v1.14_WIDS

WIPS/WIDS - внутренний сервис ТД по предотвращению и обнаружению вторжений в беспроводную сеть.

По своей сути этот механизм анализирует весь трафик в радио окружении ТД, делает вывод о наличии в сети угроз безопасности, оповещает о них администратора СУ и при необходимости предпринимает действия по подавлению этих угроз.

В текущем релизе ТД (1.17.0) поддерживается следующий функционал:

1. Детектирование DDoS атаки;
2. Отслеживание перебора паролей;
3. Отслеживание небезопасной конфигурации;
4. Детектирование точек, имитирующих  SSID;
5. Детектирование точек, имитирующих  MAC;
6. Отключение клиентов от вражеских ТД.

eltex-wids-service - вспомогательный сервис на серверной стороне,  отвечающий за распространение белых/черных списков "вражеских" ТД между участниками WIPS/WIDS.

Лицензирование

Лицензия ограничивает настройку и мониторинг сервиса WIPS/WIDS  в СУ.

В демо лицензии (лицензия по-умолчанию) доступна активация сервиса на 2-х ТД.

К-во доступных и использованных на сервере лицензий можно увидеть в GUI EMS в разделе Справка - Лицензии, либо непосредственно в файле лицензий /usr/lib/eltex-ems/conf/licence/licence.xml

        <group>
            <title>Wireless WIPSWIDS</title>
            <count>10</count>
            <typeList>
                <type>WiFi</type>
            </typeList>
        </group>

Если лицензия на WIPS/WIDS присутствует в списке, то в GUI EMS  в меню "Wireless" будет доступна для настройки вкладка "WIDS manager":

А на вкладке "Доступ" ТД появится соотв флаги активации сервиса.

Активация сервиса на ТД

В GUI EMS явно регулируется какой ТД отдать лицензию. Для этого в параметрах доступа ТД есть две настройки :

• параметр "Вкл WIDS/WIPS сервис" - определяет ТД которая будет использовать сервис. При установке флага к-во доступных лицензию уменьшится на 1. По-умолчанию флаг снят - сервис WIPS/WIDS не доступен.
• параметр "Реальное применение WIDS/WIPS" -  это не редактируемый флаг, он отражает смогла ли система активировать сервис или нет. Может получиться так, что в базе данных параметр "Вкл WIDS/WIPS сервис" выставлен для большего количества точек чем  фактически разрешено в лицензии - тогда для части ТД этот флаг будет снят, хотя флаг активации выставлен.

Если сервис успешно активирован - то есть на странице "Доступ" выставлено оба флага то:

• в на вкладке "Конфигурация" появится новый раздел - "WIDS/WIPS"

• на вкладке "Мониторинг" в разделах "Журнал событий" и "Активные аварии" начнут отображаться события связанные с сервисом WIDS/WIPS

Настройка сервиса на ТД и логика работы

Все ТД в эфире можно разделить на три группы:

• "не доверенные" ТД - те точки которые присутствуют в эфире но о них более ничего не известно.
• "доверенные" ТД - точки которые установлены и управляются оператором
• "вражеские" ТД - точки которые однозначно несет угрозу сети - это ТД которые имитируют MAC-адрес или SSID исходной ТД.

Для однозначного выявления всех "не доверенных" ТД эфире, в Beacon пакет ТД использующих сервис WIDS добавляется динамически изменяющаяся зашифрованная подпись.

Расшифровать пакет могут лишь те точки на которых настроен идентичный ключ Shared key  в конфигурации сервиса.

Если подписи в пакете нет либо при его декодировании получен не ожидаемый результат - ТД от которой был получен пакет будет считаться "не доверенной". Иначе "доверенной"

Если "не доверенная" ТД имеет MAC адрес или SSID совпадающий с текущими значениями на сканирующей ТД, то такая ТД будет считаться "вражеской", и будет отправлен соответствующий трап в СУ.

Дата создания             : 2019-05-13 15:31:04
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена вредоносная ТД с мак адресом: E0:D9:E3:4F:9D:F0, ssid Eltex-Local, каналом 1!
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.2

Для более гибкой работы сервиса, есть возможность явно указать список ТД которые должны или не должны считаться "доверенными" ТД. Этот список распространяется между ТД вспомогательным сервисом eltex-wids-service

Основная настройка сервиса происходит на вкладке "WIDS/WIPS" в меню "Конфигурация"

Дата создания             : 08.07.2019 17:30:20
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена атака "отказ в обслуживании" на wlan1(5GHz): слишком много пакетов типа Beacon (насчитано 159 при ограничении 99). Найдено 40 атак за последний период обнаружения
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.1

Дата создания             : 12.07.2019 14:37:02
Название источника        : WEP-12ac_13
Сообщение                 : Обнаружена атака "перебор паролей" на wlan0vap2(2.4GHz)(_ES_24_test_timers_enter), последняя попытка была с мак-адреса: 0c:9d:92:6e:d9:20
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.1.1.14

При активированом сервисе WIPS/WIDS ТД  в СУ по-умолчанию отсылает трап при каждом изменении в настройках, если итоговая конфигурация небезопасна.

Дата создания             : 01.07.2019 02:13:09
Название источника        : wep12
Сообщение                 : Обнаружена небезопасная конфигурация. system: Стандартный пароль входа; wids-service: Отключена атака вражеских ТД; 
Приоритет                 : CRITICAL
OID                       : 1.3.6.1.4.1.35265.1.60.1.8.3.0.6

Критерии небезопасной конфигурации можно посмотреть тут

Настройка вспомогательного сервиса eltex-wids-service

Переопределение "доверенных" и "вражеских" ТД происходит путем явного задания списков в GUI EMS - раздел "Wireless - WIDS Manager" и дальнейшего их указания в поле "WIDS MAC list" на вкладке "WIDS/WIPS" в меню "Конфигурация" ТД

Конфигурационный файл сервиса - /etc/eltex-wids-service/config.json:

{
  "ServicePort": 9095,
  "Database": "wids",
  "MongoConnectionString": "mongodb://localhost:27017",
  "FileLog": "/var/log/eltex-wids-service/log.log",
  "Environment": "production",
  "LogLevel": "debug",
  "MaxAge": 7,
  "MaxSize": 5,
  "MaxBackups": 14,
  "SleepDaemonQueueTime": 50000,
  "FoulTime": 60,
  "GelfHost": "lab3-test.eltex.loc:12201"