(57)【特許請求の範囲】
【請求項１】
無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムに関し、上記有線ＬＡＮに接続されていない不正なアクセスポイント装置を検知する不正アクセスポイント検知方法であって、
少なくとも一部の上記アクセスポイント装置は、隣接アクセスポイント検知手段と、隣接アクセスポイント記憶手段と、探索データ送信手段と、不正アクセスポイント特定手段とを有し、
上記隣接アクセスポイント検知手段は、当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶手段に記憶し、
上記探索データ送信手段は、不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶手段に正規装置である旨を記憶し、
上記不正アクセスポイント特定手段は、上記隣接アクセスポイント記憶手段に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識する
ことを特徴とする不正アクセスポイント検知方法。
【請求項２】
無線ＬＡＮ端末を収容すると共に、有線ＬＡＮを介して他のアクセスポイント装置に接続されているアクセスポイント装置において、
当該アクセスポイント装置に隣接するアクセスポイント装置の識別情報及び正規装置である旨が記憶し得る隣接アクセスポイント記憶手段と、
当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶手段に記憶する隣接アクセスポイント検知手段と、
不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶手段に正規装置である旨を記憶する探索データ送信手段と、
上記隣接アクセスポイント記憶手段に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識する不正アクセスポイント特定手段と
を有することを特徴とするアクセスポイント装置。
【請求項３】
無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムにおいて、
少なくとも一部の上記アクセスポイント装置として、請求項２に記載のアクセスポイント装置を適用したことを特徴とする無線ＬＡＮシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正アクセスポイント検知方法、アクセスポイント装置及び無線ＬＡＮシステムに関し、例えば、無線ＬＡＮネットワークにおいて、自ネットワーク外に接続されている不正なアクセスポイント装置を検知しようとしたものである。
【背景技術】
【０００２】
例えば、企業における無線ＬＡＮシステムにおいて、無線ＬＡＮ端末１−１〜１−Ｎは、図２に示すように、自社ネットワーク２に接続したアクセスポイント装置３−１〜３−Ｍを中継することにより、ネットワーク接続を行う（例えば、特許文献１の図３参照）。また、無線ＬＡＮ端末１−ｎ（ｎは１〜Ｎ）とアクセスポイント装置３−ｍ（ｍは１〜Ｍ）は、無線を用いることにより、通信ケーブルのいらない接続が可能となり、端末移動の自由度が高くなる。
【０００３】
そのため、無線ＬＡＮシステムは、企業のネットワークインフラとして急速に普及が始まっている。
【特許文献１】特開２０００−３１２１６２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、無線ＬＡＮシステムでは、ケーブル接続でないため、無線ＬＡＮ端末１−ｎがどのアクセスポイント装置３−ｍにつながっているかを、端末自身で知ることは難しい。また、無線の電波は、企業のビルの壁を超えて飛んでいくため、第３者が、データの不正取得を目的とし、不正アクセスポイント装置４を敷地外に設置しても、その発見は難しい。
【０００５】
そのため、不正アクセスポイント装置の存在を検知し得る不正アクセスポイント検知方法、アクセスポイント装置及び無線ＬＡＮシステムが求められている。
【課題を解決するための手段】
【０００６】
