Seminar OpenBSD – Server-Härtung und Sicherheitsarchitektur

Sicherheit entsteht durch abgestimmte Kontrollen in Architektur, Konten, Netzwerk, Diensten und Betrieb. Das Seminar entwickelt aus Schutzbedarf und Bedrohungen eine priorisierte Härtungs- und Prüfstruktur für OpenBSD-Server.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Schutzbedarf, Angriffsflächen und Vertrauensgrenzen systematisch bestimmen
• Konten, Rechte, Dienste, Netzwerk und Geheimnisse nach dem Minimalprinzip absichern
• OpenBSD-Sicherheitsmechanismen in ein belastbares Betriebskonzept einordnen
• Prüfungen, Patchmanagement und Vorfallreaktion nachvollziehbar organisieren

Zielgruppe

System- und Sicherheitsadministration, Informationssicherheit, Datenschutz, technische Projektleitung, Revision und verantwortliche Key-User.

Voraussetzungen

Gute OpenBSD- oder Unix-Administrationskenntnisse sowie Grundlagen in Netzwerken und Informationssicherheit. Administrative Laborrechte sind erforderlich.

Seminarinhalte

1. Schritt 1: Schutzbedarf und Bedrohungen erfassen

   Datenarten, Dienste, Verfügbarkeit, Integrität, Vertraulichkeit, Angreiferprofile und Folgen werden für ein konkretes Serversystem bewertet.

2. Schritt 2: Architektur und Vertrauensgrenzen planen

   Netzsegmente, Verwaltungswege, öffentliche Dienste, interne Abhängigkeiten, Sicherungssysteme und Protokollziele werden in einem Datenflussmodell dargestellt.

3. Schritt 3: Installationsumfang minimieren

   Systemrolle, aktivierte Dienste, installierte Pakete, Compiler- und Hilfswerkzeuge, offene Ports und unnötige Daten werden auf das Erforderliche reduziert.

4. Schritt 4: Konten und administrative Rechte härten

   Personenkonten, Dienstkonten, Gruppen, Login-Klassen, doas, SSH-Schlüssel, Root-Zugriff und Vertretungsregeln werden restriktiv gestaltet.

5. Schritt 5: Dateisystem und Rechte absichern

   Eigentümer, Gruppen, umask, Einhängeoptionen, schreibbare Bereiche, temporäre Verzeichnisse, sensible Konfigurationen und Schlüsseldateien werden geprüft.

6. Schritt 6: Netzwerkzugriffe mit PF begrenzen

   Verwaltungsnetze, erlaubte Dienste, ausgehende Verbindungen, Zustände, Rate-Limits, Tabellen und Logging werden aus dem Datenflussmodell abgeleitet.

7. Schritt 7: OpenSSH und externe Zugänge schützen

   Anmeldeverfahren, Benutzerfilter, Weiterleitungen, SFTP, Quellnetze, Zeitgrenzen und Protokollierung werden nach Schutzbedarf konfiguriert.

8. Schritt 8: Dienstisolation und Privilegientrennung nutzen

   chroot, getrennte Benutzer, minimale Dateirechte, lokale Sockets und sichere Übergabepunkte werden für mehrere Dienste untersucht.

9. Schritt 9: Geheimnisse und Zertifikate verwalten

   Private Schlüssel, Passwörter, Tokens, Dateirechte, Verteilung, Rotation, Ablauf, Sicherung und Widerruf werden in einen Lebenszyklus überführt.

10. Schritt 10: Protokollierung und Integritätskontrollen planen

    Authentifizierung, doas, PF, Dienste, Änderungen und Fehler werden mit ausreichender Zeitbasis, Rotation und geschützter Aufbewahrung erfasst.

11. Schritt 11: Patch- und Schwachstellenprozess organisieren

    Errata, syspatch, Pakete, Abhängigkeiten, Risikobewertung, Wartungsfenster, Funktionsprüfung und Nachweis werden standardisiert.

12. Schritt 12: Sicherheitsprüfung durchführen

    Konten, Dienste, Ports, PF-Regeln, Rechte, Pakete, Zertifikate, Backups und Protokolle werden mit einer wiederholbaren Prüfliste bewertet.

13. Schritt 13: Vorfallreaktion vorbereiten

    Erkennung, Eindämmung, Beweissicherung, Kommunikationsweg, Wiederherstellung, Schlüsselwechsel und Nachbereitung werden in einer kurzen Reaktionskarte festgelegt.

Praxisübungen

• Eine Schutzbedarfs- und Angriffsflächenanalyse für einen OpenBSD-Server erstellen
• Konten, SSH, Dateirechte, PF und Dienstkonfiguration nach einem Härtungsprofil überarbeiten
• Eine technische Sicherheitsprüfung einschließlich Maßnahmenplan und Vorfallkarte durchführen

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.