ES2558302T3

ES2558302T3 - Sistema para manejar la actividad de una red inalámbrica

Info

Publication number: ES2558302T3
Application number: ES03731262.6T
Authority: ES
Inventors: Scott E. Hrastar; Fred C. Tanzella; Micheal Thomas Lynn; Edwin L. Sale; Dawn M. Hollingsworth
Original assignee: AirDefense LLC
Current assignee: AirDefense LLC
Priority date: 2002-05-20
Filing date: 2003-05-20
Publication date: 2016-02-03
Anticipated expiration: 2023-05-20
Also published as: EP1522020A2; EP1522020B1; WO2003100559A2; WO2003100559A3; AU2003241523A1; EP1522020A4; CA2486519C; CA2486519A1; AU2003241523B2

Abstract

Un sistema de seguridad de red, el sistema comprende: (a) Un almacén (110) de datos de sistema capaz de almacenar datos de criterio de riesgo, datos por omisión de red, y desempeño de la red y datos de uso; (b) una primera interfaz de comunicación que comprende un receptor que recibe comunicaciones de llegada desde un canal de comunicación asociado con la interfaz de comunicación; (c) un procesador (120) de sistema que comprende uno o más elementos de procesamiento, en donde el procesador (120) de sistema está en comunicación con el almacén (110) de datos del sistema y está programado o adaptado para efectuar las etapas de: (i) recibir (310) datos que corresponden a un marco transmitido sobre la red de ordenador inalámbrica encriptada y una señal utilizada para transmitir el marco por vía de la interfaz de comunicación (ii) detectar (325, 330, 335, 340) una violación dentro de la corriente de datos encriptada al aplicar una pluralidad de pruebas que comprenden una prueba (335) de anomalía estadística que compara los datos recibidos con los datos estadísticos en el almacén (110) de datos del sistema o la información derivada de ésta y efectúa detección basada en anomalía con base en la comparación entre los datos recibidos y los datos estadísticos, en donde la pluralidad de pruebas además comprende una prueba (340) de política que compara los datos recibidos con la política predeterminada, y en donde los datos estadísticos comprenden cualquier media, media no cero, desviación estándar, autocorrelación, y pico para cada franja de tiempo y una pluralidad de umbrales. (iii) Generar (345) una señal de alarma si se detectó la violación; en donde la primera interfaz de comunicación comprende además un transmisor que transmite comunicaciones de salida al canal de comunicaciones y en donde el procesador (120) del sistema es programado o adaptado para efectuar la etapa de disparar una defensa activa de la red de ordenador inalámbrica en respuesta a una alarma generada; y en donde la defensa activa disparada es: 1) Introducir errores CRC; 2) transmitir marcos que comprenden datos aleatorios, o 3) activar una defensa de equipo trampa al: (a) determinar de los datos recibidos el canal utilizado para transmitir la señal, un punto de acceso al cual la señal fue dirigida y una estación que origina la señal; (b) reconfigurar el punto de acceso y las estaciones autorizadas para comunicación utilizando un canal diferente del canal determinado; y (c) interactuar con la estación que origina la señal que utiliza el canal determinado.

Description

imagen1

imagen2

imagen3

imagen4

imagen5

imagen6

imagen7

imagen8

imagen9

imagen10

imagen11

Valores: Descripción

Vendedor del Punto de Acceso: El fabricante del punto de acceso. En algunas realizaciones, este se detecta al comparar los primeros tres bytes de su dirección MAC con una base de datos con los números OUI

Velocidades Soportadas: Las velocidades de las transferencias de datos que soporta el punto de acceso. En algunas realizaciones, este valor o (estos valores) se pueden editar para especificar las velocidades soportadas.

Modos de Autenticación: Si el punto de acceso acepta conexiones de red no autenticadas y/o también acepta compartir autenticación clave. (Si se detectan conexiones que se desvían de estas configuraciones, se puede generar una alarma)

WEP Configurada para Correr: Si o no el punto de acceso se configura para requerir encriptación WEP

Manejo del AP proveniente de la Red Inalámbrica: Si el punto de acceso se configura para permitirles a los usuarios administrar de manera directa sus configuraciones sobre la red inalámbrica.

