Para muchas organizaciones, la gestión de certificados SSL/Certificado TLS aún significa una hoja de cálculo, un recordatorio de calendario y una llamada 3:00 AM telefónica cuando algo vence inesperadamente. Los riesgos van más allá de las interrupciones: algoritmos de hash débiles como SHA-1 y MD5, longitudes de claves cortas, certificados autofirmados que nunca se reemplazaron después de una promoción de desarrollo a producción y autoridades de certificado no autorizadas pueden persistir sin detectar en un entorno empresarial. Tanium Certificate Manager se diseñó para abordar exactamente este problema, comenzando con la visibilidad y ahora extendiéndose al control completo del ciclo de vida del certificado.
En este caso, Laura explica las dos categorías de certificados que aparece en Certificate Manager: certificados de servicios de escucha descubiertos a través de escaneos de puerto autodirigidos y certificados en reposo que se encuentran en discos en ubicaciones como Windows Certificate Store y rutas de archivos Linux predefinidas.
Luego, demuestra el flujo de trabajo de reemplazo completo en vivo. La demostración cubre la generación de CSR directamente dentro de Tanium, la distribución de certificado a todos los puntos finales que contenían el certificado original, la configuración de servicios utilizando plantillas de paquetes reutilizables y el paso de finalización que limpia los artefactos de validación intermedia, incluidas las claves privadas.
Si administra certificados en una gran flota de endpoint y desea ver cómo se ve un proceso de sustitución estructurado y auditable dentro de una sola plataforma (incluida la forma en que Tanium maneja los certificados comodines distribuidos en múltiples máquinas sin requerir sesiones RDP manuales), este recorrido vale la pena su tiempo. Vea la demostración completa en el video a continuación.
Conclusiones clave
- Las hojas de cálculo impulsaron el módulo: Tanium Certificate Manager se originó a partir de los Clientes que informaban que estaban rastreando certificados en Excel, lo que dificultó saber qué estaba venciendo y cuándo, lo que llevó a Tanium a crear capacidades de visibilidad directamente en el endpoint.
“Básicamente, teníamos clientes que nos decían que están rastreando certificados en Excel y que, obviamente, no es ideal por muchos motivos, entre ellos, es difícil hacer un seguimiento de lo que está por vencer y cuándo”.Laura Iliescu, directora de gestión de productos de Tanium para Certificate Manager
- Dos categorías de certificado: Certificate Manager distingue entre certificados de servicios de escucha (lo que el sector llama certificado de servicios, descubierto mediante escaneo de puerto) y certificados en riesgo que se encuentran en discos, que se clasifican como en reposo e incluyen certificados como certificados de clientes VPN y Wi-Fi.
- Los escaneos de puertos son autodirigidos: Cuando se habilita el escaneo de puerto, el equipo se escanea a sí mismo (iterando en un puerto para ver qué versiones de TLS admite, qué conjuntos de cifrado admite y luego conectando TCP y realizando varios establecimientos de comunicación TLS/SSL) en lugar de realizar escaneos de redes o escaneos autenticados. El escaneo de puertos es opcional y configurable, con la capacidad de excluir puertos específicos.
- Los riesgos de los certificados aparecieron automáticamente: La página de descripción general muestra los riesgos del certificado, incluidas las claves cortas, los algoritmos hash débiles como SHA-1 y MD5, los certificados autofirmados y las autoridades de certificado no autorizadas, lo que brinda a los equipos una visión inmediata de los riesgos que pueden no haber conocido que existían en su entorno.
“Y mi objetivo es dondequiera que vea un certificado, ponerlo en Tanium”.Laura Iliescu, gerente de productos Certificate Manager de Tanium
- Flujo de trabajo de sustitución de extremo a extremo: El proceso de sustitución pasa por cuatro fases: Generación de CSR con datos de certificado completados previamente y editables, distribución del nuevo certificado y clave privada a todos los puntos finales que tenían la configuración original de servicios utilizando plantillas de paquetes reutilizables de detención/reinicio/verificación y finalización, que limpia el paso de validación intermedia y se puede configurar con un tiempo de espera predeterminado de 14 días.
- Las claves privadas no se desplazan a través de la cadena lineal de Tanium durante el flujo de trabajo de sustitución: la distribución de certificados se maneja mediante comunicaciones directas al endpoint. El flujo de trabajo de distribución del certificado no envía la clave privada a través de la cadena lineal de Tanium y, al finalizar, la clave privada se elimina del servicio de secretos de Tanium.
“Sí, para uno, en términos del hecho de que podemos reemplazar esto a escala, eso es enorme. No tiene que ir manualmente y RDP en cada dispositivo cuando tiene comodines”.Laura Iliescu, directora de gestión de productos de Tanium para Certificate Manager
- Reemplazo de comodines a escala: Debido a que Tanium rastrea qué puntos finales tenían el certificado original, maneja la focalización automáticamente en segundo plano, lo que permite que los certificados de comodines distribuidos en múltiples máquinas se reemplacen a escala sin conectarse manualmente a cada dispositivo.
Recursos adicionales
- Tanium Certificate Manager: Descubra cómo Tanium ofrece visibilidad en tiempo real de los certificados en todos los puntos finales para ayudar a los equipos a detectar certificados débiles, desconocidos y que vencen antes de que causen interrupciones o brechas de seguridad.
- Obtenga visibilidad y control avanzados con Tanium Certificate Manager: Descubra cómo Tanium extiende la gestión de endpoint con visibilidad de certificado en tiempo real y flujos de trabajo de reemplazo automatizados para ayudar a reducir los riesgos de vencimiento y cerrar las exposiciones relacionadas con el certificado.
- Certificate Manager–Tech Talks #56: Visibilidad y control del ciclo de vida de los certificados empresariales: Una mirada enfocada a las capacidades de Tanium Certificate Manager, incluido el descubrimiento de certificados en servidores y estaciones de trabajo, inventario de certificados y cifrados para respaldar los esfuerzos de preparación cuántica e identificación de cifrados y configuraciones débiles que aumentan la seguridad y el riesgo de interrupción.
- Cómo administrar el ciclo de vida de los certificados SSL/Certificado TLS en todos los puntos finales empresariales: Una descripción general de los desafíos que enfrentan las organizaciones al rastrear y reemplazar certificados a escala, y cómo los enfoques basados en puntos endpoint mejoran la visibilidad y reducen el riesgo de vencimiento.
- Configuración de Tanium Certificate Manager y configuración de descubrimiento de certificado: documentación técnica que cubre cómo configurar el escaneo de puerto, definir autoridades de certificado de confianza y configurar fuentes de certificado, incluidas las rutas de archivos Windows Certificate Store y Linux.
