JP2006319872A

JP2006319872A - 無線ネットワークを用いた通信システム及びそのコンピュータウィルス拡大防止方法

Info

Publication number: JP2006319872A
Application number: JP2005142694A
Authority: JP
Inventors: Masayuki Yasuda; 正之保田
Original assignee: NEC Infrontia Corp
Current assignee: NEC Platforms Ltd
Priority date: 2005-05-16
Filing date: 2005-05-16
Publication date: 2006-11-24

Abstract

【課題】無線端末がコンピュータウィルスに感染した際に、感染端末をネットワークから完全に遮断し、その感染拡大を防止する。
【解決手段】ウィルス監視サーバＳＶ１０３は、ネットワークＮＴ１内にウィルス入りデータを検知すると、感染通知パケットをブロードキャストする。アクセスポイントＡＰ１００ａ、ＡＰ１００ｂ、無線端末ＭＴ１０１ａ、ＭＴ１０１ｃは、そのパケットを受信すると、感染端末ＭＴ１０１ｂのアクセスを制限する。ＭＴ１０１ｂは、そのパケットを受信すると、自身のＲＦを停止する。これによりネットワークから完全に遮断し、感染拡大を防止する。ＭＴ１０１ｂのウィルス駆除が完了すると、ＲＦ停止を解除する。ＳＶ１０３は、ウィルス駆除確認後、制限解除パケットをブロードキャストする。ＡＰ１００ａ、ＡＰ１００ｂ、ＭＴ１０１ａ、１０１ｃは、ＭＴ１０１ｂのアクセス制限を解除する。
【選択図】図１

Description

本発明は、無線ネットワークを用いた通信システム、コンピュータウィルス拡大防止方法、アクセスポイント、無線端末、及びこれらの動作方法に係り、とくに無線ネットワークを用いた通信システムのコンピュータウィルス拡大防止方法及びセキュリティ対策方法に関する。

一般にネットワークを利用した通信システムでは、ネットワーク上のいずれかの端末がコンピュータウィルス（以下、「ウィルス」と簡略する）に感染された場合、ウィルスに感染した端末（以下、「感染端末」と呼ぶ）の送信データからネットワーク経由で他の端末へウィルス感染が拡大する恐れがある。このため、ウィルスを検知したり、その感染拡大を防止したりする対策が必要とされている。

従来、ウィルスを検知する対策に関しては、端末内でウィルスをスキャンして検知する方法や、受信データを解析してリアルタイムにウィルス感染を検知する方法、さらにネットワーク内のパケットをサーバにより監視してウィルスを検知する方法等がある。

また、ウィルス感染の拡大を防止する対策に関しては、ＨＵＢ（ハブ）やルータにおいて、ＭＡＣ（Media Access Control）アドレスを用いて感染端末に対するアクセスを制限したり、ポートを遮断したりする方法が知られている（例えば、特許文献１参照）。また、無線ネットワークを利用した通信システムの場合、無線ネットワークと有線ネットワークの中継機であるアクセスポイントにおいて、所定のウィルスパターンを検知するフィルタを設け、これによりアクセスポイントで感染端末からのデータをブロックしてウィルス感染の拡大を防ぐ方法も提案されている（例えば、特許文献２参照）。

しかし、新たなウィルスの開発とその対策技術の開発とは、一方が行われると必ず他方も行われるという、いたちごっこの関係にあり、ネットワーク上に物理的に接続されている以上、ウィルス感染の可能性は否定できない。よって、ネットワークを利用した通信システムでは、感染端末から他の端末へのウィルスの感染拡大を防止することがより望まれている。
特開２００３−３４８１１３号公報特開平９−２６９９３０号公報

しかしながら、従来のネットワークの中継装置において感染端末からのデータをブロックする手法では、無線ネットワーク上で送受信されるデータや中継装置を介さない無線端末同士の通信を防ぐことができない。そのため、端末使用者が意識していないところでの無線トラフィックの増加や、任意のアクセスポイントあるいは無線端末に接続してしまうことによる感染拡大が懸念される。

さらに、セキュリティ意識の低い端末使用者もしくは悪意も持った端末使用者によって、ウィルスに感染した端末に適切な処理が行われず、感染を拡大させてしまう場合も考えられる。

本発明の目的は、ウィルスに感染した無線端末を完全にネットワークから遮断することにより、ウィルスの感染拡大を防止し、ネットワークトラフィックの安定化およびセキュリティ向上を図る無線通信システムを提供することにある。

本発明の他の目的は、上記感染端末のネットワーク復帰をネットワーク管理者のみが許可できるシステムを提供することにある。

上記目的を達成するため、本発明による無線ネットワークを用いた通信システムは、無線ネットワークに接続される無線端末と、前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントとを有する通信システムであって、前記アクセスポイントは、前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて第１制御テーブルに登録するアクセスポイントテーブル登録手段と、前記第１制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するアクセスポイント制御手段とを有し、前記無線端末は、コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を第２制御テーブルに登録する端末テーブル登録手段と、前記第２制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止する端末制御手段とを有することを特徴とする。

