检测WLAN性能中的WIDS应用

　　无线入侵检测(WIDS)，从这个名字想到的是安全，主要用于监测，并对监测到的事件做出响应。但是许多无线入侵检测系统(WIDS)产品也可以用于检测WLAN的性能，为故障排除、微调和使用规划提供有价值的见解。当谈到性能管理时，虽然WIDS不能够取代便捷的无线流量分析仪，但是WIDS可以补充移动分析仪的不足。

　　无线局域网WLAN性能分析及其工具

　　许多情况都需要分析WLAN的性能，从最初的设计和新安装的设备的调试，到优化覆盖面和规划扩展。在这一生命周期中，许多工具都是有用的，包括站点调查工具、射频设计仪、频谱分析仪和无线流量分析仪。

　　无线流量分析仪是非常必要的，可以捕获802.11信息流并对其进行编码，然后重新将信息包装配到联合和射频设备关系之中。分析仪有助于在有限的时间内，理解WLAN特定地址中正在发生的情况。但是有时也需要退回去，查看WLAN信息流的更多的情况，收集更长的时间内的信息。而WIDS可以提供帮助。

　　WIDS可以监测整个WLAN，将由分布式传感器捕获的主要信息流转发到中央服务器。收集这些信息流，将其联系起来，分析安全事故。WIDS会显示由此产生的警报，并将其转发到另一个系统，或者记录在数据库中，供将来参考。当然，这些信息流也可以用于监测WLAN的性能。

　　性能警报

　　虽然WIDS的性能分析与警报功能不同，但是这里有一个性能警报样本，这是WIDS的性能：

　　·制定事件严重程度的等级，当出现严重事件时，普通级别的事件将延时处理。

　　·以商业风险为基础为不同的无线访问设备建立不同的规则。例如，可以忽略使用Guest ESSID的未知设备，但是对Private SSID设备要检测。

　　·以警报事件出现的频率来建立阻挡规则，例如，当发现现一个警报出现的频率次数达到某个阀值时，就必需自动产生阻挡行为。

　　·自动将高风险的警报转发到更高级别的位置，以便能够及时处理这些高危风险。

　　·能够自动阻止恶意无线访问设备，让其失去作用，以此来阻止其产生下一步的恶意行为。

　　一些警报表明可能发生了配置错误，而其它警报指出了会降低性能的潜在的执行错误(比如，DTIM冲突)。关于超载或者射频干扰方面的警报可以通过扩展WLAN或者重新分配信道得以解决。以阀值为基础的警报可能需要使用基线测量法调试，它可以反映出什么对WLAN而言是“正常的”(比如，每个接入点工作站的预计数量、典型的信道使用方法)。用户会希望停用任何与WLAN无关的WIDS的警报(比如，如果不使用802.11b，就可以停止802.11g保护)。

　　性能故障排除

　　虽然，扫描模式下的WIDS可以监测到性能问题，但是诊断却需要一个更为全面的信息流样本。为了推动这一项工作，许多WIDS可以使用远程传感器，创建信息流捕获文件。通常情况下，可以将结果输入到无线信息流分析仪中仔细审查。

　　故障排除通常需要活跃的工具。比如，某些WIDS产品的控制台可以借助远程传感器联系到某个目标接入点，并且运行网络诊断工具，比如ping和跟踪路由器。这时候也可以查看近实时信道的性能图表，这些图表中显示了信号的强度、噪声、CRC错误、重试、使用等情况。

　　虽然从中央地址进行调查可以节省时间，但是，一些性能问题仍然需要在线调查，使用移动的无线分析仪来协助排查，充分结合WIDS和无线分析仪的性能可以加速调查进程。

　　用户的最终目标并不是仅仅找到潜在的性能问题，而是修复它们。为此，WIDS会为某个特定的警报或者测试结果提供修复措施。某些WIDS产品会包括一个以知识为基础的故障排除向导，帮助解决客户端的性能问题。

　　性能报告

　　收集的信息也可以创建历史数据库，可以用于健康报告和容量规划。WIDS的性能报告包含了带有性能警报的前10个接入点、过去制定的活跃站点的数量、频谱的使用情况和性能总结、以及性能报告在类型、地址以及设备方面的趋势。

　　在完成上述这些工作后，还必需对整个WLAN进行弱点检测以发现其可能存在的漏洞和弱点，并将发现的弱点和漏洞全部修复。如果漏洞是最新出现的，还没有相应的修复方法，就必需通过人工监控或其它安全措施来暂时应对，等到出现相应解决方法时就必需立即实施修补。

　　总之，对于无线网络安全事件，我们必需使用相应的无线检测工具来自动审计、跟踪和记录它们可能进行的所有非法行为。并且，通过对无线入侵检测工具产生的日志文件进行实时分析，来了解目前WLAN中可能存在的非授权设备、入侵事件，以及它们已经进行了的非法行为。与此同时，还需要对被检测到的非法设备、活动进行及时的处理，以便能尽量减少它们可能给整修WLAN带来的安全风险。