Segmentação e Microssegmentação em Redes Wi-Fi: contenha o ataque antes que ele se espalhe

Uma rede Wi-Fi corporativa moderna não pode ser tratada simplesmente como uma infraestrutura para fornecer Internet aos usuários.

Hoje, o mesmo ambiente wireless pode transportar notebooks corporativos, smartphones, dispositivos IoT, equipamentos médicos, coletores de dados, impressoras, câmeras, sistemas de automação e dispositivos pessoais.

Consequentemente, quando um cliente Wi-Fi é comprometido, surge uma pergunta muito mais importante do que simplesmente saber se o WPA3 ou o firewall estão ativados:

O que esse dispositivo consegue acessar depois que entra na rede?

Essa pergunta leva diretamente ao conceito de segmentação e microssegmentação Wi-Fi.

A segmentação cria diferentes zonas de acesso.

A microssegmentação vai além e determina quais usuários, dispositivos ou grupos podem se comunicar entre si e quais recursos podem acessar.

Em uma arquitetura madura, portanto, o Wi-Fi deixa de ser apenas:

SSID → senha → Internet

e passa a ser:

Dispositivo → autenticação → identidade → classificação → política → segmento → aplicação permitida.

Essa mudança é fundamental para reduzir o chamado movimento lateral, uma das principais formas pelas quais um atacante pode transformar o comprometimento de um único endpoint em um incidente de maior escala.

Além disso, fabricantes como HPE Aruba Networking, Cisco, Fortinet e Huawei oferecem arquiteturas capazes de aplicar diferentes níveis de segmentação wireless, desde VLANs e ACLs até políticas baseadas em identidade, NAC, roles e fabric.

A Aruba, por exemplo, utiliza Dynamic Segmentation e políticas baseadas em funções, enquanto sua arquitetura NetConductor estende políticas baseadas em roles para ambientes wireless e cabeados.

A Cisco pode associar clientes wireless autenticados a Security Group Tags (SGTs) dentro de arquiteturas SD-Access, permitindo que a política seja baseada em grupos em vez de depender exclusivamente do endereço IP.

A Fortinet permite, inclusive, atribuir VLANs dinamicamente a usuários Wi-Fi a partir de atributos enviados pelo RADIUS, evitando a necessidade de criar um SSID diferente para cada perfil de usuário.

Na Huawei, o iMaster NCE-Campus oferece autenticação 802.1X, identificação de terminais, correspondência automática de políticas e controle de acesso para redes de campus, incluindo ambientes wireless.

O resultado é uma arquitetura em que estar conectado ao Wi-Fi não significa automaticamente confiar no dispositivo.

O que é segmentação Wi-Fi?

A segmentação Wi-Fi consiste em separar diferentes categorias de usuários e dispositivos em redes ou domínios de acesso distintos.

A implementação mais tradicional utiliza:

SSID → VLAN

Por exemplo:

Essa arquitetura já é muito superior a colocar todos os dispositivos no mesmo segmento.

Entretanto, ela possui uma limitação.

Imagine 300 usuários conectados ao SSID CORPORATIVO.

Todos recebem a mesma VLAN.

Se a política permitir comunicação entre clientes, um notebook comprometido pode tentar encontrar outros dispositivos dentro daquele segmento.

Portanto:

VLAN é segmentação.

Mas:

VLAN sozinha não é microssegmentação.

O problema de uma rede Wi-Fi plana

Considere uma empresa com:

• 200 notebooks;
• 100 smartphones;
• 50 dispositivos IoT;
• 30 impressoras;
• 20 equipamentos de videoconferência.

Todos conectados à mesma rede wireless.

Agora imagine que um notebook seja comprometido.

O atacante pode tentar:

Notebook comprometido
        │
        ├── Descobrir outros clientes
        ├── Encontrar impressoras
        ├── Encontrar servidores
        ├── Encontrar dispositivos IoT
        ├── Explorar serviços
        └── Realizar movimento lateral

Quanto maior o número de dispositivos acessíveis, maior o potencial de propagação.

Agora compare com uma rede segmentada:

Notebook comprometido
        │
        ↓
Política Wireless
        │
        ├── ERP ✔
        ├── Internet ✔
        ├── DNS ✔
        │
        ├── Outros clientes ✘
        ├── IoT ✘
        ├── CFTV ✘
        ├── Gestão ✘
        └── Servidores não autorizados ✘

O ataque ainda pode existir.

