Seminar Quobyte Datensicherheit und Mandantenfähigkeit

Die Sicherheitsfunktionen werden zu einem mehrschichtigen Schutzmodell verbunden. Identitäten, Zertifikate, Zugriffsschlüssel, einheitliche ACLs, Verschlüsselung, Mandanten, Hardwareisolation, Quoten und manipulationsresistente Aufbewahrung werden gemeinsam betrachtet.

Inhaltsverzeichnis

• Bedrohungsmodell und Schutzschichten
• LDAP, Zertifikate und Zugangsschlüssel
• Einheitliche ACLs
• TLS und Ende-zu-Ende-Verschlüsselung
• Mandanten, Quoten und Self-Service
• Pools und Hardwareisolation
• Unveränderlichkeit, Ablauf und Ransomware-Schutz
• Audit, Härtung und Sicherheitsbetrieb

Zielsetzung

Sicherheitsanforderungen sollen in überprüfbare technische Kontrollen überführt werden, die mehrere Teams oder Kunden auf einer gemeinsamen Plattform zuverlässig voneinander trennen.

Zielgruppe

Storage- und Security-Administration, Plattformbetrieb, Compliance-nahe Technikteams, Kubernetes-Administration und Architektur.

Voraussetzungen

Quobyte- und Linux-Grundlagen sowie Erfahrung mit Dateirechten, Netzwerksegmentierung und zentralen Identitätsdiensten.

Seminarinhalte

1. Bedrohungsmodell und Schutzschichten

1. Schutzbedarf und Angreifermodelle je Datenklasse festlegen.
2. Präventive, detektive und wiederherstellende Kontrollen zuordnen.
3. Verantwortlichkeiten zwischen Storage-, Plattform- und Security-Team klären.

2. LDAP, Zertifikate und Zugangsschlüssel

1. UID/GID-Abbildung und Gruppenmitgliedschaften prüfen.
2. X.509-Zertifikate ausstellen, verteilen und rotieren.
3. Access Keys mit minimalen Rechten und begrenzter Laufzeit verwenden.

3. Einheitliche ACLs

1. POSIX-, NFSv4- und Windows-Berechtigungen vergleichen.
2. Vererbung und Übersetzung mit Testkonten prüfen.
3. Konflikte zwischen Modusbits, ACLs und Gruppenmitgliedschaften auflösen.

4. TLS und Ende-zu-Ende-Verschlüsselung

1. Selektives oder globales TLS nach Netzsegment planen.
2. Schlüsselverwaltung und AES-Verschlüsselung festlegen.
3. Leistungs- und Wiederherstellungsfolgen vor Aktivierung messen.

5. Mandanten, Quoten und Self-Service

1. Mandanten und Volumes nach Verantwortung strukturieren.
2. Self-Service-Funktionen mit Rollen und Freigabegrenzen versehen.
3. Kapazitäts- und Rechteüberschreitungen automatisiert melden.

6. Pools und Hardwareisolation

1. Sensible Daten physischen Mediengruppen zuordnen.
2. Mandanten- oder Volumenzuordnung per Policy erzwingen.
3. Abweichungen zwischen gewünschter und tatsächlicher Platzierung überwachen.

7. Unveränderlichkeit, Ablauf und Ransomware-Schutz

1. Aufbewahrungs- und Löschregeln je Datenklasse definieren.
2. Unveränderliche Dateien und Objekt-Löschsperren kontrolliert einsetzen.
3. Ausnahmen und Wiederherstellung mit Vier-Augen-Prinzip gestalten.

8. Audit, Härtung und Sicherheitsbetrieb

1. Administrative Aktionen und Zugriffsereignisse zentral erfassen.
2. Härtungschecklisten für Dienste, Clients und Netzwerke anwenden.
3. Sicherheitsvorfälle mit Sperrung, Beweissicherung und Wiederanlauf üben.

Praxisaufgaben

• Ein Mandantenmodell mit Quoten und Hardwareisolation entwerfen.
• Zertifikats- und Schlüsselrotation als Betriebsablauf planen.
• ACL-Übersetzung für Linux-, NFS- und Windows-Zugriffe testen.
• Eine Aufbewahrungspolicy gegen unbeabsichtigtes Löschen erstellen.

Arbeitsweise

Fachliche Einordnung, Demonstrationen und geführte Schritt-für-Schritt-Übungen wechseln sich ab. Konfigurationen, Messwerte und Fehlerbilder werden direkt am Laborsystem geprüft und in wiederverwendbare Checklisten oder Runbooks überführt.