Leitfaden zur Integration des Trust Stores in Linux-Systeme

Übersicht

Diese Anleitung konfiguriert den CBOM Secure Discover_Files-Sensor so, dass er die Truststore-Verzeichnisse des Linux-Systems schreibgeschützt nach Zertifikatsressourcen durchsucht:

  • Stamm- und Zwischenzertifikate der Zertifizierungsstelle (PEM und DER)
  • Benutzerdefinierte CA-Zertifikate, die von Administratoren hinzugefügt wurden
  • Vertrauensankerzertifikate, die vom Betriebssystem und den Anwendungen verwendet werden
  • Abgelaufene, widerrufene oder demnächst ablaufende Zertifikate im Treuhandspeicher

Abgedeckte Verzeichnisse: /etc/ssl/certs/ und /usr/local/share/ca-certificates/ (Debian/Ubuntu), /etc/pki/tls/certs/ und /etc/pki/ca-trust/source/ (RHEL-Familie).

Voraussetzungen:

  • Root- oder sudo-Zugriff auf dem zu scannenden Host erforderlich.
  • Eine unterstützte Distribution (Debian 10+/Ubuntu 20.04+ oder RHEL/CentOS/Alma/Rocky/Fedora).
  • Der CBOM-Sensoragent ist installiert (oder es erfolgt ein agentenloser Netzwerkzugriff).
  • Der CBOM-Plattform-Endpunkt und ein gültiges Sensor-Token; ausgehendes HTTPS (443); OpenSSL auf dem Host.

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen Sie ein Scannerkonto mit eingeschränkten Berechtigungen.

sudo useradd -r -s /sbin/nologin -d /nonexistent -c „CBOM Scanner-Dienstkonto“ cbom-scanner id cbom-scanner

Schritt 2: Lesezugriff auf Truststore-Verzeichnisse überprüfen

Truststore-Verzeichnisse sind üblicherweise für alle Benutzer lesbar. Überprüfen Sie dies und erteilen Sie gegebenenfalls Lese- und Ausführungsrechte.

ls -ld /etc/ssl/certs/ /usr/local/share/ca-certificates/ sudo chmod o+rx /etc/ssl/certs/ # nur falls nicht bereits lesbar sudo -u cbom-scanner openssl x509 -in /etc/ssl/certs/DigiCert_Global_Root_CA.pem -noout -subject -dates

Schritt 3: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensor: Name: Discover_Files aktiviert: true Verbindung: Plattform-URL: "https://cbom.your-organization.com" Authentifizierungstoken: "${CBOM_SENSOR_TOKEN}" TLS-Verifizierung: true Identität: Ausführen als Benutzer: cbom-scanner Scanziele: - ID: debian_ubuntu_system_certs Pfad: /etc/ssl/certs/ rekursiv: true Dateimuster: ["*.pem", "*.crt", "*.cer", "*.der", "ca-certificates.crt"] - ID: debian_ubuntu_custom_cas Pfad: /usr/local/share/ca-certificates/ Dateimuster: ["*.crt", "*.pem"] - ID: rhel_system_certs Pfad: /etc/pki/tls/certs/ Dateimuster: ["*.pem", "*.crt", "ca-bundle.crt"] - id: rhel_trust_anchors path: /etc/pki/ca-trust/source/ file_patterns: ["*.pem", "*.crt", "*.p7b"] scan_options: parse_bundles: true include_expired: true schedule_cron: "0 2 * * *"

Platzieren Sie die Konfiguration unter /etc/cbom/sensors/ (chmod 640, Besitzer root:cbom-scanner) und erstellen Sie das Log-Verzeichnis.

Schritt 4: Validieren

sudo -u cbom-scanner cbom-sensor scan \ --config /etc/cbom/sensors/discover-files-linux-truststore.yaml --dry-run --verbose

Prüfen Sie, ob die Zertifikatsdateien gemäß dem angegebenen Pfad gefunden wurden, und überprüfen Sie anschließend unter Assets → Zertifikate, gefiltert nach Quelle: Discover_Files und Ihrem Host, ob Betreff/Aussteller/Ablaufdatum/Algorithmus ausgefüllt sind.

Häufige Fehler

Zugriff verweigert beim Lesen des Zertifikatsverzeichnisses

Ursache: cbom-scanner hat keine Lese-/Ausführungsrechte für das Verzeichnis.

Lösung: Setzen Sie die Berechtigungen des Verzeichnisses mit chmod o+rx und überprüfen Sie dies mit sudo -u cbom-scanner ls.

Authentifizierungstoken ungültig oder abgelaufen (401)

Ursache: Das Authentifizierungstoken ist falsch, abgelaufen oder widerrufen.

Lösung: Generieren Sie ein neues Sensor-Token (Einstellungen → Sensor-Token), aktualisieren Sie die Konfiguration und starten Sie das System neu.

Im Pfad wurden keine Zertifikatsdateien gefunden.

Ursache: Falsche Verteilungspfade oder Dateien verwenden andere Erweiterungen.

Lösung: Nicht zutreffende Ziele deaktivieren und beobachtete Dateierweiterungen zu file_patterns hinzufügen.

Sicherheitsempfehlungen

  • Das cbom-scanner-Konto darf keine sudo-Rechte, keine Shell-Rechte und nur Zugriff auf Zertifikatsverzeichnisse haben.
  • Richten Sie den Sensor niemals auf Verzeichnisse mit privaten Schlüsseln (/etc/ssl/private/, /etc/pki/tls/private/).
  • Schützen Sie die Konfigurationsdatei (im Besitz von root, Zugriffsrechte 640) – sie enthält das Plattform-Token.
  • Die Sensortokens sollten alle 90 Tage ausgetauscht werden.
  • Verwenden Sie auditd, um den Dateizugriff von cbom-scanner zu protokollieren.

Fazit

Der Discover_Files-Sensor ermöglicht die schreibgeschützte Erkennung aller X.509-Zertifikate im Linux-System-Truststore der Debian- und RHEL-Familien unter einem dedizierten Konto mit geringen Berechtigungen – und bietet so volle Transparenz über CA-Zertifikate, benutzerdefinierte Trust Anchors und schwache/abgelaufene Zertifikate in CBOM Secure.