Integratiehandleiding voor Fornetix VaultCore

Overzicht

Deze handleiding configureert Fornetix VaultCore als bron voor de CBOM Secure Discover_KMIP-sensor, die via KMIP 1.2+ verbinding maakt op TLS-poort 5696 met behulp van wederzijdse certificaatverificatie en sleutelmetadata alleen-lezen uitleest:

  • Symmetrische en asymmetrische sleutelidentificaties (UUID's)
  • Belangrijke algoritmen (AES, RSA, EC), lengtes en curveparameters
  • Aanmaak- en activeringsdata van de sleutels
  • Sleutelstatus (Pre-actief, Actief, Gedeactiveerd, Vernietigd)

Er worden nooit onbewerkte sleutelbytes opgehaald; alleen metadata.

Voorwaarden

  1. Beheerderstoegang tot de Fornetix VaultCore-webconsole.
  2. VaultCore 6.0 of later met KMIP 1.2+ ingeschakeld.
  3. Verbinding van de sensorhost naar TCP 5696.
  4. Het VaultCore CA-certificaat (te downloaden via de gebruikersinterface).
  5. Het binaire bestand van de Discover_KMIP-sensor bevindt zich op de sensorhost.
  6. OpenSSL op de host voor certificaatverificatie.

Stapsgewijze handleiding

Stap 1: Maak een alleen-lezen rol en serviceaccount aan.

Ga naar Beheer → Rollen → Rol aanmaken en maak de rol cbom-readonly aan met alleen Sleutellezen ingeschakeld (hiermee kunnen KMIP-kenmerken worden gezocht en opgehaald); laat Sleutel aanmaken/bijwerken/verwijderen/exporteren en Beleid beheren uitgeschakeld. Ga vervolgens naar Beheer → Gebruikers → Gebruiker aanmaken en maak de rol cbom-sensor aan met authenticatietype Certificaat en de rol cbom-readonly.

Stap 2: Schakel het KMIP-eindpunt in.

Controleer onder Services → KMIP of de service is ingeschakeld op poort 5696, stel Mutual TLS in op Vereist en zorg ervoor dat KMIP-versie 1.2 of hoger is toegestaan. Controleer of de service luistert:

openssl s_client -connect vaultcore.example.com:5696 -brief

Stap 3: Download het clientcertificaatpakket

Open de cbom-sensor gebruiker, klik op Certificaat genereren (365 dagen geldig) en vervolgens op Certificaatbundel downloaden (clientcertificaat, sleutel en VaultCore CA). Installeer en verifieer:

mkdir -p /etc/cbom/certs/vaultcore mv cbom-sensor.crt cbom-sensor.key kluiscore-ca.crt /etc/cbom/certs/vaultcore/chmod 600 /etc/cbom/certs/vaultcore/cbom-sensor.key chmod 644 /etc/cbom/certs/vaultcore/cbom-sensor.crt /etc/cbom/certs/vaultcore/vaultcore-ca.crt openssl verificatie -CAfile /etc/cbom/certs/vaultcore/vaultcore-ca.crt \ /etc/cbom/certs/vaultcore/cbom-sensor.crt

Stap 4: Configureer de CBOM Secure Sensor

Sensoren: - naam: Discover_KMIP ingeschakeld: true type: kmip schema: "0 2 * * *" verbinding: host: vaultcore.example.com poort: 5696 kmip_versie: "1.2" tls: ingeschakeld: true mutual_tls: true client_certificaat: /etc/cbom/certs/vaultcore/cbom-sensor.crt client_sleutel: /etc/cbom/certs/vaultcore/cbom-sensor.key ca_certificaat: /etc/cbom/certs/vaultcore/vaultcore-ca.crt verify_server: true authenticatie: type: certificaat gebruikersnaam: cbom-sensor ontdekking: objecttypen: [SymmetrischeSleutel, OpenbareSleutel, PrivéSleutel, Certificaat] locate_batch_grootte: 100 max_objecten: 50000 uitvoer: tags: { bron: fornetix-vaultcore, omgeving: productie }

sudo systemctl cbom-sensor opnieuw laden

Stap 5: Valideren

cbom-sensor run --sensor Discover_KMIP --once --verbose cbom-sensorlijst --sensor Discover_KMIP

Bevestig een KMIP-verbinding, authenticatie als cbom-sensor en het aantal gevonden objecten. In het VaultCore-auditlogboek, gefilterd op cbom-sensor, zouden alleen 'Locate' en 'Get Attributes' moeten verschijnen.

Veel voorkomende fouten

Certificaatverificatie mislukt

Oorzaak: ca_cert verwijst naar het verkeerde bestand, of de VaultCore CA is niet correct gedownload.

Oplossing: Download vaultcore-ca.crt opnieuw (Administratie → Certificaten → CA-certificaat), controleer het PEM-formaat en verifieer het opnieuw met openssl.

Toegang geweigerd (Locatie afgewezen)

Oorzaak: cbom-sensor mist Key Read, of de cbom-readonly-rol is niet opgeslagen.

Oplossing: Bevestig de sleutelleesactie op cbom-readonly en de roltoewijzing op cbom-sensor en probeer het vervolgens opnieuw.

Verbinding geweigerd op 5696

Oorzaak: De KMIP-service is niet actief of een firewall blokkeert poort 5696.

Oplossing: Controleer of Services → KMIP is ingeschakeld op poort 5696, sta inkomend TCP-verkeer op poort 5696 vanaf de sensorhost toe en test met nc -zv.

Beveiligingsaanbevelingen

  • Bewaar cbom-sensor.key met chmod 600, uitsluitend in eigendom van het CBOM-serviceaccount.
  • Vervang het clientcertificaat jaarlijks, of onmiddellijk bij een vermoeden van inbreuk.
  • Plaats de sensor op een beheernetwerk met een directe toegangsregel voor poort 5696.
  • Controleer maandelijks het VaultCore-auditlogboek voor de identiteit cbom-sensor.
  • Beperk cbom-readonly tot Key Read; creëer een nieuwe rol voor eventuele toekomstige behoeften.

Conclusie

Met een alleen-lezen serviceaccount, een mTLS-compatibel KMIP-eindpunt en clientcertificaten biedt de Discover_KMIP-sensor continue, alleen-lezen inzage in alle door VaultCore beheerde sleutelmetadata. Hierdoor blijft de inventaris van algoritmen, lengtes en levenscyclusstatussen van CBOM Secure actueel, zonder dat het ruwe sleutelmateriaal wordt blootgesteld.