Arquitectura de WiFi Zero Trust: Aplicación de Zero Trust a redes de recintos

Zero Trust WiFi Architecture: Applying Zero Trust to Venue Networks. A Purple Enterprise Briefing. Bienvenido. Si usted es arquitecto de redes, líder de seguridad de TI o CTO responsable de un grupo hotelero, propiedades comerciales, un estadio o un centro de conferencias, esta sesión informativa es para usted. En los próximos diez minutos, iremos directo al grano respecto a Zero Trust y le proporcionaremos un marco de trabajo práctico y aplicable para implementarlo en su infraestructura inalámbrica. Sin teorías innecesarias. Solo lo que necesita para tomar una decisión sólida este trimestre. Comencemos con el contexto. La frase "Zero Trust" ha estado circulando desde que John Kindervag la acuñó en Forrester en 2010. Pero para la mayoría de los operadores de recintos, ha seguido siendo un concepto abstracto asociado con los centros de datos empresariales y la seguridad en la nube. La realidad es que su red inalámbrica - aquella que sus huéspedes, personal, contratistas y dispositivos IoT comparten - es precisamente donde los principios de Zero Trust ofrecen la reducción de riesgos más inmediata. Y las herramientas para implementarlo están disponibles hoy en día, sin necesidad de una renovación completa de la infraestructura. Entonces, ¿qué significa realmente Zero Trust para el WiFi? En su esencia, Zero Trust es un modelo de seguridad basado en tres principios: nunca confiar, siempre verificar; asumir la brecha de seguridad; y aplicar el acceso con el menor privilegio posible. Aplicado a una red inalámbrica, esto significa que se deja de tratar a la conectividad de red como un sustituto de la confianza. El hecho de que un dispositivo se haya asociado con éxito a su punto de acceso y se haya autenticado en su SSID no significa que deba ser confiable para acceder a sus sistemas internos, a su red de POS o a su infraestructura de gestión de edificios. La seguridad perimetral tradicional asumía que todo lo que estaba dentro de la red era seguro. En el entorno de un recinto - donde puede tener cientos de dispositivos de invitados, docenas de laptops de contratistas, sensores IoT, terminales de pago y dispositivos portátiles del personal, todos en la misma infraestructura física - esa suposición es catastróficamente errónea. Hablemos de los cuatro pilares de Zero Trust WiFi. El primer pilar es la verificación continua. Esto va más allá del saludo de autenticación de una sola vez en el que se basan la mayoría de las implementaciones de WiFi. Cuando un dispositivo se conecta a su red a través de WPA2 o WPA3, se autentica una vez. Pero, ¿qué sucede treinta minutos después cuando el estado de ese dispositivo cambia - un cliente VPN se desconecta, un agente de seguridad deja de ejecutarse o el dispositivo se entrega a otra persona? En un modelo Zero Trust, la verificación es continua. Usted utiliza temporizadores de reautenticación de sesión en su configuración de RADIUS, en combinación con políticas de control de acceso a la red, para reevaluar periódicamente si un dispositivo debe mantener su nivel actual de acceso. El segundo pilar es el acceso de mínimo privilegio. Cada dispositivo y usuario en su red debe recibir el acceso mínimo requerido para realizar su función. El smartphone de un huésped de hotel necesita acceso a internet y nada más. Una terminal POS necesita comunicarse con la pasarela de pago y nada más. La tablet de un administrador de instalaciones necesita acceso al sistema de gestión del edificio y nada más. Esto se aplica mediante la asignación dinámica de VLAN - su servidor RADIUS devuelve un atributo VLAN basado en la identidad autenticada o el perfil del dispositivo, colocando a cada dispositivo en un segmento de red lógicamente aislado. El tercer pilar es la microsegmentación. Esta es la expresión arquitectónica del mínimo privilegio en la capa de red. En lugar de una red plana donde todos los dispositivos pueden comunicarse lateralmente, usted divide su infraestructura inalámbrica en segmentos discretos - típicamente mapeados a VLANs - cada uno con su propia política de firewall. En un entorno minorista, esto significa que su WiFi para invitados, su WiFi para el personal, sus terminales de pago y sus sistemas de gestión de stock están todos en segmentos separados con rutas explícitas y controladas por políticas entre ellos. Un dispositivo de invitado comprometido no puede saltar a su red de POS porque no existe una ruta permitida entre esos segmentos. El cuarto pilar es la aplicación de la postura del dispositivo. Aquí es donde el WiFi Zero Trust se vuelve verdaderamente potente. Utilizando una solución de control de acceso a la red integrada con su infraestructura RADIUS, puede evaluar la postura de seguridad de un dispositivo en el momento de la conexión y de forma continua a partir de entonces. ¿Está el dispositivo registrado en su plataforma MDM? ¿Está el