JP2006304303A - 無線ネットワークにおける安全な隔離と回復 - Google Patents

Abstract

【課題】無線アクセスネットワーク、及び特にＷＬＡＮネットワークにおける悪意のある行いの犠牲者を隔離する。
【解決手段】犠牲者のデバイス上にソフトウェアを持つことによって、本システムは、侵入者の影響から犠牲者を回復させる能力を提供し、犠牲者が侵入者による次の攻撃によって影響を受けることを阻止する。好適な実施例は、二つの主要要素、すなわちローカルモニタとグローバルモニタとを含む。
【選択図】図１

Description

本出願は、ネットワークエンティティが攻撃されているか否かを検出し、攻撃等の影響を取り除く方法に関する。

（ネットワーク及びインターネットプロトコル）
最も悪評を持つインターネットを用いた多くのタイプのコンピュータネットワークがある。インターネットはコンピュータネットワークの世界的なネットワークである。今日、インターネットは、数百万人のユーザに利用可能な公的で、自立的なネットワークである。インターネットは、ホストを接続するために、ＴＣＰ／ＩＰ（すなわち、伝送制御プロトコル／インターネットプロトコル）と呼ばれる通信プロトコルのセットを用いる。インターネットはインターネットバックボーンとして知られている通信インフラストラクチャーを持っている。インターネットバックボーンへのアクセスは、主として、企業と個人へのアクセスを転売するインターネットサービスプロバイダー（ＩＳＰ）により制御される。

ＩＰ（インターネットプロトコル）に関して、これは、データが一つのデバイス（例えば、電話、ＰＤＡ（パーソナル・デジタル・アシスタント）コンピュータ等）からネットワーク上の別のデバイスに送られうるプロトコルである。今日、例えばＩＰｖ４、ＩＰｖ６等を含む各種のＩＰのバージョンがある。ネットワーク上の各ホストデバイスは、ＩＰネットワークへのホストデバイスの接続ポイントを識別する最低一つのＩＰアドレスを持っている。

ＩＰは接続のないプロトコルである。通信中、終点間の接続は継続的ではない。ユーザがデータまたはメッセージを送受信する場合、このデータまたはメッセージは、パケットとして知られている成分に分割される。すべてのパケットは独立したデータのユニットとして取り扱われる。

インターネットまたは同類のネットワークによるポイント間の送信を標準化するために、ＯＳＩ（開放型システム間相互接続）モデルが確立された。ＯＳＩモデルは、ネットワークにおける二つのポイント間の通信処理を、七つの積層されたレイヤに分離する。各レイヤは、自分自身の機能セットを加えている。各デバイスは、送信終点において各レイヤを通過する下りフローと、受信終点において各レイヤを通過する上りフローとが存在できるようにメッセージを取り扱う。七つの機能レイヤを提供するプログラム及び／又はハードウェアは、一般に、デバイスオペレーティングシステム、アプリケーションソフトウェア、ＴＣＰ／ＩＰ及び／又はその他の伝送及びネットワークプロトコル、及びその他のソフトウェアとハードウェアの組み合わせである。

一般に、上部の四つのレイヤは、ユーザから、又はユーザへメッセージが通過するときに使用され、下部の三つのレイヤは、メッセージが、デバイス（例えば、ＩＰホストデバイス）を通過するときに使用される。ＩＰホストは、ＩＰパケットを送受信することが可能な、例えばサーバ、ルータ、又はワークステーションのようなネットワーク上の任意のデバイスである。その他のホストに向けられたメッセージは、上部レイヤに渡されないが、その他のホストに転送される。ＯＳＩおよびその他類似のモデルでは、ＩＰは、レイヤ３、すなわちネットワークレイヤにある。ＯＳＩモデルのレイヤを以下に列挙する。

レイヤ７（すなわちアプリケーションレイヤ）は、例えば、通信相手が識別され、サービス品質が識別され、ユーザ認証及び秘密が考慮され、データ構文上の制約が識別される等のレイヤである。

レイヤ６（すなわちプレゼンテーションレイヤ）は、例えば、一つのプレゼンテーションフォーマットからの到来及び発信データを、別のプレゼンテーションフォーマットに変換するレイヤである。

