無線局域網論文范文

導語：如何才能寫好一篇無線局域網論文，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公務員之家整理的十篇范文，供你借鑒。

篇1

上面簡單描述了WLAN的技術發展及安全現狀。本文主要介紹入侵檢測技術及其應用于WLAN時的特殊要點，給出兩種應用于不同架構WLAN的入侵檢測模型及其實用價值。需要說明的是，本文研究的入侵檢測主要針對采用射頻傳輸的IEEE802.11a/b/gWLAN，對其他類型的WLAN同樣具有參考意義。

1、WLAN概述

1.1WLAN的分類及其國內外發展現狀

對于WLAN，可以用不同的標準進行分類。根據采用的傳播媒質，可分為光WLAN和射頻WLAN。光WLAN采用紅外線傳輸，不受其他通信信號的干擾，不會被穿透墻壁偷聽，而早發射器的功耗非常低；但其覆蓋范圍小，漫射方式覆蓋16m，僅適用于室內環境，最大傳輸速率只有4Mbit/s，通常不能令用戶滿意。由于光WLAN傳送距離和傳送速率方面的局限，現在幾乎所有的WLAN都采用另一種傳輸信號——射頻載波。射頻載波使用無線電波進行數據傳輸，IEEE802.11采用2.4GHz頻段發送數據，通常以兩種方式進行信號擴展，一種是跳頻擴頻（FHSS）方式，另一種是直接序列擴頻（DSSS）方式。最高帶寬前者為3Mbit/s，后者為11Mbit/s，幾乎所有的WLAN廠商都采用DSSS作為網絡的傳輸技術。根據WLAN的布局設計，通常分為基礎結構模式WLAN和移動自組網模式WLAN兩種。前者亦稱合接入點（AP）模式，后者可稱無接入點模式。分別如圖1和圖2所示。

圖1基礎結構模式WLAN

圖2移動自組網模式WLAN

1.2WLAN中的安全問題WLAN的流行主要是由于它為使用者帶來方便，然而正是這種便利性引出了有線網絡中不存在的安全問題。比如，攻擊者無須物理連線就可以連接網絡，而且任何人都可以利用設備竊聽到射頻載波傳輸的廣播數據包。因此，著重考慮的安全問題主要有：

a）針對IEEE802.11網絡采用的有線等效保密協議（WEP）存在的漏洞，進行破解攻擊。

b）惡意的媒體訪問控制（MAC）地址偽裝，這種攻擊在有線網中同樣存在。

C）對于含AP模式，攻擊者只要接入非授權的假冒AP，就可登錄欺騙合法用戶。

d）攻擊者可能對AP進行泛洪攻擊，使AP拒絕服務，這是一種后果嚴重的攻擊方式。此外，對移動自組網模式內的某個節點進行攻擊，讓它不停地提供服務或進行數據包轉發，使其能源耗盡而不能繼續工作，通常稱為能源消耗攻擊。

e）在移動自組網模式的局域網內，可能存在惡意節點，惡意節點的存在對網絡性能的影響很大。

2、入侵檢測技術及其在WLAN中的應用

IDS可分為基于主機的入侵檢修系統（HIDS）和基于網絡的入侵檢測系統（NIDS）。HIDS采用主機上的文件（特別是日志文件或主機收發的網絡數據包）作為數據源。HIDS最早出現于20世紀80年代初期，當時網絡拓撲簡單，入侵相當少見，因此側重于對攻擊的事后分析?，F在的HIDS仍然主要通過記錄驗證，只不過自動化程度提高，且能做到精確檢測和快速響應，并融入文件系統保護和監聽端口等技術。與HIDS不同，NIDS采用原始的網絡數據包作為數據源，從中發現入侵跡象。它能在不影響使用性能的情況下檢測入侵事件，并對入侵事件進行響應。分布式網絡IDS則把多個檢測探針分布至多個網段，最后通過對各探針發回的信息進行綜合分析來檢測入侵，這種結構的優點是管理起來簡單方便，單個探針失效不會導致整個系統失效，但配置過程復雜?；A結構模式入侵檢測模型將采用這種分布式網絡檢測方法，而對于移動自組網模式內的入侵檢測模型將采用基于主機的入侵檢測模型。

當前，對WLAN的入侵檢測大都處于試驗階段，比如開源入侵檢測系統Snort的Snort－wire－less測試版，增加了Wifi協議字段和選項關鍵字，采用規則匹配的方法進行入侵檢測，其AP由管理員手工配置，因此能很好地識別非授權的假冒AP，在擴展AP時亦需重新配置。但是，由于其規則文件無有效的規則定義，使檢測功能有限，而且不能很好地檢測MAC地址偽裝和泛洪拒絕服務攻擊。2003年下半年，IBM提出WLAN入侵檢測方案，采用無線感應器進行監測，該方案需要聯入有線網絡，應用范圍有限而且系統成本昂貴，要真正市場化、實用化尚需時日。此外，作為概念模型設計的WIDZ系統實現了AP監控和泛洪拒絕服務檢測，但它沒有一個較好的體系架構，存在局限性。

