WIDS 技术白皮书(20121010)

WIDS 技术白皮书目录1.主要技术介绍 (2)2.关键功能特性介绍 (2)2.1802.11报文泛洪攻击检测 (2)2.2D O S攻击防御机制 (2)2.3帧过滤（F RAME F ILTERING） (3)2.4用户隔离 (3)2.5ARP抑制 (3)2.6对非法AP进行反制 (3)3.AP入网安全检测及CLIENT安全策略 (3)4.典型应用 (6)4.1WIDS应用 (6)4.2用户安全隔离部署 (7)【摘要】WLAN网络部署在采用相应智能部署技术后，网络整体安装便捷、使用灵活、经济节约和易于扩展等有线网络无法比拟的优点，因此得到越来越广泛的使用；但由于WLAN信道开放的特点，使得无线网络很容易受到各种网络威胁的影响，如未经授权的AP 用户、Ad-hoc 网络、泛洪攻击等等。

WIDS（Wireless Intrusion Detection System）用于对有恶意的用户攻击和入侵无线网络的行为进行早期检测，在不损害无线网络性能的前提下，帮助网络运维人员主动发现网络中存在的安全隐患，在第一时间对无线攻击者进行主动防御和预警，从而更好的保证无线网络环境的安全。

【关键词】无线交换机、无线接入点、防攻击检测、安全隔离、安全策略、非法接入【缩略语】1. 主要技术介绍WIDS用于对有恶意的用户攻击和入侵无线网络的行为进行早期检测，首先由AP实时监测周边的射频环境，包括邻居Client和AP的信息，并将监测到的信息周期性上报给WNC，WNC分析射频扫描报告中的邻居信息，根据网络管理员制定的非法设备检测规则，对整个WLAN 网络中的异常设备进行监视。

在无线网络中，AP的RF Scan模式可以配置两种模式：Active和Sentry模式：1、处于Active模式的Radio正常处理用户流量，只是在设定的间隔时间内周期性的扫描监测信息，但它只能检测自己的工作频段，例如2.4G或5G。

2、处于Sentry模式的Radio不处理用户流量，专职于射频扫描工作，且同时监测2.4G和5G频段内的所有信道，因此它能够更加全面、准确、迅速的得到射频信息。

所以有些威胁只能是由Sentry Mode上报的射频扫描报告才能检测出来。

WNC根据AP上报的射频扫描信息与网络管理员事先配置好的网络非法设备检测规则的比对结果来判断射频扫描到的网络设备是否为Rogue，若设备被判定为Rogue，则将该设备添加到对应的Rogue列表并采取一定的防护和报警措施。

2. 关键功能特性介绍为了维护无线网络环境的安全性，设备主要支持以下几种大类的检测和防护措施。

2.1 802.11报文泛洪攻击检测泛洪攻击（Flooding 攻击）是指WLAN 设备会在短时间内接收到大量的同种类型的报文。

此时WLAN设备会被泛洪的攻击报文淹没而无法处理真正的无线终端的报文。

WIDS 攻击检测通过持续监听每台设备的流量大小来预防这种泛洪攻击。

当流量超出可容忍的上限时，该设备将被认定要在网络内泛洪从而被锁定，此时如果使能了动态黑名单，检查到的攻击设备将被加入动态黑名单。

WIDS 支持下列报文的泛洪攻击检测：认证请求/解除认证请求（Authentication / De-authentication）；探查请求（Probe request）。

2.2 DoS攻击防御机制DoS（Denial of Service），拒绝服务。

DoS攻击是网络上一种简单但很有效的破坏性攻击手段，服务器会由于不停地处理攻击者的数据包，从而正常用户发送的数据包会被丢弃，得不到处理，从而造成了服务器的拒绝服务，更严重的会导致服务器敏感数据泄漏。

主要攻击手段有Ping of Death、SYN Flood等。

DoS攻击防御机制是指利用协议检查来防范DoS攻击的安全应用，协议检查允许用户基于给定条件丢弃满足条件的报文。

2.3 帧过滤（Frame Filtering）帧过滤用于在AP上过滤帧，这些被过滤掉的帧是不需要处理的，帧过滤维护三种类型的列表。

Whitelist（白名单列表）：该列表包含终端设备的MAC 地址。

处于该列表中的帧可以做进一步的处理，该列表由用户配置。

Static Blacklist（静态黑名单列表）：该列表包含将被丢弃的帧的终端设备的MAC 的地址，该列表由用户配置。

Dynamic Blacklist（动态黑名单列表）：该列表包含将被丢弃的帧的终端设备的MAC 的地址。

当检测到某个终端设备发送泛洪报文从而引起网络拥塞时，通过WIDS 动态添加黑名单列表。

2.4 用户隔离可运营的WLAN网络中，用户之间是互不信任的，所以必须采用用户隔离技术防止用户之间的互相攻击或窃听。

同时，如果用户利用局域网互相访问和传递数据，也会占用网络资源，致使网络拥塞，因此在某些场合也必须采用用户隔离禁止用户间互相访问。

具体策略如下：（1）AP内部采用MAC互访控制原理隔离用户。

确保同一AP下的用户不能二层相通，只能与上行口相通。

（2）AP之间采用MAC地址访问控制或组网汇聚设备二层隔离技术如VLAN/PVLAN/PVC进行隔离，保证不同AP下的用户不能直接相通。

（3）AC通过ACL控制用户的三层互控访问。

2.5 ARP抑制AP中的ARP抑制功能是利用ARP Snooping和DHCP/BOOTP Snooping功能，记录本地所有Authenticated Clients的IP和Mac映射表，通过ARP广播变单播或ARP代理的方式，减少空口的ARP 广播报文，以节省Client的电力。

