谍影重重之无线局域网的反间谍战

无线局域网(WLAN)的兴起给所有企业带来的好处是显而易见的，它不仅让企业能够在需要应用IT网络的位置更加容易地部署出一个无线局域网，而且其不需要线缆的特性，又为企业节约了大量的网络基础设施购买和部署成本。但是，无线局域网同样有着与有线局域网相似的各种安全威胁，并且，由于其无线的特性，使得它比有线局域网存在更多易于攻击的弱点，例如非法无线访问设备带来的安全威胁就是无线局域特有的安全威胁之一。

　　现在具有WIFI无线功能的设备种类越来越多，它们的大小和重量也越来越轻便。因此，非法的无线访问设备有可能是一台使用了无线嗅探软件和密码破解软件的笔记本电脑，也可能是一台具有WIFI功能的PDA或智能手机，甚至是一台具有WIFI功能的PSP游戏机，更不要说由企业内部员工或黑客安插在无线局域网内部的非法无线AP了。因此，只要是非授权的无线访问设备都可以称之为非法无线访问设备。

　　正是由于这些无线访问设备的便携性，从而使得它们能够像间谍一样悄无声息地潜伏在企业部署的局域网周围或内部。通过监听无线局域网发送出来的无线电波中的各种信息，来获得无线局域网中传输的机密信息。或者通过无线局域网入侵到企业局域网内部，以得到更多他们想要的机密信息。

　　那么，作为一个网络管理员或安全工程师，我们该如何做才能检测和防御那些随时都想接入企业无线局域网中的非法无线访问设备，打赢这场无线局域网中的反间谍战呢?

　　就目前来说，大多数成功部署非法无线访问设备检测和防御解决方案的企业，都是使用下列所示的这些技术和工具来解决的：

　　1、应用无线网络嗅探技术来进行协议分析和追踪;

　　2、应用无线入侵检测/防御系统(WIDS/IPS)，然后在无线局域网的工作站或AP中安装传感器的方式来检测非法无线访问设备。但是，它并不能检测到被动式无线嗅探攻击和接入请求，以及内部人员主动外部无线访问点的方式;

　　3、使用手持式无线设备检测工具。一些手持式现场无线检测工具可以用来检测接收的无线信号的强度和噪声，并且可以很灵活地对整个需要覆盖的无线信号区域都进行检测，还可以用来检测无线信号实际的边界位置;

　　4、通过进行现场调查(site survey)、MAC地址列表检查和噪音检测(noise checking)等方式来检测非法无线访问设备。

　　在实际应用当中，为了能够达到最好的检测效果，通常将上述4种方式全部结合起来使用。因此，在本文的下面，雪源梅香将给大家展示一个三层立体式检测和防御非法无线访问设备的方案，以及部署它应当遵从的步骤。

[NextPage第一步：全面了解我们的无线局域网]

第一步：全面了解我们的无线局域网

　　了解无线局域网的目的就是为了知道当前无线局域网中有哪些无线设备，以及企业周围存在哪些相邻的无线局域网和无线访问设备等信息。

　　我们最好能够对当前无线局域网中所有的无线访问设备和AP都做一个详细的调查，然后将与这些无线设备相关的属性全部记录到无线设备清单当中。这些需要记录的无线设备属性包括：每台设备及无线网卡使用的MAC地址及当前的分配的IP地址、AP和无线网卡使用的SSID号，以及AP的供应商、AP的类型和AP及无线网卡使用的信道等信息。

　　对无线局域网中已知无线访问设备及AP的属性进行完整记录目的，就是用它们来作为后面区分非法无线访问设备的依据。

　　另外，以后在无线局域网的运营过程中，如果需要添加新的无线访问设备，那么，我们还必需将新加入的设备属性加入到这张表格当中。下面表1就是一张无线访问设备及AP属性的表格样式。

