Seminar AWS AFO EKS Incident Response und Container-Forensik

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Seminar überträgt den AFO-Prozess auf EKS-Cluster mit EC2-Worker-Nodes. Clusterkontext, Workloads, Nodes, Containerartefakte, Isolation und Wiederherstellung werden gemeinsam behandelt.

Der fachliche Schwerpunkt liegt auf Incident Response und forensische Untersuchung für Amazon EKS auf EC2. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Drei Tage sind notwendig, weil Kubernetes-Steuerungsebene, Workload- und Node-Perspektive getrennt erfasst, anschließend korreliert und in einer praktischen End-to-End-Übung zusammengeführt werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für Incident Response und forensische Untersuchung für Amazon EKS auf EC2 fachlich einordnen;
• EKS-spezifisches Einsatzbild in einen kontrollierten AFO-Prozess überführen;
• Finding-Kontext und Zielauflösung mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Isolation ohne Beweisverlust anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Cluster- und Kubernetes-Metadaten sichern systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. EKS-spezifisches Einsatzbild

Cluster, Managed Node Groups, EC2-Worker, Pods, Container, Namespaces, Service Accounts und die Abgrenzung zu nicht unterstützten Compute-Modellen werden eingeordnet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „EKS-spezifisches Einsatzbild“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn cluster, Managed Node Groups, EC2-Worker, Pods, Container, Namespaces, Service Accounts und die Abgrenzung zu nicht unterstützten Compute-Modellen werden eingeordnet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Finding-Kontext und Zielauflösung

Security-Hub- und GuardDuty-Informationen werden auf Cluster, Node, Pod, Container, Image, IAM-Rolle und relevante Zeitfenster abgebildet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Finding-Kontext und Zielauflösung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn security-Hub- und GuardDuty-Informationen werden auf Cluster, Node, Pod, Container, Image, IAM-Rolle und relevante Zeitfenster abgebildet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Isolation ohne Beweisverlust

Node-Cordon und Drain, Sicherheitsgruppen, Netzwerkpfade, Workload-Skalierung, Pod-Beendigung und Auswirkungen auf flüchtige Daten werden gegeneinander abgewogen.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Isolation ohne Beweisverlust“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn node-Cordon und Drain, Sicherheitsgruppen, Netzwerkpfade, Workload-Skalierung, Pod-Beendigung und Auswirkungen auf flüchtige Daten werden gegeneinander abgewogen. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Cluster- und Kubernetes-Metadaten sichern

Ressourcenobjekte, Events, Auditdaten, Workload-Definitionen, RBAC, Service Accounts, Secrets-Metadaten und Konfigurationsstände werden kontrolliert erfasst.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Cluster- und Kubernetes-Metadaten sichern“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ressourcenobjekte, Events, Auditdaten, Workload-Definitionen, RBAC, Service Accounts, Secrets-Metadaten und Konfigurationsstände werden kontrolliert erfasst. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Node-Speicher und Datenträger erfassen

Arbeitsspeicher und EBS-Volumes der betroffenen Worker-Nodes werden mit Fallkontext gesichert und für die Analyse vorbereitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Node-Speicher und Datenträger erfassen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn arbeitsspeicher und EBS-Volumes der betroffenen Worker-Nodes werden mit Fallkontext gesichert und für die Analyse vorbereitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Container- und Laufzeitartefakte untersuchen

Container-Runtime, Prozessbäume, Dateisystemschichten, Logs, Mounts, Netzwerkverbindungen und verdächtige Images werden korreliert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Container- und Laufzeitartefakte untersuchen“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn container-Runtime, Prozessbäume, Dateisystemschichten, Logs, Mounts, Netzwerkverbindungen und verdächtige Images werden korreliert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

7. Angriffspfad und Seitwärtsbewegung rekonstruieren

Pod-, Node-, IAM- und Cloud-Ereignisse werden zu einer Zeitlinie verbunden; alternative Hypothesen und Beweislücken werden dokumentiert.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Angriffspfad und Seitwärtsbewegung rekonstruieren“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn pod-, Node-, IAM- und Cloud-Ereignisse werden zu einer Zeitlinie verbunden; alternative Hypothesen und Beweislücken werden dokumentiert. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

8. Bereinigung und vertrauenswürdiger Wiederaufbau

Betroffene Nodes und Workloads werden ersetzt, Images und Berechtigungen korrigiert, Indikatoren geprüft und Rückkehrkriterien festgelegt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Bereinigung und vertrauenswürdiger Wiederaufbau“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn betroffene Nodes und Workloads werden ersetzt, Images und Berechtigungen korrigiert, Indikatoren geprüft und Rückkehrkriterien festgelegt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Bearbeitung eines GuardDuty-bezogenen EKS-Sicherheitsereignisses mit Clusterkontext, kompromittiertem Pod und betroffenem EC2-Worker-Node.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: EKS-Plattformteams, Kubernetes-Security, SOC, Incident Response, Cloud Security und digitale Forensik.

Voraussetzungen: Praxiskenntnisse zu Kubernetes und EKS, EC2, IAM, Security Hub sowie Grundkenntnisse in Incident Response und Linux-Forensik.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.