JP2010263310A - 無線通信装置、無線通信監視システム、無線通信方法、及びプログラム - Google Patents

Abstract

【課題】信頼できるかどうか不明のアクセスポイントとの間の無線通信を監視する。
【解決手段】無線ＬＡＮ端末１０では、信頼済ＡＰ管理部１２が、接続したアクセスポイントが信頼済として登録されているか判定し、登録されていなければ、通信制御部１１が、アクセスポイントから受信した接続先情報をサーバに送信して、アクセスポイントとの接続に関するアクション及び監視方法を指定するルール情報を受信し、ルール情報解析部１４が、ルール情報を解析し、ルール適用部１６が、解析結果に基づいて、ルール情報が指定するアクション（通信制御部１１による接続の遮断、表示制御部１７による警告の表示制御、ログ管理部１８による通信ログの記録、信頼済ＡＰ管理部１２による信頼済である旨の登録）を実行し、アクションが通信ログの記録であれば、ルール情報が指定する監視方法をログ管理部１８に設定する。
【選択図】図２

Description

本発明は、無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことによりそのアクセスポイントに自動的に接続して無線通信を行う無線通信装置、この無線通信装置による無線通信を監視する無線通信監視システム、この無線通信装置における無線通信方法及びプログラムに関する。

無線ＬＡＮ（Local Area Network）デバイスを搭載するシステムの殆どには、利用する無線ＬＡＮアクセスポイント（以下、単に「アクセスポイント」という）の情報を予め登録しておくことで、接続可能エリアにいれば自動的にオンライン状態にする自動接続機能が実装されている。ここで、アクセスポイントの情報とは、例えば、ＥＳＳ−ＩＤ（Extended Service Set Identifier）、暗号方式、パスワードである。
通常のセキュリティ設定が施されたアクセスポイントであれば、暗号方式とパスワードが一致しなければ接続を許可しないが、暗号方式とパスワードは必須の設定項目ではないので、自由に接続を許可する目的でこれらの項目を設定しないアクセスポイントを設置することができる。また、暗号方式とパスワードが一致しなくても情報を受け取るだけで接続を許可するようにアクセスポイントを設置することもできる。
更に、現在普及する公衆無線ＬＡＮサービスの中には、ＤＨＣＰ（Dynamic Host Configuration Protocol）環境にあり、かつ、アクセスポイントの情報が利用者間で共有されているものがある。このように共有されるアクセスポイントの情報は地域が異なっても同じものが用いられるため、利用者端末には、上記の自動接続機能を用いて、簡易にアクセスポイントに接続できる設定がなされていることも多い。こうしたことから、悪意あるアクセスポイントが、正常な公衆無線ＬＡＮサービスのアクセスポイントを容易に装える状況になっている。
このような悪意あるアクセスポイントが存在した場合、自動接続機能が実装されたシステムはオンライン状態になる。つまり、信頼できないネットワークに勝手に接続してしまう虞がある。特に、攻撃者が管理するアクセスポイントに接続してしまった場合、通信データの盗聴や不正サイトへの誘導等、様々な攻撃を受ける可能性がある。

そこで、従来、パケットの盗聴を目的とした偽アクセスポイントが設置された場合でも、その不正なアクセスポイントを見抜いて接続を避ける無線ＬＡＮ機器があった（例えば、特許文献１参照）。この特許文献１の技術では、正常なアクセスポイントへの接続履歴を記憶装置が保持し、無線ＬＡＮ接続の指示があった場合、周囲のアクセスポイントが発するビーコンの識別情報と記憶装置内の接続履歴とを比較し、同一識別情報を持つアクセスポイントがあったり接続履歴にないアクセスポイントがあったりすると、更にビーコンの電波強度及び／又は暗号化状態を調べ、不正なアクセスポイントとして接続を避けるようにしている。

特開２００８−０７２４０２号公報

このように、不正なアクセスポイントへの接続を回避する技術は、従来から存在した。
しかしながら、特許文献１の技術は、不正なアクセスポイントへの接続を回避するだけで、不正なアクセスポイントとの間の通信のログを記録しているわけではない。従って、信頼できるかどうか不明のアクセスポイントに関して、例えば証拠保全を目的とした監視活動を行うことができないという問題点があった。

本発明の目的は、信頼できるかどうか不明のアクセスポイントとの間の無線通信を監視することにある。

かかる目的のもと、本発明は、無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことによりアクセスポイントに自動的に接続する自動接続機能を有する無線通信装置において、自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、特定のアクセスポイントから特定のアクセスポイントを識別するための識別情報を受信する受信手段と、受信手段により受信した識別情報に基づいて特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する登録手段と、受信手段により受信した識別情報に基づいて特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、特定のアクセスポイントを介した通信のログを記録する記録手段とを備えた無線通信装置を提供する。

ここで、この装置は、受信手段により受信した識別情報に基づいて特定のアクセスポイントの信頼性が第３の基準を満たすと判定された場合に、特定のアクセスポイントとの接続を遮断する遮断手段を更に備えた、ものであってよい。
また、受信手段により受信した識別情報に基づいて特定のアクセスポイントの信頼性が第４の基準を満たすと判定された場合に、特定のアクセスポイントとの接続を継続するに当たって警告を行う警告手段を更に備えた、ものであってよい。

