TWI272795B - Method and system for detecting a rogue access point and device for determing the rogue access point - Google Patents

Description

1272795 九、發明說明： 【發明所屬之技術領域】 本發明涉及^軌領域’尤其涉及—__法基地 方去、糸統及確定非法基地臺之裂置。 【先前技術】 在傳統的有線網路中’網路入侵者要進入公 入侵者，先進入公司的建築物找到一個乙太網連‘ ^ ^ -連接後才能開始I取公司機密。這些實體的障礙增加了入户者 的困難。 又百 要在侵杯錢人公5爾築物，只需 要在無線祕的覆—_，放—個未授㈣基 ρΓ^ΐΓ 士員工就有可能無意中連接到該基地臺並把公司秘密ί 侵者就可以藉由該基地臺連接公司網i ^他、。，種未授權的基地臺通常被稱為 (Rogue access pomt)。因此，在無線網路中，要防止非法心 題’迫切需要測非法基地臺之方法： 止非種侧料祕臺之紐，其可防 本，明之另一目的在於提供一種_非法基 可防止非法基地臺帶來的安全問題。 至之系、，先其 本發明之又-目的在於提供一種確定非法基 可防止非法基地臺帶來的安全問題。 至之裝置其 t達成上述目的，本發明之偵測非法基地臺之方 1::二基=二味基地臺之裝置;㈣ 3聯繫列表’並將基地臺列表及站點聯繫列表發i^去二 疋非法基地臺之裝置接收基地臺列表及站點聯繫列表；以^根 6 1272795 據基地臺列表及站點聯繫列表來確 是否為非絲地臺。 4 “基地—財每-個基地臺 -ί "ί ；®； 4 _ b 基1列表及站點聯繫列表。確定非法 ί 基=二

點聯繫列表來確定基地臺列&每-個基地臺ϊϊ 社ΐί成上述又—目的，本發明之確定非法基地臺之裝置包括 二及一判斷模組。接收模組係用於接收-基地臺列表及 ，繫列表來確定基地臺中每—個基地臺是否為非 =明之_非法基地臺之方法可確定非法基地臺，並對非 =地堂進行處理，防止非法基地臺帶來的安全醜，從而確保 無線網路的安全。

