局域网中探测非法无线接入点的方法和系统.pdf

《局域网中探测非法无线接入点的方法和系统.pdf》由会员分享，可在线阅读，更多相关《局域网中探测非法无线接入点的方法和系统.pdf（10页珍藏版）》请在专利查询网上搜索。

1、(10)申请公布号 CN 102843684 A (43)申请公布日 2012.12.26 C N 1 0 2 8 4 3 6 8 4 A *CN102843684A* (21)申请号 201110166952.7 (22)申请日 2011.06.21 H04W 12/08(2009.01) H04W 24/00(2009.01) (71)申请人航天信息股份有限公司 地址 100097 北京市海淀区杏石口路甲18 号 (72)发明人徐树民 梁剑 王永宝 苏斌 (74)专利代理机构北京科龙寰宇知识产权代理 有限责任公司 11139 代理人孙皓晨 (54) 发明名称 局域网中探测非法无线接入点的方。

2、法和系统 (57) 摘要 本发明公开了一种局域网中探测非法无线接 入点的系统和方法，该系统包括：数据库，用于将 局域网中合法无线接入点的相应信息存入合法列 表中；无线监听模块，用于周期性扫描局域网中 的各个频道，从中获取标识信息，以及用于对中央 处理单元确定的可疑无线接入点进行测试，在管 理模式下尝试连接可疑无线接入点，如果连接成 功，尝试通过可疑无线接入点连接局域网内的多 个合法节点；中央处理单元，用于将扫描获得的 已有接入点的标识信息与合法列表中的相应信息 进行比对，将未在合法列表中出现的无线接入点 列为可疑无线接入点，以及若成功收到无线监听 模块反馈的可疑无线接入点成功连接合法节点的 反。

3、馈信息，则判定可疑无线接入点为非法无线接 入点。 (51)Int.Cl. 权利要求书2页 说明书5页 附图2页 (19)中华人民共和国国家知识产权局 (12)发明专利申请 权利要求书 2 页 说明书 5 页 附图 2 页 1/2页 2 1.一种局域网中探测非法无线接入点的系统，其特征在于，包括： 数据库，用于将局域网中合法无线接入点的相应信息存入合法列表中； 无线监听模块，用于周期性扫描局域网中的各个频道，并接收局域网已有接入点散播 的beacon信息，从中获取标识信息，以及用于对中央处理单元确定的可疑无线接入点进行 测试，在管理模式下尝试连接所述可疑无线接入点，如果连接成功，尝试通过所述可疑。

4、无线 接入点连接所述局域网内的多个合法节点； 所述中央处理单元，用于将扫描获得的已有接入点的标识信息与所述合法列表中的相 应信息进行比对，将未在所述合法列表中出现的无线接入点列为可疑无线接入点，以及若 成功收到所述无线监听模块反馈的所述可疑无线接入点成功连接所述合法节点的反馈信 息，则判定所述可疑无线接入点为非法无线接入点。 2.根据权利要求1所述的系统，其特征在于，还包括： 有线监听模块，用于周期性地扫描所述局域网内的不同链路，在进行ARP测试时监听 ARP请求。 3.根据权利要求1所述的系统，其特征在于，所述无线监听模块为USB网卡。 4.根据权利要求2所述的系统，其特征在于，所述有线监听。

5、模块为交换机。 5.一种局域网中探测非法无线接入点的方法，其特征在于，包括以下步骤： 将局域网中合法无线接入点的相应信息存入数据库的合法列表中； 通过无线监听模块周期性扫描局域网中的各个频道，并接收局域网已有接入点散播的 beacon信息，从中获取标识信息； 将扫描获得的已有接入点的标识信息与所述合法列表中的相应信息进行比对，将未在 所述合法列表中出现的无线接入点列为可疑无线接入点； 对所述可疑无线接入点进行测试，所述无线监听器在管理模式下尝试连接所述可疑无 线接入点，如果连接成功，尝试通过所述可疑无线接入点连接所述局域网内的多个合法节 点，若成功收到所述合法节点针对此次连接的反馈信息，则所述。

