Seminar Enonic XP 8 – Sicherheit und Systemhärtung

Das Seminar entwickelt eine überprüfbare Sicherheitsbaseline für Enonic XP 8. Plattformkonfiguration, Identitäten, Content-Berechtigungen, APIs, Reverse Proxy, Container und Betriebsprozesse werden an einem gemeinsamen Bedrohungsmodell ausgerichtet.

Eine absichtlich unvollständig gehärtete Umgebung wird analysiert und schrittweise abgesichert. Jede Maßnahme erhält einen Prüfpunkt, damit Schutzwirkung, Betriebsfolgen und verbleibendes Risiko nachvollziehbar bleiben.

Inhaltsübersicht

1. Bedrohungsmodell und Sicherheitszonen
2. VHosts, Identitätsprovider und Adminzugang
3. Kennwörter, Secrets und Service Accounts
4. Explizite Berechtigungen und Projekte
5. API-, Webapp- und Echtzeitschutz
6. Reverse Proxy, TLS und Netzwerk
7. Host- und Containerhärtung
8. Audit, Patching und Incident Response

Lernziele

• Bedrohungen und Vertrauensgrenzen für die Plattform priorisieren
• Identitäts-, Secret- und Berechtigungsmodell härten
• Admin-, API-, Site- und Netzwerkzugriffe absichern
• Container, Logging, Audit und Patchprozess einbeziehen
• Security-Baseline und Incident-Runbook nachweisbar prüfen

Praxisorientierte Lernschritte

1. Bedrohungsmodell und Sicherheitszonen

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: schützenswerte Daten, Funktionen und administrative Pfade inventarisieren
2. Schritt 2: Angriffsflächen nach extern, intern und technisch privilegiert klassifizieren
3. Schritt 3: Schutzmaßnahmen und Restrisiken in einer priorisierten Matrix festhalten

2. VHosts, Identitätsprovider und Adminzugang

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: öffentliche, administrative und API-bezogene Hosts strikt trennen
2. Schritt 2: Standard-Identitätsprovider und Kontextwerte je Zugangsweg festlegen
3. Schritt 3: nicht vorgesehene Hosts, Header und Providerkombinationen mit Negativtests prüfen

3. Kennwörter, Secrets und Service Accounts

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: sichere Hash- und Kennwortkonfiguration für privilegierte Konten anwenden
2. Schritt 2: technische Identitäten nach Zweck und minimaler Berechtigung trennen
3. Schritt 3: Secret-Ablage, Rotation, Widerruf und Notfallwechsel operationalisieren

4. Explizite Berechtigungen und Projekte

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: ACLs ohne Vererbungsannahmen an kritischen Knoten prüfen
2. Schritt 2: Projektrollen, Draft-Zugriff und Publishingrechte voneinander abgrenzen
3. Schritt 3: Berechtigungsänderungen auf betroffene Branches und Inhalte kontrollieren

5. API-, Webapp- und Echtzeitschutz

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Authentifizierung, Autorisierung, Eingabevalidierung und Größenlimits festlegen
2. Schritt 2: CORS, Origin-Prüfung, Sitzungen und Fehlerantworten sicher konfigurieren
3. Schritt 3: Missbrauch, Wiederholung und übermäßige Last mit gezielten Tests simulieren

6. Reverse Proxy, TLS und Netzwerk

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: TLS-Terminierung, vertrauenswürdige Proxy-Header und Weiterleitungen prüfen
2. Schritt 2: interne Management- und Metrikendpunkte vom öffentlichen Netz trennen
3. Schritt 3: Firewall- und Netzwerkregeln gegen das dokumentierte Kommunikationsmodell testen

7. Host- und Containerhärtung

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: Dienstkonto, Dateirechte, schreibbare Pfade und Prozessprivilegien minimieren
2. Schritt 2: Images, Abhängigkeiten und Laufzeit regelmäßig auf Schwachstellen prüfen
3. Schritt 3: Ressourcenlimits und Diagnosezugänge so setzen, dass Betrieb und Schutz vereinbar bleiben

8. Audit, Patching und Incident Response

Der Arbeitsblock verbindet fachliche Einordnung, nachvollziehbare Umsetzung und kontrollierte Prüfung. Konfigurationen, Entscheidungen und Prüfergebnisse werden als wiederverwendbare Projektnachweise dokumentiert.

1. Schritt 1: sicherheitsrelevante Änderungen, Anmeldungen und privilegierte Aktionen überwachen
2. Schritt 2: Patch- und App-Updateprozess mit Test, Freigabe und Rückfall definieren
3. Schritt 3: Incident-Ablauf für kompromittiertes Konto, Token oder Anwendung praktisch durchspielen

Zielgruppe und Vorkenntnisse

Zielgruppe: Security Engineering, Plattformbetrieb, DevSecOps, Enonic-Administratoren, IAM-Verantwortliche, technische Revision und Anwendungsverantwortung.

Vorkenntnisse: Gute Kenntnisse in Enonic-XP-Administration, IAM, HTTP, Reverse Proxy, TLS und sicherem Systembetrieb; grundlegende Containerkenntnisse sind hilfreich.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Implementierungsschritte und kontrollierte Fehlerfälle vertieft. Jede Übung besitzt definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Dadurch bleiben die erarbeiteten Abläufe für Projekt- und Betriebsstandards nachvollziehbar.