曰1下對具體實施方式詳細的描述結合附圖，將可輕易的 瞭解上述内容及此項發明之諸多優點。 【實施方式】 =一^圖為本發明偵測非法基地臺之系統實施方式之架構圖。 在本貝施方式中，偵測非法基地臺之系統包括本地網路(丨沉“ netw〇rk)10^)、確定非法基地臺之裝置11〇、複數本地基地臺(i〇cai AP)120、複數站點(贫此〇11)12卜1M、複數偵測基地臺13〇、外地 網路200也基地臺21〇、外地站點2n、非法基地臺3〇〇以及 獨立基地臺400。其中，複數站點12卜131及外地站點211係可 以被用來連接到無線網路上的客戶端，其可以係移動的、方便攜 7 1272795 =(:=等’ _，峨_、手機、個人數位 無線裝置，故，在本實姆簡、f交換機或其他 地工:20及複數偵測基地臺13〇皆以有線；二T基 到侧A地^ί Λ t地臺⑽。複數站點131無線連接 =的基地臺及其聯繫狀況，以獲得-基地臺列表 it 括貞測基地臺⑽覆蓋範圍内的所有基地臺， 般包括基地臺列表中每—個基地臺之 二 =機U0細貞測基地臺13〇所傳送之基地臺列表及_聯^ ϋί根據基地臺列表及站點聯繫列表確定基地臺列表中‘二 個基地臺是否為非法基地臺。 中母 益線線連接到外地網路200，外地站點211 10。在本實施方式中，外地基地臺210 从130的覆蓋範圍内。獨立基地臺·係新安裝的基 也Ϊ二ΐΐΐ何站點連接到獨立基地臺400，獨立基地臺400 也在偵測基地臺130的覆蓋範圍内。 本貫施方式中，當非法基地臺300在偵測基地臺130的覆 ，乾圍内，站點131無意中連接到非法基地臺3〇〇，網路入侵者可 猎由非法基地臺3GG從站點131獲取機密資訊。故，偵測基地臺 130需掃描其覆蓋麵⑽基地臺及其膽狀況，以獲得基地臺列 ，及站點卿縣，並絲地臺触及賴聯㈣轉送給益線 交換機110。無線交換機11〇接收偵測基地臺13〇所傳送之基地臺 列，及站點聯繫列表，並根據基地臺列表及站點聯繫列表確定基 地臺列表中每一個基地臺是否為非法基地臺。在本實施方式中, 1272795 無線，換機110藉由判斷基地臺列表中每一個基地臺是否預先授 權，疋否直接有線連接到無線交換機丨10，是否有聯繫客戶以及 -步判斷該聯繫客戶是否為有效客戶，即可確定基地臺列表中每 -個基地臺是科非絲地臺。絲地臺既未預先授權，又未直 接有^接到無線交換機110,又有聯繫客戶，而且該聯繫客戶是 ，效各戶，基地堂為非法基地臺。從而，無線交換機110可確 定非法基地堂300係非法的，然後通知工作人員處 300,防止了非法基地臺300帶來的安全問題。处非法基地！ f閱第二圖，為本發明實财式中綱基地臺13〇之模。 ，本貫施方式中’細基地臺13〇包括—掃描模組132、 巧組134以及-發送模、组136。掃描模組132係用於掃 其 = 基地臺及其聯繫狀況，以獲得基地臺列^ 方式中，掃描模組132採用被動掃描 ^㈣田所有無線通道之信標訊框（beac〇n frame)，以 掃描所有無線通道之聯繫訊框，以獲得站點聯繫 έ n:繫雜包括資料訊框、管理訊框及控制訊框。列表儲存 存上獅描的結果’㈣靖存基地臺列表及 3 ί 2。在本實施方式中，_基地臺⑽更產生： ^伯二基地臺列表及站點聯繫列表。發送模組Β6係用於 ^达偵測報告給無線交換機nQ。 ，、用於 在本發明無線交換機110實施方式之模組圖。 久碎仔接組116。接收杈組U2係用於垃你占 果組114。儲存模組116胁儲存 ^表傳 1272795 客戶列表116b中。判斷模組114包括一授權判斷模组U4a、— 接判斷模組114b以及一客戶判斷模組U4c。 授權判斷模組114a係用於判斷所接收之基地臺列表中每一個 基地臺是否預先授權，並將基地臺列表中未預先授權之基地臺及 ，聯繫站點傳送給連接判斷模組114b。在本實施方式中，授權判 ，模組114a根據基地臺是否屬於授權基地臺列表丨丨如來判斷基地 臺是否預先授權。若基地臺屬於授權基地臺 U6a，則基ς臺 ^先授權’換言之，此基地臺不是非法基地臺；若基地臺不屬ς 扫:權基地臺列表116a，則基地臺未預先授權。 ^連接判斷模組114b係用於判斷所接收之基地臺列表中夫子g券 ，權的基地臺是否直接連接到無線交換機則，並將基地臺列表中 未=先授權且未直接連制無線交換機11G之基地臺及其聯 點巧达給客戶判斷模組114e。在本實施方式中，無線交換機⑽ 發达一地址解析協定（Address Res〇luti〇n Pr〇t〇c^，A处）、 5 ARP tfl (reVy) =組⑽判定基地臺直接連接到無線交換機110，此 :玄不疋非法基地臺；若基地臺不傳回該AR?reply，則連 斷模組114b判定基地臺未直接連接到無線交換機ιι〇。