Guía de integración del almacén de confianza del sistema Linux

Resumen

Esta guía configura el sensor CBOM Secure Discover_Files para escanear los directorios del almacén de confianza del sistema Linux en busca de activos de certificados, en modo de solo lectura:

  • Certificados raíz e intermedios de CA (PEM y DER)
  • Certificados CA personalizados añadidos por los administradores
  • Certificados de anclaje de confianza utilizados por el sistema operativo y las aplicaciones.
  • Certificados vencidos, revocados o próximos a vencer en el depósito fiduciario.

Directorios incluidos: /etc/ssl/certs/ y /usr/local/share/ca-certificates/ (Debian/Ubuntu), /etc/pki/tls/certs/ y /etc/pki/ca-trust/source/ (familia RHEL).

Requisitos previos

  • Acceso de root o sudo en el host que se va a escanear.
  • Una distribución compatible (Debian 10+/Ubuntu 20.04+ o RHEL/CentOS/Alma/Rocky/Fedora).
  • El agente del sensor CBOM está instalado (o el acceso a la red no requiere agente).
  • El punto final de la plataforma CBOM y un token de sensor válido; HTTPS saliente (443); openssl en el host.

Guía paso por paso

Paso 1: Crear una cuenta de escáner con privilegios limitados.

sudo useradd -r -s /sbin/nologin -d /nonexistent -c "Cuenta de servicio del escáner CBOM" ID de cbom-scanner cbom-scanner

Paso 2: Verificar el acceso de lectura a los directorios del almacén de confianza.

Los directorios de almacenes de confianza suelen ser legibles por todos los usuarios. Verifique y otorgue permisos de lectura y ejecución si no los tiene:

ls -ld /etc/ssl/certs/ /usr/local/share/ca-certificates/ sudo chmod o+rx /etc/ssl/certs/ # solo si no es legible ya sudo -u cbom-scanner openssl x509 -in /etc/ssl/certs/DigiCert_Global_Root_CA.pem -noout -subject -dates

Paso 3: Configurar el sensor de seguridad CBOM

sensor: nombre: Discover_Files habilitado: verdadero conexión: platform_url: "https://cbom.your-organization.com" auth_token: "${CBOM_SENSOR_TOKEN}" verify_tls: verdadero identidad: run_as_user: cbom-scanner scan_targets: - id: debian_ubuntu_system_certs ruta: /etc/ssl/certs/ recursivo: verdadero file_patterns: ["*.pem", "*.crt", "*.cer", "*.der", "ca-certificates.crt"] - id: debian_ubuntu_custom_cas ruta: /usr/local/share/ca-certificates/ file_patterns: ["*.crt", "*.pem"] - id: rhel_system_certs ruta: /etc/pki/tls/certs/ file_patterns: ["*.pem", "*.crt", "ca-bundle.crt"] - id: rhel_trust_anchors ruta: /etc/pki/ca-trust/source/ patrones_de_archivo: ["*.pem", "*.crt", "*.p7b"] opciones_de_escaneo: analizar_paquetes: verdadero incluir_expirado: verdadero cron_de_programación: "0 2 * * *"

Coloca el archivo de configuración en /etc/cbom/sensors/ (chmod 640, propietario root:cbom-scanner) y crea el directorio de registro.

Paso 4: Validar

sudo -u cbom-scanner cbom-sensor scan \ --config /etc/cbom/sensors/discover-files-linux-truststore.yaml --dry-run --verbose

Confirme que se encuentran los archivos de certificado por ruta, luego verifique en Activos → Certificados filtrados por Origen: Discover_Files y su host, con sujeto/emisor/caducidad/algoritmo completados.

Errores comunes

Permiso denegado para leer el directorio de certificados.

Causa: cbom-scanner carece de permisos de lectura/ejecución en el directorio.

Resolución: cambie el directorio a chmod o+rx y confirme con sudo -u cbom-scanner ls.

Token de autenticación no válido o caducado (401)

Causa: El token de autenticación es incorrecto, ha caducado o ha sido revocado.

Solución: Genere un nuevo token de sensor (Ajustes → Tokens de sensor), actualice la configuración y reinicie.

No se encontraron archivos de certificado en la ruta

Causa: Rutas de distribución incorrectas o los archivos utilizan otras extensiones.

Solución: Desactive los objetivos no aplicables y añada las extensiones observadas a file_patterns.

Recomendaciones de seguridad

  • La cuenta cbom-scanner no debe tener permisos de sudo ni de shell, y solo debe tener acceso a los directorios de certificados.
  • Nunca apunte el sensor a los directorios de claves privadas (/etc/ssl/private/, /etc/pki/tls/private/).
  • Proteja el archivo de configuración (propiedad del usuario root, modo 640): contiene el token de la plataforma.
  • Gire los tokens del sensor cada 90 días.
  • Utilice auditd para registrar el acceso a los archivos de cbom-scanner.

Conclusión

El sensor Discover_Files proporciona un descubrimiento de solo lectura de todos los certificados X.509 en el almacén de confianza del sistema Linux en las familias Debian y RHEL, bajo una cuenta dedicada de bajos privilegios, lo que ofrece una visibilidad completa de los certificados CA, los anclajes de confianza personalizados y los certificados débiles o caducados en CBOM Secure.