レイヤ５（すなわちセッションレイヤ）は、例えば、アプリケーション間の会話、交換、及び対話を設定し、調整し、終了するレイヤである。

レイヤ４（すなわちトランスポートレイヤ）は、例えば、エンド・トゥ・エンド・コントロール及びエラー・チェック等を管理するレイヤである。

レイヤ３（すなわちネットワークレイヤ）は、例えばルーティング及び転送等を取り扱うレイヤである。

レイヤ２（すなわちデータリンクレイヤ）は、例えば、物理レベルのための同期を与え、ビットスタッフィングを行い、伝送プロトコル知識及び管理等を提供するレイヤである。米国電気電子技術者協会（ＩＥＥＥ）は、データリンクレイヤを更に二つのサブレイヤ、すなわち、物理レイヤとのデータ伝送を制御するＭＡＣ（メディアアクセス制御）レイヤと、ネットワークレイヤとインタフェースし、コマンドを解釈してエラー回復を実行するＬＬＣ（論理リンク制御）レイヤとに細分割している。

レイヤ１（すなわち物理レイヤ）は、例えば物理レベルにおいてネットワークを通じてビットストリームを変換するレイヤである。ＩＥＥＥは、物理レイヤをＰＬＣＰ（物理レイヤ収束手順）サブレイヤと、ＰＭＤ（物理媒体依存）サブレイヤとに細分割する。

一般に、レイヤ２よりも上位のレイヤ（例えば、ＯＳＩモデルにおけるネットワークレイヤすなわちレイヤ３等）は、高次レイヤと称される。

（無線ネットワーク）
無線ネットワークは、例えば、携帯及び無線電話、ＰＣ（パーソナルコンピュータ）、ラップトップコンピュータ、ウェアラブルコンピュータ、コードレス電話、ページャ、ヘッドセット、プリンタ、ＰＤＡ等の様々なタイプのモバイルデバイスを含みうる。例えば、モバイルデバイスは、音声及び／又はデータの安全で高速な無線伝送のためのデジタルシステムを含みうる。典型的なモバイルデバイスは、以下に示す要素のうちの幾つか又は全てを含む。すなわち、トランシーバ（すなわち、例えば送信器と、受信器と、必要であればその他の機能とを統合した単一チップトランシーバ等を含む送信器及び受信器）、アンテナ、プロセッサ、一つ又は複数のオーディオトランスデューサ（例えば、オーディオ通信のためのデバイス内のスピーカ又はマイクロフォン）、電子磁気データ記憶装置（例えば、データ処理が提供されるデバイス内におけるＲＯＭ、ＲＡＭ、デジタルデータ記憶装置等）、メモリ、フラッシュメモリ、フルチップセット又は集積回路、インタフェース（例えば、ＵＳＢ、ＣＯＤＥＣ，ＵＡＲＴ，ＰＣＭ等）などである。

モバイルユーザが無線接続を介してローカルエリアネットワーク（ＬＡＮ）へ接続できる無線ＬＡＮ（ＷＬＡＮ）は、無線通信のために利用されうる。無線通信は、例えば、光、赤外線、無線、マイクロ波のような電磁波を経由して伝搬する通信を含みうる。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）、ＩＥＥＥ８０２．１１、及びＨｏｍｅＲＦのように、現在、様々なタイプのＷＬＡＮ規格が存在する。

一例として、Ｂｌｕｅｔｏｏｔｈ（登録商標）製品は、モバイルコンピュータ間、モバイル電話間、ポータブルハンドヘルドデバイス間、パーソナル・デジタル・アシスタント間、及びその他のモバイルデバイス間のリンク、及びインターネットへの接続を提供するために使用される。Ｂｌｕｅｔｏｏｔｈ（登録商標）は、モバイルデバイスがどのようにして容易に相互接続したり、狭帯域無線接続を用いて非モバイルデバイスと相互接続できるかを詳説するコンピュータ及び電気通信業界規格である。Ｂｌｕｅｔｏｏｔｈ（登録商標）は、一つのデバイスから別のデバイスへのデータ同期と一致性を維持する必要がある様々なモバイルデバイスの普及から生じるエンドユーザ問題に対処するためにデジタル無線プロトコルを生成する。これによって、異なるベンダからの機器が、互いにシームレスに動作できるようになる。Ｂｌｕｅｔｏｏｔｈ（登録商標）デバイスは、共通の命名概念に従って名付けられうる。例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）デバイスは、Ｂｌｕｅｔｏｏｔｈ（登録商標）デバイス名（ＢＤＮ）、又はユニークなＢｌｕｅｔｏｏｔｈ（登録商標）デバイスアドレス（ＢＤＡ）に関連する名前を有する。Ｂｌｕｅｔｏｏｔｈ（登録商標）デバイスは、インターネットプロトコル（ＩＰ）ネットワークにも参加する。Ｂｌｕｅｔｏｏｔｈ（登録商標）デバイスが、ＩＰネットワーク上で動作すれば、このデバイスには、ＩＰアドレス及びＩＰ（ネットワーク）名が与えられる。従って、ＩＰネットワークに参加するように構成されたＢｌｕｅｔｏｏｔｈ（登録商標）デバイスは、例えばＢＤＮ、ＢＤＡ、ＩＰアドレス、及びＩＰ名を含む。用語「ＩＰ名」は、インタフェースのＩＰアドレスに対応する名前を称する。

