Bonnes pratiques pour sécuriser les réseaux scolaires K-12 avec un NAC

Meilleures pratiques pour sécuriser les réseaux scolaires de la maternelle au lycée avec un contrôle d'accès au réseau (NAC) Une note d'information de Purple WiFi - Environ 10 minutes --- INTRODUCTION ET CONTEXTE - environ 1 minute Bienvenue dans cette note d'information de Purple WiFi. Je suis votre hôte, et aujourd'hui nous abordons un sujet situé au carrefour de la protection, de la conformité et de l'ingénierie réseau pratique : la sécurisation des réseaux scolaires de la maternelle au lycée à l'aide du contrôle d'accès au réseau, ou NAC. Si vous êtes responsable informatique ou architecte réseau dans le secteur de l'éducation, vous connaissez déjà le défi. Vous disposez d'un seul réseau physique qui doit desservir simultanément les enseignants, les élèves, les administrateurs, les parents en visite, les appareils IoT comme les tableaux blancs interactifs et les caméras de vidéosurveillance, et parfois des prestataires externes - le tout avec des niveaux de confiance et des exigences d'accès très différents. Les enjeux sont de taille. Les écoles détiennent des données personnelles sensibles sur des mineurs. Elles sont soumises au GDPR, à la CIPA dans le contexte américain, et de plus en plus aux directives de l'Ofsted et du DfE au Royaume-Uni. Un seul point d'accès mal configuré peut exposer des dossiers de protection ou permettre à un élève de s'introduire dans le réseau administratif. Aujourd'hui, nous allons donc détailler précisément comment concevoir et déployer une solution NAC dans un environnement scolaire - les normes, la stratégie de segmentation, les points d'intégration et les pièges qui font trébucher même les équipes chevronnées. C'est parti. --- ANALYSE TECHNIQUE APPROFONDIE - environ 5 minutes Commençons par les fondamentaux. Le NAC - Network Access Control - consiste à contrôler qui et quoi peut se connecter à votre réseau, et ce qu'ils peuvent faire une fois connectés. Dans le contexte scolaire, cela signifie appliquer l'authentification, l'autorisation et les politiques de sécurité au point d'entrée du réseau, qu'il s'agisse d'un port de commutateur filaire ou d'un point d'accès sans fil. La norme de référence ici est l'IEEE 802.1X. Il s'agit du protocole d'authentification basé sur les ports qui s'interpose entre un suppliant - l'appareil qui tente de se connecter - un authentificateur, qui est votre commutateur ou point d'accès, et un serveur d'authentification, généralement un serveur RADIUS. Lorsqu'un appareil tente de se connecter, le 802.1X le maintient dans un état non authentifié, transmet les identifiants au serveur RADIUS, et n'accorde l'accès au réseau que lorsque le serveur confirme la correspondance de l'identité et de la politique. Dans une école, cela correspond directement à vos différentes populations d'utilisateurs. Le personnel s'authentifie avec ses identifiants Active Directory ou Azure AD. Les élèves s'authentifient avec les identifiants fournis par l'école ou les certificats de l'appareil. Les appareils non gérés - le téléphone d'un parent lors d'une réunion, l'ordinateur portable d'un prestataire - sont redirigés vers un Captive Portal ou un VLAN invité restreint. Parlons maintenant de la segmentation VLAN, car c'est là que la plupart des réseaux scolaires réussissent leur configuration ou, au contraire, se laissent vulnérables. Le modèle de segmentation minimal viable pour un réseau K-12 ressemble à ceci. Vous avez besoin d'au moins quatre VLANs. Premièrement, un VLAN Staff and Administration - il supporte les postes de travail des enseignants, les systèmes MIS, les données RH et les applications financières. Un accès internet complet, mais aucun accès latéral aux appareils des élèves. Deuxièmement, un VLAN Student - accès internet filtré, filtrage de contenu appliqué, aucun accès aux ressources du personnel. Troisièmement, un VLAN IoT and Infrastructure - c'est là que résident vos tableaux blancs interactifs, caméras IP, contrôleurs d'accès aux portes et imprimantes. Crucialement, ce VLAN ne doit avoir aucun accès internet du tout, sauf si un appareil spécifique l'exige, et il doit être protégé par un pare-feu à la fois des VLANs du personnel et des élèves. Quatrièmement, un VLAN Guest ou visiteur - internet uniquement, complètement isolé, avec un Captive Portal pour l'acceptation des conditions et la capture d'identité. Le serveur RADIUS est le cerveau de cette opération. Dans la plupart des déploiements scolaires, vous intégrerez RADIUS à votre service d'annuaire existant. Si vous utilisez Microsoft Active Directory, cela se fait généralement via NPS (Network Policy Server) sur Windows Server, ou via un service RADIUS cloud si vous êtes passé à Azure AD ou Google Workspace. Le serveur RADIUS applique la politique en fonction