CN102438238A - 一种在集中式wlan环境中检测非法ap的方法 - Google Patents

Abstract

本发明公开了一种在集中式WLAN环境中检测非法AP的方法，涉及无线入侵检测技术。本发明包括AP设备和非法AP设备；设置有AC设备；AC设备是一种用于管理AP和建立WLAN以及检测非法AP的无线控制器，包括依次交互的WLAN建立模块、二元记录模块、非法AP识别模块、采集模块和无线扫描模块；二元记录模块和AP设备交互；无线扫描模块分别和AP设备、非法AP设备交互。本发明实现简单易行；能够准确地定位出非法AP的物理位置；能有效发现空间中存在的非法AP；避免非法AP与合法AP之间产生同频干扰或者邻频干扰；适用于各种复杂组网环境下的WLAN，不受空间和场地的限制，也不受时间和天气的限制，在任何环境下都可实施。

Description

一种在集中式WLAN环境中检测非法AP的方法

技术领域

本发明涉及无线入侵检测技术，尤其涉及一种在集中式WLAN(WirelessLocal Area Networks无线局域网络)环境中检测非法AP(Access Point无线接入点)的方法。该方法简单易行，适合在各种环境下使用，通过动态的检测方法将复杂WLAN环境中的非法AP(rogueAP)检测出来。

背景技术

现代WLAN环境变得越来越普遍，使用也越来越广泛；使得人们能够随时随地的通过WLAN热点连接上internet，让人们的生活变得越来越丰富，但是随之而来的却是众多的非法入侵技术，非法AP就是非法入侵技术的一种。

非法AP是指在无线网络中未经认证的访问点，可以为未经授权的网络访问提供入口点。

虽然IEEE802.1x具备了比较完善的安全机制，但是大都是通过提高系统自身的免疫力来抵御进攻，对于像非法AP这种攻击形式仍然无能为力，所以需要一种手段来帮助网络管理者能够主动发现网络中的隐患，在第一时间对无线攻击者进行主动防御和反攻击。这种技术就是无线入侵检测技术。

无线入侵检测技术的基本原理就是在网络中部署一些AP，并把AP配置在监听的工作模式，然后捕捉空间中传播的无线报文，通过对这些报文的特征进行分析，识别出特定类型的攻击方式，然后在第一时间将安全威胁通知管理员，同时，也可以结合无线定位系统对非法用户和非法AP进行位置定位。

非法AP的发现和定位需要AC(Access Control无线控制器)的帮助。

发明内容

本发明的目的就在于克服现有技术存在的缺点和不足，提供一种在集中式WLAN环境中检测非法AP的方法。

本发明的目的是这样实现的：

一、搜索beacon报文，捕捉空间中的beacon报文，然后解析其中的字段，查看其中的ssid parameter set字段。

二、建立规则匹配表，规则匹配表在AC设备上建立，建立的时机是在AP上创建WLAN的时候，首先记录下WLAN的ssid(名称)，然后等待AP返回相应的bssid(MAC地址)，将ssid和bssid记录下来，形成(ssid，bssid)二元规则匹配表。

三、通过发送probe request(探测请求)的方式进行扫描，将扫描到的报文的内容进行解析，尤其是其中的ssid和bssid，将ssid和bssid加入到二元规则匹配表中进行匹配，匹配成功则表示为合法AP或者邻居AP，如果匹配失败则表示是非法AP。

具体地说，本方法包括下列步骤：

第1步骤，首先将两台AP与AC进行关联，剩下的一台AP不作关联，假设其中两台与AC相连的AP做为合法AP或者邻居AP，剩下的一台AP作为非法AP；

第2步骤，在AC设备上配置基本模板和安全模板，基本模板中包含ssid信息，在建立WLAN的时候，会将基本模板中的信息下发到AP中，包括ssid；

第3步骤，在两台与AC相连的AP上建立相同的WLAN；

为什么这么做呢？因为通常运营商在建立WLAN网络的时候不会使用到太多的ssid名称，运营商使用的ssid名称通常是1到2个，比如中国移动的ssid通常为cmcc或者cmccedu，所以我们可以认为合法AP的ssid可以是相同的ssid；

第4步骤，在剩下的一台AP上也配置相同的WLAN，但是不经过AC设备来配置，而是通过改写配置文件的方式，让这台AP在启动的过程中自己建立起WLAN；

其中这台AP的ssid名称应该与前三台AP的ssid一样，因为非法AP就是通过假冒合法AP的方式进行入侵，所以它的ssid应该与合法的AP一样；

第5步骤，具体的操作方法：

①在AC设备上建立ssid和bssid的二元映射表

因为WLAN都从AC设备上建立的，所以在建立WLAN的过程中，我们把模板中的ssid记录下来，然后当AP上的WLAN建立成功以后，它会把自身的bssid返回给AC设备，这样就可以在AC设备上建立(ssid，bssid)的二元映射表；

