專利名稱：一種在集中式wlan環(huán)境中檢測非法ap的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及無線入侵檢測技術(shù)，尤其涉及一種在集中式WLAN(WireleSS Local Area Networks無線局域網(wǎng)絡(luò))環(huán)境中檢測非法AP (Access Point無線接入點)的方法。 該方法簡單易行，適合在各種環(huán)境下使用，通過動態(tài)的檢測方法將復雜WLAN環(huán)境中的非法 AP(rogueAP)檢測出來。
背景技術(shù)：
現(xiàn)代WLAN環(huán)境變得越來越普遍，使用也越來越廣泛；使得人們能夠隨時隨地的通過WLAN熱點連接上internet，讓人們的生活變得越來越豐富，但是隨之而來的卻是眾多的非法入侵技術(shù)，非法AP就是非法入侵技術(shù)的一種。非法AP是指在無線網(wǎng)絡(luò)中未經(jīng)認證的訪問點，可以為未經(jīng)授權(quán)的網(wǎng)絡(luò)訪問提供入口點。雖然IEEE802. Ix具備了比較完善的安全機制，但是大都是通過提高系統(tǒng)自身的免疫力來抵御進攻，對于像非法AP這種攻擊形式仍然無能為力，所以需要一種手段來幫助網(wǎng)絡(luò)管理者能夠主動發(fā)現(xiàn)網(wǎng)絡(luò)中的隱患，在第一時間對無線攻擊者進行主動防御和反攻擊。這種技術(shù)就是無線入侵檢測技術(shù)。無線入侵檢測技術(shù)的基本原理就是在網(wǎng)絡(luò)中部署一些AP，并把AP配置在監(jiān)聽的工作模式，然后捕捉空間中傳播的無線報文，通過對這些報文的特征進行分析，識別出特定類型的攻擊方式，然后在第一時間將安全威脅通知管理員，同時，也可以結(jié)合無線定位系統(tǒng)對非法用戶和非法AP進行位置定位。非法AP的發(fā)現(xiàn)和定位需要AC (Access Control無線控制器)的幫助。

發(fā)明內(nèi)容
本發(fā)明的目的就在于克服現(xiàn)有技術(shù)存在的缺點和不足，提供一種在集中式WLAN 環(huán)境中檢測非法AP的方法。本發(fā)明的目的是這樣實現(xiàn)的一、搜索beacon報文，捕捉空間中的beacon報文，然后解析其中的字段，查看其中的 ssid parameter set 字段。二、建立規(guī)則匹配表，規(guī)則匹配表在AC設(shè)備上建立，建立的時機是在AP上創(chuàng)建 WLAN的時候，首先記錄下WLAN的ssid (名稱)，然后等待AP返回相應(yīng)的bssid(MAC地址)， 將ssid和bssid記錄下來，形成(ssid，bssid) 二元規(guī)則匹配表。三、通過發(fā)送probe request (探測請求)的方式進行掃描，將掃描到的報文的內(nèi)容進行解析，尤其是其中的SSid和bssid，將SSid和bssid加入到二元規(guī)則匹配表中進行匹配，匹配成功則表示為合法AP或者鄰居AP，如果匹配失敗則表示是非法AP。具體地說，本方法包括下列步驟第1步驟，首先將兩臺AP與AC進行關(guān)聯(lián)，剩下的一臺AP不作關(guān)聯(lián)，假設(shè)其中兩臺與AC相連的AP做為合法AP或者鄰居AP，剩下的一臺AP作為非法AP ；第2步驟，在AC設(shè)備上配置基本模板和安全模板，基本模板中包含ssid信息，在建立WLAN的時候，會將基本模板中的信息下發(fā)到AP中，包括ssid ；第3步驟，在兩臺與AC相連的AP上建立相同的WLAN ；為什么這么做呢？因為通常運營商在建立WLAN網(wǎng)絡(luò)的時候不會使用到太多的 SSid名稱，運營商使用的SSid名稱通常是1到2個，比如中國移動的SSid通常為cmcc或者cmccedu，所以我們可以認為合法AP的ssid可以是相同的ssid ；第4步驟，在剩下的一臺AP上也配置相同的WLAN，但是不經(jīng)過AC設(shè)備來配置，而是通過改寫配置文件的方式，讓這臺AP在啟動的過程中自己建立起WLAN ；其中這臺AP的ssid名稱應(yīng)該與前三臺AP的ssid —樣，因為非法AP就是通過假冒合法AP的方式進行入侵，所以它的ssid應(yīng)該與合法的AP —樣；第5步驟，具體的操作方法①在AC設(shè)備上建立ssid和bssid的二元映射表 因為WLAN都從AC設(shè)備上建立的，所以在建立WLAN的過程中，我們把模板中的 ssid記錄下來，然后當AP上的WLAN建立成功以后，它會把自身的bssid返回給AC設(shè)備，這樣就可以在AC設(shè)備上建立(ssid，bssid)的二元映射表；二元映射表建立好了以后，將它保存在AC設(shè)備上，只要WLAN不刪除，這張表就一
