Seminar AWS AFO Kompaktseminar – Einführung, Bereitstellung und Betrieb

Inhaltsübersicht

1. Einordnung und Einsatzkontext
2. Lernziele
3. Seminarinhalte
4. Praxislabor
5. Zielgruppe und Voraussetzungen
6. Didaktisches Vorgehen
7. Qualitätssicherung

Einordnung und Einsatzkontext

Das Kompaktseminar vermittelt die wesentlichen AFO-Funktionen in einem zusammenhängenden Lernpfad. Eine Trainingsumgebung wird geplant, bereitgestellt, ausgelöst, überwacht und anhand eines Beispielvorfalls ausgewertet.

Der fachliche Schwerpunkt liegt auf kompakter Einstieg in Architektur, Deployment und operativen Einsatz von AFO. Die Inhalte werden an EC2- und EKS-bezogenen Vorfallszenarien, klaren Rollen, nachvollziehbaren Entscheidungen und überprüfbaren technischen Nachweisen ausgerichtet. Drei Tage sind notwendig, damit Grundlagen, Multi-Account-Bereitstellung und ein vollständiger Betriebs- und Vorfallablauf ohne rein oberflächliche Darstellung praktisch verbunden werden.

Lernziele

Nach Abschluss des Seminars können die behandelten Aufgaben strukturiert vorbereitet, durchgeführt, geprüft und dokumentiert werden.

• Anforderungen und Schutzbedarf für kompakter Einstieg in Architektur, Deployment und operativen Einsatz von AFO fachlich einordnen;
• Einsatzbild und Lösungsarchitektur in einen kontrollierten AFO-Prozess überführen;
• Sichere Bereitstellungsplanung mit geeigneten AWS-Diensten und Sicherheitskontrollen umsetzen;
• Geführtes Multi-Account-Deployment anhand definierter Eingaben, Ausgaben und Prüfkriterien verifizieren;
• Fehler, Abweichungen und Beweislücken bei Finding, Triage und Isolation systematisch analysieren;
• Konfigurationen, Befunde, Entscheidungen und Wiederholungsanweisungen nachvollziehbar dokumentieren.

Seminarinhalte

1. Einsatzbild und Lösungsarchitektur

AFO-Zweck, EC2- und EKS-Szenarien, Komponenten, Kontenrollen, Datenflüsse und Voraussetzungen werden zu einem verständlichen Gesamtbild verbunden.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Einsatzbild und Lösungsarchitektur“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn aFO-Zweck, EC2- und EKS-Szenarien, Komponenten, Kontenrollen, Datenflüsse und Voraussetzungen werden zu einem verständlichen Gesamtbild verbunden. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

2. Sichere Bereitstellungsplanung

CDK-Kontexte, VPC, IAM, KMS, Security-Hub- und Anwendungskonten, Forensik-AMI und Abnahmekriterien werden vorbereitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Sichere Bereitstellungsplanung“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn cDK-Kontexte, VPC, IAM, KMS, Security-Hub- und Anwendungskonten, Forensik-AMI und Abnahmekriterien werden vorbereitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

3. Geführtes Multi-Account-Deployment

Kernplattform, Finding-Integration und Workload-Anbindung werden schrittweise bereitgestellt und über Stack-Ausgaben sowie Testereignisse geprüft.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Geführtes Multi-Account-Deployment“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn kernplattform, Finding-Integration und Workload-Anbindung werden schrittweise bereitgestellt und über Stack-Ausgaben sowie Testereignisse geprüft. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

4. Finding, Triage und Isolation

Ein Security-Finding wird ausgelöst, normalisiert, priorisiert und in einen kontrollierten Triage- und Isolationsworkflow überführt.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Finding, Triage und Isolation“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn ein Security-Finding wird ausgelöst, normalisiert, priorisiert und in einen kontrollierten Triage- und Isolationsworkflow überführt. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

5. Beweiserfassung und Analyseüberblick

Speicher- und Datenträgerartefakte, sichere Ablage, Chain of Custody, Volatility-, Plaso- und EKS-Analysepfade werden praktisch eingeordnet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Beweiserfassung und Analyseüberblick“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn speicher- und Datenträgerartefakte, sichere Ablage, Chain of Custody, Volatility-, Plaso- und EKS-Analysepfade werden praktisch eingeordnet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

6. Betrieb, Fehleranalyse und nächster Ausbau

Monitoring, typische Fehler, Wiederanlauf, Kostenfaktoren, Updates, Runbooks und eine priorisierte Erweiterungsplanung werden erarbeitet.