二元映射表建立好了以后，将它保存在AC设备上，只要WLAN不删除，这张表就一直保存；

WLAN建立好了以后，(ssid，bssid)二元映射表也建立好了；

②开启AP上无线扫描

当所有的AP上的WLAN都建立成功以后，开启AP上无线扫描，每台AP都会把扫描到的结果上报给AC设备，AC解析报文中的内容，也就是probe response报文中的内容进行解析，尤其中当中的ssid和bssid；

③根据匹配结果找到非法AP

AC设备将解析出来的ssid和bssid放入到之前建立的(ssid，bssid)二元映射表中进行匹配，根据匹配结果，可以找到非法AP；如果没有出现意外，两台AP找到的非法AP应该都是第三台AP；

如果第三台AP采用的是隐藏ssid的方法假冒AP，那么这时就需要这两台AP主动捕捉当前空间中的beacon帧，然后将捕捉到的beacon帧上报给AC，然后AC查看ssid parameter set的值是否为全0，如果为全0，则继续查找beacon报文中的bssid是否匹配，如果不匹配，则表示这台AP为非法AP；

非法AP定位方法如下：

首先在AC设备上查看三台AP上报的非法AP的信息，这时三台AP应该都可以找到非法的第四台AP；

然后以这三台AP作为圆周，寻找圆心的方法找到第四台AP，这样就能找到非法AP的物理位置。

本发明具有下列优点和积极效果：

①本发明实现简单易行，只要有AC设备和AP设备就能够实现；

②能够准确地定位出非法AP的物理位置，排除危险接入点；

③能有效发现空间中存在的非法AP，保护用户上网安全；

④避免非法AP与合法AP之间产生同频干扰或者邻频干扰；

⑤帮助运营商优化WLAN网络，保护运营商的利益。

适用于各种复杂组网环境下的WLAN，不受空间和场地的限制，也不受时间和天气的限制，在任何环境下都可实施。

附图说明

图1是本方法的检测系统方框图，图中：

10-AC设备，

11-WLAN建立模块，12-二元记录模块，13-非法AP识别模块，

14-采集模块，15-无线扫描模块；

20-AP设备，

21-第一AP设备，22-第二AP设备；

30-非法AP设备。

图2是非法AP检测流程图；

图3是非法AP方位定位图；

图4是非法AP检测效果图。

实施方式

下面结合附图和实施例详细说明：

一、检测系统

1、总体

如图1，本检测系统包括AP设备20和非法AP设备30；

设置有AC设备10；

AC设备10是一种用于管理AP和建立WLAN以及检测非法AP的无线控制器，包括依次交互的WLAN建立模块11、二元记录模块12、非法AP识别模块13、采集模块14和无线扫描模块15；

二元记录模块12和AP设备20交互；

无线扫描模块15分别和AP设备20、非法AP设备30交互。

2、功能块

1)AC设备10

①WLAN建立模块11是一种组装创建WLAN的消息码流，用于AC设备向AP设备下发消息建立WLAN的模块；

②二元记录模块12是一种构造链表，用于记录创建的WLAN的ssid(名称)和AP返回给AC的bssid MAC(地址)，形成(ssid，bssid)二元组规则表的模块；

③非法AP识别模块13是一种将采集到的ssid和bssid和二元记录模块中的(ssid，bssid)二元组规则表进行匹配的模块；

④采集模块14是一种从无线扫描帧中采集ssid和bssid的模块；

⑤无线扫描模块15是一种组装用于无线扫描的消息码流，向AP下发扫描信息，启动AP的无线扫描功能，并接收AP返回的ssid和bssid的模块。

2)AP设备20

AP设备20是一种无线接入点，用于用户通过无线网卡或者手机接入internet的设备。

3)非法AP设备30

非法AP设备30是一种未经授权的非法的无线接入点，可以使得用户不用认证就接入internet。

3、工作原理

所有AP在启动以后都会建立WLAN，WLAN中携带ssid信息和bssid信息，AP建立好WLAN以后就会向四周广播一种称为beacon帧的报文，这种报文当中就携带了当前AP中的ssid、bssid和channel等其他的相关参数。

