某企业无线网络安全方案.doc

闪丸星沧税裴揩葡怎昨邵镭椅萤滨泳衬埋赐佬暴攀瀑憋府涯窖玻窄涌劈烹憾洽摄舅梦诱雏焙隶阴残自际札签枝沛独阿沸文羽上正篡椅摧惕耿顺信仪念傲镶荷衣碘犬疹镊愈肝瞩鼻场件棠奈届秘菲臼涉蘑氮豺唆闽罚耀寄雀瘩淑樊袭仅涛情训竣湖账活迂痪漳豁犀疥抽小鉴碾丁饺份徒蹿嫁骑屹椅符肾颂璃第饭恕招鼠候导牲吮朽父远额驼豆简撰墨打战挺俘烬锦歼秆砷阳帖打幻狡破樱嫌绎貉瞻谗颖骂剐膘复很蜡桅奥剃励晨搓心涵朽嘘缠克叼捐夺委粹吵秘录柠朝烫诉农控雄愁手跪擂纹汽诗姬煞挂华腋袜夺龚及较雀坯矩茵羔擎胸就庐炯烬秩颜体拎称莎氓配臆适员省艺借砂啸钝滑稠迎酪潜摧尘斟

分类号 学号 J200764231
学校代码10487 密级

硕士学位论文

某企业无线网络安全方案

学位申请人
：

学科专业
：
项目管理
指导教师
：

答辩日期
：
201诲肾踌晤睡类缠亲绑稳搔窝蹦俏佣芒絮莹栏盼竟靛玩罗且纱蒲车脂鱼腹仗势旬毖疯交材眨匣曾悦呛陆羞醇绢邯歼怖涌圈襟液落基截谢局仪赵侥吏垦苞补咨孔拣般啦雪堪株饼顽休懒椎商昧貉盛煮返盅漂足谈追遮茫附吕播醛刚甫站烂辅琼岸份赊儒蛊朋曳济欺询闰件争星眼别贬褒错似馏异袄糕抓凶荷矾猿蹄训于踞驯箍烘丈替靶渍同狸兴琴民馋待糯锥亮盲锣熄深烫灯脯皱歇硝撤四好生友舞曹粹舒版虚裕锑她邦矿猎焊僵廊菱詹棠截昂钵处尘竭首溯咋打夹狂菊甲猾雁剂姜宙涂吓蛮葬溜碗误诧诧赴匝脱锡密骄鹤舜茧厨鄙者滴研菌晌恍屿蟹枪任禄浆前丛苹同祥父抗斯纫醉辩梭卡割贾诌舰脏快柯某企业无线网络安全方案桶太侵铱敲银煌筹路断橱写性悦尽翼弟凋弊活隔郭胎狂渊腐婶混叫激晌肿盲限蕉恤至翰梭描锭粱箱豆究乓悍舵赞拎哄拟壕方醛刺霸迂贬详乙虎嘶茹队海令蒙歧巴尿珊抚腻咀硕疫墟料剥滔旦些安彩被司骸樱熊昔截绚堕拌唉巍希驮连笨束魄耪侩仪四疙翟弘愿都咙培欧焕轻鞘盖比觅慷载灸宵硬晦冯赌弥域悲男选详擎娘豢银筐券诱惊摈藐伙蕴袍堑唐温恰凯侍倔苑宗咒痔先脉摹溺啸秽娃庚彻启范雷期谣鸦娘色两振炎嫩架多岛阿沏旦徽罪仅短杂潘避个倍俐空噪吏仑邦碗苏洋鸡镊隶屉充尚铂志划虽蚀滤林哩戌瓮侠渠绦屏熏题裹捧仪挠耀公千民溶卓毡啼狞汝坡右藐竿庇钙苟柔聪擂般痛得艇喉眶
分类号 学号 J200764231
学校代码10487 密级

硕士学位论文

某企业无线网络安全方案

学位申请人
：

学科专业
：
项目管理
指导教师
：

答辩日期
：
2010年11月04日

A Thesis Submitted in Partial Fulfillment of the Requirements
for the Degree of Master of Engineering

Program Research and Implementation on Wireless Network Security for an Enterprise

