Gerir a Segurança de BYOD (Bring Your Own Device) em Redes de Colaboradores
Um guia de referência técnica e autoritário para gestores de TI corporativos e arquitetos de rede sobre como proteger o acesso Bring Your Own Device (BYOD) em redes de colaboradores. Este guia descreve a arquitetura de rede exata, os protocolos de autenticação e os fluxos de trabalho de integração de MDM necessários para mitigar fugas de dados e manter a conformidade regulamentar em locais de grande afluência.
Video overview
Ouça este guia
Ver transcrição do podcast
Parte da nossa série principal: Enterprise WiFi Security Guide →
Resumo Executivo
À medida que o perímetro da rede corporativa continua a dissolver-se, a gestão da segurança de Bring Your Own Device (BYOD) em redes de colaboradores passou de uma conveniência operacional para um imperativo crítico de segurança [1]. Para arquitetos de rede, gestores de TI e Chief Technology Officers (CTOs) que operam em locais de elevada afluência - tais como hotéis, cadeias de retalho multilocalização, instalações de saúde e interfaces de transportes - o principal desafio reside em equilibrar a conveniência do utilizador com uma proteção robusta dos dados corporativos [2].
Este guia de referência fornece um modelo altamente prático e neutro em termos de fornecedor para proteger o acesso BYOD em redes de colaboradores. Evitamos abstrações teóricas para detalhar a implementação precisa de autenticação 802.1X, distribuição de certificados no lado do cliente através de Mobile Device Management (MDM) e uma segmentação de rede rigorosa. Ao afastarmo-nos de chaves pré-partilhadas (PSKs) inseguras e ao implementar uma arquitetura zero-trust, as organizações podem mitigar o risco de movimentos laterais de ameaças, evitar violações de dados dispendiosas e cumprir quadros regulamentares rigorosos de conformidade, como o PCI-DSS 4.0 e o GDPR [3].
Ouça o Podcast de Informação Técnica
Antes de mergulhar na arquitetura detalhada, pode ouvir o nosso briefing de áudio técnico abrangente de 10 minutos. Este podcast foi concebido no estilo de um consultor de sistemas sénior a explicar a um cliente os passos exatos de implementação, os erros comuns de implementação e os quadros de conformidade.
Análise Técnica Detalhada: Arquitetura e Normas
Garantir a segurança de um ambiente BYOD exige um afastamento completo dos modelos de segurança baseados em perímetros em prol de um Zero Trust Network Access (ZTNA) [4] centrado na identidade. A rede deve assumir que todos os dispositivos pessoais que se tentam ligar estão potencialmente comprometidos.
O Framework de Autenticação 802.1X
A norma IEEE 802.1X é a base não negociável para proteger a infraestrutura empresarial. Fornece Controlo de Acesso à Rede (NAC) baseado em portas, garantindo que um endpoint (o suplicante) não possa passar qualquer tráfego de camada de rede através do autenticador (o ponto de acesso sem fios ou switch) até que a sua identidade tenha sido verificada por um servidor de autenticação (o servidor RADIUS) [5].
| Fase | Tipo de Frame / Ação | Descrição |
|---|---|---|
| Inicialização | EAPOL-Start |
O dispositivo cliente (suplicante) sinaliza a prontidão para se ligar à rede. |
| Pedido de Identidade | EAP-Request/Identity |
O Ponto de Acesso (autenticador) solicita a identidade do dispositivo que se está a ligar. |
| Resposta de Identidade | EAP-Response/Identity |
O cliente responde com a sua identidade, que é retransmitida para o servidor RADIUS. |
| Handshake TLS | Negociação EAP-TLS | O cliente e o servidor RADIUS estabelecem um túnel TLS seguro e validam mutuamente os certificados. |
| Autorização | RADIUS Access-Accept |
O servidor RADIUS aprova o acesso, aplicando atributos dinâmicos de VLAN e dACL. |
A escolha do método Extensible Authentication Protocol (EAP) determina a robustez da sua implementação:
- PEAP (Protected EAP): Encapsula a autenticação baseada em palavra-passe (como MS-CHAPv2) dentro de um túnel TLS. Embora comum, o PEAP continua vulnerável à recolha de credenciais através de pontos de acesso fraudulentos se os suplicantes do cliente estiverem mal configurados [6].
