xxxx无线网络安全风险评估报告

xxxx无线网络安全风险评估报告本次评估针对产业园区办公及公共服务无线网络（以下简称目标无线网）开展，评估周期为2024年3月1日至2024年4月15日，评估覆盖核心网络设备、接入节点、终端侧、管理体系四大维度，旨在识别现有安全防护体系中的脆弱性与威胁点，明确风险等级并提出可落地的整改方案。一、评估依据与范围1.评估依据本次评估严格遵循公开生效的国家标准与行业规范，具体包括：GB/T22239-2019《信息安全技术网络安全等级保护基本要求》三级要求、GB/T31509-2015《信息安全技术信息安全风险评估规范》、GB/T36958-2018《信息安全技术网络安全等级保护测评要求》、IEEE802.11ax无线网络安全标准、工业和信息化部《公共无线局域网安全防护要求》，以及园区内部发布的《无线网络运维管理办法》《信息安全事件处置规范》。2.评估范围本次评估覆盖目标无线网全链路节点，具体包括：（1）核心侧：12台无线控制器（AC，采用VRRP热备架构，6台主设备承载办公网业务，6台备设备承载公共网与物联网无线业务）、2台Radius认证服务器、2台Portal认证服务器、核心交换机无线业务板卡、无线业务区边界防火墙；（2）接入侧：1276台室内放装AP、328台室外高功率AP、176个物联网无线网关，覆盖园区12栋办公楼、4栋生产厂房、3处公共广场、2个地下停车场；（3）终端侧：在册办公终端2139台（含台式机、笔记本、移动办公终端）、访客终端日均峰值7823台、物联网终端3742台（含摄像头、门禁、温湿度传感器、智能电表）；（4）管理侧：无线运维管理平台、日志存储系统、运维审计系统、7人运维团队（2名专职无线运维、5名兼职网络运维）。二、目标无线网现状摸排1.网络架构现状目标无线网采用“核心层-汇聚层-接入层”三层架构，所有AP由核心机房AC集中管控，办公网、公共网、物联网无线业务采用不同VLAN逻辑隔离，业务流量经核心交换机转发后，通过边界防火墙与核心数据区、互联网交互。当前核心AC单台最大并发承载能力为10000台终端，日常峰值并发数为6800台左右，资源利用率约42%。2.认证授权现状办公网采用802.1x+AD域认证机制，绑定终端MAC地址，仅允许在册终端接入；公共网采用Portal+短信验证码认证，访客账号有效期24小时，到期需重新认证；物联网无线网采用PSK预共享密钥认证，按设备组统一分发密钥，未做单设备身份校验。3.安全防护现状当前已部署的安全措施包括：无线业务区边界部署2台下一代防火墙，开启基础入侵防御与URL过滤功能；核心办公区AP开启无线入侵检测（WIDS）功能，特征库更新周期为7天；运维操作需通过运维审计系统登录，但未强制覆盖所有无线设备；日志存储于各设备本地，留存周期为30天。4.运维管理现状运维团队共7人，其中2名专职无线运维人员负责AC、AP的配置与故障处置，5名兼职运维负责终端故障排查。当前未建立专门的无线网络安全管理制度，仅在通用网络运维办法中提及相关要求；近12个月未开展过无线网络安全专项演练，全员安全培训中无线安全相关内容占比不足5%。三、安全风险识别与验证本次评估采用“工具扫描+人工验证+场景模拟”结合的方式，共识别出6大类22项安全风险，其中技术类风险17项，管理类风险5项，所有风险均经过现场验证，具体如下：1.架构层安全风险（1）核心AC资源冗余不足，故障场景下业务中断风险高本次评估模拟单台主AC故障切换场景，测试结果显示：当1台承载办公网的主AC故障时，备AC需承接其管辖的213台AP、约3200台终端的业务，切换过程耗时12秒，期间1187台办公终端断网重连，业务中断率达5.56%；切换完成后备ACCPU利用率从日常27%飙升至89%，内存利用率从32%升至76%，远超“CPU≤70%、内存≤60%”的安全阈值。若同时发生2台主AC故障，备AC将因资源耗尽完全瘫痪，影响范围覆盖全园区60%以上的无线终端。（2）边界防护策略过宽，核心数据区暴露风险突出评估团队采用端口扫描工具，从无线办公网终端对核心数据区1-65535端口进行全量扫描，共发现开放端口127个，其中包括未做访问限制的数据库端口（1433、3306）、中间件管理端口（8080、9090、7001）共32个，可直接访问的非授权业务系统7个，包括固定资产管理系统、员工薪酬查询系统、项目研发文档库等敏感业务系统，无需二次身份校验即可访问登录页面，存在被暴力破解、数据窃取的风险。