GBT 33565-2024 网络安全技术 无线局域网接入系统安全技术要求标准立项发展报告

网络安全技术无线局域网接入系统安全技术要求标准立项发展报告StandardizationDevelopmentReport:SecurityTechnicalRequirementsforWirelessLocalAreaNetworkAccessSysteminCybersecurityTechnology摘要随着移动互联网和物联网技术的迅猛发展，无线局域网（WLAN）已广泛应用于政务、金融、教育、医疗等国民经济各关键领域，其安全性直接关系到国家关键信息基础设施的整体防护水平。GB/T33565-2024《网络安全技术无线局域网接入系统安全技术要求》由国家标准化主管部门于2024年4月25日正式发布，并将于2024年11月1日起实施，替代原有版本标准。本标准在继承原有标准框架的基础上，紧密跟踪国内外无线局域网安全技术的最新发展态势，系统性地规定了无线局域网接入系统在安全功能、安全保障及安全运维等方面的技术要求，重点强化了对国产密码算法SM2、SM3、SM4的应用支撑要求，完善了针对新型无线网络攻击手段的防御能力指标，并进一步规范了物联网终端接入场景下的安全管控机制。本报告的编制旨在全面阐述该标准的立项背景、编制原则、主要技术内容及其对产业发展的深远影响，为相关企事业单位、检测机构和行业管理部门提供权威的参考依据。关键词：无线局域网；接入系统；安全技术要求；国家标准；密码算法；等级保护；网络安全Keywords:WirelessLocalAreaNetwork;AccessSystem;SecurityTechnicalRequirements;NationalStandard;CryptographicAlgorithms;ClassifiedProtection;Cybersecurity一、引言1.1标准立项背景无线局域网（WirelessLocalAreaNetwork,WLAN）作为现代信息基础设施的重要组成部分，以其部署灵活、接入便捷、成本低廉等显著优势，已成为人们日常工作、生活和学习中不可或缺的网络接入方式。据工业和信息化部统计数据，截至2023年底，我国无线局域网公众热点数量已超过500万个，无线终端接入设备保有量突破15亿台。与此同时，无线局域网因其开放性传输介质的固有特性，面临着比有线网络更为严峻的安全威胁——窃听、非法接入、中间人攻击、拒绝服务攻击等手段不断翻新升级，对用户数据安全和个人隐私保护构成了严重威胁。2016年11月7日，《中华人民共和国网络安全法》正式发布，确立了网络安全等级保护制度的基本法律框架；2019年12月1日，等保2.0核心标准GB/T22239-2019《信息安全技术网络安全等级保护基本要求》正式实施，对无线接入场景提出了明确的安全扩展要求。在此背景下，原GB/T33565-2017《信息安全技术无线局域网接入系统安全技术要求》于2017年首次发布，为无线局域网接入系统的安全检测与评估提供了重要的技术依据。然而，近年来无线通信技术发展日新月异，Wi-Fi6（IEEE802.11ax）、Wi-Fi7（IEEE802.11be）等新技术标准相继商用部署，WPA3安全协议逐步普及，零信任安全架构理念广泛兴起，原有标准部分条款已难以适应当前技术发展和安全需求。因此，对原标准进行全面修订势在必行。1.2标准修订的必要性首先，无线通信技术的代际演进对安全性提出了更高要求。Wi-Fi6及后续标准引入了OFDMA、MU-MIMO等新技术特性，其在提升网络吞吐量的同时，也带来了新的安全挑战和攻击面。原有标准主要基于IEEE802.11n/802.11ac技术制定，尚未覆盖新一代无线通信技术的安全要求。其次，国家密码管理政策的调整要求标准同步更新。2019年发布的《中华人民共和国密码法》明确要求关键信息基础设施应使用商用密码进行保护。GB/T39786-2021《信息安全技术信息系统密码应用基本要求》进一步细化了密码应用的具体指标。新修订的标准需明确将SM2、SM3、SM4等国密算法纳入无线局域网接入系统的安全能力要求之中。再次，网络安全等级保护制度2.0标准的实施对无线接入安全提出了新要求。等保2.0在安全通信网络、安全区域边界、安全计算环境等方面均增加了无线接入场景的扩展要求，原有标准的条款设置和指标要求需与等保2.0体系保持协调一致。二、标准编制原则与依据2.1编制原则本标准的修订遵循以下基本原则：（1）科学性。标准的技术指标和测试方法建立在充分的实验验证和理论分析基础之上，确保各项要求科学合理、切实可行。对于需要量化考核的安全能力指标，均依据实际测试数据和行业最佳实践进行设定。