Monitorowanie i bezpieczeństwo korporacyjnej sieci WLAN

Oprócz stworzenia właściwej infrastruktury, równie ważnym elementem jest zapewnienie sieci bezprzewodowej odpowiedniego poziomu bezpieczeństwa, a następnie reagowanie na zagrożenia, audyt i stałe monitorowanie całości. Znakomitym przykładem tego, jak wciąż niezbyt poważnie traktuje się bezpieczeństwo, jest niedawna historia grupy TJX - amerykańskiej sieci domów handlowych. Z TJX przez niemal dwa lata wypływały rozmaite informacje - w tym ponad 94 mln numerów kart kredytowych, a ataki prowadzone były właśnie poprzez źle zabezpieczoną sieć WLAN.

Oprócz stworzenia właściwej infrastruktury, równie ważnym elementem jest zapewnienie sieci bezprzewodowej odpowiedniego poziomu bezpieczeństwa, a następnie reagowanie na zagrożenia, audyt i stałe monitorowanie całości. Znakomitym przykładem tego, jak wciąż niezbyt poważnie traktuje się bezpieczeństwo, jest niedawna historia grupy TJX - amerykańskiej sieci domów handlowych. Z TJX przez niemal dwa lata wypływały rozmaite informacje - w tym ponad 94 mln numerów kart kredytowych, a ataki prowadzone były właśnie poprzez źle zabezpieczoną sieć WLAN.

Monitorowanie i bezpieczeństwo korporacyjnej sieci WLAN

Ataki coraz częściej kierowane są wprost przeciwko stacjom klienckim, a wymierzone są w słabość sterowników kart bezprzewodowych. Powyżej Metasploit - atak na sterowniki Broadcom (źródło: sans.edu).

Na pierwszy rzut oka wydaje się, że z punktu widzenia bezpieczeństwa nic poza medium transmisyjnym nie różni sieci WLAN od LAN. Tak nie jest. Poza nośnikiem mamy do czynienia z innymi standardami i protokołami, inne mogą być także zastosowania sieci bezprzewodowych. Także sam charakter medium - fale radiowe - sprawia, że na horyzoncie pojawiają się inne zagrożenia.

Podstawowe problemy, które niekoniecznie dotyczą tylko sieci korporacyjnych, wiążą się z wykorzystywanymi technologiami. Ogólnie znane są bolączki związane z zastosowaniem poszczególnych protokołów na czele z prehistorycznym już (choć o zgrozo ciągle jeszcze spotykanym) WEP-em. Ale nie tylko WEP jest wrażliwy. Możliwe jest przeprowadzanie całej masy ataków także na inne protokoły. Jako przykłady mogą posłużyć ataki słownikowe na protokół LEAP (np. narzędzie Asleap), czy ataki na WPA/WPA2 przy wykorzystaniu np. oprogramowania coWPAtty 4.0 (z udziałem kilkugigowych słowników).

Z winy procedury 4-way handshake w WPA jest możliwe przeprowadzenie ataku typu DoS. Do tego dochodzą ataki spoofingowe przy użyciu komunikatów 802.1x (np. EAPoL Logoff czy EAP Failure). Zagrożenie mogą stanowić także uważane za dosyć bezpieczne PEAP i TTLS - jeżeli zostaną niewłaściwie skonfigurowane (ataki podszywania np. pod punkt dostępowy i serwer RADIUS).

Innym przykładem jest narzędzie Rcovert. Za jego pomocą możliwe jest ustanowienie ukrytego kanału komunikacji przy wykorzystaniu ramek ACK. Ramki te uważane są za nieszkodliwe i ich zawartość z reguły nie podlega inspekcji i niejednokrotnie umyka uwadze analizatorów WLAN.

To tylko kilka spośród wielu przykładów. Ataki coraz częściej kierowane są wprost przeciwko stacjom klienckim, a wymierzone są w słabość sterowników kart bezprzewodowych (np. pod koniec zeszłego roku odkryto podatność sterowników kart firmy Broadcom. Atak można przeprowadzić m.in. z poziomu platformy Metasploit).

Ogólnie więc przyjmijmy, że zagrożenia dla korporacyjnych sieci WLAN można podzielić na trzy podstawowe grupy wg filarów bezpieczeństwa, którymi są: poufność, dostępność i integralność.

