Avaliação de Postura NAC: Garantir a Conformidade de Dispositivos Geridos Antes do Acesso à Rede

Bem-vindo à série Purple Technical Briefing. Hoje vamos abordar uma das áreas mais críticas do ponto de vista operacional — e frequentemente mal compreendida — da segurança de redes empresariais: a avaliação de postura de NAC, e especificamente como garantir que apenas dispositivos geridos e em conformidade obtenham acesso à sua rede antes mesmo de enviarem um único pacote de tráfego de produção. Se é um gestor de TI, arquiteto de rede ou CTO responsável por uma infraestrutura multi-site — seja um grupo hoteleiro, uma cadeia de retalho, um estádio ou uma organização do setor público — isto é diretamente relevante para a sua postura de segurança neste momento. Vamos cobrir a arquitetura, as normas, os padrões de implementação no mundo real e as armadilhas que surpreendem até as equipas mais experientes. Vamos a isso. Então, o que é exatamente a avaliação de postura de NAC? O Network Access Control, ou NAC, é a estrutura abrangente que rege quais os dispositivos que se podem ligar à sua rede e sob que condições. A avaliação de postura é o mecanismo específico dentro do NAC que interroga o estado de segurança de um dispositivo antes — ou imediatamente após — este se ligar. Pense nisto como um controlo de saúde à porta. O dispositivo não precisa apenas de provar quem é; precisa de provar que está num estado adequado para ser confiável. A arquitetura aqui tem três componentes principais. Primeiro, tem o Ponto de Aplicação de Políticas — o PEP. Este é normalmente o seu ponto de acesso, o seu switch ou o seu controlador sem fios. É o guardião que controla fisicamente se o tráfego flui. Em segundo lugar, tem o Ponto de Decisão de Políticas — o PDP. Este é o seu motor de NAC, frequentemente integrado com um servidor RADIUS ou AAA. Ele recebe os dados de postura, avalia-os em relação à sua política e diz ao PEP o que fazer. Terceiro, tem o próprio Motor de Avaliação de Postura — que é um agente a correr no endpoint ou um mecanismo sem agente que utiliza protocolos como SNMP, WMI ou SSH para consultar o dispositivo remotamente. Agora, a camada de autenticação que sustenta tudo isto é o IEEE 802.1X. Este é o padrão de controlo de acesso à rede baseado em portas que existe desde 2001, mas que continua a ser a espinha dorsal do NAC empresarial hoje em dia. O 802.1X define três funções: o Supplicant — que é o dispositivo que se tenta ligar; o Authenticator — o seu switch ou ponto de acesso; e o Servidor de Autenticação — o seu servidor RADIUS. O Supplicant e o Servidor de Autenticação comunicam via EAP — o Extensible Authentication Protocol — encapsulado através do Authenticator. O EAP-TLS, que utiliza autenticação mútua baseada em certificados, é o padrão de excelência aqui. É o que deve implementar se leva a sério a conformidade de dispositivos geridos. O que é que a verificação de postura analisa realmente? Existem seis categorias principais. Nível de patch do sistema operativo — o dispositivo está a executar uma versão de SO suportada e os patches críticos são aplicados dentro da sua janela definida? Estado de segurança do endpoint — um agente AV ou EDR aprovado está instalado, ativo e com definições atualizadas? Estado da firewall — a firewall baseada no host está ativada e a sua política intacta? Encriptação de disco — a encriptação total do disco está ativa e não suspensa? Validade do certificado — o dispositivo possui um certificado de máquina válido e fidedigno emitido pela sua PKI? E, finalmente, conformidade de configuração — a configuração de segurança do dispositivo corresponde à sua linha de base definida? Com base no resultado destas verificações, o seu motor de políticas NAC atribui um de três estados. Em Conformidade — o dispositivo passa em todas as verificações exigidas e recebe acesso total à rede, normalmente à sua VLAN ou função atribuída. Condicional — o dispositivo passa nas verificações críticas, mas falha numa ou mais verificações não críticas; obtém acesso limitado, talvez apenas à Internet, com uma notificação ao utilizador. E Não Conforme — o dispositivo falha numa verificação crítica e é colocado numa VLAN de quarentena com acesso apenas a um portal de remediação. Esse portal de remediação é onde o dispositivo pode descarregar patches, atualizar definições de AV ou receber instruções para remediação manual. Agora, onde é que o WPA3 se enquadra nisto? O WPA3-Enterprise, especificamente com o modo de 192 bits, reforça a camada criptográfica sob o 802.1X. Exige GCMP-256 para encriptação e HMAC-SHA-384 para integridade, o que é particularmente relevante para ambientes que lidam com dados de cartões de pagamento ou dados pessoais sensíveis ao abrigo do GDPR. Se gere um ambiente de retalho com âmbito PCI DSS, ou uma unidade de saúde sob os requisitos de governação de dados do NHS, o WPA3-Enterprise deve estar no seu roteiro para novas implementações. Falemos sobre a avaliação de postura sem agente versus baseada em agente, porque este é um verdadeiro ponto de decisão arquitetónica. A avaliação baseada em agente — onde um cliente leve é executado no endpoint — oferece-lhe a visibilidade mais profunda. Pode consultar chaves de registo, processos em execução, software instalado e o estado de segurança em tempo real. A contrapartida é a sobrecarga de implementação: precisa de um MDM ou de uma plataforma de gestão de endpoints para distribuir e manter o agente em todo o seu parque informático. A avaliação sem agente utiliza interrogação baseada na rede — SNMP, WMI através da rede ou chamadas de API para a sua plataforma MDM. É mais fácil de implementar, mas oferece uma visibilidade mais superficial e é mais suscetível a evasão. Para um parque corporativo gerido, a abordagem baseada em agente é a resposta certa. Para ambientes onde tem uma