無線網絡安全審計包含哪些項目？

審計目標：驗證邊界，而非測試速度

無線網絡的特點是傳輸媒介不受牆身限制，訊號會越過公司範圍向外擴散，因此其安全邊界並非由實體門鎖界定，而是由加密、認證與網絡分隔三項設定共同構成。安全審計要回答的核心問題只有三條：未獲授權的人能否連上、連上之後能到達哪些系統、以及管理層面能否被外部接觸。

國際上的安全測試指引把工作分為檢視、識別與驗證三類技術：檢視是查看設定與文件，識別是探測環境中存在哪些裝置與服務，驗證則是實際確認某項控制是否有效。無線審計同樣按這個層次進行，先取得設定與拓撲文件，再實地掃描環境，最後針對可疑之處作有限度的驗證測試。

審計項目清單

當中網絡分隔與管理介面保護最常被忽略，卻是影響最直接的兩項：訪客網絡可到達內部系統，等於把外部人員置於內網之中；而管理介面可從無線側存取，則令攻擊者取得改動整個網絡設定的可能。分隔設計的實際做法可參考CCTV、門禁與無線的 VLAN 分隔。

執行流程

1. 取得書面授權——載明測試範圍、可涉及的網絡與設備、時間窗、禁止動作與緊急聯絡人，這是一切工作的前提。
2. 收集現有文件——取得網絡拓撲、接入點清單與位置、各無線網絡的用途與設定、防火牆規則。
3. 被動掃描環境——量測各處訊號強度與頻譜使用情況，記錄環境中所有可見的無線網絡與裝置。
4. 比對登記清單——把掃描結果與正式設備清單核對，找出未登記的接入點與可疑的同名網絡。
5. 檢視設定與基線——逐項核對加密、認證、功率、管理存取與記錄設定是否符合既定基線。
6. 驗證分隔有效性——在授權範圍內，由訪客網絡實測能否到達內部系統與管理介面。
7. 邊界實測——在公司範圍以外的走廊、大堂與鄰近位置實測可用性，確認訊號溢出程度。
8. 撰寫報告與跟進——按風險程度排序問題，列出具體改善措施與負責人，並安排複測確認已修正。

常見發現與改善方向

功率與覆蓋的調整需要實測數據支持，相關量測方式可參考無線網絡場地勘察與無線頻譜分析。

香港場景：共用樓層、工廈結構與資料責任

香港的辦公環境令訊號溢出成為審計中最常出現的發現。商廈同一樓層往往分租給多家公司，中間僅以間隔牆分隔，接入點若以最大功率運作，訊號會覆蓋鄰近單位、公共走廊與電梯大堂，任何人在該範圍內都能嘗試連接。工廈與倉庫則是另一種情況：空間大、金屬貨架與捲閘造成大量反射，訊號分布難以憑經驗預測，實測時經常在意料之外的位置（例如貨物裝卸區以外的公共通道）發現可用訊號。因此邊界實測不能省略，亦不能只靠設計圖推算。

另一個本地考慮是共用環境下的測試界線。在商廈進行掃描時，環境中必然出現大量屬於其他租戶的網絡；審計工作只可記錄其存在以評估干擾與同名風險，絕不可對這些網絡作任何連接或認證嘗試。授權文件應明確把測試對象限定為客戶自有設備，避免越界。

資料責任方面，若無線網絡承載客戶名單、交易記錄或員工資料，按《個人資料（私隱）條例》下的保障資料原則，資料使用者須採取切實可行的步驟防止資料受未經授權查閱；加密設定、網絡分隔與存取記錄正是實踐這項要求的基本措施。至於向客戶或訪客開放的網絡，另有其獨立的責任考慮，可參考訪客無線網絡的法律責任；而管理帳戶層面則建議一併啟用多重認證。

權威資料依據

本文核對資料：NIST SP 800-115（Technical Guide to Information Security Testing and Assessment）；Wikipedia：Wi-Fi Protected Access；Wikipedia：Wireless security；私隱專員公署 Six Data Protection Principles。

常見問題

相關主題