Seminar Postfix Sicherheitshärtung und Abuse-Prävention

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Systematische Härtung von Postfix mit Bedrohungsmodell, minimalen Diensten, Relay- und Empfängerregeln, Rate Limits, Secret-Schutz, Audit und Reaktion auf kompromittierte Konten.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, Linux- und Security-Administratoren sowie Incident-Response-Teams

Voraussetzungen

Gute Postfix-, Linux-, SMTP- und Security-Grundkenntnisse

Seminarziele

• Schutzgüter, Vertrauenszonen, legitime Mailwege und Angreifermodelle erfassen.
• Dateirechte, Besitzer, Secrets und private Schlüssel kontrollieren.
• smtpd_relay_restrictions für eine eindeutige und frühe Relay-Entscheidung konfigurieren.
• Verbindungs-, Nachrichten- und Empfängerraten mit realistischen Grenzwerten begrenzen.
• SASL-Passwörter, Datenbankzugänge und Zertifikatsschlüssel inventarisieren.
• Kompromittiertes Konto durch Sperre, Queue-Analyse und Secret-Wechsel eindämmen.

Seminarinhalte

Tag 1: Bedrohungsmodell und Systemhärtung

1. Schritt 1: Schutzgüter, Vertrauenszonen, legitime Mailwege und Angreifermodelle erfassen.
2. Schritt 2: Öffentliche Annahme, Submission, interne Relays und Verwaltung klar trennen.
3. Schritt 3: Nicht benötigte Listener, Protokolle und master.cf-Dienste deaktivieren.
4. Schritt 4: Dateirechte, Besitzer, Secrets und private Schlüssel kontrollieren.
5. Schritt 5: Chroot- und Privilegientrennung der Postfix-Prozesse prüfen.
6. Schritt 6: Firewall, lokale Bindings und Netzwerkpfade minimal begrenzen.
7. Schritt 7: Patchstand, compatibility_level und sichere Änderungen in die Baseline aufnehmen.

Tag 2: SMTP-Schutz und Abuse-Begrenzung

1. Schritt 1: smtpd_relay_restrictions für eine eindeutige und frühe Relay-Entscheidung konfigurieren.
2. Schritt 2: Client-, HELO-, Sender- und Empfängerprüfungen sinnvoll anordnen.
3. Schritt 3: Unbekannte Empfänger während der Sitzung ablehnen und Backscatter verhindern.
4. Schritt 4: Verbindungs-, Nachrichten- und Empfängerraten mit realistischen Grenzwerten begrenzen.
5. Schritt 5: Fehlerhafte Pipelines, ungewöhnliche Befehle und Übergrößen kontrollieren.
6. Schritt 6: Authentifizierte Einlieferung getrennt behandeln und Massenversand überwachen.
7. Schritt 7: False Positives über gestufte Einführung und befristete Ausnahmen kontrollieren.

Tag 3: Audit, Secrets und Missbrauchsreaktion

1. Schritt 1: SASL-Passwörter, Datenbankzugänge und Zertifikatsschlüssel inventarisieren.
2. Schritt 2: Änderungen mit Versionierung, Freigabe, Syntaxprüfung und Rollback nachvollziehbar machen.
3. Schritt 3: Anmeldefehler, Versandraten, neue Absender und Zielmuster überwachen.
4. Schritt 4: Kompromittiertes Konto durch Sperre, Queue-Analyse und Secret-Wechsel eindämmen.
5. Schritt 5: Missbräuchliche Nachrichten in aktiver und verzögerter Queue identifizieren.
6. Schritt 6: Zeitlinie, Beweissicherung, Kommunikation und Wiederfreigabe im Runbook festlegen.
7. Schritt 7: Härtungsstand mit wiederholbarer Prüfliste und Negativtests abnehmen.

Praxisübungen

• Laboraufgabe zu Bedrohungsmodell und Systemhärtung: Patchstand, compatibility_level und sichere Änderungen in die Baseline aufnehmen.
• Laboraufgabe zu SMTP-Schutz und Abuse-Begrenzung: False Positives über gestufte Einführung und befristete Ausnahmen kontrollieren.
• Laboraufgabe zu Audit, Secrets und Missbrauchsreaktion: Härtungsstand mit wiederholbarer Prüfliste und Negativtests abnehmen.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.