Navrhovanie bezpečnej firemnej Wi-Fi siete pre notebooky s doménou pomocou Fortinet a 802.1X v sieťach malých podnikov

Keďže malé a stredné podniky prechádzajú na hybridné modely práce, zabezpečenie firemného bezdrôtového prístupu sa stalo kritickou prioritou infraštruktúry. Zamestnanci teraz používajú notebooky pripojené k doméne v domácich aj kancelárskych prostrediach, vďaka čomu je zabezpečenie siete založené na identite dôležitejšie ako kedykoľvek predtým.

Tradičný prístup zdieľania hesiel Wi-Fi medzi zamestnancami a hosťami už nie je postačujúci pre moderné bezpečnostné požiadavky.

Namiesto toho sa musia malé a stredné podniky (SMB) posunúť smerom k riadeniu prístupu riadenému identitou, overovaniu koncových bodov a bezpečnostnej architektúre s nulovou dôverou.

Obsah

• Časť 1: Skutočné bezpečnostné riziko
• Časť 2: Bezpečnostné výzvy pre malé a stredné podniky
• Časť 3: Bezpečnostná architektúra zameraná na Fortinet
• Časť 4: Autentifikácia na základe certifikátu pomocou 802.1X
• Časť 5: Využitie infraštruktúry spoločnosti Microsoft
• Časť 6: Dynamické priradenie VLAN
• Časť 7: Integrácia systému Fortinet Zero Trust
• Časť 8: Výber správneho bezpečnostného modelu
• Časť 9: Praktická migračná stratégia
• Časť 10: Obchodná hodnota bezpečného dizajnu
• Časť 11: Budúce trendy

Časť 1: Skutočné bezpečnostné riziko

Najväčšou hrozbou pre siete malých a stredných podnikov nie sú nevyhnutne externí hackeri, ktorí sa pokúšajú prelomiť heslá Wi-Fi sietí.

Skutočné riziko predstavuje prístup k vnútornej sieti neoprávnených zariadení.

V tradičných architektúrach plochých sietí:

• Zamestnanci a hostia často zdieľajú rovnaký segment siete
• Napadnuté osobné zariadenia môžu skenovať internú infraštruktúru
• Škodlivý softvér sa môže šíriť laterálne medzi obchodnými systémami

Organizácie musia zabezpečiť, aby sa k interným sieťam Wi-Fi mohli pripojiť iba autorizované firemné notebooky.

Časť 2: Bezpečnostné výzvy pre malé a stredné podniky

IT tímy malých a stredných podnikov zvyčajne čelia trom hlavným obmedzeniam:

• Rozpočtové obmedzenia
• Obmedzený počet IT zamestnancov
• Požiadavky na jednoduchosť prevádzky

Organizácie často vyhodnocujú infraštruktúrne riešenia a obstarávacie kanály, ktoré môžu poskytnúť overené vybavenie a technické poradenstvo s cieľom znížiť riziko nasadenia.

Časť 3: Bezpečnostná architektúra zameraná na Fortinet

Organizácie, ktoré už používajú ekosystémy Fortinet, majú silný základ pre návrh bezpečných Wi-Fi sietí.

Medzi základné komponenty patria:

• Bezpečnostná brána FortiGate
• Systém správy koncových bodov FortiClient (EMS)
• Bezdrôtové prístupové body FortiAP
• Zásady prístupu k sieti s nulovou dôverou (ZTNA)

Pomocou tejto architektúry môžu IT tímy vytvárať bezpečnostné kontroly zohľadňujúce identitu v bezdrôtových a interných sieťach.

V mnohých podnikových nasadeniach je obstarávanie infraštruktúry a overovanie nasadenia rovnako dôležité ako výber hardvéru, a preto niektoré organizácie spolupracujú so špecializovanými partnermi v oblasti infraštruktúry na overení kompatibility zariadení pred nasadením do produkčného prostredia.

