- 相關推薦
無線局域網入侵檢測現狀和要點
隨著無線技術和網絡技術的發展，無線網絡正成為市場熱點，其中無線局域網（WLAN）正廣泛應用于大學校園、各類展覽會、公司內部乃至家用網絡等場合。但是，由于無線網絡的特殊性，攻擊者無須物理連線就可以對其進行攻擊，使WLAN的安全問題顯得尤為突出。對于大部分公司來說，WLAN通常置于防火墻后，黑客一旦攻破防火墻就能以此為跳板，攻擊其他內部網絡，使防火墻形同虛設。與此同時，由于WLAN國家標準WAPI的無限期推遲，IEEE 802.11網絡仍將為市場的主角，但因其安全認證機制存在極大安全隱患，無疑讓WLAN的安全狀況雪上加霜。因此，采用入侵檢測系統（IDS——intrusion detection system）來加強WLAN的安全性將是一種很好的選擇。盡管入侵檢測技術在有線網絡中已得到認可，但由于無線網絡的特殊性，將其應用于WLAN尚需進一步研究，本文通過分析WLAN的特點，提出可以分別用于有接入點模式WLAN和移動自組網模式WLAN的兩種入侵檢測模型架構。
上面簡單描述了WLAN的技術發展及安全現狀。本文主要介紹入侵檢測技術及其應用于WLAN時的特殊要點，給出兩種應用于不同架構WLAN的入侵檢測模型及其實用價值。需要說明的是，本文研究的入侵檢測主要針對采用射頻傳輸的IEEE802.11a/b/g WLAN，對其他類型的WLAN同樣具有參考意義。
1、WLAN概述
1.1 WLAN的分類及其國內外發展現狀
對于WLAN，可以用不同的標準進行分類。根據采用的傳播媒質，可分為光WLAN和射頻WLAN。光WLAN采用紅外線傳輸，不受其他通信信號的干擾，不會被穿透墻壁偷聽，而早發射器的功耗非常低；但其覆蓋范圍小，漫射方式覆蓋16m，僅適用于室內環境，最大傳輸速率只有4 Mbit/s，通常不能令用戶滿意。由于光WLAN傳送距離和傳送速率方面的局限，現在幾乎所有的WLAN都采用另一種傳輸信號——射頻載波。射頻載波使用無線電波進行數據傳輸，IEEE 802.11采用2.4GHz頻段發送數據，通常以兩種方式進行信號擴展，一種是跳頻擴頻（FHSS）方式，另一種是直接序列擴頻（DSSS）方式。最高帶寬前者為3 Mbit/s，后者為11Mbit/s，幾乎所有的WLAN廠商都采用DSSS作為網絡的傳輸技術。 根據WLAN的布局設計，通常分為基礎結構模式WLAN和移動自組網模式WLAN兩種。前者亦稱合接入點（AP）模式，后者可稱無接入點模式。分別如圖1和圖2所示。
1.2 WLAN中的安全問題 WLAN的流行主要是由于它為使用者帶來方便，然而正是這種便利性引出了有線網絡中不存在的安全問題。比如，攻擊者無須物理連線就可以連接網絡，而且任何人都可以利用設備竊聽到射頻載波傳輸的廣播數據包。因此，著重考慮的安全問題主要有：
a）針對IEEE 802.11網絡采用的有線等效保密協議（WEP）存在的漏洞，進行破解攻擊。
b）惡意的媒體訪問控制（MAC）地址偽裝，這種攻擊在有線網中同樣存在。
C）對于含AP模式，攻擊者只要接入非授權的假冒AP，就可登錄欺騙合法用戶。
d）攻擊者可能對AP進行泛洪攻擊，使AP拒絕服務，這是一種后果嚴重的攻擊方式。此外，對移動自組網模式內的某個節點進行攻擊，讓它不停地提供服務或進行數據包轉發，使其能源耗盡而不能繼續工作，通常稱為能源消耗攻擊。
e）在移動自組網模式的局域網內，可能存在惡意節點，惡意節點的存在對網絡性能的影響很大。
2、入侵檢測技術及其在WLAN中的應用
IDS可分為基于主機的入侵檢修系統（HIDS）和基于網絡的入侵檢測系統（NIDS）。HIDS采用主機上的文件（特別是日志文件或主機收發的網絡數據包）作為數據源。HIDS最早出現于20世紀80年代初期，當時網絡拓撲簡單，入侵相當少見，因此側重于對攻擊的事后分析。現在的HIDS仍然主要通過記錄驗證，只不過自動化程度提高，且能做到精確檢測和快速響應，并融入文件系統保護和監聽端口等技術。與HIDS不同，NIDS采用原始的網絡數據包作為數據源，從中發現入侵跡象。它能在不影響使用性能的情況下檢測入侵事件，并對入侵事件進行響應。分布式網絡IDS則把多個檢測探針分布至多個網段，最后通過對各探針發回的信息進行綜合分析來檢測入侵，這種結構的優點是管理起來簡單方便，單個探針失效不會導致整個系統失效，但配置過程復雜。基礎結構模式入侵檢測模型將采用這種分布式網絡檢測方法，而對于移動自組網模式內的入侵檢測模型將采用基于主機的入侵檢測模型。
