GetNet

Основная задача WPA (WPA2, WPA3) — обеспечение безопасного доступа к среде передачи данных, то есть защита доступа к инфраструктуре и аутентификация сторон. При корректной настройке сторонние устройства не могут прочитать трафик пользователя, не могут отправлять данные от чужого имени, а станция проверяет, что подключилась к доверенной инфраструктуре и никто не имперсонифицирует сеть.

Проводная IPS размещается на периметре сети, где проходит агрегированный трафик, покидающий сеть. Она наблюдает за всем трафиком из одной точки, несёт огромное количество сигнатур, анализирует трафик вплоть до прикладного уровня (L3–L7) и, как правило, весьма производительна: для неё есть место, питание и охлаждение.
Беспроводная система работает в принципиально других условиях.

Инструментов для тестирования беспроводных сетей сегодня в мире более чем достаточно — того же Kali Linux хватает, чтобы при должном умении «решить» практически любую некорректно настроенную и незащищённую сеть. Угрозы условно делятся на три класса.

1. Средствами точки доступа с попеременным сканированием
Самый популярный сценарий: точка доступа работает в своём канале, обслуживает клиентов и время от времени уходит просканировать эфир. С ним всё плохо со всех сторон, включая статистику и теорию вероятностей.
Рассмотрим постоянную атаку — кадр в одном и том же канале два раза в секунду. Если интерфейс совмещает обслуживание клиентов со сканированием двух диапазонов (2,4 и 5 ГГц), такая атака обнаруживается с вероятностью 50% лишь через 170 секунд; когда будет достигнута стопроцентная вероятность, из графика неясно. Уверенное обнаружение в течение 10 секунд со стопроцентной вероятностью достигается только тогда, когда радиоинтерфейс занимается исключительно сканированием и не обслуживает клиентов. И это при постоянной атаке — а если интересующий кадр был всего один?

Но это не вся проблема. Даже если 50% через 170 секунд кого-то устраивают, остаётся влияние на клиентов. На дампе беспроводного трафика с обычным ICMP-пингом и точкой доступа Cisco 2700 видно следующее. По умолчанию у большинства производителей включён механизм управления радиоресурсами (RRM), в том числе off-channel сканирование: в случае Cisco — раз в 10 секунд уход в другой канал на 50 миллисекунд. Казалось бы, 10 секунд обслуживания и всего 50 миллисекунд отсутствия. График задержек показывает характерный «забор»: серьёзное ухудшение соединения плюс периодические дропы пакетов. Точка доступа ушла из канала, клиент передаёт данные и делает ретрансмиты, а acknowledgement ему никто не отправляет. При выключенном сканировании конференц-связь начинает работать без прерываний — и оказывается, что роуминг здесь ни при чём, дело именно в сканировании эфира.

2. Точка доступа с выделенным радиоинтерфейсом
Логичный следующий шаг — точка доступа не с двумя, а с тремя радиоинтерфейсами (а в современном мире, с появлением диапазона 6 ГГц, уже с четырьмя: 2,4, 5, 6 ГГц плюс сканирование). Нюансы здесь такие.

Наконец, встроенная система безопасности ориентирована только на ту сеть, которая создана и управляется этим контроллером. В условиях «зоопарка» производителей защитить сеть, управляемую сторонним контроллером, она не сможет.

3. Выделенная точка доступа в режиме сенсора
Отдельная точка доступа, целиком отданная под задачи защиты периметра, действительно быстрее обнаруживает простые rogue-точки и flood-атаки: она чаще появляется в каналах и дольше в них задерживается. Но проблема остаётся прежней — это точка доступа конкретного производителя, а система управления не заточена под адаптивное изменение каналов при детектировании угрозы. Вся эта система проектировалась для управления сетью доступа, а не системой безопасности.

4. Оверлейная система
Оверлейная СПВ БС имеет отдельную систему управления и отдельные сенсоры, распределённые по организации и никак не связанные с обслуживанием клиентов.
Её преимущества:

Любая WIPS-система должна как минимум обладать сигнатурами. По сути, сигнатура — это правило фильтрации, но не сводящееся к принципу «поймали трафик — молодцы».
Вся суть в действиях, которые следуют за срабатыванием:

Модель сигнатуры для WIPS должна поддерживать целую цепочку действий. Оверлейные системы, спроектированные под функцию IPS, это умеют. Решения, у которых IPS заявлена в документации производителя, как правило, ограничиваются простым шаблоном: такая-то последовательность байт встретилась столько-то раз в секунду — администратор предупреждён. Что администратору с этим делать дальше — непонятно.