Seminar AWS AFO Intensiv – Architektur, Deployment und Härtung

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Intensivseminar bündelt Grundlagen, Architektur, CDK-Bereitstellung, IAM, KMS, Finding-Integration, Forensik-AMI, Multi-Account-Design, Betrieb und Abnahme zu einem produktionsnahen Implementierungsprojekt.

Der fachliche Schwerpunkt liegt auf vollständige Planung, Bereitstellung und technische Härtung einer AFO-Plattform. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Fünf Tage sind notwendig, weil die Plattform von der Anforderungsanalyse bis zur gehärteten, getesteten und betrieblich abgenommenen Multi-Account-Umgebung aufgebaut wird.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für vollständige Planung, Bereitstellung und technische Härtung einer AFO-Plattform fachlich einordnen;
• Einsatzbild und Readiness in einen kontrollierten AFO-Prozess überführen;
• Zielarchitektur und Kontenmodell mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• IAM-, KMS- und Netzwerkhärtung anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei CDK-Baseline und Build-Prozess systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Einsatzbild und Readiness

Vorfallszenarien, Schutzobjekte, Regionen, Konten, Beweisregeln, SSM-Abdeckung, Logging und Betriebsorganisation werden erhoben und priorisiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Einsatzbild und Readiness“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn vorfallszenarien, Schutzobjekte, Regionen, Konten, Beweisregeln, SSM-Abdeckung, Logging und Betriebsorganisation werden erhoben und priorisiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Zielarchitektur und Kontenmodell

Forensik-, Security- und Anwendungskonten, Netzwerkzonen, Datenflüsse, Servicegrenzen und Betriebsqualitäten werden als Zielbild dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Zielarchitektur und Kontenmodell“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn forensik-, Security- und Anwendungskonten, Netzwerkzonen, Datenflüsse, Servicegrenzen und Betriebsqualitäten werden als Zielbild dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. IAM-, KMS- und Netzwerkhärtung

Rollen, Trust Policies, Least Privilege, Schlüssel, private Subnetze, Endpunkte, Sicherheitsgruppen und Audit-Zugriffe werden kontrolliert entworfen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „IAM-, KMS- und Netzwerkhärtung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn rollen, Trust Policies, Least Privilege, Schlüssel, private Subnetze, Endpunkte, Sicherheitsgruppen und Audit-Zugriffe werden kontrolliert entworfen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. CDK-Baseline und Build-Prozess

Quellstand, Abhängigkeiten, CDK-Kontexte, Synthese, Tests, Artefakte und Freigaben werden zu einer reproduzierbaren Deployment-Pipeline verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „CDK-Baseline und Build-Prozess“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn quellstand, Abhängigkeiten, CDK-Kontexte, Synthese, Tests, Artefakte und Freigaben werden zu einer reproduzierbaren Deployment-Pipeline verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Forensik-Kernplattform bereitstellen

Orchestrierungs-, Erfassungs-, Speicher-, Analyse- und Reporting-Komponenten werden im Forensik-Konto ausgerollt und geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Forensik-Kernplattform bereitstellen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn orchestrierungs-, Erfassungs-, Speicher-, Analyse- und Reporting-Komponenten werden im Forensik-Konto ausgerollt und geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Security-Hub- und Anwendungskonten integrieren

Finding-Aktionen, EventBridge, Cross-Account-Rollen und Workload-Anbindung werden in mehreren Konten implementiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Security-Hub- und Anwendungskonten integrieren“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn finding-Aktionen, EventBridge, Cross-Account-Rollen und Workload-Anbindung werden in mehreren Konten implementiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Forensik-AMI und SSM-Dokumente

Image-Builder-Pipeline, SIFT-Werkzeuge, SSM-Dokumente, Versionierung, Funktionsprüfung und AFO-Einbindung werden umgesetzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Forensik-AMI und SSM-Dokumente“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn image-Builder-Pipeline, SIFT-Werkzeuge, SSM-Dokumente, Versionierung, Funktionsprüfung und AFO-Einbindung werden umgesetzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. End-to-End-Tests und Negativtests

EC2- und EKS-Testfindings, Triage, Isolation, Speicher- und Datenträgererfassung, Fehlerpfade und unerlaubte Zugriffe werden überprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „End-to-End-Tests und Negativtests“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn eC2- und EKS-Testfindings, Triage, Isolation, Speicher- und Datenträgererfassung, Fehlerpfade und unerlaubte Zugriffe werden überprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

9. Monitoring, Runbooks und Serviceübergabe

Metriken, Alarme, Diagnosepfade, Wiederanlauf, Wartung, Updateverfahren und Zuständigkeiten werden betriebsbereit dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Monitoring, Runbooks und Serviceübergabe“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn metriken, Alarme, Diagnosepfade, Wiederanlauf, Wartung, Updateverfahren und Zuständigkeiten werden betriebsbereit dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

10. Produktionsabnahme und Erweiterungsplan

Sicherheits-, Funktions-, Wiederholbarkeits- und Nachweiskriterien werden abgenommen; offene Risiken und nächste Ausbaustufen werden priorisiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Produktionsabnahme und Erweiterungsplan“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn sicherheits-, Funktions-, Wiederholbarkeits- und Nachweiskriterien werden abgenommen; offene Risiken und nächste Ausbaustufen werden priorisiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Aufbau einer vollständigen AFO-Referenzumgebung für mehrere Anwendungskonten mit zentraler Security-Steuerung und separatem Forensik-Konto.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud- und Security-Architektur, Plattformengineering, DevSecOps, SOC Engineering und technische Projektverantwortliche.

Voraussetzungen: Sichere AWS-Praxis zu IAM, VPC, EC2, EKS, Security Hub, CloudFormation oder CDK, Git und Linux.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.