v1.14_WIDS

WIPS/WIDS - внутренний сервис точки доступа (ТД) по предотвращению и обнаружению вторжений в беспроводную сеть.

По своей сути этот механизм анализирует весь трафик в радио окружении ТД, делает вывод о наличии в сети угроз безопасности, оповещает о них администратора СУ и при необходимости предпринимает действия по подавлению этих угроз.

В текущем релизе ТД (1.17.0) поддерживается следующий функционал:

1. Детектирование DDoS атаки;
2. Отслеживание перебора паролей;
3. Отслеживание небезопасной конфигурации;
4. Детектирование точек, имитирующих  SSID;
5. Детектирование точек, имитирующих  MAC;
6. Отключение клиентов от вражеских ТД.

eltex-wids-service - вспомогательный сервис на серверной стороне,  отвечающий за распространение белых/черных списков "вражеских" ТД между участниками WIPS/WIDS.

Лицензирование

Лицензия ограничивает настройку и мониторинг сервиса WIPS/WIDS  в СУ.

В демо лицензии (лицензия по-умолчанию) доступна активация сервиса на 2-х ТД.

К-во доступных и использованных на сервере лицензий можно увидеть в GUI EMS в разделе Справка - Лицензии, либо непосредственно в файле лицензий /usr/lib/eltex-ems/conf/licence/licence.xml

        <group>
            <title>Wireless WIPSWIDS</title>
            <count>10</count>
            <typeList>
                <type>WiFi</type>
            </typeList>
        </group>

Если лицензия на WIPS/WIDS присутствует в списке, то в GUI EMS  в меню "Wireless" будет доступна для настройки вкладка "WIDS manager":

А на вкладке "Доступ" ТД появятся соответствующие флаги активации сервиса.

Активация сервиса на ТД

В GUI EMS явно регулируется какой ТД отдать лицензию. Для этого в параметрах доступа ТД есть две настройки :

• параметр "Вкл WIDS/WIPS сервис" - определяет ТД, которая будет использовать сервис. При установке флага количество доступных лицензию уменьшится на 1. По-умолчанию флаг снят - сервис WIPS/WIDS не доступен.
• параметр "Реальное применение WIDS/WIPS" -  это не редактируемый флаг, он отражает смогла ли система активировать сервис или нет. Может получиться так, что в базе данных параметр "Вкл WIDS/WIPS сервис" выставлен для большего количества точек, чем  фактически разрешено в лицензии - тогда для части ТД этот флаг будет снят, хотя флаг активации выставлен.

Если сервис успешно активирован, то есть на странице "Доступ" выставлено оба флага, то:

• на вкладке "Конфигурация" появится новый раздел - "WIDS/WIPS"

• на вкладке "Мониторинг" в разделах "Журнал событий" и "Активные аварии" начнут отображаться события связанные с сервисом WIDS/WIPS

Настройка сервиса на точке доступа и логика работы

Все ТД в эфире можно разделить на три группы:

• "не доверенные" ТД - точки, которые присутствуют в эфире, но о них более ничего не известно.
• "доверенные" ТД - точки, которые установлены и управляются оператором
• "вражеские" ТД - точки, которые однозначно несет угрозу сети (имитируют MAC-адрес или SSID исходной ТД).

Для однозначного выявления всех "не доверенных" точек доступа в эфире, в Beacon пакет ТД, использующей сервис WIDS,  добавляется динамически изменяющаяся зашифрованная подпись.

Расшифровать пакет могут лишь те точки, на которых настроен идентичный ключ Shared key  в конфигурации сервиса.

Если подписи в пакете нет, либо при его декодировании получен не ожидаемый результат, то ТД, от которой был получен данный пакет, будет считаться "не доверенной". Иначе "доверенной"

Если "не доверенная" ТД имеет MAC адрес или SSID совпадающий с текущими значениями на сканирующей ТД, то такая ТД будет считаться "вражеской" и в Систему управления  (СУ) будет отправлен соответствующий трап.

Дата создания             : 2019-05-13 15:31:04
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена вредоносная ТД с мак адресом: E0:D9:E3:4F:9D:F0, ssid Eltex-Local, каналом 1!
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.2

Для более гибкой работы сервиса, есть возможность явно указать список ТД, которые должны или не должны считаться "доверенными". Этот список распространяется между точками вспомогательным сервисом - eltex-wids-service.

Основная настройка сервиса eltex-wids-service происходит на вкладке "WIDS/WIPS" в меню "Конфигурация"

Дата создания             : 08.07.2019 17:30:20
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена атака "отказ в обслуживании" на wlan1(5GHz): слишком много пакетов типа Beacon (насчитано 159 при ограничении 99). Найдено 40 атак за последний период обнаружения
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.1

Дата создания             : 12.07.2019 14:37:02
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена атака "перебор паролей" на wlan0vap2(2.4GHz)(_ES_24_test_timers_enter), последняя попытка была с мак-адреса: 0c:9d:92:6e:d9:20
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.1.1.14

При активированном сервисе WIPS/WIDS ТД  в СУ по-умолчанию отсылает трап при каждом изменении в настройках, если итоговая конфигурация небезопасна.

Дата создания             : 01.07.2019 02:13:09
Название источника        : wep12
Сообщение                 : Обнаружена небезопасная конфигурация. system: Стандартный пароль входа; wids-service: Отключена атака вражеских ТД; 
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.6

Критерии небезопасной конфигурации можно посмотреть тут

Настройка вспомогательного сервиса eltex-wids-service

Переопределение "доверенных" и "вражеских" ТД происходит путем явного задания списков в GUI EMS - раздел "Wireless - WIDS Manager" и дальнейшего их указания в поле "WIDS MAC list" на вкладке "WIDS/WIPS" в меню "Конфигурация" ТД

Конфигурационный файл сервиса - /etc/eltex-wids-service/config.json:

{
  "ServicePort": 9095,
  "Database": "wids",
  "MongoConnectionString": "mongodb://localhost:27017",
  "FileLog": "/var/log/eltex-wids-service/log.log",
  "Environment": "production",
  "LogLevel": "debug",
  "MaxAge": 7,
  "MaxSize": 5,
  "MaxBackups": 14,
  "SleepDaemonQueueTime": 50000,
  "FoulTime": 60,
  "GelfHost": "lab3-test.eltex.loc:12201"