JP2007531398A - プロトコル変則分析に基づく無線ｌａｎ侵入検知方法 - Google Patents

Abstract

アクセスポイントを通して少なくとも１つのサーバーコンピュータと通信する複数のモバイルユニットを含む無線ローカルエリアネットワークの不許可使用を検出する。無線ローカルエリアネットワーク上で送信されるメッセージは、選択された無線ローカルエリアネットワークプロトコルの仕様に記載されているルールを遵守しているか否かについて分析される。もし不一致が検出されれば、無線ローカルエリアネットワークへ侵入者がアクセスを試みた可能性を指示する警報が生成される。

Description

本発明は、無線ローカルエリアネットワーク（ＷＬＡＮ）に関する。詳述すれば本発明は、無線ローカルエリアネットワークへの無許可アクセスまたはアクセスの試みを検出して無線ネットワークへの攻撃（例えば、サービス拒否攻撃）を予防する方法に関する。

ＷＬＡＮが多大の成功を収めたことによって、ＷＬＡＮは、ＷＬＡＮを攻撃し、それへ侵入する新しい方法を積極的に開発するハッカー達（“ホヮッカー（whacker）”として知られる）の絶好の攻撃目標になってきた。新しいＷＬＡＮハッキングツールが、警戒を要するレートでインターネット上に公開されている。多くの業界を調査したところ、ＷＬＡＮの展開を考えている殆どの会社の情報統括責任者にとってＷＬＡＮのセキュリティが最大の関心事である。不幸にも、現在のＷＬＡＮセキュリティソリューションは、欠陥を有しているか、または立証されていないかの何れかである。

2000年３月17日付け同時出願第09 / 528,697号には、ＩＥＥＥ標準802.11プロトコルに準拠するが、クラシックな802.11データ通信システムのアクセスポイントの機能を遂行するためにＲＦポート（“アクセスポート”とも呼ばれる）及びセルコントローラの組み合わせを使用するシステムが開示されている。低レベルＭＡＣをＲＦポートによって遂行させ、アソシエーション及びローミング機能を含む高レベルＭＡＣをセルコントローラによって遂行させる。本明細書において使用する“アクセスポイント”という用語は、ＩＥＥＥ標準802.11のプロトコルに準拠して全てのＭＡＣ機能を遂行するもの、並びに上記同時出願に開示されているようなセルコントローラを用いて動作するＲＦポートのような通常のアクセスポイントを含むことを意図している。

2003年12月22日付け同時出願第10 / 744,026号に開示されている無線ローカルエリアデータ通信システムに使用される方法においては、複数のモバイルユニットがアクセスポイントと通信し、システムは送信機から送信される信号を使用してこれらの送信機を位置付けるようになっている。許可された送信機を位置付けするデータベースはサーバー内に維持されている。選択された信号がアクセスポイントにおいて検出され、その選択された信号に対応する位置データ（その信号のソースの位置付けに使用される）が記録される。この位置データを使用してソースが位置付けされ、そのソース位置はデータベース内の対応位置と比較される。もしソース位置が対応するデータベース位置と一致しなければ、警報が発せられる。

上述したシステム及び方法はＷＬＡＮへの侵入者を識別するための１つの効果的な手段を提供することはできるが、付加的な手段によってより高度なセキュリティを与えることが有利であろう。

更に、ＩＥＥＥ 802.11b標準に指定されているワイヤードエキバレントプライバシー（Wired Equivalent Privacy：ＷＥＰ）プロトコルのような現在のセキュリティ方式は、最近になって欠陥であることが報告されている。カリフォルニア大バークレー校の研究グループは最近、無線エキバレントプライバシー攻撃に対して脆弱なプロトコルを使用したままのＷＬＡＮにおけるＷＥＰの“主要セキュリティ欠陥”を取り上げたレポートを発表している。グループは技術試験において、送信を傍受して変更することによって、制限されたネットワークへのアクセスを得ることができたという。従って、ＷＥＰの欠陥の若干を解消する改良されたセキュリティが必要である。

