JP2023517107A - 無線侵入防止システム、これを含む無線ネットワークシステム、及び無線ネットワークシステムの作動方法 - Google Patents

Abstract

無線侵入防止システム、これを含む無線ネットワークシステム、及び無線ネットワークシステムの作動方法が提供される。このうち、無線侵入防止システムは、アクセスポイントと、上記アクセスポイントに無線ネットワークを介して無線フレームを送受信する複数の端末と、上記無線フレームをモニタリングする無線侵入防止システムと、を含み、上記無線侵入防止システムは複数の端末のうち特定端末に連結解除要求を伝送し、上記アクセスポイントが上記特定端末に応答することを遮断する。

Description

本発明は無線侵入防止システム（ＷＩＰＳ）、これを含む無線ネットワークシステム、及び無線ネットワークシステムの作動方法に関する。

インターネットの急速な発展と普及に伴ってネットワーク環境は益々巨大になっており、インターネットの簡便且つ便利なネットワーク接続と提供している多様なサービスによってその形態が複雑になっている。しかし、インターネット上でのウイルス、ハッキング、システム侵入、システム管理者権限獲得、侵入事実の隠蔽、サービス拒否攻撃などの様々な形態のネットワーク攻撃により、インターネットは常にハッキングの危険にさらされ、インターネットに対する侵害が増加しており、公共機関と社会基盤施設及び金融機関は被害の規模が次第に増加しその影響力が大きい。このようなインターネットのセキュリティ問題を解決するために、ウイルス対策、ファイアウォール、統合セキュリティ管理、侵入検知システムなどのネットワークセキュリティ技術の必要性が浮かび上がっている。

無線インターネット通信のための無線ネットワークシステムは、無線ＬＡＮアクセスポイント（Ｗｉｒｅｌｅｓｓ ＬＡＮ Ａｃｃｅｓｓ Ｐｏｉｎｔ、ＡＰ）と無線ＬＡＮ端末を含む。ＡＰはアクセスポイント装置という装備を設置して使用している。

最近では、有線と無線を利用した統合型ネットワークシステムが広く開発され適用されている。有線でアクセスする有害トラフィックを安定的に遮断することも難しいが、無線でアクセスする有害トラフィックを安定的に遮断することはさらに難しい、これを解決すべく、侵入遮断システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＷＩＰＳ）が開発されている。ＷＩＰＳは無線区間のモニタリングを通して非認可（ｒｏｕｇｅ）ＡＰまたはＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃などの無線侵入を検知及び遮断するシステムである。

本発明が解決しようとする課題は、例えば、ＩＥＥＥ ８０２．１１ｗ技術のように保護された非認証フレームを通してＡＰに特定端末が接続する場合、特定端末の接続を遮断するＷＩＰＳ、これを含む無線ネットワークシステムを提供することである。

本発明の課題は上述した課題に限定されず、言及されていないさらに他の技術的課題は以下の記載から通常の技術者は明確に理解できるだろう。

上記課題を解決するための本発明の一実施例による無線ネットワークシステムは、アクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ）と、上記アクセスポイントに無線ネットワークを介して無線フレームを送受信する複数の端末（Ｓｔａｔｉｏｎ）と、上記無線フレームをモニタリングする無線侵入防止システム（ｗｉｒｅｌｅｓｓ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ）と、を含み、上記無線侵入防止システムは複数の端末のうち特定端末に連結解除要求を伝送し、上記アクセスポイントが上記特定端末に応答することを遮断する。

上記無線侵入防止システムは、上記アクセスポイントに上記アクセスポイントが上記特定端末に応答することを遮断するために妨害信号を伝送することができる。

上記妨害信号はＣＴＳ（Ｃｌｅａｒ ｔｏ Ｓｅｎｄ）フレームまたはＲＴＳ（Ｒｅｑｕｅｓｔ ｔｏ Ｓｅｎｄ）フレームを含むことができる。

上記妨害信号は上記アクセスポイントの混雑度を増加させるための信号を含むことができる。

上記妨害信号は偽装されたパケットを含むことができる。

上記偽装されたパケットは、新たな連結を要求するフレーム（Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）、再連結を要求するフレーム（Ｒｅ－Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）、または現在の連結状態に対する連結解除を要求するフレーム（Ｄｉｓ－Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）を含むことができる。

上記特定端末は上記連結解除要求に応答して上記アクセスポイントに保護された質問を伝送することができる。

上記特定端末は上記アクセスポイントに所定の第１時間内に上記保護された質問に対して応答することを指示し、上記特定端末は上記第１時間内に上記応答がない場合、上記アクセスポイントとの連結を終了することができる。

上記特定端末は上記アクセスポイントとの連結が終了した後、上記アクセスポイントに認証要求フレーム（ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｒｅｑｕｅｓｔ ｆｒａｍｅ）を伝送することができる。

上記無線侵入防止システムは上記認証要求フレームが伝送された後、上記アクセスポイントまたは上記特定端末に認証解除フレーム（ｄｅａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｒａｍｅ）を伝送することができる。

上記特定端末は非認可の端末、または非認可の攻撃者とネットワークを通して連結された端末であることができる。

上記無線ネットワークはＩＥＥＥ ８０２．１１ｗ技術を含むことができる。

上記課題を解決するための本発明の他の実施例による無線ネットワークシステムの作動方法は、アクセスポイントが上記アクセスポイントに無線ネットワークを介して無線フレームを送受信する複数の端末のうち特定端末と連結を保持する段階と、上記無線フレームをモニタリングする無線侵入防止システムが上記アクセスポイントが上記特定端末に応答することを遮断するか、または上記アクセスポイントが上記特定端末に保護された質問を伝送することを遮断するために妨害信号を伝送する段階と、を含む。

上記無線ネットワークシステムの作動方法は、上記無線フレームをモニタリングする無線侵入防止システムが上記特定端末に連結解除要求を伝送する段階と、上記特定端末が上記アクセスポイントに保護された質問を伝送する段階と、上記特定端末が上記アクセスポイントに所定の第１時間内に上記保護された質問に対して応答することを指示する段階と、上記第１時間内に上記応答がない場合、上記特定端末が上記アクセスポイントと連結を終了する段階と、をさらに含むことができる。

無線ネットワークシステムの作動方法は、上記特定端末は上記アクセスポイントと連結を終了した後、上記アクセスポイントに認証要求フレームを伝送する段階と、上記無線侵入防止システムが上記認証要求フレームが伝送された後、上記アクセスポイントまたは上記特定端末に認証解除フレームを伝送する段階と、をさらに含むことができる。

無線ネットワークシステムの作動方法は、上記特定端末が上記アクセスポイントに接続要求を伝送する段階をさらに含み、上記妨害信号は上記アクセスポイントが上記特定端末に接続要求拒絶を伝送すること、または上記アクセスポイントが上記特定端末に上記保護された質問を伝送することを遮断する信号を含むことができる。