當前，對WLAN的入侵檢測大都處于試驗階段，比如開源入侵檢測系統Snort發布的Snort－wire－less測試版，增加了Wifi協議字段和選項關鍵字，采用規則匹配的方法進行入侵檢測，其AP由管理員手工配置，因此能很好地識別非授權的假冒AP，在擴展AP時亦需重新配置。但是，由于其規則文件無有效的規則定義，使檢測功能有限，而且不能很好地檢測MAC地址偽裝和泛洪拒絕服務攻擊。2003年下半年，IBM提出WLAN入侵檢測方案，采用無線感應器進行監測，該方案需要聯入有線網絡，應用范圍有限而且系統成本昂貴，要真正市場化、實用化尚需時日。此外，作為概念模型設計的WIDZ系統實現了AP監控和泛洪拒絕服務檢測，但它沒有一個較好的體系架構，存在局限性。
在上述基礎上，我們提出一種基于分布式感應器的網絡檢測模型框架，對含AP模式的WLAN進行保護。對于移動自組網模式的WLAN，則由于網絡中主機既要收發本機的數據，又要轉發數據（這些都是加密數據），文獻提出了采用異常檢測法對路由表更新異常和其他層活動異常進行檢測，但只提供了模型，沒有實現。此外，我們分析了移動自組網模式中惡意節點對網絡性能的影響，并提出一種基于聲譽評價機制的安全協議，以檢測惡意節點并盡量避開惡意節點進行路由選擇，其中惡意節點的檢測思想值得借鑒。Snort－wireless可以作為基于主機的入侵檢測，我們以此為基礎提出一種應用于移動自組網入侵檢測的基于主機的入侵檢測模型架構。
3、WLAN中的入侵檢測模型架構
在含AP模式中，可以將多個WLAN基本服務集（BSS）擴展成擴展服務集（ESS），甚至可以組成一個大型的WLAN。這種網絡需要一種分布式的檢測框架，由中心控制臺和監測代理組成，如圖3所示。
網絡管理員中心控制臺配置檢測代理和瀏覽檢測結果，并進行關聯分析。監測代理的作用是監聽無線數據包、利用檢測引擎進行檢測、記錄警告信息，并將警告信息發送至中心控制臺。
由此可見，監測代理是整個系統的核心部分，根據網絡布線與否，監測代理可以采用兩種模式：一種是使用1張無線網卡再加1張以大網卡，無線網卡設置成“雜湊”模式，監聽所有無線數據包，以太網卡則用于與中心服務器通信；另一種模式是使用2張無線網卡，其中一張網卡設置成“雜湊”模式，另一張則與中心服務器通信。
分組捕獲完成后，將信息送至檢測引擎進行檢測，目前最常用的IDS主要采用的檢測方法是特征匹配，即把網絡包數據進行匹配，看是否有預先寫在規則中的“攻擊內容”或特征。盡管多數IDS的匹配算法沒有公開，但通常都與著名的開源入侵檢測系統Snort的多模檢測算法類似。另一些IDS還采用異常檢測方法（如Spade檢測引擎等），通常作為一種補充方式。無線網絡傳輸的是加密數據，因此，該系統需要重點實現的部分由非授權AP的檢測。通常發現入侵之后，監測代理會記錄攻擊特征，并通過安全通道（采用一定強度的加密算法加密，有線網絡通常采用安全套接層（SSL）協議，無線網絡通常采用無線加密協議（WEP））將告警信息發給中心控制臺進行顯示和關聯分析等，并由控制臺自動響應（告警和干擾等），或由網絡管理員采取相應措施。
在移動自組網模式中，每個節點既要收發自身數據，又要轉發其他節點的數據，而且各個節點的傳輸范圍受到限制，如果在該網絡中存在或加入惡意節點，網絡性能將受到嚴重影響。惡意節點的攻擊方式可以分為主動性攻擊和自私性攻擊。主動性攻擊是指節點通過發送錯誤的路由信息、偽造或修改路由信息等方式，對網絡造成干擾；自私性攻擊是指網絡中的部分節點可能因資源能量和計算能量等緣故，不愿承擔其他節點的轉發任務所產生的干擾。因此，對惡意節點的檢測并在相應的路由選擇中避開惡意節點，也是該類型WLAN需要研究的問題。
我們的檢測模型建立在HIDS上，甚至可以實現路由協議中的部分安全機制，如圖4所示。
當數據包到達主機后，如果屬于本機數據，數據包將被解密，在將它遞交給上層之前，先送至基于主機的誤用檢測引擎進行檢測，根據檢測結果，對正常數據包放行，對攻擊數據包則進行記錄，并根據響應策略進行響應。此外，還可以在誤用檢測模型的基礎上輔以異常檢測引擎，根據以往的研究成果，可以在網絡層或應用層上進行，也可以將其做入路由協議中，以便提高檢測速度和檢測效率。
4、結束語
傳統的入侵檢測系統已不能用于WLAN，而WLAN內入侵檢測系統的研究和實現才剛剛起步。本文分析了WLAN的特點及其存在的安全問題，提出了兩種入侵檢測系統架構，可以分別用于基礎結構模式WLAN和移動自組網模式WLAN，具有實用價值。基礎結構模式WLAN采用分布式網絡入侵檢測，可用于大型網絡；移動自組網中采用基于主機的入侵檢測系統，用于檢測異常的節點活動和發現惡意節點。需要進一步研究的問題有：在框架上實現原型系統來驗證其有效性；在加密的網絡環境中更加有效地進行入侵檢測。
【無線局域網入侵檢測現狀和要點】相關文章：
無線局域網及應用08-06
入侵檢測概念、過程分析和布署08-05
無線局域網技術概述08-06
基于手機無線局域網的架構與應用08-06
應用藍牙技術組建無線局域網08-06
光纖擾動入侵檢測系統的設計與實現08-06
現代無線通信技術的發展現狀08-18
《鴻門宴》知識要點與能力檢測08-16
《花未眠》知識要點及能力檢測08-16