資料鏈路層核心防護措施

採用 WPA2/WPA3 企業級加密標準

2004 年 IEEE 802.11i 標準（WPA2）取代不安全的 WEP/WPA，採用 AES-CCMP 加密，為當前最佳解決方案。關鍵設定：

• 強制使用 WPA2-Enterprise (802.1X/RADIUS) 或 WPA3-SAE，避免預共享金鑰 (PSK) 洩露風險。
• 嚴禁啟用 WPS（Wi-Fi Protected Setup），其 PIN 碼機制存在暴力破解漏洞，必須在所有 AP 上關閉。
• 定期輪換 RADIUS 共享密鑰與憑證。

部署專業無線入偵防系統 (WIPS/WIDS)

傳統有線防火牆無法檢測第二層無線攻擊（偽裝 AP、解除認證攻擊、雙工干擾等）。真正的 WIPS 需具備：

• 專用 802.11/802.15 協定分析引擎與攻擊特徵庫。
• 獨立無線感測器（建議 AP:Sensor = 3:1）或雙頻 AP 專用無線電執行全天候掃描。
• 支援多頻道快速跳頻掃描或「鎖定頻道」模式以減少封包遺漏。
• 三角定位功能精準鎖定流氓 AP 物理位置並顯示於樓層圖。

常見需告警的可疑事件：主動掃描 Probe Request、非授權 Beacon、大量 Deauth/Disassociation 幀、未認證關聯嘗試、頻繁重組/重傳、SSID 碰撞、惡意 SSID（如 "AirJack"）、MAC 偽造/隨機化、EAP 暴力破解、802.11 幀序號異常、ARP 欺騙等。

藍牙風險不容忽視

藍牙同處 2.4 GHz 頻段，除干擾 Wi-Fi 外，藍牙竊聽 是零售業重大威脅：攻擊者植入藍牙發射器於 POS 機/刷卡器，近距離竊取信用卡磁條資料。WIPS 應整合藍牙偵測模組，覆蓋交易大廳、機密區域，感測器佈放需考慮藍牙 Class 1/2 設備百公尺級通訊距離。

網路拓撲層面的深度防禦

原則：無線網路視同不受信區域，不可直連核心 LAN。

• 採用 無線控制器 + 薄 AP 架構，所有無線流量經 CAPWAP/IPSec 隧道回傳控制器，由控制器整合防火牆、IPS、NAC 統一檢查後再進入內網。
• 多 AP 漫游環境下，有線側 AP 必須置於獨立 VLAN，與有線核心網隔離。
• 高階無線閘道整合 AP、防火牆、VPN、漫游控制，提供單一設備完整防護。

設備管理加固基線

絕大多數無線設備失陷源於管理介面配置不當：

• 禁用 Telnet、TFTP、HTTP 明文管理，強制 SSH/HTTPS。
• 修改預設 SNMP Community String、管理員帳密，啟用 MFA。
• 禁止無線側遠程管理介面存取。
• 定期稽核韌體版本，及時修補 CVE 漏洞。

結合有線側 IDS/IPS 與無線專用 WIPS，構建立體防禦體系，才能有效守護企業無線資產。