mistura de dispositivos geridos e não geridos — pense num centro de conferências ou numa rede de bastidores de um hotel — uma abordagem híbrida faz mais sentido. Mais um ponto de arquitetura que vale a pena destacar: avaliação contínua de postura versus avaliação pontual. A maioria das implementações de NAC legadas apenas verifica a postura no momento da ligação. Essa é uma lacuna significativa. Um dispositivo que estava em conformidade às nove da manhã, quando se ligou, pode ter o seu AV desativado por um utilizador às onze. As plataformas modernas de NAC suportam avaliação contínua — reavaliando a postura em intervalos definidos ou em resposta a eventos — e alterando dinamicamente o nível de acesso à rede do dispositivo sem exigir uma nova ligação. Esta é a direção que deve seguir. Muito bem, passemos à prática. Ao implementar a avaliação de postura de NAC, o modo de falha mais comum que vejo é ir diretamente para o modo de imposição. Não o faça. Comece no modo de monitorização — por vezes chamado de modo de auditoria ou modo de visibilidade. Execute as suas verificações de postura, registe os resultados, mas não imponha políticas. Execute isto durante pelo menos duas a quatro semanas. Irá quase de certeza descobrir dispositivos que não sabia que existiam na sua rede, e descobrirá que uma proporção significativa dos seus dispositivos conhecidos falha numa ou mais verificações de postura. Utilize esses dados para corrigir o seu parque informático antes de aplicar a imposição. O segundo erro comum é a infraestrutura de certificados. A avaliação de postura baseada em agentes com EAP-TLS requer uma PKI funcional. Se não tiver uma, ou se a gestão do ciclo de vida dos seus certificados for manual e ad hoc, terá interrupções de serviço. Os certificados expiram. Os dispositivos são reinstalados sem certificados. Planeie a sua PKI antes de planear a sua implementação de NAC. Terceiro: design de VLAN. A sua VLAN de quarentena precisa de estar genuinamente isolada — não apenas numa sub-rede diferente na mesma infraestrutura física. Deve ter acesso apenas ao seu portal de remediação e, se necessário, ao Windows Update ou ao seu servidor de gestão de patches. Se a sua VLAN de quarentena tiver qualquer rota para os sistemas de produção, criou uma falsa sensação de segurança. Quarto: processos de exceção e desvio. Todas as organizações têm dispositivos que não conseguem executar um agente — impressoras, sensores IoT, sistemas de gestão de edifícios. Precisa de um processo documentado e aprovado para conceder desvio de autenticação MAC a estes dispositivos, com controlos de compensação. Se não definir este processo à partida, acabará com uma lista branca informal que ninguém gere e ninguém audita. Do ponto de vista das normas, alinhe a sua política de postura com os CIS Benchmarks para as suas plataformas de sistema operativo. Estes são neutros em relação ao fornecedor, atualizados regularmente e amplamente aceites como a base para a segurança de endpoints empresariais. Para ambientes PCI DSS, o Requisito 6.3 sobre gestão de patches e o Requisito 5.3 sobre anti-malware mapeiam-se diretamente nas suas categorias de verificação de postura. Agora, passamos a algumas perguntas rápidas. A avaliação de postura NAC pode funcionar para dispositivos BYOD? Sim, mas precisa de um fluxo de política separado. Os dispositivos BYOD normalmente passam por um método EAP diferente — EAP-PEAP com credenciais de utilizador em vez de EAP-TLS com certificados de máquina — e recebem um segmento de rede mais restrito. As verificações de postura para BYOD são normalmente mais leves: versão do SO, presença básica de antivírus, bloqueio de ecrã ativado. Como é que isto interage com uma rede WiFi de convidados? Não interage, e não deve interagir. O WiFi de convidados é um SSID e segmento de rede completamente separado, isolado da sua infraestrutura corporativa. A avaliação de postura NAC aplica-se apenas ao seu SSID corporativo. As duas redes nunca devem partilhar uma VLAN ou encaminhar tráfego entre si. Qual é o cronograma típico para uma implementação completa de NAC? Para uma média empresa — por exemplo, de quinhentos a dois mil endpoints em vários locais — preveja de doze a dezasseis semanas desde o design até à aplicação total. Isso inclui a configuração de PKI, implementação de agentes, modo de monitorização, remediação e implementação faseada da aplicação de políticas. Para resumir: a avaliação de postura NAC é o mecanismo que garante que a sua estrutura de controlo de acessos à rede tem dentes. A identidade por si só — saber quem se está a ligar — não é suficiente. Precisa de conhecer o estado de segurança do dispositivo, validá-lo em relação à política e aplicar consequências em caso de não conformidade. A arquitetura é madura e bem padronizada em torno de 802.1X, RADIUS e EAP-TLS. Os desafios de implementação são reais, mas geríveis se seguir uma abordagem faseada. Os seus próximos passos imediatos: audite o seu parque atual de endpoints para verificar a conformidade da postura utilizando o seu MDM ou ferramentas de gestão de endpoints existentes. Avalie a sua preparação para PKI. Desenhe a sua arquitetura de VLAN para segmentos em conformidade, condicionais e de quarentena. E planeie uma implementação em modo de monitorização antes de avançar para a aplicação de políticas. Para organizações que operam ambientes mistos — a retaguarda corporativa a par de WiFi público ou de convidados — plataformas como a Purple fornecem a inteligência de rede e analítica do lado dos convidados que complementam a sua implementação de NAC corporativo, mantendo esses dois mundos claramente separados enquanto lhe dão total visibilidade sobre ambos. Obrigado por ouvir. Explore o guia escrito completo na plataforma Purple para diagramas de arquitetura, exemplos práticos e referências de configuração.