(57)【要約】コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法が提供されている。この方法は、指定区域内で保護されるべきレガシーローカルエリアネットワークの一つまたは複数のセグメントを提供することを含む。レガシーローカルエリアネットワークは指定区域内の安全でない空域で特徴づけられる。この方法は、レガシーローカルエリアネットワーク内の一つまたは複数のセグメントに関する防衛方針を決定することを含む。防衛方針は少なくとも安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを特徴づける。加えて、この方法はレガシーローカルエリアネットワークに一つまたは複数の探知機器を接続することを含む。一つまたは複数の探知機器は、少なくとも安全でない空域の一部が防衛方針に従って保護される様に、指定地域に空間的に配置されている。さらに、この方法は、安全確保機器のレガシーローカルエリアネットワークへの連結も含む。さらに、この方法は、一つまたは複数の探知機器が、保護されるべき安全でない空域の一部を充分に保護するかどうかを判断することを含む。加えて、この方法は、一つまたは複数の探知機器を使って空域の無線活動を監視すること、無線活動が、一つまたは複数の保護されるべきセグメントのうちの少なくとも一つと通信するかどうかを決定するために、無線活動の監視に関連する情報の一部分を、分類処理を使って、自動的に分類すること、を含む。さらに、この方法は、防衛方針への違反行為を、少なくとも、無線活動監視からの情報の一部の分類に基づいて検知すること、そして、保護されるレガシーローカルエリアネットワークの一つまたは複数のセグメントでの防衛方針への違反行為への対策を自動的に処理すること、も含む。
2007527658.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法であって、
指定区域内にある安全でない空域であることを特徴とするレガシーローカルエリアネットワークの指定区域内で保護されるべき一つまたは複数のセグメントを提供すること、
前記レガシーローカルエリアネットワークの一つもしくは複数のセグメントに使われる防衛方針であって、少なくとも、前記安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを明らかにする防衛方針、を決定すること、
前記防衛方針に従って、前記安全でない空域の少なくとも一部分の安全を確保する、前記指定区域内に空間的に配置された、一つまたは複数の探知機器を、前記レガシーローカルエリアネットワークに接続すること、
安全確保機器を前記レガシーローカルエリアネットワークに接続すること、
安全を確保されるべき前記安全でない空域の一部を、前記一つまたは複数の探知機器が十分に保護するかどうかを決定すること、
前記一つまたは複数の探知機器を用いて、前記安全でない空域内の無線活動を監視すること、
前記無線活動が、前記一つまたは複数の保護されるべきセグメントと通信するかどうかを少なくとも決定するために、前記無線活動の監視に関連する情報の一部分を、分類処理を使って、自動的に分類すること、
前記無線活動を監視することからの情報の一部の前記分類に少なくとも基づいて前記防衛方針への違反行為を検知すること、
保護される前記レガシーローカルエリアネットワーク内の前記一つまたは複数のセグメントへの、前記防衛方針に従った前記違反行為、への対策を自動的に処理すること、
から成ることを特徴とする方法。
【請求項２】
前記対策が、警告を提示し、及び／もしくは、日付の刻印からなる記録をとることから選ばれた、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記対策が、前記防衛方針への前記違反行為に関連した一つまたは複数の無線機器が無線通信に従事することを制限するように方向付けられた予防処置から成る、ことを特徴とする請求項１に記載の方法。
【請求項４】
前記予防処置は無線媒体への優先的なアクセス含む、ことを特徴とする請求項３に記載の方法。
【請求項５】
前記予防処置が、前記ローカルエリアネットワークの他の無線機器に悪影響を及ぼさずに、前記防衛方針への前記違反行為に関連した一つまたは複数の無線機器が無線通信に従事することを制限するように方向付けられた選択的な予防処置である、ことを特徴とする請求項３に記載の方法。
【請求項６】
前記予防処置が、一つまたは複数の無線機器への前記予防処置の効果を明らかにする、知識ライブラリからの情報を用いる、ことを特徴とする請求項３に記載の方法。
【請求項７】
前記安全でない空域が、その中で移送された一つまたは複数の不正無線信号を含む、ことを特徴とする請求項１に記載の方法。
【請求項８】
前記安全でない空域が、前記ローカルエリアネットワークの接続点の近傍の空域である、ことを特徴とする請求項１に記載の方法。
【請求項９】
前記接続点がイーサーネットポートと無線アクセス点からなるセットから選択された、ことを特徴とする請求項８に記載の方法。
【請求項１０】
前記防衛方針が複数個の防衛方針の内の一つである、ことを特徴とする請求項１に記載の方法。
【請求項１１】
前記許可された無線活動が正規の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１２】
前記拒絶される無線活動が不正無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１３】
前記無視される無線活動が友好的な近隣の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１４】
前記無視される無線活動が前記ローカルエリアネットワークの保護される前記セグメントに接続されていない無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１５】
前記拒絶される無線活動が既定の物理的位置にない正規の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１６】
前記拒絶される無線活動が前記ローカルエリアネットワークの既定のセグメントに接続されていない正規の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１７】
前記拒絶される無線活動が前記ローカルエリアネットワークの保護される前記セグメントの一つまたは複数に接続された不正無線機器に関連する、ことを特徴とする請求項１に記載の方法。
【請求項１８】
前記拒絶される無線活動が設定間違いの正規の無線機器に関連する、ことを特徴とする請求項１に記載の方法。
【請求項１９】
前記分類処理が、前記無線活動に関与する少なくとも一つの無線機器が前記ローカルエリアネットワークに直接接続されているかどうかを決定することである、ことを特徴とする請求項１に記載の方法。
【請求項２０】
前記分類処理が、さらに、前記無線活動に関与する少なくとも一つの無線機器が不正のものであるかを決定することを含む、ことを特徴とする請求項１に記載の方法。
【請求項２１】
前記分類処理が、さらに、前記無線活動に関与する少なくとも一つの無線機器が前記正規の無線機器の一つとしてなりすましているかどうかを決定することを含む、ことを特徴とする請求項１に記載の方法。
【請求項２２】
前記分類処理が、さらに、前記無線活動に関与する少なくとも一つの無線機器が設定間違いであるかどうかを決定する、ことを特徴とする請求項１に記載の方法。
【請求項２３】
前記分類処理が、前記一つまたは複数の探知機器のうち少なくとも一つを用いて、一つまたは複数のテスト信号を前記空域に発信することを含む、ことを特徴とする請求項１に記載の方法。
【請求項２４】
前記テスト信号が一つまたは複数のマーカーパケットもしくは査察パケットを含む、ことを特徴とする請求項２３に記載の方法。
【請求項２５】
前記分類処理が、保護される前記ローカルエリアネットワークの前記セグメントに一つまたは複数のテスト信号を転送することを含む、ことを特徴とする請求項１に記載の方法。
【請求項２６】
前記テスト信号が一つまたは複数のマーカーパケットを含む、ことを特徴とする請求項２５に記載の方法。
【請求項２７】
前記分類処理が、前記空域にテスト信号を転送しない、ことを特徴とする請求項１に記載の方法。
【請求項２８】
前記無線防衛方針への前記違反行為に関する表示を、前記安全確保機器に接続された表示部のユーザーインターフェースに掲示すること、から成る請求項１に記載の方法。
【請求項２９】
前記指定地域の空間的レイアウトに対して、前記違反行為を引き起こしている無線機器の物理的な位置の確率分布を表示すること、から成る請求項２８に記載の方法。
【請求項３０】
前記表示が侵入機器に関するものである、ことを特徴とする請求項２８に記載の方法。
【請求項３１】
前記一つまたは複数の探知機器が空域を保護するか否かの決定が、前記一つまたは複数の探知機器の前記安全でない空域の一部での選択された無線活動の一部分を防止する能力によって特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項３２】
前記一つまたは複数の探知機器が空域を保護するか否かの決定が、前記一つまたは複数の探知機器の前記安全でない空域の一部での選択された無線活動の一部分を検知する能力によって特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項３３】
前記一つまたは複数の探知機器が空域を保護するか否かの決定が、一つまたは複数の探知機器の前記指定地域の空間的レイアウトのコンピュータに基づいたモデルを用いて提供される無線範囲で特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項３４】
前記コンピュータに基づいたモデルが、一つまたは複数のレイアウトの要素の少なくとも一つまたは複数の物理的な寸法、前記レイアウトの要素の一つまたは複数の材質、そして、前記一つまたは複数のレイアウトの要素の空間的位置から選ばれた情報から成る、ことを特徴とする請求項３３に記載の方法。
【請求項３５】
前記コンピュータに基づいたモデルが予測処理から成る、ことを特徴とする請求項３３に記載の方法。
【請求項３６】
表示部のユーザーインターフェースに前記指定地域の前記レイアウトを表示すること、を特徴とする請求項３３に記載の方法。
【請求項３７】
前記一つまたは複数の探知機器にそれぞれ相当する一つまたは複数の表示を、前記安全確保機器に接続された表示部のユーザーインターフェースに、ドラッグしてドロップすること、を特徴とする請求項３６に記載の方法。
【請求項３８】
前記指定地域の前記レイアウトに対しての前記一つまたは複数の探知機器の各々の無線範囲を視覚的に図解するために、前記一つまたは複数の探知機器の各々に相当した一つまたは複数の第２の表示を掲示すること、を特徴とする請求項３７に記載の方法。
【請求項３９】
前記探知機器の無線範囲に相当した一つまたは複数の表示を掲示し、前記一つまたは複数の表示が安全を確保されるべき前記安全でない空域の一部を十分に保護するかどうかを視覚的に図示するかを決定すること、を特徴とする請求項１に記載の方法。
【請求項４０】
前記レガシーローカルエリアネットワーク内の一つまたは複数の正規の無線機器に関する無線信号範囲を、少なくとも、前記指定地域の空間的なレイアウトに関する情報と、前記レイアウトに対しての前記一つまたは複数の正規の無線機器の位置の情報に基づいて予測すること、を特徴とする請求項１に記載の方法。
【請求項４１】
前記レイアウトに対しての少なくとも一つの前記正規の無線機器の前記無線信号範囲に関する一つまたは複数の表示を掲示すること、を特徴とする請求項４０に記載の方法。
【請求項４２】
少なくとも一つの前記探知機器の基本データであって、前記一つまたは複数の正規の無線機器からの予測受信信号強度に関する、前記指定区域内の前記探知機器の位置に基づいた情報を含む基本データを生成すること、を特徴とする請求項４０に記載の方法。
【請求項４３】
前記分類処理が前記無線活動の前記監視に関した情報の一部を、前記一つまたは複数の探知機器に関する基本データと比較する、ことを特徴とする請求項１に記載の方法。
【請求項４４】
前記レガシーローカルエリアネットワーク内のポートで前記違反行為を引き起こしている一つまたは複数の機器の前記通信に関したトラフィックにフィルターをかけること、を特徴とする請求項１に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
［関連出願への相互参照］
本出願は、ここに参照することにより組み込まれる、同一出願人による、以下の６つの米国仮出願に基づく優先権を主張する。
１．２００３年１２月８日に出願された、名称が、「ＲＦ予測データを用いて無線ネットワークを安全にするシステムと方法」の米国仮出願番号６０／５２７６７３。
２．２００４年５月７日に出願された、名称が、「無線ネットワーク内の正確な位置追跡用のゼロ設定方法と分散センサーに基づいたシステム」の米国仮出願番号６０／５６９０２４。
３．２００４年９月８日に出願された、名称が、「無線ローカルエリアコンピュータネットワーク内の不正機器を検出する自動化されたシステムと方法」の米国仮出願番号６０／６０７８９７。
４．２００４年９月８日に出願された、名称が、「ローカルエリアコンピュータネットワーク内の無線機器へのなりすましを検出するシステムと方法」の米国仮出願番号６０／６０７８１２。
５．２００４年９月１６日に出願された、名称が、「無線機器のローカルエリアコンピュータネットワークへの不正接続を防止するシステムと方法」の米国仮出願番号６０／６１０４１９。
６．２００４年９月１６日に出願された、名称が、「無線ネットワークの安全性露出の視覚化とシナリオ解析」の米国仮出願番号６０／６１０４１７。
【０００２】
この発明は一般的に、無線コンピュータネットワーク技術に関する。特に、この発明は、無線拡張を持つローカルエリアネットワークへの侵入検出の為の方法とシステムを提供する。この侵入検出は多くのコンピュータネットワーク環境、例えば、ＩＥＥＥ８０２．１１系の標準規格（ＷｉＦｉ）、超広帯域（ＵＷＢ）、ＩＥＥＥ８０２．１６（ＷｉＭＡＸ）、ブルートゥス、他、に基づいた環境に適用できる。
【背景技術】
【０００３】
コンピュータシステムは学術的で専門的な科学利用から、日々の事業、取引、情報流通、家庭での利用へと増殖した。それらのシステムは、パーソナルコンピュータ（ＰＣｓ）から大規模なメインフレーム、およびサーバー級のコンピュータを含む。強力なメインフレームやサーバー級のコンピュータは、銀行、小規模もしくは大規模な会社、電子取引の業者、や、政府の為の専門的なアプリケーションを走らせる。パーソナルコンピュータは多くの事務所、家庭、はては地元のコーヒー店にすら見つけられる。
【０００４】
特定の区域（例えば、事務所、ビルのフロア、ビル、家庭、もしくは、他の明確に定義された区域（屋内及び／もしくは屋外））に位置するコンピュータシステムは通常ローカルエリアネットワーク（ＬＡＮ）（例えば、イーサーネット）を用いて相互接続されている。ＬＡＮは、順繰りに、ワイドエリアネットワーク（ＷＡＮ）（例えば、インターネット）を用いて、お互いに相互接続が可能である。旧来のＬＡＮはイーサーネットに基づいた、ケーブル、ハブスイッチ、他の要素から成る設備を用いて展開される。
【０００５】
接続ポート（例えば、イーサーネットポート）がＬＡＮに複数のコンピュータをつなぐ為に用いられる。例えば、使用者はコンピュータ機器（例えば、ラップトップ、デスクトップ、もしくは、携帯用のコンピュータ）を物理的なワイヤやケーブルを用いて、物理的に接続ポートに繋げることでＬＡＮに接続できる。他の種類のコンピュータシステム、たとえば、データベースコンピュータ、サーバーコンピュータ、ルーター、そして、インターネットのゲートウェイ、もＬＡＮに同様の方法で接続できる。一旦物理的にＬＡＮに接続したら、様々なサービスにアクセス出来る。（例えば、ファイルの転送、遠隔ログイン、電子メール、ＷＷＷ、データベースアクセス、ＩＰ上の音声）
【０００６】
現在では、最近の（そしてますます流行している）無線技術を用いて、使用者は無線でコンピュータネットワークに接続できる。それ故、無線通信は、事務所、家庭、公共のホットスポット、他の区域でのＬＡＮへの無線アクセスを提供できる。ＩＥＥＥ８０２．１１系の標準規格（ＷｉＦｉ）はそのような無線通信の一般的な規格である。ＷｉＦｉにおいては、８０２．１１ｂ規格は２．４ギガヘルツの無線周波数帯で毎秒１１メガビットまでの速さの無線接続性を提供する。８０２．１１ｇ規格は２．４ギガヘルツの無線周波数帯で、より速い約毎秒５４メガビットの接続性を提供する。そして、８０２．１１ａ規格は、５ギガヘルツの無線周波数帯で、毎秒５４メガビットまでの接続性を提供する。
【０００７】
ＷｉＦｉは、有利に、既存のＬＡＮに無線拡張を提供する速くて効率的な方法を促進することが出来る。この無線拡張を提供するために、一つ、もしくはそれ以上のＷｉＦｉアクセス点（ＡＰｓ）が直接、もしくは、ＷｉＦｉスイッチのような仲介機器を介して接続ポートに接続できる。アクセス点が接続ポートに接続された後、使用者はＷｉＦｉラジオを持った機器（ステーションと呼ばれる）を用いてＬＡＮにアクセスすることが出来る。ステーションはアクセス点と無線通信が可能である。
【０００８】
かつては、コンピュータネットワークの安全性確保はＬＡＮ接続ポートが存在する物理的な区域へのアクセスを制御することに重点が置かれていた。コンピュータネットワークへの無線通信の適用は、さらなる治安上の脅威を持ち込むことが可能である。特に、無線通信に不可欠のラジオ波は、しばしば、ビルの壁といった、物理的な構造に束縛された物理的な空間に封じ込める事が出来ない。
【０００９】
従って、無線信号は、しばしば、関心領域の外へ「こぼれる」事になる。この「こぼれ」のため、近くの通り、駐車場、もしくは、建物でステーションを使っている不正使用者がアクセス点に無線接続することが可能であり、従って、ＬＡＮへのアクセスを得ることが可能である。その結果、ＬＡＮの接続点への物理的な接近を制御する形での既存の警備を提供することでは、不十分である。
【００１０】
ＷｉＦｉを使ったＬＡＮへの不正アクセスを防止するために、アクセス点に特定の技術を使うことが出来る。例えば、８０２．１１をふまえて、現在では、使用者はＬＡＮに接続できる前に、アクセス点（若しくはアクセス点と既存のＬＡＮの間にあるＷｉＦｉスイッチ）との認証ハンドシェイクを行うことが要求されている。このようなハンドシェイクの例としては、無線相当プライバシー（ＷＥＰ）に基づいた共用鍵認証、８０２．１ｘに基づいたポートアクセス管理、そして、８０２．１１ｉに基づいた認証がある。アクセス点は暗号化やファイアウォールといった追加の警備の手段を提供できる。
【００１１】
これらの手段にもかかわらず、警備上の危険性は存在する。例えば、不正アクセス点がＬＡＮに接続することも可能であり、その場合、結果として、不正使用者のＬＡＮへのアクセスが可能になる。その結果、これらの不正使用者はＬＡＮの持ち主に知られずに、ＬＡＮにつながったコンピュータシステム上の専売特許・企業秘密の情報にアクセスすることが可能になる。とりわけ、ＬＡＮの持ち主がＷｉＦｉ無しの方針（即ち、ＬＡＮの無線拡張を一切許可しない）を実施したとしても、不正アクセス点の脅威は依然として存在する。
【００１２】
とりわけ、不正アクセス点は容易に正規のアクセス点に見せかけることが出来る。つまり、不正アクセス点は正規のアクセス点と同じ特徴（例えば、ＭＡＣアドレスや他の設定）を通知することが出来（「ＭＡＣなりすまし」と呼ばれる攻撃）、その結果、探知が難しくなる。さらに、不正アクセス点が正規の顧客をそこに接続するように誘い出す事もあって、それによって、探知を免れる為の新たなレベルの正当性を作り出すこともある。さらに、不正アクセス点がＬＡＮに接続されていなくても、警備上の脅威を提起する事もある。特に、不正アクセス点と通信している正規の顧客が好むと好まざるとにかかわらず専売特許・企業秘密の情報を不正アクセス点に提供している場合もある。従って、ＬＡＮ環境の警備を改善するシステムと技法への必要性が発生する。
【００１３】
以上のことから、無線ネットワークの警備を改善する技術は大変望ましい。
【発明の開示】
【発明が解決しようとする課題】
【００１４】
この発明によると、無線コンピュータネットワークに関連した技術が提供されている。とりわけ、発明は無線拡張を伴ったローカルエリアネットワークの為の侵入検知のシステムと方法を提供する。この侵入検知は多くのコンピュータネットワーク環境に適用できる、例えば、ＩＥＥ８０２．１１系の標準規格（ＷｉＦｉ）、超広帯域（ＵＷＢ）、ＩＥＥＥ８０２．１６（ＷｉＭＡＸ）、ブルートゥス、他、に基づいた環境である。
【００１５】
コンピュータネットワークへの無線通信の適用は深刻な警備上の危険性を持ち込んだ。例えば、無線通信に不可欠のラジオ波はローカルエリアコンピュータネットワークが作動している領域（例えば事務所、ビルなど）の外に「こぼれる」事がある。不運にも、不正無線機器がこの「こぼれ」を検知することが出来る。加えて、不正無線機器がこっそりとローカルエリアネットワーク内で作動することも可能である。これらの機器はそれらの信号のこぼれに起因してネットワークに深刻な安全上の脅威をもたらすことが可能である。従って、無線拡張を伴ったコンピュータネットワークが、より、誰もがいつでもどこからでも情報ネットワークにアクセスできる様になるにつれ、使用者はローカルエリアネットワークの動作区域の内であろうとなかろうと、不正無線機器に対してだんだんと懸念している。
【課題を解決するための手段】
【００１６】
発明の一つの観点をふまえて、無線コンピュータネットワークの安全監視システムと方法が提供されている。これらの安全監視システムと方法は、ローカルエリアネットワークの動作区域内、もしくは近傍での無線活動を監視できる。これらは、有利に、不正無線活動を検知でき、ネットワークの持ち主に警告することが出来る。さらに、これらは、不正無線機器がローカルエリアネットワークにアクセスすることを制限することが出来る。特に、これらの技術と安全監視システムは多くのコンピュータネットワーク環境、例えば、ＩＥＥＥ８０２．１１系の標準規格（ＷｉＦｉ）、ＵＷＢ、ＷｉＭＡＸ、ブルートゥス、他、に基づいた環境に適用できる。
【００１７】
コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法が提供されている。この方法では、防御されるレガシーローカルエリアネットワークの一つもしくは複数のセグメントは指定地域に提供されている。具体的な実施形態では、指定地域は事務所のフロア、アパート、ビル、商業スペース、ホットスポット、野外地域、その他、からなる。この安全でない空域を守るために、この方法は、レガシーローカルエリアネットワークの一つもしくは複数のセグメントに使われる防衛方針を決定することを含む。防衛方針は少なくとも、安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを明らかにすることが出来る。好ましくは、防衛方針は、不正無線アクセスからレガシーローカルエリアネットワークの一つもしくは複数のセグメントを守るように方向付ける。
【００１８】
一つ、もしくは複数の探知機器（例えば、信号検知機器）がレガシーローカルエリアネットワークに接続される。これらの探知機器は、指定地域に、少なくとも、安全でない空域の一部が防衛方針に従って保護される様に、空間的に配置されている。この方法は、安全確保機器のレガシーローカルエリアネットワークへの連結も含む。安全確保機器は、一つのまたは複数の探知機器と、一つまたは複数のコンピュータネットワーク上で、通信が出来る。さらに、この方法は、一つ、もしくは複数の探知機器が、保護されるべき安全でない空域の一部を充分に保護するかどうかを、少なくとも探知機器の無線通信範囲と位置に基づいて、判断することが出来る。探知機器の無線通信範囲の計算には指定地域のコンピュータモデルを使用できる。
【００１９】
この方法は、一つまたは複数の探知機器を使って空域の無線活動を監視することを含む。一つの実施形態では、探知機器は無線活動を捕捉、処理、そして解読することが出来る。他の実施形態では、探知機器は安全確保機器に無線活動の情報を通信することが出来る。安全確保機器は情報をさらに処理し、記憶することが出来る。加えて、この方法は、分類処理を使って、無線活動の監視に関連する情報の一部分を、無線活動が、一つまたは複数の保護されるべきセグメントと通信するかどうかを少なくとも決定するために、自動的に分類する。
