什么是非法 AP
非法 AP（Rogue AP）指未经批准接入企业网络的无线设备：员工私接的无线路由器、随手插上的随身热点、或是攻击者架设的仿冒热点。它们的危害不止是占用信道：私接设备通常由个人管理、口令简单、固件不更新，等于在企业内网边界上开了一个无人看守的门，还可能被当作跳板向内网渗透。
基本信息
| 发现手段 | AP 扫描周边无线信号，与有线侧端口学习结果比对 |
|---|---|
| 判定依据 | SSID 与企业名称相同但设备不在资产库中 |
| 主要风险 | 绕过安全边界、抢占信道、被当作内网跳板 |
| 处置流程 | 定位位置、切断端口、上报并纳入整改 |
| 协同部门 | 网络、物业管理与使用部门需共同处置 |
典型使用场景
- 合规检查：等保与内网安全审计要求具备检测能力
- 员工私接：办公位出现个人路由器导致内网暴露
- 仿冒热点：攻击者架设同名 SSID 诱导终端接入
- 会议室排查：临时投屏设备自带热点造成干扰
- 访客误接入：来访人员误将有线口接上自带电源设备
- 事件溯源：安全事件后确认是否存在未登记接入点
检测思路
检测思路
# 1. 用 AP 或专用射频扫描周边基本服务集
# 2. 匹配企业 SSID 但设备不在资产库，标记为疑似仿冒
# 3. 结合有线侧媒体访问控制地址学习结果定位交换机端口
# 4. 现场确认后断电或封禁端口，并登记处理结果类型与特征
| 类型 | 特征 | 处置侧重 |
|---|---|---|
| 私接路由器 | 自有 SSID，有线口直连内网 | 定位端口并封禁 |
| 随身热点 | 移动性强，信号忽强忽弱 | 以告警与教育为主 |
| 仿冒热点 | SSID 与企业一致，BSSID 陌生 | 优先处置，风险最高 |
| 未登记新 AP | 内部设备但未入资产库 | 补登记并核对授权 |
无线侧通常只能做到发现与定位，最终切断往往需要交换机侧配合或现场处理。把检测结果整理成带位置信息的工单，处置效率会明显提升。