À medida que as organizações crescem, as suas redes tornam-se frequentemente mais difíceis de controlar. Funcionários, prestadores de serviços, convidados, dispositivos pessoais, dispositivos IoT e sistemas ligados à cloud podem todos precisar de acesso, mas não devem todos aceder aos mesmos recursos
Quando o acesso é demasiado amplo, as equipas de TI têm menos controlo sobre quem pode ligar-se a sistemas sensíveis, como os dispositivos se movem pela rede e se as permissões ainda correspondem à função de cada utilizador. Credenciais Wi-Fi partilhadas, VLANs atribuídas manualmente e regras de acesso estáticas podem tornar esse problema mais difícil de gerir à medida que os ambientes se tornam mais complexos.
Tendo isso em mente, vejamos o que significa a segmentação de rede, por que é importante, como funciona e como os controlos de acesso baseados na identidade podem ajudar a aplicar a segmentação em toda a organização.
O que significa segmentação de rede?
A segmentação de rede consiste em dividir uma rede em secções mais pequenas para que os utilizadores e os dispositivos possam aceder apenas aos recursos de que necessitam. É uma prática fundamental de cibersegurança que ajuda a limitar o impacto potencial de uma conta, dispositivo ou sistema comprometido, ao reduzir o acesso amplo em toda a rede.
A segmentação de rede cria zonas definidas dentro de uma rede às quais apenas determinados utilizadores, dispositivos ou aplicações podem aceder. O tráfego entre estas zonas é controlado através de VLANs, firewalls, listas de controlo de acesso, políticas de autenticação e regras de acesso baseadas em funções. Isto significa que apenas utilizadores e dispositivos aprovados podem ligar-se a partes específicas de uma rede, pelo que uma conta comprometida não concede automaticamente acesso alargado.
Uma segmentação eficaz deve ter em conta tanto a estrutura da rede como as decisões de acesso. Isso significa que as permissões, os métodos de autenticação e as atribuições de VLAN precisam de se manter atualizados à medida que utilizadores, funções, dispositivos e ambientes mudam. A segmentação de rede torna-se menos eficaz quando os utilizadores partilham credenciais, contas antigas permanecem ativas, é permitido que dispositivos não geridos se liguem ou as atribuições de VLAN são tratadas manualmente.
As formas comuns de segmentação de rede incluem:
Por grupo de utilizadores, como funcionários, contratados, estudantes, docentes, convidados ou administradores.
Por departamento, como finanças, recursos humanos, TI, engenharia ou operações.
Por tipo de dispositivo, como portáteis geridos, dispositivos BYOD, dispositivos IoT, servidores ou sistemas de ponto de venda.
Por ambiente, como desenvolvimento, teste, produção ou aplicações internas.
Por método de acesso, como Wi‑Fi, VPN, redes com fios ou acesso ao servidor.
Por nível de confiança, como dispositivos geridos, dispositivos autenticados por certificado ou dispositivos de convidado não geridos.
Porque é que a segmentação da rede é importante
Existem vários benefícios na segmentação, especialmente para a cibersegurança, que podem melhorar o controlo operacional e ajudar as equipas de TI a limitar acessos amplos.
Os benefícios da segmentação de rede incluem:
Reduziu o acesso desnecessário em toda a rede.
Movimento lateral limitado se um utilizador, dispositivo ou conta for comprometido.
Proteção para sistemas sensíveis, uma vez que estão separados do tráfego geral da rede.
Políticas de acesso mais claras para utilizadores, dispositivos, departamentos e funções.
Suporte para acesso com privilégio mínimo através de Wi‑Fi, VPN, redes com fios e sistemas internos.
Melhor visibilidade sobre que utilizadores e dispositivos podem aceder a cada segmento.
Suporte para prontidão de auditoria, graças a limites de acesso claros.
Ajuda para as equipas de TI gerirem ambientes BYOD, acesso de convidados, acesso de estudantes e ambientes distribuídos de forma mais consistente.