ＩＥＥＥ規格、ＩＥＥＥ ８０２．１１は、無線ＬＡＮ及びデバイスのための技術を具体化する。８０２．１１を用いて、幾つかのデバイスをサポートする各単一基地局によって無線ネットワーキングが達成される。いくつかの例では、無線ハードウェアが予め装備されたデバイスとして現れるか、又はユーザが、例えばカードのような、アンテナを含みうるハードウェアの個別部品をインストールできる。一例として、８０２．１１で使用されるデバイスは一般に、このデバイスが、アクセスポイント（ＡＰ）、移動局（ＳＴＡ）、ブリッジ、ＰＣＭＣＩＡカード、又は別のデバイスであるか否かに関わらず、三つの顕著な要素、すなわち無線トランシーバ、アンテナ、及びネットワーク内のポイント間のパケットフローを制御するＭＡＣ（メディアアクセス制御）レイヤを含む。

更に、幾つかの無線ネットワークでは、複数インタフェースデバイス（ＭＩＤ)が適用される。ＭＩＤは、例えばＢｌｕｅｔｏｏｔｈ（登録商標）インタフェース及び８０２．１１インタフェースのような二つ又はそれ以上の独立ネットワークを含むことができるので、Ｂｌｕｅｔｏｏｔｈデバイスとインタフェースするのみならず、二つの別個のネットワーク上にも参加することができる。ＭＩＤは、ＩＰアドレスと、このＩＰアドレスに関連付けられた共通のＩＰ（ネットワーク）名とを持つ。

無線ネットワークデバイスは、Ｂｌｕｅｔｏｏｔｈデバイスに限られるのではなく、複数インタフェースデバイス（ＭＩＤ）、８０２．１１ｘデバイス（例えば８０２．１１ａ，８０２．１１ｂ，及び８０２．１１ｇデバイスを含むＩＥＥＥ８０２．１１デバイス）、ＨｏｍｅＲＦ（ホーム無線周波数）デバイス、Ｗｉ−Ｆｉ（ワイヤレス・フィディリティー）（登録商標）デバイス、ＧＰＲＳ（ジェネラル・パケット・ラジオ・サービス）デバイス、３Ｇセルラーデバイス、２．５Ｇセルラーデバイス、ＧＳＭ（グローバル・システム・フォー・モバイル・コミュニケーション）デバイス、ＥＤＧＥ（エンハンスト・データ・フォー・ＧＳＭ・エボリューション）デバイス、ＴＤＭＡタイプ（時分割多元接続）デバイス、又はＣＤＭＡ２０００を含むＣＤＭＡタイプ（符号分割多元接続）デバイスを含みうる。個々のネットワークデバイスは、限定される訳ではないが、ＩＰアドレス、Ｂｌｕｅｔｏｏｔｈデバイスアドレス、Ｂｌｕｅｔｏｏｔｈコモンネーム、Ｂｌｕｅｔｏｏｔｈ ＩＰアドレス、Ｂｌｕｅｔｏｏｔｈ ＩＰコモンネーム、８０２．１１ ＩＰアドレス、８０２．１１ ＩＰコモンネーム、又はＩＥＥＥ ＭＡＣアドレスを含む可変タイプのアドレスを含む。

無線ネットワークは、また、例えば、モバイルＩＰ（インターネットプロトコル）システム内、ＰＣＳシステム内、及びその他のモバイルネットワークシステム内で見られる方法及びプロトコルをも含みうる。モバイルＩＰに関し、それは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）によって生成される標準的な通信プロトコルを含む。モバイルＩＰを用いて、モバイルデバイスユーザは、一旦割り当てられたＩＰアドレスを保持しながら、ネットワークを横断して移動することができる。リクエスト・フォー・コメント（ＲＦＣ）３３４４を参照されたい。注：ＲＦＣは、インターネット・エンジニアリング・タスク・フォース（ＩＥＴＦ）の公式文書である。モバイルＩＰは、インターネットプロトコル（ＩＰ）を強化し、ホームネットワークの外部に接続するとき、インターネットトラフィックを、モバイルデバイスに転送するための手段を追加する。モバイルＩＰは、各モバイルノードに、ホームネットワーク上のホームアドレスと、サブネット、及びネットワーク内のデバイスの現在位置を識別するケア・オブ・アドレス（ＣｏＡ）とを割り当てる。デバイスが、別のネットワークに移動した時には、新たなケア・オブ・アドレスを受け取る。ホームネットワーク上の移動エージェントは、各ホームアドレスを、そのケア・オブ・アドレスに関連付けることができる。モバイルノードは、例えばインターネット・コントロール・メッセージ・プロトコル（ＩＣＭＰ）を用いてそのケア・オブ・アドレスを変更する毎に、バインディング・アップデートをホームエージェントに送る。