【００２０】
この方法は、防衛方針への違反行為を、少なくとも、無線活動を監視することによる情報の一部の分類に基づいて検知することが出来る。具体的な実施形態では、違反行為は空域での拒絶されるべき無線活動の発生に付随する。この方法は、保護されるレガシーローカルエリアネットワークの一つまたは複数のセグメントへの防衛方針への違反行為、への対策を自動的に処理する事も含む。一つの実施形態では、その対策は、警告を提示し、記録することを含むことが可能である。又、別の実施形態では、その対策は予防処置に表示を送ること、を含むことが可能である。
【００２１】
特に、この方法は、さらに、無線防衛方針への違反行為に関連した表示を、（たとえば、安全確保機器つながれた）ディスプレイのユーザーインターフェースに提供することも出来る。一つの実施形態では、この表示は、防衛方針への違反行為を引き起こしている無線活動の元の物理的な位置（例えば侵入機器の位置）の指定地域の空間的なレイアウトに対しての予測からなる。
【００２２】
この発明を用いて、いくつかの利点や利益を得ることが出来る。例えば、この技術は、旧来のコンピュータハードウエアとソフトウェア技術によって、利用が容易な方法を提供する。いくつかの実施形態では、この方法とシステムは完全に自動化されており、ローカルエリアコンピュータネットワークへの不正無線アクセスを防止するために使われる。自動化された運用はシステム運用中の人的努力を最小化し、システムの反応時間と正確性を改良する。いくつかの実施形態では、この方法とシステムは侵入事件の偽陽性を有利に削減することができ、従って、システム運用中の厄介要因を削除できる。これはこの発明の技術が、理知的に、有害なアクセス点と、大抵の偽陽性の源となる友好的な近隣のアクセス点とを区別するからである。
【００２３】
この技術は有利に、無線ネットワークの構成要素のＲＦ受信可能範囲の特性の視覚化を提供する。探知機器の無線通信範囲の視覚化は、安全でない空域に包括的な安全保障保護の提供を促進する。加えて、この発明の一つの観点による無線通信範囲の計算では、指定地域の空間的なレイアウトの特徴、と無線信号伝播に固有の予測の不確実さとシグナル変動を計上することが出来、その結果、受信地域の計算が現実的になる。この方法は、有利に、指定地域のレイアウトに対しての探知機器の受信範囲の視覚的な表示を地理的な形で提供できる。加えて、この方法は、指定地域のレイアウトに対しての正規の無線機器の受信可能範囲を視覚的に表示することができる。これにより、把握しやすいローカルエリアネットワークの安全露出解析が容易になる。
【００２４】
一つの実施形態では、この方法は、選択的で信頼性の高い、拒絶されるべき無線活動に関連した不正無線機器からの発信の禁止、を提供する。実施形態次第で、これらの利点のうちの一つまたは複数を達成できる。これらの利点、および他の利点は、この明細書のいたるところ、特に、以下に記されている。
【発明を実施するための最良の形態】
【００２５】
この発明によると、無線コンピュータネットワークに関連した技術が提供されている。ことさら、この発明は、無線拡張を持つローカルエリアネットワークへの侵入検出の為の方法とシステムを提供する。この侵入検出は多くのコンピュータネットワーク環境、例えば、ＩＥＥＥ８０２．１１系の標準規格（ＷｉＦｉ）、超広帯域（ＵＷＢ）、ＩＥＥＥ８０２．１６（ＷｉＭＡＸ）、ブルートゥス、他、に基づいた環境、に適用できる。
【００２６】
従来のコンピュータネットワークの安全性確保はＬＡＮ接続ポートが存在する物理的な区域へのアクセスを制御することに重点が置かれていた。コンピュータネットワークへの無線通信の適用は、新たな治安上の脅威を持ち込んだ。特に、無線通信に不可欠のラジオ波は、しばしば、ローカルエリアネットワークの動作域の物理的な境界内（例えば、事務所のスペース、もしくはビル）に閉じ込めることができない。この「こぼれ」は、動作域外の不正無線機器に検知されることがある。加えて、不正無線機器がローカルエリアネットワーク内で動作していて、ローカルエリアネットワークに接続することさえも可能である。動作域外にこぼれるそういった機器の無線通信範囲はローカルエリアネットワークへの不正アクセスを得るために動作域外の機器によって使われることも可能である。無線拡張を伴ったコンピュータネットワークが、より、誰もがいつでもどこからでも情報ネットワークにアクセスできる様になるにつれ、使用者はローカルエリアネットワークの動作区域の内であろうとなかろうと、不正無線機器に対してだんだんと懸念している。
【００２７】
図１は、安全性の監視を容易にすることが可能な、ローカルエリアネットワーク（ＬＡＮ）１０１の簡略図を示す。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。ＬＡＮ１０１では、核となる送信設備１０２は様々な送信要素を含むことが可能である。例えば、イーサーネットケーブル、ハブ、そしてスイッチである。典型的な展開では核となる送信設備１０２は一つまたは複数のネットワークセグメントから成る。
【００２８】
一つの実施形態によると、一つのネットワークセグメントはＩＰ「サブネットワーク」（サブネットと呼ばれる）と言及できる。各々のサブネットはネットワーク番号（例えば、ＩＰ番号そしてサブネットマスク）で同定され、複数個のサブネットはルーター機器を用いて相互接続されている。別の実施形態では、ネットワークセグメントは仮想ローカルエリアネットワーク（ＶＬＡＮ）セグメント（例えば、ＩＥＥＥ８０２．１Ｑ標準規格に従ったもの）と言及できる。特に、ＬＡＮ１０１の複数個のネットワークセグメントは地理的に分布していて良い。（例えば、異なった地理的場所の会社事務所内。）地理的に分布しているセグメントは仮想プライベートネットワーク（ＶＰＮ）で相互接続が可能である。
【００２９】
各々のセグメントには、一つまたは複数の接続ポート（例えば、イーサーネットソケット）が様々なコンピュータシステムをＬＡＮ１０１に接続するために添付されている。それ故、一つまたは複数のエンドユーザー機器１０３（デスクトップコンピュータ、ノートブックコンピュータ、遠隔測定検出器など）が金属線（例えば、イーサーネットケーブル）や他の適切は接続方法を用いて、一つまたは複数の接続ポート１０４を経由して、ＬＡＮ１０１に接続されることができる。
【００３０】
特定の機能やサービスを提供する他のコンピュータシステムもまたＬＡＮ１０１に接続することができる。例えば、一つまたは複数のデータベースコンピュータ１０５（例えば、顧客の口座、在庫、従業員の口座、財務情報その他を保存してあるコンピュータ）が一つまたは複数の接続ポート１０８でＬＡＮ１０１に接続することができる。加えて、一つまたは複数のサーバーコンピュータ１０６（データベースアクセス、電子メール保存、ＨＴＴＰ代理業務、ＤＨＣＰサービス、ＳＩＰサービス、認証、ネットワーク管理などのサービスを提供するコンピュータ）が一つまたは複数の接続ポート１０９でＬＡＮ１０１に接続することができる。
【００３１】
この実施形態では、ルーター１０７が接続ポート１１０を経由してＬＡＮ１０１に接続されることが可能である。ルーター１０７はＬＡＮ１０１とインターネット１１１間のゲートウェイとして作動することができる。ファイアウォール、もしくは、ＶＰＮ（仮想プライベートネットワーク）のゲートウェイ１１２がルーター１０７をインターネット１１１に接続するために用いられ、従って、ＬＡＮ１０１内のコンピュータシステムをインターネット１１１からの不法侵入に対して保護し、同時にＬＡＮ１０１への遠隔安全アクセスを可能にしている。
【００３２】
この実施形態では、ＬＡＮ１０１の無線拡張も提供されている。例えば、正規のアクセス点１１３Ａと１１３Ｂがスイッチ１１４を経由してＬＡＮ１０１に接続できる。スイッチ１１４は順繰りに接続ポート１１５に接続できる。スイッチ１１４はアクセス点１１３Ａと１１３Ｂが特定の複雑な処理（例えば、認証、暗号化、ＱｏＳ，機動性、ファイアウォールなど）を実行する時の助けとなり、アクセス点１１３Ａと１１３Ｂに中央集権化管理機能をも提供する。正規のアクセス点１１６が接続ポート１１７を経由して直接ＬＡＮ１０１に接続することも可能である。この場合、アクセス点１１６は必要な安全保障処理（例えば認証、暗号化、ファイアウォールなど）を行っても良い。
【００３３】
この配置では、一つまたは複数の無線通信の機能を持つエンドユーザー機器１１８（デスクトップコンピュータ、ノートブックコンピュータ、携帯用コンピュータ、ＰＤＡなど）が正規のアクセス点１１３Ａ，１１３Ｂ、そして、１１６を経由して、ＬＡＮ１０１に無線接続ができる。とりわけ、ＬＡＮ１０１に接続された正規のアクセス点はＬＡＮへの無線接続点を提供する。ＷｉＦｉやほかの無線ネットワーク形式（例えば、ＵＷＢ，ＷｉＭＡｘ、ブルートゥスなど）が無線プロトコル（通信規約）として用いられる。
【００３４】
図１に示されている通り、接続ポート１２０を用いて不正アクセス点１１９もＬＡＮ１０１に接続が可能である。不正アクセス点１１９は悪意のあるアクセス点、設定間違いのアクセス点、もしくはソフトアクセス点であり得る。悪意のあるアクセス点とは、施設への物理的アクセスを持つ人物によって操作され、ネットワーク管理者の許可無しにＬＡＮ１０１に接続されたアクセス点のことをいう。設定間違いのアクセス点とは、ネットワーク管理者に許可されたが、設定のパラメタが、たいていの場合うっかりして、正しくなく設定されたものである。不正確な設定によって侵入者が設定間違いのアクセス点に（従って、ＬＡＮ１０１にも）接続が可能になる場合がある。ソフトアクセス点とは、通常、接続ポートにつながったＷｉＦｉが可能なコンピュータシステムで、ソフトウェアのコントロールによりアクセス点としても機能できるものである。ソフトウェアは、意図的にコンピュータシステム上で走ることも、何かの事情でウイルスプログラムの形で走ることもある。特に、不正アクセス点はＬＡＮへの不正無線接続を引き起こす。
【００３５】
不正アクセス点１１９は様々な保安上の危険性を引き起こす。例えば、不正アクセス点１１９は正しい防衛方針を使わないかも知れないし、防衛方針を実施する要素、たとえばスイッチ１１４を迂回するかも知れない。さらに、不正ステーション１２６といった侵入者がＬＡＮ１０１に接続でき、不正アクセス点１１９を通して（例えば指定区域外の不正アクセス点の無線信号のこぼれを使って）攻撃を開始することができる。一つの実施形態では、不正アクセス点１１９はＭＡＣなりすましを実行でき、従って、検知を難しくしている。
【００３６】
特に、アクセス点は、接続されたＬＡＮのセグメントと無線媒体の間のデータパケットを配信する。実施形態によっては、アクセス点はこの機能を、レイヤー２ブリッジ、もしくは、ＮＡＴ（即ち、ネットワークアドレス翻訳者）もしくはルーターとして遂行する。レイヤー２ブリッジ型のアクセス点は、単純に、接続されたインターフェースが受信したイーサーネットパケットを８０２．１１型パケットに翻訳した後無線連結に送信し、逆もまた同様である。ネットワークアドレス翻訳者もしくはルーター型のアクセス点は、他方、レイヤー３（ＩＰ）ルーターとして作動する、つまり、接続されたインターフェースに受信されたＩＰパケットを無線インターフェースに接続されたステーションに転送し、逆もまた同様である。従って、ＮＡＴ／ルーター型アクセス点の接続された側と無線側のインターフェイスは通常別のサブネットの一部である。ＮＡＴアクセス点は、さらに、パケットを、接続されたＬＡＮのセグメントと無線媒体間で転送する前に、パケット中のＩＰアドレスとポート番号の翻訳を実行する。
【００３７】
図１はまた、無線通信範囲が、懸念しているＬＡＮの動作域に、こぼれ入って来る、別の不正アクセス点１２１も示している。特定の実施形態によると、アクセス点１２１は、隣接事務所のＬＡＮにつながっている場合もあり、つながっていない場合もある、隣接する事務所内のアクセス点であったり、ＬＡＮ１０１の敷地内で、ＬＡＮ１０１や他のアクセス点につながっておらず、ＬＡＮと共存して、重大な、及び／もしくは、有害な影響無しに空域を共有するアクセス点であったりすることが可能である。別の特定の実施形態によると、アクセス点１２１は、敵対的なアクセス点であることもある。特に、ＬＡＮ１０１には接続していなくとも、不正アクセス点１２１は、それと通信することによって、正規のステーションを誘い出すこともあり、結果として、それら正規のステーションの、安全保障を危うくすることもある。敵対的なアクセス点は、正規の無線ステーションをそこに接続するよう誘い出して、介入者攻撃、サービスの却下、ＭＡＣなりすまし、他、の破壊的な攻撃を開始することもある。
【００３８】
発明の一つの観点にのっとって、安全監視システムはＬＡＮ１０１を如何なる不正使用者（例えば、不正アクセス点、不正ステーション）から保護することができる。安全監視システムは、一つまたは複数の、ＬＡＮ１０１から成る指定区域内もしくは近傍に配置された、ＲＦセンサー／検知機器（例えば、ここで総称して探知機器１２２と呼ぶこととするセンサー機器１２２Ａと１２２Ｂ）を含むことができる。（図１に示された）一つの実施形態では、探知機器１２２は接続ポート（例えば、接続ポート１２３Ａ／１２３Ｂ）を経由してＬＡＮ１０１に接続可能である。別の実施形態では、探知機器１２２は無線接続でＬＡＮ１０１に接続することもできる。
【００３９】
探知機器１２２は選択された地理的地域のサブネット内の無線活動を監視することができる。無線活動はアクセス点と一つまたは複数の無線ステーションとの間、もしくは、一つまたは複数の無線ステーション間での、あらゆる、制御パケット、管理パケット、データパケットの通信を含むことができる。無線活動は、アクセス点と無線ステーションとの間の接続を開設する通信（「アソシエーション」と呼ばれる）をも含むことができる。
【００４０】
一般的に、探知機器１２２は無線通信路を傍受でき、その通信路の通信を捉えることができる。一つの実施形態では、探知機器１２２は無線通信が起こりうる複数の無線通信路を周回することができる。それぞれの無線通信路で探知機器１２２は、待機して、進行中の通信を傍受することができる。一つの実施形態では、探知機器１２２は複数の無線通信路で同時に動作することができる。
【００４１】
通信が検知された場合いつでも、探知機器１２２はその通信に関しての適切な情報を採集して記録することができる。この情報は、捕捉されたパケットの、８０２．１１ＭＡＣ（媒体アクセス制御）見出し（ヘッダー）、８０２．２ＬＬＣ（ロジカルリンク制御）の見出し、ＩＰ見出し、輸送通信規約（例えば、ＴＣＰ，ＵＤＰ，ＨＴＴＰ，ＲＴＰなど）の見出し、パケットサイズ、パケット貨物、そして他の領域、といった、様々な領域から集められた情報の全て、もしくは、一部を含むことができる。一つの実施形態では、パケットの送信機と受信機のＭＡＣアドレスを記録することができる。他の実施形態では、ＭＡＣ見出し内で得られる、パケットタイプ、ビーコンパラメタ、安全設定、ＳＳＩＤ，ＢＳＳＩＤ，といった、他の情報も記録できる。また他の実施形態では、捕捉されたパケットの受信信号強度指標（ＲＳＳＩ）も記録できる。送信が検知された日付や時間といった他の情報も記録できる。
【００４２】
一つの実施形態では、探知機器１２２は無線活動を検知することができる任意の適切な受信機器であってもよい。図１７には典型的な探知機器のハードウエアの図解が示されている。この図は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。図に示されている通り、望ましい検知・記録機能を持たせるために、探知機器１２２は、プロセッサ１７０１、と、探知機器機能用のソフトウェアプログラムが載ったフラッシュメモリ１７０２、と、プログラム実行中に揮発性メモリとなるＲＡＭ１７０３、と、無線ＭＡＣレイヤー機能を遂行する、一つまたは複数の８０２．１１ａ／ｂ／ｇ無線ネットワークインターフェイスカード（ＮＩＣｓ）１７０４、と、ネットワークインターフェイスカードと連動した一つもしくは（無線の多様性のために）複数の２帯域（２．４ギガヘルツと５ギガヘルツの両方の無線周波数帯での通信検知のため）のアンテナ１７０５、イーサーネットの物理的な機能とＭＡＣレイヤー機能を遂行するイーサーネットネットワークインターフェイスカード１７０６、と、イーサーネット上のオプションの電源（ＰＯＥ）で探知機器を接続されたＬＡＮに接続するためのイーサーネットネットワークインターフェイスカードに結合したＲＪ−４５ソケットといったイーサーネット差し込み口１７０７、と、探知機器を、メモリの内容を一気に消去したり、設定したり、修理することに利用できるシリアルポート１７０８と、電源機器を持つ。一つまたは複数の発光ダイオード（ＬＥＤ）１７０９が探知機器の（機器が適正に機能している、エラー条件、不正無線活動警告、その他、といった）視覚的な指標を伝えるために提供されることもある。
【００４３】
一つの実施形態では、探知機器１２２は、異なった機能とソフトウェアを持つが、アクセス点を建設するのに使われたハードウェアのプラットフォームを用いて建設することができる。一つの実施形態では、指定地域に、より目立たなく組み込まれるために、探知機器１２２は、小さなフォームファクタ（ハードウェアの寸法や形状などを決定付ける要因）を持つことができる。一つの実施形態では、探知機器１２２はまた、無線通信のインターフェイスを持つことも可能で、その結果、探知機器１２２が疑わしい侵入者の送信へのインターフェイスを持つことになる。無線通信インターフェイスはまた、探知機器１２２によって、テスト信号の送信を含む能動的な精査にも用いられる。
【００４４】
探知機器１２２は、経験則、戦略、及び／もしくは、計算された推測を用いて、指定地域の適切な位置に空間的に配置できる。この発明の一つの観点にのっとって、探知機器１２２の最適な位置展開を決定するために、ＲＦ（無線周波数）計画ツールが用いられる。
【００４５】
サーバー１２４（安全確保機器とも呼ばれる）は接続ポート１２５を用いて、ＬＡＮ１０１に接続できる。一つの実施形態では、各々の探知機器１２２は検知された無線活動の情報をサーバー１２４に（一つまたは複数のコンピュータネットワーク上を通して）運ぶことができる。サーバー１２４はその情報を解析し、解析の結果を保存し、そして結果を処理することができる。別の実施形態では、探知機器１２２はサーバー１２４に情報を運ぶ前にその情報にフィルターをかけたり、及び／もしくは、要約することができる。
【００４６】
探知機器１２２は、また、サーバー１２４から設定情報を有利に得ることができる。設定情報は、例えば、オペレーションシステムソフトウエアプログラム、動作パラメタ（例えば、走査される周波数帯や無線チャンネル）、検知される無線活動、そして、正規の無線機器の身元情報、を含む。探知機器１２２は、また、サーバー１２４から、例えば特定の無線のチャンネルに周波数を合わせたり、無線チャンネルの特定のパケットの発信を捉えたり、といった、特定の指示を受けることができる。
【００４７】
特定の実施形態によると、この発明はコンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法を提供する。例えば、選択空域は、ローカルエリアネットワークの、一つまたは複数の接続点（例えば、イーサーネットポート、正規のアクセス点など）の近くである。もう一つの例としては、選択空域は、ローカルエリアネットワークを含む選択地域の一部の近くである。好ましくは、指定空域は不正使用者からの安全保障攻撃（例えば、侵入、サービスの却下、介入者攻撃、ＭＡＣなりすまし）に敏感な場所である。この手法２００が図２に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この手法は探知機器１２２と安全確保機器１２４を用いて実施することができる。手法２００の様々な段階は次のようなものである。
【００４８】
図に示されているように、ステップ２０２は、指定地域内の保護されるレガシーローカルエリアネットワークの一つまたは複数のセグメントを規定する。例えば、指定地域は、事務所の場所、家、アパート、政府のビル、倉庫、ホットスポット、商業施設、野外、その他、から成る。特定の実施形態では、レガシーローカルエリアネットワークは無線の送／受信部を持つ、一つまたは複数のコンピュータ機器から成る。さらに、レガシーローカルエリアネットワークは（従来のファイアーウオールを通してインターネットに接続されるといった）信頼できる接続された設備を持っていても良い。レガシーローカルエリアネットワークは指定地域の中に安全でない空域があることで特徴付けられる。つまり、不正無線ステーションが、安全でない空域で無線信号を送受信することによってローカルエリアネットワークに安全保障攻撃を開始できる。
【００４９】
ステップ２０４でレガシーローカルエリアネットワークの一つまたは複数のセグメントの防衛方針を決定できる。好ましくは、防衛方針は少なくとも、安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを特徴づける。好ましくは、防衛方針は、不正無線侵入者からレガシーローカルエリアネットワークを保護する方向に付けられる。この防衛方針は安全監視システムによって実施される。
【００５０】
ステップ２０６でレガシーローカルエリアネットワークに、一つまたは複数の探知機器を接続できる。一つまたは複数の探知機器は安全でない空域の少なくとも一部の安全を確保できるように空間的に配置されている。探知機器は安全でない空域の無線活動を捕捉して解析することができる。
【００５１】
ステップ２０８でレガシーローカルエリアネットワークに安全確保機器を接続させることができる。特定の実施形態では、探知機器と安全確保機器は、一つまたは複数のコンピュータネットワーク上で通信する。
【００５２】
ステップ２１０で保護されるレガシーローカルエリアネットワークの一つまたは複数のセグメントの各々と少なくとも一つの探知機器が連結されているかを決定できる。つまり、少なくとも一つの探知機器が保護されるローカルエリアネットワークのセグメントに直接、もしくは、一つまたは複数のコンピュータネットワークを介してテスト信号を送ることができる。特定の実施形態では、探知機器はイーサーネット接続を用いて選択されたＬＡＮのセグメントに接続できる。別の特定の実施形態では、探知機器は、安全確保機器に接続されたネットワークセグメントの身元を通信できる。安全確保機器はユーザーインターフェースのこの身元を表示できる。
【００５３】
ステップ２１２は安全を確保されるべき安全でない空域の一部を、一つまたは複数の探知機器が十分に保護するかどうかを決定できる。好ましくは、この決定は、少なくとも、一つまたは複数の探知機器の各々の無線範囲と位置によってなされる。この決定は、安全を確保されるべき安全でない空域の部分で探知機器がカバーする範囲に穴がないことを保証する。特定の実施形態では、探知機器がカバーする範囲は指定地域のコンピュータモデルを使うことで計算される。別の特定の実施形態では、コンピュータモデルは指定地域の空間的なレイアウトの要素（例えば、壁、入口、窓、障害物、仕切、柱、中庭、葉、フロアプランなど）に関した情報（例えば、物理的な寸法、材質、位置、など）を含むことができる。
【００５４】
ステップ２１４は、一つまたは複数の探知機器を用いて、空域の無線活動を監視することができる。
【００５５】
ステップ２１６は、分類処理を使って、無線活動の監視に関連する情報の一部分を、自動的に分類する。分類処理は、少なくとも、無線活動が少なくとも、保護されるべきセグメントの一つもしくは複数の内の一つ、と通信するかどうかを決定するように方向づけられている。一つの実施形態では、分類処理は、無線活動が正規のものであるかを判別もできる。別の実施形態では、分類処理は、無線活動が正規の無線機器になりすましているものであるかの判別もできる。又別の実施形態では、分類処理は、無線活動がネットワークのサービスの却下攻撃を指図するかどうかも判断できる。さらに別の実施形態では、分類処理は、無線活動に関した（例えば、受信信号強度や発信元アドレスといった）パラメタが基準と矛盾しないかも判断できる。一つの特定の実施形態では、分類処理はテスト信号を生成できる。別の実施形態では、分類処理はテスト信号を生成できない場合もある。
【００５６】
ステップ２１８は、無線活動の監視からの情報の一部の分類に少なくとも基づいて、防衛方針の違反行為を検知することができる。例えば、違反行為は空域で拒絶されるべき無線活動の発生を指す。
【００５７】
