Arquitetura Zero Trust WiFi: Aplicando Zero Trust a Redes de Grandes Ambientes

Arquitetura de WiFi Zero Trust: Aplicando Zero Trust a Redes de Locais. Um Informativo Empresarial Purple. Boas-vindas. Se você é um arquiteto de rede, líder de segurança de TI ou CTO responsável por um grupo hoteleiro, propriedades de varejo, estádio ou centro de convenções, este informativo é para você. Nos próximos dez minutos, iremos direto ao ponto sobre Zero Trust e forneceremos uma estrutura prática e implantável para aplicá-la à sua infraestrutura sem fio. Sem teorias vazias. Apenas o que você precisa para tomar uma decisão sólida neste trimestre. Vamos começar com o contexto. A frase "Zero Trust" tem circulado desde que John Kindervag a cunhou na Forrester em 2010. Mas para a maioria dos operadores de locais, ela permaneceu como um conceito abstrato associado a data centers corporativos e segurança em nuvem. A realidade é que a sua rede WiFi - aquela que seus convidados, funcionários, prestadores de serviços e dispositivos IoT compartilham - é precisamente onde os princípios de Zero Trust oferecem a redução de risco mais imediata. E as ferramentas para implementá-la estão disponíveis hoje, sem uma reformulação total da infraestrutura. Então, o que Zero Trust realmente significa para o WiFi? Em sua essência, o Zero Trust é um modelo de segurança baseado em três princípios: nunca confiar, sempre verificar; assumir a violação; e aplicar o acesso com privilégio mínimo. Aplicado a uma rede sem fio, isso significa que você para de tratar a conectividade de rede como um substituto para a confiança. O fato de um dispositivo ter se associado com sucesso ao seu ponto de acesso e se autenticado no seu SSID não significa que ele deva ser considerado confiável para acessar seus sistemas internos, sua rede de POS ou sua infraestrutura de gerenciamento predial. A segurança tradicional baseada em perímetro assumia que qualquer coisa dentro da rede estava segura. Em um ambiente de local de grande público - onde você pode ter centenas de dispositivos de convidados, dezenas de laptops de prestadores de serviços, sensores IoT, terminais de pagamento e dispositivos portáteis de funcionários, todos na mesma infraestrutura física - essa suposição é catastroficamente errada. Vamos falar sobre os quatro pilares do WiFi Zero Trust. O primeiro pilar é a verificação contínua. Isso vai além do handshake de autenticação única no qual a maioria das implantações de WiFi depende. Quando um dispositivo se conecta à sua rede via WPA2-Enterprise ou WPA3, ele se autentica uma vez. Mas o que acontece trinta minutos depois, quando a postura desse dispositivo muda - um cliente VPN se desconecta, um agente de segurança para de funcionar ou o dispositivo é entregue a outra pessoa? Em um modelo Zero Trust, a verificação é contínua. Você usa temporizadores de reautenticação de sessão em sua configuração RADIUS, combinados com políticas de Controle de Acesso à Rede, para reavaliar periodicamente se um dispositivo deve manter seu nível de acesso atual. O segundo pilar é o acesso com privilégio mínimo. Cada dispositivo e usuário em sua rede deve receber o acesso mínimo necessário para realizar sua função. O smartphone de um hóspede de hotel precisa de acesso à internet e nada mais. Um terminal de PDV precisa alcançar o gateway de pagamento e nada mais. O tablet de um gerente de instalações precisa de acesso ao sistema de gerenciamento do edifício e nada mais. Isso é imposto por meio de atribuição dinâmica de VLAN - seu servidor RADIUS retorna um atributo de VLAN com base na identidade autenticada ou no perfil do dispositivo, colocando cada dispositivo em um segmento de rede logicamente isolado. O terceiro pilar é a microsegmentação. Esta é a expressão arquitetônica do privilégio mínimo na camada de rede. Em vez de uma rede plana onde todos os dispositivos podem se comunicar lateralmente, você divide sua infraestrutura sem fio em segmentos distintos - normalmente mapeados para VLANs - cada um com sua própria política de firewall. Em um ambiente de varejo, isso significa que o seu WiFi para convidados, o seu WiFi para funcionários, seus terminais de pagamento e seus sistemas de gerenciamento de estoque estão todos em segmentos separados com caminhos explícitos e controlados por políticas entre eles. Um dispositivo de convidado comprometido não pode migrar para sua rede de PDV porque não há rota permitida entre esses segmentos. O quarto pilar é a aplicação da postura do dispositivo. É aqui que o Zero Trust WiFi se torna genuinamente poderoso. Usando uma solução de Controle de Acesso à Rede integrada à sua infraestrutura RADIUS, você pode avaliar a postura de segurança de um dispositivo no momento da conexão - e continuamente