基本的なＩＰルーティング（すなわち、モバイルＩＰの外部）では、一般に、ルーティングメカニズムは、各ネットワークノードが例えばインターネットに対して常に一定の接続点を持っており、各ノードのＩＰアドレスが、接続されたネットワークリンクを識別するという仮定に基づいている本明細書において、用語「ノード」は、接続点を含む。これは、例えば、データ送信のための再配信点又は終点を含み、その他のノードへの通信を認識、処理及び／又は転送をすることができる。例えば、インターネットルータは、デバイスのネットワークを識別する例えばＩＰアドレスプレフィクス等を考慮することができる。そして、ネットワークレベルにおいて、ルータは、例えば特定のサブネットを識別するビットの集合を考慮することができる。そして、サブネットレベルでは、ルータは、特定のデバイスを識別するビットの集合を考慮することができる。典型的なモバイルＩＰ通信によって、もしもユーザが、例えばインターネットからモバイルデバイスを切断し、新たなサブセットにおいてそれへの再接続を試みるのであれば、このデバイスは、新たなＩＰアドレス、適切なネットマスク、及びデフォルトルータを用いて再設定されねばならない。さもなければ、ルーティングプロトコルは、パケットを適切に配信できないであろう。

（ネットワーク攻撃）
いくつかの例では、ネットワークエンティティは、攻撃され、悪意のある行いの犠牲者になるかもしれない。そのような問題を解決するための事前の試みは、このネットワークエンティティが攻撃されているかを検出することに主に焦点が置かれてきた。この事前解決は、攻撃の影響を取り除くためのステップを取ることに焦点が置かれておらず、すなわち、この問題に対する完全な解決を与えるものではない。

本発明の好適な実施例は、既存のシステム及び方法をかなり改善することができる。

前述の問題に対する解決策が、適切な隔離と回復によって攻撃の影響を取り除くことであることが発見された。本発明の一つの広範な局面は、無線接続ネットワーク、特にＷＬＡＮネットワークにおける悪意のある行いの犠牲者を隔離するための方法である。更に、犠牲者のデバイス上にソフトウェアを持つことによって、本発明のシステムは、侵入者の影響から犠牲者を回復させ、犠牲者が、侵入者による次の攻撃によって影響を受けることを阻止する能力を提供する。

本発明の別の広範な局面は、二つの主要な要素、つまりローカルモニタと、グローバルモニタとを含む。ネットワーク上のエンティティが攻撃されているかを検出し、攻撃の影響を取り除くためのシステムは、このエンティティを隔離することと、侵入者による攻撃の影響からこのエンティティを回復させることを含む。

本発明の別の局面は、侵入者によって攻撃されているエンティティを、攻撃の影響から回復させ、前記侵入者による更なる攻撃を阻止するためのエンティティのデバイス上へのソフトウェアの提供である。

本発明の別の局面では、ローカルモニタが無線パケットを傍受し、レイヤ２矛盾を分析し、無線パケットを傍受しレイヤ２矛盾を分析しているローカルモニタから展開された情報を、前記グローバルモニタへ転送する。

本発明の別の局面では、ローカルモニタは、有線インタフェースと、モニタリングポリシーデータベースと、検出スクリプトと、誤挙動データベースと、トラフィックスニファと、グローバルモニタへのインタフェースとを備えている。

本発明の別の局面では、ローカルモニタが、グローバルモニタへの有線接続を持っている。これによって、ローカルモニタは、悪意のある攻撃に対する無線接続の弱点へと、ローカルモニタをグローバルモニタの支配下におくことなくグローバルモニタと通信することができる。ローカルモニタは、複数の周波数チャネルを越えて複数のアクセスポイントをカバーすることができる。