無線ネットワークシステムの作動方法は、上記無線侵入防止システムが上記アクセスポイントに接続要求を伝送する段階をさらに含み、上記妨害信号は上記アクセスポイントが上記特定端末に上記保護された質問を伝送することを遮断する信号を含むことができる。

上記課題を解決するための本発明の一実施例による無線侵入防止システムは、アクセスポイント及び複数の端末が無線ネットワークを介して送受信する無線フレームをモニタリングし、上記無線フレームに基づいて情報を加工するセンシング装置と、上記加工された情報を上記アクセスポイント及び上記複数の端末の非認可有無及び異常動作有無を判断するサーバと、を含み、上記複数の端末のうち特定端末に対して上記アクセスポイントと連結を終了させるための妨害信号を提供する機能を含むことができる。

上記無線侵入防止システムは、上記特定端末が上記アクセスポイントに接続を要求するために認証要求フレームを伝送すると、上記アクセスポイントまたは上記特定端末に認証解除フレームを伝送する機能をさらに含むことができる。

上記妨害信号は上記アクセスポイントが上記特定端末に応答することを遮断するか、または保護された質問を伝送することを遮断する信号を含むことができる。

その他の実施例の具体的な事項は詳細な説明及び図面に含まれている。

本発明の実施例によると、例えば、ＩＥＥＥ ８０２．１１ｗ技術のように保護された非認証フレームを通してＡＰに複数の端末が連結される場合、複数の端末のうち特定端末に対して連結を解除し、接続を遮断することができる。

実施例による効果は以上で例示した内容に制限されず、さらに様々な効果が本明細書に含まれている。

ＷＩＰＳの概略的な構成を示すブロック図である。 ＷＩＰＳの接続遮断方法を示すフローチャートである。 本発明の一実施例による無線侵入防止システムにおける連結技法を説明するための概念図である。 本発明の一実施例による無線侵入防止システムにおける連結防御技法を説明するための概念図である。 本発明の一実施例による無線侵入防止システムにおける連結技法を説明するための概念図である。 本発明の一実施例による無線侵入防止システムにおける連結解除防御技法を説明するための概念図である。 本発明の一実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。 図７の変形例であり、特定端末の連結解除技法を説明するための概念図である。 図７の変形例であり、特定端末の連結解除技法を説明するための概念図である。 本発明の他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。 図１０の変形例であり、無線侵入防止システムにおいて図８または図９の実施例がさらに適用されたことを示す概念図である。 図１０の変形例であり、無線侵入防止システムにおいて図８または図９の実施例がさらに適用されたことを示す概念図である。 本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。 本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。 本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。 本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。

本発明の利点及び特徴、そしてそれらを達成する方法は、添付の図面と共に詳細に後述されている実施例を参照することによって明らかになるであろう。しかし、本発明は以下に開示される実施例に限定されるものではなく、相違する様々な形態で具現されてもよい。本実施例は本発明の開示が完全になるようにし、本発明が属する技術分野で通常の知識を有する者に発明の範疇を完全に理解させるために提供されるに過ぎず、本発明は特許請求の範囲によって定義される。

第１、第２などが様々な構成要素を説明するために用いられるが、これらの構成要素はこれらの用語によって限定されない。これらの用語は１つの構成要素を他の構成要素と区別するためだけに使用される。従って、以下に言及される第１構成要素は、本発明の技術的思想内で第２構成要素であり得ることは言うまでもない。単数の表現は文脈上明らかに違う意味を持たない限り、複数の表現を含む。

以下に説明する無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、以下、ＷＩＰＳ）は、無線区間のモニタリングを通して非認可（ｒｏｕｇｅ）ＡＰまたはＤｏＳ攻撃などの無線侵入を検知及び遮断するシステムである。

本明細書に記載の一般的な無線ネットワークはＩＥＥＥ ８０２．１１技術が適用される無線ネットワークを指し、そのうち所定のセキュリティ技術が適用された無線ネットワークはＩＥＥＥ ８０２．１１ｗ技術が適用された無線ネットワークを指すことができる。ＩＥＥＥ ８０２．１１ｗは管理フレームのセキュリティを向上させたＩＥＥＥ ８０２．１１の修正技術である。しかし、これに限定されず、本発明の実施例は様々なセキュリティ技術が適用された無線ネットワークに適用可能であることは言うまでもない。

無線ネットワークシステムは１つまたはそれ以上のベーシックサービスセット（Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｓｅｔ、ＢＳＳ）を含み、ＢＳＳは成功的に同期化して互いに通信できる機器の集合を示す。通常、ＢＳＳはインフラストラクチャーＢＳＳ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ＢＳＳ）と独立ＢＳＳ（Ｉｎｄｅｐｅｎｄｅｎｔ ＢＳＳ、ＩＢＳＳ）に分けられる。

アクセスポイント（Ａｃｐｅｓｓ Ｐｏｉｎｔ、以下、ＡＰ）は、自分に結合された（ａｓｓａｃｉａｔｅｄ）端末のために無線媒体を経由して分配システムに対する接続を提供する個体である。ＡＰはＰＣＰ（Ｐｅｒｓｏｎａｌ ＢＳＳ Ｃｏｏｒｄｉｎａｔｉｏｎ Ｐｏｉｎｔ）を含む概念で用いられ、広義では集中制御器、基地局（Ｂａｓｅ Ｓｔａｔｉｏｎ、ＢＳ）、ノード－Ｂ、ＢＴＳ（Ｂａｓｅ Ｔｒａｎｓｃｅｉｖｅｒ Ｓｙｓｔｅｍ）、またはサイト制御器などの概念をすべて含むことができる。本発明において、ＡＰはベース無線通信端末とも称することができ、ベース無線通信端末は、広義ではＡＰ、ベースステーション（ｂａｓｅ ｓｔａｔｉｏｎ）、ｅＮＢ（ｅＮｏｄｅＢ）及びトランスミッションポイント（ＴＰ）を全て含む用語として用いられてもよい。さらに、ベース無線通信端末は、複数の無線通信端末との通信において通信媒介体（ｍｅｄｉｕｍ）資源を割り当て、スケジューリング（ｓｃｈｅｄｕｌｉｎｇ）を行う様々な形態の無線通信端末を含んでもよい。