侵入検出システム（ＩＤＳ）はコンピュータ分野における盗難警報機であり、これらはコンピュータネットワークを監視してセキュリティ毀損及びポリシー違反を検出する。これらは長年にわたって、侵入を検出するために署名をベースとして、または変則をベースとして分析する十分に確立された技術を使用してネットワークトラフィック（ＮＩＤＳ）及びホストコンピュータ（ＨＩＤＳ）を監視するために使用されてきた。

変則をベースとする技術は更に２つのカテゴリに、即ちプロトコル変則分析及びトラフィック変則分析に分類することができる。プロトコル変則システムは、プロトコル誤用、即ち特定のプロトコルの公式の、または実際の用法外の何等かの使用を識別することを試みる。変則ＭＡＣヘッダー／トレーラーデータを使用し、反則パケット（例えば、ある802.11アクセスポイントをクラッシュさせ得るヌルＳＳＩＤを用いたプローブ要求）を送信して既知のＷＥＰの脆弱性を突いてくる攻撃を検出し、予防するために、ＩＥＥＥ 802.11プロトコルのような無線ネットワークプロトコルのプロトコル変則を検出するシステム及び方法を提供することが有利であろう。

従って、本発明の目的は、プロトコル変則分析を使用することによってＷＬＡＮへの無許可アクセスまたはアクセスの試みを検出する改良された方法を提供することであり、更に、無線ネットワークへの攻撃（例えば、サービス拒否攻撃）を予防する改良された方法を提供することである。

本発明によれば、データメッセージパケットのためのフォーマットに従って動作し、複数のモバイルユニットがアクセスポイントを使用してコンピュータと通信するようになっている無線データ通信システムにおいて、該システムへの不許可アクセスの試みを検出するために使用されるシステム及び方法が提供される。本方法は、アクセスポイントによって受信されたデータパケットをコンピュータへ転送するステップと、受信されたデータパケットとプロトコル指定フォーマットの選択された要求とを比較するようにコンピュータを動作させるステップと、もしパケットが指定されたフォーマットから逸脱していれば警報を生成するステップとを含む。

本発明を、他の、及びさらなる目的と共によりよく理解するために、以下に添付図面を参照して詳細に説明する。

図１に、配線式ネットワーク１４を介して複数のアクセスポイント１６に接続されているサーバー１２を有する無線ローカルエリアネットワーク１０を示す。ネットワーク１０は、モバイルユニット１８とサーバー１２との間の無線ネットワークデータ通信を提供するために、ＩＥＥＥ標準802.11のような標準プロトコルに従って動作することができる。本明細書はＩＥＥＥ標準802.11を完全に採用しており、当業者にはその詳細は明白であろう。

本発明の実施の形態においては、システムのアクセスポイントによって受信されたメッセージ（そのアクセスポイントに関係するモバイルユニット以外のソースからのメッセージを含む）は、サーバー１２へ送られて分析される。サーバー１２はネットワークサーバー、中央スイッチ、または他の構成要素であることができ、これは無線ネットワークを配線式ネットワークへ、または侵入サーバー２２へブリッジする。代替として、データは無線ネットワーク構成要素から直接侵入サーバー２２へ転送し（図２に示すように侵入サーバー２６は、データを直接無線アクセスポイントまたはスイッチから受信する）、それによってサーバー１２の必要性を緩和することができる。データは、アクセスポイント１６またはモバイルユニット１８によって送受信されるメッセージに関する詳細を含むことができる。侵入サーバー２２は、サーバー１２から受信したデータを処理して侵入検出分析を遂行することができるように、少なくともプロセッサ及びメモリを含むことができる。従って、侵入サーバー２２は、典型的なネットワークコンピュータサーバー、スタンドアロンパーソナルコンピュータ、または以下に説明する機能に必要な処理を遂行することができる他の何等かのデバイスであることができる。本発明によれば、サーバー１２は、適切な侵入サーバープログラミングを含むことによって侵入サーバー機能を遂行することができる。

図３に示す本発明の別の実施の形態においては、侵入サーバー３２は、無線ネットワーク上の情報に直接アクセスできるように、ＲＦ装置として構成することができる。侵入サーバー３２は、さらなる分析のために、ＷＬＡＮ上で送信される信号を積極的に監視し、捕捉するように構成することができる。

