Seminar AnyDesk Ultimate On-Premises – Sicherheitshärtung, ACL und Zwei-Faktor-Authentisierung

Das Seminar entwickelt und prüft eine mehrschichtige Sicherheitskonfiguration für AnyDesk Ultimate On-Premises.

Bedrohungsmodell, geschlossene Custom-Client-Umgebung, Cloud-Blockierung, ACL, Aliase und Namespace, unbeaufsichtigter Zugriff, 2FA, Permission Profiles, Clienthärtung, Schlüssel, Zertifikate, Überwachung und Offboarding werden zu einem konsistenten Schutzkonzept verbunden.

Inhaltsverzeichnis

1. Einordnung und Lernziele
2. Zielgruppe und Voraussetzungen
3. Bedrohungsmodell und Sicherheitsziele erstellen
4. Geschlossene On-Premises-Clientumgebung durchsetzen
5. Firewall-Regeln und Ausschluss unerwünschter Cloud-Nutzung umsetzen
6. ACL, Aliase und Namespace als Zugriffskontrolle einsetzen
7. Unbeaufsichtigten Zugriff und 2FA absichern
8. Permission Profiles und Minimalprinzip anwenden
9. Clients gegen Manipulation und Fehlbedienung härten
10. Schlüssel, Zertifikate und Geheimnisse schützen
11. Sicherheitsüberwachung und Offboarding verbinden
12. Praxisübungen und Checklisten

Einordnung und Lernziele

Die Inhalte werden an einer kontrollierten Labor- oder Demonstrationsumgebung nachvollzogen. Version, Plattform und freigeschalteter Ultimate-Umfang werden vor produktiven Änderungen geprüft.

• Bedrohungen, Schutzobjekte und Vertrauensgrenzen systematisch bewerten.
• Nur freigegebene On-Premises-Custom-Clients technisch durchsetzen.
• ACL, Alias, Namespace, Kennwörter und 2FA wirksam kombinieren.
• Permission Profiles und Clientrichtlinien nach Minimalprinzip härten.
• Schlüssel, Zertifikate, Monitoring und Offboarding in den Sicherheitsbetrieb integrieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Security Engineering, System- und Netzwerkadministration, Client Engineering, Anwendungsadministration und Security Operations.

Voraussetzungen: Grundkenntnisse der AnyDesk-On-Premises-Architektur, Netzsegmentierung, TLS, Zugriffssteuerung und Endpunktsicherheit.

Seminarinhalte

1. Bedrohungsmodell und Sicherheitsziele erstellen

1. Schritt 1: Schutzobjekte wie Appliance, Datenbank, Verwaltungszugang, Client-Builds, Schlüssel und Sitzungsdaten erfassen.
2. Schritt 2: Bedrohungen durch fremde Clients, kompromittierte Supportkonten, gestohlene Kennwörter, Fehlkonfiguration und interne Missbrauchsfälle bewerten.
3. Schritt 3: Angriffsflächen an Netzwerkgrenzen, Administrationszugängen, Downloadwegen und Endgeräten markieren.
4. Schritt 4: Vorbeugende, erkennende und reagierende Kontrollen je Risiko zuordnen.
5. Schritt 5: Restrisiken mit Verantwortlichem und akzeptierender Stelle dokumentieren.

2. Geschlossene On-Premises-Clientumgebung durchsetzen

1. Schritt 1: Ausschließlich freigegebene Custom Clients mit korrekter Appliance- und Zertifikatskonfiguration zulassen.
2. Schritt 2: Standard- und fremde Clients durch Firewall, Softwarekontrolle und organisatorische Richtlinie blockieren.
3. Schritt 3: Download, Verteilung und Integrität freigegebener Builds schützen.
4. Schritt 4: Unbekannte oder manipulierte Clients mit Negativtests erkennen.
5. Schritt 5: Ausnahmen befristen, überwachen und nach Nutzung vollständig zurückbauen.

3. Firewall-Regeln und Ausschluss unerwünschter Cloud-Nutzung umsetzen

1. Schritt 1: Nur die für den On-Premises-Betrieb notwendigen Verbindungen nach dem Prinzip der minimalen Freigabe zulassen.
2. Schritt 2: Zugriffe auf nicht gewünschte AnyDesk-Cloud-Netze gemäß Unternehmensrichtlinie blockieren, ohne die eigene Appliance-Erreichbarkeit zu beeinträchtigen.
3. Schritt 3: Standard-Clients und fremde Custom Clients durch technische und organisatorische Kontrollen aus dem Zielnetz fernhalten.
4. Schritt 4: Regeln für Adminzugriff, Clientbetrieb, Wartung und Monitoring getrennt verwalten.
5. Schritt 5: Änderungen mit Positiv-, Negativ- und Rückfalltests überprüfen und protokollieren.

