Device Posture Assessment para Network Access Control

Avaliação de Postura de Dispositivos para Controlo de Acesso à Rede. Um Briefing Técnico da Purple. Bem-vindo. Sou o seu anfitrião para o briefing de hoje e, se está a ouvir isto, é provável que seja um arquiteto de segurança de TI, um engenheiro de rede ou um CTO a quem foi pedido para reforçar o controlo de acesso à rede em toda a sua organização. Pode estar a gerir um parque hoteleiro, uma cadeia de retalho, um centro de conferências ou uma instalação do setor público — e chegou ao ponto em que verificar simplesmente quem se está a ligar à sua rede já não é suficiente. Precisa de saber o que se está a ligar e se esse dispositivo está num estado adequado para ser considerado confiável. É exatamente isso que vamos abordar hoje. Avaliação de postura de dispositivos para controlo de acesso à rede — o que é, como funciona a nível técnico, como integrá-la com a sua infraestrutura RADIUS existente e plataformas MDM e, fundamentalmente, o que fazer com os dispositivos que falham a verificação. Vamos a isso. Secção um. Contexto e por que razão a avaliação de postura é importante agora. Na última década, a maioria das implementações de WiFi empresarial baseou-se no controlo de acesso baseado na identidade. Autentica o utilizador — através de 802.1X, de um Captive Portal ou de uma chave pré-partilhada — e, se as credenciais forem válidas, concede o acesso. O problema é que a verificação de identidade, por si só, não diz nada sobre o estado de segurança do próprio dispositivo. Um nome de utilizador e palavra-passe válidos podem ser introduzidos num portátil que execute um sistema operativo desatualizado de há três anos, sem patch de segurança e sem antivírus, ligado à sua VLAN corporativa. Esse dispositivo é um risco no momento em que toca na sua rede. A transição para a arquitetura Zero Trust alterou fundamentalmente esta lógica. O Zero Trust funciona com base no princípio de "nunca confiar, verificar sempre" — e essa verificação deve estender-se além da identidade para abranger a integridade do dispositivo. É aqui que entra a avaliação de postura de dispositivos. A avaliação de postura interroga o endpoint no momento da autenticação, verifica um conjunto definido de critérios de integridade e introduz esse resultado na decisão de controlo de acesso. O resultado é o acesso à rede baseado na postura — um modelo em que o que se pode fazer na rede é determinado não apenas por quem se é, mas pelo estado de segurança do dispositivo que se está a utilizar. Do ponto de vista da conformidade, isto é extremamente importante. A versão 4.0 da norma PCI DSS exige explicitamente que as organizações controlem quais os dispositivos que podem aceder a ambientes de dados de titulares de cartões. O princípio da responsabilidade do GDPR exige que as organizações implementem medidas técnicas adequadas para proteger os dados pessoais — e permitir que dispositivos não geridos e sem patches entrem em redes que transportam dados pessoais é cada vez mais difícil de defender numa auditoria. Para ambientes de saúde, aplica-se a mesma lógica sob os requisitos do NHS Cyber Essentials e, no contexto dos EUA, da HIPAA. Secção dois. Análise técnica detalhada — como funciona realmente a avaliação de postura. Permita-me orientá-lo sobre o funcionamento prático. Na sua essência, a avaliação da postura do dispositivo é um processo que corre durante ou imediatamente após o handshake de autenticação, antes de ser concedido o acesso total à rede. Irá deparar-se com três modelos de arquitetura principais. O primeiro é a avaliação de postura baseada em agente. Um agente de software leve — instalado no endpoint, frequentemente como parte do seu MDM ou plataforma de deteção e resposta de endpoint — recolhe telemetria de integridade e apresenta-a ao motor de políticas NAC. Esta é a abordagem mais abrangente. O agente pode verificar a versão do SO, o nível acumulado de patches, a atualidade das assinaturas de antivírus, o estado da firewall, o estado de encriptação do disco, se estão a correr aplicações proibidas específicas e se o dispositivo está registado no seu MDM. O agente comunica estes dados ao servidor RADIUS ou