Punto de Acceso Autorizado: Si el punto de acceso está autorizado a estar presente en el espacio aéreo. Los puntos de acceso no autorizados, cuando se detectan, puede generar alarmas. (En alguna realización, un cambio en este valor no tendrá efecto hasta que se reinicie el sistema)

Para cada punto de acceso, la pantalla de mantenimiento de estación o el menú puede permitir la especificación de las estaciones que están autorizadas para utilizarla. Una realización preferida de tal pantalla o menú, detecta automáticamente todas las estaciones dentro de la huella del conjunto de servicio básico del punto de acceso (BSS) 5 e ingresa sus direcciones MAC en una Columna Observada. Tales estaciones se pueden indicar como un miembro autorizado del BSS al seleccionarlas en la columna observada y designarlas como válidas. Las estaciones designadas se mueven a una columna válida. (Las estaciones pueden, en algunas realizaciones, ser designadas como inválidas al seleccionar y marcarlas en una columna válida. Las estaciones no autodetectadas se pueden ingresar manualmente al especificar su dirección MC en un campo de entrada Ingresar Nueva Estación y disparar

10 una característica agregar estación. Las autorizaciones de las estaciones también se pueden hacer por vía de importar archivo, exportación del servidor de control de acceso o por vía de la configuración directa a través de la configuración de un punto de acceso típico y el puerto de manejo.

Configuración de umbrales de punto de acceso y umbrales de estaciona agregada

Los sistemas y métodos de acuerdo con la presente invención generan alertas y si se detecta un tráfico de red que

15 exceda el umbral. En una realización preferida, todos los puntos de acceso detectados o manualmente configurados fuera de línea se listan en una lista de “pick” de Elegir Ap. Los umbrales asociados con cada punto de acceso en la lista de “pick” se pueden editar al seleccionar el punto de acceso particular. Tales valores umbral pueden ser temporales (hasta el siguiente reinicio) o persistentes en todos los reinicios (hasta que se designe una edición adicional como persistente).

Valores: Descripción

Umbral de Fortaleza de Señal: Si la fortaleza de la señal para cualquier estación en el BSS es inferior que este valor, se puede generar una alarma.

# de Asociaciones por Minuto: Ingresar el número máximo de asociaciones por minuto a permitir con todas las estaciones combinadas. (Preferiblemente, este valor no es mayor que dos veces el número de estaciones en el BSS)

# de estaciones Asociadas: Ingresar el número máximo de estaciones a las que se le permite asociarse en cualquier momento con este punto de acceso. El número debe reflejar el número real de estaciones. Si se detecta un mayor número, se puede generar una alarma.

La siguiente tabla esboza un conjunto de umbrales utilizados en una realización preferida que se refieren a las características de la red que comprenden todas las estaciones y el tráfico en el BSS. En una realización preferida, se

debe tener especial cuidado cuando se crea el o los “umbrales de bite” que siguen inmediatamente. Varios factores manejan los valores ingresados para cada uno de:

•: La “velocidad de transmisión” del punto de acceso cuantos datos puede transmitir la primera consideración. Si la velocidad de transmisión es de solo 1 megabytes por segundo, los umbrales serán muy inferiores que si la velocidad de transmisión es de 11 megabytes por segundo

•: Todas las cuatro “direcciones” de tráfico (alambrada a alambrada, alambrada a inalámbrica, inalámbrica a alambrada, e inalámbrica) deben agregar hasta menos del 100% del ancho de banda disponible. Muchos administradores establecerán los umbrales individuales de tal manera que su valor combinado sea menor de 80% del ancho de banda disponible.

Valor: Descripción

# bytes en BSS Proveniente de la Malla Alambrada: Ingresar el número máximo de bytes de datos por minuto permitidas en el BSS desde la porción alambrada de su red. Si se detecta un mayor número, se puede generar una alarma

# de bytes del BSS a la Malla Alambrada: Ingresar el número máximo de bytes de datos por minuto permitidos por fuera del BSS a una porción alambrada de su red. Si se detecta un mayor número, se puede generar una alarma.

# de bytes entre Estaciones en BSS: Ingresar el número máximo de bytes de datos por minuto permitidos para ser transmitidos dentro del BSS desde todas las estaciones. Si se detecta un mayor número, se puede generar una alarma.

# de bytes desde la Malla Alambrada a la Malla alambrada: Ingresar el número máximo de bytes de datos por minuto permitidos para ser transmitidos desde una porción alambrada de la red a otra porción alambrada en la red, utilizando el punto de acceso como un puente. Si se detecta un mayor número, se puede generar una alarma.

Marcos de Datos Totales Vistos: Ingresar el número máximo de marcos de datos por minuto desde todas las estaciones combinadas a las que se les permite transmitir. Si se detecta un mayor número, se puede generar una alarma.