Arbeitsschritte

1. Ausgangslage erfassen: Für das Lernfeld „Betrieb, Fehleranalyse und nächster Ausbau“ werden betroffene Konten, Regionen, Ressourcen, Rollen, Datenquellen und Abhängigkeiten vollständig aufgenommen.
2. Vorgehen planen: Der fachliche Fokus wird in konkrete Eingaben, Prüfkriterien, Berechtigungen, Schutzmaßnahmen, erwartete Ausgaben und Abbruchbedingungen übersetzt.
3. Umsetzung durchführen: Die Konfiguration oder Analyse wird in kontrollierten Trainingsressourcen schrittweise ausgeführt; jede relevante Aktion erhält Fallbezug und UTC-Zeitstempel.
4. Kontrolle vornehmen: Status, Protokolle, Artefakte, Berechtigungen, Integrität, Nebenwirkungen und Fehlerpfade werden gegen die zuvor festgelegten Kriterien geprüft.
5. Dokumentation erstellen: Entscheidungen, Befehle oder Konfigurationswerte, Ergebnisse, Abweichungen, Unsicherheiten und sichere Wiederholungs- beziehungsweise Rückfallverfahren werden festgehalten.

Prüfpunkt: Das Lernfeld gilt als bearbeitet, wenn monitoring, typische Fehler, Wiederanlauf, Kostenfaktoren, Updates, Runbooks und eine priorisierte Erweiterungsplanung werden erarbeitet. und die zugehörigen Nachweise durch eine zweite Rolle nachvollzogen werden können.

Praxislabor

Kompakter Aufbau einer AFO-Trainingsumgebung mit Finding-Auslösung, Isolation, Beweiserfassung, Analyseüberblick und Betriebscheck.

1. Trainingsfall anlegen, Ausgangslage protokollieren und Schutzobjekte sowie Zuständigkeiten festlegen.
2. Ereignis- oder Konfigurationsdaten prüfen, den geeigneten AFO-Pfad auswählen und Freigabepunkte dokumentieren.
3. Technische Schritte in der vorgesehenen Reihenfolge ausführen und alle Zwischenstände mit Fallkennung erfassen.
4. Mindestens einen Fehler- oder Sonderfall einspielen, Ursache eingrenzen und eine sichere Fortsetzung oder Rücknahme durchführen.
5. Artefakte, Logs, Statusdaten und Befunde auf Vollständigkeit, Integrität, Zeitkonsistenz und Zugriffsrechte prüfen.
6. Eine ausführbare Arbeitsanweisung mit Rollen, Prüfpunkten, Eskalationen und Abschlusskriterien erstellen.

Zielgruppe und Voraussetzungen

Zielgruppe: Cloud Security, SOC, Incident Response, Plattformteams und technische Entscheiderinnen und Entscheider mit begrenztem Zeitfenster.

Voraussetzungen: Grundkenntnisse zu AWS-Konten, EC2, IAM, Security Hub und Incident Response; EKS-Grundwissen ist hilfreich.

Didaktisches Vorgehen

Fachliche Erläuterungen werden unmittelbar mit Architekturarbeit, Demonstrationen, geführten Übungen, Analyseaufgaben und dokumentierter Fallarbeit verbunden. Jeder technische Schritt wird zunächst geplant, anschließend in einer isolierten Umgebung ausgeführt und danach anhand von Logs, Artefakten und Prüfkriterien bewertet.

Qualitätssicherung

• Vorbedingungen, Rollen und Berechtigungen werden vor jedem Labor geprüft.
• Alle Zeitangaben werden einheitlich in UTC dokumentiert.
• Beweis- und Konfigurationsobjekte erhalten eindeutige Kennungen und einen nachvollziehbaren Bearbeitungsstatus.
• Fehlerfälle werden nicht übersprungen, sondern mit Ursache, Auswirkung, Korrektur und Wiederholungsprüfung erfasst.
• Arbeitsanweisungen werden durch einen zweiten Prüfpfad auf Vollständigkeit und Ausführbarkeit kontrolliert.