專利名稱：用于無線網(wǎng)絡(luò)和物理系統(tǒng)集成的系統(tǒng)和方法
用于無線網(wǎng)絡(luò)和物理系統(tǒng)集成的系統(tǒng)和方法
背景技術(shù)：
網(wǎng)絡(luò)經(jīng)常經(jīng)受想要取得對網(wǎng)絡(luò)資源的未經(jīng)授權(quán)訪問的入侵者的攻擊。作為示例， 接近無線網(wǎng)絡(luò)的攻擊者可能會企圖竊入(hack into)無線網(wǎng)絡(luò)以取得對內(nèi)部網(wǎng)絡(luò)的訪問， 或者取得自由的因特網(wǎng)訪問。保護網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)和公司數(shù)據(jù)以防止外部攻擊者是網(wǎng)絡(luò)管理 者的主要關(guān)切。


通過以下結(jié)合附圖進行的詳細描述將很容易理解本發(fā)明，在附圖中相似標(biāo)號指代 相似結(jié)構(gòu)元素，并且其中圖1是根據(jù)本發(fā)明一實施例的總體系統(tǒng)的圖示，在該系統(tǒng)中，無線網(wǎng)絡(luò)被布置來 檢測無線入侵企圖并將有關(guān)無線攻擊者的位置的信息提供給監(jiān)督系統(tǒng)。圖2是根據(jù)本發(fā)明一實施例的總體系統(tǒng)的圖示，在該系統(tǒng)中，入侵檢測器所覆蓋 的范圍被與視頻監(jiān)督裝置(arrangement)相關(guān)聯(lián)的相機覆蓋。圖3是根據(jù)本發(fā)明一實施例的處理流程圖，該示了對實現(xiàn)聯(lián)合網(wǎng)絡(luò)和物理周 界防御的總體系統(tǒng)進行操作的第一方法。圖4是根據(jù)本發(fā)明一實施例的處理流程圖，該示了使能視頻監(jiān)督系統(tǒng)選擇至 少一個適當(dāng)設(shè)備來用于監(jiān)視入侵者正在企圖訪問無線網(wǎng)絡(luò)的特定物理位置的方法，例如， 圖3的步驟317。圖5是根據(jù)本發(fā)明一實施例的入侵檢測器的框圖表示。圖6是根據(jù)本發(fā)明一實施例的視頻監(jiān)督系統(tǒng)的框圖表示。圖7是根據(jù)本發(fā)明一實施例的處理流程圖，該示了對實現(xiàn)聯(lián)合網(wǎng)絡(luò)和物理周 界防御的整體系統(tǒng)進行操作的方法，該方法包括通知多個系統(tǒng)。圖8是根據(jù)本發(fā)明一實施例的處理流程圖，該示了對實現(xiàn)聯(lián)合網(wǎng)絡(luò)和物理周 界防御的總體系統(tǒng)進行操作的方法，該方法包括在入侵者移動時對提供給視頻監(jiān)督系統(tǒng)的 信息進行更新。
具體實施例方式一般性概述根據(jù)本發(fā)明一個方面，一種設(shè)備包括無線入侵檢測裝置和位置標(biāo)識裝置。入侵檢 測裝置確定未經(jīng)授權(quán)的攻擊者何時企圖訪問該入侵檢測裝置為其一部分的無線網(wǎng)絡(luò)。位置 標(biāo)識裝置在攻擊者企圖訪問無線網(wǎng)絡(luò)時標(biāo)識攻擊者的至少第一近似物理位置。位置標(biāo)識裝 置被配置為將第一近似物理位置傳送給對該第一近似物理位置進行監(jiān)視的監(jiān)督裝置。描述網(wǎng)絡(luò)上的攻擊(例如，未經(jīng)授權(quán)地入侵私有無線網(wǎng)絡(luò))危及網(wǎng)絡(luò)安全性。對這種 攻擊作出高效反應(yīng)的能力使得可以及時地收集與這些攻擊相關(guān)聯(lián)的取證數(shù)據(jù)，并且增大了 將這些攻擊所引起的任何損害有效最小化的可能性。此外，在具有對攻擊作出高效反應(yīng)的能力的情況下，可以增大有效抓捕和起訴攻擊者的可能性。使得可以標(biāo)識企圖通過無線接口訪問網(wǎng)絡(luò)的入侵者，則可以采取措施來終止訪問 網(wǎng)絡(luò)的企圖。確定無線攻擊者或入侵者所處的至少近似的物理或?qū)嶋H位置有效地縮窄了可 被搜索以親身抓捕無線攻擊者或入侵者的搜索區(qū)域。在一個實施例中，被布置來確定攻擊 者的近似實際位置的定位設(shè)施可以饋給或者以其它方式提供與近似實際位置有關(guān)的信息 給視頻監(jiān)督系統(tǒng)。一旦視頻監(jiān)督系統(tǒng)從定位設(shè)施獲得與近似實際位置有關(guān)的信息，視頻監(jiān) 督系統(tǒng)就可以識別適當(dāng)相機用以提供對該近似實際位置的覆蓋，并且可適當(dāng)?shù)匾苿酉鄼C以 覆蓋該近似實際位置。作為可被無線訪問的網(wǎng)絡(luò)一部分的定位設(shè)施可以向監(jiān)督系統(tǒng)提供入侵者或者欺 騙接入點(例如，諸如無權(quán)訪問網(wǎng)絡(luò)的接入點之類的計算設(shè)備或者由無權(quán)訪問網(wǎng)絡(luò)的個人 操作的計算設(shè)備)的近似位置，以使得監(jiān)督系統(tǒng)能夠被用于在物理上定位入侵者。欺騙接 入點實質(zhì)上可以是任何未經(jīng)授權(quán)的設(shè)備，其被物理入侵者放置在網(wǎng)絡(luò)上以使得他/她可以 向他/她自身提供網(wǎng)絡(luò)的外部后門訪問(backdoor access)或者針對合法用戶設(shè)置陷阱。 