Porém, o raio de impacto diminui.

Esse é o principal objetivo.

O que é microssegmentação Wi-Fi?

Microssegmentação é a aplicação de políticas de acesso muito mais granulares do que simplesmente separar usuários por SSID ou VLAN.

Em vez de perguntar:

“Qual VLAN esse cliente utiliza?”

a arquitetura começa a perguntar:

“Quem é esse cliente?”

“Que tipo de dispositivo é?”

“Qual é sua função?”

“Qual é seu nível de confiança?”

“O que ele precisa acessar?”

“Com quem ele pode se comunicar?”

Podemos então ter:

Usuário
   ↓
Identidade
   ↓
Dispositivo
   ↓
Perfil
   ↓
Role
   ↓
Política
   ↓
Permissões

Por exemplo:

Funcionário corporativo

→ pode acessar ERP.

Prestador

→ pode acessar apenas sistemas autorizados.

IoT

→ pode acessar somente o servidor IoT.

Visitante

→ somente Internet.

Dispositivo desconhecido

→ quarentena.

Essa granularidade é o que diferencia uma arquitetura wireless convencional de uma arquitetura de microssegmentação baseada em identidade.

Segmentação x microssegmentação no Wi-Fi

O papel do SSID

O SSID continua sendo importante, mas deve ser utilizado com inteligência.

Um projeto tradicional pode criar:

CORP
GUEST
IOT

Isso funciona.

Porém, criar dezenas de SSIDs também pode gerar complexidade e aumentar o overhead de gerenciamento e rádio.

Uma arquitetura mais sofisticada pode utilizar:

CORP
   │
802.1X
   │
RADIUS
   │
┌──┴──────────────┐
│                 │
Employee       Contractor
│                 │
Role A          Role B

Ou seja:

um mesmo SSID pode atender diferentes perfis.

A diferença ocorre na autenticação e na política.

A Fortinet documenta explicitamente esse modelo: usuários podem receber VLANs diferentes a partir das informações devolvidas pelo RADIUS, mesmo utilizando um único SSID.

802.1X: a base da segmentação baseada em identidade

Em uma arquitetura corporativa, o 802.1X é uma das tecnologias mais importantes.

O fluxo simplificado é:

Cliente Wi-Fi
      │
      ↓
Access Point
      │
      ↓
RADIUS / NAC
      │
      ↓
Identidade
      │
      ↓
Autorização
      │
      ↓
Role / VLAN / Policy

O cliente não é simplesmente “aceito”.

Ele é:

autenticado

↓

identificado

↓

classificado

↓

autorizado

Esse processo permite construir políticas muito mais inteligentes.

RADIUS e segmentação dinâmica

O RADIUS pode devolver informações adicionais durante o processo de autenticação.

Uma delas é a VLAN.

Por exemplo:

Usuário João
      ↓
802.1X
      ↓
RADIUS
      ↓
VLAN 10

Enquanto:

Usuário Terceirizado
      ↓
802.1X
      ↓
RADIUS
      ↓
VLAN 30

O FortiAP/FortiGate suporta esse tipo de atribuição dinâmica utilizando atributos RADIUS como Tunnel-Private-Group-Id.

Essa abordagem é muito melhor do que criar:

SSID-FINANCEIRO

SSID-RH

SSID-ENGENHARIA

SSID-DIRETORIA

porque a identidade passa a determinar o acesso.

Microssegmentação e isolamento cliente a cliente

Um dos recursos mais importantes em uma rede Wi-Fi segura é o isolamento entre clientes.

Imagine:

SSID CORPORATIVO

Notebook A
Notebook B
Notebook C
Notebook D

Se o tráfego entre clientes estiver liberado, o Notebook A pode tentar alcançar o Notebook B diretamente.

Em muitos ambientes, isso não é necessário.

Uma política mais restritiva pode ser:

Notebook A → Notebook B ✘
Notebook A → Notebook C ✘
Notebook A → Notebook D ✘

Notebook A → ERP ✔
Notebook A → Internet ✔

Isso reduz significativamente a possibilidade de movimento lateral direto.

É importante observar que o isolamento pode ser aplicado em diferentes pontos da arquitetura, dependendo da solução:

• AP;
• gateway wireless;
• controlador;
• firewall;
• switch;
• fabric.

Na arquitetura Aruba, por exemplo, políticas baseadas em roles podem controlar inclusive comunicação entre diferentes categorias de clientes wireless. A documentação do NetConductor demonstra políticas de role-to-role aplicadas a clientes wireless.

