A maioria das organizações não começa com uma estratégia deliberada de segurança sem fio. Elas herdam uma. Um SSID de funcionários foi configurado anos atrás, alguém compartilhou a senha na integração, a mesma chave acabou em telefones pessoais, tablets, impressoras, telas de salas de reunião e, ocasionalmente, no notebook de um prestador de serviços, e agora ninguém quer mexer porque alterá-la quebraria tudo.
Essa configuração parece normal até que você faça algumas perguntas diretas. Quem sabe a senha atualmente? Quais dispositivos a estão usando? O que acontece quando um funcionário sai em termos ruins? Você pode revogar um dispositivo sem precisar alterar a chave de todo o site? Na maioria dos ambientes, a resposta para as quatro perguntas é alguma variação de "não de forma simples".
Esse é o gargalo no centro da segurança de WiFi corporativo. O problema não é apenas a criptografia. É a identidade, o controle e a capacidade de tomar decisões de acesso por usuário, por dispositivo e por sessão. Uma rede sem fio moderna deve se comportar menos como uma chave de porta compartilhada e mais como um sistema de controle de acesso com crachás nominais, políticas, registros e revogação instantânea.
Indo Além da Senha Compartilhada
A versão familiar é assim: o escritório tem uma rede "Funcionários" protegida por uma única senha. A equipe de TI a fornece aos novos contratados, as equipes de facilities a utilizam para smart TVs e impressoras, e os prestadores de serviços de longo prazo a mantêm em seus próprios dispositivos por conveniência. Quando alguém sai, a senha frequentemente permanece a mesma porque rotacioná-la significa configurar cada dispositivo e cada localidade novamente.
Esse modelo sempre foi fraco. Agora, ele é operacionalmente perigoso.
No Reino Unido, 50% das empresas sofreram uma violação ou ataque de segurança cibernética em 2024, subindo para 74% no caso de grandes empresas, de acordo com as orientações citadas no resumo de melhores práticas de segurança de WiFi corporativo . O controle de acesso sem fio está diretamente inserido nesse cenário de risco, pois uma senha compartilhada não oferece quase nenhuma precisão. Ou você permite a entrada de todos, ou bloqueia todos. Não há muito meio-termo.
Por que os segredos compartilhados falham na prática
Uma senha compartilhada cria quatro problemas recorrentes:
- Ausência de responsabilidade individual. Você sabe que o SSID foi utilizado, mas não qual pessoa ou dispositivo gerenciado deveria ter acesso naquele momento.
- Desligamento complexo. Se uma pessoa ou dispositivo se torna um risco, a única solução limpa é alterar a senha para todos.
- Disseminação de senhas. Os funcionários a reutilizam, salvam em dispositivos não gerenciados e, às vezes, a repassam informalmente.
- Confiança irrestrita. Uma vez conectados, muitos usuários e dispositivos acabam na mesma rede ampla.
Regra prática: se a remoção de um único usuário exigir uma alteração de senha em todo o site, o design de rede sem fio já está defasado em relação ao perfil de risco da organização.
A mudança desse modelo não se trata apenas de tornar a rede mais difícil de invadir. Trata-se de substituir um segredo por uma identidade. É por isso que mais equipes estão migrando para o acesso WiFi sem senha tanto para funcionários quanto para convidados. O ganho principal não é a novidade. É o controle. Você pode aprovar um dispositivo, revogar um certificado, vincular políticas ao status do diretório e parar de tratar todos os usuários como se estivessem compartilhando a mesma chave para a mesma porta.
Como é um bom cenário atual
Uma base mais sólida começa com a autenticação individual para cada usuário ou dispositivo. A partir daí, você pode atribuir acessos diferentes para funcionários, contratados, convidados e tecnologia operacional. Você também pode parar de fingir que uma impressora e um notebook financeiro pertencem ao mesmo nível de confiança apenas por estarem conectados no mesmo espaço aéreo.
