Melhores Práticas para Proteger Redes Escolares de K-12 com NAC

Melhores Práticas para Proteger Redes Escolares do Ensino Básico e Secundário com NAC Um Briefing de Inteligência da Purple WiFi - Aproximadamente 10 Minutos --- INTRODUÇÃO E ENQUADRAMENTO - aproximadamente 1 minuto Bem-vindo ao Briefing de Inteligência da Purple WiFi. Sou o vosso anfitrião e hoje vamos abordar um tema que se situa exatamente na intersecção da salvaguarda, conformidade e engenharia de rede prática: proteger redes escolares do ensino básico e secundário utilizando o Network Access Control, ou NAC. Se é um gestor de TI ou arquiteto de rede a trabalhar na educação, já conhece o desafio. Tem uma única rede física que precisa de servir professores, alunos, membros da direção, encarregados de educação de visita, dispositivos IoT como quadros interativos e câmaras de CCTV, e por vezes prestadores de serviços - tudo ao mesmo tempo, todos com níveis de confiança e requisitos de acesso muito diferentes. Os riscos são elevados. As escolas detêm dados pessoais sensíveis de menores. Estão sujeitas ao GDPR, à CIPA no contexto dos EUA e, cada vez mais, às diretrizes da Ofsted e do DfE no Reino Unido. Um único ponto de acesso mal configurado pode expor registos de proteção de menores ou permitir que um aluno aceda à rede administrativa. Por isso, hoje, vamos analisar detalhadamente como estruturar e implementar uma solução NAC num ambiente de ensino básico e secundário - as normas, a estratégia de segmentação, os pontos de integração e as armadilhas que complicam o trabalho até das equipas mais experientes. Vamos a isso. --- ANÁLISE TÉCNICA DETALHADA - aproximadamente 5 minutos Comecemos pelos fundamentos. O NAC - Network Access Control - é a disciplina de controlar quem e o que se pode ligar à sua rede, e o que pode fazer depois de estar ligado. Num contexto escolar, isto significa impor autenticação, autorização e políticas no ponto de entrada da rede, quer seja numa porta de switch com fios ou num ponto de acesso sem fios. A norma fundamental aqui é a IEEE 802.1X. Este é o protocolo de autenticação baseado em portas que se situa entre um suplicante - o dispositivo que se tenta ligar - um autenticador, que é o seu switch ou ponto de acesso, e um servidor de autenticação, tipicamente um servidor RADIUS. Quando um dispositivo tenta ligar-se, o 802.1X mantém-no num estado não autenticado, passa as credenciais para o servidor RADIUS e apenas concede acesso à rede assim que o servidor confirmar a identidade e a correspondência da política. Numa escola, isto mapeia-se diretamente para os seus grupos de utilizadores. O pessoal docente e não docente autentica-se com as suas credenciais do Active Directory ou Azure AD. Os alunos autenticam-se com as credenciais emitidas pela escola ou com certificados de dispositivo. Os dispositivos não geridos - o telemóvel de um encarregado de educação numa noite aberta, o portátil de um prestador de serviços - são redirecionados para um Captive Portal ou para uma VLAN de convidados restrita. Agora, vamos falar sobre a segmentação de VLAN, porque é aqui que a maioria das redes escolares faz as coisas bem ou se deixa exposta. O modelo de segmentação mínimo viável para uma rede de ensino básico e secundário é o seguinte. Precisa de, pelo menos, quatro VLANs. Primeiro, uma VLAN de Pessoal e Administração - esta suporta postos de trabalho de professores, sistemas MIS, dados de RH e aplicações financeiras. Acesso total à internet, mas sem acesso lateral aos dispositivos dos alunos. Segundo, uma VLAN de Alunos - acesso filtrado à internet, filtragem de conteúdos aplicada, sem acesso aos recursos do pessoal. Terceiro, uma VLAN de IoT e Infraestrutura - é aqui que residem os seus quadros interativos, câmaras IP, controladores de acesso a portas e impressoras. Crucialmente, esta VLAN não deve ter qualquer acesso à internet, a menos que um dispositivo específico o exija, e deve estar protegida por firewall tanto da VLAN de pessoal como da de alunos. Quarto, uma VLAN de Convidados ou Visitantes - apenas internet, completamente isolada, com um Captive Portal para aceitação de termos e recolha de identidade. O servidor RADIUS é o cérebro desta operação. Na maioria das implementações escolares, irá integrar o RADIUS com o seu serviço de diretório existente. Se estiver a executar o Microsoft Active Directory, isso é normalmente feito através de NPS (Network Policy Server) no Windows Server, ou através de um serviço RADIUS na nuvem se