更に、この装置において、受信手段は、特定のアクセスポイントが設置された位置を示す位置情報を含む識別情報を受信する、ものであってよい。
更にまた、この装置は、特定のアクセスポイント以外で通信可能な他のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されている場合に、受信手段により受信した識別情報を他のアクセスポイントを介して情報処理装置に送信する送信手段を更に備え、特定のアクセスポイントの信頼性が第１の基準又は第２の基準を満たすとの判定は、送信手段により送信された識別情報に基づいて、情報処理装置によりなされる、ものであってよい。

更に、この装置は、記録手段により記録されたログを情報処理装置に送信する送信手段を更に備えた、ものであってよい。
その場合、送信手段は、特定のアクセスポイント以外で通信可能な他のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されている場合に、記録手段により記録されたログを他のアクセスポイントを介して情報処理装置に送信する、ものであってよい。

また、本発明は、無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことによりアクセスポイントに自動的に接続する自動接続機能を有する無線通信装置と、無線通信装置による無線通信を監視する監視装置とを備え、無線通信装置は、自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、特定のアクセスポイントから特定のアクセスポイントを識別するための識別情報を受信する第１の受信手段と、第１の受信手段により受信した識別情報を監視装置に送信する第１の送信手段と、特定のアクセスポイントの信頼性が第１の基準を満たす旨の判定結果が監視装置から送信された場合に、特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する登録手段と、特定のアクセスポイントの信頼性が第２の基準を満たす旨の判定結果が監視装置から送信された場合に、特定のアクセスポイントを介した通信のログを記録する記録手段とを備え、監視装置は、第１の送信手段により送信された識別情報を受信する第２の受信手段と、第２の受信手段により受信した識別情報に基づいて、特定のアクセスポイントの信頼性が第１の基準又は第２の基準を満たすかどうかを判定する判定手段と、判定手段による判定結果を無線通信装置に送信する第２の送信手段とを備えた無線通信監視システムも提供する。

更に、本発明は、無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことによりアクセスポイントに自動的に接続する自動接続機能を有する無線通信装置において、自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、特定のアクセスポイントから特定のアクセスポイントを識別するための識別情報を受信するステップと、受信した識別情報に基づいて特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録するステップと、受信した識別情報に基づいて特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、特定のアクセスポイントを介した通信のログを記録するステップとを含む無線通信方法も提供する。

更にまた、本発明は、無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことによりアクセスポイントに自動的に接続する自動接続機能を有する無線通信装置に、自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、特定のアクセスポイントから特定のアクセスポイントを識別するための識別情報を受信する機能と、受信した識別情報に基づいて特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する機能と、受信した識別情報に基づいて特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、特定のアクセスポイントを介した通信のログを記録する機能とを実現させるためのプログラムも提供する。

本発明によれば、信頼できるかどうか不明のアクセスポイントとの間の無線通信を監視することができる。

本実施の形態が適用されるコンピュータシステムの全体構成図である。 本実施の形態における無線ＬＡＮ端末の機能構成例を示したブロック図である。 本実施の形態で記憶する信頼済アクセスポイント情報の例を示した図である。 本実施の形態におけるサーバの機能構成例を示したブロック図である。 本実施の形態で参照するアクション定義の例を示した図である。 本実施の形態における無線ＬＡＮ端末の動作例を示したフローチャートである。 本実施の形態におけるサーバの動作例を示したフローチャートである。 本実施の形態が適用されるコンピュータのハードウェア構成図である。

以下、添付図面を参照して、本発明の実施の形態について詳細に説明する。
まず、本実施の形態が適用されるコンピュータシステムについて説明する。
図１は、このようなコンピュータシステムの全体構成例を示した図である。
図示するように、このコンピュータシステムは、無線ＬＡＮ端末１０と、サーバ２０と、アクセスポイント７５ａ，７５ｂとを含む。そして、アクセスポイント７５ａ，７５ｂは、それぞれ、移動体通信網７０ａ，７０ｂに接続され、移動体通信網７０ａ，７０ｂは、インターネット８０を介して、サーバ２０に接続されている。

無線ＬＡＮ端末１０は、ユーザが使用する端末装置であり、アクセスポイント７５ａ，７５ｂを介してデータを送受信するために、ＩＥＥＥ８０２．１１ａ／ｂ／ｇ／ｎ等に準拠した無線ＬＡＮインターフェイスを有する。例えば、ノート型のパーソナルコンピュータ、ＰＤＡ（Personal Digital Assistants）、その他のコンピュータ装置にて実現される。尚、図では、無線ＬＡＮ端末１０を１台しか示していないが、２台以上の無線ＬＡＮ端末１０を含んでもよい。本実施の形態では、無線通信装置の一例として、無線ＬＡＮ端末１０を設けている。