Segmentação estática vs. segmentação de rede baseada em identidade
Existem algumas formas de segmentar redes, mas, no essencial, tudo se resume à segmentação estática ou baseada em identidade. Cada uma tem os seus próprios benefícios, por isso ajuda saber o que funciona melhor para as necessidades do seu negócio.
Segmentação estática da rede
A segmentação estática da rede baseia-se normalmente em VLANs atribuídas manualmente, listas de endereços MAC, SSIDs ou regras de acesso fixas. Isto pode funcionar bem para ambientes pequenos ou básicos, em que as necessidades de segmentação são menos complexas.
No entanto, à medida que as organizações adicionam mais utilizadores, dispositivos, contratantes, etc., pode tornar-se mais difícil escalar e gerir permissões individuais. Além disso, a segmentação estática pode ser vulnerável a spoofing e está dissociada da identidade do utilizador e da confiança no dispositivo.
Segmentação de rede baseada na identidade
A segmentação baseada na identidade depende da autenticação e autorização do utilizador para determinar a que segmentos da rede cada pessoa pode aceder. Os utilizadores e os seus dispositivos podem ser colocados na VLAN adequada ou no segmento de rede apropriado com base na identidade, afiliação de grupo, função ou nível de confiança, sendo-lhes depois concedido acesso aos segmentos em conformidade.
A segmentação de rede baseada em identidade ajuda a manter o acesso alinhado com a identidade do utilizador, os dispositivos que está a usar e os recursos aos quais deve ter acesso. Como estas permissões se baseiam em categorias de utilizadores, é fácil atualizá-las quando a função de um utilizador muda.
Atribuição dinâmica de VLAN
A atribuição dinâmica de VLAN é uma forma de aplicar a segmentação baseada na identidade. Coloca automaticamente utilizadores ou dispositivos na VLAN correta durante a autenticação.
Por exemplo, se uma instituição de ensino usar atribuição dinâmica de VLAN, os docentes e os estudantes terão acesso a diferentes segmentos quando se ligarem, mesmo que todos utilizem o mesmo ambiente de rede.
Como funciona a segmentação de rede
Tendo em conta os benefícios da segmentação de rede e as diferentes formas que pode assumir, devemos compreender como funciona. Vamos então simplificar a segmentação de rede e analisar alguns métodos comuns para separar o tráfego e proteger as redes.
1. VLANs e sub-redes
Algumas das formas mais comuns de segmentar redes são através da utilização de VLANs e sub-redes. Estes podem ser usados para separar o tráfego em áreas lógicas da rede, por exemplo por dispositivos de colaboradores, dispositivos de convidados, sistemas POS e dispositivos de Internet das Coisas (IoT).
A utilização de VLANs também pode ser um método de segmentação escalável, uma vez que as atribuições podem ser associadas à identidade e à pertença a grupos, em vez de atribuir permissões manualmente por utilizador ou dispositivo.
2. Firewalls e listas de controlo de acesso
Com firewalls e listas de controlo de acesso, as equipas de TI podem definir que tráfego é permitido entre segmentos de rede. Podem permitir ou restringir o acesso com base em categorias como origem e destino, portas ou protocolos, e definir permissões de acordo com a política da empresa. Como resultado, estas ferramentas podem ajudar a limitar a movimentação entre segmentos, restringindo o acesso lateral a partir de contas comprometidas.
3. Autenticação RADIUS
A autenticação RADIUS é uma ferramenta poderosa para verificar os utilizadores e os respetivos dispositivos antes de conceder acesso a redes WiFi, VPN ou com fios. Quando os utilizadores tentam aceder a uma rede, o RADIUS Server revê as credenciais do utilizador, verifica-as num serviço de diretório central, como Active Directory ou LDAP, e confirma as políticas de acesso antes de permitir o acesso.
O RADIUS pode integrar-se com fornecedores de identidade e infraestrutura de rede para suportar informações de política, como a atribuição de VLAN. Isto torna-o mais robusto, ao mesmo tempo que proporciona uma forte segurança de acesso.
