Seminar Endian UTM – IDS/IPS, Application Control und DNS Security

Das Seminar verbindet Angriffserkennung, aktive Blockierung, Anwendungssteuerung und abgesicherte DNS-Pfade. Aus einem Bedrohungsmodell werden IDS- oder IPS-Betrieb, Signaturkategorien, Application-Control-Richtlinien und DNS-Schutzmaßnahmen abgeleitet. Ein kontrollierter Einführungsprozess mit Beobachtungsphase, Fehlalarmbehandlung und klarer Ereignisreaktion verhindert, dass Schutzfunktionen ohne betriebliche Beherrschung aktiviert werden.

Inhaltsübersicht

• Lernziele
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Lernziele

• Bedrohungen und geeignete technische Kontrollen systematisch zuordnen
• IDS und IPS risikogerecht konfigurieren
• Signaturen und Anwendungskategorien beherrschbar verwalten
• DNS-Proxy und DNS-Sicherheitsfunktionen absichern
• Fehlalarme und Sicherheitsereignisse strukturiert bearbeiten

Zielgruppe

Security Operations, Netzwerk- und Firewalladministration, Incident Response und technische Informationssicherheit

Voraussetzungen

Sichere UTM- und Firewall-Grundlagen, Kenntnisse der internen Anwendungen und Kommunikationswege

Seminarinhalte

Modul 1: Bedrohungsmodell und Schutzstrategie ableiten

1. Kritische Dienste, typische Angriffswege, schützenswerte Daten und relevante Netzwerkgrenzen erfassen.
2. Präventive, erkennende und reaktive Kontrollen den identifizierten Risiken zuordnen.
3. Zusammenspiel von Firewall, IDS/IPS, Application Control, DNS-Sicherheit und Proxys planen.
4. Messbare Kriterien für Wirksamkeit, Fehlalarmquote und Reaktionszeit festlegen.

Modul 2: IDS- und IPS-Betriebsarten konfigurieren

1. Erkennungs- und Blockierbetrieb anhand von Risiko, Leistung und Betriebsreife auswählen.
2. Überwachte Zonen, Schnittstellen und Verkehrsrichtungen schrittweise festlegen.
3. Grundparameter und Sicherheitsprofile zunächst beobachtend aktivieren.
4. Übergang in den Blockierbetrieb mit klaren Abnahme- und Rückfallkriterien steuern.

Modul 3: Signaturen und Regelkategorien verwalten

1. Relevante Bedrohungskategorien nach Infrastruktur, Anwendungen und Exponierung auswählen.
2. Regelstände aktualisieren und Änderungen vor produktiver Aktivierung bewerten.
3. Eigene Signaturen nur mit nachvollziehbarem Zweck, Testfällen und Verantwortlichkeit einsetzen.
4. Nicht relevante oder störende Regeln kontrolliert deaktivieren statt pauschal auszunehmen.

Modul 4: Application Control in Sicherheitsrichtlinien integrieren

1. Geschäftlich erforderliche und unerwünschte Anwendungen sowie Risikoklassen definieren.
2. Erkennung und Blockierung mit Benutzergruppen, Zonen und Zeitfenstern abstimmen.
3. Verschlüsselte, ausweichende oder mehrdeutige Anwendungen in Testfällen berücksichtigen.
4. Auswirkungen auf legitime Prozesse und Umgehungsmöglichkeiten regelmäßig überprüfen.

Modul 5: DNS-Proxy, Routing und Schutzfunktionen absichern

1. Zulässige DNS-Pfade und interne sowie externe Resolver festlegen.
2. DNS-Proxy und DNS-Routing zonengerecht konfigurieren und direkte Umgehung begrenzen.
3. Schutz gegen bekannte Schad- und Phishing-Ziele aktivieren und Ausnahmen restriktiv verwalten.
4. Namensauflösung, Blockierungen und Fehlklassifikationen anhand von Protokollen prüfen.

Modul 6: Fehlalarme analysieren und Richtlinien optimieren

1. Ereignisse nach Quelle, Ziel, Signatur, Anwendung, Häufigkeit und Geschäftsbezug klassifizieren.
2. Technische Ursache und tatsächliche Gefährdung vor einer Ausnahmeentscheidung verifizieren.
3. Ausnahmen möglichst eng auf Objekt, Richtung, Dienst und Zeitraum begrenzen.
4. Wirksamkeit und Fehlalarmquote nach Anpassungen mit reproduzierbaren Tests messen.

Modul 7: Sicherheitsereignisse bearbeiten

1. Alarmquellen, Prioritäten, Zuständigkeiten und Eskalationsschwellen festlegen.
2. Ereignis anhand von IDS/IPS-, DNS-, Firewall- und Verbindungsdaten korrelieren.
3. Eindämmung durch gezielte Sperren, Segmentierung oder Kontodeaktivierung durchführen.
4. Beweissicherung, Ursachenanalyse, Wiederherstellung und Nachkontrolle dokumentieren.

Praxisübungen

• Aktivierung eines IDS-Profils in einer kontrollierten Beobachtungsphase
• Auswertung und Tuning ausgewählter Signaturalarme
• Erstellung einer Application-Control- und DNS-Sicherheitsrichtlinie
• Bearbeitung eines korrelierten Beispielereignisses von Alarm bis Eindämmung

Methodik

Fachliche Einordnung, nachvollziehbare Demonstrationen, schrittweise Konfiguration, praktische Übungen am System, Positiv- und Negativtests, strukturierte Fehleranalyse sowie dokumentierte Abnahme der erarbeiteten Konfiguration.