新型网络安全检测器研究

时间：2024-05-04

摘要：基于现在各种建筑物中路由器繁多，导致对一栋楼中的无线局域网中的安全问题进行排查既费时又费力的现状，该文基于“飞行器”“软件无线电”“网络嗅探”等技术，提出了飞行器和频谱分析与网络嗅探相融合、互相协作，实现无线局域网安全检测的想法。该文以飞行器为载体，单片机为主板，软件无线电等硬件为附件，选取无线网络中的典型安全威胁为研究对象，融合“超声波避障”“软件无线电”“入侵检测”“主机发现”“路由器漏洞挖掘”等技术，对特定建筑物中的无线局域网中常见的安全问题进行检测，高效快速地对大范围内无线局域网中可能存在的安全问题进行全面性检测，实现对安检人员的解放。

关键词：飞行器;单片机;软件无线电;超声波

中图分类号：TP393 文献标识码：A

文章编号：1009-3044（2022）17-0027-03

1国内外研究现状和发展动态

目前网络安全检测在世界各国都得到了充分的重视。在中国所启动的有关高性能网络、下一代互联网、网络与信息安全的研究计划中，将建立网络流量建模和性能分析等研究作为基础工作：如LBNL（Lawrence Berkeley National Laboratory）、MIT的Lincoln Laboratory、Purdue大学的Networks Systems Lab、中科院计算所、清华大学计算机网络技术研究所等均对网络流量建模和安全检测分析及其应用等方面进行了大量的研究。

（1）Charitskis等[1]。一种方法是早期过滤，其仅执行分发器上的分组头特征匹配的检测。如果数据包不匹配且不包含数据，则将其丢弃，从而减少探测器和整个系统的负载。由于每种类型的网络流量都有自己的检测规则集，因此检测器在不同规则集之间切换需要一些时间。提出了在分发器中添加多个缓存，用于累积各种不同类型的数据包，若缓存满了，则只需要将它们一起发送出去，从而减少了检测器在不同规则集之间切换的次数，提高系统的效率。

（2）知名信息安全厂商Venus一直关注和研究无线网络安全风险和对策，并发表了多篇文章，提示用户防范无线网络安全风险[2]。该公司已率先在中国推出WLANIDS/IPS系统，该系统可实时检测数十种基于WLAN的无线攻击[3]，如无线破解，无线网络钓鱼和恶意AP[4]。无线接入或阻断策略可根据用户要求设置，提供7×24不间断无线网络安全保护功能，避免无线信息泄露。解决无线风险并保护用户的无线网络安全。此外，通过与传统IDS/IPS的集成部署[5]，可以提供有线和无线统一安全保护，形成一体化的网络安全解决方案，为用户提供全方位的安全保障。

上述研究多为技术层面的无线网安全监测技术，在实际运用中虽然有一定效果，但存在效率不高，人工消耗大等问题，效果并不理想。因此，研究复杂环境下无线网安全检测技术的快速捕捉、分析评估是实现无线网安全飞行检测器系统的关键。

2研究设计

本项目拟采用无人机及无线网络安全监测的相关技术针对目前普遍存在的企业、酒店、医院等无线网安全问题及对高层建筑物进行无线网安全检测的任务复杂度，进行网络安全监测的自动评估检测器的研究和产品开发。其关键技术有载体平台无人机的常规飞行控制技术，“软件无线电”的频谱感知技术，无线局域网的安全检测和路由器配置的安全检测技术。针对上述研究目的，根据近年来国内外关于无线网监测技术的发展与研究，结合民用无人机平台的应用研究，开发一套基于无人机平台的便携式无线网安全飞行检测器，最终实现全方位地对无线网中存在的具有危害性的安全问题做出检测。

1）硬件系统的平台设计与搭建

根据无线网安全检测要求、方法，明确系统方案，对硬件系统进行整体设计;采用了“飞行器”——“树莓派单片机”——“地面站计算机”的三部分协同工作的整体设计思想，操作用户使用地面站计算机，操纵飞机并携带RaspberryPi微控制器进行空中任务。树莓派单片机上连接搭载的无线网卡与HackRF无线设备采集分析可能的无线网攻击与无线电波危险行为，并由树莓派电脑存储记录，通过XBEE数据传输模块进行“地面站计算机”“树莓派单片机”“飞行器”之间的数据传输与指令下达，以完成用户指定的任务。此外，飞行器部分還配备了GPS、气压计、高度仪，配合树莓派单片机上搭载的超声波测距仪，可以给用户实时反馈飞行器实时飞行状态，遇到障碍时会提前发出预警，方便用户对于飞行状态进行处置。主要包含以下几个部分：

（1）常规飞行控制功能;

（2）辅助避障功能;

（3）地面站和树莓派和飞行部件的通信交互功能;

