(57)【要約】【課題】様々な特徴を持つ不正ＡＰを検出する。【解決手段】検出装置１０は、無線通信によって送信されたビーコンフレームを受信し、ビーコンフレームに記録された時刻と、ビーコンフレームが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第１の値を計算する。また、検出装置１０は、有線通信によって送信されたＴＣＰパケットを受信し、ＴＣＰパケットに記録された時刻と、ＴＣＰパケットが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第２の値を計算する。さらに、検出装置１０は、第１の値および第２の値の差が所定値以下である場合、第１の通信装置は第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する。【選択図】図４
2017208765.tif 000002
【特許請求の範囲】
【請求項１】
第１の時計と、
第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信部と、
前記第１の受信部によって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信部によって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算部と、
第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信部と、
前記第２の受信部によって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信部によって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算部と、
前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定部と、
を有することを特徴とする検出システム。
【請求項２】
前記第１の受信部は、前記第１の通信装置のうち、あらかじめ設定された所定の条件を満たす第１の通信装置から無線通信によって送信されたビーコンフレームを受信することを特徴とする請求項１に記載の検出システム。
【請求項３】
第１の時計を有する無線側解析装置と、第２の時計を有する有線側解析装置と、第３の時計を有する判定装置と、を有する検出システムであって、
前記無線側解析装置は、
第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信部と、
前記第１の受信部によって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信部によって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算部と、
を有し、
前記有線側解析装置は、
第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信部と、
前記第２の受信部によって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信部によって前記ＴＣＰパケットが受信された時の前記第２の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第２の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算部と、
を有し、
前記判定装置は、
前記第１の時計の進み方と前記第３の時計の進み方とのずれの度合いを示す第１の差分値、および前記第２の時計の進み方と前記第３の時計の進み方とのずれの度合いを示す第２の差分値を計算する第３の計算部と、
前記第１の値および前記第１の差分値を基に、前記第１の通信装置の時計の進み方と前記第３の時計の進み方とのずれの度合いを示す第１の補正値を計算し、前記第２の値および前記第２の差分値を基に、前記第２の通信装置の時計の進み方と前記第３の時計の進み方とのずれの度合いを示す第２の補正値を計算する補正部と、
前記第１の補正値および前記第２の補正値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定部と、
を有することを特徴とする検出システム。
【請求項４】
第１の時計を有する検出システムで行われる検出方法であって、
第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信工程と、
前記第１の受信工程によって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信工程によって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算工程と、
第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信工程と、
前記第２の受信工程によって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信工程によって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算工程と、
前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定工程と、
を含んだことを特徴とする検出方法。
【請求項５】
第１の時計を有するコンピュータに、
第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信ステップと、
前記第１の受信ステップによって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信ステップによって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算ステップと、
第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信ステップと、
前記第２の受信ステップによって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信ステップによって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算ステップと、
前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定ステップと、
を実行させることを特徴とする検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検出システム、検出方法および検出プログラムに関する。
【背景技術】
【０００２】
ＡＰ（Access  Point：アクセスポイント）、Ｗｉ−Ｆｉ（登録商標）ルータ、スマートフォンにおけるテザリング機能等の普及により、ユーザは容易に無線ＬＡＮ（Local  Area  Network）を構築し、利用できるようになってきている。また、ＰＣ（Personal  Computer：パーソナルコンピュータ）上で動作するソフトＡＰが普及してきており、ＡＰ専用機がなくても無線ＬＡＮを構築し、利用できるようになってきている。一方で、無線ＬＡＮには、容易に通信傍受可能、攻撃者を発見しづらい、攻撃の防御が困難といった特徴があり、様々なセキュリティ脅威があることがわかっている。
【０００３】
ＡＰは、マネージドＮＷ（NetWork）で管理されたＡＰ（以降、正規ＡＰと呼ぶ）と、マネージドＮＷで管理されていないＡＰ（以降、非正規ＡＰと呼ぶ）に大別できる。ユーザは、容易にマネージドＮＷに無許可で非正規ＡＰを接続することができる（以降、そのようなＡＰを不正ＡＰと呼ぶ）。特に、マネージドＮＷへの接続を許可された正規クライアント上において無許可でソフトＡＰを動作させることにより、正規クライアントが不正ＡＰになってしまう場合がある。
【０００４】
不正ＡＰは、不正侵入を目的として悪意を持って接続される場合と、ユーザが利便性を優先し、ＮＷ管理ルールに反して不用意に接続される場合がある。いずれの場合も、不正ＡＰはマネージドＮＷへの不正侵入の入口となり得る。さらに、不正侵入が行われると、情報漏洩、Ｗｅｂサイト改ざん、マルウェア侵入等のセキュリティインシデントが発生する危険性が高まる。
【０００５】
このような不正ＡＰを検出する方法として、例えば、無線ＬＡＮの電波を観測し、ＡＰとして動作するデバイスを検出し、検出したデバイスのうち、ＮＷ管理者が管理するＡＰ以外のＡＰ（非正規ＡＰ）を不正ＡＰとして検出する方法が知られている（例えば、非特許文献１を参照）。
【０００６】
また、有線ＬＡＮ側に接続されたデバイス情報を監視し、管理外のＡＰが接続されていれば、当該ＡＰを不正ＡＰとして検出する方法が知られている。また、８０２．１１（無線）では８０２．３（有線）に比べてアクセス遅延が大きいという特徴を利用し、パケット到着間隔やＴＣＰ  ＡＣＫのレスポンス遅延を基に無線ＬＡＮからのトラヒックの存在を推定し、正規ＡＰがないセグメントで無線ＬＡＮからのトラヒックが存在すれば、不正ＡＰが接続されていると見なす方法が知られている（例えば、非特許文献２または３を参照）。
【先行技術文献】
【非特許文献】
【０００７】
【非特許文献１】“Getting  the  Most  from  Your  Wireless  Network”、[online]、[平成２８年５月１０日検索]、インターネット（http://www.wildpackets.com/elements/whitepapers/get_the_most_from_your_wireless_network.pdf）
【非特許文献２】R.  Beyah,  et  al.,  “Rogue  Access  Point  Detection  Using  Temporal  Traffic  Characteristics”,  GLOBECOM  2004.
