Bloqueio de Malware e Phishing na Fronteira da Rede

Olá e bem-vindo a este briefing técnico da Purple. Sou o vosso anfitrião e hoje vamos mergulhar numa decisão de arquitetura crítica para operadores de recintos: Bloquear Malware e Phishing no Limite da Rede (Network Edge). Estamos a falar para gestores de TI, arquitetos de rede, CTOs e diretores de operações que gerem redes em hotéis, cadeias de retalho, estádios e recintos do setor público. Se gere WiFi para convidados ou grandes redes públicas, conhece bem a dor de cabeça dos dispositivos não geridos. Não pode instalar um agente de endpoint no smartphone de um convidado e certamente não pode controlar os links em que eles clicam. Então, qual é a solução? Proteção no limite da rede. Ao mover o ponto de aplicação de segurança para o gateway, bloqueia as ameaças antes mesmo de estas chegarem ao dispositivo. Vamos analisar a arquitetura técnica, começando pelo filtro DNS. Quando um dispositivo se liga à sua rede e tenta aceder a um domínio malicioso - por exemplo, um link de phishing oculto num SMS - a consulta DNS atinge primeiro o seu gateway de limite. Em vez de resolver o endereço IP e permitir a passagem do tráfego, o gateway de limite verifica o domínio em bases de dados de inteligência de ameaças em tempo real. Se for sinalizado como malicioso, o pedido DNS é redirecionado para um sinkhole. A ligação é cortada antes que um único byte de malware seja descarregado. Isto é proativo, não reativo. Vamos analisar um cenário do mundo real. Considere uma grande cadeia de retalho que oferece WiFi gratuito para convidados. Durante a época festiva, a afluência dispara e milhares de dispositivos não geridos ligam-se diariamente. Uma campanha de phishing direcionada atinge a região, imitando um serviço de entregas popular. Sem proteção de limite, um convidado clica no link, o seu dispositivo é comprometido enquanto está na sua rede e, de repente, a reputação do seu IP cai a pique ou, pior, é tentado um movimento lateral contra a sua VLAN de POS. Com a proteção no limite da rede, no momento em que o convidado clica no link malicioso, a consulta DNS é intercetada. O gateway de limite deteta que o domínio foi registado há três horas e sinalizado pela inteligência de ameaças. A ligação é bloqueada, o convidado vê uma página de bloqueio segura e a sua rede permanece protegida. Sem necessidade de agentes de endpoint. Esta arquitetura também simplifica a conformidade. Quer esteja a lidar com PCI-DSS no retalho, GDPR na Europa ou conformidade com a IWF para redes WiFi públicas no Reino Unido, o filtro de limite fornece o registo centralizado e a aplicação necessários para auditorias. Terá um registo de auditoria completo de consultas DNS e ameaças bloqueadas. Agora, vamos discutir a implementação. A armadilha mais comum é o bloqueio excessivo, que gera pedidos de suporte e frustra os convidados. A chave é a aplicação de políticas granulares. Não vai querer um bloqueio geral em todos os domínios registados recentemente se a sua equipa de marketing cria frequentemente sites temporários para campanhas. Precisa de uma abordagem em camadas. A Camada 1 é a inteligência de ameaças a montante - bloqueando intervenientes maliciosos conhecidos, servidores de comando e controlo de botnets e pontos de distribuição de malware. A Camada 2 é a filtragem de conteúdos baseada em categorias, garantindo a conformidade com as regulamentações locais. A Camada 3 é o controlo de acessos, aplicando diferentes políticas com base na função do utilizador. Um convidado recebe uma política restritiva, enquanto a equipa do local num SSID corporativo recebe uma política diferente. E quanto ao DNS encriptado? Protocolos como DNS over HTTPS (DoH) e DNS over TLS (DoT) podem contornar a filtragem de fronteira tradicional se não forem geridos corretamente. A sua arquitetura de fronteira deve ter isto em conta, bloqueando resolutores DoH públicos conhecidos para forçar a reversão para o seu DNS seguro, ou implementando a inspeção SSL para dispositivos geridos, embora esta última não seja viável para redes de convidados. Para WiFi de convidados, forçar o tráfego através do seu DNS seguro e bloquear portas alternativas é a abordagem padrão. Passemos a uma sessão rápida de perguntas e respostas com base nas dúvidas comuns dos clientes. Pergunta 1: A filtragem de fronteira adiciona latência? Resposta: Mínima. Um gateway de fronteira robusto armazena em cache as respostas de DNS e utiliza o encaminhamento anycast para o nó de inteligência de ameaças mais próximo. A latência adicionada é normalmente de milissegundos de um único dígito, impercetível para o utilizador. Pergunta 2: Como é que isto afeta o ROI? Resposta: O ROI é medido na redução de incidentes e na gestão simplificada. Elimina o custo de licenciamento por dispositivo de segurança de endpoint para dispositivos BYOD. Também reduz drasticamente as horas de suporte técnico gastas a investigar dispositivos comprometidos ou a lidar com endereços IP na lista negra. Pergunta 3: Isto pode proteger dispositivos IoT? Resposta: Sim. Este é um benefício enorme. As Smart TVs nos quartos de hotel, a sinalização digital no retalho ou os terminais de ponto de venda muitas vezes não conseguem executar agentes de endpoint. A proteção de fronteira abrange-os automaticamente porque todo o seu tráfego tem de passar pelo gateway. Em resumo, a proteção exclusiva do endpoint é insuficiente para as redes de locais modernos. Precisa de um ponto único de aplicação para todo o tráfego. A proteção de fronteira de rede é proativa, económica e abrange todos os dispositivos, geridos ou não geridos. É o padrão arquitetónico para WiFi de convidados e redes de locais seguros. Obrigado por ouvir este briefing técnico. Não se esqueça de consultar o guia de referência completo para diagramas de arquitetura detalhados, etapas de implementação e leituras adicionais sobre análise de WiFi e implementações específicas do setor. Mantenha-se seguro.