Passer au contenu principal
Français

Évaluation de la posture NAC : Garantir la conformité des appareils gérés avant l'accès au réseau

Ce guide de référence technique propose une analyse approfondie de l'évaluation de la posture NAC, détaillant l'architecture, les normes et les stratégies de déploiement requises pour imposer la conformité des appareils gérés. Il fournit aux responsables informatiques et aux architectes réseau des informations exploitables pour atténuer les risques et garantir un accès réseau sécurisé dans les environnements d'entreprise multi-sites.

Publié le Mis à jour le
📖 6 min de lecture1,318 mots2 exemples concrets3 questions d'entraînement8 définitions clés

Écouter ce guide

Voir la transcription du podcast
Bienvenue dans la série de briefings techniques de Purple. Aujourd'hui, nous abordons l'un des aspects les plus critiques sur le plan opérationnel — et souvent le plus mal compris — de la sécurité des réseaux d'entreprise : l'évaluation de la posture NAC, et plus particulièrement la manière de s'assurer que seuls les appareils gérés et conformes accèdent à votre réseau, avant même qu'ils n'aient envoyé le moindre paquet de trafic de production. Si vous êtes responsable informatique, architecte réseau ou CTO en charge d'un parc multisite — qu'il s'agisse d'un groupe hôtelier, d'une chaîne de magasins, d'un stade ou d'une organisation du secteur public —, ce sujet concerne directement votre posture de sécurité actuelle. Nous allons détailler l'architecture, les normes, les modèles de déploiement en conditions réelles et les pièges qui piègent même les équipes les plus expérimentées. C'est parti. Alors, qu'est-ce que l'évaluation de la posture NAC exactement ? Le Network Access Control, ou NAC, est le cadre global qui régit quels appareils peuvent se connecter à votre réseau et sous quelles conditions. L'évaluation de la posture est le mécanisme spécifique au sein du NAC qui interroge l'état de sécurité d'un appareil avant — ou immédiatement après — sa connexion. Voyez cela comme un bilan de santé à l'entrée. L'appareil ne doit pas seulement prouver son identité ; il doit prouver qu'il est dans un état d'intégrité suffisant pour qu'on lui fasse confiance. Cette architecture repose sur trois composants clés. Tout d'abord, le point d'application des politiques (PEP — Policy Enforcement Point). Il s'agit généralement de votre point d'accès, de votre commutateur ou de votre contrôleur sans fil. C'est le gardien qui contrôle physiquement le flux de trafic. Ensuite, le point de décision des politiques (PDP — Policy Decision Point). C'est votre moteur NAC, souvent intégré à un serveur RADIUS ou AAA. Il reçoit les données de posture, les évalue par rapport à votre politique et indique au PEP la conduite à tenir. Enfin, le moteur d'évaluation de la posture lui-même — il s'agit soit d'un agent s'exécutant sur le terminal, soit d'un mécanisme sans agent utilisant des protocoles comme SNMP, WMI ou SSH pour interroger l'appareil à distance. Désormais, la couche d'authentification qui sous-tend tout cela est la norme IEEE 802.1X. Il s'agit de la norme de contrôle d'accès réseau basé sur les ports qui existe depuis 2001, mais qui reste aujourd'hui la colonne vertébrale du NAC d'entreprise. La norme 802.1X définit trois rôles : le Supplicant — l'appareil qui tente de se connecter ; l'Authenticator — votre commutateur ou point d'accès ; et le serveur d'authentification — votre serveur RADIUS. Le Supplicant et le serveur d'authentification communiquent via EAP — l'Extensible Authentication Protocol — encapsulé dans un tunnel à travers l'Authenticator. L'EAP-TLS, qui utilise une authentification mutuelle basée sur des certificats, est la référence absolue en la matière. C'est ce que vous devez déployer si vous voulez garantir sérieusement la conformité des appareils gérés. Que vérifie réellement le contrôle de posture ? Il existe six catégories principales. Le niveau de correctif du système d'exploitation — l'appareil exécute-t-il une version d'OS prise en charge et les correctifs critiques sont-ils appliqués dans le délai défini ? L'état de la sécurité des terminaux — un agent AV ou EDR approuvé est-il installé, actif et doté de définitions à jour ? L'état du pare-feu — le pare-feu basé sur l'hôte est-il activé et sa politique intacte ? Le chiffrement du disque — le chiffrement complet du disque est-il actif et non suspendu ? La validité du certificat — l'appareil détient-il un certificat