Navrhovanie firemnej Wi-Fi siete s nulovou dôverou pre malé a stredné podniky s využitím Fortinet a overovania 802.1X

Malé a stredné podniky (MSP) prechádzajú zásadným posunom v oblasti sieťovej bezpečnosti. Éra pevných stolových počítačov a káblového prístupu do kancelárií sa skončila. Dnes dominuje hybridná práca, notebooky pripojené k doméne sa presúvajú medzi domácim a kancelárskym prostredím a cloudové platformy identity, ako napríklad Microsoft Entra ID (Azure AD), stoja v centre IT operácií.

V tomto novom modeli už Wi-Fi nie je len vrstvou pre pohodlie – je to primárna vrstva prístupu k firemným zdrojom.

Zabezpečenie firemného bezdrôtového prístupu už nie je o nastavení silného hesla. Ide o presnú kontrolu identity, stavu zariadenia a segmentácie siete.

• Časť 1: Prečo už tradičné PSK Wi-Fi nestačí
• Časť 2: Zmena v odvetví: Identita je novým sieťovým perimetrom
• Časť 3: Možnosť architektúry 1: Návrh zabezpečenej Wi-Fi siete zameraný na Fortinet
• Časť 4: Možnosť architektúry 2: 802.1X s overovaním certifikátu EAP-TLS
• Časť 5: Dynamická segmentácia VLAN: Riadenie vnútorného pohybu
• Časť 6: PSK vs. 802.1X vs. NAC vs. ZTNA
• Časť 7: Praktický migračný plán
• Časť 8: Plánovanie a obstarávanie infraštruktúry
• Časť 9: Strategický výsledok

Časť 1: Prečo už tradičné PSK Wi-Fi nestačí

Mnoho malých a stredných podnikov sa stále spolieha na Wi-Fi s predzdieľaným kľúčom (PSK) pre interné siete. Hoci sa tento model jednoducho nasadzuje, predstavuje značné riziko.

Nespravovaný prístup k zariadeniam

Keď jedno zdieľané heslo chráni vaše firemné SSID:

• Osobné smartfóny
• Domáce notebooky
• Nezáplatované zariadenia BYOD

všetky sa môžu pripojiť priamo k internej sieti.

Tieto koncové body nespadajú pod firemné zásady opráv, štandardy ochrany koncových bodov a kontroly dodržiavania predpisov.

Riziko bočného pohybu

Ploché siete Wi-Fi umožňujú napadnutým zariadeniam:

• Skenovanie interných rozsahov IP adries
• Vymenovať servery
• Pokus o získanie poverení

Keď sú útočníci vo vnútri, môžu sa pohybovať do strán s minimálnym odporom.

Fragmentované vynucovanie identity

V mnohých prostrediach malých a stredných podnikov:

• Wi-Fi používa PSK
• VPN používa RADIUS
• Cloudové aplikácie používajú Azure AD

Bez jednotnej vrstvy presadzovania identity sa konzistentnosť politík stáva ťažkou a správa životného cyklu sa stáva náchylnou na chyby.

Časť 2: Zmena v odvetví: Identita je novým sieťovým perimetrom

Moderné modely sieťovej bezpečnosti sú postavené na princípoch nulovej dôvery.

Predpoklad je jednoduchý:

Nikdy nedôverujte sieti. Vždy si overte identitu a bezpečnostné nastavenie zariadenia.

Keďže káblové pripojenie v kanceláriách klesá a mobilita notebookov sa zvyšuje, Wi-Fi sa v podstate stáva novým perimetrom.

Pre malé a stredné podniky to znamená, že interný bezdrôtový prístup musí byť riadený:

• Overená identita zariadenia
• Autentifikácia na základe certifikátu
• Segmentácia siete na základe rolí

Časť 3: Možnosť architektúry 1: Návrh zabezpečenej Wi-Fi siete zameraný na Fortinet

Pre malé a stredné podniky, ktoré už používajú infraštruktúru Fortinet, poskytuje Fortinet Security Fabric ucelenú architektúru.

Typické nasadenie môže zahŕňať:

• Firewall novej generácie FortiGate
• Bezdrôtové prístupové body FortiAP
• FortiClient EMS na overenie polohy koncových bodov
• FortiAuthenticator alebo Microsoft NPS pre RADIUS

Táto architektúra umožňuje:

• Centralizovaná správa politík
• Kontroly súladu zariadenia pred prístupom k sieti
• Vynucovanie firewallu na základe identity

Vďaka integrácii FortiClient EMS môžu IT tímy overiť:

• Stav opravy
• Stav ochrany koncových bodov
• Členstvo v doméne

Interný prístup získajú iba kompatibilné zariadenia.

Časť 4: Možnosť architektúry 2: 802.1X s overovaním certifikátu EAP-TLS

Zlatým štandardom pre zabezpečenie podnikových Wi-Fi sietí je štandard 802.1X s overovaním na základe certifikátov (EAP-TLS).

Namiesto spoliehania sa na zdieľané heslá dostane každý notebook s doménou jedinečný certifikát počítača vydaný prostredníctvom služby Active Directory Certificate Services.

