Seminar Security Onion Architektur und Deployment

Dieses Seminar vermittelt die architektonische Grundlage für Security Onion. Behandelt werden Einzelinstallationen, Import-Umgebungen, verteilte Grids, Sensorplatzierung, Datenwege, Suchknoten und die betrieblichen Auswirkungen von Designentscheidungen. Die traditionelle Regel gilt auch hier: Eine saubere Architektur erspart später viel tapferes Herumdoktern.

Inhaltsübersicht

• Installations- und Deployment-Varianten
• Manager, Sensoren, Suchknoten und Datenpfade
• Netzwerkdesign für Management, Monitoring und Logannahme
• Sizing, Speicher, Aufbewahrung und Sensorabdeckung
• Übergang von Labor, Import-Szenario und Produktivbetrieb

Ziele

Nach dem Seminar kann eine Security-Onion-Architektur fachlich bewertet, für typische Unternehmensgrößen geplant und als belastbare Grundlage für Installation, Betrieb und Erweiterung dokumentiert werden.

Zielgruppe

Das Seminar richtet sich an IT-Architekten, Administratoren und SOC-Engineers, die eine Security-Onion-Umgebung planen, installieren oder als technische Plattform für ein SOC bereitstellen.

Seminarinhalte

1. Einsatzszenario bestimmen

1. Schutzziele, Datenquellen und Sichtbarkeitsanforderungen erfassen.
2. Import-, Standalone- und verteilte Szenarien gegeneinander abgrenzen.
3. Entscheidungskriterien für Labor, Pilot und Produktivbetrieb formulieren.

2. Komponentenmodell verstehen

1. Manager-, Sensor-, Such- und Receiver-Rollen funktional einordnen.
2. Datenpfade von Netzwerkereignissen, Hostdaten und Logs nachvollziehen.
3. Abhängigkeiten zwischen Suche, Speicherung, Sensorik und Analysewerkzeugen beschreiben.

3. Netzwerkdesign planen

1. Managementschnittstellen, Monitoringschnittstellen und Logannahme trennen.
2. SPAN, TAP, virtuelle Portgruppen und Firewall-Regeln sauber einordnen.
3. Zeit, Namensauflösung und Adressierung als Basisdienste absichern.

4. Ressourcen und Aufbewahrung kalkulieren

1. Datendurchsatz, Eventvolumen und Speicherbedarf grob dimensionieren.
2. Aufbewahrungsziele mit Hardwaregrenzen und Suchleistung abstimmen.
3. Engpässe bereits in der Planungsphase sichtbar machen.

5. Deployment vorbereiten

1. Installationsparameter und Netzwerkinformationen in einer Checkliste sammeln.
2. Pilotinstallation mit Importdaten oder Testdaten vorbereiten.
3. Abnahmekriterien für Sensorfunktion, Suche und SOC-Zugriff festlegen.

Praxisübungen

• Zielarchitektur für ein kleines SOC skizzieren
• Sensorplatzierung für Nord-Süd- und Ost-West-Traffic planen
• Installationscheckliste für Manager und Sensor erstellen
• Aufbewahrung und Speicherbedarf grob berechnen
• Deployment-Risiken in einer Betriebsfreigabe dokumentieren

Voraussetzungen

Vorausgesetzt werden grundlegende Linux-Kenntnisse, Verständnis für VLANs, Routing, SPAN/TAP-Konzepte, DNS, NTP und virtuelle Maschinen. Praktische Erfahrung mit Firewall- oder Sensorumgebungen ist hilfreich.