WiFi em Conformidade com PCI: Um Guia de Segurança Multi-site
Published
A maioria dos guias de PCI DSS para WiFi limita-se a dizer “crie um SSID de convidados”. Este conselho é demasiado superficial para passar num teste de auditoria real. O âmbito do PCI não é decidido pelo nome da rede, é decidido pelos caminhos de tráfego, conetividade e provas de que o ambiente de dados de titulares de cartões permanece isolado.
Se um sistema sem fios consegue alcançar os sistemas de pagamento, ou se não consegue provar que não alcança, ele faz parte da discussão. As diretrizes do PCI tratam o WiFi como uma preocupação de segurança de pagamentos há anos, e a regra fundamental não mudou - o âmbito segue o fluxo de dados, não as etiquetas (Diretrizes de WiFi PCI). Isso significa que um SSID de convidados, um SSID corporativo e uma VLAN "temporária" são todos irrelevantes se o caminho subjacente ainda tocar no CDE.
Índice
- Por que o Guest WiFi não está automaticamente fora do escopo PCI
- Provar a segmentação sem fios com evidências que o avaliador aceite
- Escolher o modelo de autenticação certo para PCI sem fios
- VLANs orientadas por identidade, Cloud RADIUS e criptografia forte
- Registo, monitorização e deteção de Access Points não autorizados
- Playbook de remediação para as descobertas de PCI sem fios mais comuns
- O que os avaliadores perguntam sobre redes sem fios
Por Que Razão o WiFi de Convidados Não Está Automaticamente Fora do Scope PCI
Um SSID de convidados separado não torna o WiFi seguro por predefinição, e uma VLAN separada também não o resolve. O âmbito do PCI só é removido quando a rede sem fios está segmentada do ambiente de dados de titulares de cartões (CDE) e essa separação é imposta no caminho, e não apenas na etiqueta. O PCI-DSS 4.0.1 exige controlos de segurança de rede entre todas as redes sem fios e o CDE, com o tráfego sem fios negado por predefinição e apenas o tráfego com justificação de negócio permitido (Diretrizes de WiFi PCI).
O nome do SSID não é o controlo
Um ponto de acesso, controlador ou switch comprometido ainda pode criar uma ponte para a rede de pagamentos se a rota existir. "Guest WiFi" é uma descrição de intenção. Não é um controlo que um avaliador possa verificar.
Regra prática: se não consegue mostrar onde o tráfego para, não demonstrou a segmentação.
A parte difícil é provar o isolamento. As orientações da PCI também alertam para que não se assuma que a tecnologia sem fios é inofensiva apenas porque os sistemas de pagamento não estão intencionalmente ligados a ela, e exigem uma verificação periódica para garantir que não foi introduzida tecnologia sem fios não autorizada.
O que decide o escopo
A questão é direta: algum caminho de tráfego dessa rede sem fios pode alcançar o CDE? Se puder, a rede está no âmbito. Se não puder, ainda precisa de evidências de que o bloqueio é real, aplicado e monitorizado.
Essa evidência é ainda mais importante em ambientes com vários locais, onde pontos de acesso, switches, firewalls, câmaras, caixas registadoras e dispositivos da equipa partilham a mesma infraestrutura. Um nome de SSID apelativo não ajudará se o encaminhamento, as políticas do controlador ou um uplink de switch partilhado deixarem um caminho oculto aberto. Uma comparação útil é a abordagem de três SSIDs da Purple Access, que trata a identidade e a função de rede de forma separada do próprio rótulo do SSID.
Provar a Segmentação Sem Fios Com Evidências que o Avaliador Aceitará
A segmentação só é válida quando a consegue comprovar no tráfego de rede. Comece pela firewall, não pelo painel de controlo. As diretrizes PCI exigem que os controlos de segmentação bloqueiem o tráfego entre redes sem fios e o CDE, além de exigirem testes de intrusão à segmentação pelo menos uma vez por ano e sempre que ocorram alterações significativas na rede, firewall, controlador, VLAN, identidade ou aplicações de pagamento.