Aruba: Dynamic Segmentation no Wi-Fi

A Aruba é particularmente forte nesse modelo.

A arquitetura Dynamic Segmentation associa usuários e dispositivos a funções e políticas.

Em ambientes wireless, a autenticação pode resultar na atribuição de uma User Role, que passa a determinar as permissões do cliente.

O modelo pode ser representado assim:

Cliente Wi-Fi
      │
      ↓
802.1X
      │
      ↓
ClearPass
      │
      ↓
User Role
      │
      ↓
Policy
      │
      ↓
Acesso

A documentação da Aruba destaca que roles podem ser atribuídas por autenticação e que a política pode acompanhar o usuário ou dispositivo, inclusive considerando fatores como tempo, localização ou comportamento.

Isso muda bastante a arquitetura.

O usuário deixa de estar associado exclusivamente a:

IP + VLAN

e passa a estar associado a:

Identidade + Role + Policy.

Aruba ClearPass

O ClearPass pode atuar como componente de NAC e identidade.

Ele pode ajudar a determinar:

• quem é o usuário;
• qual dispositivo está conectado;
• qual o tipo do dispositivo;
• se o equipamento está autorizado;
• qual política deve ser aplicada.

A Aruba também descreve profiling e classificação de dispositivos como parte da arquitetura de controle de acesso.

Isso é especialmente importante para:

• IoT;
• dispositivos BYOD;
• smartphones;
• tablets;
• impressoras;
• equipamentos sem 802.1X.

Aruba Central NetConductor

Em ambientes Enterprise maiores, o Aruba Central NetConductor amplia essa abordagem.

A arquitetura utiliza:

• Aruba APs;
• AOS-10;
• gateways;
• Aruba CX;
• EVPN/VXLAN;
• roles;
• políticas centralizadas.

A HPE descreve o NetConductor como uma arquitetura que oferece políticas consistentes entre redes wireless e cabeadas, utilizando microssegmentação baseada em roles.

Para wireless, o fluxo pode ser:

AP Aruba
   │
   ↓
AOS-10 Gateway
   │
   ↓
Role
   │
   ↓
VXLAN
   │
   ↓
Fabric
   │
   ↓
Policy Enforcement

Isso permite que a política acompanhe o dispositivo através da infraestrutura.

Aruba para SMB

Em ambientes menores, não é necessário implementar imediatamente toda a arquitetura NetConductor.

Uma estratégia pode ser:

Aruba Instant On

VLAN

Guest Network

ACL

isolamento de clientes

Para empresas que precisam de identidade e políticas mais avançadas, a arquitetura pode evoluir para plataformas Aruba Enterprise.

SMB

Prioridade:

• simplicidade;
• segmentação;
• segurança;
• gestão centralizada.

Enterprise

Prioridade:

• identidade;
• NAC;
• roles;
• microssegmentação;
• automação;
• fabric.

Cisco: segmentação wireless

A Cisco possui uma arquitetura igualmente sofisticada.

Um dos componentes centrais é o Cisco Catalyst 9800 Wireless Controller.

Em ambientes SD-Access, o wireless pode participar do fabric.

A documentação da Cisco mostra que perfis wireless de SD-Access podem utilizar VNID e SGT para segmentação.

A arquitetura pode ser representada:

Cliente Wi-Fi
      │
      ↓
Catalyst AP
      │
      ↓
Catalyst 9800
      │
      ↓
Cisco ISE
      │
      ↓
SGT
      │
      ↓
SD-Access Fabric

Assim, a política não precisa depender apenas da VLAN.

Cisco ISE

O Cisco Identity Services Engine fornece a camada de identidade e autorização.

Um cliente pode ser classificado como:

Employee

Contractor

Guest

IoT

Printer

Medical Device

e receber políticas diferentes.

A Cisco documenta que clientes wireless autenticados pelo ISE podem receber bindings IP-SGT, permitindo o uso de SGT para segmentação.

Esse modelo é extremamente interessante em ambientes Enterprise.

Cisco SMB

Para pequenas empresas, entretanto, uma arquitetura SD-Access pode ser excessiva.

Uma implementação mais simples pode utilizar:

• Catalyst;
• Access Points;
• VLAN;
• ACL;
• WPA2/WPA3-Enterprise;
• 802.1X;
• RADIUS.

