了公众无线局域网灾难恢复而对相关的网络要素进行备份的过程

为了将公众无线局域网从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态、并 将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。 2.113

无线钓鱼攻击WirelessFishingAttack

攻击者过工具或者搭建软AP，在目标WLAN网络附近，构造与目标WLAN网络相同或者相近的网 络，引诱被害者连接项目管理、论文，一旦连接建立，攻击者会进一步截获被害者的网络流量，获取敏感信息。

攻击者通过伪造WLAN网络标识、MAC地址等物理信息，对特定用户的无线通信进行欺骗，使得正 常的通信流量流经攻击者，攻击者可以在流量中插入攻击代码或截获流量中的敏感信息，发起进一步的 攻击。

攻击者通过向WLAN网络中发送大量伪造的认证、关联等802.11报文，从而达到让AP或AC过载的目 的，使得正常用户无法接入WLAN网络；或者通过发送大量伪造的去认证、去关联等802.11报文，拆除 已经建立的WLAN连接，导致用户无法通过WLAN网络接入，

HotSpotter攻击HotspotterAttack

攻击者监测WLAN网络中的探测请求，并将发现的WLAN网络与自身的WLAN热点列表进行 一旦发现匹配的WLAN网络，攻击发起者会伪造认证和关联过程，引诱用户，一旦连接建立， 会进一步对受害者进行毒化或扫描，并发起进一步的攻击

SQL注入攻击SalIniection

LtAXSgecUo SQL注入是一个代码注入技术，它利用一个Web应用程序的安全漏洞，在数据库层实施攻击。如果 对用户输入的非法字符串（如Web表单递交或输入域名或页面请求的查询字符串）过滤不严谨，则会把 构建的恶意SQL语句传递到数据库，欺骗服务器执行恶意的SQL命令中执行。

跨站脚本攻击CrossSiteScripting

用程序的漏洞类型，能令攻击者插入客户端脚本到Web页面，当其他用户查看时被攻击。

表面上伪装成普通的网页文件或是将恶意的代码直接插入到正常的网页文件中，当有人访问时，网 页木马就会利用对方系统或者浏览器的漏洞自动将配置好的木马的服务端下载到访间者的电脑上来自动 执行。

TCP拒绝服务TCPFloOd 一种拒绝服务攻击，利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗 尽（CPU满负荷或内存不足）的攻击方式。

Portal服务器Portal Server

Portal是一种Web应用，通常用来提供个性化、单点登录、聚集各个信息源的内容，并作为 现层的宿主。聚集是指将来自各个信息源的内容集成到一个Web页面里的活动。

4PWLAN安全防护概述

4.1PWLAN安全防护范围

图1PWLAN网络结构示盒

PWLAN安全防护范畴主要包括上述PWLAN中的软硬件以及产生和处理的数据等。 本标准主要针对PWLAN提出安全防护要求，与PWLAN相关的其他网络单元如接入网、IP承 网等的安全防护要求见相应网络类型的安全防护标准

4.2PWLAN安全风险分析

PWLAN中的重要资产至少应包括： +PWLAN设备：AC、AP、BRAS、Radius、WebPortal等。 PWLAN数据：AC标识、AP标识、设备配置信息、认证信息、话单信息等。 ◆PWLAN其他的资产（如文档、人员等）可见附录A表A.1对资产的分类及举例。 PWLAN在设备部署、配置、系统管理等环节上均可能引入安全脆弱点，如各类AC、AP等设备在 软硬件安全方面存在的漏洞以及无线网络架构可能存在安全域未划分、无穴余备份等脆弱性。PWLAN 的脆弱性分析应包括但不限于附录A表A.2所列范围。 PWLAN的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威 胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。PWLAN的威胁分析应包 括但不限于附录A表A.3所列范围。

PWLAN可能存在的安全脆弱性被利用后会产生很大的安全风险，突出的安全风险如： 1）PWLAN向用户推送的认证页面（WebPortal）信息被算改； 2）用户认证等隐私信息被窃取； 3）逃避计费； 4）计费数据被篡改或替换； 5）网络被攻击后不可用等。

