今日更新
技术新闻
精彩专题
IBM软件技术专区
微软开发专区
技术文档中心
编程语言
网络通信
网络安全
LINUX/UNIX
软件工程与管理
数据库开发
WEB开发
企业应用与开发
移动开发
资源中心
原创专栏
开放系统世界
人才与培训
技术天地论坛
厂商列表
社区推荐

· 女性身体内部人体受孕..
· 十部顶级的变态与情色..
· 感情放纵让我毁了两个..
· 当我撞见姐姐和男友在..
· 卖淫少女惨遭泄愤民工..
· 偷拍街上的走光mm绝对..
· 百度打击google的广告
· 港娱乐圈与黑社会揭秘
赛迪网>>技术应用>>上首页
关键字： 无线局域网;入侵检测系统;IEEE 802.11;网络安全;基础结构模式;移动自组网模式
来  源： 电信快报
无线局域网入侵检测现状和要点
作者：中南大学计算机系 王建新 罗建军 发文时间：2004.12.09
随着无线技术和网络技术的发展，无线网络正成为市场热点，其中无线局域网（WLAN）正广泛应用于大学校园、各类展览会、公司内部乃至家用网络等场合。但是，由于无线网络的特殊性，攻击者无须物理连线就可以对其进行攻击，使WLAN的安全问题显得尤为突出。对于大部分公司来说，WLAN通常置于防火墙后，黑客一旦攻破防火墙就能以此为跳板，攻击其他内部网络，使防火墙形同虚设。与此同时，由于WLAN国家标准WAPI的无限期推迟，IEEE 802.11网络仍将为市场的主角，但因其安全认证机制存在极大安全隐患，无疑让WLAN的安全状况雪上加霜。因此，采用入侵检测系统（IDS——intrusion detection system）来加强WLAN的安全性将是一种很好的选择。尽管入侵检测技术在有线网络中已得到认可，但由于无线网络的特殊性，将其应用于WLAN尚需进一步研究，本文通过分析WLAN的特点，提出可以分别用于有接入点模式WLAN和移动自组网模式WLAN的两种入侵检测模型架构。

上面简单描述了WLAN的技术发展及安全现状。本文主要介绍入侵检测技术及其应用于WLAN时的特殊要点，给出两种应用于不同架构WLAN的入侵检测模型及其实用价值。需要说明的是，本文研究的入侵检测主要针对采用射频传输的IEEE802.11a/b/g WLAN，对其他类型的WLAN同样具有参考意义。

1、WLAN概述

1.1 WLAN的分类及其国内外发展现状

对于WLAN，可以用不同的标准进行分类。根据采用的传播媒质，可分为光WLAN和射频WLAN。光WLAN采用红外线传输，不受其他通信信号的干扰，不会被穿透墙壁偷听，而早发射器的功耗非常低；但其覆盖范围小，漫射方式覆盖16m，仅适用于室内环境，最大传输速率只有4 Mbit/s，通常不能令用户满意。由于光WLAN传送距离和传送速率方面的局限，现在几乎所有的WLAN都采用另一种传输信号——射频载波。射频载波使用无线电波进行数据传输，IEEE 802.11采用2.4GHz频段发送数据，通常以两种方式进行信号扩展，一种是跳频扩频（FHSS）方式，另一种是直接序列扩频（DSSS）方式。最高带宽前者为3 Mbit/s，后者为11Mbit/s，几乎所有的WLAN厂商都采用DSSS作为网络的传输技术。 根据WLAN的布局设计，通常分为基础结构模式WLAN和移动自组网模式WLAN两种。前者亦称合接入点（AP）模式，后者可称无接入点模式。分别如图1和图2所示。



图1 基础结构模式WLAN





图2 移动自组网模式WLAN



1.2 WLAN中的安全问题 WLAN的流行主要是由于它为使用者带来方便，然而正是这种便利性引出了有线网络中不存在的安全问题。比如，攻击者无须物理连线就可以连接网络，而且任何人都可以利用设备窃听到射频载波传输的广播数据包。因此，着重考虑的安全问题主要有：

a）针对IEEE 802.11网络采用的有线等效保密协议（WEP）存在的漏洞，进行破解攻击。

b）恶意的媒体访问控制（MAC）地址伪装，这种攻击在有线网中同样存在。

C）对于含AP模式，攻击者只要接入非授权的假冒AP，就可登录欺骗合法用户。

d）攻击者可能对AP进行泛洪攻击，使AP拒绝服务，这是一种后果严重的攻击方式。此外，对移动自组网模式内的某个节点进行攻击，让它不停地提供服务或进行数据包转发，使其能源耗尽而不能继续工作，通常称为能源消耗攻击。

