(57)【要約】【課題】不正アクセスポイントの検出精度を向上させる。【解決手段】不正アクセスポイント検出装置１０のトラヒック量照合部１５は、連続するｋ（ｋ≧１）個の同一タイムスロットについて、着目した非正規アクセスポイントを経由する、無線側トラヒック測定部１３及び有線側トラヒック測定部１４により順次測定された、上り及び下りごとの各トラヒックの加重和を算出する。そして、トラヒック量照合部１５は、タイムスロット［ｔｉ，ｔｉ＋ｋ］（ｉ＝１，２，・・・，ｎ−ｋ＋１）における有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉの所定相関値を判定する。例えば、トラヒック量照合部１５は、所定相関値が所定閾値以上である場合、当該非正規アクセスポイントは、不正アクセスポイントであると判定する。【選択図】図２
2016054346.tif 000002
【特許請求の範囲】
【請求項１】
管理ネットワークに接続される無線ＬＡＮ（Local  Area  Network）アクセスポイントを検出するアクセスポイント検出装置であって、
前記管理ネットワークに接続許可されない非正規無線ＬＡＮアクセスポイントを検出する検出部と、
前記検出部により検出された非正規無線ＬＡＮアクセスポイントが送受信する無線通信のトラヒックを測定する無線側トラヒック測定部と、
不正アクセスポイントの候補となる機器が送受信する有線通信のトラヒックを測定する有線側トラヒック測定部と、
前記無線通信のトラヒックと、前記有線通信のトラヒックとを照合し、所定以上の相関があるか否かを判定し、所定以上の相関がある前記非正規無線ＬＡＮアクセスポイントが不正アクセスポイントであると判定する照合部と
を備えることを特徴とするアクセスポイント検出装置。
【請求項２】
前記無線側トラヒック測定部及び前記有線側トラヒック測定部は、予め定められた時間間隔であり所定数だけ連続するタイムスロットごとに前記無線通信のトラヒック及び前記有線通信のトラヒックをそれぞれ測定し、
前記照合部は、前記無線側トラヒック測定部により測定された前記タイムスロットごとの前記無線通信のトラヒックそれぞれに加重係数を乗じて前記所定数だけ連続するタイムスロットにわたって加算した前記無線通信のトラヒックの加重和と、前記有線側トラヒック測定部により測定された前記タイムスロットごとの前記有線通信のトラヒックそれぞれに加重係数を乗じて前記所定数だけ連続するタイムスロットにわたって加算した前記有線通信のトラヒックの加重和とを照合する
ことを特徴とする請求項１に記載のアクセスポイント検出装置。
【請求項３】
前記有線側トラヒック測定部及び前記有線側トラヒック測定部は、上り及び下りごとに前記無線通信のトラヒック及び前記有線通信のトラヒックをそれぞれ測定する
ことを特徴とする請求項１又は２に記載のアクセスポイント検出装置。
【請求項４】
前記無線側トラヒック測定部及び前記有線側トラヒック測定部は、フレームのペイロードをもとにそれぞれ前記無線通信のトラヒック及び前記有線通信のトラヒックをそれぞれ測定する
ことを特徴とする請求項１、２又は３に記載のアクセスポイント検出装置。
【請求項５】
管理ネットワークに接続される無線ＬＡＮ（Local  Area  Network）アクセスポイントを検出するアクセスポイント検出装置が実行するアクセスポイント検出方法であって、
前記管理ネットワークに接続許可されない非正規無線ＬＡＮアクセスポイントを検出する検出ステップと、
前記検出ステップにより検出された非正規無線ＬＡＮアクセスポイントが送受信する無線通信のトラヒックを測定する無線側トラヒック測定ステップと、
不正アクセスポイントの候補となる機器が送受信する有線通信のトラヒックを測定する有線側トラヒック測定ステップと、
前記無線通信のトラヒックと、前記有線通信のトラヒックとを照合し、所定以上の相関があるか否かを判定し、所定以上の相関がある前記非正規無線ＬＡＮアクセスポイントが不正アクセスポイントであると判定する照合ステップと
を含むことを特徴とするアクセスポイント検出方法。
【請求項６】
前記無線側トラヒック測定ステップ及び前記有線側トラヒック測定ステップは、予め定められた時間間隔であり所定数だけ連続するタイムスロットごと、かつ、上り及び下りごとに前記無線通信のトラヒック及び前記有線通信のトラヒックをそれぞれ測定し、
前記照合ステップは、前記無線側トラヒック測定ステップにより測定された前記タイムスロットごとの前記無線通信のトラヒックそれぞれに加重係数を乗じて前記所定数だけ連続するタイムスロットにわたって加算した前記無線通信のトラヒックの加重和と、前記有線側トラヒック測定ステップにより測定された前記タイムスロットごとの前記有線通信のトラヒックそれぞれに加重係数を乗じて前記所定数だけ連続するタイムスロットにわたって加算した前記有線通信のトラヒックの加重和とを照合する
