Seminar Incident Response: Cloud und Kubernetes

Cloud-Ressourcen und Container können sich während einer Untersuchung verändern oder vollständig verschwinden. Das Seminar entwickelt dafür eine Arbeitsweise, die Identitäten, Steuerungsebene und Workloads gemeinsam erfasst. AWS dient als konkrete Cloud-Referenzplattform; Kubernetes wird in einem vorbereiteten Cluster praktisch untersucht. Die methodischen Grundsätze werden für andere Cloud-Umgebungen eingeordnet.

Vier Seminartage ermöglichen zwei zusammenhängende Praxisfälle: Ein kompromittierter Cloud-Zugang wird anhand von Audit- und Ressourceninformationen untersucht. Ein verdächtiger Kubernetes-Workload wird mit API-Auditdaten, Laufzeitinformationen und Berechtigungen in Beziehung gesetzt. Vor Löschung oder Neuverteilung von Ressourcen werden Sicherung, Vertrauensgrenzen und die mögliche erneute Bereitstellung durch Controller berücksichtigt.

Lernziele

• Vorfallrelevante Cloud- und Clusterdaten frühzeitig identifizieren und sichern.
• IAM-Identitäten, Rollen und temporäre Zugänge in einer Untersuchung zuordnen.
• Cloud-API-Aktivitäten von Betriebssystem- und Anwendungsereignissen unterscheiden.
• Kubernetes-Spuren unter Berücksichtigung kurzlebiger Ressourcen auswerten.
• Eindämmung und Neuaufbau aus vertrauenswürdigen Konfigurationen planen und prüfen.

Inhaltsverzeichnis

1. Cloud-Einsatzbereitschaft und Untersuchungsgrenzen
2. AWS-Identitäten und API-Aktivitäten
3. Cloud-Artefakte und Instanzsicherung
4. Eindämmung eines Cloud-Vorfalls
5. Kubernetes-Daten und kurzlebige Ressourcen
6. Workload-, RBAC- und Tokenanalyse
7. Containment und vertrauenswürdiger Neuaufbau
8. Verbundener Cloud- und Clusterfall

Seminarinhalte

Cloud-Einsatzbereitschaft und Untersuchungsgrenzen

• Kunden- und Providerzuständigkeiten sowie verfügbare Untersuchungsebenen zuordnen.
• Notfallzugang, Protokollablage und getrennte Beweismittelspeicherung vorbereiten.
• Vorhandene CloudTrail-Ereignisse, Datenereignisse und Aufbewahrungsgrenzen prüfen.

AWS-Identitäten und API-Aktivitäten

• Zugriffsschlüssel, Rollenübernahmen und temporäre Sitzungen zeitlich korrelieren.
• Verdächtige IAM- und Ressourcenkonfigurationsänderungen untersuchen.
• Neue Ressourcen und zusätzliche Zugriffswege als mögliche Folgebetroffenheit prüfen.

Cloud-Artefakte und Instanzsicherung

• Instanzkontext, Netzkonfiguration und Datenträgerzustand dokumentieren.
• Snapshots als Datenträgerzustand sichern und von flüchtigen Daten unterscheiden.
• Kopien, Berechtigungen und Integritätskontrollen in einer getrennten Fallablage verwalten.

Eindämmung eines Cloud-Vorfalls

• Identitäts- und Netzwerkmaßnahmen unter Berücksichtigung aktiver Sitzungen abstimmen.
• Ressourcenisolation mit Analysezugang und Betriebsabhängigkeiten vereinbaren.
• Wirksamkeit prüfen und betroffene Ressourcen aus freigegebenen Vorlagen neu bereitstellen.

Kubernetes-Daten und kurzlebige Ressourcen

• Pods, Nodes, Controller und Namespaces einem Vorfall zuordnen.
• API-Audit, Containerprotokolle und Laufzeitinformationen gemeinsam sichern.
• Nicht erhobene Auditdaten und bereits entfernte Ressourcen als Sichtlücken berücksichtigen.

Workload-, RBAC- und Tokenanalyse

• Verdächtige Workload-Spezifikationen und privilegierte Ausführungskontexte prüfen.
• Service Accounts, Rollenbindungen und Secret-Zugriffe untersuchen.
• Cloud-Identitäten von Workloads und Clusterberechtigungen in Beziehung setzen.

Containment und vertrauenswürdiger Neuaufbau

• Netzbeschränkungen, Berechtigungsentzug und Workload-Unterbrechung aufeinander abstimmen.
• Controller-Reaktionen, Neuverteilung und Node-Betroffenheit berücksichtigen.
• Images, Konfigurationen und betroffene Geheimnisse vor Wiederbereitstellung überprüfen.

Verbundener Cloud- und Clusterfall

• Cloud- und Clusterereignisse zu einer gemeinsamen Zeitachse zusammenführen.
• Maßnahmen mit betroffenen Rollen und Ressourcen im Labor überprüfen.
• Befund, verbleibende Unsicherheit und Freigabekriterien dokumentieren.

Praxisübungen

Praxisfall: Missbrauch einer Cloud-Identität mit auffälliger Aktivität in einem Kubernetes-Workload

1. Auditabdeckung und Untersuchungsrechte in Cloud und Cluster prüfen.
2. Verdächtige Rollen- und API-Aktivitäten eingrenzen und den Ressourcenkontext sichern.
3. Datenträger- und Workload-Artefakte vor verändernden Maßnahmen dokumentiert erfassen.
4. Identitäts-, RBAC- und Netzwerkmaßnahmen abstimmen und im Labor kontrollieren.
5. Ressourcen aus geprüften Vorlagen wiederbereitstellen und einen gemeinsamen Befund erstellen.

Schulungsumgebung

Isoliertes AWS-Schulungskonto, ein vorbereiteter Kubernetes-Cluster und gesicherte Beispieldatensätze. Für Firmenseminare werden Konto, Berechtigungen, Kostenrahmen und Clusterzugang vorab mit dem Auftraggeber abgestimmt; zusätzliche Cloud-Anbieter sind keine parallelen Praxisplattformen.

Passendes Intensivseminar

Der Schwerpunkt wird auch gebündelt angeboten: Incident Response Intensiv: Cloud, Kubernetes und Microsoft 365.