　　表1 无线访问设备及AP清单表样式

　　同时，我们还必需将这些找到的不可信任的无线设备建立一个档案，记录下这些无线设备的MAC地址、ESSID号、信道、信号噪声比(SNR)和大约的位置等信息。这样有利于在后面的非法无线设备检测过程中用来识别检测到的无线设备是否为非法无线设备。使用的表格样式也可与上述表1相同。

　　完成企业当前无线局域网及周边其它无线访问设备的登记工作后，最好能够将这些无线访问设备在企业无线局域网中所在的位置，用一张平面图将它们标示出来，以便以后在检测非法无线访问设备时，知道他们所在的具体位置。图1就是一个无线设备分布图样。

　　图1 无线局域网中无线设备分布图样

[NextPage第二步：部署检测和防御非法无线访问设备的解决方案]

　　第二步：部署检测和防御非法无线访问设备的解决方案

　　在本文的前面，我就提到检测和防御非法无线访问设备的最好解决方法，就是充分结合上面提到的目前4种主要解决方法，来部署一个混合式的三层立体式解决方案。如图2所示就是一个三层立体式检测和防御非法无线访问设备的网络拓扑图。

　　图2 三层立体式检测和防御非法无线访问设备的网络拓扑图

　　在图2所示的这个三层立体式检测和防御非法无线访问设备的解决方案中，我们将整个检测和防御体系分为控制层、服务层和传感器层。

　　在传感器层，可以将无线信号探测器安装到工作站中，也可以使用与AP集成的传感器。但是，不管使用哪种方式，都必需能够监控到所有的可疑活动，其中包括非法无线访问设备的接入。所有检测到的信号通过无线网络传送到服务层，由安装在服务层的WIDS/IPS进行处理。

　　服务层就是安装有WIDS/IPS的服务器，它在接收到来自各传感器发送过来的检测信息后，能够及时对这些信息进行相应的处理。一旦发现网络中或周边位置存在新非法无线访问设备，WIDS/IPS就会发送相关安全警报给控制层的管理员，再由管理员做最后的响应，或者由WIPS进行自动防御。

　　为了能够产生非法无线访问设备的警报，WIDS/IPS通常是使用ACL(访问控制列表)来进行控制。ACL主要是通过无线访问设备的MAC地址、配置名和最近使用的IP地址来识别和发现它们的。

　　有时，我们不想对邻近企业的无线访问设备都产生警报，这样会增加我们的工作量，也容易产生误报和漏报。我们只是需要了解这些无线访问设备是否曾经访问过我们的网络。那么，我们可以这样设置WIDS/IPS，让它对已知的邻近AP不产生报警，但是当发现它们试图连入企业无线局域网时应当及时发出警报。

　　对于无线信号传感器不能检测到的位置，我们就可以通过手持式无线信号分析设备来达到目的，例如，我们可以使用手持式无线信号分析设备对企业无线局域网周边和各个死角进行移动式检测，以发现可漏掉的非法无线访问设备。

　　所有的这些都可以由一台网络管理系统来控制，它完成对WID/IPS服务器的管理、配置等操作，而且，WIDS/IPS服务器产生的警报也会直接发送到后台管理员控制台中，并由管理员进行及时的事件响应。

　　第三步，定位和清除非法无线访问设备

　　由于非法无线访问设备的位置往往是不固定的，它有可能随时都变换位置，如果我们不能立即定位非法设备的具体位置，那么，就算我们知道企业无线局域网正面临这些“间谍”的侵扰，但是却不知道这些非法无线访问设备从什么位置接入企业无线局域网的。