本発明の別の局面では、ローカルモニタが、無線チャネル上のパケットを取得し、検出し、グローバルモニタにレイヤ２の弱点を報告し、有効な情報における攻撃サインとポリシーとに基づいてグローバルモニタ攻撃に対して報告することができる。

本発明の別の局面では、グローバルモニタが、複数のローカルモニタを調整し、管理する。グローバルモニタは、更に、複数のアクセスポイントとローカルモニタへの有線インタフェースと、ローカルモニタへのインタフェースと、システム情報格納部と、グローバル推論エンジンと、モニタリングポリシーデータベースとを備えることができる。グローバルモニタは、バックボーンネットワーク内に存在することができ、制御された方式で、アクセスルータを介してアクセス可能である。これによって、グローバルモニタは、ネットワークの無線部分において違った形で起こるかもしれない悪意のある攻撃から隔離される。

本発明の別の局面では、複数のローカルモニタを備えたグローバルモニタインタフェースがレイヤ３及びその後において弱点及び／又は攻撃を分析して検出し、ローカルモニタを管理し、ローカルモニタに問い合わせ、適切なアラーム及び／又はログを生成する。この攻撃は、サービスの拒否、無法なアクセスポイント攻撃、介入者攻撃、及び個人情報泥棒を含みうる。攻撃を検出すると、原因ノードが隔離され、将来の攻撃を防止するために、検出された攻撃と、回復メカニズムとが与えられる。

本発明の別の局面では、攻撃の影響からエンティティを回復させ、侵入者による更なる攻撃を阻止するために、ソフトウェアがエンティティのデバイス上に提供される。

様々な実施例の上述及び／その他の局面、特徴及び／又は利点が、添付図面と連携した以下の記述を考慮して更に認められるであろう。様々な実施例は、適用可能な異なる局面、特徴、及び／又は利点を含んだり、除外したりすることができる。更に、様々な実施例は、適用可能なその他の実施例の一つ又は複数の局面又は特徴を組み合わせることができる。特定の実施例の局面、特徴、及び／又は利点の記述は、その他の実施例、又は特許請求の範囲を制限するものとして解釈されるべきではない。

本発明の好適な実施例が、限定されることなく、一例として添付図面に示される。

本発明が多くの異なる形式で具体化される一方、ここでは、本開示は、本発明の原理の一例を与えるものと考えられるべきであり、そのような例は、ここで説明及び／又は例示された好適な実施例に本発明を限定することが意図とされていないという理解の下で、多くの例示的な実施例が説明される。

上述された問題に対する解決策は、適切な隔離と回復を通じて攻撃の影響を取り除くことであることが発見された。本発明の一つの広い局面は、無線アクセスネットワーク、特にＷＬＡＮネットワークにおける悪意のある行いの犠牲者を隔離する方法である。更に、この犠牲者のデバイス上にソフトウェアを持つことによって、本発明のシステムは、侵入者の影響から犠牲者を回復させ、犠牲者が、侵入者による次の攻撃によって影響を受けることから阻止する能力を提供する。

本システムの好適な実施例は、二つの主要な構成要素、すなわちローカルモニタとグローバルモニタとを含む。

今、我々は、図１及び図２にそれぞれ示すように、ローカルモニタ及びグローバルモニタの設計詳細を与える。

（ローカルモニタ）
好適な実施例では、ローカルモニタは、無線パケットを傍受し、定義されたローカルポリシーに依存してレイヤ２矛盾を分析し、レイヤ３送信情報をグローバルモニタへ転送することに責任を持つ。

図１の概要図は、有線インタフェース１０２、モニタリングポリシーデータベース１０４、検出スクリプト１０６、誤挙動データベース１０８、傍受されたトラフィック１１０、及びグローバルモニタ１１２へのインタフェースを示している。