4 Autenticação baseada em certificados
Com a autenticação baseada em certificados, as redes podem verificar dispositivos fidedignos sem depender apenas de palavras-passe. Isto adiciona uma camada extra de segurança e autenticação, por isso, mesmo que a palavra-passe de um utilizador seja roubada, isso não será suficiente para dar acesso aos atacantes.
Isto é particularmente útil para dispositivos geridos, organizações com políticas Bring-Your-Own-Device (BYOD) e ambientes em que as equipas de TI pretendem acesso à rede com base na confiança do dispositivo, graças à segurança e flexibilidade combinadas que isso proporciona.
Exemplos de segmentação de rede
As organizações podem querer segmentar a sua rede de várias formas, cada uma das quais pode ajudar a garantir um acesso seguro e um melhor controlo sobre quem se pode ligar a quê.
1. Wi-Fi para convidados e Wi-Fi para funcionários
Uma das segmentações de rede mais comuns é entre o Wi-Fi de convidados e o dos colaboradores. Os visitantes que se ligam à rede Wi-Fi de uma empresa não devem receber o mesmo acesso que os colaboradores, mas devem continuar a poder ligar-se à internet.
Com a segmentação de rede adequada, os visitantes podem ligar-se facilmente à rede Wi-Fi sem obter acesso a sistemas internos, impressoras, ficheiros partilhados ou outras aplicações empresariais. No entanto, isto exige controlos de acesso robustos, uma vez que o acesso dos colaboradores deve ser autenticado com credenciais únicas ou certificados fidedignos, em vez de palavras-passe partilhadas.
2. Estudantes, docentes e convidados
Para as instituições de ensino, a segmentação de rede é importante para manter docentes, administradores, estudantes e convidados ligados sem dar a todos acesso aos mesmos sistemas. Com a segmentação baseada na identidade, estas instituições podem atribuir utilizadores às VLANs apropriadas com base em grupos de diretório, para que os estudantes não possam aceder às redes de docentes ou administrativas, enquanto os convidados podem ligar-se em segurança sem comprometer a cibersegurança.
3. Ambientes de desenvolvimento, teste e produção
As equipas de engenharia e DevOps precisam frequentemente de acesso a ambientes de desenvolvimento, staging e produção. No entanto, esse acesso não deve ser demasiado amplo e, com a segmentação de rede adequada, pode ser limitado com base na função e na necessidade.
Em casos como este, a segmentação de rede pode separar os ambientes, mantendo desenvolvimento, staging e produção isolados uns dos outros. Em seguida, a organização pode usar a autenticação e políticas baseadas em grupos para controlar quem tem acesso a cada um, mantendo os utilizadores não autorizados de fora.
4. Retalho e localizações de filiais
As empresas de retalho e as suas filiais precisam frequentemente de sistemas de ponto de venda separados, Wi‑Fi para visitantes, dispositivos de back-office e muito mais. Nestes casos, mantê-los segmentados é importante para o acesso e a segurança.
A segmentação de rede ajuda a impedir acessos desnecessários entre sistemas que servem finalidades diferentes. Os colaboradores não devem poder aceder a dispositivos de back-office em diferentes filiais, e os visitantes não devem poder ligar-se ao WiFi e depois aceder a sistemas PoS. A segmentação limita o acesso apenas a quem precisa dele.
5. Cuidados de saúde e sistemas regulamentados
Em ambientes regulamentados, como os da saúde e das finanças, os sistemas podem conter informações sensíveis que devem ser separadas do acesso geral à rede. A segmentação de rede ajuda a criar limites de acesso mais claros em torno destes sistemas.
Com a segmentação, as organizações podem apoiar a preparação para auditorias e as práticas de controlo de acesso, ao demonstrar limites mais claros em torno de sistemas sensíveis. A autenticação forte e os controlos de acesso ajudam a manter o acesso limitado a utilizadores aprovados e dispositivos de confiança.