在物理上定位入侵者時，可以采取步驟來有效地抓捕入侵者并保護網(wǎng)絡(luò)安全。有效地抓捕 入侵者可以包括但不限于使得計算設(shè)備下線和/或?qū)εc入侵者相關(guān)聯(lián)的個人實施懲戒處 分。首先參考圖1，將描述根據(jù)本發(fā)明一實施例的總體系統(tǒng)，其中，具有無線接口的網(wǎng) 絡(luò)被布置來檢測無線攻擊者并向監(jiān)督系統(tǒng)提供有關(guān)無線攻擊者的位置的信息?？傮w系統(tǒng) 100包括無線網(wǎng)絡(luò)104和監(jiān)督系統(tǒng)116。無線網(wǎng)絡(luò)可以包括以無線和有線兩種方式進行通 信的組件。即，無線網(wǎng)絡(luò)104不限于嚴格地支持無線通信，并且也可支持有線通信。監(jiān)督系 統(tǒng)116實質(zhì)上可以是觀察和/或收集信息的任何系統(tǒng)。在一個實施例中，監(jiān)督系統(tǒng)116是 一種視頻監(jiān)督系統(tǒng)，其包括被配置為接近地且連續(xù)地監(jiān)視物理分區(qū)的視頻相機。無線網(wǎng)絡(luò)104包括入侵檢測器108，該入侵檢測器108被布置來檢測對訪問無線網(wǎng) 絡(luò)104的未經(jīng)授權(quán)企圖。即，入侵檢測器108識別企圖取得對無線網(wǎng)絡(luò)104的訪問或者以 其它方式潛入無線網(wǎng)絡(luò)104的入侵者或者欺騙接入點。應(yīng)當(dāng)了解，入侵檢測器108可以利 用與開放系統(tǒng)互聯(lián)(0SI)第3層至第7層的有線入侵檢測和防止機制協(xié)同操作的0SI第2 層的無線入侵檢測和防止機制。換而言之，第2層的無線局域網(wǎng)(WLAN)入侵檢測/防止系 統(tǒng)(WIDS)實質(zhì)上可以與第3層至第7層所關(guān)聯(lián)的入侵檢測/防止系統(tǒng)(IDS)集成。用于 檢測攻擊的信息不必僅聚焦于針對無線LAN(亦即第2層)的攻擊，而是也可用于檢測更高 層攻擊，例如第3層至第7層上的攻擊?？梢詮钠渌鼘幼匪莨粽叩牡?層身份，例如，無 線適配器介質(zhì)訪問控制(MAC)地址。在一個實施例中，入侵檢測器108包括位置標(biāo)識系統(tǒng)112，位置標(biāo)識系統(tǒng)112被布 置來提供由入侵檢測器108檢測到的任何入侵者或者無線攻擊者的通用位置。位置標(biāo)識系 統(tǒng)112被布置來收集慮及正企圖訪問無線網(wǎng)絡(luò)104的攻擊入侵者的近似物理位置的信息。 即，位置標(biāo)識系統(tǒng)112被布置來生成入侵者位置信息120。位置標(biāo)識系統(tǒng)112還被布置來將 入侵者位置信息120提供給視頻監(jiān)督系統(tǒng)116，該視頻監(jiān)督系統(tǒng)116 —般被布置來處理入侵 者位置信息120以提供對攻擊入侵者的近似物理位置周圍區(qū)域的監(jiān)督。在視頻監(jiān)督系統(tǒng)116內(nèi)，可以使用任意數(shù)目的視頻相機(未示出)或者其它監(jiān)督 設(shè)備(未示出)來覆蓋攻擊入侵者的近似物理位置。視頻監(jiān)督系統(tǒng)116內(nèi)的每一個視頻相機或監(jiān)督設(shè)備可被布置來覆蓋關(guān)聯(lián)分區(qū)。圖2是根據(jù)本發(fā)明一實施例的總體系統(tǒng)的圖示， 在該系統(tǒng)中，入侵檢測器所覆蓋的范圍由與視頻監(jiān)督裝置相關(guān)聯(lián)的相機覆蓋?？傮w系統(tǒng)200 包括與無線網(wǎng)絡(luò)(未示出)相關(guān)聯(lián)的入侵檢測器208，以及入侵檢測器208被布置來與其進 行例如無線通信的視頻監(jiān)督裝置216。入侵檢測器208被配置來檢測任何入侵者，例如進入范圍224的入侵者228。范 圍224是入侵檢測器208在其中能夠確定入侵者位置的物理區(qū)域。即，入侵檢測器208被 布置來標(biāo)識進入物理區(qū)域或范圍224的任何入侵者的近似物理位置。視頻監(jiān)督裝置216包括相機232a_c，各個相機232a_c分別具有覆蓋分區(qū)236a_c。 作為示例，相機232a被布置來覆蓋分區(qū)236a以使得分區(qū)236a實質(zhì)上可由觀看相機232a 所提供的圖像顯示的任何人來監(jiān)視。分區(qū)236a-c可以是不交疊的，或者可以至少部分彼此 交疊，如同分區(qū)236a、236b的情況一樣。在所示實施例中，范圍224由至少兩個分區(qū)236a、 236b覆蓋。但是，應(yīng)當(dāng)了解，范圍224實質(zhì)上可僅由單個分區(qū)覆蓋，例如當(dāng)與相機相關(guān)聯(lián)的 分區(qū)基本上與范圍224 —致時。在入侵檢測器208檢測到入侵者228至少部分地在范圍224內(nèi)之后，入侵檢測器 標(biāo)識入侵者228的近似物理位置。入侵檢測器208將有關(guān)入侵者228的近似物理位置的信 息提供給視頻監(jiān)督裝置216。使用該信息，視頻監(jiān)督裝置216可以確定相機232a-c中哪個 相機分別具有的關(guān)聯(lián)分區(qū)236a-c包含了入侵者228的近似物理位置。如圖所示，相機232a 具有的分區(qū)236a覆蓋了入侵者228的近似物理位置。