sistema operativo actualizado a una versión reciente? ¿Está ejecutándose el agente de seguridad del endpoint? Los dispositivos que no pasan las comprobaciones de postura se colocan en una VLAN de cuarentena con acceso únicamente a recursos de remediación, en lugar de ser rechazados por completo, lo que crearía fricción operativa. Ahora entremos en la arquitectura. La base del WiFi Zero Trust es IEEE 802.1X, el estándar de control de acceso a la red basado en puertos. Cuando un dispositivo intenta conectarse, el punto de acceso actúa como un autenticador, reenviando las credenciales a un servidor RADIUS - el servidor de autenticación - el cual valida la identidad y devuelve los atributos de la política de acceso. Este es el plano de control para su aplicación de Zero Trust. Para la identidad del dispositivo, tiene dos opciones principales. La autenticación basada en certificados mediante EAP-TLS es el estándar de oro - elimina por completo el riesgo de phishing de credenciales y es obligatoria para cualquier dispositivo que controle a través de una plataforma MDM o de gestión de endpoints. Para escenarios de invitados y BYOD, PEAP con MSCHAPv2 sigue estando ampliamente implementado, aunque debería migrar hacia EAP-TLS siempre que sea viable. Si desea comprender en detalle las compensaciones técnicas entre estos métodos, vale la pena revisar la guía de Purple que compara los métodos EAP - que cubre PEAP, EAP-TLS, EAP-TTLS y EAP-FAST - antes de finalizar su arquitectura de autenticación. WPA3 es la capa de cifrado que sustenta el Zero Trust WiFi moderno. WPA3-Enterprise con modo de 192 bits proporciona la seguridad criptográfica requerida para entornos que manejan datos de tarjetas de pago o información personal confidencial. El saludo Simultaneous Authentication of Equals de WPA3 elimina la vulnerabilidad de ataques de diccionario sin conexión que hacía que las redes WPA2-Personal fueran tan fáciles de comprometer. Si aún ejecuta WPA2-Personal con una frase de contraseña compartida en cualquier segmento que maneje algo más allá del puro acceso a internet para invitados, eso debe cambiar. Permítame guiarlo a través de dos escenarios de implementación del mundo real. Primero, un grupo hotelero de 350 habitaciones con propiedades en todo el Reino Unido. El desafío: una arquitectura de red plana donde los dispositivos de los huéspedes, los dispositivos del personal, las cámaras IP, las smart TVs y el sistema de gestión de propiedades (PMS) estaban todos en la misma VLAN. Un solo dispositivo de invitado comprometido tenía el potencial de llegar al PMS y exfiltrar registros de huéspedes, una pesadilla de GDPR. La solución desplegó cuatro VLANs: Internet de Invitados, Corporativo del Personal, IoT y Sistemas de Edificios, y Acceso al PMS. Se implementó 802.1X con autenticación basada en certificados para los dispositivos del personal a través de la plataforma MDM del hotel. Los dispositivos de los huéspedes se autenticaban a través de un Captive Portal con una política RADIUS basada en MAC que aplicaba acceso exclusivo a internet. Los dispositivos IoT se clasificaron por MAC OUI y se colocaron automáticamente en la VLAN de IoT con reglas de firewall que permitían únicamente los puertos específicos requeridos por cada tipo de dispositivo. La VLAN del PMS se restringió a una lista de permitidos de direcciones MAC conocidas con autenticación de certificado 802.1X. Después del despliegue, la superficie de ataque para el movimiento lateral se redujo en más del noventa por ciento y la propiedad logró alinearse con los requisitos de minimización de datos de GDPR para datos personales accesibles a través de la red. Segundo escenario: una importante cadena de retail del Reino Unido con 200 tiendas. El motor de cumplimiento aquí fue PCI-DSS, específicamente el requisito de aislar los entornos de datos de los titulares de tarjetas de otros segmentos de red. La arquitectura existente tenía las terminales POS en la misma infraestructura inalámbrica que la red de productividad del personal y el WiFi de los clientes. El despliegue de Zero Trust creó tres segmentos: WiFi de Invitados para Clientes con acceso exclusivo a internet aplicado en la capa RADIUS, WiFi del Personal con asignación de VLAN basada en roles (los gerentes de tienda recibían un acceso más amplio que los asociados de ventas) y un segmento POS dedicado con WPA3-Enterprise, autenticación de certificado EAP-TLS y reglas de firewall estrictas que permitían únicamente el tráfico hacia la pasarela de pago. Los registros de contabilidad de RADIUS se integraron en la plataforma SIEM para proporcionar la pista de auditoría requerida por el Requisito 10 de PCI-DSS. El resultado fue una reducción clara del alcance para la evaluación anual del QSA, disminuyendo materialmente la carga de cumplimiento. Ahora, recomendaciones de implementación y los errores que debe evitar. Comience con una auditoría de red antes de