Seminar Keylime – Sicherheitsarchitektur, Threat Model und Hardening

Überblick

Das Seminar behandelt Bedrohungsmodell, Restvertrauen und priorisierte Härtung der gesamten Attestierungsplattform. Theorie, Konfiguration und technische Prüfung werden in einem durchgängigen Szenario verbunden, sodass aus einzelnen Funktionen ein nachvollziehbarer Betriebs- oder Sicherheitsprozess entsteht.

Zwei Tage sind erforderlich, da Grundlagen und Konfiguration zunächst belastbar aufgebaut und anschließend mit Vertiefung, negativen Prüffällen, Fehleranalyse und Betriebsübergabe abgesichert werden. Im Mittelpunkt stehen reproduzierbare Arbeitsschritte, positive und negative Testfälle sowie eine dokumentierte technische Abnahme.

Inhaltsübersicht

1. Schutzobjekte und Sicherheitsziele definieren
2. Angreifer und Vertrauensgrenzen modellieren
3. TPM- und Virtualisierungsannahmen prüfen
4. PKI und mTLS härten
5. Netzwerk und Dienstexposition begrenzen
6. Konten, Dateien und Secrets schützen
7. Datenbank und Policy-Lieferkette absichern
8. Softwarelieferkette und Updates kontrollieren
9. Erkennung und Reaktion gestalten
10. Hardening-Baseline mit Negativtests prüfen

Lernziele

• Bedrohungsmodell, restvertrauen und priorisierte härtung der gesamten attestierungsplattform fachlich einordnen und für ein konkretes Einsatzszenario planen.
• Schutzobjekte und Sicherheitsziele definieren.
• Angreifer und Vertrauensgrenzen modellieren.
• TPM- und Virtualisierungsannahmen prüfen.
• PKI und mTLS härten.
• Positive und negative Prüfergebnisse technisch bewerten, Fehler schichtweise lokalisieren und die Betriebs- oder Freigabeentscheidung dokumentieren.

Seminarinhalte Schritt für Schritt

Schritt 1: Schutzobjekte und Sicherheitsziele definieren

Geräteidentität, Attestierungsentscheidung, Policies, Schlüssel, Datenbank und Reaktionskanäle werden nach Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 2: Angreifer und Vertrauensgrenzen modellieren

Lokaler Root-Angreifer, Netzwerkangriff, kompromittierter Dienst, gestohlener Schlüssel, Lieferkettenangriff und physischer Zugriff werden unterschieden. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 3: TPM- und Virtualisierungsannahmen prüfen

Physisches TPM, vTPM, Hypervisorvertrauen, Geräteübergabe und Reset-Szenarien werden mit ihren verbleibenden Risiken bewertet. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 4: PKI und mTLS härten

Getrennte Zertifikatsprofile, minimale Vertrauensanker, Schlüsselrechte, Laufzeiten, Rotation, Widerruf und Rollen werden festgelegt. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 5: Netzwerk und Dienstexposition begrenzen

Kommunikationsrichtungen, Ports, Verwaltungssegmente, Rate Limits und Timeouts werden auf das erforderliche Minimum reduziert. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 6: Konten, Dateien und Secrets schützen

Dedizierte Dienstkonten, Systemdiensthärtung, Dateirechte, Secret-Management und temporäre Daten werden geprüft. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Schritt 7: Datenbank und Policy-Lieferkette absichern

Datenbankkonten, verschlüsselte Verbindungen, Backupschutz, signierte Policies und kontrollierte Referenzsysteme werden verbunden. Die Umsetzung erfolgt in einer Laborumgebung und wird anhand von Statusdaten, Dienstprotokollen und einem reproduzierbaren Prüffall abgenommen.

Schritt 8: Softwarelieferkette und Updates kontrollieren

Paket- oder Imageprüfung, Abhängigkeiten, Testumgebung, gestufter Rollout und Rollback werden als Patchprozess umgesetzt. Fehlerbilder werden nicht pauschal behoben, sondern der verursachenden Identitäts-, Netzwerk-, Policy-, TPM- oder Betriebsschicht zugeordnet.

Schritt 9: Erkennung und Reaktion gestalten

Logs, Attestierungsfehler, Zertifikatsereignisse und Administrationsoperationen werden zentral überwacht und mit Runbooks verknüpft. Der resultierende Sollzustand wird mit einer Kontrollabfrage bestätigt und als Ausgangspunkt für den nächsten Arbeitsschritt festgehalten.

Schritt 10: Hardening-Baseline mit Negativtests prüfen

Jede Maßnahme erhält Sollwert, Prüfkommando, Verantwortlichkeit und Test; zentrale Schutzmechanismen müssen absichtlich unzulässige Zugriffe blockieren. Konfiguration, erwartete Werte und tatsächliches Ergebnis werden versioniert dokumentiert; ein gezielter Negativtest prüft die Wirksamkeit.

Praxisübungen

• Threat Model und Datenflussdiagramm für eine Referenztopologie erstellen.
• Angriffspfade für gestohlenes Zertifikat und kompromittierten Agenten bewerten.
• Hardening-Check für Dienste, Schlüssel, Netzwerk und Datenbank durchführen.
• Priorisierte Baseline mit technischen Nachweisen erstellen.

Einordnung in den Lernpfad

Nach Architektur, TPM und Authentifizierung. Vor Produktionsfreigabe und automatisierter Revocation empfohlen.