Device Posture Assessment for Network Access Control

Avaliação de Postura de Dispositivos para Controle de Acesso à Rede. Um Informativo Técnico da Purple. Bem-vindo. Sou o seu anfitrião para o informativo de hoje e, se você está ouvindo isso, provavelmente é um arquiteto de segurança de TI, um engenheiro de rede ou um CTO que recebeu a tarefa de reforçar o controle de acesso à rede em toda a sua organização. Você pode estar gerenciando uma rede de hotéis, uma rede de varejo, um centro de convenções ou uma instalação do setor público — e chegou ao ponto em que simplesmente verificar quem está se conectando à sua rede não é mais suficiente. Você precisa saber o que está se conectando e se esse dispositivo está em um estado confiável. É exatamente isso que vamos cobrir hoje. Avaliação de postura de dispositivos para controle de acesso à rede — o que é, como funciona em nível técnico, como você a integra com sua infraestrutura RADIUS existente e plataformas MDM e, o mais importante, o que fazer com os dispositivos que falham na verificação. Vamos começar. Seção um. Contexto e por que a avaliação de postura é importante agora. Há uma década, a maioria das implantações de WiFi corporativo dependia do controle de acesso baseado em identidade. Você autentica o usuário — via 802.1X, um Captive Portal ou uma chave pré-compartilhada — e, se as credenciais forem válidas, concede o acesso. O problema é que a verificação de identidade por si só não diz nada sobre o estado de segurança do próprio dispositivo. Um nome de usuário e senha válidos podem ser inseridos em um laptop com um sistema operacional desatualizado há três anos, sem antivírus, conectado à sua VLAN corporativa. Esse dispositivo é um risco no momento em que toca sua rede. A transição para a arquitetura Zero Trust mudou fundamentalmente essa lógica. O Zero Trust opera sob o princípio de nunca confiar, sempre verificar — e essa verificação deve se estender além da identidade para abranger a saúde do dispositivo. É aqui que entra a avaliação de postura do dispositivo. A avaliação de postura interroga o endpoint no momento da autenticação, verifica um conjunto definido de critérios de saúde e envia esse resultado para a decisão de controle de acesso. O resultado é o acesso à rede baseado em postura — um modelo onde o que você pode fazer na rede é determinado não apenas por quem você é, mas pelo estado de segurança do dispositivo que você está usando. Do ponto de vista de conformidade, isso é extremamente importante. O PCI DSS versão quatro ponto zero exige explicitamente que as organizações controlem quais dispositivos podem acessar ambientes com dados de portadores de cartão. O princípio de responsabilidade do GDPR exige que as organizações implementem medidas técnicas apropriadas para proteger dados pessoais — e permitir dispositivos desatualizados e não gerenciados em redes que trafegam dados pessoais é cada vez mais difícil de defender em uma auditoria. Para ambientes de saúde, a mesma lógica se aplica sob os requisitos do NHS Cyber Essentials e, no contexto dos EUA, HIPAA. Seção dois. Detalhamento técnico — como a avaliação de postura realmente funciona. Permita-me explicar o funcionamento mecânico. Em sua essência, a avaliação de postura do dispositivo é um processo executado durante ou imediatamente após o handshake de autenticação, antes que o acesso total à rede seja concedido. Existem três modelos arquiteturais primários que você encontrará. O primeiro é a avaliação de postura baseada em agente. Um agente de software leve — instalado no endpoint, geralmente como parte de seu MDM ou plataforma de detecção e resposta de endpoint — coleta telemetria de integridade e a apresenta ao mecanismo de política do NAC. Esta é a abordagem mais abrangente. O agente pode verificar a versão do sistema operacional, nível de patch cumulativo, atualização de assinatura de antivírus, estado do firewall, status de criptografia de disco, se aplicações proibidas específicas estão em execução e se o dispositivo está registrado em seu MDM. O agente comunica esses dados ao servidor RADIUS