本発明において、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する第１ブロードキャスト送信手段をさらに有し、前記アクセスポイントテーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報と、当該端末特定情報に対応する無線端末が前記感染端末に該当することを示す感染有無情報とを前記第１制御テーブルに登録し、前記端末テーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報を前記感染端末に該当する無線端末の端末特定情報として前記第２制御テーブルに登録してもよい。

本発明において、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する第２ブロードキャスト送信手段とをさらに有し、前記アクセスポイントテーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報に対応する前記第１制御テーブル内の感染有無情報を前記感染端末に該当しないことを示す感染有無情報に更新し、前記アクセスポイント制御手段は、前記第１制御テーブルの登録データに基づき、前記無線端末との接続拒否を解除し、前記端末テーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報を前記第２制御テーブルから削除し、前記端末制御手段は、前記第２制御テーブルの登録データに基づき、前記他無線端末との接続拒否を解除すると共に、前記自無線端末の無線通信停止を解除してもよい。

本発明において、前記第１ブロードキャスト送信手段は、前記有線ネットワーク上のウィルス検知装置又は管理者サーバに搭載されてもよい。前記第１ブロードキャスト送信手段は、前記無線端末に搭載されてもよい。前記第２ブロードキャスト送信手段は、前記有線ネットワーク上のウィルス検知装置又は管理者サーバに搭載されてもよい。前記第２ブロードキャスト送信手段は、前記無線端末に搭載されてもよい。前記無線端末の端末特定情報は、ＭＡＣアドレスであってもよい。

また、本発明による通信システムのコンピュータウィルス拡大防止方法は、有線ネットワークと無線ネットワークとの中継を行うアクセスポイントと、前記無線ネットワークに接続される無線端末とを有する通信システムのコンピュータウィルス拡大防止方法であって、前記アクセスポイントが、前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて第１制御テーブルに登録するステップと、前記無線端末が、コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を第２制御テーブルに登録するステップと、前記アクセスポイントが、前記第１制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するステップと、前記無線端末が、前記第２制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止するステップとを有することを特徴とする。

また、本発明によるアクセスポイントは、無線ネットワークに接続される無線端末を有する通信システムで用いられ、前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントであって、前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて制御テーブルに登録するアクセスポイントテーブル登録手段と、前記制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するアクセスポイント制御手段とを有することを特徴とする。

また、本発明による無線端末は、有線ネットワークと無線ネットワークとの中継を行うアクセスポイントを有する通信システムで用いられ、前記無線ネットワークに接続される無線端末であって、コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を制御テーブルに登録する端末テーブル登録手段と、前記制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止する端末制御手段とを有する。

また、本発明によるアクセスポイントの動作方法は、無線ネットワークに接続される無線端末を有する通信システムで用いられ、前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントの動作方法であって、前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて制御テーブルに登録するステップと、前記制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するステップとを有することを特徴とする。

さらに、本発明による無線端末の動作方法は、有線ネットワークと無線ネットワークとの中継を行うアクセスポイントを有する通信システムで用いられ、前記無線ネットワークに接続される無線端末の動作方法であって、コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を制御テーブルに登録するステップと、前記制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止するステップとを有することを特徴とする。

本発明によれば、ウィルスに感染した無線端末を完全にネットワークから遮断することができ、ウィルスの感染拡大を防止し、ネットワークトラフィックの安定化およびセキュリティ向上を図ることができる。また、感染端末のネットワーク復帰をネットワーク管理者のみが許可することができる。

以下、本発明に係る無線ネットワークを用いた通信システム、コンピュータウィルス拡大防止方法、アクセスポイント、無線端末、及びこれらの動作方法を実施するための最良の形態について、図面を参照して詳細に説明する。

本実施形態による無線ネットワークを用いた通信システムは、ウィルス感染を端末が認識する機構と、感染したウィルスの情報を含む通知パケットを送信する機構と、無線通信を停止し、通信の一切を遮断する機構と、ウィルス感染状態を記憶する機構と、ウィルス感染状態の解除操作を実現する機構とを有する。

本実施形態によるアクセスポイントおよび無線端末は、通知パケットを検知し、アクセスを管理及び制御するＭＡＣアドレステーブルにウィルス感染情報を登録可能となっている。

本実施形態による通信システムは、無線停止した感染端末の復旧と、感染端末の接続を拒否するアクセスポイントおよび無線端末のＭＡＣアドレステーブルの消去がネットワーク管理者によってのみ行われる。これにより、端末使用者の人的ミスを回避することが可能となる。

上記のような構成により、ウィルスに感染した無線端末は即座に、完全にネットワークから遮断され、二次感染の危険性を回避できる。

図１は、本発明の一実施例による無線ネットワークを用いた通信システムの構成を示す。図１に示す通信システムは、有線ＬＡＮ（Local Area Network）１０６を含む有線ネットワークＮＴ１と、無線ＬＡＮから成る無線ネットワークＮＴ２とを備えている。両ネットワークＮＴ１、ＮＴ２の中継点Ｐ１には、無線ＬＡＮと有線ＬＡＮとの中継を行う中継機（ブリッジ）としての無線ＬＡＮアクセスポイント（以下「ＡＰ」と略記する）１００（図１の例ではＡＰ１００ａ及びＡＰ１００ｂ）が配置されている。