- EAP-TLS (Transport Layer Security): O padrão de excelência para BYOD empresarial. Utiliza autenticação mútua baseada em certificados, eliminando por completo as dependências de palavras-passe e os vetores de roubo de credenciais. O servidor RADIUS valida o certificado exclusivo do lado do cliente, enquanto o cliente valida o certificado do servidor RADIUS [5].
Segmentação de Rede e Arquitetura VLAN
Uma rede plana é uma rede comprometida. Se um dispositivo pessoal infetado com malware se ligar a uma rede de funcionários plana, um atacante pode facilmente realizar movimentos laterais para comprometer alvos de alto valor, tais como Sistemas de Gestão de Propriedades (PMS) na hotelaria, sistemas de Ponto de Venda (POS) no retalho ou bases de dados de Registos Eletrónicos de Saúde (EHR) no setor da saúde [7].
Exigimos uma Arquitetura de Rede de Três Zonas rigorosa, aplicada ao nível da firewall:
- Zona Corporativa (VLAN 10): Reservada exclusivamente para dispositivos de propriedade da empresa e totalmente geridos. Esta zona tem acesso encaminhado a bases de dados corporativas internas, diretórios ativos e sistemas de negócios locais.
- Zona BYOD (VLAN 20): Dedicada a dispositivos pessoais de funcionários. Os dispositivos nesta zona têm acesso de saída à internet e acesso estritamente restrito e explicitamente permitido a aplicações internas específicas (por exemplo, email, portais de agendamento, sistemas de RH) através de uma gateway de camada de aplicação ou proxy reverso.
- Zona de Convidados (VLAN 30): Concebida para visitantes e clientes. Esta zona tem apenas acesso de saída à internet. O Isolamento de Clientes deve estar ativado ao nível do controlador sem fios para impedir qualquer comunicação peer-to-peer entre os dispositivos ligados.
Para saber mais sobre como otimizar a sua infraestrutura de rede de convidados, consulte os nossos produtos principais: Guest WiFi e WiFi Analytics.
Integração de Mobile Device Management (MDM) e PKI
A aplicação de políticas de segurança em dispositivos que não possui exige a integração com uma plataforma de MDM ou Unified Endpoint Management (UEM) (por exemplo, Microsoft Intune, Jamf) [8]. O MDM atua como o guardião, validando o estado do dispositivo antes de emitir o certificado de rede.
O ciclo de vida automatizado do certificado depende do Simple Certificate Enrollment Protocol (SCEP):
- Avaliação de Estado: O MDM verifica se o dispositivo pessoal cumpre os requisitos mínimos de segurança (por exemplo, versão mínima do SO, bloqueio de ecrã ativo, encriptação de disco, sem jailbreak/root).
- Emissão de Certificado: Uma vez em conformidade, o MDM solicita um certificado de cliente à sua Autoridade de Certificação (CA) privada através de SCEP e envia-o, juntamente com o perfil de WiFi 802.1X seguro, diretamente para o dispositivo.
- Conformidade Contínua: Se o utilizador desativar o código de acesso ou fizer root no dispositivo, o MDM marca o dispositivo como não conforme, revoga o certificado e o servidor RADIUS termina imediatamente o acesso à rede.
Para uma análise mais aprofundada destas integrações, consulte os nossos guias sobre Como Implementar a Autenticação 802.1X com Cloud RADIUS.
