无线入侵检测和日志系统

抽象性

入侵检测即安全巡查,并成为网络的耳目,提醒潜在漏洞和入侵尝试监控可帮助识别网络问题并识别性能问题,但观察网络中行人次秒数人工搜索攻击是不可能的正因如此,需要专用网络入侵检测软件软件检查所有网络流量 寻找潜在的攻击和入侵无线入侵检测系统无线网络嗅探工具用于安全WLAN并生成报警管理员一出故障WLAN.WIDS试图通过采集分析数据识别计算机系统、网络入侵和误用.WIDS可监控分析用户和系统活动生成报警基于预定义签名或异常流量

关键字

入侵,嗅探工具 WIDS,WLAN安全

I.导 言

无线入侵检测系统无线网络嗅探工具用于安全WLAN并生成报警管理员 立即出故障 WPANWIDS通过收集分析数据识别计算机系统、网络入侵和误用WIDS可监控分析用户和系统活动生成报警基于预定义签名或异常流量

开发支持执行系统背后分析的主要目标如下:

网络IP测距

图形化网络映射

制造商和模型识别接入点和客户

检测已知默认访问点配置WIDS使用系统可以高效保护无线网络执行攻击识别发射响应保护系统或网络

WIDS单元监控无线局域网通量并识别违反策略、配置错误、未经授权操作以及无线局域网发现和入侵技术

检测对象:

鲁格访问点

Mac地址调试

港口扫描检测

擅自Mac地址检测

战争驱动

二.上下文

A. 入侵方法

无线网络信号通常是全向性信号并发自预期覆盖区以外此类属性使得网络实体安全大都不切实际许多主动被动入侵方法快速生成滥用这一缺陷被动方法使用射频监控,不播送信号主动方法可能只是广播信号查询网络状态,或甚至可能把恶意数据插入网络制造中断这是描述最常用方法,绝非详尽无遗,特别是因为每周都出现新的利用和工具

最常用无线入侵法为Warrift通常使用Windows驱动软件如NetStumbler并配有IEE802.11b适配器和外部天线Wardriver驱动高技术邻里希望检测流出街面的IEE802.11b信号NetStumbler从访问点寻找信标框架从这些信标框架中,通常有可能确定加密强度、通道和硬件类型网络无保性时,Wardriver也可以记录网络的其他细节,如ServiceSet标识符在许多情况下,它由业余爱好者执行,不采取进一步的入侵行动业余者通常会将数据与全球定位系统信息合并制作无线网络地理图及其配置视平台使用而定,还有其他较不常用软件可供Wardriving使用stumbler运行BSD系统,MiniStumbler运行PocketPC手持设备,Kismet运行数平台,Wellenreiter运行Linux系统视软件使用而定Wardriving ISBN0-7803-7809-1/03/17.002003 IEE68信息保证美军学院讲习班记录,West Point,NY 2003年6月主动软件,如NetStumbler、dStumbler和MiniStumbler实际广播探针请求框架以获取Aps响应[1]增加检测Aps的机率 特别当Wardriver开动被动方法仅执行RF监控检测Aps的概率信号

另一种流行入侵法涉及IEE802.11b网络所使用WEP加密中臭名昭著的弱点通常这是二级入侵 通过旋转检测安全APWEP键提取最常用工具是Linux程序AirSnot[4]使用AirSnort入侵者会秘密收集目标网络无线网络流量等从网络收集到足够框架后,AirSnot通过检查“弱度”框架来确定WEP键通常只需要几个小时收集足够的框架制造商发布更新固件 解决传输 弱框架网络仍然脆弱 如果客户继续使用过期无线网络适配器少常见的AirSnot替代WEPCrack[5],但程序特征少精度低AirSnort是一个被动监视器,不发布信号。在许多网络中,入侵不仅限于未经授权客户,但可能包括未经授权Aps常由有效用户安装这些rogueAps以图扩大网络范围,通常结果安全漏洞可能被入侵者利用更相关假设会让入侵者种植AP高压广播能力假冒合法AP不明客户会想加入AP相信有效入侵者可使用从这些关联中收集的信息来确定网络安全设置和网络其他方面

