Como reforçar a segurança do Wi-Fi público em endpoints gerenciados

Redes Wi-Fi abertas são práticas, mas podem expor os endpoints a riscos de segurança. O Wi-Fi público aumenta o risco de interceptação de dados, roubo de credenciais e sequestro de sessão. Dispositivos usados fora de ambientes controlados ficam sujeitos a redes não confiáveis, principalmente quando os funcionários trabalham remotamente.

MSPs e administradores de TI precisam proteger os endpoints Windows em redes públicas. Este guia reúne as etapas necessárias e cobre controle de SSID, gerenciamento de perfis, configuração de firewall, segurança de transporte, conscientização dos usuários e monitoramento contínuo.

Para uma visão geral rápida, assista ao nosso guia em vídeo Como reforçar a segurança do Wi-Fi público em endpoints gerenciados

Etapas para melhorar a segurança do Wi-Fi público em dispositivos gerenciados

Redes públicas expõem endpoints gerenciados a riscos de segurança. As etapas a seguir trazem controles práticos para reduzir essa exposição aos riscos de segurança do Wi-Fi público.

Pré-requisitos:

• Os endpoints com Windows 10 e 11 precisam estar ingressados em um domínio do Active Directory ou registrados em uma solução de Gerenciamento de Dispositivos Móveis (MDM).
• São necessários direitos administrativos para implantar perfis WLAN, configurações de Política de Grupo (GPO) e scripts.
• É preciso ter log centralizado para mudanças de categoria de rede e eventos de firewall.
• É preciso ter um fluxo de tickets definido para exceções e notificações aos usuários.

Etapa 1: bloqueie ou permita SSIDs específicos para reforçar a segurança do Wi-Fi público

Limitar as redes às quais os endpoints podem se conectar é uma ótima forma de reduzir a exposição a riscos de segurança do Wi-Fi. Comece definindo listas de permissão e de bloqueio de SSIDs. Isso impede que os dispositivos entrem em redes Wi-Fi não aprovadas com base no SSID e ajuda a garantir que se conectem apenas aos nomes de rede aprovados.

Casos de uso:

• Esta etapa aplica regras de conexão consistentes e evita exposição acidental em redes públicas.
• Reduz o risco de os usuários se conectarem a redes Wi-Fi não aprovadas.

Pré-requisitos:

• São necessários direitos administrativos para implantar filtros WLAN ou configurações de GPO nos endpoints gerenciados.
• É preciso ter uma lista atualizada dos SSIDs aprovados para incluir nos scripts ou nas definições de política.

Lista de bloqueio e lista de permissão com netsh

Use os comandos a seguir no PowerShell ou no Prompt de Comando para controlar a quais redes Wi-Fi os dispositivos podem se conectar:

netsh wlan add filter permission=block ssid="Free Public WiFi" networktype=infrastructure

Este comando bloqueia conexões com um SSID específico. Substitua “Free Public WiFi” pela rede que deseja bloquear.

netsh wlan add filter permission=allow ssid="CorpWiFi"networktype=infrastructure

Este comando permite conexões com um SSID aprovado específico. Substitua “CorpWiFi” por um SSID aprovado pela sua organização.

netsh wlan show filters

Este exibe a lista atual de redes permitidas e bloqueadas, para confirmar se os filtros foram aplicados corretamente.

Como remover redes salvas de risco

netsh wlan delete profile name="Airport Free WiFi"

Este comando exclui um perfil de rede salvo. Substitua o nome de exemplo pelo nome do perfil de Wi-Fi salvo que deseja remover.

Como aplicar essas restrições em máquinas ingressadas no domínio via Política de Grupo

Em vez de aplicar esses comandos manualmente, use as Políticas de Rede sem Fio (IEEE 802.11) na Política de Grupo.