因此，視頻監(jiān)督裝置216可以有效地 將相機232a布置用于可視地定位入侵者228。視頻監(jiān)督裝置216可以向相機圖像追加一通 告，該通告指示出已經(jīng)檢測到潛在的網(wǎng)絡(luò)入侵，隨后安全人員可以手動地在適當(dāng)區(qū)域中移 動相機以檢測可疑個人或行為。在一個實施例中，當(dāng)入侵者228處在分區(qū)236a中并且相對地接近分區(qū)236b時，視 頻監(jiān)督裝置216可以指定相機232a和232b 二者都用于可視地定位入侵者228。指定相機 232a、232b 二者可以說明在近似化入侵者228在范圍224內(nèi)的物理位置時的任何微小差錯。參考圖3，將描述根據(jù)本發(fā)明一實施例的操作如下總體系統(tǒng)的方法，該系統(tǒng)集成了 網(wǎng)絡(luò)入侵檢測器和視頻監(jiān)督系統(tǒng)。操作將網(wǎng)絡(luò)入侵檢測與物理監(jiān)督集成的總體系統(tǒng)的處理 301開始于步驟305，其中，入侵檢測檢測入侵諸如私有WLAN之類的網(wǎng)絡(luò)的企圖，例如，未經(jīng) 授權(quán)的訪問。例如當(dāng)未向網(wǎng)絡(luò)注冊的設(shè)備被網(wǎng)絡(luò)識別為企圖訪問網(wǎng)絡(luò)資源時，可以檢測到 入侵。在檢測到入侵網(wǎng)絡(luò)的企圖之后，入侵檢測器在步驟309標(biāo)識所企圖的入侵發(fā)生的 通用物理位置。標(biāo)識所企圖的入侵發(fā)生的通用物理位置例如包括標(biāo)識所企圖的入侵的最近 網(wǎng)關(guān)或接入點。一般而言，入侵檢測器知曉網(wǎng)絡(luò)內(nèi)的網(wǎng)關(guān)的實際位置。因此，標(biāo)識所企圖的 入侵的最近網(wǎng)關(guān)或其它合適的網(wǎng)絡(luò)設(shè)施有效地使得能夠標(biāo)識所企圖入侵的通用實際位置。 通用物理或?qū)嶋H位置可以是但不限于是建筑物、建筑物內(nèi)的樓層、建筑物內(nèi)的區(qū)域、建筑物 內(nèi)的房間、或者用諸如全球定位坐標(biāo)之類的地圖坐標(biāo)來標(biāo)識的位置。一旦通用物理位置被標(biāo)識出，入侵檢測器就在步驟313向監(jiān)督系統(tǒng)(例如，視頻監(jiān) 督系統(tǒng))提供有關(guān)在步驟309標(biāo)識出的物理位置的信息。在一個實施例中，入侵檢測器可 以形成并向監(jiān)督系統(tǒng)發(fā)送一消息，該消息指示出已在該物理位置發(fā)生企圖入侵。應(yīng)當(dāng)了解， 如果存在與入侵檢測器通信的多個監(jiān)督系統(tǒng)，則向監(jiān)督系統(tǒng)提供有關(guān)已發(fā)生企圖入侵的物理位置的信息可以包括首先確定向哪個監(jiān)督系統(tǒng)提供該信息。換而言之，如果不同的監(jiān)督 系統(tǒng)覆蓋不同物理位置，則可以首先識別適當(dāng)?shù)谋O(jiān)督系統(tǒng)。在接收到有關(guān)發(fā)生了企圖入侵的物理位置的信息時，監(jiān)督系統(tǒng)可以在步驟317識 別用于監(jiān)視該物理位置的一個或多個合適設(shè)備。一般而言，合適設(shè)備可以是覆蓋范圍包含 了發(fā)生企圖入侵的該物理位置的視頻相機或者類似傳感設(shè)備。下面將參考圖4討論監(jiān)督系 統(tǒng)識別用于監(jiān)視物理位置的合適設(shè)備的一種方法。在步驟321，監(jiān)督系統(tǒng)命令一個或多個適當(dāng)設(shè)備(例如視野范圍覆蓋該物理位置 的視頻相機)監(jiān)視該物理位置。從步驟321開始，處理流程行進到步驟325，其中，適當(dāng)實體 可以獲得并使用由一個或多個適當(dāng)設(shè)備提供的信息來識別企圖入侵的源。適當(dāng)實體可以是 觀看搖攝物理位置的相機的輸出顯示的安全人員或者信息技術(shù)管理員。識別企圖入侵的源 可以包括使用從相機獲得的圖像來識別對無線接入設(shè)備進行操作的個人。在適當(dāng)實體可以 獲得并使用由適當(dāng)監(jiān)督設(shè)備提供的信息之后，對將網(wǎng)絡(luò)入侵檢測與物理監(jiān)督集成的總體系 統(tǒng)的操作處理完成。接下來參考圖4，將描述根據(jù)本發(fā)明一實施例的一種方法，該方法使得視頻監(jiān)督系 統(tǒng)能夠選擇至少一個適當(dāng)設(shè)備以用于監(jiān)視入侵者正企圖訪問無線網(wǎng)絡(luò)的特定物理位置，例 如圖3的步驟317。選擇至少一個適當(dāng)設(shè)備用于監(jiān)視特定物理位置的處理317開始于步驟 405，其中，監(jiān)督系統(tǒng)將有關(guān)發(fā)生企圖入侵的物理位置的信息映射到與該監(jiān)督系統(tǒng)相關(guān)聯(lián)的 物理安全空間。由入侵檢測器提供的物理位置可被映射成坐標(biāo)或者監(jiān)督系統(tǒng)可有效理解的 位置。作為示例，入侵檢測器可以指示出企圖入侵正發(fā)生在建筑物的相對于入侵檢測器而 定義的特定區(qū)域中，并且監(jiān)督系統(tǒng)可以將建筑物的該特定區(qū)域映射到在監(jiān)督系統(tǒng)內(nèi)定義的 分區(qū)中。