🥇무선 및 유선 네트워크 보호 기능. 2부 - 간접적인 보호 조치

네트워크 보안을 강화하는 방법에 대한 대화를 계속합니다. 이 기사에서는 추가 보안 조치와 보다 안전한 무선 네트워크 구성에 대해 설명합니다.

두 번째 부분의 서문

이전 기사에서 “무선 및 유선 네트워크를 보호하는 기능. 파트 1 - 직접적인 보호 조치" WiFi 네트워크 보안 문제와 무단 접근에 대한 직접적인 보호 방법에 대한 논의가 있었습니다. 암호화, 네트워크 숨기기, MAC 필터링 등 트래픽 가로채기를 방지하기 위한 명백한 조치와 악성 AP 퇴치와 같은 특수 방법이 고려되었습니다. 그러나 직접적인 보호 방법 외에도 간접적인 보호 방법도 있습니다. 이는 통신 품질을 향상시킬 뿐만 아니라 보안을 더욱 향상시키는 기술입니다.

무선 네트워크의 두 가지 주요 특징은 원격 비접촉 액세스와 데이터 전송을 위한 방송 매체로서의 무선 방송입니다. 여기서 모든 신호 수신기는 무선을 들을 수 있고 모든 송신기는 쓸모 없는 전송과 단순한 무선 간섭으로 네트워크를 방해할 수 있습니다. 이는 무엇보다도 무선 네트워크의 전반적인 보안에 가장 좋은 영향을 미치지 않습니다.

안전만으로는 살 수 없습니다. 우리는 여전히 어떻게든 작업해야 합니다. 즉, 데이터를 교환해야 합니다. 그리고 이쪽에는 WiFi에 대한 다른 많은 불만 사항이 있습니다.

적용 범위의 공백("흰 반점");
외부 소스와 인접 액세스 포인트가 서로에게 미치는 영향.

결과적으로, 위와 같은 문제점으로 인해 신호의 품질이 저하되고, 연결의 안정성이 떨어지며, 데이터 교환 속도도 떨어지게 된다.

물론 유선 네트워크 팬은 케이블, 특히 광섬유 연결을 사용할 때 이러한 문제가 관찰되지 않는다는 점에 기뻐할 것입니다.

질문이 생깁니다. 불만족한 모든 사람들을 유선 네트워크에 다시 연결하는 등의 과감한 수단을 사용하지 않고도 이러한 문제를 어떻게든 해결할 수 있습니까?

모든 문제는 어디에서 시작됩니까?

사무실 및 기타 WiFi 네트워크가 탄생할 당시에는 대부분 간단한 알고리즘을 따랐습니다. 즉, 범위를 최대화하기 위해 경계 중앙에 단일 액세스 포인트를 배치했습니다. 원격 지역의 신호 강도가 충분하지 않은 경우 증폭 안테나가 액세스 포인트에 추가되었습니다. 예를 들어 원격 이사의 사무실 등을 위해 두 번째 액세스 포인트가 추가되는 경우는 거의 없습니다. 아마도 이것이 모든 개선 사항 일 것입니다.

이 접근 방식에는 이유가 있었습니다. 첫째, 무선 네트워크 초기에는 장비 가격이 비쌌습니다. 둘째, 더 많은 액세스 포인트를 설치한다는 것은 당시에는 답이 없는 질문에 직면한다는 것을 의미했습니다. 예를 들어, 포인트 간 원활한 클라이언트 전환을 구성하는 방법은 무엇입니까? 상호 간섭을 처리하는 방법은 무엇입니까? 금지/허가 동시 적용, 모니터링 등 포인트 관리를 단순화하고 합리화하는 방법. 따라서 장치 수가 적을수록 좋다는 원칙을 따르는 것이 훨씬 쉬웠습니다.

동시에 천장 아래에 위치한 액세스 포인트는 원형(보다 정확하게는 원형) 다이어그램으로 방송됩니다.

그러나 건축 건물의 모양은 원형 신호 전파 다이어그램에 잘 맞지 않습니다. 따라서 어떤 곳에서는 신호가 거의 도달하지 못하고 증폭이 필요하며 어떤 곳에서는 방송이 경계를 넘어 외부인이 접근할 수 있게 됩니다.

그림 1. 사무실 내 단일 지점을 사용한 커버리지의 예.

주의. 이는 전파에 대한 장애물과 신호의 방향성을 고려하지 않은 대략적인 근사치입니다. 실제로 다양한 포인트 모델에 대한 다이어그램 모양이 다를 수 있습니다.

더 많은 액세스 포인트를 사용하면 상황이 개선될 수 있습니다.

첫째, 이를 통해 전송 장치를 실내 전체에 보다 효율적으로 배포할 수 있습니다.

