Seminar NCP VS GovNet – Security Hardening und Compliance

Ein sicherer Produktzustand entsteht nicht allein durch die Installation zugelassener Komponenten. Entscheidend sind minimale Angriffsfläche, klare Administrationsgrenzen, kontrollierte Änderungen und regelmäßig wiederholte Wirksamkeitsprüfungen.

Seminarprofil

Das Seminar arbeitet mit einer Baseline-Checkliste und technischen Prüffällen. Abweichungen werden nicht pauschal verboten, sondern nach Risiko, Kompensation, Verantwortlichkeit und Befristung behandelt.

Inhaltsübersicht

1. Kapitel 1: Sicherheitsbaseline und Kontrollmodell
2. Kapitel 2: Server- und Netzhärtung
3. Kapitel 3: Connector- und Endpunkthärtung
4. Kapitel 4: Kryptografie, Zertifikate und Authentisierung
5. Kapitel 5: Managementhärtung und administrative Kontrolle
6. Kapitel 6: Logging, Monitoring und Nachweisführung
7. Kapitel 7: Patch-, Schwachstellen- und Änderungsprozess

Zielsetzung

Ziel ist die Erstellung und technische Verifikation einer organisationsspezifischen Hardening-Baseline für die gesamte VS-GovNet-Umgebung.

Zielgruppe

IT-Sicherheitsadministratoren, Informationssicherheitsbeauftragte, Auditoren mit technischem Schwerpunkt, Netzwerk- und NCP-Administratoren.

Voraussetzungen

Gute Kenntnisse in NCP VS GovNet, Betriebssystem- und Netzwerkhärtung, Zertifikaten, Protokollierung und Change-Management.

Kapitel 1: Sicherheitsbaseline und Kontrollmodell

Inhaltsverzeichnis des Kapitels

• Schutzobjekte und Bedrohungen
• Sollzustände
• Prüfverfahren
• Abweichungsmanagement

Schritt-für-Schritt-Anleitung

1. Schritt 1: Server, Management, Connectoren, Identitäten und Administrationspfade werden als Schutzobjekte erfasst.
2. Schritt 2: Für jedes Schutzobjekt werden konkrete technische Sollzustände definiert.
3. Schritt 3: Jeder Sollzustand erhält ein reproduzierbares Prüfverfahren und einen Prüfrhythmus.
4. Schritt 4: Abweichungen werden mit Risiko, Kompensation, Verantwortlichem und Ablaufdatum dokumentiert.

Kapitel 2: Server- und Netzhärtung

Inhaltsverzeichnis des Kapitels

• Gehärtetes Basissystem
• Schnittstellen und Dienste
• Routing, NAT und Firewall
• Administrationsnetz

Schritt-für-Schritt-Anleitung

1. Schritt 1: Nicht benötigte Schnittstellen, Dienste und Zugriffswege werden identifiziert und deaktiviert.
2. Schritt 2: Management- und Nutzdatenverkehr werden logisch und möglichst physisch getrennt.
3. Schritt 3: Routing-, NAT- und Firewall-Regeln werden auf notwendige Beziehungen reduziert.
4. Schritt 4: Administrative Zugriffe werden auf definierte Quellsysteme, starke Authentisierung und protokollierte Verfahren begrenzt.

Kapitel 3: Connector- und Endpunkthärtung

Inhaltsverzeichnis des Kapitels

• Windows-Baseline
• Zentrale Sperren
• Personal Firewall
• Self Check und sichere Zustände

Schritt-für-Schritt-Anleitung

1. Schritt 1: Windows-System, Festplattenschutz, Patchstand und lokale Rechte werden gegen die Baseline geprüft.
2. Schritt 2: Connectorprofile und sicherheitsrelevante Optionen werden zentral gesperrt.
3. Schritt 3: Firewall-Regeln werden nach Zone und Tunnelzustand restriktiv umgesetzt.
4. Schritt 4: Integritätsfehler und sichere Kommunikationssperre werden kontrolliert getestet.

Kapitel 4: Kryptografie, Zertifikate und Authentisierung

Inhaltsverzeichnis des Kapitels

• Zulässige Algorithmen
• Vertrauensketten
• SmartCards und Schlüsselablage
• Sperrung und Erneuerung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Kryptografische Parameter werden mit den geltenden Systemvorgaben abgeglichen.
2. Schritt 2: Vertrauensanker und Zertifizierungsketten werden auf notwendige Stellen begrenzt.
3. Schritt 3: Private Schlüssel und SmartCards werden vor Export und unkontrolliertem Zugriff geschützt.
4. Schritt 4: Ablauf, Erneuerung, Verlust und Kompromittierung werden mit getesteten Prozessen versehen.

Kapitel 5: Managementhärtung und administrative Kontrolle

Inhaltsverzeichnis des Kapitels

• Rollen und minimale Rechte
• Datenbank- und Systemkonten
• Änderungsfreigabe
• Backup Management

Schritt-für-Schritt-Anleitung

1. Schritt 1: Administrative Rollen werden getrennt und personalisiert zugewiesen.
2. Schritt 2: Dienst- und Datenbankkonten erhalten minimale Rechte und geregelte Kennwort- oder Schlüsselpflege.
3. Schritt 3: Sicherheitsrelevante Änderungen werden mit Prüfung, Freigabe und Rückfallplan umgesetzt.
4. Schritt 4: Backup- und Notfallzugänge werden geschützt, regelmäßig geprüft und nachvollziehbar genutzt.

Kapitel 6: Logging, Monitoring und Nachweisführung

Inhaltsverzeichnis des Kapitels

• Audit-Logs
• Syslog und zentrale Sammlung
• Zeitbasis und Integrität
• Regelmäßige Kontrollen

Schritt-für-Schritt-Anleitung

1. Schritt 1: Relevante Ereignisse für Authentisierung, Konfiguration, Integrität und Netzwerk werden festgelegt.
2. Schritt 2: Protokolle werden zentral, zugriffsgeschützt und vollständig gesammelt.
3. Schritt 3: Zeitbasis, Transport und Aufbewahrung werden regelmäßig kontrolliert.
4. Schritt 4: Kontrollberichte benennen geprüften Umfang, Ergebnis, Abweichung und Korrekturstatus.

Kapitel 7: Patch-, Schwachstellen- und Änderungsprozess

Inhaltsverzeichnis des Kapitels

• Informationsbewertung
• Labor und Pilot
• Wartungsfenster
• Rückfall und Abschlussprüfung

Schritt-für-Schritt-Anleitung

1. Schritt 1: Neue Versionen und Sicherheitsinformationen werden auf Betroffenheit bewertet.
2. Schritt 2: Änderungen werden in Labor und Pilot mit Sicherheits- und Funktionstests geprüft.
3. Schritt 3: Produktivänderungen erfolgen in genehmigten Fenstern mit klaren Stopkriterien.
4. Schritt 4: Nach Umsetzung werden Version, Konfiguration, Protokollierung, Sicherung und Rückfallfähigkeit bestätigt.