全てのトラフィックは、インフラストラクチャモードにおいて、アクセスポイント（ＡＰ）を介して遷移するので、ＡＰへの近接近は、ローカルモニタを配置するための論理的な選択となる。ローカルモニタは、グローバルモニタと通信するために、バックボーンネットワークへの有線接続１０２を持つことが要求される。なぜなら、無線接続は、悪意のある攻撃に対して無防備であるからである。ローカルモニタは、適用された無線ＬＡＮと同じサブネット中に存在するかも、またはしないかもしれない。単一のローカルモニタ要素は、単一のＡＰに限定される必要はないが、実際には、複数の周波数チャネルを越えて複数のＡＰをカバーできることに注意されたい。８０２．１１ ＷＬＡＮの場合、不規則なモードにあるローカルモニタは、その論理ネットワーク構成（例えば、ＥＳＳＩＤ及びＷＥＰ設定による８０２．１１）に関わらず、サービスエリア内の複数のホストとＡＰからエアトラフィックの全てを捕捉することができる。８０２．１１において最も一般的に使用されているＰＨＹレイヤ規格は、ＤＳＳＳ（直接シーケンス拡散スペクトル）である。この技術を用いて、チャネルエネルギーのほとんどは、２２ＭＨｚ帯域を越えて拡散される。一方、チャネル空間は５ＭＨｚである。従って、隣接チャネルとの干渉を避けるために、５又はそれ以上のチャネル分離（５×５ＭＨｚ ２５ＭＨｚ）が必要とされる。逆に、４チャネル以下の分離では、隣接チャネルからの信号を受信することが可能である。従って、ローカルモニタは、四つのチャネルによって分離されたその他のチャネルを観察することもできる。しかしながら、その他のチャネルからの信号は、伝搬環境に依存してローカルモニタに弱く現れるので、使用されている各周波数チャネルのためにローカルモニタを置くことが好ましい。このようにして、物理レイヤ依存性が回避され、ローカルモニタは、誤挙動トラフィックを傍受し（１１０）、迅速かつ効率的に分析し（１０４，１０６，１０８）、グローバルモニタに報告する。

好適な実施例では、ローカルモニタは、以下の機能を備えて設計される。
１．無線チャネルにおけるパケットを捕捉すること。
２．有効な攻撃サイン及びポリシーに基づき、レイヤ２弱点／攻撃を検出及び報告すること。
３．グローバルモニタへレイヤ３トラフィック情報を報告すること。
４．アラーム／ログを適切に生成すること。
５．エンティティのデバイス上のユーザエージェントソフトウェアと通信し、攻撃に関する情報を提供し、回復処理を開始すること。

（グローバルモニタ）
好適な実施例では、図２に示すグローバルモニタは、複数のローカルモニタを調整し、管理することに主に責任を持つ。更に、グローバルモニタは、ポリシーデータベースで定義されたようなレイヤ２上のあらゆる矛盾を判定する責任を持つ。

グローバルモニタは、好適には、種々のＡＰとローカルモニタへの有線インタフェース２０２と、ローカルモニタへのインタフェース２１２と、システム情報格納部２０６と、グローバル推論エンジン２０８と、モニタリングポリシーデータベース２０４とを備えている。グローバルモニタは、バックボーンネットワーク内に存在し、そのネットワークの無線部分で起こるかもしれない悪意のある攻撃からそれを隔離するために制御された方式で、アクセスルータを通じてアクセスすることができる。ロバスト性とスケーラビリティの目的のために、グローバルモニタは、分散されることも可能である。ローカルモニタと種々のＡＰは、有線インタフェース２０２を経由してグローバルモニタに接続される。これは、グローバルモニタ上の無線ＤＯＳ攻撃をかなり減らすのみならず、ローカルモニタとグローバルモニタとの間の接続の分断のリスクをも低減する。いくつかの好適な実施例では、グローバルモニタの幾つかの主要な機能は、以下を含んでいる。

１．様々なローカルモニタとインタフェースすること。
２．レイヤ３及びそれ以降におけるあらゆる弱点／攻撃を分析し、検出すること。
３．様々なローカルモニタを管理すること。
４．必要な場合、いつでも、ローカルモニタに問い合わせること。
５．適切なアラーム／ログを生成すること。

上記を備えることによって、本発明の好適な実施例の設計は、例えば（ａ）サービス拒否（ＤＯＳ）攻撃、（ｂ）無法なＡＰ攻撃（ここでは、攻撃者が偽の（無法な）ＡＲ及び見せ掛けに自分自身を設定可能）、及び／又は（ｃ）介入者タイプの攻撃、及び（Ｌ２）個人情報泥棒のような種々の攻撃を検出する際の手段となる。一旦検出されると、本発明の好適な実施例の設計は、先ず、原因ノードを攻撃から隔離し、次に、その後の攻撃を防ぐために、回復メカニズムを与える。

既存のシステムは、機能に関してのみ本質的に検出に焦点をおいてきた。一方、本発明の好適な実施例は、悪意のある行い又は攻撃の検出の隔離及び回復に焦点を置き、本発明の好適な実施例の回復アプローチは、二つの異なることである。好適な実施例の隔離及び回復システムは、洗練された検出技術を持つものでさえ、無線アクセスネットワーク内では、明らかでも、直接的でもない。

