Verificações de Postura do Dispositivo para Acesso Remoto: O que as Equipas de TI Precisam Saber

Na cibersegurança, as verificações de postura do dispositivo servem para determinar se um endpoint atende aos requisitos de segurança definidos, tanto antes quanto durante o acesso aos recursos da empresa. Para os administradores de sistema que gerenciam conexões remotas, a autenticação bem-sucedida é apenas parte da decisão. De fato, essas verificações levantam questões essenciais de autenticação, desde "Este é o usuário certo?" até "Este dispositivo é suficientemente confiável para se conectar?", passando pelas condições de conexão e pela identidade real do dispositivo.

Trabalhadores remotos podem autenticar-se usando credenciais válidas, mas podem estar a conectar-se a partir de um computador não atualizado, não gerido ou comprometido, tornando a verificação de identidade necessária, mas claramente insuficiente. Verificações da postura do dispositivo ajudam as equipas de TI a avaliar o próprio endpoint e decidir se o acesso deve ser concedido, restrito ou negado.

O que é uma verificação de postura do dispositivo para acesso remoto?

Uma verificação da postura do dispositivo avalia o estado de segurança de um laptop, estação de trabalho ou outro endpoint em relação a requisitos predefinidos. O resultado serve para determinar se esse dispositivo deve ser autorizado a acessar aplicações, desktops ou outros recursos corporativos.

Uma avaliação de postura pode examinar itens como versão do sistema operativo, estado de encriptação, proteção de endpoint e identidade do dispositivo. Por exemplo, a Microsoft descreve políticas de conformidade de dispositivos como regras usadas para determinar se os dispositivos geridos satisfazem as configurações exigidas antes de permitir que o seu estado de conformidade seja utilizado para decisões de acesso.

Isto é marcadamente diferente da autenticação do utilizador. Credenciais corretas provam a identidade da pessoa que está a conectar-se. Uma verificação de postura avalia o sistema a partir do qual essas credenciais estão a ser apresentadas e se cumpre os requisitos de segurança da organização.

Para ambientes de Protocolo de Área de Trabalho Remota, essa distinção é muito importante. Por exemplo: embora autorizado, uma conta que se conecta de um ponto final inseguro pode expor recursos remotos ao roubo de credenciais, malware ou acesso não autorizado. Nosso guia para avaliando a segurança de um computador exposto através do Remote Desktop investiga a postura do endpoint juntamente com a exposição da rede e os controles de conta.

Quais Sinais de Dispositivo as Equipas de TI Devem Verificar?

Não pode haver uma única política de postura de dispositivo universal que sirva para todos. Os sinais devem ser selecionados de acordo com os recursos a serem protegidos, a gestão e a propriedade do dispositivo, e o nível de risco associado ao usuário, à aplicação ou aos dados envolvidos.

Estado do Sistema Operacional e Patches

Um endpoint a executar um sistema operativo obsoleto ou sem atualizações de segurança apresenta um risco maior do que uma estação de trabalho gerida totalmente atualizada. As versões mínimas do sistema operativo e os requisitos de patch fornecem, portanto, verificações de base úteis.

Além disso, as políticas podem ser adaptadas ao tipo de acesso necessário: mais rigorosas para fins administrativos de maior risco do que para usuários comuns de aplicativos ou aqueles que acessam um único aplicativo específico. O objetivo não é coletar todos os atributos de endpoint possíveis, mas identificar condições que afetam materialmente se o acesso deve ser confiável.

Proteção de Endpoint, Firewall e Criptografia

Verificações rigorosas de saúde do dispositivo avaliarão se a proteção de endpoint necessária está em execução e se controles como configuração local de firewall adequada e criptografia de disco apropriada estão ativados. A Detecção e Resposta de Endpoint (EDR), plataformas de gerenciamento de endpoint e similares podem fornecer informações adicionais sobre detecções de malware, níveis de ameaça ou conformidade de configuração.

Estes sinais são particularmente importantes para laptops que operam fora da rede corporativa. Um nome de utilizador e uma palavra-passe válidos não revelam se a proteção de endpoint foi desativada ou se o dispositivo ainda está a reportar corretamente às ferramentas de segurança da organização.

Identidade do Dispositivo, Certificados e Estado de Gestão

Além da saúde do dispositivo, outras questões precisam ser abordadas: as equipes de TI também podem precisar estabelecer com mais precisão qual dispositivo está se conectando.

