JP2006279438A - 不正アクセス検出方法および装置 - Google Patents

Abstract

【課題】無線ＬＡＮアクセスポイント装置や無線ＬＡＮ端末などの不正な無線装置を特定し、その位置を割り出して、物理的に排除する。
【解決手段】無線ＬＡＮアクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３が接続されたＬＡＮ１に不正アクセス検出装置２を接続する。ＡＰ１，ＡＰ２，ＡＰ３は、自分宛のフレームだけではなく、自分宛以外のフレームを受信する機能を有する。不正な無線ＬＡＮアクセスポイント装置ＡＰＸがＬＡＮ１に接続されると、ＡＰ１，ＡＰ２，ＡＰ３は、ＡＰＸからの送信元アドレスを含むフレームを受信する。そして、この受信したフレームに、受信時の電波強度を付加し、ＬＡＮ１を介して不正アクセス検出装置２へ送る。不正アクセス検出装置２は、ＡＰ１，ＡＰ２，ＡＰ３からのフレームに含まれている送信元アドレスからＡＰＸを不正な装置と判別し、付加されている電波強度に基づいてＡＰＸの位置を検出する。
【選択図】 図４

Description

この発明は、ネットワークに不正に接続されたアクセスポイント装置や不正に使用される携帯無線端末などの不正な無線装置の特定とその位置の検出を行う不正アクセス検出方法および装置に関するものである。

従来より、ビルや工場などの施設では、施設内にローカルエリアネットワーク（ＬＡＮ）を敷設し、この敷設したＬＡＮに複数のアクセスポイント装置を有線で接続し、このＬＡＮに接続したアクセスポイント装置を介して携帯電話機やＰＤＡ（Personal Digital Assistant）などの携帯無線端末間の通信やサーバへのアクセスなどを行うようにしている。

このシステムは、無線ＬＡＮシステムと呼ばれ、ＬＡＮに接続されるアクセスポイント装置は無線ＬＡＮアクセスポイント装置（特許文献１参照）、無線ＬＡＮアクセスポイント装置との間で無線により情報の送受信を行う携帯無線端末は無線ＬＡＮ端末（特許文献２参照）と呼ばれている。

このような無線ＬＡＮシステムでは、登録されていない無線ＬＡＮアクセスポイント装置がＬＡＮに接続されると、この無線ＬＡＮアクセスポイント装置がセキュリティホールとなり、不正なアクセスが行われてしまう虞れがある。また、登録されていない無線ＬＡＮ端末を使用して、不正なアクセスが行われてしまう虞れがある。このため、不正な無線ＬＡＮアクセスポイント装置や不正な無線ＬＡＮ端末を検出して、これを物理的に排除することが望まれている。

特開２００４−３０４３９７号公報、「無線ＬＡＮアクセスポイント装置、携帯端末装置および無線ＬＡＮアクセスポイント装置の位置情報取得方法」 特開２００４−１５３７３６号公報、「無線端末のアクセス制御方法およびそのシステム」 特開平０７−１５４８４８号公報、「無線ＬＡＮシステムにおけるフォークリフトの位置検出装置」

しかしながら、従来の無線ＬＡＮシステムでは、不正な無線ＬＡＮアクセスポイント装置や不正な無線ＬＡＮ端末を特定し、その位置を割り出すということはできなかった。この点について、上記の特許文献１〜３を例示して具体的に説明する。

〔特許文献１〕
特許文献１では、ネットワークに接続される無線ＬＡＮアクセスポイント装置に、その無線ＬＡＮアクセスポイント装置自身の位置情報（ルータ情報）を設置者が登録する。例えば、無線ＬＡＮアクセスポイント装置Ｘ，Ｙ，Ｚに、位置情報として＃Ｘ，＃Ｙ，＃Ｚを登録する。

無線ＬＡＮアクセスポイント装置Ｘに携帯端末装置ＴＡが近づき、接続が可能になると、無線ＬＡＮアクセスポイント装置Ｘから携帯端末装置ＴＡに、自己の位置情報＃Ｘが送られる。携帯端末装置ＴＡはその送られてきた無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘを記憶する。

