Seminar Keylime – PCR-Monitoring und Trusted Boot

Überblick

Das Seminar behandelt direkte PCR-Überwachung als kompakter Trusted-Boot-Einstieg. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Die eintägige Dauer ist angemessen, weil der Themenbereich klar abgegrenzt ist und Einordnung, Laborumsetzung, Negativtest sowie Dokumentation in einem geschlossenen Arbeitsablauf durchgeführt werden können. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. PCR-Funktion und Hashbank einordnen
2. Relevante PCRs auswählen
3. Referenzwerte kontrolliert erfassen
4. Agent mit PCR-Policy registrieren
5. Kontrollierte Abweichung erzeugen
6. Grenzen statischer Baselines bewerten
7. Wechselkriterien zu Event-Log-Policies festlegen
8. Betriebsverfahren dokumentieren

Lernziele

• Direkte pcr-überwachung als kompakter trusted-boot-einstieg fachlich einordnen und für ein konkretes Einsatzszenario planen.
• PCR-Funktion und Hashbank einordnen.
• Relevante PCRs auswählen.
• Referenzwerte kontrolliert erfassen.
• Agent mit PCR-Policy registrieren.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: PCR-Funktion und Hashbank einordnen

PCRs werden als kumulative Register betrachtet; verwendete Hashbank und Algorithmen müssen zwischen TPM, Agent und Policy zusammenpassen. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Relevante PCRs auswählen

Bootphase, Plattform, Secure-Boot-Nutzung und gewünschter Schutzumfang bestimmen die Auswahl ausreichend stabiler Register. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: Referenzwerte kontrolliert erfassen

Ein freigegebenes System wird mehrfach neu gestartet und attestiert, damit kein zufälliger Einzelwert zur produktiven Baseline wird. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: Agent mit PCR-Policy registrieren

Ausgewählte Register und erwartete Werte werden beim Enrollment zugeordnet und mit einer positiven Quote bestätigt. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Kontrollierte Abweichung erzeugen

Eine Bootänderung verändert einen erwarteten PCR; Erkennung und begrenzte Ursachenanalyse über den Endwert werden nachvollzogen. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Grenzen statischer Baselines bewerten

Firmwareupdates, variable Bootreihenfolgen und heterogene Hardware werden gegen die Baseline getestet. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Wechselkriterien zu Event-Log-Policies festlegen

Es wird entschieden, wann mehrere PCR-Baselines genügen und wann UEFI-Ereignisprotokolle erforderlich werden. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Betriebsverfahren dokumentieren

Freigabe, Update, Ausnahme, Alarm und Rückfall erhalten klare Schritte; ungeprüftes Überschreiben eines Werts bleibt ausgeschlossen. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Praxisübungen

• PCR-Werte und Hashbank eines Laborhosts erfassen.
• Stabile PCR-Auswahl aus mehreren Neustarts ableiten.
• PCR-Baseline zuordnen und positive Attestation durchführen.
• Bootänderung auslösen und Wechselkriterium zu Measured Boot bewerten.

Einordnung in den Lernpfad

Nach TPM-Grundlagen. Für heterogene oder produktive Flotten folgt Measured Boot mit UEFI Event Logs.