Seminar Cloud&Heat Titan / SecuStack – Security Hardening und Compliance

Inhaltsübersicht

• Seminarprofil
• Lernziele
• Zielgruppe und Voraussetzungen
• Seminarinhalte
• Praxislabor
• Methoden und Arbeitsweise

Seminarprofil

Das Seminar entwickelt aus Schutzbedarf und Bedrohungen eine überprüfbare Härtungs- und Compliance-Baseline. Plattform, Netzwerk, Workloads, Secrets, Schwachstellen, Sicherheitsvorfälle und Auditnachweise werden in einem geschlossenen Kontrollkreislauf behandelt.

Lernziele

• ein belastbares Bedrohungsmodell für die Plattform erstellen
• Härtungsvorgaben für Infrastruktur, Management und Workloads definieren
• Schwachstellen nach tatsächlichem Risiko behandeln
• Secrets und privilegierte Zugänge kontrollieren
• Compliance-Kontrollen und revisionsfähige Nachweise aufbauen

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Security Operations, Plattformadministration, Cloud-Architektur, Compliance und Auditvorbereitung.

Voraussetzungen: Gute Linux- und Netzwerkkenntnisse. Grundlagen in OpenStack oder Kubernetes sowie Verständnis für Sicherheitsrichtlinien.

Seminarinhalte

Tag 1: Bedrohungsmodell und Plattformhärtung

Die Themen werden in einer festen Reihenfolge aus Einordnung, technischer Umsetzung, Kontrolle und dokumentierter Prüfung bearbeitet.

Bedrohungsmodell und Schutzbedarf

Das Bedrohungsmodell verbindet schützenswerte Werte, Angreiferprofile, Angriffsflächen und vorhandene Kontrollen.

1. Schritt 1 – Schutzwerte erfassen: Mandantendaten, Plattformzugänge, Schlüsselmaterial, Images, Konfigurationen und Betriebsnachweise werden klassifiziert.
2. Schritt 2 – Bedrohungen zuordnen: Externe Angriffe, Insider, Lieferkette, Fehlkonfiguration, Ausfall und Datenabfluss werden systematisch betrachtet.
3. Schritt 3 – Angriffsflächen markieren: Externe Endpunkte, Managementzugänge, APIs, Registries, Transfermedien und Wartungsschnittstellen werden bewertet.
4. Schritt 4 – Kontrollen priorisieren: Präventive, detektive und korrektive Maßnahmen werden nach Risiko und Wirksamkeit geordnet.

Praxisbezug: Erstellung eines kompakten Bedrohungsmodells mit Schutzwerten, Bedrohungen und priorisierten Kontrollen.

Härtungsbaseline für Plattformkomponenten

Eine versionierte Baseline reduziert unnötige Funktionen, beschränkt Zugriffe und definiert überprüfbare Sollwerte.

1. Schritt 1 – Komponenten erfassen: Firmware, BMC, Betriebssystem, Kubernetes, Yaook, OpenStack-Dienste und Administrationswerkzeuge werden einbezogen.
2. Schritt 2 – Sollwerte definieren: Dienste, Ports, Protokolle, Kryptografie, Dateirechte, Auditierung und Kontoschutz werden festgelegt.
3. Schritt 3 – Ausnahmen steuern: Technisch notwendige Abweichungen erhalten Begründung, Kompensationsmaßnahme, Eigentümer und Ablaufdatum.
4. Schritt 4 – Konformität messen: Automatisierte und manuelle Prüfungen liefern einen reproduzierbaren Nachweis über den aktuellen Härtungsstand.

Praxisbezug: Entwicklung einer Baseline-Prüfliste für Managementzugänge, Betriebssystem und OpenStack-APIs.

Netzwerksicherheit und administrative Zugänge

Administrative Pfade und Zonenübergänge werden auf notwendige Verbindungen beschränkt und vollständig protokolliert.

1. Schritt 1 – Zugangswege festlegen: Management-VPN, Jump Host, Out-of-Band-Management und Notfallzugang werden getrennt geplant.
2. Schritt 2 – Filterregeln ableiten: Kommunikationsmatrix und Minimalprinzip bestimmen Firewall-, ACL- und Sicherheitsgruppenregeln.
3. Schritt 3 – Protokollschutz prüfen: TLS, Zertifikatsprüfung, sichere Cipher und Abschaltung veralteter Protokolle werden kontrolliert.
4. Schritt 4 – Zugriff überwachen: Anmeldung, Privilegierung, Konfigurationsänderung und ungewöhnliche Verbindungsversuche werden erfasst.

