Zertifikatsüberwachung versus Certificate Lifecycle Management

Certificate Lifecycle Management (CLM) automatisiert den gesamten Zertifikatsprozess von der Ausstellung bis zum Ablauf – Signierung, Validierung, Bereitstellung, Erneuerung und Widerruf. CLM-Tools (wie Venafi, AppViewX, Keyfactor) sind umfassend, aber komplex und erfordern:

• Tiefe Integrationen mit Zertifizierungsstellen, Cloud-Anbietern und Infrastruktur (Venafi verfügt über mehr als 189 Integrationen)
• Langwierige Implementierungen, die Monate in Anspruch nehmen
• Erhebliche laufende Ressourcen (das Benutzerhandbuch von AppViewX umfasst 2.261 Seiten)
• Erhebliche Investitionen, bevor sich ein Mehrwert einstellt

Zertifikatsüberwachung konzentriert sich auf Transparenz und Beobachtbarkeit nach der Ausstellung von Zertifikaten und beantwortet zentrale Fragen wie: Wann wurde es ausgestellt? Wo ist es bereitgestellt? Ist es korrekt konfiguriert? Läuft es bald ab? Dieser Ansatz eliminiert den technischen Aufwand der frühen Lebenszyklusphasen und liefert Erkenntnisse innerhalb von Minuten nach dem Onboarding.

Red Sift Certificates bietet Zertifikatsüberwachung mit:

• Schneller Bereitstellung (Minuten statt Monate)
• Automatischer Erkennung über Certificate-Transparency-Logs, Netzwerk-Scans und Cloud-Integrationen
• Kontinuierlicher Überwachung von Ablauf, Widerruf, Fehlkonfigurationen und Fehlausstellungen
• Echtzeit-Warnungen und Eskalationen
• Sofortigem Mehrwert für Unternehmen, die mit Ausfallzeiten durch abgelaufene Zertifikate, nicht bestandene Audits oder Problemen mit Sicherheitsbewertungen zu kämpfen haben

Was benötigen Sie? Wenn Ihnen die Transparenz darüber fehlt, was nach der Ausstellung geschieht, und Sie Ausfälle oder nicht bestandene Audits erleben, ist Zertifikatsüberwachung die Lösung. Wenn Sie die frühen Lebenszyklusschritte noch nicht automatisiert haben, sollten Sie CLM in Betracht ziehen – kombinieren Sie es aber mit Zertifikatsüberwachung, um während der Implementierung Ihres CLM-Tools umfassende Transparenz über Ihren Zertifikatsbestand zu erhalten.

TLS-Zertifikate – früher SSL-Zertifikate genannt und oft einfach nur „Zertifikate“ genannt – sind eine der zentralen Möglichkeiten, das Internet sicher zu halten. Zertifikate verschlüsseln Daten, um sicherzustellen, dass sie privat zwischen Ihrem Browser, der von Ihnen besuchten Website und dem Website-Server übertragen werden.

Doch mit der wachsenden Anzahl an Diensten, die Ihr Unternehmen benötigt, wächst auch Ihre Abhängigkeit von Verschlüsselung und Zertifikaten. Wo es eine Abhängigkeit gibt, gibt es wahrscheinlich auch Komplexität und Probleme, und wo es Komplexität und Probleme gibt, wird eine Methodik entwickelt. Willkommen in der Welt des Certificate Lifecycle Management (CLM).

Der Zertifikatslebenszyklus beginnt mit der Zertifikatsanforderung (Certificate Signing Request, CSR) und endet mit dem Ablaufdatum. CLMs wurden entwickelt, um die Ausstellung, Erneuerung und Bereitstellung von Zertifikaten zu automatisieren. Angesichts der Anzahl der Schritte im Prozess – und der Fehler, die passieren können – entwickelte sich CLM zu einer Möglichkeit für Sicherheits- und IT-Fachkräfte, ihre Zertifikatsbestände in den Griff zu bekommen.

CLM-Software zielt darauf ab:

• Die Lebenszyklusprozesse rund um Zertifikate zu automatisieren.
• Die mit der Verwaltung komplexer Public-Key-Infrastrukturen (PKI) verbundenen Risiken zu minimieren.
• Detaillierte Berichte über die Zertifikatsnutzung im gesamten Unternehmen bereitzustellen.

Wenn ich mit anderen bedauernswerten Seelen wie mir spreche, die damit beauftragt sind, PKI zu verstehen und damit zu arbeiten, tauchen tendenziell drei CLM-Anbieter auf.

