Seminar OpenNebula – Sicherheit, Authentifizierung und Systemhärtung

Sicherheit entsteht aus mehreren abgestimmten Kontrollen und nicht aus einer einzelnen Einstellung. Der Kurs entwickelt daraus eine priorisierte Härtungs- und Prüfliste für Control Plane, Hypervisor, Datenpfade und Betrieb.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Schutzbedarf, Angriffsflächen und Verantwortlichkeiten bestimmen
• Authentisierung, ACLs und Servicekonten minimal berechtigt umsetzen
• Control Plane, Hypervisor, Netzwerk, Storage und Images härten
• Logging, Patchen, Prüfung und Incident Response als Regelprozess etablieren

Zielgruppe

OpenNebula- und Systemadministration, Informationssicherheit, Datenschutz, Security-Architektur und technische Projektleitung.

Voraussetzungen

Gute Kenntnisse der OpenNebula-Architektur und der eigenen Betriebsumgebung. Administrative Laborrechte und Linux-Grundkenntnisse sind erforderlich.

Seminarinhalte

1. Schritt 1: Schutzbedarf und Bedrohungen erfassen

   Datenarten, Dienste, Mandanten, Verwaltungszugänge, Lieferkette, Ausfallfolgen und Angreiferprofile werden priorisiert.

2. Schritt 2: Authentisierung absichern

   Lokale Konten, LDAP oder Active Directory, SAML, Mehrfaktoroptionen, Notfallzugang und Konto-Lifecycle werden bewertet.

3. Schritt 3: Berechtigungen minimieren

   Benutzer, Gruppen, ACLs, Quotas, VDCs, Servicekonten und administrative Trennung werden mit negativen Testfällen geprüft.

4. Schritt 4: TLS und Verwaltungszugänge schützen

   Zertifikate, sichere Protokolle, Bind-Adressen, Reverse Proxy, FireEdge, Sunstone und API-Endpunkte werden kontrolliert bereitgestellt.

5. Schritt 5: Secrets und Schlüssel verwalten

   Dateirechte, Tokens, SSH-Schlüssel, API-Zugänge, Rotation, Ablage und Notfallwechsel werden geregelt.

6. Schritt 6: Front-end und Hypervisor härten

   Paketumfang, Dienste, Firewall, SSH, Benutzer, sudo, Audit, Zeit, Kernel und Virtualisierungszugänge werden eingeschränkt.

7. Schritt 7: Netzwerk und Storage segmentieren

   Management-, Storage-, Migrations- und Mandantennetze, Filterregeln, Zugriffspfade und Verschlüsselungsbedarf werden abgestimmt.

8. Schritt 8: Images und Kontextualisierung sichern

   Herkunft, Signatur oder Prüfsumme, Härtung, Updates, Cloud-Init-Daten, Secrets und Freigabeprozess werden kontrolliert.

9. Schritt 9: Logging und Erkennung aufbauen

   Administrative Aktionen, Authentisierung, API-Nutzung, Host- und Dienstfehler werden gesammelt, geschützt und mit Alarmregeln versehen.

10. Schritt 10: Patch- und Vorfallprozess festlegen

    Bewertung, Test, Freigabe, Ausbringung, Rückfall, Beweissicherung, Eindämmung und Wiederherstellung werden dokumentiert.

Praxisübungen

• Schutzbedarfs- und Angriffsflächenmatrix erstellen
• Authentisierungs- und Minimalberechtigungskonzept prüfen
• TLS- und Verwaltungszugänge in der Laborumgebung absichern
• Host- und Image-Härtungscheckliste anwenden
• Sicherheitsereignis mit Eindämmungs- und Wiederanlaufplan bearbeiten

Methodik

Sicherheitsmaßnahmen werden nach Risiko priorisiert und mit technischen Gegenproben validiert. Jede Änderung erhält einen Besitzer, Prüfnachweis, Rückweg und Termin für die erneute Kontrolle.