Datenquellen

Datenquellen

Das PQC-Scanner-Dashboard unterstützt mehrere externe Datenquellen für den Import und die Synchronisierung kryptografischer Assets. Dies ermöglicht eine zentrale Übersicht über Ihre gesamte kryptografische Infrastruktur.

Gilt für:

DashboardCLIServiceNowCloud KMSHSMGit Providers

Kurzreferenz

Kategorie	Datenquelle	Beschreibung	Status
ITSM / CMDB	ServiceNow	CMDB-Integration mit Incident-Management	Produktion
HSM / KMS	Securosys CloudHSM	Schlüsselinventar des Hardware-Sicherheitsmoduls	Produktion
HSM / KMS	DuoKey KMS	Mandantenfähiger Schlüsselverwaltungsdienst	Produktion
Firewall / Netzwerk	Fortinet FortiGate	Firewall-Zertifikate, VPN, SSL-Inspektion	Produktion
Firewall / Netzwerk	Palo Alto Networks	Next-Gen-Firewall-Zertifikate und VPN-Konfigurationen	Geplant
Firewall / Netzwerk	Check Point	Erkennung von Check-Point-Firewalls und VPN-Gateways	Geplant
Firewall / Netzwerk	F5 BIG-IP	Application Delivery Controller, SSL-Zertifikate, TLS	Geplant
Firewall / Netzwerk	Cisco ASA/Firepower	Cisco-Firewall-Zertifikate und VPN-Konfiguration	Geplant
Firewall / Netzwerk	Barracuda	Erkennung von Barracuda-Firewall- und WAF-Zertifikaten	Geplant
Firewall / Netzwerk	Citrix ADC	Verwaltung von SSL-Zertifikaten für Citrix NetScaler/ADC	Geplant
Firewall / Netzwerk	FortiManager	Zentralisierte Fortinet-Verwaltung und Zertifikatssynchronisierung	Geplant
Cloud KMS	AWS KMS	Amazon Web Services Key Management Service	Produktion
Cloud KMS	Azure Key Vault	Microsoft Azure Key Vault	Beta
Cloud KMS	Google Cloud KMS	Google Cloud Platform Key Management	Beta
Quellcode / Git	GitHub	GitHub-Repositorys und GitHub Enterprise	Produktion
Quellcode / Git	GitLab	GitLab-Repositorys und selbst gehostete Instanzen	Produktion
Quellcode / Git	Azure DevOps	Azure-DevOps-Repositorys und -Pipelines	Produktion
SSH / Schlüssel	SSH-Schlüssel	SSH-Agent, Benutzerschlüssel, authorized_keys, Server-Host-Schlüssel	Produktion
SSH / Schlüssel	Cockpit SSH	Von Cockpit verwaltete SSH-Schlüssel und Zertifikate	Produktion
Netzwerk / TLS	TLS/SSL-Endpunkte	Remote-HTTPS-Endpunkte, Zertifikatsketten, Cipher-Suites	Produktion
Erweitert	Netzwerk-Scanner	Netzwerkweite Erkennung kryptografischer Assets	Geplant
Erweitert	Packet Capture	Erkennung von Post-Quantum-Schlüsselaustausch mittels Paketanalyse	Alpha
Erweitert	Domain/Subdomain	Automatisierte Erkennung über Domains und Subdomains hinweg	Alpha

Überblick

Funktionen der Datenquellen

Importieren

Kryptografische Assets aus externen Systemen importieren

Synchronisieren

Asset-Inventare automatisch synchronisieren

Nachverfolgen

Assets über mehrere Plattformen hinweg nachverfolgen

Integrieren

In bestehende Sicherheitswerkzeuge integrieren

Unterstützte Datenquellen

1. ServiceNow

Integrieren Sie ServiceNow CMDB, um kryptografische Assets zusammen mit anderen IT-Assets nachzuverfolgen.

Funktionen

Bidirektionale SynchronisierungSynchronisierung mit ServiceNow-Tabellen

Automatische Incident-ErstellungFür kritische Funde

Unterstützung eigener TabellenVerwenden Sie Ihre eigenen ServiceNow-Tabellen

Echtzeit-AktualisierungenÜber Webhooks

Konfiguration

Über das Dashboard:

