Évaluation de la posture des appareils pour le contrôle d'accès au réseau

Évaluation de la posture des appareils pour le contrôle d'accès au réseau. Un briefing technique Purple. Bienvenue. Je suis votre hôte pour le briefing d'aujourd'hui, et si vous nous écoutez, vous êtes probablement un architecte de sécurité informatique, un ingénieur réseau ou un CTO à qui l'on a demandé de renforcer le contrôle d'accès au réseau au sein de votre organisation. Que vous gériez un parc hôtelier, une chaîne de magasins, un centre de conférences ou un établissement du secteur public, vous êtes arrivé au point où vérifier simplement qui se connecte à votre réseau ne suffit plus. Vous devez savoir ce qui se connecte, et si cet appareil est dans un état de sécurité digne de confiance. C'est exactement ce que nous allons aborder aujourd'hui. L'évaluation de la posture des appareils pour le contrôle d'accès au réseau : de quoi s'agit-il, comment cela fonctionne-t-il d'un point de vue technique, comment l'intégrer à votre infrastructure RADIUS existante et à vos plateformes MDM, et surtout, que faire des appareils qui échouent au contrôle. Entrons dans le vif du sujet. Première section. Contexte et importance actuelle de l'évaluation de la posture. Au cours de la dernière décennie, la plupart des déploiements WiFi d'entreprise reposaient sur un contrôle d'accès basé sur l'identité. Vous authentifiez l'utilisateur — via 802.1X, un Captive Portal ou une clé pré-partagée — et si les identifiants sont valides, vous accordez l'accès. Le problème est que la seule vérification de l'identité ne dit rien sur l'état de sécurité de l'appareil lui-même. Un nom d'utilisateur et un mot de passe valides peuvent être saisis sur un ordinateur portable équipé d'un système d'exploitation non corrigé depuis trois ans et sans antivirus, connecté à votre VLAN d'entreprise. Cet appareil devient une menace dès l'instant où il se connecte à votre réseau. La transition vers l'architecture Zero Trust a fondamentalement changé la donne. Le Zero Trust repose sur le principe de ne jamais faire confiance et de toujours vérifier — et cette vérification doit s'étendre au-delà de l'identité pour englober la santé de l'appareil. C'est là que l'évaluation de la posture de l'appareil entre en jeu. L'évaluation de la posture interroge le terminal au moment de l'authentification, vérifie un ensemble défini de critères de santé et intègre ce résultat dans la décision de contrôle d'accès. Le résultat est un accès réseau basé sur la posture — un modèle où ce que vous pouvez faire sur le réseau est déterminé non seulement par votre identité, mais aussi par l'état de sécurité de l'appareil que vous utilisez. Du point de vue de la conformité, cela revêt une importance capitale. La version 4.0 de PCI DSS exige explicitement que les organisations contrôlent quels appareils peuvent accéder aux environnements de données de titulaires de cartes. Le principe de responsabilité du GDPR exige que les organisations mettent en œuvre des mesures techniques appropriées pour protéger les données personnelles — et autoriser des appareils non corrigés et non gérés sur des réseaux qui transportent des données personnelles est de plus en plus difficile à défendre lors d'un audit. Pour les environnements de santé, la même logique s'applique dans le cadre des exigences du NHS Cyber Essentials et, dans le contexte américain, de la HIPAA. Deuxième section. Analyse technique approfondie — fonctionnement concret de l'évaluation de la posture. Laissez-moi vous expliquer le fonctionnement en détail. À la base, l'évaluation de la posture de l'appareil est un processus qui s'exécute pendant ou immédiatement après la phase d'authentification, avant que l'accès complet au réseau ne soit accordé. Vous rencontrerez trois modèles d'architecture principaux. Le premier est l'évaluation de la posture basée sur un agent. Un agent logiciel léger — installé sur le terminal, souvent dans le cadre de votre MDM ou de votre plateforme de détection et de réponse sur les terminaux — collecte la télémétrie de santé et la présente au moteur de politique NAC. C'est l'approche la plus complète. L'agent peut vérifier la version du système d'exploitation, le niveau de correctif cumulatif, la mise à jour des signatures antivirus, l'état du pare-feu, l'état du chiffrement du disque, si des applications interdites spécifiques sont en cours d'exécution et si l'appareil est enregistré