在上述基礎上，我們提出一種基于分布式感應器的網絡檢測模型框架，對含AP模式的WLAN進行保護。對于移動自組網模式的WLAN，則由于網絡中主機既要收發本機的數據，又要轉發數據（這些都是加密數據），文獻提出了采用異常檢測法對路由表更新異常和其他層活動異常進行檢測，但只提供了模型，沒有實現。此外，我們分析了移動自組網模式中惡意節點對網絡性能的影響，并提出一種基于聲譽評價機制的安全協議，以檢測惡意節點并盡量避開惡意節點進行路由選擇，其中惡意節點的檢測思想值得借鑒。Snort－wireless可以作為基于主機的入侵檢測，我們以此為基礎提出一種應用于移動自組網入侵檢測的基于主機的入侵檢測模型架構。

3、WLAN中的入侵檢測模型架構

在含AP模式中，可以將多個WLAN基本服務集（BSS）擴展成擴展服務集（ESS），甚至可以組成一個大型的WLAN。這種網絡需要一種分布式的檢測框架，由中心控制臺和監測組成，如圖3所示。

圖3含AP模式的分布式入侵檢測系統框架

網絡管理員中心控制臺配置檢測和瀏覽檢測結果，并進行關聯分析。監測的作用是監聽無線數據包、利用檢測引擎進行檢測、記錄警告信息，并將警告信息發送至中心控制臺。

由此可見，監測是整個系統的核心部分，根據網絡布線與否，監測可以采用兩種模式：一種是使用1張無線網卡再加1張以大網卡，無線網卡設置成“雜湊”模式，監聽所有無線數據包，以太網卡則用于與中心服務器通信；另一種模式是使用2張無線網卡，其中一張網卡設置成“雜湊”模式，另一張則與中心服務器通信。

分組捕獲完成后，將信息送至檢測引擎進行檢測，目前最常用的IDS主要采用的檢測方法是特征匹配，即把網絡包數據進行匹配，看是否有預先寫在規則中的“攻擊內容”或特征。盡管多數IDS的匹配算法沒有公開，但通常都與著名的開源入侵檢測系統Snort的多模檢測算法類似。另一些IDS還采用異常檢測方法（如Spade檢測引擎等），通常作為一種補充方式。無線網絡傳輸的是加密數據，因此，該系統需要重點實現的部分由非授權AP的檢測。通常發現入侵之后，監測會記錄攻擊特征，并通過安全通道（采用一定強度的加密算法加密，有線網絡通常采用安全套接層（SSL）協議，無線網絡通常采用無線加密協議（WEP））將告警信息發給中心控制臺進行顯示和關聯分析等，并由控制臺自動響應（告警和干擾等），或由網絡管理員采取相應措施。

在移動自組網模式中，每個節點既要收發自身數據，又要轉發其他節點的數據，而且各個節點的傳輸范圍受到限制，如果在該網絡中存在或加入惡意節點，網絡性能將受到嚴重影響。惡意節點的攻擊方式可以分為主動性攻擊和自私性攻擊。主動性攻擊是指節點通過發送錯誤的路由信息、偽造或修改路由信息等方式，對網絡造成干擾；自私性攻擊是指網絡中的部分節點可能因資源能量和計算能量等緣故，不愿承擔其他節點的轉發任務所產生的干擾。因此，對惡意節點的檢測并在相應的路由選擇中避開惡意節點，也是該類型WLAN需要研究的問題。

我們的檢測模型建立在HIDS上，甚至可以實現路由協議中的部分安全機制，如圖4所示。

圖4移動自組網模式中的入侵檢測架構

當數據包到達主機后，如果屬于本機數據，數據包將被解密，在將它遞交給上層之前，先送至基于主機的誤用檢測引擎進行檢測，根據檢測結果，對正常數據包放行，對攻擊數據包則進行記錄，并根據響應策略進行響應。此外，還可以在誤用檢測模型的基礎上輔以異常檢測引擎，根據以往的研究成果，可以在網絡層或應用層上進行，也可以將其做入路由協議中，以便提高檢測速度和檢測效率。

篇2

關鍵字：WLAN，WEP，SSID，DHCP，安全措施

1、引言

WLAN是WirelessLAN的簡稱，即無線局域網。所謂無線網絡，顧名思義就是利用無線電波作為傳輸媒介而構成的信息網絡，由于WLAN產品不需要鋪設通信電纜，可以靈活機動地應付各種網絡環境的設置變化。WIAN技術為用戶提供更好的移動性、靈活性和擴展性，在難以重新布線的區域提供快速而經濟有效的局域網接入，無線網橋可用于為遠程站點和用戶提供局域網接入。但是，當用戶對WLAN的期望日益升高時，其安全問題隨著應用的深入表露無遺，并成為制約WLAN發展的主要瓶頸。[1]