ステップ２２０は保護されるべきレガシーローカルエリアネットワークの、一つまたは複数のセグメントの防衛方針への違反行為に関連した対策を自動的に処置できる。処置は、これらに限定されないが、警告を発すること、警告を記録すること、プロセスを阻むこと、そして、無線活動によって防衛方針に違反した、一つのまたは複数の無線機器を、他の無線機器に悪影響を及ぼすこと無しに、（電子的に）制限すること、を含む。
【００５８】
以上のステップの手順はこの発明の実施形態による方法を提供する。示されている通り、この方法はワイヤレスコンピュータネットワークに付随した空域を監視する方法、を含むステップの組合せを用いる。もちろん、この請求の範囲から外れること無しに、ステップが加えられたり、一つまたは複数のステップが除かれたり、一つまたは複数のステップが異なる順序で提供されたり、といった代替案も可能である。加えて、様々なステップが、コンピュータプログラムもしくは、ソフトエア、ファームウェア、ハードウエア内のコード、もしくはこれらの任意の組合せ、を用いて実施できる。実施形態によっては、他の変動性、変更、そして代替案が可能である。
【００５９】
この発明の方法の特定の実施形態では、（例えばステップ２１６のような）分類処理はアクセス点を３つの区分に分類することを含むことができる：正規のもの、不良、外部のもの、である。「正規のアクセス点」とは、（例えばアクセス点１１３Ａ，１１３Ｂ，１１６などの）ネットワーク管理者に許可されたアクセス点をいう。「不良アクセス点」とは、（例えばアクセス点１１９のような）ネットワーク管理者に許可されていないにもかかわらず、保護されるべきネットワークセグメントに接続されているものである。そして、「外部のアクセス点」とは、（例えば、アクセス点１２１のように）ネットワーク管理者に許可されていなく、保護されるべきネットワークのセグメントに接続されていないものである。例えば、外部のアクセス点は、近隣のネットワークに接続された近隣のアクセス点、ＬＡＮの異なるセグメントに接続されたアクセス点、他、である。特定の実施形態では、ネットワーク管理者は安全監視システムに正規の無線機器の身元の細かい一覧表を提供することができる。別の特定の実施形態では、（下記の）能動的な精査によって、分類処理が自動的に正規のアクセス点を識別することができる。また別の特定の実施形態では、アクセス点がネットワークセグメントに接続されているか否かを判断することが分類処理に含まれている場合もある。防衛方針は前述のアクセス点分類を用いて実施できる。例えば、防衛方針によって、（例えばステーション１１８といった）正規の無線ステーションと正規のアクセス点との間の無線通信は許可される。（例えばステーション１２６のような）不正の、もしくは近隣の無線ステーションと外部のアクセス点との無線通信は、防衛方針によって、無視される。有利なことに、無視することで、防衛方針への違反行為に付随した偽陽性が排除され、侵入検知システム運用中の厄介要因を削除できる。他の全ての無線通信（例えば、正規／不正／近隣の無線ステーションと不良アクセス点の間、正規の無線ステーションと外部アクセス点との間など）は防衛方針によって、拒絶される。有利なことに、拒絶することで、正規の無線ステーションと保護されるべきネットワークセグメントの整合性を妥協することを防止できる。上記の防衛方針は図３Ａに示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。
【００６０】
別の実施形態では選択されたアクセス点が選択されたネットワークセグメントに接続されているかどうか判断できる。この実施形態ではネットワーク管理者が選択されたネットワークセグメントに接続を許可されるアクセス点を指定できる。それ以外の（正規もしくは不正の）アクセス点からの上記のネットワークセグメントへの接続は防衛方針によって拒絶される。これは前述の防衛方針を促進するための「ネットワークロッキング」手法３００と呼ばれ、図３Ｂに図示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。手法３００はステップ２０４，２１６，そして、２１８に使用できる。手法３００のステップは次のようである。もちろん、ステップは加えられたり、削除されたり、入れ替えられたりする。
【００６１】
ステップ３０２では、探知機器はＬＡＮに接続されている。好ましい実施形態では、この接続はイーサーネット接続である。ステップ３０４では、探知機器は接続されたネットワークセグメントの身元を決定する。特定の実施形態では、探知機器は自身のイーサーネットインターフェイス（すなわち、ネットワークセグメントに接続されたネットワークインターフェース）のＩＰアドレスを、ＤＨＣＰ（動的ホスト設定プロトコル）要請と応答処理によって取得する。ＤＨＣＰ処理によって、探知機器はネットワークセグメントの身元を知る。別の実施形態では、探知機器のＩＰアドレスは静的に設定されている。探知機器はこの設定からネットワークセグメントの身元情報を抽出することができる。特定の実施形態では、この身元情報はＩＰアドレスとサブネットマスクの形、例えば、１９２．１６８．１．０／２４，（１９２．１６８．１．０がＩＰアドレスで２４がサブネットマスクに相当する）を取る。
【００６２】
ステップ３０６では、探知機器は接続されているネットワークセグメントの身元情報を安全確保機器に通信する。この身元情報は安全確保機器に接続された表示機器のユーザーインターフェースに表示される。特定の実施形態では、同じＬＡＮセグメントに複数の探知機器が接続されている場合、一つの探知機器のみがネットワークセグメントの身元情報を安全確保機器に通信する。身元情報を通信する探知機器は自分の行為を無線媒体やイーサーネット接続を用いて放送パケットを送ることによって他の探知機器に知らせる。放送パケットは、それを発する探知機器の行為を他の探知機器が推察できるような情報を持つ。図３Ｃは、探知機器に検知されたＬＡＮセグメントの身元情報を表示するコンピュータ画面３２０である。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。図示されているとおり、ＬＡＮセグメントの身元情報は欄３２１に示されている。欄３２２は対応するＬＡＮセグメントが現在ロックされているかどうかを示している。特定の実施形態では、鍵を連想させるアイコンがこの情報を伝えるために用いられる。他の実施形態、例えばテキストメッセージ、ボタン、チェックボックスといったものも可能である。欄３２３はネットワーク管理者から対応するＬＡＮセグメントに与えられたニックネームを示す。欄３２４から３２７はＬＡＮセグメントにネットワーク管理者が接続を許可したアクセス点やプロトコルの身元情報を提供する。
【００６３】
ステップ３０８では、使用者（例えば、ネットワーク管理者）が選択されたＬＡＮセグメントへの接続を許可されたアクセス点の身元情報（例えば、ＭＡＣアドレス、製造供給元情報、プロトコル型、ＳＳＩＤ、他）を入力する。ネットワーク管理者はそういったアクセス点をいっさい指定しない（つまり、無線を一切許可しないことを示す）こともある。あるいは、ネットワーク管理者は一つまたは複数のアクセス点を指定する場合もある。一つの実施形態では、使用者は、探知機器が動作中として検知できるアクセス点の一覧を表示され、使用者が、選択されたＬＡＮセグメントへの接続を許可された一覧表からアクセス点を選ぶことを要求されることもある。別の実施形態では、使用者は、探知機器が動作中として検知できて、選択されたＬＡＮセグメントに接続されているアクセス点の一覧を表示される。使用者は、この一覧から、ＬＡＮセグメントに接続を許可されたアクセス点を選ぶことを要求される。また別の実施形態では、使用者はＬＡＮセグメントへの接続を許可されたアクセス点の身元情報を手で、例えば入力画面メニューとコンピュータスクリーンを使って、入力する。図３ＤはＬＡＮセグメントに接続を許可されたアクセス点の身元情報（例えばＭＡＣアドレス）に関しての、使用者の選択を示すコンピュータスクリーン表示３４０の例である。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。示されている通り、ウィンドウ枠３４１は探知機器に検知された動作中のアクセス点の一覧表を示す。欄３４２は探知機器に検知された動作中のアクセス点のＭＡＣアドレスを示す。欄３４３から３４６は探知機器に検知されたアクセス点の他の特徴を示す。欄３４７は探知機器に検知された対応するアクセス点が接続されたＬＡＮセグメントの身元情報を示す。使用者はウィンドウ枠３４１に表示された一覧表から選択する。特定の実施形態では、使用者は一覧表から指定された領域３４８へアクセス点の身元情報をドラッグすることで選択を行う。
【００６４】
選択されたＬＡＮセグメントに接続可能なアクセス点を特定した後、ステップ３１０で、使用者はＬＡＮセグメントを「ロック」したいかどうかを指定することを要求される。ネットワークセグメントをロックすることはそのＬＡＮセグメントに前述のステップ３０８で使用者が指定したアクセス点以外のアクセス点の接続を許可しないように安全監視システムに指示する事と等価である。
【００６５】
図３Ｅはコンピュータスクリーン表示３６０の例で、ＬＡＮセグメントをロックするネットワーク管理者の決定を示す。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。図３Ｅのアイコン３６２に示されている通り、使用者は、ＬＡＮセグメント１９２．１６８．１．０／２４をロックすることを選択した。特定の実施形態では使用者はメニューボックス３６１を開くために、ネットワーク番号の上で、コンピュータマウスをクリックし、ネットワークをロックするという決定を、安全監視システムと通信することができる。
【００６６】
安全監視システムは防衛方針への違反行為を検知するために、空域での無線活動を検知して自動的に分類する。特定の実施形態では、防衛方針への違反行為を検知されたときに、処分が実行される。例えば、拒絶されるべき無線活動の発生は防衛方針への違反行為である。例えば、一つの実施形態では、不良アクセス点が検知された時、防衛方針への違反行為が推察される。別の実施形態では、不良アクセス点と顧客無線ステーションとの通信が検知されると、防衛方針への違反行為が推察される。また別の実施形態では、ネットワーク管理者に指定されたアクセス点以外のアクセス点がロックされたネットワークセグメントに接続しようとした場合、防衛方針への違反行為が推察される。一つの実施形態によると、拒絶されるべき無線活動の発生（例えば、防衛方針への違反行為）に付随する処分が生成され、警告が記録されることも可能である。また別の実施形態によっては、処分は、拒絶されるべき無線活動と関連した無線機器を、将来のいかなる無線通信からも（例えば電子的に）制限することもあり得る。また別の実施形態では、拒絶されるべき無線活動の源の物理的な位置が予測され、対応する表示が、選択された領域のレイアウトに対して、表示機器のユーザーインターフェース上に表示される。
【００６７】
防衛方針を実施するために、特定の実施形態では、探知機器は空域の無線活動を監視する。無線活動は、前述の防衛方針に従って、許可されるもの、拒絶されるもの、無視されるもの、に分類される。この実施形態による手法４００が図４に示されている。この方法はステップ２１４，２１６，２１８，２１０に用いられる。特定の実施形態では、手法４００は図３Ａに示された防衛方針を実施するのに用いられる。別の特定の実施形態では、手法４００は手法３００を用いて指定された防衛方針を実施するのに用いられる。他のタイプの防衛方針も実施できる。図４の図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。
【００６８】
示されている通り、最初のステップ４０１は「動作中のアクセス点」の一覧表を整備することである。動作中のアクセス点は、最近、無線活動に送信機、もしくは、受信機として絡んだアクセス点として定義される。動作中のアクセス点は、探知機器に捕捉された無線通信路での無線通信を解析することで検知できる。例えば、ＷｉＦｉネットワークといった無線ネットワークの全てのアクセス点は、顧客無線ステーションが接続できるよう、周期的に、ビーコンパケットを送信する。ビーコンパケットには時計同期データ、アクセス点のＭＡＣアドレス（ＢＳＳＩＤ）、支持されたデータ転送速度、サービスセット識別子（ＳＳＩＤｓ）、無線媒体への競合、もしくは、競合無しの、アクセスのパラメタ、ＱｏＳに関しての機能、防衛方針、他、といった情報が含まれている。一つの実施形態では、アクセス点からのビーコンパケットの送信がそのアクセス点が動作中かどうかを判断するのに用いられる。別の実施形態では、動作中のアクセス点は、そのアクセス点に向けられている、もしくはそのアクセス点から発生している、他のあらゆる無線通信（データパケット、制御パケット、管理パケット）が探知機器によって観測された場合にも検知される。動作中のアクセス点の一覧表の各項目に付随しているのは短いタイムアウトと長いタイムアウトの値である。短いタイムアウトの後、相当する項目は「活動していない」と記録され、長いタイムアウトの後は、「歴史上の」と記録される。
【００６９】
第２のステップ４０２は（後述の）分類処理を使って、動作中のアクセス点の一覧にあるアクセス点を、少なくとも３つのカテゴリー、つまり「正規の」、「不良」、「外部の」、に、分類することである。動作中のアクセス点をこれらのカテゴリーに分類するために、一つのまたは複数のテストが実行される。
【００７０】
第３のステップ４０３は、探知機器に検知された無線活動をステップ４０２で実行されたアクセス点分類に基づいて、無線活動を許可、拒絶、無視に分類することである。例えば、不良アクセス点からのビーコンパケットの発信が探知機器で検知された場合、相当する無線活動は拒絶されるものに分類される。また、不良アクセス点と（正規の、不正の、もしくは近隣の）無線ステーション間のパケット送信や無線接続の確立が探知機器に検知された場合も、相当する無線活動は拒絶されるものに分類される。別の例として、外部のアクセス点のビーコンパケット送信や、外部のアクセス点と、不正、もしくは近隣の、無線ステーション間のパケット送信／無線接続の確立が探知機器に検知された場合は、相当する無線活動は無視されるものと分類される。また、正規のアクセス点と正規の無線ステーションとの無線活動が探知機器に検知された場合は、相当する無線活動は許可されるものと分類される。
【００７１】
第４のステップ４０４は防衛方針への違反行為を検知して、防衛方針に従って違反行為に対する措置を処理することである。例えば、一つの実施形態では、拒絶されるべき無線活動が探知機器によって検知された場合、警告が発せられる。警告は記録できる。警告はネットワーク管理者に電子メール、ＳＭＳ（短メッセージサービス）、や類似のもので連絡される。別の実施形態では、この方法は拒絶されるべき無線活動に関与したアクセス点、及び／もしくは、無線ステーションの表示を予防処理に送る。好ましくは、この表示はアクセス点もしくは無線ステーションから、一つのパケットの後、即座に、もしくは、もういくつかのパケットの前に送られるのが望ましい。実施形態によって、この方法はこの表示を、コンピュータプログラム中に提供される様々なプロセスとプロセスの間に信号で送る。また、あるいは、この方法は、予防処理を実施するために、同じ処理プログラム内の選択された機能を実行する。
【００７２】
予防処理の一つの実施形態は、拒絶される無線活動に関与するアクセス点と無線ステーション間の「つながり（アソシエーション）」を予防、もしくは、切断することで機能する。「つながり」とは、８０２．１１標準規格に定義された、無線ステーションとアクセス点が無線接続を設立する行為である。つながりの予防、もしくは、切断の技術は、これらに限定されないが、一つまたは複数の、偽造「反認証」もしくは「分離」パケットを、一つのまたは複数の探知機器から、アクセス点のＭＡＣアドレスを発信元アドレスとして（例えば、理由番号を「認証失効」として）無線ステーション、もしくは、放送アドレスへ、送ること、そして、一つまたは複数の、偽造「反認証」もしくは「分離」パケットを、一つのまたは複数の探知機器から、無線ステーションのＭＡＣアドレスを発信元アドレスとして（例えば、理由番号を「認証撤退」として）アクセス点へ送ること、を含む。これは、「強制的な反認証」予防処理と呼ばれる。予防処理の別の実施形態は、一つのまたは複数の探知機器から、ＢＳＳＩＤ領域にアクセス点のＭＡＣアドレスを持ち、ネットワーク割り当てベクトル（ＮＡＶ）領域に高値を持つパケットを連続して送ることを含む。この場合、アクセス点に結びついた全ての顧客無線ステーションは、ＮＡＶ領域で指定された長さだけ、無線通信路へのアクセスを保留する。これで、アクセス点とその顧客無線ステーション間の通信を妨害する。この予防処理は「仮想ジャミング」と呼ばれる。この発明の一つの観点によると、仮想ジャミングは、正規のステーションに（例え同じ無線通信路であっても）通信を許しながら、選択的に、不正無線ステーションのみを抑制することに適用される。「選択的な仮想ジャミング」は、不正機器がネットワークに対して、サービスの却下攻撃を開始することを止めるのに用いられる。予防処理のまた他の実施形態では、探知機器がアクセス点を接続要請（例えば、アソシエーション、や認証要請）で圧倒して、結果として、アクセス点のメモリ資源を一杯にする（これは「ＡＰ洪水」と呼ばれる）。望ましくは、探知機器は偽造源ＭＡＣアドレスを使って接続要請を送信する。これはアクセス点をクラッシュ、リセット、リブートさせる効果があって、従って、無線ステーションがアクセス点を（例えば、アクセス点のハードウエアとソフトウエアの実装によるが数秒、数分といった）一定の期間、無線通信に使用できなくする。確認（ＡＣＫ）を押し付けること、探知機器からの送信によるパケットのコリジョン、探知機器から紛らわしいビーコンフレームを送ることによって無線ステーションをアクセス点のＢＳＳ（基本サービスセット）内で不安定化、非同期化させること、といった数々の他の実施形態も用いることができる。
【００７３】
この発明の実施形態によって上記の一連のステップが方法を提供する。示されている通り、この方法は、無線コンピュータネットワークでの不正無線活動を検知する方法を含む、ステップの組合せを用いる。もちろん、この請求の範囲から外れること無しに、ステップが加えられたり、一つまたは複数のステップが除かれたり、一つまたは複数のステップが異なる順序で提供されたり、といった代替案も可能である。加えて、様々なステップが、コンピュータプログラムもしくは、ソフトエア、ファームウェア、ハードウエア内のコード、もしくはこれらの任意の組合せ、を用いて実施できる。実施形態によっては、他の変更例、修正案、そして代替案が可能である。
【００７４】
発明の方法の特定の実施形態によると、分類処理は、ＬＡＮセグメントに接続されていない（例えば外部の）アクセス点から、ＬＡＮセグメントに接続された（例えば正規の、もしくは、不良の）アクセス点を区別する、「接続性テスト」を実施することを含む。接続性テストの実施形態による、手法５００が図５に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。また、この請求の範囲から外れること無しに、ステップが加えられたり、除かれたり、順序が代わったり、といったことも可能である。手法５００はステップ２１６と２１８に用いられる。手法５００はステップ４０２にも用いられる。
【００７５】
示されている通り、ステップ５０１では、一つまたは複数のテストパケット（「マーカーパケット」と呼ばれる）が発信機器によってＬＡＮセグメントに転送される。特定の実施形態では、発信機器は、探知機器、安全確保機器、もしくは、一つまたは複数のコンピュータネットワークを通して、懸念されているネットワークセグメントに送信がたどり着ける任意のコンピュータシステムであり得る。例えば、懸念されているネットワークセグメントに接続されている探知機器はマーカーパケットを自身のイーサーネット接続を通して転送できる。マーカーパケットは、後に侵入監視システムによって同定され得る特有のフォーマットを持つ。フォーマットは異なるマーカーパケットによって異なっていても良い。マーカーパケットは、それを使って後に既知のマーカーパケットに対して比較できる連続番号を持つ。マーカーパケットは発信機器の身元情報を含むこともある。マーカーパケットは、懸念されたＬＡＮセグメントに接続された、全ての、もしくは、一部のアクセス点に受信され、それらの全て、もしくは、一部によって無線媒体に伝えられる。
【００７６】
ステップ５０２では、一つまたは複数の探知機器が一つまたは複数の無線通信路を傍受する。ステップ５０３では、望ましくは、少なくとも一つの探知機器が無線通信路のマーカーパケットの少なくとも一つの送信を検知する。マーカーパケットは捕獲されたパケットのフォーマットを解析することで検知される。もしアクセス点がマーカーパケットを暗号化によって変更せずに無線通信路に送信すると、捕獲されたパケット内の全てのフォーマット情報がマーカーパケットを同定するために安全管理システムに使用可能となる。もし、アクセス点が、マーカーパケットを暗号化によって変更した後無線通信路に送信すると、安全管理システムは捕獲されたパケット内の全てのフォーマット情報を解析することはできないかもしれない。この場合、パケットの、暗号化によって影響を受けていないフォーマットの一定の特徴が解析に用いられる。例えば、暗号化の手順は暗号化されるデータのサイズを変えない。従って、検知されたパケットのサイズを、そのパケットをマーカーパケットと同定するのに使用可能である。
【００７７】
ステップ５０４では、マーカーパケットを伝えるアクセス点の身元情報が、無線通信路に送信されたパケットの８０２．１１ＭＡＣ見出し（例えば、送信機のアドレスやＢＳＳＩＤ）から決定される。ステップ５０５では、マーカーパケットを伝えるアクセス点はＬＡＮセグメントに接続されていると推察されている。明らかに、もしアクセス点がＬＡＮセグメントに接続されていなかったら、マーカーパケットはＬＡＮセグメントから無線媒体にアクセス点によって転送され得ない。
【００７８】
手法５００の一つの実施形態では、マーカーパケットは、放送アドレスにアドレス指定しているイーサーネット型のパケット、即ち、１６進数でＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦの値がイーサーネットＭＡＣ見出しの目的地アドレス領域にあるもの、であり得る。例えば、マーカーパケットは、しばしば、イーサーネット型放送パケットである、ＡＲＰ（アドレス決定プロトコル）パケットであり得る。任意のペイロード（伝送されるパケットのヘッダー部を除いたデータの本体）を持つものを含む他の型のイーサーネット放送パケットもまた使用可能である。このパケットは、ＬＡＮセグメントに接続された全てのアクセス点に受信される。レイヤー２ブリッジとして機能しているアクセス点はこの放送パケットを、８０２．１１型パケットに形を変えた後、無線媒体に送信する。探知機器がマーカーパケットを生成した場合、探知機器は、無線媒体上のマーカーパケットを、たまたま探知機器のそれとなっている、８０２．１１型パケットの発信元ＭＡＣアドレスから同定することができる。別の特定の実施形態では、探知機器のそれぞれにシステム内の他の全ての探知機器の発信元ＭＡＣアドレスが（例えば、安全確保機器から設定データの形で）提供されている。これにより、探知機器が他の探知機器から生成された無線媒体上のマーカーパケットを同定することができる。
【００７９】
別の実施形態では、マーカーパケットはアクセス点に関した（即ち、接続された）無線ステーションのＭＡＣアドレスにアドレス指定しているイーサーネット型のユニキャストパケットであっても良い。このＭＡＣアドレスは、一つまたは複数の探知機器に捕獲された、アクセス点と無線ステーションとの間の事前の通信を解析することで推察される。このマーカーパケットはアクセス点が懸念されているＬＡＮセグメントに接続されている場合にアクセス点に受信される。レイヤー２ブリッジとして機能しているアクセス点は、その後、マーカーパケットを８０２．１１型パケットに訳した後、マーカーパケットを無線媒体に送信する。この実施形態は、有利に、ＬＡＮセグメントに接続されていて、ＬＡＮから無線媒体への放送パケットの転送を阻むアクセス点を検知できる。
【００８０】
