Evaluación de Postura de Dispositivos para Network Access Control

Evaluación de Postura de Dispositivos para Network Access Control. Un informe técnico de Purple. Bienvenidos. Soy su anfitrión para el informe de hoy, y si están escuchando esto, probablemente sean arquitectos de seguridad de TI, ingenieros de red o directores de tecnología a quienes se les ha pedido reforzar el control de acceso a la red en su organización. Es posible que gestionen un complejo hotelero, una cadena de tiendas, un centro de conferencias o instalaciones del sector público, y han llegado al punto en que simplemente verificar quién se conecta a su red ya no es suficiente. Necesitan saber qué se está conectando y si ese dispositivo está en condiciones de ser confiable. Eso es exactamente lo que cubriremos hoy. Evaluación de postura de dispositivos para Network Access Control: qué es, cómo funciona a nivel técnico, cómo se integra con su infraestructura RADIUS existente y plataformas MDM, y fundamentalmente, qué hacer con los dispositivos que no aprueban la verificación. Comencemos. Sección uno. Contexto y por qué la evaluación de postura es importante ahora. Durante la última década, la mayoría de los despliegues de WiFi corporativos han dependido del control de acceso basado en la identidad. Se autentica al usuario (a través de 802.1X, un Captive Portal o una clave precompartida) y, si las credenciales son válidas, se concede el acceso. El problema es que la verificación de identidad por sí sola no dice nada sobre el estado de seguridad del dispositivo. Se puede ingresar un usuario y contraseña válidos en una laptop con un sistema operativo sin parches desde hace tres años y sin antivirus, conectada a su VLAN corporativa. Ese dispositivo es un riesgo latente en el momento en que toca su red. La transición hacia la arquitectura Zero Trust ha cambiado fundamentalmente esta perspectiva. Zero Trust opera bajo el principio de nunca confiar, siempre verificar, y esa verificación debe extenderse más allá de la identidad para abarcar la salud del dispositivo. Aquí es donde entra en juego la evaluación de postura de dispositivos. La evaluación de postura interroga al endpoint al momento de la autenticación, verifica un conjunto definido de criterios de salud e introduce ese resultado en la decisión de control de acceso. El resultado es un acceso a la red basado en la postura, un modelo donde lo que se puede hacer en la red está determinado no solo por quién es el usuario, sino por el estado de seguridad del dispositivo que utiliza. Desde el punto de vista del cumplimiento, esto es sumamente importante. La versión 4.0 de PCI DSS exige explícitamente que las organizaciones controlen qué dispositivos pueden acceder a los entornos de datos de tarjetahabientes. El principio de responsabilidad de GDPR exige que las organizaciones implementen medidas técnicas adecuadas para proteger los datos personales, y permitir que dispositivos sin parches y no administrados accedan a redes que transportan datos personales es cada vez más difícil de defender en una auditoría. Para entornos de salud, se aplica la misma lógica bajo los requisitos de Cyber Essentials y, en el contexto de EE. UU., HIPAA. Sección dos. Inmersión técnica: cómo funciona realmente la evaluación de postura. Permítanme guiarlos a través del proceso. En su esencia, la evaluación de postura de dispositivos es un proceso que se ejecuta durante o inmediatamente después del saludo de autenticación, antes de que se conceda el acceso total a la red. Existen tres modelos arquitectónicos principales que encontrarán. El primero es la evaluación de postura basada en agentes. Un agente de software ligero, instalado en el endpoint (a menudo como parte de su MDM o plataforma de detección y respuesta de endpoints), recopila telemetría de salud y la presenta al motor de políticas NAC. Este es el enfoque más completo. El agente puede verificar la versión del sistema operativo, el nivel acumulativo de parches, la vigencia de las firmas de antivirus, el estado del firewall, el estado de cifrado del disco, si se están ejecutando aplicaciones prohibidas específicas y si el dispositivo está registrado en su MDM. El agente comunica