둘째, 신호 레벨을 줄여 사무실이나 기타 시설의 경계를 벗어나는 것을 방지할 수 있습니다. 이 경우 무선 네트워크 트래픽을 읽으려면 경계에 거의 접근하거나 경계 한계에 진입해야 합니다. 공격자는 내부 유선 네트워크에 침입하기 위해 거의 동일한 방식으로 행동합니다.

그림 2: 액세스 포인트 수를 늘리면 적용 범위가 더 잘 분산됩니다.

두 사진을 다시 살펴보겠습니다. 첫 번째는 무선 네트워크의 주요 취약점 중 하나를 명확하게 보여줍니다. 신호는 적당한 거리에서 포착될 수 있습니다.

두 번째 사진에서는 상황이 그다지 진전되지 않았습니다. 액세스 포인트가 많을수록 적용 범위가 더 효과적이며 동시에 신호 전력은 대략적으로 말하면 사무실, 사무실, 건물 및 기타 가능한 물체의 경계를 넘어 경계를 넘어 확장되지 않습니다.

공격자는 "거리에서" 또는 "복도에서" 등 상대적으로 약한 신호를 가로채기 위해 눈에 띄지 않게 더 가까이 다가가야 합니다. 이렇게 하려면 사무실 건물에 가까이 다가가야 합니다. 예를 들어 창문 아래에 서 있어야 합니다. 아니면 사무실 건물 자체에 들어가 보세요. 어쨌든 이로 인해 비디오 감시에 적발되어 보안 담당자에게 발각될 위험이 높아집니다. 이렇게 하면 공격 시간 간격이 크게 줄어듭니다. 이는 '해킹에 이상적인 조건'이라고는 할 수 없다.

물론, 또 하나의 "원죄"가 남아 있습니다. 무선 네트워크는 모든 클라이언트가 가로챌 수 있는 접근 가능한 범위에서 방송됩니다. 실제로 WiFi 네트워크는 신호가 모든 포트에 동시에 전송되는 이더넷 허브와 비교할 수 있습니다. 이를 방지하려면 이상적으로는 각 장치 쌍이 자체 주파수 채널에서 통신해야 하며, 다른 사람이 간섭해서는 안 됩니다.

주요 문제점을 요약하면 다음과 같습니다. 이를 해결하는 방법을 고려해 봅시다.

해결 방법: 직접 및 간접

이전 기사에서 이미 언급했듯이 어떤 경우에도 완벽한 보호를 얻을 수는 없습니다. 그러나 공격 수행을 최대한 어렵게 만들어서 소비된 노력에 비해 결과가 수익성이 없게 만들 수 있습니다.

일반적으로 보호 장비는 두 가지 주요 그룹으로 나눌 수 있습니다.

암호화 또는 MAC 필터링과 같은 직접 트래픽 보호 기술;
예를 들어 속도를 높이는 등 원래 다른 목적으로 의도되었지만 동시에 공격자의 삶을 간접적으로 더 어렵게 만드는 기술입니다.

첫 번째 그룹은 첫 번째 부분에서 설명되었습니다. 그러나 우리 무기고에는 추가적인 간접적인 조치도 있습니다. 위에서 언급했듯이 액세스 포인트 수를 늘리면 신호 레벨이 줄어들고 커버리지 영역이 균일해지며 이로 인해 공격자의 생활이 더욱 어려워집니다.

또 다른 주의 사항은 데이터 전송 속도를 높이면 추가 보안 조치를 적용하기가 더 쉬워진다는 것입니다. 예를 들어, 각 노트북에 VPN 클라이언트를 설치하고 암호화된 채널을 통해 로컬 네트워크 내에서도 데이터를 전송할 수 있습니다. 이를 위해서는 하드웨어를 포함한 일부 리소스가 필요하지만 보호 수준은 크게 높아집니다.

아래에서는 네트워크 성능을 향상시키고 간접적으로 보호 수준을 높일 수 있는 기술에 대해 설명합니다.

보호 개선을 위한 간접적인 수단 - 무엇이 도움이 될까요?

클라이언트 운영

클라이언트 조정 기능은 클라이언트 장치에 5GHz 대역을 먼저 사용하라는 메시지를 표시합니다. 클라이언트가 이 옵션을 사용할 수 없는 경우에도 클라이언트는 2.4GHz를 계속 사용할 수 있습니다. 액세스 포인트 수가 적은 레거시 네트워크의 경우 대부분의 작업이 2.4GHz 대역에서 수행됩니다. 5GHz 주파수 범위의 경우 단일 액세스 포인트 방식은 많은 경우에 허용되지 않습니다. 사실 더 높은 주파수의 신호는 벽을 통과하고 장애물 주변에서 더 심하게 구부러집니다. 일반적인 권장 사항: 5GHz 대역에서 통신을 보장하려면 액세스 포인트에서 가시선 내에서 작업하는 것이 좋습니다.