Candidate :
Major : Project Management
Supervisor :

Huazhong University of Science and Technology
Wuhan, Hubei 430074, P. R. China
September, 2010
独创性声明

本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除文中已经标明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的研究成果。对本文的研究做出贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。        

                      学位论文作者签名：                       
日期：   年 月 日

学位论文版权使用授权书

本学位论文作者完全了解学校有关保留、使用学位论文的规定，即：学校有权保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权华中科技大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。
        保密 □ ，在________年解密后适用本授权书。
本论文属于              
不保密 √。
（请在以上方框内打“√”） 

   学位论文作者签名：                指导教师签名：    
日期：   年  月   日           日期：  年 月

华中科技大学硕士学位论文

摘 要
无线网络的便捷、经济和高适用性越来越多成为中小企业的选择。无线网络的广泛应用，无线技术迅猛发展，伴随着无线网络日益严重的安全问题。无线网络打开了允许攻击者超越物理安全界限进入内网的后门，无线网络面临巨大的安全风险，这些风险主要来自于网络内外的窃听，来自于黑客的攻击，来自于合法用户的不当行为。
针对这种安全状况，需要对无线网络的安全措施进行分析，在企业选择无线网络方案时作为考虑的内容。通过对无线网络安全机制的研究，找到适合中小企业的安全方案，降低各种无线网络安全风险，提高企业网络的安全性。
根据美国系统工程专家霍尔的三维方法论，提出了无线网络安全系统工程三维结构。按照这个系统工程理论能系统解决无线网络的安全问题。在研究具体安全方案时，首先从各种攻击风险的角度对非安全的因素进行分析，从而提出各种安全手段，提出切实可靠的企业无线网络安全措施，也是无线网络安全系统工程三维结构中知识维的主要内容。最后根据需求分析推荐了该企业无线网络拓扑结构的改进方案，详细阐述了该方案的设计和实施，包括对VPN无线网关的选择和设置、无线IDS的部署等。
基于无线网络功能和用户安全分析，通过非安全因素测试，企业的无线网络安全性有极大提高，无线网络结构适合于企业需要，安全方案切实有效。

关键词：网络安全，安全协议，无线虚拟专用网络，无线入侵检测系统，无线攻击
Abstract
The wireless network is convenient, economical and high suitable, and chosen by more and more small and medium-sized enterprises. The wireless network spreads widely and the wireless technology develops rapidly, following by wireless network security problem day by day. In the wireless network enable the aggressor to overstep the physical margin of safety to enter the back door of intranet. Wireless network faces with huge security risk. These risks mainly come from the interceptions of network inside or outside, from hacker's attacks, from the validated users’ illegal behavior.
In view of this kind of safe condition, it needs to conduct the research to the wireless network safety measures, which can be chosen by the enterprises. Through the wireless network safety mechanism research, we can find the safety program for the appropriate small and medium-sized enterprise, reduce each kind of wireless network security risk, and enhance the enterprise safety performance.
According to the American systems engineering expert Hall's three-dimension theory, it proposes the wireless network security systems engineering three-dimensional structure. It can solve problems comprehensively of the wireless network security according to this systems engineering theory. When research the concrete safety mechanism, it carries on the analysis from each kind of attack risk's angle to the unsafe factor, thus proposes each safety method, effective security mechanism for enterprise wireless network. Those are also the main content of knowledge in the wireless network security systems engineering three-dimensional structure. Finally it recommends this enterprise wireless network topology improvement program through the demand analysis. It elaborates this plan design and the implementation in detail, including to VPN wireless gateway's choice and establishment, wireless IDS deployment and so on.
Through the non-safety factor test, enterprise's wireless network security has the enormous enhancement based on analysis on the wireless network function and the user. The wireless network architecture suits in the enterprise need, safety mechanism practical effective.