無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘを記憶した携帯端末装置ＴＡが無線ＬＡＮアクセスポイント装置Ｙに近づき、接続が可能になると、無線ＬＡＮアクセスポイント装置Ｙから携帯端末装置ＴＡに、自己の位置情報＃Ｙが送られる。一方、携帯端末装置ＴＡは、記憶している無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘを近隣の無線ＬＡＮアクセスポイント装置の位置情報として、無線ＬＡＮアクセスポイント装置Ｙへ送る。これにより、携帯端末装置ＴＡに無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘと無線ＬＡＮアクセスポイント装置Ｙの位置情報＃Ｙが記憶され、無線ＬＡＮアクセスポイント装置Ｙに自己の位置情報＃Ｙと無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘが記憶される。

無線ＬＡＮアクセスポイント装置Ｘの位置情報＃Ｘと無線ＬＡＮアクセスポイント装置Ｙの位置情報＃Ｙを記憶した携帯端末装置ＴＡが無線ＬＡＮアクセスポイント装置Ｚに近づき、接続が可能になると、無線ＬＡＮアクセスポイント装置Ｚから携帯端末装置ＴＡに、自己の位置情報＃Ｚが送られる。この時、無線ＬＡＮアクセスポイント装置Ｚが近隣の無線ＬＡＮアクセスポイント装置の位置情報として例えば無線ＬＡＮアクセスポイント装置Ａ，Ｂの位置情報＃Ａ，＃Ｂを記憶していれば、その位置情報＃Ａ，＃Ｂについても携帯端末装置ＴＡに送られる。

一方、携帯端末装置ＴＡは、記憶している無線ＬＡＮアクセスポイント装置Ｘ，Ｙの位置情報＃Ｘ，＃Ｙを近隣の無線ＬＡＮアクセスポイント装置の位置情報として、無線ＬＡＮアクセスポイント装置Ｚへ送る。これにより、携帯端末装置ＴＡに無線ＬＡＮアクセスポイント装置Ｘ，Ｙ，Ｚ，Ａ，Ｂの位置情報＃Ｘ，＃Ｙ，＃Ｚ，＃Ａ，＃Ｂが記憶され、無線ＬＡＮアクセスポイント装置Ｚに自己の位置情報＃Ｚと無線ＬＡＮアクセスポイント装置Ｘ，Ｙ，Ａ，Ｂの位置情報＃Ｘ，＃Ｙ，＃Ａ，＃Ｂが記憶される。

この引用文献１の技術では、ネットワークに接続されている無線ＬＡＮアクセスポイント装置の位置情報を携帯端末装置において知ることができるが、無線ＬＡＮアクセスポイント装置から自己の位置情報と近隣の無線ＬＡＮアクセスポイント装置の位置情報を携帯端末装置に送るという特別な仕組みになっているために、このような仕組みを持たない不正な無線ＬＡＮアクセスポイント装置がネットワークに接続されたとしても、これを検出することができない。

〔特許文献２〕
特許文献２では、無線ＬＡＮ端末が基地局を介してネットワーク上のノードとの通信を行うネットワークシステムにおいて、無線ＬＡＮ端末のアクセス許可領域を基地局に対して設定している。このアクセス許可領域は、基地局における受電電力特性に対する閾値として、基地局に設定される。基地局は、無線ＬＡＮ端末からの信号の受信電力特性を計測し、受信電力すなわち電波強度が閾値に満たない場合、その無線ＬＡＮ端末からの送信情報を破棄する。

この引用文献２の技術では、不正な無線ＬＡＮ端末からのアクセスを拒否することはできるが、不正な無線ＬＡＮ端末の位置を割り出して物理的に排除することはできない。

〔特許文献３〕
特許文献３では、制御装置からの入出庫指示情報が与えられる無線通信用アンテナを倉庫内の複数箇所に配置し、このアンテナとフォークリフト車上機との間で無線通信により情報の授受を行って入出庫作業を行うようにした無線ＬＡＮシステムにおいて、各々のアンテナにより受信したフォークリフト車上機からの無線信号の電波強度を比較し、この比較結果に基づいて、フォークリフトの位置をアンテナの配置位置との関係で判別するようにしている。