本発明の好ましい実施の形態においては、侵入サーバー２２が遂行するＩＤＳ分析は、プロトコル変則検出に関係している。当業者ならば、本発明の範囲は、遂行される分析の型に限定されるものではないことが理解されよう。例えば、802.11b無線ローカルエリアネットワークの場合には、侵入サーバー２２はＩＥＥＥ802.11標準仕様に従ってＩＤＳ分析を遂行することができる。この分析の若干の例を以下に詳細に説明する。以下の本発明の実施の形態において説明する分析は、好ましくは侵入検出ソフトウェア／ファームウェアを使用する侵入検出サーバー２２によって遂行されることを理解されたい。しかしながら、当業者ならば、これらの分析は例えばハンドヘルド端末または遠隔端末を含むネットワークに接続されている如何なる数の異なる要素によっても遂行させ得ること、及び別の実施の形態も本発明の範囲内にあることが理解されよう。

本発明によるシステム及び方法の第１の実施の形態においては、侵入サーバー２２は802.11プロトコルと合致しない変則を検出するために使用することができる。

802.11プロトコル仕様により完全に定義されているように、802.11 ＭＡＣフレームは次の表１に示すような構造である。

表１：802.11 ＭＡＣフレームフォーマット

802.11 ＭＡＣフレームフォーマットは、「フレーム制御」フィールドの値によって決定されるフレームタイプ（即ち、「制御フレーム」、「管理フレーム」、及び「データフレーム」）に依存して異なる。「フレーム制御」フィールド（ＭＡＣヘッダーの最初の２バイト）は、一般的に以下の表２のような構造である。

表２：802.11 ＭＡＣフレーム制御フィールドフォーマット

本発明のこの実施の形態においては、ネットワーク侵入を検出するために802.11 ＭＡＣヘッダー、特に「フレーム制御」フィールドを使用することができる。

本発明によるシステム及び方法の種々の実施の形態においては、802.11プロトコルの多くの異なる面に対する遵守性をチェックすることができる。例えば、「フレーム制御」フィールドの「ＷＥＰ」フラグがＷＥＰセッションのためにセットされていない場合、または「ＷＥＰ」フラグが非ＷＥＰセッションにおいてセットされている場合に、侵入を検出することができる。これは、ソースＭＡＣアドレスを抽出し、状態テーブル（後述）のルックアップを遂行して現セッション情報と「フレーム制御」フィールドの「ＷＥＰ」フラグとを比較することによって決定することができる。もし不一致が検出されれば、警報を生成してネットワークへの侵入の試みの可能性を指示することができる。

本発明のこの、及び他の実施の形態においては、幾つかの異なる手法で状態テーブルを実現して選択された変数を追跡し、試みられた侵入シナリオを検出することができる。本発明によれば、侵入サーバーが状態情報に基づいてチェックを遂行する「ステートフルＷＩＤＳ」では、侵入サーバーは、それが捕捉したパケットから状態情報を抽出し、ＷＬＡＮ上の各無線デバイスの状態遷移履歴を維持する必要がある。若干の侵入はこの状態遷移情報を監視することによって検出することができ、これらを状態テーブルの形状で格納することができる。状態テーブルは、好ましくは、最近活動的なＭＡＣアドレス及びそれらの関連状態情報のリストを含むことができる。本発明はこれらの実施の形態に限定されるものではないが、状態テーブル内に格納される状態情報は、以下の情報（802.11プロトコル標準に定義されている）の若干、または全てを含むことができる。それらは、「ＭＡＣアドレス」、「デバイスタイプ」、「ベンダー」、「プロトコルバージョン」、「現状態ステータス」、「ＷＥＰセキュリティセッティング」（「認証」、「暗号化」、「マルチキャスト／同報通信データ暗号化」）、「電力管理モード」、「断片化しきい値」、「ＲＴＳしきい値」、「最終パケット」［Ｎ］（特定のソースＭＡＣアドレスと共に、及び「タイムスタンプ」、「位置情報」、「チャネル」、「信号の質」のような情報と共に、最終Ｎパケットを格納）、及び種々の「トラフィック統計」、「ＡＰ統計」、及び「スイッチ統計」である。本発明による状態テーブルの実施の形態は、上述した実施の形態に、または802.11プロトコルに制限されるものではないことに注目されたい。このような状態テーブルは、一般的に、侵入を検出し、必要に応じて状態テーブルを更新するために、近い将来に受信されるパケットを、状態テーブル内に格納されている値に対してチェックすることができるように、ＷＬＡＮ上の無線ユニットに関係がある何等かの重要な変数を格納するように本発明に従って実現することができる。

