Seminar Icinga Security – Zertifikate, Rollen und Hardening

Einordnung und Nutzen

Die Monitoring-Plattform verarbeitet weitreichende Infrastrukturinformationen und besitzt häufig privilegierte Zugriffe. Das Seminar entwickelt ein mehrschichtiges Sicherheitskonzept für PKI, API, Webrollen, Betriebssystem, Geheimnisse, Netzwerkpfade, Protokollierung und kontrollierte Änderungen.

Inhaltsübersicht

1. Einordnung und Nutzen
2. Zielgruppe
3. Voraussetzungen
4. Seminarinhalte
   1. Schutzbedarf und Bedrohungsmodell
   2. PKI und Clustervertrauen
   3. API absichern
   4. Icinga Web, Authentifizierung und Rollen
   5. Betriebssystem und Dienste härten
   6. Geheimnisse und Monitoring-Zugänge
   7. Audit, Updates und Sicherheitsbetrieb
5. Praxisübungen
6. Lernziele

Zielgruppe

Icinga-Administratoren, Security Engineers, Linux-Administratoren, Plattformverantwortliche und technische Auditoren.

Voraussetzungen

Praktische Erfahrung mit Icinga 2 und Icinga Web sowie Grundlagen in Linux-Hardening, TLS und rollenbasierter Zugriffskontrolle.

Seminarinhalte

1. Schutzbedarf und Bedrohungsmodell

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: Daten, Zugänge, Rollen, Schnittstellen, Vertrauenszonen und mögliche Angreifer erfassen.
2. Schritt 2: Bedrohungen und Kontrollen für Master, Satelliten, Agenten, Web, Datenbanken und APIs zuordnen.
3. Schritt 3: Restrisiken, Prioritäten und Verantwortlichkeiten in einer Maßnahmenmatrix prüfen.

2. PKI und Clustervertrauen

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: CA, Zertifikatsidentität, Ticketverfahren, Gültigkeit und Schlüsselablage bewerten.
2. Schritt 2: sichere Ausstellung, Verteilung, Erneuerung und Sperrung für Testknoten umsetzen.
3. Schritt 3: falsche Identität, abgelaufenes Zertifikat, unsichere Datei-Rechte und Vertrauenskette testen.

3. API absichern

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: API-Benutzer, Permissions, Filter, erlaubte Aktionen und Netzgrenzen festlegen.
2. Schritt 2: minimal berechtigte Konten für Lesen, Betrieb und Automatisierung getrennt konfigurieren.
3. Schritt 3: zulässige und verweigerte Requests sowie Protokollierbarkeit mit einer Testmatrix prüfen.

4. Icinga Web, Authentifizierung und Rollen

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: Authentifizierungsquellen, Gruppenauflösung, Rollenrechte, Einschränkungen und Mandantensicht planen.
2. Schritt 2: getrennte Rollen für Administration, Betrieb, Anwendung und Leseberechtigung einrichten.
3. Schritt 3: Navigation, Objektzugriff, Aktionen und Umgehungsversuche mit Testkonten kontrollieren.

5. Betriebssystem und Dienste härten

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: Dienstkonten, Dateirechte, Pakete, systemd-Schutz, Webserver, PHP und Datenbankzugriffe bewerten.
2. Schritt 2: unnötige Funktionen reduzieren und sichere Rechte, Dienstparameter und Netzwerkbindungen umsetzen.
3. Schritt 3: Dienstfunktion, Schreibpfade, Startverhalten und verweigerte Zugriffe nach Härtung prüfen.

6. Geheimnisse und Monitoring-Zugänge

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: Passwörter, Tokens, SNMP-Credentials, Datenbankzugänge und private Schlüssel inventarisieren.
2. Schritt 2: Ablage, Zugriff, Rotation und Trennung von Konfiguration und Geheimnis festlegen.
3. Schritt 3: Dateiberechtigungen, Protokollausgaben, Backup-Inhalt und Rotationsablauf verifizieren.

7. Audit, Updates und Sicherheitsbetrieb

Der Themenbereich wird anhand einer klaren Prüfkette von der Einordnung über die Umsetzung bis zur kontrollierten Abnahme bearbeitet.

1. Schritt 1: Protokollquellen, Aufbewahrung, Änderungsnachweis, Schwachstellenpflege und Reaktionswege definieren.
2. Schritt 2: Sicherheitscheckliste, Patchprozess und Runbook für Zertifikats- oder Zugangsvorfälle erstellen.
3. Schritt 3: Gesamtsystem mit Rechte-, Zertifikats-, Netzwerk- und Wiederherstellungstests abnehmen.

Praxisübungen

• Praxisaufgabe zu „Schutzbedarf und Bedrohungsmodell“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.
• Praxisaufgabe zu „PKI und Clustervertrauen“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.
• Praxisaufgabe zu „API absichern“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.
• Praxisaufgabe zu „Icinga Web, Authentifizierung und Rollen“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.
• Praxisaufgabe zu „Betriebssystem und Dienste härten“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.
• Praxisaufgabe zu „Geheimnisse und Monitoring-Zugänge“ mit dokumentierter Konfiguration, Funktionstest und Fehlerkorrektur.

Lernziele

• Den Themenbereich „Schutzbedarf und Bedrohungsmodell“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „PKI und Clustervertrauen“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „API absichern“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „Icinga Web, Authentifizierung und Rollen“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „Betriebssystem und Dienste härten“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „Geheimnisse und Monitoring-Zugänge“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.
• Den Themenbereich „Audit, Updates und Sicherheitsbetrieb“ fachlich einordnen, schrittweise umsetzen und nachvollziehbar prüfen.