dans votre MDM. L'agent communique ces données au serveur RADIUS ou à un moteur de politique dédié via un protocole tel que RADIUS CoA — Change of Authorisation — ou via une intégration API spécifique au fournisseur. Le deuxième modèle est l'évaluation de la posture sans agent. Ici, le système NAC tente de déduire l'état de santé de l'appareil sans agent local, généralement en interrogeant directement votre plateforme MDM. Lorsqu'un appareil se connecte et s'authentifie, le moteur de politique appelle Microsoft Intune, Jamf ou VMware Workspace ONE via API, récupère le dossier de conformité de l'appareil et l'utilise comme signal de posture. Cela fonctionne bien pour les appareils d'entreprise gérés qui sont déjà enregistrés dans le MDM. La limite est évidente : les appareils non gérés ou BYOD n'auront pas de dossier MDM, vous avez donc besoin d'une politique de secours pour ceux-ci. Le troisième modèle est l'évaluation basée sur le réseau. Le système NAC analyse l'appareil connecté à l'aide de techniques telles que des requêtes SNMP, des appels WMI sur le réseau ou l'empreinte passive des modèles de trafic. C'est la méthode la moins fiable et elle n'est généralement utilisée que comme vérification supplémentaire ou pour les environnements existants où le déploiement d'un agent n'est pas réalisable. Maintenant, parlons spécifiquement de l'intégration avec RADIUS et 802.1X, car c'est là que l'architecture devient intéressante. Dans un déploiement 802.1X standard, le suppliant — c'est-à-dire l'appareil — présente ses identifiants à l'authentificateur, qui est votre point d'accès sans fil ou votre commutateur, lequel transmet la demande d'authentification au serveur RADIUS. Le serveur RADIUS valide les identifiants et renvoie un Access-Accept ou un Access-Reject. Dans un déploiement prenant en compte la posture, vous étendez ce flux. Une fois l'authentification initiale réussie, le serveur RADIUS — ou un moteur de politique colocalisé tel que Cisco ISE, Aruba ClearPass ou Forescout — déclenche une évaluation de la posture. L'appareil est initialement placé dans un VLAN restreint — parfois appelé VLAN de posture ou VLAN de quarantaine — pendant que l'évaluation s'exécute. Si l'appareil réussit toutes les vérifications de posture, un message RADIUS Change of Authorisation est envoyé au point d'accès, déplaçant l'appareil vers le VLAN de production approprié. S'il échoue, il reste dans le VLAN restreint et est redirigé vers un portail de remédiation. Le choix de la méthode EAP est ici crucial. L'EAP-TLS, qui utilise l'authentification mutuelle par certificat, est la référence absolue pour l'accès aux appareils de l'entreprise, car il permet au serveur RADIUS de valider non seulement l'utilisateur, mais aussi le certificat de l'appareil — confirmant ainsi qu'il s'agit d'un point de terminaison connu et géré. L'EAP-PEAP ou l'EAP-TTLS avec MSCHAPv2 sont couramment utilisés pour l'authentification basée sur les identifiants des utilisateurs, mais offrent en soi moins de garanties au niveau de l'appareil. Pour que l'évaluation de la posture de sécurité soit réellement robuste, il est recommandé d'associer l'EAP-TLS à un contrôle de conformité MDM — cette combinaison vous apporte à la fois l'identité cryptographique de l'appareil et un signal de santé en temps réel. Quels attributs spécifiques un contrôle de posture évalue-t-il généralement ? La liste de contrôle de base pour la plupart des déploiements en entreprise couvre : la version du système d'exploitation et le numéro de build — l'appareil utilise-t-il une version d'OS prise en charge ? Le niveau de correctif — les correctifs critiques et de haute gravité ont-ils été appliqués dans un délai défini, généralement de 30 jours ? L'état de l'antivirus ou de la solution de détection et de réponse aux menaces sur les points de terminaison (EDR) — un produit de sécurité reconnu est-il installé, actif et utilise-t-il des signatures à jour ? Le pare-feu local — est-il activé ? Le chiffrement du disque — BitLocker ou FileVault est-il actif ? L'enregistrement MDM — l'appareil est-il enregistré auprès de votre plateforme de gestion ? De plus en plus, les organisations ajoutent des contrôles pour les logiciels interdits — une application connue pour ses vulnérabilités est-elle présente ? — ainsi que pour la validité des certificats. Troisième section. Recommandations de mise en œuvre et pièges courants. Voici quelques conseils pratiques