• Venafi
• AppViewX
• Keyfactor

Die meisten Anbieter gehen zunächst etwas tiefer und beginnen, über Machine Identity Management zu sprechen, doch gutes CLM ist eine zentrale Komponente einer erfolgreichen Strategie zur Identitätsverwaltung. Auf die einzelnen Anbieter gehe ich an anderer Stelle näher ein.

„Der Umgang mit Komplexität ist eine ineffiziente und unnötige Verschwendung von Zeit, Aufmerksamkeit und geistiger Energie. Es gibt niemals eine Rechtfertigung dafür, dass Dinge komplex sind, wenn sie einfach sein könnten.“„Der Umgang mit Komplexität ist eine ineffiziente und unnötige Verschwendung von Zeit, Aufmerksamkeit und geistiger Energie. Es gibt niemals eine Rechtfertigung dafür, dass Dinge komplex sind, wenn sie einfach sein könnten.“ Edward de Bono

CLM-Anbieter haben alle eines gemeinsam – sie müssen für alle Zertifikate alles bieten. Ihrer Natur nach müssen sie in ihrem Umfang umfassend sein, damit sie ein Zertifikat signieren, validieren, ausstellen, bereitstellen, widerrufen und darüber berichten können. Dieses Maß an Automatisierung erfordert:

• Tiefe Integrationen mit Zertifizierungsstellen, Cloud-Anbietern, Infrastrukturanbietern, Anwendungsanbietern, Hardwareanbietern und deren Derivaten. Venafi hat 189 Integrationen – Tendenz steigend.
• Komplizierte Implementierung und Dokumentation. Es ist bekannt, dass CLM-Implementierungen Monate dauern können. AppViewX hat ein Benutzerhandbuch, das 2.261 Seiten lang ist.
• Erhebliche gebundene Ressourcen eines Unternehmens, um es bereitzustellen und vollständig zu nutzen.

Dieses Maß an Komplexität bedeutet, dass die Bereitstellung und Verwaltung eines CLM-Tools selbst ein schwieriges Arbeitsprogramm darstellt, bevor Sie überhaupt einen Mehrwert erzielen. Anekdotisch habe ich mit einer Reihe von Sicherheits- und Kryptografie-Teams gesprochen, die sich von der operativen Arbeit mit dieser Kategorie von Tools distanziert haben, da sie erhebliche Ressourcen abziehen.

Zertifikatsüberwachung ist daran interessiert, Zertifikate in einigen, aber nicht allen Phasen ihres Lebenszyklus zu beobachten. Zertifikatsüberwachung zielt darauf ab, folgende Fragen zu einem Zertifikat zu stellen und zu beantworten:

• Wann wurde ein Zertifikat ausgestellt?
• Wurde das Zertifikat korrekt ausgestellt?
• Wo wurde das Zertifikat bereitgestellt?
• Ist das Zertifikat noch bereitgestellt?
• Wurde das Zertifikat widerrufen?
• Läuft das Zertifikat bald ab?
• Gibt es zusätzliche Informationen zum Zertifikat, die im CA-Konto zu finden sind?
• Wie ist das Zertifikat konfiguriert?

Entscheidend ist, dass sich Zertifikatsüberwachung damit befasst, wann ein Zertifikat ausgestellt wird und welche Schritte für die Ausstellung erforderlich sind. Dies eliminiert den technischen und ressourcenbezogenen Aufwand der Prozesse und Integrationen, die in den frühen Phasen des Zertifikatslebenszyklus erforderlich sind. So funktioniert Zertifikatsüberwachung.