4.3PWLAN安全防护内容

PWLAN安全防护内容及要求可划分为业务安全、设备及软件系统安全、网络安全 管理安全等五个层面。其中： 一业务安全 主要包括业务认证管理、业务资源控制、业务安全防范、业务安全审计等方面的安全要求。 —设备及软件系统安全 主要包括PWLAN相关网络设备、通用主机设备、操作系统和数据库等方面安全要求。 一网络安全 主要包括PWLAN相关系统层面的结构拓扑、网络保护与恢复、网络管理和网络攻击防范等方面的 安全要求。 物理环境安全 主要包括机房位置、电力供应、防火、防水、防静电、温湿度控制等方面的安全要求。 一管理安全 主要包括机构、人员、制度、日常运维、安全监控、风险评估、应急预案等方面的安全要求。

5PWLAN安全防护要求

a）应对登录用户进行身份标识和鉴别。 b）应采用加密方式传输用户的口令信息。 c）应采用加密方式存储用户的口令信息。

5.1.1.2业务资源控制

5.1.1.3业务安全防范

5.1.1.4业务安全审讯

户异常登录、发布恶意代码、异常修改账号信息等行为以及管理员在业务功能和账号控制方面的关键操 作等。 b）应保护审计记录，保证无法删除、修改或覆盖等。 c）业务相关审计记录应包括事件日期、时间、发起者信息、类型、描述和结果等。

5.1.2设备及软件系统安全要求

5.1.2.2网络设备

PWLAN相关网络设备主要包括各类交换机设备等，相关网络设备应满足YD/T2700F2014 有互联网安全防护基线配置要求及检测要求网络设备》的安全要求。

5.1.2.4操作系缩

5.1.3网络安全要求

5.1.3.1网络拓扑

PWLAN节点部署合理，具有较高的可用性和可扩展性。

PWLAN节点部署合理

.1.3.2网络保护与恢复

a）PWLAN节点重要部件和模块（如电源模块、主控模块等）应配置为主备用万式 b）PWLAN重要节点（如AC、BRAS等）间链路应采取链路穴余保护措施，以保证网络具有抗灾以 及灾难恢复能力。

a）PWLAN应根据网络结构形式采用分域的管理方式，并根据实际需求或运维体制设置分级权 限，实现对网络的灵活管理。 b）PWLAN业务网络与运维、管理、监测等辅助系统（或平台）间应实现逻辑隔离，并启用安全域 访问控制策略，严格限制对有关设备的访问。 c）PWLAN网络管理应使用用户安全鉴别和认证措施。

d）PWLAN应有与当前网络节点、链路、频谱等资源配置和运营情况相符合的网络拓扑图（或记录 完整拓扑信息的运维文档）。 e）PWLAN的网络管理应启用访问和资源控制的安全措施，遵循最小特权原则对接口使用、访间 和资源等进行限制。 f）PWLAN管理信息及数据的机密性和完整性在传送、接收、外理和存储过程中都应得到保证

5.1.3.4网络安全监测

a）应具备关键设备（AC、Radius）和数据库运行状态监测功能，集中监控和展现PWLAN设备网络 运行状态、CPU和内存等运行状态信息以及在线用户数量、信道使用情况等信息，同时需要实现数据库 的版本信息、表空间利用率和数据库表操作记录等运行监测。 b）应具备安全告警事件监测功能，应实现对PWLAN网络设备和各种安全设备以及接入认证系统 产生的安全告警日志的分析和监测功能，实现安全事件告警的及时监测和有效处理。

5.1.3.5网络安全防范

5.1.4物理环境安全要求

5.1.5管理安全要求

除满足第1级的要求之外，还应满足： a）应能防止身份鉴别暴力攻击（如登录模块应采用随机验证码进行验证，并且保证验证码不易被 自动预测、识别）。 b）应具有防范利用AP或用户认证报文发起攻击的能力，如泛洪攻击、中间人攻击、欺骗等。

5.2.1.2业务资源控制

除满足第1级的要求之外，还应满足： 具有防止过度访问、拒绝服务攻击等的保

5.2.1.3业务安全防范

除满足第1级的要求之外，还应满足： a）应具备防护无线中间人攻击的能力，防止伪造MAC地址在AP和用户之间进行欺骗攻击。 h）POATAL页面应具备防攻击、防算改的能力。