-
Guia de Implementação: Implementação Passo a Passo
A transição de uma rede legada com chave pré-partilhada (PSK) para uma arquitetura 802.1X EAP-TLS requer uma coordenação cuidadosa entre o seu controlador de LAN sem fios (WLC), fornecedor de identidade (IdP) e plataforma de MDM.
Passo 1: Configuração da Infraestrutura de Switches e Sem Fios
Configure as três VLANs distintas nos seus switches centrais e pontos de acesso periféricos. Certifique-se de que o encaminhamento entre VLANs é negado por predefinição na sua firewall central.
No seu controlador sem fios, configure o SSID de BYOD seguro com as seguintes definições:
- Tipo de Segurança: WPA3-Enterprise (ou Modo de Transição WPA2/WPA3-Enterprise para compatibilidade com dispositivos antigos).
- 802.11w Protected Management Frames (PMF): Definido como Obrigatório (mandatório sob WPA3) para bloquear ataques de desautenticação [9].
- Servidores RADIUS: Aponte para os seus servidores RADIUS primário e secundário.
Passo 2: Configuração de PKI e Servidor SCEP
Estabeleça uma Autoridade de Certificação (CA) Privada ou integre com um serviço de Cloud PKI. Configure um Gateway SCEP para lidar com pedidos automatizados de assinatura de certificados do seu MDM. O certificado da CA deve ser confiado pelos dispositivos cliente, o que é tratado de forma automática durante a instalação do perfil de MDM.
Passo 3: Distribuição de Perfis de WiFi e Certificados via MDM
Na sua consola de MDM, crie dois perfis:
- Perfil de Certificado Confiado: Envia os certificados da CA Raiz e Intermédia para o dispositivo.
- Perfil de Certificado SCEP: Define o URL do gateway SCEP, o tamanho da chave (mínimo RSA de 2048-bit) e o formato do Subject Name (ex.
CN={{UserPrincipalName}}). - Perfil de WiFi: Configura o dispositivo para se ligar ao SSID de BYOD utilizando WPA3-Enterprise, EAP-TLS, e faz referência ao perfil de certificado SCEP para autenticação.
Passo 4: Orquestração do Fluxo de Integração
Para evitar congestionamentos no suporte técnico, automatize a experiência de integração utilizando um fluxo de duplo SSID:
- SSID de Integração: Transmita um SSID aberto, com limite de largura de banda e com um Captive Portal.
- Redirecionamento do Portal: Quando um funcionário se liga, redirecione-o para um portal de integração. É aqui que plataformas como o Guest WiFi da Purple podem servir de ponto de contacto inicial, autenticando o funcionário junto do seu fornecedor de identidade (ex. Entra ID) e direcionando-o para descarregar o perfil de MDM.
- Transição Automatizada: Assim que o perfil de MDM estiver instalado, o dispositivo obtém automaticamente o certificado SCEP, desliga-se do SSID de integração e liga-se de forma segura ao SSID 802.1X de BYOD.
Para implementações em múltiplos locais, especialmente em ambientes de vários fabricantes, a utilização de estruturas padronizadas como o OpenRoaming pode simplificar drasticamente este fluxo. Ao abrigo da licença Connect, a Purple atua como um fornecedor de identidade gratuito para o OpenRoaming, permitindo que os colaboradores se desloquem de forma fluida e segura entre localizações [10].
-
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.
Resolução de Problemas e Mitigação de Riscos
Ao implementar BYOD empresarial, as equipas de TI devem antecipar e mitigar vários modos comuns de falha técnica e operacional.
1. Randomização de Endereço MAC
Os sistemas operativos móveis modernos (iOS 14+, Android 10+) randomizam os seus endereços MAC de hardware por predefinição em cada ligação a um SSID para proteger a privacidade do utilizador [11].
- O Problema: Se o seu controlo de acesso à rede, limitação de largura de banda ou limites de tempo de sessão dependerem de endereços MAC, os dispositivos aparecerão continuamente como novos pontos de extremidade, quebrando as suas políticas.