4. ACL, Aliase und Namespace als Zugriffskontrolle einsetzen

1. Schritt 1: Eindeutige Alias- und Namespace-Konvention für Support- und Zielgeräte definieren.
2. Schritt 2: Access Control List nach erlaubten IDs oder Alias-Mustern aufbauen.
3. Schritt 3: Breite Wildcards vermeiden und besonders kritische Systeme mit engeren Listen schützen.
4. Schritt 4: Gerätewechsel, Aliasverlust und Offboarding im ACL-Lebenszyklus berücksichtigen.
5. Schritt 5: Erlaubte, abgelaufene und ausdrücklich gesperrte Gegenstellen praktisch testen.

5. Unbeaufsichtigten Zugriff und 2FA absichern

1. Schritt 1: Unbeaufsichtigten Zugriff nur für begründete Geräteklassen und Verantwortliche freigeben.
2. Schritt 2: Starke, eindeutige Kennwörter mit sicherer Verteilung und regelmäßiger Änderung verwenden.
3. Schritt 3: Zwei-Faktor-Authentisierung dort erzwingen, wo Build und Betriebsmodell sie unterstützen.
4. Schritt 4: Gespeicherte Zugangsdaten, gemeinsame Konten und Notfallkennwörter besonders kontrollieren.
5. Schritt 5: Sperrung, Kennwortwechsel und Wiederherstellung in einem Offboarding- und Notfalltest prüfen.

6. Permission Profiles und Minimalprinzip anwenden

1. Schritt 1: Supportfälle nach erforderlichen Funktionen und Schutzbedarf in getrennte Profile gliedern.
2. Schritt 2: Dateiübertragung, Zwischenablage, Audio, Druck, Aufzeichnung, Neustart, Shell und Systeminformation standardmäßig restriktiv behandeln.
3. Schritt 3: Interaktive Bestätigung und lokale Sichtbarkeit bei sensiblen Geräten bevorzugen.
4. Schritt 4: Adminfunktionen nur nach kontrollierter Erhöhung freigeben.
5. Schritt 5: Profile mit Positiv- und Negativfällen regelmäßig rezertifizieren.

7. Clients gegen Manipulation und Fehlbedienung härten

1. Schritt 1: Nicht benötigte Funktionen und Einstellungen deaktivieren.
2. Schritt 2: Sicherheitsrelevante Werte als Overrides oder verwaltete Richtlinie gegen lokale Änderung schützen.
3. Schritt 3: Direkte Verbindungen, Discovery, Proxy, Aufzeichnung und Dateiübertragung nach Clientrolle konfigurieren.
4. Schritt 4: Code-Signatur, Paketquelle und Versionsstand vor Verteilung prüfen.
5. Schritt 5: Lokale Sicherheitssoftware, Betriebssystemrechte und Dienstkonfiguration in die Härtungsprüfung einbeziehen.

8. Schlüssel, Zertifikate und Geheimnisse schützen

1. Schritt 1: Private Schlüssel, Lizenzdaten, API-Geheimnisse und unbeaufsichtigte Kennwörter inventarisieren.
2. Schritt 2: Ablage, Zugriff, Verschlüsselung, Rotation, Sicherung und Notfallwiederherstellung festlegen.
3. Schritt 3: Geheimnisse nicht in offenen Build-Skripten, Tickets oder Protokollen hinterlassen.
4. Schritt 4: Zertifikatsablauf und Vertrauenskette überwachen.
5. Schritt 5: Kompromittierung mit Sperrung, Neuverteilung und Nachweis vollständig bearbeiten.

9. Sicherheitsüberwachung und Offboarding verbinden

1. Schritt 1: Fehlgeschlagene Verbindungen, unerwartete Clients, privilegierte Änderungen und auffällige Sitzungsmuster überwachen.
2. Schritt 2: Sicherheitsereignisse mit Netzwerk-, Identitäts- und Endpunktdaten korrelieren.
3. Schritt 3: Offboarding mit Entfernung von Client, Lizenz, Alias, Adressbuchzugriff, ACL und Kennwörtern durchführen.
4. Schritt 4: Ereignisse nach Kritikalität klassifizieren und ein Eindämmungs-Runbook anwenden.
5. Schritt 5: Kontrollen nach Vorfällen und regelmäßigen Reviews nachschärfen.

Praxisübungen und Checklisten

• Erstellung eines Bedrohungsmodells und einer priorisierten Härtungscheckliste.
• Konfiguration eines geschlossenen Client- und Firewallmodells mit Negativtests.
• Aufbau und Test von ACL, Permission Profiles und 2FA für unterschiedliche Geräteklassen.
• Bearbeitung eines Offboarding- und Schlüsselkompromittierungsfalls.

Zu den Übungen gehören dokumentierte Sollwerte, Prüfschritte, Negativtests und Rückfallpunkte. Verwendet werden neutrale Beispielwerte; produktive Kennwörter, Schlüssel und personenbezogene Daten werden nicht in die Seminarunterlagen übernommen.