6、可疑无线接入点为非法无 线接入点。 6.根据权利要求5所述的方法，其特征在于，还包括以下步骤： 如果所述无线检测模块连接测试所述可疑无线接入点失败，则所述可疑无线接入点是 采用WEP加密或者MAC过滤或者是邻居的无线接入点； 对所述可疑无线接入点进行ARP测试，如果连接测试失败，则所述可疑无线接入点采 用MAC过滤或者采用了WEP加密； 通过中央处理单元模块询问局域网中的有线监听模块是否收到了ARP请求，若是则询 问所述无线监听模块是否监听到具有相同的MAC地址的信息帧，如果所述无线监听模块报 告监听到具有相同的MAC地址的信息帧，则确定所述可疑无线接入点为链接在所述局域网 上的非法无线接入点。

7、。 7.根据权利要求5-6中任一项所述的方法，其特征在于，还包括以下步骤： 所述中央处理单元模块根据多个无线监听模块监听到的所述非法无线接入点的信号 强度，判断出所述非法无线接入点的大概位置。 8.根据权利要求5所述的方法，其特征在于，所述相应信息包括： SSID，BSSID，频道，生产厂商和安装时间。 权 利 要 求 书CN 102843684 A 2/2页 3 9.根据权利要求5所述的方法，其特征在于，所述无线监听模块为USB网卡。 10.根据权利要求6所述的方法，其特征在于，所述有线监听模块为交换机。 权 利 要 求 书CN 102843684 A 1/5页 4 局域网中探测非法无线接入。

8、点的方法和系统 技术领域 0001 本发明涉及无线局域网领域，具体而言，涉及一种局域网中探测非法无线接入点 的方法和系统。 背景技术 0002 作为全球公认的局域网权威，IEEE(Institute of Electrical and Electronics Engineers，美国电气和电子工程师协会)802工作组建立的标准在过去二十年内在局域网 领域内独领风骚。这些协议包括了802.3Ethernet(以太网)协议、802.5Token Ring(令牌 环网)协议、802.3z 100BASE-T快速以太网协议。在1997年，经过了7年的工作以后，IEEE 发布了802.11协议，这也是在。

9、无线局域网领域内的第一个国际上被认可的协议。在1999 年9月，他们又提出了802.11b“High Rate”协议，用来对802.11协议进行补充，802.11b 在802.11的1Mbps和2Mbps速率下又增加了5.5Mbps和11Mbps两个新的网络吞吐速率， 后来又演进到802.11g的54Mbps，直至今日802.11n的300Mbps。 0003 利用802.11，移动用户能够获得同Ethernet一样的性能、网络吞吐率、可用性。这 个基于标准的技术使得管理员可以根据环境选择合适的局域网技术来构造自己的网络，满 足他们的商业用户和其他用户的需求。 0004 和其他IEEE 802。

10、标准一样，802.11协议主要工作在ISO协议的最低两层上，也 就是物理层和数字链路层。任何局域网的应用程序、网络操作系统或者像TCP/IP、Novell NetWare都能够在802.11协议上兼容运行，就像他们运行在802.3Ethernet上一样。 0005 由于无线局域网(WLAN，Wireless Local Area Networks)具有便捷、易使用和可 提高人们工作效率等优点，可使人们的工作学习从一个固定地点，扩展到无线局域网覆盖 的任何地方，而条件是只要有一个具有无线网卡的笔记本等移动接入设备就可达成目标。 0006 但是我们也应看到任何事物都是矛盾的两面体，在WLAN具有诸。

11、多优点的同时，来 自WLAN的安全威胁也很多，如刺探、拒绝服务攻击、监视攻击、中间人(MITM)攻击、从客户 机到客户机的入侵、flooding攻击等，本文研究其中最为严重的威胁：局域网中非法无线 接入点(Rogue AP)，并给出其的检测、定位和反制方法。 0007 非法无线接入点(Rogue AP)是现在WLAN中最大的安全威胁，黑客、不怀好意的 雇员，或者无心地没考虑到后果只是为提高工作效率的雇员在WLAN中安放未经授权的 AP(Access Point，接入点)或客户机提供对网络的无限制访问，从而给外界的不法分子提 供了入侵和渗透的机会，这样的后果可能就是大量企业和用户的机密和私密的信。

