JP2024520585A - 無線侵入防止システムおよびその動作方法 - Google Patents

Abstract

本技術は、電子装置に関し、本技術による無線侵入防止システムは、センシング装置およびコントローラを含むことができる。センシング装置は、無線ネットワークを介してアクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ、ＡＰ）と複数の端末との間で送受信される無線フレームをモニタリングし、無線フレームに基づいてフレーム分析情報を生成することができる。コントローラは、メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を含むメーカー識別情報とフレーム分析情報に含まれた各端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの比較し、比較結果に基づいて複数の端末のうちランダムＭＡＣアドレスを有するターゲット端末を決定し、遮断ポリシーに基づいてターゲット端末のアクセスポイントに対するアクセスを制御することができる。

Description

本発明は、無線侵入防止システム（ＷＩＰＳ）およびその動作方法に関する。

インターネットの急速な発展と普及に伴ってネットワーク環境は益々巨大になっており、インターネットの簡便且つ便利なネットワークアクセスと提供している多様なサービスによってその形態が複雑になっている。しかし、インターネット上でのウイルス、ハッキング、システム侵入、システム管理者権限取得、侵入事実の隠蔽、サービス拒否攻撃などの様々な形態のネットワーク攻撃により、インターネットは常にハッキングの危険にさらされ、インターネットに対する侵害が増加しており、公共機関と社会基盤施設及び金融機関は被害の規模が次第に増加しその影響力が大きい。このようなインターネットのセキュリティ問題を解決するために、ウイルス対策、ファイアウォール、統合セキュリティ管理、侵入検知システムなどのネットワークセキュリティ技術の必要性が浮かび上がっている。

無線インターネット通信のための無線ネットワークシステムは、無線ＬＡＮアクセスポイント（Ｗｉｒｅｌｅｓｓ ＬＡＮ Ａｃｃｅｓｓ Ｐｏｉｎｔ、ＡＰ）と無線ＬＡＮ端末とを含む。ＡＰは、アクセスポイント装置という装備を設置して使用している。

最近では、有線と無線を利用する統合型ネットワークシステムが広く開発され適用されている。有線でアクセスする有害トラフィックを安定的に遮断することも難しいが、無線でアクセスする有害トラフィックを安定的に遮断することはさらに難しい。これを解決すべく、無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＷＩＰＳ）が開発されている。ＷＩＰＳは、無線区間のモニタリングを通して非認可（ｒｏｕｇｅ）ＡＰまたはＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃などの無線侵入を検知および遮断するシステムである。

本発明が解決しようとする課題は、例えばＩＥＥＥ８０２．１１技術またはＩＥＥＥ８０２．１１ｗ技術が適用された無線ネットワークを介してＡＰにランダムＭＡＣアドレスを有する端末がアクセスする場合、遮断ポリシーに従って端末のアクセスを遮断する無線侵入防止システムおよびその動作方法を提供することである。

本発明の実施例による無線侵入防止システムは、センシング装置およびコントローラを含むことができる。センシング装置は、無線ネットワークを介してアクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ、ＡＰ）と複数の端末との間で送受信される無線フレームをモニタリングし、無線フレームに基づいてフレーム分析情報を生成することができる。コントローラは、メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、 ＯＵＩ）を含むメーカー識別情報とフレーム分析情報に含まれた各端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとを比較し、比較結果に基づいて複数の端末のうちランダムＭＡＣアドレスを有するターゲット端末を決定し、遮断ポリシーに基づいてターゲット端末のアクセスポイントに対するアクセスを制御することができる。

本発明の実施例による無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＷＩＰＳ）の動作方法は、無線ネットワークを介してアクセスポイントと無線フレームを送受信する複数の端末のうち、ターゲット端末からアクセスポイントに対するアクセス要求を受信するステップと、メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を含むメーカー識別情報と無線フレームに含まれたターゲット端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの比較結果に基づいて、ターゲット端末のＭＡＣアドレスがランダムＭＡＣアドレスまたは固有ＭＡＣアドレスであるか決定するステップと、ターゲット端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか否かによってターゲット端末のアクセスポイントに対するアクセスを制御するステップと、を含むことができる。

本発明の実施例によれば、例えばＩＥＥＥ８０２を介してＡＰに端末が連結される場合、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか否かによって連結を解除し、アクセスを遮断することができる。