1

Zu den Einstellungen navigieren

Navigieren Sie zu Settings → Data Sources

2

ServiceNow auswählen

Klicken Sie auf der ServiceNow-Karte auf Configure

3

Details eingeben

Feld	Beschreibung	Erforderlich
Instance URL	Ihre ServiceNow-Instanz (z. B. https://company.service-now.com)	Ja
Username	ServiceNow-Benutzername für Basic Auth	Ja*
Password	ServiceNow-Passwort für Basic Auth	Ja*
OAuth Token	OAuth-Token (Alternative zu Benutzername/Passwort)	Ja*
API Table	Name der eigenen Tabelle	Nein (Standard: x_1598283_post_q_0_x_pqc_crypto_asset)
Auto-Create Incidents	Automatisch Incidents für kritische Funde erstellen	Nein (Standard: true)

* Entweder Benutzername/Passwort oder OAuth-Token erforderlich

Über die CLI:

# Set environment variables
export SERVICENOW_INSTANCE="https://company.service-now.com"
export SERVICENOW_USER="admin"
export SERVICENOW_PASSWORD="your-password"
# Or use OAuth token
export SERVICENOW_TOKEN="your-oauth-token"

# Test connection
dke-scanner-agent servicenow --test-connection

# Publish scan results
dke-scanner-agent servicenow --input scan-results.json

Verbindung testen

Über das Dashboard:

1. Klicken Sie auf die Schaltfläche Test Connection
2. Warten Sie auf das Ergebnis: Erfolg oder Fehler
3. Prüfen Sie die Fehlermeldungen, falls die Verbindung fehlschlägt

Über die CLI:

dke-scanner-agent servicenow \
  --instance https://company.service-now.com \
  --token $SERVICENOW_TOKEN \
  --test-connection

---

2. Securosys CloudHSM

Importieren Sie kryptografische Schlüssel aus Securosys CloudHSM zur Bewertung der Quantenbereitschaft.

Funktionen

Direktes HSM-SchlüsselinventarSchlüssel aus HSM-Partitionen auslesen

Analyse der SchlüsselnutzungNutzungsmuster von Schlüsseln nachverfolgen

Algorithmus-KonformitätAlgorithmus-Konformität prüfen

Planung der SchlüsselrotationAutomatisierte Rotationspläne

Konfiguration

Über das Dashboard:

1

Zu den Einstellungen navigieren

Navigieren Sie zu Settings → Data Sources

2

Securosys CloudHSM auswählen

Klicken Sie auf der Securosys-CloudHSM-Karte auf Configure

3

Details eingeben

Feld	Beschreibung	Erforderlich
API URL	API-Endpunkt von Securosys CloudHSM	Ja
API Token	Authentifizierungstoken	Ja
Environment	production, staging oder development	Nein

Generierung des API-Tokens:

1. Melden Sie sich bei der Securosys-CloudHSM-Konsole an
2. Navigieren Sie zu Settings → API Tokens
3. Klicken Sie auf Generate New Token
4. Wählen Sie die Scopes: key:read, key:list
5. Kopieren und speichern Sie das Token sicher

---

3. Fortinet FortiGate

Erkennen Sie kryptografische Assets in Fortinet-FortiGate-Firewalls, einschließlich Zertifikaten, VPN-Konfigurationen und SSL/TLS-Einstellungen.

Funktionen

Erkennung von SSL/TLS-ZertifikatenLokale und CA-Zertifikate

VPN-IPSec-KonfigurationenPhase-1- & -2-Schnittstellen, DH-Gruppen

SSL-VPN-ZertifikateServerzertifikate, TLS-Versionen, Cipher-Suites

Deep-Inspection-ZertifikateZertifikate und Schlüssel der SSL-Inspektion

Konfiguration

Über das Dashboard:

1

Zu den Einstellungen navigieren

Navigieren Sie zu Settings → Data Sources

2

Fortinet FortiGate auswählen

Klicken Sie auf der Fortinet-FortiGate-Karte auf Configure

3

Details eingeben

Feld	Beschreibung	Erforderlich
Base URL	FortiGate-Basis-URL (z. B. https://192.168.1.1)	Ja
API Token	FortiGate-API-Zugriffstoken (Bearer-Token)	Ja
Skip SSL Verify	SSL-Zertifikatsprüfung für selbstsignierte Zertifikate überspringen	Nein (Standard: true)
Timeout	Verbindungs-Timeout in Sekunden	Nein (Standard: 30)

Generierung des API-Tokens

1. Melden Sie sich bei der FortiGate-Weboberfläche an
2. Navigieren Sie zu System → Administrators
3. Erstellen Sie einen neuen REST-API-Administrator
4. Generieren Sie ein API-Token mit den erforderlichen Berechtigungen: certificate (read), vpn.ipsec (read), vpn.ssl (read)
5. Kopieren und speichern Sie das Token sicher

Risikoanalyse

Der Scanner erkennt automatisch:

• Quantenanfällige Algorithmen: RSA-2048, ECDSA, schwache DH-Gruppen
• Schwache TLS-Versionen: TLS 1.0, TLS 1.1
• Zertifikatsablauf: Bevorstehende Ablaufdaten
• Offenlegung privater Schlüssel: Über die API zugängliche Schlüssel
• Schwache VPN-Konfigurationen: DH-Gruppen 1, 2, 5

---

4. AWS KMS

Erkennen und bewerten Sie kryptografische Schlüssel im AWS Key Management Service über mehrere Regionen hinweg.

