Device Posture Assessment per il Network Access Control

Device Posture Assessment per il Network Access Control. Un briefing tecnico di Purple. Benvenuti. Sono il vostro ospite per il briefing di oggi e, se state ascoltando, probabilmente siete un architetto della sicurezza IT, un ingegnere di rete o un CTO a cui è stato chiesto di rafforzare il controllo degli accessi alla rete in tutta l'organizzazione. Potreste gestire un patrimonio alberghiero, una catena di negozi, un centro congressi o una struttura del settore pubblico, e siete giunti al punto in cui verificare semplicemente chi si connette alla rete non è più sufficiente. Dovete sapere cosa si sta connettendo e se quel dispositivo è in uno stato idoneo per essere considerato affidabile. Questo è esattamente ciò di cui parleremo oggi. Device Posture Assessment per il controllo degli accessi alla rete: cos'è, come funziona a livello tecnico, come integrarlo con l'infrastruttura RADIUS esistente e le piattaforme MDM e, soprattutto, cosa fare con i dispositivi che non superano il controllo. Entriamo nel vivo. Sezione uno. Contesto e perché il Device Posture Assessment è importante oggi. Negli ultimi dieci anni, la maggior parte delle distribuzioni WiFi aziendali si è affidata al controllo degli accessi basato sull'identità. Si autentica l'utente, tramite 802.1X, un Captive Portal o una chiave precondivisa, e se le credenziali sono corrette, si concede l'accesso. Il problema è che la sola verifica dell'identità non dice nulla sullo stato di sicurezza del dispositivo stesso. Un nome utente e una password validi possono essere inseriti su un laptop con un sistema operativo non aggiornato da tre anni, privo di antivirus, connesso alla vostra VLAN aziendale. Quel dispositivo rappresenta un rischio nel momento stesso in cui tocca la vostra rete. Il passaggio all'architettura Zero Trust ha cambiato radicalmente le carte in tavola. Il Zero Trust opera sul principio del non fidarsi mai, verificare sempre, e tale verifica deve estendersi oltre l'identità per comprendere lo stato di salute del dispositivo. È qui che entra in gioco il Device Posture Assessment. Il controllo della posture interroga l'endpoint al momento dell'autenticazione, verifica una serie definita di criteri di salute e inserisce tale risultato nella decisione di controllo degli accessi. Il risultato è un accesso alla rete basato sulla posture, un modello in cui ciò che si può fare sulla rete è determinato non solo da chi si è, ma dallo stato di sicurezza del dispositivo che si sta utilizzando. Dal punto di vista della conformità, questo è estremamente importante. La versione 4.0 del PCI DSS richiede esplicitamente che le organizzazioni controllino quali dispositivi possono accedere agli ambienti dei dati dei titolari di carta. Il principio di accountability del GDPR impone alle organizzazioni di implementare misure tecniche adeguate per proteggere i dati personali, e consentire a dispositivi non aggiornati e non gestiti di accedere a reti che trasportano dati personali è sempre più difficile da difendere in sede di audit. Per gli ambienti sanitari, si applica la stessa logica secondo i requisiti del NHS Cyber Essentials e, nel contesto statunitense, dell'HIPAA. Sezione due. Approfondimento tecnico: come funziona effettivamente il Device Posture Assessment. Lasciate che vi illustri i meccanismi. Fondamentalmente, il Device Posture Assessment è un processo che viene eseguito durante o immediatamente dopo l'handshake di autenticazione, prima che venga concesso l'accesso completo alla rete. Esistono tre modelli architetturali principali che incontrerete. Il primo è il Device Posture Assessment basato su agenti. Un agente software leggero, installato sull'endpoint, spesso come parte della piattaforma MDM o di endpoint detection and response, raccoglie i dati di telemetria sullo stato di salute e li presenta al motore di policy NAC. Questo è l'approccio più completo. L'agente può verificare la versione del sistema operativo, il livello di patch cumulativo, l'aggiornamento delle firme antivirus, lo stato del firewall, lo stato di crittografia del disco, se sono in esecuzione specifiche applicazioni vietate e se il dispositivo è registrato nel vostro MDM. L'agente comunica questi dati al server RADIUS o a un motore di policy