12、息被窃取 甚至遭到破坏。 发明内容 0008 本发明提供一种局域网中探测非法无线接入点的方法和系统，用以防止不法分子 入侵和渗透到局域网中，保护企业和用户的信息安全。 0009 为达到上述目的，本发明提供了一种局域网中探测非法无线接入点的系统，该系 说 明 书CN 102843684 A 2/5页 5 统包括： 0010 数据库，用于将局域网中合法无线接入点的相应信息存入合法列表中； 0011 无线监听模块，用于周期性扫描局域网中的各个频道，并接收局域网已有接入点 散播的beacon信息，从中获取标识信息，以及用于对中央处理单元确定的可疑无线接入点 进行测试，在管理模式下尝试连接可疑无线接入点。

13、，如果连接成功，尝试通过可疑无线接入 点连接局域网内的多个合法节点； 0012 中央处理单元，用于将扫描获得的已有接入点的标识信息与合法列表中的相应信 息进行比对，将未在合法列表中出现的无线接入点列为可疑无线接入点，以及若成功收到 无线监听模块反馈的可疑无线接入点成功连接合法节点的反馈信息，则判定可疑无线接入 点为非法无线接入点。 0013 较佳的，上述系统还包括：有线监听模块，用于周期性地扫描局域网内的不同链 路，在进行ARP(Address Resolution Protocol，地址解析协议)测试时监听ARP请求。 0014 较佳的，上述无线监听模块为USB(Universal Seri。

14、al BUS，通用串行总线)网卡。 0015 较佳的，上述有线监听模块为交换机。 0016 为达到上述目的，本发明还提供了一种局域网中探测非法无线接入点的方法，该 方法包括以下步骤： 0017 将局域网中合法无线接入点的相应信息存入数据库的合法列表中； 0018 通过无线监听模块周期性扫描局域网中的各个频道，并接收局域网已有接入点散 播的beacon信息，从中获取标识信息； 0019 将扫描获得的已有接入点的标识信息与合法列表中的相应信息进行比对，将未在 合法列表中出现的无线接入点列为可疑无线接入点； 0020 对可疑无线接入点进行测试，无线监听器在管理模式下尝试连接可疑无线接入 点，如果连接。

15、成功，尝试通过可疑无线接入点连接局域网内的多个合法节点，若成功收到所 述合法节点针对此次连接的反馈信息，则可疑无线接入点为非法无线接入点。 0021 较佳的，上述方法还包括以下步骤： 0022 如果无线检测模块连接测试可疑无线接入点失败，则可疑无线接入点是采用 WEP(Wired Equivalent Privacy，有线等效保密)加密或者MAC(Medium Access Control， 介质访问控制层)过滤或者是邻居的无线接入点； 0023 对可疑无线接入点进行ARP测试，如果连接测试失败，则可疑无线接入点采用MAC 过滤或者采用了WEP加密； 0024 通过中央处理单元模块询问局域网中。

16、的有线监听模块是否收到了ARP请求，若是 则询问无线监听模块是否监听到具有相同的MAC地址的信息帧，如果无线监听模块报告监 听到具有相同的MAC地址的信息帧，则确定可疑无线接入点为链接在局域网上的非法无线 接入点。 0025 较佳的，上述方法还包括以下步骤：中央处理单元模块根据多个无线监听模块监 听到的非法无线接入点的信号强度，判断出非法无线接入点的大概位置。 0026 较佳的，上述相应信息包括：SSID(Service Set Identifier，服务集标识)， BSSID(Basic Service Set Identifier)，频道，生产厂商和安装时间。 0027 较佳的，上述无线监。

17、听模块为USB网卡。 说 明 书CN 102843684 A 3/5页 6 0028 较佳的，上述有线监听模块为交换机。 0029 在上述实施例中，将无线监听模块探测到的无线接入点信息与数据库中的合法列 表保存的合法接入点信息进行对比，确定可疑的无线接入点，进而通过对可疑无线接入点 进行连接测试和ARP测试判断出该可疑无线接入点是否为非法无线接入点，从而可以采取 措施防止不法分子入侵和渗透到局域网中，保护企业和用户的信息安全。 附图说明 0030 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现 有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是。