machine valide et approuvé émis par votre PKI ? Et enfin, la conformité de la configuration — la configuration de sécurité de l'appareil correspond-elle à votre référence définie ? En fonction du résultat de ces vérifications, votre moteur de politique NAC attribue l'un des trois états suivants. Conforme — l'appareil réussit tous les contrôles requis et bénéficie d'un accès complet au réseau, généralement à son VLAN ou rôle attribué. Conditionnel — l'appareil réussit les contrôles critiques mais échoue à un ou plusieurs contrôles non critiques ; il obtient un accès limité, peut-être uniquement à Internet, avec une notification à l'utilisateur. Et Non Conforme — l'appareil échoue à un contrôle critique et est placé dans un VLAN de quarantaine avec un accès uniquement à un portail de remédiation. Ce portail de remédiation est l'endroit où l'appareil peut télécharger des correctifs, mettre à jour les définitions AV ou recevoir des instructions pour une remédiation manuelle. Maintenant, où se situe le WPA3 dans tout cela ? Le WPA3-Enterprise, en particulier avec le mode 192 bits, renforce la couche cryptographique sous-jacente au 802.1X. Il impose le GCMP-256 pour le chiffrement et l'HMAC-SHA-384 pour l'intégrité, ce qui est particulièrement pertinent pour les environnements traitant des données de cartes de paiement ou des données personnelles sensibles dans le cadre du GDPR. Si vous gérez un environnement de vente au détail soumis au PCI DSS, ou un établissement de santé soumis aux exigences de gouvernance des données du NHS, le WPA3-Enterprise devrait figurer sur votre feuille de route pour les nouveaux déploiements. Parlons de l'évaluation de posture avec ou sans agent, car il s'agit d'un véritable point de décision architectural. L'évaluation basée sur un agent — où un client léger s'exécute sur le terminal — vous offre la visibilité la plus profonde. Vous pouvez interroger les clés de registre, les processus en cours d'exécution, les logiciels installés et l'état de sécurité en temps réel. Le compromis réside dans la lourdeur du déploiement : vous avez besoin d'un MDM ou d'une plateforme de gestion des terminaux pour déployer et maintenir l'agent sur l'ensemble de votre parc. L'évaluation sans agent utilise une interrogation basée sur le réseau — SNMP, WMI via le réseau, ou des appels API vers votre plateforme MDM. Elle est plus facile à déployer mais offre une visibilité moins profonde et est plus sensible au contournement. Pour un parc d'entreprise managé, l'approche avec agent est la bonne réponse. Pour les environnements où vous avez un mélange d'appareils managés et non managés — pensez à un centre de conférence ou au réseau d'arrière-guichet d'un hôtel — une approche hybride est plus logique. Un autre point d'architecture mérite d'être souligné : l'évaluation continue de la posture par rapport à l'évaluation ponctuelle. La plupart des implémentations NAC héritées ne vérifient la posture qu'au moment de la connexion. C'est une lacune importante. Un appareil conforme à neuf heures du matin lors de sa connexion peut voir son antivirus désactivé par un utilisateur à onze heures. Les plateformes NAC modernes prennent en charge l'évaluation continue — en réévaluant la posture à des intervalles définis ou en réponse à des événements — et en modifiant dynamiquement le niveau d'accès réseau de l'appareil sans nécessiter de reconnexion. C'est la direction vers laquelle vous devriez vous orienter. Passons maintenant à la pratique. Lors du déploiement de l'évaluation de la posture NAC, le mode de défaillance le plus courant que je constate est le passage direct au mode d'application. Ne faites pas cela. Commencez en mode surveillance — parfois appelé mode audit ou mode visibilité. Exécutez vos vérifications de posture, enregistrez les résultats, mais n'appliquez pas de politique. Exécutez cela pendant au moins deux à quatre semaines. Vous découvrirez presque certainement des appareils dont vous ignoriez l'existence sur votre réseau, et vous constaterez qu'une proportion importante de vos appareils connus échoue à une ou plusieurs vérifications de posture. Utilisez ces données pour corriger votre parc avant d'appliquer les règles. Le deuxième piège concerne l'infrastructure de certificats. L'évaluation de la posture basée sur un agent avec EAP-TLS nécessite une PKI fonctionnelle. Si vous n'en avez pas, ou si la gestion du cycle de vie de vos certificats est manuelle et ad hoc, vous subirez des