无线网络应用中安全治理的几点建议

使用无线加密协议 　　无线加密协议(WEP)是无线网络上信息加密的一种标准方法，它可以对每一个企图访问无线网络的人的身份进行识别，同时对网络传输内容进行加密。很多无线设备厂商为了使产品安装简单易行，都把他们产品的出厂配置设置成禁止WEP模式，这样做最大的弊端是数据可以被直接从无线网络上读取，因此黑客从你的无线网络建成开始就能立即扫描该无线网络上的各类信息。使用无线加密协议尽管不是完美的方法，但假如能够正确使用WEP的全部功能，那么WEP仍提供了在一定程度上比较公道的安全措施，对阻止黑客仍然有一定效用。 　　(注：在目前建议使用WPA等新一些的加密协议，WEP密钥的破解已经非常成熟，通常破解一个正在使用中的无线网的WEP密钥2个小时就可以实现，成功率是100%，而破解WPA则需要很长的时间和复杂的配置，成功率也低一些。) 　　封闭网络线路 　　无线网络和有线网络的一个最大的区别在于：无线网络可以从天线答应范围内的任意一点接进，而有线网络只有限定的若干固定的接进点。保障无线网络的安全比保障有线网络的安全要困难得多。保证无线接进点安全的关键是禁止非授权用户访问网络，即安全的接进点对非授权用户是封闭的。 　　设计天线的放置位置 　　使无线接进点保持封闭的第一步是正确放置天线，从而限制能够到达天线有效范围的信号量。天线的理想位置是目标覆盖区域的中心，并使泄露到墙外的信号尽可能的少。不过，完全控制无线信号是几乎不可能的，所以还需要同时采取其它一些措施来保证网络安全。 　　禁用动态主机配置协议 　　无线网络使用这个策略后，将迫使黑客往破解目标的IP地址，子网掩码，和其它必须的TCP/IP参数。由于即使黑客可以使用你的无线接进点，他还必须要知道你的IP地址。 　　禁用或修改SNMP设置 　　假如你的无线接进点支持SNMP(简单网络治理协议), 那么你需要禁用它或者修改默认的公共和私有的标识符。不这么做的话，黑客将可以利用SNMP获取关于你网络的重要信息。 　　尽量使用访问列表 　　设置一个访问列表可以更好地保护你的网络。假如你能够这样做的话，你就可以使无线路由器只答应部分MAC地址的网络设备进行通讯，或者禁止那些黑名单中的MAC地址访问。启用MAC地址过滤，无线路由器获取数据包后，就会对数据包进行分析。假如此数据包是从所禁止的MAC地址列表中发送而来的，那么无线路由器就会丢弃此数据包，不进行任何处理。因此对于恶意的主机，即使不断改变IP地址也没有用。但是，不是所有的无线接进点都支持这一功能，而且它必须手动输进MAC地址过滤标准。支持这项功能的接进点可以利用TFTP(简单文件传输协议)定期地来下载更新访问列表，从而避免了必须使所有设备上的列表保持同步的巨大的治理工作量。 　　改变服务集标识符并且禁止SSID广播 　　服务集标识符(SSID)是无线接进的身份标识符，是无线网络用于定位服务的一项功能，用户用它来建立与接进点之间的连接，为了能够进行通讯，无线路由器和主机必须使用相同的SSID。这个身份标识符是由通讯设备制造商设置的，并且每个厂商都用自己的缺省值。例如，3COM的设备都用“101”。在通讯过程中，无线路由器首先广播其SSID，任何在此接收范围内的主机都可以获得SSID，使用此SSID值对自身进行配置后就可以和无线路由器进行通讯。知道这些标识符的黑客可以不经过授权就享受你的无线服务。尽管目前大部分无线路由器都已经支持禁用自动广播SSID功能，你仍需要给你的每个无线接进点设置一个唯一并且难以推测的SSID，同时尽可能禁止你的SSID向外广播。这样，你的无线网络就不能通过广播的方式来吸纳更多用户，这不是说你的网络不可用，只是它不会出现在可使用网络的名单中。