- 相關(guān)推薦
無線局域網(wǎng)入侵檢測(cè)現(xiàn)狀和要點(diǎn)
隨著無線技術(shù)和網(wǎng)絡(luò)技術(shù)的發(fā)展，無線網(wǎng)絡(luò)正成為市場(chǎng)熱點(diǎn)，其中無線局域網(wǎng)（WLAN）正廣泛應(yīng)用于大學(xué)校園、各類展覽會(huì)、公司內(nèi)部乃至家用網(wǎng)絡(luò)等場(chǎng)合。但是，由于無線網(wǎng)絡(luò)的特殊性，攻擊者無須物理連線就可以對(duì)其進(jìn)行攻擊，使WLAN的安全問題顯得尤為突出。對(duì)于大部分公司來說，WLAN通常置于防火墻后，黑客一旦攻破防火墻就能以此為跳板，攻擊其他內(nèi)部網(wǎng)絡(luò)，使防火墻形同虛設(shè)。與此同時(shí)，由于WLAN國家標(biāo)準(zhǔn)WAPI的無限期推遲，IEEE 802.11網(wǎng)絡(luò)仍將為市場(chǎng)的主角，但因其安全認(rèn)證機(jī)制存在極大安全隱患，無疑讓W(xué)LAN的安全狀況雪上加霜。因此，采用入侵檢測(cè)系統(tǒng)（IDS——intrusion detection system）來加強(qiáng)WLAN的安全性將是一種很好的選擇。盡管入侵檢測(cè)技術(shù)在有線網(wǎng)絡(luò)中已得到認(rèn)可，但由于無線網(wǎng)絡(luò)的特殊性，將其應(yīng)用于WLAN尚需進(jìn)一步研究，本文通過分析WLAN的特點(diǎn)，提出可以分別用于有接入點(diǎn)模式WLAN和移動(dòng)自組網(wǎng)模式WLAN的兩種入侵檢測(cè)模型架構(gòu)。
上面簡(jiǎn)單描述了WLAN的技術(shù)發(fā)展及安全現(xiàn)狀。本文主要介紹入侵檢測(cè)技術(shù)及其應(yīng)用于WLAN時(shí)的特殊要點(diǎn)，給出兩種應(yīng)用于不同架構(gòu)WLAN的入侵檢測(cè)模型及其實(shí)用價(jià)值。需要說明的是，本文研究的入侵檢測(cè)主要針對(duì)采用射頻傳輸?shù)腎EEE802.11a/b/g WLAN，對(duì)其他類型的WLAN同樣具有參考意義。
1、WLAN概述
1.1 WLAN的分類及其國內(nèi)外發(fā)展現(xiàn)狀
對(duì)于WLAN，可以用不同的標(biāo)準(zhǔn)進(jìn)行分類。根據(jù)采用的傳播媒質(zhì)，可分為光WLAN和射頻WLAN。光WLAN采用紅外線傳輸，不受其他通信信號(hào)的干擾，不會(huì)被穿透墻壁偷聽，而早發(fā)射器的功耗非常低；但其覆蓋范圍小，漫射方式覆蓋16m，僅適用于室內(nèi)環(huán)境，最大傳輸速率只有4 Mbit/s，通常不能令用戶滿意。由于光WLAN傳送距離和傳送速率方面的局限，現(xiàn)在幾乎所有的WLAN都采用另一種傳輸信號(hào)——射頻載波。射頻載波使用無線電波進(jìn)行數(shù)據(jù)傳輸，IEEE 802.11采用2.4GHz頻段發(fā)送數(shù)據(jù)，通常以兩種方式進(jìn)行信號(hào)擴(kuò)展，一種是跳頻擴(kuò)頻（FHSS）方式，另一種是直接序列擴(kuò)頻（DSSS）方式。最高帶寬前者為3 Mbit/s，后者為11Mbit/s，幾乎所有的WLAN廠商都采用DSSS作為網(wǎng)絡(luò)的傳輸技術(shù)。 根據(jù)WLAN的布局設(shè)計(jì)，通常分為基礎(chǔ)結(jié)構(gòu)模式WLAN和移動(dòng)自組網(wǎng)模式WLAN兩種。前者亦稱合接入點(diǎn)（AP）模式，后者可稱無接入點(diǎn)模式。分別如圖1和圖2所示。
1.2 WLAN中的安全問題 WLAN的流行主要是由于它為使用者帶來方便，然而正是這種便利性引出了有線網(wǎng)絡(luò)中不存在的安全問題。比如，攻擊者無須物理連線就可以連接網(wǎng)絡(luò)，而且任何人都可以利用設(shè)備竊聽到射頻載波傳輸?shù)膹V播數(shù)據(jù)包。因此，著重考慮的安全問題主要有：
