JP2005184719A - 監視装置、基地局および無線ｌａｎシステム - Google Patents

Abstract

【課題】無線ＬＡＮ内の不正な基地局を検出すると共に、無線ＬＡＮ内の複数の基地局の状態を一元管理可能する。
【解決手段】無線ＬＡＮ内に、複数の基地局から送信される情報を受信する受信手段２３と、上記受信手段により受信した上記情報と予め登録された監視対象の基地局に関する情報２２０から、不正な基地局もしくは状態に変化のあった基地局を検出する検出手段２０と、上記検出手段により検出された上記基地局に関する情報を出力する出力手段２４とを備える監視装置１１を設けた。
【選択図】 図２

Description

本発明は、無線ＬＡＮ(Local Area Network)内の無線基地局を監視（管理）する監視装置、基地局およびこれらから成る無線ＬＡＮシステムに関する。

近年、いつでも・どこでも・簡単にネットワークに接続できる利便性から無線ＬＡＮが普及しつつある。無線ＬＡＮでは、例えば、無線ＬＡＮ対応の無線端末が、社内に設置されたアクセス・ポイントと呼ばれる基地局を介してネットワークに接続される。一方で無線ＬＡＮは、不正に設置された基地局により外部から侵入される可能性がある。従って、無線ＬＡＮを監視・管理して、不正な基地局を検出する装置やシステムの提供が望まれる。例えば特許文献１には、常時基地局から送信される通常のサービス用の電波を互いに受信し、相互監視する基地局間の相互監視方式について記載されている。

特開平６−２７６１６４号公報

上述の従来方式では、基地局間で通常のサービス用の電波を監視するのみなので、無線ＬＡＮ内に設置された不正な基地局を検出することはできない。又、無線ＬＡＮ器機には独自のセキュリティ機能があるが、この機能が設定されていないと、不正に設置された基地局により外部から容易に侵入されてしまう。更に上述の従来方式では、無線ＬＡＮ内の複数の基地局の状態を一元管理できない。

本発明の目的は、無線ＬＡＮ内の不正な基地局を検出することにある。

又、本発明の目的は、無線ＬＡＮ内の複数の基地局の状態を一元管理可能することにある。

上記目的を達成するために本願発明は、無線ＬＡＮ内に複数の基地局を監視する監視装置を設け、上記複数の基地局と上記監視装置との連携により不正な基地局を検出すると共に、上記複数の基地局を一元管理可能とした点に特徴がある。

具体的には、無線ＬＡＮ内の複数の基地局の各々は、他基地局の電波を受信し、上記受信した電波がはじめてであったり、前回と状態が変わっていたらその基地局に関する情報を監視装置に送信する。

監視装置は、上記基地局から送信される情報を受信する受信手段と、上記受信手段で受信した上記情報と予め登録された監視対象の基地局に関する情報から、不正な基地局もしくは状態に変化のあった基地局を検出する検出手段と、上記検出手段により検出された上記基地局に関する情報を出力する出力手段とを備える。

本発明によれば、無線ＬＡＮ内の不正な基地局を検出すると共に、無線ＬＡＮ内の複数の基地局を一元管理することができる。

以下、本発明の実施の形態について、図面を参照して詳細に説明する。図１は、本発明を適用した無線ＬＡＮシステム全体を示す図である。図１において、１１は無線ＬＡＮ監視装置であり、１２、１３といった無線ＬＡＮ基地局（無線通信装置）と有線（太線）によるネットワークで接続されている。１２、１３の無線ＬＡＮ基地局は、それぞれ配下にある無線ＬＡＮ端末（例えば１２の無線ＬＡＮ基地局でいえば１４の無線端末）と無線電波到達範囲（点線）内で無線通信し、無線ＬＡＮ端末のデータを有線のネットワークに中継する。

通常、無線ＬＡＮ基地局の機能として無線ＬＡＮ基地局同士で無線接続は行われないが、今回、届いている無線電波を管理・監視に利用する。仮に無線ＬＡＮ基地局Ｂ１３が管理者に許可されていない（不正の）無線ＬＡＮ基地局であったとしても、無線ＬＡＮ監視装置１１からは有線のネットワークに接続している１つ端末としてしか認識出来ない。（この無線ＬＡＮ基地局Ｂのセキュリティ設定が適切になされてないと、不正の無線ＬＡＮ端末がこれを踏み台に内部のネットワークに侵入出来てしまう）。これが本発明によると、無線ＬＡＮ基地局Ａ１２で無線ＬＡＮ基地局Ｂ１３の無線電波を受信して無線ＬＡＮ監視装置１１と連携することにより、不正な無線ＬＡＮ基地局１３を検出することが可能となる。

