Технология защиты WLAN

Пока утверждается протокол 802.11i и создаются новые средства защиты, администраторам безопасности следует как минимум "изучать врага". Но уже есть и адекватные средства защиты. Так, естественным завершением исследования безопасности WLAN, проведенного AirDefense, стало предложенное компанией решение, которое обнаруживает уязвимые места WLAN, усиливает их защиту, а также выявляет и предотвращает вторжения извне. Пока это единственное в отрасли решение. В настоящее время созданная в компании AirDefense технология обеспечения безопасности WLAN, которая объединяет возможности мультинаправленного обнаружения вторжений и уязвимостей на основе политик безопасности с постоянным всеобъемлющим мониторингом, находится в процессе патентования.

Продукт AirDefense - это система управления и защиты от вторжений в беспроводную сеть, которая обнаруживает уязвимости сети, выявляет и защищает ее от внешних воздействий и атак на основе политики безопасности и помогает управлять WLAN, отслеживая ее производительность.

В систему AirDefense входят распределенные датчики и серверные приложения (рис. 7). Первые располагаются вблизи точек доступа, проводя мониторинг работы WLAN и отсылая отчеты серверным приложениям, которые анализируют трафик в реальном времени. Удаленные датчики, управление которыми осуществляется централизованно, охватывают примерно 3700 кв. м офисного пространства, обеспечивая мониторинг WLAN в формате 24x7. Серверные приложения анализируют трафик в реальном времени, выявляя развернутые, но не зарегистрированные сегменты WLAN, вторжения и возможные угрозы, и формируют механизмы отражения атаки, указывая на изменения в деталях конфигурации и нарушения политики безопасности. Это ПО ведет постоянный мониторинг беспроводной сети, выявляя также и неисправности.

Рис. 7. Так работает решение защиты от AirDefense.

Для анализа состояния сети система AirDefense использует фирменный механизм - State-Analysis Engine (SAE), который вычисляет корреляцию полученных данных с помощью средств мультинаправленного обнаружения (Multi-Dimensional Detection Engine, MDDE) и определяет риски нарушения защиты.

Благодаря поминутному контролю всего беспроводного трафика любое вторжение немедленно распознается, атаки быстро обнаруживаются, а значит, могут быть приняты соответствующие меры по защите сети. В основе системы MDDE лежит несколько технологий, разработанных специалистами компании специально для сетей 802.11х, работающих на уровнях 1 и 2 этих протоколов.

Обычный недостаток большинства систем обнаружения - ошибочные срабатывания, поскольку в них почти всегда задействована только одна технология обнаружения (как правило, идентификация атак). AirDefense создала механизм мультинаправленного обнаружения, выявляющий реальные угрозы на основе корреляции данных, что существенно снижает число ошибочных срабатываний. При анализе используются сигнатуры, набор правил политики безопасности, установки протокола и статистические данные аномальной работы сети.

При определении вторжения или атаки система дает команду атакованной точке доступа разорвать злонамеренное соединение. При выявлении нарушений политики безопасности в какой-то точке доступа система выполняет ее переконфигурирование.

Автоматизированный радиомониторинг всего трафика позволяет обнаружить жульнические точки доступа и уязвимости сети сразу же по их возникновении. Заметим, что хотя упомянутое выше ПО NetStumbler или Kismet тоже можно использовать для данной цели, но при этом сетевой администратор должен физически обойти всю зону охвата WLAN, чтобы считать данные со сканеров. Кроме того, ему приходится самостоятельно интерпретировать эти данные, что требует немалого времени. Да и эффективность такого способа ограничена - на предмет угроз анализируется только определенная выборка радиоэфира, а после сканирования могут возникнуть новые мошеннические точки доступа и новые уязвимости, которые не будут обнаружены до следующей проверки сети администратором.

Что касается несанкционированных подключений, то при выявлении инцидента система способна отключить устройство от неавторизованных точек доступа, а точки доступа - от базовой сети.

Мониторинг радиоканалов позволяет обнаружить ложные MAC-адреса, анализируя их на уникальность или по "отпечаткам пальцев" производителей карт доступа. Идентификация MiM-атак базируется на уже известных сигнатурах и неправильном использовании протоколов, когда хакер заставляет точку доступа и станцию изменить установленные протоколы для подключения и аутентификации.

Дата добавления: 2014-01-13