| 如果你想開(kāi)辟一方無(wú)線(xiàn)的凈土，就要利用好最新的安全工具，時(shí)刻讓你的用戶(hù)獲得無(wú)線(xiàn)局域網(wǎng)的安全狀況信息。 在Sunnybrook醫療科學(xué)中心，信息技術(shù)主管 Oliver Tsai 都能看到這樣一幕幕場(chǎng)景：剛入學(xué)的醫科新生們個(gè)個(gè)都攜帶著(zhù)最新潮的配備無(wú)線(xiàn)模塊（Wi-Fi）的手提電腦，然而這些嶄新的電腦卻無(wú)法接入Sunnybrook的無(wú)線(xiàn)網(wǎng)絡(luò )系統，在這樣的情況面前，孩子們百思不得其解。 同樣的情景也發(fā)生在中心的醫生、業(yè)務(wù)經(jīng)理和其他人身上，這些專(zhuān)業(yè)人士的電腦上裝有自動(dòng)探測電視廣播信號并從無(wú)線(xiàn)局域網(wǎng)（WLAN）接收信號的新配件。Tsai是這家位于多倫多的理論醫療科學(xué)中心的信息技術(shù)總管，他說(shuō)：“他們可以看到哪些功能被提供，但由于安全問(wèn)題，只有在設備被適當安裝之后他們才能訪(fǎng)問(wèn)中心的網(wǎng)絡(luò )系統。”這種可遠觀(guān)而不能近玩焉的境遇使用戶(hù)感到非常郁悶，但Tsai說(shuō)，如果這只是一種暫時(shí)現象的話(huà)，無(wú)線(xiàn)網(wǎng)絡(luò )使用所包含受挫感是必要的。 當今配有黑莓手機（blackberry,無(wú)線(xiàn)電子郵件接收器）的工作人士們，不管是醫科學(xué)生、CEO還是辦公室一族，都紛紛大聲疾呼，希望在工作時(shí)能享受一個(gè)更為理想的無(wú)線(xiàn)接入服務(wù)環(huán)境。毫無(wú)疑問(wèn)他們覺(jué)得，既然公司為他們提供了內置無(wú)線(xiàn)網(wǎng)卡的手提電腦，自己在使用網(wǎng)絡(luò )時(shí)就沒(méi)有理由再被束縛在辦公桌上。 無(wú)線(xiàn)是否已經(jīng)讓你畏縮？ 我們需要大致了解一下一些領(lǐng)先的無(wú)線(xiàn)局域網(wǎng)產(chǎn)品制造商的情況，以及他們的加密術(shù)、認證和入侵監測產(chǎn)品。 現在的情況是，信息技術(shù)管理人員依然對無(wú)線(xiàn)局域網(wǎng)持懷疑態(tài)度。原因在于無(wú)線(xiàn)網(wǎng)絡(luò )存在著(zhù)被廣泛認識到的諸多安全夢(mèng)魘，比如說(shuō)拒絕服務(wù)攻擊和網(wǎng)絡(luò )系統漏洞等等。Nick Selby是一位來(lái)自451集團的企業(yè)安全分析師（The 451 Group一家關(guān)注IT創(chuàng )新的信息技術(shù)產(chǎn)業(yè)分析公司），他說(shuō)：“他們被恐懼壓倒了。”而Forrester Research（全球兩大研究公司之一，鑒別和分析科技趨勢和其對經(jīng)濟的影響）2005年12月的一份報告也證實(shí)了Selby的說(shuō)法：不論何種產(chǎn)業(yè)，安全問(wèn)題是探索無(wú)線(xiàn)技術(shù)道路上最大的絆腳石。 但是有些恐懼是基于往事記憶的。Selby說(shuō)：“在早期，該項技術(shù)的采納方被安全難題給嚇倒了，而如今大部分安全難題已得到解決。”現在，新的認證和加密協(xié)議（例如用戶(hù)接入為802.1x，先進(jìn)加密標準為802.11i）提供的安全保障更加有力。同時(shí)，無(wú)線(xiàn)產(chǎn)品銷(xiāo)售者還提供入侵探測產(chǎn)品和整體架構方案，使企業(yè)無(wú)線(xiàn)網(wǎng)絡(luò )能像有線(xiàn)網(wǎng)絡(luò )一樣安全可靠。 Selby緊接著(zhù)說(shuō)：“要明白，你為安全而付諸實(shí)踐的大部分工作努力都應該來(lái)自銷(xiāo)售方。問(wèn)題在于要激發(fā)他們的熱情和積極性。” Gartner（科技市場(chǎng)研究公司）就聲稱(chēng)，無(wú)線(xiàn)局域網(wǎng)是眼下眾多安全因素中最被過(guò)分夸大的IT安全威脅之一。 