Seminar ocserv / OpenConnect – Sicherheits-Hardening und Angriffsschutz

Ein Internetdienst wird nicht durch eine einzelne Option gehärtet. Wirksamer Schutz entsteht aus reduziertem Angriffsraum, starker Identität, begrenzten Rechten, Segmentierung, Ressourcenlimits, Überwachung und getesteten Reaktionen.

Inhaltsverzeichnis

• Seminarprofil
• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Qualitäts- und Abnahmekriterien
• Einordnung in das Gesamtprogramm

Seminarprofil

ocserv härten: Bedrohungsmodell, TLS, Systemdienst, Rechte, Firewall, starke Anmeldung, Segmentierung, Limits, Bans, Secrets und Audit. Die festgelegte Dauer ist fachlich begründet: Drei Tage sind angemessen, weil System-, Netzwerk-, TLS-, Identitäts-, Ressourcen- und Auditmaßnahmen konfiguriert und durch Negativtests geprüft werden.

Lernziele

• Bedrohungen und Angriffsflächen erfassen.
• System, TLS und Netzwerk härten.
• Starke Authentifizierung und Segmentierung umsetzen.
• Limits und Sperren konfigurieren.
• Audit und Negativtests etablieren.

Zielgruppe

Security Engineering, Linux- und Netzwerkadministration, SOC, Plattformbetrieb, technische Revision und Sicherheitsarchitektur.

Voraussetzungen

Gute Linux-, Netzwerk-, TLS-, Firewall- und ocserv-Kenntnisse.

Seminarinhalte

Schritt 1: Bedrohungsmodell

Externe Angreifer, kompromittierte Konten, verlorene Geräte, bösartige Clients, Fehlkonfigurationen, Abhängigkeiten und Missbrauch legitimer Zugänge werden priorisiert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Bedrohungsmodell
• Konfiguration und kontrollierte Umsetzung von Bedrohungsmodell
• Funktions-, Sicherheits- und Fehlerprüfung für Bedrohungsmodell
• Betriebscheckliste, Abnahme und Rückfallweg für Bedrohungsmodell

Schritt 2: Exposition und Updates

Nur erforderliche Ports, Pakete, Dienste und Administrationswege bleiben aktiv; Paketquellen, Inventar, Patchfristen und Notfallupdates werden geregelt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Exposition und Updates
• Konfiguration und kontrollierte Umsetzung von Exposition und Updates
• Funktions-, Sicherheits- und Fehlerprüfung für Exposition und Updates
• Betriebscheckliste, Abnahme und Rückfallweg für Exposition und Updates

Schritt 3: TLS und Serveridentität

Zertifikatskette, Namen, Schlüssel, Protokollversionen, Kryptografie, Clientprüfung, Rotation und Widerruf werden gehärtet. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für TLS und Serveridentität
• Konfiguration und kontrollierte Umsetzung von TLS und Serveridentität
• Funktions-, Sicherheits- und Fehlerprüfung für TLS und Serveridentität
• Betriebscheckliste, Abnahme und Rückfallweg für TLS und Serveridentität

Schritt 4: Prozess- und Systemdienstschutz

Privilegtrennung, eingeschränkte Systemaufrufe, Dienstkonto, Dateirechte, Schreibpfade, Ressourcenlimits und restriktive Serviceparameter werden geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Prozess- und Systemdienstschutz
• Konfiguration und kontrollierte Umsetzung von Prozess- und Systemdienstschutz
• Funktions-, Sicherheits- und Fehlerprüfung für Prozess- und Systemdienstschutz
• Betriebscheckliste, Abnahme und Rückfallweg für Prozess- und Systemdienstschutz

Schritt 5: Firewall und Segmentierung

Default-Deny, Eingang für TLS/DTLS, gruppenbezogenes Forwarding, Clientisolation, Quellpools sowie getrennte Management- und Produktionsnetze werden umgesetzt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Firewall und Segmentierung
• Konfiguration und kontrollierte Umsetzung von Firewall und Segmentierung
• Funktions-, Sicherheits- und Fehlerprüfung für Firewall und Segmentierung
• Betriebscheckliste, Abnahme und Rückfallweg für Firewall und Segmentierung

