WO2005081460A1 - 不正無線局検出システム、それに用いる装置及びその方法 - Google Patents

不正無線局検出システム、それに用いる装置及びその方法 Download PDF

Info

Publication number
WO2005081460A1
WO2005081460A1 PCT/JP2005/002494 JP2005002494W WO2005081460A1 WO 2005081460 A1 WO2005081460 A1 WO 2005081460A1 JP 2005002494 W JP2005002494 W JP 2005002494W WO 2005081460 A1 WO2005081460 A1 WO 2005081460A1
Authority
WO
WIPO (PCT)
Prior art keywords
unauthorized
wireless
managed
station
wireless communication
Prior art date
Application number
PCT/JP2005/002494
Other languages
English (en)
French (fr)
Inventor
Takayuki Nyu
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to JP2006510229A priority Critical patent/JPWO2005081460A1/ja
Priority to EP05710344A priority patent/EP1720290A1/en
Priority to US10/589,861 priority patent/US20070165571A1/en
Publication of WO2005081460A1 publication Critical patent/WO2005081460A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
    • H04W12/122—Counter-measures against attacks; Protection against rogue devices

Definitions

  • Illegal radio station detection system device used therefor, and method therefor
  • the present invention relates to an unauthorized wireless station detection system and an operation management device, a wireless base station, a wireless communication terminal, and a method therefor, and more particularly to monitoring of a wireless station appearing in an environment using a wireless LAN system and the wireless station. It relates to a method of preventing information leakage from stations.
  • Patent Document 1 discloses a network security system, a computer device, an access point recognition processing method, an access point check method, a program, a storage medium, Techniques related to wireless LAN devices are disclosed.
  • an SSID used as an identifier will be described.
  • a group of terminals and base stations that communicate with each other is called a Basic Service Set, and the identifier of the group is called a BSSID.
  • the physical address (MAC (Media Access Control) address) of the base station is used.
  • the value is an arbitrary value assigned by the terminal (uniqueness is not strictly guaranteed because it is assigned by each terminal).
  • ESS extended service set
  • a regular (managed) wireless LAN client executes a scan process to identify a wireless LAN identifier from a packet of a surrounding access point (hereinafter, AP).
  • AP access point
  • SSID Service Set ID
  • AP detection list that also includes the SSID power.
  • comparing with the pre-registered AP permission list if there is an unregistered SSID, it is determined that there is an unauthorized AP, and the location of the unauthorized AP is notified to notify that location. Unauthorized APs can be removed.
  • the router is operated to transfer data with the rogue AP. Prohibit transmission and reception.
  • Patent Document 1 JP 2003-198571
  • the disclosed invention has the following problems.
  • the first problem is to use a wireless LAN system identifier that is not unique as an identifier of an unauthorized AP.
  • the wireless LAN system identifier (SSID: Service Set ID) is an identifier that is set when the wireless LAN system is built, and is a value that can be easily changed by the user.
  • the same wireless LAN system identifier can be assigned to the wireless LAN base station (AP).
  • AP wireless LAN base station
  • the second problem is to detect an unauthorized AP using only the wireless LAN system identifier (SSID)!
  • devices that output wireless LAN system identifiers include wireless LAN base stations (APs) that operate in infrastructure mode and wireless LAN clients that operate in ad hoc mode. Therefore, it is necessary to search for both the wireless LAN base station (AP) and the wireless LAN client as candidates for unauthorized wireless stations, and the search efficiency is poor. .
  • the third problem is that since a wireless LAN device having an SSID concealment function exists in the field, an unauthorized base station (AP) cannot detect the use of the function when the function is used. That is.
  • the fourth problem is that there is no specific description prohibiting the transmission and reception of data with an unauthorized base station (AP).
  • the present invention has been made to solve the above-mentioned problem, and it is an object of the present invention to improve security by detecting and notifying the presence of an unauthorized radio station and preventing the information leakage of the unauthorized radio station. It is an object of the present invention to provide an unauthorized wireless station detection system that realizes the efficiency of the security management work, an operation management device, a wireless base station, a wireless communication terminal, and a method thereof used for the system. Means for solving the problem
  • a first invention for solving the above-mentioned problems is a wireless communication system including a managed wireless base station having a unique identifier, wherein the presence or absence of an unauthorized wireless station is detected based on the unique identifier included in a wireless frame. And an unauthorized radio station detecting means.
  • the unauthorized radio station detecting means includes a comparing means for comparing the unique identifier with a previously registered unique identifier, Means for making a determination on the unauthorized radio station based on the comparison result.
  • a third invention for solving the above-mentioned problems is characterized in that, in the above-mentioned first or second invention, when the group of a wireless communication terminal and a wireless base station communicating with each other is a basic service set, It is an identifier (BSS identifier) for identifying a basic service set.
  • BSS identifier an identifier
  • a fourth invention for solving the above-mentioned problem is the above-mentioned third invention, wherein the unauthorized radio station detecting means further comprises means for determining the type of the unauthorized radio station from the BSS identifier. It is characterized.
  • the unauthorized radio station detecting means further comprises means for determining a manufacturer of the unauthorized radio station from the BSS identifier. It is characterized by having.
  • a sixth invention for solving the above-mentioned problem is the managed wireless device according to any one of the first to fifth inventions, wherein the managed wireless device is managed by a system and has means for acquiring a radio frame and obtaining the unique identifier. Including a base station, the unauthorized wireless station detecting means further includes means for obtaining the unique identifier from the managed wireless base station.
  • a seventh invention for solving the above-mentioned problems is the managed wireless device according to any one of the first to fifth inventions, wherein the managed wireless device is managed by a system and has means for acquiring a radio frame and obtaining the unique identifier. Including a communication terminal, the unauthorized radio station detecting means further includes means for obtaining the unique identifier from the managed wireless communication terminal.
  • An eighth invention for solving the above-mentioned problems is the invention according to any one of the first to sixth inventions, wherein the unauthorized wireless station detecting means comprises a managed wireless communication terminal connected to the unauthorized wireless station. A means for notifying the terminal that the use of the unauthorized radio station is prohibited.
  • a ninth invention for solving the above-mentioned problems is the invention according to any one of the first to sixth inventions, further comprising a switch device, wherein the unauthorized radio station detecting means is connected to the unauthorized radio station.
  • the apparatus further comprises means for detecting an address of an unauthorized wireless communication terminal and notifying the switch apparatus of the address, wherein the switch apparatus has means for discarding a wireless frame including the address.
  • a tenth invention for solving the above-mentioned problems is the invention according to any one of the first to sixth inventions, wherein the unauthorized wireless station detecting means is configured to communicate with the managed wireless base station with the unauthorized wireless communication terminal. And a means for notifying the managed wireless communication terminal connected to the managed wireless base station of the unauthorized wireless station.
  • An eleventh invention for solving the above-mentioned problems is characterized in that, in any one of the first to sixth inventions, the unauthorized radio station detecting means comprises an unauthorized radio communication terminal connected to the managed radio base station. Further, there is provided a means for controlling so as to disable the communication.
  • a twelfth invention for solving the above-mentioned problems is the invention according to any one of the first to sixth inventions, wherein the unauthorized radio station detecting means is provided for a managed radio base station around the unauthorized radio station.
  • the radio frame power further comprises means for notifying an identifier (SS identifier) for identifying a service set of the unauthorized radio station acquired, and the managed radio base station receiving the notification of the SS identifier includes the When a wireless frame is received from a wireless communication terminal connected using the same value as the SS identifier, the wireless communication terminal has means for discarding the wireless frame.
  • SS identifier an identifier
  • a thirteenth invention for solving the above problems is an operation management device in a wireless communication system including a wireless base station to be managed having a unique identifier, wherein the unauthorized wireless station is configured based on a unique identifier included in a wireless frame. It is characterized by including an unauthorized radio station detecting means for detecting the presence / absence of a radio station.
  • the unauthorized radio station detecting means comprises: comparing means for comparing the unique identifier with a previously registered unique identifier; Means for making a determination on the unauthorized radio station based on the result. It is characterized by.
  • a fifteenth invention for solving the above-mentioned problems is characterized in that, in the thirteenth or fourteenth invention, the unique identifier is a group of wireless communication terminals and wireless base stations that communicate with each other as a basic service set. It is characterized by being an identifier (BSS identifier) for identifying the basic service set.
  • BSS identifier an identifier
  • a sixteenth invention for solving the above-mentioned problems is characterized in that, in the above-mentioned fifteenth invention, means for judging the type of said unauthorized radio station from said BSS identifier is further included.
  • a seventeenth invention for solving the above-mentioned problems is characterized in that, in the fifteenth or sixteenth invention, further comprises means for determining a manufacturer of the unauthorized radio station from the BSS identifier.
  • An eighteenth invention for solving the above-mentioned problems is the management target radio according to any one of the thirteenth to seventeenth inventions, wherein the managed radio is managed by a system to acquire a radio frame and obtain the unique identifier.
  • the base station power further comprises means for obtaining the unique identifier.
  • a nineteenth invention for solving the above-mentioned problems is the management target radio according to any one of the thirteenth to seventeenth inventions, wherein the managed radio is managed by a system to acquire a radio frame and obtain the unique identifier. It is characterized by further including means for obtaining the unique identifier from the communication terminal.
  • a twentieth invention for solving the above-mentioned problems is the invention according to any one of the thirteenth to eighteenth inventions, wherein the management-target wireless communication terminal connected to the unauthorized radio station has the unauthorized radio station. It is characterized by further including means for giving a notice of prohibition of use.
  • the switch according to any of the thirteenth to eighteenth inventions, wherein an address of an unauthorized wireless communication terminal connected to the unauthorized wireless station is detected, and
  • the apparatus further comprises means for notifying the device of the address.
  • a twenty-second invention for solving the above-mentioned problems is the invention according to any one of the thirteenth to eighteenth inventions, wherein the management-target wireless base station is notified of the unauthorized wireless communication terminal.
  • the wireless communication apparatus further includes means for notifying the managed wireless communication terminal connected to the managed wireless base station of the unauthorized radio station.
  • a twenty-third invention for solving the above-mentioned problems is characterized in that, in any one of the thirteenth to eighteenth inventions, communication of an unauthorized wireless communication terminal connected to said managed wireless base station is disabled. It is characterized by further including a means for performing such control.
  • a twenty-fourth invention for solving the above-mentioned problems is the invention according to any one of the thirteenth to eighteenth inventions, wherein the radio frame power acquisition is performed for a managed radio base station around the unauthorized radio station. Means for notifying the identified identifier (SS identifier) for identifying the service set of the unauthorized radio station.
  • SS identifier identified identifier
  • a twenty-fifth invention for solving the above problems is a radio base station in a radio communication system including a radio base station to be managed having a unique identifier, and an operation management device for operating and managing the system. And means for notifying the operation management device of the unique identifier to detect the presence or absence of an unauthorized radio station.
  • a twenty-sixth invention for solving the above-mentioned problems is characterized in that, in the twenty-fifth invention, the means for receiving the notification of the unauthorized wireless communication terminal from the operation management device and disabling the communication of the unauthorized wireless communication terminal is provided. It is further characterized by including.
  • the operation management apparatus receives a notification of an identifier (SS identifier) for identifying a service set of the unauthorized radio station.
  • SS identifier an identifier
  • the wireless communication terminal further includes means for discarding the wireless frame.
  • a twenty-eighth invention for solving the above-mentioned problems is a wireless communication terminal in a wireless communication system including a managed wireless base station having a unique identifier and an operation management device for operating and managing the system. And means for notifying the operation management device of the unique identifier to detect the presence or absence of an unauthorized radio station.
  • a twenty-ninth invention for solving the above-mentioned problems is characterized in that, in the above-mentioned twenty-eighth invention, further includes means for prohibiting use of the unauthorized radio station notified from the operation management device.
  • a thirtieth invention for solving the above-mentioned problem is a method for detecting an unauthorized radio station in a wireless communication system including a managed radio base station having a unique identifier, wherein the unauthorized radio is detected based on the unique identifier included in a radio frame. A step of detecting the presence or absence of a station.
  • a thirty-first invention for solving the above-mentioned problem is an operation control method of a wireless base station in a wireless communication system including a managed wireless base station having a unique identifier and an operation management device for operating and managing the system.
  • a thirty-second invention for solving the above-mentioned problem is an operation control method of a wireless communication terminal in a wireless communication system including a managed wireless base station having a unique identifier and an operation management device for operating and managing the system. And a step of notifying the operation management device of the unique identifier to detect the presence or absence of an unauthorized wireless station.
  • a thirty-third invention for solving the above-mentioned problem is a program for causing a computer to execute an unauthorized wireless station detection method in a wireless communication system including a managed wireless base station having a unique identifier. It is characterized by including a process of detecting the presence or absence of an unauthorized radio station based on the included unique identifier.