ou a um mecanismo de política dedicado via um protocolo como RADIUS CoA — Change of Authorisation — ou por meio de uma integração de API específica do fornecedor. O segundo modelo é a avaliação de postura sem agente. Aqui, o sistema NAC tenta inferir a integridade do dispositivo sem um agente local, normalmente consultando sua plataforma MDM diretamente. Quando um dispositivo se conecta e se autentica, o mecanismo de política faz uma chamada para o Microsoft Intune, Jamf ou VMware Workspace ONE via API, recupera o registro de conformidade do dispositivo e usa isso como o sinal de postura. Isso funciona bem para dispositivos corporativos gerenciados que já estão registrados no MDM. A limitação é óbvia — dispositivos não gerenciados ou BYOD não terão um registro de MDM, portanto, você precisa de uma política de contingência para eles. O terceiro modelo é a avaliação baseada em rede. O sistema NAC escaneia o dispositivo conectado usando técnicas como consultas SNMP, chamadas WMI pela rede ou identificação passiva de padrões de tráfego. Este é o método menos confiável e geralmente é usado apenas como uma verificação suplementar ou para ambientes legados onde a implantação de agentes não é viável. Agora, vamos falar especificamente sobre a integração com RADIUS e 802.1X, porque é aqui que a arquitetura se torna interessante. Em uma implantação 802.1X padrão, o solicitante — que é o dispositivo — apresenta credenciais ao autenticador, que é o seu ponto de acesso sem fio ou switch, que encaminha a solicitação de autenticação para o servidor RADIUS. O servidor RADIUS valida as credenciais e retorna um Access-Accept ou Access-Reject. Em uma implantação que reconhece postura, você estende esse fluxo. Após o sucesso da autenticação inicial, o servidor RADIUS — ou um mecanismo de política co-localizado como Cisco ISE, Aruba ClearPass ou Forescout — aciona uma avaliação de postura. O dispositivo é colocado inicialmente em uma VLAN restrita — às vezes chamada de VLAN de postura ou VLAN de quarentena — enquanto a avaliação é executada. Se o dispositivo passar em todas as verificações de postura, uma mensagem RADIUS Change of Authorisation é enviada ao ponto de acesso, movendo o dispositivo para a VLAN de produção apropriada. Se falhar, ele permanece na VLAN restrita e é direcionado para um portal de remediação. O método EAP é fundamental aqui. O EAP-TLS, que utiliza autenticação mútua por certificado, é o padrão de excelência para acesso de dispositivos corporativos porque permite ao servidor RADIUS validar não apenas o usuário, mas o certificado do dispositivo — confirmando que se trata de um endpoint conhecido e gerenciado. O EAP-PEAP ou EAP-TTLS com MSCHAPv2 são comuns para autenticação baseada em credenciais de usuário, mas oferecem menos garantia a nível de dispositivo por si só. Para que a avaliação de postura seja verdadeiramente robusta, recomenda-se o EAP-TLS combinado com a verificação de conformidade do MDM — essa combinação oferece tanto a identidade criptográfica do dispositivo quanto um sinal de integridade em tempo real. Quais atributos específicos uma verificação de postura costuma avaliar? A lista de verificação principal para a maioria das implantações corporativas abrange: versão do sistema operacional e número de compilação — o dispositivo está executando uma versão de OS compatível? Nível de patch — os patches críticos e de alta gravidade foram aplicados dentro de uma janela definida, normalmente de 30 dias? Status do antivírus ou do endpoint detection and response — um produto de segurança reconhecido está instalado, em execução e utilizando assinaturas atualizadas? Firewall baseado em host — está ativado? Criptografia de disco — o BitLocker ou o FileVault estão ativos? Registro no MDM — o dispositivo está registrado na sua plataforma de gerenciamento? E, cada vez mais, as organizações estão adicionando verificações para softwares proibidos — existe algum aplicativo conhecido por ser vulnerável presente? — e para a validade do certificado. Seção três. Recomendações de implementação e armadilhas comuns. Deixe-me