別の例においては、フレーム制御フィールドの「プロトコルバージョン」フィールドが疑わしい場合に侵入を検出することができる。この場合も、上述したようにソースＭＡＣアドレスを抽出し、状態テーブルのルックアップを遂行してプロトコルバージョンを「フレーム制御」フィールドと比較することができる。もし不一致が検出されれば、警報を生成して侵入の試みの可能性があることを指示することができる。同様に、ソースＭＡＣアドレスを抽出することができ、何等かの疑わしいセッティング（例えば、ソースＭＡＣアドレスがマルチキャスト／同報通信アドレスであるような場合）についてチェックすることができる。このような状況においても、警報をトリガすることができる。

同様に、メッセージ内の「電力管理」状態が「状態テーブル」内のそれと異なる場合、これはある場合には疑わしい活動（例えば、モバイルユニットから発せられたサービス拒否（ＤｏＳ）攻撃）を指示している可能性がある。例えば、ハッカーは、なりすました被害モバイルユニットＭＡＣアドレスを有するデータパケットを注入して「電力管理」フィールドを１にセットし、それによって被害モバイルユニットの全てのデータパケットを失わせるかも知れない。これらの環境の下では、警報をトリガすることができる。

別の潜在的なＤｏＳ攻撃状況においては、ハッカーは、モバイルユニットの電力節約モードを攻撃目標にして電力を消費させるかも知れない。ハッカーは、なりすました被害ＭＡＣアドレスを有するデータパケットを注入し、「さらなるデータ」フィールドを１にセットすることによって被害モバイルユニットがスリープモードに入ることを不能にするかも知れない。この状況は、例えば、「フレーム制御」フィールドの「さらなるデータ」フィールドをチェックすることによって検出することができる。もし「さらなるデータ」ビットが１にセットされていれば、セッション情報をログすることができる。次いで、もしps pollに対する返答が受信されなければ、警報信号を生成することができる。

別の例においては、フレーム制御フィールドの「タイプ」及び「サブタイプ」ビットを反則の、またはサポートされない値についてチェックすることができる。不一致が検出された場合に警報が生成される。

更に別の例においては、フレーム制御フィールドの「ＤＳへ」及び「ＤＳから」ビットの、アドレスフィールド（「アドレス１」、「アドレス２」、「アドレス３」、「アドレス４」）との一致をチェックすることができる。802.11標準は、対応するアドレスがステーションであるのか、またはＡＰであるのかについてルールを規定している。これらのルールに違反している場合、侵入者シナリオの可能性を検出することができ、相応して警報を生成することができる。

また更に、アドレスフィールド（「アドレス１」、「アドレス２」、「アドレス３」、「アドレス４」）を抽出し、それらを適法デバイスのリストと比較することによって、許可されていないＭＡＣアドレスを識別することができる。もし反則ＭＡＣアドレスが検出されれば、それはネットワークへのアクセスを得ようとするハッカーが作成した“なりすまし”ＭＡＣアドレスの結果であり得る。従って、警報を生成することができる。

同様に、ＭＡＣヘッダーの「持続時間ＩＤ」フィールドをチェックすることによって、侵入の可能性を検出することができる。例えば、もし持続時間が802.11仕様に定義されている所要持続時間と大幅に異なれば、またはもし持続時間がフレームの長さより実質的に大きければ（持続時間の長さが過剰ならば）警報を生成することができる。このチェックは、計算を遂行するために状態を保持しているＩＤＳの使用、またはフレーム長に対する直接データフレーム持続時間のチェックを含む多くの方法で遂行することができる。

