Mitigar Access Points Não Autorizados em Redes Empresariais

Bem-vindo ao Purple Enterprise Architecture Briefing. Sou o vosso anfitrião e hoje vamos abordar uma vulnerabilidade crítica que contorna milhões de libras em segurança perimetral: os Access Points Não Autorizados (Rogue Access Points). Se é Diretor de TI, Arquiteto de Rede ou gere operações para grandes espaços — cadeias de retalho, hospitais, estádios — isto é para si. Vamos passar além da teoria e analisar como mitigar realmente esta ameaça utilizando Sistemas de Prevenção de Intrusões Sem Fios, ou WIPS. Vamos contextualizar. Investiu fortemente em firewalls de próxima geração, deteção de endpoints e regras estritas de proxy. Mas basta um funcionário ligar um router de consumo de cinquenta libras a uma tomada de parede numa sala de reuniões e, de repente, a sua LAN segura está a transmitir para o parque de estacionamento. Isso é um AP não autorizado. É uma ponte não gerida e não encriptada diretamente para a sua rede principal. Mas não se trata apenas de funcionários à procura de um sinal melhor. Estamos a assistir a um aumento de ataques Evil Twin. É aqui que um atacante se senta fora do seu edifício — talvez no café ao lado — e transmite exatamente o seu SSID corporativo. 'Corp-WiFi'. Aumentam a força do sinal e os portáteis dos seus funcionários ligam-se automaticamente ao access point do atacante em vez do seu. Agora, o atacante está posicionado no meio de todo esse tráfego. Cada credencial, cada token de sessão, cada dado sensível que passa por essa ligação está potencialmente comprometido. Existe também a variante honeypot — uma rede aberta que transmite algo inócuo como 'Free Public WiFi' — o que é particularmente perigoso em ambientes de hotelaria e retalho, onde os clientes procuram ativamente conectividade. Então, como travamos isto? O varrimento manual com um analisador de espetro portátil está praticamente obsoleto como controlo primário. É demasiado lento, demasiado dispendioso e deixa falhas massivas de visibilidade entre os ciclos de varrimento. O padrão empresarial é o WIPS contínuo e automatizado. Vamos aprofundar a arquitetura técnica. Uma implementação robusta de WIPS depende de uma camada de sobreposição de sensores. Existem duas abordagens principais aqui. Primeiro, o modo de sensor dedicado. É aqui que implementa access points cujo único trabalho é ouvir. Não servem tráfego de clientes; apenas varrem os espetros de dois vírgula quatro, cinco e seis gigahertz continuamente, em todos os canais. Isto proporciona-lhe a deteção de maior fidelidade e a capacidade de conter ameaças quase em tempo real. Se está na área da saúde, serviços financeiros ou retalho em conformidade com o PCI, este é o padrão de excelência. O custo adicional de hardware é justificado apenas pela automação de conformidade e pela redução do tempo de resposta a incidentes. A segunda abordagem é o varrimento em segundo plano, por vezes chamado de time-slicing. Aqui, os seus access points existentes servem os clientes normalmente, mas mudam brevemente de canal a intervalos regulares para ouvir ameaças. É económico porque não precisa de hardware dedicado, mas sacrifica a visibilidade contínua. Um AP não autorizado pode estar ativo e a causar danos nos intervalos entre varrimentos. Para ambientes de menor risco ou redes de retalho distribuídas onde as sobreposições dedicadas são proibitivas em termos de custos, este é um compromisso viável — desde que compense com controlos robustos do lado com fios, que abordaremos em breve. Agora, a deteção é apenas metade da batalha. O verdadeiro poder do WIPS é a classificação e contenção automatizadas. E é aqui que a maioria das implementações falha. Não pode simplesmente bloquear todos os sinais de WiFi que vê — acabará por interferir com o negócio vizinho, o que lhe trará sérios problemas legais com os reguladores de telecomunicações. Precisa de regras de classificação estritas e em camadas. Deixe-me guiar-lhe pela lógica. Se o sensor WIPS detetar um endereço MAC desconhecido — um BSSID que não está no seu inventário autorizado — e este estiver a transmitir o seu SSID corporativo, e a força do sinal for forte — por exemplo, superior a menos sessenta e cinco dBm, indicando que está fisicamente dentro ou imediatamente adjacente ao seu edifício — trata-se de um Evil Twin. Classifique-o como crítico. Automatize a contenção imediatamente. Se o WIPS detetar um BSSID desconhecido e conseguir correlacionar esse endereço MAC com uma porta de switch com fios na sua rede — o que significa que o dispositivo está fisicamente ligado à sua LAN —, trata-se de um verdadeiro não autorizado interno. Também crítico. No entanto, o método de contenção é diferente. Se o sinal for fraco — abaixo de menos setenta e cinco dBm — e o SSID não corresponder ao seu, é quase de certeza uma rede vizinha. Registe-o, estabeleça uma linha de base e não interfira. Uma vez classificado, como neutralizamos a ameaça? Temos duas armas: contenção com fios e contenção sem fios. A regra de ouro aqui é: Primeiro com Fios, Depois Sem Fios. Se o WIPS conseguir correlacionar o endereço MAC sem fios do AP não autorizado com uma porta física de switch na sua rede, a melhor resposta é a supressão de porta. O WIPS comunica com o seu switch principal via SNMP ou através de uma API REST moderna e desativa administrativamente essa porta específica. O dispositivo perde a conectividade de rede. A ameaça é eliminada. Definitivamente. Permanentemente. Até que alguém reative fisicamente a porta. But