Guía de integración de NetIQ eDirectory

Resumen

Esta guía configura NetIQ eDirectory como origen para el sensor CBOM Secure Discover_LDAP, que se conecta a través de LDAPS (puerto 636) y realiza una enumeración de solo lectura de los activos criptográficos en el árbol de directorios:

  • ndspkiPublicKey: claves públicas en objetos de usuario y servidor gestionados por los servicios PKI de Novell.
  • ndspkiCertificateChain: cadenas de certificados completas en objetos habilitados para PKI
  • userCertificate: certificados X.509 en objetos de usuario
  • cACertificate: certificados CA en objetos organizativos o contenedores.

Requisitos previos

  1. NetIQ eDirectory 9.x o posterior, en funcionamiento.
  2. Los servicios LDAP están habilitados y escuchando en el puerto 636 (LDAPS), con un certificado TLS válido vinculado y su CA exportable.
  3. Acceso a iManager (https:// /nps/iManager.html) con una cuenta de administrador.
  4. Acceso a la red desde el host del sensor a eDirectory en el puerto TCP 636.
  5. La plataforma CBOM se instaló con el módulo Discover_LDAP.
  6. Se conoce el árbol objetivo y el DN base (por ejemplo, o=corp).

Guía paso por paso

Paso 1: Cree una cuenta de servicio de solo lectura en iManager.

Inicie sesión en iManager como administrador. En Usuarios -> Crear usuario, cree cn=cbom-reader,o=corp (Nombre cbom, Apellido reader, Contexto o=corp) con una contraseña segura y aleatoria almacenada en su gestor de secretos. No lo asigne a ningún grupo de roles. No reutilice una cuenta administrativa.

Paso 2: Otorgar derechos de fideicomisario a nivel de atributo

Navegue a Administración de directorio -> Modificar objeto para el contenedor de destino (por ejemplo, o=corp) -> Derechos NDS -> Fideicomisarios de este objeto -> Agregar fideicomisario, y agregue cn=cbom-reader,o=corp. En Derechos asignados -> Derechos de atributo, agregue cada atributo de destino con Leer y comparar marcados (Escribir y Agregar sí mismo desmarcados): ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate. Marque Heredar para que los derechos se propaguen a los contenedores secundarios y objetos hoja, luego Guardar.

Verifique a través de Derechos -> Ver Derechos Efectivos en un objeto de usuario de ejemplo: Debe aparecer Lectura para los cuatro atributos y no debe otorgarse Escritura.

Paso 3: Exportar el certificado CA de eDirectory

En iManager, en Servidor de certificados NetIQ -> Certificados de servidor, exporte el árbol de CA (o el certificado de servicio LDAP) como PEM a /etc/cbom/certs/edirectory-ca.pem. O bien, expórtelo directamente desde el host del sensor:

openssl s_client -connect edirectory.corp.example.com:636 -showcerts /dev/nulo \ | openssl x509 -outform PEM > /etc/cbom/certs/edirectory-ca.pem

Paso 4: Validar la conectividad LDAP

ldapsearch \ -H ldaps://edirectory.corp.example.com:636 \ -D "cn=cbom-reader,o=corp" -W \ -b "o=corp" -s sub "(objectClass=*)" \ userCertificate ndspkiPublicKey ndspkiCertificateChain cACertificate

Un conjunto de resultados que contenga los atributos de destino en formato Base64 confirma que la cuenta y los permisos están configurados correctamente.

Paso 5: Configurar el sensor de seguridad CBOM

sensor: nombre: Discover_LDAP display_name: "NetIQ eDirectory - LDAP Crypto Discovery" habilitado: verdadero programación: "0 2 * * *" conexión: host: edirectory.corp.example.com puerto: 636 usar_tls: verdadero modo_tls: ldaps certificado_ca: /etc/cbom/certs/edirectory-ca.pem verificar_certificado: verdadero enlace: dn: "cn=cbom-reader,o=corp" entorno_contraseña: CBOM_LDAP_BIND_PASSWORD búsqueda: base_dn: "o=corp" ámbito: subfiltro: "(objectClass=*)" tamaño_página: 500 atributos: [ndspkiPublicKey, ndspkiCertificateChain, userCertificate, cACertificate] descubrimiento: analizar_certificados: verdadero incluir_caducados: verdadero min_key_size_rsa: 2048 salida: etiquetas: { proveedor_directorio: netiq-edirectory, tipo_sensor: ldap }

Establezca la contraseña de enlace mediante CBOM_LDAP_BIND_PASSWORD (o un archivo EnvironmentFile de systemd) obtenido de un gestor de secretos.

Paso 6: Validar

systemctl reiniciar cbom-sensor journalctl -u cbom-sensor -f cbom-ctl ejecutar escaneo --sensor Discover_LDAP

Confirme la vinculación exitosa (cn=cbom-reader,o=corp) y la finalización de la búsqueda con el recuento de criptoactivos. En el panel de control, filtre Activos -> Certificados por proveedor de directorio: netiq-edirectory y confirme los metadatos de sujeto/caducidad/clave. Revise el registro de auditoría de eDirectory para confirmar que no se hayan producido operaciones de escritura.

Errores comunes

Error de enlace LDAP: credenciales no válidas (49)

Causa: Contraseña incorrecta, cuenta bloqueada o contraseña caducada (error NDS -669).

Solución: Restablezca la contraseña en iManager, asegúrese de que CBOM_LDAP_BIND_PASSWORD coincida exactamente y configure la opción "La contraseña nunca caduca" en el objeto de servicio si corresponde una política.

Fallo en el protocolo de enlace TLS: error de verificación del certificado

Causa: El host del sensor no confía en la CA LDAP de eDirectory, o la CA exportada está dañada.

Resolución: Vuelva a exportar la CA (openssl x509 -noout -subject -dates para validar), confirme la ruta ca_cert y agregue cualquier CA intermedia al mismo PEM.

Los atributos no se devuelven a pesar de estar configurados.

Causa: Los derechos del fideicomisario no se guardaron con Inherit, o se asignaron con un alcance incorrecto.

Resolución: Confirme que cbom-reader tenga permisos de lectura en los cuatro atributos con la opción "Heredar" marcada; utilice la opción "Ver derechos efectivos" en un objeto hoja antes de volver a ejecutarlo.

Recomendaciones de seguridad

  • Utilice una cuenta dedicada sin privilegios; nunca la cuenta de administrador del árbol ni un objeto supervisor.
  • Conceda derechos solo sobre los cuatro atributos objetivo; evite [Derechos sobre todos los atributos].
  • Almacene la contraseña de enlace en un gestor de secretos a través de password_env; nunca utilice YAML en texto plano.
  • Aplicar solo LDAPS (deshabilitar/cortafuegos para el puerto 389); mantener verify_cert: true en producción.
  • Habilite la auditoría de eDirectory y reciba alertas sobre las vinculaciones/búsquedas desde cbom-reader fuera de las ventanas de escaneo.

Conclusión

Con una cuenta de servicio de solo lectura con ámbito definido en iManager y derechos de fideicomisario a nivel de atributo, el sensor Discover_LDAP enumera las claves públicas PKI, las cadenas de certificados y los certificados CA en todo el árbol de eDirectory según lo programado, lo que proporciona a CBOM Secure una visibilidad continua y de solo lectura de los activos criptográficos basados ​​en directorios.