Integrationsguide för Linux System Trust Store

Översikt

Den här guiden konfigurerar CBOM Secure Discover_Files-sensorn för att skanna Linux-systemkataloger för förtroendekataloger efter certifikattillgångar, skrivskyddade:

  • CA-rot- och mellanliggande certifikat (PEM och DER)
  • Anpassade CA-certifikat tillagda av administratörer
  • Förtroendeankarcertifikat som används av operativsystemet och applikationerna
  • Utgångna, återkallade eller snart utgående certifikat i förtroendearkivet

Kataloger som täcks: /etc/ssl/certs/ och /usr/local/share/ca-certificates/ (Debian/Ubuntu), /etc/pki/tls/certs/ och /etc/pki/ca-trust/source/ (RHEL-familjen).

Förutsättningar

  • root- eller sudo-åtkomst på värden som ska skannas.
  • En distribution som stöds (Debian 10+/Ubuntu 20.04+, eller RHEL/CentOS/Alma/Rocky/Fedora).
  • Den installerade CBOM-sensoragenten (eller agentlös nätverksåtkomst).
  • CBOM-plattformens slutpunkt och en giltig sensortoken; utgående HTTPS (443); openssl på värden.

Steg-för-steg-guide

Steg 1: Skapa ett konto för skanner med låg behörighet

sudo useradd -r -s /sbin/nologin -d /nonexistent -c "CBOM Scanner Service Account" cbom-scanner id cbom-scanner

Steg 2: Verifiera läsåtkomst till betrodda arkivkataloger

Kataloger för betrodda butiker är vanligtvis läsbara för alla. Verifiera och bevilja läs+kör om det saknas:

ls -ld /etc/ssl/certs/ /usr/local/share/ca-certificates/ sudo chmod o+rx /etc/ssl/certs/ # endast om det inte redan är läsbart sudo -u cbom-scanner openssl x509 -in /etc/ssl/certs/DigiCert_Global_Root_CA.pem -noout -subject -dates

Steg 3: Konfigurera CBOM Secure Sensor

sensor: namn: Discover_Files aktiverad: sant anslutning: plattformsurl: "https://cbom.your-organization.com" auth_token: "${CBOM_SENSOR_TOKEN}" verify_tls: sant identitet: run_as_user: cbom-scanner scan_targets: - id: debian_ubuntu_system_certs sökväg: /etc/ssl/certs/ rekursiv: sant file_patterns: ["*.pem", "*.crt", "*.cer", "*.der", "ca-certificates.crt"] - id: debian_ubuntu_custom_cas sökväg: /usr/local/share/ca-certificates/ file_patterns: ["*.crt", "*.pem"] - id: rhel_system_certs sökväg: /etc/pki/tls/certs/ file_patterns: ["*.pem", "*.crt", "ca-bundle.crt"] - id: rhel_trust_anchors sökväg: /etc/pki/ca-trust/source/ file_patterns: ["*.pem", "*.crt", "*.p7b"] scan_options: parse_bundles: true include_expired: true schedule_cron: "0 2 * * *"

Placera konfigurationsfilen under /etc/cbom/sensors/ (chmod 640, ägs av root:cbom-scanner) och skapa loggkatalogen.

Steg 4: Validera

sudo -u cbom-scanner cbom-sensor scan \ --config /etc/cbom/sensors/discover-files-linux-truststore.yaml --dry-run --verbose

Bekräfta att certifikatfiler hittas per sökväg och verifiera sedan under Tillgångar → Certifikat filtrerade efter Källa: Discover_Files och din värd, med ämne/utfärdare/utgångsdatum/algoritm ifyllt.

Vanliga fel

Åtkomst nekad att läsa certifikatkatalogen

Orsak: cbom-scanner saknar läs/körning på katalogen.

Lösning: chmod o+rx katalogen och bekräfta med sudo -u cbom-scanner ls.

Autentiseringstoken ogiltig eller utgången (401)

Orsak: auth_token är felaktig, har löpt ut eller har återkallats.

Lösning: Generera en ny sensortoken (Inställningar → Sensortokens), uppdatera konfigurationen och starta om.

Inga certifikatfiler hittades i sökvägen

Orsak: Felaktiga distributionssökvägar, eller så använder filer andra filtillägg.

Lösning: Inaktivera icke-tillämpliga mål och lägg till observerade tillägg till file_patterns.

Säkerhetsrekommendationer

  • cbom-scanner-kontot får inte ha sudo, inget shell och endast åtkomst till certifikatkataloger.
  • Rikta aldrig sensorn mot kataloger med privata nycklar (/etc/ssl/private/, /etc/pki/tls/private/).
  • Skydda konfigurationsfilen (root-ägd, läge 640) — den innehåller plattformstoken.
  • Rotera sensortokens var 90:e dag.
  • Använd auditd för att logga cbom-scanner-filåtkomst.

Slutsats

Sensorn Discover_Files tillhandahåller skrivskyddad identifiering av alla X.509-certifikat i Linux-systemets förtroendearkiv i Debian- och RHEL-familjer, under ett dedikerat konto med låg behörighet – vilket ger fullständig insyn i CA-certifikat, anpassade förtroendeankare och svaga/utgångna certifikat i CBOM Secure.