直保存；WLAN建立好了以后，(ssid，bssid) 二元映射表也建立好了 ；②開啟AP上無線掃描當所有的AP上的WLAN都建立成功以后，開啟AP上無線掃描，每臺AP都會把掃描到的結(jié)果上報給AC設(shè)備，AC解析報文中的內(nèi)容，也就是probe response報文中的內(nèi)容進行解析，尤其中當中的ssid和bssid ；③根據(jù)匹配結(jié)果找到非法APAC設(shè)備將解析出來的ssid和bssid放入到之前建立的(ssid，bssid) 二元映射表中進行匹配，根據(jù)匹配結(jié)果，可以找到非法AP;如果沒有出現(xiàn)意外，兩臺AP找到的非法AP 應(yīng)該都是第三臺AP ；如果第三臺AP采用的是隱藏ssid的方法假冒AP，那么這時就需要這兩臺AP主動捕捉當前空間中的beacon幀，然后將捕捉到的beacon幀上報給AC，然后AC查看ssid parameter set的值是否為全0，如果為全0，則繼續(xù)查找beacon報文中的bssid是否匹配， 如果不匹配，則表示這臺AP為非法AP ；非法AP定位方法如下首先在AC設(shè)備上查看三臺AP上報的非法AP的信息，這時三臺AP應(yīng)該都可以找到非法的第四臺AP;然后以這三臺AP作為圓周，尋找圓心的方法找到第四臺AP，這樣就能找到非法AP 的物理位置。本發(fā)明具有下列優(yōu)點和積極效果①本發(fā)明實現(xiàn)簡單易行，只要有AC設(shè)備和AP設(shè)備就能夠?qū)崿F(xiàn)；②能夠準確地定位出非法AP的物理位置，排除危險接入點；
5
③能有效發(fā)現(xiàn)空間中存在的非法AP，保護用戶上網(wǎng)安全；④避免非法AP與合法AP之間產(chǎn)生同頻干擾或者鄰頻干擾；⑤幫助運營商優(yōu)化WLAN網(wǎng)絡(luò)，保護運營商的利益。適用于各種復雜組網(wǎng)環(huán)境下的WLAN，不受空間和場地的限制，也不受時間和天氣的限制，在任何環(huán)境下都可實施。


圖1是本方法的檢測系統(tǒng)方框圖，圖中10-AC 設(shè)備， 11-WLAN建立模塊，12- 二元記錄模塊，13-非法AP識別模塊，14-采集模塊，15-無線掃描模塊；20-AP 設(shè)備，21-第一 AP 設(shè)備，22-第二 AP 設(shè)備；30-非法AP設(shè)備。圖2是非法AP檢測流程圖；圖3是非法AP方位定位圖；圖4是非法AP檢測效果圖。實施方式下面結(jié)合附圖和實施例詳細說明一、檢測系統(tǒng)1、總體如圖1，本檢測系統(tǒng)包括AP設(shè)備20和非法AP設(shè)備30 ；設(shè)置有AC設(shè)備10 ；AC設(shè)備10是一種用于管理AP和建立WLAN以及檢測非法AP的無線控制器，包括依次交互的WLAN建立模塊11、二元記錄模塊12、非法AP識別模塊13、采集模塊14和無線掃描模塊15 ；二元記錄模塊12和AP設(shè)備20交互；無線掃描模塊15分別和AP設(shè)備20、非法AP設(shè)備30交互。2、功能塊1) AC 設(shè)備 10①WLAN建立模塊11是一種組裝創(chuàng)建WLAN的消息碼流，用于AC設(shè)備向AP設(shè)備下發(fā)消息建立WLAN的模塊；②二元記錄模塊12是一種構(gòu)造鏈表，用于記錄創(chuàng)建的WLAN的ssid(名稱)和AP 返回給AC的bssid MAC (地址)，形成(ssid，bssid) 二元組規(guī)則表的模塊；③非法AP識別模塊13是一種將采集到的ssid和bssid和二元記錄模塊中的 (ssid, bssid) 二元組規(guī)則表進行匹配的模塊；④采集模塊14是一種從無線掃描幀中采集ssid和bssid的模塊；⑤無線掃描模塊15是一種組裝用于無線掃描的消息碼流，向AP下發(fā)掃描信息，啟動AP的無線掃描功能，并接收AP返回的ssid和bssid的模塊。
