Comment implémenter le NAC Post-Admission pour une surveillance continue de la confiance

Bienvenue dans ce point sur l'architecture d'entreprise de Purple. Je suis votre hôte, et aujourd'hui nous abordons un changement critique dans la sécurité réseau : le passage de l'authentification statique à la surveillance continue de la confiance à l'aide du NAC Post-Admission. Notre architecte de solutions senior nous rejoint aujourd'hui. Merci d'être avec nous. C'est un plaisir d'être ici. C'est un sujet qui revient dans presque toutes les discussions sur la conception des réseaux d'entreprise en ce moment. Plantons le décor. Pendant des années, nous nous sommes appuyés sur le 802.1X et les Captive Portals pour sécuriser la périphérie. Pourquoi cela ne suffit-il plus pour des environnements tels que les grandes chaînes de distribution ou l'hôtellerie ? Tout est une question de modèle de confiance. Le NAC traditionnel — ce que nous appelons le NAC pré-admission — est comme un videur dans un club. Il vérifie votre pièce d'identité à l'entrée, et si vous êtes sur la liste, vous entrez. Mais une fois à l'intérieur, le videur ne surveille pas ce que vous faites. Dans le contexte d'un réseau, un appareil peut s'authentifier de manière parfaitement propre. Mais que se passe-t-il si, dix minutes plus tard, cet appareil télécharge une charge utile malveillante et commence à scanner le sous-réseau interne des points de vente ? Le NAC pré-admission a déjà fait son travail et s'est retiré. Le NAC Post-Admission est l'agent de sécurité qui patrouille. Il surveille en permanence la session et peut intervenir de manière dynamique. Nous parlons donc d'analyse comportementale en temps réel. Comment cela fonctionne-t-il concrètement sous le capot ? Exactement. Cela nécessite deux composants principaux : l'ingestion de la télémétrie et un moteur de politique dynamique. Tout d'abord, nous avons besoin de visibilité. Les Network Access Devices — les contrôleurs LAN sans fil, les commutateurs — doivent envoyer la télémétrie en continu vers le moteur NAC. Nous parlons de NetFlow, d'IPFIX, de données de comptabilité RADIUS. Le moteur NAC utilise ces données pour établir un profil comportemental de référence. À quoi ressemble un trafic normal pour un appareil invité dans un hôtel ? À quoi ressemble un trafic normal pour une pompe à perfusion médicale ? Une fois que vous avez ce profil de référence, les écarts deviennent détectables. Et lorsqu'une anomalie est détectée ? C'est là que l'application des règles intervient, généralement à l'aide du RADIUS Change of Authorization, ou CoA. Si un appareil invité commence soudainement à générer d'énormes volumes de trafic SMB — le type de trafic que l'on verrait lors d'une infection par ransomware —, le moteur NAC détecte l'anomalie et envoie une requête CoA au contrôleur sans fil. Le contrôleur peut alors déconnecter le client, le placer dans un VLAN de quarantaine ou appliquer une liste de contrôle d'accès restrictive — le tout en milieu de session, sans aucune intervention manuelle de votre équipe réseau. Cela semble puissant, mais aussi potentiellement perturbateur si ce n'est pas implémenté correctement. Quels sont les pièges courants que vous observez sur le terrain ? Le plus grand piège est d'activer l'application active trop rapidement. Vous devez suivre une approche progressive. La première phase est toujours la Surveillance uniquement. Vous devez laisser le système ingérer la télémétrie et créer des profils de référence précis. Si vous passez directement à l'application des règles, vous allez générer des faux positifs, et dans un hôtel ou un lieu public, déconnecter des utilisateurs légitimes est un cauchemar opérationnel. Je dis toujours aux clients : Surveiller, Mesurer, Atténuer. C'est le cadre de travail. Le cadre Surveiller, Mesurer, Atténuer. Analysons cela. Bien sûr. Surveiller signifie déployer en mode passif — toute la télémétrie afflue, aucune action d'application. Mesurer signifie examiner les données, ajuster les seuils et tester vos politiques par rapport à un trafic connu comme légitime. Atténuer correspond au moment où vous activez l'application active, en commençant par une réponse graduée — peut-être une ACL restrictive avant une déconnexion complète — puis en intensifiant à partir de là. Passer directement à la phase d'atténuation est l'erreur la plus courante que je vois. Quel est le deuxième piège majeur ? Les échecs de CoA. Le Change