Vai al contenuto principale
Italiano

Gestione della sicurezza dei dispositivi IoT con NAC e MPSK

Questa guida tecnica illustra in dettaglio come le sedi aziendali possano proteggere i dispositivi IoT headless utilizzando l'architettura Multiple Pre-Shared Key (MPSK) e il Network Access Control (NAC). Fornisce passaggi pratici di implementazione per ottenere la micro-segmentazione, contenere il raggio d'azione delle minacce alla sicurezza e mantenere la conformità senza sacrificare la scalabilità.

📖 5 minuti di lettura📝 1,151 parole🔧 2 esempi pratici❓ 3 domande di esercitazione📚 8 definizioni chiave

Ascolta questa guida

Visualizza trascrizione del podcast
Benvenuti al briefing tecnico di Purple. Sono il vostro ospite e oggi approfondiremo una sfida cruciale per le reti aziendali: la gestione della sicurezza dei dispositivi IoT con il Network Access Control, o NAC, e le Multiple Pre-Shared Keys, note come MPSK. Inquadriamo il contesto. Se siete un IT manager o un network architect in una grande struttura, come un hotel da 500 camere, una catena di negozi o uno stadio, la vostra rete non serve più solo laptop e smartphone. Avete termostati intelligenti, telecamere IP, terminali POS, digital signage e sensori ambientali. Il problema? La maggior parte di questi dispositivi IoT headless non supporta l'autenticazione 802.1X. Non sono in grado di gestire certificati o credenziali aziendali. Quindi, cosa succede? Storicamente, i team IT si sono affidati a un'unica Pre-Shared Key globale, una PSK tradizionale, per l'intera rete IoT. Questo rappresenta un rischio di sicurezza enorme. Se una sola lampadina intelligente viene compromessa, o se un fornitore esterno se ne va conoscendo la password, l'intera sottorete IoT è vulnerabile. Cambiare quella password globale significa aggiornare manualmente centinaia o migliaia di dispositivi, il che non è assolutamente scalabile. È qui che la combinazione di NAC e MPSK cambia le regole del gioco. Entriamo nel dettaglio tecnico. L'MPSK consente di emettere una password univoca e specifica per ogni singolo dispositivo IoT, il tutto trasmettendo sullo stesso SSID. Quando un dispositivo si connette, il controller wireless comunica con il server RADIUS, che fa parte della soluzione NAC. Il motore NAC analizza la password specifica utilizzata, identifica il dispositivo esatto e lo assegna dinamicamente alla VLAN corretta con le relative policy di sicurezza. Pensate alla potenza di questo approccio. Le telecamere IP vengono inserite nella VLAN 40 con liste di controllo degli accessi rigorose che consentono loro di comunicare solo con il server video locale. I termostati intelligenti vanno nella VLAN 50 e possono raggiungere solo il loro gateway cloud specifico. Se una telecamera viene compromessa, il raggio d'azione dell'attacco è interamente limitato al suo micro-segmento. Se è necessario revocare l'accesso, si elimina una singola MPSK, non la password globale. L'implementazione di questo sistema richiede un'architettura solida. È necessario un motore di policy NAC robusto. La piattaforma di analytics di Purple si integra perfettamente con questi ambienti aziendali, offrendo visibilità sul comportamento dei dispositivi. Quando si combina l'MPSK con un NAC forte, non si mette solo in sicurezza l'edge; si ottengono un controllo e una visibilità granulari. Vediamo alcune raccomandazioni di implementazione ed errori da evitare. In primo luogo, automatizzate il processo di onboarding. Non generate le MPSK manualmente. Utilizzate un portale self-service o un'integrazione API con il vostro strumento di gestione dei servizi IT per generare e distribuire le chiavi. In secondo luogo, applicate una profilazione rigorosa. Il NAC dovrebbe profilare il dispositivo in base al suo indirizzo MAC e al fingerprint DHCP per garantire che il dispositivo che utilizza l'MPSK sia effettivamente quello che dichiara di essere. Se un'MPSK assegnata a un termostato viene improvvisamente utilizzata da un laptop, il NAC dovrebbe mettere istantaneamente in quarantena la connessione. Un errore comune è la mancata pianificazione della struttura VLAN prima di distribuire l'MPSK. Non limitarti a inserire tutti i dispositivi IoT in un'unica "VLAN IoT", anche se dotati di chiavi univoche. Segmenta per tipo di dispositivo e funzione. Ora, passiamo a una rapida sessione di domande e risposte basata sui dubbi più comuni dei clienti. Domanda 1: L'MPSK richiede un nuovo hardware? Risposta: Di solito no, a condizione che i controller LAN wireless e gli access point eseguano un firmware relativamente moderno che supporti l'MPSK o l'Identity PSK, e che tu disponga di un server RADIUS/NAC idoneo. Domanda 2: Qual è l'impatto sulla conformità? Risposta: Enorme. Per il PCI DSS nel settore retail o hospitality, l'MPSK combinato con l'assegnazione dinamica della VLAN fornisce la segmentazione rigorosa necessaria per mantenere i terminali POS isolati dal traffico IoT generale. In sintesi, la gestione della sicurezza IoT non consiste nel trovare dispositivi che supportino l'autenticazione aziendale; si tratta di costruire un'infrastruttura che li metta comunque in sicurezza. L'MPSK e il NAC offrono la scalabilità, la micro-segmentazione e il contenimento del raggio d'azione dell'impatto richiesti dalle strutture moderne. Prossimi passi? Esegui un audit dei tuoi attuali SSID IoT. Se utilizzi una PSK globale, è il momento di pianificare una strategia di migrazione all'MPSK. Esamina le funzionalità del tuo NAC e inizia a definire le tue policy di micro-segmentation. Grazie per aver partecipato a questo briefing tecnico. Rimani al sicuro e continua a costruire reti resilienti.