  • a thirty-fourth invention for solving the above-mentioned problems relates to a computer-controlled operation method of a wireless base station in a wireless communication system including a managed wireless base station having a unique identifier and an operation management device for operating and managing the system.
  • a thirty-fifth invention for solving the above-mentioned problems is directed to a method for controlling the operation of a wireless communication terminal in a wireless communication system including a managed wireless base station having a unique identifier and an operation management device for operating and managing the system.
  • the operation of the present invention will be described.
  • the wireless station to be managed searches the wireless space over multiple frequency channels, and also obtains the BSS identifier and the frame source identifier, which are IDs unique to each base station, for the frame power propagating in the space, and manages the operation.
  • the device detects an illegal wireless station by comparing the obtained BSS identifier with the BSS identifier of a base station registered as a base station to be managed. Also, the type and the manufacturer are determined using the acquired frame source identifier. In addition, the operation management device notifies the presence of the unauthorized wireless station to the managed (regular) wireless base station, the managed terminal, the switch device, and the like, and instructs the unauthorized wireless station to discard a frame or disconnect the communication. Measures to prevent communication with unauthorized radio stations.
  • a BSS identifier that is a unique identifier of each wireless station is obtained from a frame transmitted by the unauthorized wireless station to the wireless space, and the unauthorized wireless station is identified based on the BSS identifier. Therefore, it is possible to detect an unauthorized base station without allowing spoofing by an unauthorized user or the like.
  • the organization name indicating the manufacturer of the unauthorized radio station is determined from a part of the BSS identifier, and the organization name is determined, it is possible to narrow down the unauthorized radio station and perform a power search.
  • the frame source identifier of the terminal connected to the unauthorized radio station is obtained, the frame source identifier is set in the wired LAN switch, and the source of the frame passing through the wired LAN switch is set. If the identifiers match, discarding the frame can prevent communication between the terminal connected to the unauthorized radio station and the node in the wired network.
  • FIG. 1 is a wireless LAN monitoring system to which the present invention is applied.
  • FIG. 2 is a functional block diagram of each component of the wireless LAN monitoring systems according to the first and second embodiments.
  • FIG. 3 is a processing flow of the wireless LAN monitoring systems of Examples 1 and 2.
  • FIG. 4 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring systems of the first and second embodiments.
  • FIG. 5 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring systems of the first and second embodiments.
  • FIG. 6 This is an example showing connection between a managed AP, a rogue AP and a terminal.
  • FIG. 7 is an example showing installation locations of managed APs and SWs.
  • FIG. 8 is an example of various information lists held by the operation management device.
  • FIG. 9 is an example showing the locations of managed APs and SWs and the vicinity of unauthorized APs.
  • FIG. 10 is a processing flow of the wireless LAN monitoring system according to the third embodiment.
  • FIG. 11 is a functional block diagram of each component of the wireless LAN monitoring system according to the third embodiment.
  • FIG. 12 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring system of the third embodiment.
  • FIG. 13 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring system of the third embodiment.
  • FIG. 14 is an example of various information lists held by the operation management device of the third embodiment.
  • FIG. 15 is a functional block diagram of each component of the wireless LAN monitoring system according to the fourth embodiment.
  • FIG. 16 is an example of a Campaign ID list held in the operation management device of the fourth embodiment.
  • FIG. 17 is a processing flow of the wireless LAN monitoring system according to the fifth embodiment.
  • FIG. 18 is a functional block diagram of each component of the wireless LAN monitoring system according to the fifth embodiment.
  • FIG. 19 is an example of a receivable BSS identifier list B held in the operation management device of the fifth embodiment.
  • FIG. 20 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring system of the fifth embodiment.
  • FIG. 21 is a processing flow of the operation management device in the processing flow of the wireless LAN monitoring system of the fifth embodiment. Explanation of symbols
  • Unauthorized AP User List 106 Management target AP list (AP identifier)
  • Receivable BSS identifier list 404 frame sender identifier list
  • FIG. 1 is a diagram showing a configuration of a wireless LAN monitoring system to which the present invention is applied.
  • the operation management device 100 that manages the operation of the wireless LAN, the display device 200 that displays the operation management information, the AP 300 to be managed (access point, wireless base station), the wireless communication terminal to be managed (hereinafter simply referred to as the terminal 400), a switch (SW) 600 that connects the AP and the wired network, and an unauthorized wireless station 500 that is not managed.
  • SW switch
  • the unauthorized wireless station 500 is connected to an ad hoc network in which managed client terminals 501 and 502 are connected, an unmanaged AP 503 operating in infrastructure mode (hereinafter referred to as an unauthorized AP), and a wired network operating in ad hoc mode.
  • the terminal 504 has a!, Offset, or combination.
  • FIG. 2 is a diagram showing functional blocks related to the present invention of each component of the wireless LAN monitoring system.
  • the operation management device 100 includes a management target AP list (BSS identifier) 101 for storing information for identifying an individual wireless interface of the management target AP, and a reception for storing a receivable BSS identifier obtained from a non-management terminal.
  • BSS identifier management target AP list
  • AP identifier identifier
  • the display device 200 includes a display unit 201 that displays operation management information, and a transmission / reception unit 202 that communicates with other components.
  • the AP 300 includes a wired transmission / reception unit 301 that communicates with other components on the wired side, a BSS identifier storage unit 302 that stores a BSS identifier assigned to the AP 300, an unauthorized wireless station list 303 that stores information on unauthorized wireless stations, It comprises a wireless transmission / reception unit 304 that communicates with other components on the side.
  • the managed client terminal 400 has a wireless transmission / reception unit 401 that communicates with the AP, a search processing execution unit 402 that searches for a wireless LAN existing around the managed client terminal, and a reception unit that stores BSS identifier information of the search result.
  • BSS identifier list A403 frame source identifier list 404 storing frame source identifiers of search results, receiving / displaying messages notified / displayed from other components / display unit 405, the client terminal belongs to BSS identifier storage unit 406 for storing the BSS identifier of the AP to be connected, and unauthorized radio station list 407 for storing an identifier list for exclusion from the connection destination.
  • the SW 600 includes a transmitting / receiving unit 601 for communicating with other components, an arithmetic processing unit 602 for performing arithmetic processing, and a filtering identifier storage unit for storing an identifier for identifying a filtering target when performing packet filtering. It consists of 603.
  • FIG. 3 is a diagram showing a processing flow of the wireless LAN monitoring system to which the present invention is applied.
  • FIGS. 4 and 5 are diagrams showing the operation in the operation management apparatus during the processing flow.
  • Figure 6 shows the management target This is an example of a case where an AP (triangle), an unauthorized AP (star), and a terminal (square) coexist.
  • the line drawn between the terminal and the managed AP or rogue AP indicates the connection relationship between the terminal and the AP.
  • FIG. 7 (a) is a diagram showing the physical arrangement of managed APs and SWs, where the area is divided into multiple blocks (B4-1-1-B4-24), (b), (C) is a diagram showing the installation positions of the SW and the AP in block units.
  • the search processing execution unit 402 of the client terminal to be managed periodically starts information acquisition of the surrounding wireless environment via the wireless transmission / reception unit 401.
  • the information acquisition is performed by the client terminal to be managed at that time, and is performed not only for a certain frequency channel but also for other channels.
  • the managed APs and unauthorized radio stations transmit frames for management and data (701 in Fig. 3), and the managed client terminal acquires these frames, and the BSS identifiers that have acquired the frame power can be received.
  • BSS identifier list Store it in A403.
  • the BSS identifier that also obtained the frame power, the identifier of the frame transmission source device, and the information that identifies whether the frame is a frame from the terminal to the AP or a frame to the AP power terminal are included in the frame transmission source identifier Jis 404. I do.
  • the operation management apparatus acquires the BSS identifier of the AP to be managed (702 in FIG. 3, 801 in FIG. 4 (detailed description of this 801 will be described later in the embodiment section)).
  • the managed AP is shown as a regular AP, and the same applies to other figures.
  • the monitoring process execution unit 113 requests the AP described in the management target AP list (AP identifier) 106 (FIG. 8A) for the BSS identifier.
  • the AP responds the information in the BSS identifier storage unit 302 to the operation management device, and the operation management device stores the obtained information in the management target AP list (BSS identifier) 101.
  • the management target AP list (BSS identifier) may be created in advance and held by the operation management device.
  • a receivable BSS identifier is obtained (703 in FIG. 3, 802 in FIG. 4 (detailed description of this 802 will be described later in the embodiment section)).
  • the monitoring processing execution unit 113 requests the terminals described in the management target terminal list (terminal identifier) 107 for a receivable BSS identifier.
  • the management target terminal responds to the operation management device with the information of the receivable BSS identifier list A403 and the information of the belonging BSS identifier storage unit 406, and the operation management device can receive the obtained information.
  • BSS identifier list B102 (Fig. 8 (b) ).
  • the monitoring process execution unit 113 includes an unauthorized AP list, an unauthorized Ad-hoc list, and an unauthorized AP detection terminal list. (803 in FIG. 4 (detailed description of this 803 will be described later in the embodiment section)).
  • the BSS identifier in the managed AP list (BSS identifier) 101 is compared with the BSS identifier in the receivable BSS identifier list B102, and a BSS identifier that does not exist in the managed AP list (BSS identifier) 101 is extracted. If the BSS type included in the BSS identifier is AP, the unauthorized AP list 103 (Fig. 8
  • the receivable BSS identifier and the BSS identifier of the AP to which the terminal that detected the unauthorized AP belongs are stored as the unauthorized AP BSS identifier and the detected BSS identifier, respectively.
  • information on the managed terminal that detected the unauthorized AP is stored in the unauthorized AP detection terminal list 112 (FIG. 8).
  • the monitoring process execution unit 113 notifies the managed AP to which the managed terminal that has detected the unauthorized AP belongs the information described in the unauthorized AP list 103 (704 in FIG. 3, and 901 in FIG. 5).
  • the managed AP Upon receiving the notification, stores the information in the unauthorized wireless station list 303, and notifies the connected managed client terminal of the information of the unauthorized wireless station periodically or by an external instruction (705 in FIG. 3). .
  • the managed terminal displays the information of the unauthorized radio station on the message reception 'display section 405, notifies the user of the presence of the unauthorized radio station, and displays the unauthorized radio station list 407 with the unauthorized radio station. Stores station information.
  • the terminal to be managed should not be connected to a wireless station (base station or terminal) on the unauthorized wireless station list registered during the subsequent connection.
  • the monitoring process execution unit 113 sends the identifier of the source of the frame flowing to the terminal AP (using the unauthorized AP) to the managed terminals listed in the unauthorized AP detection terminal list 112 ((d) in FIG. 8).
  • Terminal identifier below, an unauthorized terminal identifier
  • the management target terminal obtains desired information from the frame transmission source identifier list 404 and responds to the operation management device.
  • the operation management device sends the acquired information to the frame It is stored in the source identifier list Bl 14 ((e) in Fig. 8).
  • the unauthorized AP BSS identifier in the frame source identifier list B114 ((e) in Fig. 8) and the unauthorized AP list ((c) in Fig. 8) are also used to determine the BSS identifier to which the managed terminal that has detected the unauthorized AP belongs. From the AP installation location list 109 ((c) in FIG. 7) and the managed AP list (BSS identifier) 101, the unauthorized user identifier and the managed AP to which the managed terminal that detected the unauthorized terminal belongs belong. Is stored in the unauthorized AP use terminal list 105 ((f) in FIG. 8).
  • the unauthorized terminal identifier is the identifier of the managed terminal from the managed terminal list 107 and stores it in the unauthorized AP using terminal list 105 ((f) in FIG. 8).
  • terminal list 105 (f) in FIG. 8).
  • R-STA-2 is a terminal to be managed.
  • the monitoring process execution unit 113 takes countermeasures against an unauthorized AP use terminal (903 in FIG. 5 (the details of this 903 will be described later in the embodiment section)). If the number of consecutive detections is less than N (N is a natural number) when an unauthorized AP user terminal is managed, a message to prohibit the use of an unauthorized AP is sent to the unauthorized AP user terminal (707 in FIG. 3). ). If the unauthorized AP-using terminal is managed and the number of consecutive detections is N or more, or if it is not managed, search for SW near the unauthorized AP-using terminal and use the unauthorized AP for this SW. The terminal identifier is notified (708 in FIG. 3).
  • B4-2 and B4-21 are acquired from the position information of the unauthorized AP use terminal list ((f) in FIG. 8), and the vicinity of the position in FIG.
  • the blocks (B4-1-3, B4-7-19, B4-14-16, B4-20-22) are located in the vicinity, and SW1,2,4,8 installed in them (the hatched area in Fig. 9) , 10, 11 powers Subject to S notification.
  • the message received by the managed terminal that has received the unauthorized AP use prohibition message is received.
  • the display unit 405 displays a message of the operation management device.
  • the SW that has received the identifier of the unauthorized AP using terminal stores the identifier in the filtering identifier storage unit 603, compares the identifier with the transmission source identifier of the frame passing through the transmission / reception unit 601 and then stores the identifier in the filtering identifier storage unit 603. If the value matches the stored value, the frame is discarded.
  • the display device 200 periodically obtains the unauthorized AP list 103, the unauthorized ad-hoc list 104, and the unauthorized AP use terminal list 105 of the operation management device (709 in FIG. 3), and displays the unauthorized radio on the display unit 201. Displays station information.
  • the display of unauthorized radio stations is classified by BSS type, and Show the BSS identifier below.
  • the identifier of the terminal using the unauthorized AP is described by further hierarchizing below the BSS identifier.
  • a symbol ( ⁇ X) for identifying whether the terminal is a monitoring target is added (Fig. 2).
  • Example 1 is an example in which a terminal detects an unauthorized radio station.
  • the configuration of the wireless LAN monitoring system and each component is as described above.
