政府WLAN安全防护解决方案
一. 需求分析
1. 安全场景
| 场景 | 现状 | 误区 |
| 政府办公机构（涉密单位）等 | 未部署WiFi | 没有WiFi，没有无线安全问题 |
| 政务服务、非涉密环境等 | 已部署WiFi | 已经有防火墙、入侵检测、防病毒，就能保护WiFi |
2. 存在风险
A. 涉密单位/无线安全风险
a) 有线➔无线泄密风险：涉密办公电脑保存机密数据，某员工在该机接入wifi共享；被中间人攻击，造成涉密环境网络隔离边界被破坏，造成信息失窃。
b) 文件➔无线泄密：打印/复印机一般用于处理涉密资料；某员工开启了无线打印/复印功能，导致机密信息被攻击者嗅探，造成信息失窃；
B. 政务服务/非涉密环境安全风险
a) wifi钓鱼风险：阻止合法无线连接，诱骗合法无线终端连接到伪造热点，窃取数据。
b) 非法连接安全风险：窃取或伪造合法身份接入无线办公网络；窃取办公或个人数据。
3. 无线上网需求
A. 为政务中心的移动办公提供高速无线数据传输。
B. 为员工、客户提供连接互联网的无线便捷服务。
C. 通过无线推送政务综合资讯，提升服务效率和用户满意度。
二. 解决方案
1. 合规性依据
A. 《等保2.0第三部分 移动互联扩展要求》
a) 网络架构：
«无线接入设备应开启接入认证功能
b) 入侵防范：
«应能够检测、记录非授权无线接入设备；
«应能够对非授权移动终端接入的行为进行检测、记录；
«应具备对针对无线接入设备的网络扫描、DoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录；
«应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态
2. 安全无线体系构建
A. 组网架构
a) 涉密单位的安全无线系统部署
涉密单位的部署模式 
b) 政务服务/非涉密环境的安全无线系统部署
政务服务/非涉密环境部署模式
B. 核心安全功能
a) 对涉密单位提供7*24小时全环境监测，任何在环境内运行的无线热点都将被阻止；并通过可视地图、短信、微信、邮件发出及时告警；
b) 政务服务、非涉密环境的WLAN，将依据不同场景对安全风险的防范要求，制定精确无线攻击防御策略；攻击一旦发生，防御将自动启动，并通过可视地图、短信、微信、邮件发出及时告警；
c) 安全管理者能够通过全方面风险统计、分析、多维度数据可视化展示，来判断出环境所面临的主要安全风险；
d) 通过定期或随机、固定或移动的安全检查，输出的无线安全报告，帮助安全管理者清理非法无线设备、优化无线环境，并有效提升系统安全运行能力。
C. 政务服务、非涉密WLAN安全建议
a) 在AP中对无线终端进行有效二层隔离；
b) 在AP中开启抗拒绝服务能力；
c) 开启WPA2-企业加密认证提升政务服务、非涉密WLAN环境安全性；
d) 使用身份认证（短信、微信等实名认证）提升政务服务、非涉密WLAN环境安全性；
D. 无线终端安全建议
a) 使用防病毒、防黑客软件加强连接政务服务、非涉密WLAN无线终端的安全性
b) 加强政务服务、非涉密WLAN无线终端APP软件的管理，避免出现应用漏洞；
E. 一体化安全建议
a) 结合防火墙、IDS、IPS等安全设备，与无线安全系统构成无线有线一体化安全防线。
F. 无线接入、认证功能
a) 支持在政务服务、非涉密WLAN中提供千兆无线高速上网体验；
b) 提供丰富、便捷的多种身份认证方案，支持wpa2-企业radius服务，AD域、本地账户、微信、短信、二维码、无感知认证；并提供页面信息推送。
G. 方案优势
a) 安全、接入一体化融合；旁挂部署，有效降低系统部署、配置难度，提升管理效率；
b) 同时支持第三方WLAN系统7*24小时持续、稳定、可靠的分布式防护能力；
c) 有效检测和防御：非法连接、中间人、wifi钓鱼、拒绝服务、暴力破解等超过百种无线安全事件；
d) 隐身监控模式，有效杜绝针对防御系统自身的攻击行为发生；
e) 按计划、或随机、或突发等情况，对WLAN的运行和安全状态进行快速、有效的移动式检查、评估，并输出全面的检查报告；
f) 丰富、便捷的无线用户身份认证能力，有效降低未授权访问导致的安全事件发生；
g) 在用户无线接入时推送政务资讯和办事信息，提升政府政务服务效率。
三. 系统建设
1. 产品推荐
| 产品 | 数量 | 应用场景 |
| 无线探针（室内型） | 1:2或1:3（探针:AP比例） | 涉密/政务服务 |
| 无线探针（室外型） | 1:2或1:3（探针:AP比例） | 涉密 |
| 无线AP（室内型） | 注 | 政务服务 |
| 无线AP（室外型） | 注 | 政务服务 |
| 安全无线控制器 | 1注 | 涉密/政务服务 |
| 用户身份认证系统 | 1注 | 政务服务 |
| 无线安全合规扫描器 | 1注 | 涉密/政务服务 |
注：数量、型号由系统规模确定
2. 部署方案
| 场景 | 探针部署 | 防御范围（半径）（与建筑结构有关） | 安全无线控制器 |
| 涉密单位 | 涉密区域、走廊、室外等 | 20～30米/台(室内) | 旁挂核心交换机 |
| 广场 | 80～100米/台(室外) | ||
| 政务服务/非涉密环境 | 服务大厅、办公、会议等 | 20～30米/台(室内) | 旁挂核心交换机 |
注：AP根据用户数量、应用、环境格局等综合评估