header_image.png

कार्यकारी सारांश

Retail , Hospitality , और Transport स्थानों के एंटरप्राइज़ नेटवर्क में हेडलेस IoT डिवाइसों—जैसे पर्यावरण सेंसर और स्मार्ट थर्मोस्टेट से लेकर IP कैमरे और पॉइंट-ऑफ़-सेल टर्मिनल तक—का भारी विस्तार हो रहा है। IT प्रबंधकों और नेटवर्क आर्किटेक्ट्स के लिए बुनियादी चुनौती यह है कि इनमें से अधिकांश डिवाइस एंटरप्राइज़-ग्रेड IEEE 802.1X प्रमाणीकरण का समर्थन नहीं करते हैं।

ऐतिहासिक रूप से, संगठन अपने संपूर्ण IoT SSID के लिए एकल, ग्लोबल प्री-शेयर्ड की (PSK) पर निर्भर रहे हैं। यह एक अस्वीकार्य सुरक्षा स्थिति पैदा करता है जहाँ एक भी समझौता किया गया डिवाइस या लीक हुआ पासवर्ड पूरे IoT नेटवर्क सेगमेंट में सेंध लगा देता है।

यह तकनीकी संदर्भ मार्गदर्शिका विस्तार से बताती है कि एक मजबूत नेटवर्क एक्सेस कंट्रोल (NAC) पॉलिसी इंजन के साथ मल्टीपल प्री-शेयर्ड की (MPSK) आर्किटेक्चर को तैनात करने से यह चुनौती कैसे हल होती है। प्रति डिवाइस अद्वितीय क्रेडेंशियल जारी करके और डायनामिक VLAN असाइनमेंट का लाभ उठाकर, नेटवर्क टीमें हजारों एंडपॉइंट्स के लिए आवश्यक स्केलेबिलिटी से समझौता किए बिना माइक्रो-सेगमेंटेशन प्राप्त कर सकती हैं, ब्लास्ट रेडियस को सीमित कर सकती हैं और सख्त अनुपालन (जैसे PCI DSS) बनाए रख सकती हैं। जब इसे Purple के Guest WiFi और WiFi Analytics जैसे प्लेटफॉर्म के साथ एकीकृत किया जाता है, तो यह दृष्टिकोण निर्बाध, सुरक्षित और अत्यधिक दृश्यमान नेटवर्क संचालन सुनिश्चित करता है。

