Seminar Kube-OVN Netzwerk-Sicherheit mit NetworkPolicies, ACLs und Security Groups

Das Seminar überführt fachliche Kommunikations- und Schutzanforderungen in mehrstufige Sicherheitsregeln. Kubernetes NetworkPolicies, OVN-ACLs, Security Groups, Logging, Mikrosegmentierung und kontrollierte Ausnahmen werden gemeinsam betrachtet.

Inhaltsübersicht

1. Lernziele
2. Seminarinhalte
3. Praxisübungen
4. Zielgruppe
5. Voraussetzungen

Lernziele

• Kommunikationsmatrizen und Schutzbedarfe in Regeln übersetzen
• NetworkPolicies, ACLs und Security Groups zielgerichtet einsetzen
• Prioritäten, Zustände und Ausnahmen beherrschbar gestalten
• Regelwirkung und Nachweise mit systematischen Tests prüfen

Seminarinhalte

1. Bedrohungs- und Kommunikationsmodell

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: Workloads, Zonen, Datenflüsse und Schutzbedarf erfassen.
2. Schritt 2 – Umsetzung: eine überprüfbare Kommunikationsmatrix mit Default-Deny-Strategie erstellen.
3. Schritt 3 – Prüfung: Vollständigkeit und notwendige Ausnahmen anhand von Anwendungspfaden prüfen.

2. Kubernetes NetworkPolicies

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: Selektoren, Richtungen, Ports und Namensräume fachlich zuordnen.
2. Schritt 2 – Umsetzung: Ingress- und Egress-Regeln schrittweise umsetzen.
3. Schritt 3 – Prüfung: erlaubte und verbotene Verbindungen automatisiert testen.

3. OVN-ACLs und Prioritäten

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: Regelquellen, Prioritäten und Zustandsverhalten analysieren.
2. Schritt 2 – Umsetzung: gezielte ACLs für Anforderungen außerhalb des Standardmodells konfigurieren.
3. Schritt 3 – Prüfung: Reihenfolge, Überschneidung und Seiteneffekte mit Paketpfaden prüfen.

4. Security Groups

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: wiederverwendbare Schutzprofile und Workload-Gruppen bestimmen.
2. Schritt 2 – Umsetzung: Security Groups erstellen und dynamisch zuordnen.
3. Schritt 3 – Prüfung: Mitgliedschaftsänderungen und Regelwirkung über den Lebenszyklus testen.

5. Logging und Nachweis

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: Audit-, SOC- und Troubleshooting-Anforderungen definieren.
2. Schritt 2 – Umsetzung: Policy- und ACL-Logging mit angemessener Granularität aktivieren.
3. Schritt 3 – Prüfung: Logeinträge mit Testverbindungen und Regelentscheidungen korrelieren.

6. Mikrosegmentierung und Ausnahmen

Dieses Themenmodul verbindet fachliche Planung, technische Umsetzung und eine prüfbare Abnahme. Die Arbeit erfolgt an einer zusammenhängenden Laborumgebung, damit Abhängigkeiten und Datenpfade sichtbar bleiben.

1. Schritt 1 – Analyse: Abhängigkeiten, Betriebszugriffe und Notfallpfade identifizieren.
2. Schritt 2 – Umsetzung: mehrstufige Segmentierung mit kontrollierten Ausnahmen umsetzen.
3. Schritt 3 – Prüfung: Bypass-Risiken, Querkommunikation und Rückfallverfahren prüfen.

Praxisübungen

• Umsetzung einer vollständigen Default-Deny-Kommunikationsmatrix
• Vergleich von NetworkPolicy, ACL und Security Group an einem Fallbeispiel
• Auditfähiger Nachweis blockierter und erlaubter Verbindungen

Zielgruppe

Kubernetes- und Netzwerkadministratoren, Security Engineers, Plattform- und Compliance-Teams

Voraussetzungen

Kubernetes- und Kube-OVN-Grundkenntnisse sowie Verständnis von Firewalls, Zustandsbezug und Netzsegmentierung