Certificados de dispositivo, registos de inscrição, identidade do anfitrião e estado de gestão podem ajudar a distinguir os endpoints corporativos conhecidos de computadores desconhecidos ou não geridos. Numa ambiente de Traga o Seu Próprio Dispositivo (BYOD), isso cria uma distinção importante entre "suficientemente saudável" e "autorizado": um portátil pessoal seguro não se torna necessariamente um dispositivo corporativo aprovado.

Quando Deve Ser Verificada a Postura do Dispositivo?

O momento mais óbvio para executar um protocolo de verificação de dispositivo é antes do início do acesso. O endpoint fornece as informações relevantes, que são então avaliadas em relação aos requisitos, e a conexão é, consequentemente, permitida ou bloqueada de acordo.

No entanto, a postura pode mudar durante uma sessão prolongada. Assim, para alguns ambientes, um conjunto de verificações é insuficiente. Um dispositivo pode deixar de estar em conformidade, a proteção de endpoint pode parar ou a telemetria de segurança pode identificar uma nova ameaça. Para mitigar este fato de uma sessão potencialmente sobreviver ao acesso originalmente justificado, arquiteturas mais maduras, portanto, suportam reavaliações periódicas. Elas podem, da mesma forma, estabelecer decisões de acesso acionadas por eventos em vez de tratar o login bem-sucedido como prova permanente de confiança.

A frequência apropriada depende do risco. Contas administrativas e aplicações sensíveis podem justificar uma validação muito mais frequente do que recursos de baixo risco. O princípio importante é que a informação utilizada para tomar uma decisão de acesso não deve permanecer confiável indefinidamente, especialmente se um endpoint evoluir.

O que deve acontecer quando um dispositivo falha na verificação de postura?

A falha nem sempre tem que levar à mesma resposta. As equipas de TI devem decidir com antecedência quais falhas exigem bloqueio imediato e quais podem ser corrigidas e, portanto, exigem remediação.

Uma política prática pode:

• negar acesso por falhas críticas, como quando a proteção de endpoint está ausente ou se um dispositivo for considerado comprometido;
• restringir o acesso quando o status do dispositivo é incerto ou não pode ser verificado;
• informe o usuário qual requisito falhou;
• direcionar o endpoint através de uma atualização, correção ou remediação;
• registar logs da avaliação falhada para investigação; e
• teste e reavalie o dispositivo antes de restaurar o acesso normal.

A resposta deve corresponder ao risco. Um patch em falta ou uma versão desatualizada pode justificar a remediação, enquanto evidências de compromisso ativo devem acionar procedimentos de isolamento e resposta a incidentes.

TSplus Remote Support pode ajudar nesta fase. Os técnicos de suporte podem usar assistência remota assistida ou não assistida para solucionar e remediar problemas de endpoint quando a intervenção administrativa é necessária.

Como se encaixam as verificações de postura do dispositivo com MFA e Zero Trust?

Postura do dispositivo, autenticação multifator (MFA) e Zero Trust abordam questões relacionadas, mas diferentes.

MFA pergunta se a pessoa que solicita acesso pode provar sua identidade através de mais de um fator. A postura do dispositivo acrescenta se o endpoint a partir do qual estão se conectando satisfaz os requisitos de segurança. As permissões então determinam os aplicativos ou sistemas que a combinação específica de usuário + dispositivo deve ter permissão para acessar.

NIST, regulamentação europeia e outros pioneiros em cibersegurança abordam Princípios de Zero Trust A autenticação do usuário e a saúde do dispositivo e autorização são funções discretas realizadas antes de uma nova conexão ser estabelecida em recursos remotos, às vezes invisíveis para os próprios usuários.

Verificações de postura do dispositivo são, portanto, um componente de uma estratégia de acesso em camadas e certamente não um substituto para MFA, permissões ou proteção do lado do servidor. Continue lendo aqui para a nossa cobertura de Zero Trust em identidade, confiança de dispositivo, menor privilégio e monitoramento.

Como as equipas de TI podem aplicar os princípios de postura de dispositivo com TSplus?

Aplicando as funcionalidades do software TSplus para reforçar as verificações de dispositivos

Uma implementação do TSplus é capaz de combinar vários controles em torno da decisão de acesso, enquanto verificações de conformidade de endpoint mais profundas permanecem com certas ferramentas dedicadas projetadas para realizá-las.