Construa a cadeia de evidências
Utilize sempre o mesmo padrão de evidência, para que o avaliador veja um controlo repetível e não uma captura de ecrã pontual. Anexe o registo do inventário de APs utilizado no teste e, em seguida, mostre o estado do firewall, do switch e do controlador no momento do teste. Compare isso regularmente com os dados do controlador, dados do switch, registos DHCP e resultados de deteção de intrusões sem fios. Para a validação do lado do switch, as recomendações de configuração de switches de rede da IT Cloud Global são uma referência útil.
Uma regra de firewall no papel não é suficiente. Precisa de provas de que o caminho implementado bloqueia o tráfego.
Os testes negativos são importantes. Teste a ligação de APs não autorizados (rogue AP bridging), associação de clientes não autorizada, VLAN hopping, acessos administrativos fracos e acessos acidentais a terminais de pagamento. Se um teste apenas confirmar que a regra existe, não é um teste de segmentação. É uma captura de ecrã da configuração.
O que verificar antes e depois das alterações
Uma alteração na rede pode invalidar evidências limpas de um dia para o outro. Execute novamente os testes após atualizações do controlador, alterações no firewall, reformulações de VLAN, mudanças de identidade ou alterações na aplicação de pagamento. Não espere pela época da auditoria anual para detetar desvios.
Se procura uma forma prática de pensar na higiene de switches e controladores, a orientação no design de segmentação sem fios com três SSIDs é um complemento útil, pois a mesma disciplina operacional aplica-se à evidência de segmentação. O objetivo é demonstrar que as políticas de encaminhamento, switching e firewall estão alinhadas com o isolamento pretendido.
Quando redigir isto para um avaliador, mantenha os artefactos juntos: plano de testes, resultados dos testes, notas de remediação e evidências de novos testes. Esse conjunto transforma "achamos que está isolado" em "provámos que está isolado."
Escolher o Modelo de Autenticação Correto para WiFi PCI
As palavras-passe partilhadas são a resposta mais fraca aceitável e, geralmente, a mais fácil de falhar em operações reais. A equipa muda. Os prestadores de serviços saem. Os concessionários alternam. Uma PSK mantida durante demasiado tempo torna-se uma vulnerabilidade, mesmo que o próprio sinal sem fios esteja segmentado. Para ambientes PCI, a autenticação tem de suportar acesso único, revogação direcionada e um mapeamento claro de identidades.
Aqui está a comparação direta.
| Modelo | Risco de segredo partilhado | Revogação por dispositivo | Mapeamento de identidade para VLAN | Adequação ao PCI 4.0.1 |
|---|---|---|---|---|
| PSK partilhado | Elevado, um segredo é partilhado por vários utilizadores ou dispositivos | Fraca, alterar um utilizador geralmente significa alterar toda a chave | Limitado, a identidade fica desfocada | Fraco para pessoal e redes operacionais |
| WPA2-Enterprise com EAP-TLS | Baixo, as credenciais estão associadas a certificados nos dispositivos | Forte, um certificado pode ser revogado sem reconstruir a WLAN | Forte, o RADIUS pode mapear utilizadores e dispositivos para a política | Forte adequação para acesso do pessoal |
| xPSK por dispositivo | Mais baixo do que PSK partilhado, cada dispositivo ou cliente obtém a sua própria chave | Forte, uma chave pode ser removida sem afetar as outras | Boa, a identidade pode orientar a política e a revogação | Forte adequação para BYOD, IoT, concessões |
O WPA2-Enterprise com EAP-TLS é o modelo mais limpo para o pessoal. Concede-lhe confiança baseada em certificados e elimina a complicação dos segredos partilhados que os auditores detestam. Para BYOD, IoT ou dispositivos de concessão, os xPSKs por dispositivo ou por cliente são uma solução operacional mais adequada, pois permitem revogar um dispositivo sem comprometer toda a rede.
Regra operacional: se não consegue revogar um dispositivo sem alterar o acesso de todos os outros, o modelo é demasiado genérico.
Para um design baseado em identidade, vale a pena consultar a página de redes baseadas em identidade da Purple Access, pois estrutura o acesso sem fios em torno da identidade do utilizador e do dispositivo, em vez de uma única credencial partilhada. Esse é o modelo mental correto para o pci compliance wifi numa infraestrutura com múltiplos locais.
O WiFi de convidados deve permanecer num caminho dedicado sem rota para o CDE. O acesso da equipa deve utilizar certificados. Tudo o resto deve ser explícito, revogável e auditável.
