Verificações de Postura do Dispositivo para Acesso Remoto: O que as Equipes de TI Precisam Saber

Na cibersegurança, verificações de postura de dispositivos servem para determinar se um endpoint atende aos requisitos de segurança definidos, tanto antes quanto durante o acesso aos recursos da empresa. Para os administradores de sistema que gerenciam conexões remotas, a autenticação bem-sucedida é apenas parte da decisão. De fato, tais verificações levantam questões essenciais de autenticação, desde "Este é o usuário certo?" até "Este dispositivo é confiável o suficiente para se conectar?", passando pelas condições de conexão e pela identidade real do dispositivo.

Trabalhadores remotos podem se autenticar usando credenciais válidas, mas podem estar se conectando de um computador não corrigido, não gerenciado ou comprometido, tornando a verificação de identidade necessária, mas claramente insuficiente. Verificações de postura do dispositivo ajudam as equipes de TI a avaliar o endpoint em si e decidir se o acesso deve ser concedido, restrito ou negado.

O que é uma verificação de postura do dispositivo para acesso remoto?

Uma verificação de postura do dispositivo avalia o estado de segurança de um laptop, estação de trabalho ou outro endpoint em relação a requisitos predefinidos. O resultado serve para determinar se esse dispositivo deve ser autorizado a acessar aplicativos, desktops ou outros recursos corporativos.

Uma avaliação de postura pode examinar itens como versão do sistema operacional, status de criptografia, proteção de endpoint e identidade do dispositivo. Por exemplo, a Microsoft descreve políticas de conformidade de dispositivos como regras usadas para determinar se dispositivos gerenciados atendem às configurações exigidas antes de permitir que seu status de conformidade seja usado para decisões de acesso.

Isso é marcadamente diferente da autenticação do usuário. Credenciais corretas provam a identidade da pessoa que está se conectando. Uma verificação de postura avalia o sistema a partir do qual essas credenciais estão sendo apresentadas e se atende aos requisitos de segurança da organização.

Para ambientes de Protocolo de Área de Trabalho Remota, essa distinção é muito importante. Por exemplo: embora autorizado, uma conta conectando de um ponto final inseguro pode expor recursos remotos ao roubo de credenciais, malware ou acesso não autorizado. Nosso guia para avaliando a segurança de um computador exposto através do Remote Desktop investiga a postura do endpoint juntamente com a exposição da rede e os controles de conta.

Quais sinais de dispositivo as equipes de TI devem verificar?

Não pode haver uma única política de postura de dispositivo universal que sirva para todos. Os sinais devem ser selecionados de acordo com os recursos sendo protegidos, a gestão e a propriedade do dispositivo, e o nível de risco associado ao usuário, aplicativo ou dados envolvidos.

Sistema Operacional e Status de Atualização

Um endpoint executando um sistema operacional obsoleto ou sem atualizações de segurança apresenta um risco maior do que uma estação de trabalho gerenciada totalmente atualizada. Portanto, as versões mínimas do sistema operacional e os requisitos de patch fornecem verificações de base úteis.

Além disso, as políticas podem ser adaptadas ao tipo de acesso necessário: mais rigorosas para fins administrativos de maior risco do que para usuários comuns de aplicativos ou aqueles que acessam um único aplicativo específico. O objetivo não é coletar todos os atributos de endpoint possíveis, mas identificar condições que afetam materialmente se o acesso deve ser confiável.

Proteção de Endpoint, Firewall e Criptografia

Verificações rigorosas de saúde do dispositivo avaliarão se a proteção de endpoint necessária está em execução e se controles como configuração local de firewall adequada e criptografia de disco apropriada estão habilitados. Plataformas de gerenciamento de endpoint, como Detecção e Resposta de Endpoint (EDR), podem fornecer informações adicionais sobre detecções de malware, níveis de ameaça ou conformidade de configuração.

Esses sinais são particularmente importantes para laptops que operam fora da rede corporativa. Um nome de usuário e senha válidos não revelam se a proteção de endpoint foi desativada ou se o dispositivo ainda está relatando corretamente às ferramentas de segurança da organização.

Identidade do Dispositivo, Certificados e Status de Gerenciamento

Além da saúde do dispositivo, outras questões precisam ser abordadas: as equipes de TI também podem precisar estabelecer com mais precisão qual dispositivo está se conectando.

