Políticas Seguras de BYOD para Redes WiFi de Funcionários

GUIÃO DE PODCAST: Políticas de BYOD Seguras para Redes WiFi de Funcionários Duração prevista: ~10 minutos | Voz: Inglês britânico, masculino, tom de consultor sénior Purple WiFi Intelligence Platform - Série de WiFi para Funcionários --- [INTRODUÇÃO E CONTEXTO - ~1 minuto] Bem-vindo à Série de WiFi para Funcionários da Purple. Sou o vosso anfitrião e hoje vamos abordar uma das áreas mais consistentemente mal geridas na gestão de redes empresariais: o BYOD - Bring Your Own Device - especificamente para o WiFi de funcionários. Se é um diretor de TI, um arquiteto de rede ou um CTO num grupo hoteleiro, numa cadeia de retalho, num estádio ou numa organização do setor público, este episódio foi feito para si. Não vamos cobrir as bases do que é o WiFi. Vamos falar sobre as decisões de arquitetura, as normas que precisa de consultar e os erros de implementação que custam dinheiro real e exposição real de conformidade às organizações. O problema central é simples: os seus funcionários querem utilizar os seus telemóveis e tablets pessoais para trabalhar. Isso é razoável. Mas ligar dispositivos pessoais não geridos ao mesmo segmento de rede que os seus sistemas de POS, as suas bases de dados de RH ou a sua infraestrutura de pagamentos é um risco inaceitável. A questão não é se deve permitir o BYOD - é como permiti-lo sem comprometer a sua rede principal. Vamos a isso. --- [APROFUNDAMENTO TÉCNICO - ~5 minutos] Comecemos pelo princípio fundamental: a segmentação de rede. Cada implementação de BYOD segura começa com a mesma decisão de arquitetura - não coloca dispositivos pessoais na mesma VLAN que a sua infraestrutura corporativa. Ponto final. A abordagem padrão é uma VLAN de BYOD dedicada, situada entre o seu núcleo corporativo e a sua rede WiFi de convidados. Pense nisso como uma camada intermédia. Os dispositivos dos funcionários obtêm acesso à internet e acesso a um conjunto definido de recursos internos aprovados - talvez a sua intranet, o seu conjunto de produtividade na nuvem, a sua plataforma de comunicação interna - mas estão protegidos por firewall dos seus sistemas de pagamento, dos seus servidores de back-office e da sua infraestrutura de switching principal. Agora, como autentica os dispositivos nessa VLAN de BYOD? A resposta é IEEE 802.1X. Este é o padrão de controlo de acesso à rede baseado em portas e tem sido a espinha dorsal da autenticação sem fios empresarial há mais de duas décadas. Quando um dispositivo tenta ligar-se, o 802.1X aciona uma troca EAP - Extensible Authentication Protocol - entre o dispositivo, o ponto de acesso sem fios que atua como autenticador e o seu servidor RADIUS como o backend de autenticação. Especificamente para BYOD, o EAP-TLS é o padrão de excelência. Trata-se de autenticação mútua baseada em certificados. O dispositivo apresenta um certificado, o servidor RADIUS valida-o e só então é concedido o acesso à rede. O certificado é provisionado no dispositivo através da sua plataforma MDM - Microsoft Intune, Jamf, VMware Workspace ONE, seja qual for a que estiver a executar - utilizando SCEP, o Simple Certificate Enrollment Protocol.Porquê certificados em vez de palavras-passe? Porque as palavras-passe são partilhadas, alvo de phishing e esquecidas. Um certificado associado a um dispositivo específico e a uma identidade de utilizador específica é significativamente mais difícil de comprometer. E, crucialmente, quando um funcionário sai, revoga o certificado na sua PKI e esse dispositivo perde o acesso imediatamente - sem necessidade de redefinir a palavra-passe, sem credenciais persistentes. Agora, do lado da encriptação: se está a implementar nova infraestrutura em 2024 e nos anos seguintes, o WPA3-Enterprise é o seu objetivo. O WPA3 elimina a vulnerabilidade KRACK que afetava o WPA2, exige o modo de segurança de 192 bits para implementações empresariais e fornece