更に、データパケットの他の部分を分析することによって、侵入シナリオを検出することができる。例えば、ハッキング動作を示していると見られる潜在的なＤｏＳ攻撃に関して、ＭＡＣトレーラーを分析することができる。例えば、過大な数の「フレームチェックシーケンス（ＦＣＳ）」障害を受信した場合、警報を生成することができる。これは、各パケットを受信した時に、ＭＡＣ当たりのＦＣＳ障害率を更新することによって検出することができる。もしＭＡＣ障害率があるプリセットされたしきい値（例えば、毎分の障害）より大きくなれば、警報を生成することができる。

他の一般的802.11プロトコル変則を、本発明のシステム及び方法を使用して検出することができる。例えば、802.11プロトコル仕様に記載されている許容フレームサイズに比して反則フレームサイズを受信した場合（例えば、データフレームが34バイトより小さいかまたは2,346バイトより大きい場合、管理フレームが28バイトより小さいかまたは2,340バイトより大きい場合等）、侵入システムの可能性を検出することができる。

更に、もしフレームが情報要素内にＳＳＩＤ（ビーコン、アソシエーション要求、再アソシエーション要求、プローブ）またはＳＳＩＤ要素を含んでいれば、そのＳＳＩＤをデフォルトまたは弱いＳＳＩＤのリストに対してチェックすることができる。もしデフォルトまたは弱いＳＳＩＤが検出されれば、これはハッカーが、ネットワークのセキュリティのセッティングを試験するためにデフォルトＳＳＩＤを用いてプローブ要求を巧妙に作成した結果であろう。これは疑惑の活動として識別することができ、警報信号を生成することができる。

本発明によるシステム及び方法の次の実施の形態においては、侵入サーバー２２を使用して、既知のＷＥＰ脆弱性に関係があるプロトコル変則を検出することができる。

１つのこのような実施の形態においては、本発明のシステム及び方法は、潜在的なネットワーク侵入を識別するためにＷＥＰ認証「初期化ベクトル（ＩＶ）」を分析することができる。例えば、既知のＷＥＰ欠陥の１つに対する潜在的な攻撃では、ハッカーは先行ＩＶを再使用する可能性がある。この状況を検出するために、本発明のシステム及び方法は、ＷＥＰ認証に、またはＷＥＰトラフィック（再アセンブリ後）に使用されたＩＶの最新のＮ数を格納することができる。もし先行ＩＶが再使用されれば、警報を生成して潜在的なネットワーク侵入を指示することができる。

更に、ＭＡＣまたはＡＰ／スイッチ当たりの「完全性チェック値（ＩＣＶ）」障害が過大に計算された場合に、侵入シナリオの可能性を指示するように警報を生成することができる。このような過大な障害を検出するために、統計的分析を遂行して“正常な”即ち許可されたネットワークアクセス状態中に発生する障害率がどの範囲であるかを決定することができる。もし障害数がしきい値を越えれば、警報を生成することができる。同様に、ＭＡＣまたはＡＰ／スイッチ当たりのＴＣＰ障害が過大であることが検出された場合、同じような分析及び比較を遂行して潜在的な侵入を識別することができる。

本発明の更に別の実施の形態においては、802.11「管理フレーム」を分析して潜在的な侵入シナリオを検出することができる。

１つのこのようなシナリオにおいては、ある反則プローブ応答は侵入シナリオを指示している可能性がある。反則「プローブ応答」は、「プローブ応答ソースＭＡＣ」がＡＰではないプローブ応答であり得る。本発明の実施の形態においては、「プローブ応答」を分析することができ、警報を生成することができる。同様に、侵入者シナリオの可能性を指示する反則アソシエーションフレームを受信する可能性がある。これは、ＡＰから「アソシエーション要求」を受信した場合、または非ＡＰから「アソシエーション応答」を受信した場合に発生し得る。このような場合、警報をトリガすることができる。

