SNMP-funktionalitet i Vormetric Data Security Manager (DSM)

Key Takeaways

• DSM kan fungera som en SNMP-agent som svarar på GET-förfrågningar på port 7025 (standard) eller 161, och returnerar värden från en Vormetric-specifik uppsättning OID:er.
• DSM stöder endast SNMPv1 och SNMPv2c. Den har inget stöd för SNMPv3 och stöder inte SNMP-fällor, så övervakningen är poll-baserad, inte push-baserad.
• Standardvärdet för communitysträngen är "public" och måste ändras. SNMP-åtkomstkontrollistan (ACL) bör begränsas till kända övervakningsvärdar och aldrig lämnas tom.
• Vormetric DSM upphörde sin support från Thales den 30 juni 2024. Nuvarande distributioner körs på CipherTrust Manager, DSM:s efterföljande plattform.
• Encryption Consulting byggde ett shell-skript åt en kund som automatiserar frågor om dessa OID:er från en Linux- eller Unix-värd.

Publicerad: september 2022. Uppdaterad: augusti 2026. Granskad av Encryption Consultings nyckelhanteringsteam.

Vad är SNMP, och varför stöder Vormetric DSM det?

Simple Network Management Protocol (SNMP) är ett nätverksprotokoll som används i IP-nätverk för att hantera och övervaka nätverksanslutna enheter. Det är ett applikationslagerprotokoll i OSI-modellen och är inbäddat i routrar, switchar, servrar, brandväggar och andra IP-adresserbara enheter, vilket ger dem en standardmekanism för att rapportera hanteringsinformation inom LAN- eller WAN-miljöer med en eller flera leverantörer.

Det finns tre versioner av SNMP i bruk idag: SNMPv1, SNMPv2c och SNMPv3. Vormetric Data Security Manager (DSM), Thales plattform för hantering av krypteringsnycklar och åtkomstpolicyer för Vormetric Transparent Encryption-agenter, implementerar SNMP som en agent så att ett driftteam kan kontrollera grundläggande hälsa och status utan att bygga anpassade leverantörsspecifika verktyg. DSM stöder själva SNMPv1 och SNMPv2c; de stöder inte SNMPv3. Den skillnaden är viktig för hur denna plattform bör förstärkas, och den behandlas i detalj nedan.

DSM är den äldre generationen av denna produktlinje. Den nuvarande generationen, som de flesta nya driftsättningar kör idag, är Thales CipherTrust Manager . Organisationer som fortfarande använder DSM, och de som planerar eller slutför en uppgradering, behöver båda förstå hur dess SNMP-funktionalitet fungerar, vilket är fokus för den här artikeln.

Vilka är kärnkomponenterna i SNMP?

SNMP utför sina grundläggande uppgifter genom fyra byggstenar:

SNMP-agent

En SNMP-agent är en programvaruprocess som svarar på SNMP-frågor med en nätverksnods status och statistik. Den körs lokalt på den övervakade enheten, samlar in och lagrar data och överför den till den begärande SNMP-hanteraren när den efterfrågas.

SNMP Manager

SNMP-hanteraren, ibland kallad SNMP-servern, ansvarar för kommunikationen med SNMP-agenter över nätverket. Den frågar agenter, tar emot deras svar, ställer in variabler där agenten tillåter det och bekräftar händelser som rapporteras tillbaka till den.

Ledningsinformationsbas (MIB)

Management Information Base (MIB) är en textfil, vanligtvis med filändelsen .mib, som beskriver varje dataobjekt som en specifik enhet exponerar för frågor eller kontroll via SNMP. Varje hanterat objekt inuti MIB identifieras av en objektidentifierare.

Objektidentifierare (OID)

En objektidentifierare (OID) är en prickad lista med heltal som unikt namnger ett hanterat objekt. OID finns i två former, skalära och tabellära, och MIB:er organiserar varje OID hierarkiskt, som ett träd med en individuell variabelidentifierare för varje objekt.

Vad övervakar DSM:s SNMP-funktionalitet egentligen?

