Zero Trust WiFi Architecture: Applying Zero Trust to Venue Networks

Arquitetura WiFi Zero Trust: Aplicar o Zero Trust a Redes de Espaços Públicos. Um Briefing da Purple Enterprise. Bem-vindo. Se é arquiteto de rede, responsável de segurança de TI ou CTO responsável por um grupo hoteleiro, rede de retalho, estádio ou centro de conferências, este briefing é para si. Nos próximos dez minutos, vamos simplificar o ruído em torno do Zero Trust e dar-lhe uma estrutura prática e implementável para o aplicar à sua infraestrutura sem fios. Sem teorias inúteis. Apenas o que precisa para tomar uma decisão fundamentada este trimestre. Comecemos pelo contexto. A expressão "Zero Trust" circula desde que John Kindervag a cunhou na Forrester em 2010. Mas, para a maioria dos operadores de espaços, continua a ser um conceito abstrato associado a centros de dados empresariais e segurança na nuvem. A realidade é que a sua rede sem fios — aquela que os seus convidados, funcionários, subempreiteiros e dispositivos IoT partilham — é precisamente onde os princípios de Zero Trust proporcionam a redução de risco mais imediata. E as ferramentas para o implementar estão disponíveis hoje, sem uma reformulação total da infraestrutura. Então, o que significa realmente o Zero Trust para o WiFi? Na sua essência, o Zero Trust é um modelo de segurança assente em três princípios: nunca confiar, verificar sempre; assumir a violação; e aplicar o acesso com privilégios mínimos. Aplicado a uma rede sem fios, isto significa que deixa de tratar a conectividade de rede como um indicador de confiança. O facto de um dispositivo se ter associado com sucesso ao seu ponto de acesso e autenticado no seu SSID não significa que se deva confiar nele para aceder aos seus sistemas internos, à sua rede de POS ou à sua infraestrutura de gestão de edifícios. A segurança tradicional baseada em perímetros assumia que tudo o que estivesse dentro da rede estava seguro. Num ambiente de espaço público — onde pode ter centenas de dispositivos de convidados, dezenas de portáteis de subempreiteiros, sensores IoT, terminais de pagamento e dispositivos portáteis de funcionários, todos na mesma infraestrutura física — essa suposição está catastroficamente errada. Falemos sobre os quatro pilares do Zero Trust WiFi. O primeiro pilar é a verificação contínua. Isto vai além do handshake de autenticação única em que a maioria das implementações de WiFi se apoia. Quando um dispositivo se liga à sua rede através de WPA2-Enterprise ou WPA3, autentica-se uma vez. Mas o que acontece trinta minutos depois, quando a postura desse dispositivo muda — um cliente VPN desliga-se, um agente de segurança deixa de funcionar ou o dispositivo é entregue a outra pessoa? Num modelo Zero Trust, a verificação é contínua. Utiliza temporizadores de reautenticação de sessão na sua configuração RADIUS, combinados com políticas de Controlo de Acesso à Rede, para reavaliar periodicamente se um dispositivo deve manter o seu nível de acesso atual. O segundo pilar é o acesso com privilégios mínimos. Cada dispositivo e utilizador na sua rede deve receber o acesso mínimo necessário para desempenhar a sua função. O smartphone de um hóspede de hotel precisa de acesso à internet e nada mais. Um terminal POS precisa de alcançar o gateway de pagamento e nada mais. O tablet de um gestor de instalações precisa de acesso ao sistema de gestão do edifício e nada mais. Isto é aplicado através da atribuição dinâmica de VLAN — o seu servidor RADIUS devolve um atributo de VLAN com base na identidade autenticada ou no perfil do dispositivo, colocando cada dispositivo num segmento de rede logicamente isolado. O terceiro pilar é a micro-segmentação. Esta é a expressão arquitetónica dos privilégios mínimos na camada de rede. Em vez de uma rede plana onde todos os dispositivos podem comunicar lateralmente, divide a sua infraestrutura sem fios em segmentos discretos — normalmente mapeados para VLANs — cada um com a sua própria política de firewall. Num ambiente de retalho, isto significa que o seu WiFi de convidados, o seu WiFi de funcionários, os seus terminais de pagamento e os seus sistemas de gestão de stock estão todos em segmentos separados com caminhos explícitos e controlados por políticas entre eles. Um dispositivo de convidado comprometido não pode transitar para a sua rede de POS porque não existe uma rota permitida entre esses segmentos. O quarto pilar é a aplicação da postura do dispositivo. É aqui que o WiFi Zero Trust se torna verdadeiramente poderoso. Utilizando uma solução de Network Access Control integrada com a sua infraestrutura RADIUS, pode avaliar a postura de segurança de um dispositivo no momento da ligação — e continuamente a partir daí. O dispositivo está registado na sua plataforma MDM? O sistema operativo