無線侵入防止システムの構成を示すブロック図である。 無線侵入防止システムのアクセス遮断方法を示すフローチャートである。 一実施例による無線侵入防止システムにおいて、端末のアクセス制御を説明するための図である。 一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。 一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。 一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。 一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。

本明細書または出願に開示されている本発明の概念による実施例についての特定の構造的または機能的説明は、単に本発明の概念による実施例を説明する目的で例示されるものであり、本発明の概念による実施例は多様な形態で実施されることができ、本明細書または出願に説明される実施例に限定されるものとして解析されてはならない。

図１は、無線侵入防止システムの構成を示すブロック図である。

図１を参照すると、無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、以下、ＷＩＰＳ）は、無線区間のモニタリングを介して非認可（ｒｏｕｇｅ）ＡＰ（Ａｃｃｅｓｓ Ｐｏｉｎｔ）またはＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃などの無線侵入を検知および遮断するシステムである。

本明細書に記載の一般的な無線ネットワークは、ＩＥＥＥ８０２．１１またはＩＥＥＥ８０２．１１ｗが適用される無線ネットワークを含むことができる。ＩＥＥＥ８０２．１１ｗは、管理フレームのセキュリティを向上させたＩＥＥＥ８０２．１１の修正技術である。しかし、これに限定されず、本発明の実施例は様々なセキュリティ技術が適用された無線ネットワークに適用可能であることは言うまでもない。

無線ネットワークシステムは、１つまたはそれ以上のベーシックサービスセット（Ｂａｓｉｃ Ｓｅｒｖｉｃｅ Ｓｅｔ、ＢＳＳ）を含み、ＢＳＳは成功的に同期化して互いに通信できる機器の集合を示す。通常、ＢＳＳは、インフラストラクチャーＢＳＳ（ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ＢＳＳ）と独立ＢＳＳ（Ｉｎｄｅｐｅｎｄｅｎｔ ＢＳＳ、ＩＢＳＳ）に分けられる。

アクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ、以下、ＡＰ）は、自分に結合された（ａｓｓｏｃｉａｔｅｄ）端末のために無線媒体を経由して分配システムに対するアクセスを提供する個体である。ＡＰは、ＰＣＰ（Ｐｅｒｓｏｎａｌ ＢＳＳ Ｃｏｏｒｄｉｎａｔｉｏｎ Ｐｏｉｎｔ）を含む概念で用いられ、広義では集中制御器、基地局（Ｂａｓｅ Ｓｔａｔｉｏｎ、ＢＳ）、ノード－Ｂ、ＢＴＳ（Ｂａｓｅ Ｔｒａｎｓｃｅｉｖｅｒ Ｓｙｓｔｅｍ）、またはサイト制御器などの概念をすべて含むことができる。本発明において、ＡＰは、ベース無線通信端末とも称することができ、ベース無線通信端末は、広義ではＡＰ、ベースステーション（ｂａｓｅ ｓｔａｔｉｏｎ）、ｅＮＢ（ｅＮｏｄｅＢ）およびトランスミッションポイント（ＴＰ）を全て含む用語として用いられてもよい。さらに、ベース無線通信端末は、複数の無線通信端末との通信において通信媒介体（ｍｅｄｉｕｍ）資源を割り当て、スケジューリング（ｓｃｈｅｄｕｌｉｎｇ）を行う様々な形態の無線通信端末を含んでもよい。

端末（Ｓｔａｔｉｏｎ）は、ＩＥＥＥ８０２．１１標準の規定に従う媒体アクセス制御（Ｍｅｄｉｕｍ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ、ＭＡＣ）と無線媒体に対する物理層（Ｐｈｙｓｉｃａｌ Ｌａｙｅｒ）インターフェースを含む任意のデバイスであり、広義では非アクセスポイント（ｎｏｎ－ＡＰ）ステーションだけでなく、アクセスポイント（ＡＰ）を全て含むことができる。本明細書における「端末」は、ｎｏｎ－ＡＰステーションを指すが、実施例によってはｎｏｎ－ＡＰステーションおよびＡＰを全て指す用語として用いられてもよい。無線通信のためのステーションは、プロセッサ（Ｐｒｏｃｅｓｓｏｒ）と送受信部（ｔｒａｎｓｍｉｔｔｅｒ／ｒｅｃｅｉｖｅｒ）を含み、実施例によってはユーザインタフェース部とディスプレイユニットなどをさらに含んでもよい。プロセッサは、無線ネットワークを介して伝送するフレームを生成するか、または上記無線ネットワークを介して受信したフレームを処理し、その他ステーションを制御するための様々な処理を行うことができる。そして、送受信部は、上記プロセッサと機能的に連結されており、ステーションのために無線ネットワークを介してフレームを送受信する。端末は、無線ネットワークを介してＡＰとフレームを送受信することができる。

