Seminar AWS AFO Architektur und Komponenten

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar zerlegt die Lösung in fachliche Dienste, AWS-Ressourcen, Kontenrollen und kontrollierte Datenflüsse. Im Mittelpunkt stehen belastbare Architekturentscheidungen für EC2- und EKS-Forensik.

Der fachliche Schwerpunkt liegt auf Architektur, Komponenten und Datenflüsse des Automated Forensics Orchestrator. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Zwei Tage sind erforderlich, weil neben der Komponentenlandkarte auch kontenübergreifende Vertrauensbeziehungen, Beweisflüsse, Betriebsqualitäten und ein vollständiger Architekturentwurf erarbeitet werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Architektur, Komponenten und Datenflüsse des Automated Forensics Orchestrator fachlich einordnen;
• Forensischer Lebenszyklus und Einsatzgrenzen in einen kontrollierten AFO-Prozess überführen;
• Fünf fachliche Lösungsbausteine mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Kontenmodell und Verantwortungszonen anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Ereignis- und Orchestrierungsfluss systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Forensischer Lebenszyklus und Einsatzgrenzen

AFO wird in Erkennung, Triage, Isolation, Erfassung, Untersuchung, Berichterstattung und kontrollierte Nachbereitung eingeordnet; EC2- und EKS-spezifische Grenzen werden abgegrenzt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Forensischer Lebenszyklus und Einsatzgrenzen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn aFO wird in Erkennung, Triage, Isolation, Erfassung, Untersuchung, Berichterstattung und kontrollierte Nachbereitung eingeordnet; EC2- und EKS-spezifische Grenzen werden abgegrenzt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Fünf fachliche Lösungsbausteine

Triage, Speichererfassung, Datenträgererfassung, Untersuchung und Reporting sowie Image- und SSM-Dokument-Build werden als zusammenhängende Dienste modelliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Fünf fachliche Lösungsbausteine“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn triage, Speichererfassung, Datenträgererfassung, Untersuchung und Reporting sowie Image- und SSM-Dokument-Build werden als zusammenhängende Dienste modelliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Kontenmodell und Verantwortungszonen

Forensik-Konto, Security-Hub-Aggregatorkonto und Anwendungskonten werden hinsichtlich Eigentümerschaft, Vertrauensstellung, Datenzugriff und administrativer Trennung analysiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Kontenmodell und Verantwortungszonen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn forensik-Konto, Security-Hub-Aggregatorkonto und Anwendungskonten werden hinsichtlich Eigentümerschaft, Vertrauensstellung, Datenzugriff und administrativer Trennung analysiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Ereignis- und Orchestrierungsfluss

Der Weg vom Security-Finding über EventBridge, Step Functions und Lambda bis zu isolierten Ressourcen, Beweisobjekten und Statusmeldungen wird nachvollzogen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Ereignis- und Orchestrierungsfluss“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn der Weg vom Security-Finding über EventBridge, Step Functions und Lambda bis zu isolierten Ressourcen, Beweisobjekten und Statusmeldungen wird nachvollzogen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Beweisspeicher und Metadatenmodell

S3, EBS-Snapshots, DynamoDB, Fallkennungen, Zeitstempel, Verschlüsselung und Protokollierung werden zu einer nachvollziehbaren Beweiskette verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Beweisspeicher und Metadatenmodell“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn s3, EBS-Snapshots, DynamoDB, Fallkennungen, Zeitstempel, Verschlüsselung und Protokollierung werden zu einer nachvollziehbaren Beweiskette verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Netzwerk-, Sicherheits- und Betriebsqualitäten

Private Subnetze, Endpunkte, KMS, Least Privilege, Ausfallsicherheit, Monitoring und Wiederanlauf werden als nichtfunktionale Anforderungen bewertet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Netzwerk-, Sicherheits- und Betriebsqualitäten“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn private Subnetze, Endpunkte, KMS, Least Privilege, Ausfallsicherheit, Monitoring und Wiederanlauf werden als nichtfunktionale Anforderungen bewertet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Architekturentscheidungen und Zielbild

Varianten werden anhand von Schutzbedarf, Regionen, Kontenzahl, Datenresidenz, Wiederanlauf und Betriebsorganisation entschieden und dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Architekturentscheidungen und Zielbild“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn varianten werden anhand von Schutzbedarf, Regionen, Kontenzahl, Datenresidenz, Wiederanlauf und Betriebsorganisation entschieden und dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Entwurf einer Zielarchitektur für ein Unternehmen mit zentralem Security-Hub-Konto, separatem Forensik-Konto und mehreren Anwendungskonten.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud- und Security-Architektinnen und -Architekten, SOC-Engineering, Incident-Response-Verantwortliche, Plattform- und Governance-Teams.

Voraussetzungen: Grundkenntnisse zu AWS-Konten, IAM, VPC, Amazon EC2, Amazon EKS sowie zum Ablauf eines Sicherheitsvorfalls.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.