e）在移动自组网模式的局域网内，可能存在恶意节点，恶意节点的存在对网络性能的影响很大。

2、入侵检测技术及其在WLAN中的应用

IDS可分为基于主机的入侵检修系统（HIDS）和基于网络的入侵检测系统（NIDS）。HIDS采用主机上的文件（特别是日志文件或主机收发的网络数据包）作为数据源。HIDS最早出现于20世纪80年代初期，当时网络拓扑简单，入侵相当少见，因此侧重于对攻击的事后分析。现在的HIDS仍然主要通过记录验证，只不过自动化程度提高，且能做到精确检测和快速响应，并融入文件系统保护和监听端口等技术。与HIDS不同，NIDS采用原始的网络数据包作为数据源，从中发现入侵迹象。它能在不影响使用性能的情况下检测入侵事件，并对入侵事件进行响应。分布式网络IDS则把多个检测探针分布至多个网段，最后通过对各探针发回的信息进行综合分析来检测入侵，这种结构的优点是管理起来简单方便，单个探针失效不会导致整个系统失效，但配置过程复杂。基础结构模式入侵检测模型将采用这种分布式网络检测方法，而对于移动自组网模式内的入侵检测模型将采用基于主机的入侵检测模型。

当前，对WLAN的入侵检测大都处于试验阶段，比如开源入侵检测系统Snort发布的Snort－wire－less测试版，增加了Wifi协议字段和选项关键字，采用规则匹配的方法进行入侵检测，其AP由管理员手工配置，因此能很好地识别非授权的假冒AP，在扩展AP时亦需重新配置。但是，由于其规则文件无有效的规则定义，使检测功能有限，而且不能很好地检测MAC地址伪装和泛洪拒绝服务攻击。2003年下半年，IBM提出WLAN入侵检测方案，采用无线感应器进行监测，该方案需要联入有线网络，应用范围有限而且系统成本昂贵，要真正市场化、实用化尚需时日。此外，作为概念模型设计的WIDZ系统实现了AP监控和泛洪拒绝服务检测，但它没有一个较好的体系架构，存在局限性。

在上述基础上，我们提出一种基于分布式感应器的网络检测模型框架，对含AP模式的WLAN进行保护。对于移动自组网模式的WLAN，则由于网络中主机既要收发本机的数据，又要转发数据（这些都是加密数据），文献提出了采用异常检测法对路由表更新异常和其他层活动异常进行检测，但只提供了模型，没有实现。此外，我们分析了移动自组网模式中恶意节点对网络性能的影响，并提出一种基于声誉评价机制的安全协议，以检测恶意节点并尽量避开恶意节点进行路由选择，其中恶意节点的检测思想值得借鉴。Snort－wireless可以作为基于主机的入侵检测，我们以此为基础提出一种应用于移动自组网入侵检测的基于主机的入侵检测模型架构。

3、WLAN中的入侵检测模型架构

在含AP模式中，可以将多个WLAN基本服务集（BSS）扩展成扩展服务集（ESS），甚至可以组成一个大型的WLAN。这种网络需要一种分布式的检测框架，由中心控制台和监测代理组成，如图3所示。



图3 含AP模式的分布式入侵检测系统框架



网络管理员中心控制台配置检测代理和浏览检测结果，并进行关联分析。监测代理的作用是监听无线数据包、利用检测引擎进行检测、记录警告信息，并将警告信息发送至中心控制台。

由此可见，监测代理是整个系统的核心部分，根据网络布线与否，监测代理可以采用两种模式：一种是使用1张无线网卡再加1张以大网卡，无线网卡设置成“杂凑”模式，监听所有无线数据包，以太网卡则用于与中心服务器通信；另一种模式是使用2张无线网卡，其中一张网卡设置成“杂凑”模式，另一张则与中心服务器通信。

分组捕获完成后，将信息送至检测引擎进行检测，目前最常用的IDS主要采用的检测方法是特征匹配，即把网络包数据进行匹配，看是否有预先写在规则中的“攻击内容”或特征。尽管多数IDS的匹配算法没有公开，但通常都与著名的开源入侵检测系统Snort的多模检测算法类似。另一些IDS还采用异常检测方法（如Spade检测引擎等），通常作为一种补充方式。无线网络传输的是加密数据，因此，该系统需要重点实现的部分由非授权AP的检测。通常发现入侵之后，监测代理会记录攻击特征，并通过安全通道（采用一定强度的加密算法加密，有线网络通常采用安全套接层（SSL）协议，无线网络通常采用无线加密协议（WEP））将告警信息发给中心控制台进行显示和关联分析等，并由控制台自动响应（告警和干扰等），或由网络管理员采取相应措施。