Marcos de Manejo Total Vistos: Ingresar el número máximo de marcos de manejo por minuto desde todas las estaciones combinadas a las que se les permite transmitir. Si se detecta un mayor número, se puede generar una arma

Marcos de Control Total Vistos: Ingresar el número máximo de marcos de control por minuto desde todas las estaciones combinadas a las que se les permite transmitir. Si se detecta un mayor número, se puede generar una alarma.

Marcos Ad hoc Total Vistos: Ingresar el número máximo de marcos ad hoc por minuto desde todas las estaciones combinadas a las que se les permite transmitir. Si se detecta un mayor número, se puede generar una alarma.

Umbrales de Estación Individual

La siguiente tabla esboza un conjunto de umbrales potenciales aplicados a cualquier estación individual en una realización preferida. Si una estación única alcanza uno de estos umbrales, se puede generar una alarma.

Columna: Descripción

# de Asociaciones por minuto: Ingresar el número máximo de asociaciones por minuto a cualquier estación a la que se le permite hacerlo con un punto de acceso. Si se detecta un mayor número, se puede generar una alarma.

Columna: Descripción

# de Bytes Transmitidos: Ingresar el número máximo de bytes de datos por minuto a la que se le permite transmitirla a cualquier estación. Si se detecta un número mayor, se puede generar una alarma

# de bytes Recibidos: Ingresar el número máximo de bytes por minuto a la que se le permite recibir a cualquier estación. si se detecta un mayor número se puede generar una alarma

# de Marcos de datos transmitidos: Ingresar el número máximo de marcos por minuto a la que se le permite transmitir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

# de marcos de Dato Recibidos: Ingresar un número máximo de marcos de datos por minuto a la que se le permite recibir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de manejo transmitidos: Ingresar el número máximo de marcos de manejo por minuto a la que se le permite transmitir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de manejo Recibidos: Ingresar el número máximo de marcos de manejo por minuto a la que se le permite recibir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma.

# de Marcos de Control Transmitidos: Ingresar el número máximo de marcos de control por minuto a la que se le permite transmitir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Control Recibidos: Ingresar el número máximo de marcos de control por minuto a la que se le permite recibir a cualquier estación. Si se detecta un mayor número, se puede generar una alarma.

# de Marcos de Fragmentos Vistos: Ingresar el número máximo de marcos de fragmento por minuto desde cualquier estación a la que se le permita. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Error Desencriptados Vistos: Ingresar el número máximo de marcos de error de desencripción por minuto de cualquier estación a la que se le permita. Si se detecta un mayor número, se puede generar una alarma

Umbrales de la estación de puntos de acceso

La siguiente tabla esboza un conjunto de umbrales, en una realización preferida, aplicada al punto de acceso mismo, y típicamente será algo más que los umbrales de estación agregados

Columna: Descripción

Umbral de Fortaleza de la Señal: Si la fortaleza de la señal para cualquier marco es inferior que este valor se puede generar una alarma

# de Asociaciones por Minuto: Mientras que las estaciones deben asociarse con un punto de acceso, los puntos de acceso no se asocian con ellos mismos. Por lo tanto, este valor debe ser cero, indicando que no existe asociación.

# de Bytes Transmitidos: Ingresar el número máximo de bytes de datos por minuto que se le permite transmitir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma.

# de Bytes Recibidos: Ingresar el número máximo de bytes de datos por minuto que se le permite recibir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma

Columna: Descripción

# de Marcos de Datos Transmitidos: Ingresar el número máximo de marcos de datos por minuto que se le permite transmitir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma.

# de Marcos de Datos Recibidos: Ingresar el número máximo de marcos de dato por minuto que se le permite recibir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Manejo Transmitidos: Ingresar el número máximo de marcos de manejo por minuto que se le permite transmitir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Manejo Recibidos: Ingresar el número máximo de marcos de manejo por minuto que se le permite recibir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Control Transmitidos: Ingresar el número máximo de marcos de control por minuto que se le permite transmitir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma.

# de Marcos de Control Recibidos: Ingresar el número máximo de marcos de control por minuto que se le permite recibir a este punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Fragmento Vistos: Ingresar el número máximo de marcos de fragmento por minuto que puede ver este punto de acceso antes de generar una alarma

# de Marcos de Error Desencriptados Vistos: Ingresar el número máximo de marcos de error de desencripción por minuto que puede ver este punto de acceso antes de generar una alarma

Información umbral por omisión

En una realización preferida, cuando quiera que un punto de acceso se detecte o se ingrese manualmente, las configuraciones por omisión especificadas se aplican hasta que este es manualmente adecuado. Se asume que puntos de acceso nuevos o no autorizados son piratas potenciales, por lo tanto es preferible establecer umbrales por omisión muy bajos.

