Norme de sécurité des réseaux locaux sans fil

Peut   9 septembre 2016

But

Cette norme établit les exigences minimales en matière d'installation et d'exploitation des réseaux locaux sans fil (WLAN) pour les agences de l'État de l'Iowa.

Aperçu

La technologie sans fil permet la mobilité du matériel informatique et des utilisateurs. Cependant, les avantages des réseaux sans fil s'accompagnent de risques potentiels. Des réseaux locaux sans fil (WLAN) mal configurés peuvent permettre à des utilisateurs non autorisés d'accéder aux systèmes et aux informations de l'organisme. Ces utilisateurs non autorisés peuvent consommer de la bande passante, dégrader les performances du réseau ou utiliser les ressources de l'organisme pour lancer des attaques contre d'autres réseaux.

Portée

Cette norme s'applique à tous les organismes participants, tels que définis au chapitre 8B.1(7) du Code de l'Iowa. Les organismes non participants sont encouragés à suivre cette norme et les autres normes d'entreprise.

Définitions

Choisi   termes   utilisé   dans   le   Entreprise   Wi-Fi   Sécurité   Standard   sont   défini ci-dessous :

• Point d'accès (AP) : Un périphérique réseau qui permet à des appareils, tels que des ordinateurs portables, de communiquer sans fil et de se connecter à un autre réseau, généralement l'infrastructure câblée d'une organisation, le réseau de communication de l'Iowa (ICN) ou un fournisseur d'accès Internet commercial.

• Identifiant de l'ensemble de services de base (BSSID) : Adresse(s) MAC du point d'accès.

• Réseau sans fil invité : Réseau local sans fil mis en place par un organisme d’État pour fournir un accès Internet aux invités autorisés. Les réseaux sans fil invités sont isolés en dehors du périmètre logique et physique du réseau de l’organisme.

• Réseau sans fil public : Réseau local sans fil mis en place par un organisme d’État pour fournir un accès Internet gratuit au public. Les réseaux sans fil publics sont isolés en dehors des limites logiques et physiques du réseau de l’organisme.

• Identifiant du réseau local sans fil (SSID) : identifiant unique permettant de différencier un réseau WLAN d’un autre. Tous les points d’accès et tous les appareils tentant de se connecter à un réseau WLAN spécifique doivent utiliser le même SSID.

Entreprise   Norme WLAN

Le   suivant   minimum   normes   doit   être   rencontré   pour   tous les réseaux WLAN :

1. Politique . Les organismes doivent établir une politique de sécurité pour les réseaux WLAN.

2. Enregistrement. Les organismes doivent informer le responsable de la sécurité des systèmes d'information (RSSI) avant la mise en place d'un point d'accès sans fil. L'avis doit comprendre les éléments suivants pour chaque point d'accès :

   1. Marque,
   2. Modèle,
   3. SSID et BSSID, et
   4. Emplacement physique.

   La notification doit également inclure le nom et les coordonnées de l'organisme. Les points d'accès non enregistrés sont interdits et seront mis hors service.

3. Séparation des réseaux sans fil et filaires. Les zones de réseau sans fil doivent être séparées des zones de réseau filaire par un pare-feu ou un autre dispositif de filtrage de paquets.
4. Dispositifs critiques. Il est interdit d'héberger les serveurs et les dispositifs connexes essentiels au fonctionnement de l'agence sur des réseaux sans fil.
5. Protection physique. Les points d'accès sans fil doivent être protégés physiquement afin de limiter les risques de vol, de dommages, d'accès non autorisé ou de réinitialisation de la configuration.
6. Mots de passe. Les mots de passe doivent être conformes aux exigences de la norme de sécurité d'authentification d'entreprise et répondre aux critères suivants :
   1. Les mots de passe d'administration par défaut utilisés pour gérer le point d'accès doivent être modifiés.
   2. Les mots de passe d'administrateur doivent comporter au moins 15 caractères.
7. Configuration des points d'accès. Les points d'accès doivent au minimum répondre aux exigences suivantes :

• Chiffrement. Les points d'accès doivent utiliser le chiffrement WPA2-Enterprise ou supérieur. Les paramètres de chiffrement doivent être configurés sur le niveau le plus élevé disponible dans le produit. Le protocole WEP (Wired Equivalent Privacy) ne doit PAS être utilisé.

• Identifiant du réseau (SSID). Le SSID doit être modifié par rapport à la valeur par défaut d'usine.
• Intervalles de balise. Les trames de balise doivent être configurées sur la longueur d'intervalle maximale.
• Clés cryptographiques. Les clés cryptographiques par défaut doivent être modifiées avant la mise en œuvre.

• Filtrage des adresses. Le filtrage des adresses MAC (Media Access Control) doit être activé autant que possible. Seules les connexions provenant d'adresses MAC reconnues doivent être acceptées par le point d'accès.

• Protocole SNMP version 3. Si le protocole SNMP est requis, utilisez la version 3 ou ultérieure. La chaîne de communauté SNMP par défaut doit être remplacée par une chaîne de communauté forte. Les privilèges doivent être définis sur « lecture seule » si seul l’accès est nécessaire. Les ports et protocoles d’accès inutiles doivent être désactivés.

• Canaux. Les canaux doivent être configurés de manière à minimiser les interférences.

• Portée . Le niveau de puissance radiofréquence doit être réduit au minimum nécessaire et des antennes directionnelles doivent être utilisées, lorsque cela est possible, afin de limiter la portée du point d'accès.