无线安全的底线
无线信号的覆盖范围不受建筑边界约束，任何在信号范围内的设备都可能尝试接入。因此工业无线的安全底线是默认不信任：接入要认证、传输要加密、权限要分级，并对所有无线入口做审计。相比有线，无线的边界更难界定，配置疏漏的后果也更直接。
基本信息
| 认证要求 | 设备接入必须基于凭据，禁止开放或仅凭弱口令的认证 |
|---|---|
| 加密要求 | 链路加密使用当前推荐的强加密方式，禁用已淘汰的旧算法 |
| 准入控制 | 集中管理身份与凭证，实现设备白名单与自动隔离 |
| 网络隔离 | 无线接入网段与生产控制网段之间设置策略与访问控制 |
| 管理面安全 | 限制管理接口来源、修改默认凭据、关闭无用服务 |
| 审计要求 | 记录接入、认证失败与配置变更，便于事后追溯 |
典型使用场景
- 车间部署无线接入，需要确定安全配置基线
- 排查是否存在未授权设备接入无线网络
- 接入点交付前做安全加固与默认配置整改
- 设计无线与生产网之间的隔离与访问策略
- 应对合规审计，需要提供接入与变更记录
- 处理曾经出现过的无线侧异常接入事件
安全基线检查
安全基线检查
禁用开放认证与旧加密方式 # 弱加密几乎等同于不加密
使用集中身份与证书管理 # 避免共享口令长期不变
限制管理接口的来源地址 # 管理面不要暴露给接入网
修改默认凭据并关闭无用服务 # 默认配置是常见入口
设置无线与生产网的访问策略 # 二层隔离不等于三层隔离
开启接入与认证失败日志 # 没有日志等于无法追溯安全要点与风险
| 要点 | 不到位时的风险 | 基本做法 |
|---|---|---|
| 接入认证 | 未授权设备可接入网络 | 使用凭据或证书认证 |
| 链路加密 | 无线数据可被截获解读 | 启用当前推荐的强加密 |
| 准入控制 | 设备擅自入网难以发现 | 集中管理凭据并建立白名单 |
| 网络隔离 | 从无线侧可直达控制网 | 部署访问控制与分区策略 |
| 管理面加固 | 设备配置被篡改 | 限来源、改凭据、关服务 |
无线安全配置要与有线侧策略配套。仅做二层隔离而缺少三层访问控制时，一旦有设备接入无线网段，仍可能到达控制网段中的目标设备。
现场常见的薄弱环节是调试期间临时开放的接入没有被收回：为方便调试设置的免认证入口长期留在配置里，成为稳定存在的通道。变更应记录并定期复核。
无线接入点的初始凭据与默认管理端口是最容易被利用的入口，交付前必须完成加固。未修改默认凭据的接入点，等于把网络设备的配置权交给任何在场人员。