无线网络安全问题不应泛泛来看

　　无线网络安全问题其实不应该泛泛来看，针对不同的网络结构，以及所处环境，相应的安全策略应有所变动。例如家庭无线网络来说加密相对简单一些，对于企业级网络就相应的复杂。那么我们将要介绍的是在有数据交换的服务业中，无线网络安全的介绍。

　　金融服务提供商受到为数众多的客户资料安全保障规则的制约。像GLBA法案(Gramm-Leach-Bliley Act)，涉及面广而且比较抽象，但它要求对所有类型的网络必须进行风险鉴定和评估，实现安全措施并对其进行监控，这其中就包括无线网。其他一些规定如著名的支付卡行业数据安全标准(PCI DSS)，明确包含了在WLAN范围内必须执行的标准，例如检测异常操作，对无线传输的数据进行安全加密。虽然每种规则的具体情况不同，但金融服务机构通过采取以下的无线网安全最佳做法可以建立一个被全行业遵守的规则基础：

　　1.了解你的敌人

　　要可靠保障无线网络的安全，你必须了解你所面临的威胁。例如，PCI DSS要求每一个处理持卡人数据的组织必须对未授权的无线接入点(AP)所造成的威胁进行评估，包括那些没有WLAN的公司。你需要从审核无线网络安全威胁着手，找出你业务中可能会遇到的威胁，并且评估敏感数据(比如个人财务信息，持卡人信息)所面临的风险。

　　2.了解你自己

　　许多用于减少无线网络安全威胁的保障措施是否有成效，取决于是否准确理解了网络的拓扑结构(包括有线和无线)，和识别已验证设备的能力。为了制定WLAN安全审核和执行的标准，你必须维护那些已被认可的接入点和客户的清单、它们的用户及其地址，以及各自预期实施的安全措施。

　　3.减少暴露

　　当WLAN的使用已被授权且数据流量通过一个敏感的网段时，一些规则如PCI DSS将会全力保证用户的安全。你可以通过对流量进行分割以减少暴露来降低风险。具体来说，就是使用防火墙对数据包进行检查，以防止数据包进入到不需相应权限即可访问的网段中，并实现时序同步的日志功能以记录那些被允许和被阻止的无线通信流量。作为一项规则，那些需要无线访问权限的网段需被看作是“隔离区”(DMZ) ：默认和否认一切，只允许必要的服务和特殊目的的流量通过。

　　4. 堵住漏洞使用传统的网络安全最佳做法

　　可以对所有暴露在无线网络中的基础设施(如接入点、控制器、DNS / DHCP服务器)的安全性进行强化。例如，更改出厂默认值、设置强度很高的管理员密码、关闭不使用的服务、应用补丁和对系统进行渗透测试。在这一步中，你需要解决无线传输特有的漏洞问题，比如说你需要

　　无线网络安全问题其实不应该泛泛来看，针对不同的网络结构，以及所处环境，相应的安全策略应有所变动。例如家庭无线网络来说加密相对简单一些，对于企业级网络就相应的复杂。那么我们将要介绍的是在有数据交换的服务业中，无线网络安全的介绍。

　　金融服务提供商受到为数众多的客户资料安全保障规则的制约。像GLBA法案(Gramm-Leach-Bliley Act)，涉及面广而且比较抽象，但它要求对所有类型的网络必须进行风险鉴定和评估，实现安全措施并对其进行监控，这其中就包括无线网。其他一些规定如著名的支付卡行业数据安全标准(PCI DSS)，明确包含了在WLAN范围内必须执行的标准，例如检测异常操作，对无线传输的数据进行安全加密。虽然每种规则的具体情况不同，但金融服务机构通过采取以下的无线网安全最佳做法可以建立一个被全行业遵守的规则基础：

　　1.了解你的敌人

　　要可靠保障无线网络的安全，你必须了解你所面临的威胁。例如，PCI DSS要求每一个处理持卡人数据的组织必须对未授权的无线接入点(AP)所造成的威胁进行评估，包括那些没有WLAN的公司。你需要从审核无线网络安全威胁着手，找出你业务中可能会遇到的威胁，并且评估敏感数据(比如个人财务信息，持卡人信息)所面临的风险。