최신 표준 802.11ac 및 802.11ax에서는 채널 수가 많기 때문에 더 가까운 거리에 여러 액세스 포인트를 설치할 수 있으므로 데이터 전송 속도를 잃거나 얻지 않고도 전력을 줄일 수 있습니다. 결과적으로 5GHz 대역을 사용하면 공격자의 생활이 더욱 어려워지지만 도달 범위 내에 있는 클라이언트의 통신 품질은 향상됩니다.

이 기능은 다음과 같이 제공됩니다.

Nebula 및 NebulaFlex 액세스 포인트에서;
컨트롤러 기능이 있는 방화벽에서.

자동 치유

위에서 언급했듯이 방 둘레의 윤곽은 액세스 포인트의 원형 다이어그램에 잘 맞지 않습니다.

이 문제를 해결하려면 첫째, 최적의 액세스 포인트 수를 사용해야 하고, 둘째, 상호 영향을 줄여야 합니다. 그러나 단순히 송신기의 전력을 수동으로 줄이면 이러한 직접적인 간섭으로 인해 통신 성능이 저하될 수 있습니다. 이는 하나 이상의 액세스 포인트에 장애가 발생한 경우 특히 두드러집니다.

자동 복구를 사용하면 안정성과 데이터 전송 속도를 잃지 않고 전원을 빠르게 조정할 수 있습니다.

이 기능을 사용할 때 컨트롤러는 액세스 포인트의 상태와 기능을 확인합니다. 그 중 하나가 작동하지 않으면 "백색 점"을 채우기 위해 신호 강도를 높이도록 이웃에게 지시합니다. 액세스 포인트가 다시 작동되면 상호 간섭을 줄이기 위해 신호 강도를 줄이도록 인접 포인트에 지시합니다.

원활한 WiFi 로밍

언뜻 보면 이 기술은 보안 수준을 높인다고 할 수 없으며 오히려 클라이언트(공격자 포함)가 동일한 네트워크의 액세스 포인트 간을 더 쉽게 전환할 수 있게 해줍니다. 하지만 XNUMX개 이상의 액세스 포인트를 사용하는 경우에는 불필요한 문제 없이 편리한 작동이 보장되어야 합니다. 또한, 액세스 포인트에 과부하가 걸리면 암호화 등 보안 기능이 저하되어 데이터 교환 지연 등 불쾌한 현상이 발생하게 됩니다. 이런 점에서 원활한 로밍은 부하를 유연하게 분산하고 보호 모드에서 중단 없는 작동을 보장하는 데 큰 도움이 됩니다.

무선 클라이언트 연결 및 연결 해제를 위한 신호 강도 임계값 구성(신호 임계값 또는 신호 강도 범위)

단일 액세스 포인트를 사용하는 경우 원칙적으로 이 기능은 중요하지 않습니다. 그러나 컨트롤러가 제어하는 여러 지점이 작동 중이라면 여러 AP에 걸쳐 클라이언트의 모바일 배포를 구성하는 것이 가능합니다. 액세스 포인트 컨트롤러 기능은 ATP, USG, USG FLEX, VPN, ZyWALL 등 Zyxel의 다양한 라우터 라인에서 사용할 수 있다는 점을 기억할 가치가 있습니다.

위 장치에는 신호가 약한 SSID에 연결된 클라이언트의 연결을 끊는 기능이 있습니다. "약함"은 신호가 컨트롤러에 설정된 임계값보다 낮음을 의미합니다. 클라이언트의 연결이 끊어진 후 다른 액세스 포인트를 찾기 위해 프로브 요청을 보냅니다.

예를 들어 클라이언트가 -65dBm 미만의 신호로 액세스 포인트에 연결된 경우, 스테이션 연결 해제 임계값이 -60dBm인 경우 액세스 포인트는 이 신호 레벨로 클라이언트 연결을 끊습니다. 클라이언트는 이제 재연결 절차를 시작하고 이미 -60dBm(스테이션 신호 임계값) 이상의 신호를 사용하여 다른 액세스 포인트에 연결합니다.

이는 여러 액세스 포인트를 사용할 때 중요합니다. 이렇게 하면 대부분의 클라이언트가 한 지점에 누적되고 다른 액세스 지점은 유휴 상태가 되는 상황이 방지됩니다.

