无线网络已经成为企业办公的基础设施，但WiFi的开放性也使其成为窃密者觊觎的攻击入口。一旦企业的WiFi网络被攻破，攻击者可以在网络中自由穿行，访问共享文件夹、截获网络流量、植入恶意程序，甚至以企业网络为跳板攻击更核心的系统。北京企密安信息安全技术有限公司从保密管理的角度，为企业提供WiFi网络防窃密的技术方案设计思路。
企业WiFi网络面临的窃密威胁是多元的。非法接入是最常见的威胁，攻击者通过破解WiFi密码或者利用企业访客网络的漏洞接入企业内部网络。中间人攻击，攻击者在企业区域内设置一个与企业WiFi同名或相似名称的伪装热点，诱骗员工连接后截获全部网络流量。流量嗅探，攻击者在接入企业网络后，使用嗅探工具捕获网络中传输的未加密数据，从中提取有用信息包括账号密码、邮件内容、文件传传输等。设备劫持，攻击者利用网络设备和物联网设备的弱口令或漏洞，取得设备的控制权，将其作为后续攻击的跳板。
企密安的WiFi网络防窃密方案按照纵深防御的思路，从网络架构、访问控制、传输加密、监测审计四个层面构建防护体系。
网络架构层面的安全设计是基础。建议企业将无线网络按照安全需求划分为不同的安全域：内部核心业务网络，承载核心业务系统和敏感数据的传输，实施最高等级的安全管控；一般办公网络，承载日常办公的非涉密业务；访客网络，供访客和外部人员临时接入互联网使用，与内部网络严格隔离。三个网络之间通过防火墙进行隔离，访客网络不能访问任何内部网络资源。
在网络接入控制方面，企业WiFi应采用企业级认证而非个人预共享密钥模式。企业级认证为每个用户分配独立的用户名和密码，可以做到人员离职后及时注销、异常登录及时告警，个人模式一旦密码泄露难以追责。同时部署网络准入控制系统，对接入网络的设备进行身份认证和安全合规检查，未安装企业防病毒软件、未打全安全补丁的设备拒绝接入。
MAC地址过滤作为辅助的准入控制手段，将企业授权设备的MAC地址加入白名单，非白名单设备即使获取了WiFi密码也无法接入。
传输加密是防窃密的关键环节。WiFi网络本身应当使用WPA3企业级加密协议，这是目前安全性较高的WiFi加密标准。在应用层面，企业核心业务系统应强制使用HTTPS加密传输，VPN提供远程访问时的加密通道。对于特别敏感的涉密文件传输，应当通过专用的加密传输平台或加密邮件系统进行。日常办公中的文件共享也应当加密后传输。
监测审计是发现窃密行为和事后追溯的重要手段。部署无线入侵检测系统，实时监测企业无线环境中的异常情况，包括伪装热点、非法设备接入、异常的大流量数据传输等。对网络设备的登录和操作进行日志审计，发现异常登录和越权操作。对核心业务系统的数据访问进行审计，特别关注非工作时间的大规模数据查询和下载行为。定期对企业WiFi网络进行安全漏洞扫描和渗透测试，主动发现和修补安全漏洞。
常见问题一：企业WiFi密码定期更换够不够？定期更换密码是必要的措施，但仅靠这一点远远不够。密码可能被内部人员泄露，WiFi加密协议可能存在已知漏洞，还有其他风险需要通过综合方案来解决。
常见问题二：访客WiFi应该如何管理？访客WiFi应当与内部网络严格隔离，使用独立的互联网出口。访客登录可以采用短信验证码或一次性密码的方式，限制访客的使用时长。对访客上网行为应当进行记录，满足法律法规和合规审计的要求。
常见问题三：员工自带设备如何管理？BYOD场景下的管理难度更大。建议实施移动设备管理方案，对连接企业网络的自带设备进行安全策略管理。核心涉密业务应当在企业配发的专用设备上进行，不应在个人设备上处理。
北京企密安为企业提供WiFi网络安全评估和防窃密方案设计服务，帮助企业构建安全可靠的无线办公环境。如需了解更多无线网络安全防护方案，请拨打010-63711822或联系jess@baomiwang.com。