当然有时比较高级的非法AP是不会把ssid给广播出来的，对于这种情况，我们后续会提到该怎样处理。

通过配置部署在网络中的AP的工作模式来捕捉空间中四处广播的beacon帧。当AP的工作模式配置成监听模式的时候，AP会发起RF扫描操作，这种操作为使AP发射出一种称为probe request的请求报文，其他AP在收到这种报文以后会响应probe response报文，probe response报文中的信息和beacon报文中的信息类似，probe response报文会将自己的WLAN信息发送给该AP，该AP收到probe response报文后会立刻将该报文上报给AC设备，AC设备会解析报文中的内容，将其中的ssid和bssid以及信道channel和其他相关参数解析出来。

在AC设备中建立规则列表，这种规则列表类似于ACL；规则列表的建立十分简单；由于AP在启动以后都会把自身的bssid上报给AC设备，所以AC设备上具有所有与之相连的AP的bssid，将bssid记录到规则列表中。而rogueAP由于是非法接入的，所以它的bssid不会被记录到规则列表中。

规则列表的建立方式如下：

1)收集AP启动上报的ssid和bssid；

2)建立(ssid，bssid)二元组的映射关系表；

3)将映射表保存到AC设备中

AC设备将所有AP返回的probe response报文中的信息解析出来以后，将AP的ssid和bssid信息加入到规则列表中进行匹配，匹配结果分为以下几种：

①如果ssid和bssid都能够匹配成功，则说明该AP属于合法AP或者邻居AP；

②对于没有ssid匹配到，bssid也没有匹配到，则说明该AP可能是一台非法AP，也有可能是其他AC设备连接的AP，这时可以认为它是合法AP；

③如果ssid没有匹配到，但是bssid能够匹配到，则说明该AP属于合法AP；

④如果ssid能够匹配，但是bssid不能匹配，则说明该AP属于rogueAP。

对于隐藏ssid的非法AP该如何处理呢？我们必须让AP捕捉到空间中四处广播的beacon帧，然后解析该报文，如果发现该报文中的ssid parameter set的内容为：\000\000\000\000\000\000\000\000，同时在它返回的bssid也无法在规则列表中匹配到，那么说明这个属于隐藏ssid的非法AP。

对于发现到非法AP如何定位。如果在扫描过程中已经发现存在rogueAP，则需要网络管理员对非法AP进行定位，并找到非法AP的物理位置。这里采用的是三点定位法，方法如下：

①使用三台不同方位的合法AP进行扫描操作(注：三台AP未必就是连接到同一台AC的AP，也可以是不同AC下的AP)；

②在三台AP所连接的AC上都建立(ssid，bssid)映射表；

③当三台AP都能够检测到非法AP的时候，从三台设备的角度出发，以三台设备为圆周，找到圆心，就是非法AP的物理位置。

通过三点定位方法可以很容易的找到对应的非法AP。

二、检测方法

如图2，检测流程如下：

①开始-001；

②建立WLAN-002；

③记录ssid和bssid-003；

④发起扫描-004；

⑤采集ssid和bssid-005；

⑥匹配ssid-006；

⑦判断ssid是否匹配成功-007，是则进入下一步骤，否则设备为合法AP-010；

⑧匹配bssid-008；

⑨判断bssid是否匹配成功-009，是则设备为邻居AP-011，否则设备为非法AP-012。

三、实施举例

如图1，首先先暂定当前网络环境中只有一台AC，三台AP；假定其中两台为合法AP或者邻居AP，剩下的一台为非法AP，我们如何将它检测出来呢？

步骤如下：

步骤1，首先将两台AP与AC进行关联，剩下的一台AP不作关联。我们假设其中两台与AC相连的AP做为合法AP或者邻居AP，剩下的一台AP作为非法AP；

步骤2，在AC设备上配置基本模板和安全模板，基本模板中包含ssid信息，在建立WLAN的时候，会将基本模板中的信息下发到AP中，包括ssid；

步骤3，在两台与AC相连的AP上建立相同的WLAN，为什么这么做呢？因为通常运营商在建立WLAN网络的时候不会使用到太多的ssid名称，运营商使用的ssid名称通常是1到2个，比如中国移动的ssid通常为cmcc或者cmccedu，所以我们可以认为合法AP的ssid可以是相同的ssid；

步骤4，在剩下的一台AP上也配置相同的WLAN，但是不经过AC设备来配置，而是通过改写配置文件的方式，让这台AP在启动的过程中自己建立起WLAN；

其中这台AP的ssid名称应该与前两台AP的ssid一样，因为非法AP就是通过假冒合法AP的方式进行入侵，所以它的ssid应该与合法的AP一样。

步骤5，具体的操作方法：

1)因为WLAN都从AC设备上建立的，所以在建立WLAN的过程中，我们把WLAN对应的的ssid记录下来，然后当AP上的WLAN建立成功以后，它会把自身的bssid返回给AC设备，这样就可以在AC设备上建立(ssid，bssid)的二元规则表；

