎｄａｒｄｓ  ｆｏｒ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｅｃｈｎｏｌｏｇｙ−Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ  ａｎｄ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｓｙｓｔｅｍｓ−Ｌｏｃａｌ  ａｎｄ  Ｍｅｔｒｏｐｏｌｉｔａｎ  Ａｒｅａ  Ｎｅｔｗｏｒｋ−Ｓｐｅｃｉｆｉｃ  Ｒｅｑｕｉｒｅｍｅｎｔｓ−Ｐａｒｔ  １１：Ｗｉｒｅｌｅｓｓ  ＬＡＮ  Ｍｅｄｉｕｍ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ（ＭＡＣ）  ａｎｄ  Ｐｈｙｓｉｃａｌ  Ｌａｙｅｒ（ＰＨＹ）  Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ」である。さらに無線通信プロトコルを提供することに加えて、８０２．１１規格はまた、無線信号を盗聴からプロテクトするのに用いられるＷＥＰ（Ｗｉｒｅｄ  Ｅｑｕｉｖａｌｅｎｔ  Ｐｒｉｖａｃｙ）アルゴリズムを規定している。より詳細には、ＷＥＰは、ステーション間で送信されるメッセージの暗号化と共に、もとの送信メッセージの完全性（ｉｎｔｅｇｒｉｔｙ）が脅かされなかったことを保証するための完全性チェックを提供する。
【０００５】
ＷＥＰアルゴリズムによりネットワークセキュリティ対策は提供されるが、ネットワークへの潜在的侵入の検出または通知は行われない。最近になってはじめて、このような侵入検出システムが利用可能となってきた。これらのシステムは、典型的には、侵入検出が所望されるステーション上にインストールされるセキュリティ監視ソフトウェアを備えている。このようなソフトウェアは、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスまたはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスを監視し、これらを既知の認証されているネットワークステーションのアドレスと比較することにより、侵入者の検出を試みるものである。さらに、このようなシステムは、ＷＥＰがイネーブルでないときを観察するものであるかもしれない。
【０００６】
ＷｉｌｄＰａｃｋｅｔｓ，Ｉｎｃ．からの侵入検出システムの一例として、ＡｉｒｏＰｅｅｋと呼ばれるものがある。ＡｉｒｏＰｅｅｋは、ネットワークで利用されるＥＳＳ及びＢＳＳ識別情報（ＥＳＳＩＤ及びＢＳＳＩＤ）に基づき、認証されていないロウグステーションを検索する。すなわち、ネットワークで用いられるすべての認証されているＢＳＳＩＤとＥＳＳＩＤのリストが生成される。その後、認証されていないすべてのステーションを排除するのにフィルタが用いられる。このフィルタは、通常のネットワークトラフィックをキャプチャし、ＥＳＳＩＤまたはＢＳＳＩＤに対応する８０２．１１フレームでのデータオフセットを決定することにより生成される。ＡｉｒｏＰｅｅｋはまた、フレームカウントに基づきトリガーされるアラームを有する。すなわち、フレームカウントがゼロを超える場合、当該アラームがトリガーされる（すなわち、ロウグステーションからフレームが検出される場合、当該アラームがトリガーされる）。さらに、ＡｉｒｏＰｅｅｋは、電子メールまたはシステムから（例えば、ページャに）ダイアルするモデムを用いることにより、アラームを通知することができる。
【０００７】
上記システムの発達にもかかわらず、無線ＬＡＮ/ＭＡＮへの侵入は依然としてこのようなシステムにより検出されないままとなっている。すなわち、ロウグステーションが認証されたアドレス及び/またはＩＤへのアクセスを取得した場合、例えば、上記アプローチでは、ロウグステーションのネットワークへの侵入を検出できないかもしれない。
［発明の概要］
上記背景に鑑み、本発明の課題は、侵入検出機能を備えた無線ＬＡＮ/ＭＡＮ及び関連する方法を提供することである。
【０００８】
本発明による上記及び他の課題、特徴及び効果は、データを送信しあう複数のステーションとポリシングステーションとを有する無線ローカルまたはメトロポリタンエリアネットワークにより提供される。前記ポリシングステーションは、承認されていない期間中の送信を検出し、これに基づき侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出する。
【０００９】