estos datos al servidor RADIUS o a un motor de políticas dedicado a través de un protocolo como RADIUS CoA (Change of Authorization) o mediante una integración de API específica del proveedor. El segundo modelo es la evaluación de postura sin agentes. Aquí, el sistema NAC intenta inferir la salud del dispositivo sin un agente local, típicamente consultando directamente a su plataforma MDM. Cuando un dispositivo se conecta y se autentica, el motor de políticas realiza una llamada de API a Microsoft Intune, Jamf o VMware Workspace ONE, recupera el registro de cumplimiento del dispositivo y lo utiliza como señal de postura. Esto funciona bien para dispositivos corporativos administrados que ya están registrados en el MDM. La limitación es obvia: los dispositivos no administrados o BYOD no tendrán un registro en el MDM, por lo que se necesita una política de respaldo para ellos. El tercer modelo es la evaluación basada en la red. El sistema NAC escanea el dispositivo conectado utilizando técnicas como consultas SNMP, llamadas WMI a través de la red o perfilamiento pasivo de patrones de tráfico. Este es el método menos confiable y generalmente se utiliza solo como una verificación complementaria o para entornos heredados donde el despliegue de agentes no es viable. Ahora, hablemos específicamente de la integración con RADIUS y 802.1X, porque aquí es donde la arquitectura se vuelve interesante. En un despliegue estándar de 802.1X, el suplicante (el dispositivo) presenta las credenciales al autenticador (su punto de acceso inalámbrico o switch), el cual reenvía la solicitud de autenticación al servidor RADIUS. El servidor RADIUS valida las credenciales y devuelve un Access-Accept o Access-Reject. En un despliegue con reconocimiento de postura, se extiende este flujo. Después de que la autenticación inicial tiene éxito, el servidor RADIUS (o un motor de políticas coubicado como Cisco ISE, Aruba ClearPass o Forescout) activa una evaluación de postura. El dispositivo se coloca inicialmente en una VLAN restringida (a veces llamada VLAN de postura o VLAN de cuarentena) mientras se ejecuta la evaluación. Si el dispositivo aprueba todas las verificaciones de postura, se envía un mensaje de Change of Authorization de RADIUS al punto de acceso, moviendo el dispositivo a la VLAN de producción correspondiente. Si falla, permanece en la VLAN restringida y se le redirige a un portal de remediación. El método EAP es importante aquí. EAP-TLS, que utiliza autenticación mutua por certificados, es el estándar de oro para el acceso de dispositivos corporativos porque permite al servidor RADIUS validar no solo al usuario sino también el certificado del dispositivo, confirmando que es un endpoint conocido y administrado. EAP-PEAP o EAP-TTLS con MSCHAPv2 son comunes para la autenticación basada en credenciales de usuario, pero proporcionan menos garantías a nivel de dispositivo por sí mismos. Para que la evaluación de postura sea verdaderamente robusta, se requiere EAP-TLS combinado con la verificación de cumplimiento de MDM; esa combinación ofrece tanto la identidad criptográfica del dispositivo como una señal de salud en tiempo real. ¿Qué atributos específicos evalúa típicamente una verificación de postura? La lista de verificación principal para la mayoría de los despliegues corporativos cubre: versión del sistema operativo y número de compilación (¿el dispositivo ejecuta una versión de sistema operativo compatible?), nivel de parches (¿se han aplicado parches críticos y de alta gravedad dentro de un período definido, típicamente 30 días?), estado del antivirus o de la detección y respuesta de endpoints (¿está instalado un producto de seguridad reconocido, ejecutándose y con firmas actualizadas?), firewall local (¿está habilitado?), cifrado de disco (¿está activo BitLocker o FileVault?), registro en MDM (¿está el dispositivo registrado en su plataforma de gestión?) y, cada vez más, las organizaciones agregan verificaciones de software prohibido (¿está presente alguna aplicación con vulnerabilidades conocidas?) y de validez de certificados. Sección tres. Recomendaciones de implementación y errores comunes. Permítanme ofrecerles la guía práctica que proviene