Avaliação de Postura de Dispositivo para Controle de Acesso à Rede

Avaliação de Postura do Dispositivo para Controle de Acesso à Rede. Um Informativo Técnico da Purple. Bem-vindo. Sou o seu anfitrião para o informativo de hoje e, se você está ouvindo isso, provavelmente é um arquiteto de segurança de TI, um engenheiro de rede ou um CTO que recebeu a tarefa de reforçar o controle de acesso à rede em sua organização. Você pode estar gerenciando uma rede de hotéis, uma rede de varejo, um centro de convenções ou uma instalação do setor público - e chegou ao ponto em que simplesmente verificar quem está se conectando à sua rede já não é suficiente. Você precisa saber o que está se conectando e se esse dispositivo está em condições de ser confiável. É exatamente isso que vamos abordar hoje. Avaliação de postura do dispositivo para controle de acesso à rede - o que é, como funciona em nível técnico, como você a integra com sua infraestrutura RADIUS existente e plataformas MDM e, fundamentalmente, o que fazer com os dispositivos que falham na verificação. Vamos começar. Seção um. Contexto e por que a avaliação de postura importa agora. Na última década, a maioria das implantações de WiFi corporativo dependia do controle de acesso baseado em identidade. Você autentica o usuário - via 802.1X, um Captive Portal ou uma chave pré-compartilhada - e, se as credenciais estiverem corretas, você concede o acesso. O problema é que a verificação de identidade por si só não diz nada sobre o estado de segurança do próprio dispositivo. Um nome de usuário e senha válidos podem ser inseridos em um laptop com um sistema operacional desatualizado há três anos, sem antivírus, conectado à sua VLAN corporativa. Esse dispositivo é um risco no momento em que toca sua rede. A transição para a arquitetura Zero Trust mudou fundamentalmente essa lógica. O Zero Trust opera sob o princípio de nunca confiar, sempre verificar - e essa verificação deve se estender além da identidade para abranger a integridade do dispositivo. É aqui que entra a avaliação de postura do dispositivo. A avaliação de postura interroga o endpoint no momento da autenticação, verifica um conjunto definido de critérios de integridade e alimenta esse resultado na decisão de controle de acesso. O resultado é o acesso à rede baseado em postura - um modelo onde o que você pode fazer na rede é determinado não apenas por quem você é, mas pelo estado de segurança do dispositivo que está utilizando. Do ponto de vista de conformidade, isso é extremamente importante. O PCI-DSS versão quatro ponto zero exige explicitamente que as organizações controlem quais dispositivos podem acessar os ambientes de dados de titulares de cartões. O princípio de responsabilidade do GDPR exige que as organizações implementem medidas técnicas apropriadas para proteger dados pessoais - e permitir que dispositivos desatualizados e não gerenciados acessem redes que trafegam dados pessoais é cada vez mais difícil de defender em uma auditoria. Para ambientes de saúde, a mesma lógica se aplica sob os requisitos do Cyber Essentials do NHS e, no contexto dos EUA, do HIPAA. Seção dois. Detalhamento técnico - como a avaliação de postura realmente funciona. Deixe-me orientá-lo sobre o funcionamento. Em sua essência, a avaliação de postura do dispositivo é um processo executado durante ou imediatamente após o handshake de autenticação, antes que o acesso total à rede seja concedido. Existem três modelos arquitetônicos principais que você encontrará. O primeiro é a avaliação de postura baseada em agente. Um agente de software leve - instalado no endpoint, geralmente como parte de seu MDM ou plataforma de detecção e resposta de endpoint - coleta telemetria de integridade e a apresenta ao mecanismo de política NAC. Esta é a abordagem mais abrangente. O agente pode verificar a versão do sistema operacional, o nível de patch cumulativo, a atualização das assinaturas de antivírus, o estado do firewall, o status de criptografia de disco, se aplicativos proibidos específicos estão em execução e se o dispositivo está registrado em seu MDM. O agente comunica esses dados ao