| Оглавление |
|---|
Описание
WIPS/WIDS - — внутренний сервис точки доступа (ТД) по обнаружению и предотвращению вторжений в беспроводную сеть.
| Информация |
|---|
Функционал WIDS/WIPS доступен на следующих точках доступа: WEP-3ax - – начиная с версии ПО 1.14.0. WEP-30L, WOP-30L, WOP-30LS - – начиная с версии ПО 2.6.0. |
По своей сути этот Данный механизм анализирует трафик в радио-окружении ТД, делает вывод о наличии в сети угроз безопасности, оповещает о них администратора контроллера и, при необходимости, предпринимает действия для подавления этих угроз.
...
- Обнаружение DDoS атак;
- Отслеживание перебора паролей;
- Обнаружение точек доступа, имитирующих имитирующих SSID;
- Обнаружение точек доступа, имитирующих имитирующих MAC-адрес;
- Отключение клиентов от вражеских ТД.
Лицензирование
| Информация |
|---|
Функционал WIDS/WIPS активируется лицензией WLC-WIDS-WIPS. |
...
Информация о загрузке и применении лицензии описана в статье Активация функционала по лицензии. |
Проверить наличие лицензии можно с помощью команды show licence:
| Блок кода | ||
|---|---|---|
| ||
wlc-30#wlc# show licence Feature Source State Value Valid from Expiries -------------------------------- -------- ----------- -------------------------------- -------------------- -------------------- WLC Boot Active true -- -- WLC Boot Candidate true -- -- WLC-WIDS-WIPS File Active true -- -- WLC-WIDS-WIPS File Candidate true -- -- |
...
Активация сервиса
| Подсказка | title | Важно!
|---|
Включить сервис можно только в общих настройках WIDS. Если в общих настройках сервис выключен, то он не работает на всех точках доступа ТД контроллера и включить его на отдельной точке доступа ТД или в конкретной локации нельзя. |
Предусмотрена возможность выключить сервис выключения сервиса в определенной локации или на конкретной точке доступа ТД с помощью команды widsкоманды wids-disable. При этом команда 'no wids-disable' в локации или в индивидуальном индивидуальном профиле точки доступа ТД не означает, что сервис сервис включен, если одновременно с этим он выключен в общих настройках WIDS.
Для включения сервиса используйте следующие команды:
| Блок кода |
|---|
wlc-30#wlc# configure wlc-30(config)# wlc wlc-30(config-wlc)# wids wlc-30(config-wlc-wids)# enable wlc-30(config-wlc-wids)# shared-key ascii-text 0123456789 wlc-30(config-wlc-wids)# do commit wlc-30(config-wlc-wids)# do confirm |
| Подсказка | title | Важно!
|---|
| Для включения сервиса обязательно должен быть задан общий ключ доверенных точек доступа ТД 'shared-key'. |
...
По умолчанию в общих настройках WIDS используется профиль default-wids. Увидеть настройку можно в полной конфигурации контроллера с помощью команды :
...
sh ru full wlc wids:
| Блок кода | |
|---|---|
wlc# | wlc-30# sh ru full wlc wids
wids
wids-profile default-wids
shared-key ascii-text encrypted CCE5513EE45A1EAC450A
enable
exit |
...
Чтобы проверить настройки профиля используйте команду :
...
sh ru full wlc wids-profile. В данном случае профиль содержит настройки параметров по умолчанию.
| Блок кода | |
|---|---|
wlc# | wlc-30# sh ru full wlc wids-profile
wids-profile default-wids
prevention-mode none
attack-stats-trap-send-period 10
scan
mode none
interface all
passive interval 20
passive time 110
sentry time 200
exit
bruteforce-detection
threshold 25
interval 5
no mac-ban enable
mac-ban timeout 1800
no enable
exit
dos-detection
interval 1
trap-send-period 20
threshold leap 250
threshold assoc 500
threshold reassoc 500
threshold disassoc 500
threshold probe 500
threshold beacon 500
threshold blockack 500
threshold blockack-req 500
threshold ps-poll 500
threshold auth 500
threshold deauth 500
threshold rts 500
threshold cts 500
no enable
exit
exit |
В данном случае профиль содержит настройки параметров по умолчанию.
Порядок применения настроек
...
3. На конкретную точку доступа.
| Подсказка | |
|---|---|
| Приоритет применения настроек | Приоритет применения настроек следующий: настройки индивидуального профиля, настройки локации, общие настройки сервиса. |
...
В активном режиме сканирования не предусмотрена работа ТД с клиентами. Точка Точка доступа всё время сканирует весь список радиоканалов (продолжительность сканирования одного канала задается в параметре 'sentry time') и максимально быстро обнаруживает угрозы.
В результате сканирования точка доступа распределяет все точки доступа в эфире на три группы:
- "Недоверенные" ТД - – точки, которые присутствуют в эфире, но о них более ничего не известно;
- "Доверенные" ТД - – точки, которые установлены и управляются оператором;
- "Вражеские" ТД - – точки, которые несут угрозу для остальных точек доступа в сети - – это ТД, которые имитируют MAC-адрес или SSID исходной ТД.
