El papel de SCEP y NAC en la infraestructura moderna de MDM

Bienvenido al Technical Briefing de Purple. Soy su anfitrión, y hoy nos sumergiremos en un tema de arquitectura crítico para las redes empresariales: el papel de SCEP y NAC en la infraestructura moderna de MDM. Si usted es director de TI, arquitecto de redes o gestiona operaciones en un gran recinto —ya sea un estadio, un hospital o una cadena de retail— conoce el dolor de cabeza que representa la incorporación segura de dispositivos. Los días de las claves precompartidas han terminado. Hoy hablaremos de la autenticación basada en certificados. Exploraremos cómo el Protocolo de Inscripción de Certificados Simple, o SCEP, se asocia con el Control de Acceso a la Red, o NAC, para automatizar el aprovisionamiento de dispositivos y aplicar el acceso zero-trust. Entremos de lleno en el tema. Desglosemos la arquitectura. En el núcleo, tenemos tres capas: la capa de dispositivos, el motor de políticas y la capa de acceso a la red. Cuando un nuevo dispositivo corporativo o un endpoint BYOD necesita acceso, primero se registra en su plataforma de Mobile Device Management. Pero el MDM por sí solo no otorga acceso a la red. Ahí es donde entra SCEP. SCEP actúa como el mensajero automatizado entre su MDM y su Autoridad de Certificación. En lugar de que un administrador de TI genere e instale manualmente un certificado X.509 en cada dispositivo, el MDM envía un payload al dispositivo. El dispositivo genera una Solicitud de Firma de Certificado, o CSR, y la envía al servidor SCEP. La CA emite el certificado y el dispositivo ahora tiene una identidad criptográficamente segura. Sin contraseñas que pescar con phishing, sin claves compartidas que filtrar. Pero un certificado es solo una tarjeta de identificación. Todavía necesita un guardia en la puerta. Ese es su NAC. Cuando el dispositivo intenta conectarse al WiFi —normalmente utilizando 802.1X EAP-TLS— el punto de acceso inalámbrico pasa la solicitud al servidor RADIUS, que está gobernado por el motor de políticas del NAC. El NAC verifica el certificado: ¿Es válido? ¿Ha sido revocado? Pero el NAC moderno va más allá. Consulta al MDM para verificar el estado de seguridad: ¿Está actualizado el sistema operativo? ¿Está activo el firewall? Si es así, el NAC le indica al switch o punto de acceso que coloque al dispositivo en la VLAN correcta. Si no, lo envía a una red de remediación. Esta integración es crítica para entornos como grandes cadenas de retail o instalaciones de salud donde se tiene una mezcla de laptops corporativas, dispositivos IoT y redes de invitados. Hablando de redes de invitados, aquí es donde las plataformas como Guest WiFi y WiFi Analytics de Purple se integran a la perfección junto a sus SSIDs corporativos seguros, garantizando que el acceso público esté aislado de su infraestructura segura respaldada por certificados. Entonces, ¿cómo implementar esto sin romper su red? Primera recomendación: Utilice siempre EAP-TLS. Requiere certificados tanto en el servidor como en el cliente, proporcionando autenticación mutua. Segundo, preste atención a sus Listas de Revocación de Certificados, o CRLs, y a OCSP. Si un dispositivo se ve comprometido o un empleado se va, revocar el certificado en la CA no sirve de nada si el NAC no está verificando el estado de revocación en tiempo real. Un error común que vemos en el sector de la hospitalidad y en grandes recintos es no tomar en cuenta los dispositivos IoT. No todos los sensores IoT o smart TVs son compatibles con 802.1X o SCEP. Para estos, necesitará una estrategia de respaldo como MAC Authentication Bypass, o MAB, estrechamente controlada por su NAC para puertos de switch específicos o VLANs aisladas. Otro error común es el periodo de validez de los certificados. No los configure para 10 años, pero tampoco para 30 días, a menos que su renovación automatizada a través de SCEP sea infalible. Una validez de un año con renovación automática a los 30 días es un estándar sólido en la industria. Respondamos un par de preguntas rápidas que recibimos a menudo de los CTO. Pregunta uno: ¿Podemos usar nuestro Active Directory Certificate Services existente para SCEP? Sí, Microsoft AD CS incluye un rol de Network Device Enrollment Service, o NDES, que actúa como servidor SCEP. Solo asegúrese de que esté debidamente protegido y expuesto a su MDM. Pregunta dos: ¿Esto reemplaza a nuestro firewall? Absolutamente no. SCEP y NAC gestionan la autenticación y el control de acceso en el extremo: Capa 2. Su firewall se encarga de la inspección de tráfico y la prevención de amenazas en las Capas 3 a 7. Trabajan en conjunto. Para resumir, combinar SCEP, NAC y MDM le brinda un extremo de red altamente seguro y sin intervención (zero-touch). Elimina los reportes de soporte técnico relacionados con contraseñas y garantiza que solo los dispositivos que cumplen con las políticas accedan a su infraestructura crítica. Para los operadores de recintos, esto significa que sus operaciones internas (back-of-house) se ejecutan de forma segura, lo que les permite enfocarse en la experiencia del cliente (front-of-house), la cual pueden potenciar con las herramientas de analítica e interacción de Purple. Comience por auditar sus capacidades actuales de MDM y asegúrese de que su infraestructura RADIUS sea compatible con EAP-TLS. Identifique sus tipos de dispositivos y realice primero una prueba piloto con los dispositivos de su equipo de TI. Gracias por sintonizar este informe técnico. Manténgase seguro y nos vemos en la próxima.