what if it's an Evil Twin? It's not on your wired network, so you can't shut down a port. This is where we use wireless containment. The WIPS sensor spoofs the MAC address of the rogue AP and transmits targeted IEEE 802.11 deauthentication frames to all associated clients. Simultaneously, it spoofs client MAC addresses and sends deauthentication frames back to the rogue AP. This continuously disrupts the association, forcing clients to seek legitimate APs. Vale a pena notar que o 802.11w — Protected Management Frames — torna os ataques de desautenticação mais difíceis de executar contra clientes que o suportam. No entanto, o WIPS ainda pode interromper o próprio AP não autorizado, e a combinação de desautenticação com os seus APs a transmitir o SSID legítimo com maior potência é geralmente suficiente para neutralizar o ataque. Vamos falar sobre as armadilhas de implementação, porque existem várias que vemos repetidamente no terreno. O maior erro é a contenção automatizada excessivamente agressiva sem limites adequados de RSSI. Se definir a sua política de contenção para ser acionada em qualquer BSSID desconhecido, independentemente da força do sinal, acabará por conter os seus vizinhos. Isso é interferência ilegal. Defina um limite mínimo de RSSI — normalmente entre menos sessenta e cinco e menos setenta dBm — e automatize apenas a contenção para sinais acima desse limite. Para qualquer sinal mais fraco, gere um alerta para investigação manual. A segunda armadilha é tratar o WIPS como uma solução isolada. O WIPS é a sua rede de segurança. A sua defesa primária deve ser o Controlo de Acesso à Rede IEEE 802.1X nos seus switches com fios de extremidade. Se um funcionário ligar um router não autorizado, a porta do switch deve exigir autenticação, falhar — porque o router não é um dispositivo gerido e certificado — e recusar a passagem de qualquer tráfego. Trava a ameaça antes mesmo de esta obter um endereço IP. Antes de sequer aparecer como um sinal de RF. O 802.1X é a ferramenta de prevenção de APs não autorizados mais económica no seu arsenal. A terceira armadilha é ignorar a resposta física. O WIPS pode triangular a localização física de um AP não autorizado numa planta utilizando a força do sinal de múltiplos sensores. Mas o WIPS não pode remover fisicamente o dispositivo. Precisa de um processo: o alerta dispara, a localização é identificada, a equipa de TI ou de segurança desloca-se ao local dentro de um SLA definido. Sem esse ciclo de resposta humana, está apenas a conter a ameaça indefinidamente em vez de a eliminar. Muito bem, vamos passar a uma sessão de perguntas e respostas rápidas baseada em cenários comuns de clientes. Pergunta um: Os nossos APs não autorizados não estão a transmitir um SSID. O WIPS ainda os consegue detetar? Sim, absolutamente. Os sistemas WIPS modernos não dependem apenas de tramas beacon. Monitorizam pedidos de sondagem (probe requests) de dispositivos clientes e respostas de sondagem (probe responses) de access points. Mesmo que o SSID esteja oculto — um beacon de SSID nulo —, a assinatura de RF e o endereço MAC continuam visíveis para o sensor. Configure o seu WIPS para sinalizar qualquer BSSID não reconhecido, independentemente da visibilidade do SSID. Pergunta dois: O WIPS tem impacto no desempenho do nosso WiFi de convidados? Se utilizar sensores dedicados, o impacto no tráfego de clientes é nulo. Os sensores são completamente independentes da sua infraestrutura de serviço. Se utilizar time-slicing, há um pequeno impacto na latência à medida que o AP muda de canal, mas para navegação web padrão e aplicações empresariais, é geralmente impercetível. Para aplicações sensíveis à latência, como VoIP ou videoconferência, recomenda-se vivamente a utilização de sensores dedicados. Pergunta três: Como é que isto ajuda diretamente na conformidade com o PCI DSS? O Requisito 11.1 do PCI DSS exige que as organizações testem a presença de access points sem fios e detetem e identifiquem todos os access points sem fios autorizados e não autorizados trimestralmente. O WIPS automatiza isto por completo — é contínuo, não trimestral. A consola de gestão gera exatamente os registos de auditoria e relatórios que os QSAs exigem, poupando semanas de esforço manual à sua equipa e reduzindo significativamente o custo de conformidade. Para resumir as principais conclusões do briefing de hoje. Os APs não autorizados são uma forma crítica de contornar o seu investimento em segurança de extremidade. Um único dispositivo não gerido pode anular toda a sua defesa perimetral. Mitigá-los exige passar de varrimentos manuais periódicos para um WIPS automatizado contínuo. A tecnologia está madura e o ROI é demonstrável. Uma classificação precisa é inegociável. Os limites de RSSI e a correlação com fios evitam falsos positivos e mantêm-no do lado correto da lei das telecomunicações. Prefira sempre a supressão de porta com fios em vez da desautenticação sem fios quando o dispositivo não autorizado estiver fisicamente ligado à sua LAN. É definitivo. Reforce o seu WIPS com o 802.1X na extremidade com fios. A prevenção é sempre mais barata do que a contenção. E, finalmente, feche o ciclo com um processo de resposta física. A tecnologia identifica a ameaça; a sua equipa elimina-a. Para topologias de implementação mais detalhadas, estudos de caso e orientações de configuração neutras em termos de fornecedor, consulte o guia de referência técnica completo no website da Purple. Obrigado por ouvir e mantenha as suas redes seguras.