保护无线LAN安全——保护网络
2009-03-10 13:56:17 来源:WEB开发网 闂傚倸鍊搁崐鎼佸磹閹间礁纾归柟闂寸绾惧綊鏌熼梻瀵割槮缁炬儳缍婇弻鐔兼⒒鐎靛壊妲紒鐐劤缂嶅﹪寮婚悢鍏尖拻閻庨潧澹婂Σ顔剧磼閻愵剙鍔ょ紓宥咃躬瀵鎮㈤崗灏栨嫽闁诲酣娼ф竟濠偽i鍓х<闁绘劦鍓欓崝銈囩磽瀹ュ拑韬€殿喖顭烽幃銏ゅ礂鐏忔牗瀚介梺璇查叄濞佳勭珶婵犲伣锝夘敊閸撗咃紲闂佺粯鍔﹂崜娆撳礉閵堝洨纾界€广儱鎷戦煬顒傗偓娈垮枛椤兘骞冮姀銈呯閻忓繑鐗楃€氫粙姊虹拠鏌ュ弰婵炰匠鍕彾濠电姴浼i敐澶樻晩闁告挆鍜冪床闂備浇顕栭崹搴ㄥ礃閿濆棗鐦遍梻鍌欒兌椤㈠﹤鈻嶉弴銏犵闁搞儺鍓欓悘鎶芥煛閸愩劎澧曠紒鈧崘鈹夸簻闊洤娴烽ˇ锕€霉濠婂牏鐣洪柡灞诲妼閳规垿宕卞▎蹇撴瘓缂傚倷闄嶉崝搴e垝椤栫偛桅闁告洦鍨扮粻鎶芥倵閿濆簼绨藉ù鐘荤畺濮婃椽妫冨☉娆愭倷闁诲孩鐭崡鎶芥偘椤曗偓瀹曞爼顢楁径瀣珫婵犳鍣徊鍓р偓绗涘洤绠查柛銉墮閽冪喖鏌i弬鎸庢喐闁荤喎缍婇弻娑⑩€﹂幋婵囩亪濡炪値鍓欓悧鍡涒€旈崘顔嘉ч幖绮光偓鑼嚬缂傚倷绶¢崰妤呭箰閹间焦鍋╅柣鎴f绾偓闂佺粯鍔曠粔闈浳涢崘顔兼槬闁逞屽墯閵囧嫰骞掗幋婵愪紑閻庤鎸风粈渚€鍩為幋锔藉亹闁圭粯甯╂导鈧紓浣瑰劤瑜扮偟鍒掑▎鎾宠摕婵炴垶鐭▽顏堟煙鐟欏嫬濮囨い銉︾箞濮婃椽鏌呴悙鑼跺濠⒀傚嵆閺岀喖鎼归锝呯3闂佹寧绻勯崑娑㈠煘閹寸姭鍋撻敐搴樺亾椤撴稒娅婇柡灞界У濞碱亪骞忕仦钘夊腐闂備焦鐪归崐鏇㈠箠閹邦喗顫曢柟鎯х摠婵挳鏌涢幘鏉戠祷闁告挸宕—鍐Χ閸℃浠搁梺鑽ゅ暱閺呮盯鎮鹃悜钘壩ㄧ憸澶愬磻閹剧粯鏅查幖绮瑰墲閻忓秹姊虹紒妯诲鞍婵炲弶锕㈡俊鐢稿礋椤栨氨鐤€闂傚倸鐗婄粙鎰姳閼测晝纾藉ù锝堟閻撴劖鎱ㄥΟ绋垮婵″弶鍔欓獮妯兼嫚閼碱剦妲伴梻浣稿暱閹碱偊宕愭繝姣稿洭寮舵惔鎾存杸濡炪倖姊婚妴瀣啅閵夛负浜滄い鎾跺仜濡插鏌i敐鍥у幋妤犵偞甯¢獮瀣籍閳ь剟鎮楁繝姘拺閻熸瑥瀚崕妤呮煕濡 鍋撻悢鎻掑緧婵犵數濮烽弫鍛婃叏閻戣棄鏋侀柛娑橈攻閸欏繑銇勯幘鍗炵仼缁炬儳顭烽弻鐔煎礈瑜忕敮娑㈡煃闁垮鐏﹂柕鍥у楠炴帡宕卞鎯ь棜缂傚倸鍊风粈渚€藝闁秴鏋佸┑鐘虫皑瀹撲線鏌涢埄鍐姇闁稿﹦鍏橀弻娑樷攽閸℃浼€濡炪倖姊归崝鏇㈠煘閹达附鍊婚柛銉㈡櫇鏍¢梻浣告啞閹稿鎮烽敂鐣屸攳濠电姴娲﹂崵鍐煃閸濆嫬鏆熼柨娑欑矒濮婇缚銇愰幒鎴滃枈闂佸憡鐟ユ鎼佸煝閹炬枼鍫柛顐ゅ枔閸樻悂鏌h箛鏇炰户缁绢厼鐖煎畷鎴﹀箻鐠囪尙鐤€婵炶揪绲介幉锟犲磹椤栫偞鈷戠痪顓炴噹娴滃綊鎮跺☉鏍у姦闁糕斁鍋撳銈嗗笒閸燁偊鎯冨ú顏呯厸濞达絽婀辨晶顏堟煃鐟欏嫬鐏撮柟顔界懇瀵爼骞嬮悩杈敇闂傚倷绀佸﹢杈ㄧ仚闂佺濮ょ划搴ㄥ礆閹烘绫嶉柛顐ゅ枎娴犺櫣绱撴担鍓插創妞ゆ洘濞婇弫鍐磼濞戞艾骞堥梻浣告惈濞层垽宕濆畝鍕€堕柣妯肩帛閻撴洟鏌熼懜顒€濡煎ù婊勫劤閳规垿鏁嶉崟顐℃澀闂佺ǹ锕ラ悧鐘茬暦濠靛鏅濋柍褜鍓熼垾锕傚锤濡も偓閻掑灚銇勯幒宥堝厡缂佺姴澧介埀顒€鍘滈崑鎾斥攽閻樿京绐旈柛瀣殔閳规垿顢欑涵鐑界反濠电偛鎷戠徊鍨i幇鏉跨闁瑰啿纾