del despliegue de estos sistemas en entornos de hospitalidad, retail y sector público. Primero, comiencen con la visibilidad antes de la aplicación estricta. Antes de configurar las verificaciones de postura en modo de bloqueo, ejecútenlas en modo de solo monitoreo durante al menos cuatro semanas. Esto les dará una línea base de cómo se ve realmente su flota de dispositivos: qué porcentaje de dispositivos no cumple, qué atributos de postura fallan con más frecuencia y si los umbrales de sus políticas están calibrados correctamente. Pasar directamente a la aplicación estricta sin esta línea base es el error más común, y resulta en una ola de tickets en la mesa de ayuda y usuarios frustrados desde el primer día. Segundo, diseñen su segmentación de VLAN antes de configurar las políticas de postura. Necesitan como mínimo tres segmentos de red: una VLAN corporativa de acceso total para dispositivos administrados que cumplen con las políticas, una VLAN de remediación con acceso a Internet y acceso a su infraestructura de gestión de parches y MDM pero a nada más, y una VLAN de invitados para dispositivos personales no administrados. Algunas organizaciones agregan una cuarta: una VLAN corporativa restringida para dispositivos administrados que fallan en la postura pero necesitan acceso limitado a recursos específicos mientras se remedian. Mapeen estas VLAN a sus resultados de postura antes de escribir una sola regla de política. Tercero, manejen el problema de los dispositivos BYOD y de invitados de manera explícita. Particularmente en entornos de hospitalidad (y esto se aplica por igual a hoteles, centros de conferencias y áreas de descanso del personal de retail), tendrán una población significativa de dispositivos personales que nunca se registrarán en un MDM. Su política de postura debe tener una ruta definida para estos dispositivos. El enfoque típico es enrutar automáticamente los dispositivos no registrados a una VLAN de invitados, con controles de ancho de banda y filtrado de contenido adecuados, en lugar de bloquearlos por completo. Bloquear dispositivos personales en un hotel o entorno de conferencias genera un problema operativo inmediato que su equipo de atención al cliente sentirá antes que su equipo de seguridad. Cuarto, establezcan tiempos de espera de remediación realistas. Cuando un dispositivo falla en la postura y se coloca en la VLAN de remediación, deben definir cuánto tiempo tiene para autocorregirse antes de ser movido a cuarentena o bloqueado. Para fallas relacionadas con parches, un período de 24 a 48 horas es razonable para un dispositivo corporativo administrado; es lo suficientemente largo para que el dispositivo descargue actualizaciones y lo suficientemente corto para mantener la urgencia. Para fallas de antivirus, el período debe ser más corto (de cuatro a ocho horas), porque un dispositivo sin protección activa de endpoints representa un riesgo más inmediato. Quinto, prueben minuciosamente su flujo de Change of Authorization. CoA es el mecanismo que mueve un dispositivo de la VLAN de remediación a la VLAN de producción después de aprobar la postura. También es el mecanismo que puede mover un dispositivo de regreso a cuarentena si falla una verificación periódica. Las fallas de CoA (donde el servidor RADIUS envía el mensaje CoA pero el punto de acceso no actúa en consecuencia) son una fuente común de quejas de los usuarios. Prueben esto de extremo a extremo en su laboratorio antes del despliegue en producción y monitoreen las tasas de éxito de CoA en sus registros de RADIUS después del despliegue. Ahora, una palabra sobre los errores específicos en entornos de grandes recintos. En un estadio o centro de conferencias con miles de conexiones simultáneas, la evaluación de postura agrega latencia al flujo de autenticación. Las verificaciones basadas en agentes que requieren que el agente recopile telemetría y la reporte pueden agregar de dos a cinco segundos al tiempo de conexión. A gran escala, esto es notorio. Optimicen prealmacenando en caché los resultados de postura; la mayoría de los motores de políticas permiten almacenar en caché el resultado de postura de un dispositivo durante un período definido, típicamente