Cómo implementar NAC posterior a la admisión para el monitoreo continuo de la confianza

Bienvenido al Purple Enterprise Architecture Briefing. Soy su anfitrión y hoy abordaremos un cambio crítico en la seguridad de redes: la transición de la autenticación estática al Monitoreo Continuo de Confianza mediante NAC Post-Admission. Nos acompaña nuestro Senior Solutions Architect. Gracias por estar aquí. Un placer estar aquí. Este es un tema que surge en casi todas las discusiones de diseño empresarial en este momento. Pongámonos en contexto. Durante años, hemos dependido de 802.1X y de Captive Portals para proteger el perímetro. ¿Por qué esto ya no es suficiente para entornos como grandes cadenas de retail o establecimientos de hospitalidad? Todo se reduce al modelo de confianza. El NAC tradicional —lo que llamamos NAC Pre-Admission— es como el cadenero de un club. Revisa tu identificación en la puerta y, si estás en la lista, entras. Pero una vez dentro, el cadenero no vigila lo que haces. En el contexto de una red, un dispositivo puede autenticarse de forma perfectamente limpia. Pero, ¿qué pasa si, diez minutos después, ese dispositivo descarga un payload malicioso y comienza a escanear la subred interna de los puntos de venta? El NAC Pre-Admission ya hizo su trabajo y se retiró. El NAC Post-Admission es el guardia de seguridad que recorre el lugar. Monitorea continuamente la sesión y puede intervenir de manera dinámica. Entonces estamos hablando de análisis de comportamiento en tiempo real. ¿Cómo funciona realmente esto a nivel técnico? Exactamente. Requiere dos componentes principales: la ingesta de telemetría y un motor de políticas dinámico. Primero, necesitamos visibilidad. Los dispositivos de acceso a la red —los controladores de LAN inalámbrica, los switches— deben transmitir telemetría de vuelta al motor NAC. Estamos hablando de NetFlow, IPFIX y datos de contabilidad RADIUS. El motor NAC utiliza esto para establecer una línea base de comportamiento. ¿Cómo es el tráfico normal de un dispositivo de un huésped en un hotel? ¿Cómo es el comportamiento normal de una bomba de infusión médica? Una vez que se tiene esa línea base, las desviaciones se vuelven detectables. ¿Y qué pasa cuando se detecta una anomalía? Ahí es donde entra la aplicación de políticas, típicamente utilizando el Cambio de Autorización de RADIUS, o CoA. Si el dispositivo de un huésped de repente comienza a generar volúmenes masivos de tráfico SMB —el tipo de tráfico que verías en una infección por ransomware—, el motor NAC detecta la anomalía y envía una solicitud de CoA al controlador de WiFi. El controlador puede entonces desconectar al cliente, moverlo a una VLAN de cuarentena o aplicar una lista de control de acceso restrictiva; todo esto a mitad de la sesión, sin ninguna intervención manual de su equipo de red. Eso suena potente, pero también potencialmente disruptivo si no se implementa correctamente. ¿Cuáles son los errores comunes que ve en el campo? El mayor error es activar la aplicación activa demasiado rápido. Se debe seguir un enfoque por fases. La fase uno siempre es Solo Monitoreo. Es necesario permitir que el sistema ingiera telemetría y cree líneas base precisas. Si pasa directamente a la aplicación, generará falsos positivos y, en un entorno de hospitalidad o lugares públicos, desconectar a usuarios legítimos es una pesadilla operativa. Siempre les digo a los clientes: Monitorear, Medir, Mitigar. Ese es el marco de trabajo. El marco de trabajo Monitorear, Medir, Mitigar. Analicemos eso. Claro. Monitorear significa implementar en modo pasivo: toda la telemetría fluye hacia adentro, sin acciones de aplicación. Medir significa revisar los datos, ajustar los umbrales y realizar pruebas de estrés en sus políticas frente a tráfico conocido como bueno. Mitigar es cuando se habilita la aplicación activa, comenzando con una respuesta graduada (tal vez una ACL restrictiva antes de una desconexión total) y luego escalando a partir de ahí. Omitir pasos e ir directamente a Mitigar es el error más común que veo. ¿Cuál es el segundo error principal? Fallas de CoA. El Cambio de Autorización (CoA) depende del puerto UDP 3799. A menudo, los firewalls entre el