因此，為了2006年及其更遙遠的將來(lái)，現在有五個(gè)無(wú)線(xiàn)安全法則可以信賴(lài)，它們將會(huì )幫助CIO和用戶(hù)最有效地利用無(wú)線(xiàn)局域網(wǎng)，而不用擔心會(huì )有噩夢(mèng)降臨。 著(zhù)手計劃 要追溯問(wèn)題出現的最初原因：你為什么需要一個(gè)無(wú)線(xiàn)局域網(wǎng)？誰(shuí)人將懷著(zhù)什么目的去使用它？必要的內部與外部安全裝置是什么？盡早考慮這些問(wèn)題，CIO可以決定他們的無(wú)線(xiàn)局域網(wǎng)需要達到的安全程度。 Bill Tomcsanyi是托蘭斯紀念醫學(xué)中心（Torrance Memorial Medical Center）的信息主管，他去年的原始計劃初衷真的是以急救科為起點(diǎn)搭建一個(gè)無(wú)線(xiàn)網(wǎng)絡(luò )嗎？當他把更多的目光投向此時(shí)彼時(shí)的安全裝置的時(shí)候，當他關(guān)注他的臨床醫生和管理人員所能實(shí)現的效率和安裝網(wǎng)絡(luò )的相對低價(jià)等因素的時(shí)候，他就越發(fā)想到要使網(wǎng)絡(luò )覆蓋整個(gè)醫院和校內的其他建筑。他的確把這個(gè)想法付諸了實(shí)踐。Tomcsanyi說(shuō)：“無(wú)線(xiàn)絕對是我們五年信息科技計劃一個(gè)不可或缺的組成部分。最后我們將為患者提供更為快捷的治療，同時(shí)消除所有可能的潛在錯誤。” 一旦CIO知道自己要的是什么，隨之而來(lái)的挑戰就是量化基礎設施投資和預期收益。但不要期望會(huì )給出什么硬指標。調研機構Current Analysis的一位研究主管Joel Conover說(shuō)：“我們沒(méi)有能力來(lái)衡量為什么這些網(wǎng)絡(luò )值得投資。” （Current Analysis是一家競爭響應解決方案提供商，它為高速發(fā)展的企業(yè)市場(chǎng)領(lǐng)域提供快速的、戰略性的和有實(shí)際指導作用的智能解決方案。）與此相反，收益是一個(gè)最為突出的軟指標，包括了生產(chǎn)力和生產(chǎn)效率的提高等內容。用戶(hù)可以在無(wú)線(xiàn)網(wǎng)絡(luò )覆蓋區內去任何有無(wú)線(xiàn)接入點(diǎn)(AP)的地方（會(huì )議室、戶(hù)外院子和自助餐廳）接入網(wǎng)絡(luò )。有時(shí)甚至在沒(méi)有硬性的投資回報指標（ROI--return on investment）的情況下，一些CIO仍然能找到無(wú)線(xiàn)局域網(wǎng)所具備的足夠的價(jià)值。Steve McDonald是Optimus Solutions（一家擁有920萬(wàn)美元資產(chǎn)的綜合軟件硬件并進(jìn)行轉售業(yè)務(wù)的公司）的IT副總裁，他說(shuō)：“（我們的用戶(hù)）可以與Lotus Notes（美國Lotus公司出品的著(zhù)名群體系列軟件）以及CRM和ERP集成軟件時(shí)刻保持通信。而且能做到改動(dòng)簡(jiǎn)單明了，接入連貫一致。” McDonald已將 但是Ellen Daley，Forrester Research的首席分析師，在總結了當今無(wú)線(xiàn)局域網(wǎng)調度的一致意見(jiàn)后提出：“對于企業(yè)中每個(gè)網(wǎng)絡(luò )的主要數據使用權限而言，無(wú)線(xiàn)網(wǎng)絡(luò )只是有線(xiàn)網(wǎng)絡(luò )的一個(gè)附加品，而非替代品。而且這是一個(gè)多余的成本。” 相比之下，從無(wú)線(xiàn)局域網(wǎng)產(chǎn)品銷(xiāo)售商處得到的回收數據還是令人樂(lè )觀(guān)的。例如，北電公司（Nortel，唯一同時(shí)提供支持GPRS、CDMA2000和UMTS三種先進(jìn)技術(shù)的無(wú)線(xiàn)數據網(wǎng)絡(luò )供應商。）