ことを特徴とする請求項５に記載のアクセスポイント検出方法。
【請求項７】
前記無線側トラヒック測定ステップ及び前記有線側トラヒック測定ステップは、フレームのペイロードをもとにそれぞれ前記無線通信のトラヒック及び前記有線通信のトラヒックをそれぞれ測定する
ことを特徴とする請求項５又は６に記載のアクセスポイント検出方法。
【請求項８】
請求項１〜４のいずれか１項に記載のアクセスポイント検出装置としてコンピュータを機能させる
ためのアクセスポイント検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスポイント検出装置、アクセスポイント検出方法、及びアクセスポイント検出プログラムに関する。
【背景技術】
【０００２】
近年、無線ＬＡＮ（Local  Area  Network）アクセスポイント、ＰＣ（Personal  Computer）上で動作するソフトアクセスポイント、Ｗｉ−Ｆｉ（登録商標）ルータ、テザリング機能付きスマートフォン等により、ユーザは、容易に無線ＬＡＮを構築し、利用できるようになってきている。
【０００３】
無線ＬＡＮアクセスポイントは、企業等の管理されたネットワークであるマネージドネットワークにおいて、管理された無線ＬＡＮアクセスポイントと、管理されていない無線ＬＡＮアクセスポイントに大別できる。ユーザは、マネージドネットワークに、マネージドネットワークにおいて管理されていない無線ＬＡＮアクセスポイントである非正規アクセスポイントを、無許可で容易に接続することが可能になっている。マネージドネットワークに接続された非正規アクセスポイントは、不正アクセスポイントと呼ばれる。
【０００４】
例えば、ユーザにより、マネージドネットワークへの接続を許可された正規のＰＣ上で動作させられたソフトアクセスポイントは、不正アクセスポイントになる場合がある。不正アクセスポイントは、マネージドネットワークへの不正侵入の入口となり得る。マネージドネットワークは、不正侵入されると、情報漏洩、Ｗｅｂサイト改ざん、マルウェア侵入等のセキュリティインシデントが発生する危険性が高い。不正アクセスポイントは、ユーザが、不正侵入を目的として悪意を持ってマネージドネットワークへ接続された非正規アクセスポイントと、ユーザが、利便性を優先し、マネージドネットワークの管理ルールに反して不用意に接続された非正規アクセスポイントとがある。
【０００５】
不正アクセスポイントを検出する技術としては、次のようなものがある。すなわち、不正アクセスポイントを、有線ＬＡＮ側で検出する技術と、無線ＬＡＮ側で検出する技術とがある。例えば、不正アクセスポイントを有線ＬＡＮ側で検出する技術は、ルータ、エッジスイッチ等、無線ＬＡＮアクセスポイントの有線ＬＡＮ側に接続されるノードの各ポートに接続されているデバイス情報を監視し、管理外の無線ＬＡＮアクセスポイントが接続されていれば不正アクセスポイントと見なす。
【０００６】
また、例えば、不正アクセスポイントを無線ＬＡＮ側で検出する技術は、無線ＬＡＮ監視装置、アナライザ等を用いて電波を観測し、無線ＬＡＮアクセスポイントとして動作するデバイスを検出して、マネージドネットワークにおいて管理される無線ＬＡＮアクセスポイント以外の非正規アクセスポイントがあれば不正アクセスポイントと見なす。
【０００７】
また、例えば、有線ＬＡＮ側で検出する技術は、ＩＥＥＥ（登録商標）８０２．１１で規定される無線通信はＩＥＥＥ８０２．３で規定される有線通信に比べてアクセス遅延が大きい場合が多いという特徴を利用する。そして、有線ＬＡＮ側で検出する技術は、パケット到着間隔、ＴＣＰ  ＡＣＫ（Transmission  Control  Protocol  ACKnowledgement）のレスポンス遅延から、無線ＬＡＮアクセスポイントからのトラヒックの存在を推定する。そして、有線ＬＡＮ側で検出する技術は、マネージドネットワークにおいて管理される無線ＬＡＮアクセスポイントが存在しないセグメントにおいて無線ＬＡＮアクセスポイントからのトラヒックが存在すれば、不正アクセスポイントが接続されていると見なす。
【先行技術文献】
【非特許文献】
【０００８】
【非特許文献１】R.Beyah,et  al.、“Rogue  Access  Point  Detection  using  Temporal  Traffic  Characteristics”、GLOBECOM、2004.
【非特許文献２】W.Wei,et  al.、“Passive  Online  Rogue  Access  Point  Detection  Using  Sequential  Hypothesis  Testing  with  TCP  ACK-Pairs”、ACM  SIGCOMM  IMC.、2007.