端末は、ＩＥＥＥ ８０２．１１標準の規定に従う媒体接続制御（Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ、ＭＡＣ）と無線媒体に対する物理層（Ｐｈｙｓｉｃａｌ Ｌａｙｅｒ）インターフェースを含む任意のデバイスであり、広義では非アクセスポイント（ｎｏｎ－ＡＰ）ステーションだけでなく、アクセスポイント（ＡＰ）を全て含むことができる。本明細書における「端末」はｎｏｎ－ＡＰステーションを指すが、実施例によってはｎｏｎ－ＡＰステーション及びＡＰを全て指す用語として用いられてもよい。無線通信のためのステーションは、プロセッサ（Ｐｒｏｃｅｓｓｏｒ）と送受信部（ｔｒａｎｓｍｉｔ／ｒｅｃｅｉｖｅ ｕｎｉｔ）を含み、実施例によってはユーザインタフェース部とディスプレイユニットなどをさらに含んでもよい。プロセッサは、無線ネットワークを介して伝送するフレームを生成するか、または上記無線ネットワークを介して受信したフレームを処理し、その他ステーションを制御するための様々な処理を行うことができる。そして、送受信部は上記プロセッサと機能的に連結されており、ステーションのために無線ネットワークを介してフレームを送受信する。端末は無線ネットワークを介してＡＰとフレームを送受信することができる。

以下、添付の図面を参照して本発明の実施例を詳細に説明する。図面上の同じ構成要素に対して同一または類似する参照符号を使用する。

図１はＷＩＰＳの概略的な構成を示すブロック図である。

図１を参照すると、ＷＩＰＳ１０はセンシング装置１００及びサーバ１３０を含んでもよい。一方、無線ネットワークサービスとセンシング装置を同時に構成することができる企業ネットワークでは、必要に応じてＡＰコントローラをさらに含んでもよい。

ＷＩＰＳ１０が遮断ポリシーを決める動作は以下の通りであってもよい。

例えば、センシング装置１００は無線フレームをモニタリングし、モニタリングした無線フレームに基づいてこれを伝送した端末またはＡＰのＭＡＣアドレス、セキュリティ設定内容、フレーム出現頻度、伝送速度、データ量、ＳＳＩＤ、ＩＥＥＥ ８０２．１１ａ／ｂ／ｇ／ｎなどの有無、チャネル、ＲＳＳＩなどの情報を加工することができる。そして、センシング装置１００は加工された情報をサーバ１３０に伝送することができる。

サーバ１３０は加工された情報をＤＢ（ｄａｔａｂａｓｅ）化された署名（ｓｉｇｎａｔｕｒｅ）情報と比較して、該当端末またはＡＰの非認可有無及び異常動作有無を判断することができる。このとき、署名情報は無線フレームのヘッダ情報またはフレーム発生頻度などの情報を含んでもよい。

サーバ１３０は検知されたＡＰの非認可有無を２つの場合で判断することができる。サーバ１３０はＳＳＩＤ、ＭＡＣアドレス、ＤＢに保存されたその他の情報に基づいて非認可ＡＰ有無を判断するか、該当ＡＰが社内有線網に連結されていない場合は非認可ＡＰと判断することができる。このとき、社内有線網への連結有無の判断は様々な方法で行われてもよい。非認可端末も同様の方法で判断することができる。

サーバ１３０は該当ＡＰが非認可であるか、または異常動作中のＡＰまたは端末と判断される場合、遮断ポリシーによる自動遮断を行うか、アラームを発生させて管理者が手動遮断を行うようにすることができる。遮断決定に応じて、サーバ１３０はセンサ装置１００に遮断対象リストまたは遮断ポリシー情報を伝送することができる。

センサ装置１００は遮断対象リスト及び遮断ポリシーに基づく判断によって遮断すべきＡＰと端末を選択し、遮断を行うことができる。

例えば、遮断対象リスト及び遮断ポリシーに基づくセンシング装置１００の遮断は、以下のような種類を含んでもよい。

一例として、センシング装置１００の遮断はＡＰ遮断を含んでもよい。このとき、センシング装置１００は遮断対象ＡＰのＢＳＳＩＤが感知されると、特定端末対象ではなく、ＡＰに接続する全ての端末を遮断することができる。

他の例として、センシング装置１００の遮断は端末遮断を含んでもよい。このとき、センシング装置１００は非認可端末と判断されるか、または該当端末が認可された端末に変調されたことを検知した場合、該当端末を遮断することができる。該当端末のＭＡＣが示されると、センシング装置１００はその全てのＡＰへの接続を遮断することができる。

さらに他の例として、センシング装置１００の遮断は特定ＡＰ端末の遮断を含んでもよい。このとき、センシング装置１００は、非認可ＡＰに認可端末が連結された場合または認可ＡＰに非認可端末が連結された場合に連結を遮断することができる。センシング装置１００は、該当端末ＭＡＣが示されると、指定されたＡＰへの接続に対してのみ遮断し、それ以外のＡＰの接続には関与しないことができる。

例えば、センシング装置１００はコントローラ１０５及び通信モジュール１２５を含んでもよい。

通信モジュール１２５は無線フレームをモニタリングすることができ、遮断メッセージの生成時に端末及びＡＰに遮断メッセージを伝送することができる。

コントローラ１０５は無線侵入防止に関するポリシー情報及び遮断リストに基づいて、モニタリングの結果受信した無線フレームに関する遮断メッセージを生成することができる。また、コントローラ１０５は、生成された遮断メッセージを上記無線フレームを送受信するように設定されたＡＰ及び端末に伝送するように制御することができる。

例えば、コントローラ１０５は、センサ受信部１１０、センサ分析部１１５、及びセンサ遮断部１２０を含んでもよい。

センサ受信部１１０は、通信モジュール１２５を制御して複数のチャネルで無線フレームをモニタリングすることができる。

センサ分析部１１５はモニタリングの結果受信した無線フレームを分析して上記無線フレームを送信したＡＰまたは端末の情報を追加／更新することができる。センサ分析部１１５は、遮断対象リスト及び遮断ポリシーに基づいて上記ＡＰまたは端末のポリシー違反有無を判断して遮断イベントを生成することができる。センサ分析部１１５は生成された遮断イベントをサーバ１３０に伝達することができる。

センサ遮断部１２０は生成された遮断イベントを実行することができる。センサ遮断部１２０は遮断メッセージを生成して上記無線フレームを送受信するように設定されたＡＰ及び端末に伝送することができる。

例えば、ＡＰと端末が互いに連結されている場合、センサ遮断部１２０は非認証（Ｄｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）フレームを生成してこれをＡＰ及び端末に伝送することによって遮断を実行することができる。センサ遮断部１２０は、非認証フレームを送信するアドレスはＡＰのＢＳＳＩＤに設定し、受信するアドレスは端末のＭＡＣアドレスに設定して生成後に端末に伝送することができる。そして、センサ遮断部１２０は、非認証フレームを送信するアドレスは端末のＭＡＣアドレスに設定し、受信するアドレスはＡＰのＢＳＳＩＤに設定して生成後にＡＰに伝送することができる。センシング装置１００から伝送される非認証フレームを受信したＡＰと端末は、相手が連結終了を知らせる非認証フレームを伝送したと判断して互いの接続を中断することができる。

