Seminar open-appsec Installation und Betrieb mit Linux und Docker

Das Seminar behandelt Aufbau, Absicherung und Betriebsübernahme von open-appsec auf Linux- und Docker-Systemen. Die Installation wird nicht als isolierter Produktsetup betrachtet, sondern als kontrollierte Änderung im HTTP/S-Datenpfad. NGINX, Kong, APISIX und Envoy werden als typische Integrationsmuster eingeordnet; praktische Übungen konzentrieren sich auf reproduzierbare Installation, Policy-Anbindung, Funktionsprüfung, Upgrade und Rückfallverfahren.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Seminarinhalte
6. Praktische Übungen
7. Methodik und Unterlagen

Seminarprofil

Die Teilnehmenden bauen eine betriebsfähige Instanz auf, verbinden sie mit einem Reverse Proxy oder API Gateway und prüfen den vollständigen Datenpfad. Berücksichtigt werden lokale deklarative Konfiguration, optionale zentrale Verwaltung, Persistenz des Lernmodells, Protokollierung, Rechte, Netzwerkpfade und störungsarme Aktualisierung.

Lernziele

• technische und organisatorische Voraussetzungen vor der Installation prüfen.
• Linux- und Docker-Bereitstellungen reproduzierbar aufbauen.
• Attachment, Agent und Proxy beziehungsweise Gateway korrekt verbinden.
• lokale Policy-Datei und zentrale Verwaltung sicher initialisieren.
• Persistenz, Ressourcen, Ports, Rechte und Logziele betriebsfest konfigurieren.
• Funktions-, Negativ- und Rückfalltests durchführen.
• Upgrade, Rollback und Betriebsdokumentation vorbereiten.

Zielgruppe

Geeignet für Linux-Administration, Containerbetrieb, Netzwerk- und Security-Administration, DevOps, Plattformbetrieb sowie technische Verantwortliche für Reverse Proxies und API Gateways.

Voraussetzungen

Erforderlich sind sichere Linux-Grundkenntnisse, Shell-Nutzung, Verständnis von HTTP/HTTPS und Reverse Proxies. Für den Docker-Teil werden Kenntnisse zu Images, Volumes, Netzwerken und Docker Compose vorausgesetzt.

Seminarinhalte

1. Installationsplanung und Vorprüfung

Vor dem Setup werden Topologie, Integrationspunkt, Zertifikatsterminierung, Upstream-Verbindungen, Betriebsmodell und Rückfallweg festgelegt.

1. aktuellen Datenpfad und Verantwortungsgrenzen dokumentieren.
2. Proxy- oder Gateway-Variante und passendes Attachment auswählen.
3. Ports, DNS, Zertifikate, Firewallregeln und ausgehende Managementverbindungen prüfen.
4. Speicherbedarf für Lernmodell und Logs festlegen.
5. Wartungsfenster, Erfolgskriterien und Rollback definieren.

2. Installation auf Linux

Behandelt werden Paket- und Agentinstallation, Einbindung in NGINX beziehungsweise unterstützte Gateways, Dienststeuerung, Konfigurationspfade und Rechte. Für lokal bereitgestellte Anwendungen wird die notwendige Proxy-Schicht zwischen externem Listener und lokalem Backend berücksichtigt.

1. Systemvoraussetzungen und vorhandene Proxy-Konfiguration sichern.
2. Agent und passendes Attachment installieren.
3. Proxy- beziehungsweise Gateway-Konfiguration ergänzen.
4. Dienstreihenfolge, Startverhalten und Gesundheitsstatus prüfen.
5. Testanwendung anbinden und ersten HTTP/S-Transaktionsnachweis durchführen.

3. Installation mit Docker und Docker Compose

Der Agent wird als eigener Container betrieben; der Proxy- oder Gateway-Container enthält das Attachment. Volumes sichern Policy, Lernstatus und Logs. Netzwerk- und Namensauflösung werden so aufgebaut, dass Fehler eindeutig isoliert werden können.

1. Images, Tags und Bezugsstrategie festlegen.
2. Compose-Netzwerke und Service-Namen definieren.
3. Persistenzvolumes für Konfiguration und Lernmodell anlegen.
4. Umgebungsvariablen und Managementmodus konfigurieren.
5. Startabhängigkeiten, Healthchecks und Ressourcenlimits ergänzen.
6. Containerprotokolle und Agentenstatus auswerten.

4. Proxy- und Gateway-Integrationen

NGINX, Kong, APISIX und Envoy unterscheiden sich bei Listenern, Plugins, Attachments und Routingobjekten. Das Seminar vermittelt ein wiederverwendbares Prüfschema: Trifft der Verkehr den erwarteten Listener, erreicht er das Attachment, wird er vom Agenten erkannt und der richtigen Richtlinie zugeordnet?

5. Erstkonfiguration und Schutzaktivierung

Die erste Richtlinie wird im Lern- und Erkennungsmodus angelegt. Host, Port und Pfad werden exakt auf den Datenpfad abgestimmt. Logziele, Quellidentität und Verhalten bei Agentenausfall werden vor dem Produktionsbetrieb festgelegt.

1. Default-Policy kontrollieren und projektspezifische Regel anlegen.
2. geschützte Anwendung nach Host, Port und Pfad abgrenzen.
3. Quellidentität passend zur vorgeschalteten Proxy-Kette wählen.
4. Logziel und gewünschte Ereignisdetails konfigurieren.
5. legitimen Testverkehr und Angriffssimulationen ausführen.
6. Erkennung belegen, ohne den Produktivverkehr vorschnell zu blockieren.

6. Betrieb, Upgrade und Rückfall

Behandelt werden Versionierung, Sicherung, kontrollierter Image- oder Paketwechsel, Kompatibilitätsprüfung, Monitoring und Rückkehr zur vorherigen Version. Ein Upgrade gilt erst nach Datenpfad-, Policy- und Ereignistest als abgeschlossen.

Praktische Übungen

1. bestehende Reverse-Proxy-Topologie erfassen und Installationsplan erstellen.
2. open-appsec in einer Linux- oder Docker-Laborumgebung installieren.
3. Proxy oder Gateway mit Attachment und Agent verbinden.
4. lokale Policy initialisieren und einen geschützten Host konfigurieren.
5. Persistenz, Logs und Healthchecks prüfen.
6. legitimen, fehlerhaften und bösartigen Verkehr auswerten.
7. Upgrade mit Sicherung, Funktionsprüfung und dokumentiertem Rollback durchführen.

Methodik und Unterlagen

Der Schwerpunkt liegt auf geführter Systemarbeit. Checklisten für Vorprüfung, Installation, Abnahme, Upgrade und Störungsisolierung werden direkt auf die Laborumgebung angewendet. Konfigurationsbeispiele werden ohne externe Verweise bereitgestellt.