図２は、図１における無線ＬＡＮ監視装置１１の構成を示すブロック図である。無線ＬＡＮ監視装置１１は、プロセッサ２０と、プロセッサ２０が実行する管理・監視プログラム２１と、記憶部２２と、受信部２３と、入出力部２４とを備えている。

ここで、管理・監視プログラム２１は、無線ＬＡＮ基地局の各々から送られてきた情報を元に、管理者への連絡などの処理を行うためのものである。記憶部２２には、管理している無線ＬＡＮ基地局の一覧および各無線ＬＡＮ基地局の設定や必要情報が登録された管理対象無線ＬＡＮ基地局一覧表（テーブル）２２０と、各無線ＬＡＮ基地局で検出された稼動中の無線ＬＡＮ基地局を１つにまとめた集計表（テーブル）２２１が記憶されている。受信部２３は、無線ＬＡＮ基地局から送信される情報（管理情報）を受信する。入出力部２４は、入力部と出力部からなり、入力部としてキーボード、出力部として表示画面（ディスプレイ）やスピーカ等である。上記出力部により、検出された不正な基地局を管理者に通知可能となる。

図３は、図１における無線ＬＡＮ基地局（無線通信装置）１２、１３の構成を示すブロック図である。無線ＬＡＮ基地局１１は、プロセッサ３０と、管理・監視プログラム３１と、記憶部３２と、無線インタフェース部３３と、送信部３４とを備えている。

管理・監視プログラム３１は、他無線ＬＡＮ基地局の情報を収集し、状態に変化のあった無線ＬＡＮ基地局に関する情報を無線ＬＡＮ監視装置に送るためのものである。記憶部３２には、本無線ＬＡＮ基地局が監視する無線ＬＡＮ基地局の一覧とその基地局に無線接続するのに必要な情報の一覧等が登録された監視対象無線ＬＡＮ基地局一覧表（テーブル）３２０と、本無線ＬＡＮ基地局で検出された他無線ＬＡＮ基地局の一覧表（テーブル）３２１と、本無線ＬＡＮ基地局で検出された前回までの結果をまとめた無線ＬＡＮ基地局一覧表（テーブル）（テンポラリ検出一覧表）３２２とが記憶されている。無線インタフェース部３３は、他無線ＬＡＮ基地局からの無線電波を受信し、プロセッサ３０が処理できる形の情報に変換する。送信部３４は、無線ＬＡＮ監視装置に必要な情報を送信する。

図４は、図３の無線ＬＡＮ基地局における他無線ＬＡＮ基地局の監視処理を示すフローチャートである。無線インタフェース部３３により、他の無線基地局からの無線電波を受信すると（ステップ４１）、プロセッサ３０は、図８に示す監視対象基地局の管理データより、自身が監視する無線ＬＡＮ基地局として登録されているかを確認する（ステップ４２）。監視対象でなければ、プロセッサ３０は、取得した無線情報を図１０に示すテンポラリ用の検出一覧表に記録する（ステップ４４）。又、監視対象の無線ＬＡＮ基地局であれば、プロセッサ３０は、図８に示す設定情報で該当する監視対象の無線ＬＡＮ基地局に無線接続を試みる（ステップ４３）。試みた結果（無線接続が出来る、あるいは出来ない）を無線情報として図１０に示すテンポラリ検出一覧表に記録する（ステップ４４）。次にプロセッサ３０は、ステップ４４で記録・作成されたテンポラリ検出一覧と、前回までの検出結果をまとめた図９の検出基地局一覧を基地局ごとに比較する（ステップ４５）。ここで検出情報や接続結果が１つでも異なる無線ＬＡＮ基地局は無線ＬＡＮ監視装置に管理情報を送信し（ステップ４６）、最後に図９の検出基地局一覧に差を反映させ（ステップ４７）、次回はこの検出基地局一覧表を使用して状態を比較する。