Na prática, a segurança do WiFi corporativo tornou-se tanto um projeto de identidade quanto um projeto de rádio. Os pontos de acesso ainda importam. O controlador ainda importa. Mas a diferença fundamental vem de mover a decisão de admissão de uma nota adesiva para a política.
Compreendendo os riscos atuais de segurança de WiFi
O risco sem fio não é um único problema. É uma coleção de pontos de falha que se acumulam quando as organizações usam autenticação fraca, acesso amplo e visibilidade ruim.
A superfície de ataque também é maior do que muitas equipes imaginam. O Cisco Annual Internet Report projetou que até 2023 haveria 3,6 dispositivos em rede por pessoa no Reino Unido e um total de 5,5 bilhões de dispositivos em rede no país, uma escala destacada nesta discussão sobre as melhores práticas de controle de acesso à rede . Isso importa porque cada dispositivo conectado ao WiFi é um ponto de entrada potencial, uma configuração incorreta ou um caminho de movimentação lateral.
As ameaças que aparecem com mais frequência
Alguns ataques sem fio são diretos. Outros dependem de os usuários fazerem uma escolha ruim de conexão.
| Risco | Como funciona | Por que importa |
|---|---|---|
| Pontos de acesso rogue (não autorizados) | Alguém instala um AP não autorizado ou cria um SSID falso que parece legítimo | Os usuários se conectam à rede errada e entregam o tráfego a um invasor |
| Roubo de credenciais | Os usuários inserem credenciais corporativas em portais fracos ou páginas de phishing | As credenciais roubadas podem desbloquear muito mais do que o WiFi |
| Ataques Man-in-the-middle | Um invasor se posiciona entre o cliente e o serviço | As sessões podem ser interceptadas, alteradas ou monitoradas |
| Movimentação lateral | Um endpoint comprometido alcança outros sistemas no mesmo segmento amplo | Um pequeno comprometimento se torna um incidente mais amplo |
| Postura fraca de IoT | Dispositivos com baixa segurança se conectam junto com os sistemas de negócios | Invasores visam o dispositivo mais fácil, não o mais importante |
Um ataque de "gêmeo malvado" (evil twin) é um exemplo simples. Um invasor configura uma rede sem fio com um nome familiar perto do seu site. Os usuários se conectam porque o SSID parece correto ou porque o dispositivo se conecta automaticamente. Se o seu ambiente depende do julgamento do usuário e de senhas, essa rede falsa tem uma chance de sucesso. Se o ambiente usa autenticação mútua forte baseada em certificados, esse ataque é muito mais difícil de ser realizado porque o cliente também verifica o lado da rede na conversa.
Redes planas tornam pequenos erros caros
O dano geralmente ocorre após a conexão. Se dispositivos de funcionários, dispositivos não gerenciados e endpoints operacionais compartilham um acesso amplo à rede, um ponto de apoio pode ir muito mais longe do que deveria.
É por isso que a segurança do WiFi deve estar vinculada à segmentação e à aplicação de políticas, e não apenas à criptografia no ar. Equipes que trabalham de forma mais ampla no gerenciamento de ameaças cibernéticas para empresas geralmente descobrem que o WiFi não pode ficar de fora do modelo de risco principal. Ele faz parte da mesma estratégia de identidade, monitoramento e contenção que o restante da rede.
Um SSID seguro que coloca cada dispositivo autenticado no mesmo segmento irrestrito não está oferecendo uma segurança de WiFi corporativo significativa. Está apenas adiando o problema em um passo.
O Core da Autenticação WiFi Moderna
A mudança técnica é simples quando você remove as siglas. O WPA-Personal usa uma chave compartilhada. O WPA2-Enterprise e o WPA3-Enterprise usam 802.1X para autenticar cada usuário ou dispositivo individualmente. Essa única mudança altera todo o modelo operacional.
Para empresas do Reino Unido, a base prática mais forte é o WPA2-Enterprise ou WPA3-Enterprise com 802.1X, porque ele autentica cada usuário ou dispositivo individualmente e possibilita a revogação instantânea, conforme descrito nesta visão geral sobre segurança de rede WiFi corporativa .
