特許 7121129 質問により無線アクセスセキュリティを提供するためのシステムおよび方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-08-08

(45)【発行日】2022-08-17

(54)【発明の名称】質問により無線アクセスセキュリティを提供するためのシステムおよび方法

(51)【国際特許分類】

   G06F 21/55 20130101AFI20220809BHJP

   G06F 21/44 20130101ALI20220809BHJP

【ＦＩ】

G06F21/55 320

G06F21/44

【請求項の数】 21

(21)【出願番号】P 2020536488

(86)(22)【出願日】2018-08-22

(65)【公表番号】

(43)【公表日】2020-12-03

(86)【国際出願番号】 US2018047600

(87)【国際公開番号】W WO2019050686

(87)【国際公開日】2019-03-14

【審査請求日】2021-07-08

(31)【優先権主張番号】62/555,586

(32)【優先日】2017-09-07

(33)【優先権主張国・地域又は機関】US

(31)【優先権主張番号】15/877,274

(32)【優先日】2018-01-22

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】520079108

【氏名又は名称】８０２・セキュア・インコーポレーテッド

(74)【代理人】

【識別番号】100098394

【弁理士】

【氏名又は名称】山川 茂樹

(74)【代理人】

【識別番号】100064621

【弁理士】

【氏名又は名称】山川 政樹

(72)【発明者】

【氏名】グルッツマッハー，コンラッド

(72)【発明者】

【氏名】フェルナンデス，クリフォード

(72)【発明者】

【氏名】ラゴ，マイケル

(72)【発明者】

【氏名】ドラモンド，ゲイリー

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０１２－２２２７６１（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１７／０２２３０３７（ＵＳ，Ａ１）

【文献】特開２０１４－０６３３４９（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５５

Ｇ０６Ｆ ２１／４４

(57)【特許請求の範囲】

【請求項1】

システムであって、
安全なローカル・エリア・ネットワーク（ＳＬＡＮ）の少なくとも１つのアクセスポイントを通して新しいネットワークからの接続リクエストを識別し、前記接続リクエストにフラグを立てて、前記新しいネットワークに関するデータおよび情報を収集するセンサと、
前記新しいネットワークを分類するための少なくとも１つのマーカを識別して、問合せデータベースから前記新しいネットワークを分類するための問合せパッケージを抽出して、前記新しいネットワークの動作セキュリティを評価するよう前記センサに要求する、前記センサに連結した中央コンソールであって、前記問合せパッケージは、問合せおよび回答を含む中央コンソールと
を備え、
前記センサはさらに、新しい擬似ネットワークを確立して、前記新しいネットワークと直接に関わり合い、前記新しい擬似ネットワークとの認証された接続を確立し、前記新しい擬似ネットワークに関するデータおよび情報を収集するためにあり、
前記センサはさらに、前記問合せパッケージに含まれる前記問合せおよび回答を使用して、前記新しいネットワークに質問するためにあり、
前記中央コンソールは、前記新しい擬似ネットワークに関する前記収集したデータおよび情報、ならびに前記質問の結果を使用して、前記新しいネットワークの前記動作セキュリティを評価し、前記評価の結果を前記センサに伝送し、
前記評価の前記結果に基づき、前記センサは、前記新しいネットワークによる前記ＳＬＡＮへの前記接続リクエストを有効にし、または否認し、
前記中央コンソールはさらに、前記新しいネットワークの前記識別したマーカが履歴データベースに記憶された複数の既存の分類の１つに入るかどうかを判断し、
前記新しいネットワークの前記識別したマーカが前記履歴データベースに記憶された前記複数の既存の分類の１つに入らないと判断する場合、前記中央コンソールはさらに、
前記新しいネットワークに関する、前記センサにより収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データに基づき、前記新しいネットワークに質問するための新しい問合せパッケージを生成し、
新しい分類を参照して、前記ＳＬＡＮに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶する、
システム。

【請求項2】

前記新しいネットワークの前記識別したマーカが前記履歴データベースに記憶された前記複数の既存の分類の１つに入るかどうかを判断するために、前記中央コンソールはさらに、前記履歴データベースに記憶した前記複数の既存の分類と、分類するための前記識別したマーカを比較し、
前記新しいネットワークの前記識別したマーカが前記履歴データベースに記憶された前記複数の既存の分類の１つに入らないと判断する場合、前記中央コンソールはさらに、
前記新しいネットワークに関する前記収集したデータおよび情報から得られる前記識別したマーカに基づき、前記新しいネットワークのための前記新しい分類を生成する、
請求項１に記載のシステム。

【請求項3】

前記センサはさらに、
８０２．１１無線手段を使用して前記ＳＬＡＮの前記アクセスポイントに接続する１つまたは複数の機器を含む既知の安全なネットワークを識別し、
接続トランザクション中に前期ＳＬＡＮと前記機器の間でハンドシェイク、ハンドシェイク後の問合せ、およびレスポンスに関係があるデータおよび情報を収集し、
前記機器と前記ＳＬＡＮの間の前記接続トランザクション中に生成した、前記収集したデータおよび情報を、評価するために前記中央コンソールに送信する
ためにある、請求項２に記載のシステム。

【請求項4】

前記中央コンソールは、
前記機器に関する前記収集したデータおよび情報を前記センサから受信し、前記収集したデータおよび情報を合併し、収集したデータおよび情報を用いて絶えず更新される前記履歴データベースに前記収集したデータおよび情報を記憶すること、
前記収集したデータおよび情報を分析して、前記ＳＬＡＮに接続しようとする前記機器を分類するための少なくとも１つのマーカを識別すること、
データ科学的取り組み方法、相関分析、および機械学習を使用して、前記ＳＬＡＮに接続しようとする前記機器のための前記識別されたマーカに基づき、少なくとも１つの分類グループを生成すること、
前記機器に関する前記収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データから前記分類グループごとに、問合せおよびレスポンスを含む少なくとも１つの新しい問合せパッケージを生成すること、ならびに
別の新しいネットワークが前記ＳＬＡＮに接続しようと試みるとき、動作セキュリティ状態を評価するために、前記複数の既存の分類の１つに入る前記別の新しいネットワークに質問を行うために、前記ＳＬＡＮの前記センサに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶すること
により前記新しい問合せパッケージを生成する、請求項３に記載のシステム。

【請求項5】

前記新しい擬似ネットワークは、既知の安全なネットワークのＳＴＡ ＭＡＣアドレスに類似するＳＴＡ ＭＡＣアドレスを有する、請求項１に記載のシステム。

【請求項6】

前記センサは、既知のプラットフォームの挙動および人間をシミュレートするランダムな活動を模倣する前記新しいネットワークに質問する、請求項１に記載のシステム。

【請求項7】

前記センサは、前記ＳＬＡＮの挙動および人間の挙動に関係がある挙動パターンを含む、前記新しいネットワークのレスポンス特性に関係があるデータおよび情報を収集する、請求項１に記載のシステム。