【非特許文献３】W.  Wei,  et  al.,  “Passive  Online  Rogue  Access  Point  Detection  Using  Sequential  Hypothesis  Testing  with  TCP  ACK-Pairs”,  ACM  SIGCOMM  IMC  2007.
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、様々な特徴を持つ不正ＡＰが存在する一方で、従来の不正ＡＰを検出する方法では、そのような不正ＡＰを検出することができないことがあるという問題があった。
【０００９】
例えば、無線ＬＡＮの電波を観測する方法では、不正ＡＰが無線ＬＡＮ部分で暗号化を行っている場合、情報を読み取ることができないため、不正ＡＰを検出することができないことがある。
【００１０】
また、例えば、有線ＬＡＮ側に接続されたデバイス情報を監視する方法では、不正ＡＰが正規ＡＰのＭＡＣアドレスを詐称している場合や、正規クライアント上で不正ＡＰが動作している場合、不正ＡＰを検出することができないことがある。また、近年では無線ＬＡＮの通信速度が向上しているため、例えば、無線の方がアクセス遅延が大きいという特徴を利用した方法では不正ＡＰを検出することができないことがある。
【００１１】
なお、有線側の集約スイッチでクライアントのＩＰアドレス別のトラフィック量を測定し、無線側で非正規ＡＰが送受信するトラフィック量を測定し、両者の時間推移の特徴が一致するフローがあれば、当該ＡＰをマネージドＮＷに接続した不正ＡＰとして検出する方法であっても、正規クライアント上で不正なソフトＡＰが動作している場合、有線側では当該正規クライアント自身が発生させるトラフィックも混在するため、有線側と無線側の時間推移の特徴は一致せず、ソフトＡＰを検出することは困難である。
【課題を解決するための手段】
【００１２】
本発明の検出システムは、第１の時計と、第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信部と、前記第１の受信部によって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信部によって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算部と、第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信部と、前記第２の受信部によって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信部によって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算部と、前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定部と、を有することを特徴とする。
【００１３】
また、本発明の検出方法は、第１の時計を有する検出システムで行われる検出方法であって、第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信工程と、前記第１の受信工程によって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信工程によって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算工程と、第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信工程と、前記第２の受信工程によって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信工程によって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算工程と、前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定工程と、を含んだことを特徴とする。
【００１４】
また、本発明の検出プログラムは、第１の時計を有するコンピュータに、第１の通信装置から無線通信によって送信されたビーコンフレームを受信する第１の受信ステップと、前記第１の受信ステップによって受信された前記ビーコンフレームに記録された時刻と、前記第１の受信ステップによって前記ビーコンフレームが受信された時の前記第１の時計が示す時刻と、を基に、前記第１の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第１の値を計算する第１の計算ステップと、第２の通信装置から有線通信によって送信されたＴＣＰパケットを受信する第２の受信ステップと、前記第２の受信ステップによって受信された前記ＴＣＰパケットに記録された時刻と、前記第２の受信ステップによって前記ＴＣＰパケットが受信された時の前記第１の時計が示す時刻と、を基に、前記第２の通信装置の時計の進み方と前記第１の時計の進み方とのずれの度合いを示す第２の値を計算する第２の計算ステップと、前記第１の値および前記第２の値の差が所定値以下である場合、前記第１の通信装置は前記第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する判定ステップと、を実行させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、様々な特徴を持つ不正ＡＰを検出することができる。
【図面の簡単な説明】
【００１６】
【図１】図１は、不正ＡＰについて説明するための図である。
【図２】図２は、第１の実施形態における不正ＡＰの検出方法について説明するための図である。
【図３】図３は、第１の実施形態に係る検出システムの構成の一例を示す図である。
【図４】図４は、第１の実施形態に係る検出装置の構成の一例を示す図である。
【図５】図５は、第１の実施形態に係る検出装置の処理の流れを示すフローチャートである。
【図６】図６は、第２の実施形態に係る検出システムの構成の一例を示す図である。
【図７】図７は、第２の実施形態に係る無線側解析装置の構成の一例を示す図である。