pannes. Les certificats expirent. Les appareils sont reconstruits sans certificats. Planifiez votre PKI avant de planifier votre déploiement NAC. Troisièmement : la conception des VLAN. Votre VLAN de quarantaine doit être véritablement isolé — pas seulement un sous-réseau différent sur la même infrastructure physique. Il ne doit avoir accès qu'à votre portail de remédiation et, si nécessaire, à Windows Update ou à votre serveur de gestion des correctifs. Si votre VLAN de quarantaine dispose d'une route vers les systèmes de production, vous avez créé un faux sentiment de sécurité. Quatrièmement : les processus d'exception et de contournement. Chaque organisation possède des appareils qui ne peuvent pas exécuter d'agent — imprimantes, capteurs IoT, systèmes de gestion technique de bâtiment. Vous avez besoin d'un processus documenté et approuvé pour accorder un contournement d'authentification MAC à ces appareils, avec des contrôles compensatoires. Si vous ne définissez pas ce processus dès le départ, vous vous retrouverez avec une liste blanche informelle que personne ne gère et que personne n'audite. Du point de vue des normes, alignez votre politique de posture sur les benchmarks CIS pour vos plateformes de systèmes d'exploitation. Ceux-ci sont neutres vis-à-vis des fournisseurs, régulièrement mis à jour et largement acceptés comme base de référence pour la sécurité des terminaux d'entreprise. Pour les environnements PCI DSS, l'exigence 6.3 sur la gestion des correctifs et l'exigence 5.3 sur les anti-malwares correspondent directement à vos catégories de vérification de posture. Place maintenant à quelques questions rapides. L'évaluation de la posture NAC peut-elle fonctionner pour les appareils BYOD ? Oui, mais vous devez configurer un parcours de politique distinct. Les appareils BYOD passent généralement par une méthode EAP différente — EAP-PEAP avec des identifiants utilisateur plutôt que EAP-TLS avec des certificats machine — et reçoivent un segment de réseau plus restreint. Les vérifications de posture pour le BYOD sont généralement plus légères : version de l'OS, présence d'un antivirus de base, verrouillage de l'écran activé. Comment cela interagit-il avec un réseau WiFi invité ? Cela n'interagit pas, et cela ne devrait pas. Le WiFi invité est un SSID et un segment de réseau complètement distincts, isolés de votre infrastructure d'entreprise. L'évaluation de la posture NAC s'applique uniquement à votre SSID d'entreprise. Les deux réseaux ne doivent jamais partager un VLAN ni router l'un vers l'autre. Quel est le calendrier type pour un déploiement NAC complet ? Pour une entreprise de taille moyenne — disons de cinq cents à deux mille terminaux répartis sur plusieurs sites — prévoyez de douze à seize semaines, de la conception à la mise en application complète. Cela comprend la configuration de la PKI, le déploiement des agents, le mode surveillance, la remédiation et le déploiement progressif de la mise en application. En résumé : l'évaluation de la posture NAC est le mécanisme qui garantit que votre cadre de contrôle d'accès au réseau a du répondant. L'identité seule — savoir qui se connecte — ne suffit pas. Vous devez connaître l'état de sécurité de l'appareil, le valider par rapport à votre politique et appliquer des mesures en cas de non-conformité. L'architecture est mature et bien standardisée autour de 802.1X, RADIUS et EAP-TLS. Les défis de mise en œuvre sont réels mais gérables si vous suivez une approche progressive. Vos prochaines étapes immédiates : auditez votre parc actuel de terminaux pour vérifier la conformité de leur posture à l'aide de votre MDM ou de vos outils de gestion des terminaux existants. Évaluez la préparation de votre PKI. Concevez votre architecture VLAN pour les segments conformes, conditionnels et de quarantaine. Et planifiez un déploiement en mode surveillance avant de passer à la mise en application. Pour les organisations exploitant des environnements mixtes — l'arrière-guichet de l'entreprise côtoyant un réseau WiFi invité ou public — des plateformes comme Purple fournissent l'intelligence réseau et les analyses côté invité qui complètent votre déploiement NAC d'entreprise, maintenant ces deux mondes proprement séparés tout en vous offrant une visibilité totale sur les deux. Merci pour votre écoute. Explorez le guide écrit complet sur la plateforme Purple pour obtenir des schémas d'architecture, des exemples concrets et des références de configuration.