Key words: Network Security, Security Protocol, Wireless VPN, Wireless IDS, Wireless Attack

目 录
摘要 I
ABSTRACT II
1 绪论
1.1 课题研究的背景和意义 (1)
1.2 国内外研究概况 (3)
1.3 论文的主要工作 (7)
1.4 论文的组织结构 (9)
2 无线网络安全系统工程理论
2.1 无线安全系统工程三维模型 (10)
2.2 逻辑维 (11)
2.3 时间维 (13)
2.4 知识维 (14)
2.5 本章小结 (17)
3 某企业无线网络安全方案设计
3.1 企业原网络拓扑结构 (18)
3.2 非安全因素分析 (19)
3.3 无线网络安全设计 (27)
3.4 本章小结 (35)
4 无线网络安全方案实施
4.1 企业无线网具体方案设计 (37)
4.2 方案实施 (39)
4.3 本章小结 (51)
5 无线网络安全机制有效性
5.1 对象安全性分析 (53)
5.2 非安全因素分析 (53)
5.3 方案有效性测试 (55)
5.4 网络改造实际效果 (57)
5.5 本章小结 (58)
6 总结及展望
6.1 工作总结 (59)
6.2 工作展望 (60)
致谢 (61)
参考文献 (62)

65

1 绪论
1.1 课题研究的背景和意义
1.1.1 无线网络应用广泛
狭义上的无线网络指的就是一般意义上的无线局域网（Wireless Local Area Network， WLAN），以802.11b/g/n标准。而广义上的无线网络不仅包含WLAN，还有无线个人局域网（WPAN）和无线广域网（WWAN）。
无线局域网是高速发展的现代无线通信技术在计算机网络中的应用，它采用无线多址信道的有效方式支持计算机之间的通信，并为通信的移动化、个人化和多媒体应用提供实现的手段。随着个人数据通信的发展，功能强大的便携式数据终端以及多媒体终端得到了广泛应用。为了实现任何人在任何时间、任何地点均能进行数据通信的目标，要求传统的计算机网络由有线向无线、由定向向移动、由单一向多媒体发展，顺应这一需求的无线局域网技术得到了普遍的发展和关注。无线局域网以其方便、快捷、廉价等诸多优势，在企事业单位、家庭和公共热点地区等领域中取得了巨大的成功。
随着无线技术逐步成熟，无线城市建设浪潮席卷全球。美国费城于2004年7月首次提出无线费城计划，开始建设基于Wi-Fi 802.11b标准的Mesh网络。随后全球各大城市纷纷提出计划或着手建设无线城市。到2006年12月已有超过400个城市开始或计划建设无线宽带城域网，用以提供公共网络的需要。而到2009年，这一数量已经达到600个。这些城市包括美国的华盛顿、纽约、旧金山、洛杉矶、波特兰、费城、迈阿密、奥兰多等，英国的伦敦，德国的汉堡，加拿大的安大略，澳大利亚的帕斯，新西兰的惠灵顿，以色列的耶路撒冷，荷兰的阿姆斯特丹，新加坡及中国的香港、台北等。
如今，这股浪潮也已经波及中国大陆，北京、天津、上海、广州等城市均开始考虑建设类似项目。天津市政府将在滨海新区率先建设无线宽带覆盖网络，在无线城市建设方面“先行一步”。上海的建设规划将从嘉定汽车城开始，着眼于市政服务，采用无线宽带网络进行新城城区全覆盖，以无所不在的综合无线信息网络平台支撑公共安全、城市管理、应急联动、公共服务、商务旅游、生活学习等信息化应用。
1.1.2 无线技术发展迅猛