DSM kan aktiveras som en SNMP-agent och sedan övervakas av en extern SNMP-server med hjälp av de MIB-objekt som den exponerar. När DSM tar emot en SNMP GET-begäran, skickad till port 7025 eller port 161, lokaliserar den matchande OID-posten i sin MIB och returnerar motsvarande värde till den begärande SNMP-servern.

SNMP aktiveras från sidan System > SNMP på fliken Konfiguration. Om SNMP-åtkomstkontrollistan (ACL) lämnas tom bekräftar DSM SNMP-förfrågningar från vilken IP-adress som helst. Om åtkomstkontrollistan är ifylld med specifika IP-adresser eller adressblock bekräftar DSM endast förfrågningar som kommer från dessa poster.

Community-strängen levereras med fabriksstandardvärdet "public". Denna sträng måste matcha på alla enheter som deltar i samma SNMP-övervakningsgrupp och fungerar som den enda SNMPv1- och SNMPv2c-kontrollen för autentiseringsuppgifter innan en fråga besvaras. Av den anledningen bör den alltid ändras från standardvärdet till ett anpassat värde.

SNMP-fällor stöds inte och kan inte konfigureras på DSM. DSM är en SNMP-agent som endast avlyssnar: den svarar på förfrågningar men initierar aldrig en oönskad avisering. Konsekvenserna för detektering av det designvalet behandlas i detekteringsavsnittet nedan.

Tabellen nedan listar de Vormetric-specifika OID:er som en övervakningsserver kan fråga efter, alla finns under Vormetric MIB. Dessa OID-värden kan inte ändras manuellt. Två System Group MIB-objekt, sysContact och sysLocation, är anpassningsbara och ingår inte i denna Vormetric-specifika uppsättning.

OID	BESKRIVNING
1.3.6.1.4.1.21513.1.0	Returnerar versionsinformationen för DSM
1.3.6.1.4.1.21513.2.0	Returnerar fingeravtrycket för den aktuella DSM-distributionen
1.3.6.1.4.1.21513.3.0	Returnerar aktuellt datum och tid i DSM
1.3.6.1.4.1.21513.5.0	Returnerar agenttypen (FS eller Key-agent), licensens installationsstatus (sant eller falskt) för varje agenttyp och, för varje installerad licens, licensens utgångsdatum.
1.3.6.1.4.1.21513.6.0	Returnerar namnet på varje nod i en DSM HA-klusterkonfiguration
1.3.6.1.4.1.21513.7.0	Returnerar information om diskanvändning för varje filsystem som är monterat på DSM
1.3.6.1.4.1.21513.8.0	Returnerar information om DSM-processer, minne, personsökning, I/O och CPU-användning

Vilka SNMP-versioner stöder DSM, och vilka är säkerhetsavvägningarna?

SNMPv1 och SNMPv2c autentiserar varje begäran med inget mer än community-strängen, och den strängen skickas i klartext på kabeln. Vem som helst som kan observera trafik på samma nätverkssegment, eller som gissar ett standardvärde som "public", kan läsa eller, i vissa konfigurationer, skriva övervakningsdata utan ytterligare hinder. SNMPv2c lade till 64-bitarsräknare och bulkhämtningsoperationer jämfört med SNMPv1, men det gjorde inga ändringar i denna autentiseringsmodell.

SNMPv3, standardiserat i IETF:s STD 62-dokumentuppsättning (RFC 3411 till RFC 3418), ersätter community-strängen med User-based Security Model (USM, RFC 3414), som stöder autentisering per användare och meddelandekryptering, och View-based Access Control Model (VACM, RFC 3415), som begränsar varje användare till en definierad delmängd av MIB. Där en plattform stöder SNMPv3:s säkerhetsnivå authPriv autentiseras och krypteras frågor från början till slut, vilket stänger den klartextexponering som SNMPv1 och SNMPv2c har av design.

DSM implementerar bara SNMPv1 och SNMPv2c. Det finns inget SNMPv3-alternativ på DSM, vilket är just anledningen till att ACL och community-string-härdning som tas upp senare i den här artikeln har större vikt på den här plattformen än de skulle ha på en enhet där SNMPv3 är tillgängligt och bara behöver aktiveras.

