Évaluation de la posture NAC : Garantir la conformité des appareils gérés avant l'accès au réseau

Bienvenue dans la série de briefings techniques de Purple. Aujourd'hui, nous abordons l'un des aspects les plus critiques sur le plan opérationnel — et souvent le plus mal compris — de la sécurité des réseaux d'entreprise : l'évaluation de la posture NAC, et plus particulièrement la manière de s'assurer que seuls les appareils gérés et conformes accèdent à votre réseau, avant même qu'ils n'aient envoyé le moindre paquet de trafic de production. Si vous êtes responsable informatique, architecte réseau ou CTO en charge d'un parc multisite — qu'il s'agisse d'un groupe hôtelier, d'une chaîne de magasins, d'un stade ou d'une organisation du secteur public —, ce sujet concerne directement votre posture de sécurité actuelle. Nous allons détailler l'architecture, les normes, les modèles de déploiement en conditions réelles et les pièges qui piègent même les équipes les plus expérimentées. C'est parti. Alors, qu'est-ce que l'évaluation de la posture NAC exactement ? Le Network Access Control, ou NAC, est le cadre global qui régit quels appareils peuvent se connecter à votre réseau et sous quelles conditions. L'évaluation de la posture est le mécanisme spécifique au sein du NAC qui interroge l'état de sécurité d'un appareil avant — ou immédiatement après — sa connexion. Voyez cela comme un bilan de santé à l'entrée. L'appareil ne doit pas seulement prouver son identité ; il doit prouver qu'il est dans un état d'intégrité suffisant pour qu'on lui fasse confiance. Cette architecture repose sur trois composants clés. Tout d'abord, le point d'application des politiques (PEP — Policy Enforcement Point). Il s'agit généralement de votre point d'accès, de votre commutateur ou de votre contrôleur sans fil. C'est le gardien qui contrôle physiquement le flux de trafic. Ensuite, le point de décision des politiques (PDP — Policy Decision Point). C'est votre moteur NAC, souvent intégré à un serveur RADIUS ou AAA. Il reçoit les données de posture, les évalue par rapport à votre politique et indique au PEP la conduite à tenir. Enfin, le moteur d'évaluation de la posture lui-même — il s'agit soit d'un agent s'exécutant sur le terminal, soit d'un mécanisme sans agent utilisant des protocoles comme SNMP, WMI ou SSH pour interroger l'appareil à distance. Désormais, la couche d'authentification qui sous-tend tout cela est la norme IEEE 802.1X. Il s'agit de la norme de contrôle d'accès réseau basé sur les ports qui existe depuis 2001, mais qui reste aujourd'hui la colonne vertébrale du NAC d'entreprise. La norme 802.1X définit trois rôles : le Supplicant — l'appareil qui tente de se connecter ; l'Authenticator — votre commutateur ou point d'accès ; et le serveur d'authentification — votre serveur RADIUS. Le Supplicant et le serveur d'authentification communiquent via EAP — l'Extensible Authentication Protocol — encapsulé dans un tunnel à travers l'Authenticator. L'EAP-TLS, qui utilise une authentification mutuelle basée sur des certificats, est la référence absolue en la matière. C'est ce que vous devez déployer si vous voulez garantir sérieusement la conformité des appareils gérés. Que vérifie réellement le contrôle de posture ? Il existe six catégories principales. Le niveau de correctif du système d'exploitation — l'appareil exécute-t-il une version d'OS prise en charge et les correctifs critiques sont-ils appliqués dans le délai défini ? L'état de la sécurité des terminaux — un agent AV ou EDR approuvé est-il installé, actif et doté de définitions à jour ? L'état du pare-feu — le pare-feu basé sur l'hôte est-il activé et sa politique intacte ? Le chiffrement du disque — le chiffrement complet du disque est-il actif et non suspendu ? La validité du certificat — l'appareil détient-il un certificat machine valide et approuvé émis par votre PKI ? Et enfin, la conformité de la configuration — la configuration de sécurité de l'appareil correspond-elle à votre référence définie ? En fonction du résultat de ces vérifications, votre moteur de politique NAC attribue l'un des trois états suivants. Conforme — l'appareil réussit tous les contrôles requis et bénéficie d'un accès complet au réseau, généralement à son VLAN ou rôle