Seminar Intruder – Website Security und CMS-Härtung

Websites und Content-Management-Systeme verbinden öffentlich erreichbare Dienste, Erweiterungen, Administrationsbereiche, externe Komponenten und redaktionelle Prozesse. Das Seminar betrachtet diese Angriffsfläche als Gesamtsystem und verbindet technische Prüfung mit umsetzbarer Härtung.

Praktische Übungen erfassen Komponenten und Exposition, prüfen Konfigurationen und Webrisiken, priorisieren Befunde und führen Korrekturen bis zum Retest. Betriebs- und Redaktionsverantwortung werden klar voneinander abgegrenzt.

Inhaltsübersicht

1. Website- und Komponenteninventar
2. Exposition, TLS und Sicherheitsheader
3. CMS, Rollen und Administrationsschutz
4. Webscan und Befundbewertung
5. Korrektur, Betrieb und Retest
6. Praxis und Übungen
7. Arbeitsweise
8. Vorkenntnisse und Zielgruppe

Zielsetzung

Websites und CMS können strukturiert inventarisiert, kontrolliert geprüft und nach einem risikobasierten Härtungsplan verbessert werden. Erweiterungen, Administrationszugänge, TLS, Header und externe Dienste werden in einen gemeinsamen Lifecycle integriert.

Schrittweise Seminarinhalte

1. Website- und Komponenteninventar

Schwerpunkt: Domains, Hosts, CMS, Versionen, Themes, Erweiterungen, externe Skripte, Formulare, Administrationsbereiche und Betreiber.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Website- und Komponenteninventar“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Domains, Hosts, CMS, Versionen, Themes, Erweiterungen, externe Skripte, Formulare, Administrationsbereiche und Betreiber strukturiert modellieren.
3. Eine vollständige Komponenten- und Verantwortungsübersicht erstellen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Aktualität, Eigentum und unbekannte Abhängigkeiten mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine geprüfte Website-Baseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

2. Exposition, TLS und Sicherheitsheader

Schwerpunkt: DNS, Weiterleitungen, Zertifikate, Protokolle, Cipher, HTTP-Header, Cookies, offene Dienste und Fehlermeldungen.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Exposition, TLS und Sicherheitsheader“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von DNS, Weiterleitungen, Zertifikate, Protokolle, Cipher, HTTP-Header, Cookies, offene Dienste und Fehlermeldungen strukturiert modellieren.
3. Die externe Konfiguration erfassen und Härtungslücken markieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Sichere Transport- und Browserkontrollen mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine priorisierte Konfigurationsliste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

3. CMS, Rollen und Administrationsschutz

Schwerpunkt: Admin-Pfade, Mehrfaktorverfahren, Rollen, Standardkonten, Dateirechte, Uploads, Backups und Updatewege.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „CMS, Rollen und Administrationsschutz“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Admin-Pfade, Mehrfaktorverfahren, Rollen, Standardkonten, Dateirechte, Uploads, Backups und Updatewege strukturiert modellieren.
3. Administrations- und Betriebszugänge gegen ein Härtungsmodell prüfen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Least Privilege, geschützte Zugänge und sichere Wiederherstellung mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine CMS-Härtungscheckliste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

4. Webscan und Befundbewertung

Schwerpunkt: Crawler-Abdeckung, Formulare, Parameter, clientseitige Risiken, Informationslecks, Komponentenbefunde und technische Evidenz.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Webscan und Befundbewertung“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Crawler-Abdeckung, Formulare, Parameter, clientseitige Risiken, Informationslecks, Komponentenbefunde und technische Evidenz strukturiert modellieren.
3. Einen kontrollierten Website-Scan durchführen und Befunde validieren und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Reproduzierbarkeit, Ausnutzbarkeit und Geschäftsrelevanz mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis eine abgestimmte Web-Remediation-Liste dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

5. Korrektur, Betrieb und Retest

Schwerpunkt: Patches, Konfiguration, Erweiterungswechsel, Webserverregeln, Monitoring, Change, Rückfallplan und Wiederholungsprüfung.

1. Ausgangslage, Schutzbedarf und messbare Zielkriterien für den Themenblock „Korrektur, Betrieb und Retest“ erfassen.
2. Relevante Objekte, Rollen und Abhängigkeiten anhand von Patches, Konfiguration, Erweiterungswechsel, Webserverregeln, Monitoring, Change, Rückfallplan und Wiederholungsprüfung strukturiert modellieren.
3. Härtungsmaßnahmen planen, umsetzen und erneut prüfen und jeden Konfigurations- beziehungsweise Prozessschritt protokollieren.
4. Stabile Funktion und messbar reduzierte Exposition mit definierten Positiv-, Negativ- und Fehlerfällen prüfen.
5. Als Arbeitsergebnis einen verifizierten Website-Sicherheitsstatus dokumentieren, fachlich abnehmen und in einen wiederholbaren Standard überführen.

Praxis und Übungen

1. Eine Beispielwebsite einschließlich CMS, Erweiterungen und externer Komponenten inventarisieren.
2. TLS-, Header-, Cookie- und Administrationskonfigurationen gegen ein Härtungsmodell prüfen.
3. Einen kontrollierten Website-Scan auswerten und Befunde nach Risiko und Eigentümer priorisieren.
4. Härtungsmaßnahmen mit Change, Rückfallplan und Retest dokumentieren.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und angeleitete Laborphasen wechseln sich ab. Jede Übung folgt dem Schema Vorbereitung, kontrollierte Durchführung, technische Prüfung, Dokumentation und betriebliche Standardisierung. Produktive Ziele werden nur innerhalb eines schriftlich freigegebenen Scopes und mit abgestimmten Schutzmaßnahmen geprüft.

Vorkenntnisse und Zielgruppe

Zielgruppe: Webbetrieb, CMS-Administration, Webentwicklung, Application Security, DevSecOps, Agenturen, Hosting-Verantwortliche und technische Redaktion.

Vorkenntnisse: Grundkenntnisse zu HTTP, TLS, DNS, Webservern, CMS, Erweiterungen, Benutzerrollen und Change-Prozessen.