由於 802.11 無線網路標準在安全性方面的不健全，使得無線攻擊種類 不勝枚舉，從實體層到應用層皆有可能遭受到惡意人士的攻擊，許多研 究也陸續探討相對應的防禦與加密技術，來維護無線網路上的安全性，
但這些畢竟只是治標不治本，唯有制訂出更具安全性的無線標準才能有 效防禦駭客的攻擊，因此在 2004 年第三季 IEEE 正式通過了 802.11i 無 線安全標準，希望能夠使無線網絡內傳送的資料能夠安全傳送，確保不 會中途遭第三者攔截甚至解密。在 802.11i 尚未普及前，目前大部份企業 的無線網路設備仍然沿用舊的加密標準(WEP)與 MAC 層協定，因此攻 擊與防禦的問題是不會消失的，以下本研究便整理過去學者所提出的一 些防禦性技術。
2.3.1 偽造封包之過濾
在無線環境中惡意人士欲進行攻擊前必定會先進行無線頻道的監 聽，查看目前區域範圍內有多少基地台與無線行動端點，透過擷取到的 封包觀察其訊框欄位可輕易得知來源端與目的端的MAC Address與其傳 輸是否經過WEP加密等資訊。大部分的DoS攻擊型態都會更改訊框的內 容，藉由持續的發送不合理的訊框來癱瘓無線網路的傳輸，最常見的是 透過偽造MAC Address來進行，因此若能夠過濾出偽造過的封包便可有效
攔截多數攻擊。在Joshua W.的研究[19]中指出藉由分析802.11 MAC層訊 框的訊框序號(Sequence Number，也就是seq-ctl欄位)可用於過濾偽裝的 MAC Address。在無線封包的傳遞時，源自同一實體MAC位址的Sequence Number欄位應是依序遞增的，範圍應落於0~4,095之間，基於此一特性，
若為非遞增成長或短時間內收到數個重複Sequence Number的訊框時則可 能為駭客偽裝過的訊框，並給予過濾。
2.3.2 加密破解之防禦
一 般 網 路 上 常 見 的 加 密 破 解 工 具 有 WEPCrack 、 Airosnort ( 針 對
WEP)、Asleap(針對LEAP)，此類攻擊通常需要很大量符合特徵的封包來 進行分析，攻擊者往往需要監聽上百萬個加密過的封包才能找到足夠符 合特徵的樣本來破解密鑰。要收集到這個數量的樣本需時可能少則一個 晚上，多則長達數週才可完成，故此類工具為了縮短破解的時間大多採 取主動式攻擊，以發送探測訊框來加快蒐集的速度，在Yu-Xi Lim等人的 研究中[14]指出，最好的防禦方法就是以其人之道還治其人之身，利用已 知的攻擊方法來攻擊或欺騙攻擊者，讓攻擊者無法進行訊框的分析，該 研究利用類似Fake AP的軟體來模擬AP端傳送訊框，並以亂數產生的WEP Key來加密訊框，如此一來此類的加密破解軟體便會受到經過偽造的加密 訊框干擾而影響分析的結果；在陳昱仁[2]等人的研究中也指出此方式可
有效干擾加密破解軟體的分析結果，如圖2-9左邊是Airsnort計算金鑰出現 頻率的長條圖，右邊則是當發送偽造訊框時Airsnort的分析受干擾情況。
(a)探測時WEP KEY機率分布 (b)發送偽造訊框干擾探測 圖 2-9 發送偽造訊框干擾 Airsnort
資料來源：「無線入侵偵測系統之研製」
2.3.3 阻斷服務攻擊之防禦
在Bellardo和Savage的研究中[4]提出針對兩種無線網路DoS攻擊提出 防禦方法。(1)解除認證與解除聯結DoS攻擊之防禦：將接收到的解除認 證與解除聯結訊框以一個Buffer來暫存約5~10秒，同時延遲與基地台認證 與聯結解除的執行，分析Buffer內的訊框，若在收到解除認證或解除聯結 訊框後還繼續收到資料訊框的傳輸，則代表該解除認證或解除聯結訊框 可能是偽造的並給予丟棄；若分析的結果無異常則執行與基地台間認證 或聯結的解除。(2)虛擬載波攻擊之防禦：依不同的訊框類型將802.11 MAC標頭內的NAV值分成Low Cap和High Cap兩個等級，此兩等級有各自
的NAV值上限，若訊框的NAV值超過上限則視為可疑訊框，並針對
RTS/CTS/ACK和Data等四類訊框，在傳輸過程中的順序與間隔時間關係 進行分析，再視情況丟棄封包，或發送NAV值為0的訊框來放棄媒介的佔 用，抵制虛擬載波攻擊，Low cap通常被使用於跟隨在ACK或CTS等管理 訊框之後的訊框(如資料訊框)；High cap通常適用於當有大量的資料訊框 要傳送前的CTS或ACK等管理訊框。