तकनीकी डीप-डाइव

पारंपरिक PSK और 802.1X की सीमाएँ

एक मानक एंटरप्राइज़ वातावरण में, डिवाइस प्रमाणपत्र (EAP-TLS) या क्रेडेंशियल (PEAP) का उपयोग करके IEEE 802.1X के माध्यम से प्रमाणित होते हैं। हालाँकि, हेडलेस IoT डिवाइसों में आमतौर पर 802.1X के लिए आवश्यक सप्लिकेंट सॉफ़्टवेयर का अभाव होता है। पारंपरिक रूप से इसका विकल्प एकल PSK का उपयोग करके WPA2/WPA3-Personal रहा है।

ग्लोबल PSK की परिचालन वास्तविकता गंभीर है:

  1. शून्य सेगमेंटेशन: PSK पर सभी डिवाइस एक ही ब्रॉडकास्ट डोमेन साझा करते हैं जब तक कि उन्हें MAC पते द्वारा मैन्युअल रूप से मैप न किया जाए, जो परिचालन रूप से अस्थिर है।
  2. उच्च ब्लास्ट रेडियस: एक समझौता किया गया स्मार्ट बल्ब पूरे VLAN तक लेटरल मूवमेंट एक्सेस प्रदान करता है।
  3. की रोटेशन की समस्या: एक समझौता किए गए डिवाइस के लिए एक्सेस रद्द करने के लिए ग्लोबल PSK को बदलना और नेटवर्क पर हर दूसरे डिवाइस को मैन्युअल रूप से अपडेट करना आवश्यक होता है।

MPSK और NAC आर्किटेक्चर

MPSK (जिसे वेंडर आइडेंटिटी PSK या iPSK भी कहते हैं) मौलिक रूप से इस प्रतिमान को बदल देता है। यह एक एकल SSID को हजारों अद्वितीय पासवर्ड स्वीकार करने की अनुमति देता है। हालाँकि, इसकी बुद्धिमत्ता NAC या RADIUS सर्वर के साथ एकीकरण में निहित है।

जब कोई डिवाइस MPSK SSID से जुड़ता है, तो वायरलेस LAN कंट्रोलर (WLC) प्रमाणीकरण अनुरोध को NAC को अग्रेषित करता है। NAC इंजन उपयोग किए गए विशिष्ट पासवर्ड का मूल्यांकन करता है, इसे डिवाइस की पहचान (MAC पता, प्रोफाइलिंग डेटा) के साथ सहसंबंधित करता है, और विशिष्ट विशेषताओं—विशेष रूप से, VLAN ID और एक्सेस कंट्रोल लिस्ट (ACL) नीतियों—युक्त एक RADIUS एक्सेस-एक्सेप्ट संदेश लौटाता है।

nac_architecture_overview.png

यह आर्किटेक्चर डायनामिक VLAN असाइनमेंट को सक्षम बनाता है। एक स्मार्ट थर्मोस्टेट और एक IP कैमरा अलग-अलग पासवर्ड का उपयोग करके बिल्कुल एक ही SSID से कनेक्ट हो सकते हैं, और नेटवर्क इन्फ्रास्ट्रक्चर थर्मोस्टेट को VLAN 50 (क्लाउड गेटवे एक्सेस तक सीमित) और कैमरे को VLAN 40 (स्थानीय NVR सर्वर तक सीमित) में डाल देगा।

mpsk_vs_psk_comparison.png

ऑडियो ब्रीफिंग

इस आर्किटेक्चर पर हमारे वरिष्ठ सलाहकार की तकनीकी ब्रीफिंग सुनें:

कार्यान्वयन मार्गदर्शिका

NAC के साथ MPSK को तैनात करने के लिए स्केलेबिलिटी और सुरक्षा सुनिश्चित करने हेतु सावधानीपूर्वक योजना बनाने की आवश्यकता होती है। सफल रोलआउट के लिए इन चरणों का पालन करें।

चरण 1: इन्फ्रास्ट्रक्चर तत्परता मूल्यांकन

सुनिश्चित करें कि आपके वायरलेस कंट्रोलर और एक्सेस पॉइंट MPSK/iPSK का समर्थन करते हैं। अधिकांश आधुनिक एंटरप्राइज़ नेटवर्किंग वेंडर (Cisco, Aruba, Meraki, Ruckus) मूल रूप से इसका समर्थन करते हैं, बशर्ते फर्मवेयर अप-टू-डेट हो। सत्यापित करें कि आपका NAC समाधान RADIUS अनुरोधों के अपेक्षित लोड को संभाल सकता है और पासवर्ड मिलान के आधार पर डायनामिक VLAN असाइनमेंट का समर्थन करता है।