認為，如果組織安裝的是典型的配有 沒(méi)有規矩，不成方圓 不管是勤勉的辦公室一族，抑或是來(lái)訪(fǎng)的承包商，他們并非懷有惡意把自己無(wú)線(xiàn)路由器插入到以太網(wǎng)端口。但CIO的責任就是讓用戶(hù)們了解這種做法的后果：這個(gè)淘氣的接入端口現在正埋伏在防火墻保護的背后，不能被眾多的入侵探測系統探測到。如果有人用簡(jiǎn)易而廉價(jià)的手動(dòng)裝置或者激活無(wú)線(xiàn)的筆記本輕輕觸動(dòng)電波信號的話(huà)，接入端口就可能與信號相聯(lián)接并能全權使用企業(yè)的網(wǎng)絡(luò )。Daley說(shuō)：“你必須為你的無(wú)線(xiàn)局域網(wǎng)制定安全策略，包括允許使用的時(shí)間，使用限制，或著(zhù)咨詢(xún)師與合伙人在必要情況下的訪(fǎng)客使用權限。” CIO不能對無(wú)線(xiàn)局域網(wǎng)安全策略需要具備的用戶(hù)教育程度作太高的估計。使用者無(wú)須知曉如何分辨介質(zhì)訪(fǎng)問(wèn)控制(MAC--Media Access Control)地址和服務(wù)集合標識符（SSID-- Service Set Identifier），但他們必須明辨是非。比如，他們必須了解因受騙而訪(fǎng)問(wèn)一個(gè)錯誤（具有潛在惡毒目的）且不屬于公司的接入端口。Selby說(shuō)：“用戶(hù)在這種自由度許可范圍內保持對新風(fēng)險的警覺(jué)是非常必要的。” 其次，CIO們一致認為任何新的無(wú)線(xiàn)安全策略必須與現有的有線(xiàn)安全策略相吻合。Bryon Fessler 是俄勒岡州波特蘭（Portland）大學(xué)IT副總裁兼CIO。他認為：“我們在有線(xiàn)環(huán)境里所遵循的準則，在無(wú)線(xiàn)的進(jìn)程中也應被遵從。”自去年以來(lái)，Fessler在校園的三幢大樓內大規模鋪設了50個(gè)無(wú)線(xiàn)接入端口，并計劃在未來(lái)至少再鋪設25個(gè)。他抓住任何機會(huì )（面對面交流、電子郵件和其他聚會(huì )）來(lái)確保4500名學(xué)生、全體教員和學(xué)校其他成員能理解其無(wú)線(xiàn)局域網(wǎng)安全策略背后的動(dòng)機。比如，為什么學(xué)生的手提電腦必須在經(jīng)過(guò)隔離、殺毒檢查并授予安全認證后才能連接入無(wú)線(xiàn)局域網(wǎng)。 時(shí)刻認證 無(wú)線(xiàn)網(wǎng)絡(luò )安全教育結束之后，安全策略實(shí)施者就會(huì )讓加密技術(shù)及時(shí)跟進(jìn)——它們彌補了安全教育離席后的空白。 認證是CIO們的第一道防線(xiàn)。簡(jiǎn)而言之，它能確保要求獲得網(wǎng)絡(luò )傳輸信號的客戶(hù)是其本人，并且被允許使用無(wú)線(xiàn)網(wǎng)絡(luò )。 如今，802.1x標準是認證用戶(hù)的高端技術(shù)中的一種。它用于端口認證，這種認證源于有線(xiàn)網(wǎng)絡(luò )的世界，并由于有線(xiàn)等效加密（WEP-- wired equivalency protocol）的不足而被翻新用于WLAN．基于802.1x的協(xié)議叫做EAP（extensible authentication protocol）。它使用經(jīng)過(guò)加密的渠道在設備與網(wǎng)絡(luò )之間交換信息（用戶(hù)名和密碼）。根據無(wú)線(xiàn)網(wǎng)絡(luò )賣(mài)主Aruba，盡管入侵者能夠監測在空氣中的數據交換，但他無(wú)法截獲加密通道內的數據信息。由于EAP是用于有線(xiàn)網(wǎng)絡(luò )的，推行一種統一的網(wǎng)絡(luò )策略就顯得很有吸引力。它的相互認證的能力給了用戶(hù)更多的保護，從而確保他們看到的網(wǎng)絡(luò )是合法的，而不是黑客的欺騙性接入端口（欺騙性端口被稱(chēng)為“邪惡雙子星”）。 