fornecer as orientações práticas que surgem da implantação desses sistemas em ambientes de hospitalidade, varejo e setor público. Primeiro, comece com a visibilidade antes da aplicação. Antes de colocar as verificações de postura em modo de bloqueio, execute-as em modo de monitoramento apenas por pelo menos quatro semanas. Isso oferece uma linha de base de como é o seu parque de dispositivos real — qual porcentagem de dispositivos não está em conformidade, quais atributos de postura falham com mais frequência e se os limites da sua política estão calibrados corretamente. Ir direto para a aplicação sem essa linha de base é o erro mais comum e resulta em uma onda de chamados no suporte e usuários frustrados logo no primeiro dia. Segundo, planeje sua segmentação de VLAN antes de configurar as políticas de postura. Você precisa de, no mínimo, três segmentos de rede: uma VLAN corporativa de acesso total para dispositivos gerenciados em conformidade, uma VLAN de remediação com acesso à internet e acesso à sua infraestrutura de gerenciamento de patches e MDM (mas nada mais), e uma VLAN de convidados para dispositivos pessoais não gerenciados. Algumas organizações adicionam uma quarta — uma VLAN corporativa restrita para dispositivos gerenciados que falham na postura, mas precisam de acesso limitado a recursos específicos enquanto realizam a remediação. Mapeie essas VLANs para os seus resultados de postura antes de escrever uma única regra de política.Terceiro, trate o problema de BYOD e dispositivos de convidados explicitamente. Particularmente em ambientes de hospitalidade — e isso se aplica igualmente a hotéis, centros de conferências e áreas de descanso de funcionários do varejo — você terá uma população significativa de dispositivos pessoais que nunca serão registrados em MDM. Sua política de postura deve ter um caminho definido para esses dispositivos. A abordagem típica é rotear automaticamente dispositivos não registrados para uma VLAN de convidados, com controles de largura de banda e filtragem de conteúdo adequados, em vez de bloqueá-los imediatamente. Bloquear dispositivos pessoais em um ambiente de hotel ou conferência cria um problema operacional imediato que sua equipe de atendimento sentirá antes da sua equipe de segurança. Quarto, defina tempos limite de remediação realistas. Quando um dispositivo falha na postura e é colocado na VLAN de remediação, você precisa definir quanto tempo ele tem para se autorremediar antes de ser movido para a quarentena ou bloqueado. Para falhas relacionadas a patches, uma janela de 24 a 48 horas é razoável para um dispositivo corporativo gerenciado — tempo suficiente para o dispositivo baixar atualizações, curto o suficiente para manter a pressão. Para falhas de antivírus, a janela deve ser mais curta — quatro a oito horas — porque um dispositivo sem proteção de endpoint ativa é um risco mais imediato. Quinto, teste seu fluxo de Alteração de Autorização (CoA) minuciosamente. O CoA é o mecanismo que move um dispositivo da VLAN de remediação para a VLAN de produção após ele passar na postura. Também é o mecanismo que pode mover um dispositivo de volta para a quarentena se uma nova verificação periódica falhar. Falhas de CoA — em que o servidor RADIUS envia a mensagem de CoA mas o ponto de acesso não age de acordo — são uma fonte comum de reclamações de usuários. Teste isso de ponta a ponta em seu laboratório antes da implantação em produção e monitore as taxas de sucesso de CoA em seus logs de RADIUS pós-implantação. Agora, uma palavra sobre as armadilhas específicas para ambientes de grandes locais. Em um estádio ou centro de conferências com milhares de conexões simultâneas, a avaliação de postura adiciona latência ao fluxo de autenticação. Verificações baseadas em agentes que exigem que o agente colete telemetria e reporte de volta podem adicionar de dois a cinco segundos ao tempo de conexão. Em escala, isso é perceptível. Otimize pré-armazenando em cache os resultados de postura — a maioria dos mecanismos de política permite que você armazene em cache o resultado de postura de um