第１の本発明は、無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムに関し、上記有線ＬＡＮに接続されていない不正なアクセスポイント装置を検知する不正アクセスポイント検知方法であって、（０）少なくとも一部の上記アクセスポイント装置は、隣接アクセスポイント検知手段と、隣接アクセスポイント記憶手段と、探索データ送信手段と、不正アクセスポイント特定手段とを有し、（１）上記隣接アクセスポイント検知手段は、当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶手段に記憶し、（２）上記探索データ送信手段は、不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶手段に正規装置である旨を記憶し、（３）上記不正アクセスポイント特定手段は、上記隣接アクセスポイント記憶手段に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識することを特徴とする。
【０００７】
第２の本発明は、無線ＬＡＮ端末を収容すると共に、有線ＬＡＮを介して他のアクセスポイント装置に接続されているアクセスポイント装置において、（１）当該アクセスポイント装置に隣接するアクセスポイント装置の識別情報及び正規装置である旨が記憶し得る隣接アクセスポイント記憶手段と、（２）当該アクセスポイント装置の周囲の無線空間をモニタし、隣接するアクセスポイント装置の識別情報を得て上記隣接アクセスポイント記憶手段に記憶する隣接アクセスポイント検知手段と、（３）不正アクセスポイント探索データを、上記有線ＬＡＮ、上記隣接アクセスポイント記憶手段に記憶されている隣接する上記アクセスポイント装置との無線回線を、この順、又は、逆順に経由して、当該アクセスポイント装置に戻ってくるように送信すると共に、不正アクセスポイント探索データが戻ってきた経路の隣接する上記アクセスポイント装置について上記隣接アクセスポイント記憶手段に正規装置である旨を記憶する探索データ送信手段と、（４）上記隣接アクセスポイント記憶手段に、識別情報が記憶されながら、正規装置である旨が記憶されていないアクセスポイント装置を、不正なアクセスポイント装置として認識する不正アクセスポイント特定手段とを有することを特徴とする。
【０００８】
第３の本発明は、無線ＬＡＮ端末を収容する複数のアクセスポイント装置を有線ＬＡＮで接続させた無線ＬＡＮシステムにおいて、少なくとも一部の上記アクセスポイント装置として、第２の本発明のアクセスポイント装置を適用したことを特徴とする。
【発明の効果】
【０００９】
本発明によれば、有線ＬＡＮに接続されていない不正なアクセスポイント装置の存在を検知することができる。
【発明を実施するための最良の形態】
【００１０】
（Ａ）実施形態
以下、本発明による不正アクセスポイント検知方法及びアクセスポイント装置の一実施形態を、図面を参照しながら説明する。
【００１１】
（Ａ−１）実施形態の構成
この実施形態に係る無線ＬＡＮシステムも、その構成要素の配置は、上述した図２に示すものと同様である。
【００１２】
アクセスポイント装置３−ｍは、自己の管轄エリア内の無線ＬＡＮ端末１−ｎとの通信を実行する無線通信部、自社ネットワーク（有線ＬＡＮ部分）２との通信を実行する有線通信部、これら無線通信部及び有線通信部の信号転送に介在したり信号がシグナリング信号のときに接続制御を実行したりする信号処理部などを有する。
【００１３】
ここで、信号処理部は、ＣＰＵなどを中心とした、主として、ソフトウェア処理構成でなっており、この実施形態の場合、アクセスポイント装置３−ｍ（信号処理部）におけるソフトウェアの構成の一部は、図１に示すようなものである。なお、図１は、不正なアクセスポイント装置を検知するという機能に関係する部分を示しており、シグナリング信号の処理機能などの他の機能に係る構成部分は省略している。
【００１４】
図１において、アクセスポイント装置３−ｍは、無線ＬＡＮドライバ３１、無線データ通信処理部３２、不正アクセスポイント探索部３３、有線ＬＡＮドライバ３４及び隣接アクセスポイントテーブル３５などを有する。
【００１５】
無線ＬＡＮドライバ３１は、無線ＬＡＮのプロトコルを制御し、無線のデータ送受信を行うものである。アクセスポイント装置３−ｍの通信相手は、無線ＬＡＮ端末１−ｎであるが、隣接するアクセスポイント装置３−ｊ（ｊは１〜Ｍ、但しｍは除く）の送信データも到達し、無線ＬＡＮドライバ３１は、そのような隣接するアクセスポイント装置３−ｊ（ｊは１〜Ｍ、但しｍは除く）の送信データも受信することがある。