Chave compartilhada versus crachá nomeado
A analogia mais fácil é o acesso a edifícios.
Uma senha de WiFi compartilhada é uma chave copiada para todos no prédio. Se uma cópia desaparecer, você precisará substituir todas as fechaduras ou aceitar o risco.
O 802.1X é um sistema de crachá. Cada pessoa ou dispositivo apresenta sua própria identidade. A rede verifica essa identidade com um mecanismo de política central, geralmente um serviço RADIUS, e então decide o que permitir. Um crachá pode ser desativado sem alterar a experiência de todos os outros.
Essa é a razão prática pela qual as equipes corporativas o adotam. Não porque a sigla pareça mais avançada, mas porque oferece um controle operacional que eles podem realmente usar.
O que o 802.1X está fazendo
No momento da conexão, o ponto de acesso não aceita automaticamente o cliente na rede. Ele age como um ponto de aplicação e passa a conversa de autenticação para um back-end de política. Esse processo permite que você decida:
- Quem está se conectando. Membro da equipe, contratado, dispositivo gerenciado, aparelho BYOD, impressora.
- Como eles provaram a identidade. Nome de usuário e senha, certificado ou outro método EAP aprovado.
- O que acontece a seguir. Atribuição de VLAN, aplicação de ACL, mapeamento de função ou negação.
A autenticação deixa de ser uma verificação de sim ou não em relação a uma única senha. Ela se torna uma decisão de política vinculada à identidade e ao contexto.
Por que o WPA3 importa
O WPA3-Enterprise eleva o nível de segurança e melhora a postura criptográfica da sessão sem fio. Nas decisões diárias de arquitetura, no entanto, é importante não tratar o WPA3 como uma solução mágica. Se você implantar o WPA3, mas ainda depender de um manuseio de identidade fraco, credenciais compartilhadas em caminhos de fallback ou segmentação ruim, você não resolveu o problema subjacente.
Uma abordagem sensata é simples:
- Mude para o modo corporativo primeiro. A autenticação individual altera seu modelo de controle imediatamente.
- Use WPA3-Enterprise onde os clientes o suportarem. Tenha em mente a interoperabilidade durante a migração.
- Trate o design de políticas como igual à segurança de rádio. A criptografia mais forte não corrigirá uma confiança ampla.
Por que o EAP-TLS é o padrão ouro
Entre os métodos de autenticação 802.1X, o EAP-TLS é aquele em que a maioria dos arquitetos confia para implantações de alta garantia porque substitui senhas por certificados.
Isso tem consequências reais:
- Resistência a phishing. Não há senha de WiFi para o usuário digitar em uma página falsa.
- Sem problema de reutilização de senha. O caminho de autenticação não depende de um segredo gerenciado por humanos.
- Revogação mais limpa. Você pode revogar um certificado ou uma identidade de dispositivo sem alterar todo o ambiente.
- Autenticação mútua. O cliente pode verificar o lado do servidor, o que ajuda contra ataques de infraestrutura falsa.
Princípio de design: se um usuário puder ser induzido a digitar uma credencial de WiFi, o caminho de login sem fio ainda fará parte da sua exposição ao phishing.
A implantação de certificados traz trabalho. Você precisa de gerenciamento de ciclo de vida, fluxos de registro, decisões de PKI e suporte para tipos de dispositivos mistos. Mas uma vez que isso esteja em vigor, a segurança do WiFi corporativo torna-se muito mais previsível. Você não está mais esperando que os usuários protejam uma senha. Você está impondo a identidade por meio de credenciais gerenciadas que se ajustam a um modelo de zero-trust.
Adotando o Acesso Passwordless e Federado
Os ambientes sem fio mais fortes geralmente parecem mais fáceis de usar, não mais difíceis. Isso surpreende as equipes que ainda associam segurança a mais solicitações, mais senhas e mais fricção no onboarding.