在監(jiān)督系統(tǒng)映射從入侵檢測器獲得的信息之后，監(jiān)督系統(tǒng)在步驟409識別可能適 合于監(jiān)視物理安全空間中的適當(dāng)分區(qū)的一個或多個設(shè)備。換而言之，監(jiān)督系統(tǒng)確定哪個或 哪些設(shè)備被布置來監(jiān)視已發(fā)生了企圖入侵的分區(qū)?？蛇x地，在步驟413，監(jiān)督系統(tǒng)按需安置 (position)該一個或多個設(shè)備以監(jiān)視物理安全空間中的適當(dāng)分區(qū)。例如，視頻監(jiān)督系統(tǒng)可 將可移動視頻相機安置成集中于捕捉來自物理安全空間中的該適當(dāng)分區(qū)的圖像。在設(shè)備已 被識別并且在必要的情況下已按需安置之后，選擇至少一個適當(dāng)設(shè)備用于監(jiān)視特定物理位 置的處理完成。如前所述，入侵檢測器包括位置標(biāo)識系統(tǒng)。一般而言，入侵檢測器可以包括多種不 同組件。圖5是根據(jù)本發(fā)明一實施例的入侵檢測器的框圖表示。入侵檢測器508包括入侵 檢測邏輯510，該入侵檢測邏輯510在被執(zhí)行時被布置來確定欺騙客戶端或者攻擊入侵者 何時處在入侵檢測器508所覆蓋的物理范圍內(nèi)。入侵檢測器508還包括位置標(biāo)識系統(tǒng)512 或者邏輯，該位置標(biāo)識系統(tǒng)512或者邏輯允許攻擊入侵者的至少當(dāng)前的近似物理位置被確 定并提供給監(jiān)督系統(tǒng)(未示出)。一般而言，邏輯可以包括硬件邏輯和/或?qū)崿F(xiàn)在諸如存儲 設(shè)備之類的有形介質(zhì)上的軟件邏輯。位置標(biāo)識系統(tǒng)512包括傳感器邏輯540，傳感器邏輯540可被布置來有效地傳感 無線攻擊者或者攻擊入侵者的物理位置。處理裝置544通常被配置來執(zhí)行與位置標(biāo)識系統(tǒng) 512和入侵檢測邏輯510相關(guān)聯(lián)的任何軟件邏輯或者計算機代碼設(shè)備。處理裝置544可以 包括至少一個處理器和至少一個控制器。
入侵檢測器508包括通信端口裝置548，通信端口裝置548可以包括可通過其發(fā)生 無線通信的通信端口。應(yīng)當(dāng)了解，通信端口裝置548可替代地包括可通過其發(fā)生有線通信 的通信端口。使用通信端口裝置548發(fā)生的通信包括與監(jiān)督系統(tǒng)(未示出)的通信以及與 入侵檢測器508為其一部分的無線網(wǎng)絡(luò)所關(guān)聯(lián)的設(shè)備的通信。通常，與無線網(wǎng)絡(luò)中的入侵檢測器協(xié)同操作以使得可物理地跟蹤客戶端的監(jiān)督系 統(tǒng)是視頻監(jiān)督系統(tǒng)。圖6是根據(jù)本發(fā)明一實施例的視頻監(jiān)督系統(tǒng)的框圖表示。視頻監(jiān)督系 統(tǒng)616包括通信端口裝置656，視頻監(jiān)督系統(tǒng)616可經(jīng)由該通信端口裝置656來從諸如圖5 的入侵檢測器508之類的入侵檢測器接收信息。視頻監(jiān)督系統(tǒng)616還包括被布置來提供監(jiān)督的至少一個設(shè)備632。設(shè)備632可以 是被布置來捕獲并記錄與由設(shè)備632監(jiān)視的分區(qū)相關(guān)聯(lián)的圖像的視頻相機。設(shè)備管理邏輯 670包括軟件和/或硬件邏輯，該軟件和/或硬件邏輯在被處理裝置652執(zhí)行時可操作來選 擇適當(dāng)設(shè)備632用于監(jiān)視無線攻擊者的近似物理位置。設(shè)備管理邏輯670中包括的設(shè)備位 置標(biāo)識器674被布置來標(biāo)識設(shè)備位置，以及允許選擇用于跟蹤無線客戶端的適當(dāng)設(shè)備632。設(shè)備管理邏輯670還控制設(shè)備632的操作。作為示例，設(shè)備管理邏輯670可被配 置來將設(shè)備632安置成基本上使無線攻擊者的近似物理位置的附近視野最優(yōu)化。映射邏輯612包括如下軟件和/或硬件邏輯，該軟件和/或硬件邏輯被配置為將 與從入侵檢測器(未示出)獲得的無線攻擊者的近似物理位置有關(guān)的信息映射或者以其它 方式變換到物理空間中，即，實質(zhì)上在視頻監(jiān)督系統(tǒng)616的域內(nèi)理解的物理位置。作為示 例，映射邏輯612可被布置來提供相機和變焦坐標(biāo)，這些坐標(biāo)使得無線攻擊者的近似物理 位置能夠基本上被瞄準(zhǔn)(zero in upon) 0映射邏輯612可以提供由設(shè)備管理邏輯670用于 控制設(shè)備632的選擇和安置的數(shù)據(jù)。視頻監(jiān)督系統(tǒng)616還包括顯示裝置678，該顯示裝置678使得例如出于IT管理員 和/或安全人員的利益而可以顯示由設(shè)備632捕獲的視頻。顯示裝置678的配置可極為不 同，并且可包括任意數(shù)目的屏幕或視窗。顯示裝置678可包括使得用戶能夠選擇來自設(shè)備 632的視圖以供顯示的圖形用戶界面，并且還可允許用戶對設(shè)備632進行變焦以提供更詳 細的視圖。顯示裝置678可以顯示將特定視圖標(biāo)識為攻擊入侵者所位于的近似物理位置的 視圖的視窗。