Seminar FerretDB Sicherheit, Authentifizierung und TLS

Zielsetzung

Das Seminar sichert FerretDB entlang der gesamten Verbindungskette ab. PostgreSQL-basierte Benutzerverwaltung, SCRAM-SHA-256, TLS für Clientverbindungen, Backendverschlüsselung, Netzwerksegmentierung, Secret Management und kompensierende Kontrollen für Funktionsgrenzen werden praktisch umgesetzt.

Inhaltsübersicht

1. Zielsetzung und Lernziele
2. Teilnehmerkreis und Voraussetzungen
3. Bedrohungsmodell und Vertrauensgrenzen
4. Authentifizierungsarchitektur
5. Benutzerverwaltung
6. TLS für Clientverbindungen
7. Backendverbindung absichern
8. Netzwerksegmentierung und Listener
9. Secret Management
10. Autorisierungsgrenzen und Kontrollen
11. Sicherheitstests und Betrieb
12. Praxisübungen und Methodik

Lernziele

• Bedrohungen und Vertrauensgrenzen für Client, FerretDB und PostgreSQL erfassen
• Benutzer und SCRAM-SHA-256-Authentifizierung sicher einrichten
• TLS-Verbindungen mit Zertifikaten für Clients und Backend konfigurieren
• Berechtigungsgrenzen durch Netzwerk, Rollen, Secrets und Betriebsprozesse kompensieren

Teilnehmerkreis

Security Engineers, Datenbank- und Systemadministratoren, DevOps-Fachkräfte, Plattformteams und Anwendungsarchitekten.

Voraussetzungen

Grundkenntnisse in FerretDB, PostgreSQL, PKI/TLS, Netzwerksegmentierung und Linux- oder Containerbetrieb.

Seminarinhalte

Kapitel 1: Bedrohungsmodell und Vertrauensgrenzen

Inhaltsübersicht des Kapitels: Schützenswerte Daten, Benutzergruppen und Verwaltungszugänge erfassen; Client-, FerretDB-, PostgreSQL- und Monitoringnetze abgrenzen; Angriffspfade für Zugangsdaten, unverschlüsselte Verbindungen und offene Listener bewerten.

1. Schritt 1: Schützenswerte Daten, Benutzergruppen und Verwaltungszugänge erfassen
2. Schritt 2: Client-, FerretDB-, PostgreSQL- und Monitoringnetze abgrenzen
3. Schritt 3: Angriffspfade für Zugangsdaten, unverschlüsselte Verbindungen und offene Listener bewerten

Kapitel 2: Authentifizierungsarchitektur

Inhaltsübersicht des Kapitels: Weiterleitung der Clientanmeldedaten an PostgreSQL nachvollziehen; SCRAM-SHA-256 als unterstützten Mechanismus konfigurieren; Anonyme Verbindung von tatsächlichem Datenzugriff unterscheiden.

1. Schritt 1: Weiterleitung der Clientanmeldedaten an PostgreSQL nachvollziehen
2. Schritt 2: SCRAM-SHA-256 als unterstützten Mechanismus konfigurieren
3. Schritt 3: Anonyme Verbindung von tatsächlichem Datenzugriff unterscheiden

Kapitel 3: Benutzerverwaltung

Inhaltsübersicht des Kapitels: Benutzer direkt in PostgreSQL oder über kompatible Benutzerbefehle anlegen; Kennwortrichtlinien, Rotation und technische Dienstkonten definieren; Leere Rollenangaben und aktuelle Autorisierungsgrenzen berücksichtigen.

1. Schritt 1: Benutzer direkt in PostgreSQL oder über kompatible Benutzerbefehle anlegen
2. Schritt 2: Kennwortrichtlinien, Rotation und technische Dienstkonten definieren
3. Schritt 3: Leere Rollenangaben und aktuelle Autorisierungsgrenzen berücksichtigen

Kapitel 4: TLS für Clientverbindungen

Inhaltsübersicht des Kapitels: Zertifizierungsstelle, Serverzertifikat und privaten Schlüssel vorbereiten; TLS-Listener, Zertifikats- und CA-Dateien in FerretDB konfigurieren; Clientverbindung mit CA-Prüfung und optionalem Clientzertifikat testen.