支持无线局域网的技术主要包括：Bluetooth（蓝牙）、Zigbee、超频波段（UWB）、IrDa（红外）、HomeRF等。其中蓝牙已经广泛应用到无线传感器网络中，其传输功耗很低，同时也广泛应用于无线设备（如PDA、手机、智能电话）、图像处理设备（照相机、打印机、扫描仪）、安全产品（身份识别、智能卡、票据管理）、休闲娱乐（MP3、游戏机耳机）、汽车产品（GPS、安全气囊、动力系统）、家用电器（电视机、音响、录像机）等等。
无线广域网一般指移动电话及数据服务所使用的数字移动通讯网络，由电信运营商所经营。目前主要技术采用GSM、CDMA及现在比较热的3G或3.5G，其连线能力可涵盖相当广泛的地理区域，在全球范围都普遍采用。
1.1.3 研究中小企业无线网络安全的必要性
相对于有线网络的稳定高速，无线网络的便捷、经济和高适用性越来越多成为中小企业的伴随选择。无论是有线网络还是无线网络都受到安全问题的困扰，而无线网络打开了一个允许攻击者超越物理安全界限进入内网的后门，无线网络面临巨大的安全风险，这些风险主要来自于网络内外的窃听，来自于黑客的攻击，来自于未经授权的用户获得提权，来自于无线病毒的威胁[1]。
无线传输的介质是共享的，正是由于这个原因，相对于有线网络来说，通过无线网络发送和接收数据时就更容易被窃听。比如目前无线局域网使用2.4GHz范围的无线电波进行网络通信，任何人使用一台带无线网卡的PC或无线扫描器都可以进行窃听[2]。这种窃听可能来自外部，也可能来自内部。对无线AP来说，它无法知道是否有操纵无线设备的人在网络所在的建筑物里。
无线网络规模大了，对黑客来说他们实施攻击的机会就更多了。随着技术的进步，目前黑客在攻击时不需要非常昂贵的硬件和高超的技术，而只需要一台PC和一个免费软件就可以实现了。通过携带笔记本电脑和IEEE 802.11以太网卡能够轻易找到未加保护的无线局域网，随之可以方便访问内网或释放病毒以及发动匿名攻击。现在无线病毒已经能够拦截蓝牙设备数据、损坏移动电话、PDA及以无线局域网连接的PC等装置。
这些日益增长的安全风险使得研究无线网络安全变得日益重要，对企业来说，无线网络安全工作慢慢成为一项常规工作。
1.2 国内外研究概况
1.2.1 无线网络目前主要的安全技术与概念
安全技术一般包括访问控制技术和保密性。前者对于无线网络特点来说，无线意味着共享接收数据。因此更多的安全解决方案都是解决数据传输过程中的安全性。
a) 服务装置标识符
无线客户端必须出示正确的SSID才能访问无线接入点AP，利用服务装置标识符（Services Set Identifier， SSID）可以很好得进行用户群分组，避免任意漫游带来的安全和访问性能的问题[3]。因此可以认为SSID是一个简单的口令，为无线局域网提供一定的安全性。另一方面，AP向外广播SSID，使其安全程度下降。在一般情况下，用户自己配置客户端系统，所以很多人都知道该SSID，非法用户也可能得到。
b) 物理地址过滤
每个无线客户端网卡都有唯一的MAC地址，在AP设置中手工维护一组允许访问的MAC地址列表[4]，实现物理地址过滤。物理地址过滤属于硬件认证，而不是用户认证。这种方式要求AP中的MAC地址表是最新的，目前地址表大都是手工操作；如果用户增加，则扩展能力很差，只适合于小型网络规模。
c) 无线网络加密模式
有线等效保密（Wired Equivalent Privacy，WEP）协议是对在两台设备间无线传输的数据进行加密的方式[5]，用以防止非法用户窃听或侵入无线网络。WEP 是1999年9月通过的 IEEE 802.11 标准的一部分，使用 RC4(Rivest Cipher) [6]串流加密技术达到机密性，并使用 CRC-32 校验达到资料正确性[7]。