ＡＰ１００は、無線ネットワークＮＴ２側では、使用電波が届く所定の通信エリア１０５をカバーしている。図１の例では、ＡＰ１００ａは通信エリア１０５ａを、ＡＰ１００ｂは通信エリア１０５ｂをそれぞれカバーしている。これにより、ＡＰ１００は、通信エリア１０５内に位置する無線通信端末である無線ＬＡＮ端末（以下「ＭＴ」と略記する）１０１（図１の例では、通信エリア１０５ａ内に位置するＭＴ１０１ａ、ＭＴ１０１ｂと、通信エリア１０５ｂ内に位置するＭＴ１０１ｃ）と通信可能となっている。

ＭＴ１０１は、無線ＬＡＮ端末としての無線送受信機能を有する。一般に無線ＬＡＮにおける接続方式には、アクセスポイントを介して有線ネットワークに接続するインフラストラクチャモード（infrastructure mode）と、アクセスポイントを介さず無線端末同士で通信するアドホックモード（ad hoc mode）とがある。図１の例では、ＭＴ１０１は、無線送受信機能により、インフラストラクチャモードのときは、ＡＰ１００を介して有線ネットワークＮＴ１に接続する一方、アドホックモードのときは、ＡＰ１００を介さないで無線ネットワークＮＴ２内の他のＭＴ１０１と接続する。

図１の例では、ＭＴ１０１ａ及び１０１ｂは、ＡＰ１００ａがカバーするエリア１０５ａ内に位置するため、ＡＰ１０１ａに接続している。また、ＭＴ１０１ｃは、当初ＡＰ１００ａに接続しているが、その後、ＡＰ１００ａの電波が届かない位置へ移動し、さらにＡＰ１００ｂがカバーする通信エリア１０５ｂ内の位置へ移動し、ＡＰ１００ｂに接続している。

また、ＡＰ１００は、有線ネットワークＮＴ１側では、ＬＡＮ１０６を介して有線端末（以下「ＰＣ」と略記する）１０２、ウィルス監視サーバ（以下「ＳＶ」と略記する）１０３、及びインターネット接続用のルータ１０４の各ノードと接続されている。ルータ１０４は、ＬＡＮ１０６とインターネット１０７に接続されている。

ＰＣ１０２は、例えばパーソナルコンピュータ等のコンピュータ機で構成され、有線ＬＡＮ１０６の伝送ケーブルを通じて有線ネットワークＮＴ１に接続され、有線ネットワークＮＴ１内の他の端末と通信を行う。

ＳＶ１０３は、コンピュータ機で構成され、有線ネットワークＮＴ１内を流れるＭＴ１０１のデータをモニタし、所定のウィルスパターンを含むデータを検知する機能を有する。また、ＳＶ１０３は、検知されたウィルス情報およびそれを含むデータの送信元（感染端末）であるＭＴ１０１のＭＡＣ（Media Access Control）アドレス（「物理アドレス」、「ハードウェア・アドレス」等とも言う）等の情報をネットワーク管理者用の管理者サーバ（図示しない）等に送信する。さらに、ＳＶ１０３は、ウィルスを検知した旨を通知するパケット（ウィルス感染通知パケット）を生成し、生成されたパケットに感染端末のＭＡＣアドレス等の情報を含めて有線ネットワークＮＴ１内の各ノード宛にブロードキャスト送信する。

ルータ１０４は、複数のネットワークを接続し、あるネットワークから他のネットワークへデータを配送する。図１の例では、ルータ１０４は、ＬＡＮ１０６とインターネット１０７との間で、有線ネットワークＮＴ１上を流れるデータの配送を制御する。

ＬＡＮ１０６は、ルータ１０４によって仕切られた局地的なネットワークである。ＬＡＮ１０６には、有線ネットワークＮＴ１上の各ノードのほか、ＡＰ１００ａ、ＡＰ１００ｂに接続された無線ネットワークＮＴ２側のＭＴ１０１ａ〜１０１ｃも含まれる。

インターネット１０７は、ルータ１０４により相互接続されたコンピュータネットワークの集合体である。

図２は、図１に示すＡＰ１００の内部構成の詳細を示す。

図２に示すＡＰ１００は、ＣＰＵ２００と、このＣＰＵ２００にバス２１０を介して接続される記憶装置２０１と、有線ＬＡＮ及び無線ＬＡＮの中継ユニットであるバスインターフェース＋アクセス制御ＬＳＩ（Large Scale Integration）２０４とを有する。バスインターフェース＋アクセス制御ＬＳＩ２０４には、ＬＡＮの標準規格であるイーサネット（登録商標）のインターフェースユニットであるイーサネットコントローラ２０３と、無線ＬＡＮのインターフェースユニットであるＲＦ（Radio Frequency：無線周波）コントローラ２０５とが接続される。ＲＦコントローラ２０５には、ＲＦユニット２０６が接続される。ＲＦユニット２０６には、アンテナ２１１が接続される。イーサネットコントローラ２０３は、有線ＬＡＮ１０６の伝送ケーブル２１２に接続される。

