Seminar Pandora FMS Intensiv – Integration, Automation und Security

Das fünftägige Intensivseminar fasst die Erweiterungs-, Automations- und Securitythemen zusammen. Die Übungen bilden einen durchgängigen Ablauf vom eigenen Messwert über Automation und Ticketing bis zur Sicherheitskorrelation.

Inhaltsverzeichnis

1. Kapitel 1: Seminarprofil
2. Kapitel 2: Externe API sicher verwenden
3. Kapitel 3: Plugins und eigene Prüfskripte entwickeln
4. Kapitel 4: Komponenten, Vorlagen, Sammlungen und Massenoperationen
5. Kapitel 5: Externe Integrationen und Datenaustausch
6. Kapitel 6: ITSM-Integration und Ticketabläufe
7. Kapitel 7: Remote Monitoring and Management
8. Kapitel 8: Web- und Transaktionsmonitoring
9. Kapitel 9: User-Experience-Monitoring mit WUX
10. Kapitel 10: Anwendungs- und Datenbankmonitoring
11. Kapitel 11: Log-Erfassung und Log-Analyse
12. Kapitel 12: SIEM-Grundlagen und Sicherheitskorrelation
13. Kapitel 13: Hardening, Verschlüsselung und Audit
14. Kapitel 14: FIM, Schwachstellen und Sicherheitsmonitoring
15. Kapitel 15: Ereigniskorrelation und Ursachenverdichtung
16. Kapitel 16: Praxislabor und Betriebscheck

Kapitel 1: Seminarprofil

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Praxisrahmen
• Systembezug

Zielsetzung: Automatisierung, API, Plugins, ITSM, RMM, Anwendungs- und User-Experience-Monitoring sowie Log-, SIEM- und Hardening-Themen werden zu einem sicheren Betriebsmodell verbunden.

Zielgruppe: Fortgeschrittene Administratoren, DevOps- und Security-Teams sowie technische Integrationsverantwortliche.

Voraussetzungen: Praxis in Pandora FMS, Linux, Netzwerken und Skripting; Grundlagen in Webanwendungen und Sicherheitsbetrieb.

Praxisrahmen: Umsetzung eines automatisierten, integrierten und abgesicherten Monitoringworkflows mit Plugin, API, Ticket, Logkorrelation und Sicherheitsprüfung.

Systembezug: Übungen und Bezeichnungen werden an Edition, Version und vorhandene Topologie angepasst; lizenzabhängige Funktionen werden im Labor eindeutig gekennzeichnet.

Kapitel 2: Externe API sicher verwenden

Inhaltsverzeichnis

• Authentifizierung, Parameter und Rückgabeformate
• Lese- und Schreiboperationen
• Fehlerbehandlung, Protokollierung und Schutz

Die externe API ermöglicht automatisierte Abfragen und Änderungen. Automatisierung wird mit technischen Konten, minimalen Rechten, überprüften Rückgabewerten und idempotenten Abläufen aufgebaut, damit Wiederholungen keine unerwünschten Doppeländerungen erzeugen.

Schritt-für-Schritt-Anleitung

1. Technisches Konto, API-Zugriff und erlaubte Quelladressen nach dem Minimalprinzip konfigurieren.
2. Einfache Leseoperation ausführen und Rückgabeformat, Zeichensatz und Fehlerstatus prüfen.
3. Schreiboperation für ein Testobjekt mit eindeutiger Kennung und vorheriger Existenzprüfung erstellen.
4. Zeitüberschreitung, Authentifizierungsfehler und fachlich leere Antwort getrennt behandeln und protokollieren.
5. Skript mit Wiederholschutz, Geheimnisverwaltung und aussagekräftigem Abschlussstatus in einen kontrollierten Ablauf überführen.

Kapitel 3: Plugins und eigene Prüfskripte entwickeln

Inhaltsverzeichnis

• Agenten- und Server-Plugins
• Parameter, Makros und Rückgabewerte
• Zeitlimits, Sicherheit und Paketierung

Plugins erweitern Pandora FMS um individuelle Datenquellen. Ein belastbares Plugin liefert genau definierte Werte, behandelt Fehler explizit, begrenzt Laufzeit und Rechte und lässt sich mit klaren Parametern auf mehreren Systemen wiederverwenden.