attribué. Conditionnel — l'appareil réussit les contrôles critiques mais échoue à un ou plusieurs contrôles non critiques ; il obtient un accès limité, peut-être uniquement à Internet, avec une notification à l'utilisateur. Et Non Conforme — l'appareil échoue à un contrôle critique et est placé dans un VLAN de quarantaine avec un accès uniquement à un portail de remédiation. Ce portail de remédiation est l'endroit où l'appareil peut télécharger des correctifs, mettre à jour les définitions AV ou recevoir des instructions pour une remédiation manuelle. Maintenant, où se situe le WPA3 dans tout cela ? Le WPA3-Enterprise, en particulier avec le mode 192 bits, renforce la couche cryptographique sous-jacente au 802.1X. Il impose le GCMP-256 pour le chiffrement et l'HMAC-SHA-384 pour l'intégrité, ce qui est particulièrement pertinent pour les environnements traitant des données de cartes de paiement ou des données personnelles sensibles dans le cadre du GDPR. Si vous gérez un environnement de vente au détail soumis au PCI DSS, ou un établissement de santé soumis aux exigences de gouvernance des données du NHS, le WPA3-Enterprise devrait figurer sur votre feuille de route pour les nouveaux déploiements. Parlons de l'évaluation de posture avec ou sans agent, car il s'agit d'un véritable point de décision architectural. L'évaluation basée sur un agent — où un client léger s'exécute sur le terminal — vous offre la visibilité la plus profonde. Vous pouvez interroger les clés de registre, les processus en cours d'exécution, les logiciels installés et l'état de sécurité en temps réel. Le compromis réside dans la lourdeur du déploiement : vous avez besoin d'un MDM ou d'une plateforme de gestion des terminaux pour déployer et maintenir l'agent sur l'ensemble de votre parc. L'évaluation sans agent utilise une interrogation basée sur le réseau — SNMP, WMI via le réseau, ou des appels API vers votre plateforme MDM. Elle est plus facile à déployer mais offre une visibilité moins profonde et est plus sensible au contournement. Pour un parc d'entreprise managé, l'approche avec agent est la bonne réponse. Pour les environnements où vous avez un mélange d'appareils managés et non managés — pensez à un centre de conférence ou au réseau d'arrière-guichet d'un hôtel — une approche hybride est plus logique. Un autre point d'architecture mérite d'être souligné : l'évaluation continue de la posture par rapport à l'évaluation ponctuelle. La plupart des implémentations NAC héritées ne vérifient la posture qu'au moment de la connexion. C'est une lacune importante. Un appareil conforme à neuf heures du matin lors de sa connexion peut voir son antivirus désactivé par un utilisateur à onze heures. Les plateformes NAC modernes prennent en charge l'évaluation continue — en réévaluant la posture à des intervalles définis ou en réponse à des événements — et en modifiant dynamiquement le niveau d'accès réseau de l'appareil sans nécessiter de reconnexion. C'est la direction vers laquelle vous devriez vous orienter. Passons maintenant à la pratique. Lors du déploiement de l'évaluation de la posture NAC, le mode de défaillance le plus courant que je constate est le passage direct au mode d'application. Ne faites pas cela. Commencez en mode surveillance — parfois appelé mode audit ou mode visibilité. Exécutez vos vérifications de posture, enregistrez les résultats, mais n'appliquez pas de politique. Exécutez cela pendant au moins deux à quatre semaines. Vous découvrirez presque certainement des appareils dont vous ignoriez l'existence sur votre réseau, et vous constaterez qu'une proportion importante de vos appareils connus échoue à une ou plusieurs vérifications de posture. Utilisez ces données pour corriger votre parc avant d'appliquer les règles. Le deuxième piège concerne l'infrastructure de certificats. L'évaluation de la posture basée sur un agent avec EAP-TLS nécessite une PKI fonctionnelle. Si vous n'en avez pas, ou si la gestion du cycle de vie de vos certificats est manuelle et ad hoc, vous subirez des pannes. Les certificats expirent. Les appareils sont reconstruits sans certificats. Planifiez votre PKI avant de planifier votre déploiement NAC. Troisièmement : la conception des VLAN. Votre VLAN de quarantaine doit