Funktionen

Regionsübergreifende SchlüsselerkennungScan über AWS-Regionen hinweg

Vom Kunden verwaltete SchlüsselCMK-Analyse

Externe SchlüsselspeicherXKS- und CloudHSM-Schlüssel

Status der SchlüsselrotationAlgorithmus- & Schlüsselspezifikationsanalyse

Konfiguration

Über das Dashboard:

1

Zu den Einstellungen navigieren

Navigieren Sie zu Settings → Data Sources

2

AWS KMS auswählen

Klicken Sie auf der AWS-KMS-Karte auf Configure

3

Details eingeben

Feld	Beschreibung	Erforderlich
AWS Access Key ID	IAM-Zugriffsschlüssel mit KMS-Berechtigungen	Ja
AWS Secret Access Key	Geheimer IAM-Zugriffsschlüssel	Ja
Regions	Zu scannende AWS-Regionen (durch Kommas getrennt)	Ja

Unterstützte Schlüsseltypen

Der Scanner analysiert alle AWS-KMS-Schlüsselspezifikationen:

• Symmetrisch: AES-256, AES-128
• Asymmetrisch RSA: RSA-2048, RSA-3072, RSA-4096
• Asymmetrisch ECC: ECC_NIST_P256, ECC_NIST_P384, ECC_NIST_P521, ECC_SECG_P256K1
• SM2: Chinesischer kryptografischer Standard

Quanten-Risikobewertung

Key Spec	Algorithmus	Quantenanfällig	Risikowert
SYMMETRIC_DEFAULT	AES-256	Nein	Niedrig
RSA_2048	RSA-2048	Ja	Hoch
RSA_3072	RSA-3072	Ja	Mittel
RSA_4096	RSA-4096	Ja	Mittel
ECC_NIST_P256	ECDSA P-256	Ja	Hoch

---

5. Azure Key Vault

Integrieren Sie Microsoft Azure Key Vault für ein umfassendes Schlüssel- und Zertifikatsinventar.

Funktionen

SchlüsselerkennungÜber Abonnements hinweg

ZertifikatsverwaltungVollständiges Zertifikatsinventar

Managed HSMHSM-gestützte Schlüssel

Prüfung der ZugriffsrichtlinienNachverfolgung der Schlüsselversionierung

Konfiguration

Über das Dashboard:

Feld	Beschreibung	Erforderlich
Tenant ID	Azure-AD-Mandantenkennung	Ja
Client ID	Anwendungs-(Client-)ID	Ja
Client Secret	Client-Secret der Anwendung	Ja
Subscription ID	Azure-Abonnement-ID	Ja

Einrichtung des Dienstprinzipals

1. Registrieren Sie eine Anwendung in Azure AD
2. Erstellen Sie ein Client-Secret
3. Weisen Sie Key-Vault-Berechtigungen zu:
   • Rolle Key Vault Reader auf Abonnementebene
   • Key Vault Crypto User für Schlüsseloperationen
   • Key Vault Certificates User für Zertifikate

Unterstützte Operationen

• Alle Key Vaults im Abonnement auflisten
• Schlüssel und Zertifikate aufzählen
• Schlüsseltypen analysieren (RSA, EC, AES)
• Schlüsselgrößen und -kurven prüfen
• Ablaufdaten überprüfen
• Quantenanfälligkeit bewerten

---

6. Google Cloud KMS

Erkennen Sie kryptografische Schlüssel über Projekte der Google Cloud Platform hinweg.

