Arquitetura WiFi Zero Trust: Aplicar Zero Trust a Redes de Recintos

Arquitetura Zero Trust WiFi: Aplicar o Zero Trust a Redes de Recintos. Um Briefing de Enterprise da Purple. Bem-vindo. Se é arquiteto de rede, responsável de segurança de TI ou CTO responsável por um grupo hoteleiro, portefólio de retalho, estádio ou centro de conferências, este briefing é para si. Nos próximos dez minutos, vamos simplificar a discussão em torno do Zero Trust e dar-lhe uma estrutura prática e implementável para o aplicar à sua infraestrutura wireless. Sem teoria pela teoria. Apenas o que precisa para tomar uma decisão fundamentada este trimestre. Comecemos pelo contexto. A expressão "Zero Trust" tem circulado desde que John Kindervag a cunhou na Forrester em 2010. Mas para a maioria dos operadores de recintos, continuou a ser um conceito abstrato associado a centros de dados empresariais e segurança na nuvem. A realidade é que a sua rede wireless - aquela que os seus convidados, funcionários, subempreiteiros e dispositivos IoT partilham - é precisamente onde os princípios de Zero Trust oferecem a redução de risco mais imediata. E as ferramentas para o implementar estão disponíveis hoje, sem uma reformulação total da infraestrutura. Então, o que significa realmente o Zero Trust para o WiFi? Na sua essência, o Zero Trust é um modelo de segurança assente em três princípios: nunca confiar, verificar sempre; assumir a violação; e aplicar o acesso com privilégios mínimos. Aplicado a uma rede wireless, isto significa que deixa de tratar a conectividade de rede como um indicador de confiança. O facto de um dispositivo se ter associado com sucesso ao seu ponto de acesso e de se ter autenticado no seu SSID não significa que se deva confiar nele para aceder aos seus sistemas internos, à sua rede de POS ou à sua infraestrutura de gestão de edifícios. A segurança tradicional baseada no perímetro assumia que tudo o que estava dentro da rede era seguro. Num ambiente de recinto - onde pode ter centenas de dispositivos de convidados, dezenas de portáteis de subempreiteiros, sensores IoT, terminais de pagamento e dispositivos portáteis de funcionários, todos na mesma infraestrutura física - essa suposição está catastroficamente errada. Falemos sobre os quatro pilares do Zero Trust WiFi. O primeiro pilar é a verificação contínua. Isto vai além do handshake de autenticação único em que a maioria das implementações de WiFi se apoia. Quando um dispositivo se liga à sua rede através de WPA2-Enterprise ou WPA3, ele autentica-se uma vez. Mas o que acontece trinta minutos mais tarde quando a postura desse dispositivo muda - um cliente VPN desliga-se, um agente de segurança deixa de funcionar ou o dispositivo é entregue a outra pessoa? Num modelo Zero Trust, a verificação é contínua. Utiliza temporizadores de reautenticação de sessão na sua configuração RADIUS, combinados com políticas de Controlo de Acesso à Rede, para reavaliar periodicamente se um dispositivo deve manter o seu nível de acesso atual. O segundo pilar é o acesso de menor privilégio. Cada dispositivo e utilizador na sua rede deve receber o acesso mínimo necessário para desempenhar a sua função. O smartphone de um hóspede de hotel precisa de acesso à internet e nada mais. Um terminal POS precisa de aceder ao gateway de pagamento e nada mais. O tablet de um gestor de instalações precisa de acesso ao sistema de gestão do edifício e nada mais. Isto é aplicado através de atribuição dinâmica de VLAN - o seu servidor RADIUS devolve um atributo VLAN com base na identidade autenticada ou no perfil do dispositivo, colocando cada dispositivo num segmento de rede logicamente isolado. O terceiro pilar é a micro-segmentação. Esta é a expressão arquitetónica do menor privilégio na camada de rede. Em vez de uma rede plana onde todos os dispositivos podem comunicar lateralmente, divide a sua infraestrutura wireless em segmentos discretos - tipicamente mapeados para VLANs - cada um com a sua própria política de firewall. Num ambiente de retalho, isto significa que o seu WiFi de convidados, o seu WiFi de funcionários, os seus terminais de pagamento e os seus sistemas de gestão de stock estão todos em segmentos separados com caminhos explícitos e controlados por políticas entre eles. Um dispositivo de convidado comprometido não pode passar para a sua rede POS porque não existe uma rota permitida entre esses segmentos. O quarto pilar é a aplicação da postura do dispositivo. É aqui que o Zero Trust WiFi se torna verdadeiramente poderoso. Utilizando uma solução de Network Access Control integrada com a sua infraestrutura RADIUS, pode avaliar a postura de segurança de um dispositivo no momento da ligação - e continuamente a partir daí. O dispositivo está registado na sua plataforma MDM? O sistema