【００１６】
また、無線ＬＡＮドライバ３１は、無線データ通信処理部３２の駆動により、探索データ（探索データを含むシグナリング信号）を無線空間（管轄エリア）に送信させることを行う。アクセスポイント装置３−ｍは、複数の無線ＬＡＮ端末を収容可能なように、複数の無線チャネルを有しており、探索データを、無線ＬＡＮ端末との通信に利用されていない空チャネルによって送信する。
【００１７】
無線データ通信処理部３２は、無線ＬＡＮドライバ３１が受信したデータを受け取り、その内容の解析を行うものである。
【００１８】
無線データ通信処理部３２は、隣接するアクセスポイント装置３−ｊからのビーコンフレームを受信した場合には、隣接アクセスポイント装置の情報を、隣接アクセスポイントテーブル３５に記憶するものである。ここで、記憶する隣接アクセスポイント装置３−ｊの情報は、隣接アクセスポイント装置の識別情報（例えばＢＳＳＩＤ（Ｂａｓｉｃ  Ｓｅｒｖｉｃｅ  Ｓｅｔ  Ｉｄｅｎｔｉｆｉｅｒ））である。
【００１９】
無線データ通信処理部３２は、隣接するアクセスポイント装置３−ｊから探索データを受信した場合には、隣接アクセスポイントテーブル３５のその隣接アクセスポイント装置３−ｊの情報のステータスを「正規」にするものである。
【００２０】
また、無線データ通信処理部３２は、自社ネットワーク（有線ＬＡＮ部分）２側から与えられた探索データを、無線ＬＡＮドライバ３１によって無線空間に送信させるものである。
【００２１】
不正アクセスポイント探索部３３は、不正アクセスポイント装置４を探索するため、探索データを、周期的に、有線ＬＡＮ部分（自社ネットワーク）２に送信させるものである。不正アクセスポイント探索部３３は、探索データを送信させた後、所定時間だけ経過したときに、隣接アクセスポイントテーブル３５のステータスを確認し、不正なアクセスポイント装置４が存在するか否かを判定するものであり、不正なアクセスポイント装置４の存在を検知したときには、そのことを表す検知データ（例えば、ＢＳＳＩＤなどの特定するデータを含む）を、有線ＬＡＮ部分（自社ネットワーク）２に接続されている図示しない上位装置に送信するものである。
【００２２】
また、不正アクセスポイント探索部３３は、有線ＬＡＮ部分（自社ネットワーク）２側から探索データが与えられた場合には、無線データ通信処理部３２に引渡し、無線ＬＡＮドライバ３１によって無線空間に送信させるものである。
【００２３】
有線ＬＡＮドライバ３４は、 有線ＬＡＮ部分（自社ネットワーク）２のプロトコルを制御し、有線ＬＡＮ部分２とのデータ送受信を行うものである。
【００２４】
隣接アクセスポイントテーブル３５は、隣接アクセスポイント装置３−ｊの情報（装置の識別情報及び正規装置フラグ）を記憶するためのデータファイルである。隣接アクセスポイントテーブル３５に対する書込みは、上述したように、無線データ通信処理部３２によってなされる。また、隣接アクセスポイントテーブル３５におけるステータスは、不正アクセスポイント探索部３３によって参照される。
【００２５】
（Ａ−２）実施形態の動作
次に、実施形態の無線ＬＡＮシステムの動作、特に、不正なアクセスポイント装置の検知のための動作を説明する。
【００２６】
（Ａ−２−１）隣接アクセスポイント装置の認識
各アクセスポイント装置３−ｍは、周辺の無線ＬＡＮの電波をモニタし、アクセスポイント装置が必ず送信しなければならない、図３に示すような「ビーコン」という無線ＬＡＮの制御フレームをモニタする。当該アクセスポイント装置３−ｍに隣接しているアクセスポイント装置３−ｊ、４のビーコンフレームは、一般的には、当該アクセスポイント装置３−ｍにも到達する。
【００２７】
ビーコンフレームの中には、送信元のＢＳＳＩＤが挿入されているため、当該アクセスポイント装置３−ｍの無線データ通信処理部３２は、隣接アクセスポイントテーブル３５に、受信したビーコンフレームでのＢＳＳＩＤを、隣接アクセスポイント装置３−ｊ、４の識別情報として格納する。図３の例であれば、当該アクセスポイント装置３−ｍの隣接アクセスポイントテーブル３５には、正規の隣接アクセスポイント装置３−ｊの識別情報と、不正な隣接アクセスポイント装置４の識別情報とが格納される。