Já em organizações maiores:

Catalyst 9800 + ISE + Catalyst Center + SD-Access

pode fornecer uma arquitetura muito mais sofisticada.

Fortinet: segmentação wireless

A Fortinet adota uma abordagem bastante integrada.

A arquitetura pode ser:

              FortiGate
                  │
                  │
             FortiAP
                  │
        ┌─────────┼─────────┐
        ↓         ↓         ↓
      CORP      GUEST      IoT

O FortiGate pode participar diretamente das políticas de segurança.

Além disso, o FortiAP suporta atribuição dinâmica de VLAN por RADIUS.

Isso permite:

SSID CORPORATIVO
       │
     802.1X
       │
     RADIUS
       │
 ┌─────┼──────┐
 ↓     ↓      ↓
Corp  IoT  Contractor

A documentação atual da Fortinet descreve VLAN dinâmica por RADIUS, VLAN pooling e outros mecanismos de atribuição de VLAN para clientes wireless.

FortiNAC

Quando a necessidade é maior do que simplesmente atribuir VLAN, o FortiNAC pode entrar na arquitetura.

Ele pode participar da identificação e controle dos dispositivos.

Isso é importante principalmente quando temos:

• BYOD;
• IoT;
• dispositivos desconhecidos;
• dispositivos sem 802.1X;
• ambientes com muitos tipos de endpoint.

O objetivo passa a ser:

conectar → identificar → classificar → autorizar → monitorar → reagir.

Fortinet para SMB

Uma arquitetura bastante eficiente pode ser:

Internet
   │
FortiGate
   │
FortiAP
   ├── Corporate
   ├── Guest
   └── IoT

Para muitas pequenas empresas, essa arquitetura já fornece uma excelente base de segurança.

Em Enterprise:

FortiGate
   +
FortiAP
   +
FortiNAC
   +
FortiManager
   +
FortiAnalyzer

pode criar uma arquitetura muito mais completa.

Huawei: segmentação wireless

Na Huawei Enterprise, a arquitetura wireless pode envolver:

• AirEngine;
• controladora WLAN;
• iMaster NCE-Campus;
• CloudCampus;
• CloudEngine;
• políticas de acesso.

O iMaster NCE-Campus fornece autenticação 802.1X, Portal e outros métodos, além de identificação de terminais e aplicação automática de políticas.

A Huawei também documenta cenários nos quais um cliente wireless pode ser associado a um grupo e receber uma ACL de autorização específica.

Isso permite arquiteturas como:

AirEngine
    │
    ↓
iMaster NCE-Campus
    │
    ↓
Identificação
    │
    ↓
Grupo
    │
    ↓
Política
    │
    ↓
Acesso

Huawei CloudCampus

Em ambientes Enterprise, a Huawei pode integrar wireless e rede de campus em uma arquitetura baseada em VXLAN.

A fabricante descreve soluções de campus que combinam AirEngine Wi-Fi 7, CloudEngine e iMaster NCE, com gerenciamento baseado em identidade e redes VXLAN para diferentes serviços.

O resultado é uma arquitetura na qual:

Wi-Fi

identidade

política

fabric

podem funcionar de forma integrada.

Comparativo das arquiteturas wireless

A tabela representa uma visão arquitetural; recursos específicos dependem do modelo, software, licenciamento e desenho adotado.

Wi-Fi 6 e Wi-Fi 7 aumentam a importância da segmentação

A evolução do Wi-Fi também aumenta a importância da segurança.

Wi-Fi 6 e Wi-Fi 7 permitem:

• maior densidade;
• maior capacidade;
• menor latência;
• mais dispositivos;
• mais IoT;
• maior quantidade de aplicações críticas.

Consequentemente, o AP deixa de atender apenas notebooks.

Ele pode atender dezenas ou centenas de dispositivos diferentes.

Isso aumenta a importância de saber:

quem está conectado.

E, principalmente:

o que esse cliente pode fazer.

WPA3-Enterprise e segmentação

WPA3-Enterprise melhora a segurança da autenticação wireless.

Entretanto:

WPA3 não é microssegmentação.

WPA3 protege o acesso ao WLAN.

A segmentação determina o que acontece depois que o cliente entra.

Podemos pensar assim:

WPA3
 ↓
Protege a entrada
 ↓
802.1X
 ↓
Identifica
 ↓
NAC
 ↓
Classifica
 ↓
Role
 ↓
Segmentação
 ↓
Microssegmentação
 ↓
Controla o que pode acessar

São camadas complementares.

