Защити свой эфир

Технический анализ: не счесть средств защиты беспроводных систем

Эндрю Гарсиа

Любой корпорации, которая собирается развертывать беспроводную сеть или активно использовать уже имеющуюся, eWeek Labs настоятельно рекомендует не забывать о средствах обнаружения попыток радиовзлома. Сегодняшний рынок предлагает широчайший выбор продуктов, способных выявить множество проблем с безопасностью и производительностью беспроводных технологий.

Однако результаты тестирования изрядного количества подобных решений свидетельствуют: перед тем как вкладывать деньги в новые средства защиты, стоит внимательно разобраться, что именно нужно защищать в своей беспроводной инфраструктуре. Не исключено, что тех же целей можно добиться с помощью уже имеющихся средств.

Системы предупреждения взломов в беспроводных сетях бывают самые разные. Среди них можно встретить карманные устройства, позволяющие выявлять причины неполадок в конкретном месте и в конкретное время, встроенные функции точек доступа и управляемых коммутаторов, а также распределенные массивы датчиков, контролирующих защищаемую сеть 24 ч в сутки.

Как показала проведенная в eWeek Labs проверка, фирмы AirMagnet, AirDefense и Network Chemistry предлагают самую современную, лучшую в своем классе систему охраны сетевых рубежей. Их продукты продемонстрировали отличные функции обеспечения безопасности и мониторинга производительности, равно как и богатый выбор опций, помогающих администратору оперативно узнавать о неполадках.

AirDefense демонстрирует удобную логическую схему подключений беспроводных устройств

Современные средства сетевой защиты быстро пополняются все новыми функциями, способными не только уведомлять о происходящем, но и быстро изолировать и блокировать подозрительные подключения по проводам и без них. Кроме того, подобные продукты все чаще используют методы локации для принятия обоснованных решений.

Опасность в эфире

Недавно появился целый ряд сообщений о брешах в механизме аутентификации RADIUS (Remote Authentication Dial-In User Service - сервис дистанционной аутентификации пользователей по коммутируемым каналам), который лежит в основе стандарта 802.11i. Тем не менее нельзя не отметить, что последний прошел долгий путь развития и в определенной степени сумел довести безопасность беспроводных сетей до уровня старых добрых проводных. Этого удалось достичь за счет реализации в беспроводных сетях стойкой криптозащиты по стандарту AES (Advanced Encryption Standard - улучшенный стандарт шифрования) и применения аутентификации 802.1x по отдельным портам.

И все же с целым рядом угроз стандарт 802.11i не может бороться по самой своей сути. В первую очередь это касается необслуживаемых точек доступа и клиентских узлов - они порой вообще находятся вне контроля со стороны отделов ИТ. Свою роль здесь играют также недостаточное внимание к конфигурации сети и несанкционированное пользование ею - все это не только снижает эффективность работы, но и способствует вторжениям исподтишка.

Сейчас много говорится об опасности нелегитимных точек доступа. Размещая их без ведома администратора в корпоративной сети, сотрудники прокладывают прямой путь для атак на свою ЛВС. Никакие сетевые экраны, установленные специалистами ИТ, никакие другие принимаемые ими защитные меры в этом случае не дают ни малейшего эффекта.

И все же главную опасность создают неправильно настроенные и незащищенные клиентские устройства. Широкое распространение хот-спотов и домашней беспроводной техники ведет к тому, что сотрудники привыкают пользоваться такой связью в самых разных местах. А чтобы сохранить свободу перемещения, они зачастую оставляют конфигурацию своих беспроводных сетевых устройств в исходном, а значит, незащищенном состоянии. При включении их компьютеры начинают искать открытые беспроводные ЛВС и могут без ведома владельца подключиться к ближайшей точке доступа, кому бы она ни принадлежала.

Все это учитывается при организации так называемых "посреднических" атак. Несложный анализ эфира позволяет вскрыть имя сети и получить информацию о канале связи, в результате хакеру не составляет труда установить собственную фальшивую точку доступа. После этого ему достаточно имитировать пакет о сбое аутентификации, чтобы беспроводной клиент прервал связь с легитимной точкой доступа. А когда это произошло, новый сеанс вполне может быть инициализирован уже с хакерской точкой, откуда нетрудно затем считать данные и пароли. Если же адаптер беспроводной ЛВС окажется еще и связанным с сетевой платой Ethernet, злоумышленник получит доступ в обе сети, успешно обойдя все периферийные рубежи обороны.

 Система Highwall не позволит импортировать план помещения даже администратору

В ходе тестирования были сделаны интересные наблюдения относительно того, что происходит на неправильно сконфигурированном клиенте, который подключен как к внутренней проводной сети, так и к неизвестной беспроводной. Мы наблюдали, как другие проводные клиенты получали свои адреса DHCP (Dynamic Host Configuration Protocol - протокол динамической конфигурации хост-компьютера) с удаленного сервера беспроводной сети. Отметили мы и то, что плохо настроенный клиент становился платформой для взлома защищенной сети.

