Seminar Fedora CoreOS – Sicherheit, SELinux und Systemhärtung

Das Fachseminar entwickelt ein mehrschichtiges Sicherheitsmodell für Fedora CoreOS. Identitäten, SSH, Sudo, SELinux, Bootvertrauen, Datenträgerverschlüsselung, Geheimnisse, Containerlieferkette, Logging und Incident Readiness werden praktisch umgesetzt.

Der Seminaraufbau verbindet nachvollziehbare technische Grundlagen mit durchgängigen Übungen. Jede Konfiguration wird geplant, umgesetzt, geprüft und in ein wiederverwendbares Betriebsschema überführt.

Inhaltsübersicht

1. Bedrohungsmodell und Härtungsbaseline
2. Benutzer, SSH, Sudo und administrative Zugriffe
3. SELinux für Host und Container
4. Bootvertrauen und Datenträgerverschlüsselung
5. Secrets und sichere Provisionierung
6. Containerimages, Registries und Lieferkette
7. Audit, Updates und Incident Readiness

Lernziele

• Bedrohungsmodell und Härtungsbaseline strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• Benutzer, SSH, Sudo und administrative Zugriffe strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• SELinux für Host und Container strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• Bootvertrauen und Datenträgerverschlüsselung strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• Secrets und sichere Provisionierung strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• Containerimages, Registries und Lieferkette strukturiert planen, konfigurieren und anhand technischer Prüfkriterien bewerten
• Konfigurationsentscheidungen dokumentieren und in reproduzierbare Betriebsabläufe überführen

Seminarinhalte

1. Bedrohungsmodell und Härtungsbaseline

Der Themenblock ordnet Bedrohungsmodell und Härtungsbaseline in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: Schutzgüter, Angreifer und Vertrauensgrenzen erfassen.
2. Schritt 2: minimale Hostrolle und zulässige Dienste definieren.
3. Schritt 3: Härtungsmaßnahmen nach Risiko und Betriebswirkung priorisieren.
4. Schritt 4: technische Nachweise und Ausnahmeprozess festlegen.

2. Benutzer, SSH, Sudo und administrative Zugriffe

Der Themenblock ordnet Benutzer, SSH, Sudo und administrative Zugriffe in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: lokale Konten auf notwendige Rollen begrenzen.
2. Schritt 2: SSH-Schlüssel, Algorithmen und Zugangswege kontrollieren.
3. Schritt 3: Sudo-Regeln nach minimalen Befugnissen erstellen.
4. Schritt 4: Notfallzugang mit Protokollierung und regelmäßiger Prüfung absichern.

3. SELinux für Host und Container

Der Themenblock ordnet SELinux für Host und Container in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: Enforcing-Zustand und Kontexte kontrollieren.
2. Schritt 2: Volumes mit passenden Labels und Optionen einbinden.
3. Schritt 3: AVC-Ereignisse auswerten und Ursache statt Symptom korrigieren.
4. Schritt 4: eigene Anpassung nur nach reproduzierbarem Test und Review einsetzen.

4. Bootvertrauen und Datenträgerverschlüsselung

Der Themenblock ordnet Bootvertrauen und Datenträgerverschlüsselung in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: UEFI Secure Boot und gemessenen Start einordnen.
2. Schritt 2: LUKS für schützenswerte Datenbereiche planen.
3. Schritt 3: TPM2- oder Tang-Entsperrung nach Standortprofil konfigurieren.
4. Schritt 4: Recovery-Schlüssel, Austausch und Wiederanlauf testen.

5. Secrets und sichere Provisionierung

Der Themenblock ordnet Secrets und sichere Provisionierung in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: Geheimnisbedarf für Host, Registry und Anwendung erfassen.
2. Schritt 2: Klartext in Butane, Ignition, Logs und Metadaten vermeiden.
3. Schritt 3: kurzlebige oder nachgelagerte Geheimnisbereitstellung entwerfen.
4. Schritt 4: Rotation, Sperrung und Verlustfall praktisch durchspielen.

6. Containerimages, Registries und Lieferkette

Der Themenblock ordnet Containerimages, Registries und Lieferkette in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: vertrauenswürdige Registries und Namensräume festlegen.
2. Schritt 2: Images anhand von Digests und Freigaben referenzieren.
3. Schritt 3: Authentifizierung und Zertifikatsvertrauen konfigurieren.
4. Schritt 4: Imagewechsel, Schwachstellenbefund und Rückzug eines Artefakts bearbeiten.

7. Audit, Updates und Incident Readiness

Der Themenblock ordnet Audit, Updates und Incident Readiness in den Fedora-CoreOS-Betrieb ein und führt von der Ausgangsanalyse bis zur überprüfbaren Zielkonfiguration.

1. Schritt 1: sicherheitsrelevante Host- und Containerereignisse erfassen.
2. Schritt 2: Patch- und Updateprioritäten mit Rollout-Ringen verbinden.
3. Schritt 3: Abweichungen von Baseline und Version sichtbar machen.
4. Schritt 4: Beweissicherung, Isolation, Wiederherstellung und Nachkontrolle als Runbook testen.

Praxisübungen

• Erstellung einer Härtungsbaseline mit überprüfbaren Sollwerten
• Absicherung eines Quadlet-Dienstes mit minimalen Rechten und SELinux-konformem Volume
• Einrichtung eines LUKS-Datenträgers mit TPM2- oder Tang-Konzept
• Simulation eines kompromittierten Registry-Zugangs mit Rotation und Wiederfreigabe

Zielgruppe

Linux- und Sicherheitsadministration, DevSecOps, Plattformbetrieb, Informationssicherheit und technische Verantwortliche für gehärtete Containerhosts

Voraussetzungen

Sichere Linux- und systemd-Kenntnisse, Containergrundlagen sowie Basiswissen zu SSH, Zugriffsrechten, Verschlüsselung und Netzwerksicherheit

Arbeitsweise

Vortrag, Systemdemonstrationen und angeleitete Übungen wechseln sich ab. Konfigurationsdateien werden versionierbar aufgebaut, mit Werkzeugen validiert und in kontrollierten Testsystemen ausgeführt. Fehlerbilder werden bewusst erzeugt und mit definierten Diagnose- und Rückfallverfahren bearbeitet.