Seminar Sicherheit, CVE-Audit, OpenSCAP und RBAC mit Uyuni

Dieses Seminar verbindet Plattformhärtung, Zugriffssteuerung, Schwachstellenbewertung und Compliance-Prüfung. Ziel ist ein kontrollierter Zyklus von Erkennen, Priorisieren, Korrigieren und erneutem Nachweis.

Die Übungen verwenden Rollen nach dem Minimalprinzip, CVE- und OVAL-Daten sowie OpenSCAP-Richtlinien. Remediation wird zunächst in Pilotgruppen geprüft und anschließend nachvollziehbar freigegeben.

Inhaltsübersicht

• Tag 1: Sicherheitsarchitektur und Härtung
• Tag 1: Rollen und Berechtigungen
• Tag 2: CVE-Audit und OVAL
• Tag 2: Sicherheitsreporting
• Tag 3: OpenSCAP-Inhalte und Richtlinien
• Tag 3: Remediation und kontinuierliche Compliance
• Praxisübungen und betriebliche Einordnung

Seminarprofil

Das Seminar arbeitet mit einem geschlossenen Sicherheitszyklus. Erkennung ohne Priorisierung und Remediation ohne erneuten Nachweis gelten als unvollständig.

Schrittweise Seminarinhalte

1. Tag 1: Sicherheitsarchitektur und Härtung

1. Schritt 1: Server-, Proxy-, Netzwerk-, Zertifikats- und Administrationsflächen inventarisieren.
2. Schritt 2: technische Konten, Schlüssel, Secrets und Protokollzugriffe absichern.
3. Schritt 3: Härtungsmaßnahmen mit Betriebsanforderungen und Updatefähigkeit abgleichen.

2. Tag 1: Rollen und Berechtigungen

1. Schritt 1: Uyuni-Administrator, Organisations-, Channel-, Konfigurations- und weitere Rollen einordnen.
2. Schritt 2: Aufgabenprofile nach dem Minimalprinzip in Rollen und Benutzergruppen abbilden.
3. Schritt 3: kritische Aktionen mit Testkonten prüfen und unerwünschte Rechte korrigieren.

3. Tag 2: CVE-Audit und OVAL

1. Schritt 1: CVE-Daten, Patchmetadaten und OVAL-basierte Bewertung unterscheiden.
2. Schritt 2: betroffene Systeme nach Kritikalität, Exposition und Wartungsfenster priorisieren.
3. Schritt 3: Patchaktionen planen und verbleibende Abweichungen dokumentieren.

4. Tag 2: Sicherheitsreporting

1. Schritt 1: technische Ergebnisse nach Systemgruppe, Umgebung und Verantwortungsbereich aggregieren.
2. Schritt 2: Ausnahmen mit Begründung, Ablaufdatum und kompensierenden Maßnahmen versehen.
3. Schritt 3: Berichtsdaten so aufbereiten, dass technische und organisatorische Nachweise zusammenpassen.

5. Tag 3: OpenSCAP-Inhalte und Richtlinien

1. Schritt 1: passende SCAP-Inhalte und Profile je Distribution bereitstellen.
2. Schritt 2: Richtlinien, Zeitpläne, Tailoring und Zielgruppen konfigurieren.
3. Schritt 3: Scan ausführen, Ergebnisse vergleichen und Fehlbefunde untersuchen.

6. Tag 3: Remediation und kontinuierliche Compliance

1. Schritt 1: Abweichungen nach Risiko und automatisierbarer Korrektur klassifizieren.
2. Schritt 2: Remediation per Salt, Ansible oder freigegebenem Skript auf einer Pilotgruppe testen.
3. Schritt 3: erneut scannen, Nachweis sichern und den Kontrollzyklus regelmäßig planen.

Praxisübungen

• Erstellung eines rollenbasierten Berechtigungskonzepts
• Priorisierung eines CVE-Bestands für mehrere Systemgruppen
• Konfiguration und Durchführung eines OpenSCAP-Scans
• Gestufte Remediation mit erneuter Prüfung