Tại sao Wireless Security là ưu tiên số 1?
Khác với mạng dây (cần truy cập vật lý cổng switch), **mạng không dây phát sóng ra không gian** – bất kỳ ai trong phạm vi phủ sóng đều có thể thu nhận, tiêm gói tin, tấn công. Do đó, an ninh mạng không dây là **điều kiện tiên quyết** cho an ninh toàn hệ thống.
6 Rủi ro đặc thù của Wireless Network
| Rủi ro | Mô tả | Hậu quả |
|---|---|---|
| Eavesdropping (Nghe lén) | Thu gói tin plaintext hoặc weak encryption (WEP, WPA-TKIP). | Mật khẩu, email, tài liệu, session cookie bị đánh cắp. |
| Man-in-the-Middle (MitM) | Tấn công Evil Twin (Fake AP), ARP spoofing, SSL stripping. | Chèn mã độc, đổi nội dung giao dịch, credential harvesting. |
| Unauthorized Access (Truy cập trái phép) | Brute-force WPA2-PSK (PMKID attack), WPS PIN, KRACK, Dragonblood (WPA3). | Kẻ xấu vào mạng nội bộ → lateral movement, ransomware, data exfil. |
| Denial of Service (DoS/Deauth) | Gửi frame deauthentication/disassociation liên tục (802.11w chưa bật). | Mất kết nối, đình chỉ dịch vụ, che mắt cho tấn công khác. |
| Rogue Access Point | AP cài lén bởi insider hoặc attacker (USB Wi-Fi dongle, Pineapple). | Bypass perimeter firewall, bridge vào mạng LAN. |
| Client-side Attack | Khai thác lỗ hổng driver Wi-Fi, probe request tracking (MAC randomization bypass). | Remote code execution trên client, theo dõi vị trí (tracking). |
Yêu cầu tối thiểu cho Wireless Security (Baseline)
- Encryption: **WPA2-PSK (AES/CCMP)** tối thiểu. **WPA3-SAE** khuyến nghị cho thiết bị mới. Tuyệt đối KHÔNG WEP, WPA-TKIP.
- Authentication:
- Cá nhân/SOHO: WPA2/WPA3-PSK (passphrase mạnh ≥ 20 ký tự).
- Doanh nghiệp: **WPA2/WPA3-Enterprise (802.1X/EAP-TLS/PEAP)** – mỗi user/thiết bị có credential riêng, quản trị tập trung (RADIUS + AD/Entra ID).
- Management Frame Protection (802.11w / PMF): Bắt buộc bật để chống Deauth/Disassoc attack.
- Network Segmentation: VLAN riêng cho: Corporate, Guest, IoT/OT, Management. Firewall rule chặn Guest/IoT → Corporate.
- Disable Legacy Features: **Tắt WPS, UPnP, Remote Management, Telnet, HTTP admin.**
- Monitoring & Detection: WIPS/WIDS (Cisco Meraki, Aruba, Mist, FortiAP, OpenWrt + Kismet), Rogue AP detection, Client anomaly (too many auth fail, MAC randomization anomaly).
Lợi ích an ninh mạng không dây mạnh
- Bảo vệ **dữ liệu nhạy cảm** (thanh toán, y tế, IP) khi truyền qua không trung.
- Ngăn chặn **lateral movement** từ compromised wireless client vào core network.
- Tuân thủ **PCI-DSS Req 4.1 (WPA2/AES), HIPAA, GDPR, NIST 800-53 SC-8/SC-13**.
- Giảm **surface area** cho attacker: không dễ dàng "ngồi bên cạnh" để tấn công.
- Hỗ trợ **Zero Trust**: Device posture check trước khi cấp quyền truy cập mạng.
Best Practice triển khai Enterprise Wireless
- Site Survey (Ekahau, NetSpot) → thiết kế AP placement, channel plan, power.
- WPA3-Enterprise (EAP-TLS với client cert) cho managed device.
- WPA3-Transition (WPA2/WPA3 mixed) cho BYOD/legacy.
- Captive Portal + Terms of Service cho Guest.
- MDM/UEM push Wi-Fi profile (cert + config) → user không bao giờ biết pass.
- NAC (Cisco ISE, Aruba ClearPass, FortiNAC) enforcement: posture check (AV, patch, disk encryption) trước khi gán VLAN.
- Telemetry streaming đến SIEM/NDR (Zeek, Suricata, Corelight) để threat hunting.
Kết luận
An ninh mạng không dây **không phải tùy chọn** – là **yêu cầu bắt buộc** cho mọi tổ chức và gia đình. Với chi phí triển khai WPA3/Enterprise/NAC ngày càng giảm, **không có lý do gì để chấp nhận WEP/WPA-TKIP/Open Wi-Fi**. Đầu tư vào wireless security đúng cách bảo vệ cả dữ liệu, sự liên tục kinh doanh và uy tín thương hiệu.