2) AP 設(shè)備 2OAP設(shè)備20是一種無線接入點，用于用戶通過無線網(wǎng)卡或者手機接入internet的設(shè)備。3)非法AP設(shè)備30非法AP設(shè)備30是一種未經(jīng)授權(quán)的非法的無線接入點，可以使得用戶不用認證就接入 internet ο3、工作原理所有AP在啟動以后都會建立WLAN，WLAN中攜帶ssid信息和bssid信息，AP建立好WLAN以后就會向四周廣播一種稱為beacon幀的報文，這種報文當中就攜帶了當前AP中的ssid、bssid和channel等其他的相關(guān)參數(shù)。當然有時比較高級的非法AP是不會把ssid給廣播出來的，對于這種情況，我們后續(xù)會提到該怎樣處理。通過配置部署在網(wǎng)絡(luò)中的AP的工作模式來捕捉空間中四處廣播的beacon幀。當 AP的工作模式配置成監(jiān)聽模式的時候，AP會發(fā)起RF掃描操作，這種操作為使AP發(fā)射出一種稱為probe request的請求報文，其他AP在收到這種報文以后會響應(yīng)probe response 報文，probe response報文中的信息和beacon報文中的信息類似,probe response報文會將自己的WLAN信息發(fā)送給該AP，該AP收到probe response報文后會立刻將該報文上報給 AC設(shè)備，AC設(shè)備會解析報文中的內(nèi)容，將其中的ssid和bssid以及信道channel和其他相關(guān)參數(shù)解析出來。在AC設(shè)備中建立規(guī)則列表，這種規(guī)則列表類似于ACL ；規(guī)則列表的建立十分簡單； 由于AP在啟動以后都會把自身的bssid上報給AC設(shè)備，所以AC設(shè)備上具有所有與之相連的AP的bssid，將bssid記錄到規(guī)則列表中。而rogueAP由于是非法接入的，所以它的 bssid不會被記錄到規(guī)則列表中。規(guī)則列表的建立方式如下1)收集AP啟動上報的ssid和bssid ；2)建立(ssid，bssid) 二元組的映射關(guān)系表；幻將映射表保存到AC設(shè)備中AC設(shè)備將所有AP返回的probe response報文中的信息解析出來以后，將AP的 SSid和bssid信息加入到規(guī)則列表中進行匹配，匹配結(jié)果分為以下幾種①如果ssid和bssid都能夠匹配成功，則說明該AP屬于合法AP或者鄰居AP ；②對于沒有ssid匹配到，bssid也沒有匹配到，則說明該AP可能是一臺非法AP， 也有可能是其他AC設(shè)備連接的AP，這時可以認為它是合法AP ；③如果ssid沒有匹配到，但是bssid能夠匹配到，則說明該AP屬于合法AP ；④如果ssid能夠匹配，但是bssid不能匹配，則說明該AP屬于rogueAP。對于隱藏ssid的非法AP該如何處理呢？我們必須讓AP捕捉到空間中四處廣播的beacon幀，然后解析該報文，如果發(fā)現(xiàn)該報文中的ssid parameter set的內(nèi)容為\000\ 000\000\000\000\000\000\000,同時在它返回的bssid也無法在規(guī)則列表中匹配到，那么說明這個屬于隱藏ssid的非法AP。對于發(fā)現(xiàn)到非法AP如何定位。如果在掃描過程中已經(jīng)發(fā)現(xiàn)存在rogueAP，則需要網(wǎng)絡(luò)管理員對非法AP進行定位，并找到非法AP的物理位置。這里采用的是三點定位法，方法如下①使用三臺不同方位的合法AP進行掃描操作(注三臺AP未必就是連接到同一臺AC的AP，也可以是不同AC下的AP)；②在三臺AP所連接的AC上都建立(ssid，bssid)映射表；③當三臺AP都能夠檢測到非法AP的時候，從三臺設(shè)備的角度出發(fā)，以三臺設(shè)備為圓周，找到圓心，就是非法AP的物理位置。通過三點定位方法可以很容易的找到對應(yīng)的非法AP。