崰鎾诲箯閻樼粯鍤戦柤绋跨仛濮f劙姊婚崒姘偓鐑芥嚄閼哥數浠氭繝鐢靛仜椤曨參宕楀Ο渚殨妞ゆ劑鍊栫€氭氨鈧懓澹婇崰鏍р枔閵婏妇绡€闁汇垽娼ф牎缂佺偓婢樼粔鐟邦嚕閺屻儱绠甸柟鐑樼箘閸炵敻鏌i悩鐑橆仩閻忓繈鍔岄蹇涘Ψ瑜夐崑鎾舵喆閸曨剙纰嶅┑鈽嗗亝缁诲倿锝炶箛娑欐優闁革富鍘鹃敍婊冣攽閳藉棗鐏犻柟纰卞亰閿濈偛顓奸崶鈺冿紳婵炶揪缍侀ˉ鎾诲礉瀹ュ鐓欑紒瀣仢閺嗛亶鏌i敐鍥у幋妤犵偛顑夐弫鍐焵椤掑倻涓嶅┑鐘崇閸嬶綁鏌涢妷鎴濆暟妤犲洭鎮楃憴鍕碍缂佸鎸抽垾鏃堝礃椤斿槈褔鏌涢埄鍏狀亪妫勫鍥╃=濞达絽澹婇崕鎰版煕閵娿儱顣崇紒顔碱儏椤撳吋寰勭€n亖鍋撻柨瀣ㄤ簻闁瑰搫绉堕ˇ锔锯偓娈垮枛閻忔繈鍩為幋锕€鐓¢柛鈩冾殘娴狀垶姊洪崨濠庣劶闁告洦鍙庡ú鍛婁繆閵堝繒鍒伴柛鐕佸灦瀹曟劙宕归锝呭伎濠碘槅鍨抽崢褎绂嶆ィ鍐╁€垫慨妯煎亾鐎氾拷

服务拒绝
任何阻止授权用户使用正当功能的事件都可以被认为是拒绝服务攻击(DoS)。DoS攻击可能发生在任何信息技术(IT)基础结构内部,甚至是外部。用户数据报协议(UDP)淹没攻击(针对于企业因特网连接)和RF干扰(针对企业WLAN)都属于DoS攻击类型。在本节中,DoS攻击指的是阻止WLAN运作的攻击(而非针对上层应用的DoS攻击)。
WLAN的DoS攻击是很容易发生的。事实上,在微波炉中重新加热肉就可以不经意地阻碍WLAN的正常运作。802.11n所带来的覆盖范围增大(相对于802.11g/a)同样也可以无意地干扰到邻近的WLAN。在5 GHz频段部署802.11n有利于减少类似的无意DoS干涉,因为市场上几乎很少有在这有一频段上运行的产品。但是,入侵者可以在外围设备中使用定向天线向WLAN发送RF能量来加载DoS攻击。与能够传播到整个有线LAN的广播风暴不同的是,无线DoS攻击是局限于其直接攻击的区域。
大量的WLAN DoS 攻击弱点威胁着物理层(PHY)、连接进程和认证进程,如下所列:
802.11网络很容易受到蓄意的RF信号的攻击,它会扰乱数据包传输和网络可用性。
802.11网络很容易受到DoS攻击,这种攻击是使用多个伪MAC地址来发送大量的联合请求帧到AP。
802.11网络很容易受到EAPoL Start DoS攻击,这种攻击是向一个AP发送泛滥的EAPoL Start消息。
虽然发起DoS攻击的路途有很多,但是很多企业都将DoS攻击评估为很低的风险级别,或者直接忽略它的潜在风险。我们的建议是将无线DoS攻击应对方案包含你的企业业务连续性计划过程中。此外,有些企业可能希望通过分布在整个企业中的RF传感器来部署针对DoS检测的广泛网络监视。
网络保护
网络管理系统和无线基础架构也都很容易受到攻击。对网络管理的攻击包括AP、网络控制器、交换机和网关的未授权网络管理控制。
我们推荐以下的最佳方法:
修改默认SSID为一个特定名称。
