Wie kann ich feststellen, ob mein Zertifikat gültig oder abgelaufen ist?
Die GraphQL-basierte Abfragesprache von Mondoo, MQL, ermöglicht es Ihnen, schnell Informationen über einen SSL/TLS-Endpunkt zu sammeln.
Wenn Sie es noch nicht installiert haben cnquery, folge unseren Anleitung. Nach der Installation können Sie Informationen über die gesamte Zertifikatskette sammeln, ob das Zertifikat gültig ist, gesperrt ist, ob es sich um ein CA-Zertifikat handelt und über das Ablaufdatum des Zertifikats:
tls.certificates { subject expiresIn isRevoked isVerified isCA }
Wir haben eine bestimmte hinzugefügt Abfragepaket zur Reaktion auf SSL/TLS-Zertifikatsvorfälle um schnell alle Daten über den SSL/TLS-Endpunkt zu sammeln. Sie können das SSL/TLS-Zertifikat und die Verschlüsselungskonfiguration einer Domain validieren.
Um ein SSL/TLS-Zertifikat und die Konfiguration einer Domain zu überprüfen, führen Sie Folgendes aus:
$ cnquery scan host example.com --querypack mondoo-ssl-tls-certificate-incident-response
Wie kann ich sicherstellen, dass keine unverifizierten oder abgelaufenen SSL/TLS-Zertifikate verwendet werden?
Nachdem Sie alle SSL/TLS-Zertifikate aktualisiert haben, sollten Sie sicherstellen, dass keine neuen Systeme das abgelaufene SSL/TLS-Zertifikat verwenden und dass Sie 90 Tage vor Ablauf eines SSL-/TLS-Zertifikats eine entsprechende Meldung erhalten.
Wir haben eine hinzugefügt neue TLS-Sicherheitsrichtlinie zu cnspec, das die SSL/TLS-Zertifikate und -Konfigurationen validiert.
Wenn Sie es noch nicht installiert haben cnspec, folge unseren Anweisungen.
cnspec erzwingt die richtigen Einstellungen durch Steuerelemente, die MQL-Abfragen verwenden. Mit dieser Abfrage können Sie überprüfen, ob das Zertifikat nicht abgelaufen ist. Ebenso verschlechtert sich die Punktzahl, wenn sich das Ablaufdatum nähert:
switch {
case tls.certificates.first.expiresIn.days > 150: score(100);
case tls.certificates.first.expiresIn.days > 120: score(70);
case tls.certificates.first.expiresIn.days > 90: score(50);
case tls.certificates.first.expiresIn.days > 60: score(20);
case tls.certificates.first.expiresIn.days > 30: score(9);
default: score(0);
}
Die vollständige Richtlinie ist verfügbar unter Github.
cnspec scan host mondoo.com -f cnspec-policies/core/mondoo-tls-security.mql.yaml
Erfolgreich, jetzt solltest du startklar sein! Sie können diesen Prozess gerne selbst ausführen und sicherstellen, dass Sie so sicher wie möglich sind.
