Seminar Project Calico – Zero Trust und Mikrosegmentierung

Zero Trust entsteht nicht durch eine einzelne Sperrregel. Das Seminar zeigt, wie technische Identitäten, Kommunikationsbeziehungen, gestufte Durchsetzung und betriebliche Freigaben zusammenwirken.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
  • Zero-Trust-Zielbild
  • Identitäten und Segmentmodell
  • Schrittweise Durchsetzung
  • Egress und externe Abhängigkeiten
  • Hostschutz und Verschlüsselung
  • Staging, Nachweis und Governance
• Praxisanteil

Zielsetzung

• Kommunikationsbeziehungen und Schutzbedarfe strukturiert erfassen
• Identitäten und Tiers für mehrere Verantwortungsbereiche modellieren
• Default-Deny und Egress-Kontrolle risikoarm einführen
• Policy-Änderungen mit Staging, Logs und Governance absichern

Zielgruppe

Security Engineers, Kubernetes- und Plattformadministratoren, DevSecOps-Teams, Architekten und technische Compliance-Verantwortliche.

Voraussetzungen

Sichere Kenntnisse zu Kubernetes NetworkPolicy und Calico-Grundlagen. Erfahrung mit Anwendungsarchitekturen und Security-Konzepten ist hilfreich.

Seminarinhalte

1. Zero-Trust-Zielbild

1. Schutzobjekte und Vertrauensgrenzen bestimmen
2. laterale Bewegung und kritische Pfade analysieren
3. technische und organisatorische Ziele trennen
4. messbare Einführungsphasen definieren

2. Identitäten und Segmentmodell

1. Pod-, Namespace- und ServiceAccount-Labels standardisieren
2. Plattform-, Security- und Anwendungstiers entwerfen
3. globale und lokale Verantwortlichkeiten trennen
4. Ausnahmen und gemeinsame Dienste modellieren

3. Schrittweise Durchsetzung

1. Kommunikation beobachten und inventarisieren
2. Default-Deny in geeigneter Reihenfolge einführen
3. notwendige Ingress- und Egress-Beziehungen erlauben
4. DNS, Services und externe Netze explizit berücksichtigen

4. Egress und externe Abhängigkeiten

1. externe Ziele nach Risiko klassifizieren
2. NetworkSets und globale Listen verwenden
3. Quell- und Zielbereiche begrenzen
4. Änderungen externer Dienste wartbar abbilden

5. Hostschutz und Verschlüsselung

1. HostEndpoints in das Segmentmodell aufnehmen
2. pre-DNAT und Forwarding-Verkehr schützen
3. WireGuard für schutzbedürftige Node-Pfade bewerten
4. Failsafes und Break-Glass-Verfahren testen

6. Staging, Nachweis und Governance

1. staged Policies und Log-Regeln einsetzen
2. Auswirkungen vor Durchsetzung bewerten
3. Reviews, RBAC und GitOps integrieren
4. Ausnahmen, Ablaufdaten und regelmäßige Rezertifizierung organisieren

Praxisanteil

Eine Beispielanwendung wird inventarisiert, in Tiers segmentiert und schrittweise von offenem Verkehr auf Zero Trust umgestellt. Jede Phase wird vor Durchsetzung beobachtet und getestet.