このうち、ＣＰＵ２００は、ＡＰ１００の処理ソフトウェアを実行する実行ユニットである。記憶装置２０１は、ＡＰ１００によるアクセス制御で使用されるＭＡＣアドレステーブル（本発明の第１制御テーブルを成す）２０２を保持している。ＭＡＣアドレステーブル２０２の例を図３に示す。

図３に示すようにＭＡＣアドレステーブル２０２のレコードには、ＡＰ１００に接続するＭＴ１０１のＭＡＣアドレスと、ＭＴ１０１がウィルスに感染している感染端末か否かを判別可能な感染有無情報としての感染フラグとが互いに対応付けて登録可能となっている。本実施例では、感染フラグがＯＮのとき、これに対応するＭＡＣアドレスで特定されるＭＴ１０１がウィルスに感染した感染端末であり、感染フラグがＯＦＦのとき、これに対応するＭＡＣアドレスで特定されるＭＴ１０１がウィルスに感染していない端末であることを示す。

イーサネットコントローラ２０３は、伝送ケーブル２１２を介して有線ＬＡＮの標準規格であるイーサネット（登録商標）のフレームフォーマット（宛先ＭＡＣアドレス、送信元ＭＡＣアドレス等を指定するＭＡＣヘッダ、フレーム本体を成すデータ、誤り検出用のＦＣＳ（Frame Check Sequence）等の各フィールド）で構成されるフレーム（ＭＡＣフレーム）の送受信を処理する。

バスインターフェース＋アクセス制御ＬＳＩ２０４は、バス２１０のインターフェース機能と、アクセス制御の機能とを備えている。

ＲＦコントローラ２０５は、無線ＬＡＮの標準規格（IEEE802.11、IEEE802.11a、IEEE802.11b、IEEE802.11g等）のフレームフォーマット（宛先ＭＡＣアドレス、送信元ＭＡＣアドレス等の４つのアドレスを指定可能なＭＡＣヘッダ、フレーム本体を成すデータ、誤り検出用のＦＣＳ等の各フィールド）で構成されるフレーム（ＭＡＣフレーム）の送受信を処理する。ＲＦユニット２０６は、無線ＬＡＮの標準規格で定められている使用帯域周波数（例えば２．４ＧＨｚ帯等）での電波の送受信や変調及び復調を行うユニットである。

図４は、図１に示すＭＴ１０１の内部構成の詳細を示す。

図４において、ＭＴ１０１は、ＣＰＵ３００と、このＣＰＵ３００にバス３１０を介して接続される記憶装置３０１及びその他の周辺装置３０２と、バスインターフェース３０３と、このバスインターフェース３０３に接続される無線ＬＡＮモジュール３０４と、この無線ＬＡＮモジュール３０４に接続されるアンテナ３１１とを有する。

このうち、ＣＰＵ３００は、ＭＴ１０１の処理ソフトウェアを実行する実行ユニットである。無線ＬＡＮモジュール３０４は、ＲＦユニット３０５と、無線ＬＡＮのインターフェースユニットであるＲＦコントローラ３０６と、ＡＰ１００からのウィルス感染通知パケットを検知するウィルス検知ユニット３０７とを有する。無線ＬＡＮモジュール３０４内部の記憶領域には、アクセス制限のためのアクセス制限テーブル（ＭＡＣアドレステーブル）（本発明の第２制御テーブルを成す）３０８が保持される。アクセス制限テーブル３０８の例を図５に示す。図５に示すように、アクセス制限テーブル３０８のレコードには、後述するウィルス感染通知パケットにより指定された感染端末のＭＡＣアドレスが登録可能となっている。

これにより、ＭＴ１０１は、ＣＰＵ３００の制御のもとで、無線ＬＡＮモジュール３０４の動作により、アクセス制限テーブル３０８に登録されている他のＭＴ１０１との接続を拒否する一方、アクセス制限テーブル３０８に自身のＭＡＣアドレスが登録されている場合、ＲＦコントローラ３０５及びＲＦユニット３０５による無線周波（ＲＦ）の送受信を停止する。

次に、本実施例の動作について、図６を参照して説明する。図６の例では、ＭＴ１０１ｂが感染端末となる場合を説明する。

図６において、ＳＶ１０３は、有線ネットワークＮＴ１内を流れるデータを監視し、コンピュータウィルス入りデータを検知する（ステップＳ１０）。検知後、ＳＶ１０３は、コンピュータウィルスを検知したデータの送信元ノードのＭＡＣアドレスを含むウィルス感染通知パケットを生成し、生成されたウィルス感染通知パケットを有線ネットワークＮＴ１内の各ノードにブロードキャスト送信する（ステップＳ１１）。ブロードキャスト送信は、ウィルス感染通知パケットの宛先アドレスをブロードキャストアドレスに設定することで行われる。