a）針對(duì)IEEE 802.11網(wǎng)絡(luò)采用的有線等效保密協(xié)議（WEP）存在的漏洞，進(jìn)行破解攻擊。
b）惡意的媒體訪問控制（MAC）地址偽裝，這種攻擊在有線網(wǎng)中同樣存在。
C）對(duì)于含AP模式，攻擊者只要接入非授權(quán)的假冒AP，就可登錄欺騙合法用戶。
d）攻擊者可能對(duì)AP進(jìn)行泛洪攻擊，使AP拒絕服務(wù)，這是一種后果嚴(yán)重的攻擊方式。此外，對(duì)移動(dòng)自組網(wǎng)模式內(nèi)的某個(gè)節(jié)點(diǎn)進(jìn)行攻擊，讓它不停地提供服務(wù)或進(jìn)行數(shù)據(jù)包轉(zhuǎn)發(fā)，使其能源耗盡而不能繼續(xù)工作，通常稱為能源消耗攻擊。
e）在移動(dòng)自組網(wǎng)模式的局域網(wǎng)內(nèi)，可能存在惡意節(jié)點(diǎn)，惡意節(jié)點(diǎn)的存在對(duì)網(wǎng)絡(luò)性能的影響很大。
2、入侵檢測(cè)技術(shù)及其在WLAN中的應(yīng)用
IDS可分為基于主機(jī)的入侵檢修系統(tǒng)（HIDS）和基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)（NIDS）。HIDS采用主機(jī)上的文件（特別是日志文件或主機(jī)收發(fā)的網(wǎng)絡(luò)數(shù)據(jù)包）作為數(shù)據(jù)源。HIDS最早出現(xiàn)于20世紀(jì)80年代初期，當(dāng)時(shí)網(wǎng)絡(luò)拓?fù)浜?jiǎn)單，入侵相當(dāng)少見，因此側(cè)重于對(duì)攻擊的事后分析�，F(xiàn)在的HIDS仍然主要通過記錄驗(yàn)證，只不過自動(dòng)化程度提高，且能做到精確檢測(cè)和快速響應(yīng)，并融入文件系統(tǒng)保護(hù)和監(jiān)聽端口等技術(shù)。與HIDS不同，NIDS采用原始的網(wǎng)絡(luò)數(shù)據(jù)包作為數(shù)據(jù)源，從中發(fā)現(xiàn)入侵跡象。它能在不影響使用性能的情況下檢測(cè)入侵事件，并對(duì)入侵事件進(jìn)行響應(yīng)。分布式網(wǎng)絡(luò)IDS則把多個(gè)檢測(cè)探針分布至多個(gè)網(wǎng)段，最后通過對(duì)各探針發(fā)回的信息進(jìn)行綜合分析來檢測(cè)入侵，這種結(jié)構(gòu)的優(yōu)點(diǎn)是管理起來簡(jiǎn)單方便，單個(gè)探針失效不會(huì)導(dǎo)致整個(gè)系統(tǒng)失效，但配置過程復(fù)雜�；A(chǔ)結(jié)構(gòu)模式入侵檢測(cè)模型將采用這種分布式網(wǎng)絡(luò)檢測(cè)方法，而對(duì)于移動(dòng)自組網(wǎng)模式內(nèi)的入侵檢測(cè)模型將采用基于主機(jī)的入侵檢測(cè)模型。
當(dāng)前，對(duì)WLAN的入侵檢測(cè)大都處于試驗(yàn)階段，比如開源入侵檢測(cè)系統(tǒng)Snort發(fā)布的Snort－wire－less測(cè)試版，增加了Wifi協(xié)議字段和選項(xiàng)關(guān)鍵字，采用規(guī)則匹配的方法進(jìn)行入侵檢測(cè)，其AP由管理員手工配置，因此能很好地識(shí)別非授權(quán)的假冒AP，在擴(kuò)展AP時(shí)亦需重新配置。但是，由于其規(guī)則文件無有效的規(guī)則定義，使檢測(cè)功能有限，而且不能很好地檢測(cè)MAC地址偽裝和泛洪拒絕服務(wù)攻擊。2003年下半年，IBM提出WLAN入侵檢測(cè)方案，采用無線感應(yīng)器進(jìn)行監(jiān)測(cè)，該方案需要聯(lián)入有線網(wǎng)絡(luò)，應(yīng)用范圍有限而且系統(tǒng)成本昂貴，要真正市場(chǎng)化、實(shí)用化尚需時(shí)日。此外，作為概念模型設(shè)計(jì)的WIDZ系統(tǒng)實(shí)現(xiàn)了AP監(jiān)控和泛洪拒絕服務(wù)檢測(cè)，但它沒有一個(gè)較好的體系架構(gòu)，存在局限性。