  • FIG. 3 is a diagram showing a processing flow of the wireless LAN monitoring system to which the present invention is applied. It can be divided into two independent processes: information acquisition by the managed terminal and monitoring and control based on information from the operation management device. It is possible to perform cooperative processing in which the managed terminal operates according to an instruction from the operation management device, but it is described below as an independent process.
  • FIG. 4 and FIG. 5 are diagrams showing the operation in the operation management apparatus during the processing flow.
  • Figure 6 shows an example where managed APs, rogue APs and terminals are mixed.
  • Fig. 7 (a) is a diagram showing the physical arrangement of managed APs and SWs, where the area is divided into multiple blocks (B4-1—B4-24), (b), (b) c) is a diagram showing the installation positions of the SW and the AP in block units.
  • the search processing execution unit 402 of the managed client terminal periodically starts acquiring information on the surrounding wireless environment via the wireless transmission / reception unit 401.
  • the information acquisition is performed by the client terminal to be managed at that time, and is performed not only for a certain frequency channel but also for other channels.
  • the managed APs and unauthorized radio stations transmit beacon frames, probe frames, and data frames (701 in Fig. 3), and the managed client terminals acquire these frames and can receive the BSSID acquired from the frames.
  • BSS identifier list Store it in A403.
  • the area and the “From DS” area are stored in the frame source identifier list 404.
  • the operation management device first obtains the BSSID of the managed AP (702 in FIG. 3, 801 in FIG. 4).
  • the monitoring processing execution unit 113 manages the management target AP list (AP identifier) 106 It requests the BSSID for the IP address of the target AP (8011 in Fig. 4).
  • the managed AP responds to the operation management device with the BSSID stored in the BSS identifier storage unit 302, and the operation management device stores the obtained BSSID in the managed AP list (BSS identifier) 101 (8012 in FIG. 4).
  • the management target AP list (BSS identifier) may be created in advance and held by the operation management device.
  • a receivable BSSID is obtained (703 in FIG. 3, 802 in FIG. 4).
  • the monitoring process execution unit 113 requests the receivable BSSID for the managed terminal described in the managed terminal list (terminal identifier) 107.
  • the managed terminal responds to the operation management device with the B SSID of the BSS identifier list A403 and the BSSID of the belonging BSS identifier storage unit 406 (8021 in Fig. 4), and the operation management device can receive the two acquired BSSIDs. Stored in identifier list B102 (8022 in Fig. 4).
  • the monitoring process execution unit 113 creates an unauthorized AP list, an unauthorized Ad-hoc list, and an unauthorized AP detection terminal list (803 in FIG. 4).
  • the BSSID of the management target AP list (BSS identifier) 101 is compared with the receivable BSSID described in the BSS identifier list B102 (8031 in Fig. 4), and it does not exist in the management target AP list (BSS identifier) 101! Extract the BSSID (8032 in Fig. 4).
  • the "universal / local,” bit (IEEE802 standard) included in this BSSID is 0 ("AP" of 8033 in Fig. 4)
  • the BSSID of the unauthorized AP and the unauthorized AP are listed in the unauthorized AP list 103.
  • the BSSID of the AP to which the detected managed terminal belongs is stored (8034, 8035 in Fig. 4)
  • "universal / local ', bit is 1 (" adhoc "in 8033 in Fig. 4)
  • an illegal Ad -Store the receivable BSSID and the BSSID of the AP to which the managed terminal that detected the unauthorized Ad-hoc belongs in the hoc list 104 8036 in Fig. 4).
  • the above four cases are (1) a case where a managed terminal is connected to a managed AP, (2) a case where a managed terminal is connected to a rogue AP, and (3) a case where a rogue AP is connected.
  • Unauthorized terminal (4) A case where an unauthorized terminal is connected to the managed AP.
  • the monitoring process execution unit 113 notifies the AP to which the managed terminal that has detected the unauthorized AP belongs, the BSSID of the unauthorized AP described in the unauthorized AP list 103 (704 in FIG. 3, 901 and 9 in FIG. 5). 011).
  • the managed AP that has received the notification stores the BSSID of the unauthorized AP in the unauthorized wireless station list 303, and notifies the connected managed client terminal of the BSSID of the unauthorized AP periodically or by an external instruction (see FIG. 3 of 705).
  • the notified terminal receives the message.Displays the BSSID of the unauthorized AP on the display unit 405, notifies the user of the presence of the unauthorized AP, and stores the BSSID of the unauthorized AP in the unauthorized wireless station list 407. .
  • the managed terminal shall not connect to the wireless station on the registered unauthorized wireless station list during the subsequent connection.
  • a frame transmission source identifier is obtained (706 in FIG. 3, 902 in FIG. 5).
  • the monitoring processing execution unit 113 checks the source MAC address of the frame flowing from the terminal to the AP (for the unauthorized AP) for the managed terminal listed in the unauthorized AP detection terminal list 112 ((d) in FIG. 8).
  • Request the MAC address of the terminal using V The following is the MAC address of the unauthorized terminal.
  • the managed terminal obtains the “To DS,” the source MAC address of the frame whose area value is 1 from the frame source identifier list 404, and responds to the operation management device.
  • the operation management apparatus stores the obtained MAC address in the frame transmission source identifier list B114 (9021 in FIG. 5). Unauthorized AP B SSID in frame source identifier list B114 ((e) in Fig. 8) and Unauthorized AP list ((c) in Fig. 8) also acquire the BSSID of the managed terminal that detected the unauthorized AP, and installed the AP. From the location list 109 ((c) in Fig. 7) and the managed AP list (BSS identifier) 101, the relationship between the MAC address of the unauthorized terminal and the location of the AP to which the managed terminal that detected the unauthorized terminal belongs is illegal. It is stored in the AP use terminal list 105 ((f) in Fig. 8) (9022 in Fig.
  • the monitoring processing execution unit 113 takes countermeasures against the unauthorized AP using terminal (903 in FIG. 5). If the unauthorized AP-using terminal is managed ("Yes" in 9031 of Fig. 5: case (2)), if the number of consecutive detections is less than N, the unauthorized AP-using terminal is unauthorized. Notify the AP use prohibition message (707 in Fig. 3, 9032, 9033 in Fig. 5).
  • the SW near the unauthorized AP-using terminal is searched. (9034 in FIG. 5), and notifies the SW of the MAC address of the unauthorized AP using terminal (708 in FIG. 3) (9035 in FIG. 5).
  • B4-2 and B4-21 are acquired from the position information of the unauthorized AP use terminal list ((f) in FIG. 8), and in FIG. Blocks (B4-1-3, B4-7-19, B4-14-16, B4-20-22) are in the vicinity, and SW1,2,4 installed in them (the mesh part in Fig. 9) 8, 10, 11 powers Subject to S notification.
  • the message reception / display unit 405 of the managed terminal that has received the unauthorized AP use prohibition message displays the message of the operation management device.
  • the SW that has received the MAC address of the terminal using the unauthorized AP stores the MAC address in the filtering identifier storage unit 603, and thereafter compares the MAC address with the source MAC address of the frame passing through the transmission / reception unit 601 to determine the filtering identifier. If the value matches the value stored in the storage unit 603, the frame is discarded.
  • the display device 200 periodically obtains the unauthorized AP list 103, the unauthorized ad-hoc list 104, and the unauthorized AP use terminal list 105 of the operation management device (709 in FIG. 3), and displays the unauthorized radio on the display unit 201. Displays the station's BSSID. Unauthorized radio stations are classified by BSS type, and the BSSID is displayed under each type. In the case of an AP, the MAC address of the terminal using the unauthorized AP is described by hierarchizing under the BSSID. At this time, a symbol ( ⁇ X) for identifying whether the terminal is a monitoring target is added (Fig. 2).
  • the above-mentioned management target AP can be determined by using the BSSID, which is a unique identifier.
  • BSSID which is a unique identifier.
  • an unauthorized AP or a terminal cannot be specified. Therefore, it is difficult to prevent information leakage corresponding to each of the above (1) and (4), and the method using the SSID in Patent Document 1 is not practical.
  • the BSSID is acquired as the information of the unauthorized radio station, and is displayed on the display device and notified to the management target AP.
  • the SSID is also acquired along with the BSSID, displayed, and notified. Is also good.
  • the operation management device may directly notify the managed terminal.
  • the detection result is displayed on the display device.
  • the communication means may be, for example, a telephone or an e-mail.
  • a part of processing such as detection of an unauthorized radio station, notification of a detected result, and control based on the detected result is performed. It may be a system that executes only. Further, a function that can selectively execute some or all of the processes according to the user's settings may be provided.
  • FIG. 10 is a diagram showing a processing flow of the present embodiment. The difference from the processing flow of the first embodiment is that acquisition of a receivable BSS identifier (710 in FIG. 10) and acquisition of a frame transmission source identifier (711 in FIG. 10) are performed between the operation management device and the managed AP. This is the point.
  • FIG. 11 is a diagram showing functional blocks related to Embodiment 3 of each component of the wireless LAN monitoring system.
  • the search processing execution unit 402 the receivable BSS identifier list A and the frame source identifier list 404 that existed in the managed terminal become unnecessary, and the managed AP
  • FIGS. 12 and 13 are diagrams showing the operation of the operation management device during the processing flow, and the same parts as in FIGS. 4 and 5 are denoted by the same reference numerals.
  • the differences from the first embodiment are 804 and 803 in FIG. 12 and 905 in FIG. 804 in Fig. 12 requests the receivable BSSID and the BSSID of the AP for all IP addresses of the managed APs listed in the managed AP list (8041 in Fig. 12), and can receive the acquired BSSID Output to BSS identifier list B102 (8042 in Fig. 12).
  • Reference numeral 803 in Fig. 12 compares the BSSID of the receivable BSS identifier list B with the list of managed APs (BSS identifiers). If the BSS type is determined to be AP (8033 in Fig. 12), the BSSID is written to the rogue AP (8034 in Fig. 12), and the rogue AP is detected in the rogue AP detection AP list. Write down the BSSID of the AP (8037 in Figure 12).
  • FIG. 14 is an example of a receivable BSS identifier list B and an unauthorized AP detection AP list.
  • FIG. 13 shows the operation of the information leakage prevention processing in this embodiment, which is the same as FIG. 5, but different points will be described.
  • the operation management device notifies the managed AP of the BSSID of the unauthorized AP (904 in Fig. 13).
  • the AP also acquires the frame source identifier (9051 in FIG. 13), and acquires the AP position from the BSSID of the AP and the AP installation position list (9052 in FIG. 13).
  • the source identifier, the position of the detected AP, and the registered force are written out (9054 in Fig. 13). Processing 903 is the same as that of FIG.
  • FIG. 15 is a diagram showing functional blocks related to Embodiment 4 of each component of the wireless LAN monitoring system.
  • the functional block difference from the first embodiment is that a campaign ID list 116 is added to the operation management device.
  • Figure 16 shows an example of a Campaign ID list.
  • the Campaign ID is a 3-byte hexadecimal value
  • the organization name is a character string representing the manufacturer.
  • the display device 200 acquires a power company ID list from the operation management device in addition to the unauthorized AP list and the unauthorized ad-hoc list. Since the first three bytes of the BSSID are a Campaign ID, an entry that matches the first three bytes of the BSSID of the obtained unauthorized AP list is searched from the Campaign ID list. Add the vendor name obtained by searching when displaying the rogue AP after the BSSID.
  • the BSSID of the rogue AP displayed in Fig. 15 is 01: 23: 45: 67: 89: ab,
  • the manufacturer of each rogue AP is determined to be compnayl, company2, and company3 using each company ID as a key, and the organization name is displayed on the display.
  • the correspondence between the BSSID and the organization name is described as being performed in the display device, it may be performed on the operation management device side.
  • FIG. 17 is a diagram depicting a processing flow of the fifth embodiment.
  • the difference from the processing flow of the first embodiment is that the acquisition of the frame source identifier performed between the operation management device and the managed terminal 706, the unauthorized operation performed between the operation management device and the managed terminal connected to the unauthorized AP Radio service Notification 707 of the use prohibition message and notification 708 of the unauthorized terminal identifier performed between the operation management device and the SW were deleted, and notification of the unauthorized radio station SSID713 performed between the operation management device and the managed AP was added. It was done.
  • FIG. 18 is a diagram showing functional blocks related to Embodiment 4 of each component of the wireless LAN monitoring system.
  • the difference between the first embodiment and the first embodiment is that the frame source identifier list of the managed terminal is unnecessary, and that the receivable BSS identifier list A403 of the managed terminal includes an invalid BSSID in addition to the receivable BSSID.
  • the SSID of the wireless station is also stored.
  • the SSID of the unauthorized wireless station is stored in the receivable BSS identifier list B of the operation management device ( Figure 19).
  • the SSID of the unauthorized wireless station is stored in the managed AP. This is the point that the unauthorized radio station SSID storage unit 309 and the filtering identifier storage unit 308 that stores the MAC address of the unmanaged terminal connected using the SSID stored in the unauthorized radio station SSID storage unit were added. .
  • FIG. 20 and FIG. 21 are diagrams showing the operation of the operation management apparatus during the processing flow.
  • the same parts as those in FIG. 4 are denoted by the same reference numerals.
  • the difference from the first embodiment is that the processes 805 and 906 in FIG. 20 and 906 in FIG. 21 have been changed in additional weight, and 902 and 903 in FIG. 5 have been deleted.
  • the operation management device acquires the SSID in addition to the receivable BSSID (8051 in FIG. 20) and stores it in the receivable BSS identifier list B (8052 in FIG. 20).
  • the operation management device notifies the managed terminal to which the managed terminal that has detected the rogue AP belongs to the SSID of the rogue AP that has been detected by the terminal connected to the managed AP (see FIG. 20, 9061, 9062).
  • a terminal that intends to use a wireless LAN generally searches the surrounding area to obtain a receivable SSID, and attempts to connect to a wireless LAN of a desired SSID. Therefore, unauthorized entry into a wired network using an unauthorized AP involves installing an unauthorized AP, connecting to the unauthorized AP, and entering the wired network.
  • the operation management device also acquires the SSID of the rogue AP (712 in Fig. 17) and sets the acquired SSID of the rogue AP as the management target AP (713 in Fig. 17; Fig. 21). Of 9 062). Since the managed AP transmits the SSID in a beacon, an environment is created in which there are multiple APs with different BSSIDs but the same SSID, and it is possible to connect to rogue APs. The frequency with which a terminal trying to connect to a rogue AP decreases. In some cases, the terminal is connected to the managed AP, in which case the communication between the terminal and the wired network is cut off.
  • an access point that spoofed an SS identifier or an access point that conceals an SS identifier can be obtained. It can be detected and displayed as an unauthorized radio station.
  • the targets to be searched can be narrowed down, and the search for and removal of the unauthorized radio stations can be improved.
  • the information is leaked by accessing the wired network via the unauthorized AP Security can be improved.
  • an operation procedure can be stored in a recording medium in advance as a program, and can be read and executed by a computer.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Small-Scale Networks (AREA)