即，顯示裝置678可被布置來清楚地指示出將要監(jiān)視的無線客戶端的存在， 以及想要將特定視圖用于輔助追蹤或跟蹤該無線客戶端。在一些實施例中，由入侵檢測器獲得的信息可與監(jiān)督系統(tǒng)以外的系統(tǒng)共享。作為 示例，與入侵者或無線客戶端的通用物理位置相關(guān)聯(lián)的信息可被提供給互操作和協(xié)作系 統(tǒng)，例如可從位于加利福尼亞州圣何塞市的思科系統(tǒng)公司獲得的思科因特網(wǎng)協(xié)議(IP)互 操作和協(xié)作系統(tǒng)(IPICS)。圖7是根據(jù)本發(fā)明一實施例的處理流程圖，該示了對實現(xiàn)聯(lián) 合網(wǎng)絡(luò)和物理周界防御的總體系統(tǒng)進行操作的方法，該方法包括通知多個系統(tǒng)。允許與入 侵網(wǎng)絡(luò)有關(guān)的信息與各種系統(tǒng)共享的總體系統(tǒng)的操作處理701開始于步驟705，其中，入侵 檢測檢測入侵企圖。在步驟709，入侵檢測器標(biāo)識企圖入侵所發(fā)生的通用或近似物理位置。一旦通用物 理位置被標(biāo)識出，入侵檢測器就在步驟713向監(jiān)督系統(tǒng)(例如，視頻監(jiān)督系統(tǒng))提供與企圖 入侵所發(fā)生的通用或近似物理位置有關(guān)的信息。在入侵檢測器向監(jiān)督系統(tǒng)提供與企圖入侵所發(fā)生的通用物理位置有關(guān)的信息之后，入侵檢測器在步驟715發(fā)起關(guān)于該企圖入侵的與適當(dāng)系統(tǒng)或人員的通信。入侵檢測器 可直接或間接地將如下消息發(fā)送給例如互操作和協(xié)作系統(tǒng)，該消息指示出在步驟709所標(biāo) 識出的通用物理位置處存在潛在安全漏洞。可替代地，在一個實施例中，發(fā)起與適當(dāng)系統(tǒng)或 人員的通信可以包括向適當(dāng)人員提供如下通知他/她應(yīng)當(dāng)調(diào)查在該通用物理位置處的潛 在安全漏洞。通信可以包括針對與網(wǎng)絡(luò)和監(jiān)督系統(tǒng)相關(guān)聯(lián)的IT管理員或其它人員的語音 和/或視頻呼叫。應(yīng)當(dāng)了解，雖然入侵檢測器被描述為發(fā)起與適當(dāng)系統(tǒng)或人員的有關(guān)企圖 入侵的通信，但是這種通信替代地可由監(jiān)督系統(tǒng)發(fā)起。一旦監(jiān)督系統(tǒng)接收到與企圖入侵發(fā)生的通用物理位置有關(guān)的信息，監(jiān)督系統(tǒng)就可 在步驟717識別一個或多個適當(dāng)設(shè)備以用于監(jiān)視該物理位置。上面已參考圖4論述了識別 用于監(jiān)視物理位置的適當(dāng)設(shè)備的一種合適方法。監(jiān)督系統(tǒng)在步驟721命令該一個或多個適當(dāng)設(shè)備(例如，視野范圍跨越該物理位 置的相機)監(jiān)視該物理位置。在步驟725，適當(dāng)實體可獲得并使用由該一個或多個適當(dāng)設(shè)備 提供的信息來識別企圖入侵的源。在適當(dāng)實體可獲得并使用由適當(dāng)監(jiān)督設(shè)備提供的信息之 后，對允許與入侵網(wǎng)絡(luò)有關(guān)的信息與各種系統(tǒng)共享的總體系統(tǒng)的操作處理完成。企圖使用無線設(shè)備訪問或者以其它方式竊入無線網(wǎng)絡(luò)的入侵者可能在企圖訪問 無線網(wǎng)絡(luò)的同時來回移動。入侵檢測器可以檢測出或者以其它方式確定正企圖訪問網(wǎng)絡(luò)的 特定入侵者已從一個位置移動到另一個位置，并可將該移動通知監(jiān)督系統(tǒng)。圖8是根據(jù)本 發(fā)明一實施例的處理流程圖，該示出對實現(xiàn)了聯(lián)合網(wǎng)絡(luò)和物理周界防御的總體系統(tǒng)的 操作方法，該方法包括在入侵者移動時對提供給視頻監(jiān)督系統(tǒng)的信息進行更新。包括更新 位置信息的操作總體系統(tǒng)的處理801開始于步驟805，其中，入侵檢測器發(fā)起對已發(fā)生特定 入侵者對網(wǎng)絡(luò)的企圖入侵的第一物理位置的監(jiān)視。所發(fā)起的監(jiān)視由監(jiān)督系統(tǒng)在以下情況中 有效地執(zhí)行監(jiān)督系統(tǒng)接收到如上例如參考圖3和7描述的入侵檢測器已檢測到企圖入侵 的信息。在步驟809，入侵檢測器判斷是否已檢測到特定入侵者對網(wǎng)絡(luò)的企圖入侵的結(jié)束。 判定是否已檢測到企圖入侵的結(jié)束可以包括識別與特定入侵者相關(guān)聯(lián)的地址或標(biāo)識符是 否已不再被入侵檢測器記錄成企圖訪問網(wǎng)絡(luò)，和/或識別入侵檢測器是否已接收到利用監(jiān) 督系統(tǒng)的實體(例如，安全人員)已停止特定入侵者的通知。如果在步驟809判定入侵檢測器已檢測到企圖入侵的結(jié)束，則處理流程行進到步 驟813，其中，入侵檢測器判斷企圖入侵的結(jié)束是否是因為抓捕了特定入侵者。在一個實施 例中，在抓捕了入侵者時，適當(dāng)人員或機構(gòu)可例如通過IT管理員向入侵檢測器提供入侵者 已被停止的通知。如果在步驟813判定企圖入侵的結(jié)束是因為抓捕了特定入侵者，則操作 總體系統(tǒng)的處理完成。