本発明の実施例の例示的な実装が、図３、図４、及び図５のスクリーンショットで示されている。図３は、検出、回復、及びグローバルモニタへの報告を行う良好なローカルモニタを示している。図４は、ローカルモニタによってグローバルモニタに報告されたアクティビィティを良好に示しているグローバルモニタを示している。図５は、ローカルモニタによってトリガされた回復を良好に実行するユーザエージェントを示す。

（本発明の広範な範囲）
本発明の例示的な実施例がここに説明されたが、本発明は、ここで説明された様々な好適な実施例に限定されるのではなく、等価要素、部分変更、省略、組み合わせ（例えば、様々な実施例を横断する局面の）、及び／又は本開示に基づいて、当該技術分野における者によって理解されうる変形例を持つ任意及び全ての実施例を含む。特許請求の範囲における制限は、特許請求の範囲において用いられた文言に基づいて広く解釈されるべきであって、本明細書において、又は本出願中に記載された例に限定されるものではない。これらの例は、非限定的と解釈されるべきである。例えば、本開示において、用語「好適な」は、非限定的であり、「好適であるが、限定されない」ことを意味する。本開示において、及び本出願中では、〜する手段（ｍｅａｎｓ−ｐｌｕｓ−ｆｕｎｃｔｉｏｎ）又は〜するステップ（ｓｔｅｐ−ｐｌｕｓ−ｆｕｎｃｔｉｏｎ）という限定は、以下に示す条件、すなわち、ａ）「〜する手段」（ｍｅａｎｓ ｆｏｒ）又は「〜するステップ」（ｓｔｅｐ ｆｏｒ）が明確に記載されている場合、ｂ）対応する機能が明確に記載されている場合、及びｃ）構成をサポートする構成、材料、又は動作が記載されていない場合、のうちの全てが、特定の特許請求の範囲の限定の中に存在する場合にのみ適用されるであろう。本開示において、及び本出願中、「本発明」又は「発明」という用語は、本開示内の一つ又は複数の局面に関連して使用される。本発明又は発明という文言は、重大場面の識別として不適切に解釈されるべきではなく、全ての局面又は実施例を越えて適用しているものと不適切に解釈されるべきではなく（すなわち、本発明は、多くの局面及び実施例を持っているものと理解されるべきであり）、本出願又は特許請求の範囲を制限するものと不適切に解釈されるべきではない。本開示において、及び本出願中、用語「実施例」は、あらゆる局面、特徴、プロセス又はステップ、これらの任意の組み合わせ、及び／又はこれらの一部等を説明するために使用することが可能である。いくつかの例では、様々な実施例が、重複した特徴を含んでいるかもしれない。

図１は、ローカルモニタの概要図である。 図２は、グローバルモニタの概要図である。 図３は、検出し、回復させ、グローバルモニタに報告するローカルモニタを示すスクリーンショットである。 図４は、ローカルモニタによって報告されたアクティビティを示すグローバルモニタのスクリーンショットである。 図５は、ローカルモニタによってトリガされる回復を実行するユーザエージェントのスクリーンショットである。

Claims (21)

