Certificate Monitoring vs Certificate Lifecycle Management

Il Certificate Lifecycle Management (CLM) automatizza l'intero processo del certificato dall'emissione alla scadenza — firma, convalida, distribuzione, rinnovo e revoca. Gli strumenti CLM (come Venafi, AppViewX, Keyfactor) sono completi ma complessi, e richiedono:

• Integrazioni profonde con autorità di certificazione, cloud provider e infrastrutture (Venafi ha oltre 189 integrazioni)
• Implementazioni lunghe, che richiedono mesi per essere distribuite
• Risorse continue significative (il manuale utente di AppViewX conta 2.261 pagine)
• Un investimento sostanziale prima di ottenere valore

Il Certificate Monitoring si concentra sulla visibilità e sull'osservabilità dopo l'emissione dei certificati, rispondendo a domande chiave come: Quando è stato emesso? Dove è distribuito? È configurato correttamente? Scadrà presto? Questo approccio elimina l'onere tecnico delle prime fasi del ciclo di vita e offre informazioni utili entro pochi minuti dall'onboarding.

Red Sift Certificates offre certificate monitoring con:

• Distribuzione rapida (minuti, non mesi)
• Scoperta automatica tramite log di Certificate Transparency, scansioni di rete e integrazioni cloud
• Monitoraggio continuo per scadenze, revoche, configurazioni errate ed emissioni non corrette
• Avvisi ed escalation in tempo reale
• Time-to-value immediato per le organizzazioni che subiscono downtime a causa di certificati scaduti, audit falliti o problemi di security rating

Di cosa hai bisogno? Se non hai visibilità su ciò che accade dopo l'emissione e stai subendo interruzioni o audit falliti, il certificate monitoring è la soluzione. Se non hai ancora automatizzato le prime fasi del ciclo di vita, valuta un CLM — ma abbinalo al certificate monitoring per avere una visibilità completa del tuo parco certificati mentre implementi lo strumento CLM.

I certificati TLS – un tempo chiamati certificati SSL e spesso indicati semplicemente come “certificati” – sono uno dei principali strumenti con cui manteniamo internet sicuro e protetto. I certificati cifrano i dati per garantire che vengano trasmessi in modo privato tra il tuo browser, il sito web che stai visitando e il server del sito.

Ma con l'aumento del numero di servizi richiesti dalla tua organizzazione, aumenta anche la dipendenza dalla crittografia e dai certificati. Dove c'è dipendenza, è probabile che ci sia complessità e ci siano problemi, e dove c'è complessità e ci sono problemi, verrà creata una metodologia. Benvenuti nel mondo del Certificate Lifecycle Management (CLM).

Il ciclo di vita del certificato inizia con la richiesta di firma del certificato (una CSR) e termina alla data di scadenza. I CLM sono stati creati per automatizzare l'emissione, il rinnovo e la distribuzione dei certificati. Dato il numero di passaggi nel processo – e gli errori che possono verificarsi – il CLM è emerso come un modo per i professionisti della sicurezza e dell'IT di tenere sotto controllo il proprio parco certificati.

Il software CLM mira a:

• Automatizzare i processi del ciclo di vita relativi ai certificati.
• Ridurre al minimo i rischi associati alla gestione di un'infrastruttura a chiave pubblica (PKI) complessa.
• Fornire report dettagliati sull'utilizzo dei certificati all'interno dell'organizzazione.

Parlando con altre anime sfortunate come me, incaricate di comprendere e lavorare con la PKI, tendono a emergere tre fornitori di CLM.

• Venafi
• AppViewX
• Keyfactor

La maggior parte dei fornitori tende ad approfondire un po' di più e a parlare inizialmente di Machine Identity Management, ma un buon CLM è una componente fondamentale di una strategia di gestione delle identità di successo. Parlerò di ciascuno di questi fornitori in modo più dettagliato altrove.

“Affrontare la complessità è uno spreco inefficiente e non necessario di tempo, attenzione ed energia mentale. Non c'è mai alcuna giustificazione per far sì che le cose siano complesse quando potrebbero essere semplici.”“Affrontare la complessità è uno spreco inefficiente e non necessario di tempo, attenzione ed energia mentale. Non c'è mai alcuna giustificazione per far sì che le cose siano complesse quando potrebbero essere semplici.” Edward de Bono

Tutti i fornitori di CLM condividono una caratteristica: devono essere tutto per tutti i certificati. Per progettazione, devono essere completi nel loro ambito, in modo da poter firmare, convalidare, emettere, distribuire, revocare e generare report su un certificato. Questo livello di automazione richiede:

• Integrazioni profonde con autorità di certificazione, cloud provider, fornitori di infrastrutture, fornitori di applicazioni, fornitori di hardware e i derivati successivi di questi. Venafi ha 189 integrazioni e continua ad aumentare.
• Implementazione e documentazione complicate. È noto che le implementazioni CLM possono richiedere mesi. AppViewX ha un manuale utente lungo 2.261 pagine.
• Un impegno significativo di risorse da parte di un'organizzazione per distribuirlo e utilizzarlo pienamente.

Questo livello di complessità significa che distribuire e gestire uno strumento CLM è di per sé un difficile programma di lavoro prima ancora di ottenerne valore. Aneddoticamente, ho parlato con diversi team di sicurezza e crittografia che si sono allontanati dal lavoro operativo con questa categoria di strumenti, poiché drena risorse in modo significativo.

