Thales CipherTrust Manager Integrationsleitfaden

Übersicht

Diese Anleitung konfiguriert Thales CipherTrust Manager als schreibgeschützte KMIP-Quelle für den CBOM Secure Discover_KMIP-Sensor (KMIP 1.2+ über TLS, Port 5696):

  • Symmetrische und asymmetrische Schlüsselkennungen (KMIP-UIDs)
  • Wichtige Algorithmen (AES, RSA, EC), Längen und Kurvenparameter
  • Erstellungs-/Aktivierungsdatum und -status (Voraktiviert, Aktiv, Deaktiviert, Zerstört)
  • Schlüsselnamen und benutzerdefinierte Attribute, sofern zugänglich

Streng schreibgeschützt, nur Metadaten über KMIP Locate und Get Attributes; Rohschlüsselmaterial wird niemals angefordert.

Voraussetzungen:

  • Administratorzugriff auf die Web-Benutzeroberfläche des CipherTrust Managers (Version 2.0+ empfohlen).
  • CipherTrust ist vom Sensorhost über TCP 5696 erreichbar; die KMIP-Schnittstelle ist lizenziert.
  • OpenSSL auf dem Sensor-Host; die cbom-sensor Binärdatei 1.4.0+ installiert.
  • Der CipherTrust-Hostname/die IP-Adresse für die Sensorkonfiguration.

Schritt-für-Schritt-Anleitung

Schritt 1: Erstellen Sie einen lokalen Schlüsselbenutzer

Unter „Admin“ → „Benutzerverwaltung“ → „Benutzer“ → „Benutzer erstellen“ fügen Sie den Benutzer „cbom-kmip-readonly“ mit der Rolle „Schlüsselbenutzer“ (schreibgeschützte Schlüsselmetadaten) hinzu. Weisen Sie ihm nicht die Rolle „Schlüsseladministrator“, „Administrator“ oder eine andere Rolle mit Schreibrechten zu.

Schritt 2: KMIP-Schnittstelle aktivieren

Aktivieren Sie unter Admin → Dienste den KMIP-Dienst und vergewissern Sie sich, dass er auf Port 5696 ausgeführt wird. Notieren Sie sich die Zertifizierungsstelle, die das KMIP-Serverzertifikat signiert hat (exportieren Sie die lokale Stammzertifizierungsstelle unter Admin → CA → Lokal als ciphertrust-ca.pem, falls intern).

Schritt 3: Erstellen eines gebundenen Clientzertifikats

Unter Zertifikate → Clientzertifikate → Clientzertifikat erstellen, CN auf cbom-kmip-sensor und zugeordneten Benutzer auf cbom-kmip-readonly setzen (dadurch wird das Zertifikat an die Rolle des Schlüsselbenutzers gebunden). Clientzertifikat, privaten Schlüssel und Zertifizierungsstelle herunterladen. Auf dem Sensorhost bereitstellen und verifizieren.

chmod 600 /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem chmod 644 /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem openssl verify -CAfile /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem openssl x509 -noout -modulus -in .../cbom-sensor-cert.pem | md5sum openssl rsa -noout -modulus -in .../cbom-sensor-key.pem | md5sum # muss übereinstimmen

Schritt 4: Konfigurieren Sie den CBOM-Sicherheitssensor

Sensoren: - Name: Discover_KMIP Typ: kmip Aktiviert: true Zeitplan: "0 2 * * *" Verbindung: Host: ciphertrust.example.internal Port: 5696 kmip_version: "1.2" tls: Aktiviert: true ca_cert: /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem client_cert: /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem client_key: /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem verify_server_cert: true Erkennung: Operationen: [Locate, GetAttributes] include_destroyed_objects: false Ausgabe: Tags: { Quelle: ciphertrust-manager }

Schritt 5: Validieren

cbom-sensor run --sensor Discover_KMIP --once journalctl -u cbom-sensor -n 100 --no-pager | grep -i "Discover_KMIP"

Bestätigen Sie einen TLS-Handshake, die Rückgabe von Objektkennungen durch Locate und weitergeleitete Datensätze; filtern Sie das Inventar nach Quelle: ciphertrust-manager. Unter Admin → Audit-Protokolle sollten für cbom-kmip-readonly nur Locate und Get Attributes angezeigt werden.

Häufige Fehler

TLS-Handshake – unbekannte Zertifizierungsstelle

Ursache: ca_cert stimmt nicht mit der Zertifizierungsstelle überein, die das KMIP-Serverzertifikat signiert hat.

Lösung: Exportieren Sie die korrekte Zertifizierungsstelle unter Admin → Services → KMIP; fügen Sie gegebenenfalls Zwischenzertifizierungsstelle und Stammzertifizierungsstelle zu einem Paket zusammen.

KMIP-Berechtigung für Locate verweigert

Ursache: Dem Benutzer/Zertifikat fehlt der Schlüsselbenutzer, oder das Zertifikat ist nicht an cbom-kmip-readonly gebunden.

Lösung: Bestätigen Sie die Rolle des Hauptbenutzers und stellen Sie sicher, dass der zugehörige Benutzer des Clientzertifikats cbom-kmip-readonly ist; stellen Sie das Zertifikat andernfalls neu aus/stellen Sie es erneut bereit.

Verbindung auf 5696 abgelehnt

Ursache: Der KMIP-Dienst läuft nicht oder eine Firewall blockiert Port 5696.

Lösung: Testen Sie nc -zv; überprüfen Sie, ob der Dienst unter Admin → Dienste ausgeführt wird; erlauben Sie TCP 5696 (inkl. Cloud-Sicherheitsgruppen).

Sicherheitsempfehlungen

  • Den Client-Schlüssel so speichern, dass er nur vom cbom-agent lesbar ist (chmod 600); niemals in der Quellcodeverwaltung speichern.
  • Verwenden Sie das dafür vorgesehene Key-User-Konto, niemals ein Admin-/Key-Admin-Konto.
  • Das Clientzertifikat sollte mindestens 30 Tage vor Ablauf erneuert und das alte Zertifikat widerrufen werden.
  • Aktivieren Sie die Protokollierung und Warnung bei allen Vorgängen außer „Attribute suchen/abrufen“.
  • Beschränken Sie KMIP (5696) nach Möglichkeit auf den Sensorhost über die Quell-IP.

Fazit

Mit einem dedizierten Key User, aktivierter KMIP-Schnittstelle und einem gebundenen Client-Zertifikat listet der Discover_KMIP-Sensor sicher die Schlüsselmetadaten des CipherTrust Manager über Mutual TLS auf und bietet so kontinuierliche Bestandsübersicht, ohne auf das Rohschlüsselmaterial zugreifen zu müssen.