Schritt-für-Schritt-Anleitung

1. Messziel, Eingabeparameter, erwarteten Datentyp und Fehlerfälle schriftlich spezifizieren.
2. Skript zunächst unabhängig von Pandora FMS ausführen und Ausgabe sowie Rückgabecode stabilisieren.
3. Plugin mit Makros, Zeitlimit, Arbeitsverzeichnis und minimalen Berechtigungen integrieren.
4. Normalfall, fehlende Daten, ungültige Zugangsdaten und Zeitüberschreitung gezielt testen.
5. Version, Abhängigkeiten, Beispielkonfiguration und Verteilungsweg über Sammlung oder Richtlinie dokumentieren.

Kapitel 4: Komponenten, Vorlagen, Sammlungen und Massenoperationen

Inhaltsverzeichnis

• Wiederverwendbare Komponenten
• Dateisammlungen und Verteilung
• Massenänderungen mit Kontrollverfahren

Komponenten und Vorlagen beschleunigen die Anlage gleichartiger Module; Sammlungen verteilen benötigte Dateien. Massenoperationen werden nur mit klarer Zielmenge, Vorschau, Pilotierung und dokumentierter Rücknahme eingesetzt.

Schritt-für-Schritt-Anleitung

1. Wiederkehrende Modulparameter identifizieren und als lokale oder Netzwerkkomponente standardisieren.
2. Komponenten in einer Vorlage gruppieren und an einem Testagenten anwenden.
3. Dateisammlung mit Skripten oder Konfigurationsdateien anlegen, synchronisieren und Prüfsumme kontrollieren.
4. Zielmenge einer Massenoperation über Gruppe, Betriebssystem oder Agentenliste eindeutig bestimmen.
5. Änderung zunächst auf Pilotobjekten ausführen, Ergebnis prüfen und erst danach auf die Gesamtmenge erweitern.

Kapitel 5: Externe Integrationen und Datenaustausch

Inhaltsverzeichnis

• Integrationsmuster und Datenrichtung
• Zugangsdaten, Mapping und Zeitbezug
• Überwachung der Integration

Integrationen verbinden Monitoring mit Kommunikations-, Automations- oder Verwaltungssystemen. Vor der Umsetzung werden Datenverantwortung, Richtung, eindeutige Schlüssel, Zeitzone und Verhalten bei Wiederholung oder Ausfall verbindlich festgelegt.

Schritt-für-Schritt-Anleitung

1. Quell- und Zielsystem, auslösendes Ereignis, benötigte Felder und Verantwortlichkeit in einem Datenflussdiagramm erfassen.
2. Technische Zugangsdaten sicher hinterlegen und Verbindung mit minimalem Testdatensatz prüfen.
3. Feldmapping, Schweregrade, Zeitstempel und eindeutige Objektkennungen definieren.
4. Normalfall, Dublette, Zeitüberschreitung und nicht erreichbares Zielsystem testen.
5. Eigenes Monitoring für Warteschlange, Fehlerrate und letzten erfolgreichen Austausch einrichten.

Kapitel 6: ITSM-Integration und Ticketabläufe

Inhaltsverzeichnis

• Verbindung, Zugangsdaten und Objektzuordnung
• Ticketanlage aus Alarmen und Ereignissen
• Statusabgleich und Abschlussregeln

Die ITSM-Integration überführt relevante Monitoringereignisse in steuerbare Tickets. Ein sauberer Prozess verhindert Ticketfluten, ordnet Agenten und Services eindeutig zu und definiert, wann Wiederherstellung automatisch oder manuell zum Abschluss führt.

Schritt-für-Schritt-Anleitung

1. ITSM-Verbindung und technisches Konto konfigurieren und einen kontrollierten API-Test durchführen.
2. Zuordnung von Gruppe, Agent, Service, Priorität, Kategorie und verantwortlicher Einheit festlegen.
3. Ticketaktion an eine geeignete Alarm- oder Ereignisbedingung binden und Inhalt mit technischen Kontextdaten ergänzen.
4. Auslösung, Dublettenerkennung, Statusänderung und Rückmeldung in beiden Systemen testen.
5. Regel für automatische Schließung, manuelle Prüfung und Behandlung wiederkehrender Störungen dokumentieren.

