Seminar Incident Response Intensiv: Cloud, Kubernetes und Microsoft 365

Identitätsvorfälle können mehrere Plattformen zugleich betreffen. Das Intensivseminar führt die Fachseminare zu Cloud und Kubernetes sowie Microsoft 365 und Entra ID zusammen. Die technische Praxis verwendet AWS, einen vorbereiteten Kubernetes-Cluster und einen Microsoft-365-Schulungstenant. Gemeinsame Arbeitsschritte für Zeitachsen, Beweismittelverwaltung und Maßnahmenkontrolle werden einmal eingeführt und plattformbezogen angewendet.

Die fünf Tage konzentrieren sich auf ausgewählte Identitäts- und Workload-Fälle. Untersucht werden eine verdächtige Postfach- und App-Konfiguration sowie auffällige Cloud- und Clusteraktivitäten. Der Kern ist die koordinierte Zugriffsbeschränkung mit anschließender Kontrolle, welche Tokens, Sitzungen oder Berechtigungen noch wirksam sein könnten. Alle Plattformen werden vorab eingerichtet; die Ausbildung setzt deren Administration voraus.

Lernziele

• Plattformübergreifende Identitäts- und Ressourcenzusammenhänge erfassen.
• Cloud-, Cluster- und Microsoft-365-Auditdaten zielgerichtet untersuchen.
• Kurzlebige Artefakte vor zustandsverändernden Maßnahmen sichern.
• Benutzer-, App- und Workload-Zugriffe getrennt eindämmen und nachprüfen.
• Eine koordinierte Wiederfreigabe mit überprüfbaren Kriterien erstellen.

Inhaltsverzeichnis

1. Gemeinsame Einsatzbereitschaft
2. Microsoft-365- und Entra-ID-Untersuchung
3. Apps, Sitzungen und Zugriffsbeschränkung
4. AWS-Identitäten und API-Spuren
5. Cloud-Sicherung und Eindämmung
6. Kubernetes-Audit und Workload-Spuren
7. RBAC, Service Accounts und Cloud-Zugriff
8. Vertrauenswürdiger Cluster-Wiederanlauf
9. Verbundene Identitätsübung
10. Befund und abgestimmte Wiederfreigabe

Seminarinhalte

Gemeinsame Einsatzbereitschaft

• Plattformzuständigkeiten, Notfallzugänge und Berechtigungen zuordnen.
• Auditabdeckung und tatsächliche Aufbewahrung je Plattform prüfen.
• Eine gemeinsame Zeitbasis und Fallablage festlegen.

Microsoft-365- und Entra-ID-Untersuchung

• Verdächtige Anmeldungen mit Audit- und Postfachereignissen korrelieren.
• Regeln, Weiterleitungen und veränderte Authentifizierungsmethoden prüfen.
• Den möglichen Umfang der Kontobetroffenheit eingrenzen.

Apps, Sitzungen und Zugriffsbeschränkung

• App-Einwilligungen und anwendungsbezogene Zugänge untersuchen.
• Sperre und Widerruf unter Beachtung fortbestehender Tokens koordinieren.
• Die tatsächliche Wirkung und notwendige Folgemaßnahmen prüfen.

AWS-Identitäten und API-Spuren

• Rollenübernahmen und Ressourcenänderungen aus Auditdaten rekonstruieren.
• Temporäre Zugänge und neue Berechtigungen in die Reichweitenanalyse aufnehmen.
• Betroffene Instanzen und weitere Ressourcen priorisieren.

Cloud-Sicherung und Eindämmung

• Ressourcenkontext und Datenträgerzustände nachvollziehbar sichern.
• Netz- und Identitätsmaßnahmen mit aktiven Sitzungen abstimmen.
• Wiederbereitstellung aus geprüften Vorlagen vorbereiten.

Kubernetes-Audit und Workload-Spuren

• API-Audit, Workload-Spezifikationen und Containerprotokolle zusammenführen.
• Kurzlebige Ressourcen und bereits fehlende Daten berücksichtigen.
• Verdächtige Aktivitäten einem Workload und seiner Identität zuordnen.

RBAC, Service Accounts und Cloud-Zugriff

• Rollenbindungen, Secrets und Workload-Identitäten untersuchen.
• Plattformübergreifende Folgebetroffenheit als Hypothese prüfen.
• Gezielte Berechtigungs- und Netzwerkmaßnahmen planen.

Vertrauenswürdiger Cluster-Wiederanlauf

• Controller-Reaktionen und Node-Betroffenheit in die Eindämmung einbeziehen.
• Images, Konfigurationen und Geheimnisse vor Neuverteilung prüfen.
• Die Wirksamkeit der Maßnahmen aus mehreren Datenquellen kontrollieren.

Verbundene Identitätsübung

• Neue Befunde aus Microsoft 365, Cloud und Cluster gemeinsam bewerten.
• Maßnahmen nach Identitätstyp und betroffener Plattform koordinieren.
• Sichtlücken und fortbestehende Zugriffe gezielt nachprüfen.

Befund und abgestimmte Wiederfreigabe

• Den Untersuchungsstand mit belegter Reichweite dokumentieren.
• Freigaben und zusätzliche Überwachung je Plattform festlegen.
• Den Fall anhand der gemeinsamen Nachweise überprüfen.

Praxisübungen

Praxisfall: Verdächtige Benutzer- und Workload-Aktivitäten in einem verbundenen Plattformbetrieb

1. Zuständigkeiten, Logabdeckung und Untersuchungszugänge der drei Plattformen prüfen.
2. Microsoft-365-, AWS- und Kubernetes-Befunde mit eindeutigen Zeit- und Identitätsbezügen sichern.
3. Benutzer-, App- und Workload-Zugriffe auf mögliche Verbindungen und Folgebetroffenheit untersuchen.
4. Abgestimmte Maßnahmen durchführen und noch wirksame Zugänge kontrollieren.
5. Plattformspezifische Freigaben und eine gemeinsame Nachbeobachtung dokumentieren.

Schulungsumgebung

Vorbereitete AWS- und Microsoft-365-Schulungszugänge, ein isolierter Kubernetes-Cluster sowie ergänzende Auditdatensätze. Für Firmenseminare stellt der Auftraggeber die abgestimmten Konten, Lizenzen und Berechtigungen bereit.

Enthaltene fachliche Schwerpunkte

• Incident Response: Cloud und Kubernetes
• Incident Response: Microsoft 365 und Entra ID