【請求項8】

方法であって、
センサにより、安全なローカル・エリア・ネットワーク（ＳＬＡＮ）の少なくとも１つのアクセスポイントを通して新しいネットワークからの接続リクエストを識別し、前記接続リクエストにフラグを立てて、前記新しいネットワークに関するデータおよび情報を収集するステップと、
前記センサに連結した中央コンソールにより、前記新しいネットワークを分類するための少なくとも１つのマーカを識別し、前記中央コンソールにより、問合せデータベースから前記新しいネットワークを分類するための問合せパッケージを抽出して、前記新しいネットワークの動作セキュリティを評価するよう前記センサに要求するステップであって、前記問合せパッケージは、問合せおよび回答を含むステップと、
前記センサにより、新しい擬似ネットワークを確立して、前記新しいネットワークと直接に関わり合い、前記新しい擬似ネットワークとの認証された接続を確立し、前記センサにより、前記新しい擬似ネットワークに関するデータおよび情報を収集するステップと、
前記センサにより、前記問合せパッケージに含まれる前記問合せおよび回答を使用して、前記新しいネットワークに質問するステップと、
前記中央コンソールにより、前記新しい擬似ネットワークに関する前記収集したデータおよび情報、ならびに前記質問の結果を使用して、前記新しいネットワークの前記動作セキュリティを評価し、前記中央コンソールにより、前記評価の結果を前記センサに伝送するステップと、
前記評価の前記結果に基づき、前記センサにより、前記新しいネットワークによる前記ＳＬＡＮへの前記接続リクエストを有効にする、または否認するステップと、
前記中央コンソールによって、前記新しいネットワークの前記識別したマーカが履歴データベースに記憶された複数の既存の分類の１つに入るかどうかを判断するステップと、
前記新しいネットワークの前記識別したマーカが前記履歴データベースに記憶された前記複数の既存の分類の１つに入らないと判断する場合、
前記中央コンソールによって、前記新しいネットワークに関する、前記センサにより収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データに基づき、前記新しいネットワークに質問するための新しい問合せパッケージを生成するステップと、
新しい分類を参照して、前記ＳＬＡＮに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶するステップと、
を備える方法。

【請求項9】

前記新しいネットワークの前記識別したマーカが履歴データベースに記憶された前記複数の既存の分類の１つに入るかどうかを判断するステップは、
前記中央コンソールにより、前記履歴データベースに記憶した前記複数の既存の分類と、分類するための前記識別したマーカを比較して、前記新しいネットワークの前記識別したマーカが前記複数の既存の分類の１つに入るかどうかを判断するステップを備え、
前記新しいネットワークの前記識別したマーカが前記複数の既存の分類の１つに入らないと判断する場合、さらに、
前記中央コンソールにより、前記新しいネットワークに関する前記収集したデータおよび情報から得られる前記識別したマーカに基づき、前記新しいネットワークのための新しい分類を生成するステップを備える、
請求項８に記載の方法。

【請求項10】

前記センサにより、８０２．１１無線手段を使用して前記ＳＬＡＮの前記アクセスポイントに接続する１つまたは複数の機器を含む既知の安全なネットワークを識別するステップと、
前記センサにより、接続トランザクション中に前期ＳＬＡＮと前記機器の間でハンドシェイク、ハンドシェイク後の問合せ、およびレスポンスに関係があるデータおよび情報を収集するステップと、
前記センサにより、前記機器と前記ＳＬＡＮの間で前記接続トランザクション中に生成した、前記収集したデータおよび情報を、評価するために前記中央コンソールに送信するステップと
をさらに備える、請求項９に記載の方法。

【請求項11】

前記新しい問合せパッケージは、
前記中央コンソールにより、前記機器に関する前記収集したデータおよび情報を前記センサから受信し、前記中央コンソールにより、前記収集したデータおよび情報を合併し、前記中央コンソールにより、収集したデータおよび情報を用いて絶えず更新される前記履歴データベースに前記収集したデータおよび情報を記憶するステップと、
前記中央コンソールにより、前記収集したデータおよび情報を分析して、前記ＳＬＡＮに接続しようとする前記機器を分類するための少なくとも１つのマーカを識別するステップと、
データ科学的取り組み方法、相関分析、および機械学習を使用して、前記中央コンソールにより、前記ＳＬＡＮに接続しようとする前記機器のための前記識別されたマーカに基づき、少なくとも１つの分類グループを生成するステップと、
前記中央コンソールにより、前記機器に関する前記収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データから前記分類グループごとに、問合せおよびレスポンスを含む少なくとも１つの新しい問合せパッケージを生成するステップと、
前記中央コンソールにより、別の新しいネットワークが前記ＳＬＡＮに接続しようと試みるとき、動作セキュリティ状態を評価するために、前記複数の既存の分類の１つに入る前記別の新しいネットワークに質問を行うために、前記ＳＬＡＮの前記センサに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶するステップと
により生成される、請求項１０に記載の方法。

【請求項12】

前記新しい擬似ネットワークは、既知の安全なネットワークのＳＴＡ ＭＡＣアドレスに類似するＳＴＡ ＭＡＣアドレスを有する、請求項８に記載の方法。

【請求項13】

前記センサにより、既知のプラットフォームの挙動および人間をシミュレートするランダムな活動を模倣することにより前記新しいネットワークに質問する、請求項８に記載の方法。

【請求項14】

前記収集したデータおよび情報は、前記ＳＬＡＮの挙動および人間の挙動に関係がある挙動パターンを含む、前記新しいネットワークのレスポンス特性に関係がある、請求項８に記載の方法。

【請求項15】

コンピュータ実行可能命令を記憶する非一時的コンピュータ可読記憶媒体であって、前記命令は、処理を機械に実行させ、前記処理は、
センサにより、安全なローカル・エリア・ネットワーク（ＳＬＡＮ）の少なくとも１つのアクセスポイントを通して新しいネットワークからの接続リクエストを識別し、前記接続リクエストにフラグを立てて、前記新しいネットワークに関するデータおよび情報を収集するステップと、
前記センサに連結した中央コンソールにより、前記新しいネットワークを分類するための少なくとも１つのマーカを識別して、前記中央コンソールにより、問合せデータベースから前記新しいネットワークを分類するための問合せパッケージを抽出して、前記新しいネットワークの動作セキュリティを評価するよう前記センサに要求するステップであって、前記問合せパッケージは、問合せおよび回答を含むステップと、
前記センサにより、新しい擬似ネットワークを確立して、前記新しいネットワークと直接に関わり合い、前記新しい擬似ネットワークとの認証された接続を確立し、前記センサにより、前記新しい擬似ネットワークに関するデータおよび情報を収集するステップと、
前記センサにより、前記問合せパッケージに含まれる前記問合せおよび回答を使用して、前記新しいネットワークに質問するステップと、
前記中央コンソールにより、前記新しい擬似ネットワークに関する前記収集したデータおよび情報、ならびに前記質問の結果を使用して、前記新しいネットワークの前記動作セキュリティを評価し、前記中央コンソールによって、前記評価の結果を前記センサに伝送するステップと、
前記評価の前記結果に基づき、前記センサにより、前記新しいネットワークによる前記ＳＬＡＮへの前記接続リクエストを有効にする、または否認するステップと、
前記中央コンソールによって、前記新しいネットワークの前記識別したマーカが履歴データベースに記憶された複数の既存の分類の１つに入るかどうかを判断するステップと、
前記新しいネットワークの前記識別したマーカが前記履歴データベースに記憶された前記複数の既存の分類の１つに入らないと判断する場合、
前記中央コンソールによって、前記新しいネットワークに関する、前記センサにより収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データに基づき、前記新しいネットワークに質問するための新しい問合せパッケージを生成するステップと、
新しい分類を参照して、前記ＳＬＡＮに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶するステップと、
を備える非一時的コンピュータ可読記憶媒体。

【請求項16】

前記新しいネットワークの前記識別したマーカが履歴データベースに記憶された前記複数の既存の分類の１つに入るかどうかを判断するステップは、
前記中央コンソールにより、前記履歴データベースに記憶した前記複数の既存の分類と、分類するための前記識別したマーカを比較して、前記新しいネットワークの前記識別したマーカが前記複数の既存の分類の１つに入るかどうかを判断するステップを備え、
前記処理は、前記新しいネットワークの前記識別したマーカが前記複数の既存の分類の１つに入らないと判断する場合、さらに、
前記中央コンソールにより、前記新しいネットワークに関する前記収集したデータおよび情報から得られる前記識別したマーカに基づき、前記新しいネットワークのための前記新しい分類を生成する、
請求項１５に記載の非一時的コンピュータ可読記憶媒体。