de l'appartenance au groupe : un utilisateur du groupe de sécurité "Staff" est affecté au VLAN 10, un utilisateur de "Students" obtient le VLAN 20, et ainsi de suite. Du côté du sans-fil, la meilleure pratique actuelle est le WPA3-Enterprise. Le WPA3 corrige les vulnérabilités connues du WPA2, en particulier concernant les attaques par dictionnaire hors ligne et la vulnérabilité KRACK. Le WPA3-Enterprise utilise un mode de sécurité 192 bits pour les environnements à haute sensibilité, ce qui convient pour le SSID du personnel et de l'administration. Pour les SSIDs des élèves, le WPA3-Personal avec SAE (Simultaneous Authentication of Equals) est une amélioration significative par rapport au WPA2-PSK, car il empêche les attaques par force brute hors ligne même si la clé pré-partagée est compromise. Une décision d'architecture qui mérite d'être soulignée est de savoir s'il faut utiliser un seul SSID avec attribution dynamique de VLAN, ou plusieurs SSIDs. L'approche à SSID unique est plus propre sur le plan opérationnel - les utilisateurs se connectent à un seul nom de réseau, et le serveur RADIUS les attribue dynamiquement au bon VLAN en fonction de leurs identifiants. Cela réduit la surcharge RF et simplifie la configuration des appareils. Cependant, cela nécessite que tous vos points d'accès prennent en charge l'attribution dynamique de VLAN via les attributs RADIUS, spécifiquement les attributs Tunnel-Type, Tunnel-Medium-Type et Tunnel-Private-Group-ID dans la réponse RADIUS Access-Accept. Désormais, la gestion des appareils IoT est un défi particulier dans les écoles. Les tableaux blancs interactifs, les visionneuses de documents, les capteurs environnementaux - ces appareils ne prennent souvent pas du tout en charge la norme 802.1X. La solution ici est le MAC Authentication Bypass, ou MAB, combiné avec le Multi-PSK, ou MPSK. Le MAB vous permet d'authentifier les appareils par leur adresse MAC par rapport à une liste blanche dans votre serveur RADIUS. Le MPSK va plus loin - il vous permet d'attribuer une clé pré-partagée unique par appareil ou groupe d'appareils, de sorte que chaque appareil IoT possède son propre identifiant, et la compromission de la clé d'un appareil n'affecte pas les autres. Pour un guide détaillé de cette approche, le guide de Purple sur la Gestion de la sécurité des appareils IoT avec NAC et MPSK couvre les spécificités de configuration en profondeur. Abordons également le contrôle de conformité des terminaux, car c'est là que les solutions NAC d'entreprise apportent une valeur ajoutée significative par rapport au 802.1X de base. Des solutions comme Cisco ISE, Aruba ClearPass ou Forescout peuvent interroger les terminaux avant d'accorder l'accès - en vérifiant si un appareil dispose de définitions antivirus à jour, si le système d'exploitation est corrigé, si le chiffrement du disque est activé. Dans le contexte scolaire, cela est particulièrement précieux pour les appareils appartenant au personnel ou les scénarios de BYOD. Un appareil qui échoue aux contrôles de conformité peut être mis en quarantaine dans un VLAN de remédiation où il ne peut accéder qu'aux serveurs de mise à jour, plutôt que de se voir accorder un accès réseau complet. --- RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER - environ 2 minutes Laissez-moi vous présenter la séquence de déploiement pratique, puis vous signaler les trois pièges que je rencontre le plus souvent. Commencez par un audit complet du réseau. Avant de toucher à une seule configuration, vous devez disposer d'un inventaire complet de chaque appareil sur le réseau - câblé et sans fil - et de chaque SSID diffusant actuellement. Utilisez un outil comme Nmap ou votre plateforme de gestion de réseau existante pour lister les appareils. Vous trouverez presque certainement du shadow IT : des points d'accès personnels, des commutateurs non gérés, des appareils dont personne ne soupçonnait l'existence. Échelonnez votre déploiement. N'essayez pas d'imposer l'authentification 802.1X dans toute l'école dès le premier jour. Commencez par un projet pilote - généralement le réseau du personnel dans le bâtiment administratif. Exécutez-le d'abord en mode surveillance, où le 802.1X est évalué mais pas appliqué, afin de pouvoir identifier les appareils qui échoueront à l'authentification avant de bloquer qui que ce soit. Passez ensuite à l'application, VLAN par VLAN. Intégrez votre service d'annuaire avant de déployer auprès des utilisateurs. Le mode de défaillance le plus courant consiste à déployer RADIUS pour découvrir ensuite que votre intégration d'annuaire est défectueuse - soit parce que des règles de pare-feu bloquent le trafic LDAP, soit parce que le compte de service utilisé par RADIUS ne dispose pas des autorisations suffisantes pour interroger l'appartenance aux groupes. Voyons