学习啦 > 学习电脑 > 选购与维护 > 笔记本 >

WLAN安全预防措施解决方案有哪些

时间: 加城1195 分享

现在网络安全成为互联网的一个热点问题,包括有线网络和无线局域网WLAN,对于WLAN有什么趋势呢,有没有什么安全预防措施?  下面是由学习啦小编整理的从设备、网络、业务等层次针对WLAN业务系统所面临的安全威胁进行分析,并对部分业务安全问题提出了目前的解决方案,希望大家喜欢!

WLAN系统相关设备设置复杂的口令;

对于开启SNMP协议的设备应设置复杂的通信字,除非必要不开启具有写权限的通信字,并对可访问地址进行严格限制;

采用端口访问技术(802.1x)进行控制,防止非授权的非法接入和访问;

对AP和网卡设置复杂的SSID,并根据需求确定是否需要漫游来确定是否需要MAC绑定;

禁止AP向外广播其SSID;

布置AP的时候要在公司办公区域以外进行检查,防止AP的覆盖范围超出办公区域(难度较大),同时要让保安人员在公司附近进行巡查,防止外部人员在公司附近接入网络;

开启日志,并定期查看系统日志。在攻击者扫描时一般会在系统中留下较明显的日志,如图1所示即为一 AC设备上的登录日志,从日志即可看出来该IP地址对AC设备账号密码进行了扫描解除;

RADIUS系统存储的WLAN用户账号密码,应采用加密方式保存,同时增强WLAN用户密码生成机制的安全性,避免WLAN系统重置密码是默认弱口令。

攻击防护

做好用户隔离,开启AC用户隔离功能和交换机端口隔离功能。正常情况下,未认证用户不能访问网络内其他用户,认证后用户在同一AP、同一热点不同AP 下不能互通。

根据需要为AC划分管理VLAN和用户VLAN, VLAN间不互通。在WLAN系统内外部网络之间,以及内部不同安全域之间通过防火墙实现隔离及访问控制,细化访问控制策略严格限制可登录维护地址范围与端口。

高级入侵防护

区域部署专业安全设备。在核心网元部署入侵检测系统、防火墙,在Portal服务器所在网络部署防拒绝和网页防篡改软件。

加强审计,对WLAN网络内的所有节点都做好统计

绿盟安全无线防御系统

产品综述

安全无线防御系统主要由以下几部分组成:

安全无线防御系统:部署需要安全防护的无线网络中,融合多种安全能力,针对无线扫描、无线欺骗、无线DoS、无线解除等无线网络威胁,实现精确防控的高可靠、高性能、易管理的安全无线防御设备。

无线安全集中数据分析中心:无线安全数据分析是无线安全产品海量信息的后台处理中心。主要完成安全无线防御系统的日志和安全事件的存储、分析、审计和处理功能。

产品特性

绿盟安全无线防御系统的主要特性包括:

无线防火墙,结合射频信号及802.11特点,提供创新的无线防火墙安全策略,可根据AP或Station的安全属性定制无线网络准入规则,通过射频信号阻止非法用户接入,建立射频安全区,提供具有物理安全、可信的无线网络。

安全无线防御,提供包括无线扫描、欺骗、DoS、解除等多个大类数十种无线攻击的检测、告警、阻断功能,同时提供多种类型流氓AP的检测与阻断,彻底杜绝内网机密通过无线网络向外泄露。

丰富的报表统计,提供无线网络实时拓扑、雷达图、柱状图、饼状图、攻击排名等多种丰富统计,无线安全状态一目了然。

绿盟科技可提供专业化的无线安全防护方案。各企业用户可根据企业规模、人才储备、业务特点等情况,在不同攻击层面对自身WLAN业务进行防护加固,降低安全风险,避免安全损失,保障企业效益。

WLAN 安全接入标准

无线网络WLAN安全接入标准,大致有三种,分别是WEP、WPA和WAPI。

WEP(Wired Equivalent Privacy)

WEP(Wired Equivalent Privacy)是802.11b采用的安全标准,用于提供一种加密机制,保护数据链路层的安全,使无线网络WLAN的数据传输安全达到与有线LAN相同的级别。

WPA (Wi-Fi Protected Access)

WPA(Wi-Fi Protected Access)是保护Wi-Fi登录安全的装置。它分为WPA和WPA2两个版本,是WEP的升级版本,针对WEP的几个缺点进行了弥补。是802.11i的组成部分,在802.11i没有完备之前,是802.11i的临时替代版本。

WAPI (WLAN Authentication and PrivacyInfrastructure)