より詳細には、前記複数のステーションは、パケットによりデータを送信し、各パケットとの送信のため、各自の完全性チェック値を生成するようにしてもよい。また、前記ポリシングステーションはさらに、各自のデータパケットに対応しない完全性チェック値を検出し、これに基づく侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出するようにしてもよい。さらに、前記データパケットは、ＭＡＣ（Ｍｅｄｉｕｍ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）レイヤを介し送信され、前記複数のステーションはまた、各データパケットと共に各自のＭＡＣシーケンス番号を送信するようにしてもよい。これにより、前記ポリシングステーションはまた、ステーションによる不連続なＭＡＣシーケンス番号の使用を検出し、これに基づく侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出するようにしてもよい。
【００１０】
さらに、各データパケットは、関連付けされたパケットタイプを有し、これにより、前記ポリシングステーションはさらに、所定のパケットタイプを有するパケットの衝突を検出し、これに基づき侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出するようにしてもよい。特に、前記所定のパケットタイプは、管理フレームパケット（例えば、認証、関連及びビーコンパケットなど）、制御フレームパケット（例えば、ＲＴＳ（Ｒｅｑｕｅｓｔ  Ｔｏ  Ｓｅｎｄ）パケット及びＣＴＳ（Ｃｌｅａｒ  Ｔｏ  Ｓｅｎｄ）パケットなど）及びデータフレームパケットの少なくとも１つを有するようにしてもよい。また、前記所定のパケットタイプを有するパケットの第１衝突閾値回数は、例えばほぼ３より大きいものであってもよい。さらに、前記閾値回数は、前記所定のパケットタイプを有する監視されるパケットの合計のある割合に基づくものであってもよい。
【００１１】
各ステーションは、そこから送信されたデータと共に送信するため関連付けされたＭＡＣアドレスを有する。また、前記ポリシングステーションはさらに、同一のＭＡＣアドレスの衝突を検出し、これに基づき侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出するようにしてもよい。例えば、同一のＭＡＣアドレスの閾値衝突回数はほぼ３より大きいものであってもよい。
【００１２】
さらに、前記無線ネットワークは、関連付けされた少なくとも１つのサービスセット識別情報（ＩＤ）を有する。これにより、前記ポリシングステーションは、関連付けされたサービスセットＩＤを検出し、これに基づき侵入警告を生成するため、前記複数のステーション間の送信を監視することにより、前記無線ネットワークへの侵入を検出するようにしてもよい。また、前記複数のステーションは、少なくとも１つのチャネルを介し送信し、前記ポリシングステーションは、前記複数のステーションの１つからでない前記少なくとも１つのチャネルを介する送信を検出し、これに基づく侵入警告を生成するようにしてもよい。
【００１３】
前記ポリシングステーションはさらに、前記複数のステーションの少なくとも１つに侵入警告を送信するようにしてもよい。さらに、前記ポリシングステーションは、基地局または無線ステーションであってもよい。
【００１４】
本発明の侵入検出方法は、複数のステーションを有する無線ローカルまたはメトロポリタンエリアネットワークのためのものである。より詳細には、本方法は、前記複数のステーションの間においてデータを送信しあうステップと、承認されていない期間中の送信を検出するため、前記複数のステーション間の送信を監視するステップとを含むものであってもよい。さらに、前記承認されていない期間中の送信の検出に基づき、侵入警告を生成するようにしてもよい。
【００１５】
さらに、前記複数のステーションは、パケットによりデータを送信し、各パケットとの送信のため、各自の完全性チェック値を生成するようにしてもよい。また、本方法はまた、各自のデータパケットに対応しない完全性チェック値を検出するため前記複数のステーション間の送信を監視するステップと、これに基づく侵入警告を生成するステップとを含むものであってもよい。
【００１６】
前記データパケットは、ＭＡＣレイヤを介し送信され、前記複数のステーションはまた、各データパケットと共に各自のＭＡＣシーケンス番号を送信するようにしてもよい。これにより、本方法はまた、ステーションによる不連続なＭＡＣシーケンス番号の使用を検出するため、前記複数のステーション間の送信を監視するステップと、これに基づく侵入警告を生成するステップとを有するようにしてもよい。
【００１７】