他の実施形態では、マーカーパケットは、アクセス点に関した（即ち、接続された）無線ステーションのＩＰアドレスにアドレス指定しているＩＰパケット、ＬＡＮセグメントの放送ＩＰアドレスにアドレス指定されたＩＰパケット、などであっても良い。また他の実施形態では、マーカーパケットは、監視システムによって積極的にＬＡＮセグメントに転送されない。むしろ、ＬＡＮセグメント上のデータトラフィックからの、一つまたは複数の、放送／マルチキャスト／ユニキャストパケットがマーカーパケットとして用いられる。理屈としては、アクセス点が探知機器と同じＬＡＮセグメントに接続されている場合、探知機器のイーサーネットポートで観測されたデータトラフィックの少なくとも一部は無線通信路上で探知機器に捕捉されたデータトラフィックに一致している。従って、探知機器は無線通信路上で捕捉されたパケットを、接続されたＬＡＮセグメント上で通信されて探知機器のＬＡＮ接続ポート（イーサーネットポート）で捕捉されたパケットと、比較して、適合しているフォーマットを同定する。
【００８１】
探知機器は、特定の無線通信路上でのマーカーパケットの出現を、その無線通信路上でのマーカーパケットの伝達中に、探知機器がその通信路に同調されていた場合にのみ、検知できる。それゆえ、少なくとも一つの探知機器が、ＬＡＮセグメントに接続された各アクセス点で送信されたマーカーパケットのうち少なくとも一つを検知する機会を得る確率を最大化するために、ＬＡＮセグメントにマーカーパケットを周期的に、そして望ましくは、乱数化された間隔で、転送する必要があるかもしれない。
【００８２】
接続性テストの別の実施形態によると、探知機器は、一つまたは複数のマーカーパケットを無線接続でアクセス点に転送する。マーカーパケットは、実施形態により、ＵＤＰ（ユーザーデータグラムプロトコル）パケット、ＴＣＰ（送信制御プロトコル）パケット（例えば、ＴＣＰ  ＳＹＮ  パケット）、ＩＣＭＰ（インターネット制御アンドメッセージングプロトコル）パケット、レイヤー２フレームなど、であり得る。探知機器はそれ自体アクセス点との無線接続を設立することが可能である。（例えば、８０２．１１リンクレイヤー接続、及び／もしくは、ＩＰ接続）。もう一つの方法として、探知機器は、現存する、アクセス点と無線ステーションとの無線接続を、アクセス点にマーカーパケットを転送する目的に使うことができる。例えば、探知機器は、マーカーパケット内の発信元アドレス（例えば、ＭＡＣアドレス、ＩＰアドレス、ＵＤＰ／ＴＣＰポート番号）を無線ステーションのアドレスとして偽造できる。他のパラメタも偽造できる。マーカーパケットは、探知機器そのもの（例えば、探知機器の接続された／イーサーネットのインターフェイスのＭＡＣアドレスもしくはＩＰアドレス）、安全確保機器、別の探知機器、他の任意のネットワーク機器、もしくは、放送アドレス、にアドレス指定できる。このアクセス点がＬＡＮセグメントに接続されている場合、これらのマーカーパケットはこのアクセス点によってＬＡＮセグメントに転送され、そこから目的地に転送される。一つまたは複数のマーカーパケットの目的地への到着が、このアクセス点がＬＡＮセグメントに接続されていることのテストである。有利にも、この実施形態は、レイヤー２ブリッジ機能とは異なっているＮＡＴ／ルーター機能を提供する不良アクセス点を検知できる。後者（レイヤー２ブリッジ機能）に対しても有用ではあるが。
【００８３】
接続性テストのまた別の実施形態による手法６００が図６に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。有利にも、この実施形態は、無線リンクの、認証、及び／もしくは、暗号化を使うのみならず、ＮＡＴ／ルーター機能を提供する不良アクセス点を検知できる。手法６００は、実施形態によって、ステップ２１６と２１８に使用可能である。また、ステップ４０２にも使用可能である。
【００８４】
示されている通り、ステップ６０１では、探知機器は、接続されたＬＡＮセグメントに付属した機器の身元情報（例えばＩＰアドレス）を決定する。「ｅｔｔｅｒｃａｐ」、「ｎｍａｐ」、他、といったソフトウェアツールがこの目的に使用される。これらのツールは、（例えば、ＩＣＭＰピンパケットやＴＣＰ  ＳＹＮ  パケットなど用いて）、セグメント上の動作中のＩＰアドレスを検知するためにＬＡＮセグメントのアドレス範囲内のＩＰアドレスを走査する。もう一つの方法として、探知機器は、ＬＡＮに付属した機器のＩＰアドレスを推察するために、ＬＡＮセグメント上のＡＲＰ（アドレス決定プロトコル）取引を捕捉して解析する。ＡＲＰ要請は、要請者によって、与えられたＩＰアドレスに相当するＭＡＣアドレスを問い合わせるために用いられ、ＬＡＮセグメント上の放送メッセージである。ＡＲＰ応答は与えられたＩＰアドレスを所有する機器によって要請者に送られる。ＡＲＰ応答は通常、要請者へのユニキャストメッセージで、応答者のＭＡＣアドレスを含んでいる。一つの特定の実施形態では、探知機器は、接続されたＬＡＮ上のＡＲＰ要請を（例えばイーサーネット接続上で）捕獲する。ＡＲＰ要請パケットは要請者のＩＰアドレスを含む。この情報は探知機器によってＩＰアドレスの一覧を作るために用いられる。
【００８５】
ステップ６０２では、探知機器は接続されたＬＡＮセグメント上に検知された（「犠牲者機器」と呼ばれる）機器に向けた「ＡＲＰ毒殺」を遂行する。ＡＲＰ毒殺は（通常頼んでいない）ＡＲＰ応答を、探知機器から、探知機器自身のＭＡＣアドレスを犠牲者機器のＩＰアドレスと関連しているとして送ることを含む。一つの実施形態では、ＡＲＰ応答はＬＡＮセグメントの放送アドレスへと向けられる。別の実施形態では、ＡＲＰ応答は、ＬＡＮセグメント上で検知された、犠牲者機器を除く、各機器へのユニキャストである。ＡＲＰ毒殺を実施する他の技術も用いられる。探知機器は、いつでも、一つまたは複数の犠牲者機器にＡＲＰ毒殺を実行できる。
【００８６】
ＡＲＰ毒殺があり次第、犠牲者機器行きの、接続されたＬＡＮセグメント上のＩＰパケットは、まず探知機器に到着する。探知機器は、ステップ６０３に示されているように、パケットに関する情報（例えば、内容物、見出の値、長さ、など）を記録して、犠牲者機器（パケットの正しい目的地）へと転送する。もしくは、探知機器は（ＩＰパケットフラグメンテーションでのように）犠牲者機器のパケットを切断して、一つまたは複数の断片を、断片に関しての情報を記憶した後に、犠牲者機器に転送する。フラグメンテーション（切断）は、好ましくは、断片を後で同定する事を容易にするために、（例えば、長さ、といった）特定の情報を提供する。さらに、断片の長さは、予め定められた一式から選ばれることも可能である。これによって、探知機器が、他の探知機器によって（例えばＡＲＰ毒殺の後）傍受されて転送された、無線媒体上のマーカーパケットを同定することが可能になる。
【００８７】
ステップ６０４に示されている通り、探知機器はアクセス点から無線媒体上に送信されるパケットを監視し続ける。無線媒体上で探知機器に検知されたパケットの特徴（内容物、見出の値、長さ、など）は、検査される。この検査は、以前に探知機器から接続されたＬＡＮセグメントへと転送されたパケット、もしくは、パケットの断片、が無線媒体に出現したか、を、明らかにする。適合が検知された場合、そのパケット、もしくは断片を無線リンクで送信したアクセス点がＬＡＮセグメントに接続されていることが推察される。
【００８８】
別の実施形態では、ＬＡＮセグメント上で検知されたＩＰアドレスのうち、ＮＡＴ／ルーター機器が同定される。これは、有利に、犠牲者機器（ＡＲＰ毒殺が必要な機器）の数を減らす。例えば、ＩＰパケットが（例えば、探知機器によって）接続されたＬＡＮセグメントへ、ＩＰ見出しのＴＴＬ（有効期限）の値が１に設定されて送られる、そしてこのパケットへの反応が監視される。特定の実施形態では、このＩＰパケットは、任意のＩＰアドレス宛で、接続されたＬＡＮセグメントへとイーサーネット放送パケット（例えば、１６進数のＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦ：ＦＦのイーサーネット目的地アドレス）として転送される。望ましくは、ＮＡＴ／ルーター機器はこのパケットに対しＩＣＭＰの「時間超過」メッセージで反応する。一方で、ホスト機器（例えば、マイクロソフトウィンドウズ（登録商標）、リニックス、他、を走らせているＰＣ／ラップトップ）やサーバー機器（メールサーバー、ＷＷＷサーバー、ファイル転送サーバーなど）は何の反応も送らない。また別の実施形態では、ＬＡＮセグメントで検知された機器の中で、ＮＡＴ機器が同定される。例えば、選択されたＩＰアドレスと選択されたＵＤＰポートへ向けられたＩＰパケットが探知機器によって接続されたＬＡＮセグメントへと転送され、このパケットに対する反応が監視される。望ましくは、選択されたＵＤＰポート番号はＵＤＰに基づいたアプリケーションが通常使用する範囲外（例えば、６１，０００以上）から選ばれる。望ましくは、（選択されたＩＰアドレスを持つ）ＮＡＴ機器は、このパケットに対してＩＣＭＰ反応を送らない。一方で、（選択されたＩＰアドレスを持つ）他の機器は、ＩＣＭＰの「目的地到達不可能」メッセージで反応する。これらに限定されないが、ゲートウェイルーター機器（つまり、アクセス点でないルーター機器）をＤＨＣＰ（動的ホスト設定プロトコル）取引中に受信された設定情報から同定すること、アクセス点でない機器をこれらの機器のイーサーネットＭＡＣアドレスから導かれた製造供給元情報から同定すること、他、を含む他の実施形態が、また、犠牲者機器の数を減らすのに使用できる。
【００８９】
また他の実施形態では、探知機器は犠牲者機器へ宛てたパケットを生成し、接続されたＬＡＮセグメントへと転送する。以前（例えば、犠牲者機器のＡＲＰ毒殺のあとなど）に捕獲された犠牲者機器のパケットから集められた情報がこれらのパケットを生成するのに用いられる。例えば、パケットが、以前に捕獲されたパケットから推測されたＵＤＰ／ＴＣＰポートに向けて生成される。望ましくは、探知機器が無線活動を監視するために新しい無線通信路に切り換えるたびに、一つまたは複数のパケットが生成されて犠牲者機器に転送される。これにより、有利に、無線媒体上でこれらのパケットを検知する機会が増加する。特に、特定の実施形態では、探知機器によって生成されたＵＤＰ／ＴＣＰパケットは空値ペイロードを持つ。他の実施形態では、探知機器によって生成されたパケット中のＴＣＰ見出しとペイロードは以前に捕獲されたパケットのそれらと同じでも良い。また別の実施形態では、ＵＤＰ／ＴＣＰパケットは、最終的にそれらが受信機器（例えば顧客無線ステーション）に拒否されるように、空値でないペイロードで、（例えば、ＵＤＰもしくはＴＣＰのチェックサム領域内の）ＣＲＣ（巡回冗長検査）の正しくない値をもって生成される。これらの技術は、有利に、探知機に生成されたパケットが顧客無線ステーション上のＵＤＰ／ＴＣＰアプリケーションを混同させたり混乱させたりすることを避けられる。探知機器は、加えて、生成されたＴＣＰパケットを接続されたＬＡＮに転送する前にパケットをフラグメント化することもある。パケット生成の他の実施形態も可能であり、当業者には明白である。
【００９０】
また別の実施形態では、（例えば、今後ＡＲＰ毒殺テストに必要な）空域内のＮＡＴ／ルーターアクセス点の存在は、そのアクセス点が関与した無線活動を監視することによって推測できる。例えば、複数の発信元ＭＡＣアドレスが、アクセス点によって送信されて探知機器に捕捉された異なる無線データパケットで検知された場合、もしくは、アクセス点によって送信されて探知機器に捕捉された無線データパケット内のＢＳＳＩＤと異なる発信元ＭＡＣアドレスが検知された場合、対応するアクセス点はレイヤー２ブリッジ型のアクセス点と推察される。別の実施形態では、複数の目的地ＭＡＣアドレス、もしくは、ＢＳＳＩＤと異なる目的地ＭＡＣアドレスが、アクセス点に向けられて探知機器で捕獲された無線データパケット内に検知された場合、対応するアクセス点はレイヤー２ブリッジ型のアクセス点と推察される。一方、一定時間（好ましくは複数の顧客ステーションの接続で）そういった発信元ＭＡＣアドレスや目的地ＭＡＣアドレスが検知されなかった場合、対応するアクセス点はＮＡＴ／ルータ型のアクセス点と推察される。
【００９１】
接続性テストのまた別の実施形態によった手法６５０が図６Ａに示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。いくつかの実施形態では、この方法は、有利に、アクセス点と探知機器が同じネットワークセグメントに接続されていない場合でも、アクセス点のＬＡＮへの接続性を検知することができる。例えば、アクセス点が一つのＩＰサブネットに接続されている一方で、探知機器が他のＩＰサブネットに接続されていることも可能である。もちろん、この方法は、探知機器が直接接続されているネットワークセグメントと同じネットワークセグメントにアクセス点が接続されている場合の接続性を感知するのに用いるのも可能である。手法６５０のステップは以下の通りである。
【００９２】
ステップ６５２は最初のネットワークセグメントに少なくとも一つの探知機器を繋げる。ステップ６５４では探知機器は、一つまたは複数のＩＰパケット（即ちマーカーパケット）を少なくとも一つの、第２のネットワークセグメントのアドレス範囲内の、目的地ＩＰアドレスに送る。一つの実施形態では、第１と第２のネットワークセグメントは一つのまたは複数のルーターでつながっている。好ましくは、少なくとも一つの目的地ＩＰアドレスは第２のサブネットに接続されたいかなるコンピュータにも割り当てられていない。一つの実施形態では、一つまたは複数のＩＰパケットがＵＤＰ，ＴＣＰ，もしくは、ＩＣＭＰパケットであり得る。
【００９３】
マーカーパケットは一つまたは複数のコンピュータネットワークを通して第２のネットワークセグメントに転送される。特に、マーカーパケットは第２のネットワークセグメントに直接接続されている少なくとも一つのルーターに到達する。マーカーパケットが第２のネットワークセグメントの何れのコンピュータにも割り当てられていないＩＰアドレス宛のため、ルーターは目的地ＩＰアドレスに付随したＭＡＣアドレスの入力を持たないかもしれない。その結果、ルーターは目的地ＩＰアドレス宛のＡＲＰクエリー（データベースへの検索要求）を実施する。このＡＲＰクエリーは第２のネットワークセグメントに接続された（例えばレイヤー２ブリッジ型の）アクセス点によって無線媒体に転送される。
【００９４】
ステップ６５６では、探知機器が無線媒体を監視する。探知機器が無線媒体でＡＲＰクエリーの送信を検知した場合、無線媒体にそれを送信するアクセス点はネットワークセグメントに接続されていると推察される。一つの実施形態では、送信アクセス点の身元情報が、発信元ＭＡＣアドレス領域、もしくは、ＡＲＰ要請を含む８０２．１１ＭＡＣフレームのＢＳＳＩＤ領域から見つけられる。一つの実施形態では、第２のネットワークセグメントの身元情報（例えば、ＩＰ番号とサブネットマスク）がＡＲＰ要請に含まれる目的地ＩＰアドレスを検知することによって推察される。
【００９５】
手法６５０の一つの実施形態では安全監視システムで守られる必要のあるサブネットの一覧が提供される。前述の接続性テストを実施するために探知機のそれぞれにサブネットのセットが割り当てられる。好ましくは、一つまたは複数のＩＰアドレスをこれらのサブネットのそれぞれのアドレス範囲で取り除く、つまり、サブネットに接続されたどのコンピュータシステムにも割り当てられていないようにする。一つの実施形態では、そのようなＩＰアドレスはＤＨＣＰサーバー設定の中で指定される。他の実施形態では、サブネットの一覧と共にルーターの一覧が提供される。この方法では、そのあと、これらのルーターに、ＡＲＰテーブルについての情報を得るためと、サブネットで使用されていないＩＰアドレスを動的に決定するために、クエリー（例えば、ＳＮＭＰ、もしくは、単純ネットワーク制御プロトコルクエリー）を送る。
【００９６】
手法６５０の別の実施形態では、安全確保機器がマーカーパケットを送信でき、一つまたは複数の探知機器が無線媒体上のパケットの通信を検知できる。
【００９７】
一つの実施形態では、前述の接続性テストを実施するための探知機器（もしくは安全確保機器）のためのサブネットのセットが特定された時、この発明の方法では、セット内のサブネットの一つまたは複数が探知機器（もしくは安全確保機器）から、マーカーパケットを送る目的のために到達可能かどうかを決定できる。例えば、このセット内で選択されたサブセットのアドレス範囲の、一つまたは複数のＩＰアドレスに宛てたパケットのセットが、ＴＴＬ領域に種々の（例えば、ＩＰ経路探索ユーティリティ内でのように、１から始まって１ずつ増える）値を持って送られて、反応が監視される。パケットの経路上の様々なルーターから受信されたＩＣＭＰ「時間超過」反応に基づいて、探知機器（もしくは安全確保機器）が選択されたサブネットに到達可能かどうかの決定がなされる。別の実施形態では、ＩＣＭＰピン要請がサブネットのセット中のサブネットに接続されたルーターインターフェイスに送られ、それに対する反応が、選択されたサブネットがマーカーパケットを送る目的のために到達可能かどうかを決定するために、監視される。他の型の到達可能であるかどうかのテストも可能であり、当業者には明白である。
【００９８】
接続性テストの他の実施形態では、（例えばイーサーネットポートを用いて）探知機器は保護されるネットワークセグメントの一部に接続されている。保護されるネットワークセグメントの残りには、少なくともマーカーパケットを発することのできるコンピュータコード（例えば、ソフトウェアやドライバ）が、残りのネットワークセグメントに繋がった一つまたは複数のコンピュータ（例えば、ＰＣ、ラップトップ、サーバーや他のいかなるコンピュータ機器）上で動作できる。この実施形態では、有利に、保護されるネットワークセグメントの一つ一つに対する、一つの探知機器の必要性を削除することができる。
【００９９】
接続性テストのまた別の実施形態では、（例えばイーサーネットポートを用いて）探知機器は保護されるネットワークセグメントの一部に接続されている。一つまたは複数の、「マーカーパケット送信機器」が、保護されるネットワークセグメントの残りの部分にマーカーパケットを送るために用いられる。一つの実施形態では、マーカーパケット送信機器はネットワークセグメントに接続されている。他の実施形態では、この機器は（例えばイーサーネットスイッチポートといった）スイッチポートに接続されている。一つの実施形態では、一つのマーカーパケット送信機器が複数のＶＬＡＮセグメントにマーカーパケットを送ることができる。単に例として、であるが、マーカーパケット送信機器は、例えば、無線機能を実施するソフトウェアやファームウェアを無効にしたり削除したりすることによったり、及び／もしくは、無線ハードウェア（例えば無線ＮＩＣ１７０４、そして／また、アンテナ１７０５）を、無効にしたり削除したりすることによって、無線機能が除去された（図１７に示されている）探知機器、であっても良い。
【０１００】
一つの特定の実施形態によると、分類処理は、ネットワーク管理者によって、ＬＡＮ内に存在することが「許された」アクセス点（例えば、正規のアクセス点）を「許されていない」（例えば、不良の、外部の、設定間違いの、なりすました、他の）ものと区別する「妥当性テスト」を含む。
【０１０１】
妥当性テストの一つの実施形態は、探知機器に捕捉されたパケットの解析を通じてアクセス点の一つまたは複数の特性を推察し、それらを、許されたアクセス点の一つまたは複数の特性と比較することによって機能する。矛盾が検知された場合、このアクセス点は許されていないものと推察される。例えば、アクセス点から送信された一つまたは複数のビーコンパケットを解析することによって、アクセス点の、一つまたは複数の特性が推察される。それらの特性は、これらに限定されないが、（アクセス点のＭＡＣアドレスの最初の３バイトで指定される）製造供給元情報、観測されたビーコン間隔、そしてビーコンパケット内の、ビーコン間隔、ＳＳＩＤ、機能情報、無線パラメタ、安全保障設定、様々な情報要素（ＩＥｓ）他、といった（基本的は８０２．１１、そして、８０２．１１ｅ，８０２．１１ｉ，８０２．１１ｋ、他、といった拡張に従った）様々は領域の値を含む。アクセス点のその他の特性はアクセス点と無線ステーション間を流れるパケットの流れを解析することで推察できる。とりわけ、認証とアソシエーション（つながり）手続が、許可されたアクセス点のものと矛盾のないものかを決定するために、探知機器で監視される。単に例として、であるが、認証とアソシエーション手続の流れは、有線と同等のプライバシー（ＷＥＰ）、無線で保護されたアクセス（ＷＰＡ）、経時的鍵整合性プロトコル（ＴＫＩＰ）、ロバストセキュリティーネットワーク（ＲＳＮ）、増築可能な認証プロトコル（ＥＡＰ）ほか、といった技術基準に従う。許可されたアクセス点の特性のセットは、ネットワーク管理者によって、侵入検知のシステムに提供される。
【０１０２】
いくつかの実施形態では、特性セットの比較だけでは、空域内にある許可されていないアクセス点機器の存在を検知するのに十分でない場合がある。すなわち、許可されていないアクセス点が（例えばビーコンパケット内に）許可されたアクセス点と同じ特性セット（ＭＡＣアドレスを含む）を公表することで許可されたアクセス点になりすます場合である。これは、許可されていないアクセス点が「ＭＡＣなりすまし」を実施した場合である。
【０１０３】
発明の実施形態によるＭＡＣなりすましの検知は、特定のＭＡＣアドレスを持つアクセス点から送信されたビーコン（もしくは、調査反応）パケットを捕捉して、ビーコンパケットのＴＳＦ（時間刻印領域）領域に含まれる値を記録することで機能する。ＴＳＦは、アクセス点の時間刻印を含む、ＩＥＥＥ８０２．１１ビーコンパケットの６４ビット領域である。ＴＳＦ値はマイクロ秒単位で、時間と共に（例えば、各マイクロ秒で１）増加する。ＴＳＦカウンターはアクセス点機器がリセットもしくは（リ）スタートされる度に０から始まる。つまり、アクセス点がリセット、リブート、リスタート、したり、電源が入ったりした時である。この発明の方法は、この特徴を、特定のＭＡＣアドレスのアクセス点機器がリセット／（リ）スタートした時間を、捕捉されたビーコンパケット内のＴＳＦ値から計算し（例えば、リセット／（リ）スタートした時間＝特定のＭＡＣアドレスからのビーコンパケットが捕捉された時間−ＴＳＦ値）、特定のＭＡＣアドレスの異なるビーコンパケットから計算されたリセット／（リ）スタート時間が適度な誤差の範囲（例えば、１秒）以上離れているかを検知する、ことで利用する。その場合、ＭＡＣなりすまし（つまり、許可されていないアクセス点が許可されたアクセス点になりすまして存在すること）が推測される。
【０１０４】
特定の実施形態による、ＭＡＣなりすましを検知する手法７００が図７に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。手法７００は、有利に、許可されたアクセス点が実際にリセット／（リ）スタート工程を経験することから由来する偽陽性を削除する。この方法はステップ２１６と２１８に用いることができる。ステップ７０１では特定のＭＡＣアドレスを持つアクセス点から送信されたビーコンパケットが探知機器によって捕捉される。ステップ７０２では、特定のＭＡＣアドレスを持つアクセス点のリセット／（リ）スタート時間の最新の概算が、ビーコンパケットの捕捉時間引くビーコンパケット内のＴＳＦ値として計算される。ステップ７０３では、概算の最新の値が、過去に探知機器に捕捉された特定のＭＡＣアドレスからのビーコンパケットから計算され（そして記録された）概算の値と比較される。好ましくは、この比較は適切な誤差の範囲（例えば、１秒、もしくは１０秒）で行われる。ステップ７０４に示されている通り、最新の概算値が過去に計算された値より小さい場合、ＭＡＣなりすましが推察される。ステップ７０５に示されているように、最新の概算値が過去に計算された値よりも大きくなった場合、許可されたアクセス点のリセット／（リ）スタートによる誤認警報を避けるために、ＭＡＣなりすましは、推察されない。
【０１０５】
手法７００の数々の代案が可能である。さらに、ステップは、加えられたり、削除されたり、順序を変えたりできる。一つの実施形態では、手法７００のステップを実行するためのハードウエア／ファームウェア／ソフトエアが一つの探知機機内に提供されている。代わりの実施形態では、ＭＡＣなりすましを検知する前述の方法は分散型で実施されている。つまり、特定のＭＡＣアドレスからの、複数の探知機器により捕捉されたビーコンパケットのＴＳＦ値に関連した、もしくはＴＳＦ値に由来する情報が（例えば安全確保機器に）受信され、ＭＡＣなりすましを検知するために処理される。処理中には、異なる探知機器での、局所参照時間に関した情報が用いられる。分散型の動作は、許可されたアクセス点機器と許可されていないアクセス点機器が複数の探知機器の無線通信範囲にあって、しかし、両方のアクセス点機器からビーコンパケットを捕捉できる探知機器がない場合に、有利に、ＭＡＣなりすましを検知する。別の実施形態では、ＭＡＣなりすましは、二つのパケットの捕捉時間の差、と二つのパケットのＴＳＦ値の差、を比較することで検知される。他の代替案も可能である。
