Seminar UBIKA – WAAP Gateway – Logging, Monitoring, Reporting und SIEM

Sicherheitskontrollen sind nur betreibbar, wenn Ereignisse vollständig, korrelierbar und datenschutzgerecht verfügbar sind. Das Seminar entwickelt ein Logging- und Monitoringmodell von lokalen Daten über Remote Syslog und Berichte bis zu SIEM-Use-Cases, Alarmen und Incident-Nachweisen.

Inhaltsverzeichnis

1. Seminarprofil
2. Lernziele
3. Schrittweise Seminarinhalte
4. Praxisaufgaben
5. Zielgruppe und Voraussetzungen

Seminarprofil

Die Schulung kombiniert fachliche Einordnung, geführte Konfiguration, reproduzierbare Tests und betriebliche Dokumentation. Jede Änderung wird zuerst in ihrem Datenfluss und Risikokontext bewertet, danach in einer Laborumgebung umgesetzt und abschließend mit Positiv-, Negativ- und Rückfalltests geprüft.

Lernziele

• Die fachlichen und technischen Anforderungen zu Logquellen und Ereignismodell strukturiert analysieren und priorisieren.
• Die UBIKA-Konfiguration für Zeit, Identitäten und Korrelation und Remote Syslog und Transport nachvollziehbar aufbauen.
• Funktions-, Negativ-, Last- und Fehlerfälle mit eindeutigen Abnahmekriterien prüfen.
• Änderungen, Ausnahmen und Betriebsentscheidungen versionierbar und revisionsfähig dokumentieren.
• Monitoring, Freigabe, Rollback und Verantwortlichkeiten in einen belastbaren Betriebsprozess überführen.

Schrittweise Seminarinhalte

Modul 1: Logquellen und Ereignismodell

1. Schritt 1 – Analysieren: Für Zugriffs-, Sicherheits-, System-, Administrations- und Änderungslogs, Owner, Schweregrad und Pflichtfelder werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 2: Zeit, Identitäten und Korrelation

1. Schritt 1 – Analysieren: Für NTP, Zeitzone, Request-ID, Client, Benutzer, Anwendung, Backend und komponentenübergreifende Nachverfolgung werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 3: Remote Syslog und Transport

1. Schritt 1 – Analysieren: Für Ziel, Protokoll, Verschlüsselung, Pufferung, Ausfall, Wiederanlauf, Netzfreigaben und Verlustverhalten werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 4: Feldnormalisierung und Parsing

1. Schritt 1 – Analysieren: Für gemeinsames Schema für Anwendung, Regel, Aktion, Quelle, Identität, Datentypen und fehlende Felder werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 5: Datenschutz und sensible Inhalte

1. Schritt 1 – Analysieren: Für Tokens, Cookies, personenbezogene Daten, Payloads, Maskierung, Zugriff und Aufbewahrung werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 6: Alarme und Eskalation

1. Schritt 1 – Analysieren: Für Ausfall, Angriffswelle, Fehlerrate, Zertifikatsablauf, Regeländerung, Logging-Störung und Reaktionszeit werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 7: Reporting und Dashboards

1. Schritt 1 – Analysieren: Für Betrieb, Security, Management, Revision, Verfügbarkeit, Latenz, Blockrate, Top-Risiken und Ausnahmen werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 8: SIEM-Use-Cases und Korrelation

1. Schritt 1 – Analysieren: Für Credential Abuse, Angriffswellen, Geografie, Regeländerung, Identitäts- und Netzwerkkontext werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Modul 9: Aufbewahrung und Beweissicherung

1. Schritt 1 – Analysieren: Für Analysezeitraum, Volumen, Integrität, Zugriff, Archivierung, Export und vollständige Incident-Zeitlinie werden Ausgangslage, Datenfluss, Abhängigkeiten, Verantwortlichkeiten, Schutzbedarf und mögliche Fehlerszenarien vollständig erfasst.
2. Schritt 2 – Planen: Zielzustand, benötigte UBIKA-Objekte, sichere Standardwerte, Migrationsfolge, Testdaten, Freigabepunkte und ein eindeutiger Rückfallweg werden festgelegt.
3. Schritt 3 – Umsetzen: Die Konfiguration wird zunächst in einer kontrollierten Umgebung erstellt, mit minimalen Berechtigungen versehen, nachvollziehbar benannt und ohne unnötige globale Ausnahmen aktiviert.
4. Schritt 4 – Prüfen: Gültige Nutzung, Grenzwerte, Angriffs- oder Fehlerfälle, Protokollierung, Monitoring, Wiederholbarkeit und Rollback werden anhand dokumentierter Abnahmekriterien kontrolliert.

Praxisaufgaben

1. Einen vollständigen Praxisfall zu Logquellen und Ereignismodell bearbeiten: Zugriffs-, Sicherheits-, System-, Administrations- und Änderungslogs, Owner, Schweregrad und Pflichtfelder aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
2. Einen vollständigen Praxisfall zu Zeit, Identitäten und Korrelation bearbeiten: NTP, Zeitzone, Request-ID, Client, Benutzer, Anwendung, Backend und komponentenübergreifende Nachverfolgung aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
3. Einen vollständigen Praxisfall zu Remote Syslog und Transport bearbeiten: Ziel, Protokoll, Verschlüsselung, Pufferung, Ausfall, Wiederanlauf, Netzfreigaben und Verlustverhalten aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
4. Einen vollständigen Praxisfall zu Feldnormalisierung und Parsing bearbeiten: gemeinsames Schema für Anwendung, Regel, Aktion, Quelle, Identität, Datentypen und fehlende Felder aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.
5. Einen vollständigen Praxisfall zu Datenschutz und sensible Inhalte bearbeiten: Tokens, Cookies, personenbezogene Daten, Payloads, Maskierung, Zugriff und Aufbewahrung aufnehmen, konfigurieren, testen und mit Freigabe- sowie Rückfallnachweis dokumentieren.

Zielgruppe und Voraussetzungen

Zielgruppe: Security Operations, SIEM Engineering, UBIKA-Administration, Plattformbetrieb, Incident Response, Revision und Datenschutz.

Voraussetzungen: Grundkenntnisse der UBIKA-Administration, von Syslog und zentraler Logauswertung. Verständnis typischer Web- und API-Ereignisse ist erforderlich.