Fast egendom	SNMPv1	SNMPv2c	SNMPv3
Autentisering	Community-sträng, klartext	Community-sträng, klartext	Inloggningsuppgifter per användare (USM)
Kryptering under transport	Ingen	Ingen	Valfritt, via authPriv
Granularitet i åtkomstkontrollen	Allt-eller-inget per samhälle	Allt-eller-inget per samhälle	MIB-vyer per användare (VACM)
Masshämtning / 64-bitarsräknare	Stöds inte	Som stöds	Som stöds
Stöds på Vormetric DSM	Ja	Ja	Nej

Vad är effekten av en felkonfigurerad SNMP-distribution?

En tom ACL i kombination med standardsträngen "public" innebär att alla värdar som kan nå port 7025 eller 161 kan hämta DSM:s version, fingeravtryck, licensstatus, HA-klusternodnamn och resursanvändning utan att autentisera som något mer än ett gissat standardvärde. Versions- och fingeravtrycksdata är precis den typ av rekognoseringsinformation en angripare vill ha innan de riktar in sig på en känd sårbarhet i en specifik version, så att exponera dem för ett obegränsat nätverk är en verklig, inte teoretisk, risk.

Eftersom SNMPv1 och SNMPv2c skickar community-strängen i klartext kan vem som helst som är positionerad för att sniffa trafik på samma segment som en SNMP-fråga fånga den strängen och återanvända den för att polla DSM när som helst, även efter att ACL:n har skärpts, om själva strängen aldrig roteras. Kombinerat med en öppen ACL förvandlar en felkonfigurerad SNMP-distribution en övervakningsfunktion till en oautentiserad informationssökväg, och, på alla enheter där SNMP också stöder SET-operationer, även en potentiell konfigurationsmanipuleringssökväg.

Hur stöder SNMP-aviseringar detektering av drifts- och säkerhetsproblem?

Eftersom DSM inte stöder SNMP-fällor är detekteringen här pollingbaserad snarare än push-baserad: en SNMP-hanterare eller övervakningsplattform frågar efter OID:erna ovan med ett visst intervall och flaggar värden som överskrider ett tröskelvärde eller ändras oväntat. I praktiken betyder det:

• Diskanvändnings-OID:er som närmar sig kapaciteten signalerar ett lagringsproblem innan det orsakar ett avbrott.
• Licensens utgångsdatum som returneras av licenstillståndets OID varnar för att en agentlicens har upphört att gälla.
• HA-klustrets nodnamn OID saknar en förväntad nod markerar en klustermedlem som har hoppat över.
• CPU-, minnes-, paging- och I/O-OID:er som stiger utanför baslinjen pekar på ett prestandaproblem eller en oväntad processbelastning som är värd att undersöka.
• En DSM-nod som slutar svara på SNMP GET-förfrågningar alls är i sig en signal, eftersom pollingfel är det närmaste man kommer en varning som den här designen producerar.

Eftersom det inte finns någon trap-baserad push-notifiering begränsas detekteringshastigheten av det pollningsintervall som övervakningsservern är konfigurerad med. En pollningscykel på fem minuter innebär upp till fem minuters blind fläck efter att en händelse inträffat. Den avvägningen är värd att nämna uttryckligen i begränsningsavsnittet nedan, och det är ytterligare en anledning att para ihop SNMP-polling med DSM:s egen granskningsloggning snarare än att behandla SNMP som en komplett övervakningslösning i sig.