1. Abra o Console de Gerenciamento de Política de Grupo (GPMC) em um controlador de domínio.
2. Crie ou edite uma GPO vinculada à Unidade Organizacional (UO) que contém os dispositivos gerenciados.
3. Navegue até:
   Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Políticas de Rede sem Fio (IEEE 802.11)
4. Clique com o botão direito em Políticas de Rede sem Fio (IEEE 802.11) e selecione Criar uma Nova Política de Rede sem Fio para Windows Vista e Versões Posteriores.
5. Na guia Permissões de Rede, configure uma destas opções:
   1. Permitir somente as redes definidas explicitamente (lista de permissão de SSIDs).
   2. Bloquear redes por nome ou tipo (lista de bloqueio de SSIDs).
6. Adicione os SSIDs aprovados pela organização em Redes Permitidas e inclua os SSIDs ou tipos de rede que a organização quer restringir em Redes Negadas.
7. Clique em OK e depois em Aplicar para aplicar a política.
8. Execute gpupdate /force nos dispositivos cliente ou aguarde a próxima atualização da Política de Grupo para aplicar as configurações.

Etapa 2: pré-carregue e priorize perfis confiáveis para ampliar a segurança do Wi-Fi público

Pré-carregar e priorizar perfis de rede conhecidos evita que os endpoints se conectem automaticamente a hotspots aleatórios ou inseguros. Lembre-se: a segurança em Wi-Fi público é praticamente inexistente, então definir em quais redes os dispositivos devem confiar reduz o risco de pontos de acesso falsos ou clonados.

Casos de uso:

• Esta etapa garante que os endpoints se conectem automaticamente às redes confiáveis antes de qualquer conexão com Wi-Fi público/
• Reduz o risco de conexões acidentais com redes não seguras.

Pré-requisitos:

• São necessários direitos administrativos para configurar ou implantar perfis de Wi-Fi nos endpoints gerenciados.
• É preciso ter um arquivo XML exportado ou pré-configurado com os SSIDs aprovados.

Como pré-carregar um perfil de Wi-Fi

netsh wlan add profile filename="CorpWiFi.xml" interface="Wi-Fi" user=all

Isso adiciona um perfil de Wi-Fi para todos os usuários do dispositivo. Substitua “CorpWiFi.xml” pelo caminho do arquivo XML exportado que contém a configuração do SSID aprovado.

Como definir a prioridade de conexão

netsh wlan set profileorder name="CorpWiFi" interface="Wi-Fi" priority=1

Isso define a prioridade de conexão para que o endpoint se conecte primeiro ao SSID confiável. O valor “1” dá a preferência máxima.

Como eliminar perfis obsoletos

Você pode remover perfis desatualizados ou inseguros que apontam para SSIDs ou redes abertas. Para revisar e remover perfis antigos, use os comandos a seguir:

netsh wlan show profiles

netsh wlan delete profile name="OldPublicWiFi"

Substitua “OldPublicWiFi” pelo nome da rede que deseja remover.

Dicas:

• Use sempre autenticação de nível corporativo, como WPA2-Enterprise ou WPA-3 Enterprise. Elas aplicam criptografia mais forte e reduzem a exposição em redes públicas.
• Também é possível adicionar perfis de rede Wi-Fi com antecedência, sem precisar se conectar.

Etapa 3: reforce as configurações do dispositivo em redes Wi-Fi não confiáveis

MSPs devem sempre tratar redes desconhecidas como não confiáveis. Reforçar o perfil de rede Pública do Windows limita a exposição, bloqueia o tráfego de entrada e desativa serviços de descoberta desnecessários.

Casos de uso:

• Esta etapa reduz a exposição quando os dispositivos se conectam a redes abertas ou compartilhadas fora do perímetro corporativo.
• Aplica automaticamente uma postura restritiva de firewall e rede quando uma rede Wi-Fi nova ou não reconhecida é detectada.

Pré-requisitos:

• São necessários direitos administrativos nos endpoints gerenciados.
• Os dispositivos precisam executar Windows 10 ou 11 com PowerShell 5.0 ou posterior.

Force a categoria de rede Pública quando ela for desconhecida

Este comando do PowerShell força o tipo de rede para Pública e aplica automaticamente configurações de segurança mais rígidas.

Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public

Restrinja o firewall para o perfil Público

Este comando bloqueia por padrão as conexões de entrada e permite por padrão as de saída no perfil Público, reduzindo o risco de intrusão externa.

netsh advfirewall set publicprofile firewallpolicy blockinbound,allowoutbound

Já este desativa as notificações pop-up que perguntam se um novo aplicativo deve passar pelo firewall, garantindo proteção consistente mesmo quando os usuários têm direitos de administrador local.

netsh advfirewall set publicprofile settings inboundusernotification disable

Como desativar recursos de descoberta e compartilhamento

Você pode desativar recursos que anunciam a presença do dispositivo em redes públicas, como Descoberta de Rede e Compartilhamento de Arquivos e Impressoras. Para isso, acesse:

Painel de Controle > Central de Rede e Compartilhamento > Configurações de compartilhamento avançadas.

Além disso, use a Política de Grupo para definir as configurações do Firewall do Windows para redes que não são de domínio em Configuração do Computador > Modelos Administrativos > Rede > Conexões de Rede > Firewall do Windows > Perfil de Domínio.

Etapa 4: exija conexões criptografadas para proteger os dados em Wi-Fi público

Mesmo com restrições de rede e firewall reforçado, o tráfego em redes abertas ainda pode ser interceptado. Exigir transporte seguro garante que todos os dados que saem do dispositivo permaneçam criptografados, fortalecendo a proteção geral no Wi-Fi público.

Casos de uso:

• Esta etapa protege os dados corporativos criptografando as conexões mesmo quando os usuários acessam recursos por redes públicas ou não confiáveis.
• Garante que ninguém consiga contornar a VPN ou os canais criptografados ao se conectar de ambientes externos.

Pré-requisitos:

• São necessários direitos administrativos para configurar políticas de VPN ou de rede nos endpoints gerenciados.
• É preciso ter uma solução de VPN já implantada e capacidade de gerenciar políticas de navegador.

Exija VPN em redes Públicas

Configure as políticas de VPN para que os endpoints se conectem automaticamente à VPN corporativa sempre que a categoria de rede do Windows for definida como Pública. Assim, todo o tráfego vindo do Wi-Fi público passa por túneis corporativos criptografados.

Aplique criptografia no navegador

Ative o modo somente HTTPS e as listas de pré-carregamento do HTTP Strict Transport Security (HSTS) nos navegadores compatíveis. Essas configurações exigem ou priorizam conexões HTTPS, dependendo do navegador e do site, e ajudam a evitar ataques de downgrade.

Ative o DNS criptografado

Se o seu ambiente for compatível, configure DNS sobre HTTPS (DoH) pela Política de Grupo ou pela configuração do dispositivo. No Windows 11, isso pode ser definido em:

Configuração do Computador > Modelos Administrativos > Rede > Cliente DNS > Habilitar DNS sobre HTTPS

Isso garante a criptografia das consultas DNS e evita interceptação e adulteração em redes Wi-Fi públicas.

Etapa 5: oriente os usuários sobre práticas seguras em Wi-Fi público

Os controles técnicos já são uma ótima proteção, mas o comportamento do usuário costuma ser o fator decisivo na segurança do Wi-Fi público. É importante ensinar a identificar redes inseguras e a adotar precauções básicas para se proteger ao se conectar fora dos ambientes gerenciados.

Casos de uso:

• Esta etapa ajuda os usuários a identificar e evitar conexões arriscadas em viagens ou no trabalho remoto.
• Reforça os controles técnicos com hábitos claros que evitam exposição acidental de dados.

Pré-requisitos:

• Este método exige um canal para entregar a orientação aos usuários, como documentação interna ou um guia de consulta rápida.
• Mantenha uma lista de verificação simples ou um lembrete visual com as práticas de segurança em Wi-Fi.

Estes são os principais temas a cobrir:

• Ative o modo somente HTTPS e as listas de pré-carregamento do HTTP Strict Transport Security (HSTS) nos navegadores compatíveis. Essas configurações exigem ou priorizam conexões HTTPS, dependendo do navegador e do site, e ajudam a evitar ataques de downgrade.
• Use a VPN corporativa sempre que possível. Nunca acesse dados sensíveis ou ferramentas internas em redes abertas sem ela.
• Confirme a criptografia HTTPS antes de continuar. Pare imediatamente se o navegador exibir avisos de certificado ou de conexão.
• Informe comportamentos suspeitos à TI. Reporte desconexões repetidas, vários pedidos de login ou redirecionamentos inesperados.