各データパケットは、関連付けされたパケットタイプを有する。本方法はまた、これにより、所定のパケットタイプを有するパケットの衝突を検出するため、前記複数のステーション間の送信を監視するステップと、前記所定のパケットタイプを有するパケットの衝突閾値回数を検出することに基づく侵入警告を生成するステップとを有するようにしてもよい。例えば、前記所定のパケットタイプは、管理フレームパケット（例えば、認証、関連及びビーコンパケットなど）、制御フレームパケット（例えば、ＲＴＳ（Ｒｅｑｕｅｓｔ  Ｔｏ  Ｓｅｎｄ）パケット及びＣＴＳ（Ｃｌｅａｒ  Ｔｏ  Ｓｅｎｄ）パケットなど）及びデータフレームパケットの少なくとも１つを有するようにしてもよい。また、前記衝突閾値回数は、例えばほぼ３より大きいものであってもよい。さらに、前記閾値回数は、前記所定のパケットタイプを有する監視されるパケットの合計のある割合に基づくものであってもよい。
【００１８】
前記複数のステーションは、ＭＡＣレイヤを介しデータを送信し、各ステーションは、上述のように、そこから送信されたデータと共に送信するため関連付けされたＭＡＣアドレスを有するようにしてもよい。これにより、本方法はさらに、同一のＭＡＣアドレスの衝突を検出するため、前記複数のステーション間の送信を監視するステップと、同一のＭＡＣアドレスの衝突閾値回数を検出することに基づく侵入警告を生成するステップとを有するようにしてもよい。
【００１９】
本方法はまた、関連付けされたサービスセットＩＤを検出するため、前記複数のステーション間の送信を監視するステップと、前記無線ネットワークの少なく１つのサービスセットＩＤとは異なる検出されたサービスセットＩＤの１つに基づく侵入警告を生成するステップとを有するようにしてもよい。また、前記複数のステーションの１つからでない少なくとも１つのチャネルを介する送信が検出され、これに基づく侵入警告を生成するようにしてもよい。前記侵入警告はまた、前記複数のステーションの少なくとも１つに送信されるようにしてもよい。
［好適実施例の詳細な説明］
本発明は、好適な実施例を示す添付された図面を参照することにより、以降においてより十分に説明される。しかしながら、本発明は、異なる多数の形態により実現可能であり、ここで与えられる実施例に限定するものとして解釈されるべきでない。むしろ、これらの実施例は、本開示が詳細かつ完全なものとなるよう与えられるものであり、本発明の範囲を当業者に十分伝えるものであるだろう。
【００２０】
上記説明のため、同一の番号は同一の要素を参照するものとする。さらに、図１から図１０を参照するに、１０ずつ異なる参照番号は、代替的な実施例における類似要素を示すのに利用される。例えば、図１から図１０に示される無線ステーション１１、２１、３１、４１、５１、６１、７１、８１、９１及び１０１はすべて類似の要素である。また、これらの要素は、過度の繰り返しを避けるため、最初に出てきたときのみ詳細に説明されるが、以降に出てきた要素は、最初に説明されたものと同様のものであると理解される。
【００２１】
図１を参照するに、本発明による無線ＬＡＮ/ＭＡＮ１０は、例示的に、無線ステーション１１と基地局（またはアクセスポイント）１２を有する。図示の簡単化のため、１つの無線ステーション１１と１つの基地局１２しか示されていないが、無線ネットワーク１０には任意数の無線ステーション及び/または基地局が含まれてもよいということは当業者には理解されるであろう。
【００２２】
無線ネットワーク１０のさらなる詳細な説明を与える前に、無線ＬＡＮ/ＭＡＮプロトコルに関する簡単な説明が与えられる。特に、上記説明は、説明の簡単化のため、８０２．１１規格を用いたネットワーク実現形態を仮定する。しかしながら、当業者は、ここで説明される多数の特徴及び実施例はまた、他の適切な無線ＬＡＮ/ＭＡＮ規格（例えば、ブルートゥースなど）と共に利用されてもよいということを理解するであろう。
【００２３】
８０２．１１規格は、あるタイプのデータが各種プロトコルを利用して送信される７つのレイヤを有するデータ転送のためのＯＳＩネットワークモデルと共に利用される。これらのレイヤには、アプリケーションレイヤ、プレゼンテーションレイヤ、セッションレイヤ、トランスポートレイヤ、ネットワークレイヤ、データリンクレイヤ及び物理レイヤが含まれる。データリンクレイヤはさらに、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）サブレイヤと論理リンク制御サブレイヤを含む。無線ステーション１１と基地局１２は、例えば、特に各自のＭＡＣアドレスと関連付けされたそれらの間のデータ送信には、ＭＡＣレイヤを利用する。もちろん、ＯＳＩモデルの他のレイヤもまたデータ送信に利用されてもよい。さらに、データは典型的にはパケットにより送信され、後述されるように、様々なタイプのメッセージデータに対して、様々なパケットタイプが利用される。
【００２４】