of Authorization repose sur le port UDP 3799. Souvent, les pare-feu entre le moteur NAC central et les routeurs de succursale bloquent ce trafic, ou les secrets partagés RADIUS ne correspondent pas. Si le CoA échoue, vous n'avez pas de NAC Post-Admission ; vous avez juste un système d'alerte très coûteux. Vos journaux afficheront l'anomalie, mais rien ne se passera sur le réseau. Validez toujours le CoA dans un environnement de laboratoire avant le déploiement en production. Parlons de l'IoT. Comment cela s'applique-t-il aux environnements riches en appareils sans écran, comme la santé ? C'est sans doute encore plus critique dans ce secteur. De nombreux appareils IoT médicaux ne peuvent pas prendre en charge le 802.1X, ils s'appuient donc sur le MAC Authentication Bypass, ou MAB. Le MAB est incroyablement vulnérable à l'usurpation d'adresse MAC — un attaquant peut cloner l'adresse MAC d'un appareil de confiance et accéder au réseau clinique. Le NAC Post-Admission atténue ce risque en profilant le comportement de l'appareil. Une pompe à perfusion a un profil de trafic très prévisible — elle communique avec un serveur interne spécifique sur un port spécifique, à intervalles réguliers. Si un appareil s'authentifie avec l'adresse MAC de la pompe mais commence à effectuer des scans de ports ou à communiquer avec des adresses IP externes, la surveillance continue le détecte instantanément et met le port du commutateur en quarantaine. C'est un cas d'usage convaincant. Qu'en est-il des grands espaces publics — stades, centres de conférences ? Les environnements à haute densité sont parfaits pour cette approche, mais ils s'accompagnent de leurs propres défis. Vous gérez des milliers de sessions simultanées, qui génèrent toutes de la télémétrie. Votre moteur de politique NAC et votre infrastructure de journalisation doivent être dimensionnés pour gérer ce débit d'ingestion. Nous recommandons généralement une architecture distribuée — des collecteurs de télémétrie locaux sur chaque site alimentant un moteur de politique centralisé — plutôt que d'essayer de rapatrier toute la télémétrie brute via une liaison WAN. La plateforme Purple WiFi Analytics s'intègre parfaitement ici, fournissant un contexte au niveau de la session qui enrichit la prise de décision du moteur NAC. Faisons un jeu de questions-réponses rapide basé sur les questions courantes des clients. Premièrement : Le NAC Post-Admission remplace-t-il mon pare-feu ? Non. Il le complète. Les pare-feu protègent le périmètre et les limites entre les segments de réseau. Le NAC protège la périphérie de l'accès et empêche les mouvements latéraux au sein d'un même segment. Vous avez besoin des deux. Deuxièmement : Cela peut-il s'intégrer à notre SIEM existant ? Absolument, et cela le devrait. Le moteur NAC doit envoyer les événements à votre SIEM pour corrélation. Un événement de quarantaine sur le réseau combiné à une alerte correspondante dans votre système de détection des terminaux est un signal beaucoup plus fort que l'un ou l'autre de ces éléments isolés. Troisièmement : Quel est le ROI immédiat pour un CTO ? Une réduction drastique du temps moyen de réponse (MTTR). Vous automatisez la mise en quarantaine des appareils compromis, passant de plusieurs heures — ou jours — à quelques millisecondes. Cela protège votre marque, réduit la charge opérationnelle de votre équipe réseau et fournit la piste d'audit dont votre équipe de conformité a besoin pour la norme PCI DSS et le GDPR. Excellent. Pour conclure : les points clés à retenir de ce point d'information. Le NAC Post-Admission fait passer votre modèle de sécurité d'un contrôle d'entrée statique à une évaluation continue et dynamique de la confiance. Le mécanisme d'application est le RADIUS Change of Authorization — assurez-vous qu'il fonctionne de manière fiable avant toute autre chose. Déployez toujours par phases : Surveiller, Mesurer, Atténuer. L'établissement de profils comportementaux de référence est votre fondation — investissez le temps nécessaire pour bien faire les choses. Et enfin, cette approche s'aligne directement sur les principes de l'architecture Zero Trust, vers laquelle se dirigent tous les réseaux d'entreprise. Merci pour ces éclairages, et merci à tous de nous avoir écoutés. Si vous souhaitez découvrir comment la plateforme de Purple peut soutenir votre déploiement de NAC Post-Admission, visitez purple dot ai pour échanger avec notre équipe de solutions.