Für viele Unternehmen bedeutet die Verwaltung von SSL/TLS-Zertifikaten nach wie vor eine Tabellenkalkulation, eine Kalendererinnerung und einen Anruf unter der Nummer „ 03:00 “, wenn ein Zertifikat unerwartet abläuft. Die Risiken gehen über Ausfälle hinaus: Schwache Hash-Algorithmen wie SHA-1 und SHA- MD5, kurze Schlüssellängen, selbstsignierte Zertifikate, die nach der Überführung von der Entwicklungs- in die Produktionsumgebung nie ersetzt wurden, sowie nicht autorisierte Zertifizierungsstellen können in einer Unternehmensumgebung unentdeckt bestehen bleiben. Der Tanium Certificate Manager wurde entwickelt, um genau dieses Problem zu lösen – angefangen bei der Transparenz bis hin zur umfassenden Kontrolle über den gesamten Lebenszyklus von Zertifikaten.
In dieser Folge erläutert Laura die beiden Kategorien von Zertifikaten, die der Zertifikatsmanager anzeigt: Zertifikate von Listening-Diensten, die durch eigenständige Port-Scans ermittelt wurden, sowie Zertifikate im Ruhezustand, die auf der Festplatte an Orten wie dem Windows-Zertifikatsspeicher und vordefinierten Linux-Dateipfaden gefunden wurden.
Anschließend demonstriert sie live den gesamten Arbeitsablauf für den Austausch. Die Demo behandelt die CSR-Erstellung direkt in Tanium, die Zertifikatsverteilung an alle Endgeräte, auf denen das ursprüngliche Zertifikat gespeichert war, die Dienstkonfiguration mithilfe wiederverwendbarer Paketvorlagen sowie den abschließenden Schritt, bei dem Zwischenartefakte, einschließlich privater Schlüssel, bereinigt werden.
Wenn Sie Zertifikate für eine große Endpunktflotte auf einer „ “-Plattform verwalten und erfahren möchten, wie ein strukturierter, nachprüfbarer Austauschprozess innerhalb einer einzigen Plattform aussieht (einschließlich der Art und Weise, wie Tanium mit Wildcard-Zertifikaten umgeht, die auf mehrere Rechner verteilt sind, ohne dass manuelle RDP-Sitzungen erforderlich sind), ist diese Schritt-für-Schritt-Anleitung für Sie sehr lohnenswert. Sehen Sie sich die vollständige Demo im folgenden Video an.
Wichtige Erkenntnisse
- Tabellenkalkulationen waren der Auslöser für die Entwicklung des Moduls „“: Der Tanium Certificate Manager entstand, nachdem Kunden berichtet hatten, dass sie ihre Zertifikate in Excel verwalteten, wodurch es schwierig war, den Überblick darüber zu behalten, welche Zertifikate wann abliefen. Dies veranlasste Tanium dazu, Funktionen zur Transparenz direkt auf den Endgeräten zu entwickeln.
„Im Grunde kamen Kunden zu uns und erzählten uns, dass sie ihre Zertifikate in Excel verwalten, und das ist aus vielen Gründen natürlich nicht ideal – vor allem, weil es schwierig ist, den Überblick darüber zu behalten, welche Zertifikate wann ablaufen.“Laura Iliescu, Leiterin des Produktmanagements für den Certificate Manager bei Tanium
- Zwei Zertifikatkategorien: Der Zertifikatsmanager unterscheidet zwischen Zertifikaten für empfangende Dienste (in der Branche als „Service-Zertifikat“ bezeichnet, die über einen Port-Scan ermittelt werden) und risikobehafteten Zertifikaten, die auf der Festplatte gefunden werden; diese werden als „im Ruhezustand“ klassifiziert und umfassen Zertifikate wie VPN- und WLAN-Client-Zertifikate.
- Port-Scans sind selbstgesteuerte: Wenn Port-Scans aktiviert sind, führt das Gerät einen Selbstscan durch (d. h., es durchläuft nacheinander die einzelnen Ports, um festzustellen, welche TLS-Version und welche Verschlüsselungssuiten unterstützt werden, baut anschließend die entsprechende TCP-Verbindung auf und führt verschiedene TLS/SSL-Handshakes durch), anstatt Netzwerkscans oder authentifizierte Scans durchzuführen. Das Port-Scanning ist optional und konfigurierbar; es besteht die Möglichkeit, bestimmte Ports auszuschließen.