issus du déploiement de ces systèmes dans les secteurs de l'hôtellerie, du commerce de détail et du secteur public. Tout d'abord, commencez par la visibilité avant l'application des règles. Avant de configurer les contrôles de posture en mode blocage, exécutez-les en mode surveillance uniquement pendant au moins quatre semaines. Cela vous donne une base de référence de l'état réel de votre parc d'appareils — quel pourcentage d'appareils n'est pas conforme, quels attributs de posture échouent le plus fréquemment et si vos seuils de politique sont correctement calibrés. Passer directement à l'application stricte sans cette base de référence est l'erreur la plus courante, et elle se traduit dès le premier jour par une vague de tickets d'assistance et d'utilisateurs frustrés. Deuxièmement, concevez votre segmentation VLAN avant de configurer vos politiques de posture. Vous avez besoin au minimum de trois segments réseau : un VLAN d'entreprise à accès complet pour les appareils gérés conformes, un VLAN de remédiation avec accès à Internet et accès à votre infrastructure de gestion des correctifs et MDM mais rien d'autre, et un VLAN invité pour les appareils personnels non gérés. Certaines organisations en ajoutent un quatrième — un VLAN d'entreprise restreint pour les appareils gérés qui échouent au contrôle de posture mais qui ont besoin d'un accès limité à des ressources spécifiques pendant leur remédiation. Associez ces VLAN à vos résultats de posture avant de rédiger la moindre règle de politique. Troisièmement, gérez explicitement le problème du BYOD et des appareils invités. Dans les environnements hôteliers en particulier — et cela s'applique également aux hôtels, aux centres de conférence et aux espaces de repos du personnel de vente — vous aurez une population importante d'appareils personnels qui ne seront jamais enregistrés dans un MDM. Votre politique de posture doit définir un parcours précis pour ces appareils. L'approche typique consiste à diriger automatiquement les appareils non enregistrés vers un VLAN invité, avec des contrôles de bande passante et un filtrage de contenu appropriés, plutôt que de les bloquer purement et simplement. Bloquer les appareils personnels dans un hôtel ou un centre de conférence crée un problème opérationnel immédiat que votre équipe d'accueil ressentira bien avant votre équipe de sécurité. Quatrièmement, définissez des délais de remédiation réalistes. Lorsqu'un appareil échoue au contrôle de posture et est placé dans le VLAN de remédiation, vous devez définir le temps dont il dispose pour s'auto-corriger avant d'être mis en quarantaine ou bloqué. Pour les échecs liés aux correctifs, une fenêtre de 24 à 48 heures est raisonnable pour un appareil d'entreprise géré — assez long pour que l'appareil télécharge les mises à jour, assez court pour maintenir la pression. Pour les échecs d'antivirus, la fenêtre doit être plus courte — de quatre à huit heures — car un appareil sans protection active des terminaux représente un risque plus immédiat. Cinquièmement, testez minutieusement votre flux de changement d'autorisation (CoA). Le CoA est le mécanisme qui déplace un appareil du VLAN de remédiation vers le VLAN de production une fois qu'il a validé sa posture. C'est également le mécanisme qui peut renvoyer un appareil en quarantaine si une vérification périodique échoue. Les échecs de CoA — où le serveur RADIUS envoie le message CoA mais le point d'accès n'y donne pas suite — sont une source courante de plaintes des utilisateurs. Testez cela de bout en bout dans votre laboratoire avant le déploiement en production, et surveillez les taux de réussite du CoA dans vos journaux RADIUS après le déploiement. Un mot maintenant sur les pièges spécifiques aux environnements de grande envergure. Dans un stade ou un centre de conférence comptant des milliers de connexions simultanées, l'évaluation de la posture ajoute de la latence au flux d'authentification. Les vérifications basées sur des agents, qui nécessitent que l'agent collecte la télémétrie et la transmette, peuvent ajouter deux à cinq secondes au temps de connexion. À grande échelle, cela est perceptible. Optimisez en pré-mettant en cache les résultats de posture — la plupart des moteurs de politique vous permettent de mettre en cache le résultat de posture d'un appareil pendant une période définie, généralement d'une à quatre heures, afin que la ré-authentification ne déclenche pas