前言

如果你想保護(hù)企業(yè)的關(guān)鍵數(shù)據(jù)，那么企業(yè)環(huán)境下的WiFi網(wǎng)絡(luò)安全絕對(duì)是你不能忽略的威脅因素。

[[255264]]

其實(shí)很多企業(yè)根本就不在意這個(gè)方面，但我們認(rèn)為這是最基本的風(fēng)險(xiǎn)評(píng)估，因?yàn)槿绻愕耐{模型里出現(xiàn)了一名意愿和技術(shù)均足夠強(qiáng)大的攻擊者，那么你公司的WiFi網(wǎng)絡(luò)將“毫無”安全可言。

為了保護(hù)企業(yè)WiFi，你要做的事情有很多。再加上新型的KRACK攻擊正在肆虐，這些威脅嚴(yán)重程度就變得更加恐怖了。因此，我們認(rèn)為保護(hù)企業(yè)WiFi安全勢(shì)在必行，接下來讓我們一起看一看到底該如何去做。

最大程度的控制

毫無疑問，保護(hù)企業(yè)WiFi安全的最佳方法就是對(duì)整個(gè)無線網(wǎng)絡(luò)系統(tǒng)進(jìn)行拆分和隔離。

• 在企業(yè)WiFi網(wǎng)絡(luò)內(nèi)的任何設(shè)備在使用之前都應(yīng)該更新到最新版本的固件。
• 要完全對(duì)企業(yè)環(huán)境下員工使用WiFi設(shè)備的網(wǎng)絡(luò)區(qū)域進(jìn)行完全性的物理和邏輯分隔，使用不同的ISP，不同網(wǎng)絡(luò)之間不要相互連接。
• 除了上述兩點(diǎn)之外，還要結(jié)合移動(dòng)設(shè)備的VPN策略。
• 修復(fù)訪問點(diǎn)安全缺陷，針對(duì)類似KRACK這樣的威脅部署防御策略。
• 使用安全性最高的密碼套件，確保只使用TLS 1.2。

其他優(yōu)秀的控制策略

除了上述幾點(diǎn)必要的控制措施之外，我們?cè)谶@里還給大家推薦了下面一些可以參考使用的控制策略。可能大家無法完全實(shí)現(xiàn)這里列舉出的所有方案，但是我們建議大家盡可能地去實(shí)現(xiàn)它們。

[[255265]]

• MAC地址白名單。
• WiFi和其他網(wǎng)絡(luò)環(huán)境下的VLAN隔離，限制WiFi Vlan的可訪問資源。
• 移除或禁用無線接入點(diǎn)的WPS功能，購買和使用企業(yè)級(jí)無線網(wǎng)絡(luò)設(shè)備。
• 使用支持企業(yè)級(jí)WPA2(802.1x)的設(shè)備，對(duì)WiFi網(wǎng)絡(luò)進(jìn)行VLAN隔離，為每一個(gè)隔離網(wǎng)絡(luò)設(shè)置防火墻規(guī)則以及其他的控制策略。
• 對(duì)于不同的Vlan，確保屏蔽了點(diǎn)到點(diǎn)的通信，這樣一來所有接入了訪問點(diǎn)的設(shè)備都需要通過AP來進(jìn)行通信，這樣便于實(shí)現(xiàn)網(wǎng)絡(luò)的監(jiān)控。
• 隱藏SSID，通過不可見性實(shí)現(xiàn)安全保護(hù)。
• 保護(hù)接入點(diǎn)的物理訪問狀態(tài)，不要將WPA2密碼貼在墻上。
• 確保WiFi信號(hào)不會(huì)離開受保護(hù)區(qū)域，測(cè)試并控制WiFi信號(hào)強(qiáng)度。
• 為臨時(shí)訪客設(shè)置不同的WiFi SSID和訪問權(quán)限;
• 修改/禁用無線接入點(diǎn)的管理員默認(rèn)憑證;
• 定期進(jìn)行流氓WiFi接入點(diǎn)掃描;
• 部署入侵防護(hù)系統(tǒng)以及入侵檢測(cè)系統(tǒng)，實(shí)時(shí)監(jiān)控WLAN系統(tǒng)。識(shí)別企業(yè)WiFi所有使用到的內(nèi)部接口，并部署訪問控制策略。
• 使用企業(yè)級(jí)WiFi網(wǎng)關(guān)以及外部防火墻;

1. 相關(guān)安全協(xié)議及服務(wù)

• IPSec(Internet ProtocalSecurity)和VPN(Virtual Private Network)都可以用來保護(hù)WiFi網(wǎng)絡(luò)的安全;
• 使用TLS(Transport Layer Security)
• 在WiFi認(rèn)證系統(tǒng)上實(shí)現(xiàn)遠(yuǎn)程用戶撥號(hào)認(rèn)證服務(wù)(RADIUS)：
• 擴(kuò)展認(rèn)證協(xié)議(EAP)結(jié)合TLS(EAP-TLS);
• 關(guān)閉所有的無線管理功能;

2. 其它

• 定期分析和審計(jì)所有的無線控制日志;
• 防火墻配置：對(duì)于企業(yè)網(wǎng)絡(luò)環(huán)境來說，這是非常重要的一點(diǎn)。在防火墻的保護(hù)下，安全性會(huì)顯著提升。

3. 隱私保護(hù)控制

• 在所有設(shè)備上使用MAC地址隨機(jī)化即可實(shí)現(xiàn)隱私保護(hù)控制。