Los certificados caducados no solo están en sus sitios web. Se esconden en impresoras, cámaras IP, tarjetas de SAI, BMC de servidores, hipervisores, balanceadores de carga y en las interfaces de gestión de los equipos de red, donde ningún gestor de certificados mira nunca. ConnectMyAssets lee el certificado de cada servicio TLS que encuentran sus escaneos de red, señala los certificados SSL caducados, a punto de caducar y autofirmados, y envía alertas de caducidad antes de la fecha de fin, con la antelación que usted elija.
Solicitar una demoUn certificado que caduca en un balanceador de carga, un servidor LDAPS o un hipervisor rompe integraciones, inicios de sesión y copias de seguridad de la noche a la mañana. Reciba la alerta semanas antes, con el host, el puerto y la fecha de fin, y renuévelo a tiempo.
Impresoras, cámaras, tarjetas de SAI y BMC se entregan con certificados autofirmados que acostumbran a los usuarios a ignorar las advertencias del navegador. Lístelos todos, decida cuáles sustituir por certificados de su autoridad y siga el avance.
Encuentre cada servicio que aún negocia TLS 1.0 o 1.1, cada clave RSA corta y cada algoritmo de firma obsoleto con una regla de pocas condiciones.
Señale cada certificado que no haya emitido su CA interna y cada certificado comodín desplegado donde no debería estar.
Presente a los auditores un inventario fechado de los certificados presentes en la red y de las alertas tratadas, una evidencia útil para los controles de criptografía de NIS2 e ISO 27001.
Sin herramienta aparte ni lista de URL que mantener: cada servicio TLS que el descubrimiento encuentra en un puerto auditado se lee, se almacena y se evalúa.
Para cada puerto TLS: sujeto, nombre común, nombres alternativos, emisor, fechas de validez, autofirmado o no, tipo y tamaño de clave, algoritmo de firma y versión de TLS negociada (de la 1.0 a la 1.3).
Cada certificado que ha superado su fecha de fin genera una alerta con el host, el puerto y la fecha. La alerta se cierra sola cuando el servicio vuelve a presentar un certificado válido.
Elija con cuántos días de antelación quiere recibir el aviso: 30 por defecto, de 1 a 730 días. Use antelaciones distintas por grupo de equipos, por ejemplo una más larga donde las renovaciones requieren una ventana de cambios.
Un certificado firmado por su propia clave, y no por una autoridad de certificación, se señala en cada puerto donde se presenta, para que sepa exactamente qué interfaces siguen con certificados de fábrica.
Escriba sus propias condiciones sobre el emisor, el sujeto y los nombres alternativos, las fechas, la clave, el algoritmo de firma, la versión de TLS, el servicio y el puerto: «el emisor no contiene nuestra CA raíz», «TLS 1.0 o 1.1», «comodín en el puerto 443».
Las comprobaciones de certificados cubren los activos de su inventario y, si lo desea, cada host encontrado por el descubrimiento, incluidos los equipos no gestionados: impresoras, cámaras, SAI, BMC y appliances de los que no tiene credenciales.
Una alerta por host y puerto en Soron: reconózcala, asígnela, resuélvala o silénciela, añada una excepción con fecha de fin y avise al equipo adecuado en la aplicación, por correo electrónico, syslog o webhook.
Los certificados se comprueban tras cada escaneo y de nuevo cada cinco minutos: un certificado que supera su fecha de fin entre dos escaneos se notifica sin esperar al siguiente.
Para ingenieros de seguridad: de dónde vienen los certificados, qué se comprueba y qué no.
Cuando un escaneo encuentra abierto un puerto auditado, la identificación envía un ClientHello TLS y registra el certificado que presenta el servicio y la versión negociada. HTTPS, LDAPS, IMAPS, WinRM sobre TLS y puertos alternativos como 8443 o 9443 quedan cubiertos una vez activados.
ConnectMyAssets registra lo que se presenta y comunica hechos: fechas, emisor, autofirmado. No toma ninguna decisión de confianza propia, por lo que un certificado de su autoridad privada nunca se confunde con un error.
Los escaneos conservan el certificado de servidor de cada puerto. Para examinar la cadena completa de un servicio, la herramienta Certificate del kit de herramientas del host muestra cada certificado, sus nombres alternativos, su clave y su algoritmo de firma.
Un certificado caduca solo con el paso del tiempo. Los detectores se evalúan tras cada escaneo, cada cinco minutos y cada día sobre todo su ámbito, y una alerta se reabre si vuelve a aparecer un certificado caducado o autofirmado.
Los puertos de impresoras y de protocolos industriales están identificados de antemano y excluidos de las auditorías por defecto. Si los activa, nunca reciben un ClientHello: la identificación solo escucha en ellos. Las reglas de escaneo deciden, subred a subred, si los puertos se auditan o no.
Active el 443, el 8443, el 636 y los demás puertos TLS que quiera auditar.
Lance o programe un escaneo: cada certificado presentado se lee y se almacena.
Elija la antelación, el ámbito y sus reglas de certificados personalizadas.
Renueve el certificado: la alerta se cierra en el siguiente escaneo que detecte el nuevo.
Prepare su proyecto y defina su alcance.
Active los puertos TLS que quiera auditar (443, 8443, 636...) y lance un escaneo de red. ConnectMyAssets lee el certificado de cada servicio TLS encontrado y genera una alerta por cada certificado caducado, con el host, el puerto y la fecha de fin. Sin lista de URL que mantener: cada equipo que responde queda cubierto.
Un certificado autofirmado está firmado por su propia clave y no por una autoridad de certificación. Los navegadores no pueden verificarlo, así que los usuarios se acostumbran a aceptar advertencias, lo que hace más fácil pasar por alto un ataque de interceptación. ConnectMyAssets lista cada certificado autofirmado presente en su red para que pueda sustituir los que importan.
Usted fija la antelación, de 1 a 730 días antes de la fecha de fin, 30 días por defecto. Las reglas se definen por grupo de equipos, de modo que cada equipo de trabajo puede usar su propia antelación.
Cualquier host IPv4 al que lleguen sus escaneos y cualquier puerto TCP que audite: impresoras, cámaras IP, tarjetas de SAI, BMC de servidores, hipervisores, balanceadores de carga, firewalls y switches, servidores web y de directorio. Los hosts que no se pueden recopilar por SSH también quedan cubiertos cuando extiende la regla a todos los hosts encontrados.
No. Un certificado se presenta a cualquiera que abra una conexión TLS, así que ConnectMyAssets lo lee desde la red sin agente y sin iniciar sesión.
Sí. La versión de TLS negociada se registra para cada puerto, y una regla personalizada como «la versión de TLS es 1.0 o 1.1» genera una alerta por cada servicio afectado. Las mismas reglas funcionan con el tamaño de clave y el algoritmo de firma.
Los escaneos registran el certificado de servidor de cada puerto y comunican hechos (fechas, emisor, autofirmado) sin juzgar la confianza. La herramienta Certificate del kit de herramientas del host muestra la cadena completa de un servicio cuando necesita examinarla.
No. ConnectMyAssets audita y alerta; la renovación sigue a cargo de su PKI y de sus herramientas habituales. Una vez renovado un certificado, el siguiente escaneo lo detecta y la alerta se cierra sola.
Descubra lo que ConnectMyAssets puede cambiar para su equipo. En su infraestructura, con sus requisitos.
Solicitar una demo