Estándar de seguridad de LAN inalámbrica

Puede   9 de octubre de 2016

Objetivo

Esta norma establece los requisitos mínimos para la instalación y el funcionamiento de redes inalámbricas de área local (WLAN) para las agencias del estado de Iowa.

Descripción general

La tecnología inalámbrica permite la movilidad de equipos informáticos y usuarios. Sin embargo, las ventajas de las redes inalámbricas conllevan riesgos potenciales. Las redes de área local inalámbricas (WLAN) mal configuradas pueden permitir el acceso de usuarios no autorizados a los sistemas e información de la agencia. Estos usuarios pueden consumir ancho de banda, degradar el rendimiento de la red o utilizar los recursos de la agencia para lanzar ataques contra otras redes.

Alcance

Esta norma se aplica a todas las agencias participantes, según lo define el Capítulo 8B.1(7) del Código de Iowa. Se recomienda a las agencias no participantes que cumplan con esta y otras normas empresariales.

Definiciones

Seleccionado   términos   usado   en   el   Empresa   WLAN   Seguridad   Estándar   son   definido a continuación:

• Punto de acceso (AP): Dispositivo de red que permite que otros dispositivos, como ordenadores portátiles, se comuniquen de forma inalámbrica y se conecten a otra red, normalmente la infraestructura cableada de una organización, la Red de Comunicación de Iowa (ICN) o un proveedor de servicios de Internet comercial.

• Identificador del conjunto de servicios básicos (BSSID): Dirección(es) MAC del punto de acceso.

• Red inalámbrica para invitados : Una red inalámbrica de área local configurada por una agencia estatal para proporcionar acceso a Internet a los invitados autorizados. Las redes inalámbricas para invitados están aisladas fuera del límite lógico y físico de la red de la agencia.

• Red inalámbrica pública : Una red de área local inalámbrica establecida por una agencia estatal para proporcionar acceso gratuito a Internet al público. Las redes inalámbricas públicas están aisladas fuera del límite lógico y físico de la red de la agencia.

• Identificador de conjunto de servicios (SSID): Un identificador único que diferencia una red WLAN de otra. Todos los puntos de acceso y todos los dispositivos que intenten conectarse a una red WLAN específica deben usar el mismo SSID.

Empresa   Estándar WLAN

El   siguiente   mínimo   estándares   debe   ser   conocí   para   Todas las redes WLAN:

1. Política . Los organismos deberán establecer una política de seguridad de WLAN.

2. Registro. Las agencias deberán notificar al Director de Seguridad de la Información de la OCIO antes de la implementación de un punto de acceso inalámbrico. La notificación debe incluir lo siguiente para cada punto de acceso:

   1. Marca,
   2. Modelo,
   3. SSID y BSSID, y
   4. Ubicación física.

   La notificación también debe incluir el nombre y la información de contacto de la agencia. Los puntos de acceso no registrados no están permitidos y serán retirados del servicio.

3. Separación de redes inalámbricas y cableadas. Las zonas de red inalámbricas deben estar separadas de las zonas de red cableadas mediante un cortafuegos u otro dispositivo de filtrado de paquetes.
4. Dispositivos críticos. No está permitido alojar servidores ni dispositivos relacionados que sean esenciales para el funcionamiento de la agencia en zonas de red inalámbrica.
5. Protección física. Los puntos de acceso inalámbricos deberán estar protegidos físicamente para limitar el riesgo de robo, daños, acceso no autorizado o restablecimiento de la configuración.
6. Contraseñas. Las contraseñas deberán cumplir con los requisitos del Estándar de Seguridad de Autenticación Empresarial y cumplir con lo siguiente:
   1. Se deberán cambiar las contraseñas administrativas predeterminadas utilizadas para gestionar el punto de acceso.
   2. Las contraseñas de administrador deberán tener una longitud mínima de 15 caracteres.
7. Configuración del punto de acceso. Los puntos de acceso deberán cumplir, como mínimo, los siguientes requisitos:

• Cifrado. Los puntos de acceso deben usar el cifrado WPA2-Enterprise o superior. La configuración de cifrado debe ajustarse al nivel de cifrado más seguro disponible en el producto. No se debe usar el protocolo WEP (Wired Equivalent Privacy).

• Identificador del conjunto de servicios. El SSID deberá modificarse respecto a la configuración predeterminada de fábrica.
• Intervalos de baliza. Los marcos de baliza se configurarán con la duración máxima del intervalo.
• Claves criptográficas. Las claves criptográficas predeterminadas deberán modificarse antes de la implementación.

• Filtrado de direcciones. El filtrado de direcciones MAC (Control de Acceso al Medio) debe habilitarse siempre que sea posible. El punto de acceso (AP) solo debe aceptar conexiones provenientes de direcciones MAC reconocidas.

• Protocolo simple de administración de red (SNMP) versión 3. Si se requiere SNMP, utilice la versión 3 o posterior. La cadena de comunidad SNMP predeterminada debe cambiarse por una cadena de comunidad segura. Los privilegios deben configurarse como "solo lectura" si ese es el único acceso requerido. Los puertos y protocolos de acceso innecesarios deben deshabilitarse.

• Canales. Los canales deben configurarse para minimizar las interferencias.

• Alcance . El nivel de potencia de radiofrecuencia debe reducirse al mínimo necesario y, cuando sea posible, se deben utilizar antenas direccionales para limitar el alcance del punto de acceso.