- Mitigação: Elimine todo o controlo de acesso baseado em MAC. Confie inteiramente no Common Name (CN) do certificado 802.1X ou nos atributos de identidade do utilizador devolvidos pelo servidor RADIUS para monitorização de sessões e aplicação de políticas.
2. Caducidade de Certificados e Falhas de Renovação
Se os certificados dos clientes caducarem, os funcionários ficarão subitamente bloqueados fora da rede, resultando num afluxo de pedidos de suporte.
- O Problema: A renovação manual de certificados é insustentável à escala.
- Mitigação: Configure o seu perfil MDM SCEP para iniciar a renovação automática do certificado quando restar 20% do tempo de vida do mesmo (por exemplo, 30 dias antes da caducidade para um certificado de 1 ano). Certifique-se de que o seu servidor RADIUS está configurado para enviar atributos de session-timeout para forçar a reautenticação assim que o novo certificado for provisionado.
3. Gargalos no Helpdesk
Fluxos de integração complexos levam a uma baixa adoção e custos de suporte elevados.
O Problema: Os utilizadores têm dificuldades com os passos de instalação de certificados.
Mitigação: Mantenha um portal de integração self-service com guias visuais claros e específicos para cada plataforma. Certifique-se de que o SSID de integração tem uma taxa de largura de banda bastante limitada e está restrito apenas aos URLs do MDM e da Autoridade de Certificação (CA) para incentivar os utilizadores a concluir o processo de registo.
ROI e Impacto no Negócio
A implementação de uma arquitetura BYOD segura e automatizada proporciona retornos financeiros e operacionais mensuráveis para operadores de grandes espaços empresariais.
Análise de Custo-Benefício
| Categoria | Modelo de Dispositivos Geridos Antigo | Modelo BYOD Automatizado | Impacto no Negócio |
|---|---|---|---|
| Despesas de Capital em Hardware (CapEx) | Elevado (£300 - £500 por dispositivo de funcionário) | Zero (Os funcionários usam dispositivos pessoais) | Poupança direta de capital. Para um espaço com 200 funcionários, isto poupa até £100.000 em custos de aquisição [12]. |
| Despesas Operacionais (OpEx) | Elevado (Provisionamento manual de dispositivos, reparações físicas) | Baixo (Registo MDM automatizado e self-service) | Reduz os custos de gestão do ciclo de vida dos dispositivos e as despesas gerais de TI até 60% [12]. |
| Volume de Pedidos de Suporte | Médio (Reposição de palavras-passe, problemas de ligação) | Muito Baixo (Renovações de certificados auto-geridas) | A automatização dos ciclos de vida dos certificados via SCEP reduz os pedidos de suporte relacionados com WiFi em 45%. |
| Perfil de Risco de Segurança | Médio (Vulnerável a roubo de credenciais via PSK/PEAP) | Extremamente Baixo (Zero-trust, baseado em certificados) | Mitiga o risco de uma violação de dados por movimento lateral, evitando potenciais multas regulamentares e danos na reputação. |
Conformidade Regulamentar e Mitigação de Riscos
Operar um ambiente BYOD seguro é fundamental para manter a conformidade em setores altamente regulados:
- Conformidade PCI DSS 4.0: As cadeias de retalho multilocais e os hotéis devem isolar o seu Ambiente de Dados de Titulares de Cartões (CDE) dos dispositivos pessoais dos funcionários. A implementação da Arquitetura VLAN de Três Zonas garante que os dispositivos BYOD fiquem completamente fora do âmbito das auditorias PCI, reduzindo a complexidade da auditoria e os custos de conformidade [13]. Para saber mais sobre implementações no retalho, consulte Retail WiFi Solutions.
- GDPR and Data Privacy: Ao abrigo do GDPR, as organizações devem proteger os dados pessoais contra acessos não autorizados. Ao impor a inscrição no MDM, as equipas de TI mantêm a capacidade de limpar remotamente contentores de dados corporativos de dispositivos pessoais perdidos ou roubados sem aceder aos ficheiros pessoais do colaborador, preservando a segurança e a privacidade do utilizador [14]. Para implementações na área da saúde, consulte Healthcare WiFi Solutions.