está atualizado com os patches mais recentes? O agente de segurança de endpoint está a ser executado? Os dispositivos que falham as verificações de postura são colocados numa VLAN de quarentena com acesso apenas a recursos de remediação, em vez de serem totalmente recusados, o que criaria fricção operacional. Agora vamos entrar na arquitetura. A base do WiFi Zero Trust é o IEEE 802.1X, o padrão de controlo de acesso à rede baseado em portas. Quando um dispositivo tenta ligar-se, o ponto de acesso atua como um autenticador, encaminhando as credenciais para um servidor RADIUS — o servidor de autenticação — que valida a identidade e devolve os atributos da política de acesso. Este é o plano de controlo para a sua aplicação de Zero Trust. Para a identidade do dispositivo, tem duas opções principais. A autenticação baseada em certificados utilizando EAP-TLS é o padrão de excelência — elimina totalmente o risco de phishing de credenciais e é obrigatória para qualquer dispositivo que controle através de um MDM ou plataforma de gestão de endpoints. Para cenários de convidados e BYOD, o PEAP com MSCHAPv2 continua amplamente implementado, embora deva migrar para EAP-TLS sempre que viável. Se quiser compreender detalhadamente as compensações técnicas entre estes métodos, o guia da Purple que compara os métodos EAP — abrangendo PEAP, EAP-TLS, EAP-TTLS e EAP-FAST — merece ser revisto antes de finalizar a sua arquitetura de autenticação. O WPA3 é a camada de encriptação que sustenta o WiFi Zero Trust moderno. O WPA3-Enterprise com o modo de 192 bits fornece a força criptográfica necessária para ambientes que lidam com dados de cartões de pagamento ou informações pessoais confidenciais. O handshake Simultaneous Authentication of Equals do WPA3 elimina a vulnerabilidade a ataques de dicionário offline que tornava as redes WPA2-Personal tão fáceis de comprometer. Se ainda estiver a executar o WPA2-Personal com uma frase de acesso partilhada em qualquer segmento que lide com algo além do mero acesso à internet de convidados, isso precisa de mudar. Permita-me apresentar-lhe dois cenários reais de implementação. Primeiro, um grupo hoteleiro de 350 quartos com propriedades em todo o Reino Unido. O desafio: uma arquitetura de rede plana onde os dispositivos dos hóspedes, os dispositivos dos funcionários, as câmaras IP, as smart TVs e o sistema de gestão de propriedades (PMS) estavam todos na mesma VLAN. Um único dispositivo de hóspede comprometido tinha o potencial de aceder ao PMS e exfiltrar registos de hóspedes — um pesadelo do GDPR. A solução implementou quatro VLANs: Internet de Convidados, Corporativa de Funcionários, IoT e Sistemas de Edifícios, e Acesso ao PMS. O 802.1X com autenticação baseada em certificados foi implementado para os dispositivos dos funcionários através da plataforma MDM do hotel. Os dispositivos dos hóspedes eram autenticados através de um Captive Portal com política RADIUS baseada em MAC a impor o acesso exclusivo à internet. Os dispositivos IoT foram perfilados por MAC OUI e colocados automaticamente na VLAN de IoT com regras de firewall que permitiam apenas as portas específicas exigidas por cada tipo de dispositivo. A VLAN do PMS foi restrita a uma lista de permissões de endereços MAC conhecidos com autenticação de certificado 802.1X. Após a implementação, a superfície de ataque para movimento lateral foi reduzida em mais de noventa por cento, e a propriedade alcançou o alinhamento com os requisitos de minimização de dados do GDPR para dados pessoais acessíveis pela rede. Segundo cenário: uma grande cadeia de retalho do Reino Unido com 200 lojas. O motor de conformidade aqui foi o PCI DSS — especificamente o requisito de isolar os ambientes de dados dos titulares de cartões de outros segmentos de rede. A arquitetura existente tinha terminais POS na mesma infraestrutura sem fios que a rede de produtividade dos funcionários e o WiFi dos clientes. A implementação Zero Trust criou três segmentos: WiFi de Clientes/Convidados com acesso exclusivo à internet imposto na camada RADIUS, WiFi de Funcionários com atribuição de VLAN baseada em funções — com os gerentes de loja a receberem um acesso mais amplo do que os assistentes de vendas — e um segmento POS dedicado com WPA3-Enterprise, autenticação de certificado EAP-TLS e regras de firewall estritas que permitiam apenas o tráfego para o gateway de pagamento. Os registos de contabilidade RADIUS foram integrados na plataforma SIEM para fornecer a pista de auditoria exigida pelo Requisito 10 do PCI DSS. O resultado foi uma redução clara do âmbito para a avaliação anual do QSA, reduzindo materialmente os custos administrativos de conformidade. Agora, recomendações de implementação e os erros a evitar. Comece com uma auditoria de rede antes de tocar numa única