Политика безопасности wi fi

Политика безопасности беспроводных сетей

Специфика беспроводных сетей подразумевает, что данные могут быть перехвачены и изменены в любой момент. Для одних технологий достаточно стандартного беспроводного адаптера, для других требуется специализированное оборудование. Но в любом случае, эти угроза реализуются достаточно просто, и для противостояния им требуются эффективные криптографические механизмы защиты данных.

неконтролируемое использование и нарушение периметра;
несанкционированное подключение к устройствам и сетям;
перехват и модификация трафика;
нарушение доступности;
позиционирование устройства.

Широкое распространение беспроводных устройств и их небольшая стоимость приводят к тому, что в периметре сетевой безопасности возникают бреши. Здесь речь идет не только о злоумышленниках, подключивших КПК с поддержкой Wi-Fi к проводной сети компании, но и о более тривиальных вещах. Активный беспроводной адаптер на подключенном к корпоративной сети ноутбуке, принесенная из дома для тестирования точка доступа — все это может стать удобными каналами для проникновения во внутреннюю сеть.

Недостаточная аутентификация, ошибки в системе разграничения доступа позволяют осуществлять несанкционированное подключение. Различные методы атак на Bluetooth и Wi-Fi, направленные на реализацию этих угроз, будут рассмотрены в этой и последующих главах книги.

По своей природе беспроводные сети не могут обеспечивать высокую доступность. Различные природные, техногенные и антропогенные факторы могут эффективно нарушать нормальное функционирование радиоканала. Этот факт должен учитываться при проектировании сети, и беспроводные сети не должны использоваться для организации каналов при высоких требованиях по доступности.

Станции Wi-Fi могут быть легко обнаружены пассивными методами, что позволяет с достаточно большой точностью определять местоположение беспроводного устройства. Например, система Navizon может использовать для определения местоположения мобильного устройства систему GPS, базовые станции GSM и точки беспроводного доступа. Что касается Bluetooth, то использованию этой технологии для определения местоположения владельца мобильного телефона (к примеру) посвящен ряд серьезных работ. Те, кому интересны эти проблемы, могут начать ознакомление с ними с публикаций Джозефа Хэллберга (Josef Hallberg) и Маркус Нильсона (Marcus Nilsson) «Positioning with Bluetooth» и Силке Фельдман с коллегами «An indoor Bluetooth-based positioning system: concept, Implementation and experimental evaluation».

Политика безопасности в отношении беспроводных сетей может быть представлена как в виде отдельного документа, так и в составе других составляющих нормативного обеспечения безопасности. В большинстве случаев наличие отдельного документа не требуется, поскольку положения политики в отношении беспроводных сетей во многом пересекаются с традиционным содержанием подобных документов. Так, например, требования по физической защите точек доступа вполне перекрываются вопросами физической безопасности активного сетевого оборудования. В связи с этим в виде отдельного документа политика беспроводной безопасности представлена в период внедрения WLAN, после чего, при очередном пересмотре документов гармонично вливается в другие.

Если беспроводные сети не используются, то политика безопасности должна включать в себя описание защитных механизмов, направленных на снижение рисков, связанных с несанкционированным использованием радиосетей. В основном здесь перечисляются те технологии, самовольное использование которых недопустимо, и описываются механизмы защиты, направленные на выполнение требований. Например, для снижения вероятности нарушения политики могут быть использованы механизмы защиты, приведенные в табл. 2.1. Здесь и далее положения политики безопасности (также называемой концепцией, основной политикой) приведены совместно с возможным содержанием требований безопасности (функциональная политика).
Основные положения политики безопасности беспроводных сетей

Требования к безопасности

Обучение пользователей и администраторов
ISO|IEC 27001 A.8.2.2

Пользователи должны знать и понимать изложенные в политике ограничения, а администраторы должны иметь необходимую квалификацию для предотвращения и обнаружения нарушений политики

Контроль подключений к сети
ISO|IEC 27001 A.11.4.3

Уровень риска, связанного с подключением несанкционированной точки доступа или клиента беспроводной сети, можно снизить путем отключения неиспользуемых портов коммутаторов, фильтрации по MAC-адресам (port-security), аутентификации 802.1X, систем обнаружения атак и сканеров безопасности, контролирующих появление новых сетевых объектов

Физическая безопасность
ISO|IEC 27001 A.9.1

Контроль приносимых на территорию устройств позволяет ограничить вероятность подключения к сети беспроводных устройств. Ограничение доступа пользователей и посетителей к сетевым портам и слотам расширения компьютера снижает вероятность подключения беспроводного устройства

Минимизация привилегий пользователя
ISO|IEC 27001 A.11.2.2

Если пользователь работает на компьютере с минимально необходимыми правами, то снижается вероятность самовольного изменения настроек беспроводных интерфейсов