本発明によると、無線ネットワーク１０は、例示的には、ロウグステーション１４により無線ネットワークへの侵入を検出するポリシングステーション（ｐｏｌｉｃｉｎｇ  ｓｔａｔｉｏｎ）１３を有する。例えば、ロウグステーション１４は、無線ネットワークへのハッキングを試みるハッカー予備軍により使用されてもよいし、あるいは単に、無線ネットワーク１０と密接に協調する他の無線ネットワークからのノードであってもよい。ポリシングステーション１３は、１以上の無線ステーション及び/または基地局を有するようにしてもよい。本実施例では、ポリシングステーション１３は、ＭＡＣアドレスからＦＣＳ（Ｆｒａｍｅ  Ｃｈｅｃｋ  Ｓｅｑｕｅｎｃｅ）エラーを検出ため、ステーション１１及び１２間の送信を監視する。与えられたＭＡＣアドレスに対して検出されたＦＣＳエラー数が閾値を超えた場合、ポリシングステーション１３は、それに基づく侵入警告を生成する。
【００２５】
ここで用いられる「ステーション間の送信」という用語は、ステーション１１または１２の何れかとの任意の直接的送信だけでなく、無線ネットワーク１０の動作範囲内の任意の送信を意味するものとする。言い換えると、ポリシングステーション１３は、ステーション１１及び１２との通信だけでなく、ネットワーク１０のあるステーションとのものであるかどうかに関係なく受信する他の任意の送信をも監視するようにしてもよい。
【００２６】
上記実施例（及び以下の実施例）では、効果的には、ポリシングステーション１３は、無線ネットワーク１０の１以上のステーション１１及び１２に警告を送信してもよい。例えば、ポリシングステーション１３は、基地局１２に侵入警告を直接送信し、その後、基地局１２が無線ネットワークの他のすべてのステーションに通知するようにしてもよい。あるいは、ポリシングステーション１３は、侵入警告をすべてのネットワークステーションに配信してもよい。何れの場合でも、当業者には理解されるように、認証されていない侵入に対する適切な措置がとられるようにしてもよい。このような対抗措置は、本発明の範囲外のものであり、ここでは説明されない。
【００２７】
図２を参照するに、無線ＬＡＮ/ＭＡＮ２０の第１の他の実施例が説明される。本実施例では、ポリシングステーション２３は、ＭＡＣアドレスの認証不成功を検出するため、ステーション２１及び２２間の送信を監視することにより、無線ネットワーク２０への侵入を検出する。あるＭＡＣアドレスへの所定回数の認証不成功が検出されると、ポリシングノード２３は侵入警告を生成する。
【００２８】
この侵入警告の生成に対して、任意の不成功回数が閾値として利用されてもよいが、一般にステーションに侵入警告を生成することなくそのＭＡＣアドレスを認証する少なくとも１回の試行を与えることが望ましいかもしれない。さらに効果的には、いくつかの実施例では、ポリシングステーション２３は、所定の期間内（例えば、１時間、１日など）で不成功が検出される場合のみ、侵入警告を生成するようにしてもよい。
【００２９】
８０２．１１規格によると、無線ＬＡＮ/ＭＡＮ内で互いに通信を所望する２つのステーションは、典型的には、データ送信前に、これらの間でＲＴＳ（Ｒｅｑｕｅｓｔ  Ｔｏ  Ｓｅｎｄ）及びＣＴＳ（Ｃｌｅａｒ  Ｔｏ  Ｓｅｎｄ）パケットを送信しあう。これは、他の送信との衝突を回避するためである。すなわち、無線ＬＡＮ/ＭＡＮのその他の多数またはすべてのステーションが同一チャネル上で通信しているため、干渉及びネットワーク破壊を生じうるため、同時に送信しあうことのないよう保証する必要がある。さらに、ＲＴＳ及びＣＴＳパケットは、典型的には、データの送信のために用意された時間を示すネットワーク割当ベクトル（ＮＡＶ）を有する。この情報は、無線ＬＡＮ/ＭＡＮの他のすべてのステーションに送信され、その後、指定された期間内は送信が中断される。
【００３０】
さらに図３を参照するに、ポリシングステーション３３が、不当なＮＡＶ値を検出するため、ステーション３１と３２間で送信されるＲＴＳ及びＣＴＳパケットを監視することにより、無線ネットワーク３０への侵入を検出する無線ＬＡＮ/ＭＡＮ３０の第２の他の実施例が説明される。例えば、無線ネットワーク３０は、データ送信が当該ネットワークに参加している認証されたすべてのステーションには知られている所定の時間を超えないような方法により実現されてもよい。従って、ポリシングステーション３３がこの割り当てられた時間以外のＮＡＶ値を検出する場合、それに基づく侵入警告が生成されるであろう。
【００３１】
８０２．１１規格の他の特徴は、無線ＬＡＮ/ＭＡＮ内のステーションが回線争奪モード（ｃｏｎｔｅｎｔｉｏｎ  ｍｏｄｅ）または非回線争奪モードにより動作するようにしてもよい。すなわち、回線争奪モードでは、すべてのステーションが、送信される各データパケットに用いられるチャネルへのアクセスを争奪することが要求される。ＣＦＰ（Ｃｏｎｔｅｎｔｉｏｎ−Ｆｒｅｅ  Ｐｅｒｉｏｄ）期間においては、媒体の使用が基地局により制御され、これによりステーションがチャネルアクセスを争奪する必要がなくなる。