Sunnybrook女子學(xué)院醫療科學(xué)中心的Tsai使用了受保護的EAP來(lái)對公司的無(wú)線(xiàn)數據網(wǎng)絡(luò )訪(fǎng)問(wèn)進(jìn)行認證。由于Tsai的系統有一個(gè)微軟工作組提供幫助，這樣他就能充分利用支持EAP的Windows XP操作系統調節內置設置。 另一個(gè)連接有線(xiàn)與無(wú)線(xiàn)世界的認證方案叫做NAC（network admission control）。這個(gè)方案由Cisco領(lǐng)銜，是一項基于網(wǎng)絡(luò )的安全策略。它確保想要登陸無(wú)線(xiàn)網(wǎng)的機器是受到信任的，同時(shí)免受計算機網(wǎng)絡(luò )蠕蟲(chóng)、病毒和間諜軟件的侵害。在波特蘭大學(xué)，Fessler用NAC來(lái)檢測新的設備，進(jìn)行診斷，然后允許用戶(hù)進(jìn)入有線(xiàn)和無(wú)線(xiàn)局域網(wǎng)。他的系統還使用了一種Active Directory數據庫來(lái)驗證用戶(hù)并準許他們進(jìn)入ERP系統或學(xué)生數據庫。他還說(shuō)這運用了信任及檢測的思維方式，并且在開(kāi)放的校園網(wǎng)絡(luò )環(huán)境中得到了很好的運用。在這樣的環(huán)境中學(xué)生們普遍接受著(zhù)技術(shù)自由觀(guān)念的洗禮。 成功加密 認證與加密是密不可分的。在三月份，當Wi-Fi聯(lián)盟宣布所有的無(wú)線(xiàn)網(wǎng)絡(luò )產(chǎn)品必須有WPA2（對802.11的最強加密規范）后，這兩者都得到了很有必要的發(fā)展推進(jìn)。WPA2代表Wi-Fi Protected Access 2，并且是期待已久的WPA（早期WEP標準的替代物）的繼承者。“WPA還存在一些問(wèn)題，但WPA2很好的彌補了這些缺陷。” 451 集團的Selby說(shuō)道。 鑒于認證是確保設備與網(wǎng)絡(luò )間的相互信任，加密是確保鏈接與數據傳輸的安全，“因此懷有惡意的人是無(wú)法查看數據包的。” Tomcsanyi說(shuō)道。內部有WPA2的手提電腦和接入端口使用了先進(jìn)的加密標準來(lái)提供最高級的安全。 如果CIO們想深入到無(wú)線(xiàn)網(wǎng)絡(luò )的技術(shù)圖表和接入端口，他們肯定是辦不到的。但是由于日臻成熟的賣(mài)主技術(shù)，加密計劃就顯得相當簡(jiǎn)捷易懂。只要打開(kāi)WPA2就行了。“這聽(tīng)起來(lái)像是個(gè)非常復雜的情況，但它并非如此。” Optimus Solutions的McDonald說(shuō)道。 當然，認證與加密的基本原理需要一個(gè)工業(yè)級技巧的用戶(hù)名和攻擊者不能輕易猜到的密碼，像八個(gè)或八個(gè)以上的文字，或者字母與漢字的混合。在當今時(shí)代，這種概念的貢獻應當是不言而喻的。但是就像Daley所說(shuō)的,“你會(huì )驚奇地發(fā)現很多公司并沒(méi)有這么做。”這種說(shuō)法得到了安全產(chǎn)品制造廠(chǎng)商Kaspersky Labs（卡巴斯基實(shí)驗室）的支持。他估計７０％的無(wú)線(xiàn)局域網(wǎng)絡(luò )沒(méi)有使用任何以一種數據加密。 識別壞人 過(guò)去的幾年內，在安全上的一個(gè)重大轉折便是無(wú)線(xiàn)局域網(wǎng)已從防御型轉變?yōu)橹鲃?dòng)進(jìn)攻型。CIO們不應該坐等著(zhù)去被攻擊。新技術(shù)能夠在壞人進(jìn)行破壞之前察覺(jué)、定位并阻止攻擊。Tsai 認為：“在企業(yè)環(huán)境里能擁有管轄自己網(wǎng)絡(luò )的工具是非常重要的。” 對那些仍然拒絕無(wú)線(xiàn)局域網(wǎng)的CIO們來(lái)說(shuō)，他們最好應當通過(guò)檢測自己的無(wú)線(xiàn)電來(lái)確認安全。