【図８】図８は、第２の実施形態に係る有線側解析装置の構成の一例を示す図である。
【図９】図９は、第２の実施形態に係る判定装置の構成の一例を示す図である。
【図１０】図１０は、第２の実施形態に係る検出システムの処理の流れを示すフローチャートである。
【図１１】図１１は、プログラムが実行されることにより検出装置が実現されるコンピュータの一例を示す図である。
【発明を実施するための形態】
【００１７】
以下に、本願に係る検出システム、検出方法および検出プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態により本発明が限定されるものではない。
【００１８】
［不正ＡＰについて］
まず、図１を用いて、第１の実施形態に係る検出システムによって検出される不正ＡＰについて説明する。図１は、不正ＡＰについて説明するための図である。図１に示すように、マネージドＮＷ１ａには、スイッチ１０ａ、１１ａおよび１２ａが含まれる。図１の例では、スイッチ１１ａには、ＡＰ１３ａが接続されている。ＡＰ１３ａは、例えば正規ＡＰまたは偽装ＡＰである。さらに、ＰＣ１４ａは、ＡＰ１３ａを介してマネージドＮＷ１ａに接続する。
【００１９】
また、スイッチ１２ａには、正規クライアントであるＰＣ１５ａが接続されている。さらに、ＰＣ１５ａ上ではソフトＡＰが機能している。そして、ＰＣ１６ａは、ＰＣ１５ａを介してマネージドＮＷ１ａに接続する。
【００２０】
このとき、例えば、ソフトＡＰがマネージドＮＷ１ａの管理者の許可なく動作している場合、ＰＣ１５ａは不正ＡＰである。第１の実施形態に係る検出システムは、このような不正ＡＰを検出する。なお、ＡＰおよびＡＰとして機能するクライアントは、中継装置の一例である。
【００２１】
ここで、不正ＡＰは、無線通信および有線通信の両方を行うという特徴がある。図１の例では、不正ＡＰであるＰＣ１５ａは、スイッチ１２ａとの間で有線通信を行い、ＰＣ１６ａとの間で無線通信を行う。
【００２２】
また、ＰＣ等の装置には、一般的に時計が備えられている。そして、装置は、パケットやフレームを送出する場合、時計が示す時刻に基づいたタイムスタンプを、当該パケットやフレームに記録する。また、装置に備えられた時計の進み方の特性は、装置ごとに異なる。このため、同一の装置から送出されたパケットやフレームに記録されたタイムスタンプには、当該装置に備えられた時計の進み方の特性が現れることが考えられる。つまり、各装置の時計の進み方の特性を、各装置の固有の情報として扱うことができる。
【００２３】
そこで、第１の実施形態に係る検出システムは、無線側でキャプチャしたパケットやフレームに記録されたタイムスタンプ、および有線側でキャプチャしたパケットやフレームに記録されたタイムスタンプから得られる時計の進み方の特性が一致する場合、当該パケットやフレームを送出した装置が同一であると判定する。そして、検出システムは、このような装置を不正ＡＰとして検出する。
【００２４】
具体的には、検出システムは、図２に示すように、有線側および無線側でキャプチャしたパケットやフレームに記録されたタイムスタンプのマスタークロックとのずれを基に判定を行う。図２は、第１の実施形態における不正ＡＰの検出方法について説明するための図である。
【００２５】
［第１の実施形態の構成］
図３を用いて、第１の実施形態に係る検出システムの構成について説明する。図３は、第１の実施形態に係る検出システムの構成の一例を示す図である。図３に示すように、検出システム１は、検出装置１０を含む。検出装置１０は、マネージドＮＷ５に有線接続され、かつ、マネージドＮＷ５に接続されたクライアントが送信する電波を受信可能な位置に設置される。マネージドＮＷ５は、スイッチ５１、ＡＰ５２、ＰＣ５３〜５５を有する。また、ＰＣ５５は不正ＡＰである。また、ＰＣ５６は、不正ＡＰとして機能するＰＣ５５を介してマネージドＮＷ５に接続する。また、マネージドＮＷ５の近辺には、テザリング機能によりＡＰとして機能するスマートフォン５７が存在している。
【００２６】
図４を用いて、検出装置１０の構成について説明する。図４は、第１の実施形態に係る検出装置の構成の一例を示す図である。検出装置１０は、スイッチ５１を監視すること等により、マネージドＮＷ５における有線通信のパケットやフレームをキャプチャする。また、検出装置１０は、マネージドＮＷ５に接続されたＰＣの近辺等の所定の位置における電波を測定し、無線通信のパケットやフレームをキャプチャする。そして、検出装置１０は、キャプチャしたフレームやパケットに基づき、不正ＡＰを検出する。
【００２７】
図４に示すように、検出装置１０は、無線側通信部１１、有線側通信部１２、制御部１３、記憶部１４および時計部１５を有する。また、制御部１３は、取得部１３１、計算部１３２および判定部１３３を有する。
【００２８】
無線側通信部１１は、電波の送受信を行い、他の装置との間でデータ通信を行う。例えば、無線側通信部１１は、無線ＬＡＮカードである。無線側通信部１１は、不正ＡＰの候補である通信装置から無線通信によって送信されたビーコンフレームを受信する。なお、無線側通信部１１は、第１の受信部の一例である。
【００２９】
また、有線側通信部１２は、有線接続されたネットワークを介して、他の装置との間でデータ通信を行う。例えば、有線側通信部１２はＮＩＣ（Network  Interface  Card）である。有線側通信部１２は、管理された通信装置から有線通信によって送信されたＴＣＰパケットを受信する。なお、有線側通信部１２は、第２の受信部の一例である。
【００３０】
制御部１３は、検出装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central  Processing  Unit）、ＭＰＵ（Micro  Processing  Unit）等の電子回路や、ＡＳＩＣ（Application  Specific  Integrated  Circuit）、ＦＰＧＡ（Field  Programmable  Gate  Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。
【００３１】