【００３２】
図４に示される無線ＬＡＮ/ＭＡＮ４０の第３実施例によると、ポリシングステーション４３は、ＣＦＰ以外での非回線争奪モードでの動作を検出するため、ステーション４１及び４２間の送信を監視することにより、無線ネットワーク４０への侵入を効果的に検出するようにしてもよい。また、侵入警報は、このような検出に基づきポリシングステーション４３により生成されてもよい。言い換えると、ＣＦＰ以外で非回線争奪モードにより動作するステーションの検出は、ＣＦＰが設定されたとき、基地局４２によりすべての認証されている無線ステーションに通知がされるとき、当該ステーションが認証されているステーションでないことを示すものである。もちろん、これは、回線争奪モードによる動作がＣＦＰ期間に検出される場合であり、そのような実施例は図５に例示的に示されている。上記ＣＦＰ侵入検出アプローチの何れかあるいはその両方が、与えられたアプリケーションにおいて実現可能であることは当業者には理解されるであろう。
【００３３】
図６を参照するに、無線ＬＡＮ/ＭＡＮ６０の他の実施例が説明される。ここでは、ポリシングステーション６３は、承認されていない期間における送信を検出するため、ステーション６１及び６２間の送信を監視することにより、無線ネットワーク６０への侵入を検出する。すなわち、無線ネットワーク６０は、どのユーザも指定された時間内（例えば、真夜中から午前６：００まで）においてネットワークへのアクセスを許可されないように実現されてもよい。これにより、承認されていない期間内の送信を検出することにより、ポリシングステーション６３は、侵入警告を効果的に生成するようにしてもよい。
【００３４】
図７をさらに参照するに、無線ＬＡＮ/ＭＡＮ７０のさらなる他の実施例が説明される。本実施例では、各種ステーション７１及び７２は、上記ＷＥＰ機能をイネーブルにし、これにより、各自のデータパケットにより完全性チェックを生成及び送信する。これにより、ポリシングステーション７３は、各自のデータパケットに対応しない完全性チェック値を検出するため、ステーション７１及び７２間の送信を監視することにより、無線ネットワーク７０への侵入を検出する。すなわち、誤った鍵ストリームｇはメッセージ暗号文の生成に使用される場合、あるいは当該メッセージがロウグステーション８４により改ざんされた場合、完全性チェック値は大部分不正となるであろう。また、ポリシングステーション７３は、このような誤った完全性チェック値が検出されると、当業者には理解されるように、侵入警告を生成するようにしてもよい。
【００３５】
図８を参照して、本発明のさらなる他の無線ＬＡＮ/ＭＡＮ８０が説明される。典型的には、上記ＯＳＩネットワークモデルが利用されるとき、それぞれのＭＡＣシーケンス番号が生成され、ステーション８１及び８２から各データパケットと共に送信される。すなわち、連続した各データパケットにより、ＭＡＣシーケンス番号がインクリメントされ、これにより、各パケットは関連付けされた一意的なＭＡＣシーケンス番号を有することになる。また、ポリシングステーション８３は、ステーションによる不連続なＭＡＣシーケンス番号の利用を検出し、これに基づき侵入警告を生成するため、ステーション８１及び８２間の送信を監視することにより、無線ネットワーク８０への侵入を検出するようにしてもよい。
【００３６】
図９を参照するに、ポリシングステーション９３が、所定のパケットタイプを有するパケットの衝突を検出するため、ステーション９１及び９２間の送信を監視することにより、無線ネットワークへの侵入を検出する無線ＬＡＮ/ＭＡＮ９０の他の実施例が示される。特に、この所定のパケットタイプには、管理フレームパケット（例えば、認証、関連付け及びビーコンパケットなど）、制御フレームパケット（例えば、ＲＴＳ及びＣＴＳパケットなど）及び/またはデータフレームパケットが含まれる。従って、ポリシングステーション９３は、所定のパケットタイプの衝突閾値回数を検出することに基づき、侵入警告を生成するようにしてもよい。
【００３７】
ここで使用される「衝突（ｃｏｌｌｉｓｉｏｎ）」とは、パケットの同時送信だけでなくある時間内における互いによる送信をも含むものと解される。すなわち、あるタイプのパケットが送信間の時間的遅延（例えば、数秒など）を有すると仮定される場合、このようなタイプの２つのパケットが互いに接近して送信されると（すなわち、これらの間の必要な遅延時間未満により）、衝突とみなされるであろう。例えば、衝突閾値回数は、他の閾値もまた利用可能であるが、ほぼ３より大きくてもよい。さらに、この閾値は、当該パケットタイプに基づくものであってもよい。すなわち、この閾値は、異なるパケットタイプに対して異なるものであってもよい。
【００３８】
