Seminar Silverpeas Sicherheit – Authentifizierung, LDAP, Berechtigungen und Härtung

Sicherheit wird als durchgängige Kette aus Identität, Berechtigung, Infrastruktur, Datenhaltung, Protokollierung und Betriebsprozess behandelt. Jede Schutzmaßnahme wird mit einem positiven und einem negativen Prüffall verbunden.

Inhaltsübersicht

1. Lernziele und Arbeitsrahmen
2. Schutzbedarf und Bedrohungsmodell
3. LDAP und Identitätssynchronisation
4. Authentisierung und SSO
5. Rollen, Rechte und Rezertifizierung
6. Infrastruktur- und Anwendungshärtung
7. Geheimnisse, Daten und Datenschutz
8. Protokollierung, Updates und Incident-Test
9. Didaktik und Arbeitsweise

Lernziele und Arbeitsrahmen

• Identitätsquellen und LDAP-Synchronisation sicher konfigurieren.
• Authentisierungs- und SSO-Flüsse nachvollziehbar testen.
• Rollen und Berechtigungen nach dem Minimalprinzip modellieren.
• Proxy, TLS, Systemkonten, Dateirechte und Geheimnisse härten.
• Sicherheitsrelevante Protokolle und Kontrollen etablieren.
• Sicherheitsvorfälle und Wiederherstellung strukturiert bearbeiten.

Zielgruppe: Informationssicherheit, Plattform- und IAM-Administration, Applikationsbetrieb, Datenschutzkoordination, Security Engineering und technische Revision.

Voraussetzungen: Kenntnisse von LDAP, rollenbasierter Zugriffskontrolle, TLS, Reverse Proxy und grundlegender Linux-Administration.

1. Schutzbedarf und Bedrohungsmodell

Schutzmaßnahmen werden aus Datenarten, Nutzergruppen, Integrationen und realistischen Missbrauchsszenarien abgeleitet.

Schritt-für-Schritt-Vorgehen

1. Schützenswerte Inhalte, Identitäten, Dokumente und Administrationsfunktionen erfassen.
2. Externe Zugänge, Integrationen und privilegierte Rollen markieren.
3. Bedrohungen nach Identitätsmissbrauch, Rechteausweitung, Datenabfluss und Ausfall strukturieren.
4. Schutzmaßnahmen und Prüfnachweise nach Risiko priorisieren.

Praxisauftrag

Für eine Beispielplattform wird ein kompaktes Bedrohungsmodell mit priorisierten Kontrollen erstellt.

2. LDAP und Identitätssynchronisation

Verzeichnisanbindung wird mit minimalem Bind-Konto, klarer Suchbasis und kontrolliertem Attributmapping umgesetzt.

Schritt-für-Schritt-Vorgehen

1. Verbindung, Verschlüsselung, Bind-Konto und Suchbasis festlegen.
2. Benutzer- und Gruppenfilter auf erforderliche Objekte begrenzen.
3. Attribute, eindeutige Schlüssel und Statuswerte zuordnen.
4. Neuanlage, Änderung, Deaktivierung und Fehlerfälle mit Testobjekten prüfen.

Praxisauftrag

Eine LDAP-Konfiguration wird eingerichtet und gegen fehlerhafte Filter sowie Attributzuordnungen getestet.

3. Authentisierung und SSO

Der Anmeldepfad wird von Browser und Proxy bis zu Identity Provider und Silverpeas nachvollzogen.

Schritt-für-Schritt-Vorgehen

1. Anmeldeverfahren und Vertrauensgrenzen dokumentieren.
2. SSO-Konfiguration, Weiterleitungen und Sitzungsparameter prüfen.
3. Normale Anmeldung, abgelaufene Sitzung und verweigerten Zugriff testen.
4. Fehlerbelege aus Browser, Proxy und Anwendung zeitlich korrelieren.

Praxisauftrag

Ein absichtlich gestörter SSO-Pfad wird diagnostiziert und mit einer kontrollierten Rückfalloption versehen.

4. Rollen, Rechte und Rezertifizierung

Berechtigungen werden aus fachlichen Aufgabenprofilen abgeleitet und regelmäßig überprüft.

Schritt-für-Schritt-Vorgehen

1. Rollen für Lesen, Beitragen, Freigeben, Verwalten und Auditing definieren.
2. Gruppen statt Einzelkonten zuordnen und privilegierte Ausnahmen begrenzen.
3. Vererbung und tatsächlichen Zugriff mit Testkonten prüfen.
4. Rezertifizierung, Sonderrechte und Austrittskontrollen dokumentieren.

Praxisauftrag

Ein überprivilegiertes Rollenmodell wird auf Minimalrechte reduziert und durch Negativtests bestätigt.

5. Infrastruktur- und Anwendungshärtung

Der technische Angriffsraum wird durch sichere Konfiguration und getrennte Verantwortlichkeiten reduziert.

Schritt-für-Schritt-Vorgehen

1. TLS-Protokolle, Zertifikate, Proxy-Header und externe Erreichbarkeit prüfen.
2. Systemkonten, Dateirechte, Dienstgrenzen und Datenbankzugriffe begrenzen.
3. Nicht benötigte Funktionen, Ports und Standardzugänge deaktivieren.
4. Sicherheitsrelevante Konfiguration gegen eine Härtungscheckliste prüfen.

Praxisauftrag

Eine Laborumgebung wird technisch geprüft und mit priorisierten Härtungsmaßnahmen verbessert.

6. Geheimnisse, Daten und Datenschutz

Zugangsdaten und personenbezogene Informationen werden entlang ihres Lebenszyklus geschützt.

Schritt-für-Schritt-Vorgehen

1. Geheimnisse aus Quellcode und ungeschützten Konfigurationsdateien entfernen.
2. Rotation, Eigentümerschaft und Notfallwechsel für technische Zugangsdaten festlegen.
3. Datenminimierung, Aufbewahrung, externe Freigabe und Löschprozesse prüfen.
4. Sicherungen verschlüsseln und Wiederherstellungszugriff begrenzen.

Praxisauftrag

Ein unsicherer Konfigurationssatz wird bereinigt und in ein kontrolliertes Geheimnis- und Aufbewahrungsmodell überführt.

7. Protokollierung, Updates und Incident-Test

Sicherheitskontrollen werden durch nachvollziehbare Ereignisse, zeitnahe Pflege und einen geübten Reaktionsablauf ergänzt.

Schritt-für-Schritt-Vorgehen

1. Anmelde-, Administrations-, Berechtigungs- und Fehlerereignisse als Nachweisquellen definieren.
2. Warnkriterien und Eskalation für verdächtige Ereignisse festlegen.
3. Sicherheitsupdates mit Sicherung, Test und Freigabe in den Betriebsprozess integrieren.
4. Incident von Erkennung über Eindämmung bis Wiederherstellung und Nachkontrolle simulieren.

Praxisauftrag

Ein verdächtiger Administrationsvorgang wird untersucht, eingedämmt und in einer Ursachen- sowie Maßnahmenanalyse dokumentiert.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurations- oder Bearbeitungsschritte, Praxisaufträge und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Dadurch bleiben die erarbeiteten Abläufe reproduzierbar und können als Grundlage für interne Standards, Runbooks oder Redaktionsleitfäden verwendet werden.