Пункт 7.14 приложения 3 к ПТКЗИ: обнаружение и предотвращение вторжений в беспроводных сетях

Смысл требования

Пункт 7.14 приложения 3 к ПТКЗИ – практический разбор требования «защита беспроводных сетей». Пункт 7.14 посвящён защите Wi-Fi и других радиоканалов. Беспроводной сигнал выходит за пределы помещения, поэтому попытка подключения возможна без физического доступа к кабелю и сетевой розетке.

Требование не сводится к паролю на точке доступа. Необходимо выявлять несанкционированные точки, поддельные корпоративные сети, неизвестных клиентов, попытки подбора реквизитов и нарушения изоляции.

Практический смысл прост: организация должна знать, какие беспроводные сети работают рядом с ИС, какие устройства к ним подключаются и не пытается ли посторонняя точка выдать себя за корпоративную.

Формулировка требования

Приложение 3 к Положению о порядке технической и криптографической защиты информации, пункт 7.14: «обеспечение обнаружения и предотвращения вторжений в информационной системе при использовании в ней беспроводных каналов передачи данных (Wi-Fi и (или) др.)».

Фраза «при использовании» связывает требование с фактическим наличием беспроводных каналов. Если они отсутствуют, это состояние следует подтвердить схемами, обследованием и запретом самостоятельного подключения точек доступа.

Гостевой Wi-Fi также требует анализа: его название не гарантирует изоляцию от защищаемой сети.

Обязательность применения

Требование обязательно для классов 3-ин, 3-спец, 3-бг, 3-юл и 3-дсп. Для классов 4-ин, 4-спец, 4-бг, 4-юл и 4-дсп оно является рекомендуемым.

Охват включает точки доступа, контроллеры, беспроводные терминалы, радиомосты, модемы и иные беспроводные интерфейсы активов.

Если Wi-Fi запрещён, необходимо контролировать его отсутствие, поскольку пользователь может подключить бытовой роутер или включить точку доступа на ноутбуке.

Какие угрозы характерны для беспроводных каналов

Радиосреда создаёт угрозы, которые не полностью видны обычному межсетевому экрану.

• Несанкционированная точка. Бытовой роутер подключается к корпоративному порту.
• Злой двойник. Поддельная сеть имитирует корпоративный SSID и перехватывает реквизиты.
• Общий пароль. Нельзя определить конкретного пользователя и быстро отозвать доступ.
• Неизвестный клиент. В сеть попадает личное или скомпрометированное устройство.
• Устаревшее шифрование. Слабые режимы облегчают перехват и подбор.
• Атаки отключения. Поддельные управляющие кадры нарушают работу клиентов.
• Выход сигнала за контролируемую зону. Атака возможна снаружи здания.
• Беспроводной мост. Устройство соединяет внутреннюю сеть с внешним радиоканалом.

Следует учитывать аппаратный идентификатор точки, канал, тип шифрования, производителя, местоположение и поведение клиентов, а не только имя SSID.

Особое внимание требуется временным мероприятиям, подрядчикам и переговорным комнатам, где чаще появляются мобильные маршрутизаторы.

При анализе угроз необходимо учитывать не только корпоративные точки доступа. Радиомодули могут присутствовать в принтерах, терминалах, системах видеонаблюдения, технологическом оборудовании и ноутбуках. Даже неиспользуемый интерфейс создаёт риск, если его можно включить локально или после обновления.

Отдельная проблема – автоматическое подключение клиентского устройства к ранее известному имени сети. Если сотрудник когда-либо использовал сеть с тем же SSID, поддельная точка может попытаться получить соединение без явного выбора пользователя. Поэтому одной проверки имени сети недостаточно.

Как организовать обнаружение и предотвращение

Централизованный контроллер может выполнять функции WIDS/WIPS, а в небольшой системе допустимы сенсоры и регулярное радиообследование.

• Утвердить перечень точек. Зафиксировать модель, адрес, SSID, место и назначение.
• Применять индивидуальную аутентификацию. Предпочтительны учётные записи и сертификаты.
• Разделять сегменты. Гостевые и технологические сети не должны находиться в доверенном контуре.
• Контролировать эфир. Выявлять новые SSID, поддельные сети и подозрительные сигналы.
• Ограничивать покрытие. Мощность и размещение должны соответствовать необходимой зоне.
• Обновлять точки и контроллеры. Прошивки входят в общий процесс обновлений.
• Передавать события в мониторинг. Критичные срабатывания получают ответственного.
• Проверять проводные порты. Несанкционированная точка должна быть быстро локализована.

Автоматическую активную блокировку следует настраивать осторожно, чтобы не воздействовать на чужие сети за пределами контролируемой территории.

Если WIPS только обнаруживает, процесс реагирования должен обеспечивать физический поиск, отключение точки и проверку затронутых клиентов.