servidor RADIUS ou a um mecanismo de política dedicado por meio de um protocolo como RADIUS CoA - Change of Authorisation - ou através de uma integração de API específica do fornecedor. O segundo modelo é a avaliação de postura sem agente. Aqui, o sistema NAC tenta inferir a integridade do dispositivo sem um agente local, normalmente consultando sua plataforma de MDM diretamente. Quando um dispositivo se conecta e se autentica, o mecanismo de política faz uma chamada para o Microsoft Intune, Jamf ou VMware Workspace ONE via API, recupera o registro de conformidade do dispositivo e o utiliza como sinal de postura. Isso funciona bem para dispositivos corporativos gerenciados que já estão registrados no MDM. A limitação é óbvia - dispositivos não gerenciados ou BYOD não terão um registro de MDM, portanto, você precisará de uma política de fallback para eles. O terceiro modelo é a avaliação baseada em rede. O sistema NAC verifica o dispositivo de conexão usando técnicas como consultas SNMP, chamadas WMI pela rede ou fingerprinting passivo de padrões de tráfego. Este é o método menos confiável e geralmente é usado apenas como uma verificação suplementar ou para ambientes legados onde a implantação de agentes não é viável. Agora, vamos falar especificamente sobre a integração com RADIUS e 802.1X, porque é aqui que a arquitetura fica interessante. Em uma implantação padrão do 802.1X, o suplicante - que é o dispositivo - apresenta credenciais ao autenticador, que é o seu ponto de acesso sem fio ou switch, que encaminha a solicitação de autenticação para o servidor RADIUS. O servidor RADIUS valida as credenciais e retorna um Access-Accept ou Access-Reject. Em uma implantação com reconhecimento de postura, você estende esse fluxo. Após o sucesso da autenticação inicial, o servidor RADIUS - ou um mecanismo de política localizado no mesmo local, como Cisco ISE, Aruba ClearPass ou Forescout - aciona uma avaliação de postura. O dispositivo é inicialmente colocado em uma VLAN restrita - às vezes chamada de VLAN de postura ou VLAN de quarentena - enquanto a avaliação é executada. Se o dispositivo passar em todas as verificações de postura, uma mensagem de RADIUS Change of Authorisation é enviada ao ponto de acesso, movendo o dispositivo para a VLAN de produção apropriada. Se falhar, ele permanece na VLAN restrita e é direcionado para um portal de correção. O método EAP é importante aqui. O EAP-TLS, que usa autenticação mútua por certificado, é o padrão ouro para acesso de dispositivos corporativos porque permite ao servidor RADIUS validar não apenas o usuário, mas também o certificado do dispositivo - confirmando que se trata de um endpoint conhecido e gerenciado. EAP-PEAP ou EAP-TTLS com MSCHAPv2 são comuns para autenticação baseada em credenciais de usuário, mas fornecem menos garantia no nível do dispositivo por si sós. Para que a avaliação de postura seja verdadeiramente robusta, o ideal é o EAP-TLS combinado com a verificação de conformidade do MDM - essa combinação oferece tanto a identidade criptográfica do dispositivo quanto um sinal de integridade em tempo real. Quais atributos específicos uma verificação de postura normalmente avalia? A lista de verificação principal para a maioria das implantações corporativas abrange: versão do sistema operacional e número da compilação - o dispositivo está executando uma versão de OS suportada? Nível de patch - os patches críticos e de alta gravidade foram aplicados dentro de uma janela definida, normalmente de 30 dias? Status do antivírus ou da detecção e resposta de endpoint - um produto de segurança reconhecido está instalado, em execução e usando assinaturas atualizadas? Firewall baseado em host - está habilitado? Criptografia de disco - o BitLocker ou FileVault está ativo? Registro no MDM - o dispositivo está registrado na sua plataforma de gerenciamento? E, cada vez mais, as organizações estão adicionando verificações para softwares proibidos - um aplicativo conhecido por ser vulnerável está presente? - e para a validade do certificado. Seção três. Recomendações de implementação e armadilhas comuns. Deixe-me fornecer