WIDS 与 WIPS 的作用
无线入侵检测与防御系统把无线侧的安全事件纳入监控：仿冒热点、取消认证报文洪泛、异常扫描探测、针对加密的破解尝试等。检测能力依赖射频覆盖，通常由 AP 内置的扫描射频或专用传感器提供；防御（即主动反制）则在检测基础上采取干扰或其他对抗动作，实际项目中需谨慎启用。
基本信息
| 检测对象 | 取消认证洪泛、仿冒热点、异常探测与破解尝试 |
|---|---|
| 部署方式 | AP 内置扫描射频，或独立的专用传感器 |
| 覆盖前提 | 检测能力依赖射频覆盖，盲区内无法发现 |
| 反制能力 | 告警与定位为主，主动反制需谨慎评估 |
| 误报治理 | 需先建立误报基线再调整策略 |
典型使用场景
- 安全监控：发现仿冒热点与异常接入行为
- 故障关联：解释无线大面积掉线是否来自取消认证洪泛
- 合规要求：满足对无线侧安全监控的审计要求
- 事件响应：为安全事件提供无线侧的取证线索
- 资产核对：与资产库比对发现未登记接入点
- 方案设计：确定传感器点位与覆盖盲区
建设步骤
建设步骤
# 1. 先完成检测覆盖，补齐传感器点位与盲区
# 2. 运行一段时间建立误报基线，确认告警可用
# 3. 明确告警处置流程与责任人，形成闭环
# 4. 再评估是否启用任何自动反制功能检测与防御对照
| 能力 | 动作 | 注意事项 |
|---|---|---|
| 检测 | 识别异常无线事件 | 依赖射频覆盖 |
| 告警 | 推送事件与位置信息 | 需有处置流程 |
| 定位 | 缩小事件发生的物理范围 | 与资产库联动 |
| 反制 | 主动干扰或隔离 | 需确认合规要求 |
主动反制可能违反当地无线电管理规定，也可能误伤相邻网络。企业环境通常只启用检测与告警，把处置动作交给人工确认后执行。