（4）连接并检测Wi-Fi信号功能。

2）软件系统的设计

针对当前空中无线网、无线电中普遍存在的安全威胁，本系统软件部分以硬件部分为载体，从“无线局域网的接入安全”“无线局域网内部安全”和“无线电信号安全”三个方面出发，借鉴了入侵检测技术、软件无线电技术、路由器漏洞挖掘技术、主机发现技术，采用流量分析、逆向调试、流量转发等方法，实现自主开发的以Python编程语言为基础的，基于Scapy的入侵检测系统，使用Socket套接字和nmap库结合的集主机发现、端口扫描、服务信息检测为一体的危险服务检测器，基于请求库的路由器漏洞扫描程序，基于Hackrf的伪基站检测器。利用Scapy网络通信协议封装技术，可以自定义网络嗅探器，为入侵检测系统的开发奠定基石，并可自主构造任意格式与形式的网络数据包，在入侵检测系统的实现过程中，模拟可能出现的攻击场景，不断提高入侵检测系统的灵敏度和准确性，追踪攻击行为;利用Hackrf及SDR软件，对空中无线电信号进行嗅探，提取不同频率的基站信号，获得基站的区编码、频点信息等，多方面识别伪基站，从而更全面地检测周围无线环境中存在的安全风险。

项目在利用飞行器的便利性和无线网的穿透性与发散性实现对不同复杂环境的无线网安全检测的同时，为了实现检测的高效性，大部分功能在设计上可并发运行。同时包含许多不同的子功能模块，在逐一解决子问题和子功能模块后，将所有子功能设计模块进行整合和系统集成，最终形成总软件系统。主要包括：

（1）飞行器信息交互模块（飞行状态检查、连接情况检查、远程shell功能）。

（2）无线网接入模块（Wi-Fi信号搜索并接入、Wi-Fi密码泄露查询、钓鱼热点检测功能）。

（3）风险服务检测模块（主机发现、危险端口检测、伪DHCP服务检测、SSH服务安全性检测、FTP服务安全性检测、隧道检测）。

（4）攻击流量检测模块（流量引流转发功能、ARP欺骗检测、认证洪水攻击检测、DNS放大攻击、Land攻击、基于MDK3的局域网DDOS攻击、路由器漏洞扫描、畸形包检测）。

（5）伪基站检测模块（异常LAC和CID值检测、基于信令变化率的检测、基站频点检测、基站定位辅助判断）。

3研究内容与测试分析

3.1 硬件板块

3.1.1硬件研究内容与测试方法

（1）飞行器稳定性测试。做此测试参照以下几个参数作为测试基准，分别为：高度、地速、偏航角和提升速度。高度是指本飞行器的距地高度;地速是飞机相对于地面的相对速度;偏航角是水平面上的体轴xt的投影与地轴xd之间的角度。升降速度飞行器在z轴上上升与下降的实时速度。该测试分为在三种环境下进行测试飞行器的滞空稳定性，第一种为滞空高度为5m的测试环境，第二种为滞空高度为10m的测试环境，第三种为滞空高度为15m的测试环境，通过分析罗盘仪、气压高度计和加速度计返回的数据决定了飞机空载时的稳定性。

（2）飞行器运行时长测试。该测试的目的为检测飞行器在空中长时间工作的能力，该测试进行方式为让飞行器在空中持续飞行，直到出现低电量报警时停止飞行，通过查看日志获得运行时间。

（3）飞行器xbee通讯模块测试。该测试分为在三种环境距离下进行测试xbee通讯模块的稳定性，第一种为距离200m空旷地带的测试环境，第二种为距离200km有楼层障碍物的测试环境，第三种为距离1km空旷地带的测试环境，第四种为距离1km无楼层障碍物的测试环境，通过分析软件部分监控返回的丢包率、RSSI（接收信号的强度指示）和范围测试实时检测图用于评估能力范围[6]。

3.1.2硬件测试分析结论

通过对硬件的测试可以得出以下结论：飞行器的稳定性会随着升空的高度的升高而逐渐降低，但在飞行器的工作领空中，该稳定性可以满足该作品对稳定性的要求。此外，xbee通讯模块在外界条件良好时信息传输稳定，信号较强，随着外界条件变复杂，出现障碍物时信号强度略微减弱，传输速率较慢，但传输仍稳定，不会出现丢包的现象，所以xbee通讯传输模块可以完全胜任本产品的数据传输工作。

3.2 软件板块

3.2.1软件研究内容与测试方法

1）Wi-Fi信号搜索模块测试

（1）Wi-Fi信号搜索功能测试

通过测试RaspberrPi可以实现Wi-Fi信号强度检测，测试方法为：地面站发出相应指令，通过XBEE模块传输至树莓派对周围Wi-Fi信号进行强度检测。

（2）Wi-Fi密码泄露查询功能测试

Wi-Fi密码泄露查询功能测试：本功能需要检测树莓派能否检测周围Wi-Fi密码是否存在泄露情况。测试方法为：地面站发出相应指令，通过XBEE模块传输至树莓派对周围Wi-Fi信号进行是否泄露密码的查询测试。

2）主机扫描模块测试

（1）主机扫描功能测试主机扫描功能：本功能测试地面站控制台能否操纵树莓派对网段内存活的主机实现扫描。

（2）端口扫描功能测试端口扫描功能[7]：本功能测试地面站控制台能否操纵树莓派对网段内存活的主机的选择端口实现扫描是否开启的功能，在一次检测周期内，该模块可以扫描出当前网段中选定端口是否开放的相关信息。