2、威脅無線局域網的因素

首先應該被考慮的問題是，由于WLAN是以無線電波作為上網的傳輸媒介，因此無線網絡存在著難以限制網絡資源的物理訪問，無線網絡信號可以傳播到預期的方位以外的地域，具體情況要根據建筑材料和環境而定，這樣就使得在網絡覆蓋范圍內都成為了WLAN的接入點，給入侵者有機可乘，可以在預期范圍以外的地方訪問WLAN，竊聽網絡中的數據，有機會入侵WLAN應用各種攻擊手段對無線網絡進行攻擊，當然是在入侵者擁有了網絡訪問權以后。

其次，由于WLAN還是符合所有網絡協議的計算機網絡，所以計算機病毒一類的網絡威脅因素同樣也威脅著所有WLAN內的計算機，甚至會產生比普通網絡更加嚴重的后果。

因此，WLAN中存在的安全威脅因素主要是：竊聽、截取或者修改傳輸數據、置信攻擊、拒絕服務等等。

IEEE802.1x認證協議發明者VipinJain接受媒體采訪時表示：“談到無線網絡，企業的IT經理人最擔心兩件事：首先，市面上的標準與安全解決方案太多，使得用戶無所適從；第二，如何避免網絡遭到入侵或攻擊？無線媒體是一個共享的媒介，不會受限于建筑物實體界線，因此有人要入侵網絡可以說十分容易?！盵1]因此WLAN的安全措施還是任重而道遠。

3、無線局域網的安全措施

3.1采用無線加密協議防止未授權用戶

保護無線網絡安全的最基本手段是加密，通過簡單的設置AP和無線網卡等設備，就可以啟用WEP加密。無線加密協議(WEP)是對無線網絡上的流量進行加密的一種標準方法。許多無線設備商為了方便安裝產品，交付設備時關閉了WEP功能。但一旦采用這種做法，黑客就能利用無線嗅探器直接讀取數據。建議經常對WEP密鑰進行更換，有條件的情況下啟用獨立的認證服務為WEP自動分配密鑰。另外一個必須注意問題就是用于標識每個無線網絡的服務者身份(SSID)，在部署無線網絡的時候一定要將出廠時的缺省SSID更換為自定義的SSID?，F在的AP大部分都支持屏蔽SSID廣播，除非有特殊理由，否則應該禁用SSID廣播，這樣可以減少無線網絡被發現的可能。[2]

但是目前IEEE802.11標準中的WEP安全解決方案，在15分鐘內就可被攻破，已被廣泛證實不安全。所以如果采用支持128位的WEP，破解128位的WEP的是相當困難的，同時也要定期的更改WEP，保證無線局域網的安全。如果設備提供了動態WEP功能，最好應用動態WEP，值得我們慶幸的，WindowsXP本身就提供了這種支持，您可以選中WEP選項“自動為我提供這個密鑰”。同時，應該使用IPSec，VPN，SSH或其他

WEP的替代方法。不要僅使用WEP來保護數據。

3.2改變服務集標識符并且禁止SSID廣播

SSID是無線接人的身份標識符，用戶用它來建立與接入點之間的連接。這個身份標識符是由通信設備制造商設置的，并且每個廠商都用自己的缺省值。例如，3COM的設備都用“101”。因此，知道這些標識符的黑客可以很容易不經過授權就享受你的無線服務。你需要給你的每個無線接入點設置一個唯一并且難以推測的SSID。如果可能的話。還應該禁止你的SSID向外廣播。這樣，你的無線網絡就不能夠通過廣播的方式來吸納更多用戶．當然這并不是說你的網絡不可用．只是它不會出現在可使用網絡的名單中。[3]

3.3靜態IP與MAC地址綁定

無線路由器或AP在分配IP地址時，通常是默認使用DHCP即動態IP地址分配，這對無線網絡來說是有安全隱患的，“不法”分子只要找到了無線網絡，很容易就可以通過DHCP而得到一個合法的IP地址，由此就進入了局域網絡中。因此，建議關閉DHCP服務，為家里的每臺電腦分配固定的靜態IP地址，然后再把這個IP地址與該電腦網卡的MAC地址進行綁定，這樣就能大大提升網絡的安全性。“不法”分子不易得到合法的IP地址，即使得到了，因為還要驗證綁定的MAC地址，相當于兩重關卡。[4]設置方法如下：

首先，在無線路由器或AP的設置中關閉“DHCP服務器”。然后激活“固定DHCP”功能，把各電腦的“名稱”(即Windows系統屬陸里的“計算機描述”)，以后要固定使用的IP地址，其網卡的MAC地址都如實填寫好，最后點“執行”就可以了。