6. BYOD e dispositivos não geridos
Os dispositivos pessoais, endpoints não geridos, dispositivos IoT e outros dispositivos de baixa confiança devem ser tratados com cuidado e não devem receber acesso irrestrito. A utilização da segmentação de rede permite às empresas conceder a estes dispositivos acesso a segmentos restritos sem arriscar um acesso mais amplo a dispositivos potencialmente desconhecidos.
As empresas também podem incluir acesso baseado em certificados e baseado na identidade para tornar o acesso a partir destes dispositivos mais seguro. Com isso, os dispositivos geridos e de confiança podem receber um acesso mais alargado, enquanto os dispositivos não geridos podem receber acesso a VLANs mais limitadas. Isto mantém a facilidade de acesso para colaboradores em mobilidade ou em dispositivos não geridos, ao mesmo tempo que mantém as redes seguras.
Onde o controlo de acesso se enquadra na segmentação de rede
O controlo de acesso e a segmentação da rede funcionam em conjunto para definir e impor limites da rede. A segmentação da rede divide a rede em diferentes secções, enquanto o controlo de acesso determina quem pode aceder a cada uma, tornando-as uma combinação essencial.
Sem controlos de acesso robustos, as organizações podem continuar a depender de ferramentas pouco fiáveis para gerir o acesso, como palavras-passe de Wi-Fi partilhadas, atribuições de VLAN mantidas manualmente ou processos inconsistentes de acesso ao servidor. Com o controlo de acesso baseado na identidade, por outro lado, as organizações podem reforçar a segmentação da sua rede ao ligar o acesso a utilizadores e dispositivos de confiança com métodos de autenticação fortes e políticas de acesso em tempo real.
O controlo de acesso pode reforçar a segmentação e ajudar as equipas de TI de muitas formas, incluindo:
Autenticação de utilizadores com credenciais únicas.
Verificar dispositivos fidedignos antes de se ligarem.
Utilização de certificados para autenticação de dispositivos sem palavra-passe.
Atribuição de acesso à rede com base na pertença a grupos de diretório.
Colocar utilizadores e dispositivos nas VLANs certas durante a autenticação.
A sincronizar o acesso com fornecedores de identidade.
Remover o acesso ou ajustar as permissões quando os utilizadores saem ou mudam de função.
Aplicar MFA onde é necessária verificação adicional.
Manter registos para visibilidade e preparação para auditorias.
Como a Foxpass ajuda a aplicar a segmentação de rede baseada em identidades
A segmentação baseada na identidade requer uma forma fiável de autenticar utilizadores e dispositivos e, em seguida, atribuí-los ao segmento de rede correto. Foxpass utiliza autenticação RADIUS orientada por identidade para suportar a segmentação da rede e a atribuição dinâmica de VLAN, permitindo às organizações autenticar utilizadores em segurança e permitir que se liguem à rede e aos recursos de que precisam.
O Foxpass pode sincronizar-se com o diretório da sua empresa e atribuir utilizadores à VLAN apropriada com base na identidade, função e pertença ao grupo. Ajuda a aplicar a segmentação em redes com fios, Wi-Fi e VPN, para que as políticas de acesso se mantenham consistentes entre métodos de ligação.
As principais capacidades do Foxpass para segmentação baseada em identidade incluem:
1. Atribuição dinâmica de VLAN com Foxpass RADIUS
Foxpass RADIUS ajuda a atribuir utilizadores e dispositivos em segurança à VLAN adequada, com autenticação robusta e atribuições dinâmicas.
O funcionamento é simples: assim que um utilizador se liga, o Foxpass autentica-o e verifica a que grupo pertence (como convidado, admin, IoT ou programador). O servidor RADIUS responde então com uma atribuição de VLAN, colocando o utilizador no segmento apropriado. Como resultado, os utilizadores podem ligar-se rapidamente e ser encaminhados para o segmento de rede de que necessitam, sem comprometer a segurança nem a eficiência.