Здесь на помощь приходят беспроводные средства обнаружения атак, которые эффективно выявляют неизвестные точки доступа и открытые клиентские подключения. А лучшие из них позволяют определять, подключен чужак к защищенной сети или просто действует в том же участке эфира. Стоит также обратить внимание на то, насколько детально можно задать правила идентификации легитимных подключений и предупреждения о нелегитимных.

Аппаратный разрыв сокращается

Результаты тестирования eWeek Labs наглядно продемонстрировали, что наилучшей функциональностью и наибольшим охватом обладают беспроводные оверлейные сети. В то же время такие производители, как фирма Aruba Wireless Networks, быстро устраняют этот разрыв, оснащая новыми функциями все свои средства доступа к инфраструктуре. Подобную тенденцию можно наблюдать и в точках доступа, и в коммутаторах ЛВС.

Чтобы сравнить возможности различных механизмов обнаружения взломов, мы попросили фирмы AirMagnet, AirDefense и Highwall Technologies предоставить нам свою продукцию. Как оказалось, с обнаружением имитируемых атак и выявлением посторонних устройств каждая из систем справляется неплохо, а вот в том, что касается датчиков, возможностей по выработке политики и средств уведомления, они различаются довольно сильно.

AirMagnet идентифицирует средства атаки и дает полезные советы

Впрочем, производители систем обнаружения беспроводных взломов сейчас чуть ли не наперегонки стремятся оснащать свою продукцию все новыми и новыми функциями. Уже этой осенью, скажем, мы рассчитываем увидеть существенное обновление систем AirDefense и AirMagnet. А быстрое совершенствование процессов обнаружения и корреляции дает пользователям основания надеяться на то, что следующие версии продуктов смогут лучше определять местоположение клиентских устройств и справляться с радиопомехами.

Особенно важно на данном этапе обеспечить эффективную локацию клиента, пока эта функция оставляет желать лучшего. При тестировании местоположение автоматически определялось лишь на расстоянии около 10 м, что соответствует площади охвата примерно 314 кв. м. За пределами этого участка мы вынуждены были переходить на ручной поиск.

Одна из проблем при использовании распределенных беспроводных оверлейных сетевых решений связана с тем, что для них требуется отдельная сеть с независимым управлением. Другими словами, ИТ-подразделениям приходится развертывать массу дополнительных датчиков, обеспечивать их энергией и следить за сетевыми подключениями. А поскольку многие беспроводные сети уже сейчас развернуты поверх проводной инфраструктуры, все это грозит привести к бесконтрольному умножению сетевых уровней.

Хорошую альтернативу здесь могут составить средства беспроводной инфраструктуры, быстро осваивающие функции обнаружения взломов. Интеграция датчиков в беспроводную инфраструктуру позволяет более гибко блокировать подозрительные подключения, используя "черные списки" и методы отказа в беспроводном обслуживании. Если цель корпоративного пользователя - заменить первые поколения беспроводного оборудования ради поддержки стандарта 802.11i, такой подход полностью удовлетворит его потребности и в обеспечении доступа, и в налаживании мониторинга сети.

Точки доступа таких производителей беспроводных коммутаторов, как Airespace или Trapeze Networks, через определенные промежутки времени самостоятельно сканируют все каналы, что предусмотрено самой программой их работы в обычном режиме. Это помогает находить "чужие" точки доступа, но эффективно выявлять сетевые атаки и следить за работой клиента не позволяет. По нашим прогнозам, примерно через год в той или иной мере обнаруживать посторонних смогут все точки доступа корпоративного класса. Такая функция, например, уже появилась в точке доступа Cisco Systems. Правда, возможности ее пока ограниченны, да и доступна она только при наличии механизма Wireless LAN Solution Engine этой же фирмы.

Несколько дальше пошла фирма Aruba, интегрировавшая обнаружение атак в свою инфраструктурную продукцию. Ее точки доступа можно не только настраивать на мониторинг одного канала, но и применять в качестве датчика для просмотра всего спектра частот.

Предлагаются также решения на базе карманных и портативных компьютеров. Но они позволяют получать данные лишь на момент проверки и поэтому для мониторинга безопасности не подходят, однако могут оказать неоценимую помощь в оперативном выявлении посторонних точек доступа и их блокировании. Это очень нужно хотя бы потому, что поиск оверлейными и инфраструктурными средствами зачастую дает большие ошибки.

По результатам тестирования лучшим решением в своем классе мы признали систему Laptop Trio фирмы AirMagnet, хотя AiroPeek NX фирмы WildPackets и Observer 10 фирмы Network Instruments также показали неплохие результаты.