operativo está atualizado com uma versão recente? O agente de segurança do endpoint está a ser executado? Os dispositivos que falham as verificações de postura são colocados numa VLAN de quarentena apenas com acesso a recursos de remediação, em vez de serem totalmente recusados, o que criaria fricção operacional. Agora vamos entrar na arquitetura. A base do Zero Trust WiFi é o IEEE 802.1X, o padrão de controlo de acesso à rede baseado em portas. Quando um dispositivo tenta ligar-se, o ponto de acesso funciona como um autenticador, encaminhando as credenciais para um servidor RADIUS - o servidor de autenticação - que valida a identidade e devolve os atributos da política de acesso. Este é o plano de controlo para a sua aplicação de Zero Trust. Para a identidade do dispositivo, tem duas opções principais. A autenticação baseada em certificados utilizando EAP-TLS é o padrão de excelência - elimina totalmente o risco de phishing de credenciais e é obrigatória para qualquer dispositivo que controle através de um MDM ou plataforma de gestão de endpoints. Para cenários de convidados e BYOD, o PEAP com MSCHAPv2 continua amplamente implementado, embora deva migrar para EAP-TLS sempre que viável. Se quiser compreender detalhadamente os compromissos técnicos entre estes métodos, vale a pena analisar o guia da Purple que compara métodos EAP - abrangendo PEAP, EAP-TLS, EAP-TTLS e EAP-FAST - antes de finalizar a sua arquitetura de autenticação. O WPA3 é a camada de encriptação que sustenta o moderno Zero Trust WiFi. O WPA3-Enterprise com o modo de 192 bits fornece a força criptográfica necessária para ambientes que lidam com dados de cartões de pagamento ou informações pessoais sensíveis. O handshake Simultaneous Authentication of Equals do WPA3 elimina a vulnerabilidade a ataques de dicionário offline que tornava as redes WPA2-Personal tão fáceis de comprometer. Se ainda estiver a utilizar WPA2-Personal com uma frase-passe partilhada em qualquer segmento que processe algo mais do que o mero acesso à internet de convidados, isso precisa de mudar. Deixe-me orientá-lo através de dois cenários reais de implementação. Primeiro, um grupo hoteleiro com 350 quartos e propriedades em todo o Reino Unido. O desafio: uma arquitetura de rede plana onde os dispositivos dos hóspedes, os dispositivos dos funcionários, as câmaras IP, as smart TVs e o sistema de gestão de propriedades estavam todos na mesma VLAN. Um único dispositivo de hóspede comprometido tinha o potencial de aceder ao PMS e exfiltrar registos de hóspedes - um pesadelo ao abrigo do GDPR. A solução implementou quatro VLANs: Internet de Convidados, Corporativa de Funcionários, IoT e Sistemas do Edifício, e Acesso ao PMS. O 802.1X com autenticação baseada em certificados foi implementado para os dispositivos dos funcionários através da plataforma MDM do hotel. Os dispositivos dos hóspedes eram autenticados através de um Captive Portal com política RADIUS baseada em MAC que impunha o acesso exclusivo à internet. Os dispositivos IoT foram perfilados por MAC OUI e colocados automaticamente na VLAN de IoT com regras de firewall que permitiam apenas as portas específicas exigidas por cada tipo de dispositivo. A VLAN do PMS foi restrita a uma lista de permissões de endereços MAC conhecidos com autenticação de certificado 802.1X. Após a implementação, a superfície de ataque para movimento lateral foi reduzida em mais de noventa por cento, e a propriedade alcançou o alinhamento com os requisitos de minimização de dados do GDPR para dados pessoais acessíveis pela rede. Segundo cenário: uma grande cadeia de retalho do Reino Unido com 200 lojas. O motor de conformidade aqui foi o PCI-DSS - especificamente o requisito de isolar os ambientes de dados de titulares de cartões de outros segmentos de rede. A arquitetura existente tinha terminais POS na mesma infraestrutura sem fios que a rede de produtividade dos funcionários e o WiFi de clientes. A implementação de Zero Trust criou três segmentos: WiFi de Convidados para Clientes com acesso exclusivo à internet imposto na camada RADIUS, WiFi de Funcionários com atribuição de VLAN baseada em funções - com os gerentes de loja a receberem um acesso mais amplo do que os assistentes de vendas - e um segmento POS dedicado com WPA3-Enterprise, autenticação de certificado EAP-TLS e regras de firewall estritas que permitiam apenas o tráfego para o gateway de pagamento. Os registos de contabilidade RADIUS foram integrados na plataforma SIEM para fornecer a pista de auditoria exigida pelo Requisito 10 do PCI-DSS. O resultado foi uma clara redução do âmbito para a avaliação anual QSA, diminuindo significativamente a sobrecarga de conformidade. Agora, recomendações de implementação e os erros a evitar. Comece com uma auditoria de rede antes