de una a cuatro horas, para que la reautenticación no active una reevaluación completa cada vez. Esta es una optimización de rendimiento crítica para entornos de alta densidad. Sección cuatro. Preguntas rápidas. Pregunta: ¿Puedo realizar la evaluación de postura sin desplegar agentes en cada dispositivo? Sí, a través de la integración de la API de MDM para dispositivos registrados y perfilamiento basado en la red para otros, pero su cobertura y precisión serán menores que con agentes. Para un entorno mixto, un enfoque híbrido (agentes en dispositivos corporativos, API de MDM para BYOD registrados y perfilamiento de red como respaldo) es la respuesta pragmática. Pregunta: ¿Funciona la evaluación de postura con WPA3? Sí. WPA3 Enterprise utiliza el mismo marco de autenticación 802.1X que WPA2 Enterprise, por lo que la evaluación de postura se integra de la misma manera. El PMF (Protected Management Frames) más fuerte de WPA3 y la autenticación SAE de hecho complementan la verificación de postura al asegurar la capa de autenticación sobre la cual se apoya la postura. Pregunta: ¿Cuál es la diferencia entre la evaluación de postura y NAC? NAC (Network Access Control) es el marco más amplio para controlar qué dispositivos pueden acceder a qué recursos de red. La evaluación de postura es un insumo para la decisión de NAC, específicamente la señal de salud del dispositivo. Se puede tener NAC sin evaluación de postura (por ejemplo, control de acceso solo por identidad), pero no se puede tener un control de acceso basado en la postura sin un marco de NAC para aplicar los resultados. Pregunta: ¿Cómo se integra esto con una plataforma como Purple? La plataforma de Purple gestiona la identidad de los dispositivos y las políticas de acceso en la capa de WiFi. La evaluación de postura es la siguiente capa de control: enriquece la decisión de acceso con datos de salud del dispositivo. Para los operadores preocupados por la seguridad, integrar las señales de postura de su MDM en el motor de políticas de Purple les permite aplicar un acceso diferenciado basado tanto en la identidad como en el estado de cumplimiento del dispositivo. Sección cinco. Resumen y próximos pasos. Para resumir los puntos clave del informe de hoy. La evaluación de postura de dispositivos es la práctica de evaluar la salud del endpoint (versión del sistema operativo, nivel de parches, estado del antivirus, registro en MDM) al momento de la autenticación, y utilizar esa señal de salud para determinar los derechos de acceso a la red. La arquitectura combina la autenticación 802.1X, un motor de políticas RADIUS, la integración de la API de MDM y la segmentación de VLAN para crear un sistema de control de acceso basado en la postura. Los tres resultados de postura (acceso total, VLAN de remediación y cuarentena) deben diseñarse y probarse antes de habilitar la aplicación estricta. Comiencen con el modo de monitoreo, construyan su línea base y luego pasen a la aplicación estricta. Esto no es opcional si desean un despliegue sin contratiempos. Para los operadores de recintos, la población de dispositivos BYOD y de invitados requiere un manejo de políticas explícito; el enrutamiento a una VLAN de invitados en lugar del bloqueo es la opción predeterminada operativamente más sólida. Sus próximos pasos inmediatos: auditen su arquitectura de VLAN actual y confirmen que tienen los segmentos necesarios para el enrutamiento basado en la postura. Evalúen las capacidades de la API de su plataforma MDM para la exportación de datos de postura. Revisen las capacidades de política de postura de su servidor RADIUS o plataforma NAC. Y si están comenzando desde cero, consideren un enfoque por fases: desplieguen primero 802.1X, agreguen la verificación de postura en modo de monitoreo y luego pasen a la aplicación estricta en un plazo de 90 días. Gracias por escuchar. Para obtener más información sobre la arquitectura de autenticación 802.1X y el despliegue de WiFi Zero Trust, visiten la biblioteca de guías de Purple. Si están evaluando el control de acceso basado en la postura para la red de su recinto, el equipo de Purple puede guiarlos a través de una evaluación de despliegue. Hasta la próxima.