通過(guò)學(xué)習(xí)上一篇《安氏領(lǐng)信全力打造WLAN空中堡壘——系列四：WLAN安全體系篇》，相信大家對(duì)安氏領(lǐng)信WLAN安全保障體系框架模型——LWAF的四大特點(diǎn)有了深刻的認(rèn)識(shí)。本期我們著重來(lái)了解一下WLAN安全的評(píng)估服務(wù)和培訓(xùn)服務(wù)。

　　隨著智能手機(jī)和移動(dòng)辦公市場(chǎng)的興起，無(wú)線網(wǎng)絡(luò)建設(shè)大幅度提高。區(qū)別于傳統(tǒng)有線網(wǎng)絡(luò)，無(wú)線網(wǎng)絡(luò)是以電波形式傳遞數(shù)據(jù)信息。作為一種新型的數(shù)據(jù)接入方式，無(wú)論其數(shù)據(jù)協(xié)議還是專用網(wǎng)絡(luò)設(shè)備都可能存在一些漏洞，一旦這些漏洞被非法組織或個(gè)人利用，勢(shì)必嚴(yán)重影響網(wǎng)絡(luò)的正常運(yùn)行，給用戶、企業(yè)或其他單位造成損失。從網(wǎng)絡(luò)安全發(fā)展角度來(lái)看，WLAN網(wǎng)絡(luò)安全將是今后網(wǎng)絡(luò)信息安全發(fā)展的一項(xiàng)重要課題。

　　

　　北京安氏領(lǐng)信科技發(fā)展有限公司（Linktrust）作為專門從事網(wǎng)絡(luò)安全服務(wù)的企業(yè)，07年開始設(shè)立專門的WLAN安全研究實(shí)驗(yàn)室，結(jié)合國(guó)內(nèi)外WLAN安全的典型攻防案例，對(duì)網(wǎng)絡(luò)結(jié)構(gòu)、業(yè)務(wù)應(yīng)用、底層協(xié)議等進(jìn)行深入研究。安氏領(lǐng)信在多年安全實(shí)踐的基礎(chǔ)上，密切關(guān)注國(guó)際、國(guó)內(nèi)漏洞機(jī)理研究的最新動(dòng)態(tài)，積極探尋與WLAN系統(tǒng)相關(guān)的各種安全性特征，為此建立了全面專業(yè)的漏洞及攻擊特征庫(kù)，在取證、驗(yàn)證技術(shù)上都有較高水平。

　　為了提高使用者的無(wú)線網(wǎng)絡(luò)安全意識(shí)，防范使用中的不安全因素，安氏領(lǐng)信在2011年4月份隆重推出專業(yè)的“WLAN業(yè)務(wù)安全評(píng)估服務(wù)”和“WLAN安全培訓(xùn)”。

　　一、WLAN安全評(píng)估服務(wù)

　　安氏領(lǐng)信（Linktrust）的WLAN安全評(píng)估服務(wù)主要從基礎(chǔ)設(shè)施安全、通信服務(wù)安全、業(yè)務(wù)應(yīng)用安全三個(gè)層面進(jìn)行安全分析和設(shè)計(jì)相應(yīng)安全措施。

　　

　　圖1：通信網(wǎng)絡(luò)安全三個(gè)層面（ITU-T X.805 ）

　　§基礎(chǔ)設(shè)施安全評(píng)估

　　也就是傳統(tǒng)意義的安全評(píng)估。例如：評(píng)估的內(nèi)容可能包括有對(duì)網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)等評(píng)估，更細(xì)化的評(píng)估可能是針對(duì)用戶口令管理、補(bǔ)丁管理、服務(wù)端口管理、操作系統(tǒng)配置、安全機(jī)制等具體內(nèi)容。

　　§通信服務(wù)安全評(píng)估

　　跟傳統(tǒng)的評(píng)估不一樣的地方ITU-T X.805 / ISO/IEC 18028-2多了通信服務(wù)和業(yè)務(wù)應(yīng)用的評(píng)估

　　安氏領(lǐng)信（Linktrust）通信服務(wù)評(píng)估內(nèi)容包括針對(duì)專用通信協(xié)議的正確性和有效性評(píng)估，看該協(xié)議能否對(duì)網(wǎng)絡(luò)之中出現(xiàn)的情況和問(wèn)題做出正確的處理；通信配置(AC、AP等)、通信接口評(píng)估分析內(nèi)外網(wǎng)不同接口，可模擬系統(tǒng)涌入超大量通信數(shù)據(jù)時(shí)的接口處理情況；分析通信安全域、會(huì)話邊界防護(hù)、業(yè)務(wù)邊界等基于通信的訪問(wèn)控制策略。