être véritablement isolé — pas seulement un sous-réseau différent sur la même infrastructure physique. Il ne doit avoir accès qu'à votre portail de remédiation et, si nécessaire, à Windows Update ou à votre serveur de gestion des correctifs. Si votre VLAN de quarantaine dispose d'une route vers les systèmes de production, vous avez créé un faux sentiment de sécurité. Quatrièmement : les processus d'exception et de contournement. Chaque organisation possède des appareils qui ne peuvent pas exécuter d'agent — imprimantes, capteurs IoT, systèmes de gestion technique de bâtiment. Vous avez besoin d'un processus documenté et approuvé pour accorder un contournement d'authentification MAC à ces appareils, avec des contrôles compensatoires. Si vous ne définissez pas ce processus dès le départ, vous vous retrouverez avec une liste blanche informelle que personne ne gère et que personne n'audite. Du point de vue des normes, alignez votre politique de posture sur les benchmarks CIS pour vos plateformes de systèmes d'exploitation. Ceux-ci sont neutres vis-à-vis des fournisseurs, régulièrement mis à jour et largement acceptés comme base de référence pour la sécurité des terminaux d'entreprise. Pour les environnements PCI DSS, l'exigence 6.3 sur la gestion des correctifs et l'exigence 5.3 sur les anti-malwares correspondent directement à vos catégories de vérification de posture. Place maintenant à quelques questions rapides. L'évaluation de la posture NAC peut-elle fonctionner pour les appareils BYOD ? Oui, mais vous devez configurer un parcours de politique distinct. Les appareils BYOD passent généralement par une méthode EAP différente — EAP-PEAP avec des identifiants utilisateur plutôt que EAP-TLS avec des certificats machine — et reçoivent un segment de réseau plus restreint. Les vérifications de posture pour le BYOD sont généralement plus légères : version de l'OS, présence d'un antivirus de base, verrouillage de l'écran activé. Comment cela interagit-il avec un réseau WiFi invité ? Cela n'interagit pas, et cela ne devrait pas. Le WiFi invité est un SSID et un segment de réseau complètement distincts, isolés de votre infrastructure d'entreprise. L'évaluation de la posture NAC s'applique uniquement à votre SSID d'entreprise. Les deux réseaux ne doivent jamais partager un VLAN ni router l'un vers l'autre. Quel est le calendrier type pour un déploiement NAC complet ? Pour une entreprise de taille moyenne — disons de cinq cents à deux mille terminaux répartis sur plusieurs sites — prévoyez de douze à seize semaines, de la conception à la mise en application complète. Cela comprend la configuration de la PKI, le déploiement des agents, le mode surveillance, la remédiation et le déploiement progressif de la mise en application. En résumé : l'évaluation de la posture NAC est le mécanisme qui garantit que votre cadre de contrôle d'accès au réseau a du répondant. L'identité seule — savoir qui se connecte — ne suffit pas. Vous devez connaître l'état de sécurité de l'appareil, le valider par rapport à votre politique et appliquer des mesures en cas de non-conformité. L'architecture est mature et bien standardisée autour de 802.1X, RADIUS et EAP-TLS. Les défis de mise en œuvre sont réels mais gérables si vous suivez une approche progressive. Vos prochaines étapes immédiates : auditez votre parc actuel de terminaux pour vérifier la conformité de leur posture à l'aide de votre MDM ou de vos outils de gestion des terminaux existants. Évaluez la préparation de votre PKI. Concevez votre architecture VLAN pour les segments conformes, conditionnels et de quarantaine. Et planifiez un déploiement en mode surveillance avant de passer à la mise en application. Pour les organisations exploitant des environnements mixtes — l'arrière-guichet de l'entreprise côtoyant un réseau WiFi invité ou public — des plateformes comme Purple fournissent l'intelligence réseau et les analyses côté invité qui complètent votre déploiement NAC d'entreprise, maintenant ces deux mondes proprement séparés tout en vous offrant une visibilité totale sur les deux. Merci pour votre écoute. Explorez le guide écrit complet sur la plateforme Purple pour obtenir des schémas d'architecture, des exemples concrets et des références de configuration.