Na prática, o acesso passwordless e federado melhora tanto o controle quanto a experiência do usuário. A equipe para de tratar o WiFi como uma ilha de login separada. Os visitantes param de lidar com fluxos de portal desajeitados que quebram a confiança antes mesmo de chegarem à internet.
O acesso da equipe deve seguir a identidade corporativa
Para os funcionários, o WiFi não deve exigir um armazenamento de credenciais separado se a empresa já utiliza um provedor de identidade como Microsoft Entra ID, Okta ou Google Workspace. A rede sem fio deve consumir a mesma fonte de identidade que impulsiona o registro de dispositivos, o acesso a aplicativos e o desligamento de funcionários.
Isso proporciona um modelo operacional mais limpo:
- Novos contratados obtêm acesso por meio dos fluxos de trabalho de identidade existentes.
- Mudanças de cargo herdam novos acessos com base em alterações de função.
- Desligamentos perdem o acesso quando o status do diretório muda.
- BYOD pode ser tratado com onboarding controlado em vez de confiança total.
O SSO é importante aqui porque reduz o número de sistemas autônomos que ficam dessincronizados. O valor operacional dessa abordagem é bem explicado nesta análise sobre os benefícios do single sign-on . O ponto principal para redes sem fio é simples. Quanto menos os usuários lidarem com segredos manualmente, menos oportunidades terão de vazá-los, reutilizá-los ou digitá-los incorretamente.
Passwordless é um controle de segurança, não apenas um recurso de conveniência
Quando as equipes ouvem falar em “WiFi sem senha”, às vezes pensam primeiro em conveniência. O motivo mais forte é a redução da exposição. Remover as senhas do caminho sem fio elimina uma grande categoria de chamados de suporte e uma grande categoria de riscos evitáveis.
Um design sem senha geralmente inclui:
- Integração baseada em certificados para dispositivos gerenciados de funcionários.
- Política integrada ao diretório para que o acesso acompanhe o status da identidade.
- Reconexão silenciosa após o primeiro registro, garantindo uma experiência de usuário sem interrupções.
- Revogação imediata quando um dispositivo ou usuário não deve mais ser confiável.
Este também é o ponto onde as escolhas de plataforma importam. Algumas organizações constroem em torno de sua pilha NAC existente e ferramentas de identidade em nuvem. Outras usam serviços de rede gerenciados baseados em identidade. Por exemplo, a Purple oferece suporte para WiFi de funcionários com 802.1X, integração baseada em certificados e integrações de SSO com Entra ID, Google Workspace e Okta. A questão de design relevante não é a preferência de marca. É se a plataforma se adapta à sua arquitetura de identidade, modelo de revogação e capacidade de suporte.
O acesso de convidados e visitantes pode ser seguro sem ser complexo
O WiFi para convidados frequentemente fica atrás da segurança dos funcionários porque as equipes assumem que há uma compensação entre simplicidade e proteção. Não precisa ser assim.
O acesso moderno para convidados pode usar tecnologias como Passpoint e OpenRoaming para criar conexões criptografadas e automáticas sem depender de uma senha compartilhada ou de um ritual repetitivo de página de portal. A experiência do usuário melhora porque o dispositivo reconhece uma estrutura de acesso confiável. A segurança melhora porque a conexão começa com um comportamento de identidade e criptografia mais forte do que um SSID aberto ou um Captive Portal básico.
Os usuários não se opõem ao WiFi seguro. Eles se opõem ao WiFi que é inseguro e inconveniente.
Esse é o objetivo prático. Um modelo de identidade para funcionários, um caminho controlado para BYOD e um acesso de convidados que não ensine as pessoas a clicar em páginas de portal vagas e confiar em qualquer rede que apareça primeiro.
Projetando uma Arquitetura de Rede Sem Fio Zero Trust
Zero trust no WiFi significa uma coisa acima de tudo. Conexão não é igual a confiança. O fato de um dispositivo estar no alcance do rádio, conhecer um SSID ou ter passado por uma etapa básica de autenticação não deve conceder amplo acesso a recursos internos.