可替代地，如果判定企圖入侵的結(jié)束不是因為特定入侵者被抓捕，則 這指示出特定入侵者已中止入侵企圖和/或已移出入侵檢測器的范圍。因此，處理流程移 至步驟817，其中，入侵檢測器通知監(jiān)督系統(tǒng)特定入侵者所企圖的入侵已結(jié)束，并且操作 總體系統(tǒng)的處理完成。應(yīng)當(dāng)了解，通知可使用任何合適方法來提供給監(jiān)督系統(tǒng)，該合適方法 包括但不限于向監(jiān)督系統(tǒng)發(fā)送一消息，該消息標(biāo)識出不再需要針對特定入侵者來監(jiān)視第一 物理位置。返回到步驟809，如果判定沒有檢測到企圖入侵的結(jié)束，則在步驟821判斷入侵檢 測器是否檢測到特定入侵者的移動。即，在步驟821判斷特定入侵者是否已從第一物理位置移動到另一物理位置。例如如果特定入侵者被識別為企圖通過另一網(wǎng)關(guān)或接入點訪問網(wǎng) 絡(luò)，則可識別這種移動。在所描述的實施例中，另一物理位置處在由入侵檢測器覆蓋的范圍 內(nèi)。如果判定沒有檢測到特定入侵者的移動，則處理流程返回到步驟809，并判斷入侵檢測 器是否已檢測到企圖入侵的結(jié)束。可替代地，如果在步驟821判定入侵檢測器已檢測到特定入侵者的移動，則入侵 檢測器在步驟825標(biāo)識出入侵企圖繼續(xù)進行所處的新的通用物理位置。入侵檢測器可有效 地輪詢網(wǎng)絡(luò)內(nèi)的網(wǎng)關(guān)或接入點以識別將該特定入侵者記錄為企圖訪問網(wǎng)絡(luò)的網(wǎng)關(guān)或接入
點o一旦新的通用物理位置被標(biāo)識出，入侵檢測器就在步驟829向監(jiān)督系統(tǒng)提供企圖 入侵正在進行的新通用物理位置。然后，在步驟833，監(jiān)督系統(tǒng)監(jiān)視該新物理位置。監(jiān)視新 物理位置一般包括識別覆蓋范圍包含該新物理位置的至少一個設(shè)備，并且通常包括將與入 侵檢測器所提供的新物理位置有關(guān)的信息映射成可由監(jiān)督系統(tǒng)用來選擇適當(dāng)設(shè)備的格式。 在監(jiān)督系統(tǒng)監(jiān)視新物理位置之后，操作總體系統(tǒng)的處理完成。雖然僅描述了本發(fā)明的一些實施例，但是應(yīng)當(dāng)了解，本發(fā)明可以許多其它具體形 式來實現(xiàn)而不會脫離本發(fā)明的精神或范圍。作為示例，雖然監(jiān)督系統(tǒng)已被描述為包括視頻 相機或傳感器，但是監(jiān)督系統(tǒng)可以是任何合適的監(jiān)督系統(tǒng)。監(jiān)督系統(tǒng)通常可包括基本上任 何的安全相機系統(tǒng)和閉路電視系統(tǒng)。安全相機系統(tǒng)可包括拍攝靜止相片的相機。在一個實施例中，入侵檢測器和/或監(jiān)督系統(tǒng)可以相同方式處理入侵企圖，而不 論入侵企圖是否成功。即，基本上檢測到的所有入侵網(wǎng)絡(luò)的企圖都可以相同方式來處理。但 是，某些系統(tǒng)可以與失敗企圖不同的方式來處理成功企圖。入侵檢測器可識別入侵網(wǎng)絡(luò)的 實際成功的企圖，即實際入侵，而不是識別企圖入侵，并向監(jiān)督系統(tǒng)和/或另一合適系統(tǒng)表 明存在對網(wǎng)絡(luò)的實際入侵。安全人員隨后可例如比尚未成功的入侵企圖更緊急地對實際成 功的入侵企圖作出響應(yīng)。應(yīng)當(dāng)了解，入侵者或無線攻擊者的近似物理位置可能落入與一個以上的監(jiān)督設(shè)備 相關(guān)聯(lián)的分區(qū)。例如，一個以上的視頻相機可能覆蓋被識別為入侵者的可能位置的區(qū)域。如 果可使用一個以上的監(jiān)督設(shè)備來監(jiān)視特定物理位置，則可指定多個監(jiān)督設(shè)備來監(jiān)視特定物 理位置，或者可選擇一個特定設(shè)備來監(jiān)視特定物理位置。在實質(zhì)上僅將使用多個監(jiān)督設(shè)備 中的一個特定監(jiān)督設(shè)備來監(jiān)視特定物理位置的情況下，對使用哪個監(jiān)督設(shè)備的選擇可基于 任何合適因素。合適因素可包括但不限于包括給定監(jiān)督設(shè)備到特定物理位置的接近度、給 定監(jiān)督設(shè)備可用的視角、與給定監(jiān)督設(shè)備相關(guān)聯(lián)的帶寬、以及與給定監(jiān)督設(shè)備相關(guān)聯(lián)的分 辨率。與本發(fā)明的方法相關(guān)聯(lián)的步驟可極大地變化。在不脫離本發(fā)明的精神和范圍的情 況下，可添加、移除、變更、組合和重排序步驟。例如，在入侵檢測器可向多個監(jiān)督系統(tǒng)提供 位置信息的實施例中，當(dāng)潛在入侵者已從第一位置移至第二位置時，更新位置信息可包括 通知一個監(jiān)督系統(tǒng)停止監(jiān)視第一位置以及通知另一監(jiān)督系統(tǒng)開始監(jiān)視第二位置。因此，本 示例應(yīng)當(dāng)被視為是例示性的而非限制性的，并且本發(fā)明不限于這里給出的細節(jié)，而是可在 所附權(quán)利要求的范圍內(nèi)進行修改。
權(quán)利要求