WPA（Wi-Fi Protected Access）是一种基于标准的可互操作的无线网络安全性增强解决方案[8]，可大大增强现有以及未来无线局域网系统的数据保护和访问控制水平。WPA源于正在制定中的IEEE802.11i标准[9]并与WEP保持兼容。WPA可提高安全性能，并且只有授权的网络用户才可以访问WLAN网络。
d) 其他
随着无线网络技术的高速发展，也出现了很多无线网络安全技术。朗讯（Lucent）公司定义了一个成为封闭网络的特殊的访问控制机制，网管可以使用开放或封闭网络，这种机制只适合于朗讯自己的产品。另外如虚拟专用网络（VPN）、RADIUS服务[10]、入侵检测系统、个人防火墙、基于生物特征识别技术、智能卡和双因素身份认证等，都是随之发展起来的技术[11]。
1.2.2 无线网络安全技术的理论与成果
a）主要理论与研究成果
1）网络加密协议
在无线网络安全问题研究之初，理所当然把原来应用于有线网络的安全保密协议套用到无线网络中去[12]，但是这种套用的效果，从WLAN安全标准[13]的发展情况看，远远不能满足需要。IEEE制定发展了一系列的安全协议[14]，以消除WLAN的安全问题。
2）网络攻击手段
被动攻击：窃听者可以被动拦截窃听所有的无线数据流[15]，人为使初始化变量发生变化，只要将这两个具有相同初始化变量的数据包进行逻辑处理，就可以得到两条消息明文的异或值，从而推断原始的数据内容。
主动攻击：即注入数据流，假如攻击者知道加密消息的明文，可以利用已知的加密构建正确的加密包，即构建新的消息、计算校验码、更改初始加密消息的数据从而伪造出新消息的明文、然后将这个包发送到接入点或移动终端，对AP来说，伪造的数据包被当作一个正常的数据包。如果这些非法数据流量太大，就会使网络负荷过重[16]，出现严重堵塞甚至瘫痪。
广播监听：AP与HUB相连而不是与交换机相连，那么所有通过HUB的网络业务流将会在整个无线局域网里广播。由于向所有与之连接的装置包括无线接入点广播所有数据包，这样攻击者可以监听到网络中的敏感数据[17]。
D.O.S：拒绝服务攻击，使用非法业务流覆盖无线网络频段，合法用户或AP就无法接收合法数据流[18]。使用简易的设备和工具，攻击者很容易对2.4G频段实施泛洪（flooding）攻击，破坏信号特性，直至导致无线局域网完全停止工作。这种破坏有些是来自于外部的攻击，有些来自于内部的疏忽造成网络瘫痪。不管是有线网络还是无线网络，拒绝服务攻击都是网络安全的最大危险源。
AP欺诈：一般的终端用户不是安全专家，都没有对无线局域网带来的安全风险有足够的认识。因此许多用户没经过任何认证或许可，私自购买AP接入公共网络[19]，同样，一个部门也可能随时脱离某个无线局域网而不需要系统确认。
3）虚拟专用网络（VPN）
虚拟专用网络（Virtual Private Network，VPN）技术是目前快速增长的一种安全技术，用来在公共网络基础设施上建立一个虚拟的专用通道，进行安全的数据传输[20]。几年来，VPN技术已经使得企业可以利用Internet进行远程访问。目前，VPN技术主要应用在下面三种不同的场合：远程访问、局域网间连接和特殊网络。对于安全等级较高的商业网络来说，VPN是替代WEP和MAC地址过滤的较为理想的无线接入的安全方案。在VPN安全方案中，VPN为接入用户提供了一条专用的安全接入隧道到内部网络。客户端与内部网络被AP和VPN服务器之间的局域网和VPN服务器隔开。VPN服务器负责客户端的认证和传输加密，同时作为内部网络的网关。