図２はＷＩＰＳの接続遮断方法を示すフローチャートである。

サーバ１３０は、段階２０５においてセンシング装置１００に無線侵入防止に関するポリシー情報及び遮断リストを伝送することができる。

センサ受信部１１０は、段階２１０において複数のチャネルで無線フレームをモニタリングすることができる。モニタリングの結果無線フレームが受信されると、段階２１５においてセンサ受信部１１０はセンサ分析部１１５に該当無線フレーム分析を呼び出すことができる。

センサ分析部１１５は、段階２２０において該当無線フレームを分析し、段階２２５において該当無線フレームを送信したＡＰまたは端末情報を追加または更新することができる。そして、段階２３０において該当ＡＰまたは端末のポリシー違反有無を判断することができる。センサ分析部１１５は、ポリシー違反と判断される場合、段階２３５において遮断イベントを生成することができる。センサ分析部１１５は、段階２４０において生成された遮断イベント情報をサーバ１３０に伝達することができる。

段階２４５で遮断イベントが発生したことがセンサ遮断部１２０に伝達されると、センサ遮断部１２０は、段階２５０において遮断イベントを実行することができる。センサ遮断部１２０は、例えば、上述したように非認証フレームを生成して上記無線フレームを送受信するように設定されたＡＰ及び端末に伝送することができる。

図３は本発明の一実施例による無線侵入防止システムにおける連結技法を説明するための概念図である。

以下の図面では、図面上の下側方向に時間の流れに沿った各段階が示されている。

例えば、連結技法は端末３０が暗号化キーを紛失した場合に実行されることができる。

図３を参照すると、ＡＰ２０と端末３０は互いに連結されており、特定の事由により端末３０は暗号化キーを紛失（Ｓ１０１）することができる。例えば、上記特定の事由は端末３０の再設定または再起動などを含んでもよい。このとき、端末３０は暗号とキーを紛失（Ｓ１０１）した状態であることができる。

暗号とキーを紛失した状態で、端末３０はＡＰ２０に接続を要求（Ｓ１０２）することができる。このとき、端末３０は全ての暗号化キーを紛失しているため、保護されていない接続要求フレームをＡＰ２０に伝送することができる。

ＡＰ２０は依然として端末３０が暗号化キーを使用して有効に連結されていると判断するため、端末３０の接続要求を拒絶し、所定の第１時間以降に再び試すように指示（Ｓ１０３）することができる。

その後、ＡＰ２０はこのような接続要求Ｓ１０２が攻撃であるか否かを確認するために検査（Ｓ１０４）を行うことができる。一実施例では、上記検査（Ｓ１０４）のメカニズムはＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）クエリ段階を含んでもよい。例えば、ＳＡクエリ段階は、ＡＰ２０が端末３０に少なくとも１回の保護された質問（Ｐｒｏｔｅｃｔｅｄ Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ Ｑｕｅｒｙ）を伝送する段階を含んでもよい。

ＡＰ２０は、ＳＡクエリ段階によって予め定められた端末３０の応答時間（第２時間）が経過するまで端末３０が応答しない場合、ＡＰ２０は既存端末３０に対して連結解除を伝送（Ｓ１０５）し、無効になった暗号化キーを廃棄することができる。

上記第１時間以降、端末３０は（再）接続要求フレームをＡＰ２０に伝送（Ｓ１０６）することができる。その後、ＡＰ２０は端末３０の接続を許可（Ｓ１０７）し、ＡＰ２０と端末３０は互いに連結（Ｓ１０８）されることができる。

図４は本発明の一実施例による無線侵入防止システムにおける連結防御技法を説明するための概念図である。

例えば、連結防御技法は攻撃者がＡＰ２０に接続を試す場合に実行されることができる。

図４を参照すると、まず、ＡＰ２０と端末３０が互いに連結された状態Ｓ２００であることができる。攻撃者４０はＡＰ２０に接続を要求（Ｓ２０１）することができる。ここで、攻撃者４０は非認可端末及び外部からコントロールされる端末３０であって、実質的に非認可端末とみなすことができる端末３０などを含んでもよい。

ＡＰ２０は依然として端末３０が暗号化キーを使用して有効に連結されていると判断するため、攻撃者４０の接続要求を拒絶し、所定の第３時間以降に再び試すように指示（Ｓ２０２）することができる。

その後、ＡＰ２０はこのような接続要求が攻撃であるが否かを確認するために検査を行うことができる。ＡＰ２０は、攻撃者４０及び端末３０にそれぞれ保護された質問を伝送（Ｓ２０３ａ、Ｓ２０３ｂ）することができる。一実施例では、ＡＰ２０は同時に攻撃者４０及び端末３０にそれぞれ保護された質問を伝送することができるが、保護された質問の伝送時間（順序）はこれに限定されるものではない。

端末３０は、保護された質問に応答してＡＰ２０に保護された回答で応答（Ｓ２０４）することができる。

ＡＰ２０は、攻撃者４０の要求を偽装された関連要求と判断し、攻撃者４０の接続要求を無視（Ｓ２０５）することができる。

図５は本発明の一実施例による無線侵入防止システムにおける連結技法を説明するための概念図である。

例えば、上記連結技法はＡＰ２０が暗号化キーを紛失した場合に実行されることができる。

図５を参照すると、ＡＰ２０と端末３０は互いに連結されており、特定の事由によりＡＰ２０は暗号化キーを紛失（Ｓ３０１）することができる。例えば、上記特定の事由はＡＰ２０の再設定または再起動などを含んでもよい。このとき、ＡＰ２０は暗号とキーを紛失（Ｓ３０１）した状態であることができる。

前に連結された端末３０がＡＰ２０に暗号化されたデータフレームを伝送（Ｓ３０２）すると、ＡＰ２０は端末３０に保護されていないフレームを伝送（Ｓ３０３）して再び連結を試すことができる。端末３０は依然として暗号化キーを含んでＡＰ２０との有効な連結を保持していると判断するため、ＡＰ２０の連結試行が攻撃であるか否かを確認するために検査を行うことができる。一実施例では、上記検査のメカニズムはＳＡ（Ｓｅｃｕｒｉｔｙ Ａｓｓｏｃｉａｔｉｏｎ）クエリ段階を含んでもよい。例えば、ＳＡクエリ段階は、端末３０がＡＰ２０に少なくとも１回の保護された質問（ＳＡクエリ）を伝送（Ｓ３０４）する段階を含んでもよい。

所定の第４時間が経過してもＡＰ２０が上記保護された質問に応答できない場合、端末３０はＡＰ２０との連結が解除されたと判断し、ＡＰ２０との有効でない暗号化キーを廃棄することができる。

