Seminar Endian UTM – Intensivseminar Sichere Dienste und Remote Access

Das fünftägige Intensivseminar fasst die service- und zugriffsorientierten Teile des Gesamtportfolios zusammen. Identitäten und Zertifikate bilden die Grundlage für OpenVPN, IPsec, L2TP, VPN-Portal, Web- und Mail-Security sowie Hotspot. Alle Dienste werden mit Firewall, DNS, Protokollierung, Fehlersuche und einem gemeinsamen Rollenmodell verbunden und in einer durchgängigen Ende-zu-Ende-Testmatrix abgenommen.

Inhaltsübersicht

• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Lernziele

• Identitäten, Verzeichnisse und Zertifikate dienstübergreifend gestalten
• Remote Access und Standortkopplungen mit OpenVPN und IPsec umsetzen
• VPN-Portal sowie Web- und Mail-Security sicher konfigurieren
• Hotspot- und Gastzugänge in das Schutzmodell integrieren
• Dienste mit Protokollen, Negativtests und Störungsszenarien abnehmen

Zielgruppe

Endian-Administration, Netzwerk- und Security-Betrieb, Remote-Access-Verantwortliche, Messaging- und Web-Security-Administration

Voraussetzungen

Gute TCP/IP-, Firewall- und Endian-UTM-Grundlagen; Zugriff auf Testidentitäten, Verzeichnisdienst, VPN-Gegenstelle sowie Web- und Mail-Testsysteme

Seminarinhalte

Modul 1: Identitäts-, Rollen- und Dienstemodell planen

1. Benutzergruppen, Administratorrollen, externe Verzeichnisse und geschützte Dienste erfassen.
2. Authentifizierungsquellen, Prioritäten, Ausfallverhalten und Namenskonventionen festlegen.
3. Minimalrechte, Funktionstrennung und Lebenszyklus von Konten definieren.
4. Nachweisbare Freigabe- und Rezertifizierungsprozesse für Berechtigungen entwerfen.

Modul 2: LDAP, Active Directory und RADIUS anbinden

1. Verbindungsdaten, Suchbasen, Gruppenattribute, Zertifikatsvertrauen und Dienstkonten vorbereiten.
2. Provider schrittweise einrichten und sichere Transportwege verwenden.
3. Benutzer- und Gruppenauflösung sowie Fehlerfälle bei Nichterreichbarkeit testen.
4. Berechtigungszuordnungen mit ausgewählten Testidentitäten validieren.

Modul 3: Authentifizierungsdienste und Zugriffszuordnungen konfigurieren

1. Zu schützende Dienste, erlaubte Provider und erforderliche Gruppen bestimmen.
2. Providerreihenfolge und dienstspezifische Authentifizierung passend zum Schutzbedarf konfigurieren.
3. Zugriff mit berechtigten, unberechtigten, gesperrten und abgelaufenen Konten testen.
4. Abhängigkeiten zu VPN, Proxy, Portal und Hotspot dokumentieren.

Modul 4: Zertifikate, Zertifizierungsstellen und Sperrlisten verwalten

1. Interne oder externe Zertifizierungsstellen, Zertifikatszwecke und Laufzeiten planen.
2. Zertifikate und Enrollment-Anfragen sicher erzeugen, importieren und zuordnen.
3. Vertrauenskette, Hostnamen, Schlüsselverwendung und Ablaufdaten kontrollieren.
4. Sperrung, Erneuerung und Notfalltausch mit nachvollziehbaren Verfahren vorbereiten.

Modul 5: Mehrfaktorverfahren und Kontoschutz einsetzen

1. Geeignete Dienste und Rollen für Einmalpasswörter oder zusätzliche Faktoren auswählen.
2. Token-Zuordnung, Aktivierung und Wiederherstellungsverfahren kontrolliert umsetzen.
3. Sperrregeln gegen wiederholte Fehlversuche konfigurieren und Nebenwirkungen bewerten.
4. Anmelde-, Verlust- und Notfallfälle mit dokumentierten Testkonten prüfen.

Modul 6: VPN-Architektur und Vertrauensmodell planen

1. Standorte, mobile Benutzer, Netze, Adressüberschneidungen und Schutzbedarf erfassen.
2. OpenVPN, IPsec, L2TP und VPN-Portal nach Anwendungsfall und Endgerät abgrenzen.
3. Authentifizierung, Zertifikate, Verschlüsselung, Routing und Firewall als Gesamtpfad modellieren.
4. Betriebs-, Support- und Widerrufsprozesse für Zugänge festlegen.