Kapitel 7: Remote Monitoring and Management

Inhaltsverzeichnis

• Aufgaben, Zielgruppen und Zeitplanung
• Ausführung durch EndPoints
• Ergebnisse, Rechte und Rückrollbarkeit

RMM verteilt administrative Aufgaben zentral an EndPoints und sammelt deren Ausführungsstatus. Wegen der möglichen Systemwirkung sind Zielgruppe, Rechte, Zeitfenster, Ausgabe und Rücknahme vor jeder breiten Ausführung festzulegen.

Schritt-für-Schritt-Anleitung

1. Administratives Ziel, unterstützte Plattformen und notwendige lokale Rechte definieren.
2. Aufgabe mit Skript, Parametern, Zeitlimit und eindeutigem Erfolgskriterium anlegen.
3. Pilotgruppe und Ausführungszeit wählen und parallele Last begrenzen.
4. Ergebnis, Standardausgabe, Fehlerausgabe und Rückgabecode je Zielsystem auswerten.
5. Fehlerhafte Teilmenge isolieren, Rückrollschritt ausführen und Freigabeverfahren für produktive Aufgaben dokumentieren.

Kapitel 8: Web- und Transaktionsmonitoring

Inhaltsverzeichnis

• HTTP-Prüfungen und Antwortinhalte
• Mehrschrittige Transaktionen
• Authentifizierung, Zertifikate und Zeitmessung

Web-Monitoring prüft nicht nur Erreichbarkeit, sondern auch Inhalt und Transaktionsschritte. Tests werden mit realistischen Zeitlimits, eindeutigen Prüfmustern und getrennten Messwerten für DNS, Verbindung und fachliche Antwort aufgebaut.

Schritt-für-Schritt-Anleitung

1. Zieladresse, erwarteten Status, Inhalt, Zeitlimit und Prüffrequenz festlegen.
2. Einfache HTTP-Prüfung anlegen und Antwortcode, Inhalt sowie Antwortzeit getrennt auswerten.
3. Mehrschrittige Transaktion mit Anmeldung, Parameterübergabe und Folgeseite modellieren.
4. Zertifikatsprüfung, Weiterleitungen und Authentifizierungsfehler gezielt testen.
5. Alarmierung so konfigurieren, dass technische Nichterreichbarkeit und fachlich falscher Inhalt unterscheidbar bleiben.

Kapitel 9: User-Experience-Monitoring mit WUX

Inhaltsverzeichnis

• Transaktionsaufzeichnung und Wiedergabe
• Ausführungsserver und Agenten
• Fehlerbilder, Screenshots und Messwerte

WUX bildet reale Bedienabläufe nach und bewertet deren Erfolg sowie Dauer. Aufzeichnungen werden stabilisiert, von personenbezogenen Testdaten bereinigt und mit aussagekräftigen Prüfpunkten versehen, bevor sie regelmäßig ausgeführt werden.

Schritt-für-Schritt-Anleitung

1. Geschäftskritischen Nutzerweg, Testkonto, Startzustand und Erfolgskriterium festlegen.
2. Transaktion aufzeichnen und variable Elemente, Wartebedingungen sowie sensible Eingaben bereinigen.
3. Ausführungsumgebung und WUX-Server konfigurieren und den Lauf zunächst manuell prüfen.
4. Schrittzeiten, Gesamtdauer, Fehlertext und gegebenenfalls Screenshot als getrennte Diagnoseinformationen erfassen.
5. Regelmäßige Ausführung, Wiederholung und Alarmierung mit einem absichtlich fehlerhaften Testfall validieren.

Kapitel 10: Anwendungs- und Datenbankmonitoring

Inhaltsverzeichnis

• Technische und fachliche Kennzahlen
• Abfragen, Plugins und Transaktionen
• Korrelation mit Services und Infrastruktur

Anwendungsmonitoring verbindet Infrastrukturwerte mit fachlich relevanten Prüfungen. Datenbankabfragen und Plugins werden lesend, zeitlich begrenzt und mit kontrollierter Ergebnisgröße ausgeführt, damit das Monitoring selbst keine Lastspitze erzeugt.