在上述基礎(chǔ)上，我們提出一種基于分布式感應(yīng)器的網(wǎng)絡(luò)檢測(cè)模型框架，對(duì)含AP模式的WLAN進(jìn)行保護(hù)。對(duì)于移動(dòng)自組網(wǎng)模式的WLAN，則由于網(wǎng)絡(luò)中主機(jī)既要收發(fā)本機(jī)的數(shù)據(jù)，又要轉(zhuǎn)發(fā)數(shù)據(jù)（這些都是加密數(shù)據(jù)），文獻(xiàn)提出了采用異常檢測(cè)法對(duì)路由表更新異常和其他層活動(dòng)異常進(jìn)行檢測(cè)，但只提供了模型，沒有實(shí)現(xiàn)。此外，我們分析了移動(dòng)自組網(wǎng)模式中惡意節(jié)點(diǎn)對(duì)網(wǎng)絡(luò)性能的影響，并提出一種基于聲譽(yù)評(píng)價(jià)機(jī)制的安全協(xié)議，以檢測(cè)惡意節(jié)點(diǎn)并盡量避開惡意節(jié)點(diǎn)進(jìn)行路由選擇，其中惡意節(jié)點(diǎn)的檢測(cè)思想值得借鑒。Snort－wireless可以作為基于主機(jī)的入侵檢測(cè)，我們以此為基礎(chǔ)提出一種應(yīng)用于移動(dòng)自組網(wǎng)入侵檢測(cè)的基于主機(jī)的入侵檢測(cè)模型架構(gòu)。
3、WLAN中的入侵檢測(cè)模型架構(gòu)
在含AP模式中，可以將多個(gè)WLAN基本服務(wù)集（BSS）擴(kuò)展成擴(kuò)展服務(wù)集（ESS），甚至可以組成一個(gè)大型的WLAN。這種網(wǎng)絡(luò)需要一種分布式的檢測(cè)框架，由中心控制臺(tái)和監(jiān)測(cè)代理組成，如圖3所示。
網(wǎng)絡(luò)管理員中心控制臺(tái)配置檢測(cè)代理和瀏覽檢測(cè)結(jié)果，并進(jìn)行關(guān)聯(lián)分析。監(jiān)測(cè)代理的作用是監(jiān)聽無線數(shù)據(jù)包、利用檢測(cè)引擎進(jìn)行檢測(cè)、記錄警告信息，并將警告信息發(fā)送至中心控制臺(tái)。
由此可見，監(jiān)測(cè)代理是整個(gè)系統(tǒng)的核心部分，根據(jù)網(wǎng)絡(luò)布線與否，監(jiān)測(cè)代理可以采用兩種模式：一種是使用1張無線網(wǎng)卡再加1張以大網(wǎng)卡，無線網(wǎng)卡設(shè)置成“雜湊”模式，監(jiān)聽所有無線數(shù)據(jù)包，以太網(wǎng)卡則用于與中心服務(wù)器通信；另一種模式是使用2張無線網(wǎng)卡，其中一張網(wǎng)卡設(shè)置成“雜湊”模式，另一張則與中心服務(wù)器通信。
分組捕獲完成后，將信息送至檢測(cè)引擎進(jìn)行檢測(cè)，目前最常用的IDS主要采用的檢測(cè)方法是特征匹配，即把網(wǎng)絡(luò)包數(shù)據(jù)進(jìn)行匹配，看是否有預(yù)先寫在規(guī)則中的“攻擊內(nèi)容”或特征。盡管多數(shù)IDS的匹配算法沒有公開，但通常都與著名的開源入侵檢測(cè)系統(tǒng)Snort的多模檢測(cè)算法類似。另一些IDS還采用異常檢測(cè)方法（如Spade檢測(cè)引擎等），通常作為一種補(bǔ)充方式。無線網(wǎng)絡(luò)傳輸?shù)氖羌用軘?shù)據(jù)，因此，該系統(tǒng)需要重點(diǎn)實(shí)現(xiàn)的部分由非授權(quán)AP的檢測(cè)。通常發(fā)現(xiàn)入侵之后，監(jiān)測(cè)代理會(huì)記錄攻擊特征，并通過安全通道（采用一定強(qiáng)度的加密算法加密，有線網(wǎng)絡(luò)通常采用安全套接層（SSL）協(xié)議，無線網(wǎng)絡(luò)通常采用無線加密協(xié)議（WEP））將告警信息發(fā)給中心控制臺(tái)進(jìn)行顯示和關(guān)聯(lián)分析等，并由控制臺(tái)自動(dòng)響應(yīng)（告警和干擾等），或由網(wǎng)絡(luò)管理員采取相應(yīng)措施。
