Seminar Magistrala / Mainflux – Security Hardening mit TLS, mTLS, JWT, PAT und Secrets

Sicherheit entsteht aus mehreren abgestimmten Kontrollen: Identität, Transport, Autorisierung, Geheimnisse, Netzgrenzen, Protokollierung und Reaktion. Das Seminar härtet eine Referenzumgebung anhand eines nachvollziehbaren Bedrohungsmodells.

Inhaltsübersicht

• Lernziele
• Modul 1: Schutzbedarf und Bedrohungsmodell
• Modul 2: TLS und Zertifikatsbetrieb
• Modul 3: mTLS und Geräteidentität
• Modul 4: JWT und persönliche Zugriffstoken
• Modul 5: Rollen, Richtlinien und Mandantentrennung
• Modul 6: Secrets, Netzwerke und Container
• Modul 7: Audit und Vorfallreaktion
• Praxisübungen
• Zielgruppe
• Voraussetzungen

Lernziele

• Bedrohungen und Schutzbedarf für konkrete Plattformpfade bewerten
• TLS, mTLS und Token zweckgebunden und rotierbar konfigurieren
• Rollen, Richtlinien, Secrets und Netzwerkzugänge minimieren
• Härtung mit Negativtests, Audit und Vorfallszenarien nachweisen

Seminarinhalte

Modul 1: Schutzbedarf und Bedrohungsmodell

Assets, Akteure, Vertrauensgrenzen und Missbrauchsfälle bestimmen die notwendigen Kontrollen.

1. Schritt 1: Schützenswerte Identitäten, Daten und Steuerfunktionen erfassen
2. Schritt 2: Daten- und Administrationspfade mit Vertrauensgrenzen zeichnen
3. Schritt 3: Bedrohungen nach Eintritt und Auswirkung priorisieren
4. Schritt 4: Kontrollen und verbleibende Risiken zuordnen

Modul 2: TLS und Zertifikatsbetrieb

Transportverschlüsselung benötigt passende Namen, Vertrauensketten, Algorithmen und Erneuerung.

1. Schritt 1: Zertifikatsrollen und interne beziehungsweise externe Vertrauensanker festlegen
2. Schritt 2: Serverzertifikat und sichere TLS-Parameter konfigurieren
3. Schritt 3: Ablauf, Erneuerung und Kettenprüfung automatisieren
4. Schritt 4: Fehlende Vertrauenskette und abgelaufenes Zertifikat testen

Modul 3: mTLS und Geräteidentität

Gegenseitige Zertifikatsprüfung bindet eine Verbindung an eine technische Identität.

1. Schritt 1: Geräte- und Dienstzertifikate getrennt ausstellen
2. Schritt 2: Identität aus Zertifikat eindeutig auf Client abbilden
3. Schritt 3: Zugriff zusätzlich durch Richtlinie begrenzen
4. Schritt 4: Widerruf und kompromittiertes Zertifikat praktisch prüfen

Modul 4: JWT und persönliche Zugriffstoken

Token werden kurzlebig, zweckgebunden und außerhalb von Logs oder Quellcode verwendet.

1. Schritt 1: Tokenart nach menschlichem oder technischem Zugriff auswählen
2. Schritt 2: Laufzeit und minimalen Geltungsbereich festlegen
3. Schritt 3: Sichere Speicherung und Übergabe konfigurieren
4. Schritt 4: Ablauf, Rotation, Widerruf und Wiederverwendung testen

Modul 5: Rollen, Richtlinien und Mandantentrennung

Autorisierung folgt dem Prinzip minimaler Rechte und wird mit Negativfällen belegt.

1. Schritt 1: Rollen aus Aufgaben und Funktionstrennung ableiten
2. Schritt 2: Richtlinien auf Ressource, Aktion und Domain begrenzen
3. Schritt 3: Wildcard- und Querzugriffe ausdrücklich untersagen
4. Schritt 4: Testmatrix mit erlaubten, verweigerten und eskalierten Fällen ausführen

Modul 6: Secrets, Netzwerke und Container

Laufzeitumgebung und Dienstkonten werden auf notwendige Kommunikation reduziert.

1. Schritt 1: Geheimnisse inventarisieren und aus Konfigurationsdateien entfernen
2. Schritt 2: Interne Dienste und externe Endpunkte segmentieren
3. Schritt 3: Containerrechte, Dateisystem und Images minimieren
4. Schritt 4: Unnötige Ports, Konten und Standardzugänge deaktivieren

Modul 7: Audit und Vorfallreaktion

Kritische Änderungen und Anomalien werden erkannt, eingedämmt und nachvollziehbar bearbeitet.

1. Schritt 1: Auditereignisse und Aufbewahrung definieren
2. Schritt 2: Warnungen für fehlgeschlagene Zugriffe und Rechteänderungen aufbauen
3. Schritt 3: Kompromittiertes Token oder Zertifikat sperren
4. Schritt 4: Auswirkung prüfen, Zugang erneuern und Nachkontrolle dokumentieren

Praxisübungen

• Bedrohungsmodell für Telemetrie- und Kommandopfad
• TLS- und mTLS-Konfiguration mit Fehlerfällen
• Tokenlebenszyklus von Ausgabe bis Widerruf
• Rollen- und Richtlinientests für zwei Mandanten
• Incident-Szenario mit Sperrung und Wiederherstellung

Zielgruppe

Security Engineers, IAM- und PKI-Verantwortliche, Plattformadministratoren, DevOps-Teams und Architekten sicherheitskritischer IoT-Lösungen.

Voraussetzungen

Gute Kenntnisse in Netzwerken, TLS-Grundlagen, Authentisierung und Plattformbetrieb; Magistrala-Grundwissen ist erforderlich.