WAPI是我國制定的無線安全協(xié)議標(biāo)準(zhǔn)，它比其他標(biāo)準(zhǔn)更具安全優(yōu)勢。在此，WAPI并不是我們此文的重點(diǎn)，但是無線網(wǎng)絡(luò)安全是我們討論的中心。安全第一，其他的才都是第二。希望本文能對企業(yè)里面的網(wǎng)絡(luò)安全問題有所啟示。

無線網(wǎng)絡(luò)安全問題

由于無線傳輸通過開放的空中電波來傳輸，因此無線網(wǎng)絡(luò)的數(shù)據(jù)就更容易被竊聽或干擾。如果你的無線網(wǎng)絡(luò)沒有作好適合的保護(hù)，未經(jīng)認(rèn)證的無線竊聽者（war driver）或其它在你無線網(wǎng)絡(luò)范圍內(nèi)的人就有辦法作出下列事情：

盜用公司的互聯(lián)網(wǎng)頻寬，免費(fèi)訪問網(wǎng)絡(luò)，制造流量，讓合法使用者的訪問變慢。

把你的網(wǎng)絡(luò)當(dāng)作跳板來攻擊其它計(jì)算機(jī)，或是進(jìn)行非法行為，比方下載或散布盜版軟件、盜版音樂或兒童色情等數(shù)據(jù)。

觀看，拷貝，修改或刪除公司無線有線網(wǎng)絡(luò)上計(jì)算機(jī)的檔案。

讓公司的計(jì)算機(jī)感染病毒，特洛依木馬，蠕蟲以及其它的惡意軟件程序。

借由把公司網(wǎng)絡(luò)上的工作站弄當(dāng)機(jī)或把網(wǎng)絡(luò)超載，來引發(fā)服務(wù)阻斷，讓他無法對合法使用者提供服務(wù)。

小規(guī)模（以及小預(yù)算）公司的無線網(wǎng)絡(luò)安全

小型公司一般只有有限的預(yù)算，這往往代表沒有全天候的網(wǎng)管人員，也請不起能夠適切地設(shè)定無線網(wǎng)絡(luò)安全管理專家。然而好消息是要把因特網(wǎng)弄得比「出廠默認(rèn)值」更安全，不需要花大量金錢。關(guān)鍵是正確的設(shè)定。

每一個(gè)安全管理計(jì)劃的目標(biāo)，都是借由讓入侵的手續(xù)變復(fù)雜，需要的時(shí)間變多，被抓到的機(jī)率變高，來防范潛在的入侵者或攻擊者。就算你在你家院子裝設(shè)圍籬、鎖上大門，在院子里養(yǎng)只惡犬，在窗戶與門上插上閂子，裝設(shè)防盜器，你也沒辦法保證小偷進(jìn)不來--事實(shí)上，一個(gè)專業(yè)的小偷可以幾乎都可以避開這些東西--─然而你可以增加他們的難度。這代表突發(fā)的入侵者比較可能避開你家，去找一個(gè)更容易進(jìn)入的房子來行竊。

一般來說，網(wǎng)絡(luò)上的黑客就像傳統(tǒng)的小偷一樣，傾向去找簡單的目標(biāo)來入侵。因此你放愈多障礙，愈有可能讓他們放棄，去找另一個(gè)更為簡單入侵的網(wǎng)絡(luò)。尤其現(xiàn)在有許多無線網(wǎng)絡(luò)甚至沒有一點(diǎn)安全保護(hù)。

有些無線網(wǎng)絡(luò)安全專家可能會告訴你，像是更改預(yù)設(shè)SSID，關(guān)閉SSID廣播，啟動(dòng)MAC過濾等等的防護(hù)措施是完全沒有用的，因?yàn)榭偸怯修k法可以破解這些保護(hù)。這就有點(diǎn)像說，如果你的門鎖很便宜，容易撬開，你根本就不需要鎖它。雖然你整體的企業(yè)無線網(wǎng)絡(luò)安全不能只依賴這些簡單的方法，但其中的任何一個(gè)辦法都可以減慢入侵者一些速度，增加他們一些困難，因此這些措施還是應(yīng)該被放入你的無線網(wǎng)絡(luò)安全規(guī)劃中。