、 授 =T 聯繫客戶是否屬於有效“=聯 是^有稱^斷減收根據基地臺之聯繫站點來判斷基地臺 戶，^基地臺沒有聯繫站點，則基地臺沒有聯繫客 有聯繫非法基地臺；若基地臺有聯繫站點，則基地臺 屬丄有效客戶判斷模纽114^進—步判斷該聯繫客戶是否 定基地臺不是“上b:衫狀极客戶触，則可確 定基地臺^赚恤鳩職，則可確 1272795 參閱第四圖，為本發明偵測非法其沾# ，程圖。在本$之方法實施方式之流 中為在第一圖所示的偵輪基地臺之系統 法基地臺之存在。 ’必·測且確認非 在步驟S400，^貞測基地臺13〇之掃描模会且牵— 圍内的基地臺及其聯繫狀況，獲得基 ^田一设孤犯 表。在本實施方式中，掃描模組繫列 有無線通道之信標訊框（beac〇n frame)，以’=描:斤 • 2驟1〇Λ包括資料訊框、管理訊框及控制訊框。 _ 之贿特池134儲存掃描 、、32之拎描結果，即基地臺列表及站點聯繫列表。 模ΪΞί地臺130之發送模組136根據列表儲存 、二、"所儲存基地室列表及站點聯繫列表產生-侧報主， 告給無線交換機11G。在本實施方式中，_報:包 括基地臺列表及站點聯繫列表。 ^ ^步驟S406 ’無線交換機11〇之接收模组112接收偵測 • Ϊ僂之偵測報告’並將其㈣地臺列表及站點聯ΐ列 馨表和給觸额114 t賴湖晴組ma。 ㈣ 你夕ί t S4〇S ’無線交換機110之授權判斷模組114a判斷所接 個基地臺是否預先授權，並將基地臺列表 /ίΞΐϊΐ基室及其聯繫站點傳送給連接判斷模組⑽。 細116中’授權判斷模組114a根據基地臺是否屬於儲存模 ，，.6中的授權基地臺列表116&來觸基地臺是否預先授權。、 j基地臺屬於授權基地臺列表腕，則基地臺為預先授 ί效客儲雜組116把授職地臺之聯繫職增加到 如果基地臺不屬於授權基地臺列表116a，則基地臺未預先授 11 1272795 權’在步驟S412，連接判斷模組114b判斷所接收之基地臺列表中 未預先授權之基地臺是否直接連接到無線交換機11〇,並將基地臺 列表中未預先授權且未直接連接到無線交換機11〇之基地臺及其 聯繫站點傳送給客戶判斷模組U4c。在本實施方式中，無線交^ 機110發送一 ARP request給基地臺，若基地臺傳回一 ARp re=、 則連接判斷模組114b判定基地臺直接連接到無線交換機11〇，此 基地臺不是非法基地臺，如步驟S414，·若基地臺不傳回爷ARp ’則連接判斷模組114b判定基地臺敍接連接到無線交換機 110 〇 因此，如果基地臺直接連接到無線交換機110，在步驟S414， 連接判斷模組114b確定基地臺不是非法基地臺。 如果基地臺未直接連接到交換機110，在步驟S416，客戶 =組，觸所接收之基地臺列表巾未預先授觀未直接連接 iL線交換機110之基地臺是否有聯繫客戶。在本實施方式中， 斷模組114e根據基地臺之聯繫站點來判斷祕臺是否有聯 如果基地臺沒有聯繫站點，則基地臺 mm,^ 客戶繫站點’則基地臺有聯繫客戶，在步驟s·， 步判斷基地臺之聯繫客戶是否屬於有效客 S422如ίΐϋ之聯繫客戶不屬於有效客戶酿服，在步驟 方大中ί組U4C確定基地臺不是非法基地臺。在本實施 式中，此基地$被判斷為外地基地臺。 如果基地臺之聯繫客戶屬於有效客 二=模㈣4C確定基地臺為非法= …線父換機110確定非法基地臺後，通知卫作人員處理非法 12 1272795 基地呈防止非法基地堂所帶來的安全問題， 的安全。 從而確保無線網路 综上所述，本發明符合發明專利要件，爰依法 惟’以上所述者僅為本發明之較佳實施方式，舉 ^获 之人士，在援依本㈣明精神所作之等效修飾或魏:本案技蟄 於以下之申請專利範圍内。 【圖式簡單說明】 ^二明2測非基地臺之系統實施方式之架構圖 了圖係本1明實施方式中侧基地臺之模組圖。 ^二Ϊ係本發_定非法基地臺之裝置實施方式之模纽圖 ^係本發明制非法基地臺之方法實施方式之流程 L主要元件符號說明】 Μ 本地網路 ^定非法基地臺之裝置(無線交換機） 接收模組 ^ 皆應包含 判斷模組 授權判斷模組 連接判斷模組 客戶判斷模組 储存模組 授權基地臺列表 有效客戶列表 本地基地臺 站點 偵剛基地臺 掃推模組 歹*1表彳諸存模組 發送模組 外地網路 100 110 112 114 114a 114b 114c 116 116a 116b 120 12卜 130 132 134 136 200 131 13 1272795 外地基地臺 210 外地站點 211 非法基地臺 300 獨立基地臺 400