Um design sem fio de zero-trust viável começa com a identidade e termina com a contenção. Trata-se menos de comprar um produto rotulado como "zero-trust" e mais de garantir que cada decisão de acesso seja estreita, explícita e reversível. O enquadramento mais amplo em zero trust network access alinha-se bem com o sem fio porque o WiFi é um dos lugares mais fáceis para as organizações confiarem excessivamente por padrão.
Comece com políticas, não SSIDs
Um erro comum é criar um grande número de SSIDs para representar grupos diferentes. Isso parece organizado, mas geralmente se torna confuso rapidamente. Um padrão melhor são menos SSIDs, autenticação mais forte e atribuição orientada por políticas nos bastidores.
Por exemplo, o mesmo SSID corporativo pode posicionar os usuários de maneira diferente com base na identidade e no estado do dispositivo:
| Identidade ou tipo de dispositivo | Tratamento típico |
|---|---|
| Notebook corporativo gerenciado | Segmento corporativo com acesso baseado em função |
| Dispositivo de prestador de serviços | Segmento restrito apenas para ferramentas específicas |
| Dispositivo móvel de executivo | Acesso gerenciado com controles de política mais rígidos |
| Impressora ou scanner | Segmento operacional isolado com acesso leste-oeste estreito |
| Telefone de convidado | Acesso apenas à internet, separado dos sistemas internos |
A atribuição dinâmica de VLAN e a política baseada em funções tornam-se particularmente úteis. A rede não se importa com qual escritório uma pessoa entrou. Ela avalia quem ela é, qual dispositivo está usando e qual acesso deve obter.
Aplique o privilégio mínimo desde o primeiro pacote
O privilégio mínimo no wireless não é um princípio abstrato. É uma sequência de decisões concretas:
- Autenticar a identidade com 802.1X ou uma alternativa aprovada.
- Classificar o endpoint como gerenciado, não gerenciado, convidado ou operacional.
- Atribuir a função de rede com base nos atributos do diretório e na política.
- Restringir o movimento leste-oeste para que um endpoint não possa navegar casualmente pelo restante da infraestrutura.
- Monitorar o comportamento da sessão em busca de anomalias e revogar rapidamente se necessário.
Esse design limita o raio de alcance dos danos. Se um dispositivo for comprometido, o invasor não herdará automaticamente uma ampla visibilidade interna.
Evite o falso conforto do "interno"
Muitas violações tornam-se maiores porque a rede trata qualquer coisa que se conecte à WLAN interna como confiável. Essa suposição é difícil de justificar hoje em dia. Notebooks corporativos sofrem phishing. Dispositivos móveis são perdidos. Hardwares de IoT são fornecidos com padrões fracos. Prestadores de serviços conectam-se de ambientes mistos.
“WiFi interno” não é um limite de segurança. É apenas um meio de transporte até que a política decida o contrário.
Uma segurança forte de WiFi corporativo trata cada sessão sem fio como não confiável até que seja comprovada e restrita. É isso que transforma o zero trust de uma frase de apresentação de slides em um design operacional.
Lidando com Dispositivos Legados e IoT com Segurança
Todo design de rede sem fio limpo acaba encontrando a mesma objeção. “Isso parece bom para laptops e telefones, mas e os dispositivos que não suportam 802.1X?” É uma pergunta justa. Impressoras, scanners, dispositivos médicos, sistemas prediais, câmeras e hardwares especializados mais antigos geralmente não conseguem executar suplicantes modernos corretamente.
A resposta errada é criar um SSID de fallback com uma senha compartilhada WPA2-Personal e chamá-lo de “rede IoT”. Isso desfaz grande parte do modelo de segurança que você acabou de construir. A senha se espalha. Ninguém sabe qual dispositivo a está usando. Revogar um endpoint torna-se doloroso novamente.
