(57)【要約】【課題】基幹ネットワークのセキュリティを強化する。【解決手段】制御装置は、制御部と通信部を備える。制御部は、正規のアクセスポイントである正規アクセスポイントを介した接続を要求する対象端末との間で、対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立する。通信部は、正規アクセスポイントから正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信すると共に、対象端末から対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信する。制御部は、第１の履歴情報と第２の履歴情報を用いて、第２の履歴情報に正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、対象端末の基幹ネットワークへのアクセスを許可する。【選択図】図２
2018097821.tif 000002
【特許請求の範囲】
【請求項１】
正規のアクセスポイントである正規アクセスポイントを介した接続を要求する対象端末との間で、前記対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立する制御部と、
前記正規アクセスポイントから前記正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信すると共に、前記対象端末から前記対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信する通信部
を備え、
前記制御部は、前記第１の履歴情報と前記第２の履歴情報を用いて、前記第２の履歴情報に前記正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、前記対象端末の前記基幹ネットワークへのアクセスを許可する
ことを特徴とする制御装置。
【請求項２】
前記第１の履歴情報は、前記正規アクセスポイントに接続した端末の識別情報と、前記正規アクセスポイントに接続した端末と前記正規アクセスポイントの間で接続が確立している期間の情報を含み、
前記第２の履歴情報は、前記対象端末が接続したアクセスポイントの識別情報と、前記対象端末が接続を確立している期間の情報を含み、
前記制御部は、前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報で前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする請求項１に記載の制御装置。
【請求項３】
前記制御部は、前記基幹ネットワークへのアクセスを許可した前記対象端末から前記通信部が通信の終了通知を受信すると、前記対象端末に対する前記基幹ネットワークへのアクセスを許可しない設定に変更する
ことを特徴とする請求項１または２に記載の制御装置。
【請求項４】
前記通信部は、他のアクセスポイントを制御する他の制御装置から、前記他の制御装置の制御対象のアクセスポイントに接続した端末の履歴である第３の履歴情報を受信し、
前記制御部は、前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報と前記第３の履歴情報のいずれでも前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする請求項１〜３のいずれか１項に記載の制御装置。
【請求項５】
正規のアクセスポイントである正規アクセスポイントを制御する制御装置に、
前記正規アクセスポイントを介した接続を要求する対象端末との間で、前記対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立し、
前記正規アクセスポイントから前記正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信し、
前記対象端末から前記対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信し、
前記第１の履歴情報と前記第２の履歴情報を用いて、前記第２の履歴情報に前記正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、前記対象端末の前記基幹ネットワークへのアクセスを許可する
処理を行わせることを特徴とする通信制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、制御装置および通信制御方法に関する。
【背景技術】
【０００２】
近年、無線ＬＡＮ（Local Area Network）の普及に伴い、様々な場所に無線ＬＡＮアクセスポイントが設置されている。企業などの事務所フロアでは、複数のアクセスポイントを設置することで、フロア内をいずれかのアクセスポイントの通信エリアでカバーし、無線ＬＡＮコントローラで複数のアクセスポイントを一括管理することが多い。しかし、悪意のある者が、無線ＬＡＮコントローラの管理下にある正規のアクセスポイントと同一の設定を用いて、無線ＬＡＮコントローラの管理下にないアクセスポイント（不正アクセスポイント）を設置してしまうことがある。例えば、不正アクセスポイントは、正規のアクセスポイントと同一のＳＳＩＤ（Service Set Identifier）や認証の設定を用いることにより、正規のアクセスポイントに成りすまして、端末を不正アクセスポイントに接続させる。
【０００３】
図１は、不正アクセスポイント１５と端末１０の接続の例を説明する図である。図１に示すネットワークでは、正規のアクセスポイント２０ａとアクセスポイント２０ｂが無線ＬＡＮコントローラ（ＷＬＣ、Wireless LAN controller）３によって管理されている。図１の例では、アクセスポイント２０ａ、２０ｂは、Ｌ２スイッチ２５を介してＷＬＣ３に接続されている。また、アクセスポイント２０ａにはＡＰ−０００というＳＳＩＤが設定されており、アクセスポイント２０ｂにはＡＰ−００１というＳＳＩＤが設定されているとする。図１においてＷＬＣ３は基幹ネットワーク５に接続されているため、アクセスポイント２０ａやアクセスポイント２０ｂに接続した端末は、基幹ネットワーク５にアクセスし得る。一方、不正アクセスポイント１５は基幹ネットワーク５に接続されていないものとする。
【０００４】
図１において、悪意のある第三者が不正アクセスポイント１５を設置したとする。ここで、不正アクセスポイント１５には、アクセスポイント２０ａに成りすますために、ＡＰ−０００というＳＳＩＤが設定されているとする。
【０００５】
端末１０は、アクセスポイント２０ａに接続しようとして、ＡＰ−０００というＳＳＩＤを用いて接続処理を行ったが、不正アクセスポイント１５との間で接続を確立してしまったとする（矢印Ａ１）。不正アクセスポイント１５は、端末１０と接続を確立すると、端末１０をマルウェアに感染させる。一方、端末１０のユーザは、端末１０が不正アクセスポイント１５に接続している間は、基幹ネットワーク５へのアクセスに失敗するので、不正アクセスポイント１５との接続を切断して、再度、アクセスポイント２０への接続を試みる。
【０００６】
図１の例では、端末１０は、不正アクセスポイント１５との間の接続の切断後に、アクセスポイント２０ａとの間で接続を確立したとする（矢印Ａ２）。この場合、端末１０は不正アクセスポイント１５との接続中にマルウェアに感染させられているので、端末１０がアクセスポイント２０ａを介して基幹ネットワーク５にアクセスすると、マルウェアによる被害が基幹ネットワーク５にまで拡大してしまうおそれがある。
【０００７】