Praxisbezug: Prüfung eines administrativen Zugriffswegs vom Arbeitsplatz bis zum Managementendpunkt.

Tag 2: Workload-Schutz, Schwachstellen und Secrets

Die Themen werden in einer festen Reihenfolge aus Einordnung, technischer Umsetzung, Kontrolle und dokumentierter Prüfung bearbeitet.

Sichere Workload-Bereitstellung

Sicherheit der Plattform ersetzt nicht die kontrollierte Konfiguration von Images, Instanzen, Netzwerken und Anwendungsschichten.

1. Schritt 1 – Vertrauenswürdiges Image wählen: Freigabestatus, Signatur, Patchstand und Härtungsprofil werden vor der Bereitstellung geprüft.
2. Schritt 2 – Zugriff minimieren: Schlüsselbasierte Anmeldung, getrennte Administrationswege und restriktive Sicherheitsgruppen werden umgesetzt.
3. Schritt 3 – Daten schützen: Verschlüsselte Volumes, sichere Secrets und minimierte Metadaten reduzieren das Risiko eines Datenabflusses.
4. Schritt 4 – Betrieb absichern: Patchen, Host-basierte Protokollierung, Schwachstellenprüfung und geordnete Außerbetriebnahme werden eingeplant.

Praxisbezug: Bereitstellung einer gehärteten Beispielinstanz mit minimalem Netzwerkzugriff und verschlüsseltem Volume.

Schwachstellenmanagement und technische Nachweise

Schwachstellen werden über Bestand, Bewertung, Behandlung, Ausnahme und Wirksamkeitsprüfung lückenlos gesteuert.

1. Schritt 1 – Bestand zuordnen: Befunde werden auf konkrete Komponente, Version, Exponierung und Verantwortlichkeit abgebildet.
2. Schritt 2 – Priorität bestimmen: Technischer Schweregrad wird um Erreichbarkeit, Ausnutzbarkeit, Schutzkontrollen und Betriebswirkung ergänzt.
3. Schritt 3 – Behandlung festlegen: Patch, Konfigurationsänderung, Isolation, Abschaltung oder befristete Risikoakzeptanz werden dokumentiert.
4. Schritt 4 – Abschluss belegen: Erneuter Scan, Versionsnachweis und Funktionstest bestätigen die wirksame Behebung.

Praxisbezug: Bewertung und Behandlung einer Beispielschwachstelle einschließlich begründeter Priorisierung.

Secrets und privilegierte Zugangsdaten

Secrets werden weder in Quellcode noch in ungeschützten Konfigurationen abgelegt und erhalten einen kontrollierten Lebenszyklus.

1. Schritt 1 – Secrets identifizieren: Passwörter, Tokens, private Schlüssel, Application Credentials und Recovery-Codes werden vollständig erfasst.
2. Schritt 2 – Ablage absichern: Geeignete Secret Stores, Verschlüsselung, Zugriffsrollen und Auditierung werden festgelegt.
3. Schritt 3 – Ausgabe minimieren: Logs, Shell-Historien, Tickets, Backups und Pipeline-Artefakte werden auf unbeabsichtigte Offenlegung geprüft.
4. Schritt 4 – Rotation und Widerruf planen: Kompromittierung, Personalwechsel, Ablauf und Notfall führen zu definierten Austauschverfahren.

Praxisbezug: Überprüfung eines Beispiel-Deployments auf unsichere Secrets und Entwicklung eines Bereinigungsplans.

Tag 3: Kontrollkatalog, Evidenz und Sicherheitsvorfälle

Die Themen werden in einer festen Reihenfolge aus Einordnung, technischer Umsetzung, Kontrolle und dokumentierter Prüfung bearbeitet.

Compliance-Mapping und Kontrollkatalog

Technische und organisatorische Maßnahmen werden in einen prüfbaren Kontrollkatalog mit Verantwortlichkeit und Evidenz überführt.