同様に、反則認証フレームはネットワークの反則的な改変の可能性を指示している。認証シーケンスを分析してこれらの反則フレームを検出することができる。これらは、例えば、あるサポートされていないアルゴリズム番号、シーケンス（802.11標準に定義されているような）内の誤った認証シーケンス番号、あるサポートされていないステータスコード、またはシーケンス内の誤ったＤＡ／ＳＡを含むものとして分類することができる。もしこれらの何れかが検出されれば、ＷＬＡＮ侵入シナリオの可能性を指示するために警報をトリガすることができる。

本発明の更に別の実施の形態においては、802.11「制御フレーム」を分析して潜在的な侵入シナリオを検出することができる。例えば、ＭＡＣ／ＡＰ／スイッチ当たりのＣＴＳまたはＲＴＳが過大であれば、それは潜在的な侵入の試みの可能性を指示している。これらの侵入シナリオを識別するために、統計的分析及びしきい値比較を遂行することができる。

対をなしているＲＴＳを有していないＣＴＳを受信するような同様なシナリオでは、別の侵入シナリオが発生している可能性がある。無線ＬＡＮの一実施の形態においては、ＡＰは全てのＲＴＳ及びＣＴＳパケットを（タイムスタンプと共に）スイッチへ転送する。このような構成においては、本発明の侵入検出サーバーを使用してＲＴＳ／ＣＴＳ対を追跡することができる。ＲＴＳを有していないＣＴＳを受信した場合、またはこのようなことが所定の時間しきい値数より多く発生した場合、警報を生成することができる。別のシナリオにおいては、侵入検出サーバーは、反則ＲＴＳ（特定のパケットサイズに対してＲＴＳが小さ過ぎるような）を検出できるように構成することができる。侵入検出サーバーは、マルチキャスト宛先ＭＡＣアドレスを有する制御フレームを検出するのにも使用することができる。これらのイベントの何れにおいても、潜在的な侵入シナリオが発生している可能性があり、従って、適切な警報を生成することができる。

本発明の種々の実施の形態は、上述した種々のプロトコル変則状況を、単独で（即ち、単一のプロトコル変則の型だけについて走査する）、または組み合わせて（上述した、並びに当業者には公知の複数の異なる型のプロトコル変則について走査する）の何れかで検出するように企画することができる。更に、警報が確実にトリガされるように、各特定の状況が十分疑わしいか否かを決定するための種々のしきい値のセッティングを確立することができる。これらの検討は、ＷＬＡＮ実施の詳細に大きく依存する。

上述した実施の形態はＩＥＥＥ 802.11ネットワークプロトコルに関係付けているが、当業者ならば、これらの原理は他の何れの無線ローカルエリアネットワークにも適用可能であること、及び本発明の範囲は上述した実施の形態に限定されるものではないことが理解されよう。

本発明の好ましいと考えられる実施の形態を説明したが、当業者ならば、本発明の思想から逸脱することなく他の、及びさらなる変化及び変更を考え得ること、及び特許請求の範囲がこれらの変化及び変更を全て記述していることが理解されよう。

本発明の方法を実施することができる無線ローカルエリアネットワークを示すブロックダイアグラムである。 本発明の方法を実施することができる無線ローカルエリアネットワークを示すブロックダイアグラムである。 本発明の方法を実施することができる無線ローカルエリアネットワークを示すブロックダイアグラムである。

Claims (39)