dedicato tramite un protocollo come RADIUS CoA (Change of Authorization) o attraverso un'integrazione API specifica del fornitore. Il secondo modello è il Device Posture Assessment agentless. In questo caso, il sistema NAC tenta di dedurre lo stato di salute del dispositivo senza un agente locale, in genere interrogando direttamente la piattaforma MDM. Quando un dispositivo si connette e si autentica, il motore di policy interroga Microsoft Intune, Jamf o VMware Workspace ONE tramite API, recupera lo stato di conformità del dispositivo e lo utilizza come segnale di posture. Questo funziona bene per i dispositivi aziendali gestiti che sono già registrati nell'MDM. Il limite è ovvio: i dispositivi non gestiti o BYOD non avranno un record MDM, quindi è necessaria una policy di fallback per questi ultimi. Il terzo modello è la valutazione basata sulla rete. Il sistema NAC scansiona il dispositivo connesso utilizzando tecniche come query SNMP, chiamate WMI sulla rete o fingerprinting passivo dei modelli di traffico. Questo è il metodo meno affidabile e viene generalmente utilizzato solo come controllo supplementare o per ambienti legacy in cui la distribuzione di agenti non è fattibile. Ora parliamo dell'integrazione con RADIUS e 802.1X nello specifico, perché è qui che l'architettura si fa interessante. In una distribuzione 802.1X standard, il supplicant (ovvero il dispositivo) presenta le credenziali all'authenticator, che è il vostro access point wireless o switch, il quale inoltra la richiesta di autenticazione al server RADIUS. Il server RADIUS convalida le credenziali e restituisce un Access-Accept o un Access-Reject. In una distribuzione orientata alla posture, questo flusso viene esteso. Dopo che l'autenticazione iniziale ha avuto successo, il server RADIUS (o un motore di policy co-locato come Cisco ISE, Aruba ClearPass o Forescout) avvia una valutazione della posture. Il dispositivo viene inizialmente inserito in una VLAN limitata, talvolta chiamata VLAN di posture o VLAN di quarantena, mentre viene eseguita la valutazione. Se il dispositivo supera tutti i controlli di posture, viene inviato un messaggio di Change of Authorization di RADIUS all'access point, spostando il dispositivo nella VLAN di produzione appropriata. Se fallisce, rimane nella VLAN limitata e viene indirizzato a un portale di remediation. Il metodo EAP è fondamentale in questo contesto. EAP-TLS, che utilizza l'autenticazione reciproca tramite certificati, rappresenta il gold standard per l'accesso ai dispositivi aziendali perché consente al server RADIUS di convalidare non solo l'utente ma anche il certificato del dispositivo, confermando che si tratta di un endpoint noto e gestito. EAP-PEAP o EAP-TTLS con MSCHAPv2 sono comuni per l'autenticazione basata su credenziali utente, ma offrono di per sé una minore garanzia a livello di dispositivo. Affinché il Device Posture Assessment sia davvero robusto, è preferibile combinare EAP-TLS con il controllo di conformità MDM: questa combinazione offre sia l'identità crittografica del dispositivo sia un segnale sullo stato di salute in tempo reale. Quali attributi specifici valuta in genere un controllo di posture? L'elenco principale per la maggior parte delle distribuzioni aziendali copre: versione del sistema operativo e numero di build (il dispositivo esegue una versione supportata del sistema operativo?), livello di patch (le patch critiche e ad alta gravità sono state applicate entro una finestra definita, in genere 30 giorni?), stato dell'antivirus o dell'endpoint detection and response (è installato un prodotto di sicurezza riconosciuto, in esecuzione e con firme aggiornate?), firewall host (è abilitato?), crittografia del disco (BitLocker o FileVault sono attivi?), registrazione MDM (il dispositivo è registrato sulla piattaforma di gestione?). Inoltre, le organizzazioni aggiungono sempre più spesso controlli per il software vietato (è presente un'applicazione notoriamente vulnerabile?) e per la validità dei certificati. Sezione tre. Raccomandazioni per l'implementazione ed errori comuni. Lasciate che vi fornisca indicazioni pratiche derivanti dalla distribuzione di questi sistemi in ambienti alberghieri, retail e del settore pubblico. In primo luogo, iniziate con la visibilità prima dell'applicazione delle