tiver migrado para o Azure AD ou Google Workspace. O servidor RADIUS aplica políticas com base na adesão a grupos: um utilizador no grupo de segurança "Pessoal" é atribuído à VLAN 10, um utilizador em "Alunos" obtém a VLAN 20, e assim sucessivamente. Do lado sem fios, a melhor prática atual é o WPA3-Enterprise. O WPA3 aborda as vulnerabilidades conhecidas do WPA2, particularmente no que diz respeito a ataques de dicionário offline e à vulnerabilidade KRACK. O WPA3-Enterprise utiliza o modo de segurança de 192 bits para ambientes de alta sensibilidade, o que é adequado para o SSID de pessoal e administração. Para os SSIDs de alunos, o WPA3-Personal com SAE (Simultaneous Authentication of Equals) é uma melhoria significativa em relação ao WPA2-PSK, pois previne ataques de força bruta offline mesmo que a chave pré-partilhada esteja comprometida. Uma decisão de arquitetura que vale a pena destacar é se deve executar um único SSID com atribuição dinâmica de VLAN, ou múltiplos SSIDs. A abordagem de SSID único é operacionalmente mais limpa - os utilizadores ligam-se a um único nome de rede e o servidor RADIUS atribui-lhes dinamicamente a VLAN correta com base nas suas credenciais. Isto reduz a sobrecarga de RF e simplifica a configuração do dispositivo. No entanto, exige que todos os seus pontos de acesso suportem a atribuição dinâmica de VLAN através de atributos RADIUS, especificamente os atributos Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID na resposta RADIUS Access-Accept. Agora, a gestão de dispositivos IoT é um desafio particular nas escolas. Quadros interativos, câmaras de documentos, sensores ambientais - estes dispositivos muitas vezes não suportam 802.1X de todo. A solução aqui é o MAC Authentication Bypass, ou MAB, combinado com Multi-PSK, ou MPSK. O MAB permite autenticar dispositivos pelo seu endereço MAC contra uma whitelist no seu servidor RADIUS. O MPSK vai mais longe - permite atribuir uma chave pré-partilhada única por dispositivo ou grupo de dispositivos, para que cada dispositivo IoT tenha a sua própria credencial, e a violação da chave de um dispositivo não afete os outros. Para um passo a passo detalhado desta abordagem, o guia da Purple sobre Como Gerir a Segurança de Dispositivos IoT com NAC e MPSK aborda as especificidades de configuração em detalhe. Abordemos também a verificação de postura de conformidade dos endpoints, porque é aqui que as soluções de NAC empresarial acrescentam um valor significativo em relação ao 802.1X básico. Soluções como Cisco ISE, Aruba ClearPass ou Forescout podem interrogar os endpoints antes de conceder acesso - verificando se um dispositivo tem as definições de antivírus atualizadas, se o sistema operativo tem os patches aplicados, se a encriptação de disco está ativada. Num contexto escolar, isto é particularmente valioso para dispositivos pessoais de funcionários ou cenários de BYOD. Um dispositivo que falhe as verificações de postura pode ser colocado em quarentena numa VLAN de remediação, onde apenas consegue aceder a servidores de atualização, em vez de lhe ser concedido acesso total à rede. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - aproximadamente 2 minutos Deixe-me dar-lhe a sequência prática de implementação e, em seguida, assinalar os três erros que vejo com mais frequência. Comece com uma auditoria de rede completa. Antes de tocar numa única configuração, precisa de um inventário completo de todos os dispositivos na rede - com e sem fios - e de cada SSID atualmente a transmitir. Utilize uma ferramenta como o Nmap ou a sua plataforma de gestão de rede existente para listar os dispositivos. Irá quase de certeza encontrar shadow IT: hotspots pessoais, switches não geridos, dispositivos que ninguém sabia que lá estavam. Faseie a sua implementação. Não tente impor a autenticação 802.1X em toda a escola no primeiro dia. Comece com um piloto - normalmente a rede de funcionários no bloco administrativo. Execute primeiro em modo de monitorização, onde o 802.1X é avaliado mas não imposto, para que possa identificar dispositivos que irão falhar a autenticação antes de bloquear o acesso a alguém. Em seguida, avance para a imposição, VLAN por VLAN. Integre com o seu serviço de diretório antes de implementar para os utilizadores. O modo de falha mais comum é implementar o RADIUS e depois descobrir que a sua integração de diretório está corrompida - seja devido a regras de firewall a bloquear o tráfego LDAP, ou porque a conta de serviço utilizada pelo