2.6 对非法AP进行反制在检测到Rogue AP后，如果开启了Rogue AP反制功能，WNC 将攻击列表发送给Managed AP，由Managed AP对Rogue 设备采取措施。

启动反制措施后，Sentry Mode的Radio假冒Client发送解认证消息给Rogue AP，而Active Mode的Radio会发送解认证消息给关联到Rogue AP的Client，以解除Rogue AP和Client的连接。

3. AP入网安全检测及Client安全策略WIDS为用户的无线网络提供安全保障的同时也具有检测规则配置灵活、方便的特点。

我们为网络中的AP设备提供了11种安全检测策略，为接入网络的client提供了7种安全检测策略，用户可以根据自己的需要和网络的实际情况方便、快捷地为无线网络配置安全检测策略。

提供的安全检测策略如下：AP的安全检测策略：1、网管设置的非法AP（Administrator configured rogue AP）：根据Neighor AP的Mac地址查询RF 查询本地或Radius服务器的Valid-AP数据库，如果数据库中设置为Rogue，则AP为Rogue AP。

2、非法AP假冒合法的SSID （Managed SSID from an unknown AP）：根据SSID查询系统中的网络配置得到SSID的合法性，如果AP是非Managed，而SSID是Managed，则认定为威胁。

3、Beacon帧中没有Vendor字段（Managed SSID received from a fake managed AP）：如果射频扫描报告中Neighbor AP信息字段的AP MAC为00:00:00，则认定为威胁4、Beacon帧中没有SSID字段（Beacon Received from a Fake AP without an SSID）：解析射频扫描报告中的邻居AP信息字段，如果SSID字段为空，则检测为威胁。

5、在错误信道接收到managed AP的Beacon帧（Beacon Received From a Fake managed AP on an invalid channel）：如果在错误信道接收到managed AP的Beacon帧，检测为威胁。

6、AP使用了错误的安全认证方式（Managed SSID detected with incorrect security configuration）：如果AP的beacon帧中携带的安全认证方式和WNC Controller中记录的AP配置不一致，检测为威胁。

7、Managed AP发送无效的SSID （Invalid SSID Received from a managed AP）：根据Neighor AP 的Mac地址查询AP状态表得到AP状态，根据SSID查询系统中的网络配置得到SSID的合法性，如果AP是Managed，而SSID非是Managed，则认定为威胁。

8、AP工作在非法信道（AP is operating on an illegal channel）：据国家码的设置，AP有其合法的工作信道范围，如果扫描到的工作信道不在这个范围内，则检测为威胁。

9、合法的胖AP配置错误（Known Standalone AP with unexpected configuration）：如果邻居AP扫描的配置和WNC Controller上保存的配置不一致，检测为威胁。

10、AP工作在WDS模式（AP is Operating as a WDS Device）：如果状态处于Managed或Unkown 的AP工作在WDS模式，检测为威胁。

11、Unmanaged AP接入有线网络（Unmanaged AP detected on wired network）：如果AP的状态是Unkonwn且被检测到连接在有线网络上，则检测为威胁。

上面给出了用户可以在WNC 上配置的11种AP安全检测策略，如果用户在控制器上开启了这些安全检测策略的开关，若网络中存在Rouge AP，则WNC 根据射频扫描报告和AP的安全检测策略将AP判定为Rouge，并记录到WIDS安全日志中，同时发送Trap消息通知网络管理员，网络中存在Rouge AP；如果在WNC上开启了AP的反制功能，则会对网络中Rouge AP进行反制，但以下三种情况的Rouge AP除外：AP的Mac地址为Managed AP Mac（不管是假冒的还是实际的）、AP工作在ad-hoc模式和AP工作在非法信道上。

Client的安全检测策略：1、OUI不合法（Not Present in OUI Database Test）：如果Client的Mac地址OUI字段在OUI表中没有符合项的话，检测为威胁。

2、Known Client Database判定非法Client（Not Present in Known Client Database Test）：Known Client Database中有对应客户端条目，且设置为通过（grant），则客户合法；Known Client Database中有对应客户端条目，且设置为拒绝(denied)，则客户不合法；Known Client Database中有对应客户端条目，且设置为通用（global action），则需要看系统配置：如果配置成执行白名单，则合法；如果配置成执行黑名单，则不合法；Known Client Database中没有对应客户端条目，则需要看系统配置：如果配置成执行白名单，则不合法；如果配置成执行黑名单，则合法；若Client不合法，检测为威胁。