ここで、ステップ４５でテンポラリ検出一覧と検出基地局一覧を比較するが、図９、図１０を具体的に例としてみると、まず基地局Ａの暗号が、“あり” から “なし” に変わり、接続結果も○（接続可能）から×（接続不可）に変わっている。これは基地局Ａの設定が変更されてしまい、データが暗号化されなくなった可能性が高いといえる。また、次に基地局Ｂは逆に接続結果が×（接続不可）から○（接続可能）に変化している。これは基地局Ｂの設定が変更されてしまい、アクセス制限等が変わった可能性がある。次に基地局Ｃがテンポラリ検出一覧には存在していない。これは基地局Ｃが停止している、あるいは著しく電波状態が悪くなった可能性がある。次に検出基地局一覧に存在していない基地局Ｚがテンポラリ検出一覧にある。これは前回監視した後に新たに設置された可能性がある。基地局Ｚは図８の監視対象基地局一覧に登録されていないので、無線接続の試験はしていない。この図９、図１０の比較結果から、無線ＬＡＮ監視装置に送るデータ（ステップ４６）は基地局Ａ、基地局Ｂ、基地局Ｃ、基地局Ｚの情報になり、４７でこれら４拠点分のデータを検出基地局一覧に反映させる。

図５は、図２の無線ＬＡＮ監視装置における管理情報の確認処理を示すフローチャートである。まず、図４に示すステップ４６のように、受信部２３により、無線ＬＡＮ基地局から送られてきた管理情報を受信すると（ステップ５１）、プロセッサ２０は、上記管理情報の送信元のＬＡＮ基地局が図１１に示す管理対象無線ＬＡＮ基地局一覧表の “監視基地局” に登録されているか否かを確認する（ステップ５２）。もし図１１の “監視基地局” に登録されていない基地局であれば、プロセッサ２０は、管理対象外と判断し、上記受信した管理情報を破棄する（ステップ５３）。逆に、図１１に示す一覧表に登録されている基地局からの管理情報であれば、プロセッサ２０は、その管理情報を受信する。次にプロセッサ２０は、受信した管理情報が図１１に示す管理対象無線ＬＡＮ基地局の一覧表にある無線ＬＡＮ基地局か否かを判断し（ステップ５４）、表に登録されていなければ、無許可の無線ＬＡＮ基地局として管理者に通知（入出力部２４の内の出力部）する（ステップ５５）。図１１に示す一覧表に登録されていれば、管理対象の無線ＬＡＮ基地局とし、管理者に報告する管理情報であれば管理者に通知（入出力部２４の内の出力部）しそうでなければそのまま図１２に示す無線ＬＡＮ基地局集計表の該当項目を更新して終了する。

図６は、無線ＬＡＮ監視装置１１における稼動状況の確認処理を示すフローチャートである。無線ＬＡＮ監視装置１１に備えるプロセッサ３０は、定期的に図１１に示す管理対象無線ＬＡＮ基地局一覧表と図１２に示す線ＬＡＮ監視基地局集計表を比較する（ステップ６１）。図１１に示す一覧表に存在し、図１２の集計表に存在しない基地局があり、それが計画停止ではなく且つ監視対象であれば、プロセッサ３０は、無線ＬＡＮ基地局が障害として管理者に通知する（ステップ６４）。逆に図１１の一覧表に存在しなく、図１２に示す集計表に存在する基地局は、プロセッサ３０は、不許可の不正無線ＬＡＮ基地局として管理者に通知する（ステップ６６）。

ここで、図１１と図１２を具体的に比較すると、基地局Ｃが図１１の一覧表にあって図１２の集計表に無い。基地局Ｃは監視対象となっているので管理者に通知する。基地局Ｅは基地局Ｃと同様に図１１にあり図１２にはないが、監視対象外なので管理者には報告しない。基地局Ｚは図１１には無く、図１２にある。このため、不許可な基地局と判断して管理者に報告する。

図７は、無線ＬＡＮ監視装置１１における無線ＬＡＮ基地局の設定ファイル管理処理を示すフローチャートである。管理対象である各無線ＬＡＮ基地局の設定変更や、ファームウェアのバージョンアップを行う場合、無線ＬＡＮ監視装置１１側で図１１に示す管理対象無線ＬＡＮ基地局一覧表で、該当する部分を更新した一覧表や新しい設定ファイル、ファームウェアを用意する（ステップ７１）。この一覧表を現在の一覧表と比較し（ステップ７２）、差分があると、設定変更する基地局とその基地局を監視する基地局に管理情報を転送し無線ＬＡＮ基地局側で設定をアップデートする（ステップ７３、ステップ７４）。最後に図１１に示す表の該当する設定部分を更新し処理を完了する（ステップ７５）。