18、本 发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以 根据这些附图获得其他的附图。 0031 图1为根据本发明一实施例的局域网中探测非法无线接入点的系统框图； 0032 图2为在图1实施例基础上的一更优实施例的系统框图； 0033 图3为根据本发明一实施例的局域网中探测非法无线接入点的系统工作原理框 图； 0034 图4为根据本发明一实施例的局域网中探测非法无线接入点的方法流程图。 具体实施方式 0035 下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完 整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于 本发。

19、明中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他 实施例，都属于本发明保护的范围。 0036 图1为根据本发明一实施例的局域网中探测非法无线接入点的系统框图。如图1 所示，该系统包括： 0037 数据库10，用于将局域网中合法无线接入点的相应信息存入合法列表中； 0038 无线监听模块20，用于周期性扫描局域网中的各个频道，并接收局域网已有接入 点散播的beacon信息，从中获取标识信息，以及用于对中央处理单元确定的可疑无线接入 点进行测试，在管理模式下尝试连接可疑无线接入点，如果连接成功，尝试通过可疑无线接 入点连接局域网内的多个合法节点； 0039 中央处理单元3。

20、0，用于将扫描获得的已有接入点的标识信息与合法列表中的相应 信息进行比对，将未在合法列表中出现的无线接入点列为可疑无线接入点，以及若成功收 到无线监听模块反馈的可疑无线接入点成功连接合法节点的反馈信息，则判定可疑无线接 入点为非法无线接入点。 0040 在本实施例中，将无线监听模块探测到的无线接入点信息与数据库中的合法列表 保存的合法接入点信息进行对比，确定可疑的无线接入点，进而通过对可疑无线接入点进 行连接测试判断出该可疑无线接入点是否为非法无线接入点，从而可以采取措施防止不法 分子入侵和渗透到局域网中，保护企业和用户的信息安全。 0041 图2为在图1实施例基础上的一更优实施例的系统框图。。

21、如图2所示，上述系统 还包括：有线监听模块40，用于周期性地扫描局域网内的不同链路，在进行ARP测试时监听 说 明 书CN 102843684 A 4/5页 7 ARP请求。 0042 上述无线监听模块具体来说是一个具备相应探测功能的网卡，可以是USB形式的 网卡或者其他形式的网卡。该网卡可以接插在需要进行探测的环境中的台式机上，安装 Utility软件后，可以开启该网卡的监听(Monitor)模式，之后在不同的频道上展开被动监 听工作。这样就相当于利用了企业和一般环境中常见的台式机来完成监听的工作，不需要 额外的添加专门的监听设备。 0043 Utility软件可以在驱动层开启监听模式，主要。

22、的功能是：控制网卡循环的在各 个频段上进行被动监听，将监听到的SSID和BSSID信息定时传送给数据库，接收和解析中 央处理单元传送来的命令，然后执行之。 0044 无线监听模块，不仅具备一般的被动监听功能还能在中央处理单元下达测试命令 后，切换到管理(Managed)模式，监听模块去尝试连接一个无线接入点从而为了获取更多 的信息以达到测试的目的。 0045 有线监听模块的结构是和无线监听模块的结构一样，只是其是在有线网络上进行 监听的。有很多企业级的能提供动态端口映射功能的企业级交换机，可以使得一个有线监 听模块去周期性的扫描一个子网内的很多不同的链路。 0046 图3为根据本发明一实施例的。

23、局域网中探测非法无线接入点的系统工作原理框 图。集中的由计算机来完成的密集分析工作都交给中央处理单元来完成。中央处理单元周 期性的向数据库模块取得相应的信息，包括SSID，BSSID，然后对这些SSID和BSSID进行检 查看是否它们是在合法AP列表中的如果发现了一个不明的可疑网络或者节点。那么中央 处理单元就会命令无线监听模块去进行一系列的检查工作来分析这个可疑设备是否是接 在本有线网络上的。 0047 数据库模块用来存放合法无线接入点的信息，包括SSID、BSSID和其他相应信息， 同时也存储无线监听模块和有线监听模块探测到的相应信息。具体应用的数据库可以是时 下流行的数据库，并且为了适应。