Modul 7: Zertifikate und kryptografische Profile vorbereiten

1. Interne oder externe Zertifizierungsstelle und Zertifikatslaufzeiten bestimmen.
2. Server-, Client- und Gegenstellenzertifikate sicher erzeugen oder importieren.
3. Algorithmen, Hashverfahren, Diffie-Hellman-Gruppen und Perfect Forward Secrecy angemessen auswählen.
4. Erneuerung, Sperrung und Kompromittierung mit dokumentierten Abläufen abdecken.

Modul 8: OpenVPN-Serverinstanzen konfigurieren

1. Gerouteten oder gebrückten Betrieb, Adresspool und erreichbare Netze festlegen.
2. Serverinstanz, Port, Protokoll, Zertifikate und Authentifizierung konfigurieren.
3. DNS, Routen, Domänensuffixe und Client-zu-Client-Kommunikation gezielt steuern.
4. Konfiguration mit mehreren Benutzer- und Netzwerkprofilen testen.

Modul 9: OpenVPN-Remote-Access bereitstellen

1. Benutzer und Gruppen mit minimalen Zugriffsrechten zuordnen.
2. Clientpakete sicher bereitstellen und Endgeräte kontrolliert konfigurieren.
3. Anmeldung, Tunnelaufbau, DNS und Zugriff auf erlaubte Ressourcen prüfen.
4. Sperrung, Zertifikatswiderruf und verlorene Endgeräte als Notfallfall testen.

Modul 10: OpenVPN-Gateway-zu-Gateway-Verbindungen aufbauen

1. Lokale und entfernte Netze, Tunnelendpunkte und Überschneidungen erfassen.
2. Clientverbindung mit Pre-Shared Key, Zertifikat oder kombinierter Authentifizierung konfigurieren.
3. Routen, Firewall und gegenseitige Erreichbarkeit schrittweise freigeben.
4. Neustart, Leitungswechsel und Wiederverbindung reproduzierbar testen.

Modul 11: IPsec-Site-to-Site konfigurieren

1. IKE-Version, Authentifizierung, lokale und entfernte Netze sowie Peer-Adressen abstimmen.
2. Phase-1- und Phase-2-Profile mit sicheren, kompatiblen Parametern einrichten.
3. NAT-Traversal, Dead Peer Detection und Perfect Forward Secrecy passend konfigurieren.
4. Aushandlung, Tunnelstatus und bidirektionale Kommunikation mit der Gegenstelle prüfen.

Modul 12: IPsec- und L2TP-Remote-Access umsetzen

1. Unterstützte Endgeräte, Benutzergruppen und Authentifizierungsverfahren festlegen.
2. Roadwarrior-Verbindung mit XAuth, L2TP oder geeignetem IPsec-Profil konfigurieren.
3. Adressvergabe, DNS, Routen und Zugriffsregeln auf den erforderlichen Umfang beschränken.
4. Anmeldung und Abweisung mit unterschiedlichen Benutzerzuständen testen.

Modul 13: VPN-Routing, Firewall und NAT abstimmen

1. Tunnelnetze und VPN-Objekte eindeutig in die Kommunikationsmatrix aufnehmen.
2. VPN-Firewallregeln nach Benutzergruppe, Tunnel oder Gegenstelle konfigurieren.
3. NAT nur bei begründetem Bedarf einsetzen und Rückwege vollständig prüfen.
4. Seitwärtsbewegung, unerlaubte Client-Kommunikation und alternative Pfade mit Negativtests ausschließen.

Modul 14: VPN-Betrieb und Failover testen

1. Tunnelaufbau, Rekeying, Abbruch und automatische Wiederverbindung beobachten.
2. Uplink-Ausfall und Rückkehr mit bestehenden sowie neuen Sitzungen testen.
3. Zertifikatsablauf, falsche Zeit, gesperrte Benutzer und fehlerhafte Routen simulieren.
4. Monitoring, Alarmierung und standardisierte Fehleranalyse für den Regelbetrieb festlegen.

Modul 15: VPN-Portal und Veröffentlichungsmodell planen

1. Interne HTTP- und HTTPS-Ressourcen, Zielgruppen und Schutzbedarf erfassen.
2. Portalzugriff gegenüber klassischem VPN und direkter Veröffentlichung abgrenzen.
3. Namensauflösung, Zertifikate, Authentifizierung und interne Zielpfade modellieren.
4. Freigabe-, Änderungs- und Widerrufsprozesse für veröffentlichte Ressourcen definieren.

Modul 16: Portalpfade und Ziele konfigurieren

1. Eindeutige Pfade, interne Zieladressen, Protokolle und Hostnamen festlegen.
2. Mehrere Ziele mit nachvollziehbaren Bezeichnungen und minimaler Erreichbarkeit einrichten.
3. Weiterleitungen, relative Pfade und anwendungsseitige Abhängigkeiten kontrollieren.
4. Nicht konfigurierte oder manipulierte Pfade mit Negativtests prüfen.