a um motor de políticas dedicado através de um protocolo como o RADIUS CoA — Change of Authorisation — ou através de uma integração de API específica do fornecedor. O segundo modelo é a avaliação de postura sem agente. Aqui, o sistema NAC tenta inferir a integridade do dispositivo sem um agente local, tipicamente consultando diretamente a sua plataforma MDM. Quando um dispositivo se liga e autentica, o motor de políticas consulta o Microsoft Intune, Jamf ou VMware Workspace ONE via API, obtém o registo de conformidade do dispositivo e utiliza-o como o sinal de postura. Isto funciona bem para dispositivos corporativos geridos que já estão registados no MDM. A limitação é óbvia — os dispositivos não geridos ou BYOD não terão um registo no MDM, pelo que precisará de uma política de contingência para estes. O terceiro modelo é a avaliação baseada na rede. O sistema NAC analisa o dispositivo que se está a ligar utilizando técnicas como consultas SNMP, chamadas WMI pela rede ou identificação passiva (fingerprinting) de padrões de tráfego. Este é o método menos fiável e é geralmente utilizado apenas como uma verificação suplementar ou para ambientes legados onde a implementação de agentes não é viável. Agora, falemos especificamente sobre a integração com RADIUS e 802.1X, porque é aqui que a arquitetura se torna interessante. Numa implementação 802.1X padrão, o suplicante — ou seja, o dispositivo — apresenta credenciais ao autenticador, que é o seu ponto de acesso sem fios ou switch, que por sua vez encaminha o pedido de autenticação para o servidor RADIUS. O servidor RADIUS valida as credenciais e devolve um Access-Accept ou Access-Reject. Numa implementação com deteção de postura, este fluxo é expandido. Após o sucesso da autenticação inicial, o servidor RADIUS — ou um motor de políticas co-localizado, como o Cisco ISE, Aruba ClearPass ou Forescout — aciona uma avaliação de postura. O dispositivo é inicialmente colocado numa VLAN restrita — por vezes designada de VLAN de postura ou VLAN de quarentena — enquanto a avaliação corre. Se o dispositivo passar em todas as verificações de postura, uma mensagem RADIUS Change of Authorisation é enviada para o ponto de acesso, movendo o dispositivo para a VLAN de produção adequada. Se falhar, permanece na VLAN restrita e é direcionado para um portal de remediação. O método EAP é importante aqui. O EAP-TLS, que utiliza autenticação mútua por certificado, é o padrão de excelência para o acesso de dispositivos corporativos porque permite que o servidor RADIUS valide não apenas o utilizador, mas também o certificado do dispositivo — confirmando que se trata de um endpoint conhecido e gerido. O EAP-PEAP ou o EAP-TTLS com MSCHAPv2 são comuns para autenticação baseada em credenciais de utilizador, mas oferecem menos garantias ao nível do dispositivo por si só. Para que a avaliação de postura seja verdadeiramente robusta, deve combinar o EAP-TLS com a verificação de conformidade de MDM — essa combinação fornece tanto a identidade criptográfica do dispositivo como um sinal de integridade em tempo real. Que atributos específicos são tipicamente avaliados numa verificação de postura? A lista de verificação principal para a maioria das implementações empresariais abrange: a versão do sistema operativo e o número de compilação — o dispositivo está a executar uma versão de SO suportada? Nível de patches — os patches críticos e de alta gravidade foram aplicados dentro de uma janela definida, tipicamente de 30 dias? Estado do antivírus ou do endpoint detection and response — existe um produto de segurança reconhecido instalado, em execução e com assinaturas atualizadas? Firewall local — está ativada? Encriptação de disco — o BitLocker ou o FileVault estão ativos? Inscrição no MDM — o dispositivo está registado na sua plataforma de gestão? E cada vez mais, as organizações estão a adicionar verificações de software proibido — existe alguma aplicação com vulnerabilidades conhecidas presente? — e de validade de certificados. Secção três. Recomendações de implementação e erros comuns. Permita-me partilhar as orientações práticas que resultam da implementação destes sistemas em ambientes de hotelaria, retalho e