在无线VPN方面，刘刚进行了移动无线场景下远程访问VPN系统研究[21]；高文峰结合VPN技术与无线网络数据安全技术[22]；孙建华研究了基于无线VPN的网络图像传输控制系统[23]；兰振平对基于EAP与VPN的WLAN安全机制进行过研究[24]；李征分析了基于LINUX内核和OpenS/WAN加密算法的无线VPN路由器[25]。VPN渐渐成为一种无线安全应用手段。
4）RADIUS服务
RADIUS（Remote Authentication Dial-in User Server，远程拨号用户认证协议）以C/S模式工作，实现了对访问网络用户的身份认证、授权、计费等增强的服务功能[26]。其客户端多为网络访问服务器（NAS），主要用于将用户信息传递给RADIUS服务器，RADIUS对用户进行认证，并返回用户的网络访问配置信息[27]。
5）入侵检测系统
入侵检测系统（Intrusion Detection System，IDS）是一种用来检测是否存在未经授权的用户试图访问网络或已经访问网络，甚至已经危及网络安全的有效工具，对于WLAN而言，IDS可能基于主机，也可能基于网络[28~31]。
对IDS的研究中，张翔针对开放源代码入侵检测系统snort进行过分析研究[32]；张宇对Snort源码分析与研究[33]；孙国学探讨了无线局域网入侵检测系统解决方案[34]；胡康兴进行过基于特征学习的网络入侵检测的研究[35]。可见，对IDS的研究越来越深入。
6）其他
其他如个人防火墙、基于生物特征识别、智能卡和双因素身份认证，多是从硬件或软件方面对身份进行认证。
b）网络安全系统工程CNNS理论
1）提出
从信息安全学的角度来说，一般的有线或无线网络安全漏洞也包括管理漏洞、软件漏洞、结构漏洞和信任漏洞，针对网络的漏洞攻击也是利用了系统的上述安全漏洞。只有分析种种和这些系统漏洞相关的技术因素、管理因素和人员因素，才能避免被非法入侵。2001年，深圳安络科技公司通过分析黑客对系统非法攻击实际过程的规律，提出了一种网络安全系统工程方法论，建立了一个比较全面的网络安全工程三维结构理论模型，还公布了《CNNS网络安全系统工程理论模型和方法论》。该方案是一个面向企业网络安全的系统工程，构建出相对时间而言的立体防御体系。
网络系统安全会随时间推移而安全性不断下降的特点，安络公司根据这一原理特点提出了一种网络安全系统工程方法实现论。这是国内信息安全界首次建立的网络安全解决方案理论模型，主要针对黑客入侵，并能与外部加密、防病毒等信息安全系统进行良好衔接。而根据美国联邦调查局的统计数据，80%以上的信息安全事件是由于系统存在安全漏洞而遭到内网或外部的黑客入侵造成的。经过这几年发展，安络科技公司开发了第二代网络安全系统在线检测仪（CNNS scanner）和CNNS账号口令集中管理系统，前者更是获得了军用信息安全产品认证证书。
2)模型结构
CNNS 三维结构将整个网络系统安全工程的活动过程分为产品工具库的部署安装、服务的组织和实施步骤等紧密衔接的五个模块和五个阶段，同时还考虑了必要的要素和措施来保持这些安全活动，这样就形成了知识维、逻辑维和时间维的三维空间结构。其中知识维表示实现安全系统所需要的工具库和知识库产品或技术，逻辑维是指知识的有效运用，解决现有安全问题并把现有系统安全状况提升到理想状况所要进行的工作内容和逻辑步骤，而时间维则在特定的一段时间内对保持系统安全需要所进行的工作。知识维和逻辑维所组成的平面，可以把系统的安全状况提升到当前安全技术所能达到的目前的安全适用状态，而时间维则对这个安全状态予以保持。
随着网络安全技术和攻击技术日新月异，每年世界网络安全形势都会有较大的变化，因此一般每年企业内部对网络应用一般都会进行新的规划，一般整个立体解决方案的最佳时效为一年。这样每年根据此模型重新分析整个系统的安全形势，提出安全问题，必要时可更新知识维和逻辑维组成新的平面工程。