一種設(shè)備，包括入侵檢測裝置，該入侵檢測裝置被布置來確定未經(jīng)授權(quán)的客戶端企圖訪問無線網(wǎng)絡(luò)的時間，其中，所述入侵檢測裝置與所述無線網(wǎng)絡(luò)相關(guān)聯(lián)；以及位置標(biāo)識裝置，該位置標(biāo)識裝置被布置來當(dāng)未經(jīng)授權(quán)的客戶端企圖訪問所述無線網(wǎng)絡(luò)時標(biāo)識出該未經(jīng)授權(quán)的客戶端的至少第一近似物理位置，其中，所述位置標(biāo)識裝置被配置來將該第一近似物理位置傳送給被布置來監(jiān)視該第一近似物理位置的監(jiān)督裝置。
2.根據(jù)權(quán)利要求1所述的設(shè)備，還包括端口裝置，其中，所述位置標(biāo)識裝置被配置來通過經(jīng)由所述端口裝置發(fā)送所述第一近 似物理位置來向所述監(jiān)督裝置傳送所述第一近似物理位置。
3.根據(jù)權(quán)利要求1所述的設(shè)備，其中，所述位置標(biāo)識裝置還被配置來將所述第一近似 物理位置傳送給因特網(wǎng)協(xié)議互操作和協(xié)作系統(tǒng)。
4.根據(jù)權(quán)利要求1所述的設(shè)備，其中，所述位置標(biāo)識裝置還被配置來判斷所述未經(jīng)授 權(quán)的客戶端是否移動了，并且如果所述未經(jīng)授權(quán)的客戶端移動了，則所述位置標(biāo)識裝置還 被配置來標(biāo)識出所述未經(jīng)授權(quán)的客戶端的第二近似物理位置并將與該第二近似物理位置 相關(guān)聯(lián)的信息傳送給所述監(jiān)督裝置。
5.一種方法，包括確定客戶端設(shè)備企圖取得對無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的時間；如果確定所述客戶端設(shè)備企圖取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問，則標(biāo)識出所述客 戶端設(shè)備所位于的第一近似物理位置；以及將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給監(jiān)督系統(tǒng)，其中，所述監(jiān)督系統(tǒng)被配 置為觀察至少所述第一近似物理位置。
6.根據(jù)權(quán)利要求5所述的方法，還包括在與所述第一近似物理位置相關(guān)聯(lián)的信息被提供給所述監(jiān)督系統(tǒng)之后，使用所述監(jiān)督 系統(tǒng)來觀察至少所述第一近似物理位置。
7.根據(jù)權(quán)利要求6所述的方法，其中，所述監(jiān)督系統(tǒng)包括多個監(jiān)視設(shè)備，并且所述方法 還包括識別所述多個監(jiān)視設(shè)備中的適合于觀察所述第一近似物理位置的第一監(jiān)視設(shè)備。
8.根據(jù)權(quán)利要求5所述的方法，還包括判斷所述客戶端設(shè)備是否繼續(xù)位于所述第一近似物理位置；如果判定所述客戶端設(shè)備沒有繼續(xù)位于所述第一近似物理位置，則標(biāo)識出所述客戶端 設(shè)備所位于的第二近似物理位置；以及將與所述第二近似物理位置相關(guān)聯(lián)的信息提供給所述監(jiān)督系統(tǒng)，其中，所述監(jiān)督系統(tǒng) 被配置為觀察至少所述第一近似物理位置。
9.根據(jù)權(quán)利要求5所述的方法，還包括判斷所述客戶端設(shè)備是否停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖；以及如果判定所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖，則向所 述監(jiān)督系統(tǒng)提供如下指示所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的 企圖。
10.根據(jù)權(quán)利要求5所述的方法，還包括將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給互操作和協(xié)作系統(tǒng)。
11.一種設(shè)備，包括用于確定客戶端設(shè)備企圖取得對無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的時間的裝置；用于如果確定所述客戶端設(shè)備企圖取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問，則標(biāo)識出所 述客戶端設(shè)備所位于的第一近似物理位置的裝置；以及用于將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給監(jiān)督系統(tǒng)的裝置，其中，所述監(jiān) 督系統(tǒng)被配置為觀察至少所述第一近似物理位置。
12.根據(jù)權(quán)利要求11所述的設(shè)備，還包括用于在與所述第一近似物理位置相關(guān)聯(lián)的信息被提供給所述監(jiān)督系統(tǒng)之后，使用所述 監(jiān)督系統(tǒng)來觀察至少所述第一近似物理位置的裝置。
