Повечето екипи се сблъскват с идеята за списък на криптографските материали (Cryptographic Bill of Materials — CBOM) като изискване за съответствие или тема за дискусия относно постквантовата сигурност, след което бързо стигат до практическия въпрос, на който никой не им е отговорил: къде точно се позиционира това нещо? Скенер ли е? Агент на всяка машина? База данни? Нещо, което заменя CMDB, мениджъра на сертификати или инструмента за откриване на уязвимости, който вече съществува в стека? Объркването е разбираемо, тъй като платформата за CBOM засяга множество системи, а инструмент, който засяга всичко, лесно може да бъде разположен неправилно.

Ето защо е полезно да се определи прецизно какво представлява решението за CBOM, откъде започва, с какво комуникира от двете си страни и къде приключва неговата задача. Поставете правилно тези граници и интеграцията става лесна.

Сбъркайте ги и или ще изградите изолирана система, която никой не поддържа с данни, или ще купите нещо, което тихо препокрива функционалността на три инструмента, които вече притежавате.

Мислете за платформата за CBOM като за авторитетен източник на данни (system of record) за криптографията. Това е най-чистият начин да я позиционирате.

Точно както вашата CMDB е авторитетен източник на данни за активите, а вашият доставчик на идентичност е такъв за това кой до какво има достъп, платформата поддържа официалния запис за ключовете, сертификатите, алгоритмите, протоколите и криптографските библиотеки, използвани в цялата инфраструктура, заедно с връзките между тях и приложенията, които зависят от тях.

Това рамкиране вече ви подсказва какво НЕ Е тя. Тя не е инструмент за управление на жизнения цикъл на сертификати, въпреки че работи съвместно с такъв.

Тя не е SIEM, въпреки че може да подава данни към такъв. Тя не е скенер за уязвимости, въпреки че покрива клас рискове, които тези скенери пропускат.

Тя се намира един слой под всички тях, отговаряйки на въпроси, на които никой от тях не може да отговори самостоятелно.

Потокът: от входящите данни до изхода

Най-простият начин да разберете платформата за CBOM е да проследите движението на данните през нея. Съществуват три нива: какво я захранва, какво прави тя вътрешно и какво предава нататък.

Откъде започва: източниците, които чете. Платформата за CBOM не измисля своя собствена представа за инфраструктурата. Тя извлича списъка с целеви активи от това, което вече поддържате.

На практика това означава извличане на данни от основен източник на истина за активите, като например ServiceNow CMDB, импортиране на CSV файл с хостове или вземане на набор от IP диапазони за обработка.

Разумната стъпка при първоначалното въвеждане изпълнява първоначален олекотен проучвателен пасаж, откривайки активни хостове и техните вероятни операционни системи, и връща това като доклад, така че екипът по сигурност да може да избере точно кои системи да преминат към пълно криптографско сканиране.

Оттам нататък същинското откриване достига до местата, където живее криптографията: облачни услуги за управление на ключове, HSM модули, криптиране на бази данни, хранилища за доверени сертификати на ОС и приложения, сейфове за тайни (secrets vaults) и изходен код на приложения.

Ниво на събиране на данни. Откриването се извършва чрез събирач (collector), комбиниран със сензори. Някои сензори са безaгентни (agentless), като достигат до облачни API, KMIP сървъри, бази данни, HSM и мрежови крайни точки без да инсталират нищо.

Други разчитат на агенти — за файлови системи, изходен код и локални хранилища на сертификати. Всичко се пренася през TLS, а добре проектираният събирач никога не съхранява тайни в некриптиран текст, така че инвентаризацията не създава нова камара от идентификационни данни за защита.

На това ниво се взема и решението за мястото на внедряване: локално (on-premises), във вашия облак, хибридно или предоставено като услуга (SaaS), включително работа в изолирана среда без достъп до мрежа (air-gapped), където сензорът работи с предварително предоставени ключове без изходящи повиквания.

Ниво на обработка. Суровият резултат от откриването е шумен, затова платформата го премахва от дубликати, нормализира го в единен инвентар и корелира всеки актив обратно към приложенията, услугите и потоците от данни, които го използват.

След това класифицира по тип и употреба, оценява риска за всеки актив и маркира криптографията, уязвима на квантови атаки. Резултатът е самият CBOM: не просто плосък списък, а инвентар без дубликати, с класифициран риск и отчетливост на връзките.

Вътрешно това се съпоставя с няколко основни функции, които си струва да се споменат: оркестрация на откриването, управление на инвентара, модул за анализ и риск, контрол на идентичността и достъпа, както и отчитане.

Къде приключва: изходни данни и консуматори. Това е границата, която хората най-често бъркат. Платформата за CBOM произвежда знания и доказателства. Тя не е инструментът, който ротира ключ или отстранява уязвимост в библиотека.

Нейната работа приключва до чист, актуален и експортируем инвентар и свързаната с него картина на риска, доставени по три начина: табла за управление и доклади за хора, предупреждения през канали като имейл и Teams, когато нещо изтече или наруши политиката, и експорт в машинно четим отворен стандарт като CycloneDX за всичко надолу по веригата.

Този експорт е точката на предаване към останалата част от стека.

Къде се позиционира платформата за CBOM: тя че чете от системи, които вече управлявате, и захранва тези надолу по веригата.

Програмата около нея: непрекъснат жизнен цикъл

Позиционирането на платформата е статичен въпрос. Управлението ѝ не е. Инвентарът е полезен само докато е актуален, така че платформата всъщност е двигателят вътре в повтаряща се програма, а не инструмент, който насочвате към мрежата еднократно.