【請求項17】

前記処理は、
前記センサにより、８０２．１１無線手段を使用して前記ＳＬＡＮの前記アクセスポイントに接続する１つまたは複数の機器を含む既知の安全なネットワークを識別するステップと、
前記センサにより、接続トランザクション中に前記ＳＬＡＮと前記機器の間でハンドシェイク、ハンドシェイク後の問合せ、およびレスポンスに関係があるデータおよび情報を収集するステップと、
前記センサにより、前記機器と前記ＳＬＡＮの間の前記接続トランザクション中に生成した、前記収集したデータおよび情報を、評価するために前記中央コンソールに送信するステップと
をさらに備える、請求項１６に記載の非一時的コンピュータ可読記憶媒体。

【請求項18】

前記処理は、
前記中央コンソールにより、前記機器に関する前記収集したデータおよび情報を前記センサから受信し、前記中央コンソールにより、前記収集したデータおよび情報を合併し、前記中央コンソールにより、収集したデータおよび情報を用いて絶えず更新される前記履歴データベースに前記収集したデータおよび情報を記憶するステップと、
前記中央コンソールにより、前記収集したデータおよび情報を分析して、前記ＳＬＡＮに接続しようとする前記機器を分類するための少なくとも１つのマーカを識別するステップと、
データ科学的取り組み方法、相関分析、および機械学習を使用して、前記中央コンソールにより、前記ＳＬＡＮに接続しようとする前記機器のための前記識別されたマーカに基づき、少なくとも１つの分類グループを生成するステップと、
前記中央コンソールにより、前記機器に関する前記収集したデータおよび情報、ならびに前記履歴データベースに記憶した関連性のある履歴データから前記分類グループごとに、問合せおよびレスポンスを含む少なくとも１つの新しい問合せパッケージを生成するステップと、
前記中央コンソールにより、別の新しいネットワークが前記ＳＬＡＮに接続しようと試みるとき、動作セキュリティ状態を評価するために、前記複数の既存の分類の１つに入る前記別の新しいネットワークに質問を行うために、前記ＳＬＡＮの前記センサに関連する前記問合せデータベースに前記新しい問合せパッケージを記憶するステップと
をさらに備える、請求項１７に記載の非一時的コンピュータ可読記憶媒体。

【請求項19】

前記新しい擬似ネットワークは、既知の安全なネットワークのＳＴＡ ＭＡＣアドレスに類似するＳＴＡ ＭＡＣアドレスを有する、請求項１５に記載の非一時的コンピュータ可読記憶媒体。

【請求項20】

前記センサにより、既知のプラットフォームの挙動および人間をシミュレートするランダムな活動を模倣することにより前記新しいネットワークに質問する、請求項１５に記載の非一時的コンピュータ可読記憶媒体。

【請求項21】

前記収集したデータおよび情報は、前記ＳＬＡＮの挙動および人間の挙動に関係がある挙動パターンを含む、前記新しいネットワークのレスポンス特性に関係がある、請求項１５に記載の非一時的コンピュータ可読記憶媒体。

【発明の詳細な説明】

【技術分野】

【0001】

（関連出願の相互参照）
本出願は、本開示が参照により本明細書に組み入れられる、２０１７年９月７日に出願された米国仮特許出願第６２／５５５，５８６号明細書の利益を主張する。

【0002】

本開示は、無線ネットワークを安全に接続する分野に関し、より具体的には、安全なローカル・エリア・ネットワーク（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ、ＬＡＮ）へのアクセスを要求する無線ネットワークのセキュリティに関係がある、無線ネットワークの挙動特性を識別することに関する。

【背景技術】

【0003】

大部分のローカル・エリア・ネットワーク（ＬＡＮ）では、典型的には、新しい機器およびネットワークの除去および参加が絶えず存在する。ＬＡＮが外部からのどんな侵入および攻撃からも守られていたとしても、ＬＡＮに接続する新しい機器およびネットワークは、安全であるとは限らなく、セキュリティ違反およびサイバー攻撃のための経路を提供する場合がある。現在、ＩＥＥＥ ８０２．１１ｉ、およびＩＥＴＦ（ｉｎｔｅｒｎｅｔ ｅｎｇｉｎｅｅｒｉｎｇ ｔａｓｋ ｆｏｒｃｅ）による無線ネットワークに関する拡張可能な認証プロトコル（Ｅｘｔｅｎｓｉｂｌｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＥＡＰ）法は、安全な無線ＬＡＮ導入をサポートする２つの規格である。これらの規格は、実装されたとき、無線ネットワークの８０２．１１グループに適合する安全なＷＬＡＮに対するセキュリティ違反およびサイバー攻撃からの保護を提供することが期待される。ＷＬＡＮセキュリティのための、８０２．１１ｉおよびＥＡＰに従う２つの現在のセキュリティ方法は、典型的には、相互認証のためにＥＡＰ－ＴＬＳプロトコルを用いる８０２．１Ｘと呼ばれるＴＬＳ（ｔｒａｎｓｐｏｒｔ ｌｅｖｅｌ ｓｅｃｕｒｉｔｙ）を有し、かつＰＳＫ（Ｐｒｅ－Ｓｈａｒｅｄ Ｋｅｙ）、またはＩＥＥＥ ８０２．１ｘ交換による認証成功に基づきアクセスを許可することができるようにする交渉段階を遂行するＥＡＰを用いる８０２．１Ｘアクセス制御だけを実装する。ＩＥＥＥ ８０２．１１ｉは、４ウェイハンドシェイクおよびグループ・キー・ハンドシェイクという２つの新しいプロトコルを伴うＲＳＮ（Ｒｏｂｕｓｔ Ｓｅｃｕｒｉｔｙ Nｅｔｗｏｒｋ）を提供する。これらは、ＩＥＥＥ８０２．１Ｘで記述されている認証サービスおよびポートアクセス制御を利用して、適合した暗号鍵を確立し、交換する。

【0004】

図１は、ＥＡＰ－ＴＬＳプロトコルを用いる８０２．１Ｘの例示的構成要素および活動（１００）を示す。嘆願者（１０１）を指定された新しいネットワークまたは機器は、安全なローカル・エリア・ネットワーク（ｓｅｃｕｒｅ ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ、ＳＬＡＮ）へのゲートウェイまたはホットスポットである認証者（１０２）を通してネットワークへのアクセスを要求する。認証者（１０２）は、自身を識別するＥＡＰプロトコルリクエストで嘆願者（１０１）に応答する。嘆願者（１０１）は、認証者（１０２）にＥＡＰプロトコル識別レスポンスを提供し、ＥＡＰプロトコル識別レスポンスは、認証サーバ（１０３）に伝えられ、認証サーバ（１０３）は、必要なセキュリティ鍵またはチャレンジを生成して、嘆願者（１０１）に送信する。認証者は、ＥＡＰプロトコルを使用して鍵を嘆願者に送信し、嘆願者は、チャレンジに応答し、チャレンジは、認証サーバ（１０３）により確認され、受け入れられたとき、認証者を通して嘆願者と（１０１）とＳＬＡＮの間の接続成功をもたらす。ＩＥＥＥ ８０２．１１ｉを使用するこの安全な接続処理は、図２を使用して、認証者であるアクセスポイント（ａｃｃｅｓｓ ｐｏｉｎｔ ＡＰ）２０２とクライアントである嘆願者ステーション（ｓｔａｔｉｏｎ、ＳＴＡ）（２０１）の間の対話に基づき説明するように、セキュリティをさらに提供する。現在のＩＥＥＥ ８０２．１１ｉは、４ウェイハンドシェイクを使用して、安全な認証された接続を確立し、確実にする。初期認証処理は、事前共有鍵（ｐｒｅ－ｓｈａｒｅｄ ｋｅｙ、ＰＳＫ）を使用して、または（一般に認証サーバの存在を必要とする）８０２．１ＸによるＥＡＰ交換に従って行われる。この処理は、アクセスポイント（ＡＰ）を用いてクライアントステーション（ＳＴＡ）が認証されることを確実にする。ＰＳＫまたは８０２．１Ｘ認証の後、ＰＭＫ（Ｐａｉｒｗｉｓｅ Ｍａｓｔｅｒ Ｋｅｙ）と呼ばれる共有秘密鍵を生成する。事前共有鍵ネットワークでは、ＰＳＫはＰＭＫである。８０２．１Ｘ ＥＡＰ交換を行った場合、認証サーバが提供するＥＡＰパラメータからＰＭＫを導出する。ＳＴＡとＡＰの両方は、ＰＭＫを使用して、メッセージを解読する。

