Seminar NCP VS GovNet – Architektur und Planung

Eine tragfähige VS-GovNet-Implementierung beginnt nicht mit der Installation, sondern mit klaren Schutz-, Betriebs- und Kommunikationsanforderungen. Die Schulung entwickelt daraus ein dokumentiertes Architekturmodell mit überprüfbaren technischen und organisatorischen Entscheidungen.

Seminarprofil

Der Stoff richtet sich auf Entwurf und Entscheidungsfähigkeit. Konfigurationen werden nur soweit praktisch umgesetzt, wie dies zur Bewertung von Architekturvarianten und Schnittstellen erforderlich ist.

Inhaltsübersicht

1. Kapitel 1: Schutzbedarf, Nutzungsszenarien und Randbedingungen
2. Kapitel 2: Komponentenmodell und Kommunikationsbeziehungen
3. Kapitel 3: Netzarchitektur, Routing und Segmentierung
4. Kapitel 4: Identitäten, Authentisierung und Zertifikatslebenszyklus
5. Kapitel 5: Management-, Rollen- und Betriebskonzept
6. Kapitel 6: Skalierung, Hochverfügbarkeit und Notfallvorsorge
7. Kapitel 7: Einführungsplan und technische Abnahme

Zielsetzung

Ziel ist die Erstellung einer vollständigen Zielarchitektur einschließlich Komponentenmodell, Netz- und Identitätsdesign, Betriebsorganisation, Skalierung, Notfallvorsorge und Abnahmeplan.

Zielgruppe

IT-Architekten, Projektleiter, Netzwerk- und Sicherheitsverantwortliche, Geheimschutzbeauftragte sowie leitende Administratoren.

Voraussetzungen

Fundierte Kenntnisse in TCP/IP, Routing, Firewalling, Verzeichnisdiensten und PKI-Grundlagen. Erfahrung mit Remote-Access- oder IPsec-Projekten ist vorteilhaft.

Kapitel 1: Schutzbedarf, Nutzungsszenarien und Randbedingungen

Inhaltsverzeichnis des Kapitels

• Datenklassifikation und Einsatzgrenzen
• Benutzergruppen und Arbeitsmodelle
• Standorte und Netzbedingungen
• Betriebliche und organisatorische Vorgaben

Schritt-für-Schritt-Anleitung

1. Schritt 1: Datenarten, Verarbeitungssituationen und zulässige Endgeräte werden abgegrenzt.
2. Schritt 2: Benutzergruppen, Rollen, Standorte und erwartete Gleichzeitigkeiten werden erhoben.
3. Schritt 3: Externe Netze, Proxys, Firewalls, Mobilfunk und Hotspots werden als Randbedingungen erfasst.
4. Schritt 4: Anforderungen werden in Muss-, Soll- und Kann-Kriterien überführt.

Kapitel 2: Komponentenmodell und Kommunikationsbeziehungen

Inhaltsverzeichnis des Kapitels

• NCP VS GovNet Connector
• NCP VS GovNet Server
• NCP Secure Enterprise Management
• PKI, Verzeichnisdienste, DNS und Zeitdienste

Schritt-für-Schritt-Anleitung

1. Schritt 1: Alle Komponenten werden mit Aufgabe, Verantwortungsbereich und Schutzbedarf in einem Modell verzeichnet.
2. Schritt 2: Kommunikationsbeziehungen werden nach Quelle, Ziel, Protokoll, Port und Authentisierung beschrieben.
3. Schritt 3: Abhängigkeiten von PKI, Active Directory, LDAP, RADIUS, DNS und Zeitquelle werden sichtbar gemacht.
4. Schritt 4: Single Points of Failure und besonders schützenswerte Administrationspfade werden markiert.