【００２８】
図４は、無線データ通信処理部３２の受信時処理を示すフローチャートである。無線データ通信処理部３２は、「ビーコン」か否かの判定ステップによって、ビーコンと判定したときに、隣接アクセスポイントテーブル３５へのＢＳＳＩＤの記憶を行う（ステップ１００、１０１）。
【００２９】
（Ａ−２−２）探索データのブロードキャスト
各アクセスポイント装置３−ｍは、所定周期（例えば３０分）ごとの割り込みによって、図５に示す処理を開始し、各アクセスポイント装置３−ｍの不正アクセスポイント探索部３３は、ブロードキャストデータとして「不正アクセスポイント探索データ」を自社ネットワーク（有線ＬＡＮ部分）２に送信する（ステップ１５０）。ここで、不正アクセスポイント探索データは、ブロードキャストデータであれば良く、そのフォーマットなどは限定されるものではない。
【００３０】
不正アクセスポイント探索データは、自社ネットワーク（有線ＬＡＮ部分）２に送信されるので、正規のアクセスポイント装置３−ｊには到達するが、不正なアクセスポイント装置４には到達しない。不正アクセスポイント探索データは、ブロードキャストデータであるので、正規のアクセスポイント装置３−ｊは、無線ＬＡＮ側に中継する必要があると判断して、無線ＬＡＮ側に不正アクセスポイント探索データを送信する。
【００３１】
その結果、図６に示すように、正規のアクセスポイント装置３−ｊは、不正アクセスポイント探索データを、自己の管轄エリアに向けて無線送信するが、不正なアクセスポイント装置４は、不正アクセスポイント探索データを送信することはない。
【００３２】
無線データ通信処理部３２は、上述したように、図４に示す受信時処理を行う。不正アクセスポイント探索データのブロードキャストを指示したアクセスポイント装置３−ｍの無線データ通信処理部３２は、隣接アクセスポイント装置３−ｊから、自己が送信元の不正アクセスポイント探索データを無線ＬＡＮ側から受信したときには、隣接アクセスポイントテーブル３５の、今回の探索データの受信に係るＢＳＳＩＤ（隣接アクセスポイント装置３−ｊの識別情報）に対応付けて「正規」のステータスを記憶する（ステップ１０２、１０３）。
【００３３】
なお、アクセスポイント装置３−ｍの無線データ通信処理部３２は、ブロードキャストを指示した時点から、所定時間（例えば３分間）内に、自己が送信元の不正アクセスポイント探索データを無線ＬＡＮ側から受信できたときだけ「正規」のステータスを記憶し、所定時間を超えて、不正アクセスポイント探索データを受信しても、その受信を「受信でない」と見なすようにしても良い。例えば、不正なアクセスポイント装置４が、隣接アクセスポイント装置３−ｊが無線送信した探索データを受信して、あわてて、探索データを送信しても、その受信を「受信でない」と見なすことができるように所定時間を選定すれば良い。
【００３４】
一方、不正なアクセスポイント装置４は、不正アクセスポイント探索データを無線ＬＡＮ側に送信することはないので、不正アクセスポイント探索データの送信元のアクセスポイント装置３−ｍにおける隣接アクセスポイントテーブル３５は、不正なアクセスポイント装置４のＢＳＳＩＤ（識別情報）に対応付けて、「正規」のステータスを記憶することはない。
【００３５】
（Ａ−２−３）不正アクセスポイント装置の認識
不正アクセスポイント探索データの送信元のアクセスポイント装置３−ｍの不正アクセスポイント探索部３３は、その送信時点から、所定時間（例えば５分）だけ経過したときに、割り込みによって、図７に示す処理を開始し、隣接アクセスポイントテーブル３５から、「正規」のステータスが付与されていないＢＳＳＩＤ（識別情報）を取得する（ステップ２００）。「正規」のステータスが付与されていないＢＳＳＩＤ（識別情報）は、不正なアクセスポイント装置４のＢＳＳＩＤ（識別情報）であり、これにより、不正なアクセスポイント装置４の存在を検知（認識）することができる。
【００３６】