Certificados de dispositivo, registros de inscrição, identidade do host e status de gerenciamento podem ajudar a distinguir endpoints corporativos conhecidos de computadores desconhecidos ou não gerenciados. Em um ambiente de Traga Seu Próprio Dispositivo (BYOD), isso cria uma distinção importante entre "suficientemente saudável" e "autorizado": um laptop pessoal seguro não se torna necessariamente um dispositivo corporativo aprovado.

Quando a postura do dispositivo deve ser verificada?

O momento mais óbvio para executar um protocolo de verificação de dispositivo é antes que o acesso comece. O endpoint fornece as informações relevantes, que são então avaliadas em relação aos requisitos, e a conexão é, consequentemente, permitida ou bloqueada de acordo.

No entanto, a postura pode mudar durante uma sessão de longa duração. Assim, para alguns ambientes, um conjunto de verificações é insuficiente. Um dispositivo pode ficar fora de conformidade, a proteção de endpoint pode parar ou a telemetria de segurança pode identificar uma nova ameaça. Para mitigar esse fato de uma sessão potencialmente sobreviver ao acesso originalmente justificado, arquiteturas mais maduras, portanto, suportam reavaliações periódicas. Elas podem, da mesma forma, estabelecer decisões de acesso acionadas por eventos em vez de tratar o login bem-sucedido como prova permanente de confiança.

A frequência apropriada depende do risco. Contas administrativas e aplicações sensíveis podem justificar uma validação muito mais frequente do que recursos de baixo risco. O princípio importante é que as informações usadas para tomar uma decisão de acesso não devem permanecer confiáveis indefinidamente, especialmente se um endpoint evoluir.

O que deve acontecer quando um dispositivo falha em uma verificação de postura?

A falha nem sempre precisa levar à mesma resposta. As equipes de TI devem decidir com antecedência quais falhas exigem bloqueio imediato e quais podem ser corrigidas e, portanto, exigem remediação.

Uma política prática pode:

• negar acesso para falhas críticas, como quando a proteção de endpoint está ausente ou se um dispositivo for considerado comprometido;
• restrinja o acesso quando o status do dispositivo for incerto ou não puder ser verificado;
• informe ao usuário qual requisito falhou;
• direcione o endpoint através de uma atualização, correção ou remediação;
• registra logs da avaliação falhada para investigação; e
• teste e reavalie o dispositivo antes de restaurar o acesso normal.

A resposta deve corresponder ao risco. Um patch ausente ou uma versão desatualizada pode justificar a remediação, enquanto evidências de comprometimento ativo devem acionar procedimentos de isolamento e resposta a incidentes.

TSplus Remote Support pode ajudar nesta fase. Os técnicos de suporte podem usar assistência remota atendida ou não atendida para solucionar e remediar problemas de endpoint quando a intervenção administrativa é necessária.

Como as verificações de postura de dispositivos se encaixam com MFA e Zero Trust?

Postura do dispositivo, autenticação multifatorial (MFA) e Zero Trust abordam questões relacionadas, mas diferentes.

MFA pergunta se a pessoa que solicita acesso pode provar sua identidade por meio de mais de um fator. A postura do dispositivo acrescenta se o endpoint a partir do qual estão se conectando atende aos requisitos de segurança. As permissões então determinam os aplicativos ou sistemas que a combinação específica de usuário + dispositivo deve ter permissão para acessar.

NIST, regulamentação europeia e outros pioneiros em cibersegurança abordam Princípios de Zero Trust A autenticação do usuário e a saúde do dispositivo e autorização são funções discretas realizadas antes de uma nova conexão ser estabelecida em recursos remotos, às vezes invisíveis para os próprios usuários.

Verificações de postura do dispositivo são, portanto, um componente de uma estratégia de acesso em camadas e certamente não substituem a MFA, permissões ou proteção do lado do servidor. Continue lendo aqui para nossa cobertura de Zero Trust em identidade, confiança de dispositivo, menor privilégio e monitoramento.

Como as equipes de TI podem aplicar os princípios de postura de dispositivo com TSplus?

Aplicando os recursos do software TSplus para reforçar as verificações de dispositivos

Uma implantação do TSplus é capaz de combinar vários controles em torno da decisão de acesso, enquanto verificações de conformidade de endpoint mais profundas permanecem com certas ferramentas dedicadas projetadas para realizá-las.