その後、端末３０はＡＰ２０に保護されていない質問を伝送（Ｓ３０５）し、ＡＰ２０がそれに応答して端末３０に保護されていない回答を応答（Ｓ３０６）すると、ＡＰ２０と端末３０は互いに連結されることができる。

図６は本発明の一実施例による無線侵入防止システムにおける連結解除防御技法を説明するための概念図である。

例えば、上記連結解除防御技法は、ＡＰ２０に接続された端末３０に対して攻撃者４０が上記端末３０の連結を解除することを防御する場合に実行されることができる。

図６を参照すると、まず、ＡＰ２０と端末３０は互いに連結が保持（Ｓ４０１）されることができる。

これに対して、攻撃者４０はＡＰ２０に対する端末３０の連結を解除させるために、端末３０に連結解除を要求（Ｓ４０２）することができる。実施例によって、攻撃者４０はＡＰ２０と連結された複数の端末３０の連結を解除させるために、上記のような連結解除を要求（Ｓ４０２）端末３０に伝送することができる。

端末３０は攻撃者４０の連結解除を要求（Ｓ４０２）に対応して、攻撃であるか否かを確認するために検査を行うことができる。端末３０がＡＰ２０に少なくとも１回の保護された質問を伝送（Ｓ４０３）することができる。ＡＰ２０と端末３０は互いに連結が有効に保持されているため、ＡＰ２０は端末３０に保護された回答で応答（Ｓ４０４）することができる。

これにより、端末３０は攻撃者４０の連結解除を要求が攻撃であると判断し、攻撃者４０の連結解除を要求を無視し、ＡＰ２０との連結を保持することができる。

図７は本発明の一実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。

例えば、特定端末３１の連結解除技法は非認可の特定端末３１の連結を解除させるか、または図示されているように、ＡＰ２０に連結された複数の端末のうち攻撃者４０によって制御されて実質的に非認可の端末とみることができる特定端末３１の連結を解除させる場合に実行されることができる。本明細書の「特定端末３１」とは、ＡＰ２０に連結された複数の端末３０のうち連結解除のためにターゲティングされた少なくとも一部の端末３０を意味する。一実施例では、特定端末３１はネットワークを介して攻撃者４０と連結されることができる。

図７を参照すると、無線ネットワークシステムは、ＡＰ２０、特定端末３１を含む端末３０、及びＷＩＰＳ１０を含んでもよい。

ＡＰ２０は複数の端末３０と連結されてもよく、ＡＰ２０と特定端末３１とも互いに連結が保持（Ｓ５０１）されることができる。実施例によって、特定端末３１は非認可の端末であるか、または攻撃者４０により制御される状態Ｓ５００であって実質的に非認可の端末とみることができる端末３０を含んでもよい。

一実施例として、ＷＩＰＳ１０はＡＰ２０に連結された複数の端末３０に連結解除要求を伝送することができる。このとき、特定端末３１にも連結解除要求Ｓ５０２が伝送されてもよい。連結解除要求Ｓ５０２には偽造されたフレームが含まれることができる。例えば、偽造されたフレームは、新しい連結を要求するフレーム、再連結を要求するフレーム、または現在の連結状態に対する連結解除を要求するフレームのような偽装されたパケットを含んでもよい。

これにより、特定端末３１は受信したＡＰ２０との連結解除要求Ｓ５０２が攻撃である否かを確認するために検査を行うことができる。即ち、特定端末３１はＡＰ２０と相互認証を再び試すことができる。特定端末３１はＡＰ２０に保護された質問を伝送（Ｓ５０３）することができる。実施例によって、特定端末３１はＡＰ２０に保護された質問の伝送（Ｓ５０３）を複数回行ってもよい。

このとき、ＷＩＰＳ１０はＡＰ２０が特定端末３１に応答することを妨害（Ｓ５０４）することができる。上記妨害（Ｓ５０４）のために、実施例によって、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送することができる。ＡＰ２０は特定端末３１に伝送された保護された質問に対する応答をしなければならないが、上記妨害（Ｓ５０４）によってＡＰ２０が特定端末３１に応答することが遮断（Ｓ５０５）され得る。

結局、特定端末３１は所定の第５時間内にＡＰ２０から応答がなかったため、所定の第５時間以降にＡＰ２０との連結を解除させることができる。これにより、特定端末３１はＡＰ２０との連結が終了（Ｓ５０６）することができる。

以下では、図８及び図９を参照して妨害（Ｓ５０４）段階で伝送される妨害信号について具体的に説明する。なお、図８及び図９を説明するに当たり、図７と図面上の同じ構成要素に対しては説明を省略し、同一または類似する参照符号を使用した。

図８及び図９はそれぞれ図７の変形例であり、特定端末の連結解除技法を説明するための概念図である。

図８を参照すると、ＷＩＰＳ１０は、ＡＰ２０が特定端末３１に応答することを妨害するために、ＣＳＴフレーム及び／またはＲＴＳフレームの伝送（Ｓ５０４ａ）を通じてチャネルを妨害することができる。

無線ＬＡＮ通信を行う端末は、データを伝送する前にキャリアセンシング（Ｃａｒｒｉｅｒ Ｓｅｎｓｉｎｇ）を行い、チャネルが占有状態（ｂｕｓｙ）であるか否かをチェックする。若し、一定の強度以上の無線信号が感知されると、該当チャネルは占有状態であると判別され、上記端末は該当チャネルに対するアクセスを遅延させる。このような過程をクリアチャネル割り当て（Ｃｌｅａｒ Ｃｈａｎｎｅｌ Ａｓｓｅｓｓｍｅｎｔ、ＣＣＥＡ）といい、該当信号感知有無を決めるレベルをＣＣＡ閾値（ＣＣＡ ｔｈｒｅｓｈｏｌｄ）という。若し、端末に受信されたＣＣＡ閾値以上の無線信号が該当端末を受信者とする場合、端末は受信された無線信号を処理する。一方、該当チャネルで無線信号が感知されないか、ＣＣＡ閾値より小さい強度の無線信号が感知される場合、上記チャネルは遊休状態（ｉｄｌｅ）であると判別される。

チャネルが遊休状態であると判別されると、伝送するデータがある各端末は各端末の状況に応じたＩＦＳ（ＩｎｔｅｒＦｒａｍｅ Ｓｐａｃｅ）、例えば、ＡＩＦＳ（Ａｒｂｉｔｒａｔｉｏｎ ＩＦＳ）、ＰＩＦＳ（ＰＣＦ ＩＦＳ）などの時間後にバックオフ手続きを行う。実施例によって、上記ＡＩＦＳは既存のＤＩＦＳ（ＤＣＦ ＩＦＳ）を置き換える構成として用いられてもよい。各端末は該当端末に割り当てられた乱数（ｒａｎｄｏｍ ｎｕｍｂｅｒ）分のスロットタイムを上記チャネルの遊休状態の間隔（ｉｎｔｅｒｖａｌ）の間減少させながら待機し、スロットタイムをすべて使い切った端末が該当チャネルに対するアクセスを試すことになる。このように各端末がバックオフ手続きを行う区間を競争ウィンドウ区間という。