5.2.1.4安全审计

除满足第1级的要求之外，还应满足： 应具备对审计记录数据进行统计、查询、分析及生成审计报表的功能。

除满足第1级的要求之外，还应满足： 应具备对审计记录数据进行统计、查

5.2.2设备及软件系统安全要求

除满足第1级的要求之外，还应满足： 使用安全漏洞扫描设备定期对所有PWLAN相关设备（AC、Radius、WebPortal等）进行安全漏洞扫 描，检查有无高中风险安全漏洞，并及时对漏洞进行修补。

5.2.2.2网络设备

5.2.2.4操作系统

5.2.3网络安全要求

5.2.3.2网络保护与恢复

除满足第1级的要求之外，还应满足： a）PWLAN相关关键数据（如业务数据、配置数据、性能数据、告警数据等）应有本地数据备份， 并按介质特性对备份数据进行定期的有效性验证。 h）PWLAN网终灾难备份和恢复时间应满足行业管理、网络和业务运营商应急预案的要求。

5.2.3.3网络管理

除满足第1级的要求之外，还应满足： PWLAN网络管理原则上应具有对业

PWLAN网络管理原则上应具有对业务相关数据进行检测、绕计、控制、过滤的功能

5.2.3.4网络安全监测

除满足第1级的要求之外，还应满足： a）应具备空口无线安全事件监测功能，监测PWLAN网络中的以下安全事件：WLANDoS攻击（去 认证泛洪、去关联泛洪、客户端过载等）、WLANHotSpotter攻击、WLAN中间人攻击、WLAN干扰和 WLAN报文注入攻击等。 b）应具备AP配置实时监测功能，对AP的各种安全漏洞和配置弱点信自进行监测和展现

5.2.3.5网络安全防范

除满足第1级的要求之外，还应满足： a）应防止非授权使用网络，如利用DNS隧道（DNSTunnel）绕过认证机制上网。 b）应防止利用PWLAN中网络地址划分安全域隔离缺陷，导致直接入侵控制。 c）应具有防范通过空口进行的无线拒绝服务攻击的能力，避免认证/去认证泛洪攻击、抢占射频时 间片攻击、射频干扰等风险，防止由于PWLAN工作异常而导致不能提供服务。 d）与PWLAN及其业务相关联的运维、管理、监测等系统的应用应当限制和禁用可能造成漏洞的 服务和端口，应在系统边界启用必要的防攻击、防入侵措施（如安装和使用防火墙、入侵检测、无线入 侵防御等安全设备等），系统相关软件应及时安装补丁，定期检查更新，及时消除可能的隐患。 e）PWLAN和相关系统内部署的安全设备在发生攻击或入侵时，应能及时准确的提供攻击或入侵 的告警、监测信息 f）PWLAN各类设备及系统应启用完整的安全日志功能，并实现日志的管理和安全审计，日志记 录保存时间不少于90天、审计记录保存时间不少于180天。日志应包含访间、配置、状态、统计、告警 等安全相关事件的来源、时间、描述等信息内容。 g）不应出现OwaspTop10所列的高危Web安全漏洞。

5.2.4物理环境安全要求

5.2.5管理安全要求

5.3.1业务安全要求

5.3.2设备及软件系

5.3.2设备及软件系统安全要求

5.3.2设备及软件系统安全要求

5.3.3网络安全要求

施工组织设计.3.4物理环境安全要习

5.3.5管理安全要求

除满足第2级的要求之外，还应满足： 应定期对PWLAN各类设备、系统进行安全风险评估（每年至少评估一次，重大活动、节日前应进 行评估）。

除满足第2级的要求之外，还应满足： 应定期对PWLAN各类设备、系统进行安全风险评估（每年至少评估一次，重大活动、节日前应进 行评估）

安全等级为第4级的PWLAN的安全要求待补充

电力弱电技术、方案PWLAN资产的识别与选取应符合科学性、合理性。PWLAN资产大致包括各类设备/主机、 、文件、人员、物理环境设施等。PWLAN的资产分析应包括但不限于表A.1所列范围

PWLAN的脆弱性包括技术脆弱性和管理脆弱性两个方面。脆弱性识别对象应以资产为 VLAN的脆弱性分析应包括但不限于表A.2所列范围

PWLAN的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括目然界不可抗的原 胁和其他物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。PWLAN的威胁分析应包 括但不限于表A.3所列范围。