Isolamento de clientes não é suficiente

Outro erro comum é ativar apenas:

Client Isolation

e considerar o problema resolvido.

O isolamento entre clientes é útil, mas não substitui:

• autenticação;
• segmentação;
• ACL;
• firewall;
• NAC;
• políticas de identidade.

Por exemplo:

Client Isolation

pode impedir:

Cliente A → Cliente B

mas não necessariamente controla adequadamente:

Cliente A → Servidor ERP

Cliente A → CFTV

Cliente A → API

Cliente A → Internet

Para isso precisamos de políticas de acesso.

Segmentação por identidade

Uma arquitetura moderna deve preferir:

identidade

em vez de apenas:

IP.

Imagine que Maria se conecte no escritório.

Ela recebe:

Role = Employee

Depois vai para outra área.

Seu endereço IP pode mudar.

Seu AP muda.

Sua associação wireless muda.

Mas a política pode continuar:

Employee → acesso corporativo autorizado.

A Aruba descreve justamente esse desacoplamento entre role e infraestrutura IP em sua arquitetura de Dynamic Segmentation/NetConductor.

A Huawei também destaca a dissociação dos usuários em relação aos endereços IP para manter permissões consistentes durante a mobilidade.

BYOD

BYOD é um dos cenários em que microssegmentação Wi-Fi apresenta grande valor.

Um funcionário pode utilizar:

Notebook corporativo gerenciado

e:

smartphone pessoal.

Ambos pertencem à mesma pessoa.

Entretanto, não deveriam necessariamente receber a mesma política.

Podemos ter:

Notebook corporativo
   ↓
Employee-Managed
   ↓
ERP + arquivos + Internet

e:

Smartphone pessoal
   ↓
BYOD
   ↓
Internet + aplicações autorizadas

A identidade do usuário permanece.

O perfil do dispositivo muda.

Consequentemente, a política muda.

IoT no Wi-Fi

IoT é um dos maiores motivos para implementar segmentação wireless.

Considere:

• TVs;
• sensores;
• impressoras;
• dispositivos de automação;
• fechaduras;
• equipamentos médicos;
• coletores;
• câmeras;
• painéis.

Uma rede IoT deveria ser muito mais restritiva.

IoT
 │
 ├── DNS ✔
 ├── NTP ✔
 ├── Cloud autorizada ✔
 ├── Servidor IoT ✔
 │
 ├── Usuários ✘
 ├── ERP ✘
 ├── AD ✘
 └── Outros IoT ✘

Hotéis

Hotéis possuem um cenário wireless particularmente interessante.

Podemos ter:

Hóspedes

Funcionários

IoT

TVs

Fechaduras

POS

Câmeras

A rede pode ser:

Guest
 ↓
Internet Only

Employee
 ↓
Sistemas corporativos

IoT
 ↓
BMS / Automação

POS
 ↓
Serviços financeiros

O hóspede não deveria possuir caminho para:

• sistemas administrativos;
• POS;
• câmeras;
• equipamentos de automação.

Hospitais

Em hospitais, a segmentação wireless pode ser ainda mais crítica.

Podemos encontrar:

• notebooks;
• smartphones;
• tablets;
• equipamentos médicos;
• coletores;
• dispositivos IoT;
• sistemas de chamada;
• automação;
• equipamentos de monitoramento.

Uma arquitetura pode definir:

Staff
Medical
IoT
Guest
Administration
Critical Devices

Mas, em ambientes mais maduros, podemos evoluir para políticas individuais por tipo de dispositivo.

Indústria

Na indústria, o Wi-Fi pode transportar:

• scanners;
• AGVs;
• tablets;
• notebooks de manutenção;
• sensores;
• equipamentos industriais.

Um notebook de manutenção comprometido não deveria ter acesso irrestrito a todos os dispositivos OT.

A política deve ser explícita.

Maintenance Laptop
        │
        ├── SCADA ✔
        ├── Jump Server ✔
        ├── Internet ✔
        │
        ├── PLC não autorizado ✘
        ├── Câmeras ✘
        └── Usuários administrativos ✘

Educação

Universidades possuem um dos ambientes wireless mais complexos.

É comum encontrar:

• alunos;
• professores;
• pesquisadores;
• funcionários;
• visitantes;
• IoT;
• laboratórios;
• dispositivos pessoais.