चरण 2: माइक्रो-सेगमेंटेशन नीतियां परिभाषित करें

एक भी कुंजी उत्पन्न करने से पहले, अपने VLAN आर्किटेक्चर को परिभाषित करें। IoT डिवाइसों को उनके कार्य और आवश्यक एक्सेस के आधार पर समूहीकृत करें।

  • VLAN 40 (सुरक्षा कैमरे): केवल स्थानीय NVR IP और विशिष्ट NTP सर्वर पर ट्रैफ़िक की अनुमति दें। इंटरनेट एक्सेस को ब्लॉक करें।
  • VLAN 50 (पर्यावरण सेंसर): विशिष्ट वेंडर क्लाउड एंडपॉइंट्स पर आउटबाउंड HTTPS ट्रैफ़िक की अनुमति दें। इंटर-VLAN रूटिंग को ब्लॉक करें।
  • VLAN 60 (पॉइंट ऑफ़ सेल): सख्त PCI DSS अनुपालन। सभी इनबाउंड ट्रैफ़िक को अस्वीकार करें; केवल पेमेंट गेटवे के लिए आउटबाउंड की अनुमति दें।

चरण 3: डिवाइस प्रोफाइलिंग और की जनरेशन

कुंजियों को मैन्युअल रूप से उत्पन्न न करें। प्रति डिवाइस अद्वितीय कुंजियाँ उत्पन्न करने के लिए NAC के API या सेल्फ़-सर्विस पोर्टल का उपयोग करें। प्रत्येक कुंजी को डिवाइस के MAC पते से बाइंड करें। यह सुनिश्चित करता है कि भले ही किसी थर्मोस्टेट से MPSK निकाल लिया जाए, इसका उपयोग नेटवर्क को स्पूफ करने वाले किसी दुष्ट लैपटॉप द्वारा नहीं किया जा सकता है।

चरण 4: एनालिटिक्स और गेस्ट नेटवर्क के साथ एकीकरण

हालाँकि IoT नेटवर्क अलग-थलग होते हैं, लेकिन समग्र प्रबंधन एकीकृत होना चाहिए। सुनिश्चित करें कि आपका NAC परिनियोजन आपकी व्यापक नेटवर्क रणनीति के अनुरूप है, जिसमें Guest WiFi प्रोविजनिंग शामिल है। जो प्लेटफ़ॉर्म WiFi Analytics प्रदान करते हैं, वे सभी सेगमेंट में डिवाइस घनत्व और नेटवर्क स्वास्थ्य के बारे में मूल्यवान जानकारी दे सकते हैं। नेटवर्क के मूल सिद्धांतों के बारे में अधिक जानने के लिए, Wi Fi Frequencies: A Guide to Wi-Fi Frequencies in 2026 की समीक्षा करें।

सर्वोत्तम प्रथाएँ

  • MAC बाइंडिंग लागू करें: हमेशा MPSK को डिवाइस के विशिष्ट MAC पते से बाइंड करें। यदि कोई भिन्न MAC कुंजी का उपयोग करने का प्रयास करता है, तो NAC को प्रमाणीकरण अस्वीकार कर देना चाहिए。
  • DHCP फिंगरप्रिंटिंग लागू करें: डिवाइस प्रकारों को सत्यापित करने के लिए NAC के भीतर DHCP प्रोफाइलिंग का उपयोग करें। यदि 'स्मार्ट टीवी' को असाइन किया गया MPSK अचानक 'Windows 11' के रूप में फिंगरप्रिंटिंग करने वाले डिवाइस द्वारा उपयोग किया जाता है, तो स्वचालित क्वारंटाइन ट्रिगर करें。
  • जीवनचक्र प्रबंधन को स्वचालित करें: अपने IT सर्विस मैनेजमेंट (ITSM) प्लेटफ़ॉर्म के साथ MPSK जनरेशन को एकीकृत करें। जब एसेट रजिस्टर में किसी डिवाइस को डिकमीशन किया जाता है, तो संबंधित MPSK को API के माध्यम से स्वचालित रूप से रद्द कर दिया जाना चाहिए。
  • नियमित ऑडिटिंग: अनाथ कुंजियों की पहचान करने और उन्हें हटाने के लिए अपनी एसेट इन्वेंट्री के विरुद्ध सक्रिय MPSKs का त्रैमासिक ऑडिट करें。

