Seminar EclecticIQ Intelligence Center – Administration, Rollen, Berechtigungen und Sicherheit

Eine belastbare Plattformadministration verbindet nachvollziehbare Rollenmodelle, kontrollierten Datenzugriff, sichere Anmeldung und prüfbare Änderungen. Das Seminar entwickelt aus fachlichen Verantwortlichkeiten ein umsetzbares Administrations- und Sicherheitskonzept und setzt dieses in einer Laborumgebung schrittweise um.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Didaktik und Arbeitsweise

Zielsetzung

• Mandanten-, Gruppen-, Rollen- und Berechtigungskonzepte systematisch entwerfen
• Benutzerkonten, Automationskonten, Authentisierung und Kontorichtlinien sicher verwalten
• Datenzugriff anhand von Quellen, Gruppen, TLP und Arbeitsbereichen begrenzen
• Systemeinstellungen, Audit Trail und administrative Aufgaben kontrolliert betreiben
• Änderungen mit Testfällen, Vier-Augen-Prinzip und Rückfallplan absichern

Zielgruppe

Plattformadministration, IAM-Verantwortung, technische Anwendungsbetreuung, Security Engineering, Datenschutz, Revision und Betrieb.

Voraussetzungen

Sichere Grundbedienung des Intelligence Center sowie Kenntnisse zu Verzeichnisdiensten, Rollenmodellen und betrieblichen Freigabeprozessen. Für Laborübungen werden administrative Rechte benötigt.

Seminarinhalte

1. Schritt 1: Betriebs- und Verantwortungsmodell festlegen

   Zunächst werden Plattformverantwortung, Datenverantwortung, fachliche Administration, Support und Revision getrennt. Für jede Rolle werden zulässige Tätigkeiten, Genehmigungswege, Vertretungen und Eskalationen dokumentiert.

2. Schritt 2: Gruppenstruktur aus Daten- und Organisationsgrenzen ableiten

   Organisationseinheiten, Projekte, Schutzbedarfe und erlaubte Intelligence-Quellen werden in eine überschaubare Gruppenstruktur übersetzt. Verschachtelungen und Sondergruppen werden nur dort eingesetzt, wo sie einen klaren Kontrollzweck erfüllen.

3. Schritt 3: Rollen nach dem Minimalprinzip entwerfen

   Lese-, Bearbeitungs-, Regel-, Feed-, Konfigurations- und Benutzerverwaltungsrechte werden in getrennten Rollen gebündelt. Jede Rolle erhält einen fachlichen Zweck, einen Eigentümer und nachvollziehbare Negativtests.

4. Schritt 4: Benutzer und Automationskonten verwalten

   Konten werden angelegt, Gruppen und Rollen zugeordnet und mit eindeutigem Verwendungszweck versehen. Für technische Konten werden interaktive Anmeldung, Token-Nutzung, Besitzer, Ablauf und regelmäßige Rezertifizierung festgelegt.

5. Schritt 5: Anmeldung und Kontorichtlinien härten

   Zwei-Faktor-Authentisierung, Wiederherstellungscodes, Sitzungsregeln, Kennwort- und Kontorichtlinien werden konfiguriert. Der Ablauf bei verlorenen Faktoren, gesperrten Konten und Personalwechsel wird als Betriebsverfahren festgehalten.

6. Schritt 6: Verzeichnis- und Single-Sign-on-Anbindung planen

   LDAP- beziehungsweise Active-Directory-Strukturen, SAML- oder OAuth-basierte Anmeldung, Attributzuordnung und Gruppenübernahme werden fachlich und technisch vorbereitet. Testkonten prüfen Normalfall, fehlende Zuordnung und Entzug von Berechtigungen.

7. Schritt 7: Datenzugriff und Weitergabe begrenzen

   Erlaubte Quellen, Gruppenzuordnung, TLP, Arbeitsbereiche, Datasets und ausgehende Bereitstellung werden gemeinsam betrachtet. Es wird geprüft, ob Benutzer nur die Daten sehen und exportieren können, die für ihre Aufgabe erforderlich sind.

8. Schritt 8: Administrative Systemeinstellungen kontrollieren

   Konfigurationsbereiche für Plattform, STIX/TAXII, Feeds, AI-Funktionen und Integrationen werden nach Verantwortungsbereichen geordnet. Änderungen erhalten Ticketbezug, Prüfschritt, Abnahme und dokumentierte Rücknahme.

9. Schritt 9: Audit Trail und Systemaufgaben auswerten

   Administrative Aktivitäten, fehlgeschlagene Aktionen und Systemjobs werden gefiltert und einem nachvollziehbaren Zeitablauf zugeordnet. Aus Auffälligkeiten werden konkrete Kontroll- und Eskalationsregeln abgeleitet.

10. Schritt 10: Berechtigungen mit Positiv- und Negativtests prüfen

    Für jede Rolle werden erlaubte und ausdrücklich verbotene Aktionen getestet. Die Prüfergebnisse werden so dokumentiert, dass spätere Rezertifizierungen mit denselben Testfällen wiederholt werden können.

11. Schritt 11: Notfallzugriff und Wiederanlauf regeln

    Ein besonders geschützter Notfallzugang wird mit Aufbewahrung, Freigabe, Protokollierung und nachträglicher Kontrolle definiert. Zusätzlich werden Ansprechpartner, Kommunikationsweg und Maßnahmen bei kompromittierten Administrationskonten festgelegt.

12. Schritt 12: Administrationshandbuch und Kontrollkalender erstellen

    Zum Abschluss werden wiederkehrende Aufgaben für Kontenprüfung, Rollenrezertifizierung, Tokenwechsel, Audit-Auswertung und Konfigurationskontrolle in einen Kalender überführt. Jeder Vorgang erhält Verantwortlichkeit, Nachweis und Eskalationsfrist.

Praxisübungen

1. Übung 1: Rollenmatrix für ein CTI-Team aufbauen

   Aus Analysten-, Lead-, Integrations-, Feed- und Administrationsrollen wird eine Matrix mit erlaubten und verbotenen Aktionen erstellt und anschließend in Testkonten umgesetzt.

2. Übung 2: Datenzugriff mit zwei Gruppen testen

   Ein gemeinsamer und ein eingeschränkter Datenbestand werden eingerichtet. Positiv- und Negativtests prüfen Suche, Bearbeitung, Workspace-Zugriff und Export.

3. Übung 3: Zwei-Faktor- und Wiederherstellungsprozess erproben

   Ein Testkonto richtet den zweiten Faktor ein, verwendet einen Wiederherstellungscode und durchläuft den dokumentierten Supportfall ohne Umgehung der Kontrollschritte.

4. Übung 4: Audit-Fall rekonstruieren

   Eine freigegebene Konfigurationsänderung wird durchgeführt und anschließend über Audit Trail und Systemjobs zeitlich, personell und fachlich nachvollzogen.

5. Übung 5: Rezertifizierung simulieren

   Eine bestehende Rolle wird gegen aktuelle Aufgaben geprüft, überflüssige Rechte werden entfernt und die Entscheidung mit Negativtest und Freigabe dokumentiert.

6. Übung 6: Notfallzugang prüfen

   Ein kontrolliertes Szenario testet Ausgabe, Nutzung, Protokollierung, Rückgabe und Kennwortwechsel eines Notfallkontos.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Arbeitsschritte, Praxisübungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Die erarbeiteten Verfahren bleiben dadurch im späteren Betrieb wiederholbar und auditierbar.