Seminar Wazuh Architektur und Einsatzplanung

Beschreibung

Die Veranstaltung übersetzt fachliche Sicherheitsziele in ein technisches Zielbild. Komponenten, Datenflüsse, Zonen, Kapazität und Betriebsanforderungen werden in einer konsistenten Architekturentscheidung zusammengeführt.

Im Mittelpunkt stehen Entscheidungsunterlagen statt Produktinstallation. Das Ergebnis ist ein prüfbarer Plan für Pilot, Ausbau, Aufbewahrung, Verfügbarkeit und Betriebsübergabe.

Zielgruppe

Security Architects, technische Projektleitung, Plattformarchitektur, Wazuh-Administration und IT-Betriebsplanung

Voraussetzungen

Grundverständnis von SIEM, Netzwerksegmentierung, Serverbetrieb und den zu überwachenden Systemlandschaften

Lernziele

• Anwendungsfälle und Systemgrenzen priorisieren
• Komponenten und Datenpfade vollständig modellieren
• Passendes Bereitstellungsmodell anhand messbarer Kriterien auswählen
• Kapazität und Aufbewahrung mit Pilotmesswerten dimensionieren
• Netzwerk- und Einführungsplan mit Abnahmetests erstellen

Inhaltsübersicht

1. Schutzbedarf, Anwendungsfälle und Systemgrenzen bestimmen
2. Komponenten und Datenfluss nachvollziehen
3. Bereitstellungsmodell und Zieltopologie auswählen
4. Kapazität, Aufbewahrung und Wachstum dimensionieren
5. Netzwerk, Namensauflösung und Zeitbasis planen
6. Einführung, Pilotierung und Abnahme organisieren

Seminarinhalte

1. Schutzbedarf, Anwendungsfälle und Systemgrenzen bestimmen

Aus fachlichen Anforderungen ein belastbares Zielbild für SIEM-, XDR- und Compliance-Aufgaben ableiten.

1. Geschäftskritische Systeme, Datenbestände, Administrationszonen und externe Datenquellen inventarisieren.
2. Anwendungsfälle nach Erkennung, Untersuchung, Nachweisführung und Reaktion priorisieren.
3. Systemgrenzen, Verantwortlichkeiten sowie zulässige Datenflüsse dokumentieren.
4. Messbare Abnahmekriterien für Erfassungsgrad, Alarmqualität, Verfügbarkeit und Aufbewahrung festlegen.
5. Offene Annahmen in einer Entscheidungs- und Risikoliste erfassen.

2. Komponenten und Datenfluss nachvollziehen

Die Rollen von Agent, Server, Indexer und Dashboard einschließlich Analyse- und Transportpfad verstehen.

1. Ereignisse vom Endpoint bis zur Darstellung im Dashboard schrittweise verfolgen.
2. Agentenkommunikation, Enrollment, Analyse-Engine, Filebeat, Indexierung und API-Zugriff zuordnen.
3. Abhängigkeiten zwischen DNS, Zeitquelle, Zertifikaten, Ports und Dienstkonten markieren.
4. Kontrollpunkte definieren, an denen Vollständigkeit, Integrität und Latenz geprüft werden.
5. Ein Datenflussdiagramm für die geplante Umgebung erstellen.

3. Bereitstellungsmodell und Zieltopologie auswählen

All-in-one-, getrennte Einzelkomponenten- und Mehrknotenmodelle anhand nachvollziehbarer Kriterien bewerten.

1. Labor-, Pilot-, Produktions- und Hochverfügbarkeitsanforderungen voneinander trennen.
2. Komponenten auf Zonen und Systeme verteilen und Single Points of Failure kennzeichnen.
3. Skalierungs- und Wartungspfade für Server, Indexer und Dashboard vorsehen.
4. Eine begründete Topologieentscheidung mit Alternativen und Ausschlussgründen dokumentieren.
5. Die ausgewählte Topologie gegen Betriebs-, Sicherheits- und Kostenrahmen prüfen.

4. Kapazität, Aufbewahrung und Wachstum dimensionieren

Aus Endpoint-Anzahl, Ereignisaufkommen, Alarmquote und Aufbewahrungsdauer eine erste Dimensionierung ableiten.

1. Messwerte aus einer Pilotphase für Ereignisse pro Sekunde, tägliches Datenvolumen und Suchlast erfassen.
2. Speicherbedarf einschließlich Replikation, Sicherheitsreserve und Index-Lebenszyklus kalkulieren.
3. CPU-, Arbeitsspeicher-, Datenträger- und Netzwerkbedarf je zentraler Komponente zuordnen.
4. Warnschwellen und Ausbaupunkte für drei Wachstumsszenarien definieren.
5. Die Berechnung als überprüfbare Sizing-Tabelle festhalten.

5. Netzwerk, Namensauflösung und Zeitbasis planen

Kommunikationsbeziehungen und Freigaben für Agenten, Server, Indexer, Dashboard, API und Administration festlegen.

1. Forward- und Reverse-DNS, konsistente Hostnamen und eine belastbare Zeitquelle als Vorbedingungen prüfen.
2. Management-, Daten-, Benutzer- und Backup-Verkehr logisch oder physisch trennen.
3. Firewallregeln nach Quelle, Ziel, Protokoll und Zweck dokumentieren.
4. Proxy-, Load-Balancer- und NAT-Auswirkungen auf Enrollment, Zertifikate und Quelladressen bewerten.
5. Einen freigabefähigen Netzwerkplan mit Testfällen erstellen.

6. Einführung, Pilotierung und Abnahme organisieren

Die Einführung in Vorbereitung, Installation, Pilot, Rollout, Härtung und Betriebsübergabe gliedern.

1. Für jede Phase Verantwortliche, Eingaben, Ergebnisse und Abbruchkriterien bestimmen.
2. Einen repräsentativen Pilot mit Windows-, Linux-, Cloud- und Infrastrukturquellen zusammenstellen.
3. Technische und fachliche Abnahmetests einschließlich negativer Tests definieren.
4. Rollback-, Kommunikations- und Änderungsprozesse in den Ablauf integrieren.
5. Die Einführung als terminierbaren Maßnahmenplan dokumentieren.

Praxislabor

1. Eine Beispielumgebung mit Endpoint-, Cloud- und Infrastrukturquellen inventarisieren.
2. Zwei Topologievarianten mit Verfügbarkeits- und Skalierungsrisiken vergleichen.
3. Eine Sizing-Tabelle aus Ereignisrate, Datenvolumen, Replikation und Aufbewahrung erstellen.
4. Kommunikationsmatrix und Pilotplan mit Abbruch- und Abnahmekriterien ausarbeiten.

Betriebliche Qualitätssicherung

• Dokumentiertes Zielbild mit Annahmen und Alternativen
• Sizing mit Sicherheitsreserve und Ausbaupunkten
• Freigabefähige Kommunikationsmatrix
• Messbare Pilot- und Produktionsabnahme