Umbrales de estación agregados

La tabla de adelante esboza un conjunto de umbrales que se refiere a las estadísticas combinadas para todas las estaciones en una realización preferida.

Columna: Descripción

Umbral de Fortaleza de la Señal: Si la fortaleza de la señal para cualquier estación en el BSS asociado con un punto de acceso desconocido es inferior que este valor, se puede generar una alarma

# de Asociaciones por minuto: Mientras que las estaciones se deben asociar con un punto de acceso, los puntos de acceso no se asocian con ellos mismos. Por lo tanto, este valor debe ser cero, indicando que este no se asocia

# de estaciones Asociadas: Ingresar el número máximo de estaciones a las que se le permite asociarse con puntos de acceso desconocidos. El número debe reflejar sus estaciones reales. Si se detecta un número mayor, se puede generar una alarma

# de Bytes en el BSS de una malla Alambrada: Ingresar el número máximo de bytes de datos por minuto permitidos en el BSS a través de los puntos de acceso desconocidos provenientes de la porción alambrada de su red. Si se detecta un mayor número, se puede generar una alarma

Columna: Descripción

# de Bytes Provenientes: Ingresar el número máximo de bytes de datos por minuto permitidos por fuera

del BSS a la Malla: del BSS a través de los puntos de acceso no conocidos a una porción

Alambrada: alambrada de su red. Si se detecta un mayor número, se puede generar una alarma

# de Bytes entre: Ingresar el número máximo de bytes de datos por minuto que se le permite

Estaciones en BSS: transmitir dentro del BSS desde todas las estaciones a través de los puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Bytes Provenientes: Ingresar el número máximo de bytes de datos por minuto que se le permite

de la Malla Alambrada a la: transmitir a través de puntos de acceso desconocidos de una porción

Malla Alambrada: alambrada de la red a una porción alambrada de la red, utilizando el punto de acceso como un puente. Si se detecta un mayor número, se puede generar una alarma

Marcos de Datos totales: Ingresar un número máximo de marcos de datos por minuto para todas las

Vistos: estaciones combinadas a las que se les permite transmitir a través de puntos de acceso desconocidos. Si se detecta un mayor números, se puede generar una alarma

Marcos de Manejo Totales: Ingresar el número máximo de marcos de manejo por minuto para todas las

Vistos: estaciones combinadas a las que se les permite transmitir a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

Marcos de Control Totales: Ingresar el número máximo de marcos de control por minuto para todas las

Marcos Ad Hoc Totales: Ingresar el número máximo de marcos ad hoc por minuto para todas las

Umbrales de estación individual

El conjunto de umbrales esbozados en la tabla de adelante aplica a cualquier estación individual en una realización preferida, y típicamente será inferior que los umbrales de estación agregados.

Columna: Descripción

Umbral de Fortaleza de la Señal: Si la fortaleza de la señal para cualquier estación asociada con un punto de acceso desconocido es inferior que este valor, se puede generar una alarma

# de Asociaciones por Minuto: Ingresar el número máximo de asociaciones por minuto que se le permite hacer a cualquier estación con un punto de acceso desconocido. Si se detecta un mayor número, se puede generar una alarma

# de Bytes Transmitidos: Ingresar el número máximo de bytes de datos por minuto que se le permite transmitir a cualquier estación a través de un punto de acceso desconocido. Si se detecta un mayor número, se puede generar una alarma

# de Bytes Recibidos: Ingresar el número máximo de bytes de datos por minuto que se le permite recibir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Datos Transmitidos: Ingresar el número máximo de marcos de datos por minuto que se le permite transmitir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

Columna: Descripción

# de Marcos de Datos Recibidos: Ingresar el número máximo de marcos de datos por minuto que se le permite recibir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Manejo Transmitidos: Ingresar el número máximo de marcos de manejo por minuto que se le permite transmitir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Manejo Recibidos: Ingresar el número de marcos de manejo por minuto que se le permita recibir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Control Transmitidos: Ingresar el número máximo de marcos de control por minuto que se le permite transmitir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Control Recibidos: Ingresar el número máximo de marcos de control por minuto que se le permite recibir a cualquier estación a través de puntos de acceso desconocidos. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Fragmento vistos: Ingresar el número máximo de marcos de fragmento por minuto que se le permite a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Error de Desencripción Vistos: Ingresar el número máximo de marcos de error desencriptados por minuto que se le permite a cualquier estación. Si se detecta un mayor número, se puede generar una alarma

Umbrales de la estación de punto de acceso

El conjunto de umbrales en la tabla de adelante aplica a todos los puntos de acceso no autorizados en una realización preferida.

