Para muchas organizaciones, la gestión de certificados SSL/TLS sigue consistiendo en una hoja de cálculo, un recordatorio en el calendario y una llamada telefónica a 3:00 AM cuando alguno de ellos caduca de forma inesperada. Los riesgos van más allá de las interrupciones del servicio: los algoritmos de hash débiles, como SHA-1 y MD5; las claves de corta longitud; los certificados autofirmados que nunca se sustituyeron tras el paso del entorno de desarrollo al de producción; y las entidades de certificación no autorizadas pueden persistir sin ser detectados en todo el entorno empresarial. Tanium Certificate Manager se ha diseñado precisamente para resolver este problema, comenzando por la visibilidad y ampliándose ahora hasta ofrecer un control completo del ciclo de vida de los certificados.
En este episodio, Laura repasa las dos categorías de certificados que muestra Certificate Manager: los certificados de servicios en escucha detectados mediante escaneos de puertos realizados de forma autónoma y los certificados en reposo que se encuentran en el disco, en ubicaciones como el almacén de certificados de Windows y las rutas de archivo predefinidas de Linux.
A continuación, muestra en directo el proceso completo de sustitución. La demostración abarca la generación de CSR directamente en Tanium, la distribución de certificados a todos los terminales que contaban con el certificado original, la configuración del servicio mediante plantillas de paquetes reutilizables y el paso final de limpieza de los artefactos intermedios de preparación, incluidas las claves privadas.
Si gestiona certificados en un amplio parque de terminales de y desea conocer cómo es un proceso de sustitución estructurado y auditable dentro de una única plataforma (incluido el modo en que Tanium gestiona los certificados comodín repartidos entre varios equipos sin necesidad de sesiones RDP manuales), le recomendamos que dedique un momento a consultar esta guía paso a paso. Vea la demostración completa en el vídeo que aparece a continuación.
Conclusiones clave
- Las hojas de cálculo fueron el motor que impulsó el módulo «»: Tanium Certificate Manager surgió a raíz de que los clientes informaran de que realizaban el seguimiento de los certificados en Excel, lo que dificultaba saber cuáles iban a caducar y cuándo, lo que llevó a Tanium a desarrollar funciones de visibilidad directamente en el terminal.
«. Básicamente, teníamos clientes que acudían a nosotros para decirnos que llevaban un control de los certificados en Excel, y eso, obviamente, no es lo ideal por muchas razones, entre las que destaca la dificultad para saber qué certificados caducan y cuándo.»Laura Iliescu, directora de gestión de productos de Certificate Manager en Tanium
- Dos categorías de certificados: Certificate Manager distingue entre los certificados de servicios en escucha (lo que en el sector se denomina «certificado de servicio», que se detectan mediante un escaneo de puertos) y los certificados en riesgo que se encuentran en el disco, los cuales se clasifican como «en reposo» e incluyen certificados como los de VPN y los de clientes Wi-Fi.
- Los escaneos de puertos son escaneos autodirigidos: cuando se habilita el escaneo de puertos, el dispositivo se escanea a sí mismo (recorriendo un puerto para comprobar qué versión de TLS admite, qué conjuntos de cifrado admite y, a continuación, estableciendo esa conexión TCP y realizando diversos procesos de establecimiento de conexión TLS/SSL), en lugar de realizar escaneos de red o escaneos autenticados. El escaneo de puertos es opcional y configurable, y permite excluir puertos específicos.
- Los riesgos relacionados con los certificados se muestran automáticamente en: La página de resumen muestra los riesgos relacionados con los certificados, entre los que se incluyen claves cortas, algoritmos de hash débiles como SHA-1 y MD5, certificados autofirmados y entidades de certificación no autorizadas, lo que proporciona a los equipos una visibilidad inmediata de los riesgos cuya existencia quizá desconocían en su entorno.
«Y mi objetivo es que, siempre que vea un certificado, lo introduzca en Tanium.»Laura Iliescu, directora de producto de Tanium Certificate Manager
- Flujo de trabajo de sustitución de extremo a extremo: El proceso de sustitución se desarrolla en cuatro fases: generación de la solicitud de certificado (CSR) con datos del certificado prellenados y editables; distribución del nuevo certificado y de la clave privada a todos los terminales que albergaban el original; configuración del servicio mediante plantillas reutilizables de paquetes de «detener/reiniciar/verificar»; y finalización, que limpia la etapa intermedia de preparación y es configurable con un tiempo de espera predeterminado de 14 días.
- Las claves privadas no se transmiten a través de la cadena lineal de Tanium durante el proceso de sustitución: la distribución de certificados se gestiona mediante comunicación directa con el terminal. El flujo de trabajo de distribución de certificados no transmite la clave privada a través de la cadena lineal de Tanium y, al finalizar el proceso, la clave privada se elimina del servicio de secretos de Tanium.
«». Sí, pues, para empezar, el hecho de que podamos sustituir esto a gran escala es algo muy importante. Si dispone de comodines, no tendrá que conectarse manualmente mediante RDP a cada dispositivo.”Laura Iliescu, directora de gestión de productos de Certificate Manager en Tanium
- Sustitución de certificados comodín a gran escala: Dado que Tanium realiza un seguimiento de los terminales que poseían el certificado original, gestiona la selección de objetivos de forma automática en segundo plano, lo que permite sustituir a gran escala los certificados comodín repartidos entre varios equipos sin necesidad de conectarse manualmente a cada dispositivo.
Recursos adicionales
- de Tanium Certificate Manager: Descubra cómo Tanium ofrece visibilidad en tiempo real de los certificados en todos los dispositivos para ayudar a los equipos a detectar certificados débiles, desconocidos y a punto de caducar antes de que provoquen interrupciones del servicio o brechas de seguridad.
- Obtenga una visibilidad y un control avanzados con Tanium Certificate Manager: Descubra cómo Tanium amplía la gestión de terminales con visibilidad de los certificados en tiempo real y flujos de trabajo de sustitución automatizados para ayudar a reducir el riesgo de caducidad y eliminar las vulnerabilidades relacionadas con los certificados.
- Certificate Manager – Tech Talks n.º 56: Visibilidad y control del ciclo de vida de los certificados empresariales: Un análisis detallado de las capacidades de Tanium Certificate Manager, que incluye la detección de certificados en servidores y estaciones de trabajo, el inventario de certificados y algoritmos de cifrado para respaldar las iniciativas de preparación ante la era cuántica, y la identificación de algoritmos de cifrado y configuraciones débiles que aumentan el riesgo de seguridad y de interrupciones del servicio.
- Cómo gestionar el ciclo de vida de los certificados SSL/TLS en los terminales de la empresa: Una visión general de los retos a los que se enfrentan las organizaciones a la hora de realizar un seguimiento y sustituir certificados a gran escala, y cómo los enfoques basados en los terminales mejoran la visibilidad y reducen el riesgo de caducidad.
- Configuración de Tanium Certificate Manager y ajustes de detección de certificados: Documentación técnica que explica cómo configurar el escaneo de puertos, definir autoridades de certificación de confianza y configurar fuentes de certificados, incluyendo el almacén de certificados de Windows y las rutas de archivo de Linux.
