29、企业级无线入侵防护系统（WIPS）全面解析

企业级无线入侵防护系统（WIPS）全面解析

1. 相关工具与WIPS拓扑结构

在无线网络安全领域，有许多实用的工具，如MDK3、nmap、WiFiARP、WiFiDNS、WiFi - Honey、WiFiPING、WiFiTap、WiFiTE、WireShark、zenmap等。而企业级WIPS系统通常由运行主应用程序的集中式服务器、远程控制台以及分布在组织设施各处的多个远程传感器组成。

传感器通过隧道化的局域网（LAN）或广域网（WAN）连接，向服务器应用程序持续发送低比特率的数据流。中央服务器负责收集、记录和报告来自各个传感器的数据。远程控制台可以连接到服务器，查看状态和警报情况。企业WIPS还可以与一些流行的无线局域网管理系统（WNMS）解决方案配合使用，并识别和适配流行的WLAN控制器系统。

WIPS传感器通常配置为被动设备，除非正在积极缓解威胁，否则它们会安静地监听服务区内的所有带内无线电流量，并将这些读数上传到WIPS服务器。部分制造商允许将自主和轻量级接入点（AP）转换为全职或兼职的WIPS传感器，但可能需要额外的许可证。
需要注意的是，WIPS传感器必须使用要监控的正确射频频段，并且WIPS系统应具备与已安装的网络基础设施无线AP相同的功能。如果传感器配置不正确或与所监控的特定WLAN的网络功能不匹配，可能会导致某些事件被忽视，从而引发潜在的安全问题。

2. 集成式与覆盖式WIPS部署技术

WIPS有两种高级部署技术，即集成式和覆盖式。

2.1 集成式WIPS

在集成式WIPS解决方案中，WIPS功能集成到AP硬件中，硬件同时充当无线AP和WIPS传感器。集成式解决方案有不同的实现方式，有些使用专用的WIPS无线电进行全职扫描，而另一些则使用与客户端接入相同的无线电进行兼职扫描。

集成式WIPS解决方案通常采用兼职扫描，以充分利用现有AP的无线电。在这种设置中，无线电在客户端接入和离信道扫描之间切换。虽然集成式WIPS解决方案通常具有成本效益，但与专用WIPS硬件相比，其扫描能力有时会受到严重限制。

许多AP制造商目前提供将AP无线电配置为WIPS传感器的选项。在大多数情况下，这是一个双无线电AP，其中一个无线电配置为提供客户端接入，另一个提供WIPS功能。只有少数供应商开发了三无线电AP，其中双无线电用于客户端接入，第三个无线电配置为WIPS传感器，这是最强大的集成解决方案，但额外的无线电会增加成本。一些制造商生产的AP是频段解锁或软件定义的，这意味着用户可以灵活指定AP无线电的工作频段。

集成式解决方案的优点是节省成本和简单。AP已经通过以太网电缆连接到网络，因此不需要额外的电缆、电源或安装。这也意味着WIPS解决方案与AP解决方案集成在一起，通常意味着WIPS基础设施管理员的学习曲线更短。然而，这种解决方案的缺点是WIPS扫描只是兼职的。同一无线电必须同时执行客户端接入和WIPS扫描，因此在扫描频率/长度和关联客户端的可用性之间通常存在权衡。值得注意的是，在支持VoWiFi的情况下，大多数兼职扫描器会完全停止扫描，以适应对延迟敏感的客户端流量。此外，当在离信道扫描期间检测到无线威胁时，无线电用于威胁缓解的时间资源有限。如果优先进行恶意设备缓解，客户端接入可能会受到影响。

2.2 覆盖式WIPS

第三方WIPS供应商通常高度专注于无线安全，因此经常提供高质量的专用覆盖式产品。这种解决方案的明显缺点是需要更多的硬件和连接这些硬件的布线。专用WIPS设备和专用硬件传感器会显著增加无线部署的成本。然而，对于那些特别注重安全的客户来说，覆盖式WIPS解决方案通常提供最大的保护。覆盖式传感器通常是双无线电和双频段的，这对于最大程度的扫描和威胁检测具有显著优势。