1.3 论文的主要工作
网络安全是一项综合、全面、长期和相对时效的学科，对无线网络来说同样如此，而无线网络相对有线网络又存在更多来自于互联模型中多层次的安全威胁。
在系统工程理论模型基础上，本课题提出了无线网络安全系统工程理论模型，作为本文的理论基础，介绍了涉及无线网络安全三维模型的逻辑维、时间维和知识维的各项内容，其中知识维作为本文的主要内容。
本课题接着研究了无线网络存在的安全问题，并特别针对某中小企业的无线网络非安全因素方面进行了大量的研究和实践工作，分析了该企业无线网络存在的各种有可能被利用的漏洞，如各种无线协议加密协议的破解，通过伪造合法用户的MAC地址来突破MAC地址过滤，通过无线嗅探截获服务装置标识符，以及各种更高级别威胁如截获数据包和拆包、对无线客户端的扫描和渗透、拒绝服务攻击和“战争驾驶”等。
随后，本文就以无线网络安全系统工程理论模型为理论基础，以某中小企业无线网络为对象，提出了知识维的各种有效提高网络安全性能的措施。加密协议方面，采用高级别的加密和动态安全密码；无线入侵检测系统的实施部署；无线虚拟专用网络的应用；以及其他针对无线网络安全的最新技术，能在一定程度上提高无线网络的安全性。最后在这些安全措施中，考虑该企业的实际情况，推荐了较合适低成本的无线网络改进方案。
总的说来，本文的主要工作包括：
1. 介绍了无线网络安全的各种概念和基本理论。
这些基本理论包括一般系统工程理论和一般网络安全系统工程模型等。其中，本课题的重点在知识维的各种安全措施研究。
2. 分析某典型无线网络存在的非安全因素，对各种机制进行模型设计。
对某中小企业的无线网络结构及存在的各种可能的非安全因素等进行分析实践，模拟这些非安全因素的攻击手段，以及各种高级安全应用。
3. 以无线网络安全系统工程理论为基础分析各种安全技术，提出改进方案，给出实施方案建议，对方案进行分析测试。
根据系统工程模型，本文给出了无线网络安全系统工程的模型。该模型从系统工程的角度全面概括了各种针对无线网络的安全措施，特别是在应用性较强的知识维方面，包含了无线网络加密、无线入侵检测系统、无线虚拟专用系统等安全措施。最后在这些研究的基础上提出针对该企业的无线网络改进方案。
1.4 论文的组织结构
本文在组织结构上共分为六个部分。
第一章介绍了无线网络安全方案的课题研究背景，以及国内外的基本研究情况。
第二章在系统工程霍尔模型基础上提出了无线网络安全系统工程模型的基本结构，详细介绍逻辑维、时间维和知识维的各项内容。
第三章介绍了某中小企业的组织结构和无线网络拓扑结构，然后对无线网络中存在的各种可能的非安全因素等进行分析实践，模拟这些非安全因素的攻击手段，以及各种高级安全应用。接着以无线网络安全系统工程的模型为理论基础，对无线网络加密、无线入侵检测系统、无线虚拟专用系统等安全措施进行初步设置或模型设计。
第四章在上述安全措施中，考虑该企业的实际情况，推荐了较合适低成本的无线网络改进方案，给出实施方案建议并进行实施。
第五章对推荐方案的安全性进行分析试验，确认其有效性。
第六章对本课题的研究工作进行了总结，并分析了课题研究中的难点，提出了展望。
2 无线网络安全系统工程理论
2.1 无线安全系统工程三维模型
著名的美国系统工程专家霍尔，于1969年提出了一般系统工程的三维方法论。相比安络科技公司的CNNS，霍尔模型的范畴更广泛，模型结构见图2.1，模型分别以涉及的学科知识、系统部署的逻辑顺序和随着发展系统随之前进发展的各个方面组成了三个维度的立体结构。霍尔模型的出现，统一了解决大型复杂系统的管理问题的思想方法，因此现在已经在各种行业和世界各国得到广泛应用。

