Seminar Firezone – Gruppen, Policies und Conditional Access

Default-Deny, additive Policy-Auswertung, Gruppen, Ressourcenzuordnung und Bedingungen nach Standort, IP, Provider, Clientstatus und Zeit werden sicher gestaltet.

Das zweitägige Format verbindet fachliche Planung, geführte Konfiguration, Sicherheitsprüfung und Betriebsübergabe. Jeder Arbeitsschritt erhält einen messbaren Prüfpunkt.

Inhaltsübersicht

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Ausgangslage, Schutzbedarf und technische Abhängigkeiten vollständig erfassen
• Firezone-Komponenten und Konfigurationen reproduzierbar planen und umsetzen
• Least Privilege, sichere Geheimnisverwaltung und klare Verantwortlichkeiten anwenden
• Positiv-, Negativ-, Ausfall- und Änderungsfälle systematisch prüfen
• Ergebnisse in eine belastbare Architektur- und Betriebsdokumentation überführen

Zielgruppe

Firezone-Administration, IAM, Informationssicherheit, Revision und Anwendungsverantwortliche.

Voraussetzungen

Firezone-Grundlagen sowie Verständnis von Ressourcen, Gruppen und Least Privilege.

Seminarinhalte

1. Schritt 1: Schutzobjekte
   Ressourcenbesitzer, Schutzbedarf, zulässige Rollen und technische Grenzen festlegen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
2. Schritt 2: Akteurstypen
   Benutzer, Service Accounts und API Clients nach Zweck und Lebensdauer trennen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
3. Schritt 3: Gruppenmodell
   Rollen-, Team-, Projekt- und Ausnahmegruppen mit Owner und Ablaufdatum definieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
4. Schritt 4: Default-Deny
   Jede Ressource ohne Policy geschlossen halten und jede Freigabe einzeln begründen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
5. Schritt 5: Additive Auswertung
   Überlappende Policies als logisches ODER und damit die am wenigsten restriktive Regel erkennen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
6. Schritt 6: Standortbedingung
   Länder, mobile Nutzung und mögliche Fehlklassifizierung in Tests berücksichtigen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
7. Schritt 7: IP-Bedingung
   Quelladressen, Proxies, Unternehmensnetze und Ausschlussbereiche korrekt modellieren. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
8. Schritt 8: Providerbedingung
   Besonders geschützte Ressourcen an einen strengeren Anmeldeweg koppeln. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
9. Schritt 9: Verifizierte Clients
   Geräteprüfung als zusätzliche Hürde mit bekannten Grenzen betreiben. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
10. Schritt 10: Zeitfenster
    Zeitzonen, Schichtbetrieb, Bereitschaft und Ausnahmen nachvollziehbar abbilden. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
11. Schritt 11: Policy-Tests
    Positiv- und Negativfälle, Mehrfachgruppen und abgelaufene Bedingungen prüfen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.
12. Schritt 12: Rezertifizierung
    Temporäre Freigaben, verwaiste Gruppen, Ressourcen und Policies regelmäßig entfernen. Planung, Konfiguration, Sicherheitswirkung, Zuständigkeit und Betriebsfolge werden dokumentiert und mit einem definierten Prüffall abgeschlossen.

Praxisübungen

1. Schutzobjekte anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
2. Gruppenmodell anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
3. Additive Auswertung anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
4. IP-Bedingung anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.
5. Verifizierte Clients anhand eines realistischen Szenarios planen, umsetzen, mit einem Gegenbeispiel prüfen und als kurze Arbeitsanweisung dokumentieren.

Methodik

Fachliche Einordnung, Live-Demonstrationen, geführte Konfiguration, strukturierte Laboraufgaben und gemeinsame Auswertung werden kombiniert. Fehler werden nicht nur korrigiert, sondern ihrer Ursache in Identität, Policy, DNS, Netzwerk, Gateway, Client oder Zielressource zugeordnet.