在部署专用WIPS传感器硬件时，重要的是要考虑网络的安全要求和解决方案提供的功能，以确定要部署多少传感器以及将它们安装在何处。由于WIPS传感器被动监听网络流量，不存在冲突域问题，因此传感器无线电通常配置为在低信号水平下接收。这使得AP与传感器的比例通常在1:3到1:5之间，即所需的传感器数量比接入点少。当然，每个部署都是独特的，因此某些情况可能需要更多或更少的传感器。客户应始终咨询合格的集成商或WIPS供应商文档，以确定传感器部署位置和数量的最佳实践。

WIPS在定位服务中也具有战略作用。当需要定位服务时，更多数量的传感器可以提供更高的定位精度。这可能还需要在所需接入区域的边缘部署传感器，而这些地方通常不会安装AP。通过部署更多的传感器，可以确保更频繁或更长时间地扫描信道，从而提高检测攻击的可能性。但权衡之处在于成本增加和管理开销增大，但某些环境可能需要这样做。

3. 定义WIPS策略

WIPS允许组织在其监控能力范围内为WLAN定义允许的使用策略。例如，组织可能有一个安全策略，只允许使用802.1X/PEAP和CCMP/AES的WPA2 - Enterprise。在这种情况下，WIPS在检测到WEP、WPA - Personal等时会发出警报和/或报告。

WIPS可以使用包括手动配置在内的各种方法来确定服务区内无线设备的身份和意图。如果制造商设置的参数不适合组织的环境，在许多情况下可以手动调整。例如，制造商可能将去认证帧阈值设置为1分钟内10帧，超过此数量则报告去认证帧攻击。为了减少误报的可能性，用户可以将阈值设置为1分钟内20帧。WIPS平台预先配置了大量的攻击和攻击特征库。

管理员可以自定义管理组织WLAN可接受使用的规则。当满足定义规则内的条件时，如果WIPS配置为自动执行操作，它将采取相应行动。例如，如果客户端站的MAC地址不以00:40:96开头，WIPS应发出警报并采取措施将该站作为恶意或入侵者进行控制。客户的网络需求和安全策略将决定对策略违规或网络攻击的响应类型，策略应明确规定这些行动。

此外，WIPS还可以自动化生成性能报告，例如每两周分析一次网络利用率的报告，并以PDF格式通过电子邮件发送给用户。对警报的响应也可以自定义和自动化。管理员可以根据需要对警报过滤器进行高度细化的配置，尽管许多警报的默认设置通常足以开始使用该解决方案。企业WIPS允许集中管理警报，这使得企业安全政策可以扩展到组织的所有地点，包括分支机构和远程办公室。它还允许组织在较长时间内查看安全政策违规和性能问题的趋势。

WIPS应持续运行，以跟踪安全政策违规情况。对于有禁止Wi - Fi政策的组织，应使用WIPS来确保政策得到遵守。尽管WLAN很流行，但有些环境可能禁止使用Wi - Fi，而实施和确保组织的禁止Wi - Fi政策的最佳方法是使用企业级WIPS。传感器可以分布在企业场所周围，实时监控2.4 GHz和5 GHz频段内的所有WLAN通信。

4. 设备分类

WIPS配置完成后，会对无线电服务区进行初始发现。最初，所有发现的设备通常都被视为未知和具有威胁性的。管理员必须手动识别所有已知设备。

虽然每个制造商使用自己的分类术语来描述在无线服务区内发现的设备，但以下术语可以作为这些分类的一般层次结构：
| 分类 | 具体类型 | 描述 |
| ---- | ---- | ---- |
| 已分类 | 友好 - 内部/受信任 | 由本组织授权和支持 |
| 已分类 | 友好 - 邻居/已知/干扰 | 相邻系统，有权在同一空域，但不属于本组织管辖 |
| 已分类 | 恶意 | 表现出攻击性行为，可能无线攻击网络或连接到网络的有线骨干 |
| 未分类 | - | 在能够确定分类之前，设备应保持未分类状态 |

设备分类是一项初始且持续的WIPS配置措施，必须执行以确保WIPS政策的正确运行和应用。需要注意的是，Wi - Fi客户端设备基于其MAC地址进行唯一标识。例如，如果用户插入USB Wi - Fi适配器并使用它而不是笔记本电脑的内置适配器，可能需要管理员干预才能访问网络，因为WIPS系统可能无法识别客户端计算机，而是识别计算机中的适配器。