VLANs Baseadas em Identidade, RADIUS na Nuvem e Criptografia Forte
A autenticação só ajuda quando o RADIUS mapeia a identidade para o segmento correto. No design sem fios PCI, o caminho de controlo vai do repositório de identidades para o RADIUS, depois para a VLAN e para a política de firewall, e cada passagem precisa de ser verificável.
A identidade tem de ir ter ao local correto
O aprovisionamento suportado por diretórios através de sistemas como o Microsoft Entra ID, Okta ou Google Workspace mantém as entradas, alterações de funções e saídas de colaboradores alinhadas com as políticas. Se a identidade mudar, mas a atribuição de VLAN não, a rede continuará a tratar o utilizador antigo como se nada tivesse mudado.
Para a camada de comutação subjacente, consulte configuração de VLAN para pequenas empresas, que abrange a configuração de portas trunk e de acesso que transportam estes segmentos atribuídos por RADIUS.
O Cloud RADIUS adapta-se a este modelo quando necessita de autenticação consistente em todas as regiões ou locais. O Cloud RADIUS da Purple Access associa o encaminhamento baseado na identidade ao SSID e VLAN corretos, com registo de auditoria e suporte de revogação. Isto mantém o acesso sem fios associado à identidade atual e não a listas MAC estáticas.
A criptografia forte faz parte da história do scope
As diretrizes sem fios do PCI tratam as redes sem fios como redes públicas para a transmissão de dados do titular do cartão, pelo que o tráfego PAN necessita de criptografia forte, como TLS, IPsec ou WPA2-AES (Diretrizes Sem Fios PCI). "WiFi seguro" não é o mesmo que WiFi em conformidade. A escolha do método de criptografia tem de corresponder aos dados que se movem na ligação.
A integração baseada em certificados através de MDM mantém as chaves privadas fora de palavras-passe partilhadas e proporciona aos dispositivos dos colaboradores um modelo de confiança mais limpo. Para ambientes mistos, utilize certificados para os colaboradores, xPSKs para dispositivos que não conseguem executar uma autenticação empresarial completa e acesso de convidados num caminho que nunca atinja os sistemas de pagamento.
Registo de Logs, Monitorização e Deteção de Access Points Falsos
Uma política por escrito de proibição de WiFi não elimina a obrigação de deteção de pontos de acesso não autorizados. O PCI espera que as organizações gerenciem pontos de acesso sem fios autorizados e não autorizados, pelo que o controlo tem de ser ativo e não apenas documentado.
O ciclo de monitorização que funciona
Comece com um inventário de APs aprovado e, em seguida, trate-o como um registo de controlo ativo. Inclua o proprietário, localização, endereço de hardware, SSIDs, controlador, firmware e se o AP consegue aceder ao CDE. Execute a comparação de inventário numa cadência semanal fixa e guarde o histórico das diferenças, porque o avaliador irá perguntar quando foi executada a última comparação e o que foi encontrado.
Compare esse inventário com os dados do controlador, do switch, do DHCP e do sistema de deteção de intrusões sem fios. Depois, procure desvios: um novo BSSID, um dispositivo movido, uma incompatibilidade de firmware ou um AP que aparece numa fonte, mas não nas outras.
Se detetar um BSSID desconhecido, investigue-o. Valide o dispositivo fisicamente, classifique-o e coloque-o em quarentena ou remova-o caso não esteja autorizado. Guarde o alerta, as notas de investigação e as provas de resolução. O avaliador pretende um histórico claro e não uma frase a dizer que o problema foi tratado.
Um ciclo prático de monitorização de redes sem fios deve ser assim:
- Inventário primeiro: mantenha a lista aprovada atualizada, incluindo a propriedade e a localização.
- Validação cruzada agendada: compare os dados do controlador, switch, DHCP e WIDS todas as semanas.
- Escalamento de desconhecidos: investigue qualquer BSSID ou AP que não corresponda ao inventário.
- Validação presencial: confirme o dispositivo fisicamente antes de o classificar.
- Corrija e retenha: coloque em quarentena ou remova o dispositivo, e depois mantenha o histórico de alertas e os registos de comparação.
