保障安全 利用漏洞評估管理無線網(wǎng)風(fēng)險
保障無線局域網(wǎng)有很多種方法，但是，到底哪種方法更適合于用戶所在的局域網(wǎng)，局域網(wǎng)是否能夠完全有效地應(yīng)對802.11和802.1x攻擊，這些都需要根據(jù)無線局域網(wǎng)自身的情況，采取不同的方法。無線局域網(wǎng)應(yīng)用逐漸變得流行起來，但無線局域網(wǎng)的安全問題，卻一直是制約行業(yè)發(fā)展的因素之一，也是業(yè)內(nèi)人士爭論的焦點(diǎn)。本文將會為你介紹無線局域網(wǎng)漏洞以及如何消除這些潛在的威脅因素，還會為你闡述如何評估無線局域網(wǎng)漏洞并管理其風(fēng)險。
802.11i的的完成和Wi-Fi產(chǎn)品的成熟，使得維護(hù)無線局域網(wǎng)所需要的工具已經(jīng)變得更加豐富起來，也有可供用戶檢測和應(yīng)對入侵行為的工具。但是，這些新增的部分安全功能，對于提供防護(hù)和滿足當(dāng)今企業(yè)無線局域網(wǎng)配置要求的全面安全解決方案來說，還遠(yuǎn)遠(yuǎn)不夠。如果出現(xiàn)802.11或者802.1x攻擊，你如何確定局域網(wǎng)能夠有效地應(yīng)對？ 實踐證明，有效防御需要系統(tǒng)地查明和消除被黑客利用的漏洞，這些漏洞將會被用來入侵網(wǎng)絡(luò)從而損害用戶利益。
一、明確WLAN漏洞
所有的網(wǎng)絡(luò)都有漏洞，但在有線網(wǎng)絡(luò)中，物理性障礙可以限制訪問介質(zhì)來減少風(fēng)險。以太網(wǎng)交換機(jī)未被使用的接口可以禁用，也可以設(shè)定具體的使用范圍和地理環(huán)境。但在無線網(wǎng)絡(luò)中，傳輸媒介在空中。墻壁、門戶、樓層都會降低信號強(qiáng)度，而攻擊者卻又可以從樓梯、大廳、停車場或者附件的建筑物內(nèi)發(fā)起攻擊。這些新的載體可以被用來查找802.11和802.1x固有的漏洞。
無法控制訪問
不法之徒會利用共享Stumbler工具和高增益天線發(fā)現(xiàn)無線局域網(wǎng)。入侵者會通過未經(jīng)認(rèn)證的“流氓”接入點(diǎn)，進(jìn)入公司無線網(wǎng)絡(luò)。他們還會尋找能與任何其他設(shè)備相連的疏于管理的無線設(shè)備。一旦連接，入侵者就可以使用傳統(tǒng)的網(wǎng)絡(luò)攻擊探測客戶端、服務(wù)器并找到可利用的開放端口和服務(wù)進(jìn)程。
AP合理的設(shè)置可以減少射頻信號的泄露，但這并不能防止外人利用你的WLAN載體發(fā)送或者接收信號。
缺乏保密
入侵者發(fā)現(xiàn)你的WLAN很容易利用無線通信進(jìn)行監(jiān)聽。共享和收費(fèi)監(jiān)聽工具可以記錄數(shù)據(jù)包并提取無線傳播中的TCP/IP協(xié)議報頭、用戶名、密碼、電子郵件、文檔、語音通信等信息。為了防止竊聽，WLAN可以采用WEP協(xié)議、TKIP協(xié)議或者AES、CCMP協(xié)議對802.11數(shù)據(jù)幀進(jìn)行加密。
不過，這三種協(xié)議都容易被破解。入侵者通過分析捕捉到的數(shù)據(jù)包，可以猜測到WEP密鑰或者簡短的TKIP/AES預(yù)共享密鑰PSKs，利用它們對802.11數(shù)據(jù)包進(jìn)行解密。而使用較長的TKIP和AES,復(fù)雜的PSK和動態(tài)會話密鑰，可以避免被破解。但是，802.11管理和控制幀仍然不能被加密，也不能像ESSID和MAC地址那樣具有報頭值。因此，重要的是了解攻擊者可以找到什么并評估他們帶來的種種損失。
未經(jīng)授權(quán)的網(wǎng)絡(luò)使用
