Fornetix VaultCore Integrationsleitfaden

Übersicht

Diese Anleitung konfiguriert Fornetix VaultCore als Quelle für den CBOM Secure Discover_KMIP-Sensor, der über KMIP 1.2+ auf TLS-Port 5696 mit gegenseitiger Zertifikatsauthentifizierung eine Verbindung herstellt und Schlüsselmetadaten schreibgeschützt liest:

  • Symmetrische und asymmetrische Schlüsselidentifikatoren (UUIDs)
  • Wichtige Algorithmen (AES, RSA, EC), Längen und Kurvenparameter
  • Datum der Schlüsselerstellung und -aktivierung
  • Schlüsselstatus (Voraktiv, Aktiv, Deaktiviert, Zerstört)

Es werden niemals Rohdaten des Schlüssels abgerufen; nur Metadaten.

Voraussetzungen:

  1. Administratorzugriff auf die Fornetix VaultCore-Webkonsole.
  2. VaultCore 6.0 oder höher mit aktiviertem KMIP 1.2+.
  3. Verbindung vom Sensorhost zu TCP 5696.
  4. Das VaultCore CA-Zertifikat (über die Benutzeroberfläche herunterladbar).
  5. Die Discover_KMIP-Sensor-Binärdatei auf dem Sensor-Host.
  6. OpenSSL auf dem Host zur Zertifikatsprüfung.

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen Sie eine schreibgeschützte Rolle und ein Dienstkonto.

Unter Administration → Rollen → Rolle erstellen Sie die Rolle „cbom-readonly“ mit aktivierter Berechtigung „Schlüssel lesen“ (ermöglicht KMIP-Attributsuche und -abruf). Die Optionen „Schlüssel erstellen/aktualisieren/löschen/exportieren“ und „Richtlinienverwaltung“ bleiben deaktiviert. Anschließend erstellen Sie unter Administration → Benutzer → Benutzer erstellen den Benutzer „cbom-sensor“ mit dem Authentifizierungstyp „Zertifikat“ und der Rolle „cbom-readonly“.

Schritt 2: KMIP-Endpunkt aktivieren

Unter „Dienste“ → „KMIP“ prüfen Sie, ob der Dienst auf Port 5696 aktiviert ist, „Mutual TLS“ auf „Erforderlich“ gesetzt ist und KMIP Version 1.2+ zugelassen ist. Überprüfen Sie, ob der Dienst aktiv ist.

openssl s_client -connect vaultcore.example.com:5696 -brief

Schritt 3: Clientzertifikatpaket herunterladen

Öffnen Sie den Benutzer „cbom-sensor“, klicken Sie auf „Zertifikat generieren (365 Tage gültig)“ und anschließend auf „Zertifikatpaket herunterladen“ (Clientzertifikat, Schlüssel und VaultCore-CA). Installieren und überprüfen Sie die Zertifikate.

mkdir -p /etc/cbom/certs/vaultcore mv cbom-sensor.crt cbom-sensor.key vaultcore-ca.crt /etc/cbom/certs/vaultcore/ chmod 600 /etc/cbom/certs/vaultcore/cbom-sensor.key chmod 644 /etc/cbom/certs/vaultcore/cbom-sensor.crt /etc/cbom/certs/vaultcore/vaultcore-ca.crt openssl verify -CAfile /etc/cbom/certs/vaultcore/vaultcore-ca.crt \ /etc/cbom/certs/vaultcore/cbom-sensor.crt

Schritt 4: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_KMIP aktiviert: true Typ: kmip Zeitplan: "0 2 * * *" Verbindung: Host: vaultcore.example.com Port: 5696 kmip_version: "1.2" TLS: aktiviert: true Mutual_TLS: true Client-Zertifikat: /etc/cbom/certs/vaultcore/cbom-sensor.crt Client-Schlüssel: /etc/cbom/certs/vaultcore/cbom-sensor.key CA-Zertifikat: /etc/cbom/certs/vaultcore/vaultcore-ca.crt Server verifizieren: true Authentifizierung: Typ: Zertifikat Benutzername: cbom-sensor Erkennung: Objekttypen: [SymmetricKey, PublicKey, PrivateKey, Certificate] Batchgröße: 100 Max. Objekte: 50000 Ausgabe: Tags: { Quelle: fornetix-vaultcore, Umgebung: Produktion }

sudo systemctl cbom-sensor neu laden

Schritt 5: Validieren

cbom-sensor run --sensor Discover_KMIP --once --verbose cbom-sensor list --sensor Discover_KMIP

Bestätigen Sie eine KMIP-Verbindung, die Authentifizierung als cbom-sensor und die Anzahl der gefundenen Objekte. Im VaultCore-Audit-Log, gefiltert nach cbom-sensor, sollten nur die Einträge „Lokalisieren“ und „Attribute abrufen“ erscheinen.

Häufige Fehler

Zertifikatsprüfung fehlgeschlagen

Ursache: ca_cert verweist auf die falsche Datei, oder die VaultCore-Zertifizierungsstelle wurde nicht korrekt heruntergeladen.

Lösung: Laden Sie vaultcore-ca.crt erneut herunter (Administration → Zertifikate → CA-Zertifikat), überprüfen Sie das PEM-Format und führen Sie eine erneute Überprüfung mit openssl durch.

Zugriff verweigert (Standortanfrage abgelehnt)

Ursache: cbom-sensor verfügt nicht über die Berechtigung Key Read, oder die Rolle cbom-readonly wurde nicht gespeichert.

Lösung: Bestätigen Sie den Lesezugriff auf cbom-readonly und die Rollenzuweisung auf cbom-sensor und versuchen Sie es dann erneut.

Verbindung auf 5696 abgelehnt

Ursache: Der KMIP-Dienst läuft nicht oder eine Firewall blockiert Port 5696.

Lösung: Überprüfen Sie, ob KMIP auf Port 5696 aktiviert ist, erlauben Sie eingehenden TCP-Verkehr über Port 5696 vom Sensor-Host und testen Sie mit nc -zv.

Sicherheitsempfehlungen

  • Speichern Sie cbom-sensor.key unter chmod 600, wobei die Datei nur dem CBOM-Dienstkonto gehören darf.
  • Das Clientzertifikat sollte jährlich oder unverzüglich bei Verdacht auf Kompromittierung ausgetauscht werden.
  • Platzieren Sie den Sensor in einem Management-Netzwerk mit einer direkten Zulassungsregel für Port 5696.
  • Überprüfen Sie monatlich das VaultCore-Audit-Protokoll auf die Identität cbom-sensor.
  • Die Rolle cbom-readonly sollte auf „Key Read“ beschränkt bleiben; für zukünftige Anforderungen sollte eine neue Rolle erstellt werden.

Fazit

Mit einem schreibgeschützten Dienstkonto, einem mTLS-fähigen KMIP-Endpunkt und Clientzertifikaten bietet der Discover_KMIP-Sensor kontinuierliche, schreibgeschützte Transparenz über alle von VaultCore verwalteten Schlüsselmetadaten und hält so den Bestand an Algorithmen, Längen und Lebenszykluszuständen von CBOM Secure aktuell, ohne dabei Rohschlüsselmaterial preiszugeben.