Časť 4: Autentifikácia na základe certifikátu pomocou 802.1X

Najbezpečnejšou metódou overovania Wi-Fi je overovanie na základe certifikátov pomocou štandardov 802.1X a EAP-TLS.

Proces overovania

1. Prenosný počítač pripojený k doméne prijíma certifikát počítača
2. Zariadenie sa pokúša pripojiť k firemnej sieti Wi-Fi
3. Žiadosť o autentifikáciu sa preposiela na server RADIUS
4. Identita certifikátu je overená
5. Prístup k sieti je povolený

Zariadenia bez platných certifikátov sú automaticky zamietnuté.

Príklad príkazu CLI na overenie verzie softvéru.

network device authentication verification

Časť 5: Využitie infraštruktúry spoločnosti Microsoft

Malé a stredné podniky si nemusia kupovať dodatočný drahý hardvér na implementáciu podnikového zabezpečenia.

Ak organizácie používajú prostredia Windows Server, môžu použiť:

• Server sieťových politík spoločnosti Microsoft (NPS)
• Certifikačné služby služby Active Directory

Proces autentifikácie sa stáva:

• Fortinet Wi-Fi → FortiGate → RADIUS server → Overenie služby Active Directory

Časť 6: Dynamické priradenie VLAN

Siete môžu automaticky priraďovať používateľov k VLAN na základe identity pomocou atribútov RADIUS.

Príklad segmentácie:

Rola používateľa	Priradená VLAN
Používatelia financií	Obmedzená finančná VLAN
IT administrátori	Správa VLAN
Používatelia marketingu	Všeobecná firemná VLAN

Dynamické priradenie VLAN umožňuje organizáciám udržiavať jeden SSID siete Wi-Fi a zároveň presadzovať segmentáciu siete.

Časť 7: Integrácia systému Fortinet Zero Trust

Bezpečnostné ekosystémy Fortinet podporujú modely sietí s nulovou dôverou prostredníctvom overovania súladu koncových bodov.

Pomocou FortiClient EMS môžu organizácie overiť:

• Úrovne záplat zariadenia
• Stav antivírusovej ochrany
• Súlad s bezpečnostnými požiadavkami

Prístup k interným firemným zdrojom majú iba kompatibilné zariadenia.

Časť 8: Výber správneho bezpečnostného modelu

Metóda	zložitosť	Úroveň zabezpečenia
PSK Wi-Fi	Nízky	základné
Segmentácia VLAN	stredná	Stredne
Overenie 802.1X	vysoký	Silné
Integrácia ZTNA + NAC	vysoký	Veľmi silný

Časť 9: Praktická migračná stratégia

Fáza 1: Izolácia siete

• Vytvorte firemnú sieť
• Vytvoriť hosťovskú sieť

Fáza 2: Overenie identity

• Nasadenie 802.1X
• Nasadiť overovanie certifikátom

Fáza 3: Bezpečnosť s nulovou dôverou

• Overenie polohy koncového bodu
• Politiky prístupu na úrovni aplikácií

Časť 10: Obchodná hodnota bezpečného dizajnu

Bezpečný dizajn Wi-Fi zlepšuje ochranu údajov, pripravenosť na dodržiavanie predpisov a kontrolu prevádzky IT.

Organizácie často profitujú zo spolupráce s poskytovateľmi infraštruktúrnych riešení pri overovaní návrhu siete a rozhodnutí o obstarávaní hardvéru.

Platformy ako napr Fortinet poskytujú integrovanú správu bezpečnosti naprieč sieťovými vrstvami.

Časť 11: Budúce trendy

Sieťová bezpečnosť sa posúva smerom k sieťam riadeným identitou a neustálemu overovaniu zariadení.

Budúcnosť sietí malých a stredných podnikov sa viac zameria na identitu používateľov a zariadení než na tradičné zabezpečenie sieťového perimetra.

Získajte viac informácií o možnostiach obstarávania infraštruktúry od Router-prepínač alebo nástroje na porovnávanie cien, ako napríklad IT-Price.