3.4VPN技術在無線網絡中的應用

對于高安全要求或大型的無線網絡，VPN方案是一個更好的選擇。因為在大型無線網絡中維護工作站和AP的WEP加密密鑰、AP的MAC地址列表都是非常艱巨的管理任務。

對于無線商用網絡，基于VPN的解決方案是當今WEP機制和MAC地址過濾機制的最佳替代者。VPN方案已經廣泛應用于Internet遠程用戶的安全接入。在遠程用戶接入的應用中，VPN在不可信的網絡(Internet)上提供一條安全、專用的通道或者隧道。各種隧道協議，包括點對點的隧道協議和第二層隧道協議都可以與標準的、集中的認證協議一起使用。同樣，VPN技術可以應用在無線的安全接入上，在這個應用中，不可信的網絡是無線網絡。AP可以被定義成無WEP機制的開放式接入(各AP仍應定義成采用SSID機制把無線網絡分割成多個無線服務子網)，但是無線接入網絡VLAN(AP和VPN服務器之問的線路)從局域網已經被VPN服務器和內部網絡隔離出來。VPN服務器提供網絡的認征和加密，并允當局域網網絡內部。與WEP機制和MAC地址過濾接入不同，VPN方案具有較強的擴充、升級性能，可應用于大規模的無線網絡。

3.5無線入侵檢測系統

無線入侵檢測系統同傳統的入侵檢測系統類似，但無線入侵檢測系統增加了無線局域網的檢測和對破壞系統反應的特性。侵入竊密檢測軟件對于阻攔雙面惡魔攻擊來說，是必須采取的一種措施。如今入侵檢測系統已用于無線局域網。來監視分析用戶的活動，判斷入侵事件的類型，檢測非法的網絡行為，對異常的網絡流量進行報警。無線入侵檢測系統不但能找出入侵者，還能加強策略。通過使用強有力的策略，會使無線局域網更安全。無線入侵檢測系統還能檢測到MAC地址欺騙。他是通過一種順序分析，找出那些偽裝WAP的無線上網用戶無線入侵檢測系統可以通過提供商來購買，為了發揮無線入侵檢測系統的優良的性能，他們同時還提供無線入侵檢測系統的解決方案。[1]

3.6采用身份驗證和授權

當攻擊者了解網絡的SSID、網絡的MAC地址或甚至WEP密鑰等信息時，他們可以嘗試建立與AP關聯。目前，有3種方法在用戶建立與無線網絡的關聯前對他們進行身份驗證。開放身份驗證通常意味著您只需要向AP提供SSID或使用正確的WEP密鑰。開放身份驗證的問題在于，如果您沒有其他的保護或身份驗證機制，那么您的無線網絡將是完全開放的，就像其名稱所表示的。共享機密身份驗證機制類似于“口令一響應”身份驗證系統。在STA與AP共享同一個WEP密鑰時使用這一機制。STA向AP發送申請，然后AP發回口令。接著，STA利用口令和加密的響應進行回復。這種方法的漏洞在于口令是通過明文傳輸給STA的，因此如果有人能夠同時截取口令和響應，那么他們就可能找到用于加密的密鑰。采用其他的身份驗證／授權機制。使用802.1x，VPN或證書對無線網絡用戶進行身份驗證和授權。使用客戶端證書可以使攻擊者幾乎無法獲得訪問權限。

[5]

3.7其他安全措施

除了以上敘述的安全措施手段以外我們還要可以采取一些其他的技術，例如設置附加的第三方數據加密方案，即使信號被盜聽也難以理解其中的內容；加強企業內部管理等等的方法來加強WLAN的安全性。

4、結論

無線網絡應用越來越廣泛，但是隨之而來的網絡安全問題也越來越突出，在文中分析了WLAN的不安全因素，針對不安全因素給出了解決的安全措施，有效的防范竊聽、截取或者修改傳輸數據、置信攻擊、拒絕服務等等的攻擊手段，但是由于現在各個無線網絡設備生產廠商生產的設備的功能不一樣，所以現在在本文中介紹的一些安全措施也許在不同的設備上會有些不一樣，但是安全措施的思路是正確的，能夠保證無線網絡內的用戶的信息和傳輸消息的安全性和保密性，有效地維護無線局域網的安全。

參考文獻

[1]李園,王燕鴻,張鉞偉,顧偉偉.無線網絡安全性威脅及應對措施[J].現代電子技術.2007,(5):91-94.

[2]王秋華,章堅武.淺析無線網絡實施的安全措施[J].中國科技信息.2005,(17):18.

[3]邊鋒.不得不說無線網絡安全六種簡單技巧[J].計算機與網絡.2006,(20):6.