企業無線安全評估：完整方法論框架

企業無線安全評估涵蓋六個依序階段：被動偵查、惡意 AP 偵測、WPA2/WPA3 握手分析、PMF 驗證、客戶端隔離測試與 EAP/RADIUS 評估，必須在取得書面授權後才能執行。

企業無線安全評估並非只是詢問「我們能否破解密碼」。一份完整的評估需要檢視無線架構的每一層：身份驗證協定的強度、管理幀保護的完整性、授權 AP 清單的準確性、訪客區段的客戶端隔離穩健性，以及 802.1X 基礎設施對抗惡意 RADIUS 攻擊的抵禦能力。

本框架涵蓋由專業滲透測試團隊在企業環境中實踐的完整評估生命週期，共分為六個依序進行的階段——範疇界定與前置作業、被動偵查、惡意 AP 偵測、WPA2/WPA3 握手分析、PMF 驗證、客戶端隔離測試，以及 EAP/RADIUS 評估——並附有報告範本與工具參考資料。每個階段均設計為搭配 ALFA Network 無線網卡執行，其提供了企業級無線測試所需的監聽模式穩定性、封包注入能力與多頻段覆蓋。

無論您是委託年度無線稽核的 CISO、準備評估的內部紅隊，或是正在承接新企業客戶的外部滲透測試公司，本框架均提供可重複、可驗證的方法論。

範疇界定與前置作業要求

#

任何無線評估的品質，在第一個封包被擷取之前便已決定。範疇界定不當的委託案件浪費時間、產生法律風險，並導致發現的問題無法歸因於特定基礎設施。一份結構完善的範疇文件能消除歧義，同時保護測試團隊與客戶雙方。

範疇文件必備內容

#

範疇文件至少須列舉：

• 所有受測 SSID，包括企業 SSID、訪客 SSID、IoT 專用 SSID，以及網路團隊已知的任何隱藏網路
• 使用中的頻段：2.4 GHz、5 GHz 與 6 GHz（Wi-Fi 6E）——每個頻段可能呈現不同的 AP 型號、驅動程式行為與安全設定
• 實體範圍：建築或園區地圖，附有樓層平面圖標示已知 AP 位置，對於鄰近 SSID 可能出現在掃描結果中的多租戶建築尤為重要
• 授權 AP 清單：每台合法存取點的 MAC 位址（BSSID）清單，作為惡意 AP 偵測的基準
• 授權書，由 CISO、CTO 或被授權的資產擁有者簽署，明確涵蓋測試時間窗口（開始與結束日期/時間）、測試團隊成員姓名，以及已授權的具體活動（被動掃描、主動注入、解除認證、惡意 AP 模擬）

預設不在範疇內

#

除非以書面明確納入，下列項目始終不在範疇內：

• 客戶端設備：連接至無線網路的筆記型電腦、行動電話與 IoT 端點。客戶端攻擊（透過惡意 RADIUS 竊取憑證）僅可在指定測試設備上執行，絕不可針對正式使用者設備
• 訪客網路使用者：連接至公開訪客 SSID 的個人，並無預期成為安全測試對象
• 相鄰網路：共用建築中鄰近租戶的 SSID，即便在被動掃描中可見

法律提醒

#

第一階段：被動偵查

#

目標

#

被動偵查在不發送任何一個位元組的情況下，建立無線環境的基礎事實。其目標包括：

• 識別範圍內廣播的每一台 AP，包括授權 AP 清單以外的設備
• 記錄 SSID、BSSID、工作頻道、訊號強度與安全設定（加密類型、PMF 狀態）
• 透過探測回應偵測隱藏 SSID
• 識別可能影響測試可靠性的同頻道與相鄰頻道干擾

在被動偵查期間，請勿注入、請勿解除認證、請勿發送任何封包。本階段完全僅限監聽。

工具

#

airodump-ng 適合快照掃描與握手擷取。若需要包含更豐富元資料的連續記錄，建議使用 Kismet——它能產生可匯入報告工具的結構化日誌，並能隨時間將探測請求與設備身份相互關聯。

# Passive scan across all bands — DO NOT inject or deauth during recon
sudo airodump-ng wlan0mon --band abg -w enterprise_recon

# Kismet for comprehensive, continuous logging
sudo kismet -c wlan0mon

Kismet 會同時寫入 .kismet SQLite 資料庫檔案與 .pcapng 擷取檔，提供貫穿整個評估窗口的持久記錄。

應記錄的項目

#

針對每台發現的 AP，記錄以下資訊：

推薦網卡

#

• AWUS036AXML — 三頻（2.4/5/6 GHz），偵測運作於 6 GHz 頻道的 Wi-Fi 6E AP 時不可或缺。在部署 Wi-Fi 6E 基礎設施的現代企業環境中為必要設備
• AWUS036ACH — 雙頻（2.4/5 GHz），採用可靠的 RTL8812AU 晶片組，適合 6 GHz 尚未使用、且需要最大程度相容現有工具的環境