TSplus Acesso Remoto fornece acesso controlado de usuários a aplicativos e desktops Windows centralizados. A adição do TSplus 2FA fortalece a autenticação do usuário, exigindo uma senha e um código de verificação único baseado em tempo para os métodos de conexão suportados do TSplus Remote Access.

TSplus Advanced Security adiciona outra camada de proteção. Seu recurso Dispositivos Confiáveis pode associar usuários a nomes de dispositivos especificados e rejeitar logins de dispositivos inválidos. Isso fornece controle de acesso ciente do dispositivo. Outros TSplus Advanced Security os recursos valem a pena serem explorados na periferia da gestão de dispositivos.

Medidas de segurança adicionais a serem implementadas

O nível de proteção adicional de um mecanismo de postura completo seria adicional a esses. Eu deveria avaliar o status de patch, a criptografia de disco, a saúde do EDR ou outros sinais de conformidade de endpoint.

Os administradores de sistema também devem considerar as limitações de implantação ao projetar suas políticas. Dispositivos Confiáveis não são compatíveis com conexões HTML5, e dispositivos móveis podem apresentar limitações adicionais de identificação de nome de host. Esses fatores são importantes ao projetar políticas em torno do acesso web ou móvel.

Informações mais detalhadas sobre a saúde do dispositivo podem, portanto, permanecer sob a responsabilidade da gestão do Windows, EDR, gerenciamento de endpoints ou outras ferramentas de conformidade. O TSplus pode então controlar como os usuários autenticados acessam os recursos publicados e proteger certos aspectos de segurança específicos do servidor de aplicativos. Essa separação permite que as equipes de TI construam segurança em camadas sem assumir que identidade, saúde do endpoint e entrega de aplicativos devem vir todos do mesmo sistema.

Visibilidade da rede fornecida pelo software de monitoramento TSplus

TSplus Server Monitoring adiciona visibilidade do lado da infraestrutura ao rastrear o desempenho do servidor, aplicativos e atividade do usuário. Ele não realiza avaliação da postura do dispositivo do cliente, mas pode complementar os controles de acesso com monitoramento operacional uma vez que as cargas de trabalho remotas estejam em execução. Nossa documentação e nosso guia para software de monitoramento de desktop remoto e visibilidade de sessão fornecer mais detalhes. Além disso, a vigilância (e bloqueio) de IP realizada pelo TSplus Advanced Security complementa essa visibilidade e proteção.

Uma Lista de Verificação Prática de Postura de Dispositivos para Administradores de Sistema

Uma política de postura que comece com um pequeno número de verificações que os administradores possam aplicar de forma consistente certamente será mais fácil de operar. Para um ambiente de acesso remoto orientado para Windows, considere as seguintes perguntas:

1. O endpoint está executando um sistema operacional suportado e adequadamente atualizado?
2. O antivírus, EDR ou outra proteção de endpoint necessária está ativa?
3. Estão as configurações essenciais de firewall e criptografia configuradas em conformidade com a política da empresa?
4. O endpoint está registrado como um dispositivo reconhecido ou gerenciado?
5. O endpoint possui um status de conformidade ou ameaça aceitável?
6. O usuário está protegido por controles de autenticação apropriados?

O limite exato deve refletir a sensibilidade do recurso e variar em consequência. As sessões administrativas devem normalmente enfrentar requisitos mais rigorosos do que o acesso comum a uma única aplicação empresarial publicada.

Construa a Confiança do Dispositivo em Cada Decisão de Acesso Remoto

A segurança do acesso remoto não deve parar quando uma senha é aceita. As verificações de postura do dispositivo fornecem informações sobre a condição do endpoint e a identidade, essenciais para a decisão de acesso, ajudando os administradores de sistema a distinguir credenciais legítimas de uma fonte de conexão que é realmente segura para confiar de um potencial risco de segurança.

TSplus Remote Access, Advanced Security e 2FA podem fazer parte dessa arquitetura em camadas, fornecendo vários dos controles de acesso e identidade em torno dessa decisão. Enquanto isso, ferramentas de gerenciamento e segurança de endpoints fornecem sinais mais profundos de saúde e conformidade do dispositivo, quando necessário.

O resultado final é um modelo de decisão muito mais defensável, no qual a equipe de TI pode avaliar usuários, dispositivos e recursos em conjunto e de acordo com seu risco real, não apenas uma vez, mas de forma recorrente.