Seminar Velociraptor – Security, Rollen, ACLs und Systemhärtung

Beschreibung

Das Seminar behandelt die Absicherung einer Velociraptor-Umgebung nach dem Prinzip minimaler Rechte. Benutzer, Rollen, ACLs, Organisationsgrenzen, privilegierte Aktionen, TLS, Zertifikate, Geheimnisse, Auditierung und wiederkehrende Sicherheitskontrollen werden praktisch umgesetzt.

Inhaltsverzeichnis

1. Beschreibung
2. Lernziele
3. Zielgruppe
4. Voraussetzungen
5. Themen und Lernschritte
6. Praktische Übungen
7. Einordnung in den Lernpfad

Lernziele

Nach dem Seminar können Berechtigungsmodelle entworfen, technische und organisatorische Kontrollen eingerichtet, Fehlkonfigurationen erkannt und privilegierte Funktionen mit nachvollziehbaren Freigabe- und Prüfverfahren abgesichert werden.

Zielgruppe

Security-Administratoren, Plattformteams, SOC-Leitung, Auditoren, Enterprise-Architekten und technische Verantwortliche.

Voraussetzungen

Velociraptor-Administrationskenntnisse, Grundwissen zu IAM, TLS und sicheren Betriebsprozessen.

Themen und Lernschritte

Tag 1: Schutzbedarf und Berechtigungsmodell

1. Schritt 1: Schutzbedarf von Endpunktdaten, Sammlungen, Artefakten und administrativen Funktionen bewerten.
2. Schritt 2: Rollen nach Aufgaben, Trennung von Pflichten und minimalen Rechten definieren.
3. Schritt 3: Benutzer, Gruppen, ACLs und Organisationsgrenzen technisch abbilden.
4. Schritt 4: Positive und negative Berechtigungstests für GUI, Collections, Hunts und Administration durchführen.
5. Schritt 5: Freigabe- und Eskalationswege für privilegierte Maßnahmen festlegen.

Tag 2: Härtung von Kommunikation und Betrieb

1. Schritt 1: TLS-Vertrauen, Zertifikatslebenszyklus und Schlüsselablage überprüfen.
2. Schritt 2: Administrative Zugänge, Netzwerkpfade und exponierte Dienste begrenzen.
3. Schritt 3: Geheimnisse, API-Zugangsdaten und Servicekontexte sicher verwalten.
4. Schritt 4: Konfiguration, Dateiberechtigungen und Betriebsbenutzer gegen Fehlgebrauch härten.
5. Schritt 5: Audit- und Sicherheitsprotokolle mit Aufbewahrung und Zugriffsschutz einrichten.

Tag 3: Kontrolle, Missbrauchstests und Sicherheitsbetrieb

1. Schritt 1: Fehlkonfigurationen und überprivilegierte Rollen mit Prüfkatalog erkennen.
2. Schritt 2: Missbrauchsszenarien für Hunt, Artefakt, API und Remediation kontrolliert testen.
3. Schritt 3: Rezertifizierung von Benutzern, Rollen und technischen Zugängen planen.
4. Schritt 4: Schlüsselwechsel, Zertifikatserneuerung und Notfallsperre praktisch vorbereiten.
5. Schritt 5: Sicherheitsrunbook mit Alarmierung, Beweissicherung, Eindämmung und Nachkontrolle erstellen.

Praktische Übungen

1. Ein Rollen- und ACL-Modell für Analysten, Hunter, Administratoren und Auditoren umsetzen.
2. Negativtests für unzulässige Collections, Hunts und administrative Aktionen durchführen.
3. TLS-, Schlüssel- und Dateiberechtigungen anhand einer Härtungscheckliste prüfen.
4. Ein Verfahren für Rezertifizierung, Schlüsselwechsel und Notfallsperre erstellen.

Einordnung in den Lernpfad

Empfohlen nach „Administration, Betrieb, Backup und Troubleshooting“. Für große Organisationsmodelle folgt „Enterprise-Architektur, Skalierung und Mandantenfähigkeit“.