또한 신호가 약한 클라이언트(예: 이웃 사무실의 벽 뒤)와 같이 방 주변 외부에 있을 가능성이 높은 클라이언트의 연결을 제한할 수 있으므로 이 기능을 간접적인 방법으로 고려할 수도 있습니다. 보호의.

보안을 강화하는 방법 중 하나로 WiFi 6으로 전환

우리는 이전 기사의 앞부분에서 직접적인 치료법의 이점에 대해 이미 이야기했습니다. “무선 및 유선 네트워크를 보호하는 기능. 파트 1 - 직접적인 보호 조치".

WiFi 6 네트워크는 더 빠른 데이터 전송 속도를 제공합니다. 새로운 표준 그룹을 사용하면 속도를 높일 수 있고, 다른 한편으로는 동일한 영역에 더 많은 액세스 포인트를 배치할 수 있습니다. 새로운 표준은 더 빠른 속도로 전송하는 데 더 적은 전력을 사용하도록 허용합니다.

데이터 전송 속도 증가.

WiFi 6으로의 전환에는 교환 속도를 11Gb/s(변조 유형 1024-QAM, 160MHz 채널)로 높이는 작업이 포함됩니다. 동시에 WiFi 6을 지원하는 새로운 장치는 더 나은 성능을 제공합니다. 각 사용자에 대한 VPN 채널과 같은 추가 보안 조치를 구현할 때 주요 문제 중 하나는 속도 저하입니다. WiFi 6를 사용하면 추가 보안 시스템을 구현하는 것이 더 쉬워집니다.

BSS 채색

우리는 더 균일한 적용 범위가 경계를 넘어서 WiFi 신호의 침투를 줄일 수 있다고 앞서 썼습니다. 그러나 액세스 포인트 수가 더욱 증가하면 인접 포인트의 "외부" 트래픽이 여전히 수신 영역으로 침투하므로 자동 복구를 사용하는 것만으로는 충분하지 않을 수 있습니다.

BSS 컬러링을 사용할 때 액세스 포인트는 데이터 패킷에 특별한 표시(색상)를 남깁니다. 이를 통해 인접한 전송 장치(액세스 포인트)의 영향을 무시할 수 있습니다.

향상된 MU-MIMO

802.11ax는 또한 MU-MIMO(다중 사용자 - 다중 입력 다중 출력) 기술에 대한 중요한 개선 사항을 제공합니다. MU-MIMO를 사용하면 액세스 포인트가 여러 장치와 동시에 통신할 수 있습니다. 그러나 이전 표준에서는 이 기술이 동일한 주파수에서 6개의 클라이언트 그룹만 지원할 수 있었습니다. 이로 인해 전송이 더 쉬워졌지만 수신은 더 쉬워졌습니다. WiFi 8은 전송 및 수신에 8xXNUMX 다중 사용자 MIMO를 사용합니다.

있습니다. 802.11ax는 다운스트림 MU-MIMO 그룹의 크기를 늘려 보다 효율적인 WiFi 네트워크 성능을 제공합니다. 다중 사용자 MIMO 업링크는 802.11ax에 새로 추가된 기능입니다.

OFDMA(직교 주파수 분할 다중 접속)

이 새로운 채널 액세스 및 제어 방법은 LTE 셀룰러 기술에서 이미 입증된 기술을 기반으로 개발되었습니다.

OFDMA를 사용하면 각 전송에 시간 간격을 할당하고 주파수 분할을 적용하여 동일한 회선이나 채널에서 동시에 두 개 이상의 신호를 전송할 수 있습니다. 결과적으로 채널 활용도가 높아져 속도가 향상될 뿐만 아니라 보안도 향상됩니다.

개요

WiFi 네트워크는 매년 더욱 안전해지고 있습니다. 현대 기술을 사용하면 허용 가능한 수준의 보호를 구성할 수 있습니다.

트래픽 암호화 형태의 직접적인 보호 방법은 매우 잘 입증되었습니다. 추가 조치를 잊지 마세요: MAC 필터링, 네트워크 ID 숨기기, Rogue AP 감지(Rogue AP Containment).

그러나 무선 장치의 공동 작동을 개선하고 데이터 교환 속도를 높이는 간접적인 조치도 있습니다.

새로운 기술을 사용하면 지점의 신호 레벨을 줄여 적용 범위를 더욱 균일하게 만들 수 있으며 이는 보안을 포함하여 전체 무선 네트워크의 상태에 좋은 영향을 미칩니다.

상식적으로 안전을 향상하려면 직간접적으로 모든 수단을 동원해야 합니다. 이 조합을 사용하면 공격자의 삶을 최대한 어렵게 만들 수 있습니다.

유용한 링크 :

출처 : habr.com

무선 및 유선 네트워크 보호 기능. 2부 - 간접적인 보호 조치