次いで、ＡＰ１００ａおよびＡＰ１００ｂは、ＳＶ１０３からのウィルス感染通知パケットを伝送ケーブル２１２を介してイーサネットコントローラ２０３にて受信すると、受信されたパケットはブロードキャストパケットであるため、そのパケットを無線ネットワークＮＴ２側で接続されているＭＴの全て、即ちＭＴ１０１ａ、ＭＴ１０１ｂ、およびＭＴ１０１ｃに配送する（ステップＳ１２）。

次いで、ＡＰ１００ａおよびＡＰ１００ｂは、感染端末であるＭＴ１０１ｂのＭＡＣアドレスを取得し、取得されたＭＴ１０１ｂのＭＡＣアドレスを自身のＭＡＣアドレステーブル２０２に登録し、登録されたＭＴ１０１ｂのＭＡＣアドレスに対応する感染フラグをＯＮにする（ステップＳ１３）。これ以後、ＡＰ１００ａおよびＡＰ１００ｂは、ＭＡＣアドレステーブル２０２の登録データに基づいて、感染フラグがＯＮであるＭＡＣアドレスに対応するＭＴ１０１ｂとの接続を拒否する。

一方、ＭＴ１０１ａ、ＭＴ１０１ｂおよびＭＴ１０１ｃは、ＡＰ１００ａおよびＡＰ１００ｂよりウィルス感染通知パケットを受信すると（ステップＳ１４）、受信されたウィルス感染通知パケットから感染端末であるＭＴ１０１ｂのＭＡＣアドレスを取得し、取得されたＭＴ１０１ｂのＭＡＣアドレスをアクセス制限テーブル３０８に登録する（ステップＳ１５）。以後、ＭＴ１０１ａ、ＭＴ１０１ｃは、アクセス制限テーブル３０８の登録データに基づいて、登録されたＭＡＣアドレスに対応するＭＴ１０１ｂからの接続を拒否する一方、ＭＴ１０１ｂは、アクセス制限テーブル３０８に自身のＭＡＣアドレスが登録されているため、無線モジュール３０４によるＲＦの送受信を停止する（ステップＳ１６）。

上記動作をまとめると、次のようになる。

１）ＳＶ１０３は、ネットワーク内を流れるデータを監視し、ウィルス入りデータを検知すると、データの送信元のＭＡＣアドレスを含むウィルス感染通知パケットを生成してネットワーク内にブロードキャスト送信する。

２）ウィルス感染通知パケットを受信したＡＰ１００ａ及びＡＰ１００ｂは、該パケットからウィルス感染したＭＴ１０１ａのＭＡＣアドレスを取得してＭＡＣアドレステーブル２０２に登録し、感染フラグをＯＮにして該ＭＡＣアドレスに対応するＭＴ１０１ａの接続は拒否する。さらに、ＭＴ１０１ａ、ＭＴ１０１ｂおよびＭＴ１０１ｃに対してウィルス感染通知パケットを送信する。

３）ウィルス感染通知パケットを受信したＭＴ１０１ａ、ＭＴ１０１ｂおよびＭＴ１０１ｃは、該パケットからウィルス感染したＭＴ１０１ｂのＭＡＣアドレスを取得してアクセス制限テーブル３０８に登録し、登録されたＭＡＣアドレスに対応するＭＴ１０１ｂからの接続を拒否する。ここで、無線ＬＡＮにおける接続方式には、前述したようにＡＰ１００を介してネットワークに接続するインフラストラクチャモードと、アクセスポイントを介さずＭＴ１００同士で通信するアドホックモードとがあるが、この場合はアドホックモード時にウィルス感染した他のＭＴ１０１ｂとの接続を拒否する。また、ＭＴ１０１ｂは、アクセス制限テーブル３０８に登録されたＭＡＣアドレスが自身のＭＡＣアドレスであるため、自身の無線周波（ＲＦ）の送受信を停止する。

これにより、ウィルスに感染したＭＴ１０１ｂが自身のＲＦ送受信を停止しているので、無線トラフィックの増加とコンピュータウィルスの拡大を防止することができる。さらに、ＡＰ１００ａ、ＡＰ１００ｂや、ＭＴ１０１ａ、ＭＴ１０１ｃについても、感染したＭＴ１０１ｂからの接続を拒否する機構が設けられているので、感染したＭＴ１０１ｂがウィルス感染通知パケットを受信できなかった場合に対しても、ＭＴ１０１ｂの無線接続によるウィルス拡大を防止することができる。

なお、上記実施例では、ＳＶ（ウィルス監視サーバ）１０３でウィルスを感知するとしているが、ＭＴ（無線通信端末）１０１自身のウィルススキャンによって感染が発覚した場合についても、ＭＴ１０１からウィルス感染通知パケットをブロードキャスト送信し、アクセス制限テーブル３０８に自身のＭＡＣアドレスを登録して、自身のＲＦを停止してもよい。この場合のブロードキャスト送信も、上記と同様にウィルス感染通知パケットの宛先アドレスをブロードキャストアドレスに設定することで行われる。

