我经常被客户问到同一个问题：我们公司装了防火墙，有杀毒软件，电脑也打了安全补丁，应该够安全了吧？每次我都先点头，然后反问一句：那你们的WiFi和蓝牙检查过吗？

Q: 为什么企业WiFi和蓝牙的安全风险容易被忽视？ A: 因为大家都盯着网络边界、盯着电脑终端，却没人关注每天都在用的无线信号。整个办公室几百个无线设备同时在线，WiFi信号穿透墙壁，蓝牙信号覆盖开放办公区，这些信号就是一条条看不见的通道。如果没管好，就等于给别人开了后门。

WiFi的安全风险主要有几类。第一类是伪基站攻击，也叫邪恶双子攻击。攻击者在办公区域架设一个和你公司WiFi同名的假热点，信号还比真的强。员工的设备会自动连接到信号强的网络，然后攻击者就能截获所有网络流量——密码、聊天记录、文件传输，全被别人看得一清二楚。第二类是WiFi嗅探，如果在不加密的公共WiFi网络上，攻击者用一套开源工具就能捕获同一网络下的所有数据包。第三类是WPA2和WPA3协议本身的漏洞，虽然难度高一些，但有针对性的攻击不是不可能。

蓝牙的问题同样不小。蓝牙的配对机制决定了它天然容易被嗅探。你办公室里有蓝牙鼠标、蓝牙键盘、蓝牙耳机、蓝牙音箱，有些人的手机蓝牙也一直开着。攻击者可以在十几米范围内用蓝牙嗅探设备扫描，发现可连接的蓝牙设备，然后尝试利用已知的蓝牙漏洞进行攻击。比较典型的攻击方式有蓝牙配对劫持和蓝牙中间人攻击。更让人担心的是蓝牙键盘——如果它的加密实现不够好，攻击者可以直接捕获按键信息，你输什么密码、打什么内容都会被实时记录。

Q: WiFi和蓝牙主要面临哪些安全威胁？ A: WiFi方面是伪基站攻击（假冒公司WiFi热点截获流量）、WiFi嗅探（捕获不加密网络的通信数据）、协议漏洞攻击（利用WPA2/WPA3协议漏洞）。蓝牙方面是蓝牙嗅探（扫描可连接设备）、配对劫持攻击、中间人攻击、蓝牙键盘按键记录（直接捕获输入的密码和内容）。

那企业应该怎么查这些问题？我按检测的难度排序，说几个实用的方法。

第一步是做频谱分析。用频谱分析仪扫描办公室的无线信号环境，看看在2.4G和5G频段上有没有异常的无线信号出现。无线窃听器、隐藏摄像头、伪基站、蓝牙嗅探器，这些东西都会在工作时发射无线信号。正常的WiFi和蓝牙信号是可见可控的，发现来源不明的信号就需要引起警惕了。

第二步是扫描异常的WiFi接入点。用手机或者笔记本电脑装一个WiFi分析工具，在公司内部走一圈，看看有哪些WiFi热点在广播，特别是那些和你公司官方WiFi名称相似的。如果有两个同名的热点，信号强度还差不多，那基本确定有人在架设伪基站。

第三步是发现非授权的蓝牙设备。在非工作时间比如下班以后或者周末，用蓝牙扫描工具检查办公区内有哪些蓝牙设备在活跃。正常的人都已经走了，办公设备也处于待机状态，这时候如果有未知的蓝牙设备在持续广播信号，就值得排查一下了。

Q: 企业无线安全检测有哪些实用的方法？ A: 推荐三步法——频谱分析（用频谱仪扫描2.4G和5G频段发现异常信号）、WiFi接入点扫描（排查是否有同名假热点或不明来源热点）、非工作时间蓝牙扫描（下班后检查是否有持续广播的可疑蓝牙设备）。建议定期执行，每次不需要太长时间。

查出来问题之后，怎么防护呢？

WiFi方面，我建议企业做到这几点。第一，企业WiFi必须使用WPA3加密标准，如果设备不支持WPA3，至少也要用WPA2企业版，绝不能为了兼容老旧设备而降级到WPA个人版或者不加密的开放网络。第二，启用MAC地址过滤和802.1X认证，确保只有授权设备能连接企业网络。第三，设置独立的访客网络，访客网络和企业内网之间做严格的访问隔离。第四，定期更换WiFi密码，尤其是员工离职后要及时更新。

蓝牙方面，比较简单的防护措施包括：禁用不必要的蓝牙接口，特别是涉密办公区域的电脑和外设，直接关闭蓝牙功能。蓝牙设备的配对管理要规范，不要随意接受未知设备的配对请求。对使用蓝牙键盘和蓝牙耳机的员工，定期检查和更新设备固件，防止利用已知漏洞进行攻击。在涉密会议和保密区域，严禁使用蓝牙设备，或者要求员工关闭所有无线接口。关于企业无线安全管理制度的制定，可以参考企业信息安全管理制度的相关内容。

还有一个容易被忽略的细节——无线投屏和无线打印。很多公司会议室装了无线投屏设备，员工可以直接用手机投屏到电视上，方便是方便，但如果投屏传输协议加密不够完善，画面内容也有被截获的风险。无线打印机同理，打印内容在传输过程中如果没加密，也会成为信息泄露的渠道。

Q: 企业WiFi和蓝牙安全防护应该怎么做？ A: 核心防护措施包括——WiFi使用WPA3加密标准、启用MAC过滤和802.1X认证、设置独立访客网络并隔离、定期更换WiFi密码；蓝牙禁用不必要接口、管控配对行为、涉密区域禁用蓝牙设备。加上无线投屏和无线打印的加密管理，基本可以覆盖主要风险点。

总之，WiFi和蓝牙的安全检测不是什么高深的黑科技，关键是意识和习惯。正如我们在做安全检测时一贯强调的——检测不复杂，难的是坚持。企业负责安全的同事把这个当成定期工作来做，很多隐患其实很容易发现，也很容易解决。怕就怕在觉得"没事，这么多年也没出过问题"，真的出了事那就晚了。

北京企密安信息安全技术有限公司提供企业无线安全检测服务，包括频谱分析、WiFi接入点扫描、蓝牙设备排查，以及安全防护方案设计和设备选型。

常见问题

Q1: WiFi安全检测频率建议多久一次？ A: 建议每季度做一次全面检测，员工密集的办公区或涉密区域每月一次快速检查。

Q2: 企业WiFi用WPA3有什么硬件要求？ A: 需要路由器和终端设备都支持WPA3协议，老设备不支持的话至少升级到WPA2企业版。

Q3: 蓝牙嗅探器能在多远距离检测到蓝牙设备？ A: 普通蓝牙嗅探器有效距离约10-15米，专业设备可达50-100米。

Q4: 无线投屏的内容安全怎么保障？ A: 选择支持WPA2/WPA3加密传输的投屏设备，使用企业级无线投屏方案而非消费级产品，会议结束后立即断开投屏连接。

Q5: 员工个人设备连接企业WiFi有什么安全建议？ A: 要求员工在连接企业WiFi时使用公司提供的VPN，个人设备上不存储公司敏感数据，定期更新系统和安全补丁。