WiFi 質量與 DEAUTH 攻擊偵測：CNN 定位列車，隧道內都唔怕冇 GPS

GNS 最近為港鐵網絡完成咗一個 WiFi 質量同安全項目，一次過解決三個問題：喺封包層偵測針對列車 WiFi 嘅 DEAUTH（解除認證）攻擊、即時鎖定攻擊者嘅 IP，以及喺冇 GPS 嘅情況下用 WiFi 訊號強度加卷積神經網絡（CNN）定位列車。呢篇文章會講解每一部分背後嘅技術，同點解呢個組合對鐵路營運商咁重要。

問題所在：列車 WiFi 係一個保安盲點

乘客 WiFi 同營運 WiFi 已經成為鐵路體驗嘅核心部分。但每個無線網絡都有一個大多數監控工具忽略嘅弱點：負責維持網絡運作嘅管理框架（management frames）。其中最常見嘅攻擊之一就係 DEAUTH 攻擊。

喺 802.11 協議入面，access point（AP）可以透過送出解除認證框架將用戶端踢走。攻擊者會利用呢一點，廣播偽造嘅解除認證框架，令到好似由 AP 發出咁。列車上嘅裝置被踢出網絡、重新連線、又被踢走，不斷循環。結果係連接中斷、乘客體驗差，最壞情況甚至會干擾依賴穩定連線嘅營運系統。

DEAUTH 攻擊最難搞嘅地方係：佢平、便携、而且幾乎隱形。攻擊者只需要一部手提電腦或者一個小型無線電。冇實體入侵、冇登入程序，甚至通常喺應用層 log 都搵唔到痕跡——因為攻擊發生喺大部分監控軟件睇唔到嘅層面。

點解要喺封包層分析

大部分 WiFi 監控工具都係喺應用層睇流量：流量有幾多、連咗邊個伺服器、連線有冇斷。呢啲嘢全部都睇唔到 DEAUTH 攻擊，因為偽造嘅框架係管理框架，唔係數據流量。

所以 GNS 喺封包層分析 WiFi——即係承載解除認證請求嘅原始 802.11 管理同控制框架。咁樣系統可以：

• 分辨「正常斷線」（裝置移離覆蓋範圍、網絡重啟）同「偽造解除認證框架」；
• 偵測攻擊模式——例如短時間內針對大量用戶端嘅解除認證框架爆發，或者比正常網絡行為更快嘅重複框架；
• 攻擊模式一出現即刻出警報，而唔係等破壞發生之後先發現。

封包層可見度嘅分別，就係「知道 WiFi 唔穩定」同「知道呢班車喺呢個時間俾人廣播咗一次解除認證攻擊」嘅分別。

即時鎖定攻擊者

每次偵測到攻擊，系統會從偽造框架抽出源頭 MAC 地址；如果攻擊者係經可路由路徑運作，仲會抽埋相關嘅 IP 地址。咁就畀到營運團隊一個可以跟進嘅指標：邊個裝置好似喺度發動攻擊，同埋嚟自邊個網絡區段。

要講清楚限制：MAC 地址可以偽造，所以抽出嚟嘅 MAC 係一個用嚟交叉比對嘅指標，而唔係可以直接定罪嘅身份。真正有價值嘅係成個過程喺即時發生，仲可以同其他訊號交叉比對——例如攻擊裝置嘅無線電訊號強度，令團隊可以縮窄攻擊者喺列車（或者路軌旁）邊個位置。咁樣 CCTV 同巡邏就可以直接指向正確嘅車卡，而唔係成班車去搵。

喺冇 GPS 嘅情況下定位列車

項目嘅第二部分回答另一個問題：呢班車而家喺邊？ 最直接嘅答案——GPS——喺地底完全失效。隧道會完全阻擋衛星訊號，而好多保安敏感嘅路段正正就係 GPS 覆蓋唔到嘅地方。

GNS 用WiFi 訊號指紋定位解決呢個問題。沿線每個位置都有獨特嘅無線電環境：接收器聽得到嘅 AP 集合，同埋每個 AP 嘅相對訊號強度（RSSI）。列車嘅 WiFi 硬件會不斷採樣呢個環境，樣本送入一個用路線真實無線電地圖訓練嘅 CNN，令模型學到訊號環境嘅空間規律——唔單止係「呢度個 AP 強啲」，而係成個指紋喺列車經過隧道、車站同掘頭位時點樣變化。

CNN 會將即時訊號指紋轉換成軌道上嘅估計位置。因為模型靠 WiFi 指紋而唔係衛星訊號，所以喺地底一樣照常運作——正正係 GPS 失效嘅地方。而且定位用嘅係車上已經有嘅硬件，唔使加裝任何軌旁信標或者定位基建。

營運商可以得到啲咩

兩部分夾埋，畀到鐵路營運商一樣好少有嘅嘢：

• 保安可見度：即時睇到 WiFi 攻擊——幾時發生、喺邊班車、背後好似係邊個源頭。
• 韌性定位：列車位置喺隧道都唔會消失，可以用嚟做保安關聯分析，亦可以用喺其他依賴位置嘅營運。
• 更快嘅反應：唔使等乘客投訴「WiFi 好差」先跟進，而係直接對住一個具體攻擊事件、一個具體車號同一個收窄咗嘅物理位置去處理。
• AI 嘅基礎：同一批無線電數據可以重用——車載 WiFi 嘅預測性維護、覆蓋質量分析，以至持續改善定位模型。

限制同下一步

封包層分析雖然強，但唔係萬能。攻擊者可以偽造 MAC 地址，所以身份識別應該當做關聯證據。定位模型嘅準確度取決於無線電地圖嘅質素同新鮮度，環境一變（新 AP、隧道翻新、季節因素）就要定期重新訓練。自然嘅下一步係將 WiFi 指紋同車上其他訊號——例如里程計同車站停靠規律——融合，令定位更加穩健。

點解唔止鐵路有用

呢套架構——封包層安全分析加無線電指紋定位——適用於任何「連線好重要但 GPS 冇用」嘅環境：隧道、地下停車場、港口、工廠、密集市區。對營運商嚟講，個道理好簡單：要保護同定位資產所需嘅數據，往往就係個無線網絡本身已經產生緊嘅數據。

想了解封包層分析同 AI 點樣保護你嘅網絡或者定位你嘅資產？聯絡 GNS。