関連する技術として、移動ユニットで累積されたトラフィックデータとアクセスポイントで累積されたトラフィックデータの間の非相関データが閾値を超えるとアラーム状態とする侵入検出システムが知られている（例えば、特許文献１）。正常なアクセスポイントへの接続履歴を保持している無線ＬＡＮ機器も知られている（例えば、特許文献２）。この無線ＬＡＮ機器は、受信したビーコンから得られた識別情報が接続履歴に無い場合や、同一の識別情報を有する複数のアクセスポイントがある場合、ビーコンの電波強度や暗号化状態を調べて不正なアクセスポイントとの接続を避ける。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特表２００７−５２９９５７号公報
【特許文献２】特開２００８−７２４０２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
マルウェアに感染させられた端末を基幹ネットワークにアクセスさせると、マルウェアによる被害が基幹ネットワークにまで拡大してしまうおそれがある。そこで、基幹ネットワークのセキュリティを強化するためには、不正アクセスポイントに接続した形跡のある端末を基幹ネットワークに接続させないことが求められる。しかし、背景技術で述べたいずれの技術を用いても、不正アクセスポイントに接続した形跡のある端末を基幹ネットワークに接続させないことは困難である。
【００１０】
本発明は、基幹ネットワークのセキュリティを強化することを目的とする。
【課題を解決するための手段】
【００１１】
ある１つの態様にかかる制御装置は、制御部と通信部を備える。制御部は、正規のアクセスポイントである正規アクセスポイントを介した接続を要求する対象端末との間で、前記対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立する。通信部は、前記正規アクセスポイントから前記正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信すると共に、前記対象端末から前記対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信する。前記制御部は、前記第１の履歴情報と前記第２の履歴情報を用いて、前記第２の履歴情報に前記正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、前記対象端末の前記基幹ネットワークへのアクセスを許可する。
【発明の効果】
【００１２】
基幹ネットワークのセキュリティを強化できる。
【図面の簡単な説明】
【００１３】
【図１】不正アクセスポイントとの接続の例を説明する図である。
【図２】実施形態にかかる制御方法の例を説明するフローチャートである。
【図３】制御装置の構成の例を説明する図である。
【図４】制御装置のハードウェア構成の例を説明する図である。
【図５】各装置が保持する接続先の履歴情報の例を説明する図である。
【図６】不正アクセスポイントへの接続が確認されていない端末に対する通信制御の例を説明するシーケンス図である。
【図７】各装置が保持する接続先の履歴情報の例を説明する図である。
【図８】不正アクセスポイントへの接続が確認された端末に対する通信制御の例を説明するシーケンス図である。
【図９】制御装置の処理の例を説明するフローチャートである。
【図１０】第２の実施形態が適用されるネットワークの例を説明する図である。
【図１１】第２の実施形態での収集履歴テーブルの例を説明する図である。
【図１２】第２の実施形態での通信制御の例を説明するシーケンス図である。
【発明を実施するための形態】
【００１４】
図２は、実施形態にかかる制御方法の例を説明するフローチャートである。実施形態にかかる方法では、制御装置が１つ以上の正規のアクセスポイント２０を制御する。また、制御装置は、正規のアクセスポイントを介して接続している端末１０に対して、基幹ネットワーク５へのアクセスの可否を制御できるものとする。
【００１５】
ステップＳ１において、制御装置は、正規のアクセスポイント２０を介して接続を要求してきた端末１０に対して、基幹ネットワーク５へのアクセスを許可しない設定で、接続を確立する。制御装置は、正規のアクセスポイント２０での端末との間の接続履歴（端末接続履歴）を取得する（ステップＳ２）。ここで、端末接続履歴には、アクセスポイント２０が接続した端末１０の識別情報、端末１０が接続した期間などの情報が含まれている。端末１０の識別情報としては、端末１０を識別可能な任意の情報が使用され得る。例えば、端末１０の識別情報として、端末１０に割り当てられたＭＡＣ（Media Access Control）アドレスが使用され得る。さらに、制御装置は、ステップＳ１で接続を確立した端末１０から、その端末１０のアクセスポイント２０への接続履歴（ＡＰ接続履歴）を取得する（ステップＳ３）。ここで、ＡＰ接続履歴には、端末１０が接続したアクセスポイント２０の識別情報、端末１０が接続した期間などの情報が含まれている。ＡＰ接続履歴では、アクセスポイント２０の識別情報として、例えば、アクセスポイント２０に設定されているＳＳＩＤが使用される。
【００１６】
制御装置は、端末接続履歴とＡＰ接続履歴を比較することにより、ステップＳ１で接続を確立した端末１０の接続先に、正規のアクセスポイント２０に成りすました不正なアクセスポイントが含まれているかを判定する（ステップＳ４）。ここで、正規のアクセスポイント２０に成りすました不正なアクセスポイントは、正規のアクセスポイント２０と同じ識別情報を用いている。従って、ＡＰ接続履歴において、正規のアクセスポイント２０に設定された識別情報に対応付けて記録されているエントリのうち、正規のアクセスポイント２０から取得した端末接続履歴に含まれていない情報が、不正なアクセスポイントとの接続の情報である。
【００１７】
端末１０の接続先に、正規のアクセスポイント２０に成りすました不正なアクセスポイントが含まれている場合、制御装置は、端末１０の接続の設定を変更せずに処理を終了する（ステップＳ４でＹｅｓ）。この結果、不正アクセスポイントに接続したことのある端末１０は、基幹ネットワーク５へのアクセスを許可されない。
【００１８】
一方、端末１０の接続先に、正規のアクセスポイント２０に成りすました不正なアクセスポイントが含まれていない場合、制御装置は、端末１０に対して、基幹ネットワーク５へのアクセスを許可する（ステップＳ４でＮｏ、ステップＳ５）。例えば、制御装置が基幹ネットワーク５へのアクセスの制限に使用するアクセスリストを変更することにより、制御装置は、端末１０が基幹ネットワーク５にアクセスすることを許可できる。
【００１９】
なお、図２のフローチャートは一例であり、実装に応じて処理の手順は変更され得る。例えば、ステップＳ２とステップＳ３の順序は任意に変更され得る。
【００２０】
このように、制御装置は、ＡＰ接続履歴と端末接続履歴を比較することにより、正規のアクセスポイント２０に成りすました不正アクセスポイントに端末１０が接続した履歴があるかを判定することができる。このため、不正アクセスポイントに接続した端末１０に対して基幹ネットワーク５へのアクセスを許可しないことにより、マルウェアに感染している可能性のある端末１０が基幹ネットワーク５にアクセスすることを防止できる。従って、実施形態にかかる方法により、基幹ネットワーク５のセキュリティが強化される。
【００２１】
＜装置構成＞
図３は、制御装置３０の構成の例を説明する図である。制御装置３０は、通信部３１、制御部４０、記憶部５０を備える。通信部３１は、送信部３２と受信部３３を有する。制御部４０は、情報収集部４１、情報統合部４２、判定部４３、通信制御部４４を有する。記憶部５０は、アクセスポイント（ＡＰ）接続履歴テーブル５１、収集履歴テーブル５２、アクセスリスト５３を格納する。
【００２２】
送信部３２は、端末１０や正規のアクセスポイント２０にパケットを送信する。受信部３３は、端末１０や正規のアクセスポイント２０からパケットを受信する。受信部３３は、受信したパケットを情報統合部４２に出力する。
【００２３】