　　§業(yè)務(wù)應(yīng)用安全評(píng)估

　　安氏領(lǐng)信（Linktrust）業(yè)務(wù)應(yīng)用評(píng)估的內(nèi)容主要針對(duì)通信網(wǎng)絡(luò)提供的業(yè)務(wù)應(yīng)用進(jìn)行評(píng)估，服務(wù)相關(guān)性、數(shù)據(jù)流、業(yè)務(wù)操作維護(hù)、業(yè)務(wù)訪問(wèn)相關(guān)的審計(jì)、業(yè)務(wù)連續(xù)性、業(yè)務(wù)模式的安全性、應(yīng)用從開發(fā)到維護(hù)的安全性等。

　　業(yè)務(wù)應(yīng)用安全評(píng)估主要包含的內(nèi)容：

　?、倭髁勘I用風(fēng)險(xiǎn)評(píng)估

　　正常使用WLAN業(yè)務(wù)提供的互聯(lián)網(wǎng)服務(wù)需要經(jīng)過(guò)認(rèn)證鑒權(quán)流程的檢驗(yàn)，通過(guò)驗(yàn)證方能使用互聯(lián)網(wǎng)服務(wù)。以往的案例證明通過(guò)某些特殊技術(shù)手段是可以繞過(guò)認(rèn)證流程，免費(fèi)使用WLAN服務(wù)的。

　　使用安氏WLAN業(yè)務(wù)安全評(píng)估工具對(duì)DNS Tunnel等流量盜用方式進(jìn)行評(píng)估，檢查當(dāng)前WLAN系統(tǒng)中是否存在該風(fēng)險(xiǎn)。

　?、谡J(rèn)證鑒權(quán)風(fēng)險(xiǎn)評(píng)估

　　梳理WLAN業(yè)務(wù)系統(tǒng)中認(rèn)證鑒權(quán)實(shí)現(xiàn)流程，分析web認(rèn)證系統(tǒng)結(jié)構(gòu)、web用戶接入流程、web用戶下線流程、定期自動(dòng)認(rèn)證流程和用戶在線沖突處理流程是否規(guī)范，是否存在安全風(fēng)險(xiǎn)。

　　③業(yè)務(wù)可用性風(fēng)險(xiǎn)評(píng)估

　　WLAN系統(tǒng)網(wǎng)絡(luò)、設(shè)備、應(yīng)用程序的持續(xù)穩(wěn)定運(yùn)行是中國(guó)移動(dòng)提供互聯(lián)網(wǎng)上網(wǎng)服務(wù)的基本要求，業(yè)務(wù)可用性風(fēng)險(xiǎn)評(píng)估主要分析無(wú)線網(wǎng)絡(luò)層面、AC和AP設(shè)備、會(huì)話管理等方面可能導(dǎo)致業(yè)務(wù)無(wú)法向用戶提供的的安全風(fēng)險(xiǎn)。

　?、苄畔⑿孤讹L(fēng)險(xiǎn)評(píng)估

　　用戶使用WLAN業(yè)務(wù)訪問(wèn)互聯(lián)網(wǎng)會(huì)傳輸各種應(yīng)用數(shù)據(jù)，其中可能包括網(wǎng)銀、網(wǎng)上營(yíng)業(yè)廳等涉及敏感信息的業(yè)務(wù)，沒經(jīng)過(guò)安全加固和配置WLAN系統(tǒng)存在泄露用戶敏感數(shù)據(jù)的風(fēng)險(xiǎn)。

　?、輕ortal應(yīng)用安全弱點(diǎn)評(píng)估

　　發(fā)現(xiàn)portal系統(tǒng)中存在的安全隱患（包括安全功能設(shè)計(jì)、安全弱點(diǎn)、以及安全部署中的弱點(diǎn)等），并針對(duì)問(wèn)題提供解決方案建議。

　　二、WLAN安全培訓(xùn)服務(wù)