as orientações práticas resultantes da implantação desses sistemas em ambientes de hospitalidade, varejo e setor público. Primeiro, comece com a visibilidade antes da aplicação. Antes de colocar as verificações de postura em modo de bloqueio, execute-as em modo de apenas monitoramento por pelo menos quatro semanas. Isso oferece uma linha de base de como realmente é o seu parque de dispositivos - qual porcentagem de dispositivos não está em conformidade, quais atributos de postura falham com mais frequência e se os limites da sua política estão calibrados corretamente. Ir direto para a aplicação sem essa linha de base é o erro mais comum, e resulta em uma onda de chamados no suporte e usuários frustrados no primeiro dia. Segundo, projete sua segmentação de VLAN antes de configurar as políticas de postura. Você precisa de, no mínimo, três segmentos de rede: uma VLAN corporativa de acesso total para dispositivos gerenciados em conformidade, uma VLAN de remediação com acesso à internet e acesso à sua infraestrutura de gerenciamento de patches e MDM, mas nada mais, e uma VLAN de convidados para dispositivos pessoais não gerenciados. Algumas organizações adicionam um quarto - uma VLAN corporativa restrita para dispositivos gerenciados que falham na postura, mas precisam de acesso limitado a recursos específicos enquanto realizam a remediação. Mapeie essas VLANs para os seus resultados de postura antes de escrever uma única regra de política. Terceiro, lide com o problema de BYOD e dispositivos de visitantes de forma explícita. Particularmente em ambientes de hospitalidade - e isso se aplica igualmente a hotéis, centros de convenções e áreas de descanso de funcionários de varejo - você terá uma população significativa de dispositivos pessoais que nunca serão registrados no MDM. Sua política de postura deve ter um caminho definido para esses dispositivos. A abordagem típica é rotear automaticamente os dispositivos não registrados para uma VLAN de visitantes, com controles de largura de banda e filtragem de conteúdo apropriados, em vez de bloqueá-los imediatamente. Bloquear dispositivos pessoais em um ambiente de hotel ou conferência cria um problema operacional imediato que sua equipe de atendimento sentirá antes da sua equipe de segurança. Quarto, defina prazos limites realistas para remediação. Quando um dispositivo falha na postura e é colocado na VLAN de remediação, você precisa definir quanto tempo ele tem para se autorremediar antes de ser movido para a quarentena ou bloqueado. Para falhas relacionadas a patches, 24 a 48 horas é uma janela razoável para um dispositivo corporativo gerenciado - tempo suficiente para o dispositivo baixar atualizações, curto o suficiente para manter a pressão. Para falhas de antivírus, a janela deve ser mais curta - quatro a oito horas - porque um dispositivo sem proteção de endpoint ativa representa um risco mais imediato. Quinto, teste minuciosamente seu fluxo de Alteração de Autorização (CoA). O CoA é o mecanismo que move um dispositivo da VLAN de remediação para a VLAN de produção após ele passar na postura. Também é o mecanismo que pode mover um dispositivo de volta para a quarentena se uma verificação periódica falhar. Falhas de CoA - onde o servidor RADIUS envia a mensagem de CoA mas o ponto de acesso não age de acordo - são uma fonte comum de reclamações de usuários. Teste isso de ponta a ponta em seu laboratório antes da implantação em produção e monitore as taxas de sucesso de CoA em seus logs de RADIUS pós-implantação. Agora, uma palavra sobre as armadilhas específicas para ambientes de grandes locais. Em um estádio ou centro de convenções com milhares de conexões simultâneas, a avaliação de postura adiciona latência ao fluxo de autenticação. Verificações baseadas em agentes que exigem que o agente colete telemetria e reporte de volta podem adicionar de dois a cinco segundos ao tempo de conexão. Em escala, isso é perceptível. Otimize pré-armazenando em cache os resultados de postura - a maioria dos mecanismos de política permite que você armazene em cache o resultado de postura de um dispositivo por um período