“在沒(méi)有安裝無(wú)線(xiàn)網(wǎng)的環(huán)境里安裝無(wú)線(xiàn)網(wǎng)絡(luò )傳感器是很奇怪的事，” 451 Group的Selby說(shuō)道，“但是擁有一種搜尋惡意網(wǎng)絡(luò )的方法是很有必要的。” Sunnybrook的Tsai已經(jīng)在多倫多地區的三個(gè)獨立醫院環(huán)境（兩個(gè)在市內，一個(gè)在郊區）中擴展了300個(gè)接入端口。他使用了一種已經(jīng)被運用在Symbol的無(wú)線(xiàn)局域網(wǎng)產(chǎn)品中的探測掃描技術(shù)。他的實(shí)踐經(jīng)驗證實(shí)了密集的城市地區比郊區更危險的想法。“在被辦公樓和公寓包圍的市區醫院地帶，存在相當數量的惡意探測，” Tsai說(shuō)道，“而在郊區我們檢測到的這種行為就非常少。” 但是入侵探測系統（IDSs）并不總那么新。事實(shí)是該系統綜合體上的新防御部件在危險顯現之前就把它們去除了。在托蘭斯醫學(xué)紀念中心，Tomcsanyi已經(jīng)有了一個(gè)探測系統，并且將于今年第三季度安裝一個(gè)新的防御裝置。“這是更有效的先發(fā)制人的方法。” Tomcsany說(shuō)。使用從 Aruba那樣的賣(mài)主得來(lái)的新技術(shù)后，接入端口既可以用作電波頻率連接器又可以用作預防入侵的無(wú)線(xiàn)傳感器。這樣就可以省去安裝接入端口和一個(gè)獨立的入侵探測系統的費用了。（但是，Tomcsanyi說(shuō)他打算繼續使用相互協(xié)調的多重安全系統，比方說(shuō)今年晚些時(shí)候要安裝的Cisco的新入侵防御系統。） “任何不監測其無(wú)線(xiàn)局域網(wǎng)的人在將來(lái)將會(huì )遇到麻煩。” Fessler說(shuō)道。而他本人已經(jīng)在他的Cisco基本架構中使用了一種來(lái)自AirSpace公司（最近被Cisco收購）的探測與防御產(chǎn)品。 隔離通訊 盡管對一些有安全意識的CIO來(lái)說(shuō)這看似可能是一個(gè)瘋狂的想法，但是許多IT業(yè)的經(jīng)理正在日益對公眾開(kāi)放他們的無(wú)線(xiàn)網(wǎng)絡(luò )。這里的公眾是指那些想在辦公樓內上網(wǎng)和接收郵件的客戶(hù)和企業(yè)合作人。Tomcsanyi 說(shuō)在衛生保健領(lǐng)域能對病人和其他訪(fǎng)問(wèn)者提供無(wú)線(xiàn)訪(fǎng)問(wèn)是一項很有價(jià)值的資產(chǎn)。 據Tomcsanyi 說(shuō)，托蘭斯醫學(xué)紀念中心 有211個(gè)接入端口遍布其醫院的五個(gè)大樓建筑內。它們能夠提供百分之百的無(wú)線(xiàn)覆蓋。該中心還能對公眾提供無(wú)線(xiàn)局域網(wǎng)接入服務(wù)，因為它能在網(wǎng)絡(luò )結構中隔離通訊。 依照Cisco公司的說(shuō)法，無(wú)線(xiàn)訪(fǎng)客網(wǎng)絡(luò )既能夠提供便捷的訪(fǎng)問(wèn)又能夠免除IT工作人員對每個(gè)用戶(hù)認證的需要。訪(fǎng)客網(wǎng)絡(luò )使用了一種開(kāi)放的安全方法。該方法被隔離在一種特殊的SSID上（每個(gè)無(wú)線(xiàn)局域網(wǎng)的域名）。此SSID發(fā)送訊息到一種網(wǎng)絡(luò )上，而該網(wǎng)絡(luò )只能訪(fǎng)問(wèn)大眾網(wǎng)。Tomcsanyi把不斷提高的病人滿(mǎn)意度水平歸因于對無(wú)線(xiàn)局域網(wǎng)的訪(fǎng)問(wèn)。 盡管無(wú)線(xiàn)網(wǎng)絡(luò )在短時(shí)間內有了很大發(fā)展，但如今CIO們需要認識到，安全機制已經(jīng)遇到了大量無(wú)線(xiàn)電信號過(guò)分公開(kāi)的混亂。“在過(guò)去，為了獲得無(wú)線(xiàn)的暢通連接，你不得不犧牲一些安全措施和程序，” Fessler說(shuō)道，“但如今我沒(méi)有必要再做出那樣的犧牲了。” 