a partir de então. O dispositivo está registrado em sua plataforma MDM? O sistema operacional está atualizado com a versão mais recente? O agente de segurança de endpoint está em execução? Os dispositivos que falham nas verificações de postura são colocados em uma VLAN de quarentena com acesso apenas a recursos de remediação, em vez de serem totalmente bloqueados, o que criaria atrito operacional. Agora vamos entrar na arquitetura. A base do Zero Trust WiFi é o IEEE 802.1X, o padrão de controle de acesso à rede baseado em porta. Quando um dispositivo tenta se conectar, o ponto de acesso atua como um autenticador, encaminhando as credenciais para um servidor RADIUS - o servidor de autenticação - que valida a identidade e retorna os atributos da política de acesso. Este é o plano de controle para a aplicação do seu Zero Trust. Para a identidade do dispositivo, você tem duas opções principais. A autenticação baseada em certificado usando EAP-TLS é o padrão ouro - ela elimina totalmente o risco de phishing de credenciais e é obrigatória para qualquer dispositivo que você controle por meio de uma plataforma MDM ou de gerenciamento de endpoint. Para cenários de convidados e BYOD, o PEAP com MSCHAPv2 continua sendo amplamente implantado, embora você deva migrar para o EAP-TLS sempre que viável. Se você quiser entender detalhadamente as compensações técnicas entre esses métodos, o guia da Purple que compara os métodos EAP - abrangendo PEAP, EAP-TLS, EAP-TTLS e EAP-FAST - vale a pena ser revisado antes de você finalizar sua arquitetura de autenticação. O WPA3 é a camada de criptografia que sustenta o Zero Trust WiFi moderno. O WPA3-Enterprise com modo de 192 bits oferece a força criptográfica necessária para ambientes que lidam com dados de cartões de pagamento ou informações pessoais confidenciais. O handshake Simultaneous Authentication of Equals do WPA3 elimina a vulnerabilidade a ataques de dicionário offline que tornava as redes WPA2-Personal tão fáceis de comprometer. Se você ainda está executando WPA2-Personal com uma senha compartilhada em qualquer segmento que lide com algo além do puro acesso à internet de convidados, isso precisa mudar. Deixe-me orientar você em dois cenários reais de implementação. Primeiro, um grupo hoteleiro de 350 quartos com propriedades em todo o Reino Unido. O desafio: uma arquitetura de rede plana onde os dispositivos dos hóspedes, dispositivos da equipe, câmeras IP, smart TVs e o sistema de gerenciamento de propriedades (PMS) estavam todos na mesma VLAN. Um único dispositivo de hóspede comprometido tinha o potencial de alcançar o PMS e exfiltrar registros de hóspedes - um pesadelo de GDPR. A solução implantou quatro VLANs: Internet de Convidados, Corporativo da Equipe, IoT e Sistemas prediais, e Acesso ao PMS. O 802.1X com autenticação baseada em certificado foi implantado para dispositivos da equipe por meio da plataforma MDM do hotel. Os dispositivos dos hóspedes eram autenticados por meio de um Captive Portal com política RADIUS baseada em MAC, impondo acesso apenas à internet. Os dispositivos IoT foram perfilados por MAC OUI e colocados automaticamente na VLAN de IoT com regras de firewall que permitiam apenas as portas específicas exigidas por cada tipo de dispositivo. A VLAN do PMS foi restrita a uma lista de permissões de endereços MAC conhecidos com autenticação de certificado 802.1X. Após a implantação, a superfície de ataque para movimento lateral foi reduzida em mais de noventa por cento, e a propriedade alcançou o alinhamento com os requisitos de minimização de dados do GDPR para dados pessoais acessíveis pela rede. Segundo cenário: uma grande rede de varejo do Reino Unido com 200 lojas. O fator de conformidade aqui foi o PCI-DSS - especificamente a exigência de isolar os ambientes de dados de portadores de cartão de outros segmentos de rede. A arquitetura existente tinha terminais de PDV na mesma infraestrutura sem fio que a rede de produtividade da equipe e o WiFi dos clientes. A implantação do Zero Trust criou três segmentos: WiFi de Convidados com acesso apenas à internet imposto na camada RADIUS, WiFi da Equipe com atribuição de VLAN baseada em funções - gerentes de loja recebendo acesso mais amplo do que associados de vendas - e um segmento de PDV dedicado com WPA3-Enterprise, autenticação de certificado EAP-TLS e regras rígidas de firewall permitindo apenas o tráfego para o gateway de pagamento. Os registros de contabilidade RADIUS foram integrados à plataforma SIEM para fornecer a trilha de auditoria exigida pelo Requisito 10 do PCI-DSS. O resultado foi uma redução limpa do escopo para a avaliação anual do QSA, reduzindo significativamente a carga de conformidade. Agora, recomendações de implantação e as armadilhas