さらに、この閾値は、所定のパケットタイプを有する監視されているパケットの合計のある割合に基づくものであってもよい。例えば、ある期間中に送信されるパケットのある割合（例えば、ほぼ１０％以上）が衝突を伴う場合、侵入警告を生成するようにしてもよい。あるいは、監視されているパケットの合計のうちのある割合のパケット（例えば、１０個のうち３個など）が衝突に関するものである場合、侵入警告を生成するようにしてもよい。もちろん、他の適切な閾値および同様のものを確立するための方法もまた利用されてもよい。
【００３９】
図１０を参照するに、ポリシングステーション１０３が、同一のＭＡＣアドレスの衝突を検出するため、ステーション１０１及び１０２間の送信を監視することにより、無線ネットワークへの侵入を検出する無線ＬＡＮ/ＭＡＮ１００の他の実施例が説明される。すなわち、複数の端末が同一のＭＡＣアドレスを同時または比較的近接して互いに要求する場合、エラーが生じたか、あるいは１つのステーションがロウグステーション１０４である。また、ポリシングステーション１０３は、ほぼ３より大きいこのような閾値回数の衝突の検出に基づき、侵入警告を生成する。ここで再び、他の閾値が利用可能であり、閾値は前述のような割合に基づくものであってもよい。
【００４０】
図１１を参照して、無線ネットワーク１０に対する本発明による侵入検出方法が説明される。本方法は、ブロック１１０から始まり、ブロック１１１において前述のように、ＭＡＣレイヤを使用して複数のステーション１１及び１２の間のデータ送信を含む。ブロック１１２において、ステーション１１及び１２間の送信は、ＭＡＣアドレスの１つからＦＣＳエラーを検出するよう監視される。ブロック１１３において、当該ＭＡＣアドレスに対するＦＣＳエラー数が閾値を超える場合、ブロック１１４において侵入警告がこれに基づき生成され、本方法が終了される（ブロック１１５）。そうでない場合には、図示されるように、送信の監視が継続される。
【００４１】
図１２を参照して説明される本発明の第１の他の方法によると、本方法は開始され（ブロック１２０）、ブロック１２１において、ステーション２１及び２２の間のデータ送信が行われる。ブロック１２２において、前述のように、ＭＡＣアドレスの認証不成功を検出するため、送信が監視される。ブロック１２３において所定回数のＭＡＣアドレス認証不成功が検出されると、ブロック１２４において侵入警告が生成され、これにより本方法が終了される（ブロック１２５）。そうでない場合、図示されるように、侵入監視が継続される。
【００４２】
図１３を参照して本発明の第２の他の方法が説明される。本方法は開始され（ブロック１３０）、ブロック１３１において、ステーション３１と３２との間でＲＴＳ及びＣＴＳパケットの送信が行われ、その後データの送信が行われる。ブロック１３２において、ステーション３１及び３２間で送信されるＲＴＳ及びＣＴＳパケットが、前述のように、不当なＮＡＶ値を検出するよう監視される。ブロック１３３において、不当なＮＡＶ値が検出される場合、これに基づきブロック１３４において侵入警告が生成され、これにより本方法は終了される（ブロック１３５）。そうでない場合、例示的に図示されるように、侵入監視が継続される。
【００４３】
図１４を参照するに、本発明の第３の他の方法が説明される。本方法は開始され（ブロック１４０）、ブロック１４１においてステーション４１と４２との間でデータの送信が行われ、ブロック１４２において、前述のように、ＣＦＰ以外の非回線争奪モード動作を検出するよう送信が監視される。ブロック１４３において、このような動作がＣＦＰ以外において検出されると、ブロック１４４において、これに基づき侵入警告が生成され、本方法が終了される（ブロック１４５）。そうでない場合、例示的に図示されるように、侵入監視が継続される。図１５において、ＣＦＰにおいて回線争奪モード動作での送信が監視される反対のケースが、ブロック１５０〜１５５により例示的に示される。ここで再び、これら２つの方法は、常にそうである必要はないが、１つの実施例において利用することが可能である。
【００４４】
図１６を参照して、本発明の第４の方法が説明される。本方法は開始され（ブロック１６０）、ブロック１６１において、ステーション６１と６２との間でデータが送信され、前述のようにブロック１６２において、承認されていない期間中の送信を検出するよう監視が行われる。ブロック１６３において、承認されていない期間中に送信が検出されると、ブロック１６４において、これに基づき侵入警告が生成され、これにより本方法が終了される（ブロック１６５）。そうでない場合、例示的に図示されるように、侵入監視が継続される。
【００４５】