Abstract

　管理対象の無線局３００，４００は、複数の周波数チャネルにわたり無線空間を検索し、空間を伝搬しているフレームから固有ＩＤであるＢＳＳ識別子とフレーム送信元識別子とを取得する。運用管理装置１００はこれら取得されたＢＳＳ識別子とフレーム送信元識別子を得て、登録されたＢＳＳ識別子と比較し不正無線局５００を検出すると共に、その種別や製造元をも判定する。更に、運用管理装置１００は、この不正無線局の存在を管理対象無線局すなわち正規基地局３００、正規端末４００、スイッチ装置６００などへ通知し、不正無線局５００からのフレーム破棄や通信切断などを指示して、不正無線局との通信不能の対策を可能とする。

Description

明 細 書
不正無線局検出システム、それに用いる装置及びその方法
技術分野
[0001] 本発明は不正無線局検出システム及びそれに用いる運用管理装置、無線基地局 、無線通信端末並びにその方法に関し、特に無線 LANシステムを利用する環境に おいて出現する無線局の監視及び該無線局からの情報漏洩の防止方法に関するも のである。
背景技術
[0002] 無線 LANシステムにおいて、不正アクセスポイント (AP)の検出に関しては、特許 文献 1において、ネットワークセキュリティシステム、コンピュータ装置、アクセスポイン トの認識処理方法、アクセスポイントのチェック方法、プログラム、記憶媒体及び無線 LAN用デバイスに関する技術が開示されている。
[0003] 開示された発明の説明の前に、識別子として使用されている SSIDについて説明す る。無線 LAN (IEEE802.il)では、互いに通信する端末、基地局のグループを基本 サービスセット（Basic Service Set )と呼び、そのグループの識別子を BSSIDと呼ぶ。 基地局と端末が通信するモードでは基地局の物理アドレス（MAC (Media Access Control)アドレス）が使用される。端末同士が通信するモード（アドホックモード)では 端末が割り振る任意の値 (各端末で割り振るため厳密には一意性は保証されな 、） である。また、 1つ以上の BSSから構成されるグループ (無線 LANシステム）を拡張 サービスセット（ESS)と呼び、このグループの識別子を SSIDと呼ぶ。
[0004] 開示された発明においては、図 1の無線 LANシステムにおいて、正規 (管理対象） 無線 LANクライアントがスキャン処理を実行することにより、周囲のアクセスポイント（ 以下 AP)のパケットから無線 LANの識別子（SSID: Service Set ID)を抽出し、 SSID 力も構成される AP検出リストを作成する。次に、予め登録された AP許可リストと比較 して、登録されていない SSIDが存在した場合には、不正な APが存在すると判断さ れ、不正 APが存在する位置を通知することにより、その不正な APを撤去することが 可能になる。また、不正 APを検出した場合にルータを操作して不正 APとのデータの 送受信を禁止する。
特許文献 1 :特開 2003— 198571号公報
発明の開示
発明が解決しょうとする課題
[0005] し力しながら、開示されて 、る発明には以下の課題がある。第一の課題は、不正 A Pの識別子として一意ではな 、無線 LANシステムの識別子を用いて 、ることである。 具体的には、無線 LANシステムの識別子（SSID:Service Set ID )は、無線 LANシ ステム構築時に設定される識別子であり、ユーザが容易に変更可能な値であるため
、 SSIDを登録済み SSIDと詐称する不正な APは検出できないという問題がある。
[0006] また、前述の通り、無線 LAN基地局（AP)に対して、同一の無線 LANシステムの 識別子（SSID)が割当可能であるため、 SSIDを用いて不正 APの探査を行うと、不 正な APの数が単一である力複数であるかを識別することができず、撤去作業を行う 管理者が探査 ·撤去する不正 APの数を判断できな ヽと ヽぅ問題がある。
[0007] 第二の課題は、無線 LANシステムの識別子（SSID)のみで不正 APを検出して!/ヽ ることである。具体的には、無線 LANシステムの識別子（SSID)を出力する機器は、 インフラストラクチャモードで動作する無線 LAN基地局 (AP)、アドホックモードで動 作する無線 LANクライアントがあるが、開示された発明では、これらを区別していな V、ため無線 LAN基地局（AP)と無線 LANクライアントの両方を不正無線局の候補と して探査する必要があり、探査効率が悪 、と 、う問題がある。
[0008] 第三の課題は、 SSIDの秘匿機能を備えた無線 LAN機器が巿場に存在するため、 不正な基地局 (AP)がその機能を利用して 、る場合にそれを検出できな 、ことである 。第四の課題は、不正な基地局 (AP)とのデータの送受信を禁止する具体的な記載 がないことである。
[0009] 本発明は上記課題を解決するためになされたものであって、不正無線局の存在を 検出 ·通知し、該不正無線局力 の情報漏洩を防止することによるセキュリティの向 上と、当該セキュリティ管理作業の効率化とを実現する不正無線局検出システム及び それに用いる運用管理装置、無線基地局、無線通信端末並びにその方法を提供す ることである。 課題を解決するための手段
[0010] 上記課題を解決する第 1の発明は、固有識別子を有する管理対象無線基地局を 含む無線通信システムであって、無線フレームに含まれる前記固有識別子に基づい て不正無線局の有無を検出する不正無線局検出手段を含むことを特徴とする。
[0011] 上記課題を解決する第 2の発明は、上記第 1の発明において、前記不正無線局検 出手段は、前記固有識別子と予め登録されている固有識別子とを比較する比較手 段と、この比較結果に基づ!、て前記不正無線局の判定をなす手段とを有することを 特徴とする。
[0012] 上記課題を解決する第 3の発明は、上記第 1又は第 2の発明において、前記固有 識別子は、互いに通信する無線通信端末、無線基地局のグループを基本サービス セットとしたとき、この基本サービスセット識別のための識別子 (BSS識別子)であるこ とを特徴とする。
[0013] 上記課題を解決する第 4の発明は、上記第 3の発明において、前記不正無線局検 出手段は、前記 BSS識別子から前記不正無線局の種別を判定する手段を更に有す ることを特徴とする。
[0014] 上記課題を解決する第 5の発明は、上記第 3又は第 4の発明において、前記不正 無線局検出手段は、前記 BSS識別子から前記不正無線局の製造元を判定する手 段を、更に有することを特徴とする。
[0015] 上記課題を解決する第 6の発明は、上記第 1から第 5のいずれかの発明において、 システムによって管理され、無線フレームを取得して前記固有識別子を得る手段を有 する管理対象無線基地局を含み、前記不正無線局検出手段は、前記管理対象無線 基地局から前記固有識別子を得る手段を更に有することを特徴とする。
[0016] 上記課題を解決する第 7の発明は、上記第 1から第 5のいずれかの発明において、 システムによって管理され、無線フレームを取得して前記固有識別子を得る手段を有 する管理対象無線通信端末を含み、前記不正無線局検出手段は、前記管理対象無 線通信端末から前記固有識別子を得る手段を更に有することを特徴とする。
[0017] 上記課題を解決する第 8の発明は、上記第 1から第 6のいずれかの発明において、 前記不正無線局検出手段は、前記不正無線局に接続された管理対象無線通信端 末に対して前記不正無線局の利用を禁止する旨の通知をなす手段を、更に有するこ とを特徴とする。
[0018] 上記課題を解決する第 9の発明は、上記第 1から第 6のいずれかの発明において、 スィッチ装置を更に含み、前記不正無線局検出手段は、前記不正無線局に接続さ れた不正無線通信端末のアドレスを検出して、前記スィッチ装置に対して前記アドレ スを通知する手段を更に有し、前記スィッチ装置は、前記アドレスを含む無線フレー ムの廃棄をなす手段を有することを特徴とする。
[0019] 上記課題を解決する第 10の発明は、上記第 1から第 6のいずれかの発明において 、前記不正無線局検出手段は、前記管理対象無線基地局に対して前記不正無線通 信端末を通知し、また前記管理対象無線基地局に接続された管理対象無線通信端 末に対して前記不正無線局を通知する手段を更に有することを特徴とする。
[0020] 上記課題を解決する第 11の発明は、上記第 1から第 6のいずれかの発明において 、前記不正無線局検出手段は、前記管理対象無線基地局に接続された不正無線通 信端末の通信を不能とするよう制御する手段を更に有することを特徴とする。
[0021] 上記課題を解決する第 12の発明は、上記第 1から第 6のいずれかの発明において 、前記不正無線局検出手段は、前記不正無線局の周囲の管理対象無線基地局に 対して、前記無線フレーム力 取得された前記不正無線局のサービスセット識別のた めの識別子 (SS識別子)を通知する手段を更に有し、前記 SS識別子の通知を受け た管理対象無線基地局は、前記 SS識別子と同一の値を使用して接続した無線通信 端末からの無線フレームを受信した場合、この無線フレームを破棄する手段を有する ことを特徴とする。
[0022] 上記課題を解決する第 13の発明は、固有識別子を有する管理対象無線基地局を 含む無線通信システムにおける運用管理装置であって、無線フレームに含まれる固 有識別子に基づいて不正無線局の有無を検出する不正無線局検出手段を含むこと を特徴とする。
[0023] 上記課題を解決する第 14の発明は、上記第 13の発明において、前記不正無線局 検出手段は、前記固有識別子と予め登録されている固有識別子とを比較する比較 手段と、この比較結果に基づ 、て前記不正無線局の判定をなす手段とを有すること を特徴とする。
[0024] 上記課題を解決する第 15の発明は、上記第 13又は第 14の発明において、前記 固有識別子は、互いに通信する無線通信端末、無線基地局のグループを基本サー ビスセットとしたとき、この基本サービスセット識別のための識別子 (BSS識別子)であ ることを特徴とする。
[0025] 上記課題を解決する第 16の発明は、上記第 15の発明において、前記 BSS識別子 から前記不正無線局の種別を判定する手段を更に含むことを特徴とする。
[0026] 上記課題を解決する第 17の発明は、上記第 15又は第 16の発明において、前記 B SS識別子から前記不正無線局の製造元を判定する手段を更に含むことを特徴とす る。
[0027] 上記課題を解決する第 18の発明は、上記第 13から第 17のいずれかの発明にお いて、システムによって管理され無線フレームを取得して前記固有識別子を得るよう にした管理対象無線基地局力 前記固有識別子を得る手段を更に含むことを特徴と する。
[0028] 上記課題を解決する第 19の発明は、上記第 13から第 17のいずれかの発明にお いて、システムによって管理され無線フレームを取得して前記固有識別子を得るよう にした管理対象無線通信端末から前記固有識別子を得る手段を更に含むことを特 徴とする。
[0029] 上記課題を解決する第 20の発明は、上記第 13から第 18のいずれかの発明にお いて、前記不正無線局に接続された管理対象無線通信端末に対して前記不正無線 局の利用を禁止する旨の通知をなす手段を更に含むことを特徴とする。
[0030] 上記課題を解決する第 21の発明は、上記第 13から第 18のいずれかの発明にお いて、前記不正無線局に接続された不正無線通信端末のアドレスを検出して、前記 スィッチ装置に対して前記アドレスを通知する手段を更に含むことを特徴とする。
[0031] 上記課題を解決する第 22の発明は、上記第 13から第 18のいずれかの発明にお いて、前記管理対象無線基地局に対して前記不正無線通信端末を通知し、また前 記管理対象無線基地局に接続された管理対象無線通信端末に対して前記不正無 線局を通知する手段を更に含むことを特徴とする。 [0032] 上記課題を解決する第 23の発明は、上記第 13から第 18のいずれかの発明にお いて、前記管理対象無線基地局に接続された不正無線通信端末の通信を不能とす るよう制御する手段を更に含むことを特徴とする。
[0033] 上記課題を解決する第 24の発明は、上記第 13から第 18のいずれかの発明にお いて、前記不正無線局の周囲の管理対象無線基地局に対して、前記無線フレーム 力 取得された前記不正無線局のサービスセット識別のための識別子 (SS識別子） を通知する手段を、更に含むことを特徴とする。
[0034] 上記課題を解決する第 25の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線基 地局であって、無線フレームから前記固有識別子を取得する手段と、前記固有識別 子を、不正無線局の有無検出のために前記運用管理装置へ通知する手段とを含む ことを特徴とする。
[0035] 上記課題を解決する第 26の発明は、上記第 25の発明において、前記運用管理装 置から不正無線通信端末の通知を受けて、前記不正無線通信端末の通信を不能と する手段を更に含むことを特徴とする。
[0036] 上記課題を解決する第 27の発明は、上記第 25又は第 26の発明において、前記 運用管理装置力 前記不正無線局のサービスセット識別のための識別子 (SS識別 子)の通知を受け、前記 SS識別子と同一の値を使用して接続した無線通信端末から の無線フレームを受信した場合、この無線フレームを破棄する手段を更に含むことを 特徴とする。
[0037] 上記課題を解決する第 28の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線通 信端末であって、無線フレームから前記固有識別子を取得する手段と、前記固有識 別子を、不正無線局の有無検出のために前記運用管理装置へ通知する手段とを含 むことを特徴とする。
