前言如果你想保護(hù)企業(yè)的關(guān)鍵數(shù)據(jù)，那么企業(yè)環(huán)境下的WiFi網(wǎng)絡(luò)安全絕對(duì)是你不能忽略的威脅因素。

其實(shí)很多企業(yè)根本就不在意這個(gè)方面，但我們認(rèn)為這是最基本的風(fēng)險(xiǎn)評(píng)估，因?yàn)槿绻愕耐{模型里出現(xiàn)了一名意愿和技術(shù)均足夠強(qiáng)大的攻擊者，那么你公司的WiFi網(wǎng)絡(luò)將“毫無(wú)”安全可言。為了保護(hù)企業(yè)WiFi，你要做的事情有很多。

再加上新型的KRACK攻擊正在肆虐，這些威脅嚴(yán)重程度就變得更加恐怖了。

因此，我們認(rèn)為保護(hù)企業(yè)WiFi安全勢(shì)在必行，接下來(lái)讓我們一起看一看到底該如何去做。

最大程度的控制毫無(wú)疑問(wèn)，保護(hù)企業(yè)WiFi安全的最佳方法就是對(duì)整個(gè)無(wú)線網(wǎng)絡(luò)系統(tǒng)進(jìn)行拆分和隔離。

在企業(yè)WiFi網(wǎng)絡(luò)內(nèi)的任何設(shè)備在使用之前都應(yīng)該更新到最新版本的固件。

要完全對(duì)企業(yè)環(huán)境下員工使用WiFi設(shè)備的網(wǎng)絡(luò)區(qū)域進(jìn)行完全性的物理和邏輯分隔，使用不同的ISP，不同網(wǎng)絡(luò)之間不要相互連接。除了上述兩點(diǎn)之外，還要結(jié)合移動(dòng)設(shè)備的VPN策略。修復(fù)訪問(wèn)點(diǎn)安全缺陷，針對(duì)類似KRACK這樣的威脅部署防御策略。使用安全性最高的密碼套件，確保只使用TLS 1.2。

其他優(yōu)秀的控制策略除了上述幾點(diǎn)必要的控制措施之外，我們?cè)谶@里還給大家推薦了下面一些可以參考使用的控制策略。

可能大家無(wú)法完全實(shí)現(xiàn)這里列舉出的所有方案，但是我們建議大家盡可能地去實(shí)現(xiàn)它們。MAC地址白名單。

WiFi和其他網(wǎng)絡(luò)環(huán)境下的VLAN隔離，限制WiFi Vlan的可訪問(wèn)資源。

移除或禁用無(wú)線接入點(diǎn)的WPS功能，購(gòu)買和使用企業(yè)級(jí)無(wú)線網(wǎng)絡(luò)設(shè)備。

使用支持企業(yè)級(jí)WPA2(802.1x)的設(shè)備，對(duì)WiFi網(wǎng)絡(luò)進(jìn)行VLAN隔離，為每一個(gè)隔離網(wǎng)絡(luò)設(shè)置防火墻規(guī)則以及其他的控制策略。

對(duì)于不同的Vlan，確保屏蔽了點(diǎn)到點(diǎn)的通信，這樣一來(lái)所有接入了訪問(wèn)點(diǎn)的設(shè)備都需要通過(guò)AP來(lái)進(jìn)行通信，這樣便于實(shí)現(xiàn)網(wǎng)絡(luò)的監(jiān)控。

隱藏SSID，通過(guò)不可見(jiàn)性實(shí)現(xiàn)安全保護(hù)。

保護(hù)接入點(diǎn)的物理訪問(wèn)狀態(tài)，不要將WPA2密碼貼在墻上。

確保WiFi信號(hào)不會(huì)離開(kāi)受保護(hù)區(qū)域，測(cè)試并控制WiFi信號(hào)強(qiáng)度。

為臨時(shí)訪客設(shè)置不同的WiFi SSID和訪問(wèn)權(quán)限;修改/禁用無(wú)線接入點(diǎn)的管理員默認(rèn)憑證;定期進(jìn)行流氓WiFi接入點(diǎn)掃描;部署入侵防護(hù)系統(tǒng)以及入侵檢測(cè)系統(tǒng)，實(shí)時(shí)監(jiān)控WLAN系統(tǒng)。

識(shí)別企業(yè)WiFi所有使用到的內(nèi)部接口，并部署訪問(wèn)控制策略。

使用企業(yè)級(jí)WiFi網(wǎng)關(guān)以及外部防火墻;

1. 相關(guān)安全協(xié)議及服務(wù)IPSec(Internet ProtocalSecurity)和VPN(Virtual Private Network)都可以用來(lái)保護(hù)WiFi網(wǎng)絡(luò)的安全;使用TLS(Transport Layer Security)在WiFi認(rèn)證系統(tǒng)上實(shí)現(xiàn)遠(yuǎn)程用戶撥號(hào)認(rèn)證服務(wù)(RADIUS)：擴(kuò)展認(rèn)證協(xié)議(EAP)結(jié)合TLS(EAP-TLS);關(guān)閉所有的無(wú)線管理功能;

2. 其它定期分析和審計(jì)所有的無(wú)線控制日志;防火墻配置：對(duì)于企業(yè)網(wǎng)絡(luò)環(huán)境來(lái)說(shuō)，這是非常重要的一點(diǎn)。在防火墻的保護(hù)下，安全性會(huì)顯著提升。

3. 隱私保護(hù)控制在所有設(shè)備上使用MAC地址隨機(jī)化即可實(shí)現(xiàn)隱私保護(hù)控制。