Контроль политики безопасности
ISO|IEC 27001 6, A.6.1.8

Средства анализа защищенности, такие как сканеры уязвимостей, позволяют обнаруживать появление в сети новых устройств и определить их тип (функции определения версий ОС и сетевых приложений), а также отслеживать отклонения настроек клиентов от заданного профиля. Техническое задание на проведение работ по аудиту внешними консультантами должно учитывать требования политики в отношении беспроводных сетей

Инвентаризация ресурсов
ISO|IEC 27001 A.7.1.1

Наличие актуального обновляемого списка сетевых ресурсов облегчает обнаружение новых сетевых объектов

Обнаружение атак
ISO|IEC 27001 A.10.10.2

Применение систем обнаружения атак как традиционных, так и беспроводных дает возможность своевременно определять попытки несанкционированного доступа

Расследование инцидентов
ISO|IEC 27001 A.13.2

Инциденты, связанные с беспроводными сетями мало отличаются от других подобных ситуаций, однако процедуры их расследования должны быть определены

Для сетей, где беспроводные сети внедряются или используются, может потребоваться внесение дополнений в разделы политики, приведенные в таблице 2.2.

Таблица 2.2. Положения политики безопасности беспроводных сетей

Требования к безопасности

Нормативно-правовое обеспечение
ISO|IEC 27001 A.15.1.1

Использование беспроводных сетей может попадать под действие как российских, так и международных нормативных актов. Так, в России использование частотного диапазона 2,4 ГГц регулируется решением ГКРЧ от 6.11.2004 (04-03-04-003). Кроме того, поскольку в беспроводных сетях интенсивно используется шифрование, а применение криптографических средств защиты в ряде случаев попадает под довольно жесткие законодательные ограничения, необходимо проработать и этот вопрос

Внутренний и внешний аудит
ISO|IEC 27001 6, A.6.1.8

При проведении работ по оценке защищенности должны учитываться требования политики в отношении беспроводных сетей. Более подробно возможный состав работ по оценке защищенности WLAN описан в последней глава данной книги

Разделение сетей
ISO|IEC 27001 A.11.4.5

В связи со спецификой беспроводных сетей желательно выделять точки беспроводного доступа в отдельный сетевой сегмент с помощью межсетевого экрана, особенно когда речь касается гостевого доступа

Использование криптографических средств защиты
ISO|IEC 27001 A.12.3

Должны быть определены используемые протоколы и алгоритмы шифрования трафика в беспроводной сети (WPA или 802.11i). При использовании технологии 802.1X определяются требования к протоколам ЭЦП и длине ключа подписи сертификатов, используемых для различных целей

Аутентификация
ISO|IEC 27001 A.11.4.2

Должны быть определены требования к хранению данных аутентификации, их смене, сложности, безопасности при передаче по сети. Могут быть явно определены используемые методы EAP, методы защиты общего ключа сервера RADIUS

Контроль изменений в информационной системе
ISO|IEC 27001 A.12.5.1

Должны учитываться используемые в ИС беспроводные технологии.

Допустимость использования программного и аппаратного обеспечения.
ISO|IEC 27001 A.12.4.1

В этом разделе рассматриваются требования к точкам доступа, беспроводным коммутаторам и клиентам беспроводной сети.

Обнаружение атак
ISO|IEC 27001 A.10.10.2

Должны быть определены требования к системам обнаружения беспроводных атак, закреплена ответственность за анализ событий

Протоколирование и анализ событий безопасности
ISO|IEC 27001 A.10.10.1

Данный раздел может быть расширен путем добавления в список контролируемых событий, специфичных для беспроводных сетей. Может включать в себя предыдущий раздел

Удаленный доступ к сети
ISO|IEC 27001 A.11.7.2

В большинстве случаев пользователей беспроводной сети логично относить к пользователям систем удаленного доступа. Это обусловлено аналогичными угрозами и как следствие — контрмерами, характерными для данных компонентов ИС

Кроме того, в том или ином виде должны быть сформированы следующие документы:

инструкция для пользователей с учетом использования беспроводной сети;
базовые настройки точек доступа, беспроводных коммутаторов, рабочих станций;
процедуры контроля защищенности беспроводных сетей;
профили систем обнаружения атак;
процедуры по реагированию на инциденты в беспроводной сети.

Правильно построенная и соблюдаемая политика безопасности является надежным фундаментом защищенной беспроводной сети. Вследствие этого стоит уделять ей достаточное внимание, как на этапе внедрения сети, так и в ходе ее эксплуатации, отражая в нормативных документах изменения, происходящие в сети.

Как удалить свой ЦИФРОВОЙ СЛЕД в интернете?

Подпишитесь на наш ТГ канал и обретите свою цифровую свободу.

Источник