Schritt-für-Schritt-Anleitung

1. Anwendungskomponenten, Abhängigkeiten und geschäftskritische Transaktionen erfassen.
2. Technische Kennzahlen und fachliche Erfolgskriterien je Komponente festlegen.
3. Lesende Datenbankabfrage oder Plugin-Prüfung mit technischem Konto und Zeitlimit testen.
4. Messwerte als Module anlegen und mit Infrastruktur- sowie Web-Prüfungen in einem Service zusammenführen.
5. Anwendungsfehler, Datenbankverzögerung und Infrastrukturengpass getrennt simulieren und Diagnoseweg dokumentieren.

Kapitel 11: Log-Erfassung und Log-Analyse

Inhaltsverzeichnis

• Quellen, Formate und Zeitstempel
• Transport, Speicherung und Suche
• Filter, Alarmierung und Aufbewahrung

Log-Monitoring zentralisiert Textmeldungen aus Systemen und Anwendungen. Quellen, Zeitzonen, Zeichensätze und Aufbewahrung werden vorab festgelegt; Suchmuster werden mit realen Positiv- und Negativbeispielen geprüft.

Schritt-für-Schritt-Anleitung

1. Logquellen, erwartetes Volumen, Zeitstempel, Zeitzone und schützenswerte Inhalte erfassen.
2. Transportweg über EndPoint, Syslog oder geeignete Integration einrichten und ersten Dateneingang prüfen.
3. Felder, Suchbereiche und Aufbewahrungsregeln für den eingesetzten Log-Backend festlegen.
4. Suchfilter für einen konkreten Fehlerfall erstellen und mit ähnlichen, aber unkritischen Meldungen abgrenzen.
5. Alarm, Dashboard oder Bericht aus dem Filter ableiten und Verhalten bei Datenstau beziehungsweise Backend-Ausfall testen.

Kapitel 12: SIEM-Grundlagen und Sicherheitskorrelation

Inhaltsverzeichnis

• Erfassung, Filterung und Normalisierung
• Korrelation und Priorisierung
• Visualisierung, Untersuchung und Nachweis

SIEM-Funktionen verdichten sicherheitsrelevante Logs und Ereignisse. Regeln werden an konkreten Angriffsszenarien ausgerichtet und mit Kontext, Zeitfenster und Ausschlüssen versehen, damit die Untersuchung nicht in einer Flut gleichwertiger Treffer endet.

Schritt-für-Schritt-Anleitung

1. Sicherheitsfall, relevante Quellen, erwartete Ereignisse und erforderlichen Kontext beschreiben.
2. Datenquellen anbinden und Zeitstempel, Hostkennung, Benutzer- und Prozessinformationen normalisieren.
3. Filter- oder Korrelationsregel mit Schweregrad, Zeitfenster und Ausnahmen erstellen.
4. Regel mit kontrollierten Testereignissen auslösen und Ereigniskette bis zur Alarmierung nachvollziehen.
5. Dashboard, Untersuchungsnotiz und Aufbewahrungsnachweis für den Fall erstellen und Fehlalarme nachbearbeiten.

Kapitel 13: Hardening, Verschlüsselung und Audit

Inhaltsverzeichnis

• Angriffsfläche und Systemkonten
• Verschlüsselte Kommunikation und Geheimnisse
• ACL, Protokollierung und regelmäßige Prüfung

Hardening reduziert unnötige Dienste, Rechte und offene Schnittstellen. Technische Maßnahmen werden durch nachvollziehbare Zugriffsregeln, geschützte Geheimnisse, verschlüsselte Transportwege und regelmäßige Prüfungen ergänzt.