記憶部１４は、ＨＤＤ（Hard  Disk  Drive）、ＳＳＤ（Solid  State  Drive）、光ディスク等の記憶装置である。なお、記憶部１４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non  Volatile  Static  Random  Access  Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１４は、検出装置１０で実行されるＯＳ（Operating  System）や各種プログラムを記憶する。さらに、記憶部１４は、プログラムの実行で用いられる各種情報を記憶する。
【００３２】
時計部１５は、時刻を進め、検出装置１０の各部に対して時刻を出力する時計である。例えば、時計部１５は、水晶振動子を備えた発振回路から、所定の振動周期ごとに出力される信号が得られた場合に時刻を進める。なお、水晶振動子の周波数に生じる誤差等により、時計部１５が出力する時刻には、ずれが生じる場合がある。
【００３３】
ここで、制御部１３の各部の処理を説明するとともに、検出装置１０による不正ＡＰの検出処理について説明する。取得部１３１は、無線側通信部１１が受信したビーコンフレームを取得する。さらに、取得部１３１は、ビーコンフレームの送信時刻、すなわち取得したビーコンフレームに記録されたタイムスタンプが示す時刻を取得する。また、取得部１３１は、ビーコンフレームの受信時刻、すなわち無線側通信部１１がビーコンフレームを受信した際の、時計部１５によって出力された時刻を取得する。
【００３４】
なお、無線側通信部１１は、ビーコンフレームを受信した場合、時計部１５から出力された時刻を取得し、タイムスタンプとして記憶部１４に記憶させるようにしてもよい。この場合、取得部１３１は、記憶部１４を参照し、無線側通信部１１がビーコンフレームを受信した際の、時計部１５によって出力された時刻を取得する。
【００３５】
ここで、例えば、無線側通信部１１は、カウンタが増加するたびに、ビーコンフレームを受信する。この場合、例えば、カウンタは所定の時間ごとに１ずつ増加することとする。そして、取得部１３１は、ビーコンフレームの送信時刻およびビーコンフレームの受信時刻を、送信元の装置ごとに複数回取得する。
【００３６】
計算部１３２は、無線側通信部１１によって受信されたビーコンフレームに記録された時刻と、無線側通信部１１によってビーコンフレームが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第１の値を計算する。なお、計算部１３２は、第１の計算部および第２の計算部の一例である。
【００３７】
具体的に、計算部１３２は、ビーコンフレームの送信時刻およびビーコンフレームの受信時刻を基に、ビーコンフレームを送信した装置の時計の進み方と時計部１５の進み方とのずれの度合いを式（１）によって計算する。なお、ｔｉＡｊは、カウンタの値がｉである場合に、装置ｊによって送信されたビーコンフレームの送信時刻である。また、ｔｉｗｉｒｅｌｅｓｓは、カウンタの値がｉである場合のビーコンフレームの受信時刻である。なお、式（１）によって計算された値は、第１の値の一例である。
【００３８】
【数１】
2017208765.tif 000003
【００３９】
取得部１３１は、有線側通信部１２が受信したＴＣＰパケットを取得する。さらに、取得部１３１は、ＴＣＰパケットの送信時刻、すなわち取得したＴＣＰパケットに記録されたタイムスタンプが示す時刻を取得する。また、取得部１３１は、ＴＣＰパケットの受信時刻、すなわち有線側通信部１２がＴＣＰパケットを受信した際の、時計部１５によって出力された時刻を取得する。
【００４０】
なお、有線側通信部１２は、ＴＣＰパケットを受信した場合、時計部１５から出力された時刻を取得し、タイムスタンプとして記憶部１４に記憶させるようにしてもよい。この場合、取得部１３１は、記憶部１４を参照し、有線側通信部１２がＴＣＰパケットを受信した際の、時計部１５によって出力された時刻を取得する。
【００４１】
ここで、例えば、有線側通信部１２は、カウンタが増加するたびに、ＴＣＰパケットを受信する。この場合、例えば、カウンタは所定の時間ごとに１ずつ増加することとする。そして、取得部１３１は、ＴＣＰパケットの送信時刻およびＴＣＰパケットの受信時刻を、送信元の装置ごとに複数回取得する。
【００４２】
計算部１３２は、有線側通信部１２によって受信されたＴＣＰパケットに記録された時刻と、有線側通信部１２によってＴＣＰパケットが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第２の値を計算する。
【００４３】
具体的に、計算部１３２は、ＴＣＰパケットの送信時刻およびＴＣＰパケットの受信時刻を基に、ＴＣＰパケットを送信した装置の時計の進み方と時計部１５の進み方とのずれの度合いを式（２）によって計算する。なお、ｔｉＢｋは、カウンタの値がｉである場合に、装置ｋによって送信されたＴＣＰパケットの送信時刻である。また、ｔｉｗｉｒｅｄは、カウンタの値がｉである場合のＴＣＰパケットの受信時刻である。なお、式（２）によって計算された値は、第２の値の一例である。
【００４４】
【数２】
2017208765.tif 000004
【００４５】
なお、取得部１３１は、例えば、ＳＳＩＤによってビーコンフレームを送信した装置を識別する。また、取得部１３１は、ＴＣＰパケットに記録されたタイムスタンプとして、例えばＲＦＣ  ７３２３に規定されたＴＳｖａｌを取得することとしてもよい。
【００４６】
判定部１３３は、第１の値および第２の値の差が所定値以下である場合、第１の通信装置は第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する。なお、ＡＰは中継装置の一例である。
【００４７】
具体的に、判定部１３３は、計算部１３２によって、式（１）で求められた値と、式（２）で求められた値とを比較し、一致するか否かを判定する。判定部１３３は、式（１）で求められた値と、式（２）で求められた値とが一致している場合は、装置ｊおよび装置ｋが同じ装置であると判定する。また、このとき、判定部１３３は、装置ｊ（装置ｋ）を不正ＡＰであると判定する。なお、判定部１３３は、式（１）で求められた値と、式（２）で求められた値とが同じ値でない場合であっても、例えば、差が所定の閾値以下である場合は、一致していると判定するようにしてもよい。