setor público. Primeiro, comece pela visibilidade antes da aplicação de regras. Antes de colocar as verificações de postura em modo de bloqueio, execute-as em modo de monitorização apenas durante pelo menos quatro semanas. Isto fornece-lhe uma linha de base do aspeto real do seu parque de dispositivos — que percentagem de dispositivos não está em conformidade, quais os atributos de postura que falham com maior frequência e se os seus limiares de política estão calibrados corretamente. Passar diretamente para a aplicação de regras sem esta linha de base é o erro mais comum e resulta numa vaga de pedidos de suporte técnico e utilizadores frustrados logo no primeiro dia. Segundo, planeie a sua segmentação de VLAN antes de configurar as políticas de postura. Precisa, no mínimo, de três segmentos de rede: uma VLAN corporativa de acesso total para dispositivos geridos em conformidade, uma VLAN de remediação com acesso à Internet e acesso à sua infraestrutura de gestão de patches e MDM mas nada mais, e uma VLAN de convidados para dispositivos pessoais não geridos. Algumas organizações adicionam uma quarta — uma VLAN corporativa restrita para dispositivos geridos que falham a postura mas necessitam de acesso limitado a recursos específicos enquanto procedem à remediação. Mapeie estas VLANs para os seus resultados de postura antes de escrever uma única regra de política. Terceiro, trate o problema do BYOD e dos dispositivos de convidados de forma explícita. Particularmente nos ambientes de hotelaria — e isto aplica-se igualmente a hotéis, centros de conferências e áreas de descanso de funcionários de retalho — terá uma população significativa de dispositivos pessoais que nunca serão registados num MDM. A sua política de postura deve ter um caminho definido para estes dispositivos. A abordagem típica consiste em encaminhar automaticamente os dispositivos não registados para uma VLAN de convidados, com controlos de largura de banda e filtragem de conteúdo adequados, em vez de os bloquear de imediato. Bloquear dispositivos pessoais num hotel ou num ambiente de conferências cria um problema operacional imediato que a sua equipa de atendimento ao público sentirá antes da sua equipa de segurança. Quarto, defina tempos de limite de remediação realistas. Quando um dispositivo falha na postura e é colocado na VLAN de remediação, precisa de definir quanto tempo tem para se auto-remediar antes de ser movido para a quarentena ou bloqueado. Para falhas relacionadas com atualizações de segurança (patches), uma janela de 24 a 48 horas é razoável para um dispositivo corporativo gerido — tempo suficiente para o dispositivo obter as atualizações, mas curto o suficiente para manter a urgência. Para falhas de antivírus, a janela deve ser mais curta — quatro a oito horas — porque um dispositivo sem proteção de endpoint ativa constitui um risco mais imediato. Quinto, teste minuciosamente o seu fluxo de Alteração de Autorização (CoA). O CoA é o mecanismo que move um dispositivo da VLAN de remediação para a VLAN de produção após este passar na validação de postura. É também o mecanismo que pode mover um dispositivo de volta para a quarentena se uma nova verificação periódica falhar. As falhas de CoA — em que o servidor RADIUS envia a mensagem de CoA mas o ponto de acesso não a executa — são uma fonte comum de reclamações dos utilizadores. Teste isto de ponta a ponta no seu laboratório antes da implementação em produção e monitorize as taxas de sucesso de CoA nos registos do seu RADIUS após a implementação. Agora, uma palavra sobre as armadilhas específicas de ambientes com grandes recintos. Num estádio ou centro de conferências com milhares de ligações simultâneas, a avaliação de postura adiciona latência ao fluxo de autenticação. As verificações baseadas em agentes, que exigem que o agente recolha telemetria e envie relatórios de volta, podem adicionar de dois a cinco segundos ao tempo de ligação. À escala, isto é percetível. Otimize fazendo o pré-carregamento em cache dos resultados de postura — a maioria dos motores de políticas permite colocar em cache o resultado de postura de um dispositivo por um período definido, normalmente de uma a quatro horas, para