Для корпоративного доступа предпочтительно использовать индивидуальную аутентификацию через 802.1X, RADIUS и сертификаты. В этом случае увольнение сотрудника или потеря устройства не требует менять общий пароль для всей организации: достаточно отозвать конкретную запись или сертификат.

Результаты радиообследования полезно наносить на план помещений. Это позволяет определить зоны слабой видимости сенсоров, избыточный выход сигнала наружу и места, где несанкционированная точка может долго оставаться незамеченной.

Что следует подтвердить при проверке

Проверка должна показать связь между нормативным требованием, документами и фактической технической реализацией.

• Схема беспроводной сети с точками, контроллерами, сегментами и связями.
• Реестр разрешённых точек и результаты сопоставления с эфиром.
• Настройки аутентификации и шифрования.
• Изоляция гостевой и технологической сети.
• Политики WIDS/WIPS и область видимости сенсоров.
• Последние события и действия ответственных.
• Отчёты радиообследования.
• Тест появления неразрешённой точки.

Лучше готовить не отдельные случайные скриншоты, а связанный набор доказательств: утверждённое правило, конфигурацию, журнал или отчёт и пример обработки отклонения.

Выборка должна охватывать разные типы активов и реальные сценарии. Один корректно настроенный узел не подтверждает выполнение требования во всей установленной границе.

При проверке полезно сопоставить данные контроллера с реальным обходом помещений. Централизованная консоль показывает только то, что видят её сенсоры, поэтому физическое обследование остаётся важным способом выявления слепых зон и автономных устройств.

Следует показать, как обрабатывается обнаруженный неизвестный клиент: блокируется ли доступ, определяется ли порт проводной сети, создаётся ли задача ответственному и проверяется ли устройство на принадлежность организации.

Полезно дополнительно показать эксплуатационные показатели: количество обнаруженных неизвестных точек и клиентов, время их проверки, число слепых зон и дату последнего радиообследования. Такие показатели подтверждают, что контроль беспроводной среды выполняется регулярно, а не только демонстрируется перед проверкой.

Что закрепить в ТЗ, ЛПА и ОРД

Документы должны устанавливать устойчивый порядок, который сохраняется после замены конкретного продукта или оборудования.

• Допустимые беспроводные технологии и области использования.
• Требования к индивидуальной аутентификации и шифрованию.
• Порядок регистрации и изменения точек доступа.
• Сегментирование гостевых и технологических сетей.
• Периодичность контроля эфира.
• Реагирование на неизвестные точки и клиентов.
• Запрет личных точек доступа.
• Журналирование и сроки хранения событий.

Технические команды и снимки интерфейсов лучше оставлять в эксплуатационных инструкциях, а в ЛПА фиксировать роли, сроки, критерии и ожидаемый результат.

Для временных исключений необходимо указывать владельца, основание, компенсирующие меры и дату обязательного пересмотра.

Необходимо определить порядок использования личных мобильных устройств. Разрешение BYOD без отдельной сети, проверки состояния и ограничений доступа фактически расширяет доверенную зону на устройства, которыми организация не управляет.

Типичные ошибки

• Общий пароль для всех пользователей.
• Гостевая сеть имеет маршрут во внутренний контур.
• Контролируется только корпоративный SSID.
• Сенсоры не охватывают часть помещений.
• Точки доступа не обновляются.
• Личные точки запрещены только на бумаге.
• События WIPS не разбираются.

Большинство ошибок возникает, когда мера формально описана, но не охватывает часть активов или не приводит к действиям. Исправление следует начинать с инвентаризации фактического состояния и устранения разрыва между документами и эксплуатацией.

Исправление начинается с радиообследования и сопоставления всех обнаруженных устройств с утверждённым перечнем.

Ещё одна ошибка – использовать один и тот же сертификат или учётную запись на нескольких устройствах. При компрометации невозможно определить источник и точечно отозвать доступ, не затрагивая остальных пользователей.

Связанные материалы

• Пункт 7.13: обнаружение и предотвращение вторжений.
• Пункт 7.12: межсетевое экранирование.
• Пункт 7.16: контроль внешних подключений.

Вывод

Пункт 7.14 требует контролировать беспроводную среду, а не только настроить пароль на точке доступа.

Рабочая реализация включает безопасную аутентификацию, сегментирование, наблюдение эфира, обнаружение неизвестных клиентов и понятное реагирование.

Главное доказательство – организация видит появление несанкционированной точки или поддельной сети и способна быстро ограничить воздействие.

Нормативная основа

• Приказ ОАЦ № 66 от 20.02.2020 в действующей консолидированной редакции – приложение 3, пункт 7.14. Официальный источник.

При применении материала необходимо учитывать присвоенный класс ИС, фактические границы, используемые технологии и решения, закреплённые в техническом задании.