Funktionen

Projektübergreifende ErkennungScan über GCP-Projekte hinweg

Aufzählung der Key RingsVollständiges Key-Ring-Inventar

HSM- & SoftwareschlüsselBeide Schlüsseltypen werden erkannt

Prüfung der IAM-RichtlinienAlgorithmusanalyse & Versionierung

Konfiguration

Über das Dashboard:

Feld	Beschreibung	Erforderlich
Service Account JSON	GCP-Dienstkonto-Anmeldedaten	Ja
Projects	GCP-Projekt-IDs (durch Kommas getrennt)	Ja

Einrichtung des Dienstkontos

1. Erstellen Sie ein Dienstkonto in der GCP-Konsole
2. Weisen Sie Rollen zu:
   • Cloud KMS Viewer
   • Cloud KMS CryptoKey Decrypter (bei Analyse der Schlüsselnutzung)
3. Erstellen und laden Sie einen JSON-Schlüssel herunter
4. Fügen Sie den JSON-Inhalt in die Scanner-Konfiguration ein

Unterstützte Schlüsseltypen

• GOOGLE_SYMMETRIC_ENCRYPTION
• RSA_SIGN_PSS_2048_SHA256
• RSA_SIGN_PSS_3072_SHA256
• RSA_SIGN_PSS_4096_SHA256
• EC_SIGN_P256_SHA256
• EC_SIGN_P384_SHA384

---

7. DuoKey KMS

Integrieren Sie den DuoKey Key Management Service für ein umfassendes Management des Schlüssellebenszyklus.

Funktionen

Zentrales SchlüsselinventarVollständiges Management des Schlüssellebenszyklus

MandantenfähigkeitIsolierung pro Mandant

OAuth-2.0-AuthentifizierungSicherer tokenbasierter Zugriff

Echtzeit-ÜberwachungAutomatisiertes Compliance-Reporting

Konfiguration

Über das Dashboard:

Feld	Beschreibung	Erforderlich
API URL	API-Endpunkt des DuoKey KMS (z. B. https://kms.duokey.com)	Ja
Tenant ID	Mandantenkennung Ihrer Organisation	Ja
Client ID	OAuth-Client-ID	Ja
Client Secret	OAuth-Client-Secret	Ja
Username	KMS-Benutzername	Ja
Password	KMS-Passwort	Ja
Scope	OAuth-Scope	Nein (Standard: default-api)

Authentifizierungsablauf

Der Scanner verwendet den OAuth-2.0-Resource-Owner-Password-Credentials-Flow:

---

8. GitHub

Scannen Sie GitHub-Repositorys auf kryptografische Verwendung im Quellcode, einschließlich GitHub.com und GitHub Enterprise.

Funktionen

Öffentliche & private ReposVollständiges Repository-Scanning

GitHub EnterpriseUnterstützung für selbst gehostete Instanzen

Branch-spezifisches ScannenBeliebigen Branch scannen

GitHub ActionsAutomatisiertes CI/CD-Scanning

Konfiguration

Über die CLI:

# Scan GitHub repository
dke-scanner-agent source-code \
  --github-repo owner/repository \
  --github-token $GITHUB_TOKEN \
  --branch main \
  --output scan-results.json

Parameter	Beschreibung	Erforderlich
--github-repo	Repository im Format owner/repo	Ja
--github-token	Personal Access Token (PAT)	Ja (Umgebungsvariable GITHUB_TOKEN setzen)
--github-url	GitHub-API-URL für Enterprise	Nein (Standard: https://api.github.com)
--branch	Zu scannender Branch	Nein (Standard: main oder master)

Einrichtung des Personal Access Token

1. Gehen Sie in GitHub zu Settings → Developer settings → Personal access tokens
2. Klicken Sie auf Generate new token (classic)
3. Wählen Sie die Scopes:
   • repo (vollständige Kontrolle über private Repositorys)
   • read:org (beim Scannen von Organisations-Repositorys)
4. Generieren und kopieren Sie das Token
5. Setzen Sie die Umgebungsvariable: export GITHUB_TOKEN="ghp_xxxxxxxxxxxx"

---

9. GitLab

Scannen Sie GitLab-Repositorys, einschließlich GitLab.com und selbst gehosteter GitLab-Instanzen.

Funktionen

GitLab.com & selbst gehostetBeide werden unterstützt

Projekt- & Gruppen-ScanningScannen auf beliebiger Ebene

Branch- & MR-AnalyseMerge-Request-Integration

CI/CD-PipelineGitLab-CI-Integration

Konfiguration

Über die CLI:

# Scan GitLab project
dke-scanner-agent source-code \
  --gitlab-project group/project \
  --gitlab-token $GITLAB_TOKEN \
  --branch main \
  --output scan-results.json

Parameter	Beschreibung	Erforderlich
--gitlab-project	Projekt im Format group/project	Ja
--gitlab-token	Personal Access Token oder Project Access Token	Ja (Umgebungsvariable GITLAB_TOKEN setzen)
--gitlab-url	URL der GitLab-Instanz	Nein (Standard: https://gitlab.com)
--branch	Zu scannender Branch	Nein (Standard: main oder master)