実施例では、ＷＩＰＳ１０は、メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を含むメーカー識別情報と無線フレームに含まれた各端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとを比較することができる。ＷＩＰＳ１０は、比較結果に基づいて複数の端末のうちランダムＭＡＣアドレスを有するターゲット端末を決定し、遮断ポリシーに基づいてターゲット端末のアクセスポイントに対するアクセスを制御することができる。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、複数の端末のうち固有ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは許容するポリシーであり得る。これは、ユーザを特定できないランダムＭＡＣアドレスを有する端末の接続を遮断して、無線ネットワークに対する侵入を防止するためである。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、固有ＭＡＣアドレスを有する端末のうち、非登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは遮断し、登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。これは、ユーザを特定できる固有ＭＡＣアドレスを有する端末のうちアクセスが認可された端末のみの接続を許容して、無線ネットワークに対する侵入を防止するためである。登録ＭＡＣアドレスは、管理者によって事前に登録された端末のＭＡＣアドレスであり得る。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のうち、管理者の承認を受けていない端末のアクセスポイントに対するアクセスを遮断し、管理者の承認を受けた端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。ユーザを特定できないランダムＭＡＣアドレスを有する端末でも、管理者から事前承認を取得した場合には例外的にアクセスを許容するためである。

実施例では、ＷＩＰＳ１０は、センシング装置１００およびコントローラ２００を含むことができる。

センシング装置１００は、複数の端末とアクセスポイントとの間の送受信される無線フレームをモニタリングし、モニタリングした無線フレームを分析したフレーム分析情報をコントローラ２００に伝送することができる。フレーム分析情報は、無線フレームを伝送した端末またはＡＰのＭＡＣアドレス、セキュリティ設定内容、伝送速度、ＳＳＩＤ、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ／ａｃ／ａｘ等の可否、チャンネル、ＲＳＳＩ等を含むことができる。センシング装置１００は、コントローラ２００から受信した遮断命令情報に基づいて、ＡＰまたは端末に対する遮断命令を実行することができる。

実施例では、センシング装置１００は、センシングモジュール１１０および通信モジュール１２０を含むことができる。

センシングモジュール１１０は、コントローラ２００から受信した遮断命令情報に基づいて遮断メッセージを生成することができる。センシングモジュール１１０は、生成した遮断メッセージをターゲットＡＰおよび端末に伝送するように通信モジュール１２０を制御することができる。通信モジュール１２０は、ターゲットＡＰおよび端末に遮断メッセージを伝送することができる。

実施例では、センシングモジュール１１０は、センサー受信部１１１、センサー分析部１１２およびセンサー遮断部１１３を含むことができる。

センサー受信部１１１は、通信モジュール１２０を制御して複数のチャンネルで無線フレームをモニタリングすることができる。

センサー分析部１１２は、モニタリングの結果、受信された無線フレームを分析したフレーム分析情報をコントローラ２００に伝送できる。フレーム分析情報は、無線フレームを送信したＡＰまたは端末の情報を含むことができる。

センサー遮断部１１３は、遮断命令を実行することができる。センサー遮断部１１３は、コントローラ２００から受信した遮断命令情報に基づいて遮断メッセージを生成することができる。

例えば、センサー遮断部１１３は、ＩＥＥＥ８０２．１１が適用された一般的な無線ネットワークで、非認証（Ｄｅａｕｔｈｅｎｔｉｃａｔｉｏｎ）フレームを含む遮断メッセージを生成することができる。センサー遮断部１１３は、ＩＥＥＥ８０２．１１ｗの適用されたセキュリティ無線ネットワークで、妨害信号および偽装パケットを含む遮断メッセージを生成することができる。