サーバ２０は、管理者の設定に応じて、無線ＬＡＮ端末１０をアクセスポイント７５ａ，７５ｂに接続させるか等を示すポリシー情報を管理し、無線ＬＡＮ端末１０から送られた情報とポリシー情報とに基づいて、無線ＬＡＮ端末１０に適用するルールを決定する。その際、無線ＬＡＮ端末１０側では設定を変更できない構成にし、サーバ２０側で管理者が強制的にルールを適用する仕組みにする。また、無線ＬＡＮ端末１０に適用するルールが、ログの記録に決定された場合には、無線ＬＡＮ端末１０からログの転送を受け、ログの解析（監視）も行う。例えば、パーソナルコンピュータやワークステーション、その他のコンピュータ装置にて実現される。本実施の形態では、情報処理装置又は監視装置の一例として、サーバ２０を設けている。

アクセスポイント７５ａ，７５ｂは、無線ＬＡＮ端末１０からインターネット８０への接続を可能とする無線ＬＡＮ機器で、無線ＬＡＮ端末１０が有する無線ＬＡＮインターフェイスと同じ無線インターフェイスを有する。尚、図では、アクセスポイント７５ａ，７５ｂを示したが、これらを区別する必要がない場合は、アクセスポイント７５と称することもある。また、図には、２台のアクセスポイント７５しか示していないが、３台以上のアクセスポイント７５を設けてもよい。
移動体通信網７０ａ，７０ｂは、無線ＬＡＮ端末１０をインターネット８０に接続するための通信網である。尚、図では、移動体通信網７０ａ，７０ｂを示したが、これらを区別する必要がない場合は、移動体通信網７０と称することもある。また、図には、２つの移動体通信網７０しか示していないが、３つ以上の移動体通信網７０を設けてもよい。
インターネット８０は、ＴＣＰ／ＩＰを用いて構築された世界的なコンピュータネットワーク（The Internet）である。

ところで、無線ＬＡＮ端末１０に信頼できるアクセスポイントのＥＳＳ−ＩＤ名を登録することによりアクセスポイントに自動接続する設定を行うと、同じＥＳＳ−ＩＤ名を持つ信頼できないアクセスポイントにも勝手に接続してしまう場合がある。
例えば、移動体通信網７０ａを信頼できない通信網、移動体通信網７０ｂを信頼できる通信網とし、アクセスポイント７５ａ，７５ｂのＥＳＳ−ＩＤ名は何れも「ＡＰ」であるとする。また、無線ＬＡＮ端末１０には、移動体通信網７０ｂのＷｉ−Ｆｉ電波が届くエリア内でアクセスポイント７５ｂに自動的に接続するように、ＥＳＳ−ＩＤ名「ＡＰ」が登録されているとする。このような状況で、無線ＬＡＮ端末１０が移動体通信網７０ａのＷｉ−Ｆｉ電波が届くエリアに入ったとする。ここで、アクセスポイント７５ａが、パスワード認証の成功／失敗に関わらず、接続要求が来たら全て許可する構成になっているとすると、無線ＬＡＮ端末１０はアクセスポイント７５ａに自動接続してしまう。そして、移動体通信網７０ａが不正なネットワークであれば、接続完了後、無線ＬＡＮ端末１０に対し、攻撃（マルウェア感染活動や盗聴行為等）が行われることになる。

そこで、本実施の形態では、無線ＬＡＮ端末１０とサーバ２０とが協働して、信頼できないアクセスポイント７５との間の通信を監視できるようにした。
まず、無線ＬＡＮ端末１０の機能構成について説明する。
図２は、無線ＬＡＮ端末１０の機能構成例を示したブロック図である。
図示するように、無線ＬＡＮ端末１０は、通信制御部１１と、信頼済アクセスポイント管理部（以下、「信頼済ＡＰ管理部」という）１２と、信頼済アクセスポイント情報記憶部(以下、「信頼済ＡＰ情報記憶部」という)１３とを備える。また、ルール情報解析部１４と、ルール情報生成部１５と、ルール適用部１６と、表示制御部１７と、ログ管理部１８とを備える。

通信制御部１１は、無線ＬＡＮ端末１０とアクセスポイント７５との間の通信を制御する。即ち、アクセスポイント７５に関する情報（以下、「接続先情報」という）のアクセスポイント７５からの受信、無線ＬＡＮ端末１０に関する情報（以下、「端末情報」という）及び接続先情報のサーバ２０への送信、端末情報及び接続先情報に基づいて生成されたルール情報のサーバ２０からの受信を制御する。尚、接続先情報については、後述する。また、端末情報は、無線ＬＡＮ端末１０を識別する情報であり、例えば、ＭＡＣアドレスを用いることができる。本実施の形態では、特定のアクセスポイントを識別するための識別情報の一例として、接続先情報を用いており、識別情報を受信する受信手段又は第１の受信手段の一例として、通信制御部１１を設けている。また、識別情報又はログを情報処理装置に送信する送信手段の一例として、更には、識別情報を監視装置に送信する送信手段又は第１の送信手段の一例として、通信制御部１１を設けている。更に、特定のアクセスポイントとの接続を遮断する遮断手段の一例として、通信制御部１１を設けている。

