Co pokazują logi CT?
Wpisy zawierają nazwy certyfikatu, nazwy SAN, wystawcę i daty. Nie pokazują prywatnego klucza ani konfiguracji serwera, ale mogą ujawnić publiczne nazewnictwo infrastruktury.
Co powinno wzbudzić uwagę?
Nowy certyfikat dla nieznanej subdomeny, zmiana wystawcy, wildcard bez uzasadnienia albo wpis dotyczący dawno wycofanej usługi powinny zostać porównane z inwentaryzacją.
Rola CAA
Rekord CAA ogranicza urzędy certyfikacji uprawnione do wystawiania certyfikatów, ale musi być zgodny z realnym procesem. Monitoring CT nadal jest potrzebny, bo pomaga obserwować faktyczne zdarzenia.
Od skanu do monitoringu
Największą wartość daje regularne porównywanie wyników i alert o nowym wpisie. Jednorazowy skan pokazuje stan bieżący, natomiast monitoring pozwala wykryć zmianę szybko.