情報収集部４１は、接続を確立した端末１０からＡＰ接続履歴を収集するための制御パケットを生成する。さらに、情報収集部４１は、制御装置３０が制御している正規のアクセスポイント２０の各々から、端末接続履歴を取得するための制御パケットを生成する。情報収集部４１は、生成した制御パケットを、送信部３２を介して、端末１０やアクセスポイント２０に送信する。情報統合部４２は、入力されたパケットが端末１０でのＡＰ接続履歴を含む場合、ＡＰ接続履歴を、送信元の端末１０のＭＡＣアドレスに対応付けてアクセスポイント接続履歴テーブル５１に格納する。一方、入力されたパケットがアクセスポイント２０から送信された端末接続履歴を含む場合、情報統合部４２は、端末接続履歴を用いて収集履歴テーブル５２を生成する。
【００２４】
判定部４３は、接続を確立した端末１０についてのアクセスポイント接続履歴テーブル５１中の情報と、収集履歴テーブル５２を用いて、接続を確立した端末１０が不正アクセスポイント１５と接続したことがあるかを判定する。通信制御部４４は、判定部４３の判定結果を用いて、基幹ネットワーク５にアクセス可能な端末１０を制限するための処理を行う。さらに、通信制御部４４は、接続を要求してきた端末１０に対して、基幹ネットワーク５へのアクセスを許可しない設定で、制御装置３０との間の通信を確立する。なお、アクセスリスト５３には、基幹ネットワーク５へのアクセスを許可する端末１０の情報が記録されている。
【００２５】
図４は、制御装置３０のハードウェア構成の例を説明する図である。制御装置３０は、プロセッサ１０１、メモリ１０２、記憶装置１０３、バス１０４、ネットワーク接続装置１０５を有する。プロセッサ１０１は、任意の処理回路であり、例えば、ＣＰＵ（Central Processing Unit）とすることができる。プロセッサ１０１は、メモリ１０２をワーキングメモリとして使用して、プログラムを実行することにより、様々な処理を実行する。メモリ１０２には、ＲＡＭ（Random Access Memory）が含まれ、さらに、ＲＯＭ（Read Only Memory）等の不揮発性のメモリも含まれる。メモリ１０２や記憶装置１０３は、プログラムやプロセッサ１０１での処理に使用されるデータの格納に使用される。ネットワーク接続装置１０５は、ネットワークを介した他の装置との通信に使用される。バス１０４は、プロセッサ１０１、メモリ１０２、記憶装置１０３、ネットワーク接続装置１０５を、互いにデータの入出力が可能になるように接続する。
【００２６】
制御装置３０において、プロセッサ１０１は、制御部４０として動作する。メモリ１０２と記憶装置１０３は、記憶部５０として動作する。さらに、ネットワーク接続装置１０５は、通信部３１として動作する。
【００２７】
＜第１の実施形態＞
以下、第１の実施形態を、端末１０が不正アクセスポイント１５にアクセスしていない場合と、端末１０が不正アクセスポイント１５にアクセス後にアクセスポイント２０を介して制御装置３０に接続した場合に分けて説明する。
【００２８】
（１）不正アクセスポイント１５へ接続していない端末１０のケース
図５は、システム中に含まれる端末１０が保持するＡＰ接続履歴情報１１、アクセスポイント２０が保持する端末接続履歴情報２１（２１ａ、２１ｂ）、制御装置３０で生成される収集履歴テーブル５２の例を説明する図である。
【００２９】
ＡＰ接続履歴情報１１は、接続先のアクセスポイントに設定されているＳＳＩＤ、接続開始時刻、接続終了時刻を含む。接続開始時刻は、エントリ中のＳＳＩＤが設定されているアクセスポイントに端末１０が接続を開始した時刻である。接続終了時刻は、エントリ中のＳＳＩＤが設定されているアクセスポイントとの接続を端末１０が終了した時刻である。ＡＰ接続履歴情報１１ａは、ｍａｃ−０００というＭＡＣアドレスが割り当てられている端末１０が接続したアクセスポイントの履歴である。ＡＰ接続履歴情報１１ａによると、ｍａｃ−０００が割り当てられた端末１０は、９：００〜１０：３０の期間に、ＡＰ−０００というＳＳＩＤを用いてアクセスポイントと接続している。その後、端末１０は、２０：００〜２１：００の期間に、ＡＰ−００１というＳＳＩＤを用いてアクセスポイントと接続している。さらに、端末１０は、２２：００〜２３：００の期間に、ＡＰ−０００というＳＳＩＤを用いてアクセスポイントと接続している。
【００３０】
端末接続履歴情報２１は、正規のアクセスポイント２０が保持する情報である。端末接続履歴情報２１は、アクセスポイント２０との間の接続を確立している端末に割り当てられているＭＡＣアドレス、接続開始時刻、接続終了時刻を含む。接続開始時刻は、エントリ中のＭＡＣアドレス割り当てられている端末と正規のアクセスポイントアクセスポイント２０の間の接続を開始した時刻である。接続終了時刻は、エントリ中のＭＡＣアドレス割り当てられている端末と正規のアクセスポイント２０の間の接続を終了した時刻である。
【００３１】
以下、端末接続履歴情報２１ａはアクセスポイント２０ａが保持する端末との接続履歴であり、端末接続履歴情報２１ｂはアクセスポイント２０ｂが保持する端末との接続履歴であるとする。また、アクセスポイント２０ａに設定されたＳＳＩＤはＡＰ−０００であり、アクセスポイント２０ｂに設定されたＳＳＩＤはＡＰ−００１であるとする。
【００３２】
端末接続履歴情報２１ａによると、アクセスポイント２０ａは、ｍａｃ−０００というＭＡＣアドレスが割り当てられた端末１０との間で９：００〜１０：３０の期間にわたって接続を確立している。さらに、アクセスポイント２０ａは、ｍａｃ−１１１が割り当てられた端末１０との間で９：００〜１２：００の期間にわたって接続を確立している。アクセスポイント２０ａは、ｍａｃ−０００が割り当てられた端末１０との間で２２：００〜２３：００の期間にわたって接続を確立している。
【００３３】
端末接続履歴情報２１ｂによると、アクセスポイント２０ｂは、ｍａｃ−０００が割り当てられた端末１０との間で２０：００〜２１：３０の期間にわたって接続を確立している。さらに、アクセスポイント２０ｂは、ｍａｃ−２２２が割り当てられた端末１０との間で９：００〜２０：００の期間にわたって接続を確立している。
【００３４】
収集履歴テーブル５２は、制御装置３０中の情報収集部４１と情報統合部４２の処理によって生成される。情報収集部４１は、制御装置３０の制御対象となっているアクセスポイント２０の各々に対して、そのアクセスポイント２０が保持している端末接続履歴情報２１の制御装置３０への送信を要求する制御パケットを生成する。情報収集部４１は、制御パケットを送信部３２経由でアクセスポイント２０に送信する。情報統合部４２は、各アクセスポイント２０から受信したパケット中の端末接続履歴情報２１中のエントリを統合することにより、制御装置３０の配下のアクセスポイント２０での接続履歴を、収集履歴テーブル５２として生成する。
【００３５】
収集履歴テーブル５２は、接続端末のＭＡＣアドレス、ＳＳＩＤ、接続開始時刻、接続終了時刻を対応付けている。接続端末のＭＡＣアドレスは、アクセスポイント２０との接続を確立した端末１０のＭＡＣアドレスである。ＳＳＩＤは、アクセスポイント２０に設定されているＳＳＩＤである。接続開始時刻は、エントリ中のＭＡＣアドレスが割り当てられている端末と、正規のアクセスポイント２０の間の接続が開始された時刻である。接続終了時刻は、エントリ中のＭＡＣアドレスが割り当てられている端末と正規のアクセスポイント２０の間の接続が終了された時刻である。なお、各エントリに示す接続を確立している正規のアクセスポイント２０は、エントリ中のＳＳＩＤが設定されたアクセスポイント２０である。
【００３６】
図５に示す収集履歴テーブル５２は、端末接続履歴情報２１ａ中のエントリと、端末接続履歴情報２１ｂ中のエントリを統合し、接続端末のＭＡＣアドレスをキーとして並べ替えたときに得られるテーブルである。ここで、エントリを統合する際に、情報統合部４２は、各エントリに、そのエントリの情報の送信元のアクセスポイント２０が使用しているＳＳＩＤも対応付ける。例えば、端末接続履歴情報２１ａに含まれている各エントリには、ＳＳＩＤ＝ＡＰ−０００が含められており、端末接続履歴情報２１ｂに含まれている各エントリには、ＳＳＩＤ＝ＡＰ−００１が含められる。