网络拒绝服务攻击也是可能的这可能以几种方式发生,最原始方式是使用无线电设备广播网络2.4GHz操作频率的噪声这将使网络下降框架,最终达完全崩溃点比较精细的方法是向客户或aps广播无效框架,或甚至向两者广播客户或aps响应这些无效框架,如果数字充足,这些无效框架会中断正常流少数其他方法证明概念,在实战网络中未频繁观察到优先使用地址解析协议下毒使用以太网网络上已知的脆弱性多系统开发有线网络反毒,但管理员往往忘记将保护扩展至无线桥梁,这些桥梁也可以作为攻击的切入点。

802.11ninja在2001年fCon期间展示了一种不同方法[7]使用程序Monkey Jack管理框架发送无线客户协议强迫他们断开有效Aps并重联用由攻击者管理的假AP攻击者网站提供代码利用其他漏洞,所有这些都依赖IEE802.11b网络上未经认证消息漏洞

三.Our方法

A.Track连接所有客户

系统应实时跟踪客户状况(授权或未经授权),包括但不限于客户离线、关联或认证待定系统还必须检测并记录非法状态转换,如客户端设备向网络设备传输数据框架为使累积剖析信息有用确定每个设备使用模式并显示异常性,系统必须逐步积累分析这些剖析信息系统应提供系统管理员设置此时间长度的能力

B.检测并日志 802.11传输器

系统应检测并记录传感器可检测区内操作的任何未经授权802.11发报机鉴于无线设备无处不在,合理假设WLAN环境网络安全存在三大威胁首先是不知情内幕越来越有可能公开市场购买的任何笔记本电脑都配有无线能力此外,购买者很可能不知道这一事实。这样的人可以意外激活无线设备,如果不被发现则在延长段段内重复启动第二点是内幕人,他可能有或没有恶意意图无恶意内幕者举例表示习惯使用本地网络无线者决定忽略组织无线策略,最后,内幕恶意者举一例,内幕者持有未经授权硬件,意图用硬件攻击或绕过网络安全措施

C.检测并日志未经授权客户 试图连接网络

系统必须检测并登录任何未经授权客户试图连接无线网络系统必须区分单纯存在未经授权硬件和某人试图使用硬件连接无线网络后一案例显然对企业网络构成更大威胁。多例经授权人员把未经授权通信接口绑到信息器上以“使事情更容易化 ” 。两种类型记录事件都使威胁级别更加清晰

系统必须检测并记录任何授权客户与未经授权访问点关联或以随机模式与未经授权客户通信

硬件块图由安装WIDS服务器和连接路由器组成系统还包含客户机和未授权剩余机

V级结论

任何安全网络都易为敌人所利用移动无线网络尤其如此入侵检测可补充入侵预防技术(例如加密、认证、安全MAC、安全路由等)以确保移动计算环境安全然而,必须开发新技术使入侵检测对无线网络更好工作

图一览

图1 图2 图3 图4

引用

1. 刘西Lim、Tim Schmoyer、John Leven和HenryLOwen,2009年iEEGE理工学院
2. 龙群入侵检测系统2007
3. HaddadiF. KhanchiS.SshatabiM.DerhamiV.计算机网络技术,2010年第二次国际会议
4. Coppolino L.D'Antonio S.EspositoM.RomanoL.,“利用多样性和关联提高入侵检测系统性能”,第一届网络和服务安全国际会议,法国巴黎,2009年6月
5. SANS(编辑器): " 无线联网概念-网络安全安全要点 ",V2.2.,ISBN0-9724273-6-8.2009
6. 菲弗 丽莎开源WLAN解析器 Jul202004
7. Ristic,Ivan.Medsecurity网站URL:http///www.modsecurity.org,2006年