Columna: Descripción

Umbral de Fortaleza de la Señal: Si la fortaleza de la señal para cualquier punto de acceso es inferior que este valor, se puede generar una alarma

# de Asociaciones por Minuto: Ingresar el número máximo de asociaciones por minuto entre cualquier punto de acceso y las estaciones. (se recomienda que este valor no sea mayor que dos veces el número de las estaciones en su BSS).

# de Bytes Transmitidos: Ingresar el número máximo de bytes de datos por minuto que se le permite transmitir desde cualquier punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Bytes Recibidos: Ingresar el número máximo de bytes de datos por minuto que se le permite recibir a cualquier punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Datos Transmitidos: Ingresar el número máximo de marcos de datos por minuto que se le permite transmitir a cualquier punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Datos Recibidos: Ingresar el número máximo de marcos de datos por minuto que se le permite recibir a cualquier punto de acceso. Si se detecta un mayor número, se puede generar una alarma

# de Marcos de Manejo Transmitidos: Ingresar el número máximo de marcos de manejo por minuto que se le permite transmitir a cualquier punto de acceso. Si se detecta un mayor número, se puede generar una alarma

imagen12

•: Usuario -permite la creación, edición, y supresión de cuentas de usuario a las que se les permite acceso a la interfaz de usuario gráfica.

•: ayuda-guía sobre el uso de la aplicación, y tópicos de ayuda detallados. Red

5 Abriendo el área de programa de configuración de la red, están disponibles los siguientes comandos en una realización preferida:

Comando: Descripción

IP: Configurar dirección IP Permite la modificación de la dirección IP, enmascara la submalla, y la compuerta por omisión para el componente de hardware en el cual se comenzó sesión. La pantalla de “configuración IP” abre, desplegando la configuración de red real y permite modificación.

DNS: Definir los servidores DNS Agregar o suprimir un nameserver DRS. La “pantalla nameserver” abre, desplegando su dirección IP de los servidores DNS corrientes y permite la adición, supresión y modificación. Nota: múltiples servidores DNS pueden en algunas realizaciones tener un “orden” para procesar solicitudes DNS. El primer servidor en la lista, (identificado por el numeral 1) es el primero en ofrecer resolución de nombre; el segundo servidor en la lista (identificado con el numeral 2) es el segundo para procesar la solicitud si el primero no es capaz de hacerlo así. Con el fin de cambiar el orden de preferencia de múltiples servidores, todos deben ser suprimidos y reingresados en el orden deseado para ellos procesar las solicitudes DNS

HNAME: Establecer el hostname Cambiar el nombre del componente de hardware. La pantalla hostname “despliega” su hostname real y permite la modificación. Tener en cuenta que cuando se quiera cambiar el hostname su nombre también debe ser modificado en todos los dispositivos a los que se refiere este (por ejemplo los servidores DNS)

DNAME: Establecer el nombre de dominio Cambiar el dominio al cual pertenece el componente de hardware. La pantalla de nombre de dominio despliega su nombre de dominio corriente y permite la modificación Tener en mente que cuando quiera que se cambie el nombre de dominio este se debe modificar en todos los dispositivos a los que se refiere este (por ejemplo los servidores DNS)

MRELAY: Configurar huésped de relevo de correo Configurar un componente de hardware para enviar alarmas por correo electrónico. La pantalla de huésped de relevo de correo aparece y permite la entrada de “hostnames” calificados. En una realización, los huéspedes de relevo de correo pueden ser denominados por su dirección IP o por un “hostname” completamente cualificado (por ejemplo myhostname.mydomainname.com) o un servidor de correo para procesar mensajes de alarma de correo electrónico. Nota: el servidor de correo se debe configurar para permitir que este aparato releve el correo electrónico a través de este, o al menos para dirigir su correo a otro servidor de correo que lo relevará.

