無(wú)線局域網(wǎng)入侵檢測(cè)研究.pdf

1、自802.11協(xié)議推出以來(lái)，作為安全機(jī)制基礎(chǔ)的WEP協(xié)議一直存在嚴(yán)重安全缺陷。IEEE為了改進(jìn)WEP協(xié)議的安全問(wèn)題，先后推出了WPA，IEEE 802.11i等標(biāo)準(zhǔn)。但是這些標(biāo)準(zhǔn)主要在加密、認(rèn)證等技術(shù)方面加強(qiáng)了無(wú)線網(wǎng)絡(luò)協(xié)議的安全性，隨著攻擊行為的復(fù)雜化、多樣化，攻擊范疇已不僅僅只局限于認(rèn)證和加密方面。為了全方位提升無(wú)線局域網(wǎng)的安全性，引入入侵檢測(cè)系統(tǒng)很有必要。 當(dāng)前無(wú)線局域網(wǎng)入侵檢測(cè)主要存在兩個(gè)問(wèn)題：一是無(wú)線局域網(wǎng)入侵檢測(cè)尚未形

2、成體系，大多還是按照以傳統(tǒng)網(wǎng)絡(luò)的攻擊作為入侵檢測(cè)的數(shù)據(jù)源。這些攻擊大多基于TCP/IP協(xié)議，集中在網(wǎng)絡(luò)層和應(yīng)用層。而IEEE 802.11協(xié)議只定義了物理層和MAC層的技術(shù)規(guī)范，因此針對(duì)無(wú)線局域網(wǎng)的攻擊和檢測(cè)研究限于這兩層才具有針對(duì)性。多數(shù)無(wú)線入侵檢測(cè)系統(tǒng)建立在網(wǎng)絡(luò)層以上，只是底層采用無(wú)線局域網(wǎng)的接口采集數(shù)據(jù)，這樣的結(jié)果可能會(huì)導(dǎo)致檢測(cè)效率不高并直接增加了網(wǎng)絡(luò)層及其以上的開(kāi)銷(xiāo)。其二是無(wú)線局域網(wǎng)入侵檢測(cè)能檢測(cè)的內(nèi)容不多，能檢測(cè)的到無(wú)線攻擊很

3、少，對(duì)已知或理論上證實(shí)存在的無(wú)線局域網(wǎng)的攻擊研究不夠，不易仿真實(shí)現(xiàn)，部分文獻(xiàn)提供的入侵檢測(cè)方案缺少實(shí)驗(yàn)支持。 根據(jù)CIDF框架，建立一個(gè)完整的入侵檢測(cè)系統(tǒng)需要解決事件采集、分析和響應(yīng)的問(wèn)題。本文根據(jù)這個(gè)框架，做了無(wú)線局域網(wǎng)攻擊和檢測(cè)兩方面的研究。在入侵檢測(cè)系統(tǒng)中，采用的數(shù)據(jù)源是檢測(cè)和決策的基礎(chǔ)。無(wú)線局域網(wǎng)的攻擊有別于傳統(tǒng)網(wǎng)絡(luò)的攻擊類(lèi)型，為了熟悉無(wú)線局域網(wǎng)攻擊特點(diǎn)提高檢測(cè)效率，本文首先研究了無(wú)線局域網(wǎng)的數(shù)據(jù)源問(wèn)題即攻擊問(wèn)題。在80

4、2.11協(xié)議中，MAC層采用CSMA/CA而非CD協(xié)議，這種碰撞回避而非碰撞檢測(cè)機(jī)制很容易遭致攻擊。本文分析了幾種無(wú)線局域網(wǎng)經(jīng)常遭受的攻擊：非法AP欺騙、MAC地址欺騙以及拒絕服務(wù)（DoS）攻擊，分析他們的攻擊原理以及攻擊特點(diǎn)，并利用開(kāi)源的Lorcon庫(kù)函數(shù)，向無(wú)線局域網(wǎng)發(fā)送特定的控制幀管理幀，來(lái)模擬DoS攻擊。 其次，在檢測(cè)方面，本文提出了基于MAC層的無(wú)線入侵檢測(cè)方案。底層通過(guò)Libpcap函數(shù)捕獲MAC層的控制幀和管理幀，

5、解碼后，通過(guò)特征匹配算法和統(tǒng)計(jì)分析等算法，檢測(cè)到攻擊者對(duì)MAC層的DoS攻擊。本文根據(jù)無(wú)線攻擊的特點(diǎn)且數(shù)據(jù)源主要來(lái)自網(wǎng)絡(luò)，在檢測(cè)方法的選擇上，考慮到無(wú)線局域網(wǎng)的動(dòng)態(tài)性，不易建立異常檢測(cè)的模型，采用誤用檢測(cè)方法，并在特征匹配時(shí)采用BM算法。最后本文設(shè)計(jì)了一個(gè)基于MAC層的實(shí)驗(yàn)檢測(cè)系統(tǒng)，檢測(cè)到了無(wú)線局域網(wǎng)的Disassociation、RTS/CTS等幾種DoS攻擊。該實(shí)驗(yàn)系統(tǒng)為基礎(chǔ)結(jié)構(gòu)無(wú)線局域網(wǎng)的入侵檢測(cè)研究提供了一種基礎(chǔ)方法。由于各種基