（2）协调性。标准在编制过程中充分考虑了与现有法律法规、政策文件和技术标准的衔接协调。在术语定义、安全等级划分、评测方法等方面，与GB/T22239-2019、GB/T25069-2022《信息安全技术术语》、GB/T39786-2021等标准保持高度一致。（3）前瞻性。标准在满足当前技术发展水平的基础上，适当超前设定了部分安全要求指标，为未来3至5年内无线局域网安全技术的发展预留空间。对于Wi-Fi7、WPA3等新兴技术和协议的安全性要求予以合理纳入。（4）可操作性。标准的各项技术要求均有明确、具体的评测方法和判定准则，便于第三方检测机构、产品厂商和行业用户对照执行，确保标准在检测认证、产品研发、方案评估等环节的落地实施。2.2编制依据本标准主要依据以下法律法规和标准化文件进行修订：-《中华人民共和国网络安全法》-《中华人民共和国密码法》-《关键信息基础设施安全保护条例》-GB/T22239-2019《信息安全技术网络安全等级保护基本要求》-GB/T25069-2022《信息安全技术术语》-GB/T39786-2021《信息安全技术信息系统密码应用基本要求》-GB/T32907-2016《信息安全技术SM4分组密码算法》-GB/T32918-2016《信息安全技术SM2椭圆曲线公钥密码算法》-GB/T32905-2016《信息安全技术SM3密码杂凑算法》-IEEE802.11-2020系列标准-WPA3（Wi-FiProtectedAccess3）技术规范三、标准主要技术内容3.1标准范围与框架本标准规定了无线局域网接入系统在安全功能、安全保障和安全管理等方面的技术要求，适用于无线局域网接入系统（包括无线接入点AP、无线控制器AC及一体化网关设备等）的设计、开发、测试和评估。标准的框架结构在保持原有版本合理布局的基础上，根据技术发展进行了优化调整，主要内容涵盖：1.范围2.规范性引用文件3.术语和定义4.缩略语5.无线局域网接入系统安全概述6.安全功能要求7.安全保障要求8.安全运维要求3.2安全功能要求本章节是本标准的核心理念和技术要点所在，从身份鉴别、访问控制、数据保密性、数据完整性、抗抵赖、安全审计、入侵防范、恶意代码防范等八个层面系统规定了无线局域网接入系统应具备的安全功能。（1）身份鉴别。标准要求接入系统应对管理用户和接入终端实施有效的身份鉴别。对于管理用户，应提供基于用户名/口令、数字证书、动态令牌等多种方式的鉴别机制；对于无线接入终端，应支持WPA2/WPA3企业级认证或基于国密算法的证书认证体系，确保双向身份鉴别的可靠性。标准同时对接入终端的鉴别失败处理策略提出了明确要求，如鉴别失败次数阈值、锁定时间等具体参数。（2）访问控制。标准细化了对无线接入终端的访问控制策略要求，包括基于SSID的业务隔离、基于MAC地址的接入过滤、基于用户角色的权限管理等。特别针对访客网络和物联网终端接入场景，增加了逻辑隔离和流量管控的强制要求，防止横向越权访问。（3）数据保密性与完整性。标准规定了无线链路数据传输的加密和完整性保护要求。明确要求接入系统应支持国密SM4算法和AES加密算法的安全协议（含WPA2/WPA3），在加密算法选择上优先采用国家密码管理部门认可的密码算法。对于管理通道（如HTTPS、SSH、SNMPv3）的加密传输提出了具体指标要求。（4）安全审计。标准要求接入系统应对设备管理操作、用户接入行为、异常安全事件等进行全面的日志记录，审计记录至少应包括事件的日期、时间、用户主体、事件类型、事件结果等要素，并确保审计记录不可被篡改或非授权删除。（5）入侵防范与恶意代码防范。新增了无线入侵检测/防御系统（WIDS/WIPS）的功能要求，包括对非法AP的检测与阻断、对恶意无线攻击行为的识别与告警、对异常流量和异常连接行为的监测等能力要求。3.3安全保障要求安全保障要求针对接入系统的生命周期过程提出了安全控制要求，覆盖开发、交付、运行、维护和废弃等阶段。该章节在原有版本的基础上强化了以下方面：在开发安全方面，要求厂商遵循安全编码规范，开展威胁建模和代码安全审计，提供完善的安全设计文档和用户指南。在交付安全方面，明确了交付文档的完整性和一致性要求，防止交付环节被植入恶意代码或后门。在运维安全方面，新增了安全配置基线管理要求，要求设备默认配置应满足最小权限原则和默认安全原则，并提供安全配置核查和加固的指导文档。3.4安全运维要求安全运维要求是本次修订新增的重要章节，聚焦于无线局域网接入系统在运行维护阶段的安全管理需求。该章节主要包括：系统安全运维的组织与制度要求、资产管理要求、漏洞管理要求、安全事件应急响应要求、定期的安全评估与渗透测试要求等。