【非特許文献３】WildPackets,  Inc.、“Getting  the  Most  from  Your  Wireless  Network”、［online］、［平成２６年８月２０日検索］、インターネット＜ＵＲＬ：http://www.wildpackets.com/elements/whitepapers/get_the_most_from_your_wireless_network.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、上述の従来技術では、検出した非正規アクセスポイントが、Ｗｉ−Ｆｉルータ、スマートフォン等のように、プロバイダネットワークに接続された無線ＬＡＮアクセスポイントであるか、マネージドネットワークに接続された不正アクセスポイントであるかを判定することができない。すなわち、従来技術は、検出精度が低く、不正アクセスポイントを誤検出するという問題がある。
【００１０】
本願が開示する実施形態の一例は、上記に鑑みてなされたものであって、不正アクセスポイントの検出精度を向上させることを目的とする。
【課題を解決するための手段】
【００１１】
本願が開示する実施形態の一例は、管理ネットワークに接続される無線ＬＡＮ（Local  Area  Network）アクセスポイントを検出するアクセスポイント検出装置は、検出部、無線側トラヒック測定部、有線側トラヒック測定部、照合部を備える。検出部は、管理ネットワークに接続許可されない非正規無線ＬＡＮアクセスポイントを検出する。無線側トラヒック測定部は、検出部により検出された非正規無線ＬＡＮアクセスポイントが送受信する無線通信のトラヒックを測定する。有線側トラヒック測定部は、不正アクセスポイントの候補となる機器が送受信する有線通信のトラヒックを測定する。照合部は、無線通信のトラヒックと、有線通信のトラヒックとを照合し、所定以上の相関があるか否かを判定し、所定以上の相関がある非正規無線ＬＡＮアクセスポイントが不正アクセスポイントであると判定する。
【発明の効果】
【００１２】
本願が開示する実施形態の一例によれば、例えば、不正アクセスポイントの検出精度を向上させることができる。
【図面の簡単な説明】
【００１３】
【図１】図１は、実施形態１に係る不正アクセスポイント検出装置を含むマネージドネットワークの構成の一例を示す図である。
【図２】図２は、実施形態１に係る不正アクセスポイント検出装置の構成の一例示す図である。
【図３】図３は、実施形態１に係る正規アクセスポイントリストの一例を示す図である。
【図４】図４は、実施形態１に係るトラヒック量の加重和算出の一例を示す図である。
【図５】図５は、実施形態１に係る不正アクセスポイント検出処理の一例を示すフローチャートである。
【図６】図６は、実施形態２に係る不正アクセスポイント検出装置を含むマネージドネットワークの構成の一例を示す図である。
【図７】図７は、実施形態２に係る不正アクセスポイント検出装置の構成の一例を示す図である。
【図８】図８は、プログラムが実行されることにより、実施形態１及び実施形態２に係る不正アクセスポイント検出装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１４】
以下、本願が開示するアクセスポイント検出装置等の実施形態を説明する。なお、以下の実施形態は、一例を示すに過ぎず、本願が開示する技術を限定するものではない。また、以下に示す実施形態及びその変形例は、矛盾しない範囲で適宜組合せてもよい。
【００１５】
［用語の説明］
以下の実施形態で言及する各用語を説明する。「マネージドネットワーク」は、企業、官公庁等で用いられる、管理された閉域網であるネットワークを指す。「正規アクセスポイント」は、マネージドネットワークにおいて管理され、マネージドネットワークに接続が許可されている無線ＬＡＮ（Local  Area  Network）アクセスポイントである。「非正規アクセスポイント」は、マネージドネットワークにおいて管理されておらず、マネージドネットワークに接続が許可されない無線ＬＡＮアクセスポイントである。「不正アクセスポイント」は、非正規アクセスポイントのうち、所定の判定処理によりマネージドネットワークに不正接続していると判定された無線ＬＡＮアクセスポイントである。また、「不正アクセスポイント検出対象装置」は、非正規アクセスポイントが有線接続可能な、マネージドネットワークのノードである装置である。
【００１６】
また、無線ＬＡＮアクセスポイントの「無線側ＭＡＣ（Media  Access  Control）アドレス」とは、無線ＬＡＮアクセスポイントが、他装置とＩＥＥＥ８０２．１１準拠の無線ＬＡＮ通信を行う際の無線通信インターフェース側のＭＡＣアドレスである。また、無線ＬＡＮアクセスポイントの「有線側ＭＡＣアドレス」とは、無線ＬＡＮアクセスポイントが、他装置とＩＥＥＥ８０２．３準拠の有線ＬＡＮ通信を行う際の有線通信インターフェース側のＭＡＣアドレスである。
【００１７】
また、「上り」とは、マネージドネットワークにおいて、マネージドネットワークの末端ノードであって、無線ＬＡＮアクセスポイント等の外部装置との接続に用いられる接続装置であるエッジへ、外部装置に接続される装置から外部装置を経由して向かうデータ流通方向をいう。また、「下り」とは、マネージドネットワークにおいて、エッジから、外部装置を経由して外部装置に接続される装置へ向かうデータ流通方向をいう。
【００１８】
［実施形態１］
（実施形態１に係るマネージドネットワークの構成）
