Seminar Holm Security VMP – Administration und Plattformbetrieb

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe
3. Voraussetzungen
4. Lernziele
5. Seminarinhalte
6. 1. Plattformarchitektur und Betriebsmodell
7. 2. Initiale Mandanten- und Kontokonfiguration
8. 3. Benutzer, Rollen, Teams und Freigaben
9. 4. Asset Manager und Datenqualität
10. 5. Attack Surface Management und Discovery
11. 6. Scanner Appliance und Device Agent
12. 7. Scan-Profile, Zeitpläne und sichere Ausführung
13. 8. Kontinuierliche Überwachung und Vulnerability Manager
14. 9. Risikomodell und Remediation
15. 10. Reporting, Dashboards und Benachrichtigungen
16. 11. REST-API und Integrationen
17. 12. Betriebsüberwachung und Störungsanalyse
18. Praxisanteil
19. Methodik

Seminarprofil

Die Schulung vermittelt den vollständigen administrativen Lebenszyklus der Plattform. Dazu gehören die initiale Konfiguration, ein belastbares Berechtigungsmodell, Asset- und Scan-Governance, technische Betriebsführung, Auswertung, Maßnahmensteuerung, Berichterstattung, Automatisierung und Störungsanalyse. Die Dauer von vier Tagen ist erforderlich, weil Konfiguration, Betriebsprozesse und technische Fehlerbilder nicht nur vorgestellt, sondern praktisch aufgebaut und geprüft werden.

Zielgruppe

Plattformadministratoren, Security Engineers, Vulnerability Manager, SOC-Verantwortliche, technische Projektleiter und Betreiber einer zentralen Schwachstellenmanagement-Plattform.

Voraussetzungen

Solide Kenntnisse in Netzwerk- und Systemadministration, Grundverständnis von Schwachstellenmanagement sowie Zugriff auf eine Schulungsinstanz. Kenntnisse zu Rollenmodellen und IT-Betriebsprozessen sind vorteilhaft.

Lernziele

• Eine betriebsfähige Plattformstruktur mit klaren Verantwortlichkeiten und Namenskonventionen aufbauen.
• Benutzer, Teams, Rollen, Freigaben und Eigentümerschaften nachvollziehbar verwalten.
• Assets, Tags, Ansichten, Geschäftsauswirkungen und Lebenszyklen konsistent steuern.
• Scanner, Agenten, Profile, Zeitpläne und Überwachungsfunktionen sicher betreiben.
• Risiken priorisieren, Maßnahmen koordinieren, Berichte automatisieren und Integrationen kontrollieren.
• Betriebsstörungen systematisch eingrenzen und einen dokumentierten Regelbetrieb etablieren.

Seminarinhalte

1. Plattformarchitektur und Betriebsmodell

Die Komponenten und Verantwortungsgrenzen werden als Grundlage des späteren Betriebsmodells festgelegt.

1. Schritt 1: Cloud- und On-Premises-Betriebsvarianten sowie lokale Scan-Komponenten fachlich abgrenzen.
2. Schritt 2: Datenflüsse zwischen Security Center, Scanner Appliance, Device Agent und Zielsystemen skizzieren.
3. Schritt 3: Produktbereiche, technische Angriffsflächen und gemeinsame Risiko- und Arbeitsabläufe zuordnen.
4. Schritt 4: Betriebsrollen, Freigaben, Eskalationswege und Dokumentationspflichten definieren.

2. Initiale Mandanten- und Kontokonfiguration

Eine standardisierte Grundkonfiguration verhindert spätere Inkonsistenzen.

1. Schritt 1: Organisationsdaten, Zeitzone, Benachrichtigungsgrundlagen und Benennungskonventionen prüfen.
2. Schritt 2: Administrative und operative Konten trennen und das Minimalprinzip anwenden.
3. Schritt 3: Eigentümer, Standardteams und Zuständigkeiten für Scans, Berichte und Maßnahmen festlegen.
4. Schritt 4: Eine Abnahmecheckliste für neue Plattformbereiche oder Kundenumgebungen erstellen.

3. Benutzer, Rollen, Teams und Freigaben

Der Zugriff wird rollenbasiert, überprüfbar und wartbar gestaltet.

1. Schritt 1: Benutzertypen nach administrativen, prüfenden, auswertenden und lesenden Aufgaben klassifizieren.
2. Schritt 2: Teams für Organisationseinheiten, technische Domänen oder Kundenbereiche anlegen.
3. Schritt 3: Rollen und Freigaben mit Testkonten auf wirksame Rechte und unerwünschte Überschneidungen prüfen.
4. Schritt 4: Ein geregeltes Verfahren für Eintritt, Rollenwechsel, Vertretung und Austritt dokumentieren.

4. Asset Manager und Datenqualität

Der Asset-Bestand wird als zentrale Grundlage aller Prüf- und Priorisierungsprozesse gepflegt.

1. Schritt 1: Asset-Quellen, erkannte Geräte, Webanwendungen, Cloud-Ressourcen und weitere Objekte einordnen.
2. Schritt 2: Tags, gespeicherte Ansichten, Eigentümer und geschäftliche Auswirkungen standardisieren.
3. Schritt 3: Dubletten, inaktive Assets, veraltete Einträge und unklare Verantwortlichkeiten bereinigen.
4. Schritt 4: Lebenszyklusregeln und regelmäßige Qualitätskontrollen für den Bestand festlegen.

5. Attack Surface Management und Discovery

Automatisierte Entdeckung wird mit kontrollierter Aufnahme in den verwalteten Bestand verbunden.