这一新增章节使标准从单纯的技术要求向技术与管理的有机结合迈出了重要一步，与GB/T22239-2019中安全管理中心和安全管理制度的要求相互呼应。3.5标准主要修订变化相较于GB/T33565-2017版标准，2024版的主要技术变化包括：（1）标准名称由“信息安全技术无线局域网接入系统安全技术要求”调整为“网络安全技术无线局域网接入系统安全技术要求”，与网络安全国家标准体系的整体名称规范保持一致。（2）删除了原标准中除“无线接入点”之外的术语定义，统一引用GB/T25069-2022中的规范术语表述，提升标准术语的规范性和一致性。（3）安全功能要求章节将原“安全通信功能”与“安全计算功能”合并为“安全功能要求”，并优化了其中“身份鉴别”“访问控制”的先后层次顺序结构，使标准条理更加清晰。（4）删除了原标准中“安全审计”中对审计记录格式的具体规定，改为引用GB/T22239-2019中的通用安全审计要求，保证标准体系的协调统一。（5）新增了安全运维要求章节，在原有技术安全保障的基础上补充了管理层面的安全控制要求。（6）在数据保密性方面，将SM4算法从“宜支持”提升为“应支持”，将国密算法在标准中的地位从可选项提升为必选项，充分体现国家对商用密码应用的强制性要求。四、标准实施主体单位介绍4.1主要起草单位——中国信息安全研究院有限公司本标准的主要起草单位之一中国信息安全研究院有限公司（以下简称“信安院”）是我国网络安全领域具有重要影响力的综合性研究机构。信安院长期致力于网络安全战略规划、前沿技术研究、标准规范研制和检测评估服务等工作，在无线网络安全、密码技术应用、等级保护等方向积累了深厚的技术储备和丰富的实践经验。信安院拥有一支高水平的标准化专业团队，核心成员长期参与全国网络安全标准化技术委员会（TC260）的相关标准研制工作，主持或参与制修订国家标准和行业标准百余项，具备从标准预研、草案编制、试验验证到报批发布的全流程标准化工作经验和能力。在本标准的修订过程中，信安院作为核心起草单位，牵头组织了标准框架设计、关键技术指标论证、行业需求调研和征求意见汇总处理等各项工作。信安院依托其在无线网络安全检测评估领域的深厚技术积累，基于大量实测数据和典型应用场景分析，为标准的科学性和可操作性提供了坚实的技术支撑。此外，信安院还积极推动标准的试验验证和示范应用工作，组织多家主流无线设备厂商开展了标准符合性测试，确保标准各项技术指标的可行性。4.2参与单位协作本标准的修订汇聚了业内多家优势单位的力量，包括中国电子技术标准化研究院、公安部第三研究所、国家信息技术安全研究中心、中国信息安全测评中心以及华为技术有限公司、新华三技术有限公司、锐捷网络股份有限公司等国内主流无线设备厂商。各参与单位在标准需求分析、技术方案论证、征求意见处理和试验验证等环节发挥了不可替代的作用，通过产学研用的紧密协作，确保了标准在技术先进性和产业适用性之间的良好平衡。五、标准实施意义与展望5.1实施意义GB/T33565-2024的发布实施具有多方面的重要意义：（1）完善了网络安全国家标准体系。该标准作为网络安全等级保护标准体系的重要组成部分，与GB/T22239-2019等标准形成了有机衔接，填补了无线局域网接入系统安全要求专项标准在技术更新后的空白，为网络运营者选择和使用无线局域网设备提供了权威的技术指引。（2）强化了国家密码算法的推广应用。标准将国密算法从“宜支持”提升为“应支持”的刚性要求，将有效推动国密算法在无线局域网设备中的全面部署，促进网络安全关键技术的自主可控，维护国家网络空间主权和安全。（3）引导了产业技术升级。标准的发布为无线局域网设备厂商提供了明确的产品研发方向和安全性设计依据。通过标准符合性检测的合格评定机制，将有效净化市场环境，淘汰安全能力不达标的低端产品，推动产业整体技术水平迈上新台阶。（4）保障了关键行业无线网络的安全可靠运行。政务、金融、电力、交通等关键行业在部署和运维无线局域网时，可将本标准作为设备选型、方案评审和安全评估的直接依据，有效提升其无线网络的安全防护水平。5.2未来展望展望未来，无线局域网安全技术的发展将呈现以下趋势：一是随着Wi-Fi7技术的商用化进程加速，支持更高吞吐量、更低时延的新一代无线设备的接入安全要求将不断演进，标准的持续迭代更新将成为常态。二是零信任安全架构在无线网络场景的落地实施将不断深化，未来的标准修订方向将进一步融合零信任理念，强化持续验证、最小权限和动态访问控制等安全能力要求。三是人工智能技术在无线网络安全防护中的应用将更加广泛，基于机器学习的异常检测、智能态势感知和自动化安全响应等新型安全能力有望纳入后续标准框架。四是物联网与无线局域网的深度融合将持续推动特定场景化安全标准的研制，针对智能家居、工业无线网络、智慧医疗等垂直行业的安全要求分册标准将