tocar una sola configuración. Mapee cada tipo de dispositivo en su red, su método de autenticación y su asignación de VLAN actual. No puede diseñar una arquitectura de privilegio mínimo sin saber qué está segmentando. Despliegue RADIUS en una configuración de alta disponibilidad desde el primer día. Un solo servidor RADIUS es un punto único de falla para toda su infraestructura de autenticación. Dos servidores en configuración activo-pasivo o activo-activo es el despliegue mínimo viable para cualquier entorno de producción. No intente migrar todos los SSID simultáneamente. Comience con su segmento de mayor riesgo - típicamente el más cercano a los sistemas de pago o datos confidenciales - y mígrelo a 802.1X con aplicación de VLAN. Valide la política, resuelva los casos particulares y luego expanda. El error más común que veo en los despliegues de recintos es el problema de la omisión de la dirección MAC. Muchos dispositivos IoT - impresoras, Smart TVs, sensores de edificios - no son compatibles con 802.1X. La tentación es incluirlos en una lista de permitidos por dirección MAC. Esto es aceptable como una medida de transición, pero las direcciones MAC son fáciles de falsificar. El objetivo a mediano plazo debe ser el perfilado de dispositivos - utilizando huellas dactilares DHCP, análisis de agente de usuario HTTP y análisis de comportamiento de tráfico para clasificar los dispositivos de forma dinámica, en lugar de depender únicamente de la dirección MAC. Un segundo error común es la sobresegmentación. Crear demasiadas VLAN aumenta la complejidad operativa y puede generar fallas inesperadas en las aplicaciones cuando se bloquea el tráfico legítimo. Comience con cuatro a seis segmentos, valide a fondo y solo agregue granularidad cuando el perfil de riesgo lo justifique. Ahora, una sección de preguntas y respuestas rápidas sobre las dudas que escucho con más frecuencia. ¿Puede el Zero Trust WiFi funcionar con dispositivos heredados que no son compatibles con 802.1X? Sí, a través de la omisión de autenticación MAC combinada con el perfilado de dispositivos. El dispositivo se coloca en una VLAN restringida según su perfil, con acceso limitado a los recursos específicos que requiere. ¿El Zero Trust WiFi requiere reemplazar los puntos de acceso existentes? En la mayoría de los casos, no. Cualquier punto de acceso de nivel empresarial fabricado en los últimos cinco años es compatible con 802.1X, asignación dinámica de VLAN y múltiples SSID. La inversión se centra principalmente en la infraestructura RADIUS, la política de NAC y las reglas de firewall, no en el hardware. ¿Cómo interactúa esto con SD-WAN? De manera muy directa. SD-WAN proporciona la segmentación de la capa WAN y la aplicación de políticas que complementan su microsegmentación inalámbrica. El tráfico que sale de un segmento de VLAN se puede dirigir a través de políticas de SD-WAN a la ruta ascendente adecuada - un tema que se analiza a fondo en la guía de Purple sobre los beneficios de SD-WAN para las empresas modernas. ¿Cuál es el intervalo de reautenticación de sesión adecuado? Para los dispositivos del personal con autenticación basada en certificados, ocho horas es un punto de partida razonable. Para los dispositivos de invitados, alinéelo con su política de tiempo de espera de sesión - típicamente de dos a cuatro horas. Para los dispositivos IoT, la reautenticación debe activarse por eventos de cambio de postura en lugar de un temporizador fijo. Para resumir los puntos clave de esta sesión. Zero Trust WiFi no es un producto - es una arquitectura basada en 802.1X, asignación dinámica de VLAN, aplicación de postura de dispositivos y verificación continua. Los estándares habilitadores son IEEE 802.1X, WPA3-Enterprise y RADIUS con retorno de atributos dinámicos. La microsegmentación es la expresión práctica del menor privilegio en una red inalámbrica - de cuatro a seis segmentos bien definidos cubren la gran mayoría de los casos de uso de los recintos. La autenticación basada en certificados a través de EAP-TLS es el estado objetivo para todos los dispositivos gestionados. MAC Authentication Bypass es un puente aceptable para IoT heredado, pero el perfilado de dispositivos debería ser el objetivo a mediano plazo. Comience con su segmento de mayor riesgo, valide y luego expándase. Sus siguientes pasos: realizar un inventario de dispositivos y VLAN, evaluar su infraestructura RADIUS actual para la preparación de alta disponibilidad e identificar su segmento de red de mayor riesgo como el objetivo de la implementación piloto. La plataforma de Purple proporciona el motor de políticas RADIUS, la aplicación de VLAN y los controles basados en MAC que sustentan esta arquitectura - y la capa de análisis de WiFi le brinda la visibilidad para validar que sus políticas estén funcionando como se espera. Gracias por escuchar. Esta ha sido una Sesión para Empresas de Purple sobre Arquitectura Zero Trust WiFi.