若し、端末が上記チャネルに成功的にアクセスすると、該当端末は上記チャネルを介してデータを伝送することができる。しかし、アクセスを試した端末が他の端末と衝突すると、衝突した端末はそれぞれ新しい乱数を割り当てられ、再びバックオフ手続きを行う。一実施例によると、各端末に新たに割り当てられる乱数は該当端末が前に割り当てられた乱数範囲の２倍の範囲内で決められてもよい。一方、各端末は次の競争ウィンドウ区間で再びバックオフ手続きを行ってアクセスを試し、このとき、各端末は前の競争ウィンドウ区間で残されたスロットタイムからバックオフ手続きを行う。このような方法で無線ＬＡＮ通信を行う各端末は特定チャネルに対する互いの衝突を回避することができる。

端末はデータを伝送するための権利を得るために競争する。前の段階のデータ伝送が完了すると、伝送するデータがある各端末はＡＩＦＳの時間が経過してから各端末に割り当てられた乱数のバックオフカウンタ（または、バックオフタイマ）を減少させながらバックオフ手続きを行う。バックオフカウンタが満了になった端末はＲＴＳフレームを伝送し、該当端末が伝送するデータがあることを知らせる。ＲＴＳフレームはレシーバアドレス（ｒｅｃｅｉｖｅｒ ａｄｄｒｅｓｓ）、トランスミッタアドレス（ｔｒａｎｓｍｉｔｔｅｒ ａｄｄｒｅｓｓ）、及びデュレーション（ｄｕｒａｔｉｏｎ）などの情報を含む。ＲＴＳフレームを受信したＡＰ２０は、ＳＩＦＳ（Ｓｈｏｒｔ ＩＦＳ）の時間を待機した後、ＣＴＳフレームを伝送して特定端末３１にデータ伝送が可能であることを知らせることができる。ＣＴＳフレームは、レシーバアドレスとデュレーションなどの情報を含む。このとき、ＣＴＳフレームのレシーバアドレスは、これに対応するＲＴＳフレームのトランスミッタアドレス、即ち、特定端末３１のアドレスと同様に設定されてもよい。

ＣＴＳフレームを受信したＡＰ２０はＳＩＦＳの時間後にデータを伝送する。データ伝送が完了すると、ＡＰ２０はＳＩＦＳの時間後に応答（ＡＣＫ）フレームを伝送してデータ伝送が完了したことを知らせる。既設定の時間内に応答フレームを受信した場合、伝送端末はデータ伝送に成功したと見なす。しかし、既設定の時間内に応答フレームが受信されない場合、伝送端末はデータ伝送に失敗したと見なす。一方、上記伝送過程の間、ＲＴＳフレーム及びＣＴＳフレームのうち少なくとも１つを受信した周辺端末３０はＮＡＶ（Ｎｅｔｗｏｒｋ Ａｌｌｏｃａｔｉｏｎ Ｖｅｃｔｏｒ）を設定し、設定されたＮＡＶが満了するまでデータ伝送を行わない。このとき、各端末のＮＡＶは受信したＲＴＳフレームまたはＣＴＳフレームのデュレーションフィールドに基づいて設定されてもよい。

一実施例として、特定端末３１はＡＰ２０に保護された質問を伝送（Ｓ５０３）し、所定の第６時間内にＡＰ２０から応答するように指示することができる。

一実施例として、ＷＩＰＳ１０は特定端末３１がＡＰ２０に保護された質問を伝送（Ｓ５０３）することを収集することができる。これに対応して、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１にＣＳＴフレーム及び／またはＲＴＳフレームを伝送（Ｓ５０４ａ）することができる。

ＡＰ２０は特定端末３１から受信した保護された質問に対して第６時間以内に応答しなければならないが、ＷＩＰＳ１０からＣＳＴフレーム及び／またはＲＴＳフレームを受信することによって、設定されたＮＡＶが満了するまでデータ伝送を行わないことができる。即ち、ＡＰ２０が特定端末３１に第６時間内に応答することが遮断（Ｓ５０５）されることができる。これにより、特定端末３１はＷＩＰＳ１０から連結解除要求が伝送（Ｓ５０２）が正しいと判断し、ＡＰ２０との連結を終了（Ｓ５０６）することができる。

図９を参照すると、ＷＩＰＳ１０はＡＰ２０が特定端末３１に応答することを妨害するために、ＡＰ２０及び／または特定端末３１に対する混雑度の増加（Ｓ５０４ｂ）を通してチャネルを妨害することができる。

一実施例として、ＷＩＰＳ１０は特定端末３１がＡＰ２０に保護された質問を伝送（Ｓ５０３）することを収集し、それに対応して、ＡＰ２０及び／または特定端末３１に混雑度を増加（Ｓ５０４ｂ）させることができる。例えば、ＷＩＰＳ１０は新しい連結を要求するフレーム、再連結を要求するフレーム、または現在の連結状態に対する連結解除を要求するフレームを含む偽装されたパケットを多数発生させて、保護された質問の伝送（Ｓ５０３）時の混雑度を増加させることで、ＡＰ２０と特定端末３１間の相互認証失敗を誘導することができる。また、例えば、ＷＩＰＳ１０はＡＰ２０が伝送する信号のビットレートを調整するか、伝送遅延時間を調整するなどの方法で混雑度を増加させて、ＡＰ２０と特定端末３１間の相互認証失敗を誘導することもできる。即ち、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に混雑度を増加（Ｓ５０４）させることで、ＩＥＥＥ ０２．１１ｗで連結されたＡＰ２０と特定端末３１との連結が終了（Ｓ５０６）するように誘導することができる。

図１０は本発明の他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。

図１０を参照すると、図７の実施例と比べて、ＷＩＰＳ１０がＡＰ２０及び／または特定端末３１に連結封鎖（Ｓ５０８）命令を伝送する段階をさらに含むという点にその違いがある。

実施例によって、特定端末３１とＡＰ２０間の連結が終了（Ｓ５０６）した後、特定端末３１は再びＡＰ２０に接続を要求（Ｓ５０７）することができる。例えば、特定端末３１はＡＰ２０に認証要求フレームを伝送することができる。

一実施例として、ＷＩＰＳ１０は特定端末３１がＡＰ２０に認証要求フレームを伝送したことに対応して、認証解除フレームなどの管理フレームをＡＰ２０及び／または特定端末３１に伝送することができる。これにより、特定端末３１とＡＰ２０との連結が失敗することができる。