2. Acesso baseado em grupos de diretório
O Foxpass pode associar o acesso à pertença a grupos do diretório, garantindo que os utilizadores acedem apenas aos segmentos de que o seu grupo necessita. Integra-se com fornecedores de identidade e diretórios como Google Workspace, Okta, Microsoft Entra ID, OneLogin e LDAP, para que o acesso se mantenha alinhado com a pertença a grupos do diretório.
Quando a função ou o grupo de um utilizador muda no diretório, o Foxpass pode atualizar automaticamente o respetivo acesso em conformidade. Isto reduz a necessidade de as equipas de TI reatribuírem manualmente VLANs a utilizadores ou dispositivos individuais e ajuda a reduzir acessos desatualizados quando os utilizadores saem ou mudam de função.
3. Autenticação EAP-TTLS e EAP-TLS
O Foxpass suporta métodos de autenticação que ajudam as organizações a aplicar controlos de acesso mais robustos. Suporta EAP-TTLS para autenticação por identidade e palavra-passe, bem como EAP-TLS para autenticação baseada em certificados, para que as empresas tenham várias formas de manter as contas seguras.
Como resultado, as equipas de IT podem utilizar os modelos de autenticação que melhor se adequam às suas empresas, com base no seu ambiente, abordagem de gestão de dispositivos e requisitos de confiança. O Foxpass dá às equipas de TI várias opções de autenticação para que o acesso possa ser adaptado ao ambiente da organização, ao modelo de gestão de dispositivos e aos requisitos de confiança.
4. Segmentação em redes Wi‑Fi, VPN e com fios
O Foxpass RADIUS pode ajudar a aplicar a segmentação da rede em redes Wi-Fi, VPN e com fios, para que os utilizadores possam ser atribuídos ao segmento apropriado com base na autenticação e na política.
Em vez de precisar de segmentos separados para cada tipo de ligação, a Foxpass oferece uma experiência consistente e fácil de utilizar em todas as redes. Não é necessário criar manualmente processos separados para cada método de acesso, pois tudo é gerido a partir de uma localização centralizada.
5. Visibilidade de registos e políticas
Embora a segmentação da rede e a autenticação do utilizador ajudem a manter as redes seguras, os registos também são essenciais para ajudar as equipas de TI a monitorizar tentativas de autenticação, atividade de acesso à rede e decisões de política sobre quem recebe acesso a quê.
Foxpass oferece opções de registo para ajudar as equipas a acompanhar tentativas de acesso por VLAN e política. Isto dá às equipas de TI melhor visibilidade sobre a atividade de autenticação, as decisões de acesso e possíveis lacunas de política.
Boas práticas de segmentação de rede
Quando segmenta a sua rede, é importante garantir o equilíbrio certo entre segurança e acessibilidade. Esta pode ser uma tarefa difícil no início, mas ao seguir estas boas práticas, pode manter a sua rede segmentada de forma segura, ao mesmo tempo que dá aos colaboradores acesso às áreas de que precisam.
Mapeie utilizadores, dispositivos, sistemas e fluxos de dados: O primeiro passo é a preparação. Identifique que utilizadores precisam de acesso a que sistemas e as ligações que usam no trabalho diário, para poder mapear corretamente os seus segmentos.
Identifique sistemas sensíveis e caminhos de acesso de alto risco: Priorizar os seus sistemas é igualmente essencial. Certifique-se de identificar os sistemas que armazenam dados sensíveis, recursos vitais ou infraestruturas críticas, para que possa concentrar-se em protegê-los primeiro.
Separar o acesso de convidados, colaboradores, servidores, BYOD e IoT: A segmentação deve incluir acessos separados para colaboradores, convidados e diferentes dispositivos. Certifique-se de que evita dar a toda a gente o mesmo nível de acesso.
