Seminar fwupd – BIOS-Einstellungen und Best Known Configuration

Dieses Seminar behandelt Inventarisierung und kontrollierte Änderung unterstützter BIOS-Einstellungen, Aufbau einer Best Known Configuration, Abweichungsmanagement und sicherheitsbezogene Nachkontrolle. Die fachlichen Grundlagen werden mit nachvollziehbaren Arbeitsabläufen, Demonstrationen und praktischen Übungen verbunden.

Inhaltsübersicht

• Zielgruppe und Voraussetzungen
• Lernziele
• Didaktische Einordnung
• Seminarinhalte mit schrittweisen Arbeitsabläufen
• Praxisarbeiten
• Arbeitsumgebung

Zielgruppe und Voraussetzungen

Zielgruppe: IT-Sicherheitsadministration, Linux-Systemadministration, Plattformverantwortliche, Security Engineering und technische Revision.

Voraussetzungen: Linux-Administrationskenntnisse sowie Grundlagen zu UEFI, Secure Boot, TPM und organisatorischen Sicherheitskontrollen.

Lernziele

• BIOS-Einstellungen und Best Known Configuration fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Host Security ID und Sicherheitsattribute fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• TPM, PCR-Messungen und Plattformzustand fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Freigabelisten, Sperren und Updateentscheidungen fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Historie, Berichte und Nachweisführung fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.
• Recovery, Rollback und sichere Wiederholung fachlich einordnen und in einen reproduzierbaren Arbeitsablauf überführen.

Didaktische Einordnung

Zwei Tage sind erforderlich, da die Erfassung und Modellierung der Sollwerte von der praktischen Änderung, Neustartprüfung und Behandlung gerätespezifischer Ausnahmen getrennt werden muss. Pro Seminartag sind ungefähr sechs Unterrichtsstunden mit zusätzlichen Pausen vorgesehen. Die Dauer entspricht dem ausgewählten TYPO3-Seminartemplate.

Seminarinhalte

1. BIOS-Einstellungen und Best Known Configuration

Firmwareeinstellungen werden inventarisiert, auf Sollwerte abgebildet und kontrolliert geändert, ohne gerätespezifische Abhängigkeiten zu übergehen.

1. Verfügbare BIOS-Einstellungen mit Datentyp, aktuellem Wert, möglichen Werten und Schreibschutz erfassen.
2. Sicherheits- und Betriebsanforderungen in ein versioniertes Sollwertprofil überführen.
3. Abhängigkeiten, Neustartpflicht und herstellerspezifische Benennungen vor Änderungen prüfen.
4. Änderungen zunächst auf Referenzhardware anwenden und den Zielwert nach dem Neustart verifizieren.
5. Abweichungen, nicht unterstützte Werte und genehmigte Ausnahmen in einer Best Known Configuration dokumentieren.

2. Host Security ID und Sicherheitsattribute

Die Host Security ID fasst messbare Plattformattribute zusammen und macht Konfigurations- oder Firmwaredefizite sichtbar.

1. Sicherheitsattribute des Systems erfassen und nach Plattform, Firmware, Kernel und Laufzeit einordnen.
2. Bestandene, fehlgeschlagene, nicht unterstützte und zur Laufzeit beeinträchtigte Prüfungen unterscheiden.
3. Die HSI-Stufe nicht isoliert, sondern zusammen mit Gerätemodell, Firmwarestand und Einsatzprofil bewerten.
4. Abweichungen auf konkrete BIOS-, UEFI-, TPM-, DMA- oder Kernelmaßnahmen zurückführen.
5. Eine wiederholbare HSI-Prüfung vor und nach Änderungen in den Härtungsprozess integrieren.

3. TPM, PCR-Messungen und Plattformzustand

TPM-bezogene Attribute und PCR-Messungen werden genutzt, um Bootzustand und Änderungen nachvollziehbar zu bewerten.

1. TPM-Version, Bereitstellungsstatus und relevante HSI-Attribute erfassen.
2. PCR-Werte und Ereignisprotokoll als Messkette statt als einzelne Zahlen interpretieren.
3. Geplante Firmware- oder Secure-Boot-Änderungen auf Schlüsselbindung und Festplattenentsperrung prüfen.
4. Vor Wartungsarbeiten Wiederherstellungsschlüssel und organisatorische Freigaben sicherstellen.
5. Nach der Änderung Messzustand, Entsperrverhalten und Abweichungen dokumentieren.

4. Daemonkonfiguration und lokale Richtlinien

Die fwupd-Konfiguration wird so aufgebaut, dass Sicherheitsvorgaben, Wartungsfenster und betriebliche Ausnahmen reproduzierbar umgesetzt werden.