この引用文献３の技術では、フォークリフトの車上機を例えば無線ＬＡＮ端末と考えれば、無線ＬＡＮ端末の位置を検出していることに相当する。しかし、単に無線ＬＡＮ端末の位置を検出することができるのみで、その無線ＬＡＮ端末が不正な無線ＬＡＮ端末であるのか否かを知ることはできない。

本発明は、このような課題を解決するためになされたもので、その目的とするところは、無線ＬＡＮアクセスポイント装置や無線ＬＡＮ端末などの不正な無線装置を特定し、その位置を割り出して、物理的に排除することが可能な不正アクセス検出方法および装置を提供することにある。

このような目的を達成するために、本発明の不正アクセス検出方法は、無線装置から無線で送られてくる送信元アドレスを含む送信情報を複数のアクセスポイント装置にて受信するステップと、複数のアクセスポイント装置にて受信された前記送信情報に受信時点の電波強度を付加するステップと、複数のアクセスポイント装置から送られてくる受信時点の電波強度が付加された送信情報を受信するステップと、アクセスポイント装置を介して受信した前記送信情報に含まれている送信元アドレスに基づいてその送信情報の送信元の無線装置が不正な無線装置であるか否かを判別するステップと、アクセスポイント装置を介して受信した同一の送信元アドレスを含む前記送信情報に付加されている電波強度に基づいてその送信情報の送信元の無線装置の位置を検出するステップとを備えたものである。

この発明によれば、アクセスポイント装置を介して受信した送信情報に含まれている送信元アドレスに基づいて、その送信情報の送信元の無線装置が不正な無線装置であるか否かが判別される。例えば、送信元のアドレスが登録されていなければ、その送信情報の送信元の無線装置は不正な無線装置であると判別する。
また、本発明によれば、複数のアクセスポイント装置を介して受信した同一の送信元アドレスを含む送信情報に付加されている電波強度に基づいて、すなわち複数のアクセスポイント装置で受信された同一の無線装置からの送信情報の電波強度に基づいて、その無線装置の位置が検出される。

本発明において、無線装置は、携帯無線端末との間で無線によりデータの送受信を行うアクセスポイント装置であってもよいし、アクセスポイント装置との間で無線によりデータの送受信を行う携帯無線端末であってもよい。無線装置をアクセスポイント装置とした場合、不正なアクセスポイント装置を特定し、その位置を割り出すことができる。無線装置を携帯無線端末とした場合、不正な携帯無線端末を特定し、その位置を割り出すことができる。また、本発明は、上述した方法を適用した不正アクセス検出装置としても構成することができる。

本発明によれば、アクセスポイント装置を介して受信した送信情報に含まれている送信元アドレスに基づいて、その送信情報の送信元の無線装置が不正な無線装置であるか否かが判別され、また、複数のアクセスポイント装置を介して受信した同一の送信元アドレスを含む送信情報に付加されている電波強度に基づいて、その送信情報の送信元の無線装置の位置が検出され、これによりアクセスポイント装置や携帯無線端末などの不正な無線装置を特定し、その位置を割り出して、物理的に排除することが可能となる。

以下、本発明を図面に基づいて詳細に説明する。図１はこの発明に係る不正アクセス検出方法の実施に用いる無線ＬＡＮシステムの一例を示すシステム構成図である。

同図において、１はオフィスや工場などの施設内に敷設されたＬＡＮ、ＡＰ１，ＡＰ２，ＡＰ３はＬＡＮ１に接続されたアクセスポイント装置（無線ＬＡＮアクセスポイント装置）、２はＬＡＮ１に接続された本発明に係る不正アクセス検出装置、ＳＴＡは携帯無線端末（無線ＬＡＮ端末）である。

