检测WLAN性能中的WIDS应用

无线入侵检测(WIDS)，从这个名字想到的是安全，主要用于监测，并对监测到的事件做出响应  。但是许多无线入侵检测系统(WIDS)产品也可以用于检测WLAN的性能，为故障排除、微调和使用规划提供有价值的见解  。当谈到性能管理时，虽然WIDS不能够取代便捷的无线流量分析仪，但是WIDS可以补充移动分析仪的不足  。

无线局域网WLAN性能分析及其工具

许多情况都需要分析WLAN的性能，从最初的设计和新安装的设备的调试，到优化覆盖面和规划扩展  。在这一生命周期中，许多工具都是有用的，包括站点调查工具、射频设计仪、频谱分析仪和无线流量分析仪  。

无线流量分析仪是非常必要的，可以捕获802.11信息流并对其进行编码，然后重新将信息包装配到联合和射频设备关系之中  。分析仪有助于在有限的时间内，理解WLAN特定地址中正在发生的情况  。但是有时也需要退回去，查看WLAN信息流的更多的情况，收集更长的时间内的信息  。而WIDS可以提供帮助  。

WIDS可以监测整个WLAN，将由分布式传感器捕获的主要信息流转发到中央服务器  。收集这些信息流，将其联系起来，分析安全事故  。WIDS会显示由此产生的警报，并将其转发到另一个系统，或者记录在数据库中，供将来参考  。当然，这些信息流也可以用于监测WLAN的性能  。

性能警报

虽然WIDS的性能分析与警报功能不同，但是这里有一个性能警报样本，这是WIDS的性能：

◆制定事件严重程度的等级，当出现严重事件时，普通级别的事件将延时处理  。

◆以商业风险为基础为不同的无线访问设备建立不同的规则  。例如，可以忽略使用Guest ESSID的未知设备，但是对Private SSID设备要检测  。

◆以警报事件出现的频率来建立阻挡规则，例如，当发现现一个警报出现的频率次数达到某个阀值时，就必需自动产生阻挡行为  。

◆自动将高风险的警报转发到更高级别的位置，以便能够及时处理这些高危风险  。

◆能够自动阻止恶意无线访问设备，让其失去作用，以此来阻止其产生下一步的恶意行为  。

一些警报表明可能发生了配置错误，而其它警报指出了会降低性能的潜在的执行错误(比如，DTIM冲突)  。关于超载或者射频干扰方面的警报可以通过扩展WLAN或者重新分配信道得以解决  。以阀值为基础的警报可能需要使用基线测量法调试，它可以反映出什么对WLAN而言是“正常的”(比如，每个接入点工作站的预计数量、典型的信道使用方法)  。用户会希望停用任何与WLAN无关的WIDS的警报(比如，如果不使用802.11b，就可以停止802.11g保护)  。

性能故障排除

虽然，扫描模式下的WIDS可以监测到性能问题，但是诊断却需要一个更为全面的信息流样本  。为了推动这一项工作，许多WIDS可以使用远程传感器，创建信息流捕获文件  。通常情况下，可以将结果输入到无线信息流分析仪中仔细审查  。

故障排除通常需要活跃的工具  。比如，某些WIDS产品的控制台可以借助远程传感器联系到某个目标接入点，并且运行网络诊断工具，比如ping和跟踪路由器  。这时候也可以查看近实时信道的性能图表，这些图表中显示了信号的强度、噪声、CRC错误、重试、使用等情况  。

虽然从中央地址进行调查可以节省时间，但是，一些性能问题仍然需要在线调查，使用移动的无线分析仪来协助排查，充分结合WIDS和无线分析仪的性能可以加速调查进程  。

用户的最终目标并不是仅仅找到潜在的性能问题，而是修复它们  。为此，WIDS会为某个特定的警报或者测试结果提供修复措施  。某些WIDS产品会包括一个以知识为基础的故障排除向导，帮助解决客户端的性能问题  。

性能报告

收集的信息也可以创建历史数据库，可以用于健康报告和容量规划  。WIDS的性能报告包含了带有性能警报的前10个接入点、过去制定的活跃站点的数量、频谱的使用情况和性能总结、以及性能报告在类型、地址以及设备方面的趋势  。

在完成上述这些工作后，还必需对整个WLAN进行弱点检测以发现其可能存在的漏洞和弱点，并将发现的弱点和漏洞全部修复  。如果漏洞是最新出现的，还没有相应的修复方法，就必需通过人工监控或其它安全措施来暂时应对，等到出现相应解决方法时就必需立即实施修补  。

总之，对于无线网络安全事件，我们必需使用相应的无线检测工具来自动审计、跟踪和记录它们可能进行的所有非法行为  。并且，通过对无线入侵检测工具产生的日志文件进行实时分析，来了解目前WLAN中可能存在的非授权设备、入侵事件，以及它们已经进行了的非法行为  。与此同时，还需要对被检测到的非法设备、活动进行及时的处理，以便能尽量减少它们可能给整修WLAN带来的安全风险  。