Proces overovania

1. Zariadenie sa pripája k firemnému SSID
2. Prístupový bod preposiela požiadavku na autentifikáciu na server RADIUS
3. Certifikát je overený v službe Active Directory
4. Priradenie VLAN sa aplikuje dynamicky.
5. Prístup udelený iba v prípade úspešného overenia totožnosti a politík

Zariadenia bez platných certifikátov sa nemôžu pripojiť – ani keď poznajú SSID.

Tento prístup eliminuje riziko nespravovaných zariadení, ktoré je vlastné sieťam založeným na PSK.

Časť 5: Dynamická segmentácia VLAN: Riadenie vnútorného pohybu

802.1X tiež umožňuje dynamické priradenie VLAN na základe atribútov používateľa alebo zariadenia.

Príklad segmentačného modelu:

Skupina používateľov	Segment siete
Financie	Obmedzená VLAN s prístupom k serveru
IT	VLAN pre správu infraštruktúry
generálny štáb	Štandardná firemná VLAN
Hostia	VLAN iba pre internet

Táto segmentácia výrazne znižuje riziko laterálneho pohybu a zlepšuje pripravenosť na dodržiavanie predpisov.

Časť 6: PSK vs. 802.1X vs. NAC vs. ZTNA

Malé a stredné podniky by mali zavádzať zabezpečenie postupne na základe vyspelosti a zdrojov.

Modelka	zložitosť	Úroveň zabezpečenia	najlepší
PSK + VLAN	Nízky	základné	Veľmi malé tímy
802.1X (EAP-TLS)	stredná	Silné	Rastúce malé a stredné podniky
Integrácia NAC	Vyššia	Veľmi silný	Organizácie zamerané na dodržiavanie predpisov
ZTNA + Validácia koncových bodov	pokročilý	Podniková úroveň	Malé a stredné podniky zamerané na bezpečnosť

Pre väčšinu malých a stredných podnikov predstavuje 802.1X s overovaním certifikátov optimálnu rovnováhu medzi silou zabezpečenia a prevádzkovou zložitosťou.

Časť 7: Praktický migračný plán

Fáza 1: Oddelené firemné a hosťovské siete

• Vytvorte vyhradené SSID pre hostí
• Úplne blokovať prevádzku medzi hosťom a sieťou LAN

Tým sa okamžite zníži expozícia.

Fáza 2: Implementácia overovania 802.1X

• Nasadenie servera RADIUS (NPS alebo FortiAuthenticator)
• Vydávanie certifikátov prostredníctvom skupinovej politiky
• Vynútiť prístup na základe certifikátov

Fáza 3: Pridanie overenia polohy koncového bodu

Integrujte FortiClient EMS alebo podobné nástroje na správu koncových bodov na vynútenie požiadaviek na stav zariadenia pred udelením prístupu k sieti.

Fáza 4: Zavedenie politík nulovej dôvery

• Segmentácia na úrovni aplikácie
• Pravidlá brány firewall založené na identite
• Nepretržité overovanie

Časť 8: Plánovanie a obstarávanie infraštruktúry

Prechod na zabezpečenú Wi-Fi sieť si vyžaduje správnu kombináciu:

• Podnikové firewally
• Bezdrôtové prístupové body
• RADIUS alebo autentifikačné servery
• Spravovaná prepínacia infraštruktúra

Pre malé a stredné podniky a systémových integrátorov, ktorí pracujú v prísnych časových harmonogramoch projektov, môže dostupnosť hardvéru a podpora nasadenia výrazne ovplyvniť rýchlosť zavádzania. Spolupráca so zavedenými dodávateľmi podnikových sietí, ktorí udržiavajú globálne zásoby a poskytujú možnosti od viacerých dodávateľov – vrátane Fortinet, Cisco, Aruba alebo Huawei – môže zefektívniť obstarávanie a skrátiť oneskorenia pri aktualizáciách. Platformy ako napríklad Router-prepínačnapríklad podporujú obstarávanie infraštruktúry s rýchlou logistickou a technickou pomocou pri overovaní, čo umožňuje IT tímom sústrediť sa na architektúru a návrh politík namiesto koordinácie dodávateľského reťazca.

Časť 9: Strategický výsledok

Správne navrhnutá architektúra podnikovej Wi-Fi siete založená na štandarde 802.1X poskytuje:

• Prísne presadzovanie identity
• Znížená útočná plocha
• Riadený bočný pohyb
• Zjednodušené audity súladu
• Zlepšená prevádzková konzistencia

V modernom prostredí malých a stredných podnikov už bezdrôtová sieť nie je len infraštruktúrou pripojenia – je to rovina riadenia zabezpečenia.

Prechodom z prístupu založeného na hesle na autentifikáciu riadenú identitou pomocou integrácie Fortinet a certifikátov 802.1X môžu malé podniky dosiahnuť bezdrôtové zabezpečenie na podnikovej úrovni bez nadmernej zložitosti.

Nulová dôvera nezačína na firewalle.

Začne sa to v momente, keď sa zariadenie pokúsi pripojiť k sieti Wi-Fi.