センサー遮断部１１３は、生成された遮断メッセージを、無線フレームを送受信したＡＰおよび端末に伝送するように通信モジュール１２０を制御することができる。この際、センサー遮断部１１３は、遮断メッセージを送るアドレスはＡＰのＢＳＳＩＤに設定し、受けるアドレスは端末のＭＡＣアドレスに設定することができる。または、センサー遮断部１１３は、遮断メッセージを送るアドレスは端末のＭＡＣアドレスに設定し、受けるアドレスはＡＰのＢＳＳＩＤに設定することができる。通信モジュール１２０から伝送される遮断メッセージを受けたＡＰと端末は、相手が連結終了を知らせる遮断メッセージを伝送したと判断し、互いのアクセスを中止することができる。

コントローラ２００は、センシング装置１００から受信したフレーム分析情報をＤＢ（ｄａｔａｂａｓｅ）化された署名（ｓｉｇｎａｔｕｒｅ）情報と比較して、該当端末またはＡＰの非認可可否、および異常動作可否を判断できる。この際、署名情報は、既存に収集された無線フレーム情報、遮断ポリシーまたは遮断対象リストなどの情報を含むことができる。コントローラー２００は、該当端末またはＡＰが非認可されたか、異常動作中である場合、遮断ポリシーによる自動遮断を実施するか、アラームを発生させて管理者によって手動遮断を実施させることができる。

実施例では、コントローラ２００は、遮断ポリシーおよびフレーム分析情報に基づいて遮断するＡＰまたは端末を決定することができる。

コントローラ２００は、メーカー識別情報とフレーム分析情報に含まれた各端末のＭＡＣアドレスとを比較することができる。メーカー識別情報は、IEEEに登録されたメーカー固有識別子を含むことができる。コントローラ２００は、比較結果に基づいて複数の端末のうちランダムＭＡＣアドレスを有するターゲット端末と固有ＭＡＣアドレスを有する端末を決定することができる。

具体的には、コントローラ２００は、各端末のＭＡＣアドレスに含まれた上位２４ビット値がメーカー固有識別子に含まれるか否かに基づいて、各端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか決定することができる。コントローラ２００は、端末のＭＡＣアドレスに含まれた上位２４ビット値がメーカー固有識別子に含まれると、端末のＭＡＣアドレスを固有ＭＡＣアドレスだと決定することができる。センシングモジュール１１０は、上位２４ビット値がメーカー固有識別子と異なると、端末のＭＡＣアドレスをランダムＭＡＣアドレスだと決定することができる。

遮断ポリシーは、無線ネットワーク環境に応じて様々に設定されることができる。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、複数の端末のうち固有ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは許容するポリシーであり得る。これは、ユーザを特定できないランダムＭＡＣアドレスを有する端末の接続を遮断して、無線ネットワークに対する侵入を防止するためである。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、固有ＭＡＣアドレスを有する端末のうち、非登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは遮断し、登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。これは、ユーザを特定できる固有ＭＡＣアドレスを有する端末のうちアクセスが認可された端末のみの接続を許容して、無線ネットワークに対する侵入を防止するためである。登録ＭＡＣアドレスは、管理者によって事前に登録された端末のＭＡＣアドレスであり得る。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のうち、管理者の承認を受けていない端末のアクセスポイントに対するアクセスを遮断し、管理者の承認を受けた端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。ユーザを特定できないランダムＭＡＣアドレスを有する端末でも、管理者の事前承認を受けた場合には例外的にアクセスを許容するためである。

コントローラ２００は、遮断命令情報を生成し、生成した遮断命令情報をセンシング装置１００に伝送することができる。遮断命令情報は、遮断対象リストに含まれるか、遮断ポリシーに違反して遮断決定されたＡＰまたは端末に関する情報を含むことができる。

実施例では、コントローラ２００は、様々な方式でＡＰまたは端末のアクセスを遮断することができる。

一例として、コントローラ２００の遮断方式は、ＡＰ遮断を含むことができる。この際、コントローラ２００は、遮断対象ＡＰのＢＳＳＩＤが感知されると、特定端末対象ではなく、ＡＰにアクセスする全ての端末を遮断することができる。

別の例として、コントローラ２００の遮断方式は、端末遮断を含むことができる。この際、コントローラ２００は、非認可端末と判断されたり、該当端末が認可された端末に変調されたことを探知した場合、該当端末を遮断することができる。該当端末のＭＡＣが現れると、コントローラ２００はそのすべてのＡＰへのアクセスを遮断することができる。