WLAN訪問通過WEP密鑰控制——對用戶開放的一個十六進(jìn)制數(shù)值。而在使用TKIP、AES的網(wǎng)絡(luò)中，訪問則是通過PSK——對所有用戶開放的數(shù)字密碼。這些密鑰可以讓家庭或者小型辦公中的用戶擁有同樣的權(quán)限訪問WLAN。但外部人員一旦獲得這些密鑰，他們也將擁有同樣的權(quán)限進(jìn)入這些網(wǎng)絡(luò)。
大部分的情況是，人員更傾向于基于驗證用戶身份，單獨(dú)對用戶授予WLAN訪問許可。為此，可以使用802.1X端口訪問控制配合TIKP或者AES來實現(xiàn)。802.1x帶有可擴(kuò)展身份驗證協(xié)議（EAP），可以通過密碼、令牌或者數(shù)字證書來驗證信息。動態(tài)會話密鑰發(fā)送給指定用戶，而其他嘗試訪問的人則會被拒絕。不過，EAP也具有漏洞。比如，輕量級的EAP可以通過字典攻擊獲取用戶密碼。評估WLAN 802.1x/EAP漏洞，是讓你的網(wǎng)絡(luò)變得更加安全的一種明智之選。
偽造數(shù)據(jù)
所有的802.11數(shù)據(jù)包都含有一個循環(huán)冗余校驗（CRC），以幫助接收者發(fā)現(xiàn)傳輸中是否出現(xiàn)問題，但是它并不能識別偽造數(shù)據(jù)幀。為了緩解這一問題，TKIP和AES使用順序和密碼信息驗證，以檢測和丟棄重復(fù)或者注入的802.1x數(shù)據(jù)包。不過，檢測偽造802.11管理/控制或者802.1x/EAP 開始/注銷并沒有一個統(tǒng)一的標(biāo)準(zhǔn)。原始數(shù)據(jù)包注入工具可以在任何時候，被用來發(fā)送偽造數(shù)據(jù)包，發(fā)動對WLAN的攻擊——特別是DoS攻擊。
拒絕服務(wù)
無繩電話、藍(lán)牙、微波爐、鄰近AP接入點(diǎn)等等，與你所在的網(wǎng)絡(luò)，可能都會遭受拒絕服務(wù)攻擊。事實上，產(chǎn)生大量的偽造802.11或者802.1x數(shù)據(jù)包，會影響到WLAN的正常合法使用。DoS拒絕服務(wù)攻擊持續(xù)不段的數(shù)據(jù)傳輸會影響到其他數(shù)據(jù)的正常傳輸，利用成千上萬的假冒AP擠占無線傳輸帶寬，或者發(fā)送偽造認(rèn)證、EAP注銷幀等讓用戶不能連接網(wǎng)絡(luò)。 DoS攻擊也可以由無線設(shè)備癱瘓而導(dǎo)致。一個惡意的EAP身份反應(yīng)會破壞具有漏洞的AP。無線設(shè)備往往是新技術(shù)產(chǎn)品，它們需要強(qiáng)化應(yīng)對DoS攻擊和其他問題的能力。
脆弱的終端
隨著WLAN安全協(xié)議的改進(jìn)，攻擊者開始更多的關(guān)注802.11終端。默認(rèn)情況下，很多客戶端設(shè)備都處于友好狀態(tài)，它可以與任何其他設(shè)備互聯(lián)，包括未知AP和Ad Hoc。這種混雜的行為會讓網(wǎng)絡(luò)和終端暴露出多種風(fēng)險，從文件共享給陌生人到公共和私人網(wǎng)絡(luò)之間的客戶端連接，都會出現(xiàn)多種安全威脅。
#p#
二、攻擊透視：風(fēng)險分析
你可以使用風(fēng)險分析促使安全政策的形成和執(zhí)行，從而保護(hù)WLAN免遭攻擊。正在使用的監(jiān)測和定期測試可以用來驗證，WLAN部署是否合符規(guī)范要求。一旦發(fā)現(xiàn)漏洞，可以重新分析并對安全政策進(jìn)行修正和提煉一滿足實際需要。這樣一個循環(huán)反復(fù)的過程，可以用下圖進(jìn)行表示，以創(chuàng)建一個連續(xù)的、可衡量的有利于幫助WLAN風(fēng)險管理的基礎(chǔ)模塊。
一個更實際的目標(biāo)就是降低風(fēng)險到一個可接受的水平。通過驗證WLAN漏洞來考慮風(fēng)險事宜，可以減少攻擊者對網(wǎng)絡(luò)的不利影響。