Fait partie de notre série principale : Enterprise WiFi Security Guide →

Évaluation de la posture NAC : Garantir la conformité des appareils gérés avant l'accès au réseau

Executive Summary

For enterprise IT leaders managing complex and multi-site environments, identity alone is no longer a sufficient metric for network access. Knowing who is connecting is less critical than knowing the security state of the device they are using. Network Access Control (NAC) posture assessment is the mechanism that bridges this gap, ensuring that only managed and compliant devices gain access to corporate infrastructure before a single packet of production traffic is transmitted.

This guide provides a comprehensive technical reference for designing, deploying, and managing NAC posture assessment. We explore its underlying architecture, including 802.1X, RADIUS, and EAP-TLS, evaluate the pros and cons of agent-based versus agentless interrogation, and outline a phased deployment strategy that minimises operational disruption. Whether you are securing a corporate headquarters, a distributed retail estate, or hospitality back-office operations, implementing a robust posture assessment is a critical step in mitigating risk and enforcing compliance.

Listen to our 10-minute technical briefing podcast below for an executive overview of the key concepts and common deployment pitfalls.

Technical Deep-Dive

Posture Assessment Architecture

Network Access Control controls device connectivity, but posture assessment is the specific interrogation of a device's security health. Its architecture relies primarily on three main components working in unison:

  1. Policy Enforcement Point (PEP): This is the physical or logical gatekeeper - typically a wireless access point, switch port, or wireless LAN controller. The PEP physically controls the flow of traffic based on directives from the policy engine.
  2. Policy Decision Point (PDP): Often integrated with a RADIUS or AAA server, the PDP is the brains of the NAC architecture. It receives posture data, evaluates it against defined compliance policies, and issues enforcement directives to the PEP.
  3. Posture Assessment Engine: This component gathers the actual health data from the endpoint. This can be an agent running locally on the device, or an agentless mechanism using network protocols (such as SNMP, WMI) or API integration with a Mobile Device Management (MDM) platform.

Évaluation de la posture NAC : Garantir la conformité des appareils gérés avant l'accès au réseau - nac architecture overview

The Role of IEEE 802.1X and EAP-TLS

The foundation of enterprise NAC is the IEEE 802.1X standard, which defines port-based network access control. Within this framework, three roles are defined:

  • Supplicant: The endpoint device attempting to connect.
  • Authenticator: The PEP (switch or access point) facilitating the connection.
  • Authentication Server: The RADIUS server validating the credentials.

Communication between the Supplicant and the Authentication Server occurs via Extensible Authentication Protocol (EAP), tunnelled through the Authenticator. For managed corporate devices, EAP-TLS is the gold standard. It mandates mutual authentication using X.509 digital certificates, ensuring that both the device and the network cryptographically verify each other's identity. This prevents credential theft and rogue access point attacks.