以下に、本願が開示する実施形態１を説明する。図１は、実施形態１に係る不正アクセスポイント検出装置を含むマネージドネットワークの構成の一例を示す図である。実施形態１に係るマネージドネットワーク１は、スイッチ２ａ〜２ｄ、スイッチ２ｄに接続された正規アクセスポイント３、不正アクセスポイント検出装置１０を有する。スイッチ２ａ〜２ｄは、他のネットワーク装置が有線接続される、ＯＳＩ（Open  Systems  Interconnection）参照モデルのレイヤ２又はレイヤ３に該当するスイッチである。
【００１９】
マネージドネットワーク１は、スイッチ２ｂを介して、非正規アクセスポイント５１が接続される。非正規アクセスポイント５１は、無線ＬＡＮ接続機能を有するＰＣ（Personal  Computer）５３ａが接続される。非正規アクセスポイント５１は、ＰＣ５３ａが接続されることにより、不正アクセスポイントになりうる。
【００２０】
また、マネージドネットワーク１は、スイッチ２ｃを介して、非正規アクセスポイントとなりうる、ソフトウェアの動作により無線ＬＡＮアクセスポイントの機能を発揮するＰＣ５２ａが接続される。ＰＣ５２ａは、無線ＬＡＮ接続機能を有するＰＣ５３ｂが接続される。ＰＣ５２ａは、ＰＣ５３ｂが接続されることにより、不正アクセスポイントになりうる。
【００２１】
また、マネージドネットワーク１は、正規アクセスポイント３を介して、非正規アクセスポイントとなりうる、ソフトウェアの動作により無線ＬＡＮアクセスポイントの機能を発揮するＰＣ５２ｂが接続される。ＰＣ５２ｂは、無線ＬＡＮ接続機能を有するＰＣ５３ｃが接続される。ＰＣ５２ｂは、ＰＣ５３ｂが接続されることにより、不正アクセスポイントになりうる。
【００２２】
不正アクセスポイント検出装置１０は、例えば、スイッチ２ｂに有線接続され、スイッチ２ｂの近傍、すなわちスイッチ２ｂに接続された非正規アクセスポイント５１の無線ＬＡＮ通信を傍受可能な範囲に設置される。なお、不正アクセスポイント検出装置１０は、不正アクセスポイント検出対象装置であるスイッチ２ｂ、２ｃ及び正規アクセスポイント３のいずれかに有線接続され、スイッチ２ｂ、２ｃ及び正規アクセスポイント３それぞれの近傍に設置される。不正アクセスポイント検出対象装置は、無線ＬＡＮ通信機能を有する装置が有線接続可能なマネージドネットワーク１におけるノードであり、図１におけるスイッチ２ｂ、２ｃ、及び正規アクセスポイント３が該当する。
【００２３】
（実施形態１に係る不正アクセスポイント検出装置の構成）
図２は、実施形態１に係る不正アクセスポイント検出装置の構成の一例を示す図である。また、図３は、実施形態１に係る正規アクセスポイントリストの一例を示す図である。実施形態１に係る不正アクセスポイント検出装置１０は、正規アクセスポイントリスト１１ａを有する記憶部１１、非正規アクセスポイント検出部１２、無線側トラヒック測定部１３、有線側トラヒック測定部１４、トラヒック量照合部１５、アンテナ１６を有する。
【００２４】
正規アクセスポイントリスト１１ａは、不正アクセスポイント検出装置が接続された正規アクセスポイントの無線ＬＡＮ側の識別情報等、例えば無線側ＭＡＣアドレスを列挙するリストである。非正規アクセスポイント検出部１２は、アンテナ１６を介して、不正アクセスポイント検出装置１０が接続される不正アクセスポイント検出対象装置の近傍で検知される無線フレームが含むアクセスポイントの無線側ＭＡＣアドレスが、正規アクセスポイントリスト１１ａに登録されているか否かを判定する。
【００２５】
そして、非正規アクセスポイント検出部１２は、当該アクセスポイントの無線側ＭＡＣアドレスが正規アクセスポイントリスト１１ａに登録されている場合、当該無線フレームを送受信するアクセスポイントを正規アクセスポイントと判定する。また、非正規アクセスポイント検出部１２は、当該アクセスポイントの無線側ＭＡＣアドレスが正規アクセスポイントリスト１１ａに登録されていない場合、当該無線フレームを送受信するアクセスポイントを非正規アクセスポイントと判定する。
【００２６】
無線側トラヒック測定部１３は、非正規アクセスポイント検出部１２が検出した無線フレームが含む非正規アクセスポイントの無線側ＭＡＣアドレスに着目する。そして、無線側トラヒック測定部１３は、当該無線側ＭＡＣアドレスが送信先ＭＡＣアドレスとして格納される無線フレームのトラヒック量を上りのトラヒック量とし、当該無線側ＭＡＣアドレスが送信元ＭＡＣアドレスとして格納される無線フレームのトラヒック量を下りのトラヒック量として、無線フレームのトラヒック量を上り及び下りごとに順次測定する。無線側トラヒック測定部１３は、コントロールフレーム、マネジメントフレーム等を除外したデータフレームのペイロードについて、無線フレームのトラヒック量を測定する。
【００２７】
無線側トラヒック測定部１３は、無線フレームのトラヒック量を測定する際に、所定長のタイムスロット単位で測定する。ここでの上りとは、非正規アクセスポイントへの無線フレーム送信方向である。また、ここでの下りとは、非正規アクセスポイントからの無線フレーム送信方向である。なお、無線側トラヒック測定部１３は、モニタツール、キャプチャツール等の既存技術を用いて無線フレームのトラヒック量を測定する。
【００２８】
なお、無線側トラヒック測定部１３は、非正規アクセスポイント検出部１２が検出した非正規アクセスポイントの無線側ＭＡＣアドレスを含む無線フレームが検出できない場合、無線フレームのトラヒック測定は行わない。
【００２９】