Einrichtung des Access Token

Personal Access Token:

1. Gehen Sie in GitLab zu User Settings → Access Tokens
2. Erstellen Sie ein Token mit den Scopes: read_api, read_repository
3. Kopieren Sie das Token und setzen Sie: export GITLAB_TOKEN="glpat-xxxxxxxxxxxx"

Project Access Token:

1. Gehen Sie zu Project → Settings → Access Tokens
2. Erstellen Sie ein Token mit der Rolle: Developer oder Maintainer
3. Wählen Sie die Scopes: read_api, read_repository

---

10. Azure DevOps

Scannen Sie Azure-DevOps-Repositorys mit vollständiger Unterstützung für Azure DevOps Services und Server.

Funktionen

Cloud & On-PremisesUnterstützung für Services und Server

Organisations- & Projekt-ScanningAnalyse mehrerer Repositorys

Pipeline-IntegrationUnterstützung für Azure Pipelines

Erstellung von ArbeitsvorgängenArbeitsvorgänge für Funde erstellen

Konfiguration

Über die CLI:

# Scan Azure DevOps repository
dke-scanner-agent source-code \
  --azdo-org myorg \
  --azdo-project myproject \
  --azdo-repo myrepo \
  --azdo-token $AZDO_TOKEN \
  --branch main \
  --output scan-results.json

Parameter	Beschreibung	Erforderlich
--azdo-org	Organisationsname	Ja
--azdo-project	Projektname	Ja
--azdo-repo	Repository-Name	Ja
--azdo-token	Personal Access Token (PAT)	Ja (Umgebungsvariable AZDO_TOKEN setzen)
--azdo-url	Azure-DevOps-URL	Nein (Standard: https://dev.azure.com)
--branch	Zu scannender Branch	Nein (Standard: main)

Einrichtung des Personal Access Token

1. Gehen Sie in Azure DevOps zu User Settings → Personal Access Tokens
2. Klicken Sie auf New Token
3. Wählen Sie die Scopes:
   • Code (Read)
   • Project and Team (Read)
4. Erstellen und kopieren Sie das Token
5. Setzen Sie die Umgebungsvariable: export AZDO_TOKEN="xxxxxxxxxxxx"

---

Datenquellen-Workflow

1

Konfiguration

Konfigurieren Sie die Datenquelle über das Dashboard oder die CLI:

• Navigieren Sie zu Settings → Data Sources
• Klicken Sie bei der gewünschten Datenquelle auf Configure
• Geben Sie die Verbindungsparameter und Anmeldedaten ein

2

Verbindung testen

Überprüfen Sie Konnektivität und Authentifizierung:

• Klicken Sie auf die Schaltfläche Test Connection
• Der Scanner validiert Anmeldedaten und Berechtigungen
• Prüfen Sie den Verbindungsstatus

3

Datensynchronisierung

Führen Sie Scans durch und synchronisieren Sie kryptografische Assets:

# Run a scan
dke-scanner-agent agent --output scan.json

# Sync to data source
dke-scanner-agent servicenow --input scan.json

4

Echtzeit-Überwachung

Das Dashboard bietet eine kontinuierliche Überwachung:

• Last Sync: Zeitstempel der letzten erfolgreichen Synchronisierung
• Assets Synced: Gesamtzahl der synchronisierten kryptografischen Assets
• Status: Verbindungszustand (Connected / Disconnected / Error)
• Errors: Etwaige Synchronisierungsfehler oder Warnungen

---

Datenquellen-API

---

Sicherheitsaspekte

Best Practices für die Sicherheit

Speicherung von Anmeldedaten

Verwenden Sie Umgebungsvariablen, hinterlegen Sie Anmeldedaten niemals fest im Code

Netzwerksicherheit

HTTPS/TLS 1.2+ für alle Verbindungen

Zugriffssteuerung

Minimale Berechtigungen für Dienstkonten

Token-Rotation

Anmeldedaten regelmäßig rotieren

---

Best Practices

---

Fehlerbehebung

---

Siehe auch

• CLI-Referenz
• Schnellstartanleitung
• CBOM-Leitfaden
• ServiceNow-Integration
• Erste Schritte
• Architektur

---

Support

Für weitere Hilfe zu Datenquellen:

• Dokumentation: https://docs.duokey.com/dke-scanner-agent/data-sources
• Community: https://community.duokey.com/t/data-sources
• Issues: https://github.com/duokey/dke-scanner-agent/issues
• E-Mail: [email protected]