さらに別の例として、コントローラ２００の遮断方式は、特定ＡＰ－端末遮断を含むことができる。この際、コントローラ２００は、非認可ＡＰに認可端末が連結された場合、または認可ＡＰに非認可端末が連結された場合に連結を遮断することができる。コントローラ２００は、当該端末ＭＡＣが現れると、指定されたＡＰへのアクセスに対してのみ遮断し、その他のＡＰのアクセスには関与しなくてもよい。

図２は、無線侵入防止システムのアクセス遮断方法を示すフローチャートである。

図２を参照すると、ステップＳ２０１において、センサー受信部１１１は複数のチャンネルを介して、ＡＰと複数の端末との間で送受信される無線フレームをモニタリングすることができる。

ステップＳ２０３において、センサー受信部１１１は、センサー分析部１１２に、受信した無線フレームの分析を呼び出すことができる。

ステップＳ２０５において、センサー分析部１１２は無線フレームを分析して、フレーム分析情報を生成することができる。フレーム分析情報は、無線フレームを伝送した端末またはＡＰのＭＡＣアドレス、セキュリティ設定内容、伝送速度、ＳＳＩＤ、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ／ａｃ／ａｘ等の可否、チャンネル、ＲＳＳＩ等を含むことができる。

ステップＳ２０７において、センサー分析部１１２は、フレーム分析情報をコントローラ２００に提供することができる。

ステップＳ２０９において、コントローラ２００は、フレーム分析情報に基づいて無線フレームを送信したＡＰまたは端末情報を追加あるいは更新することができる。

ステップＳ２１１において、コントローラー２００は、遮断ポリシーに基づいて該当ＡＰまたは端末の遮断ポリシー違反可否を判断できる。

ステップＳ２１３において、コントローラ２００は、該当ＡＰまたは端末が遮断ポリシー違反だと判断される場合、ポリシー設定値に応じた遮断命令情報を生成することができる。

ステップＳ２１５において、コントローラ２００は、遮断命令情報をセンサー遮断部１１３に伝送することができる。遮断命令情報は、遮断対象リストに含まれるか、遮断ポリシーに違反して遮断決定されたＡＰまたは端末に関する情報を含むことができる。

ステップＳ２１７において、センサー遮断部１１３は、受信した遮断命令情報に基づいて遮断命令を実行することができる。具体的には、センサー遮断部１１３は、遮断命令情報に基づいて遮断メッセージを生成することができる。センサー遮断部１１３は、遮断メッセージをターゲットＡＰまたは端末に伝送するように通信モジュールを制御できる。遮断メッセージは、前述した非認証フレームまたは妨害信号、偽装パケットを含むことができる。

図３は、一実施例による無線侵入防止システムにおいて、端末のアクセス制御を説明するための図である。

図３を参照すると、ステップＳ３０１において、端末３０は、ＡＰ２０にアクセス要求を含む無線フレームを送信することができる。

ステップＳ３０３において、ＷＩＰＳ１０は、ＡＰ２０と端末３０との間で伝送される無線フレームを収集することができる。

ステップＳ３０５において、ＷＩＰＳ１０は、収集された無線フレームに含まれた端末３０のＭＡＣアドレスがランダムＭＡＣアドレスであるか判断できる。

例えば、ＷＩＰＳ１０は、端末３０のＭＡＣアドレスに含まれた上位２４ビット値がメーカー固有識別子に含まれると、端末３０のＭＡＣアドレスを固有ＭＡＣアドレスだと決定し、上位２４ビット値がメーカー固有識別子と異なると、端末３０のＭＡＣアドレスをランダムＭＡＣアドレスだと決定することができる。ＷＩＰＳ１０は、ＩＥＥＥからメーカー固有識別子を含むメーカー識別情報を取得することができる。

ステップＳ３０７において、ＷＩＰＳ１０は、端末３０のＭＡＣアドレスが登録ＭＡＣアドレスであるか判断できる。登録ＭＡＣアドレスは、管理者が事前にアクセスポイントに対するアクセスを許容した端末のＭＡＣアドレスであり得る。別の実施例ではステップＳ３０７は省略してもよい。

ステップＳ３０９において、ＷＩＰＳ１０は、遮断ポリシーに従ってＡＰ２０に対する端末３０のアクセス許容可否を決定することができる。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、複数の端末のうち固有ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは許容するポリシーであり得る。これは、ユーザを特定できないランダムＭＡＣアドレスを有する端末の接続を遮断して、無線ネットワークに対する侵入を防止するためである。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、固有ＭＡＣアドレスを有する端末のうち、非登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは遮断し、登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。これは、ユーザを特定できる固有ＭＡＣアドレスを有する端末のうちアクセスが認可された端末のみの接続を許容して、無線ネットワークに対する侵入を防止するためである。登録ＭＡＣアドレスは、管理者によって事前に登録された端末のＭＡＣアドレスであり得る。