confidencialidade direta através de SAE (Simultaneous Authentication of Equals). Isso significa que, mesmo que uma chave de sessão seja comprometida, o tráfego histórico não pode ser desencriptado. Para ambientes que lidam com dados de cartões de pagamento ou registos de doentes, isto não é opcional - é um requisito de conformidade sob a norma PCI-DSS 4.0 e cada vez mais referenciado nas estruturas de segurança da NHS Digital. Falemos sobre a integração de MDM, porque é aqui que muitas implementações falham. O seu MDM não é apenas um mecanismo de entrega de certificados - é o seu motor de aplicação de conformidade. Antes de um dispositivo ter acesso à VLAN de BYOD, a sua solução NAC deve consultar o MDM sobre a postura do dispositivo: O SO está atualizado com uma versão mínima? A encriptação do dispositivo está ativada? O dispositivo tem jailbreak ou root? Está configurado um bloqueio de ecrã em conformidade? Isto chama-se avaliação de postura, e é a diferença entre uma política de BYOD e um programa de segurança de BYOD. Um dispositivo que falhe a avaliação de postura deve ser colocado em quarentena - colocado numa VLAN de remediação com acesso apenas aos recursos necessários para o colocar em conformidade, e nada mais. Do lado do registo e da auditoria: cada dispositivo que se liga à sua VLAN de BYOD deve gerar um registo de sessão - identidade do dispositivo, identidade do utilizador, carimbo de data/hora, duração, bytes transferidos e a VLAN atribuída. Isto não é apenas uma boa prática; ao abrigo do Artigo 32 do GDPR, tem a obrigação de implementar medidas técnicas adequadas para garantir a segurança da rede. Um registo de auditoria das ligações de dispositivos dos funcionários é um componente central para demonstrar essa obrigação. Se quiser aprofundar os requisitos do registo de auditoria, a Purple tem um guia dedicado sobre o que um registo de auditoria significa para a segurança de TI em 2026 - deixarei o link para isso nas notas do programa. Mais um ponto de arquitetura que vale a pena destacar: a aleatorização de endereços MAC. Os dispositivos modernos iOS e Android randomizam os seus endereços MAC por predefinição ao procurar redes. Isto quebra a autenticação baseada em MAC e pode causar problemas com a sua contabilidade RADIUS. A solução é afastar-se completamente da autenticação baseada em MAC - o que já devia estar a fazer de qualquer forma - e confiar na identidade baseada em certificados ou credenciais. O seu servidor RADIUS deve associar os registos de sessão à identidade do utilizador, e não ao endereço de hardware do dispositivo. - [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - ~2 minutos] Certo, vamos falar de implementação. Eis a sequência que recomendo para qualquer organização que esteja a implementar um programa de BYOD do zero. Passo um: defina a sua política antes de tocar na infraestrutura. Quem tem permissão para registar um dispositivo pessoal? Que tipos de dispositivos são suportados? Que dados podem ser acedidos a partir de um dispositivo pessoal? Obtenha a aprovação dos recursos humanos, do departamento jurídico e do CISO antes de configurar uma única VLAN. Passo dois: implemente o seu MDM, caso ainda não o tenha feito, e configure os modelos de certificado SCEP para dispositivos BYOD. Teste a inscrição de certificados em iOS, Android e Windows - todos eles se comportam de forma ligeiramente diferente. Passo três: configure o seu servidor RADIUS com políticas separadas para BYOD versus dispositivos geridos pela empresa. Os dispositivos BYOD devem receber um atributo de atribuição de VLAN - Tunnel-Private-Group-ID em termos de RADIUS - que os coloca na VLAN de BYOD. Passo quatro: configure a sua infraestrutura sem fios. Crie um SSID dedicado para BYOD ou utilize a atribuição dinâmica de VLAN no seu SSID corporativo existente - esta última opção é mais limpa do ponto de vista da experiência do utilizador. Os funcionários veem um