regole. Prima di impostare i controlli di posture in modalità di blocco, eseguiteli in modalità di solo monitoraggio per almeno quattro settimane. Questo vi fornirà una baseline dell'effettivo stato dei vostri dispositivi: quale percentuale di dispositivi non è conforme, quali attributi di posture falliscono più frequentemente e se le soglie delle vostre policy sono calibrate correttamente. Passare direttamente all'applicazione delle regole senza questa baseline è l'errore più comune, e si traduce in un'ondata di ticket di assistenza e utenti frustrati fin dal primo giorno. In secondo luogo, progettate la segmentazione delle VLAN prima di configurare le policy di posture. Avete bisogno di almeno tre segmenti di rete: una VLAN aziendale ad accesso completo per i dispositivi gestiti conformi, una VLAN di remediation con accesso a Internet e accesso alla vostra infrastruttura di gestione delle patch e MDM ma a nient'altro, e una VLAN guest per i dispositivi personali non gestiti. Alcune organizzazioni ne aggiungono una quarta: una VLAN aziendale limitata per i dispositivi gestiti che non superano la posture ma hanno bisogno di un accesso limitato a risorse specifiche durante la remediation. Mappate queste VLAN ai risultati della posture prima di scrivere una singola regola di policy. In terzo luogo, gestite esplicitamente il problema dei dispositivi BYOD e guest. Negli ambienti alberghieri in particolare, e questo vale altrettanto per hotel, centri congressi e aree di sosta del personale retail, avrete una popolazione significativa di dispositivi personali che non saranno mai registrati in un MDM. La vostra policy di posture deve prevedere un percorso definito per questi dispositivi. L'approccio tipico consiste nell'instradare automaticamente i dispositivi non registrati verso una VLAN guest, con adeguati controlli della larghezza di banda e filtraggio dei contenuti, anziché bloccarli del tutto. Bloccare i dispositivi personali in un hotel o in un centro congressi crea un problema operativo immediato che il personale di reception avvertirà prima ancora del team di sicurezza. In quarto luogo, impostate timeout di remediation realistici. Quando un dispositivo non supera la posture e viene inserito nella VLAN di remediation, è necessario definire quanto tempo ha a disposizione per l'autocorrezione prima di essere spostato in quarantena o bloccato. Per i problemi legati alle patch, una finestra da 24 a 48 ore è ragionevole per un dispositivo aziendale gestito: abbastanza lunga da consentire al dispositivo di scaricare gli aggiornamenti, abbastanza breve da mantenere la sicurezza. Per i problemi relativi all'antivirus, la finestra dovrebbe essere più breve, da quattro a otto ore, perché un dispositivo senza protezione endpoint attiva rappresenta un rischio più immediato. In quinto luogo, testate a fondo il flusso di Change of Authorization. Il CoA è il meccanismo che sposta un dispositivo dalla VLAN di remediation alla VLAN di produzione dopo il superamento della posture. È anche il meccanismo che può riportare un dispositivo in quarantena se un controllo periodico fallisce. Gli errori di CoA, in cui il server RADIUS invia il messaggio CoA ma l'access point non lo esegue, sono una causa comune di reclami da parte degli utenti. Testate questo aspetto end-to-end nel vostro laboratorio prima della distribuzione in produzione e monitorate i tassi di successo del CoA nei log RADIUS dopo la distribuzione. Ora, una parola sulle insidie specifiche degli ambienti di grandi dimensioni. In uno stadio o in un centro congressi con migliaia di connessioni simultanee, il Device Posture Assessment aggiunge latenza al flusso di autenticazione. I controlli basati su agenti che richiedono all'agente di raccogliere la telemetria e inviare il report possono aggiungere da due a cinque secondi al tempo di connessione. Su larga scala, questo è evidente. Ottimizzate pre-memorizzando nella cache i risultati della posture: la maggior parte dei motori di policy consente di memorizzare nella cache il risultato della posture di un dispositivo per un periodo definito, in genere da una a quattro ore, in modo che la riautenticazione non attivi ogni volta una valutazione completa. Questa è un'ottimizzazione delle prestazioni fondamentale per gli ambienti ad alta densità. Sezione