Configuração de Inspeção SSL/TLS

Visão Geral

A inspeção SSL/TLS (também chamada de decriptografia SSL, inspeção HTTPS ou TLS break-and-inspect) intercepta o tráfego criptografado entre clientes e servidores para inspecionar o conteúdo em texto claro em busca de malware, exfiltração de dados, violações de políticas e comunicações de comando e controle. O dispositivo de inspeção atua como um intermediário confiável, encerrando a sessão TLS do cliente, inspecionando o conteúdo em texto claro e estabelecendo uma nova sessão TLS para o servidor de destino. Com mais de 95% do tráfego da web agora criptografado, organizações sem inspeção TLS têm um ponto cego massivo. Esta habilidade abrange a configuração da inspeção TLS em firewalls de próxima geração, a implantação de certificados de CA confiáveis, o gerenciamento de isenções para aplicativos com certificado fixado e a garantia de conformidade com regulamentos de privacidade.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a configuração de inspeção SSL/TLS
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes ou atividades de auditoria de segurança agendados
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Firewall de próxima geração ou gateway web seguro com capacidade de inspeção TLS
• Autoridade Certificadora (CA) interna para assinar certificados de inspeção
• Gerenciamento de certificados de endpoint (GPO, MDM ou manual)
• Revisão de privacidade e legal para o escopo da inspeção TLS
• Compreensão de PKI, certificados X.509 e handshake TLS

Conceitos Principais

Modos de Inspeção SSL/TLS

Processo do Forward Proxy

Client                  Firewall/Proxy              Web Server
  │                         │                          │
  │──TLS ClientHello──────→│                          │
  │                         │──TLS ClientHello───────→│
  │                         │←─TLS ServerHello────────│
  │                         │  (real server cert)      │
  │                         │                          │
  │                         │  [Validates server cert]  │
  │                         │  [Generates proxy cert   │
  │                         │   signed by internal CA]  │
  │                         │                          │
  │←─TLS ServerHello───────│                          │
  │  (proxy-signed cert)    │                          │
  │                         │                          │
  │──Encrypted data────────→│  [Decrypt, Inspect]      │
  │                         │──Encrypted data────────→│
  │←─Encrypted data─────────│  [Decrypt, Inspect]      │
  │                         │←─Encrypted data─────────│

Cadeia de Confiança de Certificados

Enterprise Root CA
  └── Subordinate CA (SSL Inspection)
        └── Dynamically Generated Server Certificates
             (CN matches requested server)

Fluxo de Trabalho

Etapa 1: Gerar CA Interna para Inspeção SSL

# Create private key for SSL Inspection CA
openssl genrsa -aes256 -out ssl-inspect-ca.key 4096

# Create CA certificate (5 year validity)
openssl req -new -x509 -key ssl-inspect-ca.key \
  -sha256 -days 1825 \
  -out ssl-inspect-ca.crt \
  -subj "/C=US/ST=California/O=Corp Inc/OU=Network Security/CN=Corp SSL Inspection CA" \
  -extensions v3_ca \
  -config <(cat <<EOF
[req]
distinguished_name = req_dn
x509_extensions = v3_ca

[req_dn]

[v3_ca]
basicConstraints = critical,CA:TRUE,pathlen:0
keyUsage = critical,digitalSignature,keyCertSign,cRLSign
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always
EOF
)

# Verify certificate
openssl x509 -in ssl-inspect-ca.crt -text -noout

Etapa 2: Implantar Certificado de CA nos Endpoints

Windows (Group Policy):

# Import CA cert to trusted root store via GPO
# Computer Configuration > Policies > Windows Settings >
# Security Settings > Public Key Policies > Trusted Root CAs

# Or deploy via PowerShell
Import-Certificate -FilePath "\\server\share\ssl-inspect-ca.crt" `
  -CertStoreLocation "Cert:\LocalMachine\Root"

# Verify deployment
Get-ChildItem Cert:\LocalMachine\Root | Where-Object {
    $_.Subject -like "*SSL Inspection CA*"
}

macOS (Perfil MDM ou manual):

…