Seminar NethSecurity – Intensivseminar Security, Filter und VPN

Das fünftägige Intensivseminar bündelt die sicherheitsorientierten Themen des Portfolios. Systemhärtung, Threat Shield, DNS- und Inhaltsfilter, Deep Packet Inspection, Snort IPS, Reverse Proxy, Zertifikate sowie OpenVPN, IPsec und WireGuard werden in einer abgestuften Schutzarchitektur praktisch umgesetzt.

Inhaltsverzeichnis

• Lernziele
• Zielgruppe
• Voraussetzungen
• Abgedeckte Themen
• Seminarinhalte
• Praxisübungen

Lernziele

• Ein belastbares Sicherheits- und Härtungskonzept entwickeln
• IP-, DNS-, Inhalts-, Anwendungs- und Angriffserkennung kombinieren
• Fehlalarme, Ausnahmen, Datenschutz und Leistungsbedarf beherrschen
• Webdienste über Reverse Proxy und Zertifikate kontrolliert veröffentlichen
• Fernzugänge und Standortkopplungen mit OpenVPN, IPsec und WireGuard absichern

Zielgruppe

• IT-Sicherheits- und Firewalladministration
• Security Operations und technische Incident Response
• Administratoren veröffentlichter Dienste und verteilter Standorte
• Verantwortliche für VPN-, Filter- und Härtungsstandards

Voraussetzungen

Gute Kenntnisse zu NethSecurity, TCP/IP, Routing, Firewall-Regeln, DNS und Zertifikaten. Für VPN-Übungen müssen mindestens zwei geeignete Testsysteme oder Gegenstellen vorhanden sein.

Abgedeckte Themen

• Deep Packet Inspection und Anwendungssteuerung
• Intrusion Prevention mit Snort
• OpenVPN für Remote Access und Standortkopplung
• Reverse Proxy und Zertifikatsmanagement
• Sicherheitskonzept und Systemhärtung
• Threat Shield, DNS-Filterung und Inhaltskontrolle
• VPN mit IPsec und WireGuard

Seminarinhalte

Schritt 1: Schutzbedarf und Bedrohungsmodell erstellen

Netze, Verwaltungszugänge, veröffentlichte Dienste, Nutzergruppen und entfernte Standorte werden bewertet. Externe Angriffe, kompromittierte Clients, Fehlkonfiguration und gestohlene Zugangsdaten werden priorisiert.

Schritt 2: Systemhärtung umsetzen

Managementzugriff, Konten, zweiter Faktor, Dienste, Zonen, Regeln, Updates, Sicherungen und Protokollierung werden nach minimaler Angriffsfläche ausgerichtet.

Schritt 3: Mehrschichtige Filterarchitektur planen

IP-Reputation, DNS-Filter, Inhaltskategorien, DPI und IPS werden nach Zweck, Datenbasis und Eingriffstiefe geordnet. Doppelte oder widersprüchliche Sperren werden vermieden.

Schritt 4: Threat Shield konfigurieren

IP- und DNS-basierte Schutzlisten werden zunächst beobachtend aktiviert. Netze, Richtungen, Gruppen und Ausnahmen werden klar abgegrenzt.

Schritt 5: Inhaltskontrolle und Richtlinien anwenden

Kategorien, Zeitsteuerung und gruppenspezifische Regeln werden umgesetzt. Positiv- und Negativtests prüfen Geschäftsziele, blockierte Inhalte und Umgehungsversuche.

Schritt 6: Deep Packet Inspection einsetzen

Anwendungen werden erkannt und in spezifische Regelkriterien überführt. Fehlklassifikationen und verschlüsselter Verkehr werden mit begrenzten Ausnahmen behandelt.

Schritt 7: Snort im IDS-Modus betreiben

Schutzbereiche und Regelkategorien werden ausgewählt. Kontrollierte Ereignisse erzeugen eine Ausgangsbasis für Alarmqualität und Ressourcenbedarf.

Schritt 8: IPS-Sperrwirkung kontrolliert aktivieren

Bewertete Signaturen werden blockierend geschaltet. Fehlalarme werden eng nach Signatur oder Datenstrom ausgenommen und regelmäßig überprüft.

Schritt 9: Reverse-Proxy-Veröffentlichung planen

Hostname, öffentliche Adresse, internes Ziel, erlaubte Methoden, Authentifizierung und Schutzmaßnahmen werden in einem Datenflussmodell dokumentiert.

Schritt 10: Zertifikate und TLS konfigurieren

Zertifikatskette, privater Schlüssel, Namen, Laufzeit und Erneuerung werden geprüft. Der Proxy wird mit sicheren TLS-Einstellungen und begrenzter Firewallfreigabe bereitgestellt.

Schritt 11: OpenVPN Remote Access umsetzen

Tunnelnetz, Benutzeridentität, Zertifikate, DNS und erreichbare Zielnetze werden eingerichtet. Clientprofile werden personenbezogen verteilt und mit Negativtests geprüft.

Schritt 12: OpenVPN-Standortkopplung aufbauen

Lokale und entfernte Netze, Routen, Rückwege und Firewall-Regeln werden abgestimmt. Netzüberlappungen werden vor Inbetriebnahme ausgeschlossen.

Schritt 13: IPsec-Tunnel konfigurieren

IKE- und IPsec-Parameter, Authentifizierung, Lebensdauer und Verkehrsselektoren werden auf beiden Seiten konsistent umgesetzt. Aufbau- und Datenphase werden getrennt analysiert.

Schritt 14: WireGuard-Peers einrichten

Eigene Schlüssel je Peer, erlaubte Netze, Endpunkte, Keepalive und Routen werden konfiguriert. Private Schlüssel bleiben ausschließlich auf dem jeweiligen System.

Schritt 15: VPN-Fehler und MTU-Probleme diagnostizieren

Öffentliche Erreichbarkeit, Authentifizierung, Handshake, Route, NAT, Firewall und Paketgröße werden in fester Reihenfolge untersucht. Gegenstellenprotokolle werden zeitlich abgeglichen.

Schritt 16: Schlüsselwechsel und Widerruf üben

Verlorene Geräte, kompromittierte Schlüssel und reguläre Erneuerung werden ohne unnötige Unterbrechung anderer Verbindungen durchgeführt.

Schritt 17: Sicherheitsbetrieb und Rezertifizierung organisieren

Alarme, Filterausnahmen, Zertifikate, VPN-Zugänge, Regeln und Härtungszustand werden regelmäßig geprüft. Nicht mehr bestätigte Ausnahmen und Zugänge werden entfernt.

Praxisübungen

• Härtungsprüfung und Reduktion der Angriffsfläche
• Aufbau einer abgestuften IP-, DNS-, DPI- und IPS-Schutzkette
• Veröffentlichung eines Testwebdiensts mit Reverse Proxy und Zertifikat
• Einrichtung von OpenVPN, IPsec und WireGuard in mehreren Szenarien
• Fehleranalyse, Schlüsselwechsel und abschließende Sicherheitsabnahme