次に、上記アクセス制限を解除する際の動作について、図７を参照して説明する。

図７において、ウィルス感染したＭＴ１０１ｂは、ネットワーク管理者の指示によりＣＰＵ３００が当該ウィルスを駆除するためのウィルス駆除プログラムを実行することにより、ウィルスを駆除する（ステップＳ２０）。ウィルス駆除プログラムは、ＭＴ１０１ｂに予め保持されていない場合は、ＳＶ１０３又は管理者サーバからＭＴ１０１に供給されてもよい。

上記ウィルスの駆除が完了すると、ＭＴ１０１ｂは、アクセス制限テーブル３０８の登録データから自身のＭＡＣアドレスの登録を解除し（ステップＳ２１）、これによりＭＴ１０１ｂのＲＦの停止を解除する（ステップＳ２２）。

これと並行して、ＭＴ１０１ｂは、ウィルスの駆除が完了した旨を通知するパケットをＡＰ１００ａを介してＳＶ１０３（又は管理者サーバ）に送信する。これにより、ＳＶ１０３（又は管理者サーバ）は、ネットワーク管理者によりウィルスに感染したＭＴ１０１ｂのウィルス駆除を確認後（ステップＳ２３）、アクセス制限解除を通知するパケット（制限解除通知パケット）をブロードキャスト送信する（ステップＳ２４）。制限解除パケットには、解除対象端末、即ち本例ではＭＴ１０１ｂのＭＡＣアドレスが含まれる。

次いで、ＡＰ１００ａおよびＡＰ１００ｂは、ＳＶ１０３（又は管理者サーバ）からの制限解除通知パケットを受信すると、受信されたパケットはブロードキャストパケットであるため、そのパケットを無線ネットワークＮＴ２側で接続されている無線通信端末の全て、即ちＭＴ１０１ａ、ＭＴ１０１ｂ、ＭＴ１０１ｃに配送する（ステップＳ２５）。

これと並行して、ＡＰ１００ａおよびＡＰ１００ｂは、受信された制限解除通知パケットから解除対象端末であるＭＴ１０１ｂのＭＡＣアドレスを取得し、ＭＡＣアドレステーブル２０２の登録データから、ＭＴ１０１ｂのＭＡＣアドレスに対応する感染フラグをＯＦＦにする（ステップＳ２６）。これ以後、ＡＰ１００ａおよびＡＰ１００ｂは、ＭＡＣアドレステーブル２０２の登録データに基づき、感染フラグがＯＦＦとなったＭＡＣアドレスに対応するＭＴ１０１ｂのアクセス制限を解除し、その接続を許可する。

次いで、ＭＴ１０１ａおよびＭＴ１０１ｃは、ＡＰ１００ａおよびＡＰ１００ｂからの制限解除通知パケットを受信し（ステップＳ２７）、受信されたパケットから解除対象端末であるＭＴ１０１ｂのＭＡＣアドレスを取得し、取得されたＭＴ１０１ｂのＭＡＣアドレスをアクセス制限テーブル２０２の登録データから削除する（ステップＳ２８）。これ以後、ＭＴ１０１ａおよびＭＴ１０１ｂは、アクセス制限テーブル２０２の登録データに基づき、ＭＴ１０１ｂへのアクセス制限を解除し、その接続を許可する。

上記感染端末のアクセス制限を解除する場合、予めウィルス感染通知パケットとアクセス制限解除パケットおよびウィルス駆除プログラムがネットワーク管理者のみが作成可能な共通のキーを持ち、制限解除の際にそのキーをチェックするように構成すれば、ネットワーク管理者のみが解除可能なアクセス制限を実現できる。これにより、ネットワーク管理者のみがアクセス制限の解除を行うことができるため、端末使用者の人的ミスおよび悪意を持った端末使用者による感染拡大を防止することができる。

従って、本実施例によれば、ＳＶ１０３がネットワーク内にウィルス入りデータを検知すると、ウィルス検知パケットをブロードキャスト送信し、そのパケットを受信したネットワーク内のＡＰ１００ａ及びＡＰ１００ｂと、ＭＴ１０１ａ、ＭＴ１０１ｃは、ウィルス感染したＭＴ１０１ｂのアクセスを制限する一方、感染通知パケットを受信したＭＴ１０１ｂは、自身のＲＦを停止するため、ＭＴ１０１ｂをネットワークから完全に遮断することができ、そのウィルス感染の拡大を防止することができる。

また、本実施例によれば、ウィルス駆除プログラムがウィルスの駆除を完了すると、ウィルス感染したＭＴ１０１ｂのＲＦ停止を解除する一方、ネットワーク管理者がウィルス駆除を確認した段階で、アクセス制限解除パケットをＳＶ１０３もしくは管理サーバからブロードキャスト送信し、そのパケットを受信したネットワーク内のＡＰ１００ａ及びＡＰ１００ｂと、ＭＴ１０１ａ、ＭＴ１０１ｃは、ウィルス感染したＭＴ１０１ｂのアクセス制限を解除するため、ネットワーク管理者のみがＭＴ１０１ｂのアクセス制限を解除することができる。これにより、端末使用者の人的ミスおよび悪意を持った端末使用者による感染拡大を防止することができる。