5. 建立基线

为了正确配置WIPS，确定组织周围现有无线电环境的性质非常重要。在某些情况下，组织可能与其他WLAN用户隔离，但在大多数情况下，会有合法的外部WLAN活动与组织支持的设备共存。在设置WIPS政策之前，应监控这种正常活动并建立趋势。如果在建立有意义的基线之前匆忙启用WIPS，很可能在某个时候发现WIPS不可靠或过于敏感，从而不得不重新开始配置。

6. 事件记录和分类

企业级WIPS可以365天、每天24小时不间断地监控所审查服务区内给定信道上的所有无线电活动。

WIPS将跟踪、分类和记录接入点、客户端站以及以自组织（IBSS）模式运行的站点的无线活动。导致WLAN出现漏洞和在某些情况下性能下降的活动将被监控并报告，以便管理员采取进一步行动。这种系统可以检测非802.11发射器的能量，但通常无法识别它们。

7. 活动报告

来自远程传感器的数据可以进行积累、排序，并与配置期间定义的可接受使用阈值进行比较。WIPS可以评估和预测WLAN使用趋势。所有WIPS系统都有一个仪表盘，总结其整个传感器群的安全和性能情况。仪表盘通常允许管理员定义传感器部署的区域（如城市、建筑物和楼层），提供事件快照，管理员可以深入查看具有地理参考的具体活动细节。

WIPS通常不仅可以用于跟踪安全指标，还可以用于跟踪性能指标。虽然大多数客户部署WIPS是为了其安全优势，但它们也能对网络性能提供有益的监督。然而，像7Signal这样的供应商现在正在生产专门用于此目的的高端解决方案。在这方面，WIPS或类似WIPS的覆盖层可以提供对数百个关键性能指标的极其细致的洞察。

8. 威胁评估

配置良好的WIPS能够清晰识别未知设备。尽管未知设备不一定具有敌意，但应监控其行为以确定其意图。即使没有表现出攻击迹象的未知设备也应受到怀疑，因为它们可能正在窃听网络流量以窃取信息，或在发动主动攻击之前确定WLAN的漏洞。需要注意的是，WIPS解决方案无法检测到窃听行为，但可能会收到特定区域存在未知无线设备的警报。当然，更有经验的攻击者会确保其设备不传输无线信号，从而避免被WIPS检测到。

并非所有恶意设备都是敌对的，通常恶意网络设备是指在其所在位置被认为未经授权的设备。在许多情况下，出于提高部门效率的良好意愿，员工可能会在未遵循企业安全政策规定的程序的情况下安装未知和不受支持的AP。在这种情况下，行为并非敌对或恶意，但仍然构成威胁。

由于每个网络漏洞会带来不同的网络威胁，WIPS按严重程度对威胁进行分类是很有帮助的。例如，执行去认证拒绝服务（DoS）攻击的恶意客户端是重大威胁；相比之下，如果WLAN使用强认证和加密（如802.1X/EAP），一个未与任何AP关联且仅发送探测请求帧的新客户端通常不是重大威胁，尽管管理员可能希望收到有关此新未分类客户端的通知，但与主动攻击相比，这可能被视为轻微威胁。

这些例子说明了不同的威胁缓解方法，如针对恶意AP和意外关联的情况。威胁缓解是一个通用术语，包括所有不同类型的WIPS响应。恶意设备遏制和端口抑制是用于识别特定WIPS响应行动的两个具体术语。

使用威胁缓解策略时应谨慎，特别是自动化机制。一些WIPS系统会通过持续对与入侵设备关联的所有客户端进行去认证来故意隔离可疑AP，使该可疑AP无法使用。由于这是WIPS的一部分，可能会很容易过度使用这种缓解技术。然而，如果可疑设备实际上是合法且无害的相邻AP，可能会导致严重的民事后果。

因为WLAN使用未授权的频段，任何人使用为802.11 WLAN分配的信道都是合法的，但一个WLAN用户干扰另一个WLAN用户的合法网络活动是不合法的。WIPS通过入侵者缓解服务使这种干扰成为可能。如果组织决定实施这些缓解服务来限制在其同一无线电服务区内运行的未知无线设备的活动，必须确保目标设备不是合法的相邻设备。WIPS入侵者缓解服务本身就是对WLAN系统的攻击，使用它们可能会导致起诉或民事诉讼。美国联邦通信委员会（FCC）已经对一些使用WIPS供应商提供的恶意设备缓解工具来对付像MiFi设备这样的新“恶意设备”的公司处以罚款。明智的CWSP应该密切关注这些事件，因为法律和技术需要在快速发展的WLAN世界中相互适应。