13.根據(jù)權(quán)利要求12所述的設(shè)備，其中，所述監(jiān)督系統(tǒng)包括多個監(jiān)視設(shè)備，并且所述設(shè) 備還包括用于識別所述多個監(jiān)視設(shè)備中的適合于觀察所述第一近似物理位置的第一監(jiān)視設(shè)備 的裝置。
14.根據(jù)權(quán)利要求11所述的設(shè)備，還包括用于判斷所述客戶端設(shè)備是否繼續(xù)位于所述第一近似物理位置的裝置；用于如果判定所述客戶端設(shè)備沒有繼續(xù)位于所述第一近似物理位置，則標(biāo)識出所述客 戶端設(shè)備所位于的第二近似物理位置的裝置；以及用于將與所述第二近似物理位置相關(guān)聯(lián)的信息提供給所述監(jiān)督系統(tǒng)的裝置，其中，所 述監(jiān)督系統(tǒng)被配置為觀察至少所述第一近似物理位置。
15.根據(jù)權(quán)利要求11所述的設(shè)備，還包括用于判斷所述客戶端設(shè)備是否停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖的 裝置；以及用于如果判定所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖，則 向所述監(jiān)督系統(tǒng)提供如下指示的裝置所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng) 授權(quán)訪問的企圖。
16.根據(jù)權(quán)利要求11所述的設(shè)備，還包括用于將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給互操作和協(xié)作系統(tǒng)的裝置。
17.—種編碼在一個或多個有形介質(zhì)中以供執(zhí)行的邏輯，該邏輯在被執(zhí)行時可操作來確定客戶端設(shè)備企圖取得對無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的時間；如果確定所述客戶端設(shè)備企圖取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問，則標(biāo)識出所述客 戶端設(shè)備所位于的第一近似物理位置；以及將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給監(jiān)督系統(tǒng)，其中，所述監(jiān)督系統(tǒng)被配 置為觀察至少所述第一近似物理位置。
18.根據(jù)權(quán)利要求17所述的邏輯，在被執(zhí)行時還可操作來在與所述第一近似物理位置相關(guān)聯(lián)的信息被提供給所述監(jiān)督系統(tǒng)之后，使用所述監(jiān)督 系統(tǒng)來觀察至少所述第一近似物理位置。
19.根據(jù)權(quán)利要求18所述的邏輯，其中，所述監(jiān)督系統(tǒng)包括多個監(jiān)視設(shè)備，并且所述邏輯在被執(zhí)行時還可操作來識別所述多個監(jiān)視設(shè)備中的適合于觀察所述第一近似物理位置的第一監(jiān)視設(shè)備。
20.根據(jù)權(quán)利要求17所述的邏輯，在被執(zhí)行時還可操作來 判斷所述客戶端設(shè)備是否繼續(xù)位于所述第一近似物理位置；如果判定所述客戶端設(shè)備沒有繼續(xù)位于所述第一近似物理位置，則標(biāo)識出所述客戶端 設(shè)備所位于的第二近似物理位置；以及將與所述第二近似物理位置相關(guān)聯(lián)的信息提供給所述監(jiān)督系統(tǒng)，其中，所述監(jiān)督系統(tǒng) 被配置為觀察至少所述第一近似物理位置。
21.根據(jù)權(quán)利要求17所述的邏輯，在被執(zhí)行時還可操作來判斷所述客戶端設(shè)備是否停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖；以及 如果判定所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的企圖，則向所 述監(jiān)督系統(tǒng)提供如下指示所述客戶端設(shè)備停止了取得對所述無線網(wǎng)絡(luò)的未經(jīng)授權(quán)訪問的 企圖。
22.根據(jù)權(quán)利要求17所述的邏輯，在被執(zhí)行時還可操作來將與所述第一近似物理位置相關(guān)聯(lián)的信息提供給因特網(wǎng)協(xié)議互操作和協(xié)作系統(tǒng)。
全文摘要
在一個實施例中，一種設(shè)備包括入侵檢測裝置和位置標(biāo)識裝置。入侵檢測裝置確定未經(jīng)授權(quán)的客戶端企圖訪問入侵檢測裝置為其一部分的無線網(wǎng)絡(luò)的時間。位置標(biāo)識裝置在未經(jīng)授權(quán)的客戶端企圖訪問該無線網(wǎng)絡(luò)時，標(biāo)識出該未經(jīng)授權(quán)的客戶端的至少第一近似物理位置。位置標(biāo)識裝置被配置為將第一近似物理位置傳送給監(jiān)督裝置，監(jiān)督裝置對該第一近似物理位置進行監(jiān)視。
文檔編號H04L29/06GK101855885SQ200880115799
公開日2010年10月6日 申請日期2008年11月5日 優(yōu)先權(quán)日2007年11月13日
發(fā)明者西蒙·金, 馬克·克里斯徹爾 申請人:思科技術(shù)公司