なお、上記実施例では、無線端末の端末特定情報としてＭＡＣアドレスを用いているが、本発明は必ずしもこれに限定されるものではなく、ネットワーク上で無線端末を一意に識別可能な識別情報であれば、いずれでも適用可能である。

本発明の実施例による無線ネットワークを用いた通信システムの全体構成を示す図である。図１に示すアクセスポイントのハードウェア構成図である。図２に示すＭＡＣアドレステーブルの構成を示す図である。図１に示す無線端末のハードウェア構成図である。図４に示すアクセス制限テーブルの構成を示す図である。図１に示す通信システムのウィルス検知時の動作フローを説明する図である。図１に示す通信システムのアクセス制限解除時の動作フローを説明する図である。

符号の説明

１００ａ、１００ｂアクセスポイント（ＡＰ）
１０１ａ、１０１ｂ、１０１ｃ無線通信端末（ＭＴ）
１０２有線端末（ＰＣ）
１０３ウィルス監視サーバ（ＳＶ）
１０４ルータ（Ｒ）
１０５ａ、１０５ｂ通信エリア
１０６ＬＡＮ
１０７インターネット

Claims

無線ネットワークに接続される無線端末と、
前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントとを有する通信システムであって、
前記アクセスポイントは、
前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて第１制御テーブルに登録するアクセスポイントテーブル登録手段と、
前記第１制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するアクセスポイント制御手段とを有し、
前記無線端末は、
コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を第２制御テーブルに登録する端末テーブル登録手段と、
前記第２制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止する端末制御手段とを有することを特徴とする無線ネットワークを用いた通信システム。
前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する第１ブロードキャスト送信手段をさらに有し、
前記アクセスポイントテーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報と、当該端末特定情報に対応する無線端末が前記感染端末に該当することを示す感染有無情報とを前記第１制御テーブルに登録し、
前記端末テーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報を前記感染端末に該当する無線端末の端末特定情報として前記第２制御テーブルに登録することを特徴とする請求項１記載の無線ネットワークを用いた通信システム。
前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する第２ブロードキャスト送信手段とをさらに有し、
前記アクセスポイントテーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報に対応する前記第１制御テーブル内の感染有無情報を前記感染端末に該当しないことを示す感染有無情報に更新し、
前記アクセスポイント制御手段は、前記第１制御テーブルの登録データに基づき、前記無線端末との接続拒否を解除し、
前記端末テーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報を前記第２制御テーブルから削除し、
前記端末制御手段は、前記第２制御テーブルの登録データに基づき、前記他無線端末との接続拒否を解除すると共に、前記自無線端末の無線通信停止を解除することを特徴とする請求項１又は２記載の無線ネットワークを用いた通信システム。
前記第１ブロードキャスト送信手段は、前記有線ネットワーク上のウィルス検知装置又は管理者サーバに搭載されることを特徴とする請求項２記載の無線ネットワークを用いた通信システム。
前記第１ブロードキャスト送信手段は、前記無線端末に搭載されることを特徴とする請求項２記載の無線ネットワークを用いた通信システム。
前記第２ブロードキャスト送信手段は、前記有線ネットワーク上のウィルス検知装置又は管理者サーバに搭載されることを特徴とする請求項３記載の無線ネットワークを用いた通信システム。
前記第２ブロードキャスト送信手段は、前記無線端末に搭載されることを特徴とする請求項３記載の無線ネットワークを用いた通信システム。
前記無線端末の端末特定情報は、ＭＡＣアドレスであることを特徴とする請求項１乃至７のいずれか１項記載の無線ネットワークを用いた通信システム。
有線ネットワークと無線ネットワークとの中継を行うアクセスポイントと、
前記無線ネットワークに接続される無線端末とを有する通信システムのコンピュータウィルス拡大防止方法であって、
前記アクセスポイントが、前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて第１制御テーブルに登録するステップと、
前記無線端末が、コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を第２制御テーブルに登録するステップと、
前記アクセスポイントが、前記第１制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するステップと、
前記無線端末が、前記第２制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止するステップとを有することを特徴とする無線ネットワークを用いた通信システムのコンピュータウィルス拡大防止方法。
前記通信システムが、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信するステップと、
前記アクセスポイントが、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報と、当該端末特定情報に対応する無線端末が前記感染端末に該当することを示す感染有無情報とを前記第１制御テーブルに登録するステップと、
前記端末が、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報を前記感染端末に該当する無線端末の端末特定情報として前記第２制御テーブルに登録するステップとをさらに有することを特徴とする請求項９記載の無線ネットワークを用いた通信システムのコンピュータウィルス拡大防止方法。
前記通信システムが、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信するステップと、
前記アクセスポイントが、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報に対応する前記第１制御テーブル内の感染有無情報を前記感染端末に該当しないことを示す感染有無情報に更新するステップと、
前記端末が、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報を前記第２制御テーブルから削除するステップと、
