Abgelaufene Zertifikate gibt es nicht nur auf Ihren Websites. Sie verstecken sich in Druckern, IP-Kameras, USV-Karten, Server-BMCs, Hypervisoren, Load Balancern und den Management-Interfaces der Netzwerktechnik, wo kein Zertifikatsmanager je hinsieht. ConnectMyAssets liest das Zertifikat jedes TLS-Dienstes, den seine Netzwerkscans finden, meldet abgelaufene, ablaufende und selbstsignierte SSL-Zertifikate und sendet Ablauf-Alarme vor dem Enddatum, mit der von Ihnen gewählten Vorlaufzeit.
Demo anfordernEin Zertifikat, das auf einem Load Balancer, einem LDAPS-Server oder einem Hypervisor abläuft, legt über Nacht Integrationen, Anmeldungen und Backups lahm. Erhalten Sie den Alarm Wochen vorher, mit Host, Port und Enddatum, und erneuern Sie rechtzeitig.
Drucker, Kameras, USV-Karten und BMCs werden mit selbstsignierten Zertifikaten ausgeliefert, die Anwender lehren, Browserwarnungen wegzuklicken. Listen Sie sie alle auf, entscheiden Sie, welche durch Zertifikate Ihrer Zertifizierungsstelle ersetzt werden, und verfolgen Sie den Fortschritt.
Finden Sie jeden Dienst, der noch TLS 1.0 oder 1.1 aushandelt, jeden kurzen RSA-Schlüssel und jeden veralteten Signaturalgorithmus mit einer Regel aus wenigen Bedingungen.
Melden Sie jedes Zertifikat, das nicht von Ihrer internen CA ausgestellt wurde, und jedes Wildcard-Zertifikat, das dort eingesetzt wird, wo es nicht hingehört.
Zeigen Sie Auditoren ein datiertes Inventar der im Netzwerk präsentierten Zertifikate und der bearbeiteten Alarme, ein nützlicher Nachweis für die Kryptografie-Kontrollen von NIS2 und ISO 27001.
Kein separates Tool und keine URL-Liste zu pflegen: Jeder TLS-Dienst, den die Discovery auf einem geprüften Port findet, wird gelesen, gespeichert und ausgewertet.
Für jeden TLS-Port: Subject, Common Name, alternative Namen, Aussteller, Gültigkeitsdaten, selbstsigniert oder nicht, Schlüsseltyp und -länge, Signaturalgorithmus und ausgehandelte TLS-Version (1.0 bis 1.3).
Jedes Zertifikat nach seinem Enddatum löst einen Alarm aus, der Host, Port und Datum nennt. Der Alarm schließt sich von selbst, sobald der Dienst wieder ein gültiges Zertifikat präsentiert.
Wählen Sie, wie viele Tage vor dem Enddatum Sie gewarnt werden möchten: standardmäßig 30, von 1 bis 730 Tagen. Nutzen Sie unterschiedliche Vorlaufzeiten je Gerätegruppe, zum Beispiel eine längere dort, wo Erneuerungen ein Wartungsfenster brauchen.
Ein Zertifikat, das mit seinem eigenen Schlüssel statt von einer Zertifizierungsstelle signiert ist, wird an jedem Port gemeldet, an dem es präsentiert wird, sodass Sie genau wissen, welche Interfaces noch Werkszertifikate nutzen.
Schreiben Sie eigene Bedingungen auf Aussteller, Subject und alternative Namen, Daten, Schlüssel, Signaturalgorithmus, TLS-Version, Dienst und Port: „Aussteller enthält nicht unsere Root-CA“, „TLS 1.0 oder 1.1“, „Wildcard auf Port 443“.
Die Zertifikatsprüfungen decken die Geräte Ihres Inventars ab und, wenn Sie möchten, jeden von der Discovery gefundenen Host, nicht verwaltete Geräte eingeschlossen: Drucker, Kameras, USVs, BMCs, Appliances, für die Sie keine Zugangsdaten haben.
Ein Alarm je Host und Port in Soron: bestätigen, zuweisen, beheben oder stummschalten, eine Ausnahme mit Enddatum anlegen und das richtige Team in der Anwendung, per E-Mail, Syslog oder Webhook benachrichtigen.
Zertifikate werden nach jedem Scan und zusätzlich alle fünf Minuten geprüft: Ein Zertifikat, das zwischen zwei Scans sein Enddatum überschreitet, wird gemeldet, ohne auf den nächsten zu warten.
Für Security-Engineers: woher die Zertifikate kommen, was geprüft wird und was nicht.
Findet ein Scan einen geprüften Port offen, sendet die Erkennung ein TLS-ClientHello und hält das präsentierte Zertifikat und die ausgehandelte Version fest. HTTPS, LDAPS, IMAPS, WinRM über TLS und alternative Ports wie 8443 oder 9443 werden alle abgedeckt, sobald sie aktiviert sind.
