Seminar 8ra: Sicherheit und föderierte Identitäten

Mit jedem zusätzlichen Anbieter entstehen weitere Vertrauens- und Verantwortungsgrenzen. Das Seminar behandelt den Schutz verteilter Cloud-Edge-Systeme aus Architektur- und Betriebssicht. Das Collaborative Security Framework 2.0 dient als fachlicher Ordnungsrahmen; seine Handlungsfelder werden in konkrete Maßnahmen und prüfbare Eigenschaften der Lernumgebung übersetzt.

Im Mittelpunkt stehen menschliche und technische Identitäten, die Begrenzung von Rechten, verschlüsselte Kommunikation sowie die Trennung von Verwaltungs- und Nutzdatenzugriffen. Dabei werden sichere Softwareauslieferung, Schutz verteilter Geräte, Protokollierung und Wiederherstellung in den Gesamtentwurf aufgenommen.

Eine vorbereitete Umgebung ermöglicht erfolgreiche und ausdrücklich auch abzuweisende Zugriffsversuche. Die Übungen prüfen die konfigurierte Wirkung einzelner Maßnahmen. Die Veranstaltung vermittelt weder eine offizielle 8ra-Zertifizierung noch eine pauschale Bestätigung regulatorischer Konformität.

Lernziele

• Die wesentlichen Sicherheitsfelder des CSF auf eine Cloud-Edge-Architektur abbilden.
• Identitätsföderation, Authentifizierung und konkrete Berechtigungsentscheidungen sauber unterscheiden.
• Schutzmaßnahmen mit positiven und negativen Tests auf ihre Wirksamkeit prüfen.
• Anbieterübergreifende Sicherheitsereignisse mit klarer Verantwortlichkeit bearbeiten.

Seminarinhalte

Schutzbedarf und CSF

• Identitäten, Netzwerk, Daten, Anwendungen und Endgeräte als zusammenhängende Schutzbereiche erfassen.
• SecOps, Governance, Resilienz, Datenschutz und zukünftige Bedrohungen in die Sicherheitsbetrachtung aufnehmen.
• Angriffsflächen und Vertrauensgrenzen entlang der ICRA-Schichten dokumentieren.
• Aus einem Bedrohungsmodell priorisierte Maßnahmen und überprüfbare Sicherheitsanforderungen ableiten.

Föderierte Identitäten

• Identitätsquelle, ausstellenden Dienst, vertrauende Anwendung und geschützte Ressource auseinanderhalten.
• OpenID Connect für Anmeldung und OAuth 2.0 für autorisierten Zugriff fachlich einordnen.
• Signatur, Aussteller, Zielgruppe und Gültigkeitsdauer von Tokens in einer Testanwendung überprüfen.
• Anmeldung über getrennte Identitätsdomänen sowie Ablauf, Rechteentzug und erneute Anmeldung testen.

Autorisierung und Isolation

• Menschen, Dienste und administrative Notfallzugänge mit getrennten Identitäten und Rechten führen.
• Rollen, Ressourcenbereiche und erforderliche Minimalrechte anhand konkreter Aufgaben festlegen.
• Netzwerksegmentierung und Zugriffskontrolle ergänzend einsetzen; Identitätsprüfung allein ersetzt keine Netzgrenzen.
• Unzulässige Mandantenzugriffe, fehlende Rechte und abgelaufene Anmeldedaten gezielt zurückweisen.

Daten, Geräte und Softwarelieferung

• Verschlüsselung bei Übertragung und Speicherung sowie Verantwortlichkeit für Schlüssel unterscheiden.
• Geheimnisse sicher bereitstellen, rotieren und aus offen lesbaren Konfigurationen fernhalten.
• Artefaktherkunft, Signaturprüfung, Schwachstellenbehandlung und Freigabe im Auslieferungsprozess betrachten.
• Manipulationsrisiken, sichere Startvorgänge und Aktualisierbarkeit verteilter Edge-Geräte im Schutzkonzept berücksichtigen.

Sicherheitsbetrieb und Wiederherstellung

• Sicherheitsrelevante Ereignisse mit Zeitbezug, Mandantenzuordnung und angemessenem Detailgrad erfassen.
• Eskalation, Eindämmung und Wiederanlauf über Anbietergrenzen hinweg festlegen.
• Datenminimierung und Schutz sensibler Informationen in Protokollen berücksichtigen.
• Ein kompromittiertes Dienstkonto sperren und die fachliche Wiederherstellung vorbereitet durchspielen.

Praktische Sicherheitsprüfung

• Testfälle für zulässige Zugriffe, fehlerhafte Tokens und unzulässige Rechte definieren.
• Die vorbereitete Identitäts- und Netzkonfiguration in einer kontrollierten Umgebung prüfen.
• Beobachtete Schwachstellen priorisieren und passende Gegenmaßnahmen umsetzen.
• Nach der Korrektur dieselben Prüfungen erneut durchführen und die tatsächliche Wirkung dokumentieren.

Praxisübungen

1. Schutzbedarf, Vertrauensgrenzen und Rollen für eine Anwendung über zwei Domänen festlegen.
2. Eine vorbereitete Testanwendung an den vereinbarten Identitätsdienst, beispielsweise Keycloak, anbinden.
3. Erlaubte Anmeldung und API-Zugriffe prüfen; anschließend fehlende Rechte und abgelaufene Tokens testen.
4. Zugriffe zwischen getrennten Mandanten mit geeigneten Netz- und Berechtigungsregeln begrenzen.
5. Ein Dienstkonto sperren, notwendige Geheimnisse erneuern und den Wiederanlauf kontrolliert prüfen.
6. Die Korrekturen erneut testen und verbleibende Risiken mit verantwortlichen Stellen dokumentieren.

Schulungsumgebung

Der Kunde stellt eine isolierte Testumgebung mit vorbereiteten Identitätsdiensten, zwei logischen Domänen, einer Testanwendung, nachvollziehbarer Protokollierung und administrativen Übungsrechten. Eingriffe erfolgen ausschließlich in dafür vorgesehenen Testressourcen.