図１７を参照して、本発明のさらなる他の侵入検出方法が説明される。本方法は開始され（ブロック１７０）、ブロック１７１において、ステーション７１と７２との間でデータが送信され、前述のように、ブロック１７２において、各自のデータパケットに対応しない完全性チェック値を検出するよう送信が監視される。当該ケースが成り立つ場合、ブロック１７３において、侵入警告が生成され、本方法が終了される（ブロック１７５）。そうでない場合、例示的に示されるように、侵入監視が継続される。
【００４６】
図１８を参照するに、本発明のさらなる他の方法が説明される。本方法は開始され（ブロック１８０）、ブロック１８１において、ステーション８１と８２との間でデータが送信される。前述のように、ブロック１８２において、本方法はまた、ステーションによる不連続なＭＡＣシーケンス番号の使用を検出するよう送信が監視される。ブロック１８３において、このような使用が検出される場合、ブロック１８４において、侵入警告が生成され、本方法が終了される（ブロック１８５）。そうでない場合、例示的に示されるように、侵入監視が継続される。
【００４７】
図１９をさらに参照するに、本発明の他の方法が開始され（ブロック１９０）、ブロック１９１において、ステーション９１と９２との間でデータパケットが送信され、ブロック１９２において、上述のように、所定のパケットタイプを有するパケットの衝突を検出するよう送信が監視される。ブロック１９３において、所定のパケットタイプを有するパケットの閾値回数の衝突が検出されると、ブロック９１４において、侵入警告が生成され、本方法が終了される（ブロック１９５）。そうでない場合、例示的に示されるように、侵入監視が継続される。
【００４８】
図２０に関して、本発明の他の侵入検出方法が説明される。本方法が開始され（ブロック２００）、ブロック２０１において、ステーション１０１と１０２との間でデータが送信され、前述のように、ブロック２０２において、同じＭＡＣアドレスの衝突を検出するよう送信が監視される。ブロック２０３において、同一のＭＡＣアドレスの衝突が閾値回数だけ検出されると、ブロック２０４において、侵入警告が生成され、本方法が終了される（ブロック２０５）。そうでない場合、例示的に示されるように、侵入監視が継続される。
【００４９】
図２１を参照して、本発明のさらなる侵入検出が説明される。上述のように、無線ＬＡＮ/ＭＡＮは、典型的には、ＩＢＳＳＩＤ、ＢＳＳＩＤ及び/またはＥＳＳＩＤなどの関連付けされた１以上のサービスセットを有する。例示的に図示されるように、ブロック２１０において開始され、ブロック２１１において、ステーション１１と１２との間でデータ送信が行われる。ブロック２１２において、複数のステーション間の送信が監視され、関連付けされたサービスセットＩＤ及び/または承認されているステーションからではない指定されたネットワークチャネル上の送信が検出される。
【００５０】
また、ブロック２１３において、無線ネットワーク１０の承認されているサービスセットＩＤとは異なるサービスセットＩＤ及び/またはネットワークチャネル上の承認されていないステーションからの送信が検出されると、ブロック２１４において、これに基づく侵入警告が生成される。さらに効果的には、ブロック２１５において、前述のようにこの侵入警告は、ネットワークの１以上のステーションに送信されてもよいし、あるいはモデムなどを介し他のソースに送信されてもよい。そうでない場合、例示的に示されるように、侵入監視が継続される。
【００５１】
上記方法のすべてが、上述の無線ネットワークの１以上において実現可能であるということは当業者によって理解されるであろう。また、本発明のさらなる方法が、上記説明に基づき当業者には明らかであり、さらなる説明はここでは与えない。
【００５２】
上記発明はいくつかの方法により実現可能であるということが理解されるであろう。例えば、ポリシングステーション１３は、無線ネットワーク１０の既存部分でない１以上の別々の専用装置により実現可能である。あるいは、本発明は、侵入検出が所望される無線ＬＡＮ/ＭＡＮの１以上の既存のステーション上にインストールされるソフトウェアにより実現されてもよい。
【００５３】
さらに効果的には、本発明の上記特徴の多くは、ロウグステーションが承認されているネットワークあるいはＭＡＣＩＤを有するときであっても（例えば、ＣＦＰ以外の非回線争奪動作、承認されていない期間における送信など）、無線ネットワーク侵入を検出するのに利用されてもよい。さらに効果的には、上記特徴の１以上が、所望のレベルの侵入検出を提供するため、与えられたアプリケーションに利用されてもよい。本発明のさらなる効果として、既存の侵入検出システム、特に上位のＯＳＩネットワークレイヤへの侵入を対象としたシステムを保管するのに利用されてもよい。
【図面の簡単な説明】
【００５４】
【図１】図１は、本発明によるＦＣＳ（Ｆｒａｍｅ  Ｃｈｅｃｋ  Ｓｅｑｕｅｎｃｅ）エラーに基づき侵入検出を提供する無線ＬＡＮ/ＭＡＮの概略的ブロック図である。