[0038] 上記課題を解決する第 29の発明は、上記第 28の発明において、前記運用管理装 置から通知された前記不正無線局の利用を禁止する手段を更に含むことを特徴とす る。 [0039] 上記課題を解決する第 30の発明は、固有識別子を有する管理対象無線基地局を 含む無線通信システムにおける不正無線局検出方法であって、無線フレームに含ま れる固有識別子に基づいて不正無線局の有無を検出するステップを含むことを特徴 とする。
[0040] 上記課題を解決する第 31の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線基 地局の動作制御方法であって、無線フレーム力 前記固有識別子を取得するステツ プと、前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通 知するステップとを含むことを特徴とする。
[0041] 上記課題を解決する第 32の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線通 信端末の動作制御方法であって、無線フレーム力 前記固有識別子を取得するステ ップと、前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ 通知するステップとを含むことを特徴とする。
[0042] 上記課題を解決する第 33の発明は、固有識別子を有する管理対象無線基地局を 含む無線通信システムにおける不正無線局検出方法をコンピュータに実行させるた めのプログラムであって、無線フレームに含まれる固有識別子に基づいて不正無線 局の有無を検出する処理を含むことを特徴とする。
[0043] 上記課題を解決する第 34の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線基 地局の動作制御方法をコンピュータに実行させるためのプログラムであって、無線フ レーム力 前記固有識別子を取得する処理と、前記固有識別子を、不正無線局の有 無検出のために前記運用管理装置へ通知する処理とを含むことを特徴とする。
[0044] 上記課題を解決する第 35の発明は、固有識別子を有する管理対象無線基地局と 、システムを運用管理する運用管理装置とを含む無線通信システムにおける無線通 信端末の動作制御方法をコンピュータに実行させるためのプログラムであって、無線 フレームから前記固有識別子を取得する処理と、前記固有識別子を、不正無線局の 有無検出のために前記運用管理装置へ通知する処理とを含むことを特徴とする。 [0045] 本発明の作用を述べる。管理対象の無線局が、複数の周波数チャネルにわたり無 線空間を検索し、空間を伝搬しているフレーム力も各基地局に固有の IDである BSS 識別子とフレーム送信元識別子とを取得し、運用管理装置はこれら取得された BSS 識別子と管理対象の基地局として登録された基地局の BSS識別子とを比較すること で、不正無線局を検出する。また、取得されたフレーム送信元識別子を用いてその 種別や製造元をも判定する。更に、運用管理装置は、この不正無線局の存在を管理 対象 (正規)無線基地局、管理対象端末、スィッチ装置などへ通知し、不正無線局か らのフレーム破棄や通信切断などを指示して、不正無線局との通信不能の対策を可 能とする。
発明の効果
[0046] 本発明の監視システムによれば、不正無線局が無線空間に送出するフレームから 、各無線局の固有の識別子である BSS識別子を取得し、この BSS識別子に基づい て不正無線局を特定しているので、不正ユーザ等による詐称等を許さず、不正な基 地局を検出することが可能となる。また、 BSS識別子の一部から該不正無線局の製 造元を示す組織名を判定し、該組織名を判定しているので、不正無線局を絞り込ん で力 探査することが可能になる。
[0047] また、不正無線局に接続している端末のフレーム送信元識別子を取得し、該フレー ム送信元識別子を有線 LANスィッチに設定し、該有線 LANスィッチを経由するフレ ームの送信元識別子が一致した場合にはフレームを破棄することにより不正無線局 に接続している端末と有線網内のノードとの通信を阻害することが可能になる。 図面の簡単な説明
[0048] [図 1]本発明が適用される無線 LAN監視システムである。
[図 2]実施例 1, 2の無線 LAN監視システムの各構成要素の機能ブロックである。
[図 3]実施例 1, 2の無線 LAN監視システムの処理フローである。
[図 4]実施例 1, 2の無線 LAN監視システムの処理フローにおける運用管理装置の 処理フローである。
[図 5]実施例 1, 2の無線 LAN監視システムの処理フローにおける運用管理装置の 処理フローである。 [図 6]管理対象 AP、不正 APと端末の接続'設置を示す例である。
[図 7]管理対象 APと SWの設置位置を示す例である。
[図 8]運用管理装置が保持する各種情報リストの例である。
[図 9]管理対象 APと SWの設置位置と不正 APの近傍を示す例である。
[図 10]実施例 3の無線 LAN監視システムの処理フローである。
[図 11]実施例 3の無線 LAN監視システムの各構成要素の機能ブロックである。
[図 12]実施例 3の無線 LAN監視システムの処理フローにおける運用管理装置の処 理フローである。
[図 13]実施例 3の無線 LAN監視システムの処理フローにおける運用管理装置の処 理フローである。
[図 14]実施例 3の運用管理装置が保持する各種情報リストの例である。
[図 15]実施例 4の無線 LAN監視システムの各構成要素の機能ブロックである。
[図 16]実施例 4の運用管理装置に保持されるカンパ-一 IDリストの例である。
[図 17]実施例 5の無線 LAN監視システムの処理フローである。
[図 18]実施例 5の無線 LAN監視システムの各構成要素の機能ブロックである。
[図 19]実施例 5の運用管理装置に保持される受信可能 BSS識別子リスト Bの例であ る。
[図 20]実施例 5の無線 LAN監視システムの処理フローにおける運用管理装置の処 理フローである。
[図 21]実施例 5の無線 LAN監視システムの処理フローにおける運用管理装置の処 理フローである。 符号の説明
100 無線 LAN運用管理装置
101 管理対象 APリスト (BSS識別子）
102 受信可能 BSS識別子リスト
103 不正 APリスト
104 不正 ad- hocリスト
105 不正 AP利用端末リスト 106 管理対象 APリスト (AP識別子）
107 管理対象端末リスト (端末識別子）
108 演算処理部
109 AP設置位置リスト
110 SW設置位置リスト
111 送受信部
112 不正 AP検出端末リスト
113 監視処理実行部
114 フレーム送信元識別子リスト
115 不正 AP検出 APリスト
116 カンパニー IDリスト
200 表示装置
201 表示部
202 送受信部
300 管理対象無線 LANアクセスポイント
301 有線送受信部
302 BSS識別子格納部
303 不正無線局リスト
304 無線送受信部
305 フレーム送信元識別子リスト
306 受信可能 BSS識別子リスト
307 検索処理実行部
308 フィルタリング識別子格納部
309 不正無線局 SSID格納部
400 管理対象無線 LANクライアント端末
401 無線送受信部
402 検索処理実行部
403 受信可能 BSS識別子リスト 404 フレーム送信元識別子リスト
405 メッセージ受信 ·表示部
406 所属 BSS識別子格納部
407 受信可能 BSS識別子リスト
500 不正無線局
501 アドホック網を構成する無線 LANクライアント端末
502 アドホック網を構成する無線 LANクライアント端末
503 不正無線 LANアクセスポイント (インフラモード）
504 不正無線 LAN端末 (アドホックモード）
600 有線 LANスィッチ
601 送受信部
602 演算処理部
603 フィルタリング識別子格納部
発明を実施するための最良の形態
[0050] 次に、本発明の実施の形態について図面を参照して詳細に説明する。図 1は本発 明が適用される無線 LAN監視システムの構成を示す図である。無線 LANの運用管 理を行う運用管理装置 100、運用管理情報を表示する表示装置 200、管理対象の A P300 (アクセスポイントであり、無線基地局）、管理対象の無線通信端末 (以下、単に 端末と称す) 400、 APと有線網を接続するスィッチ（SW) 600、管理対象外の不正 無線局 500から構成される。不正無線局 500は、管理対象クライアント端末同士 501 , 502が接続されたアドホック網、インフラストラクチャモードで動作する管理対象外 の AP503 (以降不正 APと称す）、アドホックモードで動作する有線網に接続された 端末 504の!、ずれか、あるいは組み合わせで存在する。
[0051] 図 2は無線 LAN監視システムの各構成要素の本発明に関連する機能ブロックを示 した図である。運用管理装置 100は、管理対象 APの個々の無線インタフェースを識 別するための情報を格納する管理対象 APリスト (BSS識別子） 101、管理対象外端 末から取得した受信可能 BSS識別子を格納する受信可能 BSS識別子リスト B102、 不正 APの情報を格納する不正 APリスト 103、不正 ad-hocの情報を格納する不正 ad-hocリスト 104、不正 APを利用して ヽる端末の情報を格納する不正 AP利用端末リ スト 105、不正 APを検出した端末の情報を格納する不正 AP検出端末リスト 112、管 理対象 APを識別するための情報を格納する管理対象 APリスト (AP識別子） 106、 管理対象端末を識別するための情報を格納する管理対象端末リスト (端末識別子） 1 07、演算処理を行う演算処理部 108、 APの設置位置情報を格納する AP設置位置 リスト 109、 SWの設置位置情報を格納する SW設置位置リスト 110、他の構成要素と 通信する送受信部 111、監視の制御を行う監視処理実行部 113、端末力ゝらのフレー ム送信元識別子情報を格納するフレーム送信元識別子リスト B114から構成される。
[0052] 表示装置 200は、運用管理情報を表示する表示部 201と他の構成要素と通信する 送受信部 202から構成される。 AP300は有線側の他の構成要素と通信する有線送 受信部 301、該 AP300に割り当てられた BSS識別子を格納する BSS識別子格納部 302、不正無線局の情報を格納する不正無線局リスト 303、無線側の他の構成要素 と通信する無線送受信部 304から構成される。
[0053] 管理対象クライアント端末 400は APと通信する無線送受信部 401、管理対象クライ アント端末の周囲に存在する無線 LANを検索する検索処理実行部 402、検索結果 の BSS識別子情報を格納する受信可能 BSS識別子リスト A403、検索結果のフレー ム送信元識別子を格納するフレーム送信元識別子リスト 404、他の構成要素から通 知されるメッセージを受信 ·表示するメッセージ受信 ·表示部 405、該クライアント端末 が所属する APの BSS識別子を格納する所属 BSS識別子格納部 406、接続先から 除外するための識別子リストが格納される不正無線局リスト 407から構成される。
[0054] SW600は他の構成要素と通信する送受信部 601、演算処理を行う演算処理部 60 2、パケットフィルタリングを行う際にフィルタリング対象を識別するための識別子を格 納するフィルタイリング識別子格納部 603から構成される。
[0055] 図 3は本発明が適用される無線 LAN監視システムの処理フローを示した図である。
管理対象端末による情報取得処理と運用管理装置による情報に基づく監視，制御処 理の 2つの独立した処理に分けられる。運用管理装置からの指示で管理対象端末が 動作する連携処理も可能であるが、以下では独立した処理として説明する。また、図 4、図 5は処理フロー中の運用管理装置内の動作を示した図である。図 6は管理対象 AP (三角印）と不正 AP (星印）と端末 (方形印）とが混在する場合の例である。端末と 管理対象 APあるいは不正 APとの間に引かれた線は、端末と AP間の接続関係を表 している。図 7 (a)は、管理対象 APと SWの物理的配置を表した図であり、領域を複 数のブロック（B4—1— B4— 24)に分けて示している例、（b)、 （c)がそれぞれ SW、A Pの設置位置をブロック単位で示した図である。
[0056] 管理対象クライアント端末の検索処理実行部 402は、定期的に無線送受信部 401 を通じて、周囲の無線環境の情報取得を起動する。情報取得はその時点で管理対 象クライアント端末が使用して 、る周波数チャネルだけでなぐ他のチャネルに対して も行う。管理対象 APや不正無線局は管理用やデータのフレームを送信（図 3の 701 )しており、管理対象クライアント端末はこれらフレームを取得し、フレーム力も取得し た BSS識別子は受信可能 BSS識別子リスト A403に格納する。フレーム力も取得し た BSS識別子とそのフレーム送信元装置の識別子とそのフレームが端末から APへ のフレームか、 AP力 端末へのフレームかを識別する情報をフレーム送信元識別子 ジス卜 404に格糸内する。
[0057] 運用管理装置は、管理対象 APの BSS識別子の取得（図 3の 702、図 4の 801 (こ の 801の詳細説明は実施例の項で後述)）を行う。なお、図 3では、管理対象 APを正 規 APとして示しており、他の図でも同様とする。監視処理実行部 113は、管理対象 A Pリスト (AP識別子） 106 (図 8 (a) )に記載された APに対して BSS識別子を要求する 。 APは BSS識別子格納部 302の情報を運用管理装置に応答し、運用管理装置は 取得した情報を管理対象 APリスト (BSS識別子） 101に格納する。なお、管理対象 A Pリスト (BSS識別子）は予め作成して運用管理装置が保持していても良い。