• Ein Zertifikat wird ausgestellt oder entdeckt. Dies kann durch Überwachung von Certificate-Transparency-Logs, eine Host-Bewertung, einen Netzwerk-Scan oder durch eine Cloud-Integration mit einer Zertifizierungsstelle (CA) oder einem Cloud-Computing-Anbieter geschehen.
• Das Zertifikat wird überprüft. Gehört es Ihnen? Wurde es installiert? Wo ist es installiert? Entspricht es Ihrer Certificate Authority Authorization (CAA)-Richtlinie? Wurde es von einer CA ausgestellt, die Sie erwarten? Ist es CT-konform? Ist es weniger als 398 Tage gültig?
• Nach der Überprüfung erhält der Nutzer bei einem Problem mit dem Zertifikat eine Eskalation. Falls nicht, wird der Nutzer dennoch über das Zertifikat benachrichtigt, um sicherzustellen, dass er oder sie darüber Bescheid weiß.
• Wenn das Zertifikat installiert ist, wird die Konfiguration des Zertifikats kontinuierlich überwacht und der Nutzer über etwaige Probleme informiert.
• Wenn das Zertifikat installiert ist, wird es bis zum Ablaufdatum überwacht. Sie erhalten Benachrichtigungen, damit Sie es vor Ablauf ersetzen können. Es wird auch auf Widerrufsereignisse überwacht, und Sie erhalten Benachrichtigungen, falls dies geschieht.
• Wenn das Zertifikat nicht installiert ist, beginnt die Überwachung, sobald es installiert wird.
• Sobald das Zertifikat nicht mehr installiert ist, wird es automatisch aus dem Konto des Nutzers entfernt.

Das bedeutet, dass Erkenntnisse zur Unterstützung von Problemerstellung, Triage und Behebung innerhalb von Minuten nach dem Onboarding geliefert werden – nicht erst nach Tagen oder sogar Monaten.

Für Kunden von Red Sift Certificates bedeutete dies:

• Einen Weihnachtsurlaub zu genießen, ohne sich Sorgen über Ausfallzeiten machen zu müssen, die abgelaufene und fehlkonfigurierte Zertifikate verursachen könnten – obwohl das Onboarding bei Red Sift Certificates nur zwei Wochen vor Jahresende erfolgte.
• Innerhalb von sieben Tagen einen Pub/Sub-Stream aller neu ausgestellten Zertifikate des eigenen Unternehmens in Betrieb zu haben.
• Eine Stunde nach dem Onboarding ein Zertifikat zu entdecken, das für einen wichtigen Dienst bereitgestellt war und in nur drei Tagen abgelaufen wäre.
• Ein Service-Level garantieren zu können, das sicherstellt, dass alle Zertifikate spätestens 14 Tage vor ihrem Erneuerungsdatum ersetzt werden.

Ob Sie Zertifikatsüberwachung oder Certificate Lifecycle Management benötigen, hängt von dem Problem ab, das Sie haben.

Wenn Ihr Unternehmen unter schmerzhaften Ausfallzeiten, peinlichen nicht bestandenen Audits, unangenehmen Gesprächen auf Vorstandsebene über schlechte Sicherheitsbewertungen und Risiken durch externe Bedrohungsakteure aufgrund von Fehlausstellungen und Fehlkonfigurationen leidet, dann ist Zertifikatsüberwachung genau das Richtige für Sie. Dies wird zunehmend zur Norm, da die meisten Unternehmen bereits CLM-Prozesse für die Schritte bis zur Ausstellung eingerichtet haben, aber aufgrund schlecht funktionierender Tools oder mangelnder Investitionen keine Transparenz darüber haben, was danach geschieht.

Wenn Sie noch keine Automatisierung für die frühen Schritte im Lebenszyklus des Zertifikats eingeführt haben, könnte ein CLM-Tool etwas sein, das Sie in Betracht ziehen sollten. Aber ein Zertifikatsüberwachungsprodukt wie Red Sift Certificates sollte als Teil dieses Vorhabens berücksichtigt werden. Sie werden nicht nur feststellen, dass das Produkt eine bessere Transparenz über Ihren Zertifikatsbestand bietet, sobald Ihr CLM-Tool eingesetzt ist – es verschafft Ihnen auch Transparenz über Ihren bestehenden Zertifikatsbestand, während Sie ein CLM-Tool implementieren. Unsere proprietären Erkennungsmethoden bedeuten, dass die Zeit bis zum Mehrwert Minuten und nicht Monate in Anspruch nimmt.

Red Sift Certificates ist eine Anwendung zur Zertifikatsüberwachung, ohne den Aufwand, der durch die frühen Schritte des Lebenszyklus entsteht. Stattdessen konzentriert sie sich auf erstklassige, in Minuten bereitgestellte Automatisierungstools, die sofortige und kontinuierliche Transparenz über den Zertifikatsbestand eines Unternehmens, abgelaufene Zertifikate, bevorstehende Ablaufdaten, Fehlkonfigurationen und Fehlausstellungen bieten.

Sehen Sie sich unsere Leitfäden dazu an, wie Red Sift Certificates im Vergleich zu Venafi und AppViewX abschneidet, oder schauen Sie sich unsere Red Sift Certificates-Demo an, um mehr zu erfahren.