【図２】図２は、ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスの認証不成功に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮの他の実施例の概略的ブロック図である。
【図３】図３は、不当なネットワーク割当ベクトル（ＮＡＶ）に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮの他の実施例の概略ブロック図である。
【図４】図４は、ＣＦＰ（Ｃｏｎｔｅｎｔｉｏｎ−Ｆｒｅｅ  Ｐｅｒｉｏｄ）以外の非回線争奪モードによる動作に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図５】図５は、ＣＦＰ期間中の回線争奪モードによる動作に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図６】図６は、承認されていない期間中に発生する送信に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図７】図７は、各自のデータパケットに対応しない完全性チェック値に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図８】図８は、ステーションによる不連続なＭＡＣシーケンス番号の利用の検出に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図９】図９は、所定のパケットタイプを有するパケットの衝突の検出に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図１０】図１０は、同一のＭＡＣアドレスの衝突の検出に基づく侵入検出を提供する図１の無線ＬＡＮ/ＭＡＮのさらなる他の実施例の概略ブロック図である。
【図１１】図１１は、本発明によるＦＣＳエラーの検出に基づく侵入検出を示すフロー図である。
【図１２】図１２は、本発明によるＭＡＣアドレスの認証不成功の検出に基づく侵入検出方法を示すフロー図である。
【図１３】図１３は、本発明による不当なネットワーク割当ベクトル（ＮＡＶ）値の検出に基づく侵入検出方法を示すフロー図である。
【図１４】図１４は、本発明によるＣＦＰ以外の非回線争奪モードによる動作の検出に基づく侵入検出方法を示すフロー図である。
【図１５】図１５は、本発明によるＣＦＰ期間中の回線争奪モードによる動作の検出に基づく侵入検出方法を示すフロー図である。
【図１６】図１６は、本発明による承認されていない期間中に発生する送信の検出に基づく侵入検出方法を示すフロー図である。
【図１７】図１７は、本発明による各自のデータパケットに対応しない完全性チェック値の検出に基づく侵入検出方法を示すフロー図である。
【図１８】図１８は、本発明による不連続なＭＡＣシーケンス番号の利用の検出に基づく侵入検出方法を示すフロー図である。
【図１９】図１９は、本発明による所定のパケットタイプを有するパケットの衝突の検出に基づく侵入検出方法を示すフロー図である。
【図２０】図２０は、本発明による同一のＭＡＣアドレスの衝突の検出に基づく侵入検出方法を示すフロー図である。
【図２１】図２１は、侵入検出のための本発明のさらなる方法を示すフロー図である。
【図１】
2005536120.tif 000003
【図２】
2005536120.tif 000004
【図３】
2005536120.tif 000005
【図４】
2005536120.tif 000006
【図５】
2005536120.tif 000007
【図６】
2005536120.tif 000008
【図７】
2005536120.tif 000009
【図８】
2005536120.tif 000010
【図９】
2005536120.tif 000011
【図１０】
2005536120.tif 000012
【図１１】
2005536120.tif 000013
【図１２】
2005536120.tif 000014
【図１３】
2005536120.tif 000015
【図１４】
2005536120.tif 000016
【図１５】
2005536120.tif 000017
【図１６】
2005536120.tif 000018
【図１７】
2005536120.tif 000019
【図１８】
2005536120.tif 000020
【図１９】
2005536120.tif 000021
【図２０】
2005536120.tif 000022
【図２１】
2005536120.tif 000023
【国際調査報告】
2005536120.tif 000024