Il Certificate Monitoring è interessato all'osservazione dei certificati in alcune, ma non tutte, le fasi del ciclo di vita del certificato. Il Certificate Monitoring mira a porre e rispondere alle seguenti domande su un certificato:

• Quando è stato emesso un certificato?
• Il certificato è stato emesso correttamente?
• Dove è stato distribuito il certificato?
• Il certificato è ancora distribuito?
• Il certificato è stato revocato?
• Il certificato è in scadenza a breve?
• Ci sono ulteriori informazioni sul certificato reperibili nell'account della CA?
• Qual è la configurazione del certificato?

Fondamentalmente, il Certificate Monitoring si occupa di verificare quando un certificato viene emesso e i passaggi necessari per emetterlo. Questo elimina l'onere tecnico e di risorse dei processi e delle integrazioni richiesti nelle prime fasi del ciclo di vita del certificato. Ecco come funziona il certificate monitoring.

• Un certificato viene emesso o scoperto. Questo può avvenire tramite il monitoraggio dei log di Certificate Transparency, una valutazione dell'host, una scansione di rete, oppure tramite un'integrazione cloud con un'Autorità di Certificazione (CA) o un fornitore di cloud computing.
• Il certificato viene verificato. Appartiene a te? È stato installato? Dove è installato? Corrisponde alla tua policy di Certificate Authority Authorization (CAA)? È stato emesso da una CA che ti aspetti di vedere? È conforme al CT? È valido per meno di 398 giorni?
• Dopo la verifica, se c'è un problema con il certificato, l'utente riceverà un'escalation. In caso contrario, l'utente verrà comunque notificato riguardo al certificato per assicurarsi che ne sia a conoscenza.
• Se il certificato è installato, la sua configurazione verrà monitorata continuamente e l'utente verrà notificato di eventuali problemi.
• Se il certificato è installato, verrà monitorato fino alla data di scadenza. Riceverai notifiche in modo da poterlo sostituire prima della scadenza. Verrà inoltre monitorato per eventi di revoca e ti invierà notifiche in caso si verifichino.
• Se il certificato non è installato, inizierà a essere monitorato quando verrà installato.
• Una volta che il certificato non è più installato, verrà automaticamente rimosso dall'account dell'utente.

Questo significa che le informazioni necessarie per supportare la creazione di ticket, il triage e la risoluzione dei problemi vengono fornite entro pochi minuti dall'onboarding, non giorni o addirittura mesi.

Per i clienti di Red Sift Certificates, questo si è tradotto in:

• Poter godersi le vacanze di Natale senza preoccuparsi del downtime che certificati scaduti e mal configurati avrebbero potuto causare, nonostante l'onboarding su Red Sift Certificates fosse avvenuto solo due settimane prima della fine dell'anno.
• Avere, entro sette giorni, un flusso Pub/Sub attivo e funzionante di tutti i certificati appena emessi appartenenti alla propria organizzazione.
• Rilevare, un'ora dopo l'onboarding, un certificato distribuito su un servizio chiave che sarebbe scaduto entro soli tre giorni.
• Poter garantire un livello di servizio secondo cui tutti i certificati verranno sostituiti non meno di 14 giorni prima della loro data di rinnovo.

Se hai bisogno di Certificate Monitoring o di Certificate Lifecycle Management dipende dal problema che hai.

Se la tua organizzazione sta vivendo dolorosi periodi di downtime, imbarazzanti audit falliti, scomode conversazioni a livello di consiglio di amministrazione riguardo a scarsi security rating e rischi da parte di attori esterni malintenzionati a causa di emissioni errate e configurazioni errate, allora il Certificate Monitoring fa per te. Questo sta diventando la norma poiché la maggior parte delle organizzazioni ha già processi CLM in atto per gestire i passaggi fino all'emissione, ma manca di visibilità su ciò che accade successivamente a causa di strumenti poco performanti o mancanza di investimenti.

Se non hai ancora implementato l'automazione per le prime fasi del ciclo di vita del certificato, allora uno strumento CLM potrebbe essere qualcosa da considerare. Ma un prodotto di Certificate Monitoring come Red Sift Certificates dovrebbe essere preso in considerazione come parte di quel percorso. Non solo scoprirai che il prodotto offre una migliore visibilità del tuo parco certificati una volta che il tuo strumento CLM sarà distribuito, ma ti darà visibilità sul tuo parco certificati esistente mentre implementi uno strumento CLM. I nostri metodi di scoperta proprietari fanno sì che il time-to-value richieda minuti e non mesi.

Red Sift Certificates è un'applicazione di Certificate Monitoring senza l'onere creato dalle prime fasi del ciclo di vita. Si concentra invece su strumenti di automazione best-in-class, distribuiti in pochi minuti, che offrono visibilità immediata e continua sul parco certificati di un'organizzazione, sui certificati scaduti, sulle scadenze imminenti, sulle configurazioni errate e sulle emissioni non corrette.

Consulta le nostre guide su come Red Sift Certificates si confronta con Venafi e AppViewX oppure guarda la nostra demo di Red Sift Certificates per saperne di più.