Schritt 6: Starke Identität

Zertifikat, Token, zentrale Anmeldung, Faktorverknüpfung, Kontosperre, Verlustfall und streng befristeter Break-Glass-Zugang werden gegen Umgehung geprüft. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Starke Identität
• Konfiguration und kontrollierte Umsetzung von Starke Identität
• Funktions-, Sicherheits- und Fehlerprüfung für Starke Identität
• Betriebscheckliste, Abnahme und Rückfallweg für Starke Identität

Schritt 7: Sitzungs- und Anmeldegrenzen

Maximale Clients, Sitzungen, Idle-Zeit, Bandbreite, Rate Limits, Bans, Fehlalarme und legitime Spitzen werden abgestimmt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Sitzungs- und Anmeldegrenzen
• Konfiguration und kontrollierte Umsetzung von Sitzungs- und Anmeldegrenzen
• Funktions-, Sicherheits- und Fehlerprüfung für Sitzungs- und Anmeldegrenzen
• Betriebscheckliste, Abnahme und Rückfallweg für Sitzungs- und Anmeldegrenzen

Schritt 8: Secrets und Backups

RADIUS-, OIDC- und Tokengeheimnisse, private Schlüssel, Konfigurationen und Sicherungen werden getrennt, rotationsfähig und ohne Offenlegung in Logs geschützt. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Secrets und Backups
• Konfiguration und kontrollierte Umsetzung von Secrets und Backups
• Funktions-, Sicherheits- und Fehlerprüfung für Secrets und Backups
• Betriebscheckliste, Abnahme und Rückfallweg für Secrets und Backups

Schritt 9: Logging und Audit

Anmeldeversuche, administrative Eingriffe, Änderungen, Sperren und ungewöhnliche Sitzungen werden zentral, zeitkonsistent, zugriffsgeschützt und manipulationsarm protokolliert. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Logging und Audit
• Konfiguration und kontrollierte Umsetzung von Logging und Audit
• Funktions-, Sicherheits- und Fehlerprüfung für Logging und Audit
• Betriebscheckliste, Abnahme und Rückfallweg für Logging und Audit

Schritt 10: Negative Sicherheitstests

Falsches Zertifikat, gesperrter Benutzer, fremde Gruppe, verbotene Route, Anmeldeflut und Identitätsausfall müssen kontrolliert scheitern; danach wird der sichere Normalbetrieb nachgewiesen. Zunächst werden Ausgangslage, Abhängigkeiten und Sicherheitsanforderungen erfasst. Danach folgt die schrittweise Umsetzung in einer Laborumgebung. Der technische Zustand wird mit positiven und negativen Prüfungen verifiziert. Abschließend werden Betriebswerte, Rückfallweg und notwendige Dokumentation festgehalten.

• Planung und Voraussetzungen für Negative Sicherheitstests
• Konfiguration und kontrollierte Umsetzung von Negative Sicherheitstests
• Funktions-, Sicherheits- und Fehlerprüfung für Negative Sicherheitstests
• Betriebscheckliste, Abnahme und Rückfallweg für Negative Sicherheitstests

Praxisübungen

1. Bedrohungsmodell anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
2. Exposition und Updates anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
3. TLS und Serveridentität anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
4. Prozess- und Systemdienstschutz anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
5. Firewall und Segmentierung anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.
6. Starke Identität anhand eines vorbereiteten Szenarios planen, umsetzen und technisch prüfen.

Qualitäts- und Abnahmekriterien

• Jede Konfigurationsänderung besitzt einen dokumentierten Ausgangszustand und einen Rückfallpunkt.
• Erlaubte Funktionen werden positiv, verbotene oder fehlerhafte Zustände ausdrücklich negativ getestet.
• Client-, Server-, Netzwerk- und Identitätssicht werden zeitlich korreliert.
• Geheimnisse, Schlüssel und personenbezogene Sitzungsdaten bleiben geschützt.
• Die Laborergebnisse werden in eine wiederholbare Betriebs- oder Projektcheckliste überführt.

Einordnung in das Gesamtprogramm

Der Kurs baut auf Installation, Authentifizierung, Netzwerkdesign und PKI auf. Monitoring und Betrieb sichern die Maßnahmen dauerhaft ab.