信頼済ＡＰ管理部１２は、信頼済ＡＰ情報記憶部１３に記憶された情報に基づいてアクセスポイント７５が信頼済であるかどうかを判定したり、新規のアクセスポイント７５が信頼できることが判明した場合にこのアクセスポイント７５が信頼済である旨の情報を信頼済ＡＰ情報記憶部１３に記憶したりする。本実施の形態では、信頼できるアクセスポイントである旨の情報を登録する登録手段の一例として、信頼済ＡＰ管理部１２を設けている。
信頼済ＡＰ情報記憶部１３は、信頼済のアクセスポイント７５に関する情報（信頼済アクセスポイント情報）を記憶する。

ルール情報解析部１４は、サーバ２０から受信したルール情報又は無線ＬＡＮ端末１０で生成したルール情報を解析してアクション及び監視方法を決定する。
ルール情報生成部１５は、サーバ２０に端末情報及び接続先情報を送信してルール情報を生成してもらえない環境にいる場合に、無線ＬＡＮ端末１０側で保持する情報に基づいてルール情報を生成する。
ルール適用部１６は、ルール情報解析部１４が決定したアクションを実行したり、ルール情報解析部１４が決定した監視方法を設定したりする。
表示制御部１７は、ルール適用部１６がアクションして警告を実行する場合に、警告表示を行うように表示機構を制御する。本実施の形態では、警告を行う警告手段の一例として、表示制御部１７を設けている。
ログ管理部１８は、ルール適用部１６がアクションとしてロギングを実行する場合に、通信制御部１１から通信ログ（トラフィックログ）を採取して記録する。本実施の形態では、通信のログを記録する記録手段の一例として、ログ管理部１８を設けている。

ここで、信頼済ＡＰ情報記憶部１３に記憶された信頼済アクセスポイント情報について説明する。
図３は、信頼済アクセスポイント情報の具体例を示した図である。
図示するように、信頼済アクセスポイント情報は、ＥＳＳ−ＩＤ（Extended Service Set Identifier）、通信方式、暗号方式、ＭＡＣアドレス、論理アドレス情報を対応付けたものとなっている。

このうち、ＥＳＳ−ＩＤは、ＩＥＥＥ８０２．１１シリーズの無線ＬＡＮにおけるネットワークの識別子である。
通信方式は、ＩＥＥＥ８０２．１１シリーズにおける規格名を示しており、ＩＥＥＥ８０２．１１ａ、ＩＥＥＥ８０２．１１ｂ、ＩＥＥＥ８０２．１１ｇ、ＩＥＥＥ８０２．１１ｎ等が設定される。
暗号方式は、無線ＬＡＮにおける暗号化方式の規格名を示しており、「ＷＥＰ（Wired Equivalent Privacy）」、「ＷＰＡ（Wi-Fi Protected Access）」、「ＷＰＡ２（Wi-Fi Protected Access 2）」、「なし」等が設定される。
論理アドレス情報は、ＤＨＣＰ（Dynamic Host Configuration Protocol）環境下でアクセスポイント７５に割り当てられたＩＰアドレス、このＩＰアドレスの一部であるネットワークアドレス、移動体通信網７０とインターネット８０とを結ぶゲートウェイのＩＰアドレス、移動体通信網７０でアドレス解決に用いられるＤＮＳサーバのＩＰアドレス等を含む。

尚、この信頼済アクセスポイント情報のうちＥＳＳ−ＩＤ以外の情報は、ハッシュ化して記憶しておいてもよい。つまり、信頼済アクセスポイント情報を、ＥＳＳ−ＩＤとハッシュ値の組み合わせで保持しておいてもよい。

次に、サーバ２０の機能構成について説明する。
図４は、サーバ２０の機能構成例を示したブロック図である。
図示するように、サーバ２０は、受信部２１と、ルール情報生成部２２と、アクション定義記憶部２３と、送信部２４とを備える。

受信部２１は、無線ＬＡＮ端末１０から端末情報及び接続先情報を受信する。本実施の形態では、識別情報を受信する第２の受信手段の一例として、受信部２１を設けている。
ルール情報生成部２２は、無線ＬＡＮ端末１０とアクセスポイント７５との通信に関して適用するルールに関する情報（ルール情報）を生成する。ルール情報は、無線ＬＡＮ端末１０のグループ（以下、「端末グループ」という）の単位で作成できるようにする。また、ルール情報は、無線ＬＡＮ端末１０が実行すべきアクションを指定する。ここで、アクションには、遮断、警告、ロギング、許可の何れかが設定される。更に、アクションとしてロギングが指定された場合、ルール情報は、無線ＬＡＮ端末１０における通信の監視方法も指定する。本実施の形態では、特定のアクセスポイントの信頼性が第１の基準又は第２の基準を満たすかどうかを判定する判定手段の一例として、ルール情報生成部２２を設けている。
アクション定義記憶部２３は、ルール情報が指定するアクションをルール情報生成部２２が決定する際に参照するアクション定義を記憶する。
送信部２４は、ルール情報生成部２２が生成したルール情報を無線ＬＡＮ端末１０に送信する。本実施の形態では、判定結果を送信する第２の送信手段の一例として、送信部２４を設けている。