SNMP-härdningschecklista för vormetrisk DSM

1. Ersätt standardsträngen "public" i community-fältet med ett unikt värde som inte är en del av ordboken omedelbart efter att SNMP har aktiverats.
2. Fyll SNMP ACL med endast IP-adresserna till dina faktiska övervakningsservrar. Lämna aldrig fältet tomt.
3. Begränsa SNMP-åtkomst även på nätverkslagret, med en brandväggsregel som begränsar port 7025 och 161 till övervakningssubnätet, snarare än att enbart förlita sig på DSM ACL.
4. Överallt där plattformen du kör stöder SNMPv3, använd den alltid med autentisering och sekretess (authPriv) snarare än SNMPv1 eller SNMPv2c. Bekräfta vilka SNMP-versioner som stöds i administratörsguiden för din specifika DSM- eller CipherTrust Manager-version innan du antar att SNMPv3 är tillgängligt eller inte.
5. Behandla OID-utdata som känsliga. Versions-, fingeravtrycks- och licensdata är användbara rekognoseringsdata för en angripare, så skydda själva övervakningsvägen, inte bara den enhet som övervakas.
6. Rotera communitysträngen enligt ett schema och efter en eventuell administratörsbyte, på samma sätt som du skulle rotera vilken annan delad autentiseringsuppgift som helst.
7. Eftersom DSM inte stöder traps, ange ett avfrågningsintervall som är tillräckligt kort för att upptäcka disk-, licens- och klusterproblem innan de eskalerar, och varna för en nod som slutar svara på SNMP GET-förfrågningar.
8. Granska IP-adresserna för SNMP-frågekällor regelbundet för att upptäcka skanningsaktivitet eller pollning från en värd som inte finns med på listan över godkända övervakningsenheter.

Uppdateringslogg: DSM:s namngivning och status för slut på support

Thales stöd för Vormetric Data Security Manager upphörde den 30 juni 2024. Organisationer som fortfarande kör DSM i produktion arbetar efter det datumet på en plattform som inte stöds, och Thales positionerar CipherTrust Manager, tillsammans med CipherTrust Data Security Platform Connector-familjen, som den framtida migreringsvägen.

Den här artikeln behåller namnet ”Vormetric DSM” eftersom det är den distribuerade verkligheten för organisationer som fortfarande kör äldre instanser, och eftersom det är så läsare söker efter exakt detta SNMP-beteende. Om en plattform redan har uppgraderats gäller samma SNMP-koncept, agent, MIB, OID, ACL, community-sträng, för CipherTrust Managers egen SNMP-konfigurationssida, och versionsspecifika detaljer, inklusive om SNMPv3 är tillgängligt i din installerade version, bör verifieras direkt mot administratörsguiden för den versionen snarare än att antas utifrån den här artikeln. Encryption Consultings guide till uppgradering från Vormetric DSM och migrering till CipherTrust Manager täcker den bredare övergången.

Vilka är begränsningarna med SNMP-övervakning på DSM?

• Den här artikeln återspeglar offentligt dokumenterade riktlinjer för DSM-administration. Den ersätter inte SNMP-konfigurationssidan i din specifika DSM- eller CipherTrust Manager-version, eftersom exakta OID:er, standardportar och versioner som stöds kan ändras mellan versioner.
• Vi kunde inte bekräfta utifrån den offentliga Thales-dokumentationen om nuvarande CipherTrust Manager-versioner lägger till SNMPv3-stöd utöver vad DSM erbjuder. Betrakta det som något att verifiera i din versions administratörsguide snarare än att anta någotdera.
• DSM:s SNMP-implementering är skrivskyddad övervakning. Den ersätter inte centraliserad logghantering, SIEM-integration eller DSM:s egen granskningsloggning för säkerhetsrelevanta händelser som nyckelåtkomst eller policyändringar.
• Detektering via SNMP-polling är bara så snabb som det konfigurerade pollningsintervallet, eftersom DSM inte har någon trap-baserad push-notifiering.
• OID-tabellen ovan återspeglar den Vormetric-specifika MIB som dokumenterats i Thales administrationsguide. Den är inte uttömmande över alla System Group MIB-objekt som DSM exponerar.

Shell-skript

Encryption Consulting utvecklade nyligen ett shell-skript för en av sina kunder, som utnyttjar DSM:s SNMP-funktionalitet för att automatisera processen att hämta parametrarna som beskrivs ovan. Det kan köras på distans från en Linux- eller Unix-värd och innehåller de kommandon som behövs för att fråga DSM med hjälp av OID:erna som anges i tabellen.

Vad skulle krypteringskonsulter rekommendera?

SNMP-avsökning ger dig en användbar och enkel signal om DSM:s eller CipherTrust Managers drifttid, disk-, licens- och klusterhälsa, men det är inte ett komplett driftprogram i sig självt, och det är inte utformat för att fånga upp varje säkerhetsrelevant händelse på egen hand. Vi skulle behandla det som en indata tillsammans med DSM:s egna granskningsloggar och, där plattformen stöder det, SIEM-integration, snarare än det enda övervakningslagret som skyddar en nyckelhanteringsplattform.