有線側トラヒック測定部１４は、非正規アクセスポイントの無線側ＭＡＣアドレスが送信元ＭＡＣアドレスとして格納される有線フレームのトラヒック量を上りのトラヒック量とし、当該無線側ＭＡＣアドレスが送信先ＭＡＣアドレスとして格納される有線フレームのトラヒック量を下りのトラヒック量として、当該不正アクセスポイント検出対象装置において、有線フレームのトラヒック量を上り及び下りごとに順次測定する。有線側トラヒック測定部１４は、有線フレームのペイロードについて、トラヒック量を測定する。
【００３０】
有線側トラヒック測定部１４は、有線フレームのトラヒック量を測定する際に、無線側トラヒック測定部１３が無線フレームのトラヒック量を測定する際の所定長のタイムスロットとタイミング及び長さが同一のタイムスロット単位で測定する。ここでの上りとは、非正規アクセスポイントから当該不正アクセスポイント検出対象装置へのフレーム送信方向である。また、ここでの下りとは、非正規アクセスポイントへの当該不正アクセスポイント検出対象装置からのフレーム送信方向である。なお、有線側トラヒック測定部１４は、モニタツール、キャプチャツール等の既存技術を用いて有線フレームのトラヒック量を測定する。
【００３１】
トラヒック量照合部１５は、無線側トラヒック測定部１３及び有線側トラヒック測定部１４により順次測定された、連続するｋ（ｋ≧１）個の同一タイムスロットについて、上り及び下りごとに、各トラヒックの加重和を算出する。なお、以下では、ｉ，ｊ：タイムスロットを示すインデックス、ｎ：不正アクセスポイント検出処理に用いるタイムスロットの総数、ｋ：トラヒック量の加重和の算出に用いるタイムスロットの数、とする。
【００３２】
図４は、実施形態１に係るトラヒック量の加重和算出の一例を示す図である。図４に示すタイムスロット［ｔｉ，ｔｉ＋１］（ｉ＝１，２，・・・，ｎ）において測定した、有線フレームのトラヒックの総量をａｉ、無線フレームのトラヒックの総量をｂｉとする。
【００３３】
図４の例において、グラフｇ１は、有線フレームのトラヒックの総量ａｉの経時的変化を示す。また、図４の例において、グラフｇ２は、無線フレームのトラヒックの総量ｂｉの経時的変化を示す。タイムスロット［ｔ１，ｔ２］における有線フレームのトラヒックの総量はａ１、無線フレームのトラヒックの総量はｂ１である。また、タイムスロット［ｔ２，ｔ３］における有線フレームのトラヒックの総量はａ２、無線フレームのトラヒックの総量はｂ２である。また、タイムスロット［ｔ３，ｔ４］における有線フレームのトラヒックの総量はａ３、無線フレームのトラヒックの総量はｂ３である。また、タイムスロット［ｔ４，ｔ５］における有線フレームのトラヒックの総量はａ４、無線フレームのトラヒックの総量はｂ４である。
【００３４】
有線フレーム及び無線フレームの単位時間あたりのトラヒック量ａｉ及びｂｉは、同一通信によるフレームであれば、概ね一致する（ａｉ≒ｂｉとなる）。しかし、実際にはスイッチや無線ＬＡＮアクセスポイントでの処理遅延、転送遅延、伝播遅延等があるため、有線フレーム及び無線フレームの単位時間あたりのトラヒック量は、必ずしも一致しない。そこで、実施形態は、連続するｋ個（ｋ≧１）の同一タイムスロットでの有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉを照合する。具体的には、トラヒック量照合部１５は、トラヒック量の照合に、以下の（１）式、（２）式のような加重和を用いる。
【００３５】
【数１】
2016054346.tif 000003
【００３６】
そして、トラヒック量照合部１５は、タイムスロット［ｔｉ，ｔｉ＋ｋ］（ｉ＝１，２，・・・，ｎ−ｋ＋１）における有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉの相関を判定する。
【００３７】
例えば、トラヒック量照合部１５は、以下の（３）式のような有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉの相関係数ρ（Ａｉ，Ｂｉ）を算出する。そして、トラヒック量照合部１５は、相関係数ρ（Ａｉ，Ｂｉ）が所定閾値以上である場合、当該非正規アクセスポイントは、不正アクセスポイントであると判定する。そして、トラヒック量照合部１５は、不正アクセスポイントであると判定した場合、アラートを図示しない出力部から出力する。一方、トラヒック量照合部１５は、ρ（Ａｉ，Ｂｉ）が所定閾値未満である場合、当該非正規アクセスポイントは、不正アクセスポイントではないと判定する。
【００３８】
【数２】
2016054346.tif 000004
【００３９】
または、トラヒック量照合部１５は、以下の（４）式のような有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉの相関値Ｉ（Ａｉ，Ｂｉ）を算出し、上述の相関係数ρ（Ａｉ，Ｂｉ）に代えて、有線フレームのトラヒック量Ａｉ及び無線フレームのトラヒック量Ｂｉの相関を判定してもよい。なお、（４）式において、Ａｉ及びＢｉを入れ替えたものを相関値Ｉ（Ａｉ，Ｂｉ）としてもよい。
【００４０】
【数３】
2016054346.tif 000005
【００４１】
（実施形態１に係る不正アクセスポイント検出処理）
図５は、実施形態１に係る不正アクセスポイント検出処理の一例を示すフローチャートである。実施形態１に係る不正アクセスポイント検出処理は、不正アクセスポイント検出処理を行う都度実行されてもよいし、常時実行されてもよい。
【００４２】
先ず、不正アクセスポイント検出装置１０の非正規アクセスポイント検出部１２は、非正規アクセスポイントが検出されたか否かを判定する（ステップＳ１１）。そして、無線側トラヒック測定部１３は、非正規アクセスポイント検出部１２により非正規アクセスポイントが検出された場合（ステップＳ１１Ｙｅｓ）、検出された非正規アクセスポイントについて、タイムスロットごとに無線側の上下トラヒック量を測定する（ステップＳ１２）。一方、非正規アクセスポイント検出部１２は、非正規アクセスポイントが検出されなかった場合（ステップＳ１１Ｎｏ）、不正アクセスポイント検出処理を終了する。