ここで、アクション定義記憶部２３に記憶されたアクション定義について説明する。
図５は、アクション定義の具体例を示した図である。
図示するように、アクション定義は、端末グループと環境レベルの組み合わせに対して、無線ＬＡＮ端末１０に実行させるアクションを定義したものとなっている。
ここで、端末グループは、無線ＬＡＮ端末１０のグループである。図では、端末グループとして、「Ａ」、「Ｂ」、「Ｃ」の３つを示しているが、どのような端末グループを設けるか、幾つの端末グループを設けるか等は、サーバ２０の管理者が自由に設定できる。
また、環境レベルは、移動体通信網７０がどの程度信頼できる環境であるかを示す指標である。「高」が最も信頼できる環境であり、「低」が最も信頼できない環境であることを示している。

次いで、本実施の形態の動作について説明する。
上述したように、本実施の形態は、無線ＬＡＮ端末１０とサーバ２０とによって実行される。
そこで、まず、無線ＬＡＮ端末１０の動作について説明する。尚、この動作に先立ち、無線ＬＡＮ端末１０には、接続環境の切り替わりを検知するためのＩＰアドレスの監視や、接続先環境及び信頼済環境のデータのサーバ２０への転送を行うエージェントをインストールしておくものとする。

図６は、無線ＬＡＮ端末１０の動作例を示したフローチャートである。
無線ＬＡＮ端末１０では、まず、通信制御部１１が、アクセスポイント７５ａに接続し、通信を開始する（ステップ１０１）。尚、このとき、通信制御部１１は、アクセスポイント７５ａのＥＳＳ−ＩＤ、通信方式、暗号方式、ＭＡＣアドレスを取得し、信頼済ＡＰ管理部１２に受け渡す。
次に、信頼済ＡＰ管理部１２が、ステップ１０１で渡されたＥＳＳ−ＩＤ、通信方式、暗号方式、ＭＡＣアドレスを用いて、アクセスポイント７５ａが信頼できるものと判断済（信頼済）であるかどうかを判定する（ステップ１０２）。具体的には、ステップ１０１で渡されたＥＳＳ−ＩＤ、通信方式、暗号方式、ＭＡＣアドレスの組み合わせが、図３に示した信頼済アクセスポイント情報に含まれるかどうかを調べる。

その結果、アクセスポイント７５ａが信頼済でないと判定された場合、通信制御部１１は、アクセスポイント７５ａが信頼できるものかどうかを判断するために、図３で説明した論理アドレス情報を取得する（ステップ１０３）。尚、この論理アドレス情報は、既存技術を用いて取得可能である。
一方、アクセスポイント７５ａが信頼済であると判定された場合であっても、実際には信頼済ではないこともある。例えば、ＭＡＣアドレスが偽装され、それが信頼済のアクセスポイント７５のＭＡＣアドレスと一致しているような場合である。ステップ１０２では、ＥＳＳ−ＩＤ、通信方式、暗号方式、ＭＡＣアドレスしかチェックしていないため、このような場合、信頼済ＡＰ管理部１２は、信頼済でないにも関わらず、信頼済と判定してしまう。そこで、信頼済であるかどうかをより厳密に判断するため、通信制御部１１は、論理アドレス情報を取得し、信頼済ＡＰ管理部１２に受け渡す（ステップ１０４）。そして、信頼済ＡＰ管理部１２が、この論理アドレス情報を用いて、アクセスポイント７５ａが信頼済であるかどうかを判定する（ステップ１０５）。具体的には、ステップ１０４で渡された論理アドレス情報が、図３に示した信頼済アクセスポイント情報に含まれるかどうかを調べる。

そして、ステップ１０２で「Ｎｏ」と判定された場合、又は、ステップ１０５で「Ｎｏ」と判定された場合、アクセスポイント７５ａは、新規のものであり、信頼できるかどうか分からない。従って、ステップ１０１及びステップ１０３、又は、ステップ１０１及びステップ１０４で取得した接続先情報を用いて、アクセスポイント７５ａが信頼できるものかどうかを分析する処理が行われる。
但し、ここでの処理は、無線ＬＡＮ端末１０の近くに信頼済のアクセスポイント７５ｂがあるかどうかによって異なる。そこで、まず、通信制御部１１は、近くに信頼済のアクセスポイント７５ｂがあるかどうかを判定する（ステップ１０６）。

その結果、近くに信頼済のアクセスポイント７５ｂがあったとすると、アクセスポイント７５ａが信頼できるかどうかをサーバ２０に問い合わせることにより判断する。即ち、まず、通信制御部１１は、図示しないメモリに記憶された端末情報と自身が受信した接続先情報とを、信頼済のアクセスポイント７５ｂ及び移動体通信網７０ｂを介してサーバ２０に送信し、応答待ちの状態にする（ステップ１０７）。その後、図７を参照して後述するように、サーバ２０では、無線ＬＡＮ端末１０に適用するルールを示すルール情報が生成され、これが無線ＬＡＮ端末１０に送信されてくるので、無線ＬＡＮ端末１０では、通信制御部１１が、このルール情報を受信する（ステップ１０８）。