二元规则表建立好了以后，将它保存在AC设备上，只要WLAN不删除，这张表就一直保存。WLAN建立好了以后，(ssid，bssid)二元规则表也建立好了。

2)当所有的AP上的WLAN都建立成功以后，开启AP上无线扫描，每台AP都会把扫描到的结果上报给AC设备，AC解析报文中的内容，也就是proberesponse报文中的内容进行解析，尤其中当中的ssid和bssid；

3)AC设备将解析出来的ssid和bssid放入到之前建立的(ssid，bssid)二元规则表中进行匹配，根据匹配结果，可以找到非法AP。如果没有出现意外，三台AP找到的非法AP应该都是第四台AP。

4)如果第四台AP采用的是隐藏ssid的方法假冒AP，那么这时就需要这三台AP主动捕捉当前空间中的beacon帧，然后将捕捉到的beacon帧上报给AC，然后AC查看ssid parameter set的值是否为全0，如果为全0，则继续查找beacon报文中的bssid是否匹配，如果不匹配，则表示这台AP为非法AP；

5)如何对找到的非法AP进行定位

定位方法如下，见图3：

首先在AC设备上查看三台AP上报的非法AP的信息，这时三台AP应该都可以找到非法的第四台AP；

然后以这三台AP作为圆周，寻找圆心的方法找到第四台AP。这样就能找到非法AP的物理位置。

识别结果见图4，其中标为WS_RRM_INFO_INVALID的为合法AP，标为WS_RRM_INFO_VALID的为邻居AP，标为WS_RRM_INFO_ROGUE为非法AP。

Claims (4)

1.一种在集中式WLAN环境中检测非法AP的检测系统，包括AP设备(20)和非法AP设备(30)；

其特征在于：设置有AC设备(10)；

AC设备(10)是一种用于管理AP和建立WLAN以及检测非法AP的无线控制器，包括依次交互的WLAN建立模块(11)、二元记录模块(12)、非法AP识别模块(13)、采集模块(14)和无线扫描模块(15)；

二元记录模块(12)和AP设备(20)交互；

无线扫描模块(15)分别和AP设备(20)、非法AP设备(30)交互。

2.按权利要求1所述的一种在集中式WLAN环境中检测非法AP的检测系统，其特征在于：

所述的WLAN建立模块(11)是一种组装创建WLAN的消息码流，用于AC设备向AP设备下发消息建立WLAN的模块；

所述的二元记录模块(12)是一种构造链表，用于记录创建的WLAN的ssid和AP返回给AC的bssid，形成ssid和bssid二元组规则表的模块；

所述的非法AP识别模块(13)是一种将采集到的ssid和bssid和二元记录模块中的二元组规则表进行匹配的模块；

所述的采集模块(14)是一种从无线扫描帧中采集ssid和bssid的模块；

所述的无线扫描模块(15)是一种组装用于无线扫描的消息码流，向AP下发扫描信息，启动AP的无线扫描功能，并接收AP返回的ssid和bssid的模块。

3.基于权利要求1所述检测系统的检测方法，其特征在于包括下列步骤：

第1步骤，首先将两台AP与AC进行关联，剩下的一台AP不作关联，假设其中两台与AC相连的AP做为合法AP或者邻居AP，剩下的一台AP作为非法AP；

第2步骤，在AC设备上配置基本模板和安全模板，基本模板中包含ssid信息，在建立WLAN的时候，会将基本模板中的信息下发到AP中，包括ssid；

第3步骤，在两台与AC相连的AP上建立相同的WLAN；

第4步骤，在剩下的一台AP上也配置相同的WLAN，但是不经过AC设备来配置，而是通过改写配置文件的方式，让这台AP在启动的过程中自己建立起WLAN；

第5步骤，具体的操作方法：

①在AC设备上建立ssid和bssid的二元映射表；

②开启AP上无线扫描；

③根据匹配结果找到非法AP。

4.按权利要求3所述的检测方法，其工作流程是：

①开始-(001)；

②建立WLAN-(002)；

③记录ssid和bssid-(003)；

④发起扫描-(004)；

⑤采集ssid和bssid-(005)；

⑥匹配ssid-(006)；

⑦判断ssid是否匹配成功-(007)，是则进入下一步骤，否则设备为合法AP-(010)；

⑧匹配bssid-(008)；

⑨判断bssid是否匹配成功-(009)，是则设备为邻居AP-(011)，否则设备为非法AP-(012)。

Images