Treinar os usuários em comportamento seguro no Wi-Fi público fecha a última brecha de segurança que as políticas técnicas sozinhas não cobrem.

Etapa 6: monitore e revise a postura de segurança do Wi-Fi público

Até políticas bem estruturadas se desalinham com o tempo, à medida que os usuários viajam, as redes mudam e novas exceções aparecem. O monitoramento constante mantém os controles de segurança do Wi-Fi público eficazes e uniformes em todos os endpoints gerenciados.

Casos de uso:

• Esta etapa ajuda a identificar desvios de configuração, conexões de rede não autorizadas ou dispositivos que burlam as políticas de Wi-Fi estabelecidas.
• Dá mais visibilidade sobre os padrões reais de uso, o que permite aos administradores ajustar filtros, regras de VPN ou configurações de firewall.

Pré-requisitos:

• É preciso ter log centralizado ou uma plataforma de RMM capaz de acompanhar perfis de Wi-Fi, eventos de firewall e status da VPN.
• É preciso ter modelos de relatório ou painéis que destaquem mudanças no comportamento da rede ao longo do tempo.

Sinais principais a monitorar:

• Novos perfis de Wi-Fi salvos em endpoints que não estão na lista de SSIDs aprovados.
• Transições frequentes para redes públicas ou alertas recorrentes de firewall que indiquem conexões arriscadas.
• Aplicativos que abrem listeners ou portas quando o perfil está definido como público.

Cronograma de revisão recomendado:

• Mensal: revise todos os novos SSIDs, exceções de conexão e atividade de firewall nos endpoints.
• Trimestral: faça verificações por amostragem para confirmar o comportamento da VPN, a conformidade do firewall e a aplicação das configurações de rede pública.

Pontos de atenção

Como NinjaOne aplica e monitora a segurança do Wi-Fi público em endpoints gerenciados

As ferramentas de automação, scripts e relatórios do NinjaOne simplificam a forma como os MSPs aplicam e monitoram as políticas de segurança do Wi-Fi público nos endpoints.

Implantação de políticas

Use scripts e automações do NinjaOne para distribuir filtros de SSID, pré-carregar perfis de Wi-Fi aprovados e aplicar as configurações de firewall do perfil Público. Isso ajuda a manter configurações consistentes em todos os endpoints gerenciados.

Detecção e alertas

NinjaOne usa scripts personalizados e condições de monitoramento para identificar endpoints que salvam novos perfis de Wi-Fi ou mudam de categoria de rede. Esses alertas ajudam a detectar atividade de rede inesperada ou sinais de desvio de configuração.

Tratamento de exceções

NinjaOne usa automação de tickets para acompanhar solicitações de acesso temporário e disparar ações com base em tempo no tratamento de exceções.

Relatórios

NinjaOne usa scripts, campos e relatórios personalizados para dar visibilidade sobre a conformidade com a política de SSIDs, o status da VPN e a postura de firewall nos endpoints gerenciados. Esses relatórios ajudam a avaliar a cobertura dos endpoints e a situação geral da segurança do Wi-Fi.

Reforçando a segurança do Wi-Fi público nos endpoints gerenciados

Os usuários vão continuar recorrendo ao Wi-Fi público em viagens e no trabalho remoto. Cabe a você entender os riscos e aplicar proteções que reduzam a exposição sem travar a produtividade.

Adote uma abordagem de segurança em camadas. Aplique listas de permissão de SSIDs e priorize os perfis de rede confiáveis. Reforce as configurações de rede e exija conexões por VPN ou HTTPS.

Combine esses controles com educação dos usuários e monitoramento regular. É assim que os endpoints ficam protegidos em redes não confiáveis.

Temas relacionados:

• Lista de verificação de segurança de TI para proteger sua empresa
• Como criar uma estratégia moderna de cibersegurança para departamentos de TI
• Como implantar perfis de Wi-Fi para todos os usuários com o PowerShell
• Como ver a lista de perfis de rede sem fio no Windows 11
• Como ativar ou desativar o Wi-Fi no Windows 11