PKI Trust Auditor: guía de administración para evaluar la seguridad de ADCS

PKI Trust Auditor descubre y evalúa la infraestructura Active Directory Certificate Services (ADCS), y genera evidencias e informes sobre su estado de seguridad. El contenido de esta página resume las funciones y el flujo de auditoría; para obtener la referencia completa de controles y parámetros, consulte la guía del usuario de PKI Trust Auditor.

Funciones principales

• Descubrimiento automático de autoridades de certificación en Active Directory.
• Auditorías de conectividad, configuración, plantillas, criptografía, operaciones y permisos.
• Informes JSON, CSV, Web y consola.
• Menú de consola interactivo con salida codificada por colores.
• Configuración mediante `parameters.json` y archivos de evidencia detallados por control.
• Aplicación Web interactiva con visualizaciones.

Requisitos previos

• Runtime .NET 9.0 o posterior.
• Entorno Windows con conectividad a Active Directory.
• Cuenta de dominio con los permisos mínimos documentados para leer Active Directory y consultar CA mediante WMI/PowerShell remoting.
• Conectividad con los servidores CA. Los puertos TCP indicados incluyen 135 (WMI) y 5985/5986 (WinRM).

Use el principio de mínimo privilegio; no ejecute auditorías con permisos de Domain Admin o Enterprise Admin salvo que sean necesarios y estén aprobados.

Primeros pasos

Ejecute `PKI_Trust_Auditor.exe` para abrir el menú interactivo. Las opciones incluyen auditoría completa, resumen CLI, informe WebUI, descubrimiento de CA y pruebas específicas de conectividad, configuración, operaciones, criptografía y plantillas.

También puede ejecutar operaciones desde la línea de comandos:

• Ayuda: PKI_Trust_Auditor.exe --help
• Auditoría completa: PKI_Trust_Auditor.exe --tests full
• Auditoría de configuración: PKI_Trust_Auditor.exe --tests config
• Auditoría criptográfica: PKI_Trust_Auditor.exe --tests crypto
• Auditoría de plantillas: PKI_Trust_Auditor.exe --tests templates
• Pruebas de conectividad: PKI_Trust_Auditor.exe --tests connectivity
• Informe Web: PKI_Trust_Auditor.exe --report
• Limpiar caché: PKI_Trust_Auditor.exe --clear
• Versión: PKI_Trust_Auditor.exe --version

Configuración mediante parameters.json

Use `parameters.json` para ajustar las auditorías. Entre los parámetros documentados figuran:

• `DomainOverride`: DN del dominio, por ejemplo `DC=yourdomain,DC=com`.
• `CA-CRYPTO-001`: tamaño mínimo de clave; el ejemplo utiliza 2048 bits.
• `CA-CRYPTO-002`: lista de algoritmos no permitidos, por ejemplo MD5, SHA1, DES, RC4 y 3DES.
• `CA-TEMPLATE-001`: habilitación de validación de restricciones de plantilla.
• `CA-OPS-002`: límites de expiración de certificados.

Revise los valores de ejemplo y ajústelos a los requisitos criptográficos y de cumplimiento de su organización.

Áreas de auditoría

Conectividad

Comprueba WMI/SMB, PowerShell remoting y los privilegios del usuario (PKI-TEST-001 a PKI-TEST-003).

Configuración

Examina el registro de CA, plantillas, Authority Information Access (AIA), puntos CRL, CAPolicy.inf y exportación de plantillas PowerShell (CA-CONFIG-001 a CA-CONFIG-006).

Operaciones

Comprueba el servicio CertSvc, expiración y extensiones de certificados CA, accesibilidad de AIA/CDP/CRL, descargas y el filtro de auditoría (CA-OPS-001 a CA-OPS-009).

Plantillas y criptografía

Valida restricciones y banderas de plantillas, tamaños de clave, versiones de esquema y CSP; examina tamaño de clave, algoritmos débiles, EKU y Basic Constraints en certificados CA (CA-TEMPLATE-001 a CA-TEMPLATE-005; CA-CRYPTO-001 a CA-CRYPTO-004).

Permisos

Compara los administradores CA con las identidades principales permitidas (CA-PERM-001).

Ejecutar una auditoría completa

Desde el menú interactivo, seleccione la opción de auditoría completa, o ejecute PKI_Trust_Auditor.exe --tests full. La auditoría valida privilegios, descubre CA, prueba conectividad y ejecuta controles de configuración, operaciones, plantillas, criptografía y permisos.

Resultados e informes

Los resultados se guardan en `Audit-Results/`. La salida incluye `PKI-Audit.json`, `PKI-Audit.csv`, archivos descargados `.cer` y `.crl`, y evidencias individuales `.txt` o `.json`. Los informes incluyen metadatos de control, marcas de tiempo, resultados, evidencias, estado de cumplimiento y recomendaciones.

El informe Web ofrece resumen visual, detalles por control, filtros, búsqueda y exportación. Puede filtrar por Certificate Authority, estado, gravedad o Control ID.

Solución de problemas

• WMI: compruebe conectividad de red y puerto 135, el servicio WMI y permisos.
• PowerShell remoting: revise WinRM, que PowerShell remoting esté habilitado, certificados HTTPS y conectividad.
• Active Directory: confirme acceso de lectura al contenedor Configuration, DNS y conectividad del controlador de dominio.
• Permisos CA: confirme únicamente los permisos administrativos necesarios.
• parameters.json: valide el formato JSON, los nombres de parámetros y sus valores.
• Rendimiento: ejecute auditorías específicas, prográmelas fuera de horas punta y supervise recursos.

Seguridad y tratamiento de datos

El artículo indica que los resultados se almacenan localmente en `Audit-Results` y que la herramienta usa las credenciales del usuario actual, sin almacenar ni mantener credenciales en caché. Los métodos de comunicación incluyen WMI/DCOM-RPC (135), WinRM (5985/5986), LDAP (389/636) y HTTP/HTTPS. Use cuentas de auditoría dedicadas, segmentación de red, canales cifrados y revisión periódica de permisos. Las evidencias pueden incluir datos sensibles de la infraestructura y deben protegerse.

Recursos

• Guía completa: PKI Trust Auditor - User Guide
• Soporte: [email protected]
• Producto: PKI Trust Auditor