【００３７】
図６は、不正アクセスポイント１５への接続が確認されていない端末１０に対する通信制御の例を説明するシーケンス図である。以下の説明では、端末１０はＡＰ接続履歴情報１１ａ（図５）を保持しており、アクセスポイント２０ａは端末接続履歴情報２１ａ（図５）を保持しているとする。さらに、制御装置３０は、アクセスポイント２０ａとアクセスポイント２０ｂを制御しており、アクセスポイント２０ｂは図５中の端末接続履歴情報２１ｂを保持しているとする。
【００３８】
端末１０はアクセスポイント２０ａとの間で接続を確立したとする（ステップＳ１１）。端末１０は、制御装置３０に接続要求を送信する（ステップＳ１２）。制御装置３０の受信部３３は、接続要求を通信制御部４４に出力すると、通信制御部４４は接続応答を生成する。通信制御部４４は、送信部３２を介して、接続応答を端末１０に送信する（ステップＳ１３）。
【００３９】
接続応答を端末１０が受信すると、端末１０と制御装置３０の間で、アクセスポイント２０ａを介した接続が確立される（ステップＳ１４）。制御装置３０中の通信制御部４４は、端末１０からの基幹ネットワーク５へのアクセスを許可しないように、アクセスリスト５３を設定することにより、端末１０に対する通信制限を行う（ステップＳ１５）。例えば、ステップＳ１５の時点では、アクセスリスト５３には、以下のように、全ての端末１０に対する基幹ネットワーク５へのアクセスの制限を行う設定が記録されているとする。
ｉｐ  ａｃｃｅｓｓ−ｌｉｓｔ  １  ｉｐ  ｄｅｎｙ  ［＊］
ここで、［＊］は、リストに記録されている処理が任意のＩＰアドレスに対して適用されることを表わす。なお、通信制限が行われている間も、端末１０と制御装置３０の間での通信は可能であるものとする。
【００４０】
制御装置３０中の情報収集部４１は、配下の全てのアクセスポイント２０に対して、端末接続履歴情報を要求するための制御パケットを生成する。例えば、情報収集部４１は、端末接続履歴情報２１を要求する制御パケットを、送信部３２経由で、アクセスポイント２０ａに送信する（ステップＳ１６）。すると、アクセスポイント２０ａは、端末接続履歴情報２１を要求する制御パケットに応答して、端末接続履歴情報２１ａを制御装置３０に送信する（ステップＳ１７）。ステップＳ１６、Ｓ１７と同様の処理が、アクセスポイント２０ｂと制御装置３０の間でも行われる。このため、制御装置３０は、アクセスポイント２０ｂから端末接続履歴情報２１ｂ（図５）を取得できる。
【００４１】
さらに、情報収集部４１は、ＡＰ接続履歴情報１１を要求するための制御パケットを生成し、送信部３２経由で端末１０に送信する（ステップＳ１８）。すると、端末１０は、ＡＰ接続履歴情報１１を要求する制御パケットに応答して、ＡＰ接続履歴情報１１ａを制御装置３０に送信する（ステップＳ１９）。
【００４２】
制御装置３０中の受信部３３は、端末１０やアクセスポイント２０ａ、２０ｂから受信したパケットを情報統合部４２に出力する。情報統合部４２は、端末１０から受信したＡＰ接続履歴情報１１をアクセスポイント接続履歴テーブル５１に記録する。情報統合部４２は、アクセスポイント２０ａから受信した端末接続履歴情報２１ａと、アクセスポイント２０ｂから受信した端末接続履歴情報２１ｂの各々のエントリを統合することにより、収集履歴テーブル５２を生成する。収集履歴テーブル５２の生成の際に行われる処理は、図５を参照しながら説明した処理と同様である。ここで、収集履歴テーブル５２は、制御装置３０が制御している各アクセスポイント２０から取得した情報に基づいて生成されているので、収集履歴テーブル５２は、正規のアクセスポイント２０と端末１０の間の通信の記録が記録されている。換言すると、アクセスポイント２０と同じＳＳＩＤなどを用いてアクセスポイント２０に成りすましている不正アクセスポイント１５と端末１０の間の通信の履歴は収集履歴テーブル５２に含まれない。
【００４３】
ステップＳ２０において、判定部４３は、接続を確立した端末１０のＭＡＣアドレスをキーとして、収集履歴テーブル５２を検索することにより、端末１０と正規のアクセスポイント２０との間の通信履歴を特定する。さらに、判定部４３は、端末１０から受信したＡＰ接続履歴情報１１を、収集履歴テーブル５２から得られた履歴と比較する。
【００４４】
例えば、収集履歴テーブル５２が図５に示すとおりである場合、ｍａｃ−０００が割り当てられた端末１０は、正規のアクセスポイント２０との間で、以下のＳＳＩＤを用いて以下の期間に通信している。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
一方、ｍａｃ−０００が割り当てられた端末１０からは、ＡＰ接続履歴情報１１ａ（図５）に示すとおり、以下の履歴が通知されている。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
この場合、ｍａｃ−０００が割り当てられた端末１０がアクセスポイント２０に接続した履歴として収集履歴テーブル５２中に含まれている情報と、端末１０から通知されたＡＰ接続履歴情報１１は一致している。従って、判定部４３は、端末１０は正規のアクセスポイント２０に成りすました不正アクセスポイント１５には接続していないと判定する。
【００４５】
判定部４３は、判定結果に従ってアクセスリスト５３を更新することにより、端末１０に対して基幹ネットワーク５へのアクセスの制限を解除する。例えば、判定部４３は、端末１０に割り当てられたＩＰアドレスがＩＰａである場合、アクセスリスト５３を、以下のように更新できる。
ｉｐ  ａｃｃｅｓｓ−ｌｉｓｔ  １  ｉｐ  ｐｅｒｍｉｔ  ［ＩＰａ］
ｉｐ  ａｃｃｅｓｓ−ｌｉｓｔ  ２  ｉｐ  ｄｅｎｙ  ［＊］
なお、アクセスリスト５３では、複数のリストに該当する場合、リスト中の数値が小さい条件が優先される。このため、上記のアクセスリスト５３では、ＩＰａの通信に対しては、１番目の条件が適用され、ＩＰａ以外のＩＰアドレスからの通信には２番目の条件が適用される。
【００４６】
ステップＳ２２において、端末１０から基幹ネットワーク５中のサーバ１１０に宛てたパケットが送信されたとする。制御装置３０中の通信制御部４４は、端末１０から送信されたパケットを、アクセスリスト５３に従って転送するかを判定する。ステップＳ２２の時点では、アクセスリスト５３の１番目の条件に、端末１０（ＩＰａ）の基幹ネットワーク５へのアクセスを許可する設定が含まれている。そこで、通信制御部４４は、端末１０から送信されたパケットを基幹ネットワーク中のサーバ１１０に転送する。このため、端末１０と基幹ネットワーク中のサーバ１１０の間での通信が行われる。
【００４７】
端末１０は、基幹ネットワーク中のサーバ１１０などとの通信が終わると、制御装置３０に対して、接続終了通知を送信する（ステップＳ２３）。制御装置３０中の通信制御部４４は、受信部３３を介して、接続終了通知を取得する（ステップＳ２４）。すると、通信制御部４４は、端末１０と制御装置３０との間の接続を切断する。さらに、通信制御部４４は、アクセスリスト５３を変更して、端末１０に対する通信制限を再開する（ステップＳ２５）。このとき、通信制御部４４は、例えば、アクセスリスト５３から、端末１０に関する基幹ネットワーク５への通信許可の設定を削除する。
【００４８】
なお、図６は処理の一例であり、実装に応じて処理の手順は変更され得る。例えば、ステップＳ１６、Ｓ１７の処理の前に、ステップＳ１８、Ｓ１９の処理が行われても良い。
【００４９】