在移動(dòng)自組網(wǎng)模式中，每個(gè)節(jié)點(diǎn)既要收發(fā)自身數(shù)據(jù)，又要轉(zhuǎn)發(fā)其他節(jié)點(diǎn)的數(shù)據(jù)，而且各個(gè)節(jié)點(diǎn)的傳輸范圍受到限制，如果在該網(wǎng)絡(luò)中存在或加入惡意節(jié)點(diǎn)，網(wǎng)絡(luò)性能將受到嚴(yán)重影響。惡意節(jié)點(diǎn)的攻擊方式可以分為主動(dòng)性攻擊和自私性攻擊。主動(dòng)性攻擊是指節(jié)點(diǎn)通過發(fā)送錯(cuò)誤的路由信息、偽造或修改路由信息等方式，對(duì)網(wǎng)絡(luò)造成干擾；自私性攻擊是指網(wǎng)絡(luò)中的部分節(jié)點(diǎn)可能因資源能量和計(jì)算能量等緣故，不愿承擔(dān)其他節(jié)點(diǎn)的轉(zhuǎn)發(fā)任務(wù)所產(chǎn)生的干擾。因此，對(duì)惡意節(jié)點(diǎn)的檢測(cè)并在相應(yīng)的路由選擇中避開惡意節(jié)點(diǎn)，也是該類型WLAN需要研究的問題。
我們的檢測(cè)模型建立在HIDS上，甚至可以實(shí)現(xiàn)路由協(xié)議中的部分安全機(jī)制，如圖4所示。
當(dāng)數(shù)據(jù)包到達(dá)主機(jī)后，如果屬于本機(jī)數(shù)據(jù)，數(shù)據(jù)包將被解密，在將它遞交給上層之前，先送至基于主機(jī)的誤用檢測(cè)引擎進(jìn)行檢測(cè)，根據(jù)檢測(cè)結(jié)果，對(duì)正常數(shù)據(jù)包放行，對(duì)攻擊數(shù)據(jù)包則進(jìn)行記錄，并根據(jù)響應(yīng)策略進(jìn)行響應(yīng)。此外，還可以在誤用檢測(cè)模型的基礎(chǔ)上輔以異常檢測(cè)引擎，根據(jù)以往的研究成果，可以在網(wǎng)絡(luò)層或應(yīng)用層上進(jìn)行，也可以將其做入路由協(xié)議中，以便提高檢測(cè)速度和檢測(cè)效率。
4、結(jié)束語
傳統(tǒng)的入侵檢測(cè)系統(tǒng)已不能用于WLAN，而WLAN內(nèi)入侵檢測(cè)系統(tǒng)的研究和實(shí)現(xiàn)才剛剛起步。本文分析了WLAN的特點(diǎn)及其存在的安全問題，提出了兩種入侵檢測(cè)系統(tǒng)架構(gòu)，可以分別用于基礎(chǔ)結(jié)構(gòu)模式WLAN和移動(dòng)自組網(wǎng)模式WLAN，具有實(shí)用價(jià)值�；A(chǔ)結(jié)構(gòu)模式WLAN采用分布式網(wǎng)絡(luò)入侵檢測(cè)，可用于大型網(wǎng)絡(luò)；移動(dòng)自組網(wǎng)中采用基于主機(jī)的入侵檢測(cè)系統(tǒng)，用于檢測(cè)異常的節(jié)點(diǎn)活動(dòng)和發(fā)現(xiàn)惡意節(jié)點(diǎn)。需要進(jìn)一步研究的問題有：在框架上實(shí)現(xiàn)原型系統(tǒng)來驗(yàn)證其有效性；在加密的網(wǎng)絡(luò)環(huán)境中更加有效地進(jìn)行入侵檢測(cè)。
【無線局域網(wǎng)入侵檢測(cè)現(xiàn)狀和要點(diǎn)】相關(guān)文章：
無線局域網(wǎng)及應(yīng)用08-06
入侵檢測(cè)概念、過程分析和布署08-05
無線局域網(wǎng)技術(shù)概述08-06
基于手機(jī)無線局域網(wǎng)的架構(gòu)與應(yīng)用08-06
應(yīng)用藍(lán)牙技術(shù)組建無線局域網(wǎng)08-06
光纖擾動(dòng)入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)08-06
現(xiàn)代無線通信技術(shù)的發(fā)展現(xiàn)狀08-18