Seminar cidaas Security Architecture und Zero Trust Patterns

Dieses Seminar betrachtet cidaas als Sicherheitsbaustein in modernen Zero-Trust-Architekturen. Es behandelt Schutzbedarf, starke Authentifizierung, Autorisierung, Token-Sicherheit, technische Identitäten, nicht-menschliche Zugriffe, Governance und kontrollierten Betrieb.

Inhaltsübersicht

• Identity im Zero-Trust-Modell
• Starke Authentifizierung und Zugriffskontrolle
• Token- und API-Sicherheit
• Governance und Auditfähigkeit
• Störungs- und Sicherheitsfälle

Zielgruppe

Security-Architekten, IAM-Verantwortliche, IT-Sicherheit, technische Leitung, Administratoren und Entwickler mit Verantwortung für sichere Identity-Architekturen.

Voraussetzungen

Grundkenntnisse in IAM, OAuth2/OIDC, Websicherheit und Rollenmodellen sind erforderlich.

Seminarinhalte

Identity im Zero-Trust-Modell

1. Vertrauensannahmen in bestehenden Anwendungen sichtbar machen.
2. Benutzer, Geräte, Anwendungen und technische Identitäten getrennt betrachten.
3. Schutzbedarf und Risikoklassen für Identity-Flows festlegen.
4. Kontrollpunkte für Authentifizierung und Autorisierung definieren.

Starke Authentifizierung und Zugriffskontrolle

1. MFA, Passwordless und Step-up nach Risiko einsetzen.
2. Gruppen, Rollen und Scopes nach Least Privilege modellieren.
3. Anwendungszugriffe über Claims und Policies begrenzen.
4. Ausnahmeprozesse kontrolliert dokumentieren.

Token- und API-Sicherheit

1. Tokeninhalte, Gültigkeit und Zielsysteme prüfen.
2. Backend- und API-Zugriffe sicher auswerten.
3. Technische Clients und nicht-menschliche Identitäten separieren.
4. Fehlkonfigurationen bei Scopes und Audiences erkennen.

Governance und Auditfähigkeit

1. Administrationsrechte und Änderungsfreigaben trennen.
2. Regelmäßige Prüfungen für Rollen und App-Konfiguration planen.
3. Nachvollziehbarkeit für sicherheitsrelevante Änderungen schaffen.
4. Audit- und Betriebsdokumentation strukturieren.

Störungs- und Sicherheitsfälle

1. Fehler und Angriffsindikatoren in Login-Flows unterscheiden.
2. Reaktionsmuster für verdächtige Anmeldeereignisse festlegen.
3. Sperr-, Wiederherstellungs- und Kommunikationsprozesse vorbereiten.
4. Lessons Learned in Sicherheitsvorgaben überführen.

Praktische Übungen

• Zero-Trust-Analyse eines Beispielportals.
• Token- und Scope-Review.
• Governance-Checkliste für produktive Apps.