SP 800-153无线局域网（WLAN）安全指南

背景

NIST SP 800-153 文件是为了指导基于 IEEE 802.11 规范的 WLAN 连接的安全而制定的。它旨在为 IoT 连接提供安全基础，包括与智能城市和汽车相关的应用。但需要明确的是，它并不替代其他与通信安全有关的 NIST 文件和标准，而是作为一种补充。

https://csrc.nist.gov/pubs/sp/800/153/final

摘要

WLAN 网络架构：WLAN 连接是指在特定地理区域内进行网络设备之间的无线通信，例如用于建筑自动化或工业环境。构建 WLAN 的主要包括三个要素：

1）允许连接的网关/路由器，

2）连接到这些路由器的设备（CE），

3）无线访问点（WAP 或 AP）

它们是允许连接的硬件组件，即使没有路由器信号覆盖。要保护网络及其组件，需要采取不同的安全措施，这篇文件的主要关注点是网络本身，而不是连接到网络的设备。

安全评估和监控：NIST 提出了关于 WLAN 安全评估和监控的重要建议。这两个术语描述了组织定期或连续进行 WLAN 网络系统的安全性、流量和行为评估和监控的过程。其中很多建议涉及到攻击者通过 WLAN 到有线连接的通道，但这与本安全研究无关。

被动威胁：SP 800-153指出，攻击者可以被动地窃听WLAN连接，收集有关所有相关方、消息内容和所有相关情报的信息。持续监视汽车系统要比企业设置更具挑战性。对这种威胁的监控通常是不够的，因为攻击者只是窃听，而不是生成流量。因此，建议在预定的时间间隔内或在发现可疑网络变化后监视汽车系统。这可以通过使用专门的系统，如入侵检测和预防系统（IDPS）在本地实现。

主动威胁：欺诈者还可以积极参与拒绝服务（DoS）攻击，使用重放攻击来伪装成合法用户，请求从连接的系统或在线资源获取信息，甚至修改已发送的任何消息。这种情况需要更复杂的安全工具，包括设置请求数量的阈值（DoS 防护），使用用户和实体行为分析（UEBA）来有效监控网络流量和异常用户或系统行为，以及使用无线 IDPS 传感器来防止恶意设备冒充其他系统的身份。这称为车载 IDPS，用于检测汽车电子控制单元（ECU）中的异常行为。

确定 WLAN 安全要求：与有线连接相比，所有无线连接都被认为更不安全。因此，组织应仔细规划其目标应用的安全要求，这可能还涉及到来自政府和监管机构，如国土安全部或政府问责办公室（GAO）的法律和法规。每个应用都有自己的威胁，公司应在设计 WLAN 网络蓝图之前提前研究这些威胁。本文的重点市场包括汽车、智能家居、智能城市以及相关应用，如连接停车和汽车支付等。

架构建议和注意事项：NIST 明确指出，安全架构不仅应关注组织的 WLAN 网络，还应考虑通过该网络可以访问其他网络的方式。此外，分离 WLAN 并以不同方式处理安全问题也应该是重点，例如，内部使用与外部使用、高优先级或关键系统与次要功能等。这是为了解决一个重要的安全问题，即网络通道隧道。网络攻击者可以通过架构上的漏洞从一个不安全的次级子网络（例如访客网络）跳跃到一个更高安全性的子网络（例如企业网络）。这也适用于可以连接到多个无线接口的设备，例如既能无线连接又能有线连接的笔记本电脑或智能手机设备。要解决这些问题，有以下建议：

• 配置系统以拒绝其他网络接口（或至少只允许某些接口）

• 部署 OTA（空中）更新或专门的软件，允许在 WLAN 或有线连接中连接，但不允许同时连接两者

• 强制使用主机级别的工具（网关防火墙和入侵检测/预防系统）来防止外部网络访问车载系统

• 考虑到一些设备或编码不佳的第三方车载娱乐应用程序有时可能会使上述措施无效

  
  

注释

需要注意的是，本文中的一些见解与 NIST 的 SP 800-187《LTE 安全指南》中涵盖的内容相似。许多攻击也相似，但与蜂窝通信有关，而不是 WLAN。这些见解还与联合国欧洲经济委员会（UNECE）有关软件更新流程的建议中的分析相似。综合考虑这三个文件，可以更全面地了解保护连接车辆通信的三个关键威胁向量，包括：

a）保护蜂窝连接并维护数据完整性和机密性，

b）保护 OTA 安全更新并标准化这些更新的方式，

c）解决无线访问通信的安全问题，这对与某些智能城市应用的通信产生直接影响，也被认为是连接车辆的未来发展的重要方面。

原文始发于微信公众号（安全脉脉）：SP 800-153无线局域网（WLAN）安全指南