14

Claims (1)

1272795 十、申請專利範圍： l種偵測非法基地臺之方法，包括以下步驟·· 提供一偵測基地臺及一確定非法基地臺之裝置； 其覆蓋範圍内的基地臺及其聯繫狀況； ΤΪ1 站點聯繫職，並將絲地臺列表及令 站點聯繫列表傳送出去； 至〜衣及s 藉歹m咕基地臺之裝置接收該基地臺列表及該站點聯繫 根據該基地臺列表及該站點聯繫列每 -個基地臺是否為-非法基地臺。、表中母 2.=申請專魏㈣1項所叙細彳非絲地臺之方法， =基地臺列表·職婦列表之步驟包括以下步驟、中"又 ^田所有通相的信標赌，轉得該基地細表 ^所有通勒的聯繫龍，顿得制 3=請專利範圍第i.項所述之偵測非 之二 fi基？列表及該站點聯繫列表來確定該基地臺列 個是否為非法基地臺之步驟包括以下步驟： ]表中母 判斷每一基地臺是否預先授權； 峨娜嫩嶋連接到該確 表’包括複數預先授權之有效客戶端名單； ίί表IP客戶’則判斷該聯繫客戶是否屬於該有效客 右2繫客戶屬於該有效客戶列表，則確定該基地臺為非法基 《如申請專利範圍第3項所述之偵測非法基地臺之方法，其更包括 15 1272795 =步驟.若絲地臺為預先授權，則把地纟 加到該有效客戶列表。 娜緊站點 5. 如ΐ請專利範圍第3項所述之偵測非法基地臺之方法 :基，直接連接到該確定非法基地臺之G 則確定該基地臺不是非法基地臺。 衣夏 6. 如申請專利範圍第3項所述之伽非法基地臺之方法，置 若該基地臺沒有聯繫客戶’則確定該基地臺^是非 7. 如申請專利範圍第3項所述偵 地臺不是非法基地臺。 』雏疋4基 Ϊ 3j所狀侧非絲地臺之方法，其中該判 、土地S：疋否預先授權之步驟包括以下步驟： 提供一授權基地臺列表，包括複數授權基地臺名單； 判斷該基地臺是否屬於該授權基地臺列表；以及 Q 地臺屬於雛職地臺職，_基地臺為預先授權。 •如申咕專利範圍第8項所述之偵測非法基地臺之方法，1更包括 ίΐίϊ授i°果該基地臺不屬於該授權基地臺列表，貝憤基地 3項所述之勤徘絲地臺之枝，其中該 疋否μ連接到該確定非法基地臺之農置之步驟 該ϊί非ίί地臺之繼送一地址解析協定請求資訊給該基 右:玄基地臺傳回一地址解析協定回應資訊，則該基地 接到該確定非法基地臺之裝置。 11·如申請專利範圍第1〇項所述之偵測非法基地臺之方法，其更包 Ϊίΐί? ·•絲基地臺不傳回該地址解析協如應資ίκ，ίί 地$未直接連接到該確定非法基地臺之裝置。 16 1272795 12=申請專職圍第3賴狀_非法基地臺之方法，复Φβ !斷該基地臺是否有聯繫客戶之步驟包括以下步驟其中该 该基地臺是否有聯繫站點；以及 ^基地臺，聯繫站點，則基地臺沒有聯繫客戶。 ^申睛專職目f 12韻狀偵_絲 14=1步^:若該基地臺有聯繫站點，則該基地臺包 被° «月專利Ιϋ圍第1項所述之偵測非法基 確定非法基地臺之裝置為一無線交換機。之方法其中該 —種偵測非法基地臺之系統，包括： 一 ί測其覆絲_的基地臺及其聯繫狀 臺列表二“ 點聯繫列表’並發送該基地 一確定非法基地臺之裝置，其包括·· 及接收核組，用於接收該基地臺列表及該站點聯繫列表；以 163表 基所地= 站點聯繫列表包括該基地臺列表中 土^至以及5亥 is.如申請專利範圍第15項所述之 ς其=聯，站點。 偵測基地臺包括-掃描模组，用於基 =室之糸統’其中該 其聯繫狀況。 、T田/、復盍乾圍内的基地臺及 19‘如申請專利範圍第18項之； 偵測基地臺更包括一列表儲存=== 也臺之系統，其中該 該站點聯繫列表。 、用於儲存該基地臺列表及 2〇.如申請專利範圍第19項所述之_非法基地臺之系統，其中該 17 r 1272795 偵測基地臺更包括一發送模組， 存的基地臺列表及該站點聯繫列表。；^达“列表儲存模組所儲 -該 地臺列表及-有效客戶列表，其中該 」堵存—油基 定非法基地臺之裝置之授權基地臺名包括該確 該確定非法基地臺之裝置之有效客戶端名^有效客戶列表包括 非法基地㈣統，㈣ 來判斷丄臺權授權基地臺列表 判斷模組更包括-連接判斷模組、，^基 24 戶列表 判斷該聯繫客戶是否屬於該有效客 25.—種確定非法基地臺之裝置，包括： ：於接收一基地臺列表及一站點聯繫列表；以及 用於根據該基地臺列表及該站點聯繫列表來確定 f基地$職巾每—基地臺是否為非法基地臺。 j請專利範圍第25項所述之確 ，定非法基地臺之裝置為一無線交換機。 《置/水亥 晴專利範圍第25項所述之確定非法基地臺之裝置，其更包 2R λ 存模組’用於儲存—授權基地臺列表及—有效客戶列表。 專利範圍第27項所述之確定非法基地臺之裝置，其中該 j断模f更包括一授權判斷模組，用於根據該授權基地臺列表 AA判斷邊基地臺列表中每__基地臺是否預先授權。 18 1272795 判上Ί乾圍第28項所述之確定非法基地臺之裝置，1中今 子更包括一連接判斷模組，用於判斷該基地臺列表中! w ί她之基地臺技錢連接觸確㈣絲地臺之壯署 ί斷才請==第29項所述之確定非法基地臺之裝置^中今 觸核組更包括—客戶觸餘，用 U亥 預先授權且未直接連接到該確定非法美 Μ土置列表中未 否有聯繫客戶，以及進-步判斷該聯::之裝置之基地臺是 戶列表。 常客戶是否屬於該有效客 19