Для однозначного выявления всех "недоверенных" ТД эфире, в Beacon пакет точек доступа, использующих сервис WIDS, добавляется динамически изменяющаяся зашифрованная подпись. Расшифровать пакет могут лишь те точки, на которых настроен идентичный общий ключ 'Shared key' в конфигурации сервиса. Если подписи в пакете нет, либо при его декодировании получен не ожидаемый результат, то точка доступа, от которой был получен пакет, будет считаться "недоверенной". Иначе - – "доверенной".
Если "недоверенная" точка доступа имеет MAC-адрес или SSID, совпадающий с текущими значениями на сканирующей ТД, то такая точка будет считаться "вражеской", о чем будет сообщено администратору, посредством отправки с ТД соответствующей нотификации на контроллер.
| Раскрыть | |||||
|---|---|---|---|---|---|
| |||||
|
...
| Блок кода | ||
|---|---|---|
| ||
wlc-30#wlc# configure wlc-30(config)# wlc wlc-30(config-wlc)# wids-profile test_wids_profile wlc-30(config-wlc-wids-profile)# scan wlc-30(config-wlc-wids-profile-scan)# mode passive wlc-30(config-wlc-wids-profile-scan)# interface all wlc-30(config-wlc-wids-profile-scan)# passive time 50 wlc-30(config-wlc-wids-profile-scan)# passive interval 30 wlc-30(config-wlc-wids-profile-scan)# do commit wlc-30(config-wlc-wids-profile-scan)# do confirm wlc-30(config-wlc-wids-profile-scan)# wlc-30(config-wlc-wids-profile-scan)# do sh ru wlc wids-profile test_wids_profile wids-profile test_wids_profile scan mode passive passive interval 30 passive time 50 exit exit |
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30(config)# wlc wlc-30(config-wlc)# wids wlc-30(config-wlc-wids)# wids-profile test_wids_profile wlc-30(config-wlc-wids)# do commit wlc-30(config-wlc-wids)# do confirm wlc-30(config-wlc-wids)# |
2. На точки доступа локации. Для этого необходимо указать профиль в настройках конкретной локации. Если одновременно профиль задан в общих настройках и в локации - – будет использоваться профиль из локации.
| Блок кода | ||||||
|---|---|---|---|---|---|---|
| ||||||
wlc#wlc-30# configure wlc-30(config)# wlc wlc-30(config-wlc)# ap-location default-location wlc-30(config-wlc-ap-location)# wids wlc-30(config-wlc-ap-location-wids)# wids-profile test_wids_profile wlc-30(config-wlc-ap-location-wids)# wlc-30(config-wlc-ap-location-wids)# wlc-30(config-wlc-ap-location-wids)# do commit wlc-30(config-wlc-ap-location-wids)# do confirm wlc-30(config-wlc-ap-location-wids)# |
3. На конкретную точке доступа. Для этого необходимо указать профиль WIDS в индивидуальном профиле точки доступа. Если одновременно профиль задан в общих настройках и/или в локации и в индивидуальном профиле точки доступа - – будут использоваться настройки из индивидуального профиля ТД.
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30#wlc# configure wlc-30(config)# wlc wlc-30(config-wlc)# ap 68:13:e2:03:00:10 wlc-30(config-wlc-ap)# ap-location default-location wlc-30(config-wlc-ap)# override wids wlc-30(config-wlc-ap-wids-override)# wids-profile default-wids wlc-30(config-wlc-ap-wids-override)# do commit wlc-30(config-wlc-ap-wids-override)# do confirm wlc-30(config-wlc-ap-wids-override)# |
Для более гибкой работы сервиса, есть возможность явно указать список ТД, которые должны считаться "доверенными" ТД (white-list) или "вражескими"(black-list). Эти списки настраиваются в object-group, а применяются так же на 3 уровнях - – в общих настройках, в локации или индивидуально на точке доступа.