Não se esqueça do padrão de diagramação
Os diagramas sem fios devem mostrar a localização dos controlos de segurança e todas as ligações relevantes, incluindo WLANs fora do âmbito. Um avaliador precisa de ver como a estrutura sem fios se relaciona com o CDE, e não apenas onde os SSIDs transmitem.
Se a sua monitorização apenas reporta o que pretendia implementar, não detetará o que realmente surgiu no terreno.
Manual de Remediação para as Descobertas Mais Comuns em PCI Sem Fios
A maioria das conclusões relativas a redes sem fios repete-se porque as equipas corrigem os sintomas em vez de resolverem a falha de controlo. Restauram um diagrama, alteram uma palavra-passe ou aplicam uma correção num controlador e, em seguida, param antes de reconstruir a cadeia de evidências. É por isso que os mesmos problemas continuam a surgir em auditorias de múltiplos locais.
Corrija a falha e, em seguida, comprove a correção
Se a segmentação falhar após uma alteração de rede, execute novamente os testes de isolamento e registe o resultado. Se a equipa ainda partilhar uma palavra-passe, migre os utilizadores para certificados ou chaves por dispositivo. Se as configurações do controlador ou do switch se alterarem em relação ao padrão definido, corrija-as de acordo com a política e guarde o novo registo com uma data associada.
Um caminho administrativo fraco no controlador ou no switch necessita do mesmo tratamento. Feche-o e, em seguida, prove que está fechado a partir do mesmo ponto de vista que um atacante utilizaria. O assessor não quererá saber se a ACL pretendida existe se o caminho ativo continuar a ter fugas.
Priorize o backlog pelo impacto na auditoria
- Prove a segmentação após qualquer alteração na rede. Esta é a correção de maior valor porque responde à questão central do PCI: o acesso sem fios consegue alcançar o CDE?
- Substitua palavras-passe partilhadas. O acesso partilhado é difícil de revogar de forma limpa e fácil de gerir mal à escala.
- Atualize o firmware e as configurações. O desvio de configuração é onde o design em conformidade de ontem se torna na exposição de hoje.
- Documente a resposta a APs não autorizados (rogue). Se a resposta não for registada, o controlo parece imaginário.
- Reaudite e feche as conclusões. Cada correção precisa de evidências de reteste, caso contrário não está fechada.
A melhor evidência de remediação é simples e direta. Mostra a alteração, o teste, o resultado e a data. É nisso que os auditores confiam.
O Que os Auditores Perguntam Sobre Redes Sem Fios
O WiFi de convidados não remove o âmbito do PCI por si só. Os avaliadores procuram provas de que o tráfego sem fios não consegue alcançar o CDE na prática, e não apenas num diagrama de rede.
Eles querem evidências, não rótulos. Isso significa regras de firewall, revisões de encaminhamento, capturas do controlador e do switch, testes de pacotes e registos que demonstrem que o tráfego é bloqueado ou confinado conforme projetado. Um SSID separado só é útil se o caminho ativo o suportar.
Também verificam o histórico de novos testes. O teste de segmentação sem fios deve ser repetido após alterações significativas na rede, firewall, controlador, VLAN, identidade ou aplicações de pagamento, e o assessor esperará ver as evidências do teste mais recente.
Após uma alteração no controlador ou na firewall, execute novamente os testes sem fios e mantenha os resultados anteriores e posteriores juntos. Se o controlo mudou, a evidência tem de mudar com ele.
As configurações multilocalização atraem um escrutínio adicional. A infraestrutura partilhada pode esbater o tráfego de convidados, pessoal e pagamentos, pelo que os avaliadores pedem normalmente o mapeamento de identidades, provas de segmentação e monitorização em tempo real em todos os locais. Também solicitam comummente os registos das últimas três investigações de AP não autorizados e a prova de que a alteração mais recente do firewall foi testada novamente.
O Purple Access ajuda a modelar o acesso sem fios em torno da identidade, a segmentar utilizadores e dispositivos com políticas orientadas por RADIUS e a manter a evidência de auditoria num único local. Se está a reforçar o pci compliance wifi em múltiplos locais, visite o Purple Access e analise como as suas ferramentas de Cloud RADIUS, xPSK e recolha de evidências se enquadram num design sem fios controlado.