quattro. Domande a risposta rapida. Domanda: Posso eseguire il Device Posture Assessment senza distribuire agenti su ogni dispositivo? Sì, tramite l'integrazione delle API MDM per i dispositivi registrati e il fingerprinting basato sulla rete per gli altri, ma la copertura e l'accuratezza saranno inferiori rispetto all'uso degli agenti. Per un ambiente misto, un approccio ibrido (agenti sui dispositivi aziendali, API MDM per i dispositivi BYOD registrati, fingerprinting di rete come fallback) è la risposta più pragmatica. Domanda: Il Device Posture Assessment funziona con WPA3? Sì. WPA3 Enterprise utilizza lo stesso framework di autenticazione 802.1X di WPA2 Enterprise, quindi il Device Posture Assessment si integra allo stesso modo. Le funzioni PMF (Protected Management Frames) e l'autenticazione SAE più forti di WPA3 completano in realtà il controllo della posture, blindando il livello di autenticazione su cui si basa la posture stessa. Domanda: Qual è la differenza tra Device Posture Assessment e NAC? Il NAC (Network Access Control) è il framework più ampio per controllare quali dispositivi possono accedere a quali risorse di rete. Il Device Posture Assessment è uno degli elementi che contribuiscono alla decisione del NAC, nello specifico il segnale sullo stato di salute del dispositivo. È possibile avere il NAC senza il Device Posture Assessment (ad esempio, un controllo degli accessi basato solo sull'identità), ma non è possibile avere un controllo degli accessi basato sulla posture senza un framework NAC che ne applichi i risultati. Domanda: Come si integra questo sistema con una piattaforma come Purple? La piattaforma di Purple gestisce l'identità dei dispositivi e le policy di accesso a livello di WiFi. Il Device Posture Assessment rappresenta il livello di controllo successivo: arricchisce la decisione di accesso con i dati sullo stato di salute del dispositivo. Per gli operatori attenti alla sicurezza, l'integrazione dei segnali di posture del vostro MDM nel motore di policy di Purple consente di applicare un accesso differenziato basato sia sull'identità sia sullo stato di conformità del dispositivo. Sezione cinque. Riepilogo e prossimi passi. Per riassumere i punti chiave del briefing di oggi. Il Device Posture Assessment è la pratica di valutare lo stato di salute dell'endpoint (versione del sistema operativo, livello di patch, stato dell'antivirus, registrazione MDM) al momento dell'autenticazione e utilizzare tale segnale per determinare i diritti di accesso alla rete. L'architettura combina l'autenticazione 802.1X, un motore di policy RADIUS, l'integrazione delle API MDM e la segmentazione delle VLAN per creare un sistema di controllo degli accessi basato sulla posture. I tre risultati della posture (accesso completo, VLAN di remediation e quarantena) devono essere progettati e testati prima di abilitare l'applicazione delle regole. Iniziate con la modalità di monitoraggio, create la vostra baseline, quindi passate all'applicazione delle regole. Questo passaggio non è facoltativo se si desidera una distribuzione senza problemi. Per i gestori di grandi sedi, la popolazione di dispositivi BYOD e guest richiede una gestione esplicita delle policy: l'instradamento verso una VLAN guest anziché il blocco è la scelta predefinita più sensata dal punto di vista operativo. I vostri prossimi passi immediati: verificate l'attuale architettura delle VLAN e confermate di disporre dei segmenti necessari per l'instradamento basato sulla posture. Valutate le funzionalità API della vostra piattaforma MDM per l'esportazione dei dati di posture. Esaminate le funzionalità delle policy di posture del vostro server RADIUS o della piattaforma NAC. E se state partendo da zero, considerate un approccio graduale: distribuite prima l'802.1X, aggiungete il controllo della posture in modalità di monitoraggio, quindi passate all'applicazione delle regole nell'arco di 90 giorni. Grazie per l'ascolto. Per ulteriori informazioni sull'architettura di autenticazione 802.1X e sulla distribuzione del WiFi Zero Trust, visitate la libreria delle guide di Purple. Se state valutando il controllo degli accessi basato sulla posture per la rete della vostra sede, il team di Purple può guidarvi attraverso una valutazione della distribuzione. Alla prossima.