Segurança de redes corporativas: Wi-Fi, segmentação e NAC

A filosofia do Zero Trust diz que não se deve confiar na rede pela simples razão de um dispositivo estar dentro dela. Ótimo princípio. Mas princípio não se implanta sozinho: alguém precisa configurar o Wi-Fi, desenhar as VLANs, ligar o controle de acesso e decidir onde a câmera de segurança e a impressora podem falar. Este guia é sobre essa camada concreta, a prática da rede corporativa segura, que sustenta a filosofia com engenharia real.

A rede corporativa moderna é muito mais complexa do que era. Além dos notebooks dos funcionários, há celulares, dispositivos pessoais, visitantes, câmeras, sensores, impressoras e todo tipo de equipamento de IoT conectado. Cada um desses é um ponto de entrada potencial, e uma rede plana, onde todos falam com todos, transforma o comprometimento de um único dispositivo frágil em acesso a tudo. As três frentes deste guia, Wi-Fi seguro, segmentação e NAC, atacam exatamente esse risco.

Wi-Fi corporativo: além da senha compartilhada

O erro mais comum em redes corporativas é tratar o Wi-Fi da empresa como o Wi-Fi de casa: uma única senha compartilhada (o modo PSK, pre-shared key) que todo mundo conhece. Esse modelo tem falhas graves. A senha vaza, circula em bilhetes e conversas, não se sabe quem está conectado, e trocar exige reconfigurar todos os dispositivos. Para uma empresa, isso é frágil demais.

O padrão corporativo resolve isso com duas peças:

• WPA3 (ou no mínimo WPA2) no modo Enterprise: a criptografia moderna do tráfego sem fio. O WPA3 corrige fraquezas conhecidas das gerações anteriores e deve ser o alvo.
• 802.1X com autenticação individual: em vez de uma senha única, cada usuário ou dispositivo se autentica com credenciais próprias (ou certificados) contra um servidor central (RADIUS). Isso traz identidade real para a rede: você sabe quem conectou, pode revogar o acesso de uma pessoa sem afetar as outras e registra cada conexão.

Com 802.1X, o acesso à rede deixa de ser um segredo compartilhado e passa a ser uma decisão por identidade, exatamente o que a segurança moderna exige. É a base sobre a qual o resto se apoia.

Segmentação: o fim da rede plana

Se o Wi-Fi seguro controla quem entra, a segmentação controla até onde cada um vai. Numa rede plana, todos os dispositivos compartilham o mesmo espaço e podem se comunicar livremente. É cômodo e perigoso: um notebook infectado, uma câmera vulnerável ou um visitante mal-intencionado ganham caminho livre para alcançar servidores, bancos de dados e estações de trabalho. É o cenário ideal para a movimentação lateral de um atacante.

A segmentação de rede divide esse espaço único em zonas isoladas, tipicamente com VLANs (redes locais virtuais), e define regras de quem pode falar com quem. Um desenho comum separa:

• A rede dos funcionários (dispositivos corporativos gerenciados).
• A rede de servidores e sistemas críticos, com acesso rigidamente controlado.
• A rede de convidados, isolada do restante.
• A rede de dispositivos IoT (câmeras, sensores, impressoras), notoriamente frágeis.

O ganho é de contenção. Se um dispositivo é comprometido, o dano fica preso ao seu segmento, em vez de se espalhar. A segmentação é a versão de rede do mesmo princípio que a microssegmentação aplica dentro de data centers e nuvens: reduzir o raio de explosão de qualquer comprometimento.

Vale um cuidado importante: segmentar não é só criar VLANs, é também definir e aplicar as regras entre elas. Uma rede dividida em dez VLANs que, na prática, permitem tráfego livre entre todas não segmentou nada; apenas organizou a bagunça. As regras de firewall entre os segmentos devem seguir o princípio de negar por padrão e liberar apenas os fluxos que fazem sentido para o negócio: o segmento de funcionários fala com os sistemas que precisa, o de IoT fala apenas com o servidor que coleta seus dados, e nada além disso. É esse conjunto de regras, revisado periodicamente, que dá valor real à divisão. Sem ele, a segmentação vira um diagrama bonito que não contém ataque nenhum.

