Guía de integración de Thales CipherTrust Manager

Resumen

Esta guía configura Thales CipherTrust Manager como una fuente KMIP de solo lectura para el sensor CBOM Secure Discover_KMIP (KMIP 1.2+ sobre TLS, puerto 5696):

  • Identificadores de clave simétrica y asimétrica (UID de KMIP)
  • Algoritmos clave (AES, RSA, EC), longitudes y parámetros de curva.
  • Fechas de creación/activación y estado (Preactivo, Activo, Desactivado, Destruido)
  • Nombres de claves y atributos personalizados donde sea accesible

Solo lectura, únicamente metadatos a través de KMIP Locate and Get Attributes; nunca se solicitan datos clave sin procesar.

Requisitos previos

  • Acceso de administrador a la interfaz web de CipherTrust Manager (se recomienda la versión 2.0 o superior).
  • CipherTrust es accesible a través del puerto TCP 5696 desde el host del sensor; la interfaz KMIP está licenciada.
  • OpenSSL en el host del sensor; el binario cbom-sensor 1.4.0+ instalado.
  • El nombre de host/dirección IP de CipherTrust para la configuración del sensor.

Guía paso por paso

Paso 1: Crear un usuario clave Usuario local

En Administración → Gestión de usuarios → Usuarios → Crear usuario, agregue cbom-kmip-readonly con el rol de Usuario clave (metadatos de clave de solo lectura). No asigne los roles de Administrador clave, Administrador ni ningún rol con permisos de escritura.

Paso 2: Habilitar la interfaz KMIP

En Administración → Servicios, habilite el servicio KMIP y confirme que se está ejecutando en el puerto 5696. Anote la CA que firmó el certificado del servidor KMIP (exporte la CA raíz local en Administración → CA → Local como ciphertrust-ca.pem si es interna).

Paso 3: Crear un certificado de cliente vinculado

En Certificados → Certificados de cliente → Crear certificado de cliente, configure CN cbom-kmip-sensor y Usuario asociado cbom-kmip-readonly (esto vincula el certificado al rol de Usuario clave). Descargue el certificado de cliente, la clave privada y la CA. Prepare y verifique en el host del sensor:

chmod 600 /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem chmod 644 /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem openssl verify -CAfile /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem \ /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem openssl x509 -noout -modulus -in .../cbom-sensor-cert.pem | md5sum openssl rsa -noout -modulus -in .../cbom-sensor-key.pem | md5sum # debe coincidir

Paso 4: Configurar el sensor de seguridad CBOM

sensores: - nombre: Discover_KMIP tipo: kmip habilitado: verdadero programación: "0 2 * * *" conexión: host: ciphertrust.example.internal puerto: 5696 kmip_versión: "1.2" tls: habilitado: verdadero ca_cert: /etc/cbom/certs/ciphertrust/ciphertrust-ca.pem client_cert: /etc/cbom/certs/ciphertrust/cbom-sensor-cert.pem client_key: /etc/cbom/certs/ciphertrust/cbom-sensor-key.pem verify_server_cert: verdadero descubrimiento: operaciones: [Locate, GetAttributes] include_destroyed_objects: falso salida: etiquetas: { origen: ciphertrust-manager }

Paso 5: Validar

cbom-sensor run --sensor Discover_KMIP --once journalctl -u cbom-sensor -n 100 --no-pager | grep -i "Descubrir_KMIP"

Confirme el establecimiento de la conexión TLS, la localización de identificadores de objetos y los registros reenviados; filtre el inventario por origen: ciphertrust-manager. En Administración → Registros de auditoría, solo deberían aparecer Localizar y Obtener atributos para cbom-kmip-readonly.

Errores comunes

Intercambio de claves TLS: CA desconocida

Causa: ca_cert no coincide con la CA que firmó el certificado del servidor KMIP.

Resolución: Exporte la CA correcta desde Admin → Services → KMIP; concatene la CA intermedia y la raíz en un paquete si es necesario.

Permiso KMIP denegado en Locate

Causa: El usuario/certificado carece de usuario clave, o el certificado no está vinculado a cbom-kmip-readonly.

Resolución: Confirme el rol de Usuario clave y que el Usuario asociado del certificado del cliente sea cbom-kmip-readonly; vuelva a emitir/reimplementar si no es así.

Conexión rechazada en 5696

Causa: El servicio KMIP no está en funcionamiento o un cortafuegos bloquea el puerto 5696.

Resolución: Pruebe nc -zv; confirme que el servicio se está ejecutando en Admin → Servicios; permita TCP 5696 (incluidos los grupos de seguridad de la nube).

Recomendaciones de seguridad

  • Almacene la clave del cliente de forma que solo la pueda leer cbom-agent (chmod 600); nunca en el control de versiones.
  • Utilice la cuenta de usuario clave dedicada, nunca una cuenta de administrador/administrador clave.
  • Reemplace el certificado del cliente al menos 30 días antes de su vencimiento y revoque el anterior.
  • Habilite el registro de auditoría y las alertas para cualquier operación que no sea la de localizar/obtener atributos.
  • Restrinja el KMIP (5696) por IP de origen al host del sensor siempre que sea posible.

Conclusión

Con un usuario clave dedicado, la interfaz KMIP habilitada y un certificado de cliente vinculado, el sensor Discover_KMIP enumera de forma segura los metadatos de clave de CipherTrust Manager a través de TLS mutuo, lo que proporciona una visibilidad continua del inventario sin acceder al material de clave en bruto.