Schritt-für-Schritt-Anleitung

1. Server, Konsole, Datenbank, EndPoints und Integrationsschnittstellen in einer Angriffsflächenanalyse erfassen.
2. Nicht benötigte Dienste, Standardkonten und offene Netzwerkpfade identifizieren und kontrolliert reduzieren.
3. TLS, Zertifikatsprüfung und geschützte Übertragung für relevante Kommunikationswege konfigurieren.
4. Technische Konten, Zugangsdatenablage, Kennwortrichtlinien und Rollen nach dem Minimalprinzip prüfen.
5. Auditprotokoll, Anmeldefehler und Konfigurationsänderungen regelmäßig auswerten und Nachweisroutine dokumentieren.

Kapitel 14: FIM, Schwachstellen und Sicherheitsmonitoring

Inhaltsverzeichnis

• Dateiintegrität und kritische Pfade
• Schwachstellenerkennung und Priorisierung
• Überwachung von Sicherheitskomponenten

Dateiintegritäts- und Schwachstellenfunktionen ergänzen das klassische Verfügbarkeitsmonitoring. Die Konfiguration konzentriert sich auf kritische Pfade, verwertbare Prioritäten und die Verknüpfung mit tatsächlich betroffenen Systemen.

Schritt-für-Schritt-Anleitung

1. Kritische Konfigurations-, Programm- und Berechtigungsdateien je Plattform festlegen.
2. FIM-Prüfung konfigurieren und genehmigte sowie unerwartete Änderungen getrennt testen.
3. Inventar- und Betriebssystemdaten für die Schwachstellenzuordnung auf Vollständigkeit prüfen.
4. Treffer nach Kritikalität, Exponierung und vorhandener Kompensation priorisieren.
5. Status von Firewall, Virenschutz, VPN, Backup oder weiteren Sicherheitskomponenten in ein gemeinsames Dashboard aufnehmen.

Kapitel 15: Ereigniskorrelation und Ursachenverdichtung

Inhaltsverzeichnis

• Korrelationsregeln und Suchbedingungen
• Zeitfenster, Sequenzen und Schweregrade
• Testdaten und Fehlalarmkontrolle

Korrelation verdichtet einzelne technische Ereignisse zu einer belastbaren Störungsaussage. Gute Regeln arbeiten mit klaren Bedingungen, begrenzten Zeitfenstern und nachvollziehbaren Ausschlüssen statt mit unkontrollierten Volltextsuchen.

Schritt-für-Schritt-Anleitung

1. Ein reales Störungsmuster in notwendige, optionale und ausschließende Ereignismerkmale zerlegen.
2. Filter nach Gruppe, Agent, Modul, Ereignistext, Schweregrad und Zeitfenster definieren.
3. Reihenfolge und Mindestanzahl zusammengehöriger Ereignisse sowie den resultierenden Schweregrad festlegen.
4. Regel mit positiven, negativen und unvollständigen Testsequenzen prüfen.
5. Fehlalarme auswerten, Bedingungen verengen und Regelversion sowie Verantwortlichkeit dokumentieren.

Kapitel 16: Praxislabor und Betriebscheck

Inhaltsverzeichnis

• Planung und Abnahmekriterien
• Umsetzung im Laborsystem
• Störungs- und Wiederholungstests
• Betriebscheck und Dokumentation

Das Abschlusslabor verbindet die behandelten Konfigurationen zu einem nachvollziehbaren Betriebsfall. Jede Funktion wird mit einem messbaren Prüfkriterium und mindestens einem gezielt erzeugten Fehlerbild abgenommen.

Schritt-für-Schritt-Anleitung

1. Ausgangslage, gewünschte Überwachungsziele und messbare Abnahmekriterien für das Laborszenario festhalten.
2. Benötigte Agenten, Module, Zugangsdaten, Richtlinien und Darstellungen in einer kurzen Umsetzungsskizze zuordnen.
3. Ein eigener Messwert löst automatisierte Verarbeitung, Ticketing und Sicherheitskorrelation aus und wird einschließlich Fehlerszenarien überwacht.
4. Mindestens einen Normalfall, einen technischen Fehler und einen fachlich falschen Messwert kontrolliert auslösen.
5. Konfiguration, Prüfergebnisse, offene Risiken und erforderliche Betriebsaufgaben in einer wiederverwendbaren Checkliste dokumentieren.