図６では、端末１０からの基幹ネットワーク５へのアクセスが制限されている期間を、ＸとＹとして示している。ＸとＹのいずれにも含まれていない期間では、端末１０は基幹ネットワーク５へのアクセスを許可されている。すなわち、ステップＳ２１において、端末１０がアクセスポイント２０に成りすました不正アクセスポイント１５と通信していないことが確認された後で、端末１０の通信が終了するまでの期間は、端末１０から基幹ネットワーク５へのアクセスが許可される。
【００５０】
（２）不正アクセスポイント１５へ接続した端末のケース
次に、端末１０が不正アクセスポイント１５に接続した場合について説明する。以下の説明では、端末１０は、アクセスポイント２０ａに成りすました不正アクセスポイント１５に接続したとする。
【００５１】
図７は、各装置が保持する接続先の履歴情報の例を説明する図である。端末１０は、ＡＰ接続履歴情報１１として、図７に示すＡＰ接続履歴情報１１ｂを保持しているとする。ＡＰ接続履歴情報１１ｂには、ＡＰ−０００とＡＰ−００１のＳＳＩＤを用いた通信の履歴が含まれている。ここで、不正アクセスポイント１５は、アクセスポイント２０ａに成りすますために、ＡＰ−０００というＳＳＩＤを使用しているとする。以下の説明では、ＡＰ−０００というＳＳＩＤを用いた２３：３０〜２３：３５の接続は、アクセスポイント２０ａに成りすました不正アクセスポイント１５との間の接続であるとする。
【００５２】
以下の説明でも、制御装置３０はアクセスポイント２０ａとアクセスポイント２０ｂを制御しているとする。さらに、アクセスポイント２０ａは図７の端末接続履歴情報２１ａを保持し、アクセスポイント２０ｂは、図７中の端末接続履歴情報２１ｂを保持しているとする。このため、制御装置３０は、図５、図６などを参照しながら説明した処理と同様の処理により、図７に示す収集履歴テーブル５２を生成することができる。
【００５３】
図８は、不正アクセスポイントへの接続が確認された端末に対する通信制御の例を説明するシーケンス図である。
【００５４】
端末１０は、ＡＰ−０００というＳＳＩＤを用いて、アクセスポイント２０ａに成りすました不正アクセスポイント１５に接続要求を送信してしまったとする（ステップＳ３１）。不正アクセスポイント１５は、端末１０に対して接続応答を送信する（ステップＳ３２）。端末１０が接続応答を受信すると、端末１０と不正アクセスポイント１５の間で接続が確立する（ステップＳ３３）。
【００５５】
不正アクセスポイント１５との接続に使用されているＳＳＩＤはアクセスポイント２０ａに設定されているＳＳＩＤと同じであるため、端末１０のユーザは、不正アクセスポイント１５をアクセスポイント２０ａと誤認している。端末１０のユーザは、不正アクセスポイント１５を介して、制御装置３０にアクセスを試みるが、制御装置３０や基幹ネットワーク５へのアクセスに失敗する。そこで、端末１０のユーザは、現在確立している接続を切断し、再接続を試みたとする（ステップＳ３４）。
【００５６】
ステップＳ３５において、端末１０はアクセスポイント２０ａとの間で接続を確立したとする。ステップＳ３６〜Ｓ３９で行われる処理は、図６のステップＳ１２〜Ｓ１５を参照しながら説明した処理と同様である。以下の説明では、ステップＳ３９の時点では、アクセスリスト５３には、以下のように、全ての端末１０に対する基幹ネットワーク５へのアクセスの制限を行う設定が記録されているとする。
ｉｐ  ａｃｃｅｓｓ−ｌｉｓｔ  １  ｉｐ  ｄｅｎｙ  ［＊］
なお、図８においても通信制限が行われている間も、端末１０と制御装置３０の間での通信は可能である。
【００５７】
制御装置３０中の情報収集部４１は、配下の全てのアクセスポイント２０に対して、端末接続履歴情報を要求するための制御パケットを生成する。ステップＳ４０において、情報収集部４１は、端末接続履歴情報２１を要求する制御パケットを、送信部３２経由で、アクセスポイント２０ａに送信する。すると、アクセスポイント２０ａは、端末接続履歴情報２１を要求する制御パケットに応答して、端末接続履歴情報２１ａを制御装置３０に送信する（ステップＳ４１）。ステップＳ４１、Ｓ４２と同様の処理が、アクセスポイント２０ｂと制御装置３０の間でも行われる。このため、制御装置３０は、アクセスポイント２０ｂから端末接続履歴情報２１ｂ（図７）を取得できる。情報統合部４２は、アクセスポイント２０ａから受信した端末接続履歴情報２１ａと、アクセスポイント２０ｂから受信した端末接続履歴情報２１ｂの各々のエントリを統合することにより、収集履歴テーブル５２（図７）を生成する。
【００５８】
さらに、情報収集部４１は、ＡＰ接続履歴情報を要求するための制御パケットを生成し、送信部３２経由で端末１０に送信する（ステップＳ４２）。すると、端末１０は、ＡＰ接続履歴情報を要求する制御パケットに応答して、ＡＰ接続履歴情報１１ｂ（図７）を制御装置３０に送信する（ステップＳ４３）。ＡＰ接続履歴情報１１ｂはアクセスポイント接続履歴テーブル５１として記録される。
【００５９】
ステップＳ４４において、判定部４３は、接続を確立した端末１０のＭＡＣアドレスをキーとして、収集履歴テーブル５２を検索することにより、端末１０と正規のアクセスポイント２０との間の通信履歴を特定する。さらに、判定部４３は、端末１０から受信したＡＰ接続履歴情報１１を、収集履歴テーブル５２から得られた履歴と比較する。
【００６０】
例えば、収集履歴テーブル５２が図７に示すとおりである場合、ｍａｃ−０００が割り当てられた端末１０は、正規のアクセスポイント２０との間で、以下のＳＳＩＤを用いて以下の期間に通信している。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
一方、ｍａｃ−０００が割り当てられた端末１０からは、ＡＰ接続履歴情報１１ｂ（図７）に示すとおり、以下の履歴が通知されている。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
ＳＳＩＤ＝ＡＰ−０００  ２３：３０〜２３：３５
ここで、収集履歴テーブル５２は、制御装置３０が制御している各アクセスポイント２０から取得した情報に基づいて生成されている。このため、アクセスポイント２０に成りすましている不正アクセスポイント１５と端末１０の間の通信の履歴は収集履歴テーブル５２に含まれない。図７、図８のケースでは、ＳＳＩＤ＝ＡＰ−０００を用いた２３：３０〜２３：３５の接続は、ＡＰ接続履歴情報１１ｂには含まれるが収集履歴テーブル５２に含まれない。しかも、接続に使用されたＳＳＩＤは、正規のアクセスポイント２０ａに設定されているＳＳＩＤと同じ値である。このように、端末１０から取得したＡＰ接続履歴情報１１ｂは、正規のアクセスポイント２０ａが使用しているＳＳＩＤを用いた接続履歴であって収集履歴テーブル５２に含まれない接続履歴を含んでいる。このため、判定部４３は、端末１０は正規のアクセスポイント２０に成りすました不正アクセスポイント１５に接続していると判定する。
【００６１】
端末１０が不正アクセスポイント１５に接続したと判定した結果、判定部４３は、端末１０に対して、基幹ネットワーク５へのアクセスを許可しないことを決定する。従って、判定部４３は、アクセスリスト５３の書き換え処理を実行しないで処理を終了する（ステップＳ４５）。
【００６２】
なお、図８は処理の一例であり、実装に応じて処理の手順は変更され得る。例えば、ステップＳ４０、Ｓ４１の処理の前に、ステップＳ４２、Ｓ４３の処理が行われても良い。
【００６３】
図９は、制御装置３０の処理の例を説明するフローチャートである。なお、図９は処理の一例であり、実装に応じて処理の手順は変更され得る。例えば、ステップＳ５６、Ｓ５７の処理は、ステップＳ５２の処理の前に行われても良い。
【００６４】
通信制御部４４は、アクセスポイント２０を介して接続を要求してきた端末１０との間で、接続を確立する。通信制御部４４が接続を確立する際には、アクセスリスト５３は、接続を確立する端末１０に対して基幹ネットワーク５へのアクセスを許可しない設定にされている。
【００６５】
