ISO/IEC 27033-6:2016 网络安全——无线IP网络安全

ISO/IEC 27033-6 概述

ISO/IEC 27033-6:2016 解决了无线IP网络的安全挑战，无线网络已成为企业环境中不可或缺的一部分。与有线网络相比，无线网络引入了独特的脆弱性，包括信号窃听、未授权关联、流氓接入点和去认证攻击。该标准在ISO/IEC 27033网络安全框架下提供了保护WLAN（Wi-Fi）、蓝牙通信和蜂窝数据连接的全面指南，涵盖了现代企业使用的全频谱无线技术。

该标准认识到无线安全不能孤立地有效解决，它必须集成到ISO/IEC 27033-2中定义的总体网络安全架构中。无线网络通常充当攻击者的入口点，然后攻击者试图横向移动到有线网络段。因此，该标准强调了协调无线安全控制措施与有线网络安全控制措施的重要性，确保无线流量在允许访问有线网络资源之前经过适当的认证、加密和监控。该标准还指出，随着物联网（IoT）设备的爆炸式增长，无线安全的重要性只会继续增加。

无线流量现已占企业网络流量的60%以上，实施ISO/IEC 27033-6指南不再是可选项——对于任何重视网络安全的组织来说，这是一项基本要求。无线安全必须成为优先事项，而不是事后考虑。

WLAN 安全架构

该标准提供了详细的WLAN安全指南，涵盖：加密标准（推荐使用WPA3-Enterprise配合AES-256-GCMP作为基线，对遗留兼容性至少使用WPA2-Enterprise）、认证框架（802.1X配合EAP-TLS或EAP-PEAP、RADIUS服务器配置）、流氓AP检测、无线入侵防御系统（WIPS）和安全访客网络。该标准强调了通过SSID和VLAN分离无线流量的重要性，确保访客、企业和管理流量相互隔离。每个SSID应有自己的安全策略、认证方法和网络访问权限。

该标准还涉及WLAN基础设施安全，包括无线控制器和接入点的安全部署、控制器与AP之间管理通信的保护（使用IPsec或DTLS）以及安全的固件更新程序。该标准建议所有管理流量都在专用管理VLAN上传输，该VLAN不能从客户端网络访问，并且无线控制器应以高可用性配置部署，以防止无线网络中断演变成安全事件。该标准还涵盖了无线网络的监控和故障排除方面，包括频谱分析工具的使用、无线网络性能基线的建立以及异常检测规则的定义。

安全方面	推荐配置	避免/弃用
加密标准	WPA3-Enterprise / AES-256-GCMP	WEP、WPA-TKIP
认证	802.1X + EAP-TLS（基于证书）	WPA2-PSK（共享密码）
管理帧保护	802.11w（要求MFP）	未配置MFP
流氓AP检测	专用WIPS或基于AP的扫描	无检测能力
访客网络隔离	独立SSID + VLAN + 强制门户	与内部网络共享SSID
控制器安全	DTLS加密控制通道	未加密的CAPWAP

蓝牙和蜂窝安全

除WLAN外，ISO/IEC 27033-6 还涉及蓝牙安全，包括配对模式（推荐使用带有数字比较或口令输入的简单安全配对）、加密（蓝牙4.2+中的AES-CCM）和可发现性设置。该标准涉及经典蓝牙和蓝牙低功耗（BLE），后者在物联网和可穿戴设备中变得越来越普遍。对于BLE，标准建议使用带有AES-CCM加密的LE安全连接，并建议不要使用容易受到被动窃听的遗留配对方法。

对于蜂窝数据连接，该标准涵盖了APN配置安全、基于SIM的认证、蜂窝数据VPN覆盖以及LTE/5G网络切片安全考量。该标准承认蜂窝网络提供了与WLAN不同的威胁模型，移动网络运营商处理许多安全功能，如认证和加密。然而，该标准建议组织通过额外的控制措施来补充运营商提供的安全性，如VPN覆盖和设备级加密，特别是在通过蜂窝网络传输敏感数据时。随着5G网络的推广，网络切片等新功能带来了新的安全考虑和机遇，组织需要及时了解相关发展。

