企業無線網絡強化安全的措施

　　在本文中，我們列出了數據鏈路層的針對“企業無線局域網可能遭到濫用”的對策。這些對策包括：WEP的安全替代——使用無線安全標准;無線局域網的入侵檢測和異常追蹤。當然，無線網絡的安全性可以(也應該)使用更高層的保障如各種IPSec模式或基於SSL的安全協議等。

　　使用無線安全標准

　　2004年，IEEE的“i”課題組開發了一個統一的無線安全標准，其中部分已經被許多無線設備和軟件供應商實現以減輕已知的802.11安全問題。原名為802.11i標准，這個標准現在被廣泛成為WPA2，它代表了Wi-Fi保護訪問版本2。WAP2取代了WPA，WPA是舊的、不安全的向後兼容現有無線基礎設施的WEP標准的混合。WPA使用RC4加密，比WPA2中使用的AES加密更弱。WAP2是目前無線網絡最好的解決方案，並期望在可預見的未來繼續如此。大多數支持WPA2的無線接入點具有的特征被稱為Wi-Fi保護設置(WPS)，其中有一個允許攻擊者獲得WPA2密碼的安全缺陷，使他或她未經授權而連接到網絡。此功能應盡可能關閉以避免攻擊。

　　有效部署無線入侵檢測和預防

　　盡管如前所述，對無線網絡的入侵檢測必須覆蓋數據鏈路層。在這裡，我們簡要介紹無線入侵檢測(IDS)問題。許多應用程序聲稱是無線入侵檢測系統，但僅僅在這些地址沒有被ACL允許時才檢測局域網中新的MAC地址。這樣的功能在一些接入點的固件中也能實現。當然，任何能夠繞過基於MAC的ACL的人也能夠繞過基於MAC的“IDS”。一個真正的無線入侵檢測系統是一個提供攻擊簽名數據庫或知識庫和推理機、以及一個適當的報告和報警接口的專業802.11(或802.15)協議分析儀。一些可疑的尋找無線局域網的事件包括：

　　· 探測請求(很好的指示了有人在使用主動掃描方式)

　　· 來自不請自來的訪問點或ad hoc無線客戶端的信標幀

　　· 洪泛分離/解除認證幀(中間人攻擊?)

　　· 關聯的未經認證的主機(試圖猜測共享密鑰?)

　　· 在未啟用漫游的網絡上的頻繁的幀重組，以及頻繁的數據包轉發(“隱藏節點”、壞鏈接、或可能的DOS攻擊?)

　　· 封閉網絡中的多個SSID錯誤(SSID蠻力奪取?)

　　· 可疑的SSID如“AirJack”(或純舊式“31337”)

　　· 主動幀與復制的MAC地址

　　· 隨機變化的MAC地址(使用Wellenreiter或FakeAP攻擊者)

　　· 五信道范圍內其他802.11信道的幀傳送，或同一信道傳輸的不同SSID的幀(錯誤配置和可能不請自來的主機、干擾、DoS?)

　　· 主機不使用實現的加密解決方案(這裡應不存在)

　　· 多重EAP認證請求和響應(蠻力搶奪EAP-LEAP?)

　　· 畸形和超大的EAP幀以及各種EAP幀洪泛(802.1x DoS攻擊?)

　　· 不匹配所建立的周期序列的802.11幀序列號(中間人攻擊、局域網MAC欺詐?)

　　· ARP欺詐以及其他源於無線局域網的攻擊

　　組織面臨著控制通過無線接入點連接到他們的企業網絡中的人和物的挑戰。許多企業無線供應商已經增強了自身的接入點和無線控制器產品自然包括防火牆、RADIUS、網絡訪問控制、以及無線IPS。這種繼承提供了對連接到無線基礎設施的無線用戶更好的控制以及控制這些用戶在企業網絡上可以去的地方。這是一個急需的深度防護方法，因為有線側防火牆和IPS不能提供必要的對抗無線攻擊的保護。大多數無線攻擊發生在第二層以及無線介質之間。傳統的有線防火牆不能檢測到這些攻擊，並且有線IP沒有檢查這些類型的數據包的能力。這導致了專業無線IPS產品的出現。

　　無線IPS和IDS

　　無線IPS使用無線傳感器識別無線攻擊。這些無線傳感器通常使用與在接入點發現的相同Wi-Fi波段，這就是很多公司允許接入點的雙重用途的原因，既可用於訪問又可用於檢測攻擊。這些根據供應商的不同而不同。有許多混合方法。最常見的方法是，在沒有人訪問時暫停無線電台，並執行惡意接入點和攻擊的無線空域快照。但是這種部分時間的無線入侵檢測方法意味著你只能在無線電台處於檢測模式時檢測到攻擊。對於一天中剩下的時間，無線攻擊無法被檢測到。這個問題促使一些廠商在訪問接入點時使用次要的Wi-Fi電台以使一個電台被用於專職訪問而另一個用於全職無線IPS。