在移动自组网模式中，每个节点既要收发自身数据，又要转发其他节点的数据，而且各个节点的传输范围受到限制，如果在该网络中存在或加入恶意节点，网络性能将受到严重影响。恶意节点的攻击方式可以分为主动性攻击和自私性攻击。主动性攻击是指节点通过发送错误的路由信息、伪造或修改路由信息等方式，对网络造成干扰；自私性攻击是指网络中的部分节点可能因资源能量和计算能量等缘故，不愿承担其他节点的转发任务所产生的干扰。因此，对恶意节点的检测并在相应的路由选择中避开恶意节点，也是该类型WLAN需要研究的问题。

我们的检测模型建立在HIDS上，甚至可以实现路由协议中的部分安全机制，如图4所示。



图4 移动自组网模式中的入侵检测架构



当数据包到达主机后，如果属于本机数据，数据包将被解密，在将它递交给上层之前，先送至基于主机的误用检测引擎进行检测，根据检测结果，对正常数据包放行，对攻击数据包则进行记录，并根据响应策略进行响应。此外，还可以在误用检测模型的基础上辅以异常检测引擎，根据以往的研究成果，可以在网络层或应用层上进行，也可以将其做入路由协议中，以便提高检测速度和检测效率。

4、结束语

传统的入侵检测系统已不能用于WLAN，而WLAN内入侵检测系统的研究和实现才刚刚起步。本文分析了WLAN的特点及其存在的安全问题，提出了两种入侵检测系统架构，可以分别用于基础结构模式WLAN和移动自组网模式WLAN，具有实用价值。基础结构模式WLAN采用分布式网络入侵检测，可用于大型网络；移动自组网中采用基于主机的入侵检测系统，用于检测异常的节点活动和发现恶意节点。需要进一步研究的问题有：在框架上实现原型系统来验证其有效性；在加密的网络环境中更加有效地进行入侵检测。



(T113)




赛迪网推出“IT博客”，花不到一分钟就完成注册
【评论】 【推荐】 【大 中 小】 【打印】 【关闭】

·Linux专区· ·黑客攻防·
· Linux下添加硬盘、分区、格式化任务详解
· FreeBSD服务器的安装与优化之优化篇
· 初学者入门：FreeBSD服务器的安装与优化
· 金企鹅杯两岸四地开源软件大赛圆满结束
· 如何提高Linux系统安全性的十大招数
· 构筑Linux防火墙之为个人用户设置防火墙
· 谁更安全？黑客眼中的防火墙与路由器
· 识破骗局 练就识别QQ活动真伪火眼金睛
· 应用安全大有可为：目的、挑战、总结
· 道高一尺魔高一丈：安全防御的动感魅力
· 警惕网络“内”院起火 积极谋求安内之路
· HHCTRL漏洞被黑客利用 疯狂传播木马
·中国信息化· ·成功案例·
· ERP普及化是饮鸩止渴 精细化才是应用之道
· 赛门铁克第八期《互联网安全威胁报告》解析
· 抢食“数字工商” 国产中间件杀出血路
· 从IBM等操作系统的发展看软件创新的启示
· 服务成就蓝色快车 品牌是怎样炼成的？
· 三大技术应用大会合为一体甲骨文上演三重奏
· 南阳教育城域网　拆掉学校间的“围墙”
· 金算盘助申意美步入信息化快车道
· 不为人知的索尼信息化 谁是幕后英雄？
· InforBus/Q在穗高速路联网收费系统中的应用
· J2EE构建最新金融理念和运作模式的网上银行
· 食品安全令人担心 信息化能否保驾护航
*姓　　名： 更多资料 了解方案 认识厂商
*单位名称：
*联系电话：
*电子邮件：
  　　
◆ 相关文章   ◆ 站内热点推荐
· 趋势科技打造中小企业安全联盟
· IEEE802.11无线局域网(WLAN)研究及发展报告
· 针对数据入侵的安全设置和策略
· "大盗"来袭 威胁网上证券交易(多图)
· 美国讯宝科技为中小企业打造无线局域网络
· 网管员论坛
· 开发者之家
· WLAN无限未来
· 我是如何掉进C#的……
· 中国“人件”非正式调查

   
合作网站： IBM dW中国网站 LinuxAID 软件工程专家网 中国系统分析员 UMLChina MATRIX Mobile2008 JavaResearch 华储网 UML软件工程组织 中国JAVA手机网 JAVA中文站 金山在线 海量科技