【０１０６】
妥当性テストの代替実施形態による手法８００が図８に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この手法はステップ２１６と２１８に用いることができる。有利なことに、手法８００は初期化時にシステム（即ち安全確保機器）に許可されたアクセス点の詳細な特性セットを手動で入力することを必要としない。特に、許可されたアクセス点の総計が多い（例えば５０か、それ以上）場合、手動入力は煩わしくなりうる。また、手動のデータ入力では、許可されたアクセス点が新しく設置された場合、侵入検知のシステムにそれらの特性セットを提供するために、手動の介入が必要とされる。加えて、手法８００の実施形態はＭＡＣなりすましに対して抵抗性を持つ。この手法のステップが下に概説されている。
【０１０７】
ステップ８０１では安全監視システム（探知機器、及び／もしくは、安全確保機器）は正規の無線ステーションが許可されたアクセス点に接続する（即ち、認証してアソシエートする）時に使う信任状を持っている。具体的な実施形態では、信用状は安全確保機器で（例えば、ハードディスクやフラッシュメモリ他、といった恒久的な記憶装置上に）保守されている。信用状は、探知機器にコンピュータネットワーク上で（例えば、設定データの一部として）（好ましくは暗号化されて）転送されて、探知機器の揮発性メモリ（例えばＲＡＭ）に保存される。信用状の種類は、どんな型の認証メカニズムが正規の無線ステーションと許可されたアクセス点の間で用いられているかによる。例えば、信用状はＷＥＰキーである。信用状の他の例としては、安全保障認可証、パスワード、ＳＩＭ（加入者身元モジュール）カード、などが挙げられる。これらは、通常ＥＡＰに基づいた認証、例えば、８０２．１１ｘや８０２．１１ｉに記述されている、ＥＡＰ上のＴＬＳ，ＥＡＰ上のＳＩＭ，ＥＡＰ上のケルベロスなど、に用いられる。
【０１０８】
ステップ８０２では、探知機器が与えられた信用状（即ち、「正しい」信用状）を用いてアクセス点との認証を試みる。ステップ８０３に示されている通り、認証が不成功の場合、アクセス点は許可されていないものと推察される。しかし、認証が成功した場合でも、アクセス点が許可されているものと確信を持って推察することは可能でない。これは、このアクセス点が実際に信用状を照合すること無しに、無抵抗に、いかなる機器に対しても接続を許可しているから認証が成功した可能性があるからである。
【０１０９】
こういったケースを検知するために、ステップ８０４では、探知機器はアクセス点と、「正しくない」信用状を使って、認証を試みる。ステップ８０５に示されている通り、認証が成功した場合、アクセス点は許可されていないものと推察される。
【０１１０】
手法８００の様々な代替実施形態が可能である。また、ステップは、加えられたり、削除されたり、入れ替えられたりする。例えば一つの実施形態では、正しくない信用状を用いたテストが正しい信用状を用いたテストの前に実施される。他の代替実施形態には、しばしば、許可されていないアクセス点がこれらのテストで検知されることを逃れるために予測可能なパターンを悪用できないように正しい信用状を用いたテストと正しくない信用状を用いたテストの実施順番を入れ替えること、他のテストに移る前に、正しい信用状を用いたテストと正しくない信用状を用いたテストのそれぞれを（好ましくは、回数をしばしば変えたり、回数を乱数／疑似乱数で替えたり、選ばれたりするようにして）立て続けに数回繰り返すこと、などが含まれる。
【０１１１】
いくつかの実施形態では、アクセス点が、顧客無線ステーションのＭＡＣアドレスに基づいて、アクセスコントロールを導入する。許可されたアクセス点がＭＡＣアクセスコントロールを導入すると、探知機器のＭＡＣアドレスが許可一覧表に含まれる。従って、探知機器からの認証要請が、許可されていないアクセス点へのＭＡＣアクセスコントロールのために、エラーメッセージを受けたり、メッセージが来なかったりした場合、それそのものがアクセス点が許可されていないものであることの現れとなる。代わりの特定の実施形態では、探知機器は、アクセス点との接続を試みたり、成功したりした無線ステーションのＭＡＣアドレスを偽造する。つまり、探知機器は無線ステーションのＭＡＣアドレスを、アクセス点に送信された認証要請メッセージ内の発信元アドレスとして使い、また、そのＭＡＣアドレスにアクセス点から送信された認証反応メッセージを受信（処理も）する。
【０１１２】
安全を確保されるべき安全でない空域の広範囲を、安全監視システムがカバーすることを保証するために、探知機器の（指定区域のレイアウトに対しての）適切な空間的な配置、が要求される。つまり、安全でない空域に開いた穴がないこと、である。この発明は、探知機器が、安全を確保されるべき安全でない空域を十分にカバーするかどうかを、少なくとも、指定区域のレイアウトに対する探知機器の位置と無線通信範囲に基づいて決めること、を規定する。コンピュータモデル内の、レイアウトと探知機器の位置の情報を用いて、探知機器それぞれの無線通信範囲が計算（予測）される。有利にも、予測された無線通信範囲は（例えば安全確保機器に接続された）表示機器のユーザーインターフェースに、指定区域のレイアウトに対して、探知機器によって安全を確保されるべき安全でない空域を視覚的な形で図解するために、表示される。特定の実施形態によると、この方法では、予測された無線通信範囲が、安全を確保されるべき安全でない空域を十分にカバーするかどうかを（例えば、視覚的な図解、や、プログラムによる計算、に基づいて）決定できる。特定の実施形態による、探知機器がカバーする無線範囲を計算して表示する手法９００が図９Ａに示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この手法９００はステップ２１２に用いられる。
【０１１３】
示されている通り、ステップ９０２は指定区域のコンピュータモデルを提供できる。このコンピュータモデルは指定区域のレイアウトの構成要素（例えば、物理的な寸法、素材、場所、など）を含むことができる。レイアウトの構成要素は、これらに限定されないが、部屋、壁、仕切、ドア、窓、廊下、家具、エレベーターシャフト、中庭、床、駐車場、木の葉、などを含む。特定の実施形態では、指定区域のレイアウトが表示機器のユーザーインターフェースに表示される。例えば、図９Ｂはコンピュータ画面に表示された指定区域のレイアウトの例である。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。示されている通り、レイアウト表示はレイアウトに関した情報を含む。この実施形態では、異なる素材の構成が異なる線の模様で示されている。例えば、壁９２２は煉瓦で出来ているかもしれない、壁９２４はコンクリートで出来ているかもしれない、ドア９２８は木で出来ているかもしれない、窓９３０はガラスで出来ているかもしれない、柱９３２はシートロックで出来ているかもしれない。この実施例ではレイアウト内の様々な物体の寸法（例えば、コンクリート壁９２４の寸法９２６Ａと９２６Ｂ）が示されている。この画面では、９３４Ａから９３４Ｄの複数個のプルダウンメニューが、使用者がレイアウト画に注記を付けるのに役立っている、つまり、コンピュータモデルにレイアウトの構成要素に関しての情報を提供している。加えて、人的活動が活発な領域９３６（例えば、来客エリア、コピールーム、食堂、廊下、ほか）に関する情報もコンピュータモデルに含まれることが出来る。予期された人口密度、人々の移動特徴、その他も（図９Ｂには示されていないが）含まれることが出来る。
【０１１４】
ステップ９０４は、一つまたは複数の探知機器に関する情報をコンピュータモデルに入力できる。たとえば、入力情報はレイアウト上の探知機器の位置を含む。加えて、入力情報はまた、探知機器のハードウェアの情報（例えば、アンテナ型、受信検出感度）、ソフトウェアの情報（例えば、サポートされた予防処置のタイプ）、動作特性情報（例えば、送信電力、走査パターン）などを含む。特定の実施形態では、探知機器に相当する表示（例えばアイコン）が（例えばコンピュータマウスを用いて）アイコントレイからドラッグされ、レイアウトの表示の選択された場所にドロップされる。例えば、図９Ｂでは、探知機器アイコンは画面９３８Ａからドラッグされて、レイアウト図の選択された位置にドロップされる。画面９３８Ｂは探知機器の追加的な情報を提供するために用いられる。例えば、選択された探知機器に相当するアイコンをクリックすることで上述の画面が浮かび上がることも可能である。
【０１１５】
ステップ９０６は少なくとも指定区域内の一部、もしくは近傍での、探知機器の信号強度特性を決定することが出来る。好ましくは、無線信号伝搬モデル（例えば、光線飛跡モデル、確率的無線伝搬モデル、ほか）を用いたコンピュータシミュレーションが信号強度特性を計算するのに用いられる。特に、この方法は、指定区域のレイアウト内、もしくは、近傍、の複数個の場所から拡がる送信から各探知機器に受信された信号強度を決定できる。無線伝搬の可逆性特性から、この信号強度はまた、探知機器からの送信が各位置で受信された場合の信号強度も意味する。好ましくは、信号強度特性は（以下に記述される）確率データとして計算される。
【０１１６】
ステップ９０８は、各探知機器の、一つまたは複数の検知地域範囲、そして、一つまたは複数の予防地域範囲を決定できる。特定の実施形態では、これらの領域は、探知機器の探知能力と予防能力に関した信号強度の閾値もしくは信号雑音比の閾値に基づいて決定される。探知機器が選択された無線活動の発生を検知できる実効距離は選択された無線活動の発信の電力レベルによる。探知機器が選択された無線活動の発生を防止できる実効距離は、主に、選択された無線活動の探知機器からの発信の電力レベルと、目的とする防止レベルによる。
【０１１７】
一つの実施例では、探知機器からの予防信号の発信電力レベルは不正機器からの信号の発信電力レベルよりも大きくない。その場合、検知のために探知機器が（例えば、不正機器から発信された）無線信号を聞ける実効距離は、しばしば、探知機器が、不正機器が重要な無線活動に参加することを制限（つまり、防止）できる実効距離よりも大きい。この相違は無線通信の信号雑音比（ＳＮＲ）とパケット損失動作から由来する。探知機器から「遠い」無線機器（例えばリンク信号強度が−８５ｄｂｍ、もしくは、ＳＮＲが５ｄｂ）では、リンクパケット損失率はとても高く（例えば９０％）なり得る。従って探知機器は、無線機器から少なくとも数個のパケットを「聞い」たり解読できるので、無線機器の存在を検知できる。しかし、探知機器が無線機器に関する無線通信を禁止しようとする場合、高いリンクパケット損失のため成功しない。言い換えれば、探知機器から無線機器を制限するために送信されたパケットの多くは、実際、無線機器に到達せず、従って無線機器に望ましい効果を与えることができない。
【０１１８】
様々は無線機器での多数の実験に基づいて、実際の防止の範囲は、無線通信から制限されるべき無線機器の特性によることが観察された。これは、異なる無線機器は異なるアンテナ特性、受信検出感度、受信機特性、ＭＡＣプロトコル実装、その他、を持つからである。従って、探知機器は、一つの製造提供元の無線機器を制限出来るかもしれないが、一方で等距離にある別の製造提供元機器を制限できないかもしれない。もしくは、探知機器はある製造提供元の一つのモデルを制限できる一方で、等距離にある同じ製造提供元の別のモデルを制限できないかもしれない。また、我々は、実際の防止の範囲が周囲の雑音によることも観測した。これは、高い雑音レベル（もしくは、同等に、低いＳＮＲ）では、パケット損失率が上昇することからきている。
【０１１９】
我々の実験から防止の範囲はまた、アプリケーションにもよることが観測された。これは、一つのアプリケーションを機能させなくするために課されるパケット損失率がアプリケーションのそれぞれのタイプ（例えば、ＴＣＰ，ＵＤＰ，もしくはＩＣＭＰ）で異なることによる。例えば、ＴＣＰファイル転送を中断させるにはＩＣＭＰピンを確実に阻害するＳＮＲより低いＳＮＲで可能である。
【０１２０】
特定の実施形態では、防止領域は特定の目的を対象として決められる。目的の例としては、これらに限定されないが、（例えば、特定の製造提供元の機器、特定のアンテナ特性を持つ機器、など）特定の型の侵入機器を制限する、夜間のみ無線機器を制限する（すなわち、低い雑音環境）、特定の受信検出感度を持つ無線機器を制限する、ＴＣＰ通行のみを中断させる、特定のパケット損失率を課す、などである。検知能力は主に無線機器の送信電力レベルとアンテナ特性による。
【０１２１】
様々な目的を達成するための防止信号強度の閾値は、検知信号強度の閾値も、制御された実験室環境での実験に基づいて決定され、ライブラリに保存される。ライブラリは受信地域の検知領域と防止領域を決定する場合に参照される。
【０１２２】
特定の実施形態によると、もし送信機がそれらの位置におかれた場合、探知機器によって受信される信号電力が検知信号強度閾値より高くなるように、レイアウト内もしくは近傍の位置のセットが、特定される。この位置のセットが受信地域の検知領域を構成する。加えて、もし送信機がそれらの位置におかれた場合、探知機器によって受信される信号電力が防止信号強度閾値より高くなるように、レイアウト内もしくは近傍の位置のセットが、特定される。この位置のセットが受信地域の防止領域を構成する。
【０１２３】
ステップ９１０は、受信地域の検知領域と受信地域の防止領域を、指定区域のレイアウトと結びつけて、別々に、もしくは同時に、表示する。例えば図９Ｃは、レイアウト９２０と結びつけて図解された、受信地域の検知領域と防止領域のコンピュータディスプレイ９４０の例である。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。特定の実施例が述べられたが、様々な代案が可能である。また、手法９００ではステップは加えられたり、削除されたり、入れ替えられたりできる。
【０１２４】
図９Ｃに見られる通り、探知機器（「センサ」とも呼ばれる）が位置９４２に示されている。受信地域の検知領域９４６と受信地域の防止領域９４４が示されている。望ましい実施形態では、領域９４４と９４６は異なる色で示されていて、色の凡例９４８が提供されている。別の実施形態では領域９４４と９４６は別々の図で、それぞれがレイアウトと結びつけて示されている。別の実施形態では、領域は異なる塗りつぶし模様で、等高線で、一つまたは複数の色の漸次的変化、他、で示されている。望ましくは、受信地域の検知領域は受信地域の防止領域より大きい。「防止信頼性」指標９５２が、防止処理によって侵入機器に課される混乱の程度を選ぶのに用いられる。ある特定の実施形態では、混乱の程度は侵入機器に課されるパケット損出率に相当する。
【０１２５】
特定の望ましい実施形態ではステップ９０６と９０８で、特定の場所に計算された信号強度が閾値の上であるか下であるかを決めると同時に、信頼性の指標が用いられる。つまり、特定の場所のために計算された信号強度が検知閾値もしくは防止閾値以上である確率が計算され、その場所は確率が十分大きい場合（例えば、目的とする信頼性が高い場合は９０％、目的とする信頼性が低い場合は３０％）にのみ、それぞれのセットに含まれる。これは、予測の不確実性と、無線通信環境に固有な信号の偏差を計上するために、そして、使用者に現実的な安全保障範囲の解析を提供するために行われる。望ましい信頼性の程度は使用者によって、例えばパーセンテージの値を、画面に表示されたプルダウンメニュー、（例えば図９Ｃではラベル９５０で示されている）スライダーバーなどを用いて、入力することで選択される。確率は（後述する）信号強度の確率モデルに基づいて計算される。
【０１２６】
図９Ｄは二つの探知機器が９６２と９６４におかれた場合の、組み合わされた検知領域と防止領域、それぞれ９６６と９６８、を図解するコンピュータ画面９６０の例を示す。示されている通り、組み合わされた検知領域９６６はフロア全体を覆う、一方で組み合わされた防止領域９６８はフロアの殆どを覆う。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。
【０１２７】
別の実施形態では、探知機器からの防止信号の送信電力レベルは、不正機器からの信号の送信電力レベルよりも大きくできる。すると、検知のために探知機器が（例えば不正機器から送信された）無線信号を聞くことができる実効距離は、探知機器が、不正機器が重要な無線通信に参加することを制限（つまり、防止）できる実効距離、より小さくすることができる。この実施形態では、好ましくは、一つの探知機器の、検知距離外だが防止距離内にある不正機器はしばしば第２の探知機器によって検知される。不正機器の身元情報に関した表示が第１の探知機器に転送されて、第１の探知機器が防止処理を実行する。
【０１２８】
本発明の一つの観点によると、使用者は、探知機器からの防止信号の発信電力レベルの値をコンピュータモデルに入力することができる。使用者はまた、コンピュータモデルに、探知可能な不正無線機器の発信電力レベルの値（もしくはその下限）を入力することもできる。受信地域の検知領域と防止領域は、そして、適宜に計算され、空間的なレイアウトと結びつけられて表示される。本発明の他の観点によると、探知機器の発信地域（例えば、複数点で受信された探知機器からの信号電力レベル）も表示できる。
【０１２９】
探知機器は、上記のように決定された位置に、物理的に展開できる。この方法は、さらに、正規のネットワーク機器（例えば、アクセス点、無線ステーション）に関した情報をコンピュータモデルに入力することを含む。その情報は、レイアウト上の位置情報、アクセス点ハードウェア（例えば、製造提供元、型番、アンテナタイプ、等）、ソフトウェア（例えば、ファームウェアとソフトウェアのバージョン）、そして、動作特性（例えば、８０２．１１プロトコルの型、ａ，ｂ，もしくはｇ、送信電力など）を含む。一つの特定の実施例では、アクセス点機器に相当する表示（例えばアイコン）がアイコントレイから（例えばコンピュータマウスを用いて）ドラッグされ、レイアウトの表示の選択された場所にドロップされる。アイコンをクリックすることでアクセス点機器の情報を入力するための画面が浮かび上がることも可能である。
【０１３０】
別の特定の実施形態では、探知機器が物理的に展開された後、少なくとも探知機器で検知された正規のアクセス点機器に関する表示がレイアウトの表示にプログラムで設置される。つまり、正規のアクセス点はそれに関する無線活動を探知機器が検知することによって確認される。一つまたは複数の探知機器に受信された信号強度に基づいて、正規のアクセス点機器のレイアウト上の物理的な位置が計算される（後述）。少なくとも計算された位置を用いて、レイアウト上の適切な場所に表示がおかれる。例えば、正規のアクセス点の表示は、計算された位置に基づいてレイアウト上に配置され、使用者が補助的な情報（例えば、正規のアクセス点の正確な位置に関して使用者に入手可能な事前情報）に基づいて位置表示のさらなる調節（例えば、コンピュータマウスでアイコンをドラッグすることで位置を細かく調整する）を行う。また別の例として、補助的な情報はプログラムでアクセス点位置表示を細かく調整するために用いられる（例えば、補助的な情報から知られた位置で、そのアクセス点の計算された位置に一番近い場所にアクセス点表示が置かれる。）例えば、補助的な情報はネットワークの計画段階から入手可能になり得る。正規のアクセス点の各々に関した特性のセット（例えば、ＭＡＣアドレス、製造提供元、セキュリティーの設定、ＳＳＩＤ，動作の無線通信路、無線の型  ａ，  ｂ，もしくはｇ、等）がまた、プログラムで、探知機器観測に基づいた表示と共に、提供される。例えば、アクセス点アイコンをクリックすると、（探知機器観測で得られた）特性セットの情報を提供する窓が表示される。
【０１３１】
この方法はさらに指定区域の少なくとも一部またはその近傍でのアクセス点の信号強度特性を決定することを含む。好ましくは、無線信号伝搬モデル（例えば、光線飛跡モデル、確率的無線伝搬モデル、ほか）を用いたコンピュータシミュレーションが信号強度特性を計算するのに用いられる。特に、この方法は、各々のアクセス点から拡がる送信を、指定区域のレイアウト内、もしくは、近傍、の複数個の場所で受信した信号強度を決定できる。この方法はさらに、正規のアクセス点の各々の無線範囲に関した表示を、指定区域のレイアウトに対して、表示機器のユーザーインターフェースに表示することを含む。信号強度計算から得られた他の表示、リンク速度表示、インターフェイス表示、チャンネル割り当て表示、その他も可能である。
【０１３２】
図９Ｅは、探知機器とアクセス点の選択された配置のコンピュータ画面９８０の例である。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。示されている通り、探知機器Ｓ１，Ｓ２，Ｓ３とアクセス点ＡＰ１，ＡＰ２，ＡＰ３がレイアウト上に示されている。コンピュータ画面は指定区域のレイアウトに対してのＡＰ１の無線範囲を図解している。示されている通り、境界線９８２と９８４で区切られた３つの領域は、ＡＰ１から発信される信号の３つの強度に相当する。各々の領域が信号値の範囲に相当する。（例えば、最初の領域は信号強度が「−２５ｄＢｍ以上」に相当し、２番目の領域は「−２５ｄＢｍから−５０ｄＢｍの間」に相当し、３番目の領域は「−５０ｄＢｍ以下」に相当する。）一つの実施例では、信号強度の領域は異なる色で示されていることもできる。別の実施例では、信号強度の領域は異なった塗りつぶし模様、等高線、及び／もしくは、色の漸次的変化で示されていることもできる。複数の正規無線機器の信号強度領域が同じコンピュータ画面に表示されることもできる。
【０１３３】
特に、かくのごとく、この方法は、正規のアクセス点のどれが、それぞれの探知機器によって検知されるかを決定できる。例えば、探知機器Ｓ１とＳ２の受信検出感度が−５０ｄＢｍであったとする。その場合、上述の例では、ＡＰ１は探知機器Ｓ１によって検知されるが探知機器Ｓ２によっては検知されない。本発明の方法の一つの観点によると、検知可能な正規のアクセス点の一覧からなる基準データが無線範囲計算に基づいて各探知機器に対して作られる。例えば、ＡＰ１は探知機器Ｓ１の基準データには検知可能と表示される、一方で、ＡＰ１は探知機器Ｓ２の基準データには検知可能として表示されない。加えて、基準データはその上、探知機器が検知可能なアクセス点から予想する受信信号強度を含む。この例では、Ｓ１でのＡＰ１からの予想された受信信号強度は「−２５ｄＢｍから−５０ｄＢｍの間」としてＳ１の基準データに表示される。
【０１３４】
特定の実施形態では、この方法は、探知機器を用いてアクセス点からの無線活動を捕捉しだい、アクセス点の身元情報がその探知機器の基準データに含まれているかを決定することができる。加えて、探知機器は、無線活動からの受信信号強度を決定（例えば、測定）でき、対応するアクセス点の基準データ内の受信信号強度と比較することができる。もし、基準データとの何らかの矛盾が検知された場合（例えば、アクセス点の身元情報が検知可能として表示されていない、及び／もしくは、受信信号強度が基準データを較べて高すぎるもしくは低すぎる）、捕捉された無線活動は拒否されるべきものであると推察される。上述の実施形態は、有利に、（通常システム管理者からの許可無しの正規のアクセス点の物理的な位置の変化、正規アクセス点のアンテナの変更、空域内に正規のアクセス点になりすました不正アクセス点が存在すること（すなはち、ＭＡＣなりすまし）などの事象を検知できる。特に、この方法は、ＭＡＣなりすましを、純正のアクセス点が動作していなくて、なりすましたアクセス点のみが動作している時であっても検知できる。これは、ＭＡＣなりすましを検知するためには純正のアクセス点となりすましたアクセス点の両方が運転中であることを必要とする従来の技法に対して意義深い有利性である。
【０１３５】
