怎样监控SSL安全套接层

SSL/TLS 的监控通常从「证书是否有效」和「协议/加密是否安全」两个层面来做。下面给你一套从基础到进阶的完整方案，适用于网站、API、内网系统及运维场景。

一、监控 SSL 证书（最关键）

1️⃣ 证书有效期监控（必须）

SSL 证书过期是最常见的故障之一。

监控指标

• ✅ 证书是否即将过期（建议提前 30 天告警）
• ✅ 证书是否已被吊销（CRL / OCSP）
• ✅ 证书是否由受信任 CA 签发

常用工具

• 在线工具

  • SSL Labs：https://www.ssllabs.com/ssltest/
  • SSL Checker：https://www.sslshopper.com/ssl-checker.html

• 命令行

openssl x509 -in cert.pem -noout -dates

• 自动化脚本（推荐）

echo | openssl s_client -servername example.com -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

监控平台集成

• Prometheus + Alertmanager
• Zabbix（SSL 证书模板）
• Nagios
• Datadog / New Relic

2️⃣ 证书自动发现与批量监控

适合多域名、多服务器场景。

• 使用脚本扫描内网/公网 IP 段
• 自动发现即将过期证书
• 统一生成告警

✅ 推荐：

• Prometheus + Blackbox Exporter
• Cert Exporter
• SSL Certificate Exporter

二、监控 SSL/TLS 协议安全性

1️⃣ 支持的 TLS 版本

避免以下协议：

• ❌ SSLv2 / SSLv3
• ❌ TLS 1.0 / TLS 1.1（合规要求）

✅ 推荐：

• ✅ TLS 1.2
• ✅ TLS 1.3

检测方法

sslscan example.com
nmap --script ssl-enum-ciphers -p 443 example.com

2️⃣ 加密套件（Cipher Suites）

监控重点：

• 是否支持 弱加密算法（RC4、DES、3DES）
• 是否支持 NULL / ANON
• 是否开启 前向保密（Forward Secrecy）

✅ 推荐套件：

• ECDHE + AES-GCM
• TLS_AES_256_GCM_SHA384（TLS1.3）

3️⃣ 证书链完整性

常见错误：

• 缺少中间证书
• 证书顺序错误（浏览器可容错，App 会失败）

检测方式：

openssl s_client -connect example.com:443 -showcerts

三、监控 SSL 握手与性能

1️⃣ SSL 握手是否成功

• 是否出现 handshake failure
• 是否出现 certificate verify failed

✅ 可用：

• curl
• openssl s_client
• Blackbox Exporter

curl -v https://example.com

2️⃣ SSL 延迟监控

关注：

• TLS 握手时间
• 首次字节时间（TTFB）
• 握手失败率

✅ 指标可接入：

• Prometheus
• Grafana
• APM（如 New Relic、SkyWalking）

四、HTTPS 可用性与合规监控

1️⃣ HTTPS 是否强制

• HTTP 是否自动跳转 HTTPS
• 是否存在 Mixed Content（HTTP 资源）

2️⃣ HSTS 策略

Strict-Transport-Security: max-age=31536000; includeSubDomains

✅ 监控点：

• 是否启用 HSTS
• max-age 是否过短

五、证书自动化与告警（最佳实践）

✅ 强烈推荐

• Let’s Encrypt + ACME
  • Certbot
  • acme.sh
• 自动续签 + 告警

✅ 告警策略示例

六、企业级/合规场景

合规要求

• 等保 2.0
• PCI-DSS
• 金融/政务系统

✅ 建议：

• 禁用 TLS 1.0/1.1
• 使用国密 SSL（SM2/SM3/SM4）
• 证书的集中管理与审计

七、推荐监控组合（直接可用）

✅ 基础版

• SSL Labs + 脚本 + 邮件告警

✅ 标准版

• Prometheus + Blackbox Exporter + Grafana

✅ 企业版

• Zabbix / Datadog
• 证书管理平台（如 HashiCorp Vault）

如果你愿意，我可以：

• ✅ 给你一套 Prometheus SSL 监控配置
• ✅ 写一个 自动证书过期告警脚本
• ✅ 针对 Nginx / Kubernetes / 云厂商 给你定制方案

你现在的 SSL 监控是网站、API、还是内网系统？