図７では省略しているが、不正アクセスポイント探索部３３は、不正なアクセスポイント装置４の存在を検知すると、上位装置に通知し、上位装置は所定の保護動作や異常報知動作などを行う。例えば、ブザーの鳴動によって監視者に不正なアクセスポイント装置４の存在を報知したり、自動的な社内放送によって、不正なアクセスポイント装置４の存在を報知したりする。その際、不正なアクセスポイント装置４の存在を検知したアクセスポイント装置３−ｍの位置情報をも含めて放送し、注意場所を教示するようにしても良い。
【００３７】
（Ａ−３）実施形態の効果
上記実施形態によれば、自社ネットワーク２の周辺エリアに設置された、第３者による不正なアクセスポイント装置を検知することができる。その結果、データの盗聴が発生する前に、管理者は適切な処置をとることができる。
【００３８】
（Ｂ）他の実施形態
上記実施形態においては、検知動作を行っているアクセスポイント装置３−ｍが、不正アクセスポイント探索データをブロードキャストさせるものを示したが、隣接アクセスポイントテーブル３５に識別情報が記憶されている隣接アクセスポイント装置からマルチキャストさせるものであっても良く（この場合に上位装置を経由させても良い）、また、隣接アクセスポイントテーブル３５に識別情報が記憶されている隣接アクセスポイント装置の１個ずつから、個別に探索データを送信させるようにしても良い（この場合に上位装置を経由させても良い）。後者の場合であれば、隣接アクセスポイント装置３−ｊに、当該隣接アクセスポイント装置３−ｍを収容先とする、無線ＬＡＮ端末と同様な無線送信動作を実行させるようにしても良い。
【００３９】
また、上記実施形態においては、検知動作を行っているアクセスポイント装置３−ｍが、不正アクセスポイント探索データを自社ネットワーク（有線ＬＡＮ部分）２に送信し、隣接アクセスポイント装置の無線探索データをモニタすることにより、正規の隣接アクセスポイント装置３−ｊを認識するものを示したが、この逆のループ経路で探索データを巡回させて、正規の隣接アクセスポイント装置を認識するようにしても良い。例えば、検知動作を行っているアクセスポイント装置３−ｍは、自己宛の不正アクセスポイント探索データを無線送信し、その無線送信された不正アクセスポイント探索データを受信した正規の隣接アクセスポイント装置３−ｊが、自社ネットワーク（有線ＬＡＮ部分）２経由で、不正アクセスポイント探索データをアクセスポイント装置３−ｍにフィードバックさせることにより（この場合に上位装置を経由させても良い）、正規の隣接アクセスポイント装置を認識するようにしても良い。
【００４０】
さらに、上記実施形態においては、全てのアクセスポイント装置が、不正のアクセスポイント装置の検知機能を有するものを示したが、一部のアクセスポイント装置が、不正のアクセスポイント装置の検知機能を備えるものであっても良い。例えば、建物の外壁に近い位置に設置されているアクセスポイント装置が、不正のアクセスポイント装置の検知機能を備えるようにしても良い。
【図面の簡単な説明】
【００４１】
【図１】実施形態のアクセスポイント装置のソフトウェア構成を示す機能ブロック図である。
【図２】企業の無線ＬＡＮシステムの基本的構成を示すブロック図である。
【図３】実施形態で利用するビーコンフレームの説明図である。
【図４】実施形態の無線データ通信処理部の受信時処理を示すフローチャートである。
【図５】実施形態の不正アクセスポイント探索部による不正アクセスポイント探索データの送信動作を示すフローチャートである。
【図６】実施形態の正規の隣接アクセスポイント装置だけが不正アクセスポイント探索データを無線送信する様子を示す説明図である。
【図７】実施形態の不正アクセスポイント探索部の正規の隣接アクセスポイント装置の認識動作を示すフローチャートである。
【符号の説明】
【００４２】
１−１〜１−Ｎ…無線ＬＡＮ端末、２…自社ネットワーク（有線ＬＡＮ）、３−１〜３−Ｍ…アクセスポイント装置、３１…無線ＬＡＮドライバ、３２…無線データ通信処理部、３３…不正アクセスポイント探索部、３４…有線ＬＡＮドライバ、３５…隣接アクセスポイントテーブル。
【図１】
0004779711.tif 000002
【図２】
0004779711.tif 000003
【図３】
0004779711.tif 000004
【図４】
0004779711.tif 000005
【図５】
0004779711.tif 000006
【図６】
0004779711.tif 000007
【図７】
0004779711.tif 000008