समस्या निवारण और जोखिम न्यूनीकरण

सामान्य विफलता मोड

  1. RADIUS टाइमआउट समस्याएँ: यदि NAC इंजन पर अत्यधिक भार है या विलंबता अधिक है, तो हेडलेस डिवाइस टाइम आउट हो सकते हैं और कनेक्ट होने में विफल हो सकते हैं।
    • बचाव: यदि बड़ी रिटेल चेन जैसे अत्यधिक वितरित वातावरण से निपट रहे हैं, तो उच्च उपलब्धता और स्थानीयकृत RADIUS प्रॉक्सी सुनिश्चित करें।
  2. MAC स्पूफिंग: एक हमलावर अधिकृत IoT डिवाइस के MAC पते को क्लोन करता है और उसका MPSK निकाल लेता है।
    • बचाव: डीप पैकेट इंस्पेक्शन और व्यवहार संबंधी प्रोफाइलिंग पर भरोसा करें। यदि "थर्मोस्टेट" अचानक पोर्ट 22 (SSH) पर नेटवर्क को स्कैन करना शुरू कर देता है, तो NAC या IDS को तुरंत पोर्ट को अलग कर देना चाहिए।
  3. रोमिंग डिस्कनेक्ट: कुछ खराब डिज़ाइन किए गए IoT डिवाइस MPSK का उपयोग करके APs के बीच रोमिंग करते समय कनेक्शन छोड़ देते हैं।
    • बचाव: न्यूनतम बुनियादी दरों को समायोजित करें और उचित RF सेल ओवरलैप सुनिश्चित करें। गहन वायरलेस डिज़ाइन विचारों के लिए, BLE Low Energy Explained for Enterprise देखें।

ROI और व्यावसायिक प्रभाव

MPSK/NAC आर्किटेक्चर में परिवर्तन औसत दर्जे का व्यावसायिक मूल्य प्रदान करता है:

  • कम परिचालन व्यय (OpEx): जब कोई एक डिवाइस समझौता किया जाता है या बदला जाता है, तो ग्लोबल PSK को मैन्युअल रूप से अपडेट करने में IT टीमों द्वारा खर्च किए जाने वाले सैकड़ों घंटों को समाप्त करता है।
  • अनुपालन आश्वासन: रिटेल और हॉस्पिटैलिटी स्थानों के लिए, सख्त माइक्रो-सेगमेंटेशन PCI DSS की एक मुख्य आवश्यकता है। MPSK भुगतान टर्मिनलों को अलग करने के लिए एक सिद्ध, ऑडिट योग्य तंत्र प्रदान करता है, जिससे महंगे अनुपालन जुर्माने से बचा जा सकता है।
  • जोखिम न्यूनीकरण: किसी भी समझौता किए गए डिवाइस के ब्लास्ट रेडियस को उसके विशिष्ट माइक्रो-सेगमेंट तक सीमित करके, लेटरल-मूवमेंट रैंसमवेयर हमले के संभावित वित्तीय और प्रतिष्ठित नुकसान को काफी कम कर दिया जाता है।
  • भविष्य की तैयारी: जैसे-जैसे एंटरप्राइज़ नेटवर्क विकसित होते हैं, IoT सुरक्षा को व्यापक WAN रणनीतियों के साथ एकीकृत करना महत्वपूर्ण हो जाता है। व्यापक नेटवर्क आर्किटेक्चर के संदर्भ के लिए, SD WAN vs MPLS: The 2026 Enterprise Network Guide और The Role of SCEP and NAC in Modern MDM Infrastructure देखें।

Definizioni chiave

MPSK (Multiple Pre-Shared Key)

Una funzionalità di sicurezza wireless che consente di utilizzare più password univoche su un singolo SSID, in cui ogni password è in grado di attivare diverse policy di rete.