WAPI(WLAN Authentication and Privacy Infrastructure)是我国自主研发并大力推行的无线WLAN安全规范,它通过了IEEE(注意,不是Wi-Fi)认证和授权,是一种认证和私密性保护协议,其作用类似于802.11b中的WEP,但是能提供更加完善的安全保护。

WLAN 系统面临安全风险和问题

进入阶段

WPA/WPA2及WEP标准安全性:目前主流的WPA-PSK类型的无线网络可利用PSK+ssid先生成PMK,然后结合握手包中的客户端MAC、AP的BSSID、A-NONCE、S-NONCE计算PTK,再加上原始的报文数据算出MIC并与AP发送的MIC比较的方式进行暴力解除,这一方法被称为字典跑包。另外一种较为主流的解除方式为PIN码解除,也被称为WPS解除,主要原理为利用WPS存在的安全问题,通过PIN码可以直接提取密码。而PIN码是一个8位的整数,解除过程时间比较短。WPS PIN码的第8位数是一个校验和,因此黑客只需计算前7位数。另外前7位中的前四位和后三位分开认证。所以解除pin码最多只需要1.1万次尝试,顺利的情况下在3小时左右。而WEP由于自身设计缺陷,早已在2003年被Wi-Fi Protected Access (WPA) 淘汰,又在2004年由完整的 IEEE 802.11i 标准(又称为 WPA2)所取代,但现网中仍有部分老旧设备仍使用简单的WEP标准提供服务。

配置缺陷:由于许多企业并没有启用认证系统,或者是在WLAN认证Portal页面的密码登录部分未设置验证码等机制,这些配置上的缺陷也会导致密码被暴力解除。

密码共享:随着Wi-Fi万能钥匙等产品的流行泛滥,许多未启用认证系统的企业面临着WLAN密码分秒被解除的窘境,企业内网公然暴露在入侵者面前。

攻击阶段

设备漏洞:WLAN系统设备自身存在的安全漏洞、脆弱性,可被利用控制操纵WLAN设备,进而影响WLAN业务的正常使用。如果未采用详细的访问策略进行控制的话,用户在接入WLAN网络后,可访问这些设备。一般AP设备安全防护较差,若存在弱口令或缺省口令,被恶意攻击者控制后可修改配置或关闭设备,导致设备无法正常使用。AC等设备存在的一些漏洞(比如任意配置文件下载漏洞)也可导致账号密码、IP路由等信息泄露,进而影响系统的安全运行。

跳板攻击:WLAN设备管理IP地址段与普通WLAN用户IP地址段未做有效隔离,导致WLAN设备易被攻击控制,AC可从任意地址登录,攻击者可利用扫描软件对设备进行暴力密码扫描。

地址欺骗和会话拦截:由于802.11无线局域网对数据帧不进行认证操作,攻击者可以通过欺骗帧去重定向数据流和使ARP表变得混乱,通过非常简单的方法,攻击者可以轻易获得网络中站点的MAC地址,这些地址可以被用来恶意攻击时使用。除攻击者通过欺骗帧进行攻击外,攻击者还可以通过截获会话帧发现AP中存在的认证缺陷,通过监测AP发出的广播帧发现AP的存在。然而,由于802.11没有要求AP必须证明自己真是一个AP,攻击者很容易装扮成AP进入网络,通过这样的AP,攻击者可以进一步获取认证身份信息从而进入网络。在没有采用802.11i对每一个802.11 MAC帧进行认证的技术前,通过会话拦截实现的网络入侵是无法避免的。

高级入侵阶段

高级入侵:一旦攻击者进入无线网络,它将成为进一步入侵其他系统的起点。很多网络都有一套经过精心设置的安全设备作为网络的外壳,以防止非法攻击,但是在外壳保护的网络内部确是非常的脆弱容易受到攻击的。无线网络可以通过简单配置就可快速地接入网络主干,但这样会使网络暴露在攻击者面前。即使有一定边界安全设备的网络,同样也会使网络暴露出来从而遭到进一步入侵。

WLAN系统安全防护

针对上述安全风险,为确保WLAN系统正常运行,应全面梳理WLAN业务的数据流与控制流,在各个环节、各个层面做好基本安全防护。

接入防护

接入防护是确保WLAN系统的所有设备安全运行最基本的保障。AP被控制可能会导致用户根本无法接入;AC被控制将影响AC所管理的所有AP设备,导致大量用户无法正常接入,并有可能将用户引入攻击者设计的Portal页面;RADIUS被控制影响用户的管理;网络设备被控制将影响网络访问;RADIUS、Portal出现问题影响用户的认证与计费;网管设备出现问题导致被管对象运行异常,甚至会导致攻击者从外网进入内网,进而发起更深层次的攻击。所以列出如下几点建议对WLAN接入防护进行加固:

3977441