この無線ＬＡＮシステム１００において、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３とＬＡＮ１との間は、有線で接続されている。また、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３と携帯無線端末ＳＴＡとの間は、無線により、フレーム単位で情報の送受信が行われる。

なお、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３から無線で送信される情報の１フレーム、携帯無線端末ＳＴＡから無線で送信される情報の１フレームには、送信元のアドレスが含まれている。

また、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３は、自分宛のフレームだけではなく、自分宛以外のフレームを受信する機能を有してる。また、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３は、受信したフレームに、そのフレームの受信時の電波強度を付加し、ＬＡＮ１を介して不正アクセス検出装置２へ送る機能を有している。

図２に不正アクセス検出装置２のハード構成の概略を示す。同図において、２−１はＣＰＵ、２−２はＲＡＭ、２−３はＲＯＭ、２−４はハードディスクなどの記憶装置、２−５〜２−７はインターフェイス、２−８はディスプレイ、２−９はキーボード、２−１０はマウスである。この不正アクセス検出装置２は、ネットワーク管理者の管理下に置かれる。

不正アクセス検出装置２において、ＣＰＵ２−１は、インターフェイス２−５〜２−７を介して与えられる各種入力情報を得て、ＲＡＭ２−２にアクセスしながら、ＲＯＭ２−３や記憶装置２−４に格納されたプログラムに従って動作する。記憶装置２−４には、本実施の形態特有のプログラムとして、不正アクセス検出プログラムが格納されている。この不正アクセス検出プログラムは、例えばＣＤ−ＲＯＭなどの記録媒体に記録された状態で提供され、この記録媒体から読み出されて記憶装置２−４にインストールされている。また、記憶装置２−４には、この無線ＬＡＮシステム１００で使用する無線ＬＡＮアクセスポイントや携帯無線端末について、そのアドレス情報が登録されている。

以下、図３に示すフローチャートを参照して、記憶装置２−４中の不正アクセス検出プログラムに従ってＣＰＵ２−１が実行する処理動作について説明する。

〔場合１：不正なアクセスポイント装置が接続された場合〕
今、図４に示されるように、ネットワーク１に不正な無線装置としてアクセスポイント装置ＡＰＸが接続されたとする。このアクセスポイント装置ＡＰＸは、携帯無線端末ＳＴＡとの接続を図るために、定期的に自己のアドレス（送信元アドレス）を含むフレームを発信する。

アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３は、自分宛のフレームだけではなく、自分宛以外のフレームを受信する機能を有しているので、アクセスポイント装置ＡＰＸからのフレームを受信する。そして、この受信したフレームに、そのフレームの受信時の電波強度を付加し、ＬＡＮ１を介して不正アクセス検出装置２へ送る。

不正アクセス検出装置２のＣＰＵ２−１は、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３からのフレームを受信し（ステップ３０１）、そのフレームに含まれている送信元アドレスを解析し、記憶装置２−４中に登録されていないアドレス（管理者の管理下にないアドレス）であれば、不正な無線装置と判別する（ステップ３０２）。この例において、アクセスポイント装置ＡＰＸのアドレスは登録されていないので、アクセスポイント装置ＡＰＸを不正な無線装置と判別する。

そして、ＣＰＵ２−１は、アクセスポイント装置ＡＰＸを不正な無線装置と判別すると（ステップ３０３のＹＥＳ）、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３からのフレームに付加されている電波強度に基づいて、すなわちアクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３で受信されるアクセスポイント装置ＡＰＸからのフレームに付加されている電波強度に基づいて、アクセスポイント装置ＡＰＸの位置を検出する（ステップ３０４）。

例えば、アクセスポイント装置ＡＰ１で受信されるアクセスポイント装置ＡＰＸからのフレームの電波強度が「−１０ｄＢｍ」、アクセスポイント装置ＡＰ２で受信されるアクセスポイント装置ＡＰＸからのフレームの電波強度が「−２５ｄＢｍ」、アクセスポイント装置ＡＰ３で受信されるアクセスポイント装置ＡＰＸからのフレームの電波強度が「−５０ｄＢｍ」であったとする。