Referências
- Fortinet, Bring Your Own Device (BYOD): Meaning and Benefits, Cyber Glossary. https://www.fortinet.com/resources/cyberglossary/byod
- IBM, What is Bring Your Own Device (BYOD)?, IBM Think. https://www.ibm.com/think/topics/byod
- Venn, BYOD Security: Trends, Risks, and Top 10 Best Practices, Venn Learn. https://www.venn.com/learn/byod/byod-security-best-practices/
- Microsoft, Implementing a Zero Trust security model at Microsoft, Inside Track. https://www.microsoft.com/insidetrack/blog/implementing-a-zero-trust-security-model-at-microsoft/
- Cloudi-Fi, What is 802.1X protocol: A complete guide to secure network access control, Cloudi-Fi Blog. https://www.cloudi-fi.com/blog/802-1x
- Portnox, 802.1X Authentication for Secure Network Access, Portnox Solutions. https://www.portnox.com/solutions/8021x-authentication/
- UK Netcom, How to Secure & Segment Enterprise Wi-Fi, UK Netcom Blog. https://uknetcom.co.uk/how-to-secure-segment-enterprise-wi-fi-in-2025/
- Portnox, SCEP Certificate Enrolment for Zero Trust Access, Portnox Solutions. https://www.portnox.com/solutions/scep/
- Cloudi-Fi, WPA2/3-Enterprise: Secure Wi-Fi with 802.1X authentication, Cloudi-Fi Blog. https://www.cloudi-fi.com/blog/wpa2-enterprise-802-1x
- Purple, BYOD WiFi Security: How to Safely Let Personal Devices on Your Network, Purple Guides. https://www.purple.ai/en-us/guides/byod-wifi-security-how-to-safely-allow-personal-devices-onto-your-network
- Extreme Networks, Wireless Security in a 6 GHz Wi-Fi World, Extreme Networks Blog. https://www.extremenetworks.com/resources/blogs/wireless-security-in-a-6-ghz-wi-fi-6e-world
- Venn, BYOD ROI Calculator & Cost Savings, Venn Resources. https://www.venn.com/roi-calculator/ 13. PCI Security Standards Council, Guidance for PCI DSS Scoping and Network Segmentation, PCI SSC Documents. https://www.pcisecuritystandards.org/documents/Guidance-PCI-DSS-Scoping-and-Segmentation_v1.pdf
- UK Information Commissioner's Office, A guide to data security under UK GDPR, ICO Guidance. https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/a-guide-to-data-security/
Definições Principais
IEEE 802.1X
Uma norma IEEE para Controlo de Acesso à Rede baseado em portas (PNAC) que fornece uma estrutura de autenticação para dispositivos que se ligam a uma rede com ou sem fios.
Atua como a primeira linha de defesa, bloqueando todo o tráfego de rede de um endpoint até que a sua identidade tenha sido verificada por um servidor RADIUS.
EAP-TLS
Extensible Authentication Protocol-Transport Layer Security. Um método de autenticação que utiliza certificados digitais para autenticação mútua entre o cliente e a rede.
É o padrão de excelência para WiFi empresarial, eliminando o roubo de credenciais baseado em palavras-passe e ataques do tipo man-in-the-middle.
RADIUS
Remote Authentication Dial-In User Service. Um protocolo de rede que fornece uma gestão centralizada de Autenticação, Autorização e Auditoria (AAA) para utilizadores que se ligam e utilizam um serviço de rede.
O servidor RADIUS valida as credenciais (ou certificados) apresentadas pelo requerente e envia atributos de política (como etiquetas de VLAN) para o autenticador.