[0058] 次に受信可能 BSS識別子の取得（図 3の 703、図 4の 802 (この 802の詳細説明は 実施例の項で後述)）を行う。監視処理実行部 113は、管理対象端末リスト (端末識 別子） 107に記載された端末に対して受信可能 BSS識別子を要求する。管理対象 端末は受信可能 BSS識別子リスト A403の情報と所属 BSS識別子格納部 406の情 報を運用管理装置に応答し、運用管理装置は取得した情報を受信可能 BSS識別子 リスト B102 (図 8 (b) )に格納する。
[0059] 監視処理実行部 113は、不正 APリスト、不正 Ad-hocリスト、不正 AP検出端末リスト を作成する（図 4の 803 (この 803の詳細説明は実施例の項で後述) )。管理対象 AP リスト（BSS識別子） 101の BSS識別子と受信可能 BSS識別子リスト B102の BSS識 別子を比較し、管理対象 APリスト (BSS識別子） 101に存在しない BSS識別子を抽 出する。 BSS識別子に含まれる BSS種別が APの場合には、不正 APリスト 103 (図 8
(c) )に受信可能 BSS識別子および不正 APを検出した端末の所属する APの BSS 識別子を、それぞれ不正 AP BSS識別子および検出 BSS識別子として格納する。 また、該不正 APを検出した管理対象端末の情報を不正 AP検出端末リスト 112 (図 8
(d) )に格納する。 BSS種別がアドホックの場合には、不正 Ad-hocリスト 104に受信 可能 BSS識別子および不正 Ad-hocを検出した管理対象端末の所属する APの BSS 識別子を格納する。以上の処理により、不正 AP、不正 Ad-hocが検出できる。
[0060] 次に、以下では、上記手法によって検出された不正 AP、不正 Ad-hocの情報を利 用して、これら不正 AP等と接続する端末を検出し、更に検出された端末が管理対象 の端末力否かを判定し、不正なものを切り離す処理につき説明する。
[0061] 監視処理実行部 113は、不正 APを検出した管理対象端末が所属する管理対象 A Pに不正 APリスト 103に記載された情報を通知する（図 3の 704、図 5の 901)。通知 を受けた管理対象 APは不正無線局リスト 303に情報を格納し、定期的あるいは外部 力 の指示により不正無線局の情報を接続している管理対象クライアント端末に通知 する（図 3の 705)。通知を受けた管理対象端末は、メッセージ受信'表示部 405に不 正無線局の情報を表示し、ユーザに対して不正無線局が存在することを通知すると ともに、不正無線局リスト 407に不正無線局の情報を格納する。管理対象端末は以 後の接続の際に登録された不正無線局リストの無線局 (基地局または端末）には接 続しないようにする。
[0062] 次にフレーム送信元識別子の取得（図 3の 706、図 5の 902 (この 902の詳細は実 施例の項で後述)）を行う。監視処理実行部 113は、不正 AP検出端末リスト 112 (図 8の（d) )に記載された管理対象端末に対して、端末力 APに流れているフレームの 送信元識別子 (不正 APを利用して ヽる端末の識別子：以下では不正利用端末識別 子)を要求する。管理対象端末はフレーム送信元識別子リスト 404から所望の情報を 取得して運用管理装置に応答する。運用管理装置は取得した情報をフレーム送信 元識別子リスト Bl 14 (図 8の（e) )に格納する。
[0063] フレーム送信元識別子リスト B114 (図 8の（e) )の不正 AP BSS識別子と不正 APリ スト（図 8の (c) )力も不正 APを検出した管理対象端末の所属する BSS識別子を取得 し、 AP設置位置リスト 109 (図 7の（c) )と管理対象 APリスト (BSS識別子） 101から不 正利用端末識別子と該不正利用端末を検出した管理対象端末が所属する管理対 象 APの位置の関係を不正 AP利用端末リスト 105 (図 8の (f) )に格納する。更に、管 理対象端末リスト 107から不正利用端末識別子が管理対象端末の識別子か否かを 特定し、不正 AP利用端末リスト 105 (図 8の (f) )に格納する。なお、図 8の（f)では、 R-STA-2が管理対象の端末であるとしている。
[0064] 監視処理実行部 113は、不正 AP利用端末に対する対策を行う（図 5の 903 (この 9 03の詳細は実施例の項で後述)）。不正 AP利用端末が管理対象の場合に、連続検 出回数が N回未満 (Nは自然数)であれば該不正 AP利用端末に対して、不正 AP利 用禁止のメッセージを通知（図 3の 707)する。不正 AP利用端末が管理対象の場合 で、かつ連続検出回数が N回以上の場合、あるいは管理対象外の場合は不正 AP利 用端末の近傍の SWを検索し、該 SWに対して不正 AP利用端末の識別子を通知（図 3の 708)する。
[0065] 近傍の SWの検索は、例えば、不正 AP利用端末リスト（図 8の (f) )の位置情報から B4-2と B4-21を取得し、図 7 (a)においてその位置周辺のブロック（B4-1— 3、 B4-7 一 9、 B4-14一 16、 B4-20— 22)を近傍とし、その中（図 9のハッチ部分）に設置された SW1, 2, 4, 8, 10, 11力 S通知の対象とする。
[0066] 不正 AP利用禁止のメッセージを受けた管理対象端末のメッセージ受信 ·表示部 40 5は運用管理装置力ものメッセージを表示する。また、不正 AP利用端末の識別子を 受けた SWは、フィルタリング識別子格納部 603にその識別子を格納し、以降、送受 信部 601を経由するフレームの送信元識別子と比較し、フィルタリング識別子格納部 603に格納された値と一致した場合には、そのフレームを破棄する。
[0067] 表示装置 200は、周期的に運用管理装置の不正 APリスト 103、不正 ad-hocリスト 1 04、不正 AP利用端末リスト 105を取得（図 3の 709)し、表示部 201に不正無線局の 情報を表示する。不正無線局の表示は、 BSS種別毎に分類し、それぞれの種別の 下に BSS識別子を表示する。 APの場合には、 BSS識別子の下に更に階層化して 不正 APを利用している端末の識別子を記載する。その際に、該端末が監視対象か 否かを識別する記号 (〇 X )を付記する（図 2)。
実施例 1
[0068] 次に、前述した最良の実施の形態を、更に具体的に実施例として説明する。この実 施例 1は、不正無線局の検出を端末が行う例である。無線 LAN監視システム及び各 構成要素の構成は前述の通りである。図 3は本発明が適用される無線 LAN監視シス テムの処理フローを示した図である。管理対象端末による情報取得処理と運用管理 装置による情報に基づく監視 ·制御処理の 2つの独立した処理に分けられる。運用管 理装置からの指示で管理対象端末が動作する連携処理も可能であるが、以下では 独立した処理として説明する。
[0069] また、図 4、図 5は処理フロー中の運用管理装置内の動作を示した図である。図 6は 管理対象 APと不正 APと端末が混在する場合の例である。図 7 (a)は、管理対象 AP と SWの物理的配置を表した図であり、領域を複数のブロック（B4-1— B4-24 )に分け て示している例、（b)、 （c)がそれぞれ SW、 APの設置位置をブロック単位で示した 図である。
[0070] 管理対象クライアント端末の検索処理実行部 402は、定期的に無線送受信部 401 を通じて、周囲の無線環境の情報取得を起動する。情報取得はその時点で管理対 象クライアント端末が使用して 、る周波数チャネルだけでなぐ他のチャネルに対して も行う。管理対象 APや不正無線局はビーコンフレームやプローブフレーム、データ フレームを送信（図 3の 701)しており、管理対象クライアント端末はこれらフレームを 取得し、フレームから取得した BSSIDを受信可能 BSS識別子リスト A403に格納す る。フレームから取得した BSSIDとフレーム送信元装置の MACアドレスとそのフレー ムが端末から APへのフレーム力 APから端末へのフレームかを識別する" To DS " ( DS : Distribution Systemすなわち網を意味する）領域と" From DS "領域をフレーム 送信元識別子リスト 404に格納する。
[0071] 運用管理装置は、まず管理対象 APの BSSIDの取得（図 3の 702、図 4の 801)を 行う。監視処理実行部 113は、管理対象 APリスト (AP識別子） 106に記載された管 理対象 APの IPアドレスに対して BSSIDを要求する（図 4の 8011)。管理対象 APは BSS識別子格納部 302に格納された BSSIDを運用管理装置に応答し、運用管理 装置は取得した BSSIDを管理対象 APリスト (BSS識別子） 101に格納する（図 4の 8 012)。なお、管理対象 APリスト (BSS識別子）は予め作成して運用管理装置が保持 していても良い。
[0072] 次に受信可能 BSSIDの取得（図 3の 703、図 4の 802)を行う。監視処理実行部 11 3は、管理対象端末リスト (端末識別子） 107に記載された管理対象端末に対して受 信可能な BSSIDを要求する。管理対象端末は受信可能 BSS識別子リスト A403の B SSIDと所属 BSS識別子格納部 406の BSSIDを運用管理装置に応答し（図 4の 802 1)、運用管理装置は取得した 2つの BSSIDを受信可能 BSS識別子リスト B102に格 納する（図 4の 8022)。
[0073] 監視処理実行部 113は、不正 APリスト、不正 Ad-hocリスト、不正 AP検出端末リスト を作成する（図 4の 803)。管理対象 APリスト（BSS識別子） 101の BSSIDと受信可 能 BSS識別子リスト B102に記載の受信可能 BSSIDを比較し（図 4の 8031)、管理 対象 APリスト（BSS識別子） 101に存在しな!ヽ BSSIDを抽出する（図 4の 8032)。
[0074] この BSSIDに含まれる" universal/local，，ビット（IEEE802規格）が 0の場合には（ 図 4の 8033の" AP")、不正 APリスト 103に不正 APの BSSIDと、不正 APを検出し た管理対象端末の所属する APの BSSIDを格納する（図 4の 8034, 8035)。 " universal/local'，ビットが 1の場合には（図 4の 8033の" adhoc")、不正 Ad- hocリスト 1 04に受信可能 BSSIDと不正 Ad-hocを検出した管理対象端末の所属する APの BS SIDを格納する（図 4の 8036)。
[0075] 以上の処理により、不正 APの検出が行われることになる。こうして検出された不正 APからの情報漏洩防止の処理が必要になる力 この場合、次の 4つのケースが考え られ、これ等各ケース毎に、情報漏洩防止対策が相違してくるので、実施例 2として、 これ等各ケースについて、以下に説明する。
実施例 2
[0076] 上記の 4つのケースとは、（1)管理対象 APに管理対象端末が接続されているケー ス、（2)不正 APに管理対象端末が接続されているケース、（3)不正 APに不正端末 が接続されて 、るケース、（4)管理対象 APに不正端末が接続されて 、るケースであ る。まず、（1)のケースについての情報漏洩防止処理について述べる。
[0077] 監視処理実行部 113は、不正 APを検出した管理対象端末が所属する APに不正 APリスト 103に記載された不正 APの BSSIDを通知する（図 3の 704、図 5の 901、 9 011)。通知を受けた管理対象 APは不正無線局リスト 303に不正 APの BSSIDを格 納し、定期的あるいは外部からの指示により、接続している管理対象クライアント端末 に不正 APの BSSIDを通知する（図 3の 705)。通知を受けた端末は、メッセージ受信 •表示部 405に不正 APの BSSIDを表示し、ユーザに対して不正 APが存在すること を通知するとともに、不正無線局リスト 407に不正 APの BSSIDを格納する。管理対 象端末は以後の接続の際に登録された不正無線局リストの無線局には接続しないよ うにする。
[0078] 次にフレーム送信元識別子の取得（図 3の 706、図 5の 902)を行う。監視処理実行 部 113は、不正 AP検出端末リスト 112 (図 8の (d) )に記載された管理対象端末に対 して、端末から APに流れているフレームの送信元 MACアドレス（不正 APを利用して V、る端末の MACアドレス：以下では不正利用端末 MACアドレス）を要求する。管理 対象端末はフレーム送信元識別子リスト 404から" To DS，，領域の値が 1のフレーム の送信元 MACアドレスを取得して運用管理装置に応答する。
[0079] 運用管理装置は取得した MACアドレスをフレーム送信元識別子リスト B114に格 納する（図 5の 9021)。フレーム送信元識別子リスト B114 (図 8の（e) )の不正 AP B SSIDと不正 APリスト（図 8の（c) )力も不正 APを検出した管理対象端末の所属する BSSIDを取得し、 AP設置位置リスト 109 (図 7の（c) )と管理対象 APリスト（BSS識別 子） 101から不正利用端末 MACアドレスと該不正利用端末を検出した管理対象端 末が所属する APの位置の関係を不正 AP利用端末リスト 105 (図 8の (f) )に格納す る（図 5の 9022)。更に、管理対象端末リスト 107から不正利用端末 MACアドレスが 管理対象端末の MACアドレス力否かを特定し（図 5の 9023)、不正 AP利用端末リス ト 105 (図 8の（f) )に格納する（図 5の 9024)。なお、図 8の（f)では、 R- STA- 2が管 理対象の端末であるとして 、る。