maintenant les trois pièges à éviter. Premièrement : les anciens appareils. Toutes les écoles en possèdent. Des imprimantes plus anciennes, du matériel audiovisuel hérité, des tableaux blancs interactifs de 2012. Ces appareils ne prendront pas en charge le protocole 802.1X. Prévoyez une stratégie de liste blanche MAB avant d'imposer l'authentification, sous peine de devoir gérer les appels de tous les enseignants dont l'imprimante a cessé de fonctionner le premier jour du trimestre. Deuxièmement : la gestion des certificats. L'authentification WPA3-Enterprise et EAP-TLS nécessite des certificats. Si vous utilisez une PKI gérée par l'école, assurez-vous que votre autorité de certification est approuvée sur tous les appareils gérés avant le déploiement. Les appareils BYOD non gérés inviteront les utilisateurs à accepter un certificat non approuvé, ce qui crée un risque de phishing - les utilisateurs s'habituent à cliquer sur "accepter" lors des avertissements de certificat. Troisièmement : la conformité du réseau invité. En vertu du GDPR, si vous collectez des données personnelles via un captive portal - même une simple adresse e-mail - vous devez disposer d'une base légale, d'un avis de confidentialité et d'une politique de conservation des données. La plateforme de WiFi invité de Purple gère cela de manière native, en fournissant des flux de captive portal conformes avec une gestion intégrée du consentement, ce qui est particulièrement utile pour les soirées portes ouvertes et les événements destinés aux parents où vous devez accueillir rapidement un grand nombre de visiteurs. - QUESTIONS-RÉPONSES RAPIDES - environ 1 minute Laissez-moi passer en revue les questions que je reçois le plus souvent à ce sujet. "Avons-nous besoin d'un serveur RADIUS dédié ou pouvons-nous utiliser un service cloud ?" - Les deux sont valables. Le NPS sur site sur Windows Server est gratuit et s'intègre nativement à Active Directory. Les services de RADIUS dans le cloud comme Foxpass ou JumpCloud RADIUS sont mieux adaptés aux environnements Azure AD ou Google Workspace, et ils réduisent l'empreinte de votre infrastructure sur site. "Qu'en est-il des Chromebooks ?" - Les Chromebooks prennent en charge le protocole 802.1X de manière native et peuvent être configurés via la console d'administration Google pour utiliser EAP-TLS avec des certificats d'appareil délivrés par la gestion des certificats de Google. C'est l'approche la plus propre pour les déploiements de Google Workspace for Education. "Comment gérer les parents lors des soirées portes ouvertes ?" - Un captive portal sur un VLAN invité isolé. Aucun 802.1X requis. La plateforme de WiFi invité de Purple fournit un portail personnalisé à l'image de votre marque et conforme au GDPR, qui recueille le consentement et peut transmettre des données analytiques à votre équipe de marketing ou de communication. "Quel est le retour sur investissement d'un NAC dans une école ?" - Principalement la réduction des risques. Une violation de données impliquant des dossiers d'élèves peut entraîner des amendes de l'ICO, des dommages à la réputation et des coûts de remédiation importants. Le coût d'une solution NAC correctement déployée ne représente qu'une fraction du coût d'une seule enquête sur une violation de données. - RÉSUMÉ ET PROCHAINES ÉTAPES - environ 1 minute Pour résumer : la sécurisation d'un réseau scolaire avec un NAC repose sur quatre piliers. L'identité - savoir qui et quoi se trouve sur votre réseau à tout moment. La segmentation - s'assurer qu'un appareil d'élève compromis ne puisse pas accéder aux données du personnel ou à l'infrastructure IoT. La conformité - respecter les exigences du GDPR, de la CIPA et du DfE en matière de protection des données et de sauvegarde. Et la visibilité - disposer de capacités de journalisation et d'analyse pour détecter les anomalies et réagir rapidement. Le point de départ pratique est un audit réseau et la conception de VLAN. Une fois cette étape validée, le déploiement du 802.1X suit une séquence logique. N'essayez pas de tout faire en même temps - procédez par étapes, testez en mode surveillance et créez votre liste blanche MAB avant d'appliquer les règles. Si vous évaluez comment une plateforme d'analyse et de WiFi pour invités s'intègre dans cette architecture, la plateforme de Purple s'intègre directement à votre infrastructure NAC pour offrir un accueil conforme des invités, des analyses sur les visiteurs et l'application des politiques - sans ajouter de complexité à la segmentation de votre réseau central. Pour aller plus loin, les guides de Purple sur la sécurité des appareils IoT avec NAC et MPSK, ainsi que les ressources plus larges sur l'architecture réseau d'entreprise, sont partagés dans les notes de l'émission. Merci pour votre écoute. À la prochaine. --- FIN DU SCRIPT