技术盛宴丨基于Rogue AP反制的无线安全技术探讨

WLAN（Wireless Local Area Networks，无线局域网）具有安装便捷、使用灵活、经济节约和易于扩展等有线网络无法比拟的优点，因此得到越来越广泛的使用。

但由于WLAN信道开放的特点，使得无线网络很容易受到各种网络威胁的影响，如冒牌的AP（Access Point，无线接入点）设备、Ad-hoc（无线自组网）、各种针对无线网络的协议攻击等等，因此安全性成为阻碍WLAN 发展的重要因素。

如下图所示，在过去的一年内我们可以看到无线网漏洞、钓鱼Wi-Fi窃取信息事件仍在发生
▲ 各种无线网漏洞和攻击的新闻
那么，面对安全恐慌，我们应该如何应对？这些新闻跟无线办公网有关吗？要如何构建安全稳定的无线办公网？怎样才能在源头控制住无线网络钓鱼Wi-Fi窃取信息呢？
下面我将针对无线网络射频安全——非法设备反制技术进行分享，主要实现方式是在无线
接入阶段进行安全控制。

传统无线反制技术中Rogue AP（非法AP）反制可以分为三个步骤：1、Rogue AP的检测；2、Rogue AP的判定；3、Rogue AP反制。

在传统反制技术实现过程中也存在一定局限性，例如无法做到Rogue AP定位等功能。

本文将针对传统反制技术和Rogue AP定位技术进行简述，希望可以给大家在无线办公网安全方案设计中带来一些帮助。

Rogue AP检测技术
无线网络环境中进行Rogue AP检测技术，主要通过一台专用探测AP或者混合形式AP捕捉空气介质中的无线信标帧来进行分辨。

实现流程是探测AP会发送广播探查报文，收到探查请求报文的设备将进行响应，探测AP根据空气中捕获的报文以及响应报文就可以分辨周围的设备类型。

此外，探测AP还可制定非法设备检测规则，对周围无线网络环境进行实时监控。

目前可以识别出的设备类型有AP、STA（Station，无线终端）、无线网桥和Ad-hoc设备。

AP识别设备类型的方法是通过监测收集回来的所有802.11报文，根据数据报文的DS域来判断究竟是哪种设备类型：
▲ DS值为0x00，设备类型为AD-HOC
▲ DS值为0x01，设备类型为STA
Rogue AP判断流程
AP将收集到的设备信息定期上报AC（Access Controller，无线控制器）。

AC通过监测结果判断该设备是否为非法设备，主要识别分类可以归纳为接入点和无线终端两大类。

下面使用两个流程图分别说明非法接入点和非法终端的判定规则：
▲ Rogue AP判断规则流程
▲ Rogue station判断规则流程
Rogue AP反制技术
经过以上两个步骤确认该无线设备为Rogue AP后，无线控制器根据开启对应反制模式进行反制，反制动作就是探测AP 在检测到Rogue AP设备信息后，探测AP模拟非法AP的射频卡BSSID（Basic Service Set Identifier，基本服务单元标识符）地址发送解认证或者解关联报文。

关联到非法AP上的无线终端收到这些报文后，认为是非法AP要主动断开连接，无线终端经过几次反制后就不再关联到非法AP设备上了。

具体流程如下图：
▲ 反制过程图例
反制模式可以基于信道、设备类型、SSID名称和手动配置指定BSSID或MAC等方式，根据无线网络实际环境及实际需求进行选择定义。

反制效果进阶方案
传统无线反制技术可以满足一部分非法信号反制，但也存在一些局限性，无法做到Rogue AP或者非法用户定位，只能通过探测AP布放位置进行大概评估范围，给办公网运维带来很大不便。

同时随着技术发展，部分员工出于自己使用方便或建私网的目的，可能将普通家用路由器插入到公司内网有线网口中并释放私设Wi-Fi 信号；另一方面，当前市面上360Wi-Fi、猎豹Wi-Fi等第三方软AP非常普遍，员工不经意间可能就将内网共享出去了。

这些行为无疑将暴露公司内网，攻击者很可能连上私设Wi-Fi 信号，并扫描内网服务器端口，窃取内网信息。

▲ 员工造成内网泄露
针对以上传统无线反制技术的局限性，可通过无线安全雷达功能，配合创新性硬件架构，完成24小时全方位射频安全检测和保护，通过精细化信号分类算法，让客户无线网络环境清晰可见，无线安全尽在掌握。

▲ 无线安全雷达功能
针对解决普通家用路由器插入到公司内网有线口中并释放私设Wi-Fi 信号的问题，无线安全雷达可通过采集无线网络中的Wi-Fi 信号，结合大数据分析，实时构建私设Wi-Fi的信号画像，再通过SNMP（Simple Network Management Protocol，简单网络管理协议）
协议调取交换机上MAC地址等信息进行比对，可以准确定位出该信号是由哪个交换机端口的无线路由器所释放，再配合告警功能完成非法无线AP及时告警及去除。

针对解决第三方软AP释放信号的问题，安全雷达先采集无线网络中的Wi-Fi 信号，根据非法BSSID值与现网中所有终端无线网卡MAC地址进行大数据分析，对比出类似MAC，再配合认证系统中注册的用户名密码匹配的MAC，对非法第三方软AP释放出的人员信息进行定位。

因此在传统无线反制基础上增加针对Rogue设备的定位技术，给IT人员提供了很好的私设Wi-Fi定位管理方法，大大降低因员工不经意间搭建的私设Wi-Fi而导致内网暴露的安全风险，同时对于恶意攻击者也起到了很好的攻击举证、风险管控和震慑效果。