经核实，当前边界防火墙仅阻断了22、3389等11个通用高危端口，未按照“最小权限”原则梳理访问策略，属于典型的策略配置过宽问题。（3）WIDS覆盖存在盲区，非法AP无法及时发现当前仅核心办公区的462台室内AP开启了WIDS功能，剩余814台室内AP、328台室外AP均未开启WIDS，盲区占比达28.68%。评估团队在园区南门广场、地下停车场等室外区域部署模拟RogueAP（伪造与官方公共网相同的SSID），持续运行72小时，共捕获终端连接请求1247次，成功关联终端329台，期间WIDS系统未产生任何告警，攻击者可通过部署伪基站窃取用户敏感信息、发起中间人攻击，且难以被及时发现。2.接入层安全风险（1）弱口令AP占比高，可被直接接管评估团队采用定制化弱口令字典（包含通用弱口令、园区名称衍生口令、常见运维口令共1276条组合），对所有AP的Web管理后台进行限速爆破测试，共发现112台AP存在弱口令，占总AP数的6.98%，其中76台为室外AP，占弱口令AP总数的67.86%。经核实，室外AP部署时为便于调试统一设置了初始弱口令，后续未按要求修改。攻击者可通过弱口令直接登录AP管理后台，修改SSID、篡改Portal跳转页面、抓包窃取终端数据，甚至将AP作为内网渗透的跳板，直接访问核心业务系统。（2）RogueAP存量较多，绕过边界防护本次评估采用全园区无线步行扫描+有线端端口定位的方式，共排查出RogueAP47台，其中员工私自接入的家用无线路由器39台，外来施工单位接入的临时AP8台。这些RogueAP直接连接办公网有线端口，绕过了无线认证、边界防火墙等防护措施，相当于在内部网络开设了“隐形入口”。测试结果显示，其中12台RogueAP可直接访问核心数据区的服务器，攻击者只需连接这些AP即可进入内网，无需突破任何边界防护。（3）室外AP物理防护不足，可被直接接入内网评估团队抽查了50台室外AP的安装情况，其中18台安装高度低于2.5米，无任何物理防护装置，可被直接接触到以太网接口。由于AP接入的汇聚交换机端口未配置MAC地址绑定与端口安全策略，评估人员将笔记本电脑直接接入AP的以太网接口，10秒内即获取到内网IP地址，可直接访问汇聚交换机管理界面、扫描内网网段，物理接入风险完全失控。3.认证授权安全风险（1）Portal认证存在绕过漏洞，可未授权上网评估团队通过抓包分析发现，公共网Portal认证流程存在逻辑漏洞：认证结果由客户端回传“status”字段给Portal服务器，服务器未对认证状态进行二次校验，直接根据该字段判定是否放行。攻击者可通过抓包修改“status”字段为“success”，无需输入短信验证码即可直接通过认证，获取上网权限。本次测试共验证100次，绕过成功率为100%。进一步梳理近30天的认证日志发现，共有127个终端的认证请求存在“status”字段异常修改痕迹，说明该漏洞已被利用。（2）802.1x认证未校验服务器证书，存在身份仿冒风险办公网802.1x认证仅校验AD域用户名与密码，未强制要求终端校验Radius服务器的数字证书，攻击者可在办公区部署恶意AP，仿冒办公网SSID，搭建伪造的Radius服务器，诱骗终端发起认证，进而窃取用户的AD域账号明文密码。本次评估在1号楼办公区部署恶意AP持续运行24小时，共捕获37个用户的AD域账号密码，涉及行政、研发、财务等多个部门，若被不法分子利用，可直接登录所有内部业务系统，造成严重数据泄露。（3）访客权限未做最小化限制，可访问内部资源当前访客终端认证通过后，仅限制访问核心数据区的部分端口，仍可访问办公网的OA系统登录页、企业邮箱登录页、内部文件共享服务器等23项内部服务，且同一访客VLAN内的终端未做二层隔离，可互相访问。评估团队用访客终端成功扫描到127台办公终端的共享文件夹，其中32台共享文件夹未设置访问权限，可直接读取内部文档。此外，访客终端可直接发起对内网的暴力破解、端口扫描等攻击行为，无任何拦截措施。4.数据安全风险（1）无线传输未加密，敏感信息明文传输公共网采用开放式SSID+Portal认证，未开启传输加密，所有HTTP流量均为明文传输；办公网仍有127台老旧终端因不支持WPA2，采用WEP加密方式，而WEP加密可在15分钟内被破解。