definido, normalmente de uma a quatro horas, para que a reautenticação não acione uma reavaliação completa a cada vez. Esta é uma otimização de desempenho crítica para ambientes de alta densidade. Seção quatro. Perguntas rápidas. Pergunta: Posso fazer a avaliação de postura sem implantar agentes em todos os dispositivos? Sim, por meio da integração de API de MDM para dispositivos registrados e identificação digital baseada em rede para outros, mas sua cobertura e precisão serão menores do que com agentes. Para um ambiente misto, uma abordagem híbrida - agentes em dispositivos corporativos, API de MDM para BYOD registrado, identificação digital de rede como alternativa - é a resposta pragmática. Pergunta: A avaliação de postura funciona com WPA3? Sim. O WPA3 Enterprise usa a mesma estrutura de autenticação 802.1X que o WPA2 Enterprise, de modo que a avaliação de postura se integra da mesma maneira. O PMF - Protected Management Frames - mais forte do WPA3 e a autenticação SAE na verdade complementam a verificação de postura, reforçando a camada de autenticação sobre a qual a postura é aplicada. Pergunta: Qual é a diferença entre avaliação de postura e NAC? NAC - Network Access Control - é a estrutura mais ampla para controlar quais dispositivos podem acessar quais recursos de rede. A avaliação de postura é uma entrada na decisão do NAC, especificamente o sinal de integridade do dispositivo. Você pode ter NAC sem avaliação de postura - por exemplo, controle de acesso apenas por identidade - mas não pode ter controle de acesso baseado em postura sem uma estrutura NAC para aplicar os resultados. Pergunta: Como isso se integra a uma plataforma como o Purple? A plataforma do Purple gerencia a identidade do dispositivo e as políticas de acesso na camada de WiFi. A avaliação de postura é a próxima camada de controle - ela enriquece a decisão de acesso com dados de integridade do dispositivo. Para operadores preocupados com a segurança, a integração dos sinais de postura do seu MDM ao mecanismo de políticas do Purple permite que você aplique acessos diferenciados com base tanto na identidade quanto no estado de conformidade do dispositivo. Seção cinco. Resumo e próximos passos. Para resumir os pontos principais do briefing de hoje. A avaliação de postura do dispositivo é a prática de avaliar a integridade do endpoint - versão do sistema operacional, nível de patch, status do antivírus, registro no MDM - no momento da autenticação, e usar esse sinal de integridade para determinar os direitos de acesso à rede. A arquitetura combina autenticação 802.1X, um mecanismo de política RADIUS, integração de API de MDM e segmentação de VLAN para criar um sistema de controle de acesso baseado em postura. Os três resultados de postura - acesso total, VLAN de remediação e quarentena - devem ser projetados e testados antes que a aplicação seja ativada. Comece com o modo de monitoramento, crie sua linha de base e, em seguida, passe para a aplicação. Isso não é opcional se você deseja uma implantação sem problemas. Para operadores de locais, a população de dispositivos BYOD e de visitantes exige um tratamento de política explícito - o roteamento para uma VLAN de visitantes em vez do bloqueio é o padrão operacionalmente correto. Seus próximos passos imediatos: audite sua arquitetura de VLAN atual e confirme se você tem os segmentos necessários para o roteamento baseado em postura. Avalie os recursos de API da sua plataforma MDM para exportação de dados de postura. Revise os recursos de política de postura do seu servidor RADIUS ou plataforma NAC. E se você estiver começando do zero, considere uma abordagem em fases - implante o 802.1X primeiro, adicione a verificação de postura no modo de monitoramento e, em seguida, passe para a aplicação ao longo de um período de 90 dias. Obrigado por ouvir. Para saber mais sobre a arquitetura de autenticação 802.1X e a implantação de WiFi Zero Trust, visite a biblioteca de guias do Purple. Se você está avaliando o controle de acesso baseado em postura para a rede do seu local, a equipe do Purple pode orientá-lo em uma avaliação de implantação. Até a próxima.