3）攻击检测模块测试

“攻击流量检测”模块功能[8]：引流队列转发功能、ARP中间人攻击检测、认证洪水攻击检测、解除认证洪水攻击检测、DNS放大攻击检测，LAND攻击检测，基于MDD3的局域网DDOS攻击[9]，畸形报文检测。检测出接入网段内恶意的攻击流量信息，并对攻击行为进行溯源。

4）基站扫描模块测试

（1）伪基站信号扫描功能

对周围5km范围内的所有2G基站和4G基站进行测试。测试方法为：伪基站搭建需要特殊的设备[10]，故在本次测试中，扫描周围的基站信息，在频谱图中分析基站所在范围，然后选择相应频段来对其中基站进行扫描。

（2）伪基站检测与定位功能

对周围5km范围内的所有2G基站和4G基站。测试方法为：伪基站搭建需要特殊的设备，故在本次测试中，扫描周围的基站信息，在频谱图中分析基站所在范围，然后选择相应频段来对其中基站进行扫描[11]。

3.2.2软件测试分析结论

通过对软件的测试分析可以得出以下结论：Wi-Fi信号搜索模块测试对Wi-Fi信号搜索功能进行了测试，地面站控制台与树莓派模块传输结果良好[12]，可以得到树莓派周围的Wi-Fi信号及强度，并按照信号强度强弱进行了排序显示。主机扫描模块可以成功扫描出当前网段中所有主机的IP地址、MAC地址和主机名，并存储他们以供以后扫描起来为后面进一步的扫描打下基础。端口扫描功能可以成功完成对用户选定的功能端口进行扫描，并将结果成功返回至地面站控制台。通过对攻击检测模块进行的ARP攻击检测测试、洪水攻击检测测试、LAND攻击检测测试、DNS放大攻击检测测试、DDOS攻击检测测试、异常数据包检测测试，测试到本系统具有很强的检测识别精度，在强负载工作条件下，虽然系统的性能有所下降，但系統的功能能够正确执行。通过基站扫描模块中的基站扫描功能，可以获得基站的频谱分析图，从而确定周围基站所处于的频段[13]，且可通过“说明”按钮来了解到关于GSM和LTE不同频段代表的含义，并可获得所扫描范围内所有基站的具体频率和信号强度信息。测试小结：本功能为自动化进行，无须多余的人为干预，将每个基站的LAC、CID、MNC值显示出来，并对其进行定位，根据自身所处环境确认是否为伪基站。

4结束语

上述研究依然存在许多局限性，在未来将采用更加灵活高级的飞行组件，并推出不同大小型号的飞行器以满足不同环境下的工作需求，增加对电波、网络信号等因素的组合，结合GPS、地图以及其他必要的地理因素，绘制出整个地区的电磁波信号安全图谱。另外在后期的工作当中，也将采用多元化的操作终端，加入安卓系统、iOS系统的手机操控终端以供使用者实时操作，对于计算机终端还将推出不同系统的版本，如Windows版本、OSX版本以及不同发行版本的Linux系统，不断找出现有方案的缺点，改进学习，确定方案的设计和实施。

参考文献：

[1] CharitakisI，AnagnostakisK，MarkatosE.An active traffic splitter architecture for intrusion detection[C]//11th IEEE/ACM International Symposium on Modeling，Analysis and Simulation of Computer Telecommunications Systems， Orlando，FL，USA.IEEE，2003：238-241.

[2] 刘高生.基于Q-Learning的无线传感器网络安全路由策略[D].天津：天津大学，2018.

[3] 罗毅侃.WLAN安全协议分析与防范攻击方法的研究[J].信息系统工程，2019（2）：76.

[4] 王文婷.无线钓鱼AP搜索定位及检测技术研究[D].西安：西安电子科技大学，2020.

[5] 邱松，焦健，张东阳.面向防火墙和IDS/IPS协同防御的策略冲突检测算法[J].系统仿真学报，2015，27（11）：2770-2777.

[6] 郝子強，肖博，李彦孚，等.视频跟踪四旋翼飞行器创新实验系统[J].科技资讯，2011，9（35）：15.

[7] 梁剑非.多线程端口扫描软件设计与实现[D].成都：电子科技大学，2011.

[8] 孙剑文，赵幸，刘胜利.面向用户流量行为分析的多攻击检测[J].信息工程大学学报，2020，21（3）：352-360.

[9] 韩长江.基于深度学习的物联网DDoS攻击流量检测算法设计与实现[D].济南：山东大学，2020.

[10] 孟曈.基于机器学习与可逆Sketch的DDoS攻击检测[D].西安：西安电子科技大学，2020.

[11] 张红英.超大空间坐标测量网络标靶基站及瞄准方法研究[D].合肥：合肥工业大学，2017.

[12] 康国敏.“伪基站”监测技术及监测网络构建的研究[D].成都：西华大学，2016.

[13] 朱磊，王鑫，刘屹，等.一种基于树莓派的无Wi-Fi视频采集传输方法[J].科学技术与工程，2020，20（6）：2312-2316.