评估团队在公共区域采用旁路镜像方式抓取72小时流量共127GB，抽样分析10GB明文流量，共识别出敏感信息1243条，其中居民身份证号217条、手机号码762条、各类系统账号密码264条、办公文档敏感内容200条，存在严重的个人信息与商业秘密泄露风险。（2）认证数据明文存储，合规风险突出Radius服务器中存储了近12个月的访客认证数据共127.3万条，包含手机号、认证时间、终端MAC地址等信息，全部采用明文存储，未做加密或脱敏处理。此外，Radius服务器的数据库权限配置过宽，3名普通运维账号均拥有全量数据的查询与导出权限，无操作审批与审计机制。若服务器被入侵或运维人员违规操作，将造成大量公民个人信息泄露，违反《个人信息保护法》《网络安全法》的相关要求，面临最高5000万元或上一年度营业额5%的罚款。（3）运维平台未做双因子认证，存在越权访问风险无线运维管理平台存储了所有AP的配置信息、管理员账号密码、网络拓扑结构等核心敏感数据，但仅采用用户名+密码的单因子认证方式，未开启双因子认证。评估团队梳理近30天的登录日志发现，有3个运维账号的登录IP来自境外，登录时间为凌晨2-4点，属于明显的异常登录，但由于未配置异常登录告警规则，运维人员始终未发现。经核实，这3个账号均为弱口令，已被泄露，攻击者可通过这些账号登录运维平台，获取整个无线网络的控制权。5.管理运维风险（1）日志留存周期不足，溯源能力缺失当前所有无线设备（AC、AP、认证服务器）的日志均存储于设备本地，留存周期仅为30天，未达到《网络安全法》与等保2.0三级要求的“不少于6个月”的标准。此外，未建设统一的日志审计平台，日志分散在不同设备中，格式不统一，无法进行关联分析与快速溯源。2023年12月曾发生过公共网被用于发起DDoS攻击的事件，但由于日志已被覆盖，无法定位具体攻击终端，最终只能全量断网排查，造成业务中断2小时。（2）运维权限未分离，存在内部风险2名专职无线运维人员均拥有所有设备的超级管理员权限，可同时进行配置修改、数据导出、日志删除等操作，未落实“三权分立”要求，不存在权限制约。此外，部分无线设备未接入运维审计系统，运维操作无记录，发生故障或违规操作时无法追溯责任人。2024年2月曾发生过运维人员误删AC配置导致200多台AP断网的事件，但由于未开启操作审计，无法确认具体责任人，也无法快速恢复配置。（3）应急演练缺失，处置能力不足近12个月内未开展过无线网络安全专项应急演练，运维团队对无线入侵、DDoS攻击、数据泄露等场景的处置流程不熟悉。本次评估模拟无线DDoS攻击场景：向AC发送大量伪造的认证请求，流量达10Gbps，导致ACCPU利用率升至100%，无法处理正常认证请求。运维团队共花费47分钟才定位攻击源并完成处置，远高于行业平均15分钟的处置时长，业务中断时间过长，将造成严重的生产损失。6.物联网无线扩展风险（1）PSK密钥统一管理，可全网仿冒接入物联网无线网采用按设备组统一分发PSK密钥的模式，全园区3742台物联网终端共用3组PSK密钥，且已2年未更换。攻击者只需破解任意一台物联网终端的密钥，即可接入整个物联网无线网络。本次评估通过破解一台温湿度传感器的PSK密钥，成功接入物联网VLAN，扫描发现127台物联网摄像头的管理界面，且均为弱口令，可直接查看监控画面，甚至修改摄像头配置。（2）终端准入机制缺失，MAC地址可伪造当前物联网无线网仅采用MAC地址白名单作为准入依据，未做设备身份校验，而MAC地址可轻易伪造。评估团队伪造了一台门禁设备的MAC地址，成功接入物联网无线网络，获取到门禁系统的管理权限，可远程控制所有门禁的开关，存在严重的物理安全风险。（3）设备固件更新不及时，已知漏洞未修复评估团队抽查了100台物联网无线设备的固件版本，其中62台的固件版本为2021年以前发布，存在已知的高危CVE漏洞，包括可远程获取设备控制权的命令执行漏洞、可导致设备拒绝服务的内存溢出漏洞等。由于运维人员担心固件更新影响业务稳定，从未开展过固件升级工作，这些漏洞长期存在，可被攻击者利用来控制物联网设备、发起内网渗透。四、风险等级评定依据GB/T31509-2015的风险计算方法，风险值=威胁发生可能性×威胁发生影响程度，其中可能性分为5级（1=极低，2=低，3=中，4=高，5=极高），影响程度分为5级（1=可忽略，2=轻微，3=一般，4=严重，5=特别严重），对应风险等级为：20-25分为极高风险，15-19分为高风险，10-14分为中风险，1-9分为低风险。