Uma única infraestrutura wireless pode suportar todos esses grupos.

A Huawei, por exemplo, apresenta sua arquitetura de campus para educação combinando AirEngine Wi-Fi 7, iMaster NCE e redes VXLAN para integrar serviços como ensino, pesquisa e IoT.

Escritórios

Para um escritório convencional:

Corporate
Guest
IoT
BYOD
Voice

já representa uma boa base.

Para uma empresa maior:

Employee
Contractor
Executive
BYOD
IoT
Security
Guest

com políticas baseadas em identidade pode proporcionar um nível muito superior de controle.

O papel do Site Survey

A segmentação wireless não deve ser projetada apenas no controlador.

Ela precisa ser validada no ambiente físico.

Por esse motivo, o Site Survey Wireless é uma etapa fundamental.

Um projeto pode ter uma política perfeita no papel e ainda assim apresentar problemas porque:

• um AP está mal posicionado;
• existe cobertura insuficiente;
• existe excesso de potência;
• existe interferência;
• existe sobreposição inadequada;
• existe alta densidade;
• existe roaming deficiente.

Em uma rede segmentada, também precisamos validar se os dispositivos realmente conseguem acessar somente aquilo que deveriam.

Por isso, o processo ideal é:

Site Survey Preditivo

↓

Implantação

↓

Site Survey Ativo

↓

Validação de cobertura

↓

Validação de capacidade

↓

Validação de roaming

↓

Validação das políticas

↓

Teste de isolamento

O Site Survey não substitui o desenho de segurança.

Por outro lado, ele permite validar se a infraestrutura RF consegue entregar a arquitetura projetada.

O que testar depois da implementação?

Não basta testar:

“o Wi-Fi conecta?”

É necessário testar:

Funcionário

☑ conecta

☑ autentica

☑ recebe a política correta

☑ acessa ERP

☑ acessa Internet

☒ não acessa IoT

☒ não acessa Guest

Guest

☑ conecta

☑ acessa Internet

☒ não acessa rede corporativa

☒ não acessa IoT

IoT

☑ acessa servidor autorizado

☒ não acessa usuários

☒ não acessa administração

Dispositivo desconhecido

☑ identificado

☑ colocado em política restritiva

☒ não acessa recursos críticos

Esse tipo de teste transforma o projeto em uma validação de segurança real.

Matriz de políticas wireless

Antes de implementar, crie uma matriz.

Essa matriz deve ser validada com as equipes de:

• infraestrutura;
• segurança;
• aplicações;
• negócio.

Como implementar em camadas

Uma metodologia eficiente pode utilizar sete níveis.

Nível 1 — Segurança do rádio

• WPA3;
• proteção de gerenciamento;
• políticas RF.

Nível 2 — Autenticação

• 802.1X;
• RADIUS;
• certificados.

Nível 3 — Segmentação

• VLAN;
• VRF;
• SSID.

Nível 4 — Identidade

• usuário;
• dispositivo;
• grupo;
• perfil.

Nível 5 — Política

• ACL;
• firewall;
• role.

Nível 6 — Microssegmentação

• role-to-role;
• isolamento;
• SGT;
• fabric.

Nível 7 — Monitoramento

• telemetry;
• analytics;
• NAC;
• detecção de anomalias.

SMB x Enterprise

Nem toda rede Wi-Fi precisa de microssegmentação avançada.

Pequena empresa

Priorizar:

• WPA3;
• Guest isolado;
• VLAN;
• firewall;
• isolamento de clientes;
• IoT separado.

SMB estruturada

Adicionar:

• 802.1X;
• RADIUS;
• VLAN dinâmica;
• políticas;
• profiling.

Enterprise

Adicionar:

• NAC;
• roles;
• Dynamic Segmentation;
• microssegmentação;
• automação;
• analytics.

Enterprise de grande porte

Considerar:

• EVPN/VXLAN;
• fabric;
• SGT;
• SD-Access;
• NetConductor;
• políticas globais.

Tabela de maturidade

Erros comuns

Criar somente dois SSIDs

Corporate e Guest podem não ser suficientes.

Colocar IoT no SSID corporativo

Esse é um dos erros mais comuns.

Usar uma senha compartilhada

Uma senha WPA2/WPA3-Personal não fornece identidade individual.

Não utilizar 802.1X

Em ambientes Enterprise, isso elimina uma camada importante de controle.