【0005】

図２は、追加の暗号鍵、ＰＴＫ（ｐａｉｒ ｗｉｓｅ ｔｒａｎｓｉｅｎｔ ｋｅｙ）、およびさらにまたマルチキャストメッセージおよびブロードキャストメッセージのために使用するＧＴＫ（Ｇｒｏｕｐ Ｔｅｍｐｏｒａｌ Ｋｅｙ）を生成して、８０２．１１ｉ処理に従ってＰＭＫ（ｐａｉｒｅｄ ｍａｓｔｅｒ ｋｅｙ）をさらに保護するために使用する例示的活動シーケンス２００を示す。

【0006】

４ウェイハンドシェイクを使用して、ＰＴＫ（Ｐａｉｒｗｉｓｅ Ｔｒａｎｓｉｅｎｔ Ｋｅｙ）を確立する。ＰＭＫ、ＡＰノンス（ｎｏｎｃｅ）値（ＡＮｏｎｃｅ、Ａノンス）、ＳＴＡノンス値（ＳＮｏｎｃｅ、Ｓノンス）、ＡＰのＭＡＣアドレス、およびＳＴＡのＭＡＣアドレスという属性を連結することによりＰＴＫを生成する。次いで、生成物を擬似ランダム関数に通す。

【0007】

ＰＴＫを生成するためのハンドシェイク中に交換する実際のメッセージについて図２に描き、以下で説明する。すべてのメッセージを、ＥＡＰＯＬ－Ｋｅｙフレームとして送信する。

【0008】

ＡＰ（２０２）は、ＳＴＡ（２０１）にノンス値（Ａノンス）を送信する。クライアントＳＴＡ（２０１）は、第１のステップである処理Ｓ２１１で、ＰＴＫを構築する（２１５ａ）ための属性を今ではすべて有する。

【0009】

ＳＴＡは、第２のステップである処理Ｓ２１２で、実際にはメッセージ認証完全性コード（Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ａｎｄ Ｉｎｔｅｇｒｉｔｙ Ｃｏｄｅ、ＭＡＩＣ）である、認証を含むメッセージ完全性コード（Ｍｅｓｓａｇｅ Ｉｎｔｅｇｒｉｔｙ Ｃｏｄｅ、ＭＩＣ）と共に、自身のノンス値（Ｓノンス）をＡＰに送信する。

【0010】

ＡＰは、次に、受信した情報を使用してＰＴＫ（２１５ｂ）およびＧＴＫを構築し、別のＭＩＣと共にＧＴＫおよびシーケンス番号を送信する。このシーケンス番号は、次のマルチキャストフレームまたはブロードキャストフレームで使用され、その結果、受信しているＳＴＡは、第３のステップである処理Ｓ２１３で基本再生検出を遂行することができる。

【0011】

ＳＴＡは、第４のステップとしてＡＰに確認を送信し、処理Ｓ２１４を完了する。

【0012】

同様の参照符号が類似の要素を示す添付図面の図で、限定としてではなく例として本明細書の実施形態を例示する。本開示で「ある（ａｎ）」実施形態または「一（ｏｎｅ）」実施形態への言及は、同じ実施形態を言及するのでは必ずしもなく、少なくとも１つを意味することに留意されたい。また、簡潔にして図の総数を低減するために、所与の図を使用して２つ以上の実施形態の特徴について例示する場合があり、図中のすべての要素が、所与の実施形態に必要とされなくてもよい。

【0013】

以下で論じる詳細を参照してさまざまな実施形態および様態について記述し、添付図面は、さまざまな実施形態を例示する。以下の記述および図面は、例証的であり、限定していると解釈されるべきではない。さまざまな実施形態を完全に理解するために、数多くの特有の詳細について記述する。しかしながら、本明細書で開示する実施形態は、これらの特有の詳細なしに実施してもよいことが理解される。ある種の実例では、例示的実施形態を簡潔に論じるために、回路、構造、および技法などの周知の、または一般に行われている詳細について記述しない。

【0014】

本明細書で「一実施形態（ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ）」または「ある実施形態（ａn ｅｍｂｏｄｉｍｅｎｔ）」への言及は、その実施形態に関連して記述する特定の特徴、構造、または特性を少なくとも１つの実施形態に含むことができることを意味する。本明細書のさまざまな場所で「一実施形態では」という語句が出現することは、同じ実施形態をすべて言及するわけでは必ずしもない。

【発明の概要】

【発明が解決しようとする課題】

【0015】

ＩＥＥＥ ８０２．１１規格は、実装されたとき、一般に、ＳＬＡＮと要求しているネットワークの間で安全な認証された接続をもたらす。しかしながら、本明細書で本発明者らは、ＩＥＥＥ ８０２．１１ｉの実装では、新しく接続しようとするネットワークの動作セキュリティについて、典型的には考慮されていないと認識している。これは、新しく追加される機器およびネットワークが、真正の機器およびネットワークを装うサイバー攻撃者であるという結果をもたらす可能性がある、または必要なセキュリティを有しないことによりサイバー攻撃者にアクセス権を提供する可能性がある。また、安全なＬＡＮ境界内部にいることにより、これらの機器およびネットワークは、それ自身安全ではないことにより、攻撃者が安全なＬＡＮを、サイバー攻撃を受けやすくすることにより、アクセスするためのゲートウェイの役割を果たす。

【0016】

したがって、接続リクエストがネットワークの接続性およびアクセス可能性に関して、安全なＬＡＮ（ＳＬＡＮ）の境界内で受け入れられ、これらの境界がこれらの新しく接続される機器およびネットワークを包含するように拡張される前に、ＳＬＡＮの一部として受け入れられことになる機器およびネットワークの動作セキュリティを確認する手段を有することは、非常に価値がある。

【課題を解決するための手段】

【0017】

本開示は、無線ネットワークを介してインターネットに接続された移動体機器（たとえば、携帯電話、タブレット機器）用のネットワークおよびデータセキュリティの試験アプリケーションを提供する。アプリケーションは、１つもしくは複数のネットワークセキュリティまたはデータ損失のテストケースを集中型サーバからダウンロードし、記憶し、次いで、１つもしくは複数のネットワークセキュリティまたはデータ損失のテストケースは、移動体機器上で実行される。たとえば、テストケースは、無線ネットワークを通して所定のウェブページにアクセスしようとし、次いで、アクセスが認められたかどうかを判断する。別の例では、テストケースは、ネットワークを通して機密に属するデータを伝送しようとする。テストケースの結果は、移動体機器上に表示され、集中型サーバにアップロードされる。ネットワークおよびデータセキュリティの試験アプリケーションはまた、ウェブ・ページ・ホスティング・ボットネット、悪意のあるウェブ利用、悪意のあるウェブ難読化、悪意のあるインラインフレーム（ｉｆｒａｍｅ）リダイレクション、およびマルウェアファイルへのアクセスが認められたかどうかを識別する。