小型企業(yè)同時(shí)也可以在一個(gè)便宜的無線網(wǎng)絡(luò)接取點(diǎn)（WAP）使用以下這些其它便宜，或免費(fèi)的安全措施：

使用固定IP位置，在路由器端或WAP端關(guān)閉DHCP，讓未經(jīng)取可的使用者無法輕易得到一個(gè)可以使用的IP位置。

將無線接取點(diǎn)的涵蓋范圍盡可能縮小，遠(yuǎn)處入侵者必須使用高增益天線才能收取到信號。

在你暫時(shí)不需要使用無線網(wǎng)絡(luò)時(shí)，將WAP關(guān)閉。有些小型公司可能只是在偶爾一些時(shí)候，比方合作伙伴來到公司，或是四處移動(dòng)的員工在辦公室需要使用手提電腦時(shí)，才需要無線網(wǎng)絡(luò)。

當(dāng)然，加密是你可以免費(fèi)安裝的最好安全措施之一。請確定使用無線網(wǎng)絡(luò)保護(hù)訪問（WPA）而不是無線對等安全（WEP）來進(jìn)行加密動(dòng)作，因?yàn)楹笳哌h(yuǎn)比前者脆弱容易被破解。要使用WPA，你可以需要更新你的WAP及／或你的無線NIC，但這是值得的花費(fèi)。如果你沒有持續(xù)更新你的操作系統(tǒng)，也可能需要在計(jì)算機(jī)上安裝WPA客戶端，但如果安全最新的Windows XP service pack，或是換到Windows Vista都可以讓你能支持WPA（這兩者同時(shí)也提供了其它的安全保護(hù)）。

大型組織的無線網(wǎng)絡(luò)安全

隨著公司的成長，限制無線網(wǎng)絡(luò)的使用就變得更加重要。重要的是必須建立一個(gè)政策來防止未經(jīng)設(shè)定的無線接取點(diǎn)的出現(xiàn)，同時(shí)要定期監(jiān)測追蹤。然而好的政策并不夠，你同時(shí)還需要花費(fèi)一些成本來實(shí)行這個(gè)政策。

使用防火墻分隔把公司一或多個(gè)無線網(wǎng)絡(luò)分開，或考慮在DMZ或周邊網(wǎng)絡(luò)內(nèi)布建無線存取網(wǎng)絡(luò)，這樣就算無線客戶端被破解，入侵者還是無法攻擊有線網(wǎng)絡(luò)。同時(shí)要求無線網(wǎng)絡(luò)上的使用者在連接有線網(wǎng)絡(luò)的時(shí)候使用VPN。

使用IDS或響應(yīng)傳感器來監(jiān)控?zé)o線網(wǎng)絡(luò)上的所有聯(lián)機(jī)。使用網(wǎng)絡(luò)訪問保護(hù)來管理無線客戶端，這樣可以在計(jì)算機(jī)使用網(wǎng)絡(luò)前，確認(rèn)他們有正確設(shè)定。

進(jìn)行無線網(wǎng)絡(luò)的穿透測試，來評估無線網(wǎng)絡(luò)安全威脅，進(jìn)而加以解決。

結(jié)論

無線網(wǎng)絡(luò)可以讓你在處理業(yè)務(wù)時(shí)更為方便，然而它同時(shí)也可以讓入侵者更方便來進(jìn)行他們的非法行為。建立一個(gè)無線網(wǎng)絡(luò)規(guī)劃，來符合公司的需求是很重要的。隨著公司與無線網(wǎng)絡(luò)安全預(yù)算的成長，你可以加入更多更復(fù)雜的安全機(jī)制。