Criar muitos SSIDs

Mais SSIDs não significa necessariamente mais segurança.

Confiar apenas em VLAN

VLAN é importante, mas não controla todas as comunicações.

Permitir client-to-client

Em muitos ambientes, isso aumenta o risco de movimento lateral.

Não identificar dispositivos

Um dispositivo desconhecido não deveria receber automaticamente o mesmo acesso de um notebook corporativo.

Não validar as políticas

Uma regra mal configurada pode criar uma falsa sensação de segurança.

Ignorar o RF

Uma arquitetura de segurança wireless precisa funcionar no ambiente RF real.

Checklist de segmentação Wi-Fi

☐ Inventariar usuários

☐ Inventariar dispositivos

☐ Identificar IoT

☐ Identificar BYOD

☐ Identificar dispositivos críticos

☐ Definir SSIDs

☐ Reduzir SSIDs desnecessários

☐ Definir VLANs

☐ Definir VRFs quando necessário

☐ Implementar WPA3-Enterprise

☐ Implementar 802.1X

☐ Implementar RADIUS

☐ Avaliar certificados

☐ Implementar NAC

☐ Criar profiling

☐ Definir roles

☐ Definir políticas

☐ Restringir client-to-client

☐ Separar Guest

☐ Separar IoT

☐ Separar dispositivos críticos

☐ Definir políticas default deny

☐ Validar firewall

☐ Validar roaming

☐ Realizar Site Survey

☐ Validar cobertura

☐ Validar capacidade

☐ Validar interferência

☐ Validar políticas

☐ Testar movimento lateral

☐ Monitorar clientes

☐ Documentar a arquitetura

Conclusão

A segurança de uma rede Wi-Fi corporativa não termina quando o usuário consegue se autenticar.

Na verdade, é justamente nesse momento que começa uma das perguntas mais importantes da arquitetura:

Depois de entrar, o que esse dispositivo pode fazer?

Uma rede Wi-Fi tradicional normalmente responde:

“Ele está na VLAN corporativa.”

Uma rede Wi-Fi moderna responde:

“Ele foi identificado, classificado e recebeu uma política específica.”

Essa diferença representa uma evolução significativa.

A segmentação Wi-Fi cria zonas.

A 802.1X identifica.

O RADIUS fornece informações de autenticação e autorização.

O NAC classifica.

As roles determinam políticas.

A microssegmentação limita as relações.

O firewall controla os fluxos.

O monitoramento identifica comportamentos anormais.

E o Site Survey Wireless garante que toda essa arquitetura seja efetivamente entregue pelo ambiente RF.

Entre os principais fabricantes, existem diferentes caminhos.

A HPE Aruba Networking possui uma arquitetura especialmente orientada a roles e Dynamic Segmentation, evoluindo para o Central NetConductor em ambientes que exigem políticas consistentes entre wireless, switching e fabric.

A Cisco utiliza Catalyst 9800, ISE e, em arquiteturas SD-Access, VNIDs e SGTs para segmentação wireless baseada em identidade e grupos.

A Fortinet possui uma abordagem bastante integrada com FortiGate e FortiAP, permitindo inclusive VLAN dinâmica baseada em RADIUS para diferentes perfis de usuários dentro de um mesmo SSID.

A Huawei combina AirEngine, iMaster NCE-Campus e CloudCampus, com autenticação, identificação de terminais, políticas e arquiteturas de campus baseadas em VXLAN.

Para SMB, uma arquitetura baseada em:

WPA3 + Guest + VLAN + firewall + isolamento

pode ser suficiente.

Para uma empresa média:

802.1X + RADIUS + VLAN dinâmica + NAC

representa uma evolução importante.

Para Enterprise:

identidade + roles + NAC + microssegmentação

passa a fazer muito mais sentido.

E, para ambientes de grande escala:

fabric + EVPN/VXLAN + políticas baseadas em identidade + automação

pode transformar completamente a forma como a segurança wireless é aplicada.

O objetivo final, entretanto, permanece simples:

Um dispositivo Wi-Fi comprometido não deve conseguir transformar seu comprometimento em acesso livre à rede.

A arquitetura deve limitar seus caminhos.

Deve impedir comunicações desnecessárias.

Deve reduzir o movimento lateral.

Deve limitar o blast radius.

Porque proteger uma rede Wi-Fi não significa apenas impedir que um atacante entre.

Significa garantir que, mesmo se ele entrar, não consiga chegar aonde não deveria.