一方、近くに信頼済のアクセスポイント７５ｂがなかったとすると、安全にサーバ２０に情報を送信することができないので、アクセスポイント７５ａが信頼できるかどうかを、サーバ２０に問い合わせることなく、ローカルで判断する。つまり、ルール情報生成部１５が、サーバ２０内のルール情報生成部２２と同様の処理を行うことにより、アクションと監視方法とを指定するルール情報を生成する（ステップ１０９）。但し、無線ＬＡＮ端末１０にはサーバ２０ほど大量のデータを記憶できないこと、無線ＬＡＮ端末１０内のデータとサーバ２０内のデータを常に同期させることはできないことから、ルール情報生成部１５におけるルール情報の生成は、サーバ２０内のルール情報生成部２２におけるルール情報の生成と比べると、簡易的な処理となる。

その後、ルール情報解析部１４は、ステップ１０８で受信したルール情報、又は、ステップ１０９で生成したルール情報を解析して、アクション及び監視方法を特定し、これらをルール適用部１６に渡す（ステップ１１０）。
ここで、アクションには、遮断、警告、ロギング、許可がある。そこで、ルール適用部１６は、アクションが許可であるかどうかを判定する（ステップ１１１）。

その結果、アクションが許可でなければ、つまり、遮断、警告、ロギングの何れかであれば、ルール適用部１６は、該当する処理を行う（ステップ１１２）。具体的には、アクションが遮断であれば、ルール適用部１６は、通信制御部１１に対して、アクセスポイント７５ａとの接続を遮断するように指示し、通信制御部１１はこれに応じて接続を遮断する。また、アクションが警告であれば、ルール適用部１６は、表示制御部１７に対して、警告の表示を制御するように指示し、表示制御部１７はこれに応じて警告の表示を制御し、これに対して接続の遮断／継続の指示が入力されると、その指示に応じた処理を行う。更に、アクションがロギングであれば、ルール適用部１６は、ログ管理部１８に対して、通信ログを記録するように指示し、ログ管理部１８はこれに応じて通信ログを記録する。

次に、ルール適用部１６は、ステップ１１２で通信ログを記録した場合には、ログ管理部１８に対して、ステップ１１０で特定された監視方法を設定する（ステップ１１３）。ここで、監視方法には、ログ転送方法、ログ解析方法、ログ監視方法等があるが、以下では、このうち、ログ転送方法を例にとって説明する。このログ転送方法としては、「リアルタイムにログを転送」、「信頼済環境接続時にログを転送」、「特定環境接続時にログを転送」等の何れかが設定される。例えば、「リアルタイムにログを転送」が設定されていれば、ログ管理部１８は、信頼済のアクセスポイント７５ｂ及び移動体通信網７０ｂを介してリアルタイムで通信ログをサーバ２０に転送する。但し、信頼済のアクセスポイント７５ｂを介して通信可能でない場合、通信ログは転送しない。「信頼済環境接続時にログを転送」が設定されていれば、ログ管理部１８は、信頼済のアクセスポイント７５ｂを介して通信可能になった時点で通信ログをサーバ２０に転送する。「特定環境接続時にログを転送」が設定されていれば、ログ管理部１８は、特定のアクセスポイント７５を介して通信可能になった時点で通信ログをサーバ２０に転送する。このようにして通信ログの転送を受けると、サーバ２０は、通信ログの解析を開始し、不正アクセスの検知を実行したり、利用状況の確認のための情報を生成したりする。

一方、ステップ１１１でアクションが許可であれば、通信制御部１１は、受信した接続先情報を信頼済ＡＰ管理部１２に受け渡し、信頼済ＡＰ管理部１２が、受け渡された接続先情報を信頼済ＡＰ情報記憶部１３に記憶する（ステップ１１４）。

ところで、前述したステップ１０５で「Ｙｅｓ」の場合、アクセスポイント７５ａが信頼済である可能性は極めて高い。従って、この場合は、接続状態を維持し、遮断、警告、ロギングは行わない。但し、先にサーバ２０から受信したルール情報に「信頼済環境接続時にログを転送」というログ転送方法が指定されていれば、無線ＬＡＮ端末１０は、蓄積した通信ログをこの時点でサーバ２０に転送することになる。フローチャートでは、このときの処理を示している。即ち、ログ管理部１８は、先の通信で採取した通信ログを通信制御部１１に受け渡し、通信制御部１１が、通信ログをアクセスポイント７５ａ及び移動体通信網７０ａを介してサーバ２０に転送する（ステップ１１５）。

次に、サーバ２０の動作について説明する。
図７は、サーバ２０の動作例を示したフローチャートである。
サーバ２０では、まず、受信部２１が、無線ＬＡＮ端末１０から端末情報と接続先情報とを受信し、ルール情報生成部２２に受け渡す（ステップ２０１）。

