O Papel do SCEP e do NAC na Infraestrutura de MDM Moderna

Bem-vindo ao Purple Technical Briefing. Sou o vosso anfitrião e hoje vamos mergulhar num tema de arquitetura crítico para redes empresariais: O papel do SCEP e do NAC na infraestrutura moderna de MDM. Se é um diretor de TI, um arquiteto de rede ou se gere operações num grande espaço — seja um estádio, um hospital ou uma cadeia de retalho — conhece a dor de cabeça que é a integração segura de dispositivos. Os dias das chaves pré-partilhadas terminaram. Hoje, falamos de autenticação baseada em certificados. Vamos explorar como o Simple Certificate Enrollment Protocol, ou SCEP, se associa ao Network Access Control, ou NAC, para automatizar o aprovisionamento de dispositivos e impor o acesso zero-trust. Vamos diretos ao assunto. Vamos detalhar a arquitetura. Na base, temos três camadas: a camada de dispositivos, o motor de políticas e a camada de acesso à rede. Quando um novo dispositivo corporativo ou um endpoint BYOD precisa de acesso, regista-se primeiro na sua plataforma de Mobile Device Management. Mas o MDM por si só não concede acesso à rede. É aí que entra o SCEP. O SCEP funciona como o mensageiro automatizado entre o seu MDM e a sua Autoridade de Certificação. Em vez de um administrador de TI gerar e instalar manualmente um certificado X.509 em cada dispositivo, o MDM envia um payload para o dispositivo. O dispositivo gera um Certificate Signing Request, ou CSR, e envia-o para o servidor SCEP. A CA emite o certificado e o dispositivo passa a ter uma identidade criptograficamente segura. Sem palavras-passe para phish, sem chaves partilhadas para vazar. Mas um certificado é apenas um cartão de identificação. Ainda precisa de um segurança à porta. Esse é o seu NAC. Quando o dispositivo tenta ligar-se ao WiFi — normalmente utilizando 802.1X EAP-TLS — o ponto de acesso sem fios passa o pedido ao servidor RADIUS, que é governado pelo motor de políticas do NAC. O NAC verifica o certificado: É válido? Foi revogado? Mas o NAC moderno vai mais longe. Verifica o estado de segurança no MDM: O SO está atualizado? A firewall está ativa? Se sim, o NAC indica ao switch ou ponto de acesso para colocar o dispositivo na VLAN correta. Se não, coloca-o numa rede de remediação. Esta integração é crítica para ambientes como grandes cadeias de retalho ou instalações de saúde, onde existe uma mistura de portáteis corporativos, dispositivos IoT e redes de convidados. Falando em redes de convidados, é aqui que plataformas como o Guest WiFi e o WiFi Analytics da Purple se integram perfeitamente ao lado dos seus SSIDs corporativos seguros, garantindo que o acesso público esteja isolado da sua infraestrutura segura e apoiada em certificados. Então, como implementar isto sem comprometer a sua rede? Primeira recomendação: Utilize sempre EAP-TLS. Requer certificados tanto no servidor como no cliente, proporcionando autenticação mútua. Segundo, preste atenção às suas Certificate Revocation Lists, ou CRLs, e ao OCSP. Se um dispositivo for comprometido ou um funcionário sair, revogar o certificado na CA é inútil se o NAC não estiver a verificar o estado de revogação em tempo real. Um erro comum que vemos no setor da hotelaria e em grandes recintos é a falha em considerar os dispositivos IoT. Nem todos os sensores IoT ou smart TVs suportam 802.1X ou SCEP. Para estes, precisará de uma estratégia de contingência como o MAC Authentication Bypass, ou MAB, rigidamente controlado pelo seu NAC para portas de switch específicas ou VLANs isoladas. Outro erro comum são os períodos de validade dos certificados. Não os defina para 10 anos, mas também não os defina para 30 dias, a menos que a sua renovação automatizada via SCEP seja infalível. Uma validade de um ano com renovação automática aos 30 dias é um padrão sólido do setor. Vamos passar a algumas perguntas rápidas que recebemos frequentemente de CTOs. Pergunta um: Podemos usar os nossos Active Directory Certificate Services existentes para o SCEP? Sim, o Microsoft AD CS inclui uma função de Network Device Enrollment Service, ou NDES, que funciona como um servidor SCEP. Certifique-se apenas de que está devidamente protegido e exposto ao seu MDM. Pergunta dois: Isto substitui a nossa firewall? Absolutamente não. O SCEP e o NAC tratam da autenticação e do controlo de acessos na periferia — Camada 2. A sua firewall trata da inspeção de tráfego e da prevenção de ameaças nas Camadas 3 a 7. Eles trabalham em conjunto. Para concluir, a combinação de SCEP, NAC e MDM oferece-lhe uma periferia de rede altamente segura e sem necessidade de intervenção manual (zero-touch). Elimina os pedidos de suporte relacionados com palavras-passe e garante que apenas dispositivos em conformidade acedem à sua infraestrutura crítica. Para os operadores de recintos, isto significa que as suas operações de back-of-house funcionam em segurança, permitindo-lhe focar-se na experiência de front-of-house — a qual pode potenciar com as ferramentas de análise e envolvimento da Purple. Comece por auditar as suas capacidades atuais de MDM e garanta que a sua infraestrutura RADIUS suporta EAP-TLS. Mapeie os seus tipos de dispositivos e realize primeiro um projeto-piloto com os dispositivos da sua equipa de TI. Obrigado por acompanhar este briefing técnico. Mantenha-se seguro e encontramo-nos no próximo.