Envie um aviso quando um certificado x.509 (para SSL / TLS) associado a um site no IIS está prestes a expirar?

Question

Nos sistemas derivados da Red Hat, existe uma ferramenta chamada certwatch (1) que faz isso para os sites do Apache. Todos os dias, ele verifica todos os certificados listados no arquivo de configuração do Apache. Se o script detectar que o certificado expirará em breve (digamos, em 30 dias), ele enviará uma notificação por e-mail, para que você possa renovar o certificado antes que ele expire. O que estou procurando é uma ferramenta que faz o mesmo trabalho, exceto para sites hospedados no IIS. Como as outras pessoas lidam com esse problema?

Para ser honesto, prefiro acompanhar a expiração do certificado em um sistema de calendário compartilhado. No entanto, nossa empresa depende do Exchange. Que eu saiba, não há como um calendário do Exchange enviar um lembrete em uma determinada data para todos os membros de um grupo, de forma que, à medida que as pessoas do grupo forem substituídas, elas serão automaticamente adicionadas ao lembrete (cinco anos é um muito tempo para assumir que todos originalmente atribuídos ao lembrete não terão mudado de posição).

Sobre o nosso ambiente:

Já temos uma “solução” em vigor cumprindo a função;) de um sistema de gerenciamento de rede, no entanto, ela não pode monitorar a expiração do certificado (embora eu a tenha enviado como uma solicitação de recurso). Nós temos hosts Linux à nossa disposição, no entanto eu preferiria não ter que configurar e gerenciar um segundo sistema de monitoramento complexo (se fosse um monitor simples rodando no Linux, isso seria aceitável) . Eu entendo, no entanto, que o simples script do Windows que estou procurando pode não existir (ainda).

    

Answer 1

Se você tem uma caixa Linux ou pode executá-la no Windows, tenho um script python que eu cortei há algum tempo para verificar certs em vários sistemas (provavelmente não é muito pythonic ou bonito). Eu basicamente só chamo do cron, que automaticamente me envia um e-mail. Conecta-se a sistemas definidos recupera e exemplifica as datas dos certificados. Eu verifiquei os certificados em HTTPS, IMAPs, POP3s, serviços RDP.

Tenho certeza de que muitos sistemas de gerenciamento de rede, como o Nagios, têm extensões e verificam ferramentas que podem monitorar isso também.

    

Answer 2

Você pode tentar um script como este: ssl-check que usa o OpenSSL e verificará os servidores que você conte sobre isso.

Existe também esta Ferramenta de Monitoramento e Descoberta de Certificados SSL . Ele descobrirá os certificados SSL que você implantou em suas redes, os catalogará e enviará alertas de email quando estiverem prestes a expirar. Este é um produto comercial.

    

Answer 3

Eu faço um pouco o que você prefere fazer. Eu agendar uma reunião de 0 horas (ou seja, 8:00 da manhã-8:00 da manhã no mesmo dia) com as pessoas que eu quero receber a notificação e verifique se o lembrete está definido. Não é exatamente o mesmo que notificar um grupo, reconhecidamente. Grupos / listas de distribuição são resolvidos pelo Outlook / Exchange enquanto você envia.

Na verdade, isso me lembra. Eu preciso renovar meus certificados ...

    

Answer 4

Existe uma parte específica com a qual você está tendo um problema?

Há um exemplo para detectar certificados expirados aqui: link

Se o seu sistema de monitoramento existente puder assistir a eventos específicos do Registro de Eventos, você poderá aproveitar esse sistema e gravar um evento no registro de eventos quando a expiração estiver chegando.