Posture Check Categories

When a device attempts to connect, the posture assessment engine evaluates several critical vectors:

  • OS and Patch Management: Verifying that the operating system is supported and that critical patches have been applied within defined SLAs.
  • Endpoint Security (AV/EDR): Ensuring that approved anti-virus or Endpoint Detection and Response agents are installed, active, and running updated definitions.
  • Firewall Status: Confirming that host-based firewalls are enabled and their policies have not been tampered with.
  • Disk Encryption: Verifying that full-disk encryption (e.g., BitLocker, FileVault) is active and not suspended.
  • Certificate Validation: Checking for the presence and validity of required machine certificates.
  • Configuration Compliance: Ensuring the device's security baseline aligns with corporate policy (e.g., screen lock timers, disabled USB mass storage).

Évaluation de la posture NAC : Garantir la conformité des appareils gérés avant l'accès au réseau - posture compliance check…

WPA3-Enterprise and Cryptographic Strength

As network security evolves, so do its underlying cryptographic standards. WPA3-Enterprise, particularly when operating in 192-bit mode, provides significant advancements over WPA2. It mandates the use of GCMP-256 for encryption and HMAC-SHA-384 for integrity. For organisations handling sensitive data - such as retail environments subject to PCI DSS or healthcare facilities under strict data governance - transitioning to WPA3-Enterprise is a necessary step to future-proof network infrastructure.

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.

Implementation Guide

Deploying NAC posture assessment requires careful planning to avoid widespread network outages. The following phased approach is recommended for enterprise environments:

Phase 1: Infrastructure Readiness and PKI Design

Before enabling posture checks, ensure your underlying infrastructure can support the architecture. If deploying EAP-TLS, a robust Public Key Infrastructure (PKI) is essential. Certificates must be automatically provisioned and renewed via your MDM or Group Policy. Manual certificate management will inevitably lead to connectivity failures when certificates expire.

Phase 2: Monitor Mode (Visibility Phase)

The most critical phase of any NAC deployment is Monitor Mode. During this phase, the NAC system evaluates device posture and logs the results, but does not enforce policies. The PEP allows full access regardless of the posture outcome.

Run Monitor Mode for at least 2-4 weeks. This provides visibility into the actual compliance state of your estate. You will identify devices failing checks due to broken agents, pending reboots, or misconfigurations. Use this data to proactively remediate the estate.

Phase 3: Segmented Enforcement

Once the compliance baseline reaches an acceptable level, begin enforcement. Based on policy evaluation, devices are categorised into three states:

  1. Compliant: The device passes all critical checks and is assigned to the production VLAN with full required access.
  2. Conditional: The device fails a non-critical check (e.g., a minor OS update is pending). It may be granted restricted access (e.g., internet only) and the user is notified to remediate within a specified grace period.
  3. Non-Compliant: The device fails a critical check (e.g., AV is disabled). The PEP assigns the device to a quarantine VLAN.

Phase 4: Remediation Architecture

The quarantine VLAN must be strictly isolated. It should only permit traffic to the remediation portal, necessary update servers (e.g., Windows Update, AV definition servers), and internal IT support resources. If a quarantined device can route traffic to production subnets, the NAC architecture has failed.

Best Practices

  • Continuous Assessment: Legacy NAC only evaluates posture at the time of connection. Modern deployments must support continuous assessment, re-evaluating posture at regular intervals or in response to events (e.g., an EDR alert) and dynamically updating the device's access level via Change of Authorization (CoA).
  • Agent vs. Agentless: For managed corporate devices, an agent-based approach provides the deepest visibility and continuous monitoring capabilities. Agentless interrogation is suitable for unmanaged devices or environments where deploying an agent is administratively prohibited.
  • MAC Authentication Bypass (MAB): MAB is required for devices incapable of 802.1X (e.g., legacy printers, IoT sensors). However, MAB is inherently insecure as MAC addresses can be spoofed. MAB devices must be deeply profiled and placed in strictly controlled, isolated VLANs.
  • Aligning with Standards: Base your posture policies on established frameworks such as CIS Benchmarks. This ensures your compliance checks are vendor-neutral and aligned with industry best practices.
  • Isolating Guest Traffic: Corporate NAC posture assessment should never intersect with public access networks. In venues where both are required, use a dedicated Guest WiFi platform to manage public access on entirely separate infrastructure, such as Purple's WiFi Analytics solution.

