| 确认特征 | Deauth 帧源 MAC 不属于本网 AP；形成周期性广播 |
|---|---|
| 定位手段 | 监视模式抓包看源 MAC 与目标；结合控制器告警与 WIDS |
| 处置 | 开启管理帧保护（PMF 可防护部分伪造）、定位并移除干扰设备 |
| 合规 | 怀疑恶意攻击时保留证据并走安全流程 |
抓包过滤
抓包过滤
wlan.fc.type_subtype == 0x0c # Deauthentication
wlan.fc.type_subtype == 0x0a # Disassociation802.11w/PMF 对伪造管理帧有抑制作用，企业网络建议开启。