例えば基地局Ｆの暗号鍵を更新する場合、基地局Ｆの暗号鍵の部分を更新した一覧を用意し、現在の一覧と比較して基地局Ｆの暗号鍵が更新されたことを確認し、基地局Ｆと基地局Ｆを監視する基地局Ａ、基地局Ｃに基地局Ｆの設定情報を転送し、基地局Ｆ、Ａ、Ｃで該当する部分のアップデートを行い、無線ＬＡＮ監視装置では図１１に示す表を更新する。

以上説明した実施の形態によれば、無線ＬＡＮ内に不正に設置された無線ＬＡＮ基地局を検出することができる。又、無線ＬＡＮ内の複数の無線ＬＡＮ基地局の状態を一元管理可能となり、管理者の工数軽減とネットワークシステムとしてのセキュリティレベルの低下を免れることができる。

本発明を適用した無線ＬＡＮシステム全体を示す図である。 無線ＬＡＮ監視装置１１の構成を示すブロック図である。 無線ＬＡＮ基地局１２、１３の構成を示すブロック図である。 無線ＬＡＮ基地局の監視処理を示すフローチャートである。 無線ＬＡＮ監視装置１１の管理情報の確認処理を示すフローチャートである。 無線ＬＡＮ監視装置１１の稼動状況の確認処理を示すフローチャートである。 無線ＬＡＮ監視装置１１の設定ファイルの管理処理を示すフローチャートである。 無線ＬＡＮ監視装置１１の記憶部２２に記憶されている管理対象の無線ＬＡＮ基地局一覧を示す図である。 無線ＬＡＮ監視装置１１の記憶部２２に記憶されている無線ＬＡＮ基地局の集計表を示す図である。 無線ＬＡＮ基地局１２、１３の記憶部３２に記憶されている監視対象の無線ＬＡＮ基地局一覧を示す図である。 無線ＬＡＮ基地局１２、１３の記憶部３２に記憶されている検出無線ＬＡＮ基地局一覧を示す図である。 無線ＬＡＮ基地局１２、１３の記憶部３２に記憶されているテンポラリ検出一覧を示す図である。

符号の説明

１１・・・無線ＬＡＮ監視装置、１２、１３・・・無線ＬＡＮ基地局１４・・・無線端末、２０、３１・・・プロセッサ、２１、３１・・・監視・管理プログラム記憶部、２２、３２・・・テーブル（表）記憶部、２３・・・受信部、３４・・・送信部、２４・・・入出力部、３３・・・無線インタフェース部

Claims (5)

1. 複数の基地局を監視する監視装置であって、
   前記複数の基地局から送信される情報を受信する受信手段と、
   前記受信手段により受信した前記情報と予め登録された監視対象の基地局に関する情報から、不正な基地局もしくは状態に変化のあった基地局を検出する検出手段と、
   前記検出手段により検出された前記基地局に関する情報を出力する出力手段と、
   を備えたことを特徴とする監視装置。
2. 前記情報は、前記複数の基地局の各々が、他の基地局を監視することにより取得した前記他の基地局の状態情報であることを特徴とする請求項１記載の監視装置。
3. 複数の基地局からの電波を受信する受信手段と、
   前記受信手段により受信した前記電波情報と予め登録された監視対象の基地局に関する情報から、不正な基地局もしくは状態に変化のあった基地局を検出する検出手段と、
   前記検出手段により検出された前記基地局に関する情報を出力する出力手段と、
   を備えたことを特徴とする無線通信装置。
4. 複数の基地局と該複数の基地局の状態を管理する管理装置を有する無線ＬＡＮシステムであって、
   前記複数の基地局の各々は、他の基地局の状態情報を受信する受信手段と、該受信手段により受信した前記状態情報を前記管理装置に送信する送信手段とを備え、
   前記管理装置は、前記基地局からの前記状態情報を受信する受信手段と、前記受信手段で受信した前記状態情報と予め登録された管理対象の基地局に関する情報から、不正な基地局もしくは状態に変化のあった基地局を検出する検出手段と、前記検出手段により検出された前記基地局に関する情報を出力する手段と、
   を備えたことを特徴とする無線ＬＡＮシステム。
5. 前記送信手段は、新たに検出された前記基地局に関する状態情報もしくは前記状態に変化のあった基地局に関する状態情報を前記監視装置に送信することを特徴とする請求項４記載の無線ＬＡＮシステム。
   

Images