[0080] 次に、 (2)のケースである不正 APに管理対象端末が接続されて 、る場合、及び（3 )のケースである不正 APに不正端末が接続されて 、る場合の情報漏洩防止処理に ついて述べる。監視処理実行部 113は、不正 AP利用端末に対する対策を行う（図 5 の 903)。不正 AP利用端末が管理対象の場合に（図 5の 9031で" Yes "： (2)のケー スの場合）、連続検出回数が N回未満であれば該不正 AP利用端末に対して、不正 AP利用禁止のメッセージを通知する（図 3の 707、図 5の 9032, 9033)。不正 AP利 用端末が管理対象の場合で、連続検出回数が N回以上の場合、あるいは管理対象 外の場合は（（3)のケースの場合）、不正 AP利用端末の近傍の SWを検索し（図 5の 9034)、該 SWに対して不正 AP利用端末の MACアドレスを通知（図 3の 708)する（ 図 5の 9035)。
[0081] 近傍の SWの検索は、例えば、不正 AP利用端末リスト（図 8の (f) )の位置情報から B4-2と B4-21を取得し、図 7 (a)において、その位置周辺のブロック（B4-1— 3、 B4-7 一 9、 B4-14一 16、 B4-20— 22)を近傍とし、その中（図 9のメッシュ部分）に設置され た SW1, 2, 4, 8, 10, 11力 S通知の対象とする。
[0082] 不正 AP利用禁止のメッセージを受けた管理対象端末のメッセージ受信 ·表示部 40 5は運用管理装置力 のメッセージを表示する。また、不正 AP利用端末の MACアド レスを受けた SWは、フィルタリング識別子格納部 603にその MACアドレスを格納し 、以降、送受信部 601を経由するフレームの送信元 MACアドレスと比較し、フィルタ リング識別子格納部 603に格納された値と一致した場合にはそのフレームを破棄す る。
[0083] 表示装置 200は、周期的に運用管理装置の不正 APリスト 103、不正 ad-hocリスト 1 04、不正 AP利用端末リスト 105を取得（図 3の 709)し、表示部 201に不正無線局の BSSIDを表示する。不正無線局の表示は、 BSS種別毎に分類し、それぞれの種別 の下に BSSIDを表示する。 APの場合には、 BSSIDの下に更に階層化して不正 AP を利用している端末の MACアドレスを記載する。その際に、該端末が監視対象か否 かを識別する記号 (〇 X )を付記する（図 2)。
[0084] (4)のケースである管理対象 APに不正端末が接続されて 、る場合にっ 、て述べる 。データパケットヘッダには、送信元アドレスが挿入されており、管理対象 APの BSSI Dはわかって!/、るので、管理対象 APに接続されて!、る端末の MACアドレスが分か る。よって、この MACアドレスを、運用管理装置に登録されている端末のアドレスと比 較することにより、不正端末力否かが特定可能である。そこで、管理対象 APに接続さ れている不正端末に対しては、通信を不可能とする処置をとることで、情報漏洩が可 能となる。そのための例として、先述した様に、 SWにおいてフィルタリングをかけてフ レーム破棄を行う方法や、管理対象 APに対して回線の切断指示をなす方法や、こ の AP自身でフィルタリングを行ってフレーム破棄をなす方法などがある。
[0085] なお、上記の管理対象 APの判定は、固有識別子である BSSIDを利用することによ り判定ができるものであり、詐称が容易な SSIDでは、不正 APや端末の特定ができ ず、よって、上記の各（1)一 (4)にそれぞれ対応する情報漏洩防止対策は困難となり 、上記の特許文献 1における SSIDを用いる方式は、実用的ではない。
[0086] 先の実施例 1では、不正無線局の情報として BSSIDのみを取得して、表示装置に 表示、管理対象 APへ通知したが、 BSSIDにあわせて SSIDも取得し、表示、通知し ても良い。また、管理対象端末への不正無線局の BSSIDの通知は、管理対象 APを 経由して行われるとして説明したが、運用管理装置力 管理対象端末に直接通知し ても良い。
[0087] 更に、実施例 1では検出結果を表示装置に表示したが、検出結果を表示装置に表 示するのではなぐ予め定められた通信手段を利用して、管理者に通知してもよい。 通信手段には、例えば、電話や電子メールなどが考えられる。また、実施例 1では、 不正無線局の検出、検出した結果の通知、検出した結果に基づく制御の全てを行う ように記載した力 例えば、不正無線局の検出のみ、というように一部の処理のみを 実行するシステムでもよい。更に利用者の設定により、一部または全部の処理を選択 的に実行できる機能を備えても良い。
実施例 3
[0088] 実施例 1では、不正無線局の検出を管理対象端末が行っていたが、不正無線局の 検出を管理対象 APが行うことも考えられる。図 10は本実施例の処理フローを示す図 である。実施例 1の処理フローとの違いは、受信可能 BSS識別子の取得（図 10の 71 0)とフレーム送信元識別子の取得（図 10の 711)が運用管理装置と管理対象 APの 間で行われて ヽる点である。 [0089] 図 11は無線 LAN監視システムの各構成要素の実施例 3に関連する機能ブロック を示す図である。実施例 1の機能ブロックとの違いは、実施例 1では管理対象端末に 存在した検索処理実行部 402、受信可能 BSS識別子リスト Aとフレーム送信元識別 子リスト 404が不要になり、管理対象 APに検索処理実行部 307、受信可能 BSS識 別子リスト A306とフレーム送信元識別子リスト 305が存在する点、及び運用管理装 置に不正 AP検出端末リスト 112が不要になり、不正 AP検出 APリスト 115が存在す る^;である。
[0090] 図 12、図 13は処理フロー中の運用管理装置の動作を示す図でり、図 4、図 5と同 等部分は同一符号にて示している。実施例 1との違いは、図 12の 804、 803と、図 13 の 905である。図 12の 804は、管理対象 APリストに記載の管理対象 APの全 IPアド レスに対して、受信可能 BSSIDと該 APの BSSIDを要求し（図 12の 8041)、取得し た BSSIDを受信可能 BSS識別子リスト B102に出力する（図 12の 8042)。
[0091] 図 12の 803は、受信可能 BSS識別子リスト Bの BSSIDと管理対象 APリスト（BSS 識別子）と比較を行 、（図 12の 8032)、管理対象に含まれて!/、な 、BSSIDでかつ、 BSS種別が APと判定された場合には（図 12の 8033)、不正 APに該 BSSIDを書き 出し（図 12の 8034)、更に不正 AP検出 APリストに不正 APを検出した管理対象 AP の BSSIDを書き出す（図 12の 8037)。図 14は受信可能 BSS識別子リスト B及び不 正 AP検出 APリストの例である。
[0092] 図 13は本実施例における情報漏洩防止処理の動作を示すものであり、図 5と同等 であるが、相違部分を説明する。運用管理装置は管理対象 APに不正 APの BSSID を通知する（図 13の 904)。そして、この AP力もフレーム送信元識別子を取得し（図 1 3の 9051)、当該 APの BSSIDと AP設置位置リストから、 APの位置を取得する（図 1 3の 9052)。次に、フレーム送信元識別子と管理対象端末リストのエントリを比較して 、不正 APを利用している端末が登録済みかどうかを判定し（図 13の 9053)、不正 A P利用端末リストにフレーム送信元識別子と検出した APの位置と登録済み力否かを 書き出す（図 13の 9054)。処理 903は図 5のそれと同一である。
実施例 4
[0093] 次に、不正 APの表示に BSSIDだけでなぐカンパニー名を付記する実施例につ いて説明する。先の実施例 1では、不正 APの表示に BSSIDを使用していた力 一 般に人が識別し辛 ヽ BSSIDにカ卩えて、識別しやす ヽ該不正 APの製造元の組織名 を付記することも考えられる。図 15は無線 LAN監視システムの各構成要素の実施例 4に関連する機能ブロックを示す図である。実施例 1との機能ブロックの違いは、運用 管理装置にカンパ-一 IDリスト 116が追加されている点である。カンパ-一 IDリスト の例を図 16に示す。カンパ-一 IDは 3バイトの 16進で表現される値であり、組織名 は製造元を表す文字列である。
[0094] 表示装置 200は、運用管理装置から不正 APリスト、不正 ad-hocリストに加えて、力 ンパニー IDリストを取得する。 BSSIDの先頭から 3バイトはカンパ-一 IDであるため 、取得した不正 APリストの BSSIDの先頭 3バイトに一致するエントリをカンパ-一 ID リストから検索する。不正 APを表示する際に検索して得たベンダー名を BSSIDの後 に付記する。
[0095] 具体的には、図 15で表示されている不正 APの BSSIDは、 01:23:45:67:89:ab、
00:11:22:33:44:55、 00:66:77:88:99:aaであり、各先頭の 3バイトのカンパ-一 IDは 01:23:45、 00:11:22、 00:66:77である。各カンパ-一 IDをキーにして図 16から各不正 APの製造元はそれぞれ compnayl、 company2、 company3であることを半 U定し、表示 部に組織名を表示する。なお、 BSSIDと組織名との対応は表示装置内で行うように 説明したが、運用管理装置側で行っても良い。
実施例 5
[0096] 次に、不正 APが出現した場合、不正 APを検出した周囲の管理対象 APに不正 AP と同じ SSIDを設定する実施例について述べる。すなわち、先の実施例 1では、不正 APに接続する端末の MACアドレスを検出して、その MACアドレスを SWに設定す ることにより、 SWで不正 APに接続した端末からのフレームを破棄するようにしていた 力 不正 APに接続しょうとする管理対象外端末を管理対象 APに接続させて、その 管理対象外端末からのフレームを管理対象 APで破棄することも考えられる。
[0097] 図 17は実施例 5の処理フローを示す図である。実施例 1の処理フローとの違いは、 運用管理装置と管理対象端末の間で行われるフレーム送信元識別子の取得 706、 運用管理装置と不正 APに接続した管理対象端末との間で行われる不正無線局利 用禁止のメッセージ通知 707、運用管理装置と SWの間で行われる不正利用端末識 別子の通知 708が削除され、運用管理装置と管理対象 APの間で行われる不正無 線局 SSID713通知が追加されたことである。
[0098] 図 18は無線 LAN監視システムの各構成要素の実施例 4に関連する機能ブロック を示す図である。実施例 1との機能ブロックの違いは、管理対象端末のフレーム送信 元識別子リストが不要な点、管理対象端末の受信可能 BSS識別子リスト A403には、 受信可能 BSSIDに加えて、該 BSSIDを持つ不正無線局の SSIDも格納される点、 同様に運用管理装置の受信可能 BSS識別子リスト Bに不正無線局の SSIDが格納（ 図 19)される点、管理対象 APに不正無線局の SSIDを格納する不正無線局 SSID 格納部 309、不正無線局 SSID格納部に格納された SSIDを使用して接続している 管理対象外端末の MACアドレスを格納するフィルタリング識別子格納部 308が追カロ された点である。
[0099] 図 20、図 21は処理フロー中の運用管理装置の動作を示す図であり、図 20におい て、図 4と同等部分は同一符号にて示している。実施例 1との違いは、図 20の 805と 、図 21の 906の処理が追カロ'変更されている点、図 5の 902、 903が削除されている 点である。図 20の 805では、運用管理装置は管理対象端末力も受信可能 BSSIDに 加えて SSIDを取得し（図 20の 8051)、受信可能 BSS識別子リスト Bに格納している (図 20の 8052)。図 21の 906では、運用管理装置は、不正 APを検出した管理対象 端末が所属する管理対象 APに対して、その管理対象 APに接続する端末が検出し た不正 APの SSIDを通知する（図 20の 9061, 9062)。
[0100] 無線 LANを利用しょうとする端末は、一般に周囲を検索して受信可能な SSIDを取 得し、その中で所望の SSIDの無線 LANに接続を試みる。そのため、不正 APを使 用した有線網への不正侵入は、不正 APを設置し、その不正 APに接続して有線網 に侵入する t 、う手順になる。
[0101] 本実施例では、運用管理装置が管理対象端末力も不正 APの SSIDを取得（図 17 の 712)し、取得した不正 APの SSIDを管理対象 APに設定（図 17の 713、図 21の 9 062)する。管理対象 APは該 SSIDをビーコンに載せて送信するため、 BSSIDは異 なるが同一の SSIDを持った APが複数存在する環境が構築され、不正 APに接続し ようとする端末が不正 APに接続できる頻度は低くなる。管理対象 APに接続される場 合もあり、その場合には該端末と有線網との通信は遮断されることになる。
[0102] 以上述べたように、本発明によれば、固有の BSS識別子を不正無線局の判定に使 用することにより、 SS識別子を詐称したアクセスポイントや SS識別子を隠蔽するァク セスポイントも不正無線局として検出 ·表示することが可能となる。また、不正無線局 の表示を種別毎に行うことによって、探査する対象の絞込みが行え、不正無線局の 探査'撤去作業が改善される。更に、不正 APに接続した端末の識別子を取得し、該 識別子をキーにしてアクセスポイントあるいは有線 LANスィッチによりフレームを破棄 することにより、不正 APを経由して有線網にアクセスされ情報が漏洩されることを防 止できセキュリティが向上する。
[0103] 上述した各動作フローは、予め記録媒体にプログラムとして動作手順を格納してお き、これをコンピュータにより読み取って実行させるようにすることができるものである。