この場合、電波強度が強ければ電波発信源が近く、電波強度が弱ければ電波発信源が遠いことを意味しているので、図５に示すように、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３を中心とするその電波強度に応じた円Ｃ１，Ｃ２，Ｃ３を描くことにより、この円Ｃ１，Ｃ２，Ｃ３が交差する領域部分ＡＲにアクセスポイント装置ＡＰＸが位置していることを予想することができる。本実施の形態では、この円Ｃ１，Ｃ２，Ｃ３が交差する領域部分ＡＲをアクセスポイント装置ＡＰＸの位置として検出する。

なお、不正アクセス検出装置２には、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３を介してアクセスポイント装置ＡＰＸ以外からのフレームも与えられるが、ステップ３０２での判別により不正な無線装置がアクセスポイント装置ＡＰＸであることが分かっているので、ステップ３０４では、同一の送信元アドレスとして無線ＬＡＮアクセスポイントＡＰＸのアドレスを含むフレームに付加されている電波強度に基づいて、アクセスポイント装置ＡＰＸの位置の検出を行う。

このようにして、ＣＰＵ２−１は、アクセスポイント装置ＡＰＸが不正な無線装置であることを特定するとともに、この特定したアクセスポイント装置ＡＰＸの位置を割り出し、その情報をディスプレイ２−８に表示する（ステップ３０５）。このとき、警報を発するなどしてもよい。これを受けて、管理者は、施設内の割り出された位置に赴き、不正な無線装置として特定したアクセスポイント装置ＡＰＸを物理的に排除する。

〔場合２：不正な携帯無線端末が使用された場合〕
今、図６に示されるように、不正な無線装置として携帯無線端末ＳＴＡＸが使用されたとする。この携帯無線端末ＳＴＡＸは、アクセスポイント装置ＡＰ（ＡＰ１，ＡＰ２，ＡＰ３）との接続を図るために、自己のアドレス（送信元アドレス）を含むフレームを発信する。

アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３は、自分宛のフレームだけではなく、自分宛以外のフレームを受信する機能を有しいるので、携帯無線端末ＳＴＡＸからのフレームを受信する。そして、この受信したフレームに、そのフレームの受信時の電波強度を付加し、ＬＡＮ１を介して不正アクセス検出装置２へ送る。

不正アクセス検出装置２のＣＰＵ２−１は、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３からのフレームを受信し（ステップ３０１）、そのフレームに含まれている送信元アドレスを解析し、記憶装置２−４中に登録されていないアドレス（管理者の管理下にないアドレス）であれば、不正な無線装置と判別する（ステップ３０２）。この例において、携帯無線端末ＳＴＡＸのアドレスは登録されていないので、携帯無線端末ＳＴＡＸを不正な無線装置と判別する。

そして、ＣＰＵ２−１は、携帯無線端末ＳＴＡＸを不正な無線装置と判別すると（ステップ３０３のＹＥＳ）、アクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３からのフレームに付加されている電波強度に基づいて、すなわちアクセスポイント装置ＡＰ１，ＡＰ２，ＡＰ３で受信される携帯無線端末ＳＴＡＸからのフレームに付加されている電波強度に基づいて、上述した「場合１」と同様にして、携帯無線端末ＳＴＡＸの位置を検出する（ステップ３０４）。

このようにして、ＣＰＵ２−１は、携帯無線端末ＳＴＡＸが不正な無線装置であることを特定するとともに、この特定した携帯無線端末ＳＴＡＸの位置を割り出し、その情報をディスプレイ２−８に表示する（ステップ３０５）。このとき、警報を発するなどしてもよい。これを受けて、管理者は、施設内の割り出された位置に赴き、不正な無線装置として特定した携帯無線端末ＳＴＡＸを物理的に排除する。