För team som fortfarande kör DSM efter dess slutdatum för support i juni 2024, eller hanterar en CipherTrust Manager-miljö över flera kluster och moln, är den operativa disciplinen vanligtvis lättare att upprätthålla med dedikerad support än med en enda administratörs anpassade skript. Encryption Consultings Encryption Advisory Services och HSM-as-a-Service täcker båda nyckelhanteringsplattformsdrift, inklusive härdning, övervakning och migreringsplanering för Vormetric DSM- och CipherTrust Manager-miljöer; se även vår artikel om de operativa skälen till att team söker dedikerad CipherTrust Manager-support . Encryption Consulting är ISO/IEC 27001:2022- och SOC 2-certifierat, och vårt rådgivningsarbete ligger parallellt med samma nyckelhanteringsinfrastruktur som den här artikeln beskriver.

Slutsats

Att konfigurera SNMP på Vormetric DSM ger en SNMP-server användbar insyn i kontaktinformation, fysisk plats, version, fingeravtryck, servertid, licens- och HA-konfiguration, samt disk- och systemanvändning, allt genom en liten uppsättning Vormetric-specifika OID:er. Men DSM:s SNMP-implementering stöder bara de äldre, klartextversionerna av SNMPv1 och SNMPv2c och har inget stöd för trap, så funktionen måste aktiveras avsiktligt, bakom en begränsad ACL och en icke-standard community-sträng, snarare än att vara aktiverad med fabriksinställningar. Med DSM självt förbi sitt slutdatum för support i juni 2024, behandla detta SNMP-beteende som en brygga för äldre miljöer och planera den underliggande migreringen till CipherTrust Manager bredvid det.

Vanliga frågor om partihandel med mat och dryck

Stöder Vormetric DSM SNMPv3? Nej. DSM stöder endast SNMPv1 och SNMPv2c, vilka båda autentiserar förfrågningar med en community-sträng i klartext. Det finns inget SNMPv3-alternativ i DSM, så härdning förlitar sig istället på en strikt ACL, en community-sträng som inte är standard och begränsningar på nätverksnivå.

Vilken port lyssnar DSM på efter SNMP-förfrågningar? DSM svarar på SNMP GET-förfrågningar på port 7025 som standard, eller på standard-SNMP-port 161, beroende på konfiguration.

Stöder DSM SNMP-fällor? Nej. DSM svarar bara på SNMP-förfrågningar; den kan inte skicka oönskade fällmeddelanden. Övervakning är pollingbaserad, så pollingintervallet avgör hur snabbt en förändring upptäcks.

Stöds Vormetric DSM fortfarande av Thales? Nej. Vormetric DSM och dess agenter upphörde att stödjas den 30 juni 2024. Thales positionerar CipherTrust Manager och CipherTrust Data Security Platform Connector-familjen som migreringsväg för organisationer som fortfarande kör DSM.

Vad är standard DSM SNMP community-strängen, och varför måste den ändras? Fabriksinställningen är "public". Eftersom SNMPv1 och SNMPv2c behandlar community-strängen som sin enda autentiseringsuppgift och skickar den i klartext, tar det effektivt bort autentiseringen för alla som kan nå SNMP-porten om den lämnas kvar på standardinställningen, vilket är anledningen till att den bör ändras till ett unikt värde så snart SNMP är aktiverat.

Referensprojekt

• Thales Vormetric DSM-administrationsguide, thalesdocs.com
• Produkt och sida om slut på support för Vormetric Data Security Manager, Thales-gruppen
• RFC 1157: Ett enkelt nätverkshanteringsprotokoll (SNMP), IETF
• RFC 3411: En arkitektur för att beskriva SNMP-hanteringsramverk, IETF
• RFC 3414: Användarbaserad säkerhetsmodell (USM) för SNMPv3, IETF
• RFC 3415: Vybaserad åtkomstkontrollmodell (VACM) för SNMP, IETF