RADIUS não tem permissões suficientes para consultar a pertença a grupos. Agora, as três armadilhas. Primeiro: dispositivos legados. Todas as escolas os têm. Impressoras antigas, equipamentos de AV legados, quadros brancos interativos de 2012. Estes dispositivos não suportam 802.1X. Tenha uma estratégia de lista de permissões MAB pronta antes de forçar a autenticação, ou estará a receber chamadas de todos os professores cuja impressora deixou de funcionar no primeiro dia do período letivo. Segundo: gestão de certificados. A autenticação WPA3-Enterprise e EAP-TLS requer certificados. Se estiver a utilizar uma PKI gerida pela escola, certifique-se de que a sua autoridade de certificação é confiável em todos os dispositivos geridos antes da implementação. Os dispositivos BYOD não geridos solicitarão aos utilizadores que aceitem um certificado não confiável, o que cria um risco de phishing - os utilizadores são habituados a clicar em "aceitar" nos avisos de certificado. Terceiro: conformidade da rede de convidados. Ao abrigo do GDPR, se estiver a recolher dados pessoais através de um captive portal - mesmo que seja apenas um endereço de email - precisa de uma base legal, de um aviso de privacidade e de uma política de retenção de dados. A plataforma de guest WiFi da Purple trata disto de forma nativa, fornecendo fluxos de captive portal em conformidade com gestão de consentimento integrada, o que é particularmente útil para noites abertas e eventos de pais, onde está a integrar um grande número de visitantes rapidamente. - PERGUNTAS E RESPOSTAS RÁPIDAS - aproximadamente 1 minuto Vou responder rapidamente às perguntas que recebo com mais frequência sobre este tema. "Precisamos de um servidor RADIUS dedicado ou podemos utilizar um serviço de nuvem?" - Ambos são válidos. O NPS local no Windows Server é gratuito e integra-se nativamente com o Active Directory. Os serviços de RADIUS na nuvem, como o Foxpass ou o JumpCloud RADIUS, são mais adequados para ambientes Azure AD ou Google Workspace e reduzem a pegada da sua infraestrutura local. "E quanto aos Chromebooks?" - Os Chromebooks suportam 802.1X nativamente e podem ser configurados através da Consola de Administração Google para utilizar EAP-TLS com certificados de dispositivo emitidos através da gestão de certificados da Google. Esta é a abordagem mais limpa para implementações do Google Workspace for Education. "Como lidamos com os pais nas noites abertas?" - Captive portal numa VLAN de convidados isolada. Não é necessário 802.1X. A plataforma de guest WiFi da Purple fornece um portal de marca, em conformidade com o GDPR, que recolhe o consentimento e pode enviar dados analíticos para a sua equipa de marketing ou comunicação. "Qual é o ROI de um NAC numa escola?" - Principalmente a mitigação de riscos. Uma violação de dados envolvendo registos de alunos pode resultar em multas do ICO, danos na reputação e custos de remediação significativos. O custo de uma solução NAC devidamente implementada é uma fração do custo de uma única investigação de violação de dados. - RESUMO E PRÓXIMOS PASSOS - aproximadamente 1 minuto Em resumo: proteger uma rede escolar K-12 com NAC resume-se a quatro pilares. Identidade - saber quem e o que está na sua rede em todos os momentos. Segmentação - garantir que um dispositivo de aluno comprometido não consegue aceder a dados do pessoal ou à infraestrutura de IoT. Conformidade - cumprir os requisitos de GDPR, CIPA e DfE para proteção de dados e salvaguarda. E visibilidade - ter a capacidade de registo e análise para detetar anomalias e responder rapidamente. O ponto de partida prático é uma auditoria de rede e o desenho de VLAN. Acerte nesta parte e a implementação de 802.1X seguirá uma sequência lógica. Não tente fazer tudo de uma vez - planeie por fases, teste em modo de monitorização e crie a sua whitelist de MAB antes de aplicar. Se está a avaliar como uma plataforma de WiFi de convidados e analítica se enquadra nesta arquitetura, a plataforma da Purple integra-se diretamente com a sua infraestrutura de NAC para fornecer integração de convidados em conformidade, analítica de visitantes e aplicação de políticas - sem adicionar complexidade à segmentação da sua rede principal. Para uma leitura mais aprofundada, os guias da Purple sobre segurança de dispositivos IoT com NAC e MPSK, bem como os recursos mais abrangentes de arquitetura de rede empresarial, estão ligados nas notas do programa. Obrigado por ouvir. Até à próxima. --- FIM DO GUIÃO