1. ネットワーク上のエンティティが攻撃されているかを検出し、この攻撃の影響を取り除く方法であって、前記エンティティを隔離することと、侵入者による前記攻撃の影響から前記エンティティを回復させることとを含む方法。
2. 侵入者による攻撃の影響からエンティティを回復させるためにソフトウェアをエンティティのデバイス上に提供することと、前記侵入者による更なる攻撃を阻止することとを更に含む請求項１に記載の方法。
3. 前記ネットワークは無線アクセスネットワークである請求項２に記載の方法。
4. 請求項３に記載の方法において、ローカルモニタとグローバルモニタとを用いることを更に含み、前記ローカルモニタは、無線パケットを傍受し、更に／或いはレイヤ２矛盾を分析し、前記無線パケットを傍受し更に／或いはレイヤ２矛盾を分析している前記ローカルモニタから展開された情報を、前記グローバルモニタに転送する方法。
5. 請求項４に記載の方法において、前記ローカルモニタは、モニタリングポリシーデータベース、検出スクリプト、誤挙動データベース、及びトラフィックスニファ内の情報を処理し、有線インタフェースを経由してグローバルモニタへ前記情報を通信する方法。
6. 請求項４に記載の方法において、前記ローカルモニタは、アクセスポイントに近接近している方法。
7. 請求項３に記載の方法において、前記ローカルモニタは、無線チャネル上のパケットを捕捉し、攻撃サイン及びポリシーに基づいて弱点を検出し、前記弱点及びトラフィック情報をグローバルモニタに報告する方法。
8. 少なくとも一つのローカルモニタが、複数の周波数チャネルを越えて複数のアクセスポイントをカバーする請求項５に記載の方法。
9. 前記ローカルモニタが、無線チャネル上のパケットを捕捉し、レイヤ２弱点を検出し、報告する請求項４に記載の方法。
10. 前記ローカルモニタが、有効な攻撃サイン及びポリシーに基づいて前記グローバルモニタに攻撃を報告する請求項４に記載の方法。
11. 前記ローカルモニタが、レイヤ３トラフィック情報を前記グローバルモニタに報告する請求項４に記載の方法。
12. 前記ローカルモニタが、攻撃アラーム及び／又はログを生成する請求項４に記載の方法。
13. 前記ローカルモニタが、前記エンティティのデバイス上のユーザエージェントソフトウェアと通信して、前記攻撃に関する情報を提供し、回復処理を開始する請求項４に記載の方法。
14. 前記グローバルモニタは、複数のローカルモニタを調整し、管理する請求項４に記載の方法。
15. 前記グローバルモニタは、システム情報格納部、グローバル推論エンジン、及びモニタリングポリシーデータベース内の情報を処理し、処理した情報を有線インタフェースを経由して、複数のアクセスポイント及びローカルモニタに通信する請求項１４に記載の方法。
16. 前記グローバルモニタは、バックボーンネットワーク内に存在し、制御された方式で、アクセスルータを通じてアクセス可能であり、これによって、前記ネットワークの無線部分において発生しうる悪意のある攻撃から前記グローバルモニタが隔離されるようにした請求項１４に記載の方法。
17. 前記グローバルモニタは、複数のローカルモニタとインタフェースし、レイヤ３及びそれ以降において弱点及び／又は攻撃の分析及び検出を行い、ローカルモニタを管理し、ローカルモニタへの問い合わせを行い、アラーム及び／又はログを生成する請求項４に記載の方法。
18. 前記攻撃は、サービスの拒否、無法なアクセスポイント攻撃、介入者攻撃、及び個人情報泥棒のうちの少なくとも一つを含み、攻撃を検出すると、前記検出された攻撃から原因ノードが隔離され、回復メカニズムがその後の攻撃を防ぐ請求項１に記載の方法。
19. 請求項１に記載の方法において、侵入者による攻撃の影響からエンティティを回復させ、前記侵入者による更なる攻撃を阻止するためのソフトウェアをエンティティのデバイス上で処理することを更に含む請求項１に記載の方法。
20. 前記ローカルモニタは、無線チャネル上のパケットを捕捉し、前記無線パケットを傍受し、更に／又はレイヤ２矛盾を分析し、前記無線パケットを傍受し更に／又はレイヤ２矛盾を分析している前記ローカルモニタから展開された情報を前記グローバルモニタに転送し、前記ローカルモニタは、モニタリングポリシーデータベース、検出スクリプト、誤挙動データベース、及びトラフィックスニファ内のパケット情報を処理し、前記情報を有線インタフェースを経由してグローバルモニタに報告し、少なくとも一つのローカルモニタは、複数の周波数チャネルを越えて複数のアクセスポイントをカバーしており、前記ローカルモニタは、有効な攻撃サイン及びポリシーに基づいて、レイヤ２弱点、レイヤ３トラフィック情報、及び攻撃を検出して前記グローバルモニタに報告し、攻撃アラーム及び／又はログを生成する請求項３に記載の方法。
21. 前記グローバルモニタは、システム情報格納部、グローバル推論エンジン、及びモニタリングポリシーデータベースを持ち、複数のローカルモニタとインタフェースしている前記グローバルモニタは、複数のアクセスポイント及びローカルモニタへの有線インタフェースを経由して、複数のローカルモニタを調整して管理し、前記グローバルモニタは、バックボーンネットワークに存在し、制御された方式で、アクセスルータを経由してアクセス可能であり、これによって、前記ネットワークの無線部分において発生しうる悪意のある攻撃から前記グローバルモニタが隔離され、前記グローバルモニタは、レイヤ３及びそれ以降において弱点及び／又は攻撃の分析及び検出を行い、ローカルモニタへの問い合わせを行い、適切なアラーム及び／又はログを生成し、前記攻撃は、サービスの拒否、無法なアクセスポイント攻撃、介入者攻撃、及び個人情報泥棒のうちの少なくとも一つを含み、攻撃を検出すると、前記検出された攻撃から原因ノードを隔離し、回復メカニズム提供してその後の攻撃を防ぐ請求項２０に記載の方法。

Images