Seminar reNgine Administration, Rollen und Berechtigungen

Inhaltsverzeichnis

1. Einordnung und Nutzen
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Qualität und verantwortungsvoller Einsatz

Einordnung und Nutzen

Eine Reconnaissance-Plattform verarbeitet sensible Ziel-, Infrastruktur- und Befunddaten. Dieses Seminar ordnet die administrativen Funktionen in ein belastbares Betriebsmodell ein. Im Mittelpunkt stehen klar getrennte Verantwortlichkeiten, projektbezogene Zugriffe, nachvollziehbare Änderungen und ein konsequentes Minimalprinzip. Die Übungen bilden typische Situationen wie Onboarding, Rollenwechsel, temporäre Projektarbeit und Offboarding ab.

Das Thema wird in einem eigenständigen Arbeitsablauf behandelt. Begriffe, Konfiguration, Prüfschritte und Dokumentation werden so verbunden, dass der Ablauf nach dem Seminar in einer freigegebenen Umgebung reproduzierbar umgesetzt werden kann.

Zielgruppe und Voraussetzungen

Zielgruppe: Systemadministration, Security Operations, Teamleitungen, Plattformverantwortliche, Auditoren und technische Projektleitungen.

Voraussetzungen: Grundverständnis von Benutzerkonten, Rollenmodellen und autorisierten Security-Tests; praktische reNgine-Erfahrung ist nicht erforderlich.

Lernziele

• Rollen und Verantwortlichkeiten für Betrieb, Analyse und Prüfung sauber trennen.
• Benutzerkonten und Projektzugriffe nach dem Minimalprinzip einrichten.
• Administrative Änderungen nachvollziehbar dokumentieren und regelmäßig überprüfen.
• Zugangsdaten, API-Schlüssel und integrationsbezogene Rechte kontrolliert verwalten.
• Ein standardisiertes Verfahren für Onboarding, Rollenwechsel und Offboarding umsetzen.

Seminarinhalte

Schritt 1: Betriebs- und Verantwortungsmodell festlegen

Zunächst werden Plattformbetrieb, fachliche Scanverantwortung, Befundprüfung und Audit voneinander abgegrenzt. Für jede Rolle werden erlaubte Tätigkeiten, Freigaben und Eskalationswege definiert. Daraus entsteht eine Rollenmatrix, die technische Rechte und organisatorische Verantwortung verbindet.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 2: Benutzerbestand aufnehmen

Bestehende Konten werden nach Zweck, Eigentümerschaft, letzter Nutzung und Projektzuordnung inventarisiert. Nicht zuordenbare oder veraltete Konten werden markiert. Ein Sollbestand mit eindeutiger verantwortlicher Stelle bildet die Grundlage für die anschließende Bereinigung.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 3: Rollen zielgerichtet zuweisen

Die verfügbaren Rollen werden anhand realer Aufgabenprofile bewertet. Rechte werden nicht pauschal, sondern entlang konkreter Tätigkeiten vergeben. An Beispielen wird geprüft, welche Aktionen Administration, operative Tests und reine Einsicht jeweils benötigen.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 4: Projektgrenzen und Zugriffsräume konfigurieren

Projekte werden als organisatorische Sicherheitsgrenzen genutzt. Zielbestände, Ergebnisse und Arbeitsaufträge werden nur den notwendigen Personengruppen zugänglich gemacht. Querschnittszugriffe erhalten eine dokumentierte Begründung und ein Ablaufdatum.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 5: Schlüssel und Integrationsrechte absichern

API-Zugänge, Benachrichtigungskanäle und externe Werkzeuge werden nach Eigentümerschaft und Verwendungszweck geordnet. Vergabe, Speicherung, Rotation und Entzug werden in einen einheitlichen Kontrollprozess überführt.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 6: Administrative Änderungen prüfen

Für kritische Änderungen werden Vier-Augen-Prinzip, Änderungsprotokoll und regelmäßige Rezertifizierung kombiniert. Kontrollfragen helfen dabei, überprivilegierte Konten, verwaiste Projekte und dauerhaft offene Ausnahmen zu erkennen.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Schritt 7: Onboarding und Offboarding standardisieren

Ein vollständiger Ablauf vom Antrag bis zur Deaktivierung wird aufgebaut. Enthalten sind Identitätsprüfung, Rollenzuweisung, Projektfreigabe, Einweisung, periodische Bestätigung und abschließender Entzug aller Zugänge.

Arbeitsweise: Der Schritt wird in der Laborumgebung vorbereitet, ausgeführt, mit festgelegten Prüfkriterien kontrolliert und im gemeinsamen Arbeitsstand dokumentiert.

Praxisübungen

1. Eine Rollenmatrix für Administration, operative Tests, Audit und Projektverantwortung erstellen.
2. Ein neues Teammitglied mit minimalen Projekt- und Funktionsrechten einrichten.
3. Einen Rollenwechsel mit dokumentierter Genehmigung und anschließender Rechteprüfung durchführen.
4. Ein Offboarding einschließlich Schlüsselrotation und Kontrolle verbliebener Zugriffe abarbeiten.

Qualität und verantwortungsvoller Einsatz

Administrative Übungen erfolgen ausschließlich in einer isolierten Schulungsumgebung. Für produktive Umgebungen werden Freigabe, Protokollierung, regelmäßige Rezertifizierung und die Trennung personenbezogener Konten von technischen Integrationskonten vorausgesetzt. Jede Ausnahme erhält Zweck, verantwortliche Stelle und Ablaufdatum.

Für jeden Arbeitsauftrag werden Autorisierung, Scope, verantwortliche Stelle, zulässige Methoden, Lastgrenzen und Abbruchmöglichkeit vor Beginn geprüft. Ergebnisse bleiben bis zur technischen Bestätigung als Beobachtung oder Hypothese gekennzeichnet.