無線局域網(wǎng)入侵檢測研究.pdf

1、自802.11協(xié)議推出以來，作為安全機制基礎(chǔ)的WEP協(xié)議一直存在嚴(yán)重安全缺陷。IEEE為了改進(jìn)WEP協(xié)議的安全問題，先后推出了WPA，IEEE 802.11i等標(biāo)準(zhǔn)。但是這些標(biāo)準(zhǔn)主要在加密、認(rèn)證等技術(shù)方面加強了無線網(wǎng)絡(luò)協(xié)議的安全性，隨著攻擊行為的復(fù)雜化、多樣化，攻擊范疇已不僅僅只局限于認(rèn)證和加密方面。為了全方位提升無線局域網(wǎng)的安全性，引入入侵檢測系統(tǒng)很有必要。 當(dāng)前無線局域網(wǎng)入侵檢測主要存在兩個問題：一是無線局域網(wǎng)入侵檢測尚未形

2、成體系，大多還是按照以傳統(tǒng)網(wǎng)絡(luò)的攻擊作為入侵檢測的數(shù)據(jù)源。這些攻擊大多基于TCP/IP協(xié)議，集中在網(wǎng)絡(luò)層和應(yīng)用層。而IEEE 802.11協(xié)議只定義了物理層和MAC層的技術(shù)規(guī)范，因此針對無線局域網(wǎng)的攻擊和檢測研究限于這兩層才具有針對性。多數(shù)無線入侵檢測系統(tǒng)建立在網(wǎng)絡(luò)層以上，只是底層采用無線局域網(wǎng)的接口采集數(shù)據(jù)，這樣的結(jié)果可能會導(dǎo)致檢測效率不高并直接增加了網(wǎng)絡(luò)層及其以上的開銷。其二是無線局域網(wǎng)入侵檢測能檢測的內(nèi)容不多，能檢測的到無線攻擊很

3、少，對已知或理論上證實存在的無線局域網(wǎng)的攻擊研究不夠，不易仿真實現(xiàn)，部分文獻(xiàn)提供的入侵檢測方案缺少實驗支持。 根據(jù)CIDF框架，建立一個完整的入侵檢測系統(tǒng)需要解決事件采集、分析和響應(yīng)的問題。本文根據(jù)這個框架，做了無線局域網(wǎng)攻擊和檢測兩方面的研究。在入侵檢測系統(tǒng)中，采用的數(shù)據(jù)源是檢測和決策的基礎(chǔ)。無線局域網(wǎng)的攻擊有別于傳統(tǒng)網(wǎng)絡(luò)的攻擊類型，為了熟悉無線局域網(wǎng)攻擊特點提高檢測效率，本文首先研究了無線局域網(wǎng)的數(shù)據(jù)源問題即攻擊問題。在80

4、2.11協(xié)議中，MAC層采用CSMA/CA而非CD協(xié)議，這種碰撞回避而非碰撞檢測機制很容易遭致攻擊。本文分析了幾種無線局域網(wǎng)經(jīng)常遭受的攻擊：非法AP欺騙、MAC地址欺騙以及拒絕服務(wù)（DoS）攻擊，分析他們的攻擊原理以及攻擊特點，并利用開源的Lorcon庫函數(shù)，向無線局域網(wǎng)發(fā)送特定的控制幀管理幀，來模擬DoS攻擊。 其次，在檢測方面，本文提出了基于MAC層的無線入侵檢測方案。底層通過Libpcap函數(shù)捕獲MAC層的控制幀和管理幀，

5、解碼后，通過特征匹配算法和統(tǒng)計分析等算法，檢測到攻擊者對MAC層的DoS攻擊。本文根據(jù)無線攻擊的特點且數(shù)據(jù)源主要來自網(wǎng)絡(luò)，在檢測方法的選擇上，考慮到無線局域網(wǎng)的動態(tài)性，不易建立異常檢測的模型，采用誤用檢測方法，并在特征匹配時采用BM算法。最后本文設(shè)計了一個基于MAC層的實驗檢測系統(tǒng)，檢測到了無線局域網(wǎng)的Disassociation、RTS/CTS等幾種DoS攻擊。該實驗系統(tǒng)為基礎(chǔ)結(jié)構(gòu)無線局域網(wǎng)的入侵檢測研究提供了一種基礎(chǔ)方法。由于各種基