蓝牙配对应始终使用带有用户确认的’简单安全配对’模式。仅工作配对模式容易受到中间人攻击，应在企业环境中避免使用。BLE设备应使用LE安全连接而非遗留配对。

无线入侵检测与防御

该标准建议部署无线入侵检测和防御系统（WIDS/WIPS）来监控射频频谱中的恶意活动。关键功能包括：检测流氓接入点和自组网络、识别去认证洪水攻击、检测邪恶双胞胎和蜜罐AP、监控MAC地址欺骗以及执行无线安全策略。WIPS传感器的部署应覆盖物理场所的整个区域，在关键区域应有重叠覆盖以确保没有盲点。

该标准还建议将WIPS告警与企业SIEM系统集成，以将无线事件与有线网络事件关联起来，提供跨所有网络类型的安全事件的全面视图。例如，WIPS检测到的去认证攻击可能与后续的有线网络入侵尝试相关联，为事件响应者提供有价值的上下文。该标准建议将WIPS系统配置为通过对流氓接入点发起去认证攻击来自动隔离它们，但指出这种对策应谨慎使用，以避免干扰合法操作。WIPS的部署还应考虑到隐私法规的要求，确保监控活动符合相关法律和员工隐私期望。

正确部署的WIPS可以在几秒内检测并自动隔离流氓接入点，防止最常见也最危险的无线安全漏洞之一。当与SIEM集成时，WIPS为无线威胁态势提供了关键的可视性。

工程设计见解

实施ISO/IEC 27033-6的工程师应：（1）部署集中化配置、策略管理和固件更新的无线控制器架构；（2）实施802.1X配合EAP-TLS，使用机器证书进行设备认证，消除共享密码的需求；（3）定期进行无线站点调查以检测覆盖缺口和流氓设备；（4）在企业管理的设备上禁用不必要的无线协议（蓝牙、NFC）；（5）在AP级别实施无线客户端隔离；（6）建立无线安全基线，并通过季度渗透测试和年度安全评估进行验证。

另一个重要的工程考虑是无线频谱的管理。随着组织部署更多的无线设备，频谱拥塞成为一个可能影响性能和安全的重大问题。该标准建议进行定期的频谱分析，以识别干扰源，无论是有意的（如干扰攻击）还是无意的（如来自邻近网络的同频干扰）。工程师还应为向Wi-Fi 6E和Wi-Fi 7的过渡做好规划，这些技术工作在6 GHz频段，相比前几代技术提供了显著的性能和安全性改进。及时升级无线基础设施不仅能够提升用户体验，还能加强整体安全防护能力。

常见问题

Q: WPA3是否与WPA2设备向后兼容？
WPA3支持混合模式操作（WPA3/WPA2过渡模式）以实现向后兼容性，但标准建议在硬件支持时尽快过渡到纯WPA3-Enterprise。如果配置不当，混合模式操作可能会引入脆弱性。

Q: ISO/IEC 27033-6 是否适用于IoT无线网络？
可以，但需要调整。IoT设备通常处理能力有限，因此可能需要轻量级安全协议（如使用PSK的TLS 1.3、DTLS）。该标准的加密、认证和监控原则同样适用，尽管实施细节可能有所不同。

Q: 无线安全评估应多久进行一次？
该标准建议至少每季度进行一次无线安全评估，包括频谱分析、流氓AP扫描和无线认证机制的渗透测试。年度全面评估应包括物理站点调查和无线安全策略审查。

Q: 保护访客无线网络的推荐方法是什么？
访客网络应使用独立的SSID，配合强制门户认证、强制执行客户端隔离、带宽限制，并且不能访问内部企业资源。访客SSID应位于具有严格防火墙规则的独立VLAN上。访客会话应设有时限并要求接受可接受使用策略。