Utilize regras de acesso baseadas na identidade: As regras de acesso baseadas na identidade ajudam a garantir que os utilizadores se ligam aos segmentos de que precisam com base nas suas funções. Certifique-se de ligar as decisões de acesso a utilizadores, grupos, dispositivos e certificados, conforme necessário.
Utilize a atribuição dinâmica de VLAN sempre que possível: A atribuição dinâmica de VLAN reduz a gestão manual de VLAN ao atribuir utilizadores e dispositivos ao segmento adequado durante a autenticação, em vez de exigir que as equipas de TI atualizem as permissões de cada utilizador.
Aplicar acesso com privilégios mínimos: A utilização de princípios de privilégio mínimo dá aos utilizadores e dispositivos o acesso de que necessitam com base nas suas funções, e nada mais do que isso, mantendo a movimentação ao mínimo se uma conta for comprometida.
Automatize a integração e o desprovisionamento: Sincronizar o acesso à rede com fornecedores de identidade pode ajudar a manter as permissões atualizadas, removendo ou alterando automaticamente o acesso quando os utilizadores saem ou mudam de função.
Monitorize a autenticação e a atividade de acesso: Registos de acesso claros são vitais para auditorias e cibersegurança, pois as equipas de TI podem usá-los para rever padrões de acesso, identificar atividade suspeita e identificar lacunas nas políticas.
Reveja regularmente as políticas de segmentação: Atualize os segmentos e as regras de acesso sempre que as equipas, os dispositivos, as localizações, as aplicações e as necessidades da empresa mudarem.
Erros comuns de segmentação de rede a evitar
Dada a importância e a segurança da segmentação de rede, convém garantir que é feita corretamente. No entanto, a segmentação também pode ser uma tarefa complexa sem o devido planeamento e execução, por isso há vários erros a que convém estar atento.
Erros comuns incluem:
Dependência de palavras-passe Wi-Fi partilhadas, o que dificulta o controlo do acesso dos utilizadores e a manutenção da responsabilização, além de introduzir problemas de segurança se um colaborador sair da empresa e a palavra-passe não for alterada.
Utilização de atribuições de VLAN estáticas, difíceis de manter e que exigem atualizações manuais.
Dependendo de listas de endereços MAC como método principal de controlo de acesso, em vez de diretórios de utilizadores.
Dar a convidados, prestadores de serviços ou dispositivos BYOD o mesmo acesso que os colaboradores, o que lhes pode conceder acesso a segmentos de rede que contêm informações sensíveis ou proprietárias.
Esquecer-se de remover o acesso quando os utilizadores saem da empresa ou mudam de função.
Segmentação de redes sem definir regras de acesso claras, dificultando o acesso dos utilizadores aos segmentos de que necessitam.
Permitir dispositivos não geridos em redes sensíveis, o que pode aumentar a exposição e enfraquecer o controlo de acesso.
Tratar a segmentação como um projeto pontual, em vez de um processo contínuo.
Falta de registos que mostrem que utilizadores e dispositivos acederam a que segmentos.
Criar políticas demasiado complexas que as equipas de TI não conseguem manter.
Conclusão final: uma segmentação forte exige um controlo de acesso forte
A segmentação de rede é uma ferramenta poderosa que ajuda as equipas de TI a criar limites claros nos seus ambientes de rede e a reduzir acessos desnecessários. No entanto, esses limites devem ser aplicados através da gestão de identidades, de grupos de diretório e de autenticação robusta.
Com Foxpass, as equipas de TI podem aplicar a segmentação de rede baseada em identidade e gerir o acesso de forma mais consistente. A Foxpass utiliza a atribuição dinâmica de VLAN através da autenticação RADIUS para aplicar o acesso baseado em identidade e a segmentação de rede em redes Wi‑Fi, VPN e com fios, mantendo as redes seguras e os utilizadores verificados.
Quer ver como o Foxpass protege a sua rede com segmentação e gestão de acesso baseada na identidade? Comece hoje mesmo com uma avaliação gratuita.