- Zertifikatsrisiken werden automatisch angezeigt: Auf der Übersichtsseite werden Zertifikatsrisiken wie kurze Schlüssel, schwache Hash-Algorithmen wie SHA-1 und MD5, selbstsignierte Zertifikate sowie nicht autorisierte Zertifizierungsstellen angezeigt, sodass Teams sofort Einblick in Risiken erhalten, von deren Existenz in ihrer Umgebung sie möglicherweise nichts wussten.
„Und mein Ziel ist es, dass Sie jedes Zertifikat, das Sie sehen, in Tanium hinterlegen.“Laura Iliescu, Produktmanagerin für den Tanium Certificate Manager
- des durchgängigen Austausch-Workflows: Der Austauschprozess durchläuft vier Phasen: die Erstellung eines CSR mit vorab ausgefüllten und bearbeitbaren Zertifikatsdetails, die Verteilung des neuen Zertifikats und des privaten Schlüssels an alle Endpunkte, auf denen das ursprüngliche Zertifikat gespeichert war, die Dienstkonfiguration mithilfe wiederverwendbarer Vorlagen für „Stopp/Neustart/Überprüfung“ sowie den Abschluss, bei dem der zwischengeschaltete Staging-Schritt bereinigt wird und der mit einem standardmäßigen Timeout von 14 Tagen konfigurierbar ist.
- Private Schlüssel werden während des Austauschvorgangs nicht über die lineare Tanium-Kette übertragen: Die Zertifikatsverteilung erfolgt über eine direkte Kommunikation mit dem Endgerät. Im Rahmen des Workflows zur Zertifikatsverteilung wird der private Schlüssel nicht über die lineare Tanium-Kette übertragen, und bei Abschluss des Vorgangs wird der private Schlüssel aus dem Tanium-Geheimnisdienst gelöscht.
„“ Ja, zum einen ist es schon enorm, dass wir dies in großem Maßstab ersetzen können. Wenn Sie Platzhalter verwenden, müssen Sie nicht jedes Gerät einzeln manuell per RDP aufrufen.”Laura Iliescu, Leiterin des Produktmanagements für den Certificate Manager bei Tanium
- für den groß angelegten Austausch von Wildcard-Zertifikaten: Da Tanium nachverfolgt, auf welchen Endgeräten das ursprüngliche Zertifikat installiert war, übernimmt das System die gezielte Auswahl automatisch im Hintergrund. Dadurch können Wildcard-Zertifikate, die auf mehreren Geräten verteilt sind, in großem Umfang ausgetauscht werden, ohne dass eine manuelle Verbindung zu jedem einzelnen Gerät hergestellt werden muss.
Weitere Ressourcen
- zum Tanium Certificate Manager: Erfahren Sie, wie Tanium Echtzeit-Transparenz über Zertifikate auf allen Endgeräten bietet, um Teams dabei zu unterstützen, schwache, unbekannte und bald ablaufende Zertifikate zu erkennen, bevor diese zu Ausfällen oder Sicherheitslücken führen.
- Erhalten Sie umfassende Transparenz und Kontrolle mit dem Tanium Certificate Manager: Erfahren Sie, wie Tanium das Endpunktmanagement durch Echtzeit-Transparenz bei Zertifikaten und automatisierte Workflows zum Austausch erweitert, um das Risiko von Ablaufdaten zu verringern und zertifikatsbezogene Sicherheitslücken zu schließen.
- Certificate Manager – Tech Talks #56: Transparenz und Lebenszyklussteuerung für Unternehmenszertifikate: Ein detaillierter Einblick in die Funktionen des Tanium Certificate Managers, darunter die Erfassung von Zertifikaten auf Servern und Arbeitsplätzen, die Bestandsaufnahme von Zertifikaten und Verschlüsselungsalgorithmen zur Unterstützung von Maßnahmen zur Quantensicherheit sowie die Identifizierung schwacher Verschlüsselungsalgorithmen und Konfigurationen, die das Sicherheits- und Ausfallrisiko erhöhen.
- So verwalten Sie den Lebenszyklus von SSL/TLS-Zertifikaten auf allen Endgeräten Ihres Unternehmens: Ein Überblick über die Herausforderungen, denen Unternehmen bei der Nachverfolgung und dem Austausch von Zertifikaten in großem Maßstab gegenüberstehen, sowie darüber, wie endgerätebasierte Ansätze die Transparenz verbessern und das Risiko des Ablaufs verringern.
- Konfiguration des Tanium Certificate Managers und Einstellungen zur Zertifikatserkennung: Technische Dokumentation zur Konfiguration von Port-Scans, zur Definition vertrauenswürdiger Zertifizierungsstellen sowie zur Einrichtung von Zertifikatsquellen, einschließlich des Windows-Zertifikatsspeichers und der Linux-Dateipfade.