如果未知WLAN设备对组织的基础设施表现出攻击性行为，应在企业WLAN安全政策附录中预期并定义响应措施。如果组织允许实施自卫机制，政策还应定义使用缓解策略的情况，以及如何建立支持遏制或消除攻击者决策的证据链。

入侵缓解包括针对未经授权的设备（客户端或AP）或组织自己的客户端站的有针对性的攻击，以防止成功的未经授权的关联。在这种情况下，最近的传感器将发出用于隔离入侵设备的有针对性的命令。通常，这是传感器在严格被动（监听）模式之外运行的唯一情况。

9. 恶意设备管理的三个常见阶段

恶意设备管理通常包括以下三个常见阶段：
- 恶意设备检测 ：通过无线电资源管理（RRM）扫描、设备的关联尝试或射频频谱活动检测恶意设备。不同的WIPS解决方案会以不同的方式进行检测。
- 分类 ：许多系统可以将恶意设备分类为有线或无线。例如，在思科解决方案中，可以使用恶意设备位置发现协议（RLDP）来确定设备是否连接到有线网络。
- 缓解/遏制 ：可以关闭交换机端口，识别恶意设备的位置，并通常通过使用去认证帧来遏制恶意设备。

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A(恶意设备检测):::process --> B(分类):::process
    B --> C(缓解/遏制):::process

综上所述，企业级WIPS在无线网络安全和管理中扮演着至关重要的角色。通过合理的部署、策略定义、设备分类和威胁评估等措施，可以有效保障无线网络的安全和稳定运行。同时，随着无线网络技术的不断发展，WIPS也需要不断适应新的挑战和需求。

企业级无线入侵防护系统（WIPS）全面解析

10. WIPS在不同场景下的应用考量

WIPS在不同的企业场景中有着不同的应用重点和考量因素。以下是几种常见场景的分析：

10.1 大型企业园区

大型企业园区通常拥有多个建筑物、大量的接入点和众多的无线客户端。在这种场景下，WIPS的部署需要覆盖整个园区，确保全面的无线安全监控。

• 传感器布局 ：由于园区面积大，需要合理分布传感器，以保证对各个区域的有效覆盖。可以根据建筑物的分布、人员活动区域和无线信号强度等因素来确定传感器的位置。例如，在人员密集的办公区域、会议室和食堂等地方，应增加传感器的部署密度。
• 与现有网络集成 ：大型企业通常已经有成熟的网络基础设施，WIPS需要与现有的网络管理系统（如WNMS）和WLAN控制器系统进行集成，实现统一的管理和监控。这样可以提高管理效率，减少管理员的工作负担。
• 性能监控 ：除了安全监控，还需要关注无线网络的性能。WIPS可以监控无线信号强度、带宽利用率、延迟等性能指标，及时发现并解决性能问题，确保员工能够获得良好的无线体验。

10.2 小型企业办公室

小型企业办公室的规模相对较小，无线设备数量有限。在这种场景下，WIPS的部署可以更加简单和经济。

• 成本效益 ：考虑到小型企业的预算限制，可以选择集成式WIPS解决方案，利用现有的AP实现WIPS功能，减少额外的硬件成本。
• 易于管理 ：小型企业通常没有专业的网络管理员，因此WIPS系统应该具有简单易懂的界面和操作方式，方便非专业人员进行管理和配置。
• 基本安全需求 ：主要关注防止未经授权的接入和恶意设备的入侵，确保无线网络的基本安全。可以通过设置简单的安全策略，如MAC地址过滤、禁止开放热点等，来实现基本的安全防护。

10.3 公共场所

公共场所如商场、酒店、机场等，人员流动大，无线设备种类繁多。在这种场景下，WIPS的主要任务是保障公共无线网络的安全和稳定。

• 高并发处理能力 ：公共场所的无线客户端数量众多，WIPS需要具备高并发处理能力，能够实时监控大量的无线活动，及时发现并处理异常情况。
• 多频段支持 ：为了满足不同用户的需求，公共场所的无线网络通常支持多个频段（如2.4 GHz和5 GHz）。WIPS需要能够同时监控这些频段，确保全面的安全防护。
• 用户体验保障 ：在保障安全的同时，不能影响用户的正常使用。WIPS在检测到威胁时，应采取适当的措施进行处理，避免对合法用户造成不必要的干扰。