a serem evitadas. Comece com uma auditoria de rede antes de tocar em uma única configuração. Mapeie cada tipo de dispositivo em sua rede, seu método de autenticação e sua alocação de VLAN atual. Você não pode projetar uma arquitetura de menor privilégio sem saber o que está segmentando. Implante o RADIUS em uma configuração de alta disponibilidade desde o primeiro dia. Um único servidor RADIUS é um ponto único de falha para toda a sua infraestrutura de autenticação. Dois servidores em configuração ativo-passivo ou ativo-ativo é a implantação mínima viável para qualquer ambiente de produção. Não tente migrar todos os SSIDs simultaneamente. Comece com o segmento de maior risco - normalmente aquele mais próximo aos sistemas de pagamento ou dados confidenciais - e migre-o para 802.1X com imposição de VLAN. Valide a política, resolva os casos de exceção e depois expanda. O erro mais comum que vejo em implantações de locais físicos é o problema de desvio de endereço MAC. Muitos dispositivos IoT - impressoras, smart TVs, sensores prediais - não suportam 802.1X. A tentação é colocá-los em uma lista de permissões por endereço MAC. Isso é aceitável como uma medida de transição, mas os endereços MAC são facilmente falsificáveis. O objetivo de médio prazo deve ser o perfilamento de dispositivos - usando fingerprinting DHCP, análise de HTTP user-agent e análise de comportamento de tráfego para classificar os dispositivos dinamicamente, em vez de depender apenas do endereço MAC. Um segundo erro comum é a supersegmentação. Criar VLANs demais aumenta a complexidade operacional e pode criar falhas inesperadas em aplicativos quando o tráfego legítimo é bloqueado. Comece com quatro a seis segmentos, valide minuciosamente e adicione granularidade apenas onde o perfil de risco o justificar. Agora, uma rápida sessão de perguntas e respostas sobre as dúvidas que mais ouço. O Zero Trust WiFi funciona com dispositivos legados que não suportam 802.1X? Sim, por meio de desvio de autenticação MAC combinado com perfilamento de dispositivo. O dispositivo é colocado em uma VLAN restrita com base em seu perfil, com acesso limitado aos recursos específicos de que necessita. O Zero Trust WiFi exige a substituição dos pontos de acesso existentes? Na maioria dos casos, não. Qualquer ponto de acesso de nível empresarial fabricado nos últimos cinco anos suporta 802.1X, atribuição dinâmica de VLAN e múltiplos SSIDs. O investimento é principalmente na infraestrutura RADIUS, política NAC e regras de firewall - não em hardware. Como isso interage com o SD-WAN? De forma muito direta. O SD-WAN fornece a segmentação da camada WAN e a imposição de políticas que complementam sua microsegmentação sem fio. O tráfego que sai de um segmento de VLAN pode ser direcionado por políticas SD-WAN para o caminho upstream apropriado - um tema abordado detalhadamente no guia da Purple sobre os benefícios do SD-WAN para empresas modernas. Qual é o intervalo correto de reautenticação de sessão? Para dispositivos de funcionários com autenticação baseada em certificado, oito horas é um ponto de partida razoável. Para dispositivos de visitantes, alinhe com sua política de tempo limite de sessão - normalmente de duas a quatro horas. Para dispositivos IoT, a reautenticação deve ser acionada por eventos de mudança de postura, em vez de um temporizador fixo. Para resumir as principais conclusões deste briefing. Zero Trust WiFi não é um produto - é uma arquitetura construída em 802.1X, atribuição dinâmica de VLAN, aplicação de postura de dispositivo e verificação contínua. Os padrões de habilitação são IEEE 802.1X, WPA3-Enterprise e RADIUS com retorno de atributo dinâmico. A microsegmentação é a expressão prática de menor privilégio em uma rede sem fio - de quatro a seis segmentos bem definidos cobrem a grande maioria dos casos de uso de locais. A autenticação baseada em certificado via EAP-TLS é o estado de destino para todos os dispositivos gerenciados. O MAC Authentication Bypass é uma ponte aceitável para IoT herdado, mas o perfil do dispositivo deve ser a meta de médio prazo. Comece com seu segmento de maior risco, valide e depois expanda. Seus próximos passos: realize um inventário de dispositivos e VLAN, avalie sua infraestrutura RADIUS atual quanto à prontidão para alta disponibilidade e identifique seu segmento de rede de maior risco como o alvo da implantação piloto. A plataforma da Purple fornece o mecanismo de política RADIUS, aplicação de VLAN e controles baseados em MAC que sustentam essa arquitetura - e a camada de análise de WiFi oferece a visibilidade para validar se suas políticas estão funcionando conforme o esperado. Obrigado por ouvir. Este foi um Purple Enterprise Briefing sobre Arquitetura Zero Trust WiFi.