Modul 17: Authentifizierung und TLS für das Portal absichern

1. Benutzergruppen und Provider zielbezogen zuordnen.
2. Portalzertifikat, Vertrauenskette und Hostnamen korrekt konfigurieren.
3. SSL-Offloading nur nach technischer und sicherheitlicher Bewertung einsetzen.
4. Berechtigte, unberechtigte, gesperrte und abgelaufene Zugänge testen.

Modul 18: HTTP- und HTTPS-Proxy-Betriebsarten auswählen

1. Transparente, nicht transparente und Bridge-Szenarien nach Netzarchitektur vergleichen.
2. Zu überwachende Zonen, Clients, Ausnahmen und Upstream-Proxy-Abhängigkeiten erfassen.
3. Proxy schrittweise mit minimaler Zugriffspolitik aktivieren.
4. Direkte Umgehungspfade und Kompatibilitätsprobleme mit Testclients prüfen.

Modul 19: Zugriffsrichtlinien für Webverkehr erstellen

1. Regelziele nach Benutzer, Gruppe, Zone, Zeit, MIME-Typ und Zielkategorie definieren.
2. Reihenfolge von Erlaubnis-, Sperr- und Ausnahmefällen eindeutig aufbauen.
3. White- und Blacklists eng begrenzen und mit Verantwortlichkeit versehen.
4. Richtlinien mit repräsentativen Benutzern und Zielklassen testen.

Modul 20: Proxy-Authentifizierung und Single Sign-on integrieren

1. Lokale, RADIUS-, LDAP- oder Active-Directory-Provider auswählen.
2. Gruppenauflösung und gegebenenfalls NTLM-Single-Sign-on kontrolliert konfigurieren.
3. Fallback und Verhalten bei Nichterreichbarkeit des Verzeichnisdienstes festlegen.
4. Benutzer- und Gruppenrichtlinien mit erfolgreichen und abgewiesenen Anmeldungen prüfen.

Modul 21: Content Filter und URL-Kategorien konfigurieren

1. Geschäftlich zulässige, unerwünschte und risikobehaftete Kategorien definieren.
2. Filterprofile, Zeitfenster und Gruppenbezug schrittweise aufbauen.
3. SafeSearch und ergänzende Schutzfunktionen nach Bedarf aktivieren.
4. Fehlklassifikationen über einen kontrollierten Ausnahmeprozess bearbeiten.

Modul 22: HTTPS-Prüfung und Zertifikatsverteilung planen

1. URL-basierte Kontrolle und Entschlüsselung anhand von Schutzbedarf und Datenschutz abgrenzen.
2. Interne Proxy-Zertifizierungsstelle und vertrauenswürdige Verteilung auf Endgeräte vorbereiten.
3. Ausnahmen für technisch oder rechtlich nicht zu entschlüsselnde Ziele definieren.
4. Zertifikatsfehler, moderne Anwendungen und Datenschutzanforderungen mit Testfällen prüfen.

Modul 23: Mailfluss und Schutzarchitektur modellieren

1. Ein- und ausgehende Mailpfade, Domänen, Server, Relays und Vertrauensgrenzen erfassen.
2. Einsatz von SMTP- und POP3-Proxy sowie transparenten oder expliziten Betriebsarten bestimmen.
3. Abhängigkeiten zu DNS, Zertifikaten, Firewall und Quarantäne berücksichtigen.
4. Test- und Rückfallpfade für Störungen des Mailverkehrs planen.

Modul 24: SMTP-Proxy und Domänen konfigurieren

1. Zonen, überwachte Domänen, erlaubte Absender- und Empfängerpfade festlegen.
2. SMTP-Proxy mit passenden Ein- und Ausgangsregeln schrittweise aktivieren.
3. Größen-, Protokoll- und Zustellparameter an den Mailbetrieb anpassen.
4. Ein- und ausgehende Zustellung mit gültigen sowie ungültigen Testnachrichten prüfen.

Modul 25: Anti-Spam-Verfahren abstimmen

1. SpamAssassin-, Bitdefender-, Bayes-, SPF-, RBL- und Greylisting-Funktionen fachlich einordnen.
2. Schwellwerte und Kombinationen zunächst mit beobachtender Auswertung konfigurieren.
3. Black- und Whitelists auf eindeutige, begründete Ausnahmen begrenzen.
4. Fehlklassifikationen anhand repräsentativer Nachrichten auswerten und Parameter nachführen.

Modul 26: Malware- und Dateifilter konfigurieren

1. Antivirus-Engine, zu prüfende Verkehrsrichtungen und Größenlimits festlegen.
2. Dateitypen und Erweiterungen nach Geschäftsbedarf sowie Risiko blockieren.
3. Reaktionen auf Fund, Scanfehler und nicht prüfbare Inhalte definieren.
4. Testdateien und kontrollierte Anhänge zur Funktionsprüfung verwenden.