Por que um SSID de fallback compartilhado é um compromisso ruim
Uma única senha para dispositivos legados cria os mesmos problemas discutidos anteriormente, mas com ainda menos visibilidade. Muitos desses endpoints não são gerenciados ou são pouco gerenciados. Alguns são difíceis de atualizar. Alguns são instalados e esquecidos.
Isso torna uma rede de chave compartilhada perigosa por três motivos:
- A atribuição é ruim. Você sabe que um dispositivo se conectou, mas não se é o aprovado que você pretendia.
- A rotação é disruptiva. Alterar a chave pode significar visitar os dispositivos um por um.
- A segmentação fica desleixada. As equipes costumam colocar dispositivos legados juntos e esperar que as regras de firewall sejam suficientes.
Use credenciais por dispositivo onde o 802.1X completo não for possível
Um compromisso melhor é o iPSK ou PPSK. Fornecedores diferentes rotulam de forma diferente, mas o princípio é o mesmo. Cada dispositivo recebe sua própria chave pré-compartilhada exclusiva, mesmo que o SSID seja compartilhado.
Isso oferece controle prático sem exigir um suplicante 802.1X completo:
- Um dispositivo, uma chave. Se uma impressora for substituída ou uma câmera for comprometida, você revoga apenas essa chave.
- Melhor mapeamento de políticas. Você pode vincular uma chave específica a uma VLAN, função ou política de rede restrita.
- Visibilidade aprimorada. As equipes de suporte podem identificar qual endpoint deve estar na rede.
Isso não se equivale ao EAP-TLS baseado em certificado. É uma estratégia de contenção pragmática para hardwares que não podem fazer melhor.
Trate a IoT como uma classe de risco, não como uma classe de conveniência
A mentalidade de design é importante. Dispositivos legados e IoT não devem ser “as coisas que vão para a rede fácil”. Eles devem ser tratados como uma categoria de risco distinta, com caminhos de comunicação rigidamente definidos.
Um padrão sensato é isolá-los das redes de usuários, permitir apenas os protocolos e destinos de que precisam e documentar a propriedade de forma clara. Se nenhuma equipe for responsável pelo ciclo de vida do dispositivo, a política de rede sem fio sozinha não salvará você. Mas se você combinar credenciais por dispositivo com segmentação estrita, poderá evitar que exceções herdadas comprometam o restante da arquitetura de rede sem fio.
Monitoramento de Conformidade e Resposta a Incidentes
Uma implantação segura não termina quando os usuários se conectam com sucesso. As operações do dia a dia importam mais do que o dia da implantação. Se você não consegue ver quem se autenticou, qual método utilizou, qual função recebeu e o que mudou antes de um incidente, seu ambiente sem fio será difícil de defender e ainda mais difícil de investigar.
O que monitorar todos os dias
No mínimo, as equipes de segurança e de rede devem acompanhar estes pontos de dados em seus logs de rede sem fio e RADIUS:
- Falhas de autenticação que podem indicar tentativas de força bruta, problemas de certificado ou clientes mal configurados
- Problemas repetidos de integração que frequentemente revelam políticas inconsistentes ou tipos de dispositivos não suportados
- Mudanças inesperadas de função, como um dispositivo que acaba no segmento errado
- Novos padrões de endpoint que sugerem dispositivos não autorizados ou crescimento não gerenciado
- Alertas de AP invasor e SSID falsificado de ferramentas de monitoramento de rede sem fio
Esses logs também apoiam o trabalho de conformidade. O UK GDPR e a Lei de Proteção de Dados de 2018 exigem medidas técnicas e organizacionais adequadas para proteger dados pessoais. Em uma rede sem fio, essa expectativa se traduz em um controle de acesso robusto, segregação sensata e pontos de decisão auditáveis. O WiFi baseado em identidade ajuda porque fornece eventos de acesso identificados em vez do uso anônimo de um segredo compartilhado.
