Система предотвращения беспроводных вторжений

Основная цель WIPS заключается в предотвращении несанкционированного доступа к локальной вычислительной сети и другим информационным активам с помощью беспроводных устройств. Такие системы обычно внедряются в дополнение к существующей инфраструктуре беспроводных локальных сетей, хотя их также возможно использовать автономно для обеспечения соблюдения политик безопасности, не связанных с беспроводными сетями, внутри организации. Некоторые современные беспроводные инфраструктуры уже имеют встроенные функции WIPS.

Крупные организации с большим количеством сотрудников особенно уязвимы перед угрозой возникновения уязвимостей, связанных с несанкционированными точками доступа. Если сотрудник (доверенное лицо) приносит в офис стандартный беспроводной роутер, вся сеть может стать доступной для любого, кто находится в зоне действия беспроводного сигнала.

Согласно актуальной версии стандарта PCI DSS (4.0), WIPS является одним из методов автоматизированного мониторинга для обязательного ежеквартального обнаружения несанкционированных точек доступа^[2]. Применение систем предотвращения беспроводных вторжений также способствует выполнению требований других стандартов и нормативных актов, таких как HIPAA, GDPR, NIST Cybersecurity Framework, CMMC, директива NIS2 и других^[3].

Система обнаружения беспроводных вторжений (англ. Wireless Intrusion Detection System, WIDS) осуществляет мониторинг радиочастотного спектра для выявления несанкционированных (не доверенных) точек доступа и применения инструментов для атаки посредством беспроводных сетей. Система отслеживает диапазон радиочастот, используемых в беспроводных локальных сетях, и немедленно оповещает администратора при обнаружении несанкционированной точки доступа. Обычно обнаружение осуществляется посредством сопоставления адресов MAC участвующих беспроводных устройств.

Однако злоумышленники могут программно подделывать MAC-адреса сетевых устройств для маскировки. Для борьбы с этим современные системы используют технологию радиочастотной идентификации (RF Fingerprinting), которая анализирует уникальные, трудно подделываемые характеристики физического уровня (PHY), возникающие из-за микроскопических аппаратных дефектов. Для классификации устройств и выявления подмены идентификаторов применяются методы глубокого обучения^[4][5][6].

Для обнаружения несанкционированных точек доступа (Rogue AP) применяется комплексный подход, включающий сканирование радиоэфира (с помощью выделенных сенсоров или фонового мониторинга) и анализ трафика на стороне проводной сети. Системы сопоставляют MAC-адреса из радиоэфира с таблицами коммутаторов, а также используют контроль доступа на уровне портов (802.1X) и анализ журналов событий^[7].

Для выявления сетевых вторжений и аномалий поведения устройств активно применяются алгоритмы машинного и глубокого обучения. Использование многослойных персептронов, свёрточных и рекуррентных нейронных сетей, а также генеративно-состязательных сетей позволяет находить сложные зависимости в сетевом трафике и эффективно распознавать как известные, так и новые виды кибератак^[8].^[9]

Помимо обнаружения вторжений, WIPS также реализует функции автоматического противодействия угрозам. Для этого требуется, чтобы система WIPS могла точно идентифицировать и автоматически классифицировать угрозы.

С помощью эффективной системы WIPS возможно предотвратить следующие типы угроз:

• несанкционированные точки доступа — WIPS должен отличать их от внешних (соседских) точек доступа;
• ошибочно сконфигурированные точки доступа;
• неправильная ассоциация клиента;
• несанкционированная ассоциация;
• атака типа «человек посередине»;
• ad hoc-сети;
• подделка MAC-адреса (спуфинг);
• ловушки/honeypot и атаки двойников (evil twin);
• атаки «отказ в обслуживании».

Для защиты от некоторых угроз применяются специализированные автоматизированные сценарии противодействия. Например, при атаках типа «отказ в обслуживании» (DoS) используется метод Selective NAV, который выделяет определённый временной интервал для легитимных клиентов, лишая атакующую точку доступа возможности передавать мусорные пакеты. Для предотвращения спуфинга MAC-адресов применяется технология Wireless ARP Prevention, при которой WIPS-сенсор отправляет пакеты деаутентификации с поддельным MAC-адресом, не позволяя авторизованным клиентам подключиться к мошеннической точке доступа^[1].

Эффективность сетевых решений для кибербезопасности значительно повышается за счёт применения искусственного интеллекта и машинного обучения. ИИ автоматизирует рутинные процессы, снижает количество ложных срабатываний благодаря контекстному анализу и позволяет прогнозировать атаки, оценивая риски на основе исторических данных^[10].^[11]

Стандартная архитектура WIPS состоит из трёх компонентов:

• Сенсоры — устройства с антеннами и радиомодулями для сканирования беспроводного спектра, размещаемые в охраняемых зонах.
• Сервер — централизованно анализирует пакеты, перехваченные сенсорами.
• Консоль — основной пользовательский интерфейс для администрирования системы и формирования отчётов.

Простейшая система обнаружения вторжений может состоять из одного компьютера, подключённого к беспроводному устройству обработки радиосигнала, и антенн, расставленных по объекту. В крупных организациях применяется контроллер сетевого управления для координации множества серверов WIPS, а для пользователей малого и домашнего офиса (SOHO) и малого бизнеса (SMB) вся функциональность WIPS может быть реализована в едином устройстве.

Во время внедрения WIPS пользователи сначала определяют операционные беспроводные политики. Затем сенсоры анализируют радиообмен и передают собранную информацию на сервер WIPS. Сервер сверяет полученные данные с политиками безопасности и классифицирует угрозу. Администратор получает уведомление о потенциальной угрозе, либо, в зависимости от политики, система автоматически реализует защитные меры.

WIPS может быть реализована как в виде сетевой установки, так и как облачное решение.