【００４３】
ステップＳ１２に続いて、有線側トラヒック測定部１４は、不正アクセスポイントの候補となる機器について、タイムスロットごと、ＭＡＣアドレスごとに、有線側の上下トラヒック量を測定する（ステップＳ１３）。次に、トラヒック量照合部１５は、連続するｋ個（ｋ≧１）のタイムスロットについて、上り下りごと、有線側無線側ごとに無線フレーム及び有線フレームの各トラヒック量の加重和を算出する（ステップＳ１４）。
【００４４】
次に、トラヒック量照合部１５は、上り下りごとに、有線側無線側の各トラヒック量の加重和を比較する（ステップＳ１５）。次に、トラヒック量照合部１５は、無線側有線側の各トラヒック量の加重和の相関が閾値以上である否かを判定する（ステップＳ１６）。トラヒック量照合部１５は、無線側有線側の各トラヒック量の加重和の相関が閾値以上であると判定した場合（ステップＳ１６Ｙｅｓ）、非正規アクセスポイントが不正アクセスポイントであると判定し、出力部からアラート出力する（ステップＳ１７）。非正規アクセスポイント検出部１２は、ステップＳ１７の処理が終了すると、ステップＳ１８へ処理を移す。
【００４５】
一方、トラヒック量照合部１５は、無線側有線側の各トラヒック量の加重和の相関が閾値未満であると判定した場合（ステップＳ１６Ｎｏ）、非正規アクセスポイントは不正アクセスポイントでないと判定し、ステップＳ１８へ処理を移す。
【００４６】
ステップＳ１８では、非正規アクセスポイント検出部１２は、他に非正規アクセスポイントが検出できるか否かを判定する。非正規アクセスポイント検出部１２は、他に非正規アクセスポイントが検出できると判定した場合（ステップＳ１８Ｙｅｓ）、ステップＳ１１へ処理を移す。一方、非正規アクセスポイント検出部１２は、他に非正規アクセスポイントが検出できないと判定した場合（ステップＳ１８Ｎｏ）、不正アクセスポイント検出処理を終了する。
【００４７】
なお、上述の実施形態１に係る不正アクセスポイント検出処理では、非正規アクセスポイントを１つ検出するごとに、検出した非正規アクセスポイントについて無線側有線側の各トラヒック量を測定し、照合する。しかし、これに限らず、実施形態１は、非正規アクセスポイントを複数同時に検出し、検出した複数の非正規アクセスポイントについて無線側有線側の各トラヒック量を測定し、照合する処理を並行して行ってもよい。
【００４８】
（実施形態１による効果）
従来技術は、不正アクセスポイントが、有線側のＭＡＣアドレスについて、正規アクセスポイントのＭＡＣアドレスを詐称していれば検出できない。また、従来技術は、正規アクセスポイントに接続したＰＣ上で不正アクセスポイントが動作している場合、マネージドネットワークに有線で接続した正規ＰＣ上で不正アクセスポイントが動作している場合に、ルータ、スイッチが、正規デバイスが接続していると判定してしまうため、不正アクセスポイントを検出できない。
【００４９】
また、従来技術は、無線ＬＡＮの通信速度が有線ＬＡＮの通信速度よりも小さいことを前提としているが、近年は無線ＬＡＮが高速化しており、無線ＬＡＮの通信速度が有線ＬＡＮの通信速度よりも大きい場合、有線ＬＡＮの送信遅延が支配的となり、無線ＬＡＮのフレーム到着間隔の特徴を検出できない。また、従来技術は、ＴＣＰ  ＡＣＫがないＵＤＰによる通信の場合は、不正アクセスポイントを検出できない。
【００５０】
一方、実施形態１は、アクセスポイントの無線側ＭＡＣアドレスをもとに、非正規アクセスポイントを検出するので、不正アクセスポイントが有線側のＭＡＣアドレスについて正規アクセスポイントのＭＡＣアドレスを詐称していても、不正アクセスポイントを検出できる。また、実施形態１は、アクセスポイントの無線側ＭＡＣアドレスをもとに、非正規アクセスポイントを検出するので、ペイロードが暗号化された無線ＬＡＮフレームであっても、暗号化されていないヘッダ情報のＭＡＣアドレスをもとに、不正アクセスポイントを検出できる。また、実施形態１は、正規アクセスポイントに接続したＰＣ上で不正アクセスポイントが動作している場合、マネージドネットワークに有線で接続した正規ＰＣ上で不正アクセスポイントが動作している場合でも、アクセスポイントの無線側ＭＡＣアドレスをもとに非正規アクセスポイントを検出するので、不正アクセスポイントを検出できる。
【００５１】
また、実施形態１は、無線フレームと有線フレームとを、単位時間あたりのトラヒック量で照合するため、到着間隔等のフレーム個々の特徴に依存せず、不正アクセスポイントを検出できる。また、実施形態１は、ＭＡＣアドレスをもとに不正アクセスポイントを検出するので、ＯＳＩ参照モデルのレイヤ３以上の通信プロトコルに依存せず、不正アクセスポイントを検出できる。
【００５２】
すなわち、実施形態１は、マネージドネットワークへのアクセスポイントの接続形態、無線ＬＡＮでの暗号化の有無、無線ＬＡＮと有線ＬＡＮの通信速度の大小関係、レイヤ３以上の上位プロトコル、正規アクセスポイントの有線側ＭＡＣアドレス詐称に依存せず、不正アクセスポイントを検出できる。
【００５３】
［実施形態２］
以下に、本願が開示する実施形態２を説明する。実施形態２の説明において、実施形態１と同一の構成要素及び処理機能については同一の符号を付して説明を省略し、差分についてのみ説明する。実施形態２は、不正アクセスポイント検出装置が、各不正アクセスポイント検出対象装置の近傍に設置されたアンテナを介して検出した各無線ＬＡＮ通信について、不正アクセスポイント検出処理を集中制御して実行する点で、実施形態１と異なる。
