WiFi 质量与 DEAUTH 攻击检测：CNN 定位列车，隧道内也不怕没有 GPS

GNS 最近为港铁网络完成了一个 WiFi 质量与安全项目，一次解决三个问题：在封包层检测针对列车 WiFi 的 DEAUTH（解除认证）攻击、实时锁定攻击者的 IP，以及在没有 GPS 的情况下用 WiFi 信号强度加卷积神经网络（CNN）定位列车。这篇文章会讲解每一部分背后的技术，以及为什么这个组合对铁路营运商如此重要。

问题所在：列车 WiFi 是一个安全盲点

乘客 WiFi 和营运 WiFi 已经成为铁路体验的核心部分。但每个无线网络都有一个大多数监控工具忽略的弱点：负责维持网络运作的管理框架（management frames）。其中最常見的攻击之一就是 DEAUTH 攻击。

在 802.11 协议中，接入点（AP）可以通过送出解除认证框架把客户端踢走。攻击者会利用这一点，广播伪造的解除认证框架，让它看起来像是 AP 发出的一样。列车上的设备被踢出网络、重新连接、又被踢走，不断循环。结果是连接中断、乘客体验变差，最坏的情况甚至会干扰依赖稳定连接的营运系统。

DEAUTH 攻击最难处理的地方是：它便宜、便携、而且几乎隐形。攻击者只需要一台手提电脑或一个小型无线电。没有实体入侵、没有登录过程，甚至通常不会出现在应用层日志里——因为攻击发生在大多数监控软件看不到的层面。

为什么要在封包层分析

大多数 WiFi 监控工具都是在应用层看流量：流量有多少、连了哪个服务器、连接有没有断。这些东西全都看不到 DEAUTH 攻击，因为伪造的框架是管理框架，不是数据流量。

所以 GNS 在封包层分析 WiFi——也就是承载解除认证请求的原始 802.11 管理及控制框架。这样系统可以：

• 分辨「正常断线」（设备移出覆盖范围、网络重启）与「伪造解除认证框架」；
• 检测攻击模式——例如短时间内针对大量客户端的解除认证框架爆发，或者比正常网络行为更快的重复框架；
• 攻击模式一出现就立即报警，而不是等破坏发生之后才发现。

封包层可见度的区别，就是「知道 WiFi 不稳定」和「知道这班车在这个时间被人广播了一次解除认证攻击」的区别。

实时锁定攻击者

每次检测到攻击，系统会从伪造框架抽出源头 MAC 地址；如果攻击者通过可路由路径运作，还会抽出相关的 IP 地址。这给了营运团队一个可以跟进的指标：哪个设备看起来在发动攻击，以及来自哪个网段。

要讲清楚限制：MAC 地址可以伪造，所以抽出来的 MAC 是一个用来交叉比对的指标，而不是可以直接定罪的身份证。真正有价值的是整个过程在实时发生，还可以与其他信号交叉比对——例如攻击设备的无线电信号强度，让团队可以缩小攻击者在列车（或路轨旁）哪个位置。这样 CCTV 和巡逻就可以直接指向正确的车厢，而不是整列车去找。

在没有 GPS 的情况下定位列车

项目的第二部分回答另一个问题：这班车现在在哪里？ 最直接的答案——GPS——在地下完全失效。隧道会完全阻挡卫星信号，而很多安全敏感的路段正是 GPS 覆盖不到的地方。

GNS 用 WiFi 信号指纹定位解决这个问题。沿线每个位置都有独特的无线电环境：接收器听得到的 AP 集合，以及每个 AP 的相对信号强度（RSSI）。列车的 WiFi 硬件会不断采样这个环境，样本送入一个用路线真实无线电地图训练的 CNN，让模型学到信号环境的空间规律——不只是「这里 AP 强一点」，而是整个指纹在列车经过隧道、车站和尽头线时如何变化。

CNN 会将实时信号指纹转换成轨道上的估计位置。因为模型靠 WiFi 指纹而不是卫星信号，所以在地下一样照常运作——正是 GPS 失效的地方。而且定位用的是车上已有的硬件，不需要加装任何轨旁信标或定位基础设施。

营运商可以得到什么

两部分合起来，给了铁路营运商一样很少有的东西：

• 安全可见度：实时看到 WiFi 攻击——何时发生、在哪班车、背后看起来是哪个源头。
• 韧性定位：列车位置在隧道里也不会消失，可用于安全关联分析，也可用于其他依赖位置的操作。
• 更快的响应：不用等乘客投诉「WiFi 很差」才跟进，而是直接对一个具体攻击事件、一个具体车号和一个缩小了的物理位置去处理。
• AI 的基础：同一批无线电数据可以复用——车载 WiFi 的预测性维护、覆盖质量分析，以至持续改善定位模型。

限制与下一步

封包层分析虽然强大，但不是万能的。攻击者可以伪造 MAC 地址，所以身份识别应该当作关联证据。定位模型的准确度取决于无线电地图的质量和新鲜度，环境一变（新 AP、隧道翻新、季节因素）就要定期重新训练。自然的下一步是将 WiFi 指纹与车上其他信号——例如里程计和车站停靠规律——融合，让定位更加稳健。

为什么不止铁路有用

这套架构——封包层安全分析加无线电指纹定位——适用于任何「连接很重要但 GPS 没有用」的环境：隧道、地下停车场、港口、工厂、密集市区。对营运商来说，道理很简单：要保护和定位资产所需的数据，往往就是无线网络本身已经在产生的数据。

想了解封包层分析和 AI 如何保护你的网络或定位你的资产？联系 GNS。