11. WIPS与其他安全技术的协同工作

WIPS不是孤立存在的，它可以与其他安全技术协同工作，形成更强大的安全防护体系。

11.1 与防火墙的协同

防火墙是企业网络安全的重要防线，它可以阻止外部网络的非法访问。WIPS可以与防火墙进行联动，当检测到恶意设备或异常活动时，及时通知防火墙进行拦截。例如，当WIPS检测到一个未经授权的AP时，可以向防火墙发送指令，禁止该AP的IP地址访问企业网络。

11.2 与入侵检测系统（IDS）/入侵防御系统（IPS）的协同

IDS/IPS可以检测和防范网络中的入侵行为。WIPS可以与IDS/IPS进行数据共享，将无线活动信息提供给IDS/IPS进行分析。例如，当WIPS检测到一个可疑的无线客户端时，可以将该客户端的MAC地址、IP地址和活动记录等信息发送给IDS/IPS，由IDS/IPS进行进一步的分析和判断。

11.3 与身份认证系统的协同

身份认证系统可以确保只有合法的用户能够访问无线网络。WIPS可以与身份认证系统进行集成，验证客户端的身份信息。例如，当一个客户端尝试连接到无线网络时，WIPS可以与身份认证系统进行交互，验证该客户端的用户名和密码是否正确。

12. WIPS的未来发展趋势

随着无线网络技术的不断发展和安全威胁的日益复杂，WIPS也在不断演进和发展。以下是一些WIPS的未来发展趋势：

12.1 人工智能和机器学习的应用

人工智能和机器学习技术可以帮助WIPS更准确地识别和预测安全威胁。通过对大量的无线活动数据进行分析和学习，WIPS可以自动发现新的攻击模式和异常行为，提高安全检测的准确性和效率。

12.2 物联网（IoT）安全支持

随着物联网设备的普及，无线网络中的设备种类和数量不断增加。WIPS需要支持对物联网设备的安全监控，确保物联网设备的安全接入和运行。例如，WIPS可以检测物联网设备的异常通信行为，防止物联网设备被攻击和利用。

12.3 云化和软件定义网络（SDN）集成

云化和SDN技术可以提高WIPS的灵活性和可扩展性。通过将WIPS功能部署在云端，可以实现集中管理和远程监控，降低企业的部署和维护成本。同时，SDN技术可以实现对无线网络的灵活控制和优化，提高网络的性能和安全性。

13. 总结

企业级WIPS是保障无线网络安全和稳定运行的重要工具。通过合理的部署、策略定义、设备分类和威胁评估等措施，可以有效防范各种无线安全威胁，为企业提供可靠的无线网络环境。

在选择和部署WIPS时，企业需要根据自身的需求和实际情况进行综合考虑。同时，要关注WIPS与其他安全技术的协同工作，形成更强大的安全防护体系。随着无线网络技术的不断发展，WIPS也将不断创新和完善，为企业的无线网络安全提供更好的保障。

以下是WIPS相关要点的总结表格：
| 要点 | 详情 |
| ---- | ---- |
| 部署技术 | 集成式和覆盖式，各有优缺点，需根据实际情况选择 |
| 策略定义 | 可自定义规则，自动化报告和响应，确保安全策略执行 |
| 设备分类 | 分为已分类（友好 - 内部/受信任、友好 - 邻居/已知/干扰、恶意）和未分类 |
| 威胁评估 | 按严重程度分类，使用缓解策略需谨慎 |
| 恶意设备管理 | 包括检测、分类和缓解三个阶段 |
| 应用场景 | 大型企业园区、小型企业办公室、公共场所等，各有不同考量 |
| 协同工作 | 可与防火墙、IDS/IPS、身份认证系统等协同 |
| 未来趋势 | 人工智能和机器学习应用、物联网安全支持、云化和SDN集成 |

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px

    A(选择部署技术):::process --> B(定义策略):::process
    B --> C(设备分类):::process
    C --> D(威胁评估):::process
    D --> E(恶意设备管理):::process
    E --> F(应用于不同场景):::process
    F --> G(协同其他安全技术):::process
    G --> H(适应未来趋势):::process

通过以上的分析和总结，希望能帮助企业更好地理解和应用WIPS，提升无线网络的安全水平。