de tocar numa única configuração. Mapeie todos os tipos de dispositivos na sua rede, o respetivo método de autenticação e a sua atribuição de VLAN atual. Não pode desenhar uma arquitetura de privilégio mínimo sem saber o que está a segmentar. Implante o RADIUS numa configuração de alta disponibilidade desde o primeiro dia. Um único servidor RADIUS é um ponto único de falha para toda a sua infraestrutura de autenticação. Dois servidores em configuração ativo-passivo ou ativo-ativo é a implantação mínima viável para qualquer ambiente de produção. Não tente migrar todos os SSIDs em simultâneo. Comece com o seu segmento de maior risco - normalmente o mais próximo dos sistemas de pagamento ou dados sensíveis - e migre-o para 802.1X com aplicação de VLAN. Valide a política, resolva os casos limite e, em seguida, expanda. O erro mais comum que vejo em implantações de recintos é o problema do bypass de endereço MAC. Muitos dispositivos IoT - impressoras, smart TVs, sensores de edifícios - não suportam 802.1X. A tentação é colocá-los numa lista de permissões por endereço MAC. Isto é aceitável como uma medida de transição, mas os endereços MAC são facilmente falsificáveis. O objetivo a médio prazo deve ser a definição de perfis de dispositivos - utilizando fingerprinting DHCP, análise de user-agent HTTP e análise de comportamento de tráfego para classificar os dispositivos dinamicamente, em vez de depender apenas do endereço MAC. Um segundo erro comum é a sobre-segmentação. Criar demasiadas VLANs aumenta a complexidade operacional e pode criar falhas inesperadas nas aplicações quando o tráfego legítimo é bloqueado. Comece com quatro a seis segmentos, valide minuciosamente e adicione granularidade apenas onde o perfil de risco o justificar. Agora, uma ronda rápida de perguntas e respostas sobre as questões que ouço com mais frequência. O Zero Trust WiFi pode funcionar com dispositivos legados que não suportam 802.1X? Sim, através de MAC Authentication Bypass combinado com a definição de perfis de dispositivos. O dispositivo é colocado numa VLAN restrita com base no seu perfil, com o acesso limitado aos recursos específicos de que necessita. O Zero Trust WiFi requer a substituição dos pontos de acesso existentes? Na maioria dos casos, não. Qualquer ponto de acesso de classe empresarial fabricado nos últimos cinco anos suporta 802.1X, atribuição dinâmica de VLAN e múltiplos SSIDs. O investimento reside principalmente na infraestrutura RADIUS, política de NAC e regras de firewall - e não em hardware. Como é que isto interage com o SD-WAN? De forma muito direta. O SD-WAN fornece a segmentação e a aplicação de políticas ao nível da WAN que complementam a sua micro-segmentação sem fios. O tráfego que sai de um segmento de VLAN pode ser direcionado através de políticas de SD-WAN para o caminho ascendente apropriado - um tema abordado em detalhe no guia da Purple sobre os benefícios do SD-WAN para as empresas modernas. Qual é o intervalo correto de reautenticação de sessão? Para dispositivos de funcionários com autenticação baseada em certificados, oito horas é um ponto de partida razoável. Para dispositivos de convidados, alinhe com a sua política de tempo limite de sessão - normalmente duas a quatro horas. Para dispositivos IoT, a reautenticação deve ser acionada por eventos de alteração de postura, em vez de um temporizador fixo. Para resumir as principais conclusões desta sessão. O Zero Trust WiFi não é um produto - é uma arquitetura construída em 802.1X, atribuição dinâmica de VLAN, aplicação de postura do dispositivo e verificação contínua. Os padrões de ativação são IEEE 802.1X, WPA3-Enterprise e RADIUS com retorno dinâmico de atributos. A micro-segmentação é a expressão prática do menor privilégio numa rede sem fios - quatro a seis segmentos bem definidos cobrem a grande maioria dos casos de utilização em espaços físicos. A autenticação baseada em certificados via EAP-TLS é o estado-alvo para todos os dispositivos geridos. O MAC Authentication Bypass é uma ponte aceitável para IoT legado, mas o perfil do dispositivo deve ser o objetivo a médio prazo. Comece pelo seu segmento de maior risco, valide e, em seguida, expanda. Os seus próximos passos: realize um inventário de dispositivos e VLAN, avalie a sua infraestrutura RADIUS atual para prontidão de alta disponibilidade e identifique o seu segmento de rede de maior risco como o alvo do projeto-piloto. A plataforma da Purple fornece o motor de políticas RADIUS, aplicação de VLAN e controlos baseados em MAC que sustentam esta arquitetura - e a camada de WiFi analytics dá-lhe a visibilidade para validar que as suas políticas estão a funcionar como pretendido. Obrigado por ouvir. Esta foi uma Apresentação Corporativa da Purple sobre Arquitetura Zero Trust WiFi.