【００５４】
（実施形態２に係るマネージドネットワークの構成）
図６は、実施形態２に係る不正アクセスポイント検出装置を含むマネージドネットワークの構成の一例を示す図である。実施形態２に係るマネージドネットワーク１−１は、実施形態に係るマネージドネットワーク１と比較して、不正アクセスポイント検出装置１０に代えて、不正アクセスポイント検出装置１０−１を有する。
【００５５】
実施形態２に係る不正アクセスポイント検出装置１０−１は、スイッチ２ｂ、２ｃ及び正規アクセスポイント３それぞれの近傍に設置されるアンテナ１６ａ、１６ｂ及び１６ｃから、各装置が行う無線ＬＡＮ通信の無線フレームを受信し、そのトラヒック量を測定する。また、不正アクセスポイント検出装置１０−１は、スイッチ２ｂ、２ｃ及び正規アクセスポイント３の全てに有線接続され、アンテナ１６ａ、１６ｂ及び１６ｃを介して受信した無線フレームに該当する有線フレームのトラヒック量を、スイッチ２ｂ、２ｃ及び正規アクセスポイント３において測定する。
【００５６】
（実施形態２に係る不正アクセスポイント検出装置の構成）
図７は、実施形態２に係る不正アクセスポイント検出装置の構成の一例を示す図である。実施形態２に係る不正アクセスポイント検出装置１０−１は、正規アクセスポイントリスト１１ａを有する記憶部１１、非正規アクセスポイント検出部１２−１、無線側トラヒック測定部１３−１、有線側トラヒック測定部１４−１、トラヒック量照合部１５−１、アンテナ１６ａ、１６ｂ及び１６ｃを有する。
【００５７】
非正規アクセスポイント検出部１２−１は、アンテナ１６ａ、１６ｂ及び１６ｃを介して、各アンテナが近傍に配置される不正アクセスポイント検出対象装置の近傍で検知される無線フレームが含むアクセスポイントのＭＡＣアドレスが、正規アクセスポイントリスト１１ａに登録されているか否かを判定する。
【００５８】
そして、非正規アクセスポイント検出部１２−１は、当該アクセスポイントの無線側ＭＡＣアドレスが正規アクセスポイントリスト１１ａに登録されている場合、当該無線フレームを送受信するアクセスポイントを正規アクセスポイントと判定する。また、非正規アクセスポイント検出部１２−１は、当該アクセスポイントの無線側ＭＡＣアドレスが正規アクセスポイントリスト１１ａに登録されていない場合、当該無線フレームを送受信するアクセスポイントを非正規アクセスポイントと判定する。
【００５９】
無線側トラヒック測定部１３−１は、非正規アクセスポイント検出部１２−１が検出した無線フレームが含む非正規アクセスポイントの無線側ＭＡＣアドレスに着目する。そして、無線側トラヒック測定部１３−１は、非正規アクセスポイントの無線側ＭＡＣアドレスが送信元ＭＡＣアドレスとして格納される無線フレームのトラヒック量を上りのトラヒック量とし、当該無線側ＭＡＣアドレスが送信先ＭＡＣアドレスとして格納される無線フレームのトラヒック量を下りのトラヒック量として、無線フレームのトラヒック量を上り及び下りごとに順次測定する。
【００６０】
有線側トラヒック測定部１４−１は、不正アクセスポイントの候補となる機器のＭＡＣアドレスが送信元ＭＡＣアドレスとして格納される有線フレームのトラヒック量を上りのトラヒック量とし、当該ＭＡＣアドレスが送信先ＭＡＣアドレスとして格納される有線フレームのトラヒック量を下りのトラヒック量として、当該不正アクセスポイント検出対象装置において、有線フレームのトラヒック量を上り及び下りごとに順次測定する。
【００６１】
トラヒック量照合部１５−１は、無線側トラヒック測定部１３−１及び有線側トラヒック測定部１４−１により順次測定された、連続するｋ（ｋ≧１）個の同一タイムスロットについて、上り及び下りごとに、各トラヒックの加重和を算出する。そして、トラヒック量照合部１５−１は、トラヒックごとに、有線側トラヒック量と、無線側トラヒック量との所定相関値を求め、所定相関値が所定閾値以上である場合、当該非正規アクセスポイントは、不正アクセスポイントであると判定する。
【００６２】
（変形例）
実施形態１及び２では、連続するｋ（ｋ≧１）個のタイムスロットについて、有線側トラヒック量及び無線側トラヒック量の加重和を算出し、有線側トラヒック及び無線側トラヒックの相関を判定する。しかし、これに限らず、連続するｋ（ｋ≧１）個のタイムスロットを１つのタイムスロットと見なし、１つのタイムスロットにおける有線側トラヒック総量及び無線側トラヒック総量の差が所定閾値以下である場合、有線側トラヒック及び無線側トラヒック間に相関があると判定してもよい。
【００６３】
また、実施形態１及び２では、上り及び下りの別で、有線側トラヒック量及び無線側トラヒック量を測定するが、これに限らず、上りのみ又は下りのみのいずれかの別で、有線側トラヒック量及び無線側トラヒック量を測定してもよい。
【００６４】
実施形態１及び２において、（１）式、（２）式におけるｋ（ｋ≧１）個の加重係数｛αｊ｝、｛βｊ｝（ｊ＝１，２，・・・，ｋ）は、マネージドネットワーク１、１−１の設計段階で、ネットワーク構成、各ネットワークノードの処理性能等に応じて予め決定した値であってもよい。または、加重係数｛αｊ｝、｛βｊ｝（ｊ＝１，２，・・・，ｋ）は、有線側トラヒック量及び無線側トラヒック量の加重和を算出し、有線側トラヒック及び無線側トラヒックの相関を判定する都度、相関を示す値が最小値となるように、最適化されてもよい。
【００６５】