SCEP
Simple Certificate Enrollment Protocol. Um protocolo baseado em IP que automatiza o processo de registo e distribuição de certificados para grandes volumes de dispositivos.
Num ambiente BYOD, o SCEP permite que o MDM solicite e instale automaticamente certificados de cliente nos dispositivos dos colaboradores, sem intervenção manual de TI.
Isolamento de Clientes
Uma funcionalidade de segurança configurada nos pontos de acesso sem fios que impede os clientes sem fios de comunicarem diretamente entre si.
Essencial em redes Guest e BYOD para bloquear o movimento lateral de malware e ataques de varrimento peer-to-peer.
WPA3-Enterprise
O mais recente padrão de segurança da WiFi Alliance para redes empresariais, introduzindo conjuntos criptográficos mais fortes e Protected Management Frames (PMF) obrigatórias.
Substitui o WPA2-Enterprise, protegendo contra ataques de desautenticação e desencriptação em ambientes corporativos de alta densidade.
Aleatorização de MAC
Uma funcionalidade de privacidade em sistemas operativos modernos (iOS 14+, Android 10+) na qual o dispositivo roda o seu endereço MAC de hardware ao procurar ou ao ligar-se a redes diferentes.
Isto quebra a autenticação tradicional baseada em MAC e a monitorização de dispositivos, forçando as equipas de TI a depender, em alternativa, de identidades baseadas em certificados.
Protected Management Frames (PMF)
Uma funcionalidade de segurança (definida em IEEE 802.11w) que encripta tramas de gestão sem fios, impedindo que atacantes forjem tramas para desligar clientes.
Obrigatório sob WPA3, o PMF neutraliza de imediato ataques de desautenticação e falsificação.
Exemplos Práticos
Uma cadeia de hotéis de luxo com 350 quartos precisa de permitir que o pessoal de limpeza e manutenção utilize os seus smartphones pessoais para a aplicação de serviço digital do hotel (HMS), mantendo uma conformidade estrita com a norma PCI DSS 4.0 para os seus sistemas de PMS e redes de pagamento.
Implementámos uma Arquitetura de Rede de Três Zonas. O PMS e os terminais de cartões de crédito do hotel foram isolados numa VLAN 10 (Corporate/CDE) protegida por firewall. Os dispositivos pessoais dos colaboradores foram registados no MDM corporativo (Microsoft Intune) através de um portal cativo de integração. Após a verificação de conformidade, o MDM emitiu um certificado de cliente via SCEP e aplicou a configuração WPA3-Enterprise 802.1X. Os colaboradores ligavam-se à VLAN 20 (BYOD), que estava restrita através de políticas de firewall para permitir apenas tráfego HTTPS de saída para o endpoint na nuvem da aplicação HMS. Todo o tráfego lateral para a VLAN 10 foi bloqueado. O guest WiFi foi completamente segregado na VLAN 30 com isolamento de clientes ativo.
Uma marca de retalho multilocalização com 120 lojas pretende implementar uma política de BYOD para que os colaboradores das lojas acedam aos sistemas de inventário e de escalas nos seus tablets pessoais, mas está preocupada com o facto de a aleatorização de endereços MAC quebrar as políticas de rastreio de dispositivos e com os ataques de AP falsos (rogue AP).
Para fazer face aos riscos de AP falsos, transitámos todas as lojas para WPA3-Enterprise, que exige Protected Management Frames (PMF), prevenindo ataques de desautenticação. Para mitigar os problemas de aleatorização de endereços MAC, configurámos o servidor RADIUS (Cloud RADIUS) para ignorar os endereços MAC de hardware no controlo de acessos. Em vez disso, a política de autenticação foi associada diretamente ao Common Name (CN) des certificados de cliente emitidos por SCEP. Os colaboradores das lojas registaram os seus tablets através de um SSID de integração, que aplicou automaticamente o certificado e o perfil de SSID seguro. A VLAN de BYOD foi restrita apenas aos endpoints de inventário e de escalas.