上述の実施形態は、探知機器／アクセス点の信号強度特性を予測することを含む。特定の実施形態によると、受信範囲予測のための信号強度は「光線飛跡」シミュレーション方法を用いて計算される。光線飛跡法は、１９９３年に第４３回ＩＥＥＥ  自動車技術会議で発表された、ＡＴ＆Ｔベル研究所のレイナルド  バレンズエラの「屋内無線発信を予測するための光線飛跡方法」という題の論文に記述されている。この方法では、ある位置の送信機から拡がって、（信号が反射を経験したり、レイアウト内の障害物を通過した後）別の位置で受信された信号の強度｛例えば電力）が計算される。無線伝搬の可逆性特性から、この信号強度はまた、送信機と受信機の位置が入れ替わった場合の信号強度にも相当する。
【０１３６】
送信機から任意の方向で、ある参照距離「Ｋ］での信号強度が「Ｐ＿Ｋ」だとする。信号強度は、ｄＢｍとして知られるデシベルという単位で計測される。１ｄＢｍ＝１０Ｌｏｇ（ワットでの電力／１ミリワット）である。送信機が指向性アンテナを使っている場合、任意の方向での参照距離「Ｋ］での信号強度はその方向の関数でもある。
【０１３７】
信号が送信機から「ｄ０＋Ｋ」の距離を走行して、信号が反射や障害物を経ない場合、位置「Ｄ０」での信号強度「Ｐ＿Ｄ０」の典型的な方程式は以下のようになる。
［数１］
Ｐ＿Ｄ０（ｄＢｍ）＝Ｐ＿Ｋ（ｄＢｍ）−ｎ＊１０ｌｏｇ（ｄ０／Ｋ）
ｎは電磁波の伝搬損失に関連した指数である。例えば、ｎ＝２、もしくは、ｎ＝１．７である。
【０１３８】
信号が送信機から「ｄ１＋Ｋ」の距離を走行して、障害物「Ｌ１」による損失を経た後の、位置「Ｄ１」における信号強度「Ｐ＿Ｄ１」の典型的な方程式は以下のようになる。
［数２］
Ｐ＿Ｄ１（ｄＢｍ）＝Ｐ＿Ｋ（ｄＢｍ）−ｎ＊１０ｌｏｇ（ｄ１／Ｋ）−Ｌ１（ｄＢｍ）
【０１３９】
信号が送信機から「ｄ２＋Ｋ」の距離を走行して、障害物「Ｌ１」「Ｌ２」による損失を経て、反射「Ｒ１」による損失を経た後の、位置「Ｄ２」における信号強度「Ｐ＿Ｄ２」の典型的な方程式は以下のようになる。
［数３］
Ｐ＿Ｄ２（ｄＢｍ）＝Ｐ＿Ｋ（ｄＢｍ）−ｎ＊１０ｌｏｇ（ｄ２／Ｋ）−Ｌ１（ｄＢｍ）−Ｒ１（ｄＢｍ）−Ｌ２（ｄＢｍ）
【０１４０】
任意の場所「Ｄ」での、全ての可能な信号要素からの信号強度は同様に計算されて、場所「Ｄ」での、全体の信号強度の予測を生成するために加算される。
【０１４１】
「Ｌ１」、「Ｒ１」、そして「Ｌ２」といった変数の正確な数量化はしばしば難しく不正確である。加えて、多くの場合、使用者は、例えばレイアウト内の物体の寸法や素材に関しての適切な情報を、電磁波信号強度予測に必要な程度の精度まで、持たないもしくは提供しない。
【０１４２】
一つの実施形態では、確率的なモデル（例えばガウシアン確率分布）がそういった不確実性を説明するために用いられる。この確率的なモデルは、レイアウト内の物体の電磁的特性（例えば反射損失、通過損失、等）に関した固有の不確実性と、レイアウト内の物体の不適切な指定から生じる不確実性も考慮することができる。一つの実施形態では、これらの変数のそれぞれにガウシアン確率分布を用いて形に表すことができる。物体の種類と寸法が様々であることによる通過損失と反射損失に関した確率分布の平均値と分散は、室内実験に基づいて決定でき、データベースに保存される。
【０１４３】
別の実施形態では確率モデルは、環境変化（例えば、人々の動き）から生じる信号変化を考慮することができる。例えば、人的活動が活発な領域（例えば、食堂、廊下、会議室）を通過する信号経路は信号強度の変動が大きい。アンテナ放射パターン、及び／もしくは、機器の方向、の不正確な知識といった信号の不確実性や変動に寄与する他の型の要素も、これらの要因による信号損失に適切な分散を割り当てることによって考慮することができる。受信点での合計の信号強度は、その後、受信点に送信点から到達する全ての信号経路による信号強度を、それぞれの平均値と分散の和をそれぞれ平均値と分散として持つガウシアン確率分布を用いて形に表すことができる。
【０１４４】
図１０は無線信号受信範囲を予測する典型的な手法１０００を図示する。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この方法の特定の実施例が、他の実施形態が可能であるが、述べられている。特に、別の実施例では、ステップは加えられたり、削除されたり、入れ替えられたりする。手法１０００はステップ２１２に用いられる。手法１０００ではステップ１００２が発信点から受信点への信号光線の経路を計算できる。一つの実施例では、経路は光線飛跡技術を用いて決定される。直接の経路も、発信点から受信点の間を進行する間に一つまたは複数の反射を経る経路も計算される。
【０１４５】
各信号経路は受信点に到達するまでに一つまたは複数の障害物を横断（つまり通過）する。従って、ステップ１００４では、受信点に到達する各信号経路の平均の信号強度が、通過点と反射点での信号減衰（損失）を考慮されて計算される。一つの実施例ではステップ１００２と１００４の減衰値は、実験室環境での実験結果を用いて構築されたライブラリに保存された値から取られる。
【０１４６】
ステップ１００６では、各信号経路で、通過と反射の各々に対する減衰値に、分散が割り当てられる。一つの実施例では、分散は、通過や反射に関連した物体の素材特性による。例えば、コンクリート壁の通過減衰分散はガラス壁のそれよりもかなり大きい。鋼鉄の構造がコンクリート壁に埋め込まれている場合もある。この埋め込み情報は通常ネットワーク管理者やエンドユーザには知られていなく、従ってレイアウトのコンピュータモデルには明記されていない。従って、コンクリート壁を通した通過減衰の予測には大きな不確実性がある。
【０１４７】
別の実施例では、分散は、通過に関連した物体の寸法による。また別の実施例では物体の特性がレイアウトのコンピュータモデルに明記されている正確性の程度による。例えば金属製の物体からの反射に関した分散は木製の物体からのそれよりもかなり小さい。つまり、金属は電磁波の優れた反射体である。従って、金属製の物体での反射損失はよりよい精度で予測でき、分散が小さい。また別の実施例では、分散は、また、信号経路が人的活動が活発な領域（例えば、廊下、会議室、食堂、コピー室、トイレ）を通ること、に対応して割り当てられる。さらにまた別の実施例では、分散は、ドアや窓といった、開いているか、閉じているか、部分的に開いているか、などによって異なる電波伝搬作用を持つ物体を信号経路が通ること、に対しても割り当てられる。
【０１４８】
ステップ１００８では、受信点での平均信号強度が、発信点から受信点への全ての信号経路からの平均信号強度の和として計算される。ステップ１０１０では、受信点での信号強度の分散が、発信点から受信点への全ての信号経路からの信号強度の分散の和として計算される。ステップ１０１２では、受信点での信号強度が、計算された平均値と計算された分散値を持つガウシアン確率分布で形に表すことができる。
【０１４９】
一つの実施例では、信頼度が予測に結び付けて考えられる。信頼度（信号確実性指数とも呼ばれる）は使用者によって選択される（例えば、低−中−高、や、パーセンテージで示される。）例えば、ある信頼度が与えられた場合、推定（予測）されて受信点に提供される信号強度の値は、推定された値より実際の信号強度が大きい確率が少なくとも信頼度に等しいようになっている。その確率は信号強度の確率分布に基づいて計算される。
【０１５０】
本発明による方法は、また、予測された無線受信範囲と、一つまたは複数の探知機器での無線活動で実際に（つまり観測された）受信信号強度に基づいて、無線活動の発信元の物理的な位置を（例えば選択された程度の確信もしくは確率で）決定（つまり予測）できる。有利に、拒絶されるべき無線活動が検知された場合、無線活動の発信元の物理的な位置が決定され、その位置の表示が、指定区域のレイアウトに対して、コンピュータ画面に表示される。例えば、不良アクセス点によって発信されたビーコンパケットや別のパケットが検知された場合、不良アクセス点の物理的な位置の表示がレイアウト上に示される。他の例としては、不正無線ステーションからのサービスの却下攻撃に関連した無線活動（例えば認証／アソシエーション洪水攻撃、反認証／分離洪水攻撃，ＮＡＶ攻撃、など）が検知された場合、そのステーションの物理的位置の表示がレイアウト上に示される。これは、不正機器を追跡して捉えること、例えばネットワークから物理的に除去すること、を促進する。送信機の物理的位置を決定する手法１１００が図１１に図解されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。特に手法１１００はステップ２２０に用いられる。
【０１５１】
最初のステップ（１１０２）は局所的な指定区域のコンピュータモデルを提供することである。第２のステップ（１１０４）は、一つまたは複数の探知機器の物理的位置についての入力を、指定地区域のコンピュータモデルに提供することである。
【０１５２】
次のステップ（１１０６）は、指定区域の少なくとも一部の、一つまたは複数の探知機器に関連した信号強度特性（信号強度モデルと言われる）を計算できる。特に、指定区域内の複数個の位置の各々から拡がる無線送信からの、一つまたは複数の探知機器での受信信号強度が計算される。この計算は、コンピュータモデルで入手可能なレイアウトの構成要素に関した情報を考慮する。一つの特定の実施例では、信号モデルは、これに限定されないが、光線飛跡を含む技法を用いてシミュレーションで出された受信信号強度の予測に基づいている。別の特定の実施例では、信号モデルは、発振器が複数個の場所に同時に置かれて、一つまたは複数の探知機器での受信信号強度が記録された実地調査で得られた観測信号強度データに基づいている。内挿法、外挿法、曲線の当てはめ、といった技法が観測データを用いて信号強度モデルを作成するのに用いられる。予測技法と観測技法の組合せもまた用いられる。例えば、一つの特定の実施例では、信号強度観測は、既知の位置基準（例えば他の探知機器、アクセス点ほか）から拡がる発信に基づいて記録されて、これらの観測が予測信号強度モデルを微調整するのに用いられる。実地調査も予測信号強度モデルを微調整するのに用いられる。
【０１５３】
次のステップ（１１０８）は、無線ステーションの物理的位置を、一つまたは複数の探知機器で執行された受信信号強度計測と信号強度モデルに基づいて決定する。特に、無線ステーションが指定区域内の一つまたは複数の場所に位置する確率が決定される。
【０１５４】
ステップ１１１０では、上で計算された確率、もしくは、それに比例する値が、指定区域のレイアウトに対して、コンピュータ画面に示される。特定の実施例では、異なる確率、もしくは確率の範囲が、複数個の色、一つまたは複数の色の漸次的変化、異なる塗りつぶし模様、領域、等高線などで示される。
【０１５５】
受信信号強度モデルを作り、無線ステーションが指定区域の一つまたは複数の位置にある確率を決定するための本発明の一つの特定の実施形態が図１２を参照して述べられている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この手法１２００はステップ２２０に用いられる。手法１２００のステップ１２０２では指定区域（例えばコンピュータモデル内）の少なくとも一部が複数個のセルに分割される。セルの各々は四角形、円形、六角形もしくは他の任意の適切な形をしている。セルはできるだけ小さい寸法でなくてはならない。（例えば１ミリ四方の正方形）。セルは通常、区域と言うよりは点を意味する。セルはコンピュータ表示で、適宜、２次元座標（例えばｘ座標とｙ座標）もしくは３次元空間座標（例えば、ｘ、ｙ、ｚ座標）を用いて描かれる。
【０１５６】
ステップ１２０４では信号モデルが、各セルから拡がる既定の強度レベル（例えば、０ｄＢｍ）の発信からの探知機器各々での受信信号強度を象徴するように作られる。環境条件、様々な障害物の素材の不明確な情報、指定区域内での人々の動き、異なる製造提供元の無線ステーションの信号発信特性違い、アンテナ放射パターン、機器の方向、など、といった様々な要因による、実用的な配置での受信信号強度の変動を考慮するために信号モデルは好ましくは受信信号強度の確率密度関数を意味する。確率密度関数は、受信信号強度が、既定の区間内にある確率を表す。例えば、確率密度関数はガウシアン密度関数である。
【０１５７】
ステップ１２０６（通常、特定の無線ステーションの位置決定時に執行される）では無線ステーションから拡がる送信の受信信号強度が一つまたは複数の探知機器で計測される。
【０１５８】
ステップ１２０８では、セル座標（ｘ、ｙ）から拡がる送信の受信信号強度が、一つまたは複数の探知機器で計測された各受信信号強度の周りの小さい範囲内である確率として定義された「位置密度」Ｌ（ｘ，ｙ）が計算される。この計算は先のステップで計算された受信信号強度の確率密度関数に基づいて行われる。この計算に必要な発信電力レベル「Ｐ」はしばしば無線ステーション内の無線送信機の製造提供元情報によって決定される。製造提供元情報は無線ステーションのＭＡＣアドレスの最初の３バイトから導かれる。条件付き確率の原理から、無線ステーションがセル（ｘ、ｙ）にある確率はＬ（ｘ，ｙ）に比例する。Ｌ（ｘ，ｙ）の値、もしくは、Ｌ（ｘ，ｙ）に比例する他の値は、その後、ステップ１２１０で指定区域のコンピュータ表示に、複数個の色、一つまたは複数の色の漸次的変化を用いて、示される。代わりに、これらの値の様々な範囲が示されることもある。
【０１５９】
上述の方法の特定の実施例では、「Ｐ］の値が無線送信機の製造提供元情報から決定できない場合、例えば、その製造提供元の送信機がいくつかの可能な送信電力を持つ場合、追加のステップが実施される。このステップは「仮説テスト」の原理に基づいている。このステップでは、Ｌ（ｘ，ｙ）の値が、上述の無線送信機で送信できる全ての送信電力に対して計算される。「最尤推定」の原理に基づいた特定の実施例では全てのセルでのＬ（ｘ，ｙ）の値が各電力レベルに対して加えられ、和が最大になる電力レベルが送信電力の推定とされる。一つの実施例ではこの最も有望な送信電力のＬ（ｘ，ｙ）が表示される。別の実施例では、任意のセルに表示された値は、可能な送信電力の全ての場合についてそのセルでのＬ（ｘ，ｙ）の和をとった値に比例する。仮説テストの原理は、これに限定されないが、無線ステーションのアンテナ方向を含む要因を考慮する場合にも適用できる。物理的位置を決定／表示する方法の特定の実施例が述べられたが、様々な代替案が可能であって、当業者には明白である。また、ステップは加えられたり、削除されたり、入れ替えられたりする。
【０１６０】
図１３Ａは、本発明の実施例による、指定区域のレイアウトに対する位置確率を図示するコンピュータ画面１３００の例を示す。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。単に一例として示されている通り、異なる確率範囲（例えば、それぞれ、０．８以上、と０．６以上）に相当する二つの領域１３０２と１３０４が示されている。入力画面１３０６（例えば、スライダーバー）を用いて使用者は位置尤度レベルを選ぶことができる。典型的な特定の実施例では、選択された位置尤度が大きいと、位置密度が大きいセルが表示される。これは、有利に、（例えば、位置尤度レベルに、より大きい値を選ぶことで）最も可能性が高い位置に出力ゼロ化できる、もしくは、（例えば、位置尤度レベルに、より小さい値を選ぶことで）より幅の広い分布を見ることができる。入力画面１３０８を用いて使用者は自身が望む、最も可能性が高い位置の区域を指定することができる。
【０１６１】
図１３Ｂは、本発明の別の実施例による、指定区域のレイアウトに対する位置確率を図示するコンピュータ画面１３２０の例を示す。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。示されている通り、画面例１３２０は画面例１３００に較べて低い位置尤度レベルに相当する。
【０１６２】
不正の（例えば拒絶されるべき）無線活動の源の表示を提供する事に加えて、本発明の観点による技法は、不正無線活動に関連した一つまたは複数の無線機器による無線通信の試行を、電子的に、無効にする、中断する、制限する、禁止することができる。（「オーバー・ディ・エアー」、もしくは「ＯＴＡ阻止」と呼ばれる。）ＯＴＡ阻止の効力によって、有利に、検知された不正の無線機器がネットワークから恒久的に（例えば物理的に）除去されるまで、その機器がローカルエリアネットワークに侵入したり、サービスの却下攻撃をすることを、未然に防ぐことができる。従って、例えば、侵入機器が夜中に検知された場合、その機器は、例えばシステム管理者が朝到着して、（例えば前述された位置指摘方法によって）物理的に追跡し、ネットワーク近傍から除去されるまで、通信を制限される事が可能である。
【０１６３】
従来のＯＴＡ阻止技法が、力ずくの、その場限り（即ち、無線ジャミングやパケット衝突に基づいて、その結果、無線通信路全体を閉鎖する）であるのに対し、本発明の方法によるＯＴＡ阻止方法は不正機器を選択的に無効にすることができる。加えて、本発明は効率的なＯＴＡ阻止方法を提供する。つまり、不正機器の通信能力に対し高いレベルの途絶を、探知機器の低い計算諸経費と無線通信路での少ないパケット発信数で、達成できる。探知機器の計算諸経費が低いことで、探知機器はＯＴＡ阻止を実行している間に監視の仕事も実行できる。もしくは、探知機器が一つまたは複数の機器に対して同時にＯＴＡ阻止を実行でき、従って、複数の同時攻撃に抵抗する能力を、システムに与える。最少のパケット発信数は、ＯＴＡ阻止過程中に無線通信路を占有することがないという点で利点となる。従って、不正機器が正規の機器と同じ無線通信路で動作している場合、ＯＴＡ阻止が適用されている間にも、正規の通信は継続できる。加えて、従来のＯＴＡ阻止技法はリンクに高い背景トラフィックがある場合、素早く破綻する。
【０１６４】
従来のＯＴＡ阻止技法そのものがサービスの却下（ＤＯＳ）技法であって、従って、ＤＯＳ攻撃を緩和するのには効果的でない。本発明の方法は、不正機器がネットワークにＤＯＳ攻撃（反認証洪水、分離洪水、認証洪水、アソシエーション洪水）を開始することを抑制できるので意義深い有利性を有する。
【０１６５】
本発明によるＯＴＡ阻止技法１４００の特定の実施例が図１４に示されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この手法１４００はステップ２２０に用いられる。示されている通り、この手法は、身元情報からなる表示を受信するステップ１４０２を含む。その表示は、好ましくは、指定区域内もしくはその近傍で拒絶されるべき無線活動に関与した選択された無線機器に関連している。例えば、選択された無線機器のＭＡＣアドレスから成る身元情報である。
【０１６６】
この方法は、ステップ１４０４に示されている通り、選択された無線機器が無線通信に関与することを制限する一つまたは複数の処理を含む。その処理は、これらに限定されないが、アクセス点洪水、強制反認証、仮想ジャミング、選択的な仮想ジャミング、そして、ＡＣＫ衝突を含む。
【０１６７】
一つの特定の実施例では、無線機器の特定の動作に関する情報を保存するライブラリが構築されて、維持されている。異なる製造提供元の機器（アクセス点、ＰＣの無線カード、チップセット他）は、標準的な仕様であっても、しばしば、実装特有の動作を示す。そういった動作は、実験室の環境といった制御された環境で機器を実験することで推定される。代わりに、動作中の無線ネットワークで探知機器によってなされた観測からも推定できる。
【０１６８】
単に例であるが、ライブラリは、特定のＯＴＡ阻止技法が特定の機器に対して効果的かどうか、という情報を提供することができる。ライブラリは、単に例であって、この請求項の範囲を過度に制限するものではない。これは、一部の実装では、ＤＯＳ攻撃を制限するために特定のＯＴＡ阻止技法を特に失敗させる機構があるかもしれないので、重要である。ライブラリはさらに、特定のＯＴＡ阻止技法が特定の無線機器に対して最も効率的になるように、そのＯＴＡ阻止技法の適用中に用いられる一つまたは複数のパラメタの値に関する情報を提供する。以下のテーブルは単にライブラリの例を示す。
【０１６９】
アクセス点洪水に対して：
【０１７０】
シスコ  ＡＰ  ３５０  シリーズ：必要なアソシエーション＝１２８、ＭＡＣなりすましを検知する。
【０１７１】
プロキシム  ＡＰ  ６００  シリーズ：必要なアソシエーション＝２５６、ＭＡＣなりすましを検知しない。
【０１７２】
強制反認証に対して：
【０１７３】
シスコ  エアロネット  クライアント  カード：反認証パケットを５０ミリ秒に一度送信する。
【０１７４】
リンクシス  クライアント  カード：反認証パケットを８００ミリ秒に一度送信する。
【０１７５】
ＭＡＣアドレスが００：０Ｂ：００：００：３Ｂ：ＥＦのカード：反認証パケットを３５ミリ秒に一度送信する。
【０１７６】
仮想ジャミングに対して：
【０１７７】
シスコ  ＡＰ  ３５０  シリーズ：大きなＮＡＶ値を持つビーコンパケットを用いる。
【０１７８】
プロキシム  ＡＰ  ６００  シリーズ：大きなＮＡＶ値を持つＲＴＳパケットを用いる。
【０１７９】
ＭＡＣアドレスが００：４５：００：００：３Ｂ：ＥＦのクライアントカード：ＣＴＳパケットを用いる。
【０１８０】
リンクシス  クライアント  カード：効果的でない。
【０１８１】
ＡＣＫ衝突に対して：
【０１８２】
リンクシス  クライアント  カード：異なる前触れを用いる。
【０１８３】
シスコ  クライアント  カード：小さいＳＩＦＳと低い送信率を用いる。
【０１８４】
プロキシム  ＡＰ  ６００  シリーズ：低い送信率と、隣接した通信路の送信を用いる。
【０１８５】
前述の例に見られるように、知識ベースでは特にシスコ  ３５０  シリーズのＡＰ（アクセス点）を機能停止させるためには、合計１２８の接続要請が探知機器から送られる必要があることを示す。また、そのアクセス点がＭＡＣなりすましを検知することも通知している。つまり、アクセス点は、認証もしくはアソシエーション要請を発信した発信元ＭＡＣアドレスへＡＰから発信されたパケット（例えば認証、アソシエーション反応パケット）に応えて、ＡＣＫが発信されたかどうかを保証することによって、なりすました発信元ＭＡＣアドレスを検知することを試みる。これを説明するために、追加的なステップとして、探知機器は、最近、なりすましパケットで使用したＭＡＣアドレスへのＡＰからのパケットの通信を検知した場合、ＡＰに確認を送る。
【０１８６】
この方法は、少なくとも一つまたは複数の探知機器を用いて無線媒体に優先的アクセスを実行するステップ１４０６を含む。特定の実施例では、優先的な媒体へのアクセスは、探知機器が無線媒体に優先的なアクセスを得られるように、探知機器でのＭＡＣプロトコルに修正した、もしくは、標準外のタイミングの値を用いることを含む。つまり、探知機器からの送信は無線ネットワークの他の無線ステーションからの送信より先に起きることを保証する。例えば、ＩＥＥＥ８０２．１１ＭＡＣ基準対応の機器は、無線媒体の秩序のある使用のためにタイミング制約のセットに従う。これらのタイミング制約の例は、無線ステーションが新しい発信を試行する前に使用されていない無線媒体を感知するのに必要な最少の時間間隔である分散フレーム間隔（ＤＩＦＳ）、パケット発信の最後とＡＣＫ発信の最初の間の時間である短フレーム間隔（ＳＩＦＳ）、無線ステーションに用いられる時間単位であるスロット時間、などである。例えば、直接スペクトラム拡散（ＤＳＳＳ）では、物理層ＤＩＦＳ、ＳＩＦＳ、とスロット時間は、それぞれ、５０マイクロ秒、１０マイクロ秒、２０マイクロ秒である。
【０１８７】
タイミング制約の他の例は「バックオフ」パラメタを含む。ＤＩＦＳ間隔の間使用されていない無線媒体を感知した後、ＷｉＦｉネットワークの無線ステーションはパケットを発信する前に一定の使用されていない時間枠（バックオフと呼ばれる）だけ待たなければならない。標準規格は、時間間隔  [０，ＣＷ＿１]  間に一様分布したバックオフを使用することを規定する。ＣＷは競合窓（コンテンションウィンドウ）と呼ばれる。任意の無線ステーションでのＣＷは、最小値（ＣＷｍｉｎ）と最大値（ＣＷｍａｘ）の間（両端を含む）である。さらに、二つ以上のステーションが大体同時刻に発信して、衝突が起きた場合、衝突を引き起こした各々のステーションのＣＷの値が持続計数（ＰＦ）分だけ増加される。８０２．１１ｂは２進数の指数関数のバックオフを規定する、そこでは、一つの衝突の後、競合窓  ＣＷは倍にされる、つまり、ＰＦ＝２である。発信が成功するとＣＷは最小値（ＣＷｍｉｎ）へとリセットされる。
【０１８８】
特定の実施例では、探知機器は、これらに限定されないが、様々な方法で、０もしくは１スロットという小さい（決定論的な）バックオフを用いたり、より小さいＣＷｍｉｎ（例えばＣＷｍｉｎ＝１，３，他）を用いたり、より小さい値のスロット時間を用いたり、より小さいＳＩＦＳを用いたり、より小さいＤＩＦＳを用いたり、より小さいＰＦ（例えば、衝突のあとＣＷを増加させなかったり、増加させても２倍以下だったり）を用いたり、して無線媒体への優先的なアクセスを得る。