Crucial for securing headless IoT devices that cannot support enterprise 802.1X authentication.

NAC (Network Access Control)

Una soluzione di sicurezza che applica policy sui dispositivi che tentano di accedere alla rete, garantendo che soddisfino i requisiti di sicurezza prima di concedere l'accesso.

Acts as the intelligence engine behind MPSK, determining VLAN assignment based on the password used.

Dynamic VLAN Assignment

Il processo in cui uno switch di rete o un controller wireless assegna un dispositivo a una VLAN specifica in base alle credenziali di autenticazione anziché alla porta fisica o all'SSID.

Enables micro-segmentation of IoT devices broadcasting on the same wireless network.

Blast Radius

L'entità del danno o del movimento laterale che un utente malintenzionato può ottenere dopo aver compromesso un singolo dispositivo o sistema.

MPSK and NAC drastically reduce the blast radius by isolating compromised IoT devices within strict micro-segments.

Headless Device

Un dispositivo informatico, tipico delle distribuzioni IoT, che funziona senza monitor, tastiera o interfaccia utente.

These devices cannot prompt a user for credentials, making traditional 802.1X authentication impossible.

MAC Binding

Un controllo di sicurezza che limita l'uso di una credenziale specifica (come una MPSK) a un singolo indirizzo MAC autorizzato.

Prevents an attacker from stealing an MPSK from a smart bulb and using it on a malicious laptop.

DHCP Fingerprinting

Una tecnica di profilazione utilizzata dai sistemi NAC per identificare il sistema operativo e il tipo di un dispositivo in base alla sequenza specifica di opzioni DHCP richieste.

Used to verify that a device connecting with an IoT MPSK is actually an IoT device and not a spoofed endpoint.

Micro-segmentation

Una tecnica di sicurezza che suddivide la rete in zone granulari e isolate per mantenere un controllo degli accessi rigoroso e limitare i movimenti laterali.

The primary architectural goal of deploying MPSK and NAC for IoT security.

Esempi pratici

Un hotel da 300 camere sta distribuendo nuove smart TV, serrature per porte basate su IP e sensori ambientali. L'infrastruttura attuale utilizza una singola PSK globale per tutti i dispositivi non aziendali. In che modo l'architetto di rete dovrebbe riprogettare questo sistema per garantire sicurezza e gestibilità ottimali?

L'architetto dovrebbe implementare un SSID MPSK ('Hotel-IoT'). Il motore di policy NAC deve essere configurato con tre profili di dispositivo distinti. Le smart TV ricevono MPSK univoche e vengono assegnate dinamicamente alla VLAN 100 (solo Internet, isolamento client abilitato). Le serrature delle porte ricevono MPSK univoche, sono associate ai loro indirizzi MAC specifici e assegnate alla VLAN 110 (accesso limitato solo al server di sicurezza locale). I sensori ricevono MPSK univoche e vengono assegnati alla VLAN 120 (accesso solo al cloud di gestione HVAC). Tutte le chiavi vengono generate tramite API durante l'onboarding dei dispositivi.

Commento dell'esaminatore: Questo approccio elimina la vulnerabilità della PSK globale. Utilizzando l'assegnazione dinamica della VLAN tramite NAC, l'architetto ottiene una micro-segmentazione rigorosa. L'associazione delle serrature delle porte agli indirizzi MAC fornisce un livello essenziale di sicurezza per l'infrastruttura critica.

Una grande catena di vendita al dettaglio deve collegare centinaia di scanner Point-of-Sale (POS) wireless e display per segnaletica digitale in 50 sedi. Come possono garantire la conformità PCI DSS riducendo al minimo i costi di gestione IT?

Implementare un'architettura NAC centralizzata con MPSK. Agli scanner POS vengono rilasciate MPSK univoche e vengono profilati in una VLAN conforme agli standard PCI altamente limitata, che nega tutto il traffico laterale e consente solo connessioni in uscita verso il gateway di elaborazione dei pagamenti. I display per la segnaletica digitale utilizzano MPSK separate e vengono inseriti in una VLAN diversa con accesso solo a Internet per gli aggiornamenti dei contenuti. La gestione del ciclo di vita delle chiavi è integrata con il sistema centrale di gestione degli asset.

