企業部署無線網絡越來越多，安全威脅與日俱增。本文梳理無線特有威脅，給出三大防護途徑、六大具體措施，助你快速構建防禦體系。
無線網絡特有威脅
- 非法接入點：未授權 AP/路由器接入內網（員工私接、惡意植入），繞過安全策略成駭客跳板。
- 漫游攻擊：攻擊者在建築外使用 NetStumbler 等掃描工具（WarDriving/WarWalking）發現並攻擊弱加密/無加密 AP。
- 欺詐接入點：攻擊者架設同名/相似 SSID 的 Evil Twin AP，誘導用戶連接進行中間人攻擊、釣魚認證。
- 客戶端對客戶端攻擊：同一 AP 下客戶端互相掃描/攻擊（ARP 欺騙、DoS）。
- 加密破解：WEP 分鐘級破解，WPA/WPA2-PSK 離線字典暴力破解弱口令。
- 配置錯誤：默認密碼、開放管理介面、未關閉 WPS、廣播 SSID、未隔離訪客流量。
三大防護途徑
- 接入控制：誰能連上網？（認證、授權、準入檢查）
- 傳輸保護：數據怎麼傳？（加密、完整性、防重放）
- 監控審計：發生了什麼？（日誌、告警、取證）
六大實戰防護措施
| # | 措施 | 關鍵動作 | 效用 |
|---|
| 1 | 企業級防火牆/UTM | 部署無線區域專用區域，啟用 IPS/IDS、應用控制、惡意碼檢測、SSL 檢查 | 阻斷已知/未知威脅橫向移動，可見性延伸至應用層 |
| 2 | 強安全標準 | 強制 WPA2-Enterprise (802.1X/AES) 或 WPA3-SAE；禁用 WEP/WPA/TKIP/WPS | 消除加密層漏洞，提供前向保密與抗離線破解 |
| 3 | 加密與身份認證 | EAP-TLS/PEAP-MSCHAPv2/EAP-TTLS + RADIUS + PKI/AD；機器/用戶雙重認證 | 綁定身份而非密碼，支援撤銷、條件訪問、設備合規檢查 |
| 4 | 漏洞掃描與滲透測試 | 定期無線掃描（Nmap、Kismet、Aircrack-ng 套件）、年度滲透測試含 Evil Twin、Deauth、KRACK 等 | 發現未授權 AP、弱加密、配置錯誤、客戶端漏洞 |
| 5 | 射頻功率與天線優化 | 降低發射功率至覆蓋剛好、定向天線聚焦覆蓋區、啟用 802.11k/v/r 優化漫游 | 物理層面縮小攻擊面，減少信號外洩被 WarDriving 發現 |
| 6 | 全員安全意識教育 | 針對性培訓：識別 Evil Twin、不連陌生 Wi-Fi、異常立即上報、MDM 合規、禁止私接 AP | 人是最薄弱環節，持續教育構建人牆防線 |
快速落地清單（部署當週可完成）
- [ ] 審計現有 SSID/AP/控制器配置，關閉 WEP/WPS/TKIP/PSK（除非極少數舊設備無法升級，則隔離 VLAN 並制定淘汰計劃）。
- [ ] 部署/驗證 RADIUS (NPS/FreeRADIUS/ISE) + AD 整合，測試 802.1X PEAP-MSCHAPv2 登入。
- [ ] 配置動態 VLAN：員工→Corp VLAN，訪客→Guest VLAN（僅 Internet），IoT→IoT VLAN（ACL 僅允許必要協議）。
- [ ] 啟用防火牆無線區域策略：阻斷 Guest→Corp、IoT→Corp 主動連接；啟用 IPS 簽名庫自動更新。
- [ ] 部署 WIPS/WIDS（控制器內建或專用傳感器），啟用 Rogue AP/Deauth/Evil Twin 告警與自動遏制。
- [ ] 發布《無線網絡使用規範》，全員簽署，納入入職/年度培訓。
無線安全是系統工程，技術措施+管理流程+持續運營缺一不可。從今天開始，把「密碼共享」換成「身份認證」，把「事後查日誌」換成「實時告警」，你的無線邊界將固若金湯。