único SSID, mas o servidor RADIUS determina em que VLAN entram com base no seu certificado. Passo cinco: implemente ACLs de firewall entre a VLAN de BYOD e o núcleo corporativo. Bloqueio por omissão, com permissões explícitas apenas para serviços aprovados. Documente todas as regras de permissão e reveja-as trimestralmente. Passo seis: ative o registo de sessões e integre-o com o seu SIEM. Cada evento de ligação BYOD deve ser um registo elegível para alerta. Agora, as armadilhas. A falha mais comum que vejo é o desvio de âmbito nas regras de firewall da VLAN de BYOD. Alguém precisa de acesso temporário a um recurso, uma regra é adicionada e, seis meses depois, a VLAN de BYOD tem efetivamente o mesmo acesso que a rede corporativa. Implemente um processo de gestão de alterações para as regras de firewall de BYOD e trate-as com o mesmo rigor que as alterações na infraestrutura de produção. A segunda armadilha é a gestão do ciclo de vida dos certificados. Os certificados expiram. Se não tiver a renovação automática configurada no seu MDM, terá uma vaga de funcionários incapazes de se ligarem no dia em que os seus certificados expirarem. Defina o acionamento da renovação para 30 dias antes da expiração, no mínimo. A terceira armadilha é esquecer-se da rede de convidados. A sua VLAN de BYOD e a sua rede de WiFi de convidados devem estar completamente isoladas uma da outra. Um visitante na sua rede de convidados não deve ter qualquer caminho para o seu segmento de BYOD. Se estiver a utilizar a plataforma de WiFi de convidados da Purple, esse isolamento é tratado ao nível da infraestrutura - mas verifique-o na sua política de firewall de qualquer forma. --- [PERGUNTAS E RESPOSTAS RÁPIDAS - ~1 minuto] Vou responder a algumas perguntas que ouço regularmente. "Podemos usar WPA2-Personal com uma frase-passe partilhada para BYOD?" Não. Uma frase-passe partilhada oferece zero responsabilidade por dispositivo, não pode ser revogada por utilizador e é facilmente comprometida. Utilize 802.1X."Precisamos de um SSID separado para BYOD?" Não necessariamente. A atribuição dinâmica de VLAN via RADIUS é mais limpa. Um único SSID, posicionamento de VLAN orientado por políticas com base na identidade do certificado. "E quanto aos prestadores de serviços e pessoal temporário?" Trate-os como uma classe de identidade separada na sua política RADIUS. Emita certificados de curta duração - 30 ou 90 dias - associados à duração do contrato. Quando o contrato terminar, o certificado expira. "O WPA3 é compatível com versões anteriores?" Sim, em modo de transição. Os seus pontos de acesso podem suportar clientes WPA2 e WPA3 em simultâneo. Exija apenas WPA3 para novos registos de dispositivos e elimine progressivamente o WPA2 ao longo de um cronograma definido. - [RESUMO E PRÓXIMOS PASSOS - ~1 minuto] Para concluir: um programa BYOD seguro para o WiFi dos colaboradores não é uma tarefa de configuração única - é uma decisão de arquitetura, uma estrutura de políticas e uma disciplina operacional contínua. Os pontos não negociáveis são: VLAN BYOD dedicada, IEEE 802.1X com autenticação de certificado EAP-TLS, postura do dispositivo imposta por MDM, encriptação WPA3-Enterprise e registo de auditoria abrangente. As disciplinas operacionais são: gestão do ciclo de vida dos certificados, revisões trimestrais das regras de firewall e um processo de desvinculação definido que revoga os certificados dos dispositivos no dia em que um colaborador sai. Se está a começar do zero, a plataforma Purple oferece-lhe a camada de análise e gestão de acessos sobre a sua infraestrutura wireless existente - quer esteja a gerir uma única propriedade hoteleira ou uma rede de retalho com 200 locais. Os links para o guia de arquitetura, a referência do registo de auditoria e a lista de verificação de integração de BYOD estão todos nas notas do episódio. Obrigado por ouvir - encontramo-nos no próximo episódio. - FIM DO GUIÃO