Seminar Wazuh Compliance, SCA und Audit-Nachweise

Beschreibung

Technische Prüfungen werden in einen nachvollziehbaren Kontrollprozess eingebettet. Das Seminar grenzt einzelne Konfigurationsnachweise bewusst von einer vollständigen organisatorischen Zertifizierung ab.

Eigene SCA-Checks werden auf positive, negative und nicht anwendbare Fälle getestet. Ergebnisse werden mit Kontrollanforderungen, Ausnahmen, Aufbewahrung und regelmäßiger Wirksamkeitsprüfung verbunden.

Zielgruppe

Security Compliance, technische Revision, Wazuh-Administration, IT-Security, Plattformbetrieb und Kontrollverantwortung

Voraussetzungen

Grundverständnis von Systemhärtung, technischen Kontrollen und Wazuh-Agenten; YAML- oder strukturierte Konfigurationserfahrung ist hilfreich

Lernziele

• SCA-Ergebnisse fachlich korrekt interpretieren
• Eigene Policies mit prüfbarer Logik entwickeln
• Technische Kontrollen auf interne oder externe Anforderungen abbilden
• Audit-Nachweise reproduzierbar und kontextbezogen erzeugen
• Ausnahmen und kontinuierliche Kontrollkennzahlen steuern

Inhaltsübersicht

1. SCA-Prüfmodell und Nachweisgrenzen verstehen
2. Eigene SCA-Policy entwickeln und testen
3. Technische Kontrollen auf Regelwerke abbilden
4. Prüfnachweise reproduzierbar erzeugen
5. Abweichungen und Ausnahmen steuern
6. Kontinuierliche Kontrollüberwachung etablieren

Seminarinhalte

1. SCA-Prüfmodell und Nachweisgrenzen verstehen

Konfigurationsprüfungen als technische Evidenz nutzen, ohne sie mit einer vollständigen Zertifizierung gleichzusetzen.

1. Policy, Check, Bedingung, Ergebnis und Bewertungsstand voneinander abgrenzen.
2. Vorhandene SCA-Prüfungen auf einem Referenzsystem ausführen.
3. Bestanden, fehlgeschlagen und nicht anwendbar anhand konkreter Checks interpretieren.
4. Prüfergebnis mit Systemzustand und Zeitpunkt verknüpfen.
5. Grenzen und zusätzliche organisatorische Nachweise dokumentieren.

2. Eigene SCA-Policy entwickeln und testen

Unternehmensspezifische Konfigurationsanforderungen in wartbare technische Checks überführen.

1. Anforderung, Plattform, Sollwert und Nachweismethode für jeden Check festlegen.
2. Datei-, Prozess-, Paket- oder Konfigurationsprüfung mit eindeutiger Logik formulieren.
3. Policy auf positiven, negativen und nicht anwendbaren Testsystemen ausführen.
4. Beschreibungen und Remediation-Hinweise fachlich prüfen.
5. Version, Freigabe und Rückwärtskompatibilität der Policy verwalten.

3. Technische Kontrollen auf Regelwerke abbilden

Erkennungen und SCA-Prüfungen nachvollziehbar mit internen und externen Kontrollanforderungen verbinden.

1. Kontrollkatalog und Geltungsbereich für die Zielumgebung bestimmen.
2. Pro Kontrolle Datenquelle, Prüfmethode, Frequenz und Verantwortlichkeit zuordnen.
3. Wazuh-Regeln und SCA-Checks mit Kontrollkennungen versehen.
4. Mehrfachzuordnungen und Lücken in einer Kontrollmatrix sichtbar machen.
5. Die Matrix fachlich freigeben und bei Änderungen versionieren.

4. Prüfnachweise reproduzierbar erzeugen

Technische Ergebnisse mit Kontext, Zeitbezug und Integritätsinformationen für Audits aufbereiten.

1. Nachweisumfang, Zeitraum, Systeme und Filter vor der Auswertung festlegen.
2. Gespeicherte Abfragen und Dashboards mit unveränderlichen Kriterien verwenden.
3. Konfiguration, Ergebnisdaten und Ausführungszeit gemeinsam dokumentieren.
4. Zugriff und Aufbewahrung der Exportdateien nach Schutzbedarf regeln.
5. Stichprobe anhand des Ursprungssystems und eines Rohereignisses verifizieren.

5. Abweichungen und Ausnahmen steuern

Fehlgeschlagene Kontrollen risikobasiert bewerten und genehmigte Ausnahmen zeitlich begrenzen.

1. Technische Abweichung von Fehlmessung und Nichtanwendbarkeit unterscheiden.
2. Ursache, Auswirkung, Kompensationsmaßnahme und Eigentümer erfassen.
3. Ablaufdatum und erneute Prüfung für jede Ausnahme festlegen.
4. Unterdrückung nur so eng wie nötig konfigurieren und separat überwachen.
5. Offene, auslaufende und überfällige Ausnahmen regelmäßig berichten.

6. Kontinuierliche Kontrollüberwachung etablieren

Einmalige Prüfungen in einen wiederkehrenden, messbaren Kontrollprozess überführen.

1. Prüffrequenz und Priorität je Kontrolle anhand Risiko und Änderungsdynamik bestimmen.
2. Trend für Erfolgsquote, Abweichungsdauer und Wiederholungsfehler aufbauen.
3. Schwellenwerte für Eskalation und Service-Level definieren.
4. Änderungen an Policies und Regeln vor Freigabe mit Regressionstests prüfen.
5. Kontrollreview mit Betrieb, Security und Compliance regelmäßig durchführen.

Praxislabor

1. Eine bestehende SCA-Policy auf einem Referenzsystem ausführen und Ergebnisse klassifizieren.
2. Einen eigenen Check mit positivem, negativem und nicht anwendbarem Testfall entwickeln.
3. Eine Kontrollmatrix aus Anforderung, Datenquelle, Prüfung, Frequenz und Eigentümer erstellen.
4. Einen reproduzierbaren Nachweis mit festem Zeitraum und Rohereignis-Stichprobe erzeugen.
5. Eine befristete Ausnahme mit Kompensationskontrolle und Ablaufüberwachung anlegen.

Betriebliche Qualitätssicherung

• Policy-Versionierung und Regressionstest
• Trennung von technischem Nachweis und Gesamtbewertung
• Integritäts- und Aufbewahrungsregeln für Exporte
• Reviewprozess für Ausnahmen und Kontrolllücken