1. Schritt 1: Zertifizierungsstelle, Serverzertifikat und privaten Schlüssel vorbereiten
2. Schritt 2: TLS-Listener, Zertifikats- und CA-Dateien in FerretDB konfigurieren
3. Schritt 3: Clientverbindung mit CA-Prüfung und optionalem Clientzertifikat testen

Kapitel 5: Backendverbindung absichern

Inhaltsübersicht des Kapitels: PostgreSQL-TLS und Zertifikatsprüfung in der Verbindungs-URL konfigurieren; Trust-Authentifizierung und ungeschützte interne Netze vermeiden; Zertifikatswechsel ohne ungeplanten Ausfall vorbereiten.

1. Schritt 1: PostgreSQL-TLS und Zertifikatsprüfung in der Verbindungs-URL konfigurieren
2. Schritt 2: Trust-Authentifizierung und ungeschützte interne Netze vermeiden
3. Schritt 3: Zertifikatswechsel ohne ungeplanten Ausfall vorbereiten

Kapitel 6: Netzwerksegmentierung und Listener

Inhaltsübersicht des Kapitels: MongoDB-, TLS-, Data-API-, MCP- und Debug-Listener getrennt bewerten; Firewalls oder NetworkPolicies nach minimal erforderlichen Kommunikationswegen setzen; Verwaltungsschnittstellen nur in geschützten Netzen bereitstellen.

1. Schritt 1: MongoDB-, TLS-, Data-API-, MCP- und Debug-Listener getrennt bewerten
2. Schritt 2: Firewalls oder NetworkPolicies nach minimal erforderlichen Kommunikationswegen setzen
3. Schritt 3: Verwaltungsschnittstellen nur in geschützten Netzen bereitstellen

Kapitel 7: Secret Management

Inhaltsübersicht des Kapitels: Kennwörter, Verbindungs-URLs und Schlüssel aus Images und Quelltext entfernen; Secrets mit minimalen Leserechten und nachvollziehbarer Rotation bereitstellen; Logs, Fehlerausgaben und Supportpakete auf Geheimnislecks prüfen.

1. Schritt 1: Kennwörter, Verbindungs-URLs und Schlüssel aus Images und Quelltext entfernen
2. Schritt 2: Secrets mit minimalen Leserechten und nachvollziehbarer Rotation bereitstellen
3. Schritt 3: Logs, Fehlerausgaben und Supportpakete auf Geheimnislecks prüfen

Kapitel 8: Autorisierungsgrenzen und Kontrollen

Inhaltsübersicht des Kapitels: Aktuellen Funktionsumfang der Autorisierung ausdrücklich in der Risikoanalyse berücksichtigen; Getrennte Instanzen, Datenbanken, Netze und Dienstkonten als kompensierende Maßnahmen bewerten; Freigaben, Vier-Augen-Prinzip und administrative Runbooks etablieren.

1. Schritt 1: Aktuellen Funktionsumfang der Autorisierung ausdrücklich in der Risikoanalyse berücksichtigen
2. Schritt 2: Getrennte Instanzen, Datenbanken, Netze und Dienstkonten als kompensierende Maßnahmen bewerten
3. Schritt 3: Freigaben, Vier-Augen-Prinzip und administrative Runbooks etablieren

Kapitel 9: Sicherheitstests und Betrieb

Inhaltsübersicht des Kapitels: Positive und negative Anmelde-, TLS- und Netzwerkprüfungen automatisieren; Zertifikatsablauf, Fehlanmeldungen und unerwartete Listener überwachen; Sicherheitsbaseline bei Updates und Architekturänderungen erneut prüfen.

1. Schritt 1: Positive und negative Anmelde-, TLS- und Netzwerkprüfungen automatisieren
2. Schritt 2: Zertifikatsablauf, Fehlanmeldungen und unerwartete Listener überwachen
3. Schritt 3: Sicherheitsbaseline bei Updates und Architekturänderungen erneut prüfen

Praxisübungen

• PostgreSQL-Benutzer mit SCRAM-SHA-256 anlegen und FerretDB-Zugriff testen
• TLS-Listener mit eigener Labor-CA konfigurieren und Zertifikatsprüfung durchführen
• Eine Sicherheitsbaseline mit Netzwerk-, Secret- und Negativtests erstellen

Methodik

Das Seminar kombiniert Bedrohungsmodellierung mit konkreter Konfiguration. Jede Schutzmaßnahme wird durch einen positiven Funktionstest und einen negativen Missbrauchs- oder Fehlkonfigurationstest überprüft.