【００４８】
［第１の実施形態の処理］
図５を用いて、検出システム１の処理の流れについて説明する。図５は、第１の実施形態に係る検出装置の処理の流れを示すフローチャートである。なお、ステップＳ１１およびＳ１３については、図５に示す順序で行われなくてもよく、同時に並行して行われてもよい。
【００４９】
まず、取得部１３１は、ビーコンフレームの送信時刻および受信時刻を取得する（ステップＳ１１）。このとき、取得部１３１は、ビーコンフレームの送信時刻をビーコンフレームに記録されたタイムスタンプから取得する。また、取得部１３１は、ビーコンフレームが受信された時に、時計部１５によって出力された時刻をビーコンフレームの受信時刻として取得する。そして、計算部１３２は、ビーコンフレームの送信時刻および受信時刻を基に、無線側の時刻のずれの度合いを計算する（ステップＳ１２）。
【００５０】
また、取得部１３１は、ＴＣＰパケットの送信時刻および受信時刻を取得する（ステップＳ１３）。このとき、取得部１３１は、ＴＣＰパケットの送信時刻をＴＣＰパケットに記録されたタイムスタンプから取得する。また、取得部１３１は、ＴＣＰパケットが受信された時に、時計部１５によって出力された時刻をＴＣＰパケットの受信時刻として取得する。そして、計算部１３２は、ＴＣＰパケットの送信時刻および受信時刻を基に、有線側の時刻のずれの度合いを計算する（ステップＳ１４）。
【００５１】
そして、判定部１３３は、無線側および有線側の時刻のずれの度合いが一致するか否かを判定する（ステップＳ１５）。例えば、判定部１３３は、無線側および有線側の時刻のずれの度合いの差が所定の閾値以下であれば、無線側および有線側の時刻のずれの度合いが一致すると判定してもよい。
【００５２】
判定部１３３は、無線側および有線側の時刻のずれの度合いが一致すると判定した場合、ビーコンフレームを送信した装置とＴＣＰパケットを送信した装置が同じ装置であり、かつ不正ＡＰであると判定する。
【００５３】
［第１の実施形態の効果］
検出装置１０は、時計部１５を有する。無線側通信部１１は、不正ＡＰの候補である通信装置から無線通信によって送信されたビーコンフレームを受信する。そして、計算部１３２は、無線側通信部１１によって受信されたビーコンフレームに記録された時刻と、無線側通信部１１によってビーコンフレームが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第１の値を計算する。また、有線側通信部１２は、管理された通信装置から有線通信によって送信されたＴＣＰパケットを受信する。そして、計算部１３２は、有線側通信部１２によって受信されたＴＣＰパケットに記録された時刻と、有線側通信部１２によってＴＣＰパケットが受信された時の時計部１５が示す時刻と、を基に、通信装置の時計の進み方と時計部１５の進み方とのずれの度合いを示す第２の値を計算する。さらに、判定部１３３は、第１の値および第２の値の差が所定値以下である場合、第１の通信装置は第２の通信装置と同一の装置であり、不正な中継装置として機能していると判定する。
【００５４】
このように、第１の実施形態では、各装置の時計の進み方の特性を、各装置の固有の情報として扱い、時計の進み方のずれによって、無線および有線の両方の通信を行っている装置を検出している。
【００５５】
このため、不正ＡＰが暗号化を行っている場合であっても、ビーコンフレームは読み取り可能であるため、検出システム１によって不正ＡＰを検出することができる。また、不正ＡＰが正規ＡＰのＭＡＣアドレスを詐称している場合であっても、時計の時刻は装置固有のものであるため、第１の実施形態の検出システム１によって不正ＡＰを検出することができる。また、正規クライアント上でソフトＡＰが動作している場合であっても、検出システム１によれば、正規クライアントとソフトＡＰを結びつけ、不正ＡＰとして検出することが可能となる。
【００５６】
［第２の実施形態の構成］
次に、第２の実施形態について説明する。第１の実施形態では、不正ＡＰを検出するための各処理は、検出装置１０によって行われていた。一方、第２の実施形態では、無線側の時刻のずれの度合いの計算、有線側の時刻のずれの度合いの計算、および最終的な不正ＡＰの判定は、それぞれ別々の装置によって行われる。このとき、各装置に備えられた時計の進み方にはずれが生じていることが考えられる。そのため、第２の実施形態では、有線側、無線側で計算された時刻のずれの度合いは、マスタークロックの時刻に基づき補正される。
【００５７】
図６を用いて、第１の実施形態に係る検出システムの構成について説明する。図６は、第２の実施形態に係る検出システムの構成の一例を示す図である。図６に示すように、検出システム２は、無線側解析装置２０、有線側解析装置３０および判定装置４０を含む。有線側解析装置３０は、マネージドＮＷ５に有線接続されている。また、無線側解析装置２０は、マネージドＮＷ５に接続されたクライアントが送信する電波を受信可能な位置に設置されている。第２の実施形態におけるマネージドＮＷ５は、第１の実施形態におけるマネージドＮＷと同様の構成を有する。
【００５８】
無線側解析装置２０は、ビーコンフレームの受信、ビーコンフレームの送信時刻と受信時刻の計算、および無線側の時計の進み方のずれの度合いの計算を行う。また、有線側解析装置３０は、ＴＣＰパケットの受信、ＴＣＰパケットの送信時刻と受信時刻の計算、および有線側の時計の進み方のずれの度合いの計算を行う。また、判定装置４０は、無線側解析装置２０によって計算された無線側の時計の進み方のずれの度合い、および有線側解析装置３０によって計算された有線側の時計の進み方のずれの度合い、マスタークロックの時刻に基づいて補正し、補正した結果を基に、不正ＡＰの判定を行う。
【００５９】
図７を用いて、無線側解析装置２０の構成について説明する。図７は、第２の実施形態に係る無線側解析装置の構成の一例を示す図である。図７に示すように、無線側解析装置２０は、通信部２１、制御部２２、記憶部２３および時計部２４を有する。また、制御部２２は、取得部２２１および計算部２２２を有する。
【００６０】