【０１８９】
示されている通り、この方法は、少なくとも、一つまたは複数の探知機器から一つまたは複数のパケットを送信すること（ステップ１４０８）を含む。パケットは選択された無線機器を制限する少なくとも一つまたは複数の処理を実施するように方向づけられている。たとえば、これらに限定されないが、パケットは、（例えば、強制反認証のための）反認証／分離パケット、（例えば、アクセス点洪水のための）接続要請パケット、（例えば、仮想ジャミングのための）高ＮＡＶ値パケット、そして、衝突するＡＣＫや干渉を作り出すようなパケット、を含む。
【０１９０】
本発明の手法は、例えば、正規の機器へのＯＴＡ阻止の本来とは反対の影響を最小化する、不正機器への影響を最大化する、探知機器の計算諸経費を最小化する、無線帯域幅の浪費を最小化する、不正機器を選択的に停止させる、正規の機器を選択的に許可する、等のＯＴＡ阻止の望ましい目的を達成することができる。
【０１９１】
本発明による、ＯＴＡ阻止のための選択的仮想ジャミングの特定の実施例がここで記述される。選択的仮想ジャミングは、ＢＳＳやアドホックネットワーク内の全てのステーションを阻止するのではなく、選択的に一つまたは複数の無線ステーションの通信を阻むことに用いられる。これは特にＢＳＳもしくはアドホックネットワークが正規の機器と不正機器両方を持つ場合に有益である。この技法は、ＩＥＥＥ８０２．１１標準規格によると、パケットの目的地であるステーションはＮＡＶ領域の値を有効と見なして受け取る必要がない、ことを生かしたものである。ＢＳＳもしくはアドホックネットワーク内のステーションを選択的に途絶させるこの方法の実施例がここで図１５を参照して述べられる。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。この方法はステップ２２０に用いられる。
【０１９２】
示されている通り、ステップ１５０２は一つまたは複数のステーションに固有の情報を得るためにライブラリに問い合わせを行うオプションのステップに相当する。例えば、ライブラリは特定のステーションが、全てのパケット、もしくは、ＣＴＳ（送信可）といった特定の型のパケットでＮＡＶ領域を有効と見なして受け取るかどうか、を示すことができる。
【０１９３】
ステップ１５０４では、正規の機器のあて先アドレスと特定のＮＡＶ領域値（例えば５００）を持ったパケットが構築される。ステップ１５０６ではそのパケットが探知機器によって発信される。状況に応じて、優先的な媒体アクセスがそのパケットを発信するのに用いられる。このパケットを受信する宛先以外の全てのステーションは少なくともＮＡＶ値の時間だけその無線媒体にアクセスするのを延期する。この間に宛先のステーションは発信する機会を得る。ステップ１５０８では探知機器から次のパケットを発信する妥当な時間と宛先アドレスが決定される。例えば、発信の機会が、正規の機器に、総当たり（ラウンドロビン）方式、もしくは、変異ラウンドロビン（加重、階層的、複数級、欠損、など）、均等化キューイング、他のスケジューリング方針によって提供される。
【０１９４】
本発明の一つの観点によると、与えられた防衛方針への違反行為に対して求められる目的に従って、様々なＯＴＡ阻止工程が、最適のＯＴＡ阻止工程、もしくは、ＯＴＡ阻止工程の最適な組合せを得るために、順応できる形で適用される。特定のＯＴＡ阻止工程に対して、その有効性は、ライブラリから導かれた情報から、及び／もしくは、その工程を適用して、関与している無線ステーションへのその効力を観測することから決定される。その工程が効果的でない、効率的ではない、もしくは、信頼できない、と見なされた場合、新しいＯＴＡ阻止工程、もしくは、異なるパラメタを持つ同じ工程が、現行のＯＴＡ阻止工程の代わりに、もしくは、追加で、適用される。
【０１９５】
本発明による、ＢＳＳ（基本サービスセット）（例えば、不良アクセス点と、関連した一つまたは複数の無線ステーションから成る）を途絶させるための順応可能な手法１６００の実施例が図１６を参照して後述されている。この図解は単に例であって、この請求項の範囲を過度に制限するものではない。当業者であれば多くの変形例、修正案、代替案を認識するだろう。手法１６００はステップ２２０に用いられる。この順応可能な手法では探知機器へのわずかな諸経費でＢＳＳへの長期に渡る途絶を得ることができる。
【０１９６】
ステップ１６０１によると、あるアクセス点の設備に対してアクセス点洪水が効果的であるかライブラリが閲覧される。効果的である場合、本発明によるアクセス点洪水がＢＳＳを途絶するために適用される。
【０１９７】
ステップ１６０２では、探知機器はアクセス点が使用不可能となっているかどうかを監視し続ける。例えば、そのアクセス点からの周期的なビーコンパケット発信の欠如がそのアクセス点が使用不可能であることを推定する目的に使われる。あるいは、無線ステーションによってアクセス点とのアソシエーションが新しく設立できていないということも、そのアクセス点が使用不可能であることを推定する目的に使われる。またあるいは、探知機器が、反応を導き出すパケットを送ることでアクセス点に積極的に調査する。その反応、もしくは反応が返ってこないことに基づいて探知機器はアクセス点が使用不可能であると推定する。特定の望ましい実施例では探知機器はアソシエーション要請をアクセス点に送り、アクセス点が使用不可能であることを推定するために、状態コード「アソシエーションはアクセス点が追加の関連ステーションを処理できないため拒絶されました」というアソシエーション反応が返ってくることを期待する。これらの観測に基づいて、アクセス点洪水が希望する目的を達成するかどうかの決定がされる。つまり、実際にアクセス点が使用不可能になるか、そして、アクセス点が望まれた時間の間使用不可能であり続けるか、である。
【０１９８】
効果的であると判断された場合、ステップ１６０３に示されている通り、この方法はアクセス点洪水を適用し続ける。一方で、アクセス点洪水が望み通りに働かない場合、この方法は、新しい工程を用いて実験を行う。
【０１９９】
それゆえ、ステップ１６０４では、本発明によると、放送アドレスを反認証パケット内の目的地アドレスとした、強制反認証／分離が用いられる。
【０２００】
ステップ１６０５では、不正ＢＳＳへの強制反認証／分離の効果が観測される。ここでは、探知機器はＢＳＳ内の発信を監視し続ける。特定のステーションからの発信が検知されない場合、そのステーションはアクセス点から切断されたと推定される。
【０２０１】
少なくともステーションの大きな部分集合が望まれた時間の間アクセス点から切断されていると推定された場合、放送アドレスを用いた強制反認証／分離がステップ１６０６に示されている通り継続される。
【０２０２】
ステーションの残りの部分集合に対しては、本発明によると、ステップ１６０７では、ステーションの残りの部分集合の各々のアドレスを発信元アドレスとし、反認証パケット内の目的地アドレスをアクセス点のアドレスとした、強制反認証／分離が適用される。これは、探知機器から（例えば、探知機器からステーションへの無線伝搬に対する障害物のせいで）見えない、従って、探知機器からの反認証パケット放送ではアクセス点から切断できない、ＢＳＳ内のステーションを途絶するのに有効である。
【０２０３】
ステップ１６０８では、探知機器はＢＳＳ内の発信を監視し続ける。探知機器はアクセス点と上記のステーションの残りの部分集合との間の通信を探す。あるいは、切断された無線ステーションのＭＡＣアドレスを発信元アドレスとして持つスプーフィングされた（なりすました）パケット（例えば、クラス２パケット）が探知機器からアクセス点に発信される、という積極的な調査を探知機器が用いる。探知機器はさらに、望ましい理由コード（例えば、「クラス２フレームが認証されていないステーションから受信されました」）を持った反認証パケットがアクセス点から、受信されたことを検証する。
【０２０４】
探知機器が、上記のステーションの残りの部分集合がアクセス点から切断されていると推定した場合、そのステーションのアドレスを発信元アドレスとした強制反認証／分離が、ステップ１６０９に示されている通り、継続される。
【０２０５】
一方で、例えば、隠されたステーション数が多かったため、強制反認証／分離のあとに攻撃的な認証／アソシエーションを用いたステーションがあったため、等の理由で強制反認証／分離が要望通りに機能しなかったと仮定する。その場合ステップ１６１０で本発明による仮想ジャミングが適用される。
【０２０６】
ステップ１６１１では仮想ジャミングの効果が探知機器によって監視される。例えば、上記のアクセス点への、もしくは、そこからのパケット通信が一切検知されないと、その事実が、そのアクセス点と通信しているステーションがないことを立証するのに用いられる。
【０２０７】
少なくともステーションの大きな部分集合が使用不可能だと推定された場合、仮想ジャミングは１６１２に示されている通り継続して適用される。
【０２０８】
ステーションの残りの部分集合には、本発明によると、ステップ１６１３で、ＡＣＫ衝突が適用される。特定の実施例によると、アクセス点への残りの部分集合内の任意のステーションからのパケット発信が検知された場合はいつも、衝突するＡＣＫが生成される。あるいは、もしくは、加えて、衝突するＡＣＫは、アクセス点からの残りの部分集合内の任意のステーションへのパケット発信が検知された場合でもいつも生成される。そのようなＡＣＫ衝突を起こさせることは、（例えば、探知機器からステーションへの無線伝搬に対する障害物のせいで）見えない、従って、探知機器からの仮想ジャミングでは使用不可能にできない、ＢＳＳ内のステーションを途絶するのに有効である。
【０２０９】
ステップ１６１４では、探知機器はＡＣＫ衝突が施行されたアクセス点と無線ステーションの間に通信が成功しているかを監視する。例えば、探知機器は上記のステーションへの、もしくは、上記のステーションからのパケットが連続的に再送信されるかもしくは送信が完全に停止するかを検証する。その場合、上記のステーションの残りの部分集合に対するＡＣＫ衝突は、ステップ１６１５に示されている通り、継続される。
【０２１０】
一方で、例えば，隠されたステーション数が多かったため、もしくは、パケット内のＮＡＶ領域を有効と見なさないステーションが多かったため、に、上述された仮想ジャミングとＡＣＫ衝突の組合せが要望通りに機能しなかった場合、ステップ１６１６ではＡＣＫ衝突がアクセス点へ発信された全てのパケットに適用される。あるいは、もしくは、加えて、ＡＣＫ衝突はアクセス点から発信された全てのパケットに適用される。
【０２１１】
ステップ１６１７では、ＡＣＫ衝突の効果が監視される。成功した場合、ステップ１６１８に示されている通り、ＡＣＫ衝突はＢＳＳ内の全てのステーションに継続される。
【０２１２】
一方で、一般的なＡＣＫ衝突が要望通りに機能しなかったばあい、最終的にステップ１６１９で力ずくの技法である無線ジャミングやリンク占有が適用される。
【０２１３】
コンピュータシステムの一部として様々な実施形態が使用できる。コンピュータシステムは、コンピュータ、入力機器、表示機器、と、例えば、インターネットアクセスのための、インターフェースを持つかもしれない。コンピュータはマイクロプロセッサを持つかもしれない。マイクロプロセッサはデータバスに繋がっているかもしれない。コンピュータはまた、メモリを含むかもしれない。メモリは、ランダム・アクセス・メモリ（ＲＡＭ）とリード・オンリ・メモリ（ＲＯＭ）を含むかもしれない。コンピュータシステムはさらに、ハードディスクドライブであったり、フロッピーディスク（登録商標）ドライブ、オプティカルディスクドライブ、ジャンプドライブ、など、といった着脱式記憶装置であったりする記憶装置を含むかもしれない。記憶装置はコンピュータプログラムや他の命令をコンピュータシステムに読み込む別の類似の手段でもあり得る。
【０２１４】
ここで用いられている通り、「コンピュータ」という表現は、マイクロコントローラ、デジタル・シグナル・プロセッサ（ＤＳＰ）、削減命令セット回路（ＲＩＳＣ）、アプリケーション特有の集積回路（ＡＳＩＣｓ）、論理回路、他、ここで記述された機能を実行する能力のある任意の回路もしくはプロセッサを用いたシステムを含む、プロセッサに基づいた、もしくは、マイクロプロセッサに基づいた任意のシステムを含む。上記の例は典型例のみであり、従って、「コンピュータ」という言葉の定義や意味をどんな方法であれ制限することを意図するものではない。コンピュータシステムは、一つまたは複数の記憶要素に貯蔵された命令一式を、入力データを処理するために、実行する。記憶要素はデータや他の情報を要望や必要に応じて保持もする。記憶要素は情報源や処理機械内の物理的なメモリ要素の形を取る。
【０２１５】
命令一式は、処理機械に本発明の様々な実施例の処理のような特定の動作を実施させる様々なコマンドを含む。命令一式はソフトウェアプログラムの形を取るかもしれない。ソフトウェアは、システムソフトウェアやアプリケーションソフトウェアといった様々な形態を取るかもしれない。さらに、ソフトウェアは別々のプログラムの集合体だったり、より大きなプログラムの中のプログラムのモジュールだったり、もしくは、モジュールの一部だったりするかもしれない。ソフトウェアはまた、オブジェクト指向プログラミングの形のモジュラープログラミングも含むかもしれない。処理機械による入力データの処理は使用者のコマンドに応えてのものかもしれないし、もしくは、前回の処理に応えてのものかもしれないし、もしくは、他の処理機械からの要請に応えてのものかもしれない。
【０２１６】
ここで用いられたように、「ソフトウェア」と「ファームウェア」という語は互換性があって、そして、ＲＡＭメモリ、ＲＯＭメモリ、ＥＰＲＯＭメモリ、ＥＥＰＲＯＭメモリ、不揮発性ＲＡＭ（ＮＶＲＡＭ）メモリなどを含むメモリに記憶された、コンピュータによる実行のための任意のコンピュータプログラムを含む。上記のメモリ型は典型例のみであり、従って、コンピュータプログラムの記憶装置として使用可能なメモリの型を制限するものではない。
【０２１７】
本発明の特定の実施例が述べられたが、上述の実施例と等価な他の実施例が存在することは、当業者には理解されることであろう。従って、本発明はここで示された特定の実施例に制限されるものではなく、添付の請求項の範囲によってのみ制限される。
【図面の簡単な説明】
【０２１８】
【図１】図１は、本発明の実施例による、安全でない空域の監視を容易にすることができる、ＬＡＮの基本設計概念の概略図である。
【図２】図２は、本発明の実施例による、コンピュータ機器のローカルエリアネットワークに付随する指定空域を監視する方法の概略図である。
【図３Ａ】図３Ａは、本発明の実施例による、どのような型の無線活動が許され、拒絶され、無視されるかを示した典型的な防衛方針の図解である。
【図３Ｂ】図３Ｂは、本発明の特定の実施例による、ネットワークセグメントの防衛方針を決めるための方法の図解である。
【図３Ｃ】図３Ｃは、本発明の別の特定の実施例による、ネットワークセグメントの防衛方針の決定を容易にするコンピュータの動作画面例である。
【図３Ｄ】図３Ｄは、本発明のまた別の特定の実施例による、ネットワークセグメントの防衛方針の決定を容易にする別のコンピュータの動作画面例である。
【図３Ｅ】図３Ｅは、本発明の特定の実施例による、ネットワークセグメントの防衛方針の決定を容易にするまた別のコンピュータの動作画面例である。
【図４】図４は、本発明の実施例による、防衛方針によって無線活動を許可、拒絶、無視に分類する方法を示す図である。
【図５】図５は、本発明の実施例による、接続性テストの方法を示す図である。
【図６】図６は、本発明の別の実施例による、接続性テストの方法を示す図である。
【図６Ａ】図６Ａは、本発明のまた別の実施例による、接続性テストの方法を示す図である。
【図７】図７は、本発明の特定の実施例による、ＭＡＣなりすましを検知する方法を示す図である。
【図８】図８は、本発明の実施例による、正当性テストの方法を示す図である。
【図９Ａ】図９Ａは、本発明の特定の実施例による、探知機器の無線通信範囲を計算して表示する方法を示す図である。
【図９Ｂ】図９Ｂは、本発明の実施例による、コンピュータスクリーンに表示された、指定地域の注釈付きの空間的レイアウトの例である。
【図９Ｃ】図９Ｃは、本発明の実施例による、図９Ｂのレイアウトに関しての、無線通信範囲の検知地域と予防地域の表示の例である。
【図９Ｄ】図９Ｄは、本発明の実施例による、図９Ｂのレイアウトに関しての、無線通信範囲の検知地域と予防地域の表示の別の例である。
【図９Ｅ】図９Ｅは、本発明の実施例による、図９Ｂのレイアウトに関しての、探知機器とアクセス点の選択された配置に対する、アクセス点の無線通信範囲の表示の例を示す。
【図１０】図１０は、本発明の特定の実施例による、無線通信範囲予測の典型的な方法を示す。
【図１１】図１１は、本発明の実施例による、無線送信機の物理的な位置に付随する表示を表示する方法を示す。
【図１２】図１２は、本発明の別の実施例による、受信信号強度モデルを作成し、無線ステーション位置の確率を決定する方法を示す図である。
【図１３Ａ】図１３Ａは、本発明の特定の実施例による、図９Ｂのレイアウトと図９Ｅの探知機器配置での、位置確率を示すコンピュータの動作画面例を示す。
【図１３Ｂ】図１３Ｂは、本発明の別の特定の実施例による、図９Ｂのレイアウトと図９Ｅの探知機器配置での、位置確率を示すコンピュータの動作画面例を示す。
【図１４】図１４は、本発明の実施例による、不正無線活動の電波阻止の方法を示す。
【図１５】図１５は、本発明の別の実施例にしたがって、選択的な仮想の妨害電波の方法を示す。
【図１６】図１６は、本発明の特定の実施例にしたがって、選択された無線活動を防止するための防止処理の適応利用の方法を示す。
【図１７】図１７は、本発明の実施例による、典型的な探知機器の基本設計概念の概略図である。
【図１】
2007527658.tif 000003
【図２】
2007527658.tif 000004
【図３Ａ】
2007527658.tif 000005
【図３Ｂ】
2007527658.tif 000006
【図４】
2007527658.tif 000007
【図５】
2007527658.tif 000008
【図６】
2007527658.tif 000009
【図６Ａ】
2007527658.tif 000010
【図７】
2007527658.tif 000011
【図８】
2007527658.tif 000012
【図９Ａ】
2007527658.tif 000013
【図１０】
2007527658.tif 000014
【図１１】
2007527658.tif 000015
【図１２】
2007527658.tif 000016
【図１４】
2007527658.tif 000017
【図１５】
2007527658.tif 000018
【図１６】
2007527658.tif 000019
【図１７】
2007527658.tif 000020
【図３Ｃ】
2007527658.tif 000021
【図３Ｄ】
2007527658.tif 000022
【図３Ｅ】
2007527658.tif 000023
【図９Ｂ】
2007527658.tif 000024
【図９Ｃ】
2007527658.tif 000025
【図９Ｄ】
2007527658.tif 000026
【図９Ｅ】
2007527658.tif 000027
【図１３Ａ】
2007527658.tif 000028
【図１３Ｂ】
2007527658.tif 000029
【手続補正書】
【提出日】平成18年7月4日(2006.7.4)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする方法であって、
指定区域内にある安全でない空域であることを特徴とするレガシーローカルエリアネットワークの指定区域内で保護されるべき一つまたは複数のセグメントを提供すること、
前記レガシーローカルエリアネットワークの一つもしくは複数のセグメントに使われる防衛方針であって、少なくとも、前記安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを明らかにする防衛方針、を決定すること、
前記防衛方針に従って、前記安全でない空域の少なくとも一部分の安全を確保する、前記指定区域内に空間的に配置された、一つまたは複数の探知機器を、前記レガシーローカルエリアネットワークに接続すること、
安全確保機器を前記レガシーローカルエリアネットワークに接続すること、
安全を確保されるべき前記安全でない空域の一部を、前記一つまたは複数の探知機器が十分に保護するかどうかを決定すること、
前記一つまたは複数の探知機器を用いて、前記安全でない空域内の無線活動を監視すること、
前記無線活動が、前記一つまたは複数の保護されるべきセグメントと通信するかどうかを少なくとも決定するために、前記無線活動の監視に関連する情報の一部分を、分類処理を使って、自動的に分類すること、
前記無線活動を監視することからの情報の一部の前記分類に少なくとも基づいて前記防衛方針への違反行為を検知すること、
保護される前記レガシーローカルエリアネットワーク内の前記一つまたは複数のセグメントへの、前記防衛方針に従った前記違反行為、への対策を自動的に処理すること、
から成ることを特徴とする方法。
【請求項２】
前記対策が、警告を提示し、及び／もしくは、日付の刻印からなる記録をとることから選ばれた、ことを特徴とする請求項１に記載の方法。
【請求項３】
前記対策が、前記防衛方針への前記違反行為に関連した一つまたは複数の無線機器が無線通信に従事することを制限するように方向付けられた予防処置から成る、ことを特徴とする請求項１に記載の方法。
【請求項４】
前記予防処置が、強制反認証処置、仮想ジャミング処置、選択的仮想ジャミング処置、アクセス点洪水処置、そしてＡＣＫ衝突処置から成るグループから選択された、ことを特徴とする請求項３に記載の方法。
【請求項５】
前記安全でない空域が、前記ローカルエリアネットワークの接続点の近傍の空域である、ことを特徴とする請求項１に記載の方法。
【請求項６】
一つ又は複数の前記接続点がイーサーネットポートと無線アクセス点からなるセットから選択された、ことを特徴とする請求項５に記載の方法。
【請求項７】
前記許可された無線活動が正規の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項８】
前記無視される無線活動が友好的な近隣の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項９】
前記無視される無線活動が前記ローカルエリアネットワークの保護される前記セグメントに接続されていない無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１０】
前記拒絶される無線活動が前記ローカルエリアネットワークの既定のセグメントに接続されていない正規の無線機器に関連している、ことを特徴とする請求項１に記載の方法。
【請求項１１】
前記拒絶される無線活動が前記ローカルエリアネットワークの保護されるセグメントの一つまたは複数に接続された不正無線機器に関連する、ことを特徴とする請求項１に記載の方法。
【請求項１２】
前記分類処理が、前記無線活動に関与する少なくとも一つの無線機器が前記ローカルエリアネットワークに直接接続されているかどうかを決定することである、ことを特徴とする請求項１に記載の方法。
【請求項１３】
前記分類処理が、前記一つまたは複数の探知機器のうち少なくとも一つを用いて一つまたは複数のテスト信号を前記安全でない空域に発信することを含む、ことを特徴とする請求項１に記載の方法。
【請求項１４】
一つまたは複数のテスト信号がマーカーパケットと査察パケットから成るグループから選択された少なくとも一つのパケットを含む、ことを特徴とする請求項１３に記載の方法。
【請求項１５】
前記分類処理が、保護される前記ローカルエリアネットワークの前記一つまたは複数のセグメントに一つまたは複数のテスト信号を転送することを含む、ことを特徴とする請求項１に記載の方法。
【請求項１６】
一つまたは複数の前記テスト信号が少なくとも一つのマーカーパケットを含む、ことを特徴とする請求項１５に記載の方法。
【請求項１７】