　　2.了解你自己

　　许多用于减少无线网络安全威胁的保障措施是否有成效，取决于是否准确理解了网络的拓扑结构(包括有线和无线)，和识别已验证设备的能力。为了制定WLAN安全审核和执行的标准，你必须维护那些已被认可的接入点和客户的清单、它们的用户及其地址，以及各自预期实施的安全措施。

　　3.减少暴露

　　当WLAN的使用已被授权且数据流量通过一个敏感的网段时，一些规则如PCI DSS将会全力保证用户的安全。你可以通过对流量进行分割以减少暴露来降低风险。具体来说，就是使用防火墙对数据包进行检查，以防止数据包进入到不需相应权限即可访问的网段中，并实现时序同步的日志功能以记录那些被允许和被阻止的无线通信流量。作为一项规则，那些需要无线访问权限的网段需被看作是“隔离区”(DMZ) ：默认和否认一切，只允许必要的服务和特殊目的的流量通过。

　　4. 堵住漏洞使用传统的网络安全最佳做法

　　可以对所有暴露在无线网络中的基础设施(如接入点、控制器、DNS / DHCP服务器)的安全性进行强化。例如，更改出厂默认值、设置强度很高的管理员密码、关闭不使用的服务、应用补丁和对系统进行渗透测试。在这一步中，你需要解决无线传输特有的漏洞问题，比如说你需要选择非默认的网络名称(SSID)以防止意外的入侵，并通过动态频率选择(dynamic frequency selection)来规避射频干扰。同时，你还可以采取措施，防止公众场合的接入点受到物理干扰(例如，移除电缆，重置为默认设置)。

　　5.确保传输安全

　　目前的接入点都支持WPA2 (AES-CCMP)空中(over-the-air)加密，你需要尽可能多地使用它。如果传统的客户端要求的是WPA(TKIP/MIC)标注，请谨慎使用该密码，最好是在同其他用户隔离开的无线局域网(SSID)条件下使用。请避免WEP加密，因为更新的安全规定将不再允许使用这一冗长零碎的加密协议。此外，使用高层加密(例如，SSLv3/TLS，IPSec)可以有选择地对敏感应用程序流和交易进行保护，同时也请不要忘了对所包含的服务器和网关的安全性进行加强。

　　金融服务提供商受到为数众多的客户资料安全保障规则的制约。像GLBA法案(Gramm-Leach-Bliley Act)，涉及面广而且比较抽象，但它要求对所有类型的网络必须进行风险鉴定和评估，实现安全措施并对其进行监控，这其中就包括无线网。其他一些规定如著名的支付卡行业数据安全标准(PCI DSS)，明确包含了在WLAN范围内必须执行的标准，例如检测异常操作，对无线传输的数据进行安全加密。

选择非默认的网络名称(SSID)以防止意外的入侵，并通过动态频率选择(dynamic frequency selection)来规避射频干扰。同时，你还可以采取措施，防止公众场合的接入点受到物理干扰(例如，移除电缆，重置为默认设置)。

　　5.确保传输安全

　　目前的接入点都支持WPA2 (AES-CCMP)空中(over-the-air)加密，你需要尽可能多地使用它。如果传统的客户端要求的是WPA(TKIP/MIC)标注，请谨慎使用该密码，最好是在同其他用户隔离开的无线局域网(SSID)条件下使用。请避免WEP加密，因为更新的安全规定将不再允许使用这一冗长零碎的加密协议。此外，使用高层加密(例如，SSLv3/TLS，IPSec)可以有选择地对敏感应用程序流和交易进行保护，同时也请不要忘了对所包含的服务器和网关的安全性进行加强。

　　金融服务提供商受到为数众多的客户资料安全保障规则的制约。像GLBA法案(Gramm-Leach-Bliley Act)，涉及面广而且比较抽象，但它要求对所有类型的网络必须进行风险鉴定和评估，实现安全措施并对其进行监控，这其中就包括无线网。其他一些规定如著名的支付卡行业数据安全标准(PCI DSS)，明确包含了在WLAN范围内必须执行的标准，例如检测异常操作，对无线传输的数据进行安全加密。