Comando: Descripción

ARP: Configurar tabla ARP permanente Crear una tabla ARP permanente. La pantalla de tabla ARP despliega sus registros ARP reales y permite la modificación. Con el fin de proteger las conexiones entre este componente de hardware y los administradores remotos que son pirateados por “la explosión” del ARP del hombre en el medio (que redirige el tráfico para esta dirección IP a una dirección MAC alternativa), es preferible crear registros ARP permanentes para puertas de acceso y otras máquinas importantes.

HALLOW: Archivo configure /etc./host.allow Especificar a qué maquinas se les permite conectar el componente de hardware. La pantalla de lista permitida despliega su lista real de las máquinas permitidas y permite modificación. Las máquinas permitidas a las que se les permite conectar a estos componentes de hardware se pueden especificar. Solo aquellas cuya dirección IP submalla, “hostname” completamente calificado, o nombre de dominio coincida con una entrada en esta lista se le permite conectar a este componente de hardware para correr los programas y las rutinas administrativas disponibles.

HDENY: Archivo config/etc./host.deny Identificar las maquinas que no puedan conectar con el componente de hardware. La pantalla de lista de denegación despliega su lista real de máquinas denegadas y permite la modificación. Las maquinas a las que no se le permite conectar con este componente de hardware se pueden especificar. Cualquiera cuya dirección IP, submalla, “hostname” completamente calificada, o nombre de dominio coincida con una entrada en la lista no se le permite conectar con este componente de hardware. Nota: HALLOW, en una realización preferida, toma precedencia sobre HDENY. Por ejemplo, si 123.456.789.963 está sobre la lista permitida, aun la submalla 123.456.789 está sobre la lista denegada, la máquina individual anterior se le permite conectar al aparato.

Fecha

Abriendo el área de programa de configuraciones de fecha, los siguientes comandos están disponibles en una realización preferida.

Comando: Descripción

TIME: Configuración de tiempo/fecha Permite la configuración de tiempo/fecha para el componente de hardware.

TZ: Establecer zona horaria Permite la configuración de la zona horaria para el componente de hardware.

imagen13

imagen14

imagen15

imagen16

imagen17

Tipo de alarma: Subtipo de alarma Nivel de alarma

Disociar El AirDefense Mobile detecta cuando un pirata pretende tener un punto de acceso y radiodifundir un mensaje de “desasociar”. Este forza todas las estaciones a reasociarsen con el punto de acceso, generando tráfico de red excesiva, y originando conectividad inconsistente y transferencia de datos.: Crítico

Estación no autorizada: No está en la lista permitida AirDefense Mobile detecta una estación cuya dirección MAC no está en su lista valida (una lista valida es mantenida por el sistema.) Crítico

Umbral: Errores GLB CRC AirDefense Mobile detecta si los errores CLC excedieron los limites configurados (errores CRC los errores CRC son generados cuando los “checksums” fallan en marcos individuales.) Mayor

Conteo de asociación BSS AirDefense Mobile detecta cuando el número de asociación dentro del BSS completo, en cualquier minuto dado excede el número especificado en la información de configuración.: Mayor

Fortaleza de la señal BSS AirDefense Mobile detecta cuando la fortaleza de la señal en cualquier punto de acceso cae por debajo de un umbral especificado.: Crítico

Fragmentos BSS: Menor

AirDefense Mobile detecta cuando el número de marcos fragmentados dentro de algún minuto excede un umbral especificado.

Errores de desencriptación BSS AirDefense Mobile detecta cuando el número de marcos de error desencriptados dentro de cualquier minuto excede un umbral especificado.: Mayor

Estaciones de asociación BSS AirDefense Mobile detecta cuando el número total de estaciones asociadas en un BSS completo, en cualquier minuto dado, excede un número especificado.: Menor

BSS tbw dentro AirDefense Mobile detecta cuando, durante cualquier minuto, el número de bytes de datos que ingresan al BSS proveniente de una porción alambrada de su red excede un umbral establecido.: Menor

BSS tbw fuera AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de bytes de datos que van del BSS a la porción alambrada de su red excede un umbral establecido.: Menor

Tipo de alarma: Subtipo de alarma Nivel de alarma

BSS tbw intra AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de bytes de datos que se originan desde y que están destinados al BSS exceden un umbral especificado.: Menor

BSS tbw a través AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de bytes de datos que se origina de una porción alambrada de la red salta a través del BSS a otra porción alambrada de la red excede un umbral establecido.: Menor

Datos BSS AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de marcos de datos en el BSS excede un umbral especificado.: Mayor