经综合评定，本次共识别出极高风险项4项、高风险项7项、中风险项7项、低风险项4项，目标无线网整体风险等级为高，不符合等保2.0三级安全要求，需立即开展整改。1.极高风险项（4项）（1）Portal认证绕过漏洞：可能性5，影响程度5，风险值25。漏洞利用难度极低，可直接导致未授权访问与数据泄露，已被实际利用。（2）弱口令AP与RogueAP存量较高：可能性4，影响程度5，风险值20。可直接突破内网边界，攻击者可从无线侧直接渗透核心数据区。（3）Radius服务器用户数据明文存储：可能性4，影响程度5，风险值20。涉及百万级个人信息，存在严重合规风险与数据泄露风险。（4）物联网统一PSK+无准入机制：可能性4，影响程度5，风险值20。可直接接入物联网网络，控制大量物联网设备，影响物理安全与生产安全。2.高风险项（7项）包括核心AC资源冗余不足、边界防护策略过宽、WIDS覆盖盲区、802.1x身份仿冒风险、访客权限过大、无线明文传输、运维权限未分离，风险值在15-19之间，可能导致严重的业务中断或数据泄露。3.中风险项（7项）包括室外AP物理防护不足、运维平台单因子认证、日志留存周期不足、应急处置能力不足、物联网固件更新不及时、WIDS特征库更新慢、安全培训不足，风险值在10-14之间，可能导致一般程度的业务影响或安全事件。4.低风险项（4项）包括运维人员配置不足、部分终端老旧不支持WPA3、SSID命名不规范、访客日志未定期清理，风险值在1-9之间，对整体安全影响较小。五、整改建议结合风险等级与业务实际需求，本次整改按照“先急后缓、分步实施”的原则，分为短期（1个月内）、中期（3个月内）、长期（6个月内）三个阶段推进，具体如下：1.短期整改（1个月内，针对极高风险项）（1）修复Portal认证漏洞：改造Portal认证流程，由Radius服务器统一生成认证结果并同步给AC与Portal服务器，客户端仅负责提交认证参数，服务器端对所有请求做签名校验，防止参数篡改；完成后开展全量漏洞验证，确保无绕过可能。（2）清理弱口令与RogueAP：对所有AP的管理密码进行全量重置，采用长度不小于16位、包含大小写字母/数字/特殊字符的复杂密码，建立每90天强制更换机制；开展全园区RogueAP专项排查，拆除所有私自接入的无线设备，对所有有线接入端口配置MAC地址绑定与端口安全策略，限制每个端口最多接入1台设备。（3）整改Radius数据存储：对所有存储的个人信息采用AES-256算法加密存储，导出时自动脱敏；收紧数据库访问权限，仅允许1名安全管理员拥有数据导出权限，且需经过审批并全程留痕；同步开展历史数据清理，超过6个月的访客认证数据自动删除。（4）优化物联网认证机制：取消统一PSK密钥，采用基于设备唯一证书的认证方式，每台物联网终端烧录独立的数字证书，认证时校验证书合法性；部署物联网准入控制系统，对终端类型、固件版本、安全状态进行校验，不符合要求的终端禁止接入。2.中期整改（3个月内，针对高风险项）（1）扩容AC资源：新增4台高性能AC，调整为“负载均衡+N+1冗余”架构，确保任意单台AC故障时，其余AC的CPU利用率不超过50%，切换时间不超过1秒；同步配置802.11r快速漫游功能，减少终端移动时的重连时长。（2）优化边界防护策略：按照“最小权限”原则梳理无线办公网到核心数据区的访问策略，仅开放必要的业务端口与服务，其余端口全部阻断；部署零信任访问网关，所有访问核心数据区的无线终端需经过二次身份认证与环境校验（终端合规性、补丁状态、杀毒软件安装情况），校验通过后方可访问。（3）补全WIDS覆盖：开启所有AP的WIDS功能，新增2台专用WIDS服务器，将特征库更新频率提升至每天1次；配置RogueAP自动压制功能，发现非法AP后自动发送解关联帧，阻断终端连接。（4）加固802.1x认证：强制所有办公终端安装并信任官方Radius服务器证书，未校验证书的终端禁止接入；部署终端准入控制系统（NAC），对接入终端进行安全检查，存在高危漏洞、未装杀毒软件的终端放入隔离VLAN，整改合格后方可接入。（5）限制访客权限：将访客网络与办公网络完全逻辑隔离，防火墙默认阻断访客网到办公网、核心数据区的所有访问，仅允许访问互联网与指定的公共服务系统；开启访客VLAN内的二层隔离，防止终端之间横向访问。（6）强化传输加密：全面禁用WEP加密，办公网全部升级为WPA3-Enterprise加密，公共网采用W