前記アクセスポイントが、前記第１制御テーブルの登録データに基づき、前記無線端末との接続拒否を解除するステップと、
前記端末が、前記第２制御テーブルの登録データに基づき、前記他無線端末との接続拒否を解除すると共に、前記自無線端末の無線通信停止を解除するステップとをさらに有することを特徴とする請求項９又は１０記載の無線ネットワークを用いた通信システムのコンピュータウィルス拡大防止方法。
無線ネットワークに接続される無線端末を有する通信システムで用いられ、前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントであって、
前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて制御テーブルに登録するアクセスポイントテーブル登録手段と、
前記制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するアクセスポイント制御手段とを有することを特徴とするアクセスポイント。
前記通信システムは、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記アクセスポイントテーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報と、当該端末特定情報に対応する無線端末が前記感染端末に該当することを示す感染有無情報とを前記制御テーブルに登録することを特徴とする請求項１２記載のアクセスポイント。
前記通信システムは、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記アクセスポイントテーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報に対応する前記制御テーブル内の感染有無情報を前記感染端末に該当しないことを示す感染有無情報に更新し、
前記アクセスポイント制御手段は、前記制御テーブルの登録データに基づき、前記無線端末との接続拒否を解除することを特徴とする請求項１２又は１３記載のアクセスポイント。
有線ネットワークと無線ネットワークとの中継を行うアクセスポイントを有する通信システムで用いられ、前記無線ネットワークに接続される無線端末であって、
コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を制御テーブルに登録する端末テーブル登録手段と、
前記制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止する端末制御手段とを有することを特徴とする無線端末。
前記通信システムは、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記端末テーブル登録手段は、前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報を前記感染端末に該当する無線端末の端末特定情報として前記制御テーブルに登録することを特徴とする請求項１５記載の無線端末。
前記通信システムは、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記端末テーブル登録手段は、前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報を前記制御テーブルから削除し、
前記端末制御手段は、前記制御テーブルの登録データに基づき、前記他無線端末との接続拒否を解除すると共に、前記自無線端末の無線通信停止を解除することを特徴とする請求項１５又は１６記載の無線端末。
無線ネットワークに接続される無線端末を有する通信システムで用いられ、前記無線ネットワークと有線ネットワークとの中継を行うアクセスポイントの動作方法であって、
前記無線端末がコンピュータウィルスに感染している感染端末か否かの感染有無情報を当該無線端末の端末特定情報に関連付けて制御テーブルに登録するステップと、
前記制御テーブルの登録データに基づき、前記アクセスポイントに接続しようとする無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該無線端末との接続を拒否するステップとを有することを特徴とするアクセスポイントの動作方法。
前記通信システムは、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報と、当該端末特定情報に対応する無線端末が前記感染端末に該当することを示す感染有無情報とを前記制御テーブルに登録するステップをさらに有することを特徴とする請求項１８記載のアクセスポイントの動作方法。
前記通信システムは、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報に対応する前記制御テーブル内の感染有無情報を前記感染端末に該当しないことを示す感染有無情報に更新するステップと、
前記制御テーブルの登録データに基づき、前記無線端末との接続拒否を解除するステップとをさらに有することを特徴とする請求項１８又は１９記載のアクセスポイントの動作方法。
有線ネットワークと無線ネットワークとの中継を行うアクセスポイントを有する通信システムで用いられ、前記無線ネットワークに接続される無線端末の動作方法であって、
コンピュータウィルスに感染している感染端末に該当する無線端末の端末特定情報を制御テーブルに登録するステップと、
前記制御テーブルの登録データに基づき、自無線端末に接続しようとする他無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該他無線端末との接続を拒否する一方、自無線端末の端末特定情報が前記感染端末に該当する無線端末の端末特定情報である場合、当該自無線端末の無線通信を停止するステップとを有することを特徴とする無線端末の動作方法。
前記通信システムは、前記無線端末のコンピュータウィルス感染が検知されたときに、その旨を知らせるウィルス感染通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記ウィルス感染通知パケットを受信したときに、当該ウィルス感染通知パケットに含まれる端末特定情報を前記感染端末に該当する無線端末の端末特定情報として前記制御テーブルに登録するステップをさらに有することを特徴とする請求項２１記載の無線端末の動作方法。
前記通信システムは、前記感染端末に該当する無線端末から前記コンピュータウィルスが駆除されたときに、その旨を知らせるウィルス駆除通知パケットを当該無線端末の端末特定情報と共にブロードキャストパケットとして送信する手段をさらに有し、
前記ウィルス駆除通知パケットを受信したときに、当該ウィルス駆除通知パケットに含まれる端末特定情報を前記制御テーブルから削除するステップと、
前記端末制御手段は、前記制御テーブルの登録データに基づき、前記他無線端末との接続拒否を解除すると共に、前記自無線端末の無線通信停止を解除するステップとをさらに有することを特徴とする請求項２１又は２２記載の無線端末の動作方法。