Seminar iRedMail Pro: Security Hardening und TLS

Überblick

Das Seminar härtet eine iRedMail-Pro-Plattform auf mehreren Ebenen: Betriebssystem, Netzwerk, Mailprotokolle, Webzugriffe, Administrationsoberfläche, Kontenbackend, Dateiberechtigungen und Schutz vor automatisierten Angriffen.

TLS wird für SMTP, Submission, IMAP und Webdienste nicht nur aktiviert, sondern anhand von Hostnamen, Zertifikatskette, Protokollen und Erneuerung geprüft. Jede Härtungsmaßnahme wird mit Funktionstests und Rückfallmöglichkeit umgesetzt.

Inhaltsübersicht

1. Bedrohungsmodell und Angriffsfläche
2. Netzwerk, Firewall und Dienste minimieren
3. TLS-Zertifikate korrekt bereitstellen
4. Mailprotokolle und Submission härten
5. Administrationsoberfläche und Konten schützen
6. Fail2ban und Angriffserkennung betreiben
7. Dateien, Geheimnisse und Updates absichern
8. Sicherheitsvorfall bearbeiten

Zielgruppe

Linux- und Mailserver-Administratoren, IT-Sicherheitsadministratoren und technische Betreiber sicherheitskritischer Messaging-Systeme.

Voraussetzungen

• Sichere Linux-Administrationskenntnisse
• Grundkenntnisse zu TLS, Zertifikaten, SMTP und IMAP
• Grundlegende Erfahrung mit iRedMail

Seminarinhalte

1. Bedrohungsmodell und Angriffsfläche

1. Schritt 1: Öffentliche Dienste, administrative Zugänge und Datenbestände erfassen.
2. Schritt 2: Angriffe auf Zugangsdaten, Relay, Webanwendungen, Mailinhalte und Verfügbarkeit unterscheiden.
3. Schritt 3: Schutzbedarf für Konten, Protokolle, Schlüssel und Mailboxen festlegen.
4. Schritt 4: Härtungsmaßnahmen nach Risiko und Betriebswirkung priorisieren.

2. Netzwerk, Firewall und Dienste minimieren

1. Schritt 1: Erforderliche Mail-, Web- und Administrationsports dokumentieren.
2. Schritt 2: Nicht benötigte Dienste und öffentliche Bindings identifizieren.
3. Schritt 3: Firewallregeln nach Quelle, Ziel und Zweck einschränken.
4. Schritt 4: Erreichbarkeit von intern und extern mit einer Portmatrix prüfen.

3. TLS-Zertifikate korrekt bereitstellen

1. Schritt 1: Benötigte Hostnamen für Mail- und Webzugriffe festlegen.
2. Schritt 2: Privaten Schlüssel, Zertifikat und vollständige Kette sicher ablegen.
3. Schritt 3: Postfix, Dovecot und Webserver auf die vorgesehenen Dateien ausrichten.
4. Schritt 4: Zertifikatskette, Hostnamen, Ablaufdatum und automatische Erneuerung prüfen.

4. Mailprotokolle und Submission härten

1. Schritt 1: Verschlüsselte Clientzugriffe und authentifizierte Submission erzwingen.
2. Schritt 2: Vertrauenswürdige Netze und Relayregeln auf das notwendige Maß begrenzen.
3. Schritt 3: Unsichere oder veraltete Protokolloptionen erkennen und entfernen.
4. Schritt 4: Open-Relay-, Klartext- und Fehlanmeldetests kontrolliert durchführen.

5. Administrationsoberfläche und Konten schützen

1. Schritt 1: Globale und domänenbezogene Administratorrechte minimieren.
2. Schritt 2: Kennwortrichtlinien, Self-Service und dienstbezogene Kontosperren abstimmen.
3. Schritt 3: Administrative Zugriffe nach Netz und Verantwortungsbereich beschränken.
4. Schritt 4: Aktivitätsprotokolle regelmäßig prüfen und auffällige Änderungen untersuchen.

6. Fail2ban und Angriffserkennung betreiben

1. Schritt 1: Aktive Jails, Filter und Aktionen der Installation erfassen.
2. Schritt 2: Fehlanmeldungen und andere Auslöser in Protokollen nachvollziehen.
3. Schritt 3: Gesperrte IP-Adressen in iRedAdmin-Pro prüfen und kontrolliert freigeben.
4. Schritt 4: Fehlalarme durch gezielte Filteranpassung statt pauschaler Ausnahme korrigieren.

7. Dateien, Geheimnisse und Updates absichern

1. Schritt 1: Berechtigungen kritischer Konfigurationen, Schlüssel und Kennwortdateien prüfen.
2. Schritt 2: Geheimnisse aus Skripten, Arbeitsverzeichnissen und unsicheren Sicherungen entfernen.
3. Schritt 3: Betriebssystem-, Anwendung- und iRedMail-Updates in ein Wartungsverfahren einordnen.
4. Schritt 4: Integritäts- und Konfigurationsprüfungen nach Änderungen durchführen.

8. Sicherheitsvorfall bearbeiten

1. Schritt 1: Anzeichen für kompromittierte Konten oder ungewöhnlichen Versand erkennen.
2. Schritt 2: Betroffene Konten, Quellen und Zeiträume eingrenzen.
3. Schritt 3: Zugang sperren, Kennwörter ändern, Queue und Logs sichern und Mailfluss prüfen.
4. Schritt 4: Ursache, Bereinigung, Wiederfreigabe und Nachkontrolle dokumentieren.

Praxisübungen

• Erstellung und Umsetzung einer Port- und Diensteminimierung
• Einbindung und Prüfung eines vertrauenswürdigen Zertifikats in Mail- und Webdiensten
• Analyse und Bearbeitung mehrerer Fail2ban-Ereignisse
• Simulation eines kompromittierten Versandkontos mit Eindämmung und Nachkontrolle