Troubleshooting and Risk Mitigation

Common Failure Modes

  1. 'Big Bang' Enforcement: Transitioning from open access to strict enforcement across the entire estate all at once is a guaranteed recipe for operational disruption. Always use a phased rollout by site or department.
  2. PKI Failure: Expired root or intermediate certificates, or failures in the Certificate Revocation List (CRL) / Online Certificate Status Protocol (OCSP) infrastructure, will cause widespread authentication failures. Implement robust monitoring for your PKI.
  3. Remediation Loops: Ensure that devices in the quarantine VLAN have sufficient network access to download the updates required to become compliant. If they cannot reach update servers, they will remain permanently quarantined.

ROI and Business Impact

Implementing NAC posture assessment delivers measurable business value beyond simple security metrics:

  • Risk Mitigation: By ensuring only healthy devices gain access to the network, the lateral spread of malware and ransomware is significantly reduced, decreasing the likelihood of costly data breaches.
  • Compliance Verification: For highly regulated sectors such as hospitality and transport, automated posture assessment provides continuous proof of compliance with standards like PCI DSS and GDPR, simplifying the audit process.
  • Operational Efficiency: Automating the quarantine and remediation process reduces the burden on the IT helpdesk, allowing engineers to focus on strategic initiatives rather than manually cleaning infected endpoints.

Définitions clés

802.1X

Une norme IEEE pour le contrôle d'accès réseau basé sur les ports, qui fournit un mécanisme d'authentification aux appareils souhaitant se connecter à un LAN ou un WLAN.

Le protocole fondamental qui garantit qu'un appareil doit s'authentifier avant que le port du commutateur ou le point d'accès ne laisse passer le trafic IP.

EAP-TLS

Extensible Authentication Protocol - Transport Layer Security. Un cadre d'authentification qui utilise des certificats numériques X.509 pour une authentification mutuelle.

La norme recommandée pour les appareils d'entreprise gérés, car elle repose sur des certificats cryptographiques plutôt que sur des mots de passe facilement compromis.

Évaluation de la posture

Le processus d'évaluation de l'état de sécurité et de la configuration d'un appareil terminal par rapport à une politique d'entreprise définie.

Garantit qu'un appareil est non seulement authentifié mais également "sain" (mis à jour, chiffré, protégé) avant de se voir accorder l'accès au réseau.

Point d'application des politiques (PEP)

L'équipement réseau (commutateur, contrôleur sans fil ou point d'accès) qui bloque ou autorise physiquement le trafic en fonction de la politique NAC.

Le composant qui exécute réellement la commande "autoriser" ou "mettre en quarantaine" émise par le serveur NAC.

Point de décision des politiques (PDP)

Le serveur central ou moteur (souvent un serveur RADIUS) qui évalue les demandes d'authentification et les données de posture pour déterminer les droits d'accès.

Le cerveau de l'opération qui détient la base de règles et décide du niveau d'accès qu'un appareil spécifique doit recevoir.

Contournement de l'authentification MAC (MAB)

Une méthode d'authentification de secours qui utilise l'adresse MAC d'un appareil comme identifiant lorsqu'il ne peut pas effectuer d'authentification 802.1X.

Utilisé pour les appareils sans interface utilisateur comme les imprimantes ou les capteurs IoT. Il est intrinsèquement faible et doit être combiné avec une segmentation réseau stricte.

Changement d'autorisation (CoA)

Une extension RADIUS qui permet au serveur NAC de modifier dynamiquement l'état d'autorisation d'une session active.

Crucial pour une évaluation continue ; si un appareil devient non conforme en cours de connexion, le CoA permet au serveur NAC de le déplacer instantanément vers un VLAN de quarantaine sans nécessiter de déconnexion.

VLAN de quarantaine

Un segment de réseau strictement isolé conçu pour accueillir les appareils non conformes, offrant un accès uniquement aux ressources de remédiation.