情報収集部４１は、端末１０との接続を新たに確立したかを判定し、端末１０との接続が新たに確立されるまで待機する（ステップＳ５１でＮｏ）。端末１０との接続が新たに確立されると、情報収集部４１は、送信部３２を介して、端末接続履歴情報２１を未受信の正規のアクセスポイント２０に対して、端末接続履歴情報２１を要求する（ステップＳ５１でＹｅｓ、ステップＳ５２）。受信部３３は、端末接続履歴情報２１を受信する（ステップＳ５３）。情報統合部４２は、受信した端末接続履歴情報２１中の情報を、端末接続履歴情報２１の送信元のアクセスポイント２０に設定されているＳＳＩＤに対応付けて記憶する。このとき、情報統合部４２は、適宜、記憶部５０に端末接続履歴情報２１とＳＳＩＤを対応付けた情報を格納できる。情報統合部４２は、制御装置３０に接続している全てのアクセスポイント２０から端末接続履歴情報２１を取得したかを判定する（ステップＳ５４）。制御装置３０に接続している全てのアクセスポイント２０から端末接続履歴情報２１を取得していない場合、ステップＳ５２に戻る（ステップＳ５４でＮｏ）。
【００６６】
制御装置３０に接続している全てのアクセスポイント２０から端末接続履歴情報２１を取得した場合、情報統合部４２は、各アクセスポイント２０から収集した端末接続履歴情報２１を統合し、収集履歴テーブル５２を生成する（ステップＳ５５）。その後、情報収集部４１は、送信部３２を介して、ステップＳ５１で接続を確立したと判定した端末１０に対して、ＡＰ接続履歴情報１１を要求する（ステップＳ５６）。受信部３３は、端末１０からＡＰ接続履歴情報１１を受信する（ステップＳ５７）。
【００６７】
判定部４３は、ＡＰ接続履歴情報１１と、収集履歴テーブル５２の間に整合性があるかを判定する（ステップＳ５８）。すなわち、判定部４３は、収集履歴テーブル５２に含まれている情報のうち、ＡＰ接続履歴情報１１の送信元の端末１０との接続に関する情報を抽出し、抽出した情報とＡＰ接続履歴情報１１の間に整合性があるかを判定する。ＡＰ接続履歴情報１１と、収集履歴テーブル５２の間に整合性がない場合、判定部４３は、端末１０は不正アクセスポイント１５に接続していると判定する（ステップＳ５８でＮｏ）。ここで、ＡＰ接続履歴情報１１と収集履歴テーブル５２に整合性が無い場合とは、ＡＰ接続履歴情報１１中で正規のアクセスポイント２０に設定されたＳＳＩＤを用いた通信のうち、収集履歴テーブル５２に含まれていない履歴がある場合を指す。この場合には、端末１０は、アクセスポイント２０に成りすました不正アクセスポイント１５にアクセスしている。そこで、ＡＰ接続履歴情報１１と収集履歴テーブル５２に整合性が無い場合、判定部４３はアクセスリスト５３を更新せずに処理を終了する。このため、端末１０の基幹ネットワーク５へのアクセスは許可されない。
【００６８】
ＡＰ接続履歴情報１１と、収集履歴テーブル５２の間に整合性がある場合、端末１０は不正アクセスポイント１５に接続していないと判定できる（ステップＳ５８でＹｅｓ）。すると、判定部４３は、制御装置３０が保持するアクセスリスト５３を更新して、端末１０に基幹ネットワーク５へのアクセスを許可する（ステップＳ５９）。
【００６９】
通信制御部４４は、端末１０から接続終了通知を受信したかを判定する（ステップＳ６０）。端末１０から接続終了通知を受信していない場合、通信制御部４４は、端末１０との間の接続が切断されたかを判定する（ステップＳ６０でＮｏ、ステップＳ６１）。ここで、接続の切断は、アクセスポイント２０から制御装置３０に通知されても良い。例えば、端末１０が移動したことにより、端末１０が接続を確立中のアクセスポイント２０の通信エリアから出ると、アクセスポイント２０と端末１０の間の接続が切断される。すると、アクセスポイント２０は、制御装置３０に対して、端末１０との間の接続が切断されたことを通知する。端末１０との間の接続が切断されていないと判定すると、通信制御部４４は、ステップＳ６０に戻る（ステップＳ６１でＮｏ）。
【００７０】
一方、端末１０から接続終了通知を受信した場合（ステップＳ６０でＹｅｓ）か、端末１０との接続が切断された場合（ステップＳ６１でＹｅｓ）、通信制御部４４は、ステップＳ６１かＳ６１の条件に該当する端末１０を特定する。通信制御部４４は、特定した端末１０のＩＰアドレスに対する記述をアクセスリスト５３から削除する（ステップＳ６２）。特定した端末１０のＩＰアドレスに対する記述をアクセスリスト５３から削除することにより、通信制御部４４は、特定した端末１０からの基幹ネットワーク５へのアクセスの許可を取り消している。このため、過去に基幹ネットワーク５へのアクセスが許可されていた端末１０が、通信を終了した後で、再度、制御装置３０に接続する場合にも、無条件に基幹ネットワーク５へのアクセスが許可されることはない。すなわち、過去に基幹ネットワーク５へのアクセスが許可されていた端末１０が、再度の接続までの間に不正アクセスポイント１５にアクセスしたかに応じて、判定部４３は、基幹ネットワーク５へのアクセスを許可するかを判定できる。
【００７１】
以上説明したように、第１の実施形態では、端末１０がアクセスポイント２０に成りすました不正アクセスポイント１５と通信していない場合、端末１０の通信が終了するまでの期間は、端末１０から基幹ネットワーク５へのアクセスが許可される。また、基幹ネットワーク５へのアクセスを許可した端末１０についても、接続を切断すると、再接続の際には、不正アクセスポイント１５へ接続していないと判定するまでは、制御装置３０は、その端末１０からの基幹ネットワーク５へのアクセスを許可しない。換言すると、制御装置３０は、不正アクセスポイント１５にアクセスしたことによりマルウェアに感染しているおそれのある端末１０に対しては、基幹ネットワーク５へのアクセスを防止できる。従って、第１の実施形態にかかる方法により、基幹ネットワーク５のセキュリティが強化される。
【００７２】
＜第２の実施形態＞
第２の実施形態では、ネットワーク中に複数の制御装置３０が含まれている場合について説明する。
【００７３】
図１０は、第２の実施形態が適用されるネットワークの例を説明する図である。図１０に示すネットワークは、制御装置３０ａと制御装置３０ｂを含む。制御装置３０ａは、Ｌ２スイッチ２５ａを介してアクセスポイント２０ａとアクセスポイント２０ｂに接続されており、アクセスポイント２０ａとアクセスポイント２０ｂを制御している。一方、制御装置３０ｂは、Ｌ２スイッチ２５ｂを介してアクセスポイント２０ｃ〜２０ｅに接続されており、アクセスポイント２０ｃ〜２０ｅを制御している。以下の説明では、アクセスポイント２０ａにＡＰ−０００、アクセスポイント２０ｂにＡＰ−００１というＳＳＩＤが設定されているとする。同様に、アクセスポイント２０ｃにＡＰ−００５、アクセスポイント２０ｄにＡＰ−００６、アクセスポイント２０ｅにＡＰ−００７というＳＳＩＤが設定されているとする。
【００７４】
なお、図１０では、アクセスポイント２０ａ〜２０ｅを図示しているが、ネットワーク中に含まれているアクセスポイント２０の数は任意である。また、各制御装置３０が制御するアクセスポイント２０の数やネットワーク中に含まれる制御装置３０の数も、実装に応じて変更され得る。
【００７５】
図１１は、第２の実施形態での収集履歴テーブルの例を説明する図である。第２の実施形態においても、制御装置３０中の情報収集部４１や情報統合部４２の処理により、第１の実施形態と同様に収集履歴テーブル５２が生成される。以下の説明では、動作を行っている制御装置３０を明確にするために、符号の最後に動作を行っている制御装置３０に割り当てられているアルファベットを記載することがある。例えば、情報収集部４１ａは、制御装置３０ａの情報収集部４１である。
【００７６】
例えば、制御装置３０ａでは、情報収集部４１ａと情報統合部４２ａが図５〜図６を用いて説明した処理を行うことにより、図１１に示す収集履歴テーブル５２ａが生成されたとする。収集履歴テーブル５２ａには、アクセスポイント２０ａ（ＡＰ−０００）とアクセスポイント２０ｂ（ＡＰ−００１）の各々での端末との接続の履歴が記録されている。