通信部２１は、第１の実施形態における検出装置１０の無線側通信部１１と同様の機能部である。通信部２１は、不正ＡＰの候補である通信装置から無線通信によって送信されたビーコンフレームを受信する。また、制御部２２は、第１の実施形態における検出装置１０の制御部１３と同様の機能部であり、無線側解析装置２０全体を制御する。また、記憶部２３は、第１の実施形態における検出装置１０の記憶部１４と同様の機能部である。また、時計部２４は、第１の実施形態における検出装置１０の時計部１５と同様の機能部である。
【００６１】
図８を用いて、有線側解析装置３０の構成について説明する。図８は、第２の実施形態に係る有線側解析装置の構成の一例を示す図である。図８に示すように、有線側解析装置３０は、通信部３１、制御部３２、記憶部３３および時計部３４を有する。また、制御部３２は、取得部３２１および計算部３２２を有する。
【００６２】
通信部３１は、第１の実施形態における検出装置１０の有線側通信部１２と同様の機能部である。通信部３１は、管理された通信装置から有線通信によって送信されたＴＣＰパケットを受信する。また、制御部３２は、第１の実施形態における検出装置１０の制御部１３と同様の機能部であり、有線側解析装置３０全体を制御する。また、記憶部３３は、第１の実施形態における検出装置１０の記憶部１４と同様の機能部である。また、時計部３４は、第１の実施形態における検出装置１０の時計部１５と同様の機能部である。
【００６３】
図９を用いて、判定装置４０の構成について説明する。図９は、第２の実施形態に係る判定装置の構成の一例を示す図である。図９に示すように、判定装置４０は、通信部４１、制御部４２、記憶部４３および時計部４４を有する。また、制御部４２は、取得部４２１、計算部４２２、補正部４２３および判定部４２４を有する。
【００６４】
通信部４１は、第１の実施形態における検出装置１０の無線側通信部１１および有線側通信部１２の両方の機能を持つ機能部である。また、制御部４２は、第１の実施形態における検出装置１０の制御部１３と同様の機能部であり、判定装置４０全体を制御する。また、記憶部４３は、第１の実施形態における検出装置１０の記憶部１４と同様の機能部である。また、時計部４４は、第１の実施形態における検出装置１０の時計部１５と同様の機能部である。また、時計部４４は、検出システム２全体のマスタークロックとして機能する。
【００６５】
ここで、制御部２２、３２、４２の各部の処理を説明するとともに、検出システム２による不正ＡＰの検出処理について説明する。まず、無線側の処理および有線側の処理を説明し、その後、判定装置４０による不正ＡＰの判定処理について説明する。なお、無線側の処理および有線側の処理は、同時に並行して行われる。
【００６６】
［無線側の処理］
第２の実施形態における無線側解析装置２０による無線側の処理は、第１の実施形態における検出装置１０による無線側の処理と同様である。取得部２２１は、通信部２１が受信したビーコンフレームを取得する。さらに、取得部２２１は、ビーコンフレームの送信時刻、すなわち取得したビーコンフレームに記録されたタイムスタンプが示す時刻を取得する。また、取得部２２１は、ビーコンフレームの受信時刻、すなわち通信部２１がビーコンフレームを受信した際の、時計部２４によって出力された時刻を取得する。
【００６７】
なお、通信部２１は、ビーコンフレームを受信した場合、時計部２４から出力された時刻を取得し、タイムスタンプとして記憶部２３に記憶させるようにしてもよい。この場合、取得部２２１は、記憶部２３を参照し、通信部２１がビーコンフレームを受信した際の、時計部２４によって出力された時刻を取得する。
【００６８】
ここで、例えば、通信部２１は、カウンタが増加するたびに、ビーコンフレームを受信する。この場合、例えば、カウンタは所定の時間ごとに１ずつ増加することとする。そして、取得部２２１は、ビーコンフレームの送信時刻およびビーコンフレームの受信時刻を、送信元の装置ごとに複数回取得する。
【００６９】
計算部２２２は、通信部２１によって受信されたビーコンフレームに記録された時刻と、通信部２１によってビーコンフレームが受信された時の時計部２４が示す時刻と、を基に、不正ＡＰの候補であるの時計の進み方と時計部２４の進み方とのずれの度合いを示す第１の値を計算する。
【００７０】
具体的に、計算部２２２は、ビーコンフレームの送信時刻およびビーコンフレームの受信時刻を基に、ビーコンフレームを送信した装置の時計の進み方と時計部２４の進み方とのずれの度合いを式（１）によって計算する。
【００７１】
［有線側の処理］
第２の実施形態における有線側解析装置３０による有線側の処理は、第１の実施形態における検出装置１０による有線側の処理と同様である。取得部３２１は、通信部３１が受信したＴＣＰパケットを取得する。さらに、取得部３２１は、ＴＣＰパケットの送信時刻、すなわち取得したＴＣＰパケットに記録されたタイムスタンプが示す時刻を取得する。また、取得部３２１は、ＴＣＰパケットの受信時刻、すなわち通信部３１がＴＣＰパケットを受信した際の、時計部３４によって出力された時刻を取得する。
【００７２】
なお、通信部３１は、ＴＣＰパケットを受信した場合、時計部３４から出力された時刻を取得し、タイムスタンプとして記憶部２３に記憶させるようにしてもよい。この場合、取得部３２１は、記憶部２３を参照し、通信部３１がＴＣＰパケットを受信した際の、時計部３４によって出力された時刻を取得する。
【００７３】
ここで、例えば、通信部３１は、カウンタが増加するたびに、ＴＣＰパケットを受信する。この場合、例えば、カウンタは所定の時間ごとに１ずつ増加することとする。そして、取得部３２１は、ＴＣＰパケットの送信時刻およびＴＣＰパケットの受信時刻を、送信元の装置ごとに複数回取得する。
【００７４】
計算部３２２は、通信部３１によって受信されたＴＣＰパケットに記録された時刻と、通信部３１によってＴＣＰパケットが受信された時の時計部３４が示す時刻と、を基に、管理された通信装置の時計の進み方と時計部３４の進み方とのずれの度合いを示す第２の値を計算する。
【００７５】
具体的に、計算部２２２は、ＴＣＰパケットの送信時刻およびＴＣＰパケットの受信時刻を基に、ＴＣＰパケットを送信した装置の時計の進み方と時計部３４の進み方とのずれの度合いを式（２）によって計算する。
【００７６】
［不正ＡＰの判定処理］