Empêche un appareil infecté ou vulnérable de communiquer avec les systèmes de production pendant qu'il télécharge les mises à jour ou correctifs nécessaires.

Exemples concrets

Un hôtel de 400 chambres exige que les ordinateurs portables du personnel de l'entreprise accèdent de manière sécurisée au système de gestion de propriété (PMS) administratif. Cependant, l'établissement héberge également de nombreux appareils IoT non gérés (thermostats intelligents, signalisation numérique) qui ne peuvent pas exécuter d'agent NAC.

Mettre en œuvre une politique 802.1X EAP-TLS pour tous les ordinateurs portables du personnel de l'entreprise, en imposant des contrôles de posture stricts (antivirus actif, disque chiffré, correctifs appliqués). Ces appareils sont attribués dynamiquement au VLAN d'entreprise après confirmation de leur conformité. Pour les appareils IoT, mettre en œuvre le contournement de l'authentification MAC (MAB) combiné à un profilage approfondi des appareils. Veiller à ce que ces appareils MAB soient placés dans des VLAN IoT isolés et dédiés, avec des ACL limitant leur accès uniquement aux contrôleurs spécifiques avec lesquels ils doivent communiquer. En aucun cas le VLAN IoT ne doit être routé vers le VLAN d'entreprise ou le PMS.

Commentaire de l'examinateur : Cette approche segmente correctement le réseau en fonction des capacités des appareils et de leur profil de risque. Elle impose une sécurité élevée pour les appareils gérés tout en offrant une méthode d'accès pragmatique et contrôlée pour le matériel IoT sans écran, atténuant ainsi les risques inhérents au MAB.

Une chaîne de vente au détail déploie de nouveaux terminaux de point de vente (POS) dans 50 points de vente. L'équipe informatique souhaite imposer le respect de la posture de sécurité pour répondre aux exigences PCI DSS, mais craint de perturber les opérations des magasins pendant le déploiement.

Déployer l'architecture NAC en mode d'observation (Monitor Mode) pendant 30 jours. Durant cette période, le système NAC authentifiera les terminaux POS et évaluera leur posture par rapport à la référence PCI DSS (ex. pare-feu actif, aucun logiciel non autorisé), mais enregistrera les échecs sans bloquer l'accès. L'équipe informatique examine les journaux chaque semaine, identifie les terminaux qui échouent aux contrôles et les corrige via la plateforme MDM. Une fois que le taux de conformité atteint 100 %, la politique passe en mode d'application (Enforcement Mode) site par site pendant les fenêtres de maintenance.

Commentaire de l'examinateur : L'approche progressive utilisant le mode d'observation est essentielle pour la continuité des activités. Elle permet à l'équipe de sécurité d'identifier et de résoudre les écarts de conformité sans impact sur les opérations génératrices de revenus des points de vente.

Questions d'entraînement

Q1. Une solution NAC récemment déployée dans un bureau d'entreprise cause des problèmes de connectivité généralisés. Des appareils qui étaient conformes hier sont aujourd'hui placés dans le VLAN de quarantaine. Le support informatique signale que les appareils semblent sains, avec l'antivirus actif et les correctifs appliqués. Quelle est la défaillance d'architecture la plus probable ?

Conseil : Considérez le cycle de vie des identifiants utilisés dans EAP-TLS.

Voir la réponse type

La cause la plus probable est une défaillance de l'infrastructure à clés publiques (PKI). Si les certificats de machine utilisés pour l'authentification EAP-TLS ont expiré, ou si le serveur NAC ne peut pas joindre la liste de révocation de certificats (CRL) ou le répondeur OCSP, l'authentification échouera quel que soit l'état de sécurité réel de l'appareil. Le système NAC se configure par défaut sur un état de blocage ou de quarantaine.

Q2. Vous concevez l'architecture VLAN pour un nouveau déploiement NAC. L'équipe de sécurité insiste pour que le VLAN de quarantaine autorise l'accès au serveur proxy de l'entreprise afin que les utilisateurs puissent naviguer sur Internet pendant que leurs appareils se corrigent. Est-ce une conception judicieuse ?