【0018】

本明細書の開示は、以下を提供する。

【0019】

接続を要求している新しいネットワーク／機器のための特性解析問合せフレームワークを生成するために、複数の要素を備える、信頼できるネットワークから得られる特徴的な問合せおよびレスポンスのデータを収集および編集する。

【0020】

編集された問合せを使用して、ネットワーク／機器から得られるレスポンスを抽出する。

【0021】

レスポンスで標準からの偏差を比較し、分析し、識別するために、クラウドに基づくセキュリティ監視を使用する。

【0022】

新しいネットワークの動作セキュリティを分類するために分析するために、擬似ネットワークと接続を要求している新しいネットワークとの間の接続問合せレスポンスを抽出することができるように、擬似ネットワークを使用して、実際のネットワークをエミュレートする。

【0023】

ネットワークの任意の単一要素ではなくネットワーク全体を分類するための、ネットワークレベルでのデータ科学的取り組み方法、相関分析、および分類法を含む、上記で使用した分析法。

【0024】

偏差の分析結果から、接続されるネットワークのセキュリティレベルを決定し、発見に基づき接続要求を有効化もしくは拒否する、または承認されていない接続を切断する。

【図面の簡単な説明】

【0025】

【図1】従来の構成要素、およびＥＡＰ－ＴＬＳプロトコルを用いる８０２．１Ｘの活動の図形的表現１００を例示する。

【図2】追加の安全鍵を生成し、８０２．１１ｉ処理に従うＰＭＫ（ｐａｉｒｅｄ ｍａｓｔｅｒ ｋｅｙ）に保護を提供するために使用する従来の活動の図形的表現２００を例示する。

【図3】ある実施形態による、センサおよび接続された中央コンソールを示す安全なローカル・エリア・ネットワーク（ＳＬＡＮ）を説明するための例示的構成図３００を示す。

【図4】ある実施形態による、ネットワークを分類し、問合せパッケージを生成するためのデータおよび情報を収集および合併するために、既知の安全なネットワークおよび機器に接続されたＳＬＡＮを説明するための例示的構成図４００を示す。

【図5】ある実施形態による、最終的な新しいネットワークに接続しようとするＳＬＡＮを説明するための例示的構成図５００を示し、最終的な新しいネットワークを分類し、最終的な新しいネットワークに問い合わせて、接続性を有効にする前に最終的な新しいネットワークの動作セキュリティを決定することができる。

【図6】ある実施形態による、既知の接続しているネットワークの分類を生成すること、ならびに収集し、合併したデータおよび情報から得られる分類ごとに問合せパッケージを生成および記憶することを説明するための例示的流れ図を示す。

【図7】ある実施形態による、ＳＬＡＮへの接続を要求している新しいネットワークを分類するステップ、ならびに問合せパッケージを選び／生成し、問合せパッケージを使用して、ＳＬＡＮへの接続を有効にする前に新しいネットワークの動作セキュリティを評価するステップを説明するための例示的流れ図を示す。

【発明を実施するための形態】

【0026】

本明細書の実施形態は、企業ローカル・エリア・ネットワーク（ＬＡＮ）にセキュリティを提供するためのシステムおよび方法を含む。典型的には、企業ＬＡＮは、サイバー攻撃者による攻撃を防止するために、確立されたアクセスおよび動作セキュリティを有し、監視された空間として存在し、それにより、企業ＬＡＮを安全なＬＡＮ（ＳＬＡＮ）にしている。ＳＬＡＮを形成する典型的企業ネットワークは、サーバ、移動体機器、記憶装置、周辺機器、表示システム、安全なネットワークとして接続された他の処理要素および通信要素などの複数の要素を有する。本明細書の実施形態は、近傍で識別された、ＳＬＡＮに接続しようと試みる任意の新しい無線ネットワークのセキュリティ特性および活動を事前審査および識別することによりＳＬＡＮのセキュリティを確実にするためのシステムおよび方法を包含する。本明細書の開示は、集中型クラウド内部で集中型クラウドにより管理された監視センサシステムを使用することにより、ＩＥＥＥ ８０２．１１無線ネットワークを識別および分類するための能力を提供する。監視センサは、人間をシミュレートするランダムな活動が後に続く、エンドユーザのワークステーションまたは移動体機器などの既知のプラットフォームの挙動を模倣するネットワークに質問する。ＬＡＮシステムに関係がある挙動パターンおよび人間の挙動を含む無線ネットワークのレスポンス特性を収集する。セキュリティシステムは、データ科学的取り組み方法、相関分析、および機械学習分類法を含む方法を使用して、収集した情報を分析することによって提供される分類法を使用して、事前審査結果を決定する。分析の結果、新しく検出された無線ネットワークのセキュリティ分類が決定される。安全なＬＡＮに接続しようと試みるネットワークの動作セキュリティ状態を提供するこのセキュリティ分類に基づき、そのような接続リクエストを許可する、または却下する決断を行うことができる。

【0027】

一実施形態では、ネットワークの接続正常アクセスポイント（ＡＰ）を確立するために、交渉処理が接続に導く。ＡＰは、典型的には、ネットワークのＥＳＳＩＤ（ｅｘｔｅｎｄｅｄ ｓｅｒｖｉｃｅ ｓｅｔ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ、拡張サービスセット識別）またはネットワークの名前、到達可能性、またはＢＳＳＩＤ（ｂａｓｉｃ ｓｅｒｖｉｃｅ ｓｅｔ ｉｄｅｎｔｉｆｉｃａｔｉｏｎ、基本サービスセット識別）と呼ばれるＷｉ－Ｆｉチップセットのハードウェアアドレス、および能力（ｃａｐａｂｉｌｉｔｙ、ＣＡＰ）を含むデータフレームとしてＡＰの情報をブロードキャストする。ネットワークに接続する必要がある任意のＷｉ－Ｆｉクライアントまたはステーション（ＳＴＡ）は、このデータを使用して、接続されるようになる。ＳＬＡＮの場合、ＳＴＡおよびＡＰは、ＩＥＥＥ ８０２．１１ｉセキュリティプロトコルを使用して、安全な接続を確実にする。ＩＥＥＥ ８０２．１１ｉセキュリティ仕様規格は、ＳＴＡとＡＰの間で安全な接続を達成するために、安全な鍵およびＥＡＰ転送プロトコルを使用する。すでに論じたように、ＩＥＥＥ ８０２．１１ｉ規格は、典型的には、接続しようとするＳＴＡが動作的に安全な機器またはＳＬＡＮであり、かつ攻撃を受けやすいことがないかどうかを確認するために、ＳＴＡの動作セキュリティを確認することもなく、確実にすることもない。本明細書で開示する配列のおかげで、８０２．１１ｉセキュリティ規格の上述の限界を補正することが可能である。