motor NAC central y los routers de las sucursales bloquean este tráfico, o las claves secretas compartidas de RADIUS no coinciden. Si CoA falla, no tiene un NAC Post-Admission; solo tiene un sistema de alertas muy costoso. Sus registros mostrarán la anomalía, pero no pasará nada en la red. Siempre valide CoA en un entorno de laboratorio antes del despliegue en producción. Hablemos de IoT. ¿Cómo se aplica esto a entornos con una gran cantidad de dispositivos sin interfaz de usuario (headless), como el sector salud? Podría decirse que es aún más crítico ahí. Muchos dispositivos IoT médicos no son compatibles con 802.1X, por lo que dependen de la Omisión de Autenticación MAC, o MAB. MAB es increíblemente vulnerable a la suplantación de MAC (MAC spoofing): un atacante puede clonar la dirección MAC de un dispositivo de confianza y obtener acceso a la red clínica. El NAC Post-Admission mitiga esto al perfilar el comportamiento del dispositivo. Una bomba de infusión tiene un patrón de tráfico muy predecible: se comunica con un servidor interno específico en un puerto específico, a intervalos regulares. Si un dispositivo se autentica con la dirección MAC de la bomba pero comienza a ejecutar escaneos de puertos o a comunicarse con direcciones IP externas, el monitoreo continuo lo detecta instantáneamente y pone en cuarentena el puerto del switch. Ese es un caso de uso muy convincente. ¿Qué pasa con los grandes lugares públicos, como estadios o centros de conferencias? Los entornos de alta densidad se adaptan perfectamente a este enfoque, pero presentan sus propios desafíos. Se manejan miles de sesiones concurrentes, todas generando telemetría. Su motor de políticas NAC y su infraestructura de registro deben estar escalados para manejar esa tasa de ingesta. Por lo general, recomendamos una arquitectura distribuida (colectores de telemetría locales en cada lugar que alimentan a un motor de políticas centralizado) en lugar de intentar transportar toda la telemetría sin procesar a través de un enlace WAN. La plataforma Purple WiFi Analytics se integra bien aquí, proporcionando un contexto a nivel de sesión que enriquece la toma de decisiones del motor NAC. Hagamos una sesión de preguntas y respuestas rápidas basadas en las dudas más comunes de los clientes. Primero: ¿El NAC Post-Admission reemplaza mi firewall? No. Lo complementa. Los firewalls protegen el perímetro y los límites entre los segmentos de la red. El NAC protege el borde de acceso y evita el movimiento lateral dentro del mismo segmento. Necesita ambos. Segundo: ¿Se puede integrar esto con nuestro SIEM existente? Por supuesto, y así debería ser. El motor NAC debe enviar eventos a su SIEM para su correlación. Un evento de cuarentena en la red combinado con una alerta correspondiente en su sistema de detección de endpoints es una señal mucho más fuerte que cualquiera de los dos por separado. Tercero: ¿Cuál es el ROI inmediato para un CTO? Un Tiempo Medio de Respuesta drásticamente reducido. Está automatizando la cuarentena de dispositivos comprometidos de horas —o días— a milisegundos. Eso protege su marca, reduce la carga operativa de su equipo de red y proporciona el historial de auditoría que su equipo de cumplimiento necesita para PCI DSS y GDPR. Excelente. Para concluir: los puntos clave de la sesión de hoy. El NAC Post-Admission cambia su modelo de seguridad de una verificación de entrada estática a una evaluación de confianza continua y dinámica. El mecanismo de aplicación es RADIUS Change of Authorization; asegúrese de que funcione de manera confiable antes de cualquier otra cosa. Implemente siempre en fases: Monitorear, Medir, Mitigar. El establecimiento de líneas base de comportamiento es su base; invierta el tiempo necesario para hacerlo bien. Y finalmente, este enfoque se alinea directamente con los principios de la arquitectura Zero Trust, que es hacia donde se dirigen todas las redes empresariales. Gracias por sus comentarios y gracias a todos por escuchar el Purple Enterprise Architecture Briefing. Si desea explorar cómo la plataforma de Purple puede respaldar su implementación de NAC Post-Admission, visite purple dot ai para hablar con nuestro equipo de soluciones.