Claims

請求の範囲
[1] 固有識別子を有する管理対象無線基地局を含む無線通信システムであって、無線 フレームに含まれる前記固有識別子に基づいて不正無線局の有無を検出する不正 無線局検出手段を含むことを特徴とする無線通信システム。
[2] 前記不正無線局検出手段は、前記固有識別子と予め登録されている固有識別子 とを比較する比較手段と、この比較結果に基づ 、て前記不正無線局の判定をなす手 段とを有することを特徴とする請求項 1に記載の無線通信システム。
[3] 前記固有識別子は、互いに通信する無線通信端末、無線基地局のグループを基 本サービスセットとしたとき、この基本サービスセット識別のための識別子 (BSS識別 子)であることを特徴とする請求項 1に記載の無線通信システム。
[4] 前記不正無線局検出手段は、前記 BSS識別子から前記不正無線局の種別を判定 する手段を更に有することを特徴とする請求項 3に記載の無線通信システム。
[5] 前記不正無線局検出手段は、前記 BSS識別子から前記不正無線局の製造元を判 定する手段を、更に有することを特徴とする請求項 3に記載の無線通信システム。
[6] システムによって管理され、無線フレームを取得して前記固有識別子を得る手段を 有する管理対象無線基地局を含み、
前記不正無線局検出手段は、前記管理対象無線基地局から前記固有識別子を得 る手段を、更に有することを特徴とする請求項 1に記載の無線通信システム。
[7] システムによって管理され、無線フレームを取得して前記固有識別子を得る手段を 有する管理対象無線通信端末を含み、
前記不正無線局検出手段は、前記管理対象無線通信端末から前記固有識別子を 得る手段を、更に有することを特徴とする請求項 1に記載の無線通信システム。
[8] 前記不正無線局検出手段は、前記不正無線局に接続された管理対象無線通信端 末に対して前記不正無線局の利用を禁止する旨の通知をなす手段を更に有するこ とを特徴とする請求項 1に記載の無線通信システム。
[9] スィッチ装置を更に含み、
前記不正無線局検出手段は、前記不正無線局に接続された不正無線通信端末の アドレスを検出して、前記スィッチ装置に対して前記アドレスを通知する手段を、更に 有し、
前記スィッチ装置は、前記アドレスを含む無線フレームの廃棄をなす手段を有する ことを特徴とする請求項 1に記載の無線通信システム。
[10] 前記不正無線局検出手段は、前記管理対象無線基地局に対して前記不正無線通 信端末を通知し、また前記管理対象無線基地局に接続された管理対象無線通信端 末に対して前記不正無線局を通知する手段を更に有することを特徴とする請求項 1 に記載の無線通信システム。
[11] 前記不正無線局検出手段は、前記管理対象無線基地局に接続された不正無線通 信端末の通信を不能とするよう制御する手段を更に有することを特徴とする請求項 1 に記載の無線通信システム。
[12] 前記不正無線局検出手段は、前記不正無線局の周囲の管理対象無線基地局に 対して、前記無線フレーム力 取得された前記不正無線局のサービスセット識別のた めの識別子 (SS識別子)を通知する手段を、更に有し、
前記 SS識別子の通知を受けた管理対象無線基地局は、前記 SS識別子と同一の 値を使用して接続した無線通信端末からの無線フレームを受信した場合、この無線 フレームを破棄する手段を有することを特徴とする請求項 1に記載の無線通信システ ム。
[13] 固有識別子を有する管理対象無線基地局を含む無線通信システムにおける運用 管理装置であって、
無線フレームに含まれる固有識別子に基づいて不正無線局の有無を検出する不 正無線局検出手段を含むことを特徴とする運用管理装置。
[14] 前記不正無線局検出手段は、前記固有識別子と予め登録されている固有識別子 とを比較する比較手段と、この比較結果に基づ 、て前記不正無線局の判定をなす手 段とを有することを特徴とする請求項 13に記載の運用管理装置。
[15] 前記固有識別子は、互いに通信する無線通信端末、無線基地局のグループを基 本サービスセットとしたとき、この基本サービスセット識別のための識別子 (BSS識別 子)であることを特徴とする請求項 13に記載の運用管理装置。
[16] 前記 BSS識別子から前記不正無線局の種別を判定する手段を更に含むことを特 徴とする請求項 15に記載の運用管理装置。
[17] 前記 BSS識別子から前記不正無線局の製造元を判定する手段を更に含むことを 特徴とする請求項 15に記載の運用管理装置。
[18] システムによって管理され無線フレームを取得して前記固有識別子を得るようにし た管理対象無線基地局力 前記固有識別子を得る手段を更に含むことを特徴とする 請求項 13に記載の運用管理装置。
[19] システムによって管理され無線フレームを取得して前記固有識別子を得るようにし た管理対象無線通信端末から前記固有識別子を得る手段を更に含むことを特徴と する請求項 13に記載の運用管理装置。
[20] 前記不正無線局に接続された管理対象無線通信端末に対して前記不正無線局の 利用を禁止する旨の通知をなす手段を更に含むことを特徴とする請求項 13に記載 の運用管理装置。
[21] 前記不正無線局に接続された不正無線通信端末のアドレスを検出して、前記スィ ツチ装置に対して前記アドレスを通知する手段を更に含むことを特徴とする請求項 1 3に記載の運用管理装置。
[22] 前記管理対象無線基地局に対して前記不正無線通信端末を通知し、また前記管 理対象無線基地局に接続された管理対象無線通信端末に対して前記不正無線局 を通知する手段を更に含むことを特徴とする請求項 13に記載の運用管理装置。
[23] 前記管理対象無線基地局に接続された不正無線通信端末の通信を不能とするよう 制御する手段を更に含むことを特徴とする請求項 13に記載の運用管理装置。
[24] 前記不正無線局の周囲の管理対象無線基地局に対して、前記無線フレームから 取得された前記不正無線局のサービスセット識別のための識別子 (SS識別子)を通 知する手段を、更に含むことを特徴とする請求項 13に記載の運用管理装置。
[25] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線基地局であって、
無線フレームから前記固有識別子を取得する手段と、
前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通知す る手段と を含むことを特徴とする無線基地局。
[26] 前記運用管理装置から不正無線通信端末の通知を受けて、前記不正無線通信端 末の通信を不能とする手段を更に含むことを特徴とする請求項 25に記載の無線基 地局。
[27] 前記運用管理装置力 前記不正無線局のサービスセット識別のための識別子 (SS 識別子)の通知を受け、前記 SS識別子と同一の値を使用して接続した無線通信端 末からの無線フレームを受信した場合、この無線フレームを破棄する手段を更に含 むことを特徴とする請求項 25に記載の無線基地局。
[28] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線通信端末であって、
無線フレームから前記固有識別子を取得する手段と、
前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通知す る手段と
を含むことを特徴とする無線通信端末。
[29] 前記運用管理装置から通知された前記不正無線局の利用を禁止する手段を更に 含むことを特徴とする請求項 28に記載の無線通信端末。
[30] 固有識別子を有する管理対象無線基地局を含む無線通信システムにおける不正 無線局検出方法であって、
無線フレームに含まれる固有識別子に基づいて不正無線局の有無を検出するステ ップを含むことを特徴とする不正無線局検出方法。
[31] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線基地局の動作制御方法であって、 無線フレーム力 前記固有識別子を取得するステップと、
前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通知す るステップと
を含むことを特徴とする動作制御方法。
[32] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線通信端末の動作制御方法であって、 無線フレーム力 前記固有識別子を取得するステップと、
前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通知す るステップと
を含むことを特徴とする動作制御方法。
[33] 固有識別子を有する管理対象無線基地局を含む無線通信システムにおける不正 無線局検出方法をコンピュータに実行させるためのプログラムであって、
無線フレームに含まれる固有識別子に基づいて不正無線局の有無を検出する処 理を含むことを特徴とするプログラム。
[34] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線基地局の動作制御方法をコンピュータに 実行させるためのプログラムであって、
無線フレーム力 前記固有識別子を取得する処理と、
前記固有識別子を、不正無線局の有無検出のために前記運用管理装置へ通知す る処理と
を含むことを特徴とするプログラム。
[35] 固有識別子を有する管理対象無線基地局と、システムを運用管理する運用管理装 置とを含む無線通信システムにおける無線通信端末の動作制御方法をコンピュータ に実行させるためのプログラムであって、
無線フレーム力 前記固有識別子を取得する処理と、前記固有識別子を、不正無 線局の有無検出のために前記運用管理装置へ通知する処理とを含むことを特徴と するプログラム。
PCT/JP2005/002494 2004-02-19 2005-02-17 不正無線局検出システム、それに用いる装置及びその方法 WO2005081460A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2006510229A JPWO2005081460A1 (ja) 2004-02-19 2005-02-17 不正無線局検出システム、それに用いる装置及びその方法
EP05710344A EP1720290A1 (en) 2004-02-19 2005-02-17 Unauthorized wireless station detecting system, apparatus used therein, and method therefor
US10/589,861 US20070165571A1 (en) 2004-02-19 2005-02-17 Unauthorized wireless station detecting system, apparatus used therein, and method therefor

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-042303 2004-02-19
JP2004042303 2004-02-19

Publications (1)

Publication Number Publication Date
WO2005081460A1 true WO2005081460A1 (ja) 2005-09-01

Family

ID=34879254

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/002494 WO2005081460A1 (ja) 2004-02-19 2005-02-17 不正無線局検出システム、それに用いる装置及びその方法

Country Status (6)

Country Link
US (1) US20070165571A1 (ja)
EP (1) EP1720290A1 (ja)
JP (1) JPWO2005081460A1 (ja)
KR (1) KR20060132701A (ja)
CN (1) CN1930822A (ja)
WO (1) WO2005081460A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010141404A (ja) * 2008-12-09 2010-06-24 Sumitomo Electric Ind Ltd 不正装置検知システムおよび不正装置の検知方法
JP2010239572A (ja) * 2009-03-31 2010-10-21 Toshiba Corp 端末、及び端末の制御プログラム
JP2014057232A (ja) * 2012-09-13 2014-03-27 Nec Access Technica Ltd 無線ｌａｎ親機のリモート判別方法およびシステム
JP2017212518A (ja) * 2016-05-24 2017-11-30 サイバートラスト株式会社 ビーコン装置管理システム、ビーコン装置、ビーコン装置管理方法、およびビーコン装置管理プログラム
JP2019511861A (ja) * 2016-02-26 2019-04-25 ニュー・エイチ・３・シィ・テクノロジーズ・カンパニー・リミテッドＮｅｗ Ｈ３Ｃ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．， Ｌｔｄ． 基本サービスセット識別子ｂｓｓｉｄ更新

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4829635B2 (ja) * 2006-02-17 2011-12-07 キヤノン株式会社 通信装置、通信方法、ネットワークを構成する方法、通信システム
US20110053614A1 (en) * 2008-03-07 2011-03-03 Hitachi, Ltd. Position information system
CA2782730C (en) * 2009-12-03 2015-06-23 Lg Electronics Inc. Method and apparatus for transmitting a frame in a wireless ran system
US9538385B2 (en) 2011-06-07 2017-01-03 Nokia Technologies Oy Method and apparatus for the detection of unlicensed user equipment
WO2013046849A1 (ja) * 2011-09-30 2013-04-04 インターナショナル・ビジネス・マシーンズ・コーポレーション 不正なアクセスポイントを監視する監視システム、監視サーバ、方法およびプログラム
CN110518704B (zh) * 2019-07-23 2021-05-07 杭州电子科技大学 一种授权式无线输电方法
KR20210108034A (ko) * 2020-02-25 2021-09-02 삼성전자주식회사 통신 네트워크에서 위장 기지국의 공격을 방어하는 방법, 관리 서버 및 기지국
CN116699464B (zh) * 2023-08-01 2023-09-26 中国铁塔股份有限公司云南省分公司 无线站点漏电监测系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003110570A (ja) * 2001-09-28 2003-04-11 Maspro Denkoh Corp 無線中継装置及び双方向ｃａｔｖシステム
JP2003198571A (ja) * 2001-12-26 2003-07-11 Internatl Business Mach Corp <Ibm> ネットワークセキュリティシステム、コンピュータ装置、アクセスポイントの認識処理方法、アクセスポイントのチェック方法、プログラム、記憶媒体および無線ｌａｎ用デバイス

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030200455A1 (en) * 2002-04-18 2003-10-23 Chi-Kai Wu Method applicable to wireless lan for security control and attack detection
US20040078598A1 (en) * 2002-05-04 2004-04-22 Instant802 Networks Inc. Key management and control of wireless network access points at a central server
US7327690B2 (en) * 2002-08-12 2008-02-05 Harris Corporation Wireless local or metropolitan area network with intrusion detection features and related methods

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003110570A (ja) * 2001-09-28 2003-04-11 Maspro Denkoh Corp 無線中継装置及び双方向ｃａｔｖシステム
JP2003198571A (ja) * 2001-12-26 2003-07-11 Internatl Business Mach Corp <Ibm> ネットワークセキュリティシステム、コンピュータ装置、アクセスポイントの認識処理方法、アクセスポイントのチェック方法、プログラム、記憶媒体および無線ｌａｎ用デバイス

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2010141404A (ja) * 2008-12-09 2010-06-24 Sumitomo Electric Ind Ltd 不正装置検知システムおよび不正装置の検知方法
JP2010239572A (ja) * 2009-03-31 2010-10-21 Toshiba Corp 端末、及び端末の制御プログラム
JP2014057232A (ja) * 2012-09-13 2014-03-27 Nec Access Technica Ltd 無線ｌａｎ親機のリモート判別方法およびシステム
JP2019511861A (ja) * 2016-02-26 2019-04-25 ニュー・エイチ・３・シィ・テクノロジーズ・カンパニー・リミテッドＮｅｗ Ｈ３Ｃ Ｔｅｃｈｎｏｌｏｇｉｅｓ Ｃｏ．， Ｌｔｄ． 基本サービスセット識別子ｂｓｓｉｄ更新
US10667306B2 (en) 2016-02-26 2020-05-26 New H3C Technologies Co., Ltd. BSSID updating
JP2017212518A (ja) * 2016-05-24 2017-11-30 サイバートラスト株式会社 ビーコン装置管理システム、ビーコン装置、ビーコン装置管理方法、およびビーコン装置管理プログラム

Also Published As

Publication number Publication date
JPWO2005081460A1 (ja) 2008-01-17
CN1930822A (zh) 2007-03-14
EP1720290A1 (en) 2006-11-08
KR20060132701A (ko) 2006-12-21
US20070165571A1 (en) 2007-07-19

Similar Documents

Publication Publication Date Title
WO2005081460A1 (ja) 不正無線局検出システム、それに用いる装置及びその方法
US7969950B2 (en) System and method for monitoring and enforcing policy within a wireless network
JP4284192B2 (ja) 無線ローカルエリアネットワーク中の偽造アクセスポイントの検出
JP4287289B2 (ja) 無線ローカルエリアネットワークにおける非認可ステーションの検出
TWI481225B (zh) 在無線網路中之掃描程序、支援相同程序之站台以及其訊框格式
KR100980152B1 (ko) 근거리 통신망을 모니터링하는 방법 및 시스템
KR100694219B1 (ko) 무선 단말에서의 액세스 포인트 데이터 전송 모드 감지장치 및 그 방법
US9019911B2 (en) System and method for centralized station management
US9019944B2 (en) Diagnosing and resolving wireless network malfunctions
US7710933B1 (en) Method and system for classification of wireless devices in local area computer networks
JP2005522132A5 (ja)
US9374711B2 (en) Monitoring unauthorized access point
JP2007520939A (ja) 探知すべきサービス・セット識別子を示すための方法及び装置
US20080046719A1 (en) Access point and method for supporting multiple authentication policies
US20140282905A1 (en) System and method for the automated containment of an unauthorized access point in a computing network
US20150139211A1 (en) Method, Apparatus, and System for Detecting Rogue Wireless Access Point
KR20070054067A (ko) 무선 액세스 포인트 장치 및 그를 이용한 네트워크 트래픽침입탐지 및 차단방법
US8145131B2 (en) Wireless ad hoc network security
JP2006217198A (ja) 複数のレイヤ２機能を備える無線基地局
US20210219216A1 (en) Identification of wireless transmissions carried by a wireless network
JP5175898B2 (ja) 無線通信装置、接続解除方法、およびプログラム
JP2004128613A (ja) 無線ネットワークにおける基地局監視装置、基地局監視方法、およびプログラム
KR20130044842A (ko) 단말기

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
DPEN Request for preliminary examination filed prior to expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 2006510229

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 2007165571

Country of ref document: US

Ref document number: 10589861

Country of ref document: US

Ref document number: 1020067016614

Country of ref document: KR

WWE Wipo information: entry into national phase

Ref document number: 200580005545.0

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

WWE Wipo information: entry into national phase

Ref document number: 2005710344

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 2005710344

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 1020067016614

Country of ref document: KR

WWP Wipo information: published in national office

Ref document number: 10589861

Country of ref document: US