【0028】

図３は、本明細書のある実施形態による、安全なローカル・エリア・ネットワーク（ＳＬＡＮ）３００である企業ネットワークを説明するための構成図である。企業ネットワークは、周知のように複数の要素を含み、したがって、図３では明示的に示されず、一緒に接続されたサーバ、移動体機器、記憶装置、周辺機器およびＩ／Ｏ機器、通信機器などを含んでもよい。企業ネットワークはまた、ＳＬＡＮの内側の安全な要素が外側の世界と対話可能にする複数のアクセスポイントを有してもよい。図３は、複数のアクセスポイント（ＡＰ）（３０２－ｘ）を有する安全なＬＡＮ（ＳＬＡＮ）（３０１）を示す。一実施形態では、センサ（３０３）は、ＳＬＡＮ（３０１）のＡＰ（３０２－ｘ）の各々と関連づけられ、クラウド（３１０）内の中央コンソール（ｃｅｎｔｒａｌ ｃｏｎｓｏｌｅ、ＣＣ）（３１１）に連結される。センサ（３０３）は、ＡＰ（３０２－ｘ）に接続する，機器を含む任意のネットワークの固有識別インジケータを有効にする８０２．１１ Ｗｉ－Ｆｉデータフレームを収集することができる。収集したデータフレームはまた、ＳＬＡＮ（３０１）と、ＡＰ（３０２－ｘ）を介してＳＬＡＮ（３０１）に正常に接続しようとするネットワークとの間で正常な問合せおよびレスポンスを備える。センサ（３０３）が収集したデータおよび情報は、照合され、通信リンク（３０４）を介してクラウド（３１０）内のＣＣ（３１１）に配送される。典型的には、ＳＬＡＮ（３０１）は、複数のセンサ（３０３）を使用して、データ収集の容易さ、ならびに収集し、照合した情報をＣＣ（３１１）へ移送する容易さを確実にする。受信した情報およびデータは、新しいデータを受信したときにＣＣ（３１１）により絶えず更新される、クラウド（３１０）内の履歴データベース（３１２）に記憶される。さらに、ＣＣ（３１１）は、対話の情報およびデータを絶えず分析し、ＳＬＡＮ（３０１）に接続しようとするネットワークすべてを分類するための１組の潜在的マーカを明らかにする。分類は、接続中および接続後に潜在的マーカを指し示す、システムおよび人間の挙動、ならびに接続およびハンドシェイク処理の一部として受信した対話、ならびに受信した１組の問合せおよび回答を使用する。これらを分析して、データ科学的取り組み方法、相関分析、および機械学習を使用して、要求しているネットワークの分類を生成する。

【0029】

図４は、無線８０２．１１接続（４０４－１～４０４－３）を介してＳＬＡＮ（３０１）に接続しようとする機器（４０１）（４０２）（４０３）を含む既知の安全なネットワークの接続を説明するための構成図４００を示す。たとえば通信リンク（３０４）を介してＣＣ（３１１）と関連づけられ、ＣＣ（３１１）に連結されたセンサ（３０３）は、これらの安全なネットワーク（４０１～４０３）が通常に接続する間、問合せおよびレスポンスを収集する。ＳＬＡＮ（３０１）に接続しようとする既知の安全なネットワーク（４０１、４０２）（４０３）から収集した対話の情報およびデータから、中央コンソール（３１１）は、通常のコマンド／結果の挙動からなる問合せパッケージ（４１０）を生成する。コマンド／挙動は、ドメイン・ネーム・サーバ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｅｒｖｅｒ、ＤＮＳ）、ハイパーテキスト転送プロトコル（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ，ＨＴＴＰ）、ＴＣＰ／ＵＤＰサービス、および他の整合性のある挙動トークンなどのインターネットプロトコルからのさまざまなリクエストおよびレスポンスを備える。収集され、分析され、パッケージに含まれる追加情報は、８０２．１Ｘ公開証明書、ＤＮＳホスト名などのハニーポット・カナリア・データ（ｈｏｎｅｙｐｏｔ ｃａｎａｒｙ ｄａｔａ）、ユーザ名およびパスワード、ＥＳＳＩＤ、ならびにサードパーティが指定するような任意の追加データなどの、類似するＡＰの属性を備える。新しいネットワークがＳＬＡＮ（３０１）と関わり合おうと試みるときに任意の新しいネットワークの動作セキュリティおよび周辺セキュリティの評価中にセンサ（３０３）が使用するために、これらの問合せ／レスポンスパッケージ（４１０－１～４１０－４）は、ＳＬＡＮ（３０１）に関連する問合せデータベース（４１１）に保存される。

【0030】

図５は、新しい、これまで未知のネットワーク（５０１）が８０２．１１無線接続（５０４）を使用してＡＰでＳＬＡＮ（たとえば、３０１）に接続しようと試みるときの条件５００を説明するための図である。センサ（３０３）は、接続リクエストを識別し、接続リクエストにフラグを立てる。安全な接続のための８０２．１１ハンドシェイク中に、センサは、フラグを立てた最終的な新しいネットワーク（５０１）からの初期情報およびデータを収集して、履歴データと比較するために、および分類のための潜在的マーカを識別するために、ＣＣ（３１１）に送信する。新しいネットワーク（５０１）の分類が確立すると、ＣＣ（３１１）は、識別されたネットワーク分類のための、あらかじめ用意され記憶された問合せ／回答パッケージ（４０１～４０４）を確認し、データベース（４１１）内の問合せパッケージ（４１０－ｎ）の可用性に基づき、ＣＣ（３１１）は、あらかじめ用意された問合せパッケージ（４１０－ｎ）をデータベースから選んで、またはセンサ（３０３）に提供される、新しい分類のための新しい問合せパッケージ（４１０－ｎ）を生成して、新しいネットワーク（５０１）の動作セキュリティを評価する。

【0031】

リクエストおよびレスポンスからなる問合せパッケージ（４１０－ｎ）がセンサ（３０３）に配送されると、センサ（３０３）は、規定された問合せパッケージ（４１０－ｎ）を使用して、新しいネットワーク（５０１）を評価するよう要求される。センサ（３０３）は、中央コンソール（３１１）の助けを借りて、近辺にあるネットワーク（４０１）の既知のＳＴＡ ＭＡＣアドレス（ａｃ：ｂｃ：３２：９ｆ：４ｄ：０ｃなど）に類似するＭＡＣアドレス（５１０）（たとえば、ａｃ：ｂｃ：３２：９ｆ：４ｄ：１ｃ）を有するクライアントＳＴＡとの擬似ネットワークを確立する。センサ（３０３）は、生成したＳＴＡ ＭＡＣアドレス（５１０）（たとえば、ａｃ：ｂｃ：３２：９ｆ：４ｄ：１ｃ）を使用して、新しい無線ネットワーク（５０１）と関わり合って、新しい無線ネットワーク（５０１）への接続性を確立する。ＩＥＥＥ ８０２．１ｘ規格プロトコルにより保護されたネットワークの場合、センサ（３０３）は、ランダム化により生成された、またはサードパーティのデータにより提供された証明書を使用して、ログイン認証を確立しようとする。

【0032】

センサ（３０３）により新しいネットワーク（５０１）への接続性が確立されると、ＴＣＰ／ＩＰ ＤＨＣＰｖ４、ＴＣＰ／ＩＰ ＤＨＣＰｖ６、または他のアドレス指定サービスなどの追加のアドレス指定サービスを使用して、ネットワークに基づく識別子を得て、既知のサービスへの接続性を許可する。センサ（３０３）は、次に、パッケージ化された問合せを使用して、新しいネットワーク（５０１）に質問し、結果を記録する。受信したこれらの結果（５１１）は、受信したように、または収集した情報に基づき追加修正を伴って、ＣＣ（３１１）に渡される。問合せのパッケージを完了し、結果（５１２）を収集すると、ＣＣ（３１１）は、結果（５１２）を調査し、新しい問合せパッケージの中に結果（５１２）を編集し、新しい問合せパッケージは、データベース４１１内の問合せパッケージを更新するために使用される。調査結果を使用して、要求しているネットワーク（５０１）がＳＬＡＮ（３０１）に接続するのに動作的に安全であるかどうかを判断する。ＣＣ（３１１）はまた、任意のさらなる調査および処理のために、履歴データベースの中にネットワーク（５０１）に関するセキュリティ要約を作り出す。

