Seminar Flatcar Container Linux – Security, Hardening und Compliance

Flatcar reduziert durch minimalen Umfang, unveränderliche Systembereiche und automatische Updates einen großen Teil der klassischen Angriffsfläche. Das Seminar ergänzt diese Basis um Identitätskontrollen, SSH- und SSSD-Härtung, SELinux, Auditierung, LUKS, Trusted Computing, eigene CAs, Kerneloptionen sowie nachvollziehbare Compliance-Nachweise.

Lernziele

• Bedrohungsmodell und Schutzbedarf für Flatcar-Knoten und Flotten ableiten
• Identität, SSH, SSSD, Berechtigungen und Geheimnisse minimieren
• SELinux, Audit, LUKS, TPM und Zertifikate praktisch einrichten
• FIPS-Betriebsoptionen, CIS-orientierte Kontrollen und technische Grenzen einordnen
• Hardening als versionierte, testbare und prüfbare Konfiguration betreiben

Inhaltsübersicht

1. Bedrohungsmodell und Baseline
2. Identität, SSH und SSSD
3. SELinux und Dienstisolation
4. Auditierung und Nachvollziehbarkeit
5. LUKS und Storage-Schutz
6. Trusted Computing und Schlüsselbindung
7. PKI, eigene CAs und Geheimnisse
8. FIPS-Betriebsoptionen und Compliance-Grenzen
9. Kernel-Hardening, SMT und Updates

Kapitel 1: Bedrohungsmodell und Baseline

Inhaltsverzeichnis des Kapitels: Schutzbedarf; Angriffsflächen; Knotenrollen; Hardening-Baseline.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Schutzbedarf bestimmen.
2. Schritt 2: Angriffsflächen nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Knotenrollen mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für Hardening-Baseline dokumentieren.

Praxisübung: Für mehrere Knotenrollen wird eine risikobasierte Baseline mit Muss-, Soll- und Ausnahme-Kontrollen erstellt.

Kapitel 2: Identität, SSH und SSSD

Inhaltsverzeichnis des Kapitels: Schlüsselrichtlinie; sshd-Konfiguration; zentrale Identität; sudo und Gruppen.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Schlüsselrichtlinie bestimmen.
2. Schritt 2: sshd-Konfiguration nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für zentrale Identität mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für sudo und Gruppen dokumentieren.

Praxisübung: Ein minimaler SSH-Zugang wird gehärtet und eine zentrale Identitätsanbindung mit kontrollierten Gruppenrechten getestet.

Kapitel 3: SELinux und Dienstisolation

Inhaltsverzeichnis des Kapitels: Policy-Modus; Labels; Verweigerungsereignisse; Ausnahmeregeln.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Policy-Modus bestimmen.
2. Schritt 2: Labels nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Verweigerungsereignisse mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für Ausnahmeregeln dokumentieren.

Praxisübung: Ein Dienst wird unter SELinux betrieben, eine Verweigerung analysiert und ohne pauschales Abschalten gezielt behoben.

Kapitel 4: Auditierung und Nachvollziehbarkeit

Inhaltsverzeichnis des Kapitels: Auditregeln; Identitäts- und Dateiereignisse; Weiterleitung; Manipulationsschutz.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Auditregeln bestimmen.
2. Schritt 2: Identitäts- und Dateiereignisse nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Weiterleitung mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für Manipulationsschutz dokumentieren.

Praxisübung: Ein prüfbarer Auditregelsatz wird aktiviert und mit kontrollierten Testhandlungen sowie zentraler Auswertung abgenommen.

Kapitel 5: LUKS und Storage-Schutz

Inhaltsverzeichnis des Kapitels: Verschlüsselungsziel; Schlüsselquelle; Bootintegration; Recovery Key.