24、企业级的环境，可以架设不止一个数据库服务器。 0048 上述实施例充分利用企业中很常见的台式机，来达成密集程度很高的无线监测 网，具有检测性强，经济代价较低，易于部署和易于扩展等优点，最终可以达到在无线局域 网特别是企业级无线局域网环境中成功探测非法无线接入点的目的。 0049 图4为根据本发明一实施例的局域网中探测非法无线接入点的方法流程图。如图 4所示，该方法包括以下步骤： 0050 S102，将局域网中合法无线接入点的相应信息存入数据库的合法列表中； 0051 S104，通过无线监听模块周期性扫描局域网中的各个频道，并接收局域网已有接 入点散播的beacon信息，从中获取标识信息； 00。

25、52 S106，将扫描获得的已有接入点的标识信息与合法列表中的相应信息进行比对， 将未在合法列表中出现的无线接入点列为可疑无线接入点； 0053 S108，对可疑无线接入点进行测试，无线监听器在管理模式下尝试连接可疑无线 接入点，如果连接成功，尝试通过可疑无线接入点连接局域网内的多个合法节点，若成功收 到合法节点针对此次连接的反馈信息，则可疑无线接入点为非法无线接入点。 0054 在本实施例中，将无线监听模块探测到的无线接入点信息与数据库中的合法列表 保存的合法接入点信息进行对比，确定可疑的无线接入点，进而通过对可疑无线接入点进 说 明 书CN 102843684 A 5/5页 8 行连接测试。

26、判断出该可疑无线接入点是否为非法无线接入点，从而可以采取措施防止不法 分子入侵和渗透到局域网中，保护企业和用户的信息安全。 0055 例如，上述方法还包括以下步骤： 0056 如果无线检测模块连接测试可疑无线接入点失败，则可疑无线接入点是采用WEP 加密或者MAC过滤或者是邻居的无线接入点； 0057 对可疑无线接入点进行ARP测试，如果连接测试失败，则可疑无线接入点采用MAC 过滤或者采用了WEP加密； 0058 通过中央处理单元模块询问局域网中的有线监听模块是否收到了ARP请求，若是 则询问无线监听模块是否监听到具有相同的MAC地址的信息帧，如果无线监听模块报告监 听到具有相同的MAC地址。

27、的信息帧，则确定可疑无线接入点为链接在局域网上的非法无线 接入点。 0059 例如，上述方法还包括以下步骤：中央处理单元模块根据多个无线监听模块监听 到的非法无线接入点的信号强度，判断出非法无线接入点的大概位置。 0060 例如，上述相应信息包括：SSID，BSSID，频道，生产厂商和安装时间。 0061 例如，上述无线监听模块为USB网卡。 0062 例如，上述有线监听模块为交换机。 0063 需要说明的是，上述实施例中监听的方法虽然有两种，主动的被动的，但我们这里 实际上在无线局域网中，为不对其他网络节点发生影响，以被动探测为主，而且被动探测， 如果检测器的位置和角度布置的合理的话，是可以。

28、监听到很大部分的非法无线接入点的情 况的。另外被动监听不会影响网络内的通信质量。 0064 本发明的上述实施例针对无线局域网中的非法无线接入点难题，提出了一种有效 的解决方案。业界对于非法无线接入点难题的解决方案不仅很少，而且大多需要专门的探 测装置，如果环境面积较大，则不仅花费金额较大而且难于部署。本发明上述实施例采用企 业和办公室中很常见的台式机插入专门的探测器件，同时部署一些比较少的设施即可以达 到相应的信息安全要求。 0065 本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或 流程并不一定是实施本发明所必须的。 0066 本领域普通技术人员可以理解：实施例中的装置。

29、中的模块可以按照实施例描述分 布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上 述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。 0067 本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过 程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序 在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者 光盘等各种可以存储程序代码的介质。 0068 最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽 管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然 可以对前述实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换； 而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的精神和范 围。 说 明 书CN 102843684 A 1/2页 9 图1 图2 图3 说 明 书 附 图CN 102843684 A 2/2页 10 图4 说 明 书 附 图CN 102843684 A 10 。