実施形態１及び２では、有線側トラヒック量及び無線側トラヒック量を測定する際に、有線フレーム及び無線フレームのＯＨ（Over  Head）を除外したペイロードのみで測定するとしたが、これに限らず、ＯＨを含めた有線フレーム及び無線フレームで有線側トラヒック量及び無線側トラヒック量を測定してもよい。ＯＨを含めた有線フレーム及び無線フレームで有線側トラヒック量及び無線側トラヒック量を測定する場合、有線側トラヒック及び無線側トラヒックの相関を判定する閾値は、ＯＨを除外する場合と比べ、ＯＨを考慮して、より低い値としてもよい。
【００６６】
また、実施形態では、マネージドネットワーク１、１−１内及びマネージドネットワーク１、１−１に接続された各装置間を流通するデータは、フレームであるとしたが、これに限らず、パケット、セル、セグメント、データグラム、メッセージ等であってもよい。
【００６７】
（実施形態２による効果）
実施形態２によれば、各不正アクセスポイント検出対象装置に接続された非正規アクセスポイントの検出、及び非正規アクセスポイントのうちの不正アクセスポイントの検出を、集中して実行するので、マネージドネットワーク１−１全体について、不正アクセスポイントの存在を、一元的に把握することができる。
【００６８】
（実施形態のシステム及び装置構成について）
図１及び図６に示すマネージドネットワーク１及び１−１、図２及び図７に示す不正アクセスポイント検出装置１０及び１０−１の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、マネージドネットワーク１及び１−１、不正アクセスポイント検出装置１０及び１０−１の機能の分散および統合の具体的形態は図示のものに限られず、全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。
【００６９】
また、不正アクセスポイント検出装置１０及び１０−１において行われる各処理は、全部又は任意の一部が、ＣＰＵ（Central  Processing  Unit）により解析実行されるプログラムにて実現されてもよい。また、不正アクセスポイント検出装置１０及び１０−１において行われる各処理は、ワイヤードロジックによるハードウェアとして実現されてもよい。
【００７０】
また、実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。若しくは、実施形態において説明した各処理のうち、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上述及び図示の処理手順、制御手順、具体的名称、各種のデータやパラメタを含む情報については、特記する場合を除いて適宜変更することができる。
【００７１】
（プログラムについて）
図８は、プログラムが実行されることにより、実施形態１及び実施形態２に係る不正アクセスポイント検出装置が実現されるコンピュータの一例を示す図である。すなわち、図８は、不正アクセスポイント検出装置１０及び１０−１における各処理がコンピュータを用いて具体的に実現されることを示す図である。図８に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
【００７２】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１及びＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１０６１に接続される。
【００７３】
ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、不正アクセスポイント検出装置１０及び１０−１の各処理を規定するプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、例えばハードディスクドライブ１０３１に記憶される。例えば、不正アクセスポイント検出装置１０及び１０−１における機能構成と同様の情報処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００７４】
また、上述した実施形態での処理で用いられる各種データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【００７５】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１、ＳＳＤ（Solid  State  Drive）等の外部記憶装置に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００７６】
以上の実施形態並びにその変形例は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。
【符号の説明】
【００７７】
１０、１０−１  不正アクセスポイント検出装置
１１            記憶部
１１ａ          正規アクセスポイントリスト
１２、１２−１  非正規アクセスポイント検出部
１３、１３−１  無線側トラヒック測定部
１４、１４−１  有線側トラヒック測定部
１５、１５−１  トラヒック量照合部
【図１】
2016054346.tif 000006
【図２】
2016054346.tif 000007
【図３】
2016054346.tif 000008
【図４】
2016054346.tif 000009
【図５】
2016054346.tif 000010
【図６】
2016054346.tif 000011
【図７】
2016054346.tif 000012
【図８】
2016054346.tif 000013