一実施例では、遮断ポリシーは、ランダムＭＡＣアドレスを有するターゲット端末のうち、管理者の承認を受けていない端末のアクセスポイントに対するアクセスを遮断し、管理者の承認を受けた端末のアクセスポイントに対するアクセスを許容するポリシーであり得る。ユーザを特定できないランダムＭＡＣアドレスを有する端末でも、管理者が承認した場合には例外的にアクセスを許容するためである。

ステップＳ３１１において、ＷＩＰＳ１０は、ＡＰ２０に対する端末３０のアクセス許容可否を示すアクセス制御情報をＡＰ２０に提供することができる。

ステップＳ３１３において、ＡＰ２０は、アクセス制御情報に基づいて端末３０のアクセスを許容したり、遮断したりすることができる。

図４は、一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。

図４を参照すると、ステップＳ４０１において、無線侵入防止システムは、ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）からメーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を受信することができる。

ステップＳ４０３において、無線侵入防止システムは、アクセスポイントにアクセスを要求した端末のＭＡＣアドレスとメーカー固有識別子との比較結果に基づいて、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか判断できる。

ステップＳ４０５において、無線侵入防止システムは、端末のＭＡＣアドレスがランダムＭＡＣアドレスであると、遮断ポリシーに従って端末のアクセスを許容するか否かを決めることができる。

図５は、一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。

図５を参照すると、ステップＳ５０１において、無線侵入防止システムは、アクセスを要求した端末から端末のＭＡＣアドレスを含む無線フレームを受信することができる。

ステップＳ５０３において、無線侵入防止システムは、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか判断できる。例えば、無線侵入防止システムは、端末のＭＡＣアドレスがメーカー固有識別子と一致すると、端末のＭＡＣアドレスを固有ＭＡＣアドレスだと決定し、端末のＭＡＣアドレスがメーカー固有識別子と異なると、端末のＭＡＣアドレスをランダムＭＡＣアドレスだと決定することができる。

無線侵入防止システムは、判断の結果、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるとステップＳ５０５に進行し、端末のＭＡＣアドレスが固有ＭＡＣアドレスであるとステップＳ５０７に進行する。

ステップＳ５０５において、無線侵入防止システムは、ランダムＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを遮断することができる。

ステップＳ５０７において、無線侵入防止システムは、固有ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容することができる。

図５の実施例によれば、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断し、複数の端末のうち固有ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは許容することができる。これは、ユーザを特定できないランダムＭＡＣアドレスを有する端末の接続を遮断して、無線ネットワークに対する侵入を防止するためである。

図６は、一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。

図６を参照すると、ステップＳ６０１において、無線侵入防止システムは、アクセスを要求した端末から端末のＭＡＣアドレスを含む無線フレームを受信することができる。

ステップＳ６０３において、無線侵入防止システムは、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか判断できる。

無線侵入防止システムは、判断の結果、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるとステップＳ６０５に進行し、端末のＭＡＣアドレスが固有ＭＡＣアドレスであるとステップＳ６０７に進行する。含む無線フレームを受信することができる。

ステップＳ６０５において、無線侵入防止システムは、ランダムＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを遮断することができる。

ステップＳ６０７において、無線侵入防止システムは、端末のＭＡＣアドレスが登録ＭＡＣアドレスであるか判断できる。判断の結果、端末のＭＡＣアドレスが登録ＭＡＣアドレスであるとステップＳ６０９に進行し、端末のＭＡＣアドレスが非登録ＭＡＣアドレスであるとステップＳ６０５に進行する。登録ＭＡＣアドレスは、管理者が事前にアクセスポイントに対するアクセスを許容した端末のＭＡＣアドレスであり得る。

ステップＳ６０９において、無線侵入防止システムは、登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容することができる。

図６の実施例によれば、ランダムＭＡＣアドレスを有するターゲット端末のアクセスポイントに対するアクセスを遮断することができる。固有ＭＡＣアドレスを有する端末のうち、非登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスは遮断し、登録ＭＡＣアドレスを有する端末のアクセスポイントに対するアクセスを許容することができる。これは、固有ＭＡＣアドレスを有する端末のうち、管理者によってアクセスが許容された端末のみの接続を許容して、無線ネットワークに対する侵入を防止するためである。アクセスを許容できる。