二、檢測方法
如圖2，檢測流程如下
①開始-001 ；
②建立WLAN-002 ；
③記錄 ssid 和 bssid-003 ；
④發(fā)起掃描"004 ；
⑤采集 ssid 和 bssid-005 ；
⑥匹配ssid-006 ；
⑦判斷ssid是否匹配成功-007，是則進入下一步驟，否則設(shè)備為合法AP-010 ；
⑧匹配 bssid-008 ；
⑨判斷bssid是否匹配成功-009，是則設(shè)備為鄰居AP-011，否則設(shè)備為非法AP-O12。
三、實施舉例
如圖1，首先先暫定當前網(wǎng)絡(luò)環(huán)境中只有一臺AC，三臺AP ；假定其中兩臺為合法AP
或者鄰居AP，剩下的一臺為非法AP，我們?nèi)绾螌⑺鼨z測出來呢？步驟如下步驟1，首先將兩臺AP與AC進行關(guān)聯(lián)，剩下的一臺AP不作關(guān)聯(lián)。我們假設(shè)其中兩臺與AC相連的AP做為合法AP或者鄰居AP，剩下的一臺AP作為非法AP ；步驟2，在AC設(shè)備上配置基本模板和安全模板，基本模板中包含ssid信息，在建立 WLAN的時候，會將基本模板中的信息下發(fā)到AP中，包括ssid ；步驟3，在兩臺與AC相連的AP上建立相同的WLAN，為什么這么做呢？因為通常運營商在建立WLAN網(wǎng)絡(luò)的時候不會使用到太多的ssid名稱，運營商使用的ssid名稱通常是 1到2個，比如中國移動的ssid通常為cmcc或者cmccedu，所以我們可以認為合法AP的 ssid可以是相同的ssid ；步驟4，在剩下的一臺AP上也配置相同的WLAN，但是不經(jīng)過AC設(shè)備來配置，而是通過改寫配置文件的方式，讓這臺AP在啟動的過程中自己建立起WLAN ；其中這臺AP的ssid名稱應(yīng)該與前兩臺AP的ssid —樣，因為非法AP就是通過假冒合法AP的方式進行入侵，所以它的ssid應(yīng)該與合法的AP —樣。步驟5，具體的操作方法1)因為WLAN都從AC設(shè)備上建立的，所以在建立WLAN的過程中，我們把WLAN對應(yīng)的的ssid記錄下來，然后當AP上的WLAN建立成功以后，它會把自身的bssid返回給AC設(shè)
8備，這樣就可以在AC設(shè)備上建立(ssid，bssid)的二元規(guī)則表；二元規(guī)則表建立好了以后，將它保存在AC設(shè)備上，只要WLAN不刪除，這張表就一直保存。WLAN建立好了以后，(ssid，bssid) 二元規(guī)則表也建立好了。2)當所有的AP上的WLAN都建立成功以后，開啟AP上無線掃描，每臺AP都會把掃描到的結(jié)果上報給AC設(shè)備，AC解析報文中的內(nèi)容，也就是probe response報文中的內(nèi)容進行解析，尤其中當中的ssid和bssid ；3) AC設(shè)備將解析出來的ssid和bssid放入到之前建立的(ssid，bssid) 二元規(guī)則表中進行匹配，根據(jù)匹配結(jié)果，可以找到非法AP。如果沒有出現(xiàn)意外，三臺AP找到的非法 AP應(yīng)該都是第四臺AP。4)如果第四臺AP采用的是隱藏ssid的方法假冒AP，那么這時就需要這三臺AP 主動捕捉當前空間中的beacon幀，然后將捕捉到的beacon幀上報給AC，然后AC查看ssid parameter set的值是否為全0，如果為全0，則繼續(xù)查找beacon報文中的bssid是否匹配， 如果不匹配，則表示這臺AP為非法AP ；5)如何對找到的非法AP進行定位定位方法如下，見圖3:首先在AC設(shè)備上查看三臺AP上報的非法AP的信息，這時三臺AP應(yīng)該都可以找到非法的第四臺AP;然后以這三臺AP作為圓周，尋找圓心的方法找到第四臺AP。這樣就能找到非法 AP的物理位置。識別結(jié)果見圖4，其中標為WS_RRM_INF0_INVALID的為合法AP，標為WS_RRM_INF0_ VALID 的為鄰居 AP，標為 WS_RRM_INF0_R0(iUE 為非法 AP。
權(quán)利要求
