NAC: Network Access Control para Redes Seguras
Imagine um porteiro de um prédio de alta segurança que deixa qualquer pessoa entrar, desde que ela não esteja carregando uma arma visível. Parece absurdo, mas é exatamente assim que redes sem NAC (Network Access Control) operam. Se um funcionário conecta um notebook infectado na porta Ethernet da sala de reunião ou se um dispositivo IoT vulnerável entra na Wi-Fi, a rede inteira está em risco. O NAC é o mecanismo de segurança que transforma a rede de um ambiente “permissivo” para um ambiente de “acesso verificado”.
Para administradores de rede e equipes de segurança (SecOps), o NAC não é apenas sobre autenticação (quem é você?), mas sobre postura (você é seguro?). Em tempos de BYOD (Bring Your Own Device) e Shadow IT, ter visibilidade total e controle automatizado sobre o que está conectado ao seu switch ou Access Point é o requisito mínimo para evitar a propagação lateral de ransomware.
O Que é NAC? A Tríade AAA na Borda
Tecnicamente, o NAC é uma solução de orquestração de políticas de segurança que opera na camada de acesso da rede. Ele implementa o conceito de AAA (Authentication, Authorization, Accounting) antes mesmo de o dispositivo obter um endereço IP válido ou falar com outros hosts.
Um sistema NAC robusto responde a três perguntas críticas em tempo real:
- Quem é? (Autenticação via 802.1X, MAC Address ou Portal Captivo).
- O que é? (Fingerprinting: É uma impressora? Um iPhone? Um PC corporativo?).
- Está saudável? (Postura: O antivírus está rodando? O Windows está atualizado?).
Se qualquer uma dessas respostas for insatisfatória, o NAC isola o dispositivo em uma VLAN de quarentena ou bloqueia a porta do switch instantaneamente.
Mecanismos de Controle: 802.1X, MAB e WebAuth
Implementar NAC exige entender os protocolos de comunicação entre o switch/AP e o servidor de políticas (geralmente RADIUS/TACACS+).
802.1X (O Padrão Ouro)
É o método mais seguro. O dispositivo (Supplicant) deve apresentar credenciais (certificado digital ou usuário/senha) para o switch (Authenticator), que as valida contra o servidor NAC (Authentication Server). Até que a validação ocorra, a porta permanece bloqueada para qualquer tráfego exceto EAPOL.
MAC Authentication Bypass (MAB)
Para dispositivos “burros” que não suportam 802.1X (impressoras, câmeras IP, sensores IoT), utilizamos o MAB. O switch envia o endereço MAC do dispositivo para o NAC. Embora menos seguro (MACs podem ser clonados), é essencial para a operacionalidade de dispositivos legados.
Web Authentication (Portal Captivo)
Comumente usado para redes de convidados (Guest). O usuário é redirecionado para uma página web para aceitar termos de uso ou inserir credenciais temporárias.
Postura e Validação de Conformidade
A grande “mágica” do NAC moderno está na avaliação de postura. Não basta ter a senha da Wi-Fi.
O NAC pode exigir a instalação de um agente (persistente ou dissolvível) no endpoint para verificar conformidade.
Cenário Prático: Um diretor volta de férias e conecta seu notebook na rede. O NAC detecta que as definições de antivírus estão desatualizadas há 30 dias. Em vez de permitir acesso à rede financeira, o NAC move esse notebook para uma VLAN de remediação, onde ele só tem acesso ao servidor de atualizações do antivírus. Assim que atualizado, o acesso total é restaurado automaticamente.
NAC e a Resposta a Incidentes (Integração com SIEM/EDR)
O NAC não deve ser uma ilha. Ele deve ser o “braço armado” do seu SOC (Security Operations Center).
Ao integrar o NAC com plataformas de monitoramento e EDR (Endpoint Detection and Response):
1. O EDR detecta um comportamento de Ransomware no “PC-01”.
2. O EDR envia um alerta para o NAC (via API ou Syslog).
3. O NAC envia um comando CoA (Change of Authorization) para o switch.
4. A porta do “PC-01” é desligada ou movida para quarentena em segundos.
Essa automação reduz o tempo de contenção de horas para milissegundos, impedindo que a ameaça se espalhe pela rede enquanto o analista dorme.
NAC vs. Zero Trust: Concorrentes ou Aliados?
É comum a confusão entre NAC e Zero Trust Architecture. Eles não são excludentes; são complementares.
- NAC: Protege o acesso à Rede. Garante que apenas dispositivos autorizados se conectem à infraestrutura física/Wi-Fi.
- Zero Trust: Protege o acesso à Aplicação. Garante que, mesmo estando na rede, o usuário só acesse os dados que precisa.
O NAC é, frequentemente, o primeiro passo para uma estratégia Zero Trust, fornecendo a visibilidade de dispositivos (Asset Inventory) necessária para criar políticas de acesso granulares.
Conclusão
O NAC é a autoridade que transforma sua infraestrutura de rede passiva em uma linha de defesa ativa. Sem ele, sua rede é uma “praça pública”: qualquer um entra, conecta e navega.
Para gestores de TI, a implementação de NAC oferece o benefício duplo de segurança reforçada e conformidade (Compliance) automatizada. Saber exatamente o que está na sua rede em qualquer momento não é mais um luxo de grandes corporações, mas um requisito básico de higiene cibernética.