que a nova autenticação não desencadeie uma reavaliação completa de cada vez. Esta é uma otimização de desempenho crítica para ambientes de alta densidade. Secção quatro. Perguntas rápidas. Pergunta: Posso fazer a avaliação de postura sem implementar agentes em todos os dispositivos? Sim, através da integração com a API do MDM para dispositivos registados e de fingerprinting baseado na rede para outros, mas a sua cobertura e precisão serão inferiores às obtidas com agentes. Para um ambiente misto, uma abordagem híbrida — agentes nos dispositivos corporativos, API do MDM para BYOD registados, fingerprinting de rede como alternativa — é a resposta pragmática. Pergunta: A avaliação de postura funciona com WPA3? Sim. O WPA3 Enterprise utiliza a mesma estrutura de autenticação 802.1X que o WPA2 Enterprise, pelo que a avaliação de postura se integra da mesma forma. O PMF — Protected Management Frames — mais forte do WPA3 e a autenticação SAE complementam, na verdade, a verificação de postura, reforçando a camada de autenticação sobre a qual a postura assenta. Pergunta: Qual é a diferença entre avaliação de postura e NAC? O NAC — Network Access Control — é a estrutura mais ampla para controlar quais os dispositivos que podem aceder a quais recursos de rede. A avaliação de postura é uma das entradas na decisão de NAC, especificamente o sinal de estado de integridade do dispositivo. Pode ter NAC sem avaliação de postura — por exemplo, controlo de acesso baseado apenas em identidade — mas não pode ter controlo de acesso baseado em postura sem uma estrutura NAC para aplicar os resultados. Pergunta: Como é que isto se integra com uma plataforma como a Purple? A plataforma da Purple gere a identidade dos dispositivos e as políticas de acesso na camada de WiFi. A avaliação de postura é a próxima camada de controlo — enriquece a decisão de acesso com dados de estado de integridade do dispositivo. Para operadores preocupados com a segurança, a integração de sinais de postura do seu MDM no motor de políticas da Purple permite aplicar um acesso diferenciado com base tanto na identidade como no estado de conformidade do dispositivo. Secção cinco. Resumo e próximos passos. Para resumir os pontos-chave do briefing de hoje. A avaliação de postura do dispositivo é a prática de avaliar o estado de integridade do endpoint — versão do SO, nível de patch, estado do antivírus, inscrição em MDM — no momento da autenticação, e utilizar esse sinal de estado para determinar os direitos de acesso à rede. A arquitetura combina a autenticação 802.1X, um motor de políticas RADIUS, integração de API de MDM e segmentação de VLAN para criar um sistema de controlo de acesso baseado em postura. Os três resultados de postura — acesso total, VLAN de remediação e quarentena — devem ser concebidos e testados antes de a aplicação de políticas ser ativada. Comece com o modo de monitorização, construa a sua base de referência e, em seguida, avance para a aplicação de políticas. Isto não é opcional se pretender uma implementação sem problemas. Para os operadores de recintos, a população de dispositivos BYOD e de convidados requer um tratamento de políticas explícito — o encaminhamento para uma VLAN de convidados, em vez do bloqueio, é a predefinição operacionalmente correta. Os seus próximos passos imediatos: audite a sua arquitetura de VLAN atual e confirme que tem os segmentos necessários para o encaminhamento baseado em postura. Avalie as capacidades de API da sua plataforma de MDM para exportação de dados de postura. Reveja as capacidades de política de postura do seu servidor RADIUS ou plataforma NAC. E, se estiver a começar do zero, considere uma abordagem faseada — implemente primeiro o 802.1X, adicione a verificação de postura em modo de monitorização e, em seguida, avance para a aplicação de políticas num período de 90 dias. Obrigado por nos ouvir. Para saber mais sobre a arquitetura de autenticação 802.1X e a implementação de WiFi Zero Trust, visite a biblioteca de guias da Purple. Se estiver a avaliar o controlo de acesso baseado em postura para a rede do seu recinto, a equipa da Purple pode orientá-lo através de uma avaliação de implementação. Até à próxima.