第２の実施形態における判定装置４０は、第１の実施形態における検出装置１０の判定部４２４と同様の処理を行う。ただし、判定装置４０は、無線側解析装置２０によって計算された無線側の時計の進み方のずれの度合い、および有線側解析装置３０によって計算された有線側の時計の進み方のずれの度合いを、マスタークロックに基づいて補正したうえで判定を行う。
【００７７】
取得部４２１は、無線側解析装置２０から無線側の時計の進み方のずれの度合いを取得する。また、取得部４２１は、有線側解析装置３０から有線側の時計の進み方のずれの度合いを取得する。
【００７８】
また、通信部４１は、無線側解析装置２０および有線側解析装置３０との間で通信を行う。このとき、通信部４１は、無線側解析装置２０および有線側解析装置３０で用いられているカウンタが増加するたびに通信を行ってもよい。
【００７９】
そして、取得部４２１は、取得部２２１または３２１と同様の方法で、受信したパケットやフレームの受信時刻および送信時刻を取得する。さらに、計算部４２２は、時計部２４の進み方と時計部４４の進み方とのずれの度合いを示す第１の差分値、および時計部３４の進み方と時計部４４の進み方とのずれの度合いを示す第２の差分値を計算する。
【００８０】
そして、補正部４２３は、第１の値および第１の差分値を基に、不正ＡＰの候補であるの時計の進み方と時計部４４の進み方とのずれの度合いを示す第１の補正値を計算し、第２の値および第２の差分値を基に、管理された通信装置の時計の進み方と時計部４４の進み方とのずれの度合いを示す第２の補正値を計算する。
【００８１】
具体的に、補正部４２３は、無線側の時計の進み方のずれの度合いを、時計部４４と時計部２４の進み方のずれの度合いを用いて補正した値を式（３）によって計算する。また、ｔｉｍａｓｔｅｒは、カウンタの値がｉである場合の受信時刻、すなわち通信部４１がパケットまたはフレームを受信した際の、マスタークロックである時計部４４によって出力された時刻である。なお、式（３）の｛（ｔｉｗｉｒｅｌｅｓｓ−ｔ１ｗｉｒｅｌｅｓｓ）−（ｔｉｍａｓｔｅｒ−ｔ１ｍａｓｔｅｒ）｝は、第１の差分値の一例である。また、式（３）によって計算された値は、第１の補正値の一例である。
【００８２】
【数３】
2017208765.tif 000005
【００８３】
また、補正部４２３は、有線側の時計の進み方のずれの度合いを、時計部４４と時計部３４の進み方のずれの度合いを用いて補正した値を式（４）によって計算する。また、ｔｉｍａｓｔｅｒは、カウンタの値がｉである場合の受信時刻、すなわち通信部４１がパケットまたはフレームを受信した際の、マスタークロックである時計部４４によって出力された時刻である。なお、式（４）の｛（ｔｉｗｉｒｅｄ−ｔ１ｗｉｒｅｄ）−（ｔｉｍａｓｔｅｒ−ｔ１ｍａｓｔｅｒ）｝は、第２の差分値の一例である。また、式（４）によって計算された値は、第２の補正値の一例である。
【００８４】
【数４】
2017208765.tif 000006
【００８５】
判定部４２４は、第１の補正値および第２の補正値の差が所定値以下である場合、不正ＡＰの候補であるは管理された通信装置と同一の装置であり、不正な中継装置として機能していると判定する。
【００８６】
具体的に、判定部４２４は、補正部４２３によって、式（３）で求められた値と、式（４）で求められた値とを比較し、一致するか否かを判定する。判定の方法は、第１の実施形態の検出装置１０の判定部１３３による判定の方法と同様である。
【００８７】
［第２の実施形態の処理］
図１０を用いて、検出システム１の処理の流れについて説明する。図１０は、第２の実施形態に係る検出システムの処理の流れを示すフローチャートである。なお、ステップＳ２１およびＳ２３については、図５に示す順序で行われなくてもよく、同時に並行して行われてもよい。
【００８８】
まず、無線側解析装置２０の取得部２２１は、ビーコンフレームの送信時刻および受信時刻を取得する（ステップＳ２１）。このとき、取得部２２１は、ビーコンフレームの送信時刻をビーコンフレームに記録されたタイムスタンプから取得する。また、取得部２２１は、ビーコンフレームが受信された時に、時計部２４によって出力された時刻をビーコンフレームの受信時刻として取得する。そして、計算部２２２は、ビーコンフレームの送信時刻および受信時刻を基に、無線側の時刻のずれの度合いを計算する（ステップＳ２２）。
【００８９】
また、有線側解析装置３０の取得部３２１は、ＴＣＰパケットの送信時刻および受信時刻を取得する（ステップＳ２３）。このとき、取得部３２１は、ＴＣＰパケットの送信時刻をＴＣＰパケットに記録されたタイムスタンプから取得する。また、取得部３２１は、ＴＣＰパケットが受信された時に、時計部３４によって出力された時刻をＴＣＰパケットの受信時刻として取得する。そして、計算部３２２は、ＴＣＰパケットの送信時刻および受信時刻を基に、有線側の時刻のずれの度合いを計算する（ステップＳ２４）。
【００９０】
そして、判定装置４０の補正部４２３は、有線側および無線側の時刻のずれの度合いを補正する（ステップＳ２５）。そして、判定部４２４は、補正後の無線側および有線側の時刻のずれの度合いが一致するか否かを判定する（ステップＳ２６）。
【００９１】
判定部１３３は、無線側および有線側の時刻のずれの度合いが一致すると判定した場合、ビーコンフレームを送信した装置とＴＣＰパケットを送信した装置が同じ装置であり、かつ不正ＡＰであると判定する。
【００９２】
［第２の実施形態の効果］
無線側解析装置２０は、時計部２４を有する。通信部２１は、不正ＡＰの候補であるから無線通信によって送信されたビーコンフレームを受信する。そして、計算部２２２は、通信部２１によって受信されたビーコンフレームに記録された時刻と、通信部２１によってビーコンフレームが受信された時の時計部２４が示す時刻と、を基に、不正ＡＰの候補であるの時計の進み方と時計部２４の進み方とのずれの度合いを示す第１の値を計算する。
【００９３】
有線側解析装置３０は、時計部３４を有する。通信部３１は、管理された通信装置から有線通信によって送信されたＴＣＰパケットを受信する。そして、計算部３２２は、通信部３１によって受信されたＴＣＰパケットに記録された時刻と、通信部３１によってＴＣＰパケットが受信された時の時計部３４が示す時刻と、を基に、管理された通信装置の時計の進み方と時計部３４の進み方とのずれの度合いを示す第２の値を計算する。
