11种常见无线安全风险你无需承受

Wi-Fi虽然提升了工作效率，但也会造成严重的安全问题。了解任何企业如何发现并加强其无线安全设置。

无线安全风险影响整体网络安全性及韧性

最重要的是要承认无线生态系统存在安全漏洞。忽视已知的无线漏洞会导致无法缓解的风险，当出现问题时难以防御。

无线相关缺陷会带来不必要的业务风险，这些风险形式多样。明显的罪魁祸首——黑客试图通过恶意软件或中间人攻击获取网络访问——并不总是最需要关注的。最大的安全风险往往是最容易避免的。关注无线安全的基本方面能确保团队不会忽略一些最常见的风险。

常见无线安全风险

任何固有的Wi-Fi安全都无法抵消糟糕的无线实施和监督。智能的无线和移动安全方法既能保持业务资产受控，又能给予用户所寻求的计算自由。

一些IT和安全专业人士完全避开Wi-Fi，转而选择以太网更快的速度、更可靠的性能和更好的安全性。然而，避免使用该技术而非采用补偿控制并不总是最佳选择。并非所有设备都能轻松连接到以太网。移动设备（如手机）需要特殊适配器，但这些适配器并不总是提供。因此，网络团队解决无线缺陷对于拥有安全网络至关重要。

常见无线安全问题包括以下内容：

外部无线接入点和路由器

一些组织使用的无线AP和路由器不符合组织的补丁管理标准。连接的用户和外部攻击者会引入并利用漏洞，例如KRACK攻击。在家和旅行时的随机无线热点也可能使移动设备容易受到攻击。

监控不足

如果团队不监控网络是否遭受攻击和其他恶意使用，他们可能无法预防更大的无线安全风险。恶意软件感染和数据外泄可能对网络和企业造成严重损害。持续监控有助于团队在攻击开始前发现它们。除了安全性之外，无线监控还能帮助团队查看有用的指标，如无线速度、质量和性能。

网络信号频谱可视性有限

无线网络在三个频段上运行：2.4 GHz、5 GHz和6 GHz。如果没有对这些信号的可视性，团队将缺乏控制，并可能不必要地将其网络暴露于未经授权的无线信号。了解哪些设备在组织的无线网络频谱上运行，可以提醒IT和安全人员附近出现新的无线设备，例如主机和AP。Wi-Fi频谱分析仪等工具有助于获得无线信号频谱的可视性。

过时的无线安全协议

确保网络拥有最新的安全协议至关重要，尤其是在无线方面。过时的无线安全协议如WPA和WEP很容易被利用。大多数现代设备现在都配备了WPA2和WPA3安全协议。

无入侵者锁定功能的Wi-Fi Protected Setup

WPS是Wi-Fi上的一项功能，允许设备在短时间内无需密码即可连接。这可以通过按下按钮或输入8位PIN码来完成。然而，恶意行为者可以利用此功能。没有入侵者锁定，攻击者可以破解WPS PIN并捕获WPA加密密钥。

未包含Wi-Fi的网络访问控制

如果网络访问控制未将Wi-Fi纳入其范围，则只会提供虚假的安全感。未经身份验证和安全措施不当的设备可以访问网络的内部部分，从而造成安全风险。

无网页内容过滤

组织根据用户的不同拥有不同的网络。生产网络使员工能够连接到他们所需的资源，而访客Wi-Fi则供组织外部寻求互联网访问的人使用。两者都应具有网页内容过滤，尤其是在访客网络上。否则，可能会产生与人力资源规定的可接受使用策略相关的问题，并增加恶意软件感染的风险。

缺乏网络分段

访客Wi-Fi应与网络的其余部分保持分段，以保护专有数据的安全。在分段不当的有线和无线网络中，访客无线可以访问内部生产网络子网。

弱加密算法和协议

关键业务系统（如面向外部的服务器和Web应用程序）如果其算法和协议薄弱或过时，会间接构成无线安全风险。容易破解的包括Rivest Cipher 4和Triple Data Encryption Standard、Transport Layer Security 1.0以及Secure Sockets Layer 2.0。

无线网络不符合现有安全策略

当无线网络偏离现有的安全策略和响应计划时，它们会在发生事件或违规时留下无法防御的缺口。一致的安全审计和重新评估有助于缩小这些缺口。

WPA2

虽然它是当前无线网络上最常用的安全协议，但WPA2也容易受到字典破解攻击。切换到支持WPA3的设备可以最小化这种风险。然而，如果这不可能立即实现，使用长而复杂的密码或密钥可以最小化这种风险。

有些漏洞比其他漏洞更关键，这取决于具体情况。无论如何，修复已知的无线安全风险至关重要，无论上下文如何。上述大多数漏洞的修复也不需要增加网络预算。

WPA3防止无线安全弱点

最新的无线安全标准——WPA3——通过以下特性缓解了当前的Wi-Fi弱点：

• 一种有效消除字典攻击的密钥交换协议。
• 完美前向保密，防止黑客破解先前捕获的流量。
• Wi-Fi Certified Easy Connect，简化并保护无线连接过程。这取代了Wi-Fi Protected Setup，并支持物联网设备连接。
• 机会性无线加密，保护未经身份验证或开放服务集标识符连接。

即使组织实施了WPA3，它们仍然可能暴露于有人模仿合法AP的情况——即邪恶双胞胎漏洞。这种攻击自Wi-Fi诞生以来就一直存在。邪恶双胞胎攻击不仅可以利用网络系统和信息，而且组织很可能在发生时永远不知道。使用无线入侵防御系统来缓解此漏洞。

用户培训

用户培训虽然不能保证减少无线安全风险，但可以起到很大作用。与用户讨论连接到易受攻击或可利用的无线环境时可能发生和已经发生的攻击。鼓励使用VPN连接，并建议他们仅连接到受信任的无线网络。告诉他们永远不要禁用其端点安全控制，尤其是防火墙和反恶意软件。

用户培训不应是一次性的。持续培训对无线安全至关重要。培训不仅应涵盖基础知识，还应包括更新信息。这不仅包括新兴威胁，还包括技术。随着更多网络集成5G和AI功能，用户应了解它们如何影响网络。每季度审查安全策略，并确保用户每年至少接受两到三次培训。

Kevin Beaver是位于亚特兰大的Principle Logic, LLC的独立信息安全顾问、作家和职业演讲者。拥有超过30年的行业经验，Beaver专门从事漏洞和渗透测试，以及虚拟CISO咨询工作。