Do pierwszej grupy można zaliczyć takie zagrożenia, jak kradzież czy nieuprawniony dostęp do danych np. poprzez zastosowanie technik sniffingu, które w środowisku bezprzewodowym są teoretycznie prostsze do przeprowadzenia niż w sieciach przewodowych - przechwycić ruch może każdy, kto znajduje się w zasięgu sieci bezprzewodowej. Pytanie, co z tego ruchu będzie mógł wyłowić. Stąd zabezpieczanie się poprzez zastosowanie rozmaitych technik szyfrujących, których implementacje nie są przecież wolne od wad i błędów.

Monitorowanie i bezpieczeństwo korporacyjnej sieci WLAN

Pracownik, kontraktor czy inna osoba znajdująca się na terenie firmy może łatwo podłączyć do sieci własny access point. Tym bardziej że kwota 150 zł, jaką trzeba przeznaczyć na prosty punkt dostępowy, zachęca wręcz do "eksperymentowania". Na zdjęciu "kieszonkowy" D-Link DWL-G730AP.

Zagrożenia wymierzone przeciwko dostępności to przede wszystkim ataki Denial of Service. Ataki te przybierają rozmaitą formę, a ich celem jest w większości przypadków uniemożliwienie skorzystania z połączenia bezprzewodowego. Często skierowane są bezpośrednio przeciwko punktom dostępowym (ale także protokołom czy stacjom klienckim) i wykorzystują ich słabości, np. wysłanie ciągu pakietów, które spowodują zawieszenie się urządzenia. Część ataków DoS może być ukierunkowana na zmuszenie urządzenia do restartu. Wówczas atakujący jest w stanie podjąć próbę przesłania określonych informacji w fazie uruchamiania urządzenia, kiedy polityki zabezpieczające nie są jeszcze aktywne.

Przeprowadzenie podstawowych ataków DoS wcale nie musi być zadaniem złożonym. Proste urządzenia zakłócające potrafią dość brutalnie odciąć klientów od punktów dostępowych. Od razu nasuwa się pytanie - Dlaczego tak łatwo zakłócić sygnał? Spowodowane jest to poprzez standardy ściśle regulujące moc nadajników w sieciach radiowych. Standardy te jednak nie obowiązują włamywaczy, którzy uruchamiają nieskomplikowane urządzenia dysponujące znacznie większą "siłą rażenia".

Trzecia grupa to naruszenia w sferze integralności danych. W grę mogą tutaj wchodzić wszelkie techniki spoofingu, w tym również umieszczanie nieautoryzowanych punktów dostępowych. Celem takich działań może być wykradnięcie informacji potrzebnych do uwierzytelnienia w sieci od uprawnionej stacji klienckiej. Podszywanie często realizowane jest za pomocą technik MITM (Man-In-The-Middle) i przechwytywania sesji klienckiej.

W raportach na temat najpoważniejszych zagrożeń korporacyjnych sieci bezprzewodowych pojawiają się nieautoryzowane punkty dostępowe. I na tym zagrożeniu skupimy naszą uwagę. Spowodowane jest to w dużej mierze łatwością, z jaką każdy pracownik, kontraktor czy inna osoba znajdująca się na terenie firmy może podłączyć do sieci własny access point. Tym bardziej że kwota 150 zł, jaką trzeba przeznaczyć na prosty punkt dostępowy, zachęca wręcz do "eksperymentowania".

Jak się zabezpieczyć

Zabezpieczenie sieci WLAN to nie tylko stosowanie odpowiednich technologii, które ją tworzą, a więc protokołów, silnych haseł w przypadku PSK (Pre Shared Key), serwerów uwierzytelniania, 802.1x, itp. O tym pisze się dużo. Dokładnie należy przyjrzeć się takim zjawiskom, jak chociażby propagacja fal radiowych. Audytorzy badający sieci WLAN wskazują, że większość analizowanych korporacji nie dba o odpowiednie ekranowanie i "tuning" siły sygnału swoich punktów dostępowych. Stąd w promieniu kilku, kilkudziesięciu metrów od siedziby firmy można uzyskać silny sygnał pozwalający na sniffing płynących w "powietrzu" danych.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200