ConnectMyAssets hält fest, was präsentiert wird, und meldet Fakten: Daten, Aussteller, selbstsigniert. Es trifft keine eigene Vertrauensentscheidung, sodass ein Zertifikat Ihrer privaten Zertifizierungsstelle nie für einen Fehler gehalten wird.
Scans bewahren das Serverzertifikat jedes Ports auf. Um die gesamte Kette eines Dienstes zu prüfen, zeigt das Werkzeug „Certificate“ der Host-Toolbox jedes Zertifikat, seine alternativen Namen, seinen Schlüssel und seinen Signaturalgorithmus.
Ein Zertifikat läuft allein durch Zeitablauf ab. Detektoren werden nach jedem Scan, alle fünf Minuten und täglich über ihren gesamten Bereich ausgewertet, und ein Alarm öffnet sich wieder, wenn ein abgelaufenes oder selbstsigniertes Zertifikat zurückkehrt.
Drucker- und Industrieprotokoll-Ports sind vorab erkannt und standardmäßig von Audits ausgenommen. Wenn Sie sie aktivieren, erhalten sie nie ein ClientHello: Die Erkennung hört dort nur zu. Scan-Regeln entscheiden Subnetz für Subnetz, ob Ports überhaupt geprüft werden.
Schalten Sie 443, 8443, 636 und die übrigen TLS-Ports ein, die Sie prüfen möchten.
Starten oder planen Sie einen Scan: Jedes präsentierte Zertifikat wird gelesen und gespeichert.
Wählen Sie Vorlaufzeit, Bereich und Ihre eigenen Zertifikatsregeln.
Erneuern Sie das Zertifikat: Der Alarm schließt sich beim nächsten Scan, der das neue sieht.
Bereiten Sie Ihr Projekt vor und legen Sie Ihren Umfang fest.
Aktivieren Sie die zu prüfenden TLS-Ports (443, 8443, 636...) und starten Sie einen Netzwerkscan. ConnectMyAssets liest das Zertifikat jedes gefundenen TLS-Dienstes und löst für jedes abgelaufene einen Alarm aus, mit Host, Port und Enddatum. Keine URL-Liste zu pflegen: Jedes antwortende Gerät ist abgedeckt.
Ein selbstsigniertes Zertifikat ist mit seinem eigenen Schlüssel statt von einer Zertifizierungsstelle signiert. Browser können es nicht prüfen, also lernen Anwender, Warnungen zu akzeptieren, wodurch Abfangangriffe leichter übersehen werden. ConnectMyAssets listet jedes in Ihrem Netzwerk präsentierte selbstsignierte Zertifikat auf, damit Sie die wichtigen ersetzen können.
Die Vorlaufzeit legen Sie fest, von 1 bis 730 Tagen vor dem Enddatum, standardmäßig 30 Tage. Regeln werden je Gerätegruppe definiert, sodass verschiedene Teams mit unterschiedlichen Vorlaufzeiten arbeiten können.
Jeder IPv4-Host, den Ihre Scans erreichen, und jeder TCP-Port, den Sie prüfen: Drucker, IP-Kameras, USV-Karten, Server-BMCs, Hypervisoren, Load Balancer, Firewalls und Switches, Web- und Verzeichnisserver. Hosts, die sich nicht per SSH erfassen lassen, sind ebenfalls abgedeckt, wenn Sie die Regel auf jeden gefundenen Host ausweiten.
Nein. Ein Zertifikat wird jedem präsentiert, der eine TLS-Verbindung öffnet, daher liest ConnectMyAssets es aus dem Netzwerk, ohne Agent und ohne Anmeldung.
Ja. Die ausgehandelte TLS-Version wird für jeden Port festgehalten, und eine eigene Regel wie „TLS-Version ist 1.0 oder 1.1“ löst für jeden betroffenen Dienst einen Alarm aus. Dieselben Regeln funktionieren für Schlüssellänge und Signaturalgorithmus.
Scans halten das Serverzertifikat jedes Ports fest und melden Fakten (Daten, Aussteller, selbstsigniert), ohne das Vertrauen zu bewerten. Das Werkzeug „Certificate“ der Host-Toolbox zeigt die vollständige Kette eines Dienstes, wenn Sie sie prüfen müssen.
Nein. ConnectMyAssets prüft und alarmiert; die Erneuerung bleibt bei Ihrer PKI und Ihren gewohnten Tools. Sobald ein Zertifikat erneuert ist, sieht der nächste Scan es, und der Alarm schließt sich von selbst.
Sehen Sie, was ConnectMyAssets für Ihr Team verändern kann. Auf Ihrer Infrastruktur, mit Ihren Anforderungen.
Demo anfordern