Per molte organizzazioni, la gestione dei certificati SSL/TLS significa ancora oggi ricorrere a un foglio di calcolo, a un promemoria sul calendario e a una telefonata all’ 03:00 quando un certificato scade inaspettatamente. I rischi vanno oltre le interruzioni di servizio: algoritmi di hash deboli come SHA-1 e MD5, chiavi di lunghezza ridotta, certificati autofirmati che non sono mai stati sostituiti dopo il passaggio dall’ambiente di sviluppo a quello di produzione e autorità di certificazione non autorizzate possono tutti persistere inosservati in un ambiente aziendale. Tanium Certificate Manager È stato realizzato proprio per risolvere questo problema, partendo dalla visibilità e arrivando oggi a garantire il controllo completo del ciclo di vita dei certificati.
In questa puntata, Laura illustra le due categorie di certificati rilevati d Certificate Manager : i certificati dei servizi in ascolto individuati tramite scansioni delle porte autonome e i certificati inattivi presenti su disco in posizioni quali l’archivio certificati di Windows e i percorsi predefiniti dei file Linux .
Successivamente, illustra dal vivo l'intero flusso di lavoro relativo alla sostituzione. La demo illustra la generazione di CSR direttamente all’interno di Tanium, la distribuzione dei certificati a tutti gli endpoint che possedevano il certificato originale, la configurazione dei servizi tramite modelli di pacchetti riutilizzabili e la fase finale di pulizia degli artefatti intermedi di staging, comprese le chiavi private.
Se gestite i certificati all’interno di un’ampia flotta di dispositivi endpoint e desiderate scoprire come si presenta un processo di sostituzione strutturato e verificabile all’interno di un’unica piattaforma (compreso il modo in cui Tanium gestisce i certificati wildcard distribuiti su più macchine senza richiedere sessioni RDP manuali), questa guida pratica merita la vostra attenzione. Guardi la demo completa nel video qui sotto.
Punti chiave
- I fogli di calcolo hanno ispirato la creazione del modulo “”: Tanium Certificate Manager . L’idea è nata dalle segnalazioni dei clienti che indicavano di tenere traccia dei certificati in Excel, il che rendeva difficile sapere quali fossero in scadenza e quando; ciò ha portato Tanium a sviluppare funzionalità di visibilità direttamente sulla piattaforma endpoint.
“In sostanza, alcuni clienti si sono rivolti a noi spiegandoci che gestivano i certificati in Excel, e questo ovviamente non è l’ideale per molte ragioni, prima fra tutte la difficoltà di tenere traccia di quali certificati stessero per scadere e in quale data.”Tanium Laura Iliescu, Direttrice della gestione dei prodotti per l’ Certificate Manager
- Due categorie di certificati: Certificate Manager distingue tra certificati dei servizi in ascolto (quelli che nel settore vengono definiti “certificati di servizio”, individuati tramite scansione delle porte) e certificati a rischio presenti sul disco, che vengono classificati come “a riposo” e includono certificati quali quelli VPN e quelli dei client Wi-Fi.
- Le scansioni delle porte sono di tipo “” (autodirette): quando la scansione delle porte è abilitata, il dispositivo esegue una scansione su se stesso (iterando su una porta per verificare quale versione di TLS supporti, quali suite di cifratura supporti, per poi stabilire tale connessione TCP ed eseguire vari handshake TLS/SSL ) anziché effettuare scansioni di rete o scansioni autenticate. La scansione delle porte è facoltativa e configurabile, con la possibilità di escludere porte specifiche.
- I rischi relativi ai certificati vengono visualizzati automaticamente: La pagina di panoramica mostra i rischi relativi ai certificati, tra cui chiavi di lunghezza insufficiente, algoritmi di hash deboli quali SHA-1 e MD5, certificati autofirmati e autorità di certificazione non autorizzate, fornendo ai team una visibilità immediata sui rischi di cui potrebbero non essere a conoscenza nel proprio ambiente.
“E il mio obiettivo è che, ovunque vediate un certificato, lo inseriate su Tanium.”Tanium Certificate Manager Laura Iliescu, responsabile di prodotto
- del flusso di lavoro di sostituzione end-to-end: il processo di sostituzione si articola in quattro fasi: generazione della CSR con i dettagli del certificato precompilati e modificabili, distribuzione del nuovo certificato e della chiave privata a tutti gli endpoint che possedevano quelli originali, configurazione del servizio tramite modelli riutilizzabili di pacchetti di arresto/riavvio/verifica e finalizzazione, che provvede alla pulizia della fase intermedia di staging ed è configurabile con un timeout predefinito di 14 giorni.
- Le chiavi private non transitano attraverso la catena lineare Tanium durante il flusso di lavoro di sostituzione: la distribuzione dei certificati avviene tramite comunicazione diretta con endpoint. Il flusso di lavoro relativo alla distribuzione dei certificati non trasmette la chiave privata attraverso la catena lineare Tanium e, al momento della finalizzazione, la chiave privata viene rimossa dal servizio dei segreti Tanium .
«. Sì, innanzitutto, il fatto che possiamo sostituirlo su larga scala è davvero importante.» Grazie ai caratteri jolly, non è necessario collegarsi manualmente tramite RDP a ogni singolo dispositivo.”Tanium Laura Iliescu, Direttrice della gestione dei prodotti per l’ Certificate Manager
- Sostituzione dei certificati con caratteri jolly su larga scala: Poiché Tanium tiene traccia degli endpoint che possedevano il certificato originale, gestisce automaticamente il targeting in background, consentendo la sostituzione su larga scala dei certificati con caratteri jolly distribuiti su più macchine senza doversi collegare manualmente a ciascun dispositivo.
Risorse aggiuntive
- Tanium Certificate Manager: Scoprite come Tanium garantisca visibilità in tempo reale sui certificati presenti sugli endpoint, consentendo ai team di Detect certificati vulnerabili, sconosciuti e in scadenza prima che causino interruzioni del servizio o falle nella sicurezza.
- Ottenete visibilità e controllo avanzati con Tanium Certificate Manager: Discover Scoprite in che modo Tanium amplia la gestione di endpoint grazie alla visibilità in tempo reale dei certificati e a flussi di lavoro automatizzati per la sostituzione, al fine di ridurre il rischio di scadenza ed eliminare le vulnerabilità legate ai certificati.
- Certificate Manager–Tech Talks #56: Visibilità e controllo del ciclo di vita dei certificati aziendali: Un’analisi approfondita delle funzionalità di Tanium Certificate Manager , tra cui l’individuazione dei certificati su server e workstation, l’inventario dei certificati e degli algoritmi di crittografia a supporto delle iniziative di preparazione alla sicurezza quantistica, nonché l’identificazione di algoritmi di crittografia e configurazioni vulnerabili che aumentano i rischi per la sicurezza e di interruzione del servizio.
- Come gestire il ciclo di vita dei certificati SSL/TLS sugli endpoint aziendali: una panoramica delle sfide che le organizzazioni devono affrontare nel monitoraggio e nella sostituzione dei certificati su larga scala, e in che modo gli approcci basati su endpointmigliorano la visibilità e riducono il rischio di scadenza.
- Tanium Certificate Manager Impostazioni di configurazione e individuazione dei certificati: Documentazione tecnica che illustra come configurare la scansione delle porte, definire le autorità di certificazione attendibili e impostare le fonti dei certificati, inclusi l’archivio certificati di Windows e i percorsi dei file Linux .