1. Schritt 1: Interne und internetnahe Suchräume sowie zulässige Domänen- und Adressbereiche festlegen.
2. Schritt 2: Neue oder veränderte Assets prüfen, klassifizieren und einem Eigentümer zuordnen.
3. Schritt 3: Unbekannte Systeme und mögliche Schatten-IT anhand definierter Kriterien eskalieren.
4. Schritt 4: Discovery-Ergebnisse in Tags, Ansichten, Prüfprofile und regelmäßige Kontrollen überführen.

6. Scanner Appliance und Device Agent

Lokale Scanner und Endpunktagenten werden sicher in den Plattformbetrieb integriert.

1. Schritt 1: Einsatzgrenzen von cloudbasierten Scannern, lokalen Appliances und Agenten bestimmen.
2. Schritt 2: Scanner registrieren, Netzwerkpfade prüfen und sichere Kommunikationsvoraussetzungen dokumentieren.
3. Schritt 3: Agent-Pakete, Bereitstellungstoken, Proxy-Einstellungen und Rollout-Verfahren vorbereiten.
4. Schritt 4: Zustand, Aktualität, Fehlerbilder und Außerbetriebnahme der Komponenten überwachen.

7. Scan-Profile, Zeitpläne und sichere Ausführung

Prüfungen werden reproduzierbar, leistungsbewusst und risikogerecht eingerichtet.

1. Schritt 1: Discovery-, Basic- und Full-Scan-Szenarien nach Ziel und Systemkritikalität auswählen.
2. Schritt 2: Profile für Standardprüfungen, authentifizierte Prüfungen und besondere Zielgruppen anlegen.
3. Schritt 3: Zeitpläne, Wartungsfenster, Parallelität und Benachrichtigungen abstimmen.
4. Schritt 4: Pilotläufe auswerten und erst danach den Umfang kontrolliert erweitern.

8. Kontinuierliche Überwachung und Vulnerability Manager

Neue und bestehende Risiken werden in einer einheitlichen Arbeitsansicht bearbeitet.

1. Schritt 1: Kontinuierliche Überwachung für geeignete Zielgruppen konfigurieren.
2. Schritt 2: Die einheitliche Schwachstellenansicht nach Bedrohung, Schweregrad, EPSS, Status und Asset filtern.
3. Schritt 3: Eigentümer, Status, Bearbeitungspriorität und ergänzende Kontextinformationen pflegen.
4. Schritt 4: Wiederkehrende Triage-Termine und Eskalationsregeln für kritische Veränderungen einrichten.

9. Risikomodell und Remediation

Technische Befunde werden in priorisierte und nachprüfbare Maßnahmen überführt.

1. Schritt 1: Bedrohungswert, Asset-Risiko, CVSS, Ausnutzbarkeit und geschäftliche Auswirkung gemeinsam bewerten.
2. Schritt 2: Befunde zu Maßnahmenpaketen gruppieren und eindeutige Bearbeitungsziele formulieren.
3. Schritt 3: Zuständigkeiten, Fristen, Ausnahmen und Abhängigkeiten im Remediation-Prozess dokumentieren.
4. Schritt 4: Nachprüfungen planen und die Wirksamkeit abgeschlossener Maßnahmen bestätigen.

10. Reporting, Dashboards und Benachrichtigungen

Berichte werden zielgruppengerecht und mit konsistenten Daten erzeugt.

1. Schritt 1: Informationsbedürfnisse von Technik, Management, Revision und Kunden trennen.
2. Schritt 2: Berichtsvorlagen, Filter, Zeiträume und geplante Ausgaben konfigurieren.
3. Schritt 3: Kennzahlen zu Risikoentwicklung, kritischen Befunden, Abdeckung und Bearbeitungsleistung definieren.
4. Schritt 4: Benachrichtigungen so begrenzen, dass kritische Ereignisse erkennbar bleiben und Alarmmüdigkeit vermieden wird.

11. REST-API und Integrationen

Automatisierung und Systemkopplungen werden sicher und wartbar umgesetzt.

1. Schritt 1: API-Zugänge nach dem Minimalprinzip erstellen und Geheimnisse geschützt verwalten.
2. Schritt 2: Assets, Befunde, Scans und Statusinformationen kontrolliert abfragen oder weiterverarbeiten.
3. Schritt 3: Ticketing-, Kollaborations- und SIEM-Kopplungen mit Feldzuordnung und Platzhaltern konfigurieren.
4. Schritt 4: Fehlerbehandlung, Protokollierung, Ratenbegrenzung und technische Verantwortlichkeiten festlegen.

12. Betriebsüberwachung und Störungsanalyse

Ein dokumentierter Regelbetrieb verkürzt Ausfallzeiten und erhöht die Datenqualität.

1. Schritt 1: Tägliche, wöchentliche und monatliche Kontrollen für Scanner, Agenten, Zeitpläne und Datenimporte definieren.
2. Schritt 2: Fehler nach Netzwerk, Authentifizierung, Zielsystem, Profil, Kapazität oder Berechtigung klassifizieren.
3. Schritt 3: Änderungen kontrolliert testen, dokumentieren und bei Bedarf zurücknehmen.
4. Schritt 4: Betriebshandbuch, Wiederanlaufverfahren, Ansprechpartner und Eskalationsmatrix pflegen.

Praxisanteil

Einrichtung eines vollständigen Administrationsmodells, Aufbau von Asset-Taxonomie und Rollen, Registrierung einer Scan-Komponente, Konfiguration mehrerer Prüfprofile, Durchführung einer Triage, Erstellung einer Remediation und Automatisierung eines Berichts- oder Integrationsprozesses.

Methodik

Vertiefender Fachvortrag, Live-Konfiguration, Laboraufgaben, Fehlerdiagnose, Betriebschecklisten, Gruppenarbeit zu Rollen und Governance sowie ein mehrstufiges Plattform-Fallbeispiel.