Conseil : Évaluez le risque de permettre à un appareil potentiellement compromis d'accéder à une infrastructure partagée.

Voir la réponse type

Non, cette conception est défaillante. Autoriser un appareil en quarantaine à accéder au proxy de l'entreprise introduit un risque important. Si l'appareil est infecté par un malware, il pourrait utiliser le proxy pour établir une communication de commande et contrôle ou tenter de pivoter vers d'autres systèmes internes accessibles via le proxy. Le VLAN de quarantaine doit être strictement isolé, n'autorisant l'accès qu'à des serveurs de remédiation spécifiques (par exemple, Windows Update, serveurs de signatures antivirus) et au portail de remédiation lui-même.

Q3. Une équipe informatique hospitalière doit sécuriser l'accès réseau pour une flotte de nouvelles pompes à perfusion médicale sans fil. Ces appareils ne prennent pas en charge les supplicants 802.1X et ne peuvent pas exécuter d'agent de posture. Comment l'accès réseau doit-il être contrôlé pour ces appareils ?

Conseil : Considérez les méthodes d'authentification alternatives et le principe du moindre privilège.

Voir la réponse type

Les appareils doivent être authentifiés à l'aide du MAC Authentication Bypass (MAB). Le MAB étant intrinsèquement faible (les adresses MAC pouvant être usurpées), l'accès réseau doit être fortement restreint. Les pompes à perfusion doivent être placées dans un VLAN IoT médical dédié et isolé. Des listes de contrôle d'accès (ACL) doivent être appliquées à ce VLAN, autorisant la communication uniquement avec les serveurs de gestion centrale spécifiques requis pour leur fonctionnement, et bloquant tout autre mouvement latéral ou accès Internet.

Continuer la lecture de cette série

PPSK WPA3 : comparaison des fonctionnalités et des modèles de déploiement

Ce guide de référence technique compare le PPSK et le WPA3-SAE, en expliquant leurs différences architecturales et leurs modèles de déploiement pour les environnements multi-locataires. Il fournit des conseils pratiques aux responsables informatiques et aux promoteurs immobiliers pour mettre en œuvre des réseaux WiFi sécurisés et isolés grâce aux solutions basées sur l'identité de Purple.

Lire le guide →

Gestion de la bande passante pour le WiFi du personnel : lissage, QoS et réduction du trafic

Ce guide détaille les méthodes pratiques pour gérer la bande passante du WiFi du personnel dans les établissements d'entreprise. Il aborde le lissage du trafic, la mise en œuvre de la QoS et la manière dont le déploiement de Purple Shield réduit la charge réseau sans nécessiter de mise à niveau de l'infrastructure.

Lire le guide →

Comment réduire le nombre de SSIDs WiFi grâce au PSK par appareil (iPSK, DPSK, MPSK)

Ce guide de référence technique faisant autorité explique comment les équipes informatiques peuvent éliminer la dégradation des performances WiFi causée par la surcharge des balises SSID en regroupant plusieurs réseaux dédiés en un seul SSID à l'aide du PSK par appareil (xPSK). Il couvre le paysage des constructeurs à travers Cisco iPSK, HPE Aruba MPSK, Ruckus DPSK, Juniper Mist PPSK et Ubiquiti UniFi PPSK, avec des conseils pratiques de mise en œuvre sur l'attribution dynamique de VLAN, l'intégration de l'IoT et la conformité PCI DSS. Les exploitants de sites dans l'hôtellerie, le commerce de détail, les stades et les organisations du secteur public y trouveront des conseils d'architecture exploitables et des exemples concrets.

Lire le guide →

Vous avez des questions sur votre configuration spécifique ?

Notre équipe collabore avec des exploitants de sites, des responsables informatiques et des ingénieurs réseau au sein de 80 000 sites. Réservez un appel de 20 minutes et nous vous montrerons comment d'autres professionnels comme vous ont résolu ce problème.