| Подсказка | |
|---|---|
| Особенность применения списков | Приоритет применения списков следующий: настройки индивидуального профиля, настройки локации, общие настройки сервиса. В случае, если на одном уровне задан только списка одного вида (белого или черного), противоположный список будет использован со следующего уровня. Например, если в индивидуальном профиле точки доступа задан только черный список, то белый будет взят из настроек локации. Если он не задан в локации, то будет взят из общих настроек сервиса. |
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30#wlc# configure wlc-30(config)# object-group mac AP1 wlc-30(config-object-group-mac)# mac address e4:5a:d4:e8:d9:20 wlc-30(config-object-group-mac)# ex wlc-30(config)# object-group mac AP2 wlc-30(config-object-group-mac)# mac address e8:28:c1:d7:3c:20 wlc-30(config-object-group-mac)# ex wlc-30(config)# wlc-30(config)# wlc wlc-30(config-wlc)# wids wlc-30(config-wlc-wids)# black-list AP1 wlc-30(config-wlc-wids)# white-list AP2 wlc-30(config-wlc-wids)# do commit wlc-30(config-wlc-wids)# do confirm wlc-30(config-wlc-wids)# wlc-30(config-wlc-wids)# do sh ru object-groups mac object-group mac AP1 mac address e4:5a:d4:e8:d9:20 ff:ff:ff:ff:ff:ff exit object-group mac AP2 mac address e8:28:c1:d7:3c:20 ff:ff:ff:ff:ff:ff exit wlc-30(config-wlc-wids)# wlc-30(config-wlc-wids)# do sh ru wlc wids wids wids-profile test_wids_profile shared-key ascii-text encrypted CCE5513EE45A1EAC450A enable white-list AP2 black-list AP1 exit |
| Подсказка | |
|---|---|
| Важно | Если требуется задать пустой список, то необходимо создать пустую группу MAC-адресов и использовать ее на нужном уровне. |
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30#wlc# configure wlc-30(config)# object-group mac noAP wlc-30(config-object-group-mac)# exit wlc-30(config)# wlc wlc-30(config-wlc)# wids wlc-30(config-wlc-wids)# black-list noAP wlc-30(config-wlc-wids)# do commit wlc-30(config-wlc-wids)# do confirm wlc-30(config-wlc-wids)# wlc-30(config-wlc-wids)# do sh ru object-groups mac noAP object-group mac noAP exit wlc-30(config-wlc-wids)# wlc-30(config-wlc-wids)# do sh ru wlc wids wids wids-profile test_wids_profile shared-key ascii-text encrypted CCE5513EE45A1EAC450A enable white-list AP2 black-list noAP exit |
...
Для настройки подавления угроз от вредоносных точек доступа, которые имитируют SSID или MAC-адрес сканирующей точки доступа, используется параметр prevention-mode . В случае активации режима 'Rogue', исходная точка доступа будет отправлять пакеты типа 'Deauthentification' от имени "вражеской" точки доступа клиенту и от имени клиента - – "вражеской" точке доступа. При использовании режима 'All' форсированные пакеты 'Deauthentification' будут отправляться не только "вражеским" точкам доступа, но и всем "недоверенным".
...
| Блок кода | |||||
|---|---|---|---|---|---|
| |||||
wlc#wlc-30# configure wlc-30(config)# wlc wlc-30(config-wlc)# wids-profile test_wids_profile wlc-30(config-wlc-wids-profile)# prevention-mode rogue wlc-30(config-wlc-wids-profile)# do commit wlc-30(config-wlc-wids-profile)# do confirm wlc-30(config-wlc-wids-profile)# |
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30(config-wlc-wids-profile)# attack-stats-trap-send-period 10 wlc-30(config-wlc-wids-profile)# do commit wlc-30(config-wlc-wids-profile)# do confirm wlc-30(config-wlc-wids-profile)# |
При срабатывании функционала WIPS точка доступа будет отправлять нотификации на контроллер с указанной периодичностью.
| Раскрыть | title | Пример записи в журнале||||
|---|---|---|---|---|---|
|
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30#wlc# wlc-30#wlc# configure wlc-30(config)# wlc wlc-30(config-wlc)# wids-profile test_wids_profile wlc-30(config-wlc-wids-profile)# dos-detection wlc-30(config-wlc-wids-profile-dos-detection)# wlc-30(config-wlc-wids-profile-dos-detection)# interval 5 wlc-30(config-wlc-wids-profile-dos-detection)# trap-send-period 30 wlc-30(config-wlc-wids-profile-dos-detection)# threshold leap 500 wlc-30(config-wlc-wids-profile-dos-detection)# threshold assoc 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold reassoc 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold disassoc 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold probe 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold beacon 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold blockack 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold blockack-req 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold ps-poll 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold auth 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold deauth 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold rts 700 wlc-30(config-wlc-wids-profile-dos-detection)# threshold cts 700 wlc-30(config-wlc-wids-profile-dos-detection)# enable wlc-30(config-wlc-wids-profile-dos-detection)# wlc-30(config-wlc-wids-profile-dos-detection)# do commit wlc-30(config-wlc-wids-profile-dos-detection)# do confirm |
Применить профиль можно в общих настройках WIDS для всех точек доступа контроллера, в локации или индивидуально на точке доступа.
| Раскрыть | |||||
|---|---|---|---|---|---|
| |||||
|
...
| Блок кода | ||||
|---|---|---|---|---|
| ||||
wlc-30#wlc# configure wlc-30(config)# wlc wlc-30(config-wlc)# wids-profile test_wids_profile wlc-30(config-wlc-wids-profile)# bruteforce-detection wlc-30(config-wlc-wids-profile-bf-detection)# enable wlc-30(config-wlc-wids-profile-bf-detection)# threshold 10 wlc-30(config-wlc-wids-profile-bf-detection)# interval 5 wlc-30(config-wlc-wids-profile-bf-detection)# mac-ban enable wlc-30(config-wlc-wids-profile-bf-detection)# mac-ban timeout 60 wlc-30(config-wlc-wids-profile-bf-detection)# do commit wlc-30(config-wlc-wids-profile-bf-detection)# do confirm |
Применить профиль можно в общих настройках WIDS для всех точек доступа контроллера, в локации или индивидуально на точке доступа.
| Раскрыть | title | Пример записи в журнале||||
|---|---|---|---|---|---|
|
...