風(fēng)險分析，首先要根據(jù)業(yè)務(wù)需求來確定。說到底，安全并不僅僅是通過防堵入侵者來實現(xiàn)——它還需要讓合法用戶獲得授權(quán)服務(wù)。其次，量化無線傳輸所帶來的風(fēng)險。列出無線網(wǎng)絡(luò)和上游有線網(wǎng)絡(luò)對資產(chǎn)可能造成的損失。那么，這些服務(wù)和數(shù)據(jù)庫需要包含哪些信息呢？我們需要考慮駐留在無線終端和流動在無線鏈接中的數(shù)據(jù)——這也是一種需要保護(hù)的資產(chǎn)。對于每一項資產(chǎn)，都要對遭受損害所帶來的成本支出進(jìn)行評估。而評估是可以通過具體的量化指標(biāo)來衡量的。 以上過程完成以后，你就建立起了一個資產(chǎn)風(fēng)險優(yōu)先秩序名單。通過這份名單你可以制定出一份安全政策，然后選擇、安裝、配置執(zhí)行和落實安全政策。最后，測試WLAN驗證政策的執(zhí)行結(jié)果，并確定其他潛在漏洞。#p#
三、進(jìn)行漏洞評估
漏洞評估是一個系統(tǒng)的評價體系，它需要使用滲透性測試以觀察可能會被利用的安全漏洞。評定結(jié)果要受到審查，以確定漏洞的嚴(yán)重級別和消除漏洞的方法和步驟。
為了更有效，評估需要反復(fù)進(jìn)行并最終確定。通常，在網(wǎng)絡(luò)升級或者安全政策發(fā)生變更的情況下，需要再次進(jìn)行評估，以防止隨著時間推移漏洞蔓延到整個無線網(wǎng)絡(luò)。
需要指出的是，所有的評估應(yīng)該獲得業(yè)主的同意，考慮到對網(wǎng)絡(luò)資源和業(yè)務(wù)活動的潛在影響。下面，將談?wù)搶υu估WLAN漏洞有所幫助的技術(shù)和工具，它們包括無線設(shè)備發(fā)現(xiàn)、滲透測試，以及安全事件監(jiān)測和頻譜分析等等。
使用便攜工具發(fā)現(xiàn)WLAN
任何漏洞的評估，第一步就是要確定無線設(shè)備。經(jīng)過授權(quán)的設(shè)備接受評估，而其他設(shè)備則要仔細(xì)檢查，以確定所有權(quán)和它對WLAN業(yè)務(wù)的影響和潛在威脅。當(dāng)規(guī)劃一個新的WLAN的時候，發(fā)現(xiàn)作為站點(diǎn)調(diào)查的一個組成部分，但風(fēng)險分析所需要的信息則不限于此。
Wi-Fi Stumbler是一款免費(fèi)易用的軟件，適用于大多數(shù)操作系統(tǒng)，也包括手持設(shè)備。不過，它的功能也有限，它只能發(fā)現(xiàn)AP，但不能發(fā)現(xiàn)監(jiān)測站和非802.11干擾源。一個完整的漏洞評估，需要一個便攜式無線網(wǎng)絡(luò)分析儀，使得所有射頻通道都可以得到掃描，所有無線設(shè)備的詳細(xì)信息都能收集。
使用滲透測試尋找漏洞
入侵者使用無線、TCP/IP和服務(wù)器攻擊工具來攻擊WLAN。你可以“以牙還牙”使用這些相同的工具，對所屬網(wǎng)絡(luò)的設(shè)備和WLAN基礎(chǔ)設(shè)施進(jìn)行滲透測試。利用模擬攻擊對WLAN進(jìn)行滲透測試，可以較為全面地發(fā)現(xiàn)各種漏洞，并幫助你了解漏洞所帶來的后果。
使用WIPS實時監(jiān)測
WLAN發(fā)現(xiàn)和測試發(fā)現(xiàn)漏洞，并不意味著這些漏洞會被利用。便攜式WLAN分析儀可以“抽查”某個位置上的實時動態(tài)——事實上，測試過后運(yùn)行分析儀可以幫助模擬攻擊。但對于全天候監(jiān)測整個無線設(shè)備和實際用戶流量來說，應(yīng)該使用無線入侵防御系統(tǒng)（ WIPS ）。
使用無線分析器進(jìn)行調(diào)查
由WIPS提交的報告可以幫助進(jìn)行深入的調(diào)查。WLAN和頻譜分析儀在漏洞評估過程中發(fā)揮著重要的作用。而在測試結(jié)束后，遠(yuǎn)程（WIPS傳感器或者基于AP傳感器）分析儀可以幫助深入調(diào)查潛在漏洞。
【編輯推薦】