図１１及び図１２は、それぞれ図１０の変形例であり、無線侵入防止システムにおいて図８または図９の実施例がさらに適用されたことを示す概念図である。

図１１及び図１２を参照すると、ＷＩＰＳ１０はＡＰ２０が特定端末３１に応答することを妨害するために、ＣＳＴフレーム及び／またはＲＴＳフレームの伝送（Ｓ５０４ａ）を通してチャネルを妨害するか、またはＡＰ２０及び／または特定端末３１に対する混雑度の増加（Ｓ５０４ｂ）を通してチャネルを妨害することができる。

特定端末３１とＡＰ２０との連結が終了（Ｓ５０６）した後、特定端末３１がＡＰ２０に認証要求フレームを伝送しても、ＷＩＰＳ１０が認証解除フレームなどの連結封鎖（Ｓ５０８）命令をＡＰ２０及び／または特定端末３１に伝送して特定端末３１とＡＰ２０との連結失敗を誘導することができる。

図１３～図１５は、それぞれ本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。

まず、図１３を参照すると、ＡＰ２０と特定端末３１は互いに連結（Ｓ６０１）されており、特定の理由により特定端末３１は暗号化キーを紛失（Ｓ１０１）することができる。

暗号とキーを紛失した状態で、特定端末３１はＡＰ２０に接続を要求（Ｓ６０３）することができる。このとき、特定端末３１は全ての暗号化キーを紛失しているため、保護されない接続要求フレームをＡＰ２０に伝送することができる。

ＡＰ２０は依然として特定端末３１が暗号化キーを使用して有効に連結されていると判断するため、特定端末３１の接続要求を拒絶し、所定の第７時間以後再び試すように指示（Ｓ６０４ａ）することができる。実施例によって、保護された質問が一緒に伝送（Ｓ６０４ｂ）されることもある。

上記第７時間以後、特定端末３１は再接続要求フレームをＡＰ２０に伝送（Ｓ６０５）することができる。

一方、一実施例として、ＷＩＰＳ１０はＡＰ２０が特定端末３１に再接続要求フレームに対応して保護された質問を伝送することを妨害（Ｓ６０６ａ）することができる。上記妨害（Ｓ６０６ａ）のために、実施例によって、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送することができる。ＡＰ２０は特定端末３１に再接続要求フレームに対応して保護された質問を伝送しなければならないが、上記妨害Ｓ６０６ａによってＡＰ２０が特定端末３１に保護された質問を伝送することが遮断（Ｓ６０７ａ）されることができる。

これにより、ＡＰ２０と特定端末３１は相互の連結が終了（Ｓ６０８）されることができる。

図１４を参照すると、実施例によって、ＷＩＰＳ１０は、ＡＰ２０が特定端末３１に接続を要求（Ｓ６０３）するフレームに対応して保護された質問を伝送することを妨害（Ｓ６０６ｂ）することができる。上記妨害（Ｓ６０６ｂ）のために、実施例によって、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送することができる。ＡＰ２０は特定端末３１に接続要求フレームに対応して保護された質問を伝送しなければならないが、上記妨害（Ｓ６０６ｂ）によってＡＰ２０が特定端末３１に保護された質問を伝送することが遮断（Ｓ６０４ｃ）されることができる。実施例によって、ＡＰ２０が特定端末３１の接続要求を拒絶し、所定の第７時間以後再び試すように指示を伝送することも遮断されることができる。

これにより、ＡＰ２０と特定端末３１は相互の連結が終了（Ｓ６０８）されることができる。

図１５を参照すると、実施例によって、ＷＩＰＳ１０は、ＡＰ２０が特定端末３１に接続を要求（Ｓ６０３）するフレームに対応して保護された質問を伝送することを妨害（Ｓ６０６ｂ）することができる。上記妨害（Ｓ６０６ｂ）のために、実施例によって、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送することができる。ＡＰ２０は特定端末３１に接続要求フレームに対応して保護された質問を伝送しなければならないが、上記妨害（Ｓ６０６ｂ）によってＡＰ２０が特定端末３１に保護された質問を伝送することが遮断（Ｓ６０４ｃ）されることができる。実施例によって、ＡＰ２０が特定端末３１の接続要求を拒絶し、所定の第７時間以後再び試すように指示を伝送することも遮断されることができる。

その後、ＡＰ２０と特定端末３１は相互の連結が終了されず、特定端末３１は再接続要求フレームをＡＰ２０に伝送（Ｓ６０５）することができる。このとき、ＷＩＰＳ１０は、ＡＰ２０が特定端末３１に再接続要求フレームに対応して保護された質問を伝送することを再び妨害（Ｓ６０６ａ）することができる。上記妨害（Ｓ６０６ａ）のために、実施例によって、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送することができる。ＡＰ２０は特定端末３１に再接続要求フレームに対応して保護された質問を伝送しなければならないが、上記妨害Ｓ６０６ａによってＡＰ２０が特定端末３１に保護された質問を伝送することが遮断（Ｓ６０７ａ）されることができる。

これにより、ＡＰ２０と特定端末３１は相互の連結が終了（Ｓ６０８）されることができる。

図１３～図１５で上述した妨害信号は、図９及び図１０で例を挙げて説明した妨害信号のうち少なくとも１つが適用されてもよい。

図１６は本発明のさらに他の実施例による無線侵入防止システムにおける特定端末の連結解除技法を説明するための概念図である。

図１６を参照すると、まず、ＡＰ２０と特定端末３１は互いに連結された状態Ｓ７０１であってもよい。ＷＩＰＳ１０はＡＰ２０に接続を要求（Ｓ７０２）することができる。

ＡＰ２０は依然として特定端末３１が暗号化キーを使用して有効に連結されていると判断するため、ＷＩＰＳ１０の接続要求を拒絶し、所定の第８時間以後に再び試すよう指示（Ｓ７０３）することができる。

その後、ＡＰ２０はこのような接続要求が攻撃であるが否かを確認する検査を行うために、ＡＰ２０はＷＩＰＳ１０及び特定端末３１にそれぞれ保護された質問を伝送しなければならないが、これはＷＩＰＳ１０によって遮断されることができる。一実施例として、ＷＩＰＳ１０はＡＰ２０及び／または特定端末３１に妨害信号を伝送（Ｓ７０３ａ）することができる。ＡＰ２０は上記妨害信号によってＷＩＰＳ１０及び／または特定端末３１に保護された質問を伝送することが遮断（Ｓ７０４ａ）されることができる。

これにより、ＡＰ２０と特定端末３１は相互の連結が終了（Ｓ７０５）されることができる。

図１６で上述した妨害信号は、図９及び図１０で例を挙げて説明した妨害信号のうち少なくとも１つが適用されてもよい。

図７～図１６で上述した方法で、ＷＩＰＳ１０はＡＰ２０に連結された実質的に非認可の端末とみることができる特定端末３１の連結を解除させることができる。特に、ＷＩＰＳ１０はＩＥＥＥ ８０２．１１ｗ技術が適用された無線ネットワークを介してＡＰ２０に連結された全ての端末のうち特定端末をターゲティングして連結を解除させることができる。