図７は、一実施例による無線侵入防止システムの動作を説明するためのフローチャートである。

図７を参照すると、ステップＳ７０１において、無線侵入防止システムは、アクセスポイントにアクセスを要求した端末から端末のＭＡＣアドレスを含む無線フレームを受信することができる。

ステップＳ７０３において、無線侵入防止システムは、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか判断できる。無線侵入防止システムは、判断の結果、端末のＭＡＣアドレスがランダムＭＡＣアドレスであるとステップＳ７０５に進行し、端末のＭＡＣアドレスが固有ＭＡＣアドレスであるとステップＳ７０９に進行する。

ステップＳ７０５において、無線侵入防止システムは、遮断ポリシーに基づいて端末が管理者から事前承認された端末であるか判断できる。無線侵入防止システムは、端末が事前に承認された端末であるとステップＳ７０９に進行し、端末が事前に承認されていない端末であるとステップＳ７０７に進行する。

ステップＳ７０７において、無線侵入防止システムは、ランダムＭＡＣアドレスを有する端末のうち、管理者から事前承認されていない端末のアクセスポイントに対するアクセスを遮断できる。

ステップＳ７０９において、無線侵入防止システムは、固有ＭＡＣアドレスを有する端末またはランダムＭＡＣアドレスを有する端末のうち、管理者から事前承認された端末のアクセスポイントに対するアクセスを許容することができる。

図７の実施例によれば、ランダムＭＡＣアドレスを有するターゲット端末のうち、管理者の承認を受けていない端末のアクセスポイントに対するアクセスを遮断し、管理者の事前承認を受けた端末のアクセスポイントに対するアクセスを許容することができる。これは、ユーザを特定できないランダムＭＡＣアドレスを有する端末でも、管理者が事前承認した場合には例外的にアクセスを許容するためである。

Claims (15)

