办公WiFi被蹭网工具盯上：AC开WIDS攻击检测加动态黑名单自动反制

本文整理自华为官方发布的典型配置案例，按中小企业常见场景做了场景化梳理。

无线网络也有「踩点」

办公区无线用久了，偶尔会遇到怪事：某个 AP 前的用户频繁掉线、认证莫名失败。翻开日志可能发现是有人在用工具对无线网络做泛洪攻击、伪造报文，甚至暴力猜解无线密码。有线侧有防火墙把关，无线空口这一段同样需要一套探测和反制机制。华为 WLAN 官方提供的方案是 WIDS 攻击检测，再配合动态黑名单让设备自动还手。

能识别哪几类攻击

官方文档列出的检测面覆盖四类：泛洪攻击、弱向量攻击、欺骗攻击，以及针对 WPA-PSK、WPA2-PSK、WPA3-SAE、WAPI-PSK、WEP-SK 密钥的猜解攻击。开启检测后设备会记录攻击设备的信息；对泛洪和密钥猜解这两类，配置动态黑名单功能后，攻击设备会被自动加入黑名单，其后续所有报文直接丢弃。

配置走一遍

官方步骤先在射频下使能攻击检测，支持 AP 组射频（对组内全部 AP 生效）和单 AP 射频两种粒度，AP 射频优先级更高。以 AP 组为例：

[AC-wlan-view] ap-group name group-name
[AC-ap-group-group-name] radio radio-id
[AC-ap-group-group-name-radio-radio-id] wids attack detect { all | flood | weak-iv | spoof | wpa-psk | wpa2-psk | wapi-psk | wep-share-key | wpa3-sae } enable

官方缺省值值得记一下：AP 组射频下泛洪、弱向量、欺骗检测默认关闭，密钥猜解检测默认开启；AP 射频下则全部默认关闭。按需选择检测类型，不必一律 all。

检测参数在 WIDS 模板里调。以泛洪检测为例，官方缺省配置是：检测周期 10 秒，阈值 500，检测到攻击后上报 AC 的静默时间 600 秒：

[AC-wlan-view] wids-profile name default
[AC-wids-profile-default] flood-detect interval interval
[AC-wids-profile-default] flood-detect threshold threshold
[AC-wids-profile-default] flood-detect quiet-time quiet-time-value

弱向量与欺骗攻击也有各自的静默时间参数，缺省同为 600 秒，可按环境微调。

落地提醒

一是检测类型按需开启，办公区周边有大量邻居无线信号时，欺骗检测的告警要结合现场判断，避免误伤正常终端；二是动态黑名单自动生效，处置无感知，但定期回看攻击记录能发现踩点规律，配合门禁与访客管理效果更好；三是无线密码策略本身仍是根基，高强度的认证加密加上攻击检测才是完整防线。

无线网络安全加固、办公区 WLAN 巡检与优化，贵州诚鑫致达科技提供上门实施服务，欢迎留言或私信咨询。

（来源：华为 WLAN AC 官方文档《配置 WIDS 攻击检测和动态黑名单》，命令与注意事项以官方文档为准）

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。