Perguntas de Prática
Q1. Um diretor de operações de um estádio pretende implementar uma rede BYOD para 150 colaboradores em dias de eventos. O diretor sugere a utilização de um SSID WPA2-Personal com uma chave pré-partilhada (PSK) forte, alterada mensalmente para poupar nos custos de licenciamento. Como deve aconselhá-lo?
Dica: Considere a carga operacional da alteração mensal de palavras-passe, o risco de fuga de credenciais entre 150 colaboradores temporários e os padrões modernos de segurança.
Ver resposta modelo
Deve desaconselhar vivamente a utilização de WPA2-Personal com uma PSK partilhada. Primeiro, uma chave partilhada é altamente vulnerável a fugas de informação; com 150 colaboradores temporários, a chave será inevitavelmente partilhada ou exposta, comprometendo toda a rede. Segundo, alterar a chave mensalmente gera uma enorme carga operacional e problemas de ligação nos dias de eventos. Terceiro, o WPA2-Personal carece de Protected Management Frames, deixando a rede exposta a ataques de desautenticação. Em alternativa, recomende WPA3-Enterprise com autenticação 802.1X baseada em certificados. Ao utilizar um serviço cloud RADIUS e um portal de integração simplificado, conseguem automatizar a distribuição de certificados e revogar instantaneamente o acesso de colaboradores dispensados, eliminando custos de licenciamento e protegendo o perímetro operacional do estádio.
Q2. Durante uma auditoria de rede de uma cadeia de retalho, descobre que os dispositivos pessoais dos colaboradores no WiFi BYOD estão atribuídos à mesma sub-rede que os controladores de Ponto de Venda (POS) da loja. O gestor de TI argumenta que, como os dispositivos dos colaboradores exigem credenciais AD para iniciar sessão, a rede está segura. Isto está em conformidade e quais são os riscos?
Dica: Analise esta questão face aos requisitos de âmbito do PCI DSS 4.0 e ao risco de movimento lateral de malware.
Ver resposta modelo
Esta configuração é altamente insegura e viola a conformidade com o PCI DSS 4.0. No âmbito do PCI DSS, qualquer segmento de rede que partilhe uma sub-rede com o Ambiente de Dados de Titulares de Cartões (CDE) é considerado dentro do âmbito da auditoria. Ao colocar dispositivos BYOD na mesma sub-rede que os controladores POS, todo o ambiente BYOD fica sujeito aos controlos totais de auditoria PCI, aumentando drasticamente os custos de conformidade. Além disso, as credenciais Active Directory apenas protegem a autenticação, não o tráfego ao nível da rede. Se o dispositivo pessoal de um funcionário estiver infetado com malware, o malware pode fazer varrimentos, intercetar tráfego e tentar explorar vulnerabilidades nos controladores POS diretamente através da sub-rede partilhada. A solução consiste em implementar a Arquitetura de Três Zonas, colocando os dispositivos BYOD numa VLAN 20 dedicada e utilizando regras de firewall para bloquear totalmente todo o tráfego destinado à VLAN 10 dos POS.
Q3. Um prestador de cuidados de saúde está a implementar o BYOD para que os enfermeiros acedam a Registos de Saúde Eletrónicos (EHR) nos seus tablets pessoais. O arquiteto de rede planeia utilizar a filtragem por endereço MAC no WLC como o principal controlo de segurança para a ligação ao SSID de BYOD. Que problema técnico irá isto causar e como deve ser resolvido?
Dica: Pense em como os sistemas operativos móveis modernos gerem os endereços MAC em redes sem fios.