第二階段：惡意 AP 偵測

#

惡意存取點（Rogue AP）是指在您的環境中運作、但不在授權 AP 清單中的任何 AP。以下兩種類型在實務上最為關鍵：

1. 連接至內部網路的未授權 AP — 出於善意的員工接上消費級路由器，或取得實體存取權限的攻擊者在乙太網路端口安裝隱藏 AP。這類 AP 接入您的內部網路，繞過所有邊界控制。
2. Evil Twin AP — 廣播看似合法的 SSID（與企業 SSID 相同或極為相似）的 AP，由攻擊者操控以竊取憑證或執行中間人攻擊。這類 AP 通常未連接至您的網路。

偵測方法

#

將被動偵查所得的 BSSID 清單，與範疇界定階段提供的授權 AP 清單進行比對。任何廣播企業 SSID 但不在清單中的 BSSID，均為惡意 AP 候選項目。

# Filter scan output for corporate SSID to isolate all APs broadcasting it
sudo airodump-ng wlan0mon | grep "CorporateSSID"

# Compare discovered BSSIDs against authorized list (example using diff)
# Save airodump BSSID column to discovered.txt, authorized list to authorized.txt
diff <(sort discovered.txt) <(sort authorized.txt)

出現在 discovered.txt 但不在 authorized.txt 中的任何 BSSID，均為一項發現。

基於解除認證的偵測（如已授權）

#

若解除認證已明確納入範疇，可利用客戶端重新連線行為，判斷惡意 AP 是否連接至內部網路：對可疑 AP 上的客戶端執行解除認證，觀察客戶端是否重新關聯至同一 SSID 的合法 AP。若客戶端順暢漫遊，惡意 AP 可能共用相同的後端網路；若客戶端無法重新連線，則惡意 AP 極可能是獨立的（Evil Twin 情境）。

WIDS 驗證

#

若組織已部署無線入侵偵測/防禦系統（WIDS/WIPS），本階段應包含受控測試，以驗證 WIDS 能在可接受的時間窗口內偵測到測試用惡意 AP。使用非清單內的 MAC 位址部署一台廣播企業 SSID 的測試 AP，並測量偵測延遲。偵測窗口超過 60 秒代表覆蓋範圍存在明顯缺口。

第三階段：WPA2/WPA3 握手分析

#

WPA2：四向握手擷取

#

擷取 WPA2 四向握手，可離線驗證網路密語是否符合組織的密碼複雜度政策。這並非將密語破解作為委託目標——而是合規驗證：使用一般商用硬體的攻擊者，能否在合理時間內破解所擷取的雜湊值？

# Target specific AP on channel 6 and write capture to file
sudo airodump-ng -c 6 --bssid AA:BB:CC:DD:EE:FF -w handshake wlan0mon

# Convert captured .cap to hashcat format for offline audit
hcxpcapngtool -o hash.hc22000 handshake-01.cap

將產生的 .hc22000 雜湊值提交給離線密碼稽核工具，使用組織核准的字典與規則集進行測試。若密語能透過常見密碼清單（rockyou、公司名稱變體、鍵盤走位）被破解，應依據該 SSID 的網路存取層級，回報為中級或高級發現。

WPA3：SAE 與過渡模式

#

WPA3 使用等值同步驗證（Simultaneous Authentication of Equals，SAE），提供前向保密性，且能抵禦離線字典攻擊。然而，許多組織為維持與 WPA2 客戶端的相容性，部署了 WPA3 過渡模式——此模式同時接受 SAE 與 PSK 驗證。測試攻擊者是否能透過為相同 SSID 廣播僅支援 WPA2 的 Beacon 幀，迫使 WPA3 客戶端降級至 WPA2；若降級成功，為高級發現。

更多 WPA3 專項測試的詳細資訊，請參閱我們的 WPA3 安全測試指南。

第四階段：PMF（受保護管理幀）測試

#

PMF 的重要性

#

802.11w 受保護管理幀（PMF）能防止解除認證與解除關聯攻擊。若無 PMF，攻擊者可向任何客戶端發送偽造的解除認證幀，強制中斷連線，從而實現握手擷取、透過惡意 AP 竊取憑證，或單純的阻斷服務攻擊。PMF 在 WPA3 中為強制要求，在 WPA2 中為可選（但強烈建議啟用）。

測試程序

#

對每個受測 SSID 下的測試客戶端嘗試解除認證攻擊，結果將揭示 PMF 是否已強制執行：

# Attempt deauthentication flood against AP
sudo aireplay-ng --deauth 10 -a AA:BB:CC:DD:EE:FF wlan0mon

# If connected test client disconnects: PMF NOT enforced — reportable finding
# If test client remains connected: PMF enforced — pass