dispositivo por um período definido, normalmente de uma a quatro horas, para que a nova autenticação não acione uma reavaliação completa todas as vezes. Esta é uma otimização de desempenho crítica para ambientes de alta densidade. Seção quatro. Perguntas rápidas. Pergunta: Posso fazer avaliação de postura sem implantar agentes em todos os dispositivos? Sim, via integração de API de MDM para dispositivos registrados e fingerprinting baseado em rede para outros, mas sua cobertura e precisão serão menores do que com agentes. Para um ambiente misto, uma abordagem híbrida — agentes em dispositivos corporativos, API de MDM para BYOD registrado, fingerprinting de rede como alternativa — é a resposta pragmática. Pergunta: A avaliação de postura funciona com WPA3? Sim. O WPA3 Enterprise usa a mesma estrutura de autenticação 802.1X que o WPA2 Enterprise, de modo que a avaliação de postura se integra da mesma maneira. O PMF (Protected Management Frames) mais forte do WPA3 e a autenticação SAE na verdade complementam a verificação de postura, protegendo a camada de autenticação sobre a qual a postura se apoia. Pergunta: Qual é a diferença entre avaliação de postura e NAC? NAC — Network Access Control (Controle de Acesso à Rede) — é a estrutura mais ampla para controlar quais dispositivos podem acessar quais recursos de rede. A avaliação de postura é uma entrada na decisão do NAC, especificamente o sinal de saúde do dispositivo. Você pode ter NAC sem avaliação de postura — por exemplo, controle de acesso baseado apenas em identidade — mas não pode ter controle de acesso baseado em postura sem uma estrutura NAC para aplicar os resultados. Pergunta: Como isso se integra a uma plataforma como a Purple? A plataforma da Purple gerencia a identidade do dispositivo e as políticas de acesso na camada de WiFi. A avaliação de postura é a próxima camada de controle — ela enriquece a decisão de acesso com dados de saúde do dispositivo. Para operadores preocupados com a segurança, a integração de sinais de postura do seu MDM ao mecanismo de políticas da Purple permite aplicar acessos diferenciados com base na identidade e no estado de conformidade do dispositivo. Seção cinco. Resumo e próximos passos. Para resumir os pontos-chave do briefing de hoje. A avaliação de postura do dispositivo é a prática de avaliar a saúde do endpoint — versão do SO, nível de patch, status do antivírus, inscrição no MDM — no momento da autenticação, e usar esse sinal de saúde para determinar os direitos de acesso à rede. A arquitetura combina autenticação 802.1X, um mecanismo de política RADIUS, integração de API de MDM e segmentação de VLAN para criar um sistema de controle de acesso baseado em postura. Os três resultados de postura — acesso total, VLAN de remediação e quarentena — devem ser projetados e testados antes que a aplicação seja ativada. Comece com o modo de monitoramento, crie sua linha de base e depois passe para a aplicação. Isso não é opcional se você deseja uma implementação tranquila. Para operadores de locais, a população de dispositivos BYOD e convidados exige um tratamento de política explícito — rotear para uma VLAN de convidados em vez de bloquear é o padrão operacionalmente mais seguro. Seus próximos passos imediatos: audite sua arquitetura de VLAN atual e confirme se você possui os segmentos necessários para o roteamento baseado em postura. Avalie os recursos de API da sua plataforma MDM para exportação de dados de postura. Revise os recursos de política de postura do seu servidor RADIUS ou plataforma NAC. E se você estiver começando do zero, considere uma abordagem em fases — implante o 802.1X primeiro, adicione a verificação de postura no modo de monitoramento e depois passe para a aplicação ao longo de uma janela de 90 dias. Obrigado por ouvir. Para saber mais sobre arquitetura de autenticação 802.1X e implantação de Zero Trust WiFi, visite a biblioteca de guias da Purple. Se você está avaliando o controle de acesso baseado em postura para a rede do seu local, a equipe da Purple pode orientá-lo em uma avaliação de implantação. Até a próxima.