なお、上述した実施の形態では、ＬＡＮ１に接続されている正規のアクセスポイント装置をＡＰ１，ＡＰ２，ＡＰ３の３つとしたが、正規のアクセスポイント装置は２つ以上あれば、不正な無線装置（アクセスポイント装置ＡＰＸ、携帯無線端末ＳＴＡＸ）の位置を検出することが可能である。

また、上述した実施の形態では、不正な無線装置をアクセスポイント装置ＡＰＸや携帯無線端末ＳＴＡＸとしたが、電波を出している装置であれば、通常用いられているどのような無線装置（ＩＥＥＥ８０２．１１準拠の装置）であっても、同様にして不正な装置であるか否かの判別とその位置の検出を行うことが可能である。

また、上述した実施の形態では、不正な無線装置を判別した後、その無線装置の位置を検出するようにしたが、無線装置の位置を検出した後、その無線装置が不正であるか否かを判別するようにしてもよい。

本発明に係る不正アクセス検出方法の実施に用いる無線ＬＡＮシステムの一例を示すシステム構成図である。 この無線ＬＡＮシステムにおいて使用する不正アクセス検出装置のハード構成の概略を示す図である。 この不正アクセス検出装置におけるＣＰＵの不正アクセス検出プログラムに従う処理動作を説明するフローチャートである。 不正なアクセスポイント装置が接続された例を示す図である。 不正アクセス検出装置における不正な無線装置の位置の検出原理を説明するための図である。 不正な携帯無線端末が使用された例を示す図である。

符号の説明

１…ＬＡＮ（ローカルエリアネットワーク）、２…不正アクセス検出装置、２−１…ＣＰＵ、２−２…ＲＡＭ、２−３…ＲＯＭ、２−４…記憶装置、２−５〜２−７…インターフェイス、２−８…ディスプレイ、２−９…キーボード、２−１０…マウス、ＡＰ１，ＡＰ２，ＡＰ３…アクセスポイント装置、ＡＰＸ…不正なアクセスポイント装置、ＳＴＡ…携帯無線端末、ＳＴＡＸ…不正な携帯無線端末。

Claims (4)

1. 無線装置から無線で送られてくる送信元アドレスを含む送信情報を複数のアクセスポイント装置にて受信するステップと、
   前記複数のアクセスポイント装置にて受信された送信情報に受信時点の電波強度を付加するステップと、
   前記複数のアクセスポイント装置から送られてくる前記受信時点の電波強度が付加された前記送信情報を受信するステップと、
   前記アクセスポイント装置を介して受信した前記送信情報に含まれている送信元アドレスに基づいてその送信情報の送信元の無線装置が不正な無線装置であるか否かを判別するステップと、
   前記アクセスポイント装置を介して受信した同一の送信元アドレスを含む前記送信情報に付加されている電波強度に基づいてその送信情報の送信元の無線装置の位置を検出するステップと
   を備えたことを特徴とする不正アクセス検出方法。
2. 無線により情報の送受信を行う複数のアクセスポイント装置にネットワークを介して接続された不正アクセス検出装置であって、
   前記アクセスポイント装置により受信されこのアクセスポイント装置を介して送られてくる受信時の電波強度が付された無線装置からの送信元アドレスを含む送信情報を受信する手段と、
   受信した前記アクセスポイント装置からの前記送信情報に含まれている送信元アドレスに基づいてその送信情報の送信元の無線装置が不正な無線装置であるか否かを判別する手段と、
   受信した前記アクセスポイント装置からの同一の送信元アドレスを含む前記送信情報に付加されている電波強度に基づいてその送信情報の送信元の無線装置の位置を検出する手段と
   を備えたことを特徴とする不正アクセス検出装置。
3. 請求項１に記載された不正アクセス検出方法において、
   前記無線装置は、携帯無線端末との間で無線によりデータの送受信を行うアクセスポイント装置であることを特徴とする不正アクセス検出方法。
4. 請求項１に記載された不正アクセス検出方法において、
   前記無線装置は、アクセスポイント装置との間で無線によりデータの送受信を行う携帯無線端末であることを特徴とする不正アクセス検出方法。
   

Images