此測試務必僅針對指定的測試設備執行，絕不可針對正式客戶端。

PMF 狀態報告

#

記錄每個 SSID 的 PMF 執行等級：

任何 SSID 停用 PMF 至少為中級發現。企業 SSID 停用 PMF 且可存取內部資源時，為高級發現。PMF 測試方法論的完整詳情，請參閱我們的封包注入指南。

第五階段：客戶端隔離測試

#

訪客網路隔離

#

訪客 SSID 必須強制執行客戶端隔離——即一個訪客客戶端無法直接與另一個訪客客戶端通訊。若無隔離，訪客網路上的惡意人士可對其他訪客執行 ARP 毒化、LLMNR/NBT-NS 欺騙或直接攻擊。

測試程序：

1. 將兩台專用測試設備（非正式使用者設備）連接至訪客 SSID
2. 從設備 A，嘗試 ICMP ping 設備 B 的 IP 位址
3. 從設備 A，嘗試對訪客子網段執行 ARP 掃描

若訪客 SSID 的客戶端隔離失效（測試設備間 ping 成功），為高級發現。

訪客網路與內部網路隔離

#

驗證訪客網路無法存取內部網路範圍：

# From a test device on guest SSID, ARP scan the internal network range
sudo arp-scan -l --interface wlan0
# Zero responses from internal range = pass
# Any response from internal range = Critical finding

此外，嘗試解析內部主機名稱的 DNS，以及直接對內部管理介面（SSH、HTTP 管理面板）建立 TCP 連線。任何從訪客區段成功連接至內部基礎設施的情況，均為嚴重發現。

第六階段：EAP/RADIUS 評估（企業 SSID）

#

802.1X 身份驗證與惡意 RADIUS 攻擊

#

WPA2-Enterprise 與 WPA3-Enterprise 使用 802.1X EAP 身份驗證，客戶端向 RADIUS 伺服器進行認證。關鍵安全控制為伺服器憑證驗證：每個客戶端在提交憑證前，必須驗證 RADIUS 伺服器的憑證。若客戶端不驗證憑證，攻擊者可部署配備惡意 RADIUS 伺服器的惡意 AP，竊取 NTLMv2 雜湊值或 EAP 憑證。

測試程序

#

使用 hostapd-wpe 部署惡意 AP，設定為企業 SSID。這將建立一個由惡意 RADIUS 伺服器支援的 802.1X 能力 AP，並記錄所有認證嘗試：

# Install hostapd-wpe
sudo apt install hostapd-wpe

# Configure with the corporate SSID and appropriate channel
# Edit /etc/hostapd-wpe/hostapd-wpe.conf with target SSID/channel details
sudo hostapd-wpe /etc/hostapd-wpe/hostapd-wpe.conf

# Monitor for captured credential hashes in the output

嚴重發現： 若任何客戶端（包括曾連接至正式 802.1X SSID 的測試客戶端）在未顯示憑證警告的情況下連接至惡意 RADIUS，或使用者接受憑證警告後憑證遭到擷取，此為嚴重發現。這表示客戶端未強制執行憑證綁定或適當的憑證鏈驗證。

補救措施： 透過 MDM（行動裝置管理）設定檔部署憑證綁定，指定確切的 RADIUS 伺服器憑證或發行 CA。確保終端使用者接受拒絕非預期憑證提示的意識培訓。

評估工具參考資料

#

以下工具涵蓋完整的企業無線評估工作流程，均與 ALFA Network 無線網卡的監聽模式相容。網卡設定說明，請參閱我們的在 Kali Linux 上啟用監聽模式指南。

報告範本

#

執行摘要

#

執行摘要應讓沒有無線安全背景的 CTO 或 CISO 也能閱讀。必須包含：

• 整體風險等級：嚴重 / 高 / 中 / 低——依最高確認發現嚴重程度推導
• 各嚴重等級的發現數量
• 合規缺口說明：參照相關標準（PCI-DSS 4.0 需求 11.2、ISO/IEC 27001 A.13.1、NIST 800-153），以及受評估的無線環境是否符合這些要求
• 即時行動項目：需在下一個工作日前完成補救的發現

發現清單

#

所有技術發現應以標準化表格呈現，將每項發現對應至嚴重程度、受影響基礎設施，以及具體的補救建議：

無線發現嚴重程度定義

#

相關資源

#

• 封包注入指南：使用 aireplay-ng 測試您的 WiFi 網卡
• WPA3 安全測試（使用 ALFA 網卡，2026）
• 在 Kali Linux 上啟用監聽模式

參考來源

#

1. aircrack-ng 官方文件
2. Wi-Fi Alliance WPA3 規範
3. IEEE 802.11w 受保護管理幀標準
4. NIST SP 800-153 無線安全指南
5. Kismet 無線偵測工具