【００９４】
判定装置４０は、時計部４４を有する。計算部４２２は、時計部２４の進み方と時計部４４の進み方とのずれの度合いを示す第１の差分値、および時計部３４の進み方と時計部４４の進み方とのずれの度合いを示す第２の差分値を計算する。また、補正部４２３は、第１の値および第１の差分値を基に、不正ＡＰの候補であるの時計の進み方と時計部４４の進み方とのずれの度合いを示す第１の補正値を計算し、第２の値および第２の差分値を基に、管理された通信装置の時計の進み方と時計部４４の進み方とのずれの度合いを示す第２の補正値を計算する。また、判定部４２４は、第１の補正値および第２の補正値の差が所定値以下である場合、不正ＡＰの候補であるは管理された通信装置と同一の装置であり、不正な中継装置として機能していると判定する。
【００９５】
このように、各装置で計算した時計の進み方のずれの度合いを、マスタークロックに基づいて補正することで、各機能を複数の装置に分散させた構成とすることができる。これにより、例えば、ビーコンフレームの受信をＡＰ近辺で行い、ＴＣＰパケットの受信をマネージドＮＷのスイッチに直接ケーブルを接続して行う、といったことが可能となる。
【００９６】
［その他の実施形態］
第１の実施形態における検出装置１０の無線側通信部１１は、通信装置のうち、あらかじめ設定された所定の条件を満たす通信装置から無線通信によって送信されたビーコンフレームを受信することとしてもよい。例えば、無線側通信部１１は、マネージドＮＷ５で管理されていることが明らかなＡＰ以外の通信装置であること、スマートフォン以外の通信装置であること、といった条件を満たす通信装置からビーコンフレームを受信することとしてもよい。このように、あらかじめ不正ＡＰの候補を絞り込んでおくことで、処理量を削減することができる。
【００９７】
［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００９８】
また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【００９９】
［プログラム］
一実施形態として、検出装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検出処理を実行する検出プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検出プログラムを情報処理装置に実行させることにより、情報処理装置を検出装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のＰＣが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）等の移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistant）等のスレート端末等がその範疇に含まれる。
【０１００】
また、検出装置１０は、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の不正ＡＰ検出に関するサービスを提供する検出サーバ装置として実装することもできる。例えば、検出サーバ装置は、有線および無線の通信ログを入力とし、検出結果を出力とする不正ＡＰ検出サービスを提供するサーバ装置として実装される。この場合、検出サーバ装置は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の試験に関するサービスを提供するクラウドとして実装することとしてもかまわない。
【０１０１】
図１１は、プログラムが実行されることにより検出装置が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。
【０１０２】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。
【０１０３】
ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、検出装置１０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、検出装置１０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。
【０１０４】
また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。
【０１０５】
なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３およびプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide  Area  Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３およびプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【０１０６】
１  検出システム
１０  検出装置
１１  無線側通信部
１２  有線側通信部
１３、２２、３２、４２  制御部
１４、２３、３３、４３  記憶部
１５、２４、３４、４４  時計部
２０  無線側解析装置
２１、３１、４１  通信部
３０  有線側解析装置
４０  判定装置
１３１、２２１、３２１、４２１  取得部
１３２、２２２、３２２、４２２  計算部
１３３、４２４  判定部
４２３  補正部
【図１】
2017208765.tif 000007
【図２】
2017208765.tif 000008
【図３】
2017208765.tif 000009
【図４】
2017208765.tif 000010
【図５】
2017208765.tif 000011
【図６】
2017208765.tif 000012
【図７】
2017208765.tif 000013
【図８】
2017208765.tif 000014
【図９】
2017208765.tif 000015
【図１０】
2017208765.tif 000016
【図１１】
2017208765.tif 000017