　　安氏領(lǐng)信（Linktrust）WLAN安全培訓(xùn)面向技術(shù)人員、維護(hù)人員、管理人員，培訓(xùn)分三個(gè)階段：WLAN通信基礎(chǔ)培訓(xùn)、WLAN業(yè)務(wù)應(yīng)用培訓(xùn)、WLAN安全技術(shù)培訓(xùn)。通過(guò)該階段的培訓(xùn)學(xué)習(xí)全面提高無(wú)線安全技術(shù)和操作技能，符合相關(guān)信息安全工作崗位的能力要求。

　　安氏領(lǐng)信（Linktrust）WLAN通信基礎(chǔ)培訓(xùn)

　　安氏領(lǐng)信（Linktrust）WLAN通信基礎(chǔ)培訓(xùn)涵蓋了通信領(lǐng)域的基礎(chǔ)層面，包括：無(wú)線網(wǎng)絡(luò)的標(biāo)準(zhǔn)規(guī)范、無(wú)線通信及無(wú)線網(wǎng)絡(luò)的基礎(chǔ)知識(shí)。通過(guò)培訓(xùn)，提高對(duì)無(wú)線通信原理、國(guó)際標(biāo)準(zhǔn)的了解并掌握無(wú)線傳輸?shù)奶攸c(diǎn)。

　　

　　安氏領(lǐng)信（Linktrust）WLAN業(yè)務(wù)應(yīng)用培訓(xùn)

　　安氏領(lǐng)信（Linktrust）WLAN業(yè)務(wù)應(yīng)用培訓(xùn)包含了：無(wú)線網(wǎng)絡(luò)組網(wǎng)與應(yīng)用。通過(guò)培訓(xùn)，在熟悉無(wú)線原理基礎(chǔ)之上，讓安全管理人員了解無(wú)線業(yè)務(wù)應(yīng)用范圍，掌握無(wú)線網(wǎng)絡(luò)安全部署方案，提高應(yīng)用和實(shí)施的水平。

　　

　　安氏領(lǐng)信（Linktrust）WLAN安全技術(shù)培訓(xùn)

　　安氏領(lǐng)信（Linktrust）WLAN安全技術(shù)培訓(xùn)包括：無(wú)線網(wǎng)絡(luò)的安全基礎(chǔ)、無(wú)線網(wǎng)絡(luò)攻擊威脅。通過(guò)培訓(xùn)，在掌握無(wú)線組網(wǎng)與應(yīng)用基礎(chǔ)之上，一方面讓安全管理人員熟悉無(wú)線通信中不同加密傳輸?shù)脑恚约案髯缘膬?yōu)缺點(diǎn)；另一方面熟悉無(wú)線網(wǎng)絡(luò)攻擊原理，安全軟件的使用，做到知己知彼百戰(zhàn)不殆，真正提高安全管理人員分析和處理問(wèn)題的能力。

　　

　　三、服務(wù)價(jià)值

　　匯總以上提到的各項(xiàng)內(nèi)容，我們能夠總結(jié)出以下三點(diǎn)服務(wù)價(jià)值：

　?、偻ㄟ^(guò)安全評(píng)估，可以發(fā)現(xiàn)WLAN系統(tǒng)的各個(gè)層面的安全問(wèn)題，包括業(yè)務(wù)層面、無(wú)線設(shè)備、傳統(tǒng)有線設(shè)備的安全問(wèn)題。包括系統(tǒng)漏洞攻擊、業(yè)務(wù)盜用、信息泄露等各種安全風(fēng)險(xiǎn)。

　　②通過(guò)安全評(píng)估，對(duì)WLAN系統(tǒng)的各種風(fēng)險(xiǎn)提出安全解決措施建議，協(xié)助對(duì)安全風(fēng)險(xiǎn)進(jìn)行整改。

　?、弁ㄟ^(guò)項(xiàng)目中的知識(shí)轉(zhuǎn)移，WLAN系統(tǒng)運(yùn)維人員、安全技術(shù)人員可以充分了解系統(tǒng)現(xiàn)狀，從理論到實(shí)踐層面提高安全認(rèn)識(shí)和技能。

　　看完全文您是否對(duì)安氏領(lǐng)信推出的WLAN安全評(píng)估服務(wù)和培訓(xùn)服務(wù)有了深入的了解？下一期，《安氏領(lǐng)信全力打造WLAN空中堡壘——系列六：合規(guī)管理篇》，將為大家介紹安氏領(lǐng)信在WLAN合規(guī)管理方面的精彩內(nèi)容，敬請(qǐng)期待。