1. データメッセージパケットのためのフォーマットを指定しているプロトコルに従って動作し、複数のモバイルユニットがアクセスポイントを使用してコンピュータと通信するようになっている無線データ通信システムにおいて、上記システムへの不許可アクセスの試みを検出する方法であって、
   上記アクセスポイントによって受信された１つまたはそれ以上のデータパケットをコンピュータへ転送するステップと、
   上記１つまたはそれ以上の受信されたデータパケットのフォーマットと上記プロトコルに指定されているフォーマットの選択された要求とを比較し、もし上記パケットが上記プロトコルに指定されているフォーマットから逸脱していれば警報を生成するように上記コンピュータを動作させるステップと、
   を含むことを特徴とする方法。
2. 上記プロトコルに指定されているフォーマットはヘッダーメッセージ部分を含み、上記フォーマットを比較するステップは、上記ヘッダーメッセージ部分のフォーマットと上記プロトコルに指定されているフォーマットとを比較するステップからなることを特徴とする請求項１に記載の方法。
3. 上記プロトコルはＩＥＥＥ標準802.11であることを特徴とする請求項２に記載の方法。
4. 上記プロトコルは上記ヘッダーメッセージ部分内にフレーム制御フィールドを有するＩＥＥＥ標準802.11であり、上記フォーマットを比較するステップは上記フレーム制御フィールドのフォーマットを比較するステップからなることを特徴とする請求項２に記載の方法。
5. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットはＩＥＥＥ標準802.11管理フレームを含むことを特徴とする請求項１に記載の方法。
6. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットはＩＥＥＥ標準802.11制御フレームを含むことを特徴とする請求項１に記載の方法。
7. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットは第１のＷＥＰフラグを含むことを特徴とする請求項１に記載の方法。
8. 上記パケットは第１のＷＥＰフラグ値を有しており、上記第１のＷＥＰフラグ値は上記コンピュータ上の状態テーブル内に格納されている第２のＷＥＰ値とは一致していないことを特徴とする請求項７に記載の方法。
9. 上記１つまたはそれ以上の受信されたデータパケットは第１のプロトコルバージョン値を有しており、上記第１のプロトコルバージョン値は上記コンピュータ上の状態テーブル内に格納されている第２のプロトコルバージョン値とは一致していないことを特徴とする請求項１に記載の方法。
10. 上記１つまたはそれ以上の受信されたデータパケットは、マルチキャストアドレスであるソースＭＡＣアドレスを含むことを特徴とする請求項１に記載の方法。
11. 上記１つまたはそれ以上の受信されたデータパケットは、同報通信アドレスであるソースＭＡＣアドレスを含むことを特徴とする請求項１に記載の方法。
12. 上記１つまたはそれ以上の受信されたデータパケットは第１の電力管理状態変数を含み、上記第１の電力管理状態変数は上記コンピュータ上の状態テーブル内に格納されている第２の電力管理状態変数値とは一致していないことを特徴とする請求項１に記載の方法。
13. 上記コンピュータを動作させるステップは、更に、上記受信されたデータパケットのさらなるデータフィールドをチェックするステップと、サービス拒否攻撃の可能性について上記アクセスポイントを監視するステップとを含むことを特徴とする請求項３に記載の方法。
14. 上記１つまたはそれ以上の受信されたデータパケットは、サポートされていないタイプ値を含むことを特徴とする請求項３に記載の方法。
15. 上記１つまたはそれ以上の受信されたデータパケットは、サポートされていないサブタイプ値を含むことを特徴とする請求項３に記載の方法。
16. 上記１つまたはそれ以上の受信されたデータパケットは、なりすましのＭＡＣアドレスを含むことを特徴とする請求項１に記載の方法。
17. 上記１つまたはそれ以上の受信されたデータパケットは、上記プロトコルに指定されているフォーマットとは一致していない長さのフレームを含むことを特徴とする請求項３に記載の方法。
18. 上記コンピュータ内に状態テーブルを維持するステップを更に含むことを特徴とする請求項１に記載の方法。
19. データメッセージパケットのためのフォーマットを指定しているプロトコルに従って動作し、複数のモバイルユニットがアクセスポイントを使用してコンピュータと通信するようになっている無線データ通信システムにおいて、上記システムへの不許可アクセスの試みを検出する方法であって、
    上記モバイルユニットによって受信された１つまたはそれ以上のデータパケットをコンピュータへ転送するステップと、
