捕获欺骗性威胁的秘诀

4. 阻止研究调查中的潜在损害

考虑使用WIDS的“遏制”功能，自动检测欺骗性威胁或者调查研究后进行手动检测。尽管性能不同，但是通过在欺骗性威胁的MAC地址中针对解除认证洪水，接入点或者站点通常可以临时打开你的无线局域网。中止最近的以太网交换端口，通常就可以削弱接入点与网络之间的连接。当你追捕到欺骗性威胁时，虽然遏制功能可以阻止其来带的破坏，但是，它也可能是破坏性的。确保在使用之前，了解清楚这些功能可以干什么——尤其是自动遏制功能。比如，当连接到欺骗性接入点时，你可能很容易就会阻止你的站点。但是，避免阻止欺骗性威胁可能最终来自于你的邻居。

5. 调查新设备，确定威胁

收集证据，弄清楚欺骗性行为是否来自于邻居、访问者、雇员或者攻击者。甚至基本的性能都有帮助，比如SNR和ESSID。如果新的接入点看起来来自于隔壁的咖啡屋，那么打电话过去确认一下。除了连接性追踪，还要使用感应器或者移动分析仪捕获信息流，以确定欺骗性威胁使用的是哪个系统和应用程序。使用定位地图来预测欺骗性威胁的物理地址。虽然性能有所不同，但是，许多WIDS可以在平面图上突出显示某个区域，以减少搜索范围到20英尺，甚至更少的范围以内。

6. 做出决定，并执行一个永久性措施

使用你调查研究的成果，决定如何永久性处理欺骗性行为。虽然这涉及到政策、策略和进程，但是进行到此为止以及没有关于下一步工作的计划，这些将是毫无意义的。比如，在没有无知的雇员的允许下，你如何消除已经安装好的欺骗性威胁？如果一个恶意的欺骗性威胁已经留在了办公楼内，你如何保护自己，防止重复的运行该欺骗性威胁呢？如果这个欺骗性威胁是雇员所有的PDA，你是否有计划进行无线安全使用方面的教育呢？

7. 更新你的设备清单，以反映出结果

你已经采取了永久性措施来消灭欺骗性威胁以后，跟新设备清单以及相关政策，这样将来就可以正确处理设备。如果你在调查期间中止了欺骗性威胁，那么确定现在是否要撤销。如果你不能够发现欺骗性威胁，使用“审查名单”，以在短时间内加快以后的反应或者增强该办公室的监测力度。