1. 無線ネットワークを介してアクセスポイント（Ａｃｃｅｓｓ Ｐｏｉｎｔ、ＡＰ）と複数の端末との間で送受信される無線フレームをモニタリングし、上記無線フレームに基づいてフレーム分析情報を生成するセンシング装置と、
   メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を含むメーカー識別情報と上記フレーム分析情報に含まれた各端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの比較し、比較結果に基づいて上記複数の端末のうちランダムＭＡＣアドレスを有するターゲット端末と固有ＭＡＣアドレスを有する端末を決定し、上記ターゲット端末の上記アクセスポイントに対するアクセスは遮断し、上記固有ＭＡＣアドレスを有する端末の上記アクセスポイントに対するアクセスは許容するコントローラと、を含むことを特徴とする無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＷＩＰＳ）。
2. 上記コントローラは、
   ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）から上記メーカー識別情報を取得することを特徴とする請求項１に記載の無線侵入防止システム。
3. 上記コントローラは、
   上記各端末のＭＡＣアドレスに含まれた上位２４ビット値が上記メーカー固有識別子に含まれるか否かに基づいて、上記各端末のＭＡＣアドレスがランダムＭＡＣアドレスであるか決定することを特徴とする請求項１に記載の無線侵入防止システム。
4. 上記コントローラは、
   端末のＭＡＣアドレスに含まれた上位２４ビット値が上記メーカー固有識別子に含まれると、上記端末のＭＡＣアドレスを固有ＭＡＣアドレスだと決定し、上記上位２４ビット値が上記メーカー固有識別子と異なると、上記端末のＭＡＣアドレスをランダムＭＡＣアドレスだと決定することを特徴とする請求項３に記載の無線侵入防止システム。
5. 上記コントローラは、
   上記固有ＭＡＣアドレスが登録ＭＡＣアドレスであるか否かによって、上記固有ＭＡＣアドレスを有する端末の上記アクセスポイントに対するアクセスを許容することを特徴とする請求項１に記載の無線侵入防止システム。
6. 上記コントローラは、
   上記ターゲット端末のうち管理者から事前承認された端末の上記アクセスポイントに対するアクセスの遮断を解除することを特徴とする請求項１に記載の無線侵入防止システム。
7. 上記無線ネットワークは、
   ＩＥＥＥ８０２．１１が適用される一般的な無線ネットワークおよびＩＥＥＥ８０２．１１ｗが適用されるセキュリティ無線ネットワークを含むことを特徴とする請求項１に記載の無線侵入防止システム。
8. 上記フレーム分析情報は、
   上記無線フレームを送受信した端末のＭＡＣアドレス、上記アクセスポイントのＳＳＩＤ（Ｓｅｒｖｉｃｅ Ｓｅｔ ＩＤｅｎｔｉｆｅｒ）、セキュリティ設定内容、伝送速度、ＩＥＥＥ８０２．１１のバージョン、チャンネル情報およびＲＳＳＩ（Ｒｅｃｅｉｖｅｄ Ｓｉｇｎａｌ Ｓｔｒｅｎｇｔｈ Ｉｎｄｉｃａｔｉｏｎ）のうち少なくとも１つを含むことを特徴とする請求項１に記載の無線侵入防止システム。
9. 無線ネットワークを介してアクセスポイントと無線フレームを送受信する複数の端末のうち、ターゲット端末から上記アクセスポイントに対するアクセス要求を受信するステップと、
   メーカー固有識別子（Ｏｒｇａｎｉｚａｔｉｏｎａｌｌｙ Ｕｎｉｑｕｅ Ｉｄｅｎｔｉｆｉｅｒ、ＯＵＩ）を含むメーカー識別情報と上記無線フレームに含まれた上記ターゲット端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとの比較結果に基づいて、上記ターゲット端末のＭＡＣアドレスがランダムＭＡＣアドレスまたは固有ＭＡＣアドレスであるか決定するステップと、
   上記ターゲット端末のＭＡＣアドレスが上記ランダムＭＡＣアドレスであると、上記ターゲット端末の上記アクセスポイントに対する上記アクセスを遮断し、上記ターゲット端末のＭＡＣアドレスが上記固有ＭＡＣアドレスであると、上記ターゲット端末の上記アクセスポイントに対する上記アクセスを許容するステップと、を含むことを特徴とする無線侵入防止システム（Ｗｉｒｅｌｅｓｓ Ｉｎｔｒｕｓｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、ＷＩＰＳ）の動作方法。
10. 上記ターゲット端末のＭＡＣアドレスが上記固有ＭＡＣアドレスであると、上記ターゲット端末の上記アクセスポイントに対する上記アクセスを許容するステップは、
    上記固有ＭＡＣアドレスが登録ＭＡＣアドレスであるか否かに上記ターゲット端末の上記アクセスポイントに対する上記アクセスを許容することを特徴とする請求項９に記載の無線侵入防止システムの動作方法。
11. 上記ターゲット端末のＭＡＣアドレスが上記ランダムＭＡＣアドレスであると、上記ターゲット端末の上記アクセスポイントに対する上記アクセスを遮断するステップは、
    上記ターゲット端末が管理者から事前承認されたか否かによって、上記ターゲット端末の上記アクセスポイントに対する上記アクセスの遮断を解除することを特徴とする請求項９に記載の無線侵入防止システムの動作方法。
12. ＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）から上記メーカー識別情報を取得するステップをさらに含むことを特徴とする請求項９に記載の無線侵入防止システムの動作方法。
13. 上記ターゲット端末のＭＡＣアドレスがランダムＭＡＣアドレスまたは固有ＭＡＣアドレスであるか決定するステップは、
    上記ターゲット端末のＭＡＣアドレスに含まれた上位２４ビット値が上記メーカー固有識別子に含まれるか否かによって、上記ターゲット端末のＭＡＣアドレスがランダムＭＡＣアドレスまたは固有ＭＡＣアドレスであるか決定するステップを含むことを特徴とする請求項９に記載の無線侵入防止システムの動作方法。
14. 上記ターゲット端末の上記アクセスポイントに対する上記アクセスを遮断するための遮断メッセージを生成するステップと、
    非認証フレームを含むか、妨害信号および偽装パケットを含む上記遮断メッセージを上記ターゲット端末に伝送するステップと、をさらに含むことを特徴とする請求項９に記載の無線侵入防止システムの動作方法。
15. 上記無線ネットワークは、
    ＩＥＥＥ８０２．１１が適用される一般的な無線ネットワークおよびＩＥＥＥ８０２．１１ｗが適用されるセキュリティ無線ネットワークを含むことを特徴とする請求項９に記載の無線侵入防止システムの動作方法。

Images