以上、添付の図面を参照して本発明の実施例を説明したが、本発明が属する技術分野で通常の知識を有する者は、本発明のその技術的思想や必須の特徴を変更することなく他の具体的な形態で実施できることが理解できるであろう。従って、上述した実施例は全ての面で例示的なものであり、限定的なものではないと理解すべきである。

Claims (20)

1. アクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ）と、
   上記アクセスポイントに無線ネットワークを介して無線フレームを送受信する複数の端末（Ｓｔａｔｉｏｎ）と、
   上記無線フレームをモニタリングする無線侵入防止システム（ｗｉｒｅｌｅｓｓ ｉｎｔｒｕｓｉｏｎ ｐｒｅｖｅｎｔｉｏｎ ｓｙｓｔｅｍ）と、を含み、
   上記無線侵入防止システムは複数の端末のうち特定端末に連結解除要求を伝送し、上記アクセスポイントが上記特定端末に応答することを遮断することを特徴とする無線ネットワークシステム。
2. 上記無線侵入防止システムは、上記アクセスポイントに上記アクセスポイントが上記特定端末に応答することを遮断するために妨害信号を伝送することを特徴とする請求項１に記載の無線ネットワークシステム。
3. 上記妨害信号はＣＴＳ（Ｃｌｅａｒ ｔｏ Ｓｅｎｄ）フレームまたはＲＴＳ（Ｒｅｑｕｅｓｔ ｔｏ Ｓｅｎｄ）フレームを含むことを特徴とする請求項２に記載の無線ネットワークシステム。
4. 上記妨害信号は上記アクセスポイントの混雑度を増加させるための信号を含むことを特徴とする請求項２に記載の無線ネットワークシステム。
5. 上記妨害信号は偽装されたパケットを含むことを特徴とする請求項４に記載の無線ネットワークシステム。
6. 上記偽装されたパケットは、新たな連結を要求するフレーム（Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）、再連結を要求するフレーム（Ｒｅ－Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）、または現在の連結状態に対する連結解除を要求するフレーム（Ｄｉｓ－Ａｓｓｏｃｉａｔｉｏｎ ｆｒａｍｅ）を含むことを特徴とする請求項５に記載の無線ネットワークシステム。
7. 上記特定端末は上記連結解除要求に応答して上記アクセスポイントに保護された質問を伝送することを特徴とする請求項１に記載の無線ネットワークシステム。
8. 上記特定端末は上記アクセスポイントに所定の第１時間内に上記保護された質問に対して応答することを指示し、
   上記特定端末は上記第１時間内に上記応答がない場合、上記アクセスポイントとの連結を終了することを特徴とする請求項７に記載の無線ネットワークシステム。
9. 上記特定端末は上記アクセスポイントとの連結が終了した後、上記アクセスポイントに認証要求フレーム（ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｒｅｑｕｅｓｔ ｆｒａｍｅ）を伝送することを特徴とする請求項８に記載の無線ネットワークシステム。
10. 上記無線侵入防止システムは上記認証要求フレームが伝送された後、上記アクセスポイントまたは上記特定端末に認証解除フレーム（ｄｅａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｒａｍｅ）を伝送することを特徴とする請求項９に記載の無線ネットワークシステム。
11. 上記特定端末は非認可の端末、または非認可の攻撃者とネットワークを通して連結された端末であることを特徴とする請求項１に記載の無線ネットワークシステム。
12. 上記無線ネットワークはＩＥＥＥ ８０２．１１ｗ技術を含むことを特徴とする請求項１に記載の無線ネットワークシステム。
13. アクセスポイントが上記アクセスポイントに無線ネットワークを介して無線フレームを送受信する複数の端末のうち特定端末と連結を保持する段階と、
    上記無線フレームをモニタリングする無線侵入防止システムが上記アクセスポイントが上記特定端末に応答することを遮断するか、または上記アクセスポイントが上記特定端末に保護された質問を伝送することを遮断するために妨害信号を伝送する段階と、を含むことを特徴とする無線ネットワークシステムの作動方法。
14. 上記無線フレームをモニタリングする無線侵入防止システムが上記特定端末に連結解除要求を伝送する段階と、
    上記特定端末が上記アクセスポイントに保護された質問を伝送する段階と、
    上記特定端末が上記アクセスポイントに所定の第１時間内に上記保護された質問に対して応答することを指示する段階と、
    上記第１時間内に上記応答がない場合、上記特定端末が上記アクセスポイントと連結を終了する段階と、をさらに含むことを特徴とする請求項１３に記載の無線ネットワークシステムの作動方法。
15. 上記特定端末は上記アクセスポイントと連結を終了した後、上記アクセスポイントに認証要求フレームを伝送する段階と、
    上記無線侵入防止システムが上記認証要求フレームが伝送された後、上記アクセスポイントまたは上記特定端末に認証解除フレームを伝送する段階と、をさらに含むことを特徴とする請求項１４に記載の無線ネットワークシステムの作動方法。
16. 上記特定端末が上記アクセスポイントに接続要求を伝送する段階をさらに含み、
    上記妨害信号は上記アクセスポイントが上記特定端末に接続要求拒絶を伝送すること、または上記アクセスポイントが上記特定端末に上記保護された質問を伝送することを遮断する信号を含むことを特徴とする請求項１３に記載の無線ネットワークシステムの作動方法。
17. 上記無線侵入防止システムが上記アクセスポイントに接続要求を伝送する段階をさらに含み、
    上記妨害信号は上記アクセスポイントが上記特定端末に上記保護された質問を伝送することを遮断する信号を含むことを特徴とする請求項１３に記載の無線ネットワークシステムの作動方法。
18. アクセスポイント及び複数の端末が無線ネットワークを介して送受信する無線フレームをモニタリングし、上記無線フレームに基づいて情報を加工するセンシング装置と、
    上記加工された情報を上記アクセスポイント及び上記複数の端末の非認可有無及び異常動作有無を判断するサーバと、を含み、
    上記複数の端末のうち特定端末に対して上記アクセスポイントと連結を終了させるための妨害信号を提供する機能を含むことを特徴とする無線侵入防止システム。
19. 上記特定端末が上記アクセスポイントに接続を要求するために認証要求フレームを伝送すると、上記アクセスポイントまたは上記特定端末に認証解除フレームを伝送する機能をさらに含むことを特徴とする請求項１８に記載の無線侵入防止システム。
20. 上記妨害信号は上記アクセスポイントが上記特定端末に応答することを遮断するか、または保護された質問を伝送することを遮断する信号を含むことを特徴とする請求項１８に記載の無線侵入防止システム。

Images