【0033】

図３～図５は、特定の実装形態の単なる例であり、さまざまなネットワーク内に存在してもよいいくつかのタイプの構成要素を例示することだけを意図している。ネットワークは、さまざまな構成要素を伴って例示されているが、構成要素を相互接続する任意の特定のアーキテクチャまたは手法を表すことを意図するものではないことに留意されたく、したがって、詳細は、本明細書の実施形態に密接な関係があるわけではない。より少ない構成要素、または多分より多くの構成要素を有するネットワークもまた、本明細書の実施形態と共に使用してもよいこともまた認識されよう。

【0034】

図６は、ネットワークの分類、およびネットワークの動作セキュリティに関する各分類に従いネットワークに質問するのに適した問合せパッケージの生成について説明するための例示的流れ図６００である。これに関しては、通常は流れ図、フローダイアグラム、構造図、または構成図として記述される処理６００として以下の実施形態について記述してもよい。流れ図は、順次処理として動作を記述してもよいが、動作の多くを並列に、または同時に遂行することができる。それに加えて、動作の順序を再配列してもよい。処理は、その動作が完了したときに終結する。処理は、方法、手順などに対応してもよい。ハードウェア（たとえば、回路、専用論理回路など）、（たとえば、非一時的コンピュータ可読媒体上に具体化された）ソフトウェア、またはそれらの組合せを含む処理論理により処理６００を遂行してもよい。

【0035】

ブロックＳ６００１で、センサ（３０３）は、８０２．１１無線手段を使用して安全なローカル・エリア・ネットワーク（ＳＬＡＮ）（３０１）のアクセスポイント（３０２－ｘ）に接続する機器（４０３）を含む既知の安全なネットワーク（４０１および４０２）を識別する。

【0036】

ブロックＳ６００２で、センサ（３０３）は、ネットワーク（４０１～４０３）の接続処理中に、ＳＬＡＮ（３０１）とネットワーク（４０１～４０３）の各々の間でハンドシェイク、ならびにハンドシェイク後の問合せおよびレスポンスに関係があるデータおよび情報を収集する。

【0037】

ブロックＳ６００３で、センサ（３０３）は、編集および評価のために、ネットワーク（４０１～４０３）の各々とＳＬＡＮ（３０１）の間の接続トランザクション中に生成した、収集したデータおよび情報をクラウド（３１０）内の中央コンソール（３１１）に送信する。

【0038】

ブロックＳ６００４で、中央コンソール（３１１）は、接続しようとするネットワーク（４０１～４０３）ごとにセンサ（３０３）からデータおよび情報を受信し、データおよび情報を合併し、それを、受信したデータおよび情報を用いて絶えず更新される履歴データベース（３１２）に記憶する。

【0039】

ブロックＳ６００５で、中央コンソール（３１１）は、受信したデータおよび情報を分析して、ＳＬＡＮ（３０１）に接続しようとするネットワーク（４０１～４０３）を分類するためのマーカを識別する。

【0040】

ブロックＳ６００６で、中央コンソール（３１１）は、データ科学的取り組み方法、相関分析、および機械学習を使用して、ＳＬＡＮ（３０１）に接続しようとするネットワーク（４０１～４０３）のために識別されたマーカに基づき分類グループを生成する。

【0041】

ブロックＳ６００７で、中央コンソール（３１１）は、安全なネットワーク（４０１～４０３）から収集したデータおよび情報、ならびに履歴データベース（３１２）に保存した履歴データおよび情報を保存したから分類グループごとに、問合せおよびレスポンスを備える問合せパッケージ（４１０－１～４１０－４）をさらに生成する。

【0042】

ブロックＳ６００８で、新しいネットワークがＳＬＡＮ（３０１）に接続しようと試みるときに任意の新しいネットワーク（５０１）の動作セキュリティ状態を評価するために、すでに識別された分類に入る任意の新しいネットワーク（５０１）に質問を行うために、中央コンソール（３１１）は、ＳＬＡＮ（３０１）のセンサ（３０３）に関連する問合せデータベース（４１１）に、生成した問合せパッケージ（４１０－１～４１０－４）を保存する。

【0043】

図７は、新しいネットワークの動作セキュリティ状態を決定するために問合せパッケージを使用して、かつＳＬＡＮへの接続を許可する、または否認する結果に基づき、８０２．１１無線手段により、ＳＬＡＮに接続しようと試みる最終的な新しいネットワークを識別するステップ、分類するステップ、およびそのネットワークに質問するステップを説明するための例示的流れ図７００である。これに関しては、通常は流れ図、フローダイアグラム、構造図、または構成図として記述される処理７００として以下の実施形態について記述してもよい。流れ図は、順次処理として動作を記述する場合があるが、動作の多くを並列に、または同時に遂行してもよい。それに加えて、動作の順序を再配列してもよい。処理は、その動作が完了したときに終結する。処理は、方法、手順などに対応してもよい。処理７００は、ハードウェア（たとえば、回路、専用論理回路など）、（たとえば、非一時的コンピュータ可読媒体上に具体化された）ソフトウェア、またはそれらの組合せを含む処理論理により遂行されてもよい。

【0044】

ブロックＳ７００１で、最終的な新しいネットワーク（５０１）は、８０２．１１無線手段を使用して、ＳＬＡＮ（３０１）のアクセスポイント（３０２－ｘ）を通して接続を要求する。

【0045】

ブロックＳ７００２で、センサ（３０３）は、接続リクエストを識別し、接続リクエストにフラグを立てて、ハンドシェイク、および安全な接続前期間中にデータおよび情報を収集する。

【0046】

ブロックＳ７００３で、センサ（３０３）は、履歴データベース（３１２）に保存した履歴データと比較するために、および新しいネットワーク（５０１）を分類するための任意の利用可能なマーカを識別するために、収集したデータおよび情報をクラウド（３１０）内の中央コンソール（３１１）に送信する。

【0047】

ブロックＳ７００４で、中央コンソール（３１１）は、履歴データベース（３１２）に記憶した分類に対して、分類のための利用可能なマーカを確認して、新しいネットワークの分類マーカが任意の既存の分類と一致するかどうかを確かめる。新しいネットワーク（５０１）が既存の分類に入ることが分かった場合、次の３つのステップを排除するが、中央コンソール（３１１）により、ネットワークが既存の分類に入ると識別されなかった場合、以下の３つのステップを開始する。

【0048】

ブロックＳ７００５で、中央コンソールは、センサ（３０３）が収集したデータおよび情報から識別したマーカに基づき、ネットワークに関する新しい分類を生成する。

【0049】

ブロックＳ７００６で、センサ（３０３）が収集し、中央コンソール（３１１）に送信した情報およびデータ、ならびに履歴データベース（３１２）内の任意の関連性のあるデータに基づき、中央コンソール（３１１）は、新しいネットワーク（５０１）に、および新しい分類のネットワークに質問するための新しい問合せパッケージ（４１０－ｎ）を生成する。

【0050】

ブロックＳ７００７で、生成した新しい問合せパッケージ（４１０－ｎ）を、ＳＬＡＮ（３０１）に関連する問合せデータベース（４１１）に記憶し、新しい分類を参照する。

【0051】

ブロックＳ７００８で、中央コンソール（３１１）は、ＳＬＡＮ（３０１）への接続を要求する新しいネットワーク（５０１）の動作セキュリティを評価するために、問合せデータベース（４１１）から新しいネットワーク（５１０）を分類するための問合せパッケージ（４１０－ｎ）を抽出するようセンサ（３０３）に要求する。