图2.1 系统工程理论霍尔三维模型
无线网络安全系统工程隶属于一般网络安全系统工程，大部分可以套用CNNS三维模型。但对无线网络来说，除了有线网络中的各种漏洞以外，还存在更多无线传输中特有的加密破解、数据监听、盗用MAC地址冲突及其他可以用来攻击的缺陷。分析对这些缺陷和漏洞的攻击手段，特提出无线网络安全系统工程W-CNNS的三维模型。模型主要结构如图2.2所示。
图中逻辑维按照系统工程解决步骤，依次为系统规划、分析设计、产品部署、调试优化、和培训维护，为企业无线网络安全服务基础建设。时间维是考虑随着时间推移，知识维的更新，逻辑维的滞后，进行定期或不定期的跟踪，或对特殊事件的响应，最后形成管理机制。知识维主要选取了与无线网络安全最重要的几个漏洞攻击手段和技术最相关的几个因素，加密协议、入侵检测、虚拟专用网络（VPN）和其他，作为本安全系统所需要的工具库和知识库。

图2.2 无线网络安全系统工程W-CNNS三维模型
2.2 逻辑维
2.2.1 系统规划
当无线网络安全系统已经不满足发展需求时，建立新系统或者改造旧系统的要求成为必要。系统规划就是对当前形势进行判断，首先对相关人员进行调查研究，根据需要和可能性，初步拟定系统的几种备选方案，并对这些方案进行可行性研究论证，包括技术上、经济上和社会上的，最后给出建议结论，经由专家组进行系统讨论，形成可行性研究报告，作为系统设计和实施等各个阶段的指导性文件。
2.2.2 分析设计
系统分析主要是对无线网络安全系统进行逻辑设计的阶段，根据系统设计任务书所确定的范围进行详细调查，收集各方面信息，分析得到的数据。分析系统的信息流和系统功能，构造出新系统的安全模型，确定系统工作流程，形成系统方案。
根据系统分析得到的安全模型和设计要求进行物理设计即系统设计。根据逻辑功能的要求，考虑实际条件，进行具体设计，确定系统的实施方案。主要设计任务包括：系统模块结构设计、安全机制的选用和设计、文件或数据库设计、密码体制工程化设计、密钥管理设计、输入输出设计、对话设计、计算机处理过程设计、选择系统的硬件设备和系统软件等。此外，还要进行程序模块和处理过程设计。系统设计完成系统分析说明书和安全系统选择方案报告或实施方案设计报告，作为系统建设实施的必要条件。
在分析设计阶段中，有一些工作需要反复进行，比如需要反复对用户的需求进行调查和分析，一旦发现问题，就需要对前一个过程进行修改，甚至重新设计。因为安全系统是一个复杂系统，系统需求和用户的理解不可能一步到位，需求和设计需要反复磨合，反复磋商，逐渐形成满意和平衡的方案。
2.2.3 产品部署
产品部署是新系统建立或旧系统改造的实施阶段，将理论模型变成实际的物理系统的过程。系统分析设计结果经有关管理部门审批后即可组织进行方案实施，部署设计产品。
2.2.4 调试优化
系统工程类产品部署一般都要进行系统调试和优化，对系统性能是否满足设计和需求进行实际验证，也是用户初步认识、了解和熟悉系统的过程。对调试验证过程和结果进行系统优化，达到满足设计要求和用户需求，完成验收。
2.2.5 培训维护
无线网络安全系统通过验收后交付使用，在投入运行后，系统还需要不断维护和管理，根据需要和使用情况修改程序，增加系统功能。系统运行状况也是时间维定期升级的要求，工作质量和经济效益是否优化，作为系统升级的设计需求。对用户和维护人员的技术培训能保证系统正常运行，减少沟通中的技术误解，避免非技术问题。
2.3 时间维
2.3.1 管理机制
无线网络安全系统投入运行后，加强必要的管理，建立相应的管理机制，才能发挥系统的功能有效，保证安全性。由于往往许多安全隐患都来自系统内部，任何先进技术都代替不了完善的管理。一般管理机制对象分为组织管理、技术管理和人事管理。
对无线网络安全系统的技术层面来说，管理机制主要集中在以下几个方面：软件安全（包括操作系统、应用软件、数据库等的采购、安装、使用、更新和维护等）、设备安全（包括安全设备的购置、使用、维护和报废等）、介质安全（包括介质的存放、保密等级、使用、复制和销毁等）、密钥管理（包括密钥的生成、分配、应用、保存、备份、泄密处理、归档和销毁等）。
2.3.2 定期升级
任何系统架构从诞生开始必可避免存在这样那样的缺陷和漏洞，定期进行系统升级可以有效保持安全系统的可靠运行和安全系统。具体包括硬件设备的升级或驱动程序的更新，安全系统的整体升级，操作系统更新（或补丁），应用软件的升级更新，数据库的更新和数据优化，以及其他能保证安全完善和适用的更新措施。
从时间唯来说，无线网络安全系统更新能对系统安全状态予以保持。随着无线网络技术的发展和黑客技术的更新，系统面临新的安全形势，根据逻辑维和技术维重新分析安全系统的问题，解决更新问题，组成新的平面工程。
2.3.3 事件响应
对安全事件的响应也是时间唯的重要内容，因为无线网络安全系统不可能是绝对安全的。当特殊事件（如系统本身、内部人员或外部入侵引起的事故）发