すると、ルール情報生成部２２は、まず、ステップ２０１で渡された端末情報に基づいて、端末グループを特定する（ステップ２０２）。例えば、無線ＬＡＮ端末１０の識別情報と、無線ＬＡＮ端末１０が属する端末グループの識別情報との対応が登録されていれば、端末情報として渡された識別情報に対応する端末グループを特定する。
また、ルール情報生成部２２は、ステップ２０１で渡された接続先情報に基づいて、環境レベルを判定する（ステップ２０３）。例えば、信頼できるアクセスポイントの接続先情報を管理者が予め登録しておき、受け渡された接続先情報と、この管理者が登録した接続先情報とがどの程度一致しているかに応じて、環境レベルを判定する。

更に、ルール情報生成部２２は、ステップ２０２で特定した端末グループとステップ２０３で判定した環境レベルの組み合わせに基づいて、無線ＬＡＮ端末１０が行うべきアクションを決定する（ステップ２０４）。具体的には、アクション定義記憶部２３を参照し、ステップ２０２で特定した端末グループに対応し、かつ、ステップ２０３で判定した環境レベルに対応するセルに定義されたアクションを取り出す。
また、ルール情報生成部２２は、ステップ２０４で決定されたアクションに紐付けられた監視方法を抽出する（ステップ２０５）。ここで、監視方法は、アクションが「ロギング」である場合に、採取したログを用いて如何なる監視を行うかを管理者が設定したものである。監視方法には、ログ転送方法、ログ解析方法、ログ監視方法等があるが、このうち、ログ転送方法としては、「リアルタイムにログを転送」、「信頼済環境接続時にログを転送」、「特定環境接続時にログを転送」等が用意される。
その後、ルール情報生成部２２は、ステップ２０４で決定したアクションと、ステップ２０５で抽出した監視方法とを示すルール情報を生成し、送信部２４に受け渡す（ステップ２０６）。

そして、送信部２４が、受け渡されたルール情報を無線ＬＡＮ端末１０に送信する（ステップ２０７）。
以上により、本実施の形態の動作は終了する。

ところで、本実施の形態では、信頼できるアクセスポイント７５が近くにあれば、新規のアクセスポイント７５が信頼できるかどうかをサーバ２０に問い合わせて判定してもらっていた。しかしながら、信頼できるアクセスポイント７５が近くにあるかどうかに関わらず、最初から無線ＬＡＮ端末１０で同様の判定を行うようにしてもよい。つまり、図６において、ステップ１０６の判断を行わず、無条件にステップ１０９に進んでもよい。
また、本実施の形態では、接続先情報として、ＥＳＳ−ＩＤ、通信方式、暗号方式、アクセスポイントのＩＰアドレス、ネットワークアドレス、ゲートウェイのＩＰアドレス、ＤＮＳサーバのＩＰアドレスを例示したが、これらの情報はあくまで一例である。例えば、アクセスポイント７５が設置された場所の物理的な位置を示す位置情報を接続先情報に含めてもよい。但し、このように保持する情報の種類を増やした場合、高セキュリティにはなるが、利便性は低下する。従って、用途に応じて保持する情報の種類は選択できるようにしておくことが望ましい。

以上述べたように、本実施の形態では、信頼できるかどうか不明のアクセスポイント７５が信頼できないと判定された場合に、そのアクセスポイント７５との通信のログを記録するようにした。これにより、信頼できるかどうか不明のアクセスポイントとの間の無線通信を監視することができるようになった。
また、無線ＬＡＮ端末１０で用いるデータ（アクセスポイント７５の状況とその環境レベル）をサーバ２０に集約した。これにより、複数の無線ＬＡＮ端末１０がそのデータを共有できるようになった。

最後に、本実施の形態における無線ＬＡＮ端末１０及びサーバ２０のハードウェア構成について説明する。図８は、このようなコンピュータのハードウェア構成の一例を示した図である。図示するように、コンピュータは、演算手段であるＣＰＵ（Central Processing Unit）９０ａと、Ｍ／Ｂ（マザーボード）チップセット９０ｂを介してＣＰＵ９０ａに接続されたメインメモリ９０ｃと、同じくＭ／Ｂチップセット９０ｂを介してＣＰＵ９０ａに接続された表示機構９０ｄとを備える。また、Ｍ／Ｂチップセット９０ｂには、ブリッジ回路９０ｅを介して、ネットワークインターフェイス９０ｆと、磁気ディスク装置（ＨＤＤ）９０ｇと、音声機構９０ｈと、キーボード／マウス９０ｉと、フレキシブルディスクドライブ９０ｊとが接続されている。