【0052】

ブロックＳ７００９で、センサ（３０３）は、近くの信頼できるネットワーク（４０１）のＳＴＡ ＭＡＣアドレスに類似するＳＴＡ ＭＡＣアドレスを用いて新しい擬似ネットワーク（５１０）を確立して、新しいネットワーク（５０１）と直接関わり合い、ハンドシェイクおよび安全な接続性を用いて、新しいネットワーク（５０１）との認証された接続性を確立する。

【0053】

ブロックＳ７０１０で、センサ（３０３）は、直接接続が確立されると、追加のアドレス指定サービスを使用して、既知のサービスに接続されるようになり、選択した問合せパッケージ（４１０－ｎ）内の問合せおよび回答を使用して、新しいネットワークに質問する。

【0054】

ブロックＳ７０１１で、新しいネットワーク（５０１）への接続から得られる追加のデータおよび情報、ならびに質問の結果は、中央コンソールセンサ（３０３）により収集され、新しいネットワークの動作セキュリティを評価するために中央コンソール（３１１）に送信される。

【0055】

ブロックＳ７０１２で、中央コンソール（３１１）は、擬似ネットワーク（５１０）への新しい接続処理から収集したデータおよび情報、ならびに質問の結果を使用して、新しい分類のために問合せデータベース（４１１）に保存された問合せパッケージ（４１０－ｎ）を更新する。

【0056】

ブロックＳ７０１３で、中央コンソール（３１１）は、動作セキュリティの評価結果をＳＬＡＮ（３０１）のセンサ（３０３）に送信し、センサは、評価の受入可能性または受入不可能性に基づき、新しいネットワーク（５０１）によるＳＬＡＮ（３０１）への接続リクエストを有効にする、または否認する。

【0057】

本明細書で記述する処理（たとえば、処理６００および処理７００）は、記述する特有の例に限定されない。たとえば、処理６００および処理７００は、それぞれ図６および図７の特有の処理順序に限定されない。むしろ、これらの図の処理ブロックのいずれも、必要に応じて並べ替えて、組み合わせて、または取り除いて、並列に、もしくは連続的に遂行して、上記で示す結果を達成してもよい。１つまたは複数のコンピュータプログラムを実行して、システムの機能を遂行する１つまたは複数のプログラム可能プロセッサは、システム実装に関連する（たとえば、処理６００および処理７００での）処理ブロックを遂行してもよい。システムのすべてまたは一部を、専用論理回路（たとえば、ＦＰＧＡ（ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ）および／またはＡＳＩＣ（ａｐｐｌｉｃａｔｉｏｎ－ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ，特定用途向け集積回路））として実装してもよい。たとえば、プロセッサ、メモリ、プログラム可能論理デバイス、または論理ゲートのうち少なくとも１つなどの電子デバイスを含む電子的ハードウェア回路を使用して、システムのすべてまたは一部を実装してもよい。さらに、処理６００および処理７００をハードウェア機器とソフトウェア構成要素の任意の組合せで実装することができる。

【0058】

本明細書で記述する処理（たとえば、処理６００および処理７００）は、図３～図５のハードウェアおよびソフトウェアと共に使用するように限定されているわけではなく、任意のコンピューティング環境または処理環境でコンピュータプログラムを走らせることができる任意のタイプの機械または１組の機械と共に適用可能性を見いだしてもよい。本明細書で記述する処理を、ハードウェア、ソフトウェア（ハードドライブまたはシステムメモリなどのコンピュータ可読媒体上に記憶されたコンピュータコードを含む）、または両者の組合せで実装してもよい。本明細書で記述する処理を、プロセッサ、非一時的機械可読媒体、またはプロセッサにより可読の、製造業者の他の物品（揮発性および不揮発性のメモリおよび／または記憶素子を含む）、少なくとも１つの入力機器、および１つまたは複数の出力機器をそれぞれ含むプログラム可能コンピュータ／機械上で実行されるコンピュータプログラムの中に実装してもよい。入力機器を使用して入力されたデータにプログラムコードを適用して、本明細書で記述する処理のいずれかを遂行し、出力情報を生成してもよい。

【0059】

データ処理装置（たとえば、プログラム可能プロセッサ、コンピュータ、複数のコンピュータ）により実行するために、またはデータ処理装置の動作を制御するために、コンピュータプログラム製品を介して（たとえば非一時的コンピュータ可読媒体などの、たとえば非一時的機械可読記憶媒体の中に）ＮＰＳおよびＮＰＰＳの実施形態を少なくとも一部は実装してもよい。そのような各プログラムを高水準手続き型プログラミング言語またはオブジェクト指向プログラミング言語で実装して、コンピュータシステムと通信してもよい。しかしながら、プログラムをアセンブリ言語または機械語で実装してもよい。言語は、コンパイラ型言語またはインタープリタ型言語であってもよく、独立型プログラムとして、またはモジュール、コンポーネント、サブルーチン、もしくはコンピューティング環境で使用するのに適した他のユニットとしてを含む任意の形態で導入されてもよい。コンピュータプログラムを１つの敷地で、１つのコンピュータ上で、もしくは複数のコンピュータ上で実行するように導入してもよい、または複数の敷地にわたって分散させて、通信ネットワークにより相互接続してもよい。コンピュータが非一時的機械可読媒体を読み出して、本明細書で記述する処理を遂行するとき、コンピュータを構成し、動作させるために、汎用または専用のプログラム可能コンピュータが読出し可能な非一時的機械可読記憶媒体上にコンピュータプログラムを記憶してもよい。

【0060】

たとえば、本明細書で記述するシステムおよび処理を、プロセッサをプログラムして、上記で記述した動作の一部またはすべてを遂行する命令を記憶した非一時的機械可読記憶媒体としてさらにまた実装してもよい。非一時的機械可読記憶媒体を、コンピュータプログラムを用いて構成してもよく、その場合、コンピュータプログラム内の命令は、実行されたとき、処理に従ってコンピュータを動作させる。非一時的機械可読媒体は、ハードドライブ、コンパクトディスク、フラッシュメモリ、不揮発性メモリ、揮発性メモリ、磁気ディスケットなどを含んでもよいが、それらに限定されることはなく、しかし本質的に、一時的信号を含まない。他の実施形態では、これらの動作のいくつかを、配線によって接続された論理回路を包含する特有のハードウェア構成要素により遂行してもよい。代わりに、これらの操作を、プログラム可能なコンピュータ構成要素および固定されたハードウェア回路構成要素の任意の組合せにより遂行してもよい。

【0061】

「コンピュータ可読記憶媒体」および「機械可読記憶媒体」という用語は、１つまたは複数の組の命令を記憶する単一媒体または複数の媒体（たとえば、集中型もしくは分散型のデータベース、ならびに／または関連するキャッシュおよびサーバ）を含むと理解すべきである。「コンピュータ可読記憶媒体」および「機械可読記憶媒体」という用語はまた、機械が実行するための１組の命令を記憶または符号化することができ、かつ本開示の方法論の任意の１つまたは複数を機械に遂行させる任意の媒体を含むと理解すべきである。それに応じて、「コンピュータ可読記憶媒体」および「機械可読記憶媒体」という用語は、ソリッド・ステート・メモリ、ならびに光学媒体および磁気媒体、または任意の他の非一時的機械可読媒体を含むが、それらに限定されないと理解すべきである。

【0062】

実施形態に関連して本発明について記述してきたが、本発明は、記述した実施形態に限定されるのではなく、添付の特許請求の範囲の精神および範囲に入る修正および変形を伴って実施することができることを当業者は認識されよう。したがって、記述は、限定的ではなく、例示的であると見なされるべきである。上記で記述した本発明の異なる様態に対応する数多くの他の変形形態が存在し、簡潔にするために、これらの変形形態について詳細に提供してこなかった。したがって、他の実施形態は、特許請求の範囲に入る。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】