Вопрос 24. Основы иб WiFi. Особенности wpa3. Режимы Personal и Enterprise. Protected Management Frames. Изоляция бк. Проверка поддержки wpa3 на клиентском устройстве, на точке доступа. Owe.

WPA3 ключевые особенности: в Personal режиме SAE (замена PSK) обеспечивает защиту от offline brute-force и предоставляет forward secrecy; в Enterprise — повышенная криптографическая стойкость (192-bit suite). WPA3 также вводит обязательную защиту для management frames (PMF) и улучшенные механизмы для открытых сетей: OWE (Opportunistic Wireless Encryption) — устанавливает индивидуальную шифрованную сессию даже в «открытой» сети без аутентификации (не обеспечивает аутентификацию, но шифрует трафик).

Изоляция БК (broadcast/multicast isolation) — механизм, запрещающий клиентам взаимодействовать друг с другом на уровне L2, часто включаемый для guest сетей.

Проверка поддержки WPA3: на клиенте — через свойства Wi-Fi адаптера (драйвер/OS) и документацию; на AP — в спецификации устройства/прошивке. При смешанных средах часто применяют режимы «WPA2/WPA3 transition», но они добавляют сложности и потенциальные окна атак — нужно разрабатывать план миграции.

OWE - шифрация трафика при подключении к открытой сети.

Вопрос 25. SoftWLC и его назначение. Функционал. Принцип настройки беспроводной сети (по материалам ЛР). Типовая схема беспроводной сети с централизованным управлением. Компоненты. Как ТД может найти SoftWLC контроллер?

SoftWLC — программный контроллер (на сервере/VM) выполняющий функции аппаратного WLC: централизованное управление AP, профили SSID, RRM, аутентификация, мониторинг. Функционал включает всё, что делает аппаратный WLC, но как ПО (меньше затрат на HW, легче масштабируется в облаке).

AP находит контроллер разными способами: статическая конфигурация (адрес WLC указывают вручную), через DHCP Option (например DHCP option 43), через DNS-имя (например «wlc.example.com»), либо через discovery протоколы в сети. После нахождения контроллера AP устанавливают CAPWAP сессию и получают конфигурацию.

Вопрос 26. Классификация атак на беспроводные сети 802.11. Пути защиты от атак.

(См. вопрос 11/12/26 — дублирующие темы.) Классификация: passive sniffing, spoofing/rogue AP, deauth/disassociation attacks, brute-force, WPS PIN bruteforce, management frame attacks, jamming/DoS. Пути защиты: шифрование, PMF, wIPS, мониторинг, отключение уязвимых опций, сегментация, регулярные обновления.

Вопрос 27. WIps и их функционал. Назначение сенсора и варианты исполнения. Атаки, от которых защищают wIps.

wIPS — wireless Intrusion Prevention System. Функции: обнаружение rogue AP и клиентов, обнаружение атак типа deauth/flood, обнаружение MITM/evil twin, мониторинг аномалий (новые SSID, изменившиеся BSSID), автоматические меры (блокировка, оповещение), интеграция с SIEM. 

Сенсор — радиомодуль (или AP в sensor mode) который пассивно мониторит эфир и отправляет события в wIPS-контроллер/сервер. Варианты исполнения: аппаратные сенсоры, виртуальные сенсоры на AP, облачные wIPS.

wIPS защищает от: rogue AP, spoofing, deauth floods, WPA/WPS эксплойтов (детектирование), подозрительной активности в эфире и пр.