　　我们当然不能只停留在知道企业无线局域网中是否存在非法无线访问设备这个阶段，部署检测和防御非法无线访问设备解决方案的最终目的就是要能够定位和清除它们。

　　要完成非法无线访问设备的定位任务，当然也需要使用相应的工具和技巧来进行。通常，一些网络管理员和安全工程师都使用以下3种主要的方式：

　　其一就是利用信号强度来估计非法无线访问设备与最近无线AP的距离。如果安装有无线信号传感器的AP检测到与它进行连接的非法无线访问设备的信号很强，那么两者距离应该很近，可能就在同一楼层、楼上楼下或离房间很近的外部等位置。但是，这种通过无线信号强度进行估计的方式还需要大量的人工参与，而且，由于由于非法无线访问设备可能先入侵与企业相邻的一个无线局域网，然后再通过这个无线局域网对企业进行入侵，此时，再使用这种方式就不会太准确。

　　其二就是利用多个传感器来进行多角度定位。当多个传感器彼此相邻时，它们的无线信号半径肯定有一个交集。那么，如果这些彼此相邻的传感器都检测到了同一个非法无线访问设备，这就是说这台非法无线访问设备位于这些传感器的信号交集位置。这样一来，我们很容易就知道这台非法无线访问设备的具体位置了。

　　对于这种非法无线访问设备的定位方式，使用的传感器个数肯定是越多越好，但是，在实际的无线局域网环境，是不可能在很小的范围内存在多台AP或安装有无线传感器的访问点的。不过，如果一个范围内有3 台及以上信号可以重叠的传感器，那么，就可以对它们信号重叠范围内的所有非法无线访问设备进行精确定位了。下图3所示就是一个利用4个相邻传感器进行非法无线访问设备定位的原理图。

　　图3 利用4个相邻传感器进行定位的原理图

　　其三就是利用无线网络监控软件或流量分析软件来找出非法无线访问设备的具体位置。无线网络监控软件可以实时监控无线网络中的活动连接，通过发现多余的求知连接，就可以知道非法无线访问设备连接到了企业无线局域网中的哪个AP当中，或者与企业无线局域中的哪台无线访问设备进行了点对点的连接。由于无线信号的范围范围是一定的，只要我们在发现非法无线访问设备的AP附近进行排查，就能够找到它们。另外，一些无线网络嗅探器，例如Netstumbler，可以通过分析发送到非法无线访问设备的数据包，来确定它在企业无线局域网的什么位置。

　　当确定非法无线访问设备的具体位置后，我们接下来要做的就是将它们从企业无线局域网中清除出去，以防止它们带来更大的安全风险。

　　清除非法无线访问设备的最好方式当然是直接将它们从无线局域网中拔除，或者还可以追究攻击者的法律责任。例如，如果发现的非法无线访问设备是一个恶意的非法无线访问设备，那么就必需立即清除它，并且在防火墙中添加新的规则来阻止它的连入。如果无线局域网中使用了WIPS(无线入侵防御系统)，那么，它就会自动产生对这些恶意无线访问设备的阻止规则，并同时向后台管理员发送拦截警报。

　　但是，如果发现的非法无线访问设备只是一个非恶意的邻居无线AP，那么我们可以在WIDS/IPS中的ACL表中添加新的规则，限制它的访问，并由此以免它再次触发警报。然后再将发现的这个非法无线AP的信息记录到一个开始的无线设备表中，还可以将它的位置在前面制定的平面图中标出。

　　另外，如果发现的非法无线访问设备是企业新添加的无线访问设备，或者是合作伙伴或客户来企业后带来的无线访问设备，那么，在检测到后，如果这些无线访问设备本身符合企业的安全策略，那么，我们只需要将某个访问权限授与给它们后，允许它们接入企业的无线局域网，然后解除对这些无线访问设备的警报即可。

　　通过本文，我们应当知道该按什么步骤来部署检测和防御非法无线访问设备的解决方案，也知道如何定位和清除发现的非法无线访问设备。同时，我们也只有掌握了本文中所述的这些针对非法无线访问设备的解决方法，我们才有可能在与非法无线访问设备的反间谍战中掌握主动权，才有把握打赢这场无线局域网中的反间谍战。