Ver resposta modelo
Esta implementação falhará devido à Randomização de Endereços MAC, que está ativada por defeito em dispositivos iOS 14+ e Android 10+. Estes sistemas operativos rodam periodicamente o endereço MAC do dispositivo ou fazem-no por SSID para proteger a privacidade do utilizador. Consequentemente, o endereço MAC de um tablet registado irá mudar, fazendo com que o WLC rejeite a ligação e bloqueie o acesso do enfermeiro ao sistema EHR. Além disso, os endereços MAC são facilmente falsificados, tornando-os um controlo de segurança fraco. A resolução consiste em abandonar completamente a filtragem por endereço MAC. Implemente a autenticação 802.1X utilizando EAP-TLS. O controlo de segurança deve ser gerido por um certificado do lado do cliente emitido via SCEP após o MDM verificar a conformidade do tablet. A política de rede será então vinculada ao Common Name (CN) do certificado, que se mantém estável independentemente da rotação do endereço MAC.
Fontes
- https://www.fortinet.com/resources/cyberglossary/byod
- https://www.ibm.com/think/topics/byod
- https://www.venn.com/learn/byod/byod-security-best-practices/
- https://www.microsoft.com/insidetrack/blog/implementing-a-zero-trust-security-model-at-microsoft/
- https://www.cloudi-fi.com/blog/802-1x
- https://www.portnox.com/solutions/8021x-authentication/
- https://uknetcom.co.uk/how-to-secure-segment-enterprise-wi-fi-in-2025/
- https://www.portnox.com/solutions/scep/
- https://www.cloudi-fi.com/blog/wpa2-enterprise-802-1x
- https://www.extremenetworks.com/resources/blogs/wireless-security-in-a-6-ghz-wi-fi-6e-world
- https://www.venn.com/roi-calculator/
- https://www.pcisecuritystandards.org/documents/Guidance-PCI-DSS-Scoping-and-Segmentationv1.pdf
Continue a ler esta série
Optimização de Roaming para VoIP e Chamadas de Vídeo em WiFi Corporativo
Este guia fornece aos gestores de TI, arquitetos de rede e CTOs um plano abrangente e neutro de fabricante para optimizar o roaming WiFi para suportar VoIP e chamadas de vídeo sem falhas em redes de colaboradores corporativos. Abrange a pilha de protocolos IEEE 802.11k/r/v, configuração WMM QoS, design de célula RF e mapeamento de QoS com fios de ponta a ponta necessário para alcançar uma latência de handoff inferior a 50ms. Aplicável em ambientes de hotelaria, retalho, saúde e grandes recintos, esta referência inclui cenários reais de implementação, estruturas de resolução de problemas e uma análise de ROI mensurável.
Autenticação Baseada em Certificados para Dispositivos Corporativos (EAP-TLS)
Este guia de referência técnica abrangente aborda a arquitetura, a implementação e as melhores práticas operacionais da autenticação baseada em certificados EAP-TLS para dispositivos corporativos. Desenvolvido para arquitetos de TI e líderes de operações de locais físicos, fornece um roteiro prático para eliminar os riscos de credenciais baseadas em palavras-passe e alcançar um controlo de acesso à rede 802.1X robusto em ambientes empresariais multilocalização.
Mitigar Rogue Access Points em Redes Empresariais
Este guia de referência técnica detalha a arquitetura, a implementação e os procedimentos operacionais para mitigar rogue access points em redes empresariais recorrendo a Sistemas de Prevenção de Intrusões Sem Fios (WIPS) e Sistemas de Deteção de Intrusões Sem Fios (WIDS). Fornece estruturas de ação para administradores de segurança de TI detetarem, classificarem e neutralizarem APs não autorizados em ambientes físicos complexos, incluindo hotelaria, retalho, saúde e espaços públicos. O guia abrange a classificação de ameaças, mecanismos de contenção automatizados, implicações de conformidade (PCI-DSS, GDPR, HIPAA) e resultados de negócio mensuráveis.
Tem dúvidas sobre a sua configuração específica?
A nossa equipa trabalha com operadores de espaços, gestores de TI e engenheiros de rede em 80.000 espaços. Agende uma chamada de 20 minutos e mostraremos como outros profissionais na sua área o resolveram.