configuração. Mapeie cada tipo de dispositivo na sua rede, o seu método de autenticação e a sua atribuição atual de VLAN. Não pode desenhar uma arquitetura de menor privilégio sem saber o que está a segmentar. Implemente o RADIUS numa configuração de alta disponibilidade desde o primeiro dia. Um único servidor RADIUS é um ponto único de falha para toda a sua infraestrutura de autenticação. Dois servidores em configuração ativo-passivo ou ativo-ativo é a implementação mínima viável para qualquer ambiente de produção. Não tente migrar todos os SSIDs em simultâneo. Comece com o seu segmento de maior risco — normalmente o mais próximo dos sistemas de pagamento ou dados sensíveis — e migre-o para 802.1X com aplicação de VLAN. Valide a política, resolva os casos excecionais e, em seguida, expanda. O erro mais comum que vejo em implementações de recintos é o problema de desvio de endereço MAC. Muitos dispositivos IoT — impressoras, smart TVs, sensores de edifícios — não suportam 802.1X. A tentação é colocá-los numa lista de permissões por endereço MAC. Isto é aceitável como uma medida de transição, mas os endereços MAC são facilmente falsificáveis. O objetivo a médio prazo deve ser a definição de perfis de dispositivos — utilizando fingerprinting DHCP, análise de user-agent HTTP e análise de comportamento de tráfego para classificar os dispositivos de forma dinâmica, em vez de depender apenas do endereço MAC. Um segundo erro comum é a sobre-segmentação. Criar demasiadas VLANs aumenta a complexidade operacional e pode criar falhas inesperadas nas aplicações quando o tráfego legítimo é bloqueado. Comece com quatro a seis segmentos, valide minuciosamente e apenas adicione granularidade onde o perfil de risco o justificar. Agora, uma sessão rápida de perguntas e respostas sobre as questões que ouço com mais frequência. O Zero Trust WiFi pode funcionar com dispositivos legados que não suportam 802.1X? Sim, através de MAC Authentication Bypass combinado com a definição de perfis de dispositivos. O dispositivo é colocado numa VLAN restrita com base no seu perfil, com acesso limitado aos recursos específicos de que necessita. O Zero Trust WiFi requer a substituição dos pontos de acesso existentes? Na maioria dos casos, não. Qualquer ponto de acesso de classe empresarial fabricado nos últimos cinco anos suporta 802.1X, atribuição dinâmica de VLAN e múltiplos SSIDs. O investimento é feito principalmente na infraestrutura RADIUS, na política NAC e nas regras de firewall — não em hardware. Como é que isto interage com o SD-WAN? De forma muito direta. O SD-WAN fornece a segmentação e a aplicação de políticas ao nível da WAN que complementam a sua micro-segmentação sem fios. O tráfego que sai de um segmento de VLAN pode ser direcionado através de políticas de SD-WAN para o caminho upstream apropriado — um tema abordado em detalhe no guia da Purple sobre os benefícios do SD-WAN para as empresas modernas. Qual é o intervalo correto de reautenticação de sessão? Para dispositivos de funcionários com autenticação baseada em certificados, oito horas é um ponto de partida razoável. Para dispositivos de convidados, alinhe com a sua política de limite de tempo de sessão — normalmente duas a quatro horas. Para dispositivos IoT, a reautenticação deve ser acionada por eventos de alteração de postura, em vez de um temporizador fixo. Para resumir as principais conclusões desta sessão. O Zero Trust WiFi não é um produto — é uma arquitetura assente em 802.1X, atribuição dinâmica de VLAN, aplicação de postura de dispositivos e verificação contínua. Os padrões que a viabilizam são o IEEE 802.1X, WPA3-Enterprise e RADIUS com retorno dinâmico de atributos. A micro-segmentação é a expressão prática do menor privilégio numa rede sem fios — quatro a seis segmentos bem definidos cobrem a grande maioria dos casos de utilização em recintos. A autenticação baseada em certificados via EAP-TLS é o estado-alvo para todos os dispositivos geridos. O MAC Authentication Bypass é uma ponte aceitável para IoT legado, mas o perfil de dispositivos deve ser o objetivo a médio prazo. Comece pelo seu segmento de maior risco, valide e depois expanda. Os seus próximos passos: realize um inventário de dispositivos e VLAN, avalie a sua infraestrutura RADIUS atual quanto à prontidão para alta disponibilidade e identifique o seu segmento de rede de maior risco como o alvo da implementação piloto. A plataforma da Purple fornece o motor de políticas RADIUS, a aplicação de VLAN e os controlos baseados em MAC que sustentam esta arquitetura — e a camada de WiFi analytics dá-lhe a visibilidade necessária para validar que as suas políticas estão a funcionar como pretendido. Obrigado por ouvir. Esta foi uma Sessão de Informação Empresarial da Purple sobre Arquitetura Zero Trust WiFi.