Modul 27: Quarantäne und Benachrichtigungen betreiben

1. Quarantänearten, Zugriffsrollen und Aufbewahrungsfristen festlegen.
2. Zusammenfassungsberichte und Freigabeverfahren mit sicheren Empfängerregeln konfigurieren.
3. Freigabe, Löschung und Fehlklassifikation anhand von Testfällen üben.
4. Quarantänevolumen und wiederkehrende Muster regelmäßig auswerten.

Modul 28: Mailrouting und Smart Host einrichten

1. Interne Domänen, Zielserver, Relays und Sonderwege vollständig dokumentieren.
2. Domain Routing, Mail Routing und Smart-Host-Verbindungen schrittweise konfigurieren.
3. Authentifizierung, TLS-Vertrauen und Rückfallverhalten für externe Relays prüfen.
4. Normale Zustellung, Unzustellbarkeit, Queue-Verhalten und Wiederholung testen.

Modul 29: Hotspot- und Gastnetzarchitektur entwerfen

1. Gastzugänge, interne Netze, Internetpfade, rechtliche Vorgaben und Datenschutzanforderungen erfassen.
2. Standalone-, Master/Satellite- oder externe RADIUS-Szenarien fachlich vergleichen.
3. Adressierung, DNS, Firewall, Bandbreite und Isolation für Gastgeräte planen.
4. Betriebsrollen, Supportwege und Aufbewahrung von Verbindungsdaten definieren.

Modul 30: Captive Portal und Zugangsfluss konfigurieren

1. Portalverhalten, Sprachen, Nutzungsbedingungen und Weiterleitungsziele festlegen.
2. Hotspot-Zone, Anmeldeseite und erforderliche Systemzugriffe schrittweise einrichten.
3. Registrierung, Anmeldung, Abmeldung und Sitzungsablauf aus Anwendersicht testen.
4. Umgehungsversuche und unerwünschte Zugriffe in interne Netze mit Negativtests prüfen.

Modul 31: Konten und Massendaten verwalten

1. Kontotypen, Laufzeiten, gleichzeitige Sitzungen und Berechtigungsgrenzen definieren.
2. Einzelkonten anlegen sowie strukturierte Importe und Exporte kontrolliert durchführen.
3. Account-Generator für standardisierte Vergabeprozesse einsetzen.
4. Ablauf, Sperrung, Löschung und Nachweis der Vergabe dokumentieren.

Modul 32: Hotspot-Berichte und Betriebsüberwachung aufbauen

1. Aktive Verbindungen, Kontostände, Verbindungsprotokolle und Transaktionen überwachen.
2. Berichts- und Exportanforderungen mit Aufbewahrung sowie Zugriffsschutz abstimmen.
3. Auffällige Nutzung, Missbrauch und Kapazitätsengpässe anhand definierter Indikatoren erkennen.
4. Regelmäßige Kontrollen und datenschutzgerechte Löschverfahren dokumentieren.

Modul 33: Web-Security-Konfiguration abnehmen

1. Testmatrix für Kategorien, Benutzergruppen, Zeitfenster, Downloads und HTTPS erstellen.
2. Erlaubte, blockierte und ausgenommene Ziele reproduzierbar prüfen.
3. Zertifikats-, Authentifizierungs- und Performancefehler anhand der Protokolle auswerten.
4. Freigegebene Richtlinien sichern und Supportanweisungen dokumentieren.

Modul 34: Mail Security testen und abnehmen

1. Testmatrix für Spam, Malware, Dateitypen, interne und externe Zustellrichtungen erstellen.
2. Ergebnisse in Proxy-, Quarantäne-, Mailqueue- und Systemprotokollen nachvollziehen.
3. Fehlalarme, Laufzeiten und Zustellverzögerungen gegen Betriebsziele bewerten.
4. Freigegebene Konfiguration sichern und Betriebsanweisungen aktualisieren.

Praxisübungen

• Aufbau eines gemeinsamen Rollen- und Zertifikatsmodells
• Konfiguration von OpenVPN- und IPsec-Verbindungen mit restriktiven Regeln
• Veröffentlichung einer internen Webressource über das VPN-Portal
• Einrichtung von Webfilter, HTTPS-Prüfung, Mailfilter und Quarantäne
• Aufbau eines isolierten Hotspots und vollständige Ende-zu-Ende-Abnahme

Methodik

Fachliche Einordnung, nachvollziehbare Demonstrationen, schrittweise Konfiguration, praktische Übungen am System, Positiv- und Negativtests, strukturierte Fehleranalyse sowie dokumentierte Abnahme der erarbeiteten Konfiguration.