前記分類処理が、前記安全でない空域で、前記一つまたは複数の探知機器の内の一つまたは複数を用いて、一つまたは複数のテスト信号の一つまたは複数を検知すること、から成る請求項１５に記載の方法。
【請求項１８】
前記分類処理がテスト信号を転送しない、ことを特徴とする請求項１に記載の方法。
【請求項１９】
前記無線防衛方針への前記違反行為に関する表示を、前記指定地域のレイアウトに対して、前記安全確保機器に接続された表示部のユーザーインターフェースに掲示すること、から成る請求項１に記載の方法。
【請求項２０】
前記表示が前記防衛方針への前記違反行為を引き起こしている無線機器の有望な物理的位置を示す少なくとも一つの表示領域から成る、ことを特徴とする請求項１９に記載の方法。
【請求項２１】
前記少なくとも一つの表示領域が、少なくとも、前記無線機器の有望な物理的位置の確率分布に関した情報と位置尤度のレベルに関した情報に基づいて決定された、ことを特徴とする請求項２０に記載の方法。
【請求項２２】
前記一つまたは複数の探知機器が空域を保護するか否かの決定が、前記一つまたは複数の探知機器の前記安全でない空域の一部での選択された無線活動の一部分を防止する能力によって特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項２３】
前記一つまたは複数の探知機器が空域を保護するか否かの決定が、前記一つまたは複数の探知機器の前記安全でない空域の一部での、選択された無線活動の一部分を検知する能力によって特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項２４】
前記一つまたは複数の探知機器が空域を十分に保護するか否かの決定が、一つまたは複数の探知機器の前記指定地域の空間的レイアウトのコンピュータに基づいたモデルと予測処理を用いて提供される無線範囲で特徴づけられる、ことを特徴とする請求項１に記載の方法。
【請求項２５】
前記探知機器の無線範囲に相当した一つまたは複数の表示を掲示し、前記一つまたは複数の表示が安全を確保されるべき前記安全でない空域の一部を十分に保護するかどうかを視覚的に図示するかを決定すること、を特徴とする請求項１に記載の方法。
【請求項２６】
前記レガシーローカルエリアネットワーク内の一つまたは複数の正規の無線機器に関する無線信号範囲を、少なくとも、前記指定地域の空間的なレイアウトに関する情報と、前記レイアウトに対しての前記一つまたは複数の正規の無線機器の位置の情報に基づいて予測すること、を特徴とする請求項１に記載の方法。
【請求項２７】
前記レイアウトに対しての少なくとも一つの前記正規の無線機器の前記無線信号範囲に関する一つまたは複数の表示を掲示すること、を特徴とする請求項２６に記載の方法。
【請求項２８】
少なくとも一つの前記探知機器の基本データであって、前記一つまたは複数の正規の無線機器からの予測受診信号強度に関する、前記指定区域内の前記探知機器の位置に基づいた情報を含む基本データを生成すること、を特徴とする請求項２６に記載の方法。
【請求項２９】
前記分類処理が、前記無線活動の前記監視に関した情報の一部を、前記一つまたは複数の探知機器に関する基本データと比較する、ことを特徴とする請求項１に記載の方法。
【請求項３０】
前記レガシーローカルエリアネットワーク内のポートで前記違反行為を引き起こしている一つまたは複数の機器の前記通信に関したトラフィックにフィルターをかけること、を特徴とする請求項１に記載の方法。
【請求項３１】
コンピュータ機器のネットワークに付随する空域の少なくとも一部をモニターする方法であって、
空域の少なくとも一部に付随する、保護されるべきネットワークを提供すること、
前記ネットワークに付随する防衛方針であって、少なくとも、空域の少なくとも一部での、許可される無線活動の第１の型、空域の少なくとも一部での、拒絶される無線活動の第２の型、空域の少なくとも一部での、無視される無線活動の第３の型、を特徴づけるもの、を用いること、
少なくとも前記防衛方針に関した情報に基づいて空域の少なくとも一部分の安全を確保するように空間的に配置された、一つまたは複数の探知機器を、提供すること、
前記指定区域のコンピュータモデルを用いること、
前記指定区域の前記コンピュータモデルに、前記一つまたは複数の探知機器に関した、少なくとも前記一つまたは複数の探知機器の位置情報から成る情報を入力すること、
無線信号伝搬モデルを用いること、
前記一つまたは複数の探知機器の無線範囲の情報を、少なくとも、前記指定区域の前記コンピュータモデル、前記入力情報、前記無線信号伝搬モデルに関する情報、に関する情報に基づいて計算すること、
前記一つまたは複数の探知機器が、前記安全を確保されるべき空域の少なくとも一部を十分に保護するかどうかを決定するために、前記指定区域のレイアウトに対して、前記計算された無線範囲に関する一つまたは複数の領域を、表示機器に表示すること、
少なくとも前記空域の一部で前記一つまたは複数の探知機器以外の無線機器に付随した少なくとも一つの無線活動を、前記一つまたは複数の探知機器を用いて監視すること、
少なくとも前記防衛方針に関した情報に基づいて、前記監視された無線活動が許されているか、拒絶されているか、無視されているか、を決定すること、
から成ることを特徴とする方法。
【請求項３２】
前記第２の型の無線活動が正規の無線ステーションと外部の無線機器との間の無線通信に関している、ことを特徴とする請求項３１に記載の方法。
【請求項３３】
前記第３の型の無線活動が、他のネットワーク内の無線ステーションと他のネットワークに付随する外部の無線機器との間の無線通信に関している、ことを特徴とする請求項３１に記載の方法。
【請求項３４】
前記第２の型の無線活動と前記第３の型の無線活動が不正無線機器に関している、ことを特徴とする請求項３１に記載の方法。
【請求項３５】
前記監視された無線活動が少なくとも前記不正無線機器に関している、ことを特徴とする請求項３４に記載の方法。
【請求項３６】
前記監視された無線活動が許可されているか、拒絶されているか、無視されているかを決定することが、接続性テストを用いて前記不正無線機器が保護されるべき前記ネットワークに接続されていないと決定された場合、前記監視された無線活動を無視すると決定することから成る、ことを特徴とする請求項３５に記載の方法。
【請求項３７】
前記監視された無線活動が許可されているか、拒絶されているか、無視されているかを決定することが、接続性テストを用いて前記不正無線機器が保護されるべき前記ネットワークに接続されていると決定された場合、前記監視された無線活動を拒絶すると決定することから成る、ことを特徴とする請求項３５に記載の方法。
【請求項３８】
監視された前記無線活動が拒絶されると決定された場合、前記防衛方針への違反行為を決定すること、前記違反行為に対する措置を処理することから成る、請求項３１に記載の方法。
【請求項３９】
前記措置が、警告を発すること、と、予防処置を開始すること、からなるグループから選択された少なくとも一つからなる、ことを特徴とする請求項３８に記載の方法。
【請求項４０】
前記予防処置が前記第２の型の無線活動を妨害するよう方向付けられた、ことを特徴とする請求項３９に記載の方法。
【請求項４１】
無視されると決定された前記監視された無線活動が前記防衛方針への違反行為に相当しない、ことを特徴とする請求項３１に記載の方法。
【請求項４２】
前記第１の型の無線活動が少なくとも一つの正規の無線機器に関している、ことを特徴とする請求項３１に記載の方法。
【請求項４３】
少なくとも一つの無線活動を監視すること、が、前記一つまたは複数の探知機器の、一つまたは複数で，少なくとも一つの、前記無線機器によって発信されたり受信されたりしたＩＥＥＥ８０２．１１型フレームを受信すること、ＩＥＥＥ８０２．１１型フレームに関した情報を処理することからなる請求項３１に記載の方法。
【請求項４４】
保護されるべき前記ネットワークへの前記無線機器の接続状態に関した情報を決定するために、接続性テストを遂行すること、からなる請求項３１に記載の方法。
【請求項４５】
監視された無線活動が許されているか、拒絶されているか、無視されているか、を決定すること、が、さらに、少なくとも、保護されるべき前記ネットワークへの前記無線機器の前記接続状態に関した情報に基づいている、ことを特徴とする請求項４４に記載の方法。
【請求項４６】
前記接続性テストの遂行が少なくとも一つのマーカーパケットを使用することから成る、ことを特徴とする請求項４４に記載の方法。
【請求項４７】
前記少なくとも一つのマーカーパケットが前記一つまたは複数の探知機器の内の少なくとも一つから提供されている、ことを特徴とする請求項４６に記載の方法。
【請求項４８】
前記接続状態が、前記無線機器が前記保護されるべきネットワークに動作可能に接続されている、または、動作可能に接続されていないかを特定する、ことを特徴とする請求項４４に記載の方法。
【請求項４９】
前記接続状態が、前記無線機器が動作可能に接続されている、一つまたは複数のネットワークセグメントからなる前記保護されるべきネットワークの、ネットワークセグメントの身元を特定する、ことを特徴とする請求項４４に記載の方法。
【請求項５０】
無線範囲に関する情報を計算することが予測処理からなる請求項３１に記載の方法。
【請求項５１】
前記無線範囲に関する前記計算された情報が、前記指定区域の近傍にある前記一つまたは複数の探知機器に関する信号強度特性からなる請求項３１に記載の方法。
【請求項５２】
前記計算された無線範囲に付随する前記一つ又は複数の領域が、受信地域の検知領域と防止領域からなるグループから選択された少なくとも一つから成る、ことを特徴とする請求項３１に記載の方法。
【請求項５３】
前記一つまたは複数の探知機器が前記空域の少なくとも一部を十分に保護しないと決定された場合、前記一つまたは複数の探知機器の内の少なくとも一つの位置を変えること、からなる、請求項３１に記載の方法。
【請求項５４】
前記一つまたは複数の探知機器が前記空域の少なくとも一部を十分に保護しないと決定された場合、前記一つまたは複数の探知機器の内の少なくとも一つのアンテナ型を少なくとも一つ変えること、からなる、請求項３１に記載の方法。
【請求項５５】
前記入力された情報が、前記一つまたは複数の探知機器のアンテナ型に関する情報からなる、ことを特徴とする請求項３１に記載の方法。
【請求項５６】
一つまたは複数の探知機器が十分に保護するかどうかの決定が、一つまたは複数の領域が十分な保護を視覚的に図示するかどうかを決定すること、からなる請求項３１に記載の方法。
【請求項５７】
前記一つ又は複数の探知機器の内の一つ又は複数で、前記監視された無線活動に関した送信機によって提供された少なくとも一つの無線信号の一つまたは複数の受信信号強度を測定する、ことからなる請求項３１に記載の方法。
【請求項５８】
前記送信機の物理的な位置の情報を、前記一つまたは複数の探知機器に関した、無線伝搬モデル、測定された入信信号強度、そして、位置尤度のレベルに関した入力情報に少なくとも基づいて決定すること、からなる請求項５７に記載の方法。
【請求項５９】
コンピュータ機器のローカルエリアネットワークにおける望ましくない無線通信を抑制する方法であって、
保護されるべきネットワークを提供すること、
前記保護されるべきネットワークに付随する防衛方針であって、少なくとも、不良アクセス点機器に関した第１の型の無線活動を拒絶する、正規の無線機器と外部のアクセス点機器の間の第２の型の無線活動を拒絶する、近隣の無線ステーションと外部のアクセス点の間の第３の型の無線活動を無視する、と特徴づけるもの、を用いること、
第１のアクセス点機器に関した少なくとも一つの無線活動を一つまたは複数の探知機器を用いて検知すること、
前記保護されるべきネットワークへの前記第１のアクセス点機器の接続状態に関した情報を決定するための接続性テストを遂行すること、
前記第１のアクセス点機器を、少なくとも前記不良アクセス点機器と前記外部アクセス点機器の内の一つとして、前記接続性テストに関した情報に少なくとも基づいて分類すること、
前記検知された無線活動が拒絶されるか無視されるかを少なくとも前記無線防衛方針と前記第１のアクセス点機器の前記分類にもとづいて決定すること、
前記検知された無線活動が拒絶されると決定された場合に応えて、前記検知された無線活動の妨害するように方向付けられた予防処置を開始すること、
から成ることを特徴とする方法。
【請求項６０】
正規の無線ステーションの身元情報の一覧を提供すること、からなる請求項５９に記載の方法。
【請求項６１】
前記第１の無線ステーションの身元情報が正規の無線ステーションの前記身元情報の一覧にない場合、第１の無線ステーションが近隣の無線ステーションであると決定すること、からなる請求項６０に記載の方法。
【請求項６２】
前記無線防衛方針が少なくともさらに、前記保護されるべきネットワークに付随した第１のネットワークセグメントと既知のネットワークセグメントがあって、前記既定のネットワークセグメントとは異なる前記第１のネットワークセグメントに接続されている正規のアクセス点機器に関した無線活動で第４の型のものを拒絶すると特徴づける、ことを特徴とする請求項５９に記載の方法。
【請求項６３】
前記第１のアクセス点機器の分類が、前記第１のアクセス点機器を、少なくとも、前記不良アクセス点機器、前記外部のアクセス点機器、そして前記第１のネットワークセグメントに接続された前記正規のアクセス点機器の一つとして前記接続状態に関する情報に少なくとも基づいて分類することである、ことを特徴とする請求項６２に記載の方法。
【請求項６４】
前記予防処置がオーバー・ディ・エアー阻止を含む、ことを特徴とする請求項５９に記載の方法。
【請求項６５】
前記オーバー・ディ・エアー阻止が、強制反認証処置、仮想ジャミング処置、選択的仮想ジャミング処置、アクセス点洪水処置、そしてＡＣＫ衝突処置からなるグループから選択された少なくとも一つを含む、ことを特徴とする請求項６４に記載の方法。
【請求項６６】
接続性テストを遂行することの一つ一つ、前記第１のアクセス点機器を分類すること、前記検知された無線活動が拒絶された、または、無視されたかを決定すること、そして予防処置を開始することが自動的に遂行されること、を特徴とする請求項５９に記載の方法。
【請求項６７】
コンピュータプログラム製品であって、コンピュータ機器のローカルエリアネットワークに付随する選択空域をモニターする命令を含むコンピュータが読み取り可能な媒体を含み、コンピュータが読み取り可能な媒体は、
レガシーローカルエリアネットワークの一つまたは複数のセグメントに関して、少なくとも安全でない空域でどのような無線活動が許され、拒絶され、無視されるかを特徴づける防衛方針を決めるための、一つまたは複数の命令、と、
一つまたは複数の探知機器が前記安全を確保されるべき安全でない空域を十分にカバーするかどうか、前記一つまたは複数の探知機器が前記レガシーローカルエリアネットワークに接続され、少なくとも前記安全でない空域の一部が前記防衛方針に基づいて安全を確保されるように前記指定区域内に空間的に配置されているか、を決定するための一つまたは複数の命令、と、
前記一つまたは複数の探知機器を用いて、前記安全でない空域内の無線活動を監視するための一つまたは複数の命令、と、
前記無線活動が、保護されるべき前記レガシーローカルエリアネットワークの一つまたは複数のセグメントの内の少なくとも一つと、通信するかどうかを少なくとも決定するために、前記無線活動の前記監視に関する情報の一部を、分類処理を用いて、自動的に分類する一つまたは複数の命令、と、
前記無線活動の前記監視からの情報の一部の前記分類に少なくともに基づいて前記防衛方針への違反を検知する一つまたは複数の命令、と、
前記保護されるべきレガシーローカルエリアネットワークの前記一つまたは複数のセグメントの前記防衛方針への前記違反行為に対する措置を自動的に処理するための一つまたは複数の命令、から成り、
前記レガシーローカルエリアネットワークが指定区域の前記一つまたは複数のセグメントを含み、レガシーローカルエリアネットワークが前記指定区域内にある前記安全でない空域であることを特徴とする、
ことを特徴とするコンピュータプログラム製品。
【請求項６８】
前記措置が、前記防衛方針への前記違反行為に関連した一つまたは複数の無線機器が無線通信に従事することを制限するように方向付けられた予防処置から成る、ことを特徴とする請求項６７に記載のコンピュータプログラム製品。
【請求項６９】
前記分類処理が無線活動に従事する少なくとも一つの無線機器が前記ローカルエリアネットワークに直接接続されているかどうかを決定する、ことを特徴とする請求項６７に記載のコンピュータプログラム製品。
【請求項７０】
前記分類処理が、前記一つまたは複数の探知機器の内の少なくとも一つを用いて、一つまたは複数のテスト信号を、前記安全でない空域に送信することを含む、ことを特徴とする請求項６７に記載のコンピュータプログラム製品。
【請求項７１】
前記分類処理が、保護されるべき前記レガシーローカルエリアネットワークの前記一つまたは複数の内の一つまたは複数へ、一つまたは複数のテスト信号を送信することを含む、ことを特徴とする請求項６７に記載のコンピュータプログラム製品。
【請求項７２】
前記分類処理が、前記一つまたは複数のテスト信号の内の一つまたは複数を、前記一つまたは複数の探知機気のうちの一つまたは複数を用いて前記安全でない空域で検知することからなる、ことを特徴とする請求項７１に記載のコンピュータプログラム製品。
【請求項７３】
コンピュータプログラム製品であって、コンピュータ機器のネットワークに付随する空域の少なくとも一部をモニターする命令を含むコンピュータが読み取り可能な媒体を含み、コンピュータが読み取り可能な媒体は、
空域の少なくとも一部に付随した保護されるべきネットワークに関した防衛方針であって、少なくとも、空域の少なくとも一部での、許可される無線活動の第１の型、空域の少なくとも一部での、拒絶される無線活動の第２の型、空域の少なくとも一部での、無視される無線活動の第３の型、を特徴づけるもの、を用いるための一つまたは複数の命令、と、
指定区域のコンピュータモデルを用いるための一つまたは複数の命令、と、
前記指定区域の前記コンピュータモデルのための一つまたは複数の探知機器に関した、一つまたは複数の探知機器に関した少なくとも位置情報から成る、情報を処理するための一つまたは複数の命令、と、
無線信号伝搬モデルを用いるための一つまたは複数の命令、と、
前記一つまたは複数の探知機器の無線範囲の情報を、少なくとも、前記指定区域の前記コンピュータモデル、処理した情報、無線信号伝搬モデルに関する情報、に関する情報に基づいて計算するための一つまたは複数の命令、と、
前記一つまたは複数の探知機器が十分に前記空域の少なくとも一部を保護するかどうかを決定するために、前記指定区域のレイアウトに対して、計算された無線範囲に付随する一つまたは複数の領域を、表示機器に表示するための一つまたは複数の命令、と、
少なくとも前記空域の一部で前記一つまたは複数の探知機器以外の無線機器に付随した少なくとも一つの無線活動を、一つまたは複数の探知機器を用いて監視するための一つまたは複数の命令、と、
少なくとも前記防衛方針に関した情報に基づいて、前記監視された無線活動が許されているか、拒絶されているか、無視されているか、を決定するための一つまたは複数の命令、から成り、
前記一つまたは複数の探知機器は、少なくとも前記防衛方針に関した情報に基づいて、前記空域の少なくとも一部の安全が確保されるように空間的に配置されている、
ことを特徴とするコンピュータプログラム製品。
【請求項７４】
前記監視された無線活動が少なくとも不正無線機器に関する、ことを特徴とする請求項７３に記載のコンピュータプログラム製品。
【請求項７５】
前記監視された無線活動が許可されているか、拒絶されているか、無視されているかを決定するための前記一つまたは複数の命令が、接続性テストを用いて前記不正無線機器が保護されるべき前記ネットワークに接続されていないと決定された場合、前記監視された無線活動を無視すると決定するための一つまたは複数の命令から成る、ことを特徴とする請求項７４に記載のコンピュータプログラム製品。
【請求項７６】
前記監視された無線活動が許可されているか、拒絶されているか、無視されているかを決定するための前記一つまたは複数の命令が、接続性テストを用いて前記不正無線機器が保護されるべき前記ネットワークに接続されていると決定された場合、前記監視された無線活動を拒絶すると決定するための一つまたは複数の命令から成る、ことを特徴とする請求項７４に記載のコンピュータプログラム製品。
【請求項７７】
計算された無線範囲に付随する前記一つ又は複数の領域が、受信地域の検知領域と防止領域からなるグループから選択された少なくとも一つから成る、ことを特徴とする請求項７３に記載のコンピュータプログラム製品。
【請求項７８】
前記一つまたは複数の探知機器が前記空域の少なくとも一部を十分に保護しないと決定された場合、前記一つまたは複数の探知機器の内の少なくとも一つの位置を変えるための一つまたは複数の命令、からなる、請求項７３に記載のコンピュータプログラム製品。
【請求項７９】
前記一つ又は複数の探知機器の内の一つ又は複数で前記監視された無線活動に関した送信機によって提供された少なくとも一つの無線信号の一つまたは複数の受信信号強度を測定するための一つまたは複数の命令、からなる、請求項７３に記載のコンピュータプログラム製品。
【請求項８０】
前記送信機の物理的な位置の情報を、前記一つまたは複数の探知機器に関した、無線伝搬モデル、測定された入信信号強度、そして、位置尤度のレベルに関した入力情報に少なくとも基づいて決定するための一つまたは複数の命令、からなる、請求項７９に記載のコンピュータプログラム製品。
【請求項８１】
コンピュータプログラム製品であって、コンピュータ機器のローカルエリアネットワークにおける望ましくない無線通信を抑制する命令を含むコンピュータが読み取り可能な媒体を含み、コンピュータが読み取り可能な媒体は、
保護されるべきネットワークに付随する防衛方針であって、少なくとも、不良アクセス点機器に関した第１の型の無線活動を拒絶する、正規の無線機器と外部のアクセス点機器の間の第２の型の無線活動を拒絶する、近隣の無線ステーションとギア部のアクセス点の間の第３の型の無線活動を無視する、と特徴づけるもの、を用いるための一つまたは複数の命令、と、
第１のアクセス点機器に関した少なくとも一つの無線活動を一つまたは複数の探知機器を用いて検知するための一つまたは複数の命令、と、
前記保護されるべきネットワークへの前記第１のアクセス点機器の接続状態に関した情報を決定するための接続性テストを遂行するための一つまたは複数の命令、と、
前記第１のアクセス点機器を、少なくとも前記不良アクセス点機器と前記外部アクセス点機器の内の一つとして、前記接続性テストに関した情報に少なくとも基づいて分類するための一つまたは複数の命令、と、
前記検知された無線活動が拒絶されるか無視されるかを少なくとも前記無線防衛方針と前記第１のアクセス点機器の分類にもとづいて決定するための一つまたは複数の命令、と、
前記検知された無線活動が拒絶されると決定された場合に応えて、前記検知された無線活動の妨害するように方向付けられた予防処置を開始するための一つまたは複数の命令、
から成ることを特徴とするコンピュータプログラム製品。
【請求項８２】
前記無線防衛方針が少なくともさらに、保護されるべき前記ネットワークに付随した第１のネットワークセグメントと既知のネットワークセグメントがあって、前記既定のネットワークセグメントとは異なる前記第１のネットワークセグメントに接続されている正規のアクセス点機器に関した無線活動で第４の型のものを拒絶すると特徴づける、ことを特徴とする請求項８１に記載のコンピュータプログラム製品。
【請求項８３】
前記第１のアクセス点機器の分類が、第１のアクセス点機器を、少なくとも、前記不良アクセス点機器、前記外部のアクセス点機器、そして前記第１のネットワークセグメントに接続された前記正規のアクセス点機器、の一つとして、前記接続状態に関する情報に少なくとも基づいて分類することである、ことを特徴とする請求項８２に記載のコンピュータプログラム製品。
【請求項８４】
前記予防処置がオーバー・ディ・エアー阻止を含む、ことを特徴とする請求項８１に記載のコンピュータプログラム製品。
【請求項８５】
前記オーバー・ディ・エアー阻止が、強制反認証処置、仮想ジャミング処置、選択的仮想ジャミング処置、アクセス点洪水処置、そしてＡＣＫ衝突処置からなるグループから選択された少なくとも一つを含む、ことを特徴とする請求項８４に記載のコンピュータプログラム製品。
【国際調査報告】
2007527658.tif 000030