1.一種在集中式WLAN環(huán)境中檢測非法AP的檢測系統(tǒng)，包括AP設(shè)備Q0)和非法AP設(shè)備(30)；其特征在于設(shè)置有AC設(shè)備(10)；AC設(shè)備(10)是一種用于管理AP和建立WLAN以及檢測非法AP的無線控制器，包括依次交互的WLAN建立模塊(11)、二元記錄模塊(12)、非法AP識別模塊(13)、采集模塊(14) 和無線掃描模塊(15)；二元記錄模塊(12)和AP設(shè)備00)交互；無線掃描模塊(15)分別和AP設(shè)備(20)、非法AP設(shè)備(30)交互。
2.按權(quán)利要求1所述的一種在集中式WLAN環(huán)境中檢測非法AP的檢測系統(tǒng)，其特征在于所述的WLAN建立模塊(11)是一種組裝創(chuàng)建WLAN的消息碼流，用于AC設(shè)備向AP設(shè)備下發(fā)消息建立WLAN的模塊；所述的二元記錄模塊(12)是一種構(gòu)造鏈表，用于記錄創(chuàng)建的WLAN的ssid和AP返回給AC的bssid，形成ssid和bssid 二元組規(guī)則表的模塊；所述的非法AP識別模塊(13)是一種將采集到的ssid和bssid和二元記錄模塊中的二元組規(guī)則表進行匹配的模塊；所述的采集模塊(14)是一種從無線掃描幀中采集ssid和bssid的模塊； 所述的無線掃描模塊(15)是一種組裝用于無線掃描的消息碼流，向AP下發(fā)掃描信息， 啟動AP的無線掃描功能，并接收AP返回的ssid和bssid的模塊。
3.基于權(quán)利要求1所述檢測系統(tǒng)的檢測方法，其特征在于包括下列步驟第1步驟，首先將兩臺AP與AC進行關(guān)聯(lián)，剩下的一臺AP不作關(guān)聯(lián)，假設(shè)其中兩臺與AC 相連的AP做為合法AP或者鄰居AP，剩下的一臺AP作為非法AP ；第2步驟，在AC設(shè)備上配置基本模板和安全模板，基本模板中包含ssid信息，在建立 WLAN的時候，會將基本模板中的信息下發(fā)到AP中，包括ssid ； 第3步驟，在兩臺與AC相連的AP上建立相同的WLAN ；第4步驟，在剩下的一臺AP上也配置相同的WLAN，但是不經(jīng)過AC設(shè)備來配置，而是通過改寫配置文件的方式，讓這臺AP在啟動的過程中自己建立起WLAN ； 第5步驟，具體的操作方法①在AC設(shè)備上建立ssid和bssid的二元映射表；②開啟AP上無線掃描；③根據(jù)匹配結(jié)果找到非法AP。
4.按權(quán)利要求3所述的檢測方法，其工作流程是①開始-(001)；②建立WLAN-(002)；③記錄ssid 和 bssid-(003)；④發(fā)起掃描-(004)；⑤采集ssid 和 bssid-(005)；⑥匹配ssid- (006)；⑦判斷ssid是否匹配成功-(007)，是則進入下一步驟，否則設(shè)備為合法AP-(010)；⑧匹配bssid-(008)；⑨判斷bssid是否匹配成功-(009)，是則設(shè)備為鄰居AP-(Oll)，否則設(shè)備為非法 AP- (012)。
全文摘要
本發(fā)明公開了一種在集中式WLAN環(huán)境中檢測非法AP的方法，涉及無線入侵檢測技術(shù)。本發(fā)明包括AP設(shè)備和非法AP設(shè)備；設(shè)置有AC設(shè)備；AC設(shè)備是一種用于管理AP和建立WLAN以及檢測非法AP的無線控制器，包括依次交互的WLAN建立模塊、二元記錄模塊、非法AP識別模塊、采集模塊和無線掃描模塊；二元記錄模塊和AP設(shè)備交互；無線掃描模塊分別和AP設(shè)備、非法AP設(shè)備交互。本發(fā)明實現(xiàn)簡單易行；能夠準確地定位出非法AP的物理位置；能有效發(fā)現(xiàn)空間中存在的非法AP；避免非法AP與合法AP之間產(chǎn)生同頻干擾或者鄰頻干擾；適用于各種復雜組網(wǎng)環(huán)境下的WLAN，不受空間和場地的限制，也不受時間和天氣的限制，在任何環(huán)境下都可實施。
文檔編號H04W24/04GK102438238SQ201110446178
公開日2012年5月2日 申請日期2011年12月28日 優(yōu)先權(quán)日2011年12月28日
發(fā)明者張光華, 張鐘凱 申請人:武漢虹旭信息技術(shù)有限責任公司