尚、図８において、各構成要素は、バスを介して接続される。例えば、ＣＰＵ９０ａとＭ／Ｂチップセット９０ｂの間や、Ｍ／Ｂチップセット９０ｂとメインメモリ９０ｃの間は、ＣＰＵバスを介して接続される。また、Ｍ／Ｂチップセット９０ｂと表示機構９０ｄとの間は、ＡＧＰ（Accelerated Graphics Port）を介して接続されてもよいが、表示機構９０ｄがＰＣＩ Ｅｘｐｒｅｓｓ対応のビデオカードを含む場合、Ｍ／Ｂチップセット９０ｂとこのビデオカードの間は、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）バスを介して接続される。また、ブリッジ回路９０ｅと接続する場合、ネットワークインターフェイス９０ｆについては、例えば、ＰＣＩ Ｅｘｐｒｅｓｓを用いることができる。また、磁気ディスク装置９０ｇについては、例えば、シリアルＡＴＡ（AT Attachment）、パラレル転送のＡＴＡ、ＰＣＩ（Peripheral Components Interconnect）を用いることができる。更に、キーボード／マウス９０ｉ、及び、フレキシブルディスクドライブ９０ｊについては、ＵＳＢ（Universal Serial Bus）を用いることができる。

１０…無線ＬＡＮ端末、１１…通信制御部、１２…信頼済ＡＰ管理部、１３…信頼済ＡＰ情報記憶部、１４…ルール情報解析部、１５…ルール情報生成部、１６…ルール適用部、１７…表示制御部、１８…ログ管理部、２０…サーバ、２１…受信部、２２…ルール情報生成部、２３…アクション定義記憶部、２４…送信部

Claims (8)

1. 無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことにより当該アクセスポイントに自動的に接続する自動接続機能を有する無線通信装置において、
   前記自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、当該特定のアクセスポイントから当該特定のアクセスポイントを識別するための識別情報を受信する受信手段と、
   前記受信手段により受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、当該特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する登録手段と、
   前記受信手段により受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、当該特定のアクセスポイントを介した通信のログを記録する記録手段と
   を備えたことを特徴とする無線通信装置。
2. 前記受信手段は、前記特定のアクセスポイントが設置された位置を示す位置情報を含む前記識別情報を受信することを特徴とする請求項１に記載の無線通信装置。
3. 前記特定のアクセスポイント以外で通信可能な他のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されている場合に、前記受信手段により受信した前記識別情報を当該他のアクセスポイントを介して情報処理装置に送信する送信手段を更に備え、
   前記特定のアクセスポイントの信頼性が前記第１の基準又は前記第２の基準を満たすとの判定は、前記送信手段により送信された前記識別情報に基づいて、前記情報処理装置によりなされることを特徴とする請求項１に記載の無線通信装置。
4. 前記記録手段により記録された前記ログを情報処理装置に送信する送信手段を更に備えたことを特徴とする請求項１に記載の無線通信装置。
5. 前記送信手段は、前記特定のアクセスポイント以外で通信可能な他のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されている場合に、前記記録手段により記録された前記ログを当該他のアクセスポイントを介して前記情報処理装置に送信することを特徴とする請求項４に記載の無線通信装置。
6. 無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことにより当該アクセスポイントに自動的に接続する自動接続機能を有する無線通信装置と、
   前記無線通信装置による無線通信を監視する監視装置と
   を備え、
   前記無線通信装置は、
   前記自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、当該特定のアクセスポイントから当該特定のアクセスポイントを識別するための識別情報を受信する第１の受信手段と、
   前記第１の受信手段により受信した前記識別情報を前記監視装置に送信する第１の送信手段と、
   前記特定のアクセスポイントの信頼性が第１の基準を満たす旨の判定結果が前記監視装置から送信された場合に、当該特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する登録手段と、
   前記特定のアクセスポイントの信頼性が第２の基準を満たす旨の判定結果が前記監視装置から送信された場合に、当該特定のアクセスポイントを介した通信のログを記録する記録手段と
   を備え、
   前記監視装置は、
   前記第１の送信手段により送信された前記識別情報を受信する第２の受信手段と、
   前記第２の受信手段により受信した前記識別情報に基づいて、前記特定のアクセスポイントの信頼性が前記第１の基準又は前記第２の基準を満たすかどうかを判定する判定手段と、
   前記判定手段による判定結果を前記無線通信装置に送信する第２の送信手段と
   を備えたことを特徴とする無線通信監視システム。
7. 無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことにより当該アクセスポイントに自動的に接続する自動接続機能を有する無線通信装置において、
   前記自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、当該特定のアクセスポイントから当該特定のアクセスポイントを識別するための識別情報を受信するステップと、
   受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、当該特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録するステップと、
   受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、当該特定のアクセスポイントを介した通信のログを記録するステップと
   を含むことを特徴とする無線通信方法。
8. 無線通信を行う際に利用するアクセスポイントの情報を予め設定しておくことにより当該アクセスポイントに自動的に接続する自動接続機能を有する無線通信装置に、
   前記自動接続機能によって接続した特定のアクセスポイントが信頼できるアクセスポイントである旨の情報が登録されていない場合に、当該特定のアクセスポイントから当該特定のアクセスポイントを識別するための識別情報を受信する機能と、
   受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第１の基準を満たすと判定された場合に、当該特定のアクセスポイントが信頼できるアクセスポイントである旨の情報を登録する機能と、
   受信した前記識別情報に基づいて前記特定のアクセスポイントの信頼性が第２の基準を満たすと判定された場合に、当該特定のアクセスポイントを介した通信のログを記録する機能と
   を実現させるためのプログラム。

Images