TSplus Acesso Remoto fornece acesso controlado de usuários a aplicações e desktops Windows centralizados. A adição do TSplus 2FA fortalece a autenticação do usuário ao exigir uma senha e um código de verificação único baseado em tempo para os métodos de conexão suportados do TSplus Remote Access.

TSplus Advanced Security adiciona outra camada de proteção. Seu recurso de Dispositivos Confiáveis pode associar usuários a nomes de dispositivos especificados e rejeitar logins de dispositivos inválidos. Isso fornece controle de acesso ciente do dispositivo. Outros TSplus Advanced Security as funcionalidades valem a pena explorar na periferia da gestão de Dispositivos.

Medidas de segurança adicionais a implementar

O nível de proteção adicional de um motor de postura completo seria adicional a estes. Eu deveria avaliar o estado das atualizações, a criptografia do disco, a saúde do EDR ou outros sinais de conformidade do endpoint.

Os administradores de sistemas também devem considerar as limitações de implantação ao projetar suas políticas. Dispositivos Confiáveis não são compatíveis com conexões HTML5, e dispositivos móveis podem apresentar limitações adicionais de identificação de nome de host. Esses fatores são importantes ao projetar políticas em torno do acesso web ou móvel.

Informações mais detalhadas sobre a saúde do dispositivo podem, portanto, permanecer sob a responsabilidade da gestão do Windows, EDR, gestão de endpoints ou outras ferramentas de conformidade. O TSplus pode então controlar como os usuários autenticados acessam os recursos publicados e proteger certos aspectos de segurança específicos do servidor de aplicativos. Essa separação permite que as equipes de TI construam uma segurança em camadas sem assumir que a identidade, a saúde do endpoint e a entrega de aplicativos devem vir todos do mesmo sistema.

Visibilidade da rede fornecida pelo software de monitoramento TSplus

TSplus Server Monitoring adiciona visibilidade do lado da infraestrutura ao rastrear o desempenho do servidor, aplicativos e atividade do usuário. Não realiza avaliação da postura do dispositivo cliente, mas pode complementar os controles de acesso com monitoramento operacional uma vez que as cargas de trabalho remotas estejam em execução. Nossa documentação e nosso guia para software de monitoramento de desktop remoto e visibilidade de sessão fornecer mais detalhes. Além disso, a vigilância (e bloqueio) de IP realizada pelo TSplus Advanced Security complementa essa visibilidade e proteção.

Uma Lista de Verificação Prática de Postura de Dispositivos para Administradores de Sistema

Uma política de postura que comece com um pequeno número de verificações que os administradores possam aplicar de forma consistente será certamente mais fácil de operar. Para um ambiente de acesso remoto orientado para Windows, considere as seguintes questões:

1. O endpoint está a correr um sistema operativo suportado e devidamente atualizado?
2. Está ativo o antivírus, EDR ou outra proteção de endpoint necessária?
3. Estão as configurações essenciais de firewall e criptografia configuradas em conformidade com a política da empresa?
4. O endpoint está registrado como um dispositivo reconhecido ou gerido?
5. O endpoint tem um status de conformidade ou ameaça aceitável?
6. O utilizador está protegido por controlos de autenticação apropriados?

O limiar exato deve refletir a sensibilidade do recurso e variar em consequência. As sessões administrativas devem normalmente enfrentar requisitos mais rigorosos do que o acesso comum a uma única aplicação empresarial publicada.

Construa a Confiança do Dispositivo em Cada Decisão de Acesso Remoto

A segurança do acesso remoto não deve parar quando uma senha é aceita. As verificações de postura do dispositivo fornecem informações sobre a condição do endpoint e a identidade essenciais para a decisão de acesso, ajudando os administradores de sistema a distinguir credenciais legítimas de uma fonte de conexão que é realmente segura para confiar de um potencial risco de segurança.

TSplus Remote Access, Advanced Security e 2FA podem fazer parte dessa arquitetura em camadas, fornecendo vários dos controles de acesso e identidade em torno dessa decisão. Enquanto isso, ferramentas de gerenciamento e segurança de endpoints fornecem sinais mais profundos de saúde do dispositivo e conformidade, quando necessário.

O resultado final é um modelo de decisão mais defensável, no qual a equipe de TI pode avaliar usuários, dispositivos e recursos em conjunto e de acordo com seu risco real, não apenas uma vez, mas de forma recorrente.