1. Schritt 1: Datenklasse, Gerätepfad und Wiederherstellungsziel für Verschlüsselungsziel festlegen.
2. Schritt 2: Schlüsselquelle deklarativ einrichten und Abhängigkeiten zu Boot, Netzwerk oder Diensten definieren.
3. Schritt 3: Integrität, Persistenz und Ausfallverhalten von Bootintegration mit kontrollierten Tests prüfen.
4. Schritt 4: Sicherung, Wiederanbindung und Rückfall für Recovery Key dokumentieren.

Praxisübung: Ein zusätzlicher Datenträger wird verschlüsselt, automatisiert eingebunden und über einen dokumentierten Recovery-Weg wieder geöffnet.

Kapitel 6: Trusted Computing und Schlüsselbindung

Inhaltsverzeichnis des Kapitels: TPM; Messwerte; Schlüsselbindung; Hardwarewechsel.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für TPM bestimmen.
2. Schritt 2: Messwerte nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Schlüsselbindung mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für Hardwarewechsel dokumentieren.

Praxisübung: Ein Schlüsselschutzkonzept wird an einen Plattformzustand gebunden und gegen legitime sowie unerwartete Änderungen geprüft.

Kapitel 7: PKI, eigene CAs und Geheimnisse

Inhaltsverzeichnis des Kapitels: Trust Store; Zertifikatsverteilung; Rotation; keine Geheimnisse im Image.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Trust Store bestimmen.
2. Schritt 2: Zertifikatsverteilung nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Rotation mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für keine Geheimnisse im Image dokumentieren.

Praxisübung: Eine interne CA wird bereitgestellt, ein Dienstzertifikat rotiert und die Trennung von öffentlicher Konfiguration und Geheimnissen nachgewiesen.

Kapitel 8: FIPS-Betriebsoptionen und Compliance-Grenzen

Inhaltsverzeichnis des Kapitels: Kryptografische Module; Betriebsmodus; Nachweisumfang; Zertifizierungsgrenzen.

1. Schritt 1: Ausgangslage, Zielzustand und Abhängigkeiten für Kryptografische Module erfassen.
2. Schritt 2: Betriebsmodus anhand fachlicher, technischer und betrieblicher Kriterien strukturieren.
3. Schritt 3: Nachweisumfang mit messbaren Prüfkriterien und klaren Verantwortlichkeiten bewerten.
4. Schritt 4: Entscheidungen zu Zertifizierungsgrenzen in einer nachvollziehbaren Architektur- oder Betriebsmatrix dokumentieren.

Praxisübung: Technische FIPS-Optionen werden aktiviert und sauber von einer formalen Produkt- oder Systemzertifizierung abgegrenzt.

Kapitel 9: Kernel-Hardening, SMT und Updates

Inhaltsverzeichnis des Kapitels: Kernelparameter; SMT-Minderung; Release-Kanal; Patch-SLA.

1. Schritt 1: Schutzbedarf, Bedrohungen und zulässige Vertrauensgrenzen für Kernelparameter bestimmen.
2. Schritt 2: SMT-Minderung nach dem Prinzip minimaler Rechte konfigurieren und versionieren.
3. Schritt 3: Die Wirksamkeit der Kontrolle für Release-Kanal mit erlaubten und unerlaubten Testfällen prüfen.
4. Schritt 4: Nachweise, Ausnahmen und Wiederherstellungsweg für Patch-SLA dokumentieren.

Praxisübung: Eine rollenbezogene Kernel- und Updatepolitik wird umgesetzt und mit Funktions-, Leistungs- und Nachweisprüfungen bewertet.

Methodik und Arbeitsumgebung

Inhaltsverzeichnis des Kapitels: Lernform; Laboraufbau; Validierung; Fehlerfälle und Rücknahme.

Vortrag, technische Einordnung, Live-Demonstrationen und geführte Übungen wechseln sich ab. Jede Konfiguration wird in einer isolierten Laborumgebung erstellt, versioniert, geprüft, angewendet und anhand von Status-, Log- und Funktionskontrollen abgenommen. Fehlerfälle und Rücknahmewege sind Bestandteil der Übungen.