《CIO》Thomas Wailgum文， Nosa 編譯 The mainpoints of the article： Today‘s mobile phone and BlackBerry-equipped workers are clamoring for even greater wireless access while on the job. It‘s nearly certain that their company-issued laptop has a Wi-Fi chip built-in, and they see no reason to be shackled to their desks anymore. Yet IT executives are still distrustful of wireless LANs because of perceived security nightmares such as wireless denial-of-service attacks and network breaches. Start Planning: First questions first: Why do you need a WLAN? Who‘s going to use it and for what purpose? And what are the necessary internal and external safeguards? By answering those questions early, CIOs can also determine just how much security their WLAN will need. Write the Book: You have to define the policy for your wireless LAN: when people can use it, the restrictions on use, or guest-access use for consultants and partners. Next, CIOs all agree that any new wireless policy must dovetail with the existing wired policy. Always Authenticate：Where wireless education ends, authentication and encryption technologies step in as the enforcers of policy—they‘re the teeth when all the talking stops. Authentication is one of CIOs‘ first lines of defense. Encrypt Well:Authentication and encryption go hand-in-hand Sniff Out Bad Guys：A significant security mindshift during the past several years has been the change from a defensive WLAN posture to one that is more offensive. CIOs shouldn‘t sit back and wait to be attacked; new technologies can detect, locate and shut down attacks before they do damage. Segregate Traffic：While wireless networking has come far in a short time, CIOs now need to realize that the security mechanisms have finally caught up with much of wireless‘s blistering hype. |
聯(lián)系客服
