Seminar open-appsec Grundlagen und Architektur

Das Seminar schafft ein belastbares Verständnis der open-appsec-Architektur und des maschinellen Schutzmodells. Im Mittelpunkt stehen Datenpfad, Agent, Attachment, Managementvarianten, Lern- und Präventionsmodi sowie die Auswahl einer geeigneten Einführungsstrategie. Eine geführte Laborübung führt von der Ausgangsarchitektur bis zum ersten nachvollziehbaren Sicherheitsereignis.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praktische Übungen
7. Methodik und Unterlagen

Seminarprofil

open-appsec wird als Web- und API-Sicherheitskomponente zwischen eingehendem HTTP/S-Verkehr und geschützten Anwendungen betrachtet. Das Seminar ordnet klassische signaturbasierte WAF-Konzepte, kontextbezogenes maschinelles Lernen, deklarative Konfiguration und zentrale Verwaltung ein. Dadurch entsteht eine Entscheidungsgrundlage für spätere Installation, Richtlinienarbeit und Betriebsführung.

Lernziele

• Komponenten, Datenfluss und Verantwortlichkeiten einer open-appsec-Installation erklären.
• geeignete Integrationspunkte für Reverse Proxy, Ingress Controller und API Gateway auswählen.
• Detect/Learn-, Prevent/Learn- und inaktive Betriebsarten voneinander abgrenzen.
• Rolle von Quellidentität, vertrauenswürdigen Quellen, Konfidenz und Lernfortschritt einordnen.
• lokale deklarative Verwaltung und zentrale Webverwaltung fachlich vergleichen.
• einen ersten Schutzbereich anlegen, Testverkehr erzeugen und Ereignisse prüfen.

Zielgruppe

Geeignet für Systemadministration, Netzwerk- und Security-Administration, DevOps- und Plattformteams, technische Projektleitung sowie Fachkräfte, die Einführung oder Betrieb einer Web Application Firewall vorbereiten.

Voraussetzungen

Erforderlich sind Grundkenntnisse zu HTTP/HTTPS, DNS, Reverse Proxy und typischen Webanwendungsarchitekturen. Linux- oder Containerkenntnisse sind für die Laborübung hilfreich, aber nicht zwingend.

Seminarinhalte

1. Bedrohungsmodell für Webanwendungen und APIs

Behandelt werden Angriffsflächen von Webanwendungen, REST-APIs und API Gateways. Klassische OWASP-Angriffsmuster, Zero-Day-Risiken, Fehlkonfigurationen und automatisierter Missbrauch werden in ein gemeinsames Schutzmodell überführt.

1. Anwendungs- und API-Datenfluss aufnehmen.
2. exponierte Hosts, Pfade, Ports und Gateways identifizieren.
3. Schutzbedarf nach Vertraulichkeit, Integrität und Verfügbarkeit klassifizieren.
4. geeignete Kontrollpunkte für Inspektion und Prävention bestimmen.

2. Architektur und Komponenten

Der Datenpfad zwischen Client, Proxy oder Gateway, open-appsec-Attachment, Agent und Backend wird schrittweise analysiert. Zusätzlich werden lokale Verarbeitung, Persistenz des Lernmodells und Managementkanäle erläutert.

• Attachment im Webserver, Reverse Proxy, Ingress Controller oder API Gateway.
• Agent für Inspektion, Richtlinienauswertung, Lernen und Ereigniserzeugung.
• lokale Policy-Datei beziehungsweise Kubernetes-Custom-Resources.
• zentrale Verwaltung für Konfiguration, Agentenstatus und Ereignisanalyse.

3. Kontextbezogenes maschinelles Lernen

Das Lernverfahren wird ohne Marketingverkürzung betrachtet: Baseline-Aufbau, Konfidenz, Lernfortschritt, Tuning-Vorschläge, vertrauenswürdige Quellen und die kontrollierte Umschaltung in den Präventionsbetrieb.

1. Anwendung zunächst im Lern- und Erkennungsmodus erfassen.
2. Verkehrsmenge, Varianz und Repräsentativität prüfen.
3. Ereignisse und Tuning-Vorschläge bewerten.
4. Schutzbereich schrittweise in den Präventionsmodus überführen.
5. Ausnahmen eng begrenzen und regelmäßig nachprüfen.

4. Bereitstellungs- und Verwaltungsvarianten

Verglichen werden Linux, Docker und Kubernetes sowie Integrationen mit NGINX, Ingress NGINX, Kong, APISIX, Envoy und verwandten Proxy-Lösungen. Die Auswahl wird anhand von Betriebsverantwortung, Automatisierungsgrad, Mandantentrennung und Ausfallszenarien bewertet.

5. Sicherheitspraktiken und Editionen

Das Basismodell aus Web-Angriffsschutz, API-Schutz und Rate Limiting wird eingeordnet. Zusatzmodule wie API-Schema-Prüfung, Anti-Bot, IPS, Datei-Sicherheit oder DLP werden als editionsabhängige Erweiterungen behandelt. Dadurch bleibt die Architekturplanung unabhängig von einer einzelnen Lizenzstufe.

Praktische Übungen

1. Beispielarchitektur mit Client, Proxy, Agent und Backend dokumentieren.
2. geschützten Host und Pfad als Asset beziehungsweise Richtlinienregel festlegen.
3. Lern- und Erkennungsmodus aktivieren.
4. legitimen und auffälligen HTTP-Verkehr erzeugen.
5. Sicherheitsereignis, ermittelte Quelle, Aktion und Konfidenz auswerten.
6. geeignete Kriterien für den Übergang in den Präventionsbetrieb definieren.
7. Betriebsentscheidung für lokale oder zentrale Verwaltung dokumentieren.

Methodik und Unterlagen

Die Vermittlung kombiniert Architekturzeichnungen, Demonstrationen, geführte Analyseaufgaben und eine Laborübung. Die Unterlagen enthalten Begriffsmodell, Entscheidungschecklisten, Einführungsablauf und Prüfpunkte für nachfolgende Fachseminare.