Kapitel 3: Netzarchitektur, Routing und Segmentierung

Inhaltsverzeichnis des Kapitels

• VPN-Zonen und Übergänge
• Adress- und Routingkonzept
• Firewall- und NAT-Regeln
• DDNS, Tunnelweiterleitung und externe Netze

Schritt-für-Schritt-Anleitung

1. Schritt 1: Ein logisches Zonenmodell für Endgeräte, VPN-Gateways, Management und Zielnetze wird erstellt.
2. Schritt 2: Adressbereiche, IP-Pools, Rückrouten und Namensauflösung werden konfliktfrei geplant.
3. Schritt 3: Nur notwendige Kommunikationsbeziehungen werden in eine Firewall-Matrix übernommen.
4. Schritt 4: Sonderfälle wie NAT, DS-Lite, Proxy-Umgebungen und alternative Tunnelpfade werden bewertet.

Kapitel 4: Identitäten, Authentisierung und Zertifikatslebenszyklus

Inhaltsverzeichnis des Kapitels

• Benutzer- und Geräteidentitäten
• ECC-Zertifikate und SmartCards
• Verzeichnis- und RADIUS-Anbindung
• Sperrlisten und Online-Prüfung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Identitäten werden Benutzern, Geräten, Gateways und Administrationsrollen eindeutig zugeordnet.
2. Schritt 2: Zertifikatsprofile, Schlüsselablage und Ausgabeprozesse werden festgelegt.
3. Schritt 3: Anmelde- und Autorisierungsflüsse werden vom Connector bis zum Backend modelliert.
4. Schritt 4: Erneuerung, Sperrung, Kartenverlust und Notfallausgabe werden als Lebenszyklusprozesse beschrieben.

Kapitel 5: Management-, Rollen- und Betriebskonzept

Inhaltsverzeichnis des Kapitels

• Zentrale Administration
• Gruppen und Richtlinien
• Vier-Augen-Prinzip und Aufgabentrennung
• Monitoring, Logging und Änderungen

Schritt-für-Schritt-Anleitung

1. Schritt 1: Administrative Rollen werden nach Aufgabe und minimal erforderlichen Rechten definiert.
2. Schritt 2: Gruppenstruktur und Richtlinienvererbung werden an Organisation und Schutzbedarf ausgerichtet.
3. Schritt 3: Freigabe-, Änderungs- und Notfallprozesse werden mit Verantwortlichkeiten versehen.
4. Schritt 4: Protokollquellen, Aufbewahrung, Auswertung und Eskalation werden in den Regelbetrieb eingeordnet.

Kapitel 6: Skalierung, Hochverfügbarkeit und Notfallvorsorge

Inhaltsverzeichnis des Kapitels

• Sizing und Wachstum
• Load Balancing und Redundanz
• Backup Management und Datenbank
• Wiederanlauf und Ersatzbetrieb

Schritt-für-Schritt-Anleitung

1. Schritt 1: Benutzerzahlen, Tunnelanzahl, Durchsatz, Protokollvolumen und Wachstum werden quantifiziert.
2. Schritt 2: Redundanzvarianten werden gegen Ausfallziele und betriebliche Komplexität bewertet.
3. Schritt 3: Sicherungsumfang und Wiederherstellungsreihenfolge für Management, Server, Datenbank und Konfiguration werden festgelegt.
4. Schritt 4: Ausfall- und Wiederanlauftests werden mit messbaren Erfolgskriterien geplant.

Kapitel 7: Einführungsplan und technische Abnahme

Inhaltsverzeichnis des Kapitels

• Labor und Pilot
• Rollout-Wellen
• Funktions- und Sicherheitstests
• Betriebsübergabe

Schritt-für-Schritt-Anleitung

1. Schritt 1: Eine isolierte Laborumgebung mit repräsentativen Schnittstellen wird aufgebaut.
2. Schritt 2: Pilotgruppen und Rollout-Wellen werden nach Risiko und Unterstützungsbedarf gewählt.
3. Schritt 3: Abnahmetests decken Verbindung, Authentisierung, Firewall, Routing, Pre-Logon, Logging und Ausfallszenarien ab.
4. Schritt 4: Dokumentation, Betriebsrollen, Supportwege und Rückfallplan werden vor Produktivsetzung freigegeben.