une ré-évaluation complète à chaque fois. Il s'agit d'une optimisation de performance essentielle pour les environnements à haute densité. Section quatre. Questions-réponses rapides. Question : Puis-je effectuer une évaluation de posture sans déployer d'agents sur chaque appareil ? Oui, via l'intégration de l'API MDM pour les appareils enregistrés et le fingerprinting réseau pour les autres, mais votre couverture et votre précision seront inférieures à celles obtenues avec des agents. Pour un environnement mixte, une approche hybride — des agents sur les appareils d'entreprise, l'API MDM pour le BYOD enregistré, le fingerprinting réseau en dernier recours — est la réponse pragmatique. Question : L'évaluation de la posture de sécurité fonctionne-t-elle avec le WPA3 ? Oui. Le WPA3 Enterprise utilise le même framework d'authentification 802.1X que le WPA2 Enterprise, de sorte que l'évaluation de la posture s'intègre de la même manière. Le PMF (Protected Management Frames) plus robuste du WPA3 et l'authentification SAE complètent en réalité la vérification de la posture en renforçant la couche d'authentification sur laquelle repose la posture. Question : Quelle est la différence entre l'évaluation de la posture et le NAC ? Le NAC — Network Access Control — est le framework plus large permettant de contrôler quels appareils peuvent accéder à quelles ressources réseau. L'évaluation de la posture est l'un des éléments d'entrée de la décision NAC, plus précisément le signal de santé de l'appareil. Vous pouvez avoir un NAC sans évaluation de la posture — par exemple, un contrôle d'accès basé uniquement sur l'identité — mais vous ne pouvez pas avoir de contrôle d'accès basé sur la posture sans un framework NAC pour appliquer les décisions. Question : Comment cela s'intègre-t-il avec une plateforme comme Purple ? La plateforme de Purple gère l'identité des appareils et les politiques d'accès au niveau de la couche WiFi. L'évaluation de la posture constitue la couche de contrôle suivante : elle enrichit la décision d'accès avec les données de santé de l'appareil. Pour les opérateurs soucieux de la sécurité, l'intégration des signaux de posture de votre MDM dans le moteur de politiques de Purple vous permet d'appliquer un accès différencié basé à la fois sur l'identité et sur l'état de conformité de l'appareil. Section cinq. Résumé et prochaines étapes. Pour résumer les points clés de la présentation d'aujourd'hui. L'évaluation de la posture de l'appareil consiste à évaluer la santé du terminal — version de l'OS, niveau de correctif, état de l'antivirus, enregistrement MDM — au moment de l'authentification, et à utiliser ce signal de santé pour déterminer les droits d'accès au réseau. L'architecture combine l'authentification 802.1X, un moteur de politiques RADIUS, l'intégration de l'API MDM et la segmentation VLAN pour créer un système de contrôle d'accès basé sur la posture. Les trois résultats de posture — accès complet, VLAN de remédiation et quarantaine — doivent être conçus et testés avant que l'application des règles ne soit activée. Commencez par le mode surveillance, établissez votre base de référence, puis passez à l'application des règles. Cette étape n'est pas facultative si vous souhaitez un déploiement fluide. Pour les gestionnaires de sites, la population d'appareils BYOD et invités nécessite une gestion explicite des politiques — le routage vers un VLAN invité plutôt que le blocage est le choix par défaut le plus judicieux sur le plan opérationnel. Vos prochaines étapes immédiates : auditez votre architecture VLAN actuelle et confirmez que vous disposez des segments nécessaires pour le routage basé sur la posture. Évaluez les capacités de l'API de votre plateforme MDM pour l'exportation des données de posture. Examinez les capacités de politique de posture de votre serveur RADIUS ou de votre plateforme NAC. Et si vous partez de zéro, envisagez une approche progressive : déployez d'abord le 802.1X, ajoutez la vérification de la posture en mode surveillance, puis passez à l'application des règles sur une période de 90 jours. Merci pour votre écoute. Pour en savoir plus sur l'architecture d'authentification 802.1X et le déploiement du WiFi Zero Trust, visitez la bibliothèque de guides Purple. Si vous évaluez le contrôle d'accès basé sur la posture pour le réseau de votre site, l'équipe Purple peut vous accompagner dans l'évaluation de votre déploiement. À la prochaine.