　　Wi-Fi協議允許為信道分配不同的頻率，使得一個信道可以分配給每個頻率。在嚴重擁擠的無線環境中，使用不同的信道(或頻率)允許管理員減少干擾，這也被成為共信道干擾。因此，對無線攻擊的適當檢測需要定期檢查每個通道的攻擊。基本上有兩組頻率：在2.4-GHz頻譜運行的802.11b和802.11g;在5GHz頻譜運行的802.11a;802.11n工作在兩個頻譜，2.4 GHz和5 GHz;802.11ac僅工作在5-GHz譜。

　　由於無線傳感器從一個信道跳躍到另一個信道收集無線數據包以供分析，它將不會收集有些數據包，因此，那些包將被錯過因為傳感器在同一時間只能監控一個通道。因此，一些廠商現在允許傳感器選擇“鎖定頻道”以只允許一個信道(或頻率)被監視。對於只有一個信道被使用的高度敏感環境，這個功能可以幫助管理員減少數據包丟失。現實情況是，由於無線網絡是一個物理介質，總會發生數據包的丟失。這是由於許多因素，包括移動無線設備、設備的距離的傳感器、傳感器的天線強度等等。

　　無線入侵檢測系統只涉及到接收數據包。因此，它的范圍在物理上比一個發送和接收的接入點更廣泛。在一個典型的接入點和傳感器的部署中，經驗法則是每三個接入點一個傳感器。無線網絡勘測將有助於確定最佳的傳感器覆蓋和安置。

　　大多數人部署無線入侵檢測系統來檢測惡意接入點，三角測量也是一個好的想法。雖然一個流氓AP可以被一個單一的傳感器檢測，但其物理位置無法被檢測到。需要用到三角測量來確定流氓AP的近似物理位置。三角測量至少涉及到三個傳感器，它們中的所有都是被與三個傳感器的信息相關的同一個管理系統管理，並且基於復雜的算法確定流氓AP的物理位置。通常AP顯示在IDS管理軟件的樓層平面圖中。

　　藍牙IPS

　　由於藍牙也是一種無線技術，並且工作頻率與802.11b和802.11g相同，一些無線IPS產品已經被設計為檢測藍牙。為什麼你要檢測到藍牙?由於運行在一個與Wi-Fi共享的頻率范圍，藍牙偶爾也會引起干擾問題，但藍牙的攻擊也出現了。最常見和最嚴重的是藍牙流氓。

　　藍牙攻擊影響了許多組織機構，但最重要的是零售商。攻擊者有確定的方式黑掉銷售系統點並通過插入藍牙無線電波的方式注冊鍵區。一個惡意的雇員或者假冒的技術人員打開銷售系統點或注冊鍵區並將藍牙廣播電台連接到設備。由於信用卡刷卡，他們被同時廣播到鄰近的空間。如果一個攻擊者在附近，無論是在商店貨在停車場，他或她僅僅使用藍牙設備監聽和接收這些信用卡號碼。

　　所有的藍牙設備工作在2.4GHz頻段並使用79頻道從一個信道跳(跳頻)到另一個信道，達到1600跳/秒。通常根據其范圍可以劃分為三類藍牙設備。3類設備是我們大多數人所熟悉的，通常包括藍牙耳機。在約1米的范圍限制下，他們不會為攻擊者提供好的服務。因此，攻擊者通常使用2類和3類設備，它們可以很容易在網上以20美元以下的價格買到。

　　有些供應商已經將他們的無線IPS產品調整為也可以檢測到藍牙，使管理員可以檢測到這些設備的存在，尤其是在秘密地點和交易大廳。由於通信范圍的相對強度，位置也是藍牙檢測需要考慮的關鍵因素。如果無線IPS傳感器超出范圍，它只可能檢測不到藍牙設備。

　　無線網絡定位和安全網關

　　無線網絡加強的最後一點與無線網絡在整個網絡拓撲設計中的位置相關。由於無線網絡的特點，無線網絡不應該直接連接到有線局域網。相反，它們必須被視為不安全的公共網絡連接，或在最寬松的安全方法中作為DMZ。將一個無線接入點直接插入局域網交換機是自找麻煩(雖然802.1x認證可以緩解這個問題)。一個具有良好狀態和代理的防火牆能力的安全無線網關必須將無線網絡與有線局域網分開。

　　現今最常見的方法是擁有可以在局域網上任何地方連接的AP，但創建一個返回到控制器的加密隧道，並在接觸局域網之前通過它傳送所有流量。這個控制器將運行防火牆和入侵檢測/防御系統(IDS/IPS)的能力在它接觸到到內部網絡之前檢查該流量。如果無線網絡在該區域包括多個接入點和漫游用戶訪問，則“有線側”的接入點必須被放在同一VLAN中，從剩下的有線網絡中安全隔離。高端的專業無線網關集合了接入點、防火牆、VPN集中器、以及用戶漫游支持能力。網關的安全對你的無線網絡——甚至是接入點自己——的保護能力不應忽視。無線網關、接入點、以及網橋的大多數安全問題來源於不安全的設備管理實施，包括使用Telnet、TFTP、默認的SNMP團體字符串和默認的密碼，以及允許從網絡無線側進行網關和接入點的遠程管理。確保每個設備的安全被適當的審計，並且與更傳統的在數據鏈路層以上工作的入侵檢測系統相呼應使用無線專用入侵檢測系統。