【００７７】
一方、制御装置３０ｂでも、情報収集部４１ｂと情報統合部４２ｂの処理により、収集履歴テーブル５２ｂが生成されたとする。収集履歴テーブル５２ｂには、アクセスポイント２０ｃ（ＡＰ−００５）、アクセスポイント２０ｄ（ＡＰ−００６）、アクセスポイント２０ｅ（ＡＰ−００７）の各々での端末との接続の履歴が記録されている。
【００７８】
各制御装置３０中の情報収集部４１は、所定期間ごとに、ネットワーク中の他の制御装置３０との間で、収集履歴テーブル５２を交換する。このため、判定処理の際に、判定部４３は、自装置で生成された収集履歴テーブル５２と、他の制御装置３０から受信した収集履歴テーブル５２の両方を参照する。
【００７９】
例えば、ｍａｃ−０００というＭＡＣアドレスが割り当てられた端末１０が制御装置３０ａと接続を確立したとする。すると、判定部４３ａは、収集履歴テーブル５２ａと収集履歴テーブル５２ｂの両方から、端末１０の接続の履歴を特定する。例えば、図１１に示す収集履歴テーブル５２ａによると、ｍａｃ−０００というＭＡＣアドレスが割り当てられた端末１０は、アクセスポイント２０ａ（ＡＰ−０００）とアクセスポイント２０ｂ（ＡＰ−００１）に接続している。さらに、収集履歴テーブル５２ｂによると、ＭＡＣアドレスｍａｃ−０００が割り当てられた端末１０は、アクセスポイント２０ｃ（ＡＰ−００５）に接続している。
【００８０】
判定部４３は、端末１０から取得したＡＰ接続履歴情報１１を、収集履歴テーブル５２ａと収集履歴テーブル５２ｂ中のｍａｃ−０００に対応付けられたエントリの接続履歴と比較することにより、端末１０が不正アクセスポイント１５に接続したかを判定する。以下、ｍａｃ−０００というＭＡＣアドレスが割り当てられた端末１０が制御装置３０ａに接続した場合に行われる処理の例を、図１２を参照しながら説明する。
【００８１】
図１２は、第２の実施形態での通信制御の例を説明するシーケンス図である。図１２のステップＳ７１〜Ｓ７７は、図６を参照しながら説明したステップＳ１１〜Ｓ１７と同様である。なお、ステップＳ７６、Ｓ７７と同様の処理が、アクセスポイント２０ｂと制御装置３０ａの間でも行われるため、制御装置３０ａは、収集履歴テーブル５２ａ（図１１）を取得できる。また、制御装置３０ｂにおいても、制御装置３０ｂの配下のアクセスポイント２０から取得した端末接続履歴情報を用いて、適宜、収集履歴テーブル５２ｂが更新される。
【００８２】
ステップＳ７８において、情報収集部４１ａは、制御装置３０ｂに対して、収集履歴テーブル５２ｂの情報を要求する制御パケットを生成し、生成したパケットを送信部３２ａ経由で制御装置３０ｂに送信する。制御装置３０ｂの受信部３３ｂは、制御パケットを情報統合部４２ｂに出力する。情報統合部４２ｂは、制御装置３０ｂで生成した収集履歴テーブル５２ｂを、制御装置３０ａに向けて送信する。
【００８３】
さらに、情報収集部４１ａは、ＡＰ接続履歴情報１１を要求するための制御パケットを、送信部３２ａ経由で端末１０に送信する（ステップＳ７９）。すると、端末１０は、ＡＰ接続履歴情報１１を要求する制御パケットに応答して、ＡＰ接続履歴情報１１ａを制御装置３０に送信する（ステップＳ８０）。図１２では、端末１０は、以下の履歴情報を制御装置３０ａに送信したとする。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
ＳＳＩＤ＝ＡＰ−００５  ２３：０５〜２３：２５
【００８４】
判定部４３ａは、収集履歴テーブル５２ａと、ステップＳ７８で取得した収集履歴テーブル５２ｂを用いて、ｍａｃ−０００というＭＡＣアドレスが割り当てられた端末１０と正規のアクセスポイント２０の間の接続の履歴が以下の通りであることを特定する。
ＳＳＩＤ＝ＡＰ−０００    ９：００〜１０：３０
ＳＳＩＤ＝ＡＰ−００１  ２０：００〜２１：３０
ＳＳＩＤ＝ＡＰ−０００  ２２：００〜２３：００
ＳＳＩＤ＝ＡＰ−００５  ２３：０５〜２３：２５
この場合、収集履歴テーブル５２ａと収集履歴テーブル５２ｂ中でのＭＡＣアドレス＝ｍａｃ−０００の端末１０がアクセスポイント２０に接続した履歴と、端末１０から通知されたＡＰ接続履歴情報１１は一致している。従って、判定部４３ａは、端末１０は正規のアクセスポイント２０に成りすました不正アクセスポイント１５には接続していないと判定する。ステップＳ８２〜Ｓ８６の処理は、図６を参照しながら説明したステップＳ２１〜Ｓ２５と同様である。
【００８５】
図１２の例では、端末１０からの基幹ネットワーク５へのアクセスが制限されている期間は、ステップＳ７１〜Ｓ８２の処理が終わるまでの期間（Ｗ）と、端末１０が制御装置３０ａに接続終了通知を送信した後（Ｚ）の期間である。従って、ＷとＺのいずれにも含まれていない期間は、端末１０は基幹ネットワーク５へのアクセスを許可されている。すなわち、異なる制御装置３０に制御されているアクセスポイント２０の間を端末１０が移動した場合も、制御装置３０ａは、端末１０が不正アクセスポイント１５と通信していないことを確認すると、端末１０から基幹ネットワーク５へのアクセスを許可する。さらに、第２の実施形態においても、制御装置３０ａは、端末１０との接続を切断すると端末１０に対する基幹ネットワーク５へのアクセスの許可を取り消す。このため、端末１０の再接続の際にも、不正アクセスポイント１５へ接続しているかを判定して基幹ネットワーク５へのアクセスを許可するかを決定できる。従って、第２の実施形態にかかる方法によっても、不正アクセスポイント１５へのアクセスでマルウェアに感染したおそれのある端末１０が基幹ネットワーク５にアクセスすることが防止されるので、基幹ネットワーク５のセキュリティが強化される。
【００８６】
＜その他＞
なお、実施形態は上記に限られるものではなく、様々に変形可能である。以下にその例をいくつか述べる。
【００８７】
第２の実施形態において、制御装置３０同士が収集履歴テーブル５２を交換する場合を例として説明したが、アクセスポイント２０を制御する複数の制御装置３０を管理する管理装置がネットワーク中に含まれていても良い。この場合、管理装置は、定期的に各制御装置３０から収集履歴テーブル５２を取得し、複数の収集履歴テーブル５２の情報を統合しても良い。管理装置は、統合した収集履歴テーブル５２の情報を、各制御装置３０に通知する。
【００８８】
以上の説明で使用したテーブル等は一例であり、テーブル中の情報要素は、実装に応じて変更され得る。例えば、端末１０の識別に使用される識別情報として、ＭＡＣアドレス以外の情報が含められていても良い。さらに、アクセスポイント２０を識別する識別情報として、ＳＳＩＤ以外の情報が含められても良い。
【００８９】
第１の実施形態と第２の実施形態のいずれにおいても、端末１０から制御装置３０に対して接続終了通知が送信されなくても良い。例えば、端末１０の移動や伝搬路の環境の変化などによって、端末１０が予期せぬ切断が発生した場合、端末１０からは接続終了通知が送信されず、アクセスポイント２０から制御装置３０に対して端末１０との通信の切断が通知される。制御装置３０は、アクセスポイント２０から通信の切断が通知された場合も、接続終了通知を受信したときと同様に、アクセスリスト５３の更新処理を行う。
【００９０】