    上記１つまたはそれ以上の受信されたデータパケットのフォーマットと上記プロトコルに指定されているフォーマットの選択された要求とを比較し、もし上記パケットが上記プロトコルに指定されているフォーマットから逸脱していれば警報を生成するように上記コンピュータを動作させるステップと、
    を含むことを特徴とする方法。
20. 上記プロトコルに指定されているフォーマットはヘッダーメッセージ部分を含み、上記フォーマットを比較するステップは上記ヘッダーメッセージ部分のフォーマットと上記プロトコルに指定されているフォーマットとを比較するステップからなることを特徴とする請求項１９に記載の方法。
21. 上記プロトコルは上記ヘッダーメッセージ部分内にフレーム制御フィールドを有するＩＥＥＥ標準802.11であり、上記フォーマットを比較するステップは上記フレーム制御フィールドのフォーマットを比較するステップからなることを特徴とする請求項２０に記載の方法。
22. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットはＩＥＥＥ標準802.11管理フレームを含むことを特徴とする請求項１９に記載の方法。
23. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットはＩＥＥＥ標準802.11制御フレームを含むことを特徴とする請求項１８に記載の方法。
24. 上記プロトコルは、ＩＥＥＥ標準802.11であることを特徴とする請求項１９に記載の方法。
25. 上記プロトコルはＩＥＥＥ標準802.11であり、更に、上記１つまたはそれ以上の受信されたデータパケットは第１のＷＥＰフラグを含むことを特徴とする請求項１９に記載の方法。
26. 上記パケットは第１のＷＥＰフラグ値を有しており、上記第１のＷＥＰフラグ値は上記コンピュータ上の状態テーブル内に格納されている第２のＷＥＰ値とは一致していないことを特徴とする請求項２５に記載の方法。
27. 上記１つまたはそれ以上の受信されたデータパケットは第１のプロトコルバージョン値を有しており、上記第１のプロトコルバージョン値は上記コンピュータ上の状態テーブル内に格納されている第２のプロトコルバージョン値とは一致していないことを特徴とする請求項２５に記載の方法。
28. 上記１つまたはそれ以上の受信されたデータパケットは、マルチキャストアドレスであるソースＭＡＣアドレスを含むことを特徴とする請求項２４に記載の方法。
29. 上記１つまたはそれ以上の受信されたデータパケットは、同報通信アドレスであるソースＭＡＣアドレスを含むことを特徴とする請求項２４に記載の方法。
30. 上記１つまたはそれ以上の受信されたデータパケットは第１の電力管理状態変数を含み、上記第１の電力管理状態変数は上記コンピュータ上の状態テーブル内に格納されている第２の電力管理状態変数値とは一致していないことを特徴とする請求項２４に記載の方法。
31. 上記コンピュータを動作させるステップは、更に、上記受信されたデータパケットのさらなるデータフィールドをチェックするステップと、サービス拒否攻撃の可能性について上記アクセスポイントを監視するステップとを含むことを特徴とする請求項２４に記載の方法。
32. 上記１つまたはそれ以上の受信されたデータパケットは、サポートされていないタイプ値を含むことを特徴とする請求項２４に記載の方法。
33. 上記１つまたはそれ以上の受信されたデータパケットは、サポートされていないサブタイプ値を含むことを特徴とする請求項２４に記載の方法。
34. 上記１つまたはそれ以上の受信されたデータパケットは、なりすましのＭＡＣアドレスを含むことを特徴とする請求項２４に記載の方法。
35. 上記１つまたはそれ以上の受信されたデータパケットは、上記プロトコルに指定されているフォーマットとは一致していない長さのフレームを含むことを特徴とする請求項２４に記載の方法。
36. 上記コンピュータ内に状態テーブルを維持するステップを更に含むことを特徴とする請求項１に記載の方法。
37. データメッセージパケットのためのフォーマットを指定しているプロトコルに従って動作し、複数のモバイルユニットがアクセスポイントを使用してコンピュータと通信するようになっている無線データ通信システムにおいて、上記システムへの不許可アクセスの試みを検出する方法であって、
    上記モバイルユニットによって受信された１つまたはそれ以上のデータパケットをコンピュータへ転送するステップと、
    上記１つまたはそれ以上の受信されたデータパケットの選択された部分と、状態テーブル内に格納されている指定されたプロトコルに従う値とを比較し、もし上記１つまたはそれ以上のパケットの選択された部分が上記状態テーブル内に格納されている値から逸脱していれば警報を生成するように上記コンピュータを動作させるステップと、
    を含むことを特徴とする方法。
38. 上記指定されたプロトコルは、ＩＥＥＥ標準802.11であることを特徴とする請求項３７に記載の方法。
39. 上記コンピュータ内に状態テーブルを維持するステップを更に含むことを特徴とする請求項３７に記載の方法。

Images