BSS mgt AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de marcos de manejo en el BSS excede un umbral especificado.: Mayor

BSS ctl AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de marcos de control en el BSS excede un umbral establecido.: Mayor

BCC ad hoc AirDefense Mobile detecta cuando, durante cualquier minuto, el número total de marcos ad hoc en el BSS excede un umbral especificado. Nota: las tarjetas adaptadoras de red inalámbrica de menor calidad generaran aleatoriamente marcos ad hoc. El umbral (1) por omisión del AirDefense Mobile puede originar que todos estos marcos espurios generen una alarma. Después de vigilar la red durante una semana o dos, puede ser aconsejable establecer el umbral en un número o un poco mayor que lo que normalmente genera la red.: Crítico

Conteo de asociaciones STA AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier estación de asocia con un punto de acceso más veces de las suministradas por un umbral especificado.: Mayor

Fortaleza de las señales STA AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier fortaleza de la señal de la estación cae por debajo de un valor especificado.: Crítico

Fragmentos STA AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier estación genera más marcos fragmentados que un valor especificado.: Menor

Tipo de alarma: Subtipo de alarma Nivel de alarma

Errores de desencriptacion STA AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier estación genera más errores de desencriptación que un umbral establecido.: Mayor

STA tbw recibido AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier estación recibe más bytes de datos que un umbral predetermidado.: Menor

STA tbw transmitido AirDefense Mobile detecta cuando, durante cualquier minuto, cuando cualquier estación transmite más bytes de datos que las especificadas en el umbral establecido.: Menor

Datos recibidos STA AirDefense Mobile detecta cuando, en cualquier minuto, cuando cualquier estación recibe más marcos de datos que un umbral especificado.: Mayor

Datos transmitidos STA AirDefense Mobile detecta cuando, en cualquier minuto, cuando cualquier estación transmite más marcos de datos que un umbral especificado.: Mayor

STA mg recibido AirDefense Mobile detecta cuando, en cualquier minuto, cuando cualquier estación recibe más marcos de manejo que un umbral especificado.: Mayor

STA mgt transmitido AirDefense Mobile detecta cuando, en cualquier minuto, cuando cualquier estación transmite más marcos de manejo que un umbral especificado.: Mayor

STA ctl recibo: Mayor

AirDefense Mobile detecta cuando, en cualquier minuto, cuando cualquier estación recibe más marcos de control que un umbral especificado.

Transmisión STA ctl AirDefense Mobile detecta cuando, en cualquier minuto, cuando una estación transmite más marcos de control que un umbral establecido.: Mayor

Robo de ID: Fuera de secuencia AirDefense Mobile detecta cuando los marcos son transmitidos fuera de secuencia. Esto sugiere que alguien ha falseado una estación y está enviando datos al mismo tiempo como la estación legitima. Crítico

Tipo de alarma: Subtipo de alarma Nivel de alarma

Vendedor fuera de carácter AirDefense Mobile compara cada una de las transmisiones de la estación contra una base de datos interna del vendedor conocida “perfiles de transmisión” o “firmas”. Si el tráfico de red real no coincide con el perfil del vendedor asociado con el NIC inalámbrico de la estación, el AirDefense Mobile asume el tráfico se origina de una estación no autorizada que utiliza un NIC falso.: Crítico

Fortaleza de señal anómala AirDefense Mobile hace seguimiento a una fortaleza de señal alta, baja y media de cada estación muchas veces en un minuto durante el día. Cuando quiera que éste detecta que la fortaleza de la señal de la estación se desvía de la norma, este genera una alarma.: Crítico

Modo de Punto: Modo WEP cambiado Crítico

de Acceso: AirDefense Mobile detecta cuando el valor WEP en una baliza de punto de acceso difiere del valor que este se supone que debe ser. (AirDefense Mobile autodetectó la propiedad WEP o fue manualmente ingresada)

Velocidad cambiada AirDefense Mobile detecta cuando los valores de velocidad de transmisión soportados en una baliza de punto de acceso difieren del valor que éste se supone que debe ser. (AirDefense Mobile autodetectó la propiedad de velocidad, o fue manualmente ingresada): Crítico

Canal cambiado AirDefense Mobile detecta cuando quiera que el punto de acceso cambia los canales. (el canal se identifica en información de configuración): Crítico

CF cambiado AirDefense Mobile detecta cuando el valor de coordinación del punto en una baliza de AP cambia. Un cambio en este campo puede indicar que el punto de acceso fue reconfigurado, aunque este no es necesariamente un problema. (El campo de coordinación de punto se refiere al modo del punto de acceso de evitar colisión.)