Ambientes de alta segurança exigem escolhas mais rigorosas
Para ambientes que exigem maior garantia de segurança, como governamentais ou de defesa, o modo WPA3-Enterprise de 192 bits é a opção mais robusta disponível descrita aqui, e ainda depende de 802.1X e EAP-TLS para verificações de identidade por sessão, conforme resumido neste guia de segurança WiFi . Isso não elimina a necessidade de monitoramento. Pelo contrário, aumenta a expectativa de que a política, a higiene dos certificados e o tratamento de incidentes sejam igualmente disciplinados.
Crie um plano de resposta a incidentes de rede sem fio
Quando há suspeita de um incidente de rede sem fio, a velocidade importa mais do que a perfeição. A primeira resposta deve ser estruturada:
- Identificar o escopo. Quais SSID, local, identidades e dispositivos estão envolvidos?
- Conter o acesso. Revogar certificados, desativar contas ou colocar a função afetada em quarentena.
- Preservar logs. Manter registros de autenticação, eventos do controlador e alterações de identidade relacionadas.
- Verifique o movimento lateral. Confirme se o dispositivo alcançou sistemas além de seu segmento planejado.
- Corrija e fortaleça. Corrija a lacuna de política, configuração incorreta ou fraqueza de registro que tornou o incidente possível.
Os melhores planos de resposta a incidentes wireless não começam com capturas de pacotes. Eles começam sabendo exatamente qual identidade se conectou, qual política foi aplicada e como revogá-la imediatamente.
Seu checklist de segurança de WiFi corporativo
Um bom programa de segurança wireless não começa com a substituição de cada ponto de acesso. Começa com a substituição de suposições de confiança fracas. Use este checklist para auditar onde seu ambiente se encontra e decidir o que mudar primeiro.
Audite o estado atual
- Encontre segredos compartilhados. Liste cada SSID que ainda usa uma senha comum e identifique quem a conhece.
- Mapeie as classes de dispositivos. Separe funcionários, convidados, BYOD, contratados, IoT e dispositivos operacionais.
- Revise os limites de confiança. Verifique se algum acesso interno amplo está sendo concedido apenas porque um dispositivo se conectou ao WiFi.
Priorize as mudanças de controle
- Mova a equipe para o 802.1X. Comece com dispositivos gerenciados e torne a autenticação individual o padrão.
- Prefira o acesso baseado em certificado. Use EAP-TLS onde o ciclo de vida do dispositivo e os processos de PKI possam dar suporte.
- Vincule o WiFi aos sistemas de identidade. Desligamentos e mudanças de função devem afetar o acesso à rede automaticamente.
- Use a segmentação de forma agressiva. Coloque usuários e dispositivos em funções, não apenas em SSIDs.
- Trate as exceções adequadamente. Use chaves por dispositivo para hardware legado em vez de uma senha de fallback compartilhada.
Estreite as operações
- Monitore eventos de autenticação. Logons com falha, padrões de dispositivos estranhos e atribuições de funções incorretas devem estar visíveis.
- Procure por infraestrutura não autorizada. Fique atento a APs não autorizados e nomes de rede falsificados.
- Teste a revogação. Prove que você pode remover um usuário ou um dispositivo instantaneamente sem interromper todos os outros.
- Documente a propriedade. Cada classe de dispositivo deve ter um proprietário de negócios e um proprietário de política.
A segurança do WiFi corporativo melhora rapidamente quando a identidade, a segmentação e o monitoramento se movem juntos. Se você corrigir apenas um deles, os outros dois geralmente se tornarão seu próximo ponto fraco.
Se você está modernizando o acesso sem fio e busca uma abordagem de plataforma em vez de conectar várias ferramentas, a Purple é uma opção a ser avaliada. Ela foca em WiFi baseado em identidade para visitantes, funcionários e ambientes multi-inquilino, incluindo acesso de visitantes sem senha, integrações de SSO e controles para integração de dispositivos legados, o que a torna relevante para equipes que estão deixando as senhas compartilhadas em direção a um modelo sem fio zero-trust.