NAC: controle de acesso à rede

O NAC (Network Access Control) é a peça que verifica não só quem conecta, mas em que condições o dispositivo está antes de liberar o acesso. Ele funciona como um porteiro inteligente na entrada da rede, que checa a postura de cada dispositivo e decide o que fazer com ele.

Na prática, um NAC pode:

• Verificar a conformidade do dispositivo: tem antivírus ou EDR ativo? O sistema está atualizado? É um equipamento conhecido e autorizado?
• Colocar em quarentena os dispositivos que não passam na checagem, dando acesso apenas a uma rede restrita de remediação até que se ajustem.
• Atribuir dinamicamente o segmento correto conforme a identidade e o tipo de dispositivo, direcionando automaticamente cada um à VLAN adequada.
• Detectar dispositivos não autorizados que aparecem na rede e bloqueá-los.

O NAC amarra Wi-Fi seguro e segmentação em uma decisão única e automatizada: autenticou (802.1X), passou na verificação de postura (NAC) e foi colocado no segmento certo (VLAN). Um dispositivo desconhecido ou fora de conformidade simplesmente não entra.

Convidados e IoT: os riscos que se esquece

Duas categorias merecem atenção especial porque costumam ser o elo fraco.

A rede de convidados deve estar completamente isolada da rede corporativa. O visitante precisa apenas de internet, nunca de acesso aos recursos internos. Uma rede de convidados mal configurada, que dá visibilidade da rede interna, é uma porta aberta para qualquer um que entre no prédio.

Os dispositivos de IoT corporativo são um problema crescente. Câmeras, sensores, controladores e impressoras muitas vezes vêm com senhas padrão, firmware que raramente é atualizado e vulnerabilidades conhecidas. Não dá para tratá-los com o mesmo rigor de um notebook, mas dá para contê-los: eles devem viver em um segmento próprio, isolado, com regras que permitam apenas a comunicação estritamente necessária. Assim, mesmo uma câmera comprometida não vira um trampolim para a rede inteira.

Panorama das camadas de segurança de rede

Camada	Pergunta que responde	Mecanismo
Wi-Fi Enterprise	Quem pode conectar?	WPA3, 802.1X, RADIUS
Segmentação	Até onde cada um vai?	VLANs, regras entre zonas
NAC	Em que condições entra?	Verificação de postura, quarentena
Rede de convidados	O visitante vê o interno?	Isolamento total, só internet
Segmento IoT	O dispositivo frágil se espalha?	VLAN isolada, comunicação mínima

Rede segura é identidade, isolamento e verificação trabalhando juntos

A segurança de uma rede corporativa não vem de um único produto, e sim da combinação de três decisões que se reforçam: dar identidade a cada acesso com Wi-Fi Enterprise e 802.1X, isolar os ambientes com segmentação por VLANs para conter qualquer comprometimento, e verificar a postura de cada dispositivo com NAC antes de liberar a entrada. Somadas ao isolamento de convidados e IoT, essas práticas transformam uma rede plana e permissiva, onde um dispositivo frágil compromete tudo, em uma rede onde cada incidente fica contido no seu canto. É a filosofia Zero Trust ganhando forma concreta no cabo e no ar.

Na ConstructorTI, ajudamos empresas a projetar e implantar redes corporativas seguras: configuração de Wi-Fi Enterprise com 802.1X, desenho de segmentação por VLANs, implantação de NAC com verificação de postura, e isolamento adequado de convidados e IoT. Se a sua rede ainda é plana ou depende de uma senha de Wi-Fi que meia empresa conhece, converse com o nosso time de CyberSecurity e feche esses caminhos antes que um atacante os use.