Essid cambiado AirDefense Mobile detecta cuando la radiodifusión del punto de acceso de su BSS ID extendido cambia. La información ESSID se almacena como información de configuración.

Administración de AP no Autorizado: AirDefense Mobile detecta cuando las sesiones de administración están siendo conducidas directamente con el punto de acceso. Crítico

Marco Mgt. Aleatorio: Sta tx ap mgt fr AirDefense Mobile detecta cuando una estación está transmitiendo un marco de manejo reservado para el uso del punto de acceso. Crítico

Tipo de alarma: Subtipo de alarma Nivel de alarma

Aptx ilegal mgt fr AirDefense Mobile detecta cuando el punto de acceso transmite un marco de manejo ilegal.: Crítico

Fuera del marco spec AirDefense Mobile detecta cuando el punto de acceso transmite un marco que no sigue los estándares 802.11b.: Crítico

Otro marco falso AirDefense Mobile detecta cuando un punto de acceso transmite cualquier marco que éste no entiende.: Crítico

Malla Ad Hoc: AirDefense Mobile detecta cuando las estaciones están directamente Crítico

Detectada: transmitiendo y recibiendo a y desde cada una de las otras sin utilizar un punto de acceso autorizado. Nota: a diferencia de todas las otras alarmas que son generadas cada vez que se detecta un evento de red en un minuto, AirDefense Mobile solo generara una alarma de Red Ad Hoc una vez en el periodo de 24 horas corriente para cada dirección MAC.

Velocidad de Baliza AP: AirDefense Mobile detecta cuando la velocidad de baliza del punto de acceso cambió. Crítico

Los presentes sistemas y métodos le permiten al usuario final especificar y ejecutar las restricciones de seguridad y política asociadas con el despliegue de una red inalámbrica particular. Una vez configurada con tal información, la actividad de la red se vigila de manera continua para determinar si la actividad está dentro de las guías

5 especificadas por las restricciones establecidas.

Si se encuentra que la actividad no cumple con las restricciones establecidas, se genera una alarma en tiempo real y se reporta al usuario a través de una serie de mecanismos. Estos mecanismos pueden incluir Web, Email, SNMP y una notificación Syslog. En algunas realizaciones, la respuesta no está limitada a la notificación. Estas realizaciones pueden incluir aplicación automatizada y/o medidas defensivas activas tal como se discute adelante.

10 Aplicación de política automatizada

Algunas realizaciones soportan aplicaciones automatizadas de restricciones. En tales realizaciones, pueden ocurrir intentos para rectificar la desviación de la política a través de la reconfiguración del dispositivo o dispositivos afectados automáticamente luego de la detección de la desviación. Estos intentos de reconfiguración intentan ejecutar la política especificada dentro de los dispositivos relevantes.

15 Este problema se puede visualizar como una forma de un bucle de control de retroalimentación. En muchos casos, tal bucle opera al comparar la entrada de referencia a una salida medida, computar su diferencia, y utilizar esta diferencia para ajustar la salida deseada. Esto continúa para impulsar la salida deseada para cumplir con la entrada de referencia.

La FIG. 10 describe un proceso de ejemplo que incluye aplicación de política automatizada. Ocurre la vigilancia

20 normal de actividad de la red. La actividad vigilada es revisada para cumplimiento de las restricciones establecidas. Si una restricción es violada, se genera una notificación (alerta) y se envía a un usuario y/u otros sistemas. Un procedimiento asociado con la alerta se dispara lo que intenta manual o atónitamente rectificar la causa subyacente de la violación. Si el procedimiento rectifica exitosamente la causa de la violación, la alerta disparada se puede cancelar, actualizar o modificar de otra manera para indicar el estado presente de la violación.

25 La resolución automática de la violación de política puede emplear una interfaz de manejo y control sobre el equipo vigilado para efectuar el cambio deseado. Esta interfaz puede estar en la forma de un HTTP, HTTPS, SNMP o una interfaz de línea de comando especifica del vendedor alcanzable por vía Telnet, SSH u otra interfaz de inicio de sesión remota; además, o en lugar de, las interfaces alternativas se pueden suministrar por vía de voz automatizada y/o sistemas de reconocimiento de tono para manejar la configuración basada en teléfono del ambiente. Múltiples de

imagen18

imagen19

imagen20

Claims

imagen1

imagen2

imagen3