Commento dell'esaminatore: Questa soluzione risponde direttamente ai requisiti PCI DSS garantendo una rigorosa segmentazione logica dei dispositivi di pagamento dal traffico IoT generale. La gestione centralizzata delle chiavi riduce l'onere operativo per il personale IT delle filiali.

Domande di esercitazione

Q1. Il team IT di uno stadio deve distribuire 200 nuovi terminali POS wireless. Hanno in programma di utilizzare MPSK. Per garantire la massima sicurezza, quali due controlli di profilazione deve eseguire il NAC prima di assegnare il terminale POS alla VLAN sicura?

Suggerimento: Considera come impedire che una MPSK rubata venga utilizzata su un dispositivo non POS.

Visualizza risposta modello

Il NAC deve eseguire il MAC Binding (verificando che la specifica MPSK sia utilizzata dall'indirizzo MAC autorizzato) e il DHCP Fingerprinting (verificando che il dispositivo che richiede un indirizzo IP presenti le caratteristiche del sistema operativo del terminale POS previsto, e non di un laptop o smartphone generico).

Q2. Durante un audit, si scopre che una MPSK assegnata a un termostato intelligente è stata utilizzata con successo dal laptop di un fornitore per accedere alla rete. Il NAC ha assegnato il laptop alla VLAN del termostato. Quale errore di configurazione ha permesso questo?

Suggerimento: Pensa alla relazione tra la chiave e l'identità del dispositivo.

Visualizza risposta modello

L'errore principale è stato la mancanza di MAC Binding. La MPSK non era limitata allo specifico indirizzo MAC del termostato. Inoltre, il NAC non ha applicato la profilazione del dispositivo (ad esempio, il DHCP fingerprinting), che avrebbe identificato il laptop del fornitore come un tipo di dispositivo anomalo per quella specifica chiave e VLAN.

Q3. Una catena di negozi al dettaglio sta migrando da una PSK globale a MPSK. Dispone di 5.000 scanner di codici a barre legacy che supportano WPA2-Personal ma non possono essere aggiornati per supportare protocolli più recenti. È possibile utilizzare MPSK per proteggere questi dispositivi e, in caso affermativo, come?

Suggerimento: Considera i requisiti lato client per MPSK.

Visualizza risposta modello

Sì, è possibile utilizzare MPSK. Dal punto di vista del dispositivo client (lo scanner di codici a barre), MPSK è identica a una PSK WPA2-Personal standard. L'intelligenza e la differenziazione avvengono interamente sul lato infrastruttura (WLC e NAC). Gli scanner devono semplicemente essere configurati con le password univoche appena assegnate.

Continua a leggere questa serie

Come segregare in sicurezza le reti WiFi del personale e degli ospiti

Questa guida tecnica autorevole fornisce ai leader IT strategie pratiche per segregare in sicurezza le reti WiFi del personale, degli ospiti e dei dispositivi IoT utilizzando VLAN e 802.1X. Descrive dettagliatamente come proteggere l'infrastruttura aziendale, mantenere la conformità PCI DSS e sfruttare i captive portal per raccogliere dati di prima parte.

Leggi la guida →

Il miglior filtro DNS: una guida completa per le aziende

Questa guida tecnica di riferimento spiega in che modo il filtraggio DNS aziendale protegge le reti pubbliche bloccando i domini dannosi a livello di risoluzione - prima ancora che venga stabilita una connessione. Fornisce ai direttori IT, agli architetti di rete e ai team operativi delle sedi l'architettura di implementazione, la configurazione del firewall e il contesto di conformità necessari per proteggere il WiFi per gli ospiti in ambienti alberghieri, retail e del settore pubblico. Purple Shield blocca malware, botnet e contenuti inappropriati a livello DNS in oltre 80.000 sedi attive.

Leggi la guida →

Comprensione di Cisco SUDI: Identità ancorata all'hardware nel controllo degli accessi di rete sicuro

Questa guida spiega come Cisco SUDI fornisca un'identità crittograficamente sicura e ancorata all'hardware per l'infrastruttura di rete aziendale. Scopri come sostituire gli indirizzi MAC facilmente falsificabili con certificati 802.1AR immutabili per proteggere il controllo degli accessi alla rete della tua struttura.

Leggi la guida →