此次演练的主题是WLAN AP身份验证泛洪攻击演练。演练工作主要包括：
一、 准备工作
此次演练在该运营商的实际办公环境中进行，办公楼层部署有多台AP设备，演练选择其中某台AP作为攻击对象。应急人员通过一台测试笔记本接入该AP并验证可以正常访问互联网，模拟攻击人员通过笔记本接入该AP，后续将通过部署在笔记本中的攻击工具对无线AP进行攻击。
演练开始前由运营商工作人员记录测试笔记本及AP相关信息(MAC地址、SSID、信道号及连接状态等)。启明星辰无线入侵检测(WIDS)产品在进行无线安全检测时自动发现的无线网络信息如下：
▲图1 启明星辰无线入侵检测(WIDS)发现的无线网络拓扑
▲图2 启明星辰无线入侵检测(WIDS)发现的无线设备信息
整个过程中运营商也可通过其数据网管系统查看AP连接状态和工作信息。
二、 模拟攻击
演练中通过工具先后模拟发起Authentication DoS和De-Authentication DoS两种身份验证泛洪攻击，攻击持续一段时间之后，无线网络安全出现问题，用新的客户端去连接被攻击AP，已经无法建立正常连接，此时已连接在此AP 的客户端也发现不能正常上网。由于该楼层部署有多台AP，客户端最终将会漫游至其他AP连接上网。
在模拟攻击发生后进行无线安全检测，通过抓包工具可以分别看到大量的伪造Authentication和De-authentication数据报文出现：
▲图3Authentication DoS攻击抓包结果
▲图4 De-Authentication DoS攻击抓包结果
三、 应急启动
在察觉到网络不稳定时，管理员立即采取设备观测结合人工分析的方式加以关注，及时定位问题，并采取有效措施解决问题。
演练过程中可看到测试笔记本连接的AP发生迁移(MAC地址变更);登录被攻击AP，可看到原来连接于该AP的无线客户端已经下线;登录数据网管系统，可看到该无线客户端下线，但AP工作状态正常;由此得知，通过AP或网管系统都无法感知当前无线网络安全状况，不能确定无线网络是否处于被攻击的状态。而此时，启明星辰无线入侵检测(WIDS)及时检测到攻击事件的发生，准确识别攻击来源，并给出报警和审计信息，运维人员根据此信息进行了攻击排查及网络恢复。
▲图5无线安全引擎对认证泛洪攻击事件的报警
▲图6无线安全引擎对去认证泛洪攻击事件的报警
四、 事件处理和上报
演练完成后，相关人员对整个过程进行完整记录和分析总结，并按照应急响应制度要求，将应急处理分析情况报告相关人员。
通过此次演练，该省运营商制定了针对WLAN AP身份验证泛洪攻击的应急预案，并对相关安全防护工作进行了有效验证，同时，演练的顺利完成也证明了启明星辰无线入侵检测(WIDS)产品在进行无线安全检测时的有效性和可靠性。此外，启明星辰无线入侵检测(WIDS)还可检测包括流氓AP、无线扫描、无线欺骗、无线破解、无线中间人攻击等多种类型无线网络安全事件，全面保障无线网络安全。通过安全厂商与运营商的通力合作，将为十八大的顺利召开提供全面的信息安全保障。
背景资料
什么是WLAN AP身份验证泛洪攻击
1. Authentication DoS
这是一种验证模式的攻击，攻击的效果是自动模拟出随机产生的MAC 地址向目标AP不断发送验证请求，导致AP忙于处理过多的验证请求而停止正常用户的登录请求，甚至影响已在线的客户端。
2. De-Authentication DoS
去验证洪水攻击，国际上称之为De-authentication Flood Attack，全称即去身份验证洪水攻击或去验证阻断洪水攻击，通常被简称为Deauth攻击，是无线网络拒绝服务攻击的一种形式，它旨在通过欺骗从AP到客户端单播地址的去身份验证帧来将客户端转为未关联的/未认证的状态。