第１の実施形態と第２の実施形態のいずれにおいても、ネットワーク中に、制御装置３０が制御するアクセスポイント２０と不正アクセスポイント１５のいずれでもないアクセスポイントやモバイルＷｉＦｉルータが含まれていても良い。例えば、モバイルＷｉＦｉルータに設定されたＳＳＩＤがｍｏｂｉｌｅであり、制御装置３０が制御しているアクセスポイント２０のいずれのＳＳＩＤとも異なるとする。この場合、収集履歴テーブル５２には、ＳＳＩＤ＝ｍｏｂｉｌｅが設定されたモバイルＷｉＦｉルータでの接続履歴は含まれない。しかし、端末１０から制御装置３０に通知されるＡＰ接続履歴情報１１には、ＳＳＩＤ＝ｍｏｂｉｌｅが設定されたモバイルＷｉＦｉルータとの接続履歴が含まれることになる。ここで、ＳＳＩＤ＝ｍｏｂｉｌｅが設定されたモバイルＷｉＦｉルータはアクセスポイント２０と異なるＳＳＩＤを用いているので、アクセスポイント２０に成りすましてはいない。そこで、判定部４３は、不正アクセスポイント１５への接続ではないと判定する。すなわち、判定部４３は、収集履歴テーブル５２に含まれない接続履歴がＡＰ接続履歴情報１１に含まれていても、ＳＳＩＤが制御装置３０の制御対象のアクセスポイント２０と同じでは無い場合、不正アクセスポイント１５への接続ではないと判定する。このため、第１および第２の実施形態のいずれを用いても、ユーザは、アクセスポイント２０と不正アクセスポイント１５のいずれでもない装置を介して通信することができる。
【００９１】
以上の説明では、制御装置３０において、複数のアクセスポイント２０から取得した端末接続履歴情報２１を情報統合部４２で統合する場合の例を説明したが、制御装置３０は、複数の端末接続履歴情報２１を統合して収集履歴テーブル５２を生成しなくても良い。この場合、制御装置３０は、複数の端末接続履歴情報２１を各端末接続履歴情報２１の送信元のアクセスポイント２０のＳＳＩＤと対応付けて記憶する。判定部４３は、全ての端末接続履歴情報２１から接続を要求してきた端末１０との正規のアクセスポイント２０の接続履歴を抽出する。判定部４３は、抽出した接続履歴と、端末１０から受信したＡＰ接続履歴情報１１を比較することによって、端末１０が不正アクセスポイント１５にアクセスしたかを判定する。
【００９２】
上述の第１および第２の実施形態を含む実施形態に関し、以下の付記を開示する。
（付記１）
正規のアクセスポイントである正規アクセスポイントを介した接続を要求する対象端末との間で、前記対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立する制御部と、
前記正規アクセスポイントから前記正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信すると共に、前記対象端末から前記対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信する通信部
を備え、
前記制御部は、前記第１の履歴情報と前記第２の履歴情報を用いて、前記第２の履歴情報に前記正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、前記対象端末の前記基幹ネットワークへのアクセスを許可する
ことを特徴とする制御装置。
（付記２）
前記第１の履歴情報は、前記正規アクセスポイントに接続した端末の識別情報と、前記正規アクセスポイントに接続した端末と前記正規アクセスポイントの間で接続が確立している期間の情報を含み、
前記第２の履歴情報は、前記対象端末が接続したアクセスポイントの識別情報と、前記対象端末が接続を確立している期間の情報を含み、
前記制御部は、前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報で前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする付記１に記載の制御装置。
（付記３）
前記制御部は、前記基幹ネットワークへのアクセスを許可した前記対象端末から前記通信部が通信の終了通知を受信すると、前記対象端末に対する前記基幹ネットワークへのアクセスを許可しない設定に変更する
ことを特徴とする付記１または２に記載の制御装置。
（付記４）
前記通信部は、他のアクセスポイントを制御する他の制御装置から、前記他の制御装置の制御対象のアクセスポイントに接続した端末の履歴である第３の履歴情報を受信し、
前記制御部は、前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報と前記第３の履歴情報のいずれでも前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする付記１〜３のいずれか１項に記載の制御装置。
（付記５）
正規のアクセスポイントである正規アクセスポイントを制御する制御装置に、
前記正規アクセスポイントを介した接続を要求する対象端末との間で、前記対象端末からの基幹ネットワークへのアクセスを許可しない設定で、接続を確立し、
前記正規アクセスポイントから前記正規アクセスポイントに接続した端末の履歴である第１の履歴情報を受信し、
前記対象端末から前記対象端末が接続したアクセスポイントの履歴である第２の履歴情報を受信し、
前記第１の履歴情報と前記第２の履歴情報を用いて、前記第２の履歴情報に前記正規アクセスポイントに成りすましたアクセスポイントの情報が含まれていないと判定すると、前記対象端末の前記基幹ネットワークへのアクセスを許可する
処理を行わせることを特徴とする通信制御方法。
（付記６）
前記第１の履歴情報は、前記正規アクセスポイントに接続した端末の識別情報と、前記正規アクセスポイントに接続した端末と前記正規アクセスポイントの間で接続が確立している期間の情報を含み、
前記第２の履歴情報は、前記対象端末が接続したアクセスポイントの識別情報と、前記対象端末が接続を確立している期間の情報を含み、
前記制御装置は、前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報で前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする付記５に記載の通信制御方法。
（付記７）
前記制御装置は、前記基幹ネットワークへのアクセスを許可した前記対象端末から通信の終了通知を受信すると、前記対象端末に対する前記基幹ネットワークへのアクセスを許可しない設定に変更する
ことを特徴とする付記５または６に記載の通信制御方法。
（付記８）
前記制御装置は、
他のアクセスポイントを制御する他の制御装置から、前記他の制御装置の制御対象のアクセスポイントに接続した端末の履歴である第３の履歴情報を受信し、
前記第２の履歴情報で前記正規アクセスポイントと同じ識別情報に対応付けられた期間であり、かつ、前記第１の履歴情報と前記第３の履歴情報のいずれでも前記対象端末の識別情報に対応付けられていない期間を、前記正規アクセスポイントに成りすましたアクセスポイントに前記対象端末が接続した期間であると判定する
ことを特徴とする付記５〜７のいずれか１項に記載の通信制御方法。
【符号の説明】
【００９３】
３  ＷＬＣ
５  基幹ネットワーク
１０  端末
１１  ＡＰ接続履歴情報
１５  不正アクセスポイント
２０  アクセスポイント
２１  端末接続履歴情報
２５  Ｌ２スイッチ
３０  制御装置
３１  通信部
３２  送信部
３３  受信部
４０  制御部
４１  情報収集部
４２  情報統合部
４３  判定部
４４  通信制御部
５０  記憶部
５１  アクセスポイント接続履歴テーブル
５２  収集履歴テーブル
５３  アクセスリスト
１０１  プロセッサ
１０２  メモリ
１０３  記憶装置
１０４  バス
１０５  ネットワーク接続装置
１１０  基幹ネットワーク中のサーバ
【図１】
2018097821.tif 000003
【図２】
2018097821.tif 000004
【図３】
2018097821.tif 000005
【図４】
2018097821.tif 000006
【図５】
2018097821.tif 000007
【図６】
2018097821.tif 000008
【図７】
2018097821.tif 000009
【図８】
2018097821.tif 000010
【図９】
2018097821.tif 000011
【図１０】
2018097821.tif 000012
【図１１】
2018097821.tif 000013
【図１２】
2018097821.tif 000014