使用一个基于控制器的WLAN系统替代所有独立的AP。WLAN系统能提供一个管理焦点并减少网络上的攻击点。
使用强密码来提高对WLAN硬件访问安全。定期修改密码。
禁用无线AP和控制器的无线端管理访问。
定期进行供应商的软件升级,并快速提供补丁程序以便提高网络安全性。
有些企业也许愿意执行以下的实践方法:
使用加密的网络管理安全协议,比如简单网络管理协议(SNMP) v3、Secure Shell(SSH)和SSL。禁用AP和控制器上的SNMP v1和v2。
将有线端的AP/控制器访问限制在特定的IP地址、子网络或VLAN。
更多信息
这篇文章是参考了Wireless Vulnerabilities and Exploits(WVE)网站。WVE提供了一个已知无线漏洞的数据库,它类似于其他系统的漏洞目录,比如Common Vulnerabilities and Exposures(CVE)和Open Source Vulnerability Database(OSVDB)。任何人都可以使用WVE数据库和向其贡献数据。
关于作者
Paul DeBeasi是Burton Group的高级分析师,它在网络产业有着25年的工作经历。在加入Burton Group之前,Paul 成立了一个无线咨询公司ClearChoice Advisors,并且是无线交换器Legra系统产品市场副总裁。除了Legra的工作之外,他还是IPHighway和ONEX Communications公司的产品市场部副总裁,以及Cascade Communications的帧中继产品线经理。Paul的网络系统开发的职业生涯是始于Bell Laboratories,Prime Computer 和Chipcom Corp高级工程师。他拥有波士顿大学的系统工程师理科学士学位,康奈尔大学电子工程师硕士学位。Paul是一名知名的演讲家,并且曾在许多活动中发表演讲,其中包括Interop、Next Generation Networks、Wi-Fi Planet和Internet Telephony。
- ››无线入侵检测让无线安全检测变简单
- ››无线安全守则 将“蹭网客”拒之门外
- ››Landing page的优化:提升用户体验的方法
- ››保护WordPress网站:10个WordPress安全插件和技巧
- ››保护Windows XP系统帐户安全三绝招
- ››保护文件 Linux文件系统属性使用方法
- ››保护Windows 7产品密钥不泄露的妙招
- ››保护模拟运算表并使其不受应用错误的影响
- ››无线网事招募 iPhone Android BlackBerry 编辑
- ››保护Word文档的固有格式 防止意外修改
- ››保护隐私 - 轻松禁用Windows 7中的Jumplists功能
- ››保护无线网络安全的四个简单的步骤
更多精彩
赞助商链接