1. Systemweite und lokale Konfigurationspfade sowie deren Priorität ermitteln.
2. Zulässige Funktionen wie Emulation, Berichte oder Netzwerkzugriffe entsprechend dem Einsatzzweck festlegen.
3. Geräte- und Releaseeinschränkungen in einer dokumentierten Richtlinie abbilden.
4. Änderungen zunächst in einer Testgruppe aktivieren und Daemonneustart sowie Syntaxprüfung durchführen.
5. Wirksame Konfiguration, Abweichungen und Rücksetzverfahren in die Betriebsdokumentation übernehmen.

5. Freigabelisten, Sperren und Updateentscheidungen

Updateentscheidungen werden nicht allein dem Vorhandensein eines Releases überlassen, sondern anhand definierter Freigabekriterien getroffen.

1. Geräteklassen und Firmwarezweige mit ihrem geschäftlichen und technischen Risiko klassifizieren.
2. Zulässige Releases, maximale oder minimale Versionen und vorübergehende Ausschlüsse festlegen.
3. Notfallfreigaben für kritische Sicherheitsaktualisierungen von regulären Wartungsfreigaben trennen.
4. Entscheidungen in Pilot-, Stufen- und Breitenfreigaben übersetzen.
5. Ablaufdaten, Verantwortliche und regelmäßige Überprüfung jeder Ausnahme festhalten.

6. Historie, Berichte und Nachweisführung

Die lokale Updatehistorie und standardisierte Berichte bilden die Grundlage für Fehleranalyse, Audit und Flottensteuerung.

1. Updatehistorie mit Zeit, Gerät, Ausgangs- und Zielversion sowie Ergebnis erfassen.
2. Fehlerzustände und Benutzeranforderungen mit Journal- und Daemonmeldungen korrelieren.
3. Berichtsfunktionen entsprechend Datenschutz- und Unternehmensvorgaben konfigurieren.
4. Erfolgsquote, Fehlerklassen, Wiederholungen und offene Aktivierungen als Kennzahlen auswerten.
5. Nachweise für Wartungsfenster, Freigabeentscheidung und erfolgreiche Nachkontrolle archivieren.

7. Recovery, Rollback und sichere Wiederholung

Wiederherstellung wird vor dem Update geplant und berücksichtigt, dass nicht jedes Gerät ein Firmware-Rollback unterstützt.

1. Recovery-Fähigkeiten, Mindestversion, erlaubte Downgrades und herstellerspezifische Notfallwege vorab prüfen.
2. Stromversorgung, alternative Eingabegeräte, Wiederherstellungsmedium und Zugriff auf Schlüssel sicherstellen.
3. Nach einem Fehlschlag zunächst Gerätezustand und Historie sichern, bevor weitere Schreibversuche erfolgen.
4. Nur dokumentierte Wiederholungs-, Aktivierungs- oder Recovery-Schritte in festgelegter Reihenfolge anwenden.
5. Nach erfolgreicher Wiederherstellung Firmwarestand, Funktion, Sicherheitsattribute und erneute Freigabe kontrollieren.

Praxisarbeiten

1. Praxisfall „BIOS-Einstellungen und Best Known Configuration“ bearbeiten und als Ergebnis abweichungen, nicht unterstützte Werte und genehmigte Ausnahmen in einer Best Known Configuration dokumentieren.
2. Praxisfall „TPM, PCR-Messungen und Plattformzustand“ bearbeiten und als Ergebnis nach der Änderung Messzustand, Entsperrverhalten und Abweichungen dokumentieren.
3. Praxisfall „Daemonkonfiguration und lokale Richtlinien“ bearbeiten und als Ergebnis wirksame Konfiguration, Abweichungen und Rücksetzverfahren in die Betriebsdokumentation übernehmen.
4. Praxisfall „Freigabelisten, Sperren und Updateentscheidungen“ bearbeiten und als Ergebnis ablaufdaten, Verantwortliche und regelmäßige Überprüfung jeder Ausnahme festhalten.
5. Praxisfall „Recovery, Rollback und sichere Wiederholung“ bearbeiten und als Ergebnis nach erfolgreicher Wiederherstellung Firmwarestand, Funktion, Sicherheitsattribute und erneute Freigabe kontrollieren.

Arbeitsumgebung

UEFI-fähige Referenzsysteme mit dokumentiertem Wiederherstellungsweg; keine produktive Hardware für Erstversuche. Alle Übungen werden mit dokumentiertem Ausgangszustand, eindeutigen Prüfkriterien und einer abschließenden technischen Kontrolle durchgeführt.