1. Schritt 1 – Anforderungen zerlegen: Norm-, Gesetzes-, Kunden- oder interne Vorgaben werden in konkrete prüfbare Kontrollen übersetzt.
2. Schritt 2 – Kontrollen zuordnen: Identität, Härtung, Logging, Backup, Change, Incident und physische Sicherheit werden den Anforderungen zugeordnet.
3. Schritt 3 – Eigentümer benennen: Umsetzung, Betrieb, Überwachung und Nachweis erhalten klar getrennte Verantwortlichkeiten.
4. Schritt 4 – Prüfzyklus festlegen: Frequenz, Stichprobe, Methode, akzeptierte Abweichung und Nachbesserung werden definiert.

Praxisbezug: Aufbau einer Kontrollmatrix für Zugriffsschutz, Protokollierung, Patchen und Wiederherstellung.

Auditnachweise und revisionsfähige Dokumentation

Nachweise müssen aktuell, vollständig, manipulationsgeschützt und einer konkreten Kontrolle zuordenbar sein.

1. Schritt 1 – Evidenz definieren: Konfigurationsauszug, Protokoll, Ticket, Freigabe, Scanbericht oder Testergebnis wird je Kontrolle festgelegt.
2. Schritt 2 – Erzeugung standardisieren: Quelle, Zeitraum, Filter, Exportformat und verantwortliche Stelle werden reproduzierbar beschrieben.
3. Schritt 3 – Integrität sichern: Zeitstempel, Zugriffsschutz, Versionierung und gegebenenfalls Signatur schützen Nachweise vor Veränderung.
4. Schritt 4 – Abweichung verfolgen: Feststellung, Risiko, Maßnahme, Frist und Wirksamkeitsprüfung werden bis zum Abschluss nachgehalten.

Praxisbezug: Zusammenstellung eines kleinen Auditpakets für Berechtigungsprüfung, Patchstand und Restore-Test.

Sicherheitsvorfall und forensische Erstmaßnahmen

Bei Sicherheitsverdacht müssen Eindämmung, Beweissicherung und Wiederherstellung koordiniert werden, ohne Spuren unnötig zu verändern.

1. Schritt 1 – Verdacht qualifizieren: Quelle, betroffene Identität, Systeme, Zeitfenster und beobachtete Indikatoren werden dokumentiert.
2. Schritt 2 – Zugriff begrenzen: Konten, Tokens, Netzwerkpfade oder Workloads werden risikoorientiert isoliert, ohne unnötig Daten zu vernichten.
3. Schritt 3 – Beweise sichern: Logs, API-Aktivität, Konfigurationsstände, Snapshots und Zeitbezug werden kontrolliert gesammelt.
4. Schritt 4 – Wiederherstellung vorbereiten: Vertrauenswürdige Baseline, Schlüsselrotation, Neuaufbau und verstärktes Monitoring werden geplant.

Praxisbezug: Tabletop-Übung zu kompromittierten Administratorzugängen mit Eindämmungs- und Nachweisplan.

Praxislabor

• Erstellung eines kompakten Bedrohungsmodells mit Schutzwerten, Bedrohungen und priorisierten Kontrollen.
• Prüfung eines administrativen Zugriffswegs vom Arbeitsplatz bis zum Managementendpunkt.
• Bereitstellung einer gehärteten Beispielinstanz mit minimalem Netzwerkzugriff und verschlüsseltem Volume.
• Überprüfung eines Beispiel-Deployments auf unsichere Secrets und Entwicklung eines Bereinigungsplans.
• Aufbau einer Kontrollmatrix für Zugriffsschutz, Protokollierung, Patchen und Wiederherstellung.
• Tabletop-Übung zu kompromittierten Administratorzugängen mit Eindämmungs- und Nachweisplan.

Methoden und Arbeitsweise

Fachliche Einordnung, strukturierte Demonstrationen, geführte Systemübungen, technische Prüflisten und dokumentierte Störungsszenarien wechseln sich ab. Jeder Arbeitsschritt wird mit Ausgangszustand, erwarteter Wirkung, Prüfkriterium und Rückfallmöglichkeit beschrieben. Die Übungen verwenden realistische Rollen- und Fehlerbilder; produktive Zugangsdaten oder externe Verbindungen sind nicht erforderlich.