Seminar Outpost24 – OutscanNX Cloud- und Container-Assessment

Viertägiges Spezialseminar für Cloud- und Container-Sicherheitsbewertungen. Berechtigungsarme Anbindungen, Cloudinventar, Registries, Image-Scans, Befundkontext, Remediation und Einbindung in Build- und Betriebsprozesse werden Ende-zu-Ende behandelt. Die Inhalte werden in einer kontrollierten Übungsumgebung schrittweise aufgebaut, geprüft und in betriebsfähige Arbeitsabläufe übertragen.

Inhaltsübersicht

• Zielsetzung
• Seminarinhalte
• Kapitel 1: Cloud- und Container-Assessment im Gesamtmodell
• Kapitel 2: Cloud-Konten und Ressourcenaufnahme
• Kapitel 3: Cloud-Credentials und Berechtigungsgrenzen
• Kapitel 4: Container-Registries und Imagebestand
• Kapitel 5: Container-Image-Scans und Befundzuordnung
• Kapitel 6: Cloud- und Container-Findings priorisieren
• Kapitel 7: Einbindung in Build- und Betriebsprozesse
• Zielgruppe
• Voraussetzungen
• Methodik

Zielsetzung

Ein kontrollierter Cloud- und Container-Prüfprozess wird von der sicheren Anbindung bis zur verifizierten Behebung in Pipeline und Laufzeit aufgebaut.

Seminarinhalte

Die Bearbeitung folgt einem durchgängigen Ablauf aus Einordnung, Konfiguration, Analyse, Validierung und Dokumentation. Jeder Arbeitsschritt wird zunächst fachlich begründet und anschließend praktisch ausgeführt.

Kapitel 1: Cloud- und Container-Assessment im Gesamtmodell

1. Schritt 1: Netzwerk-, Cloud-Konfigurations- und Container-Image-Prüfung fachlich voneinander abgrenzen.
2. Schritt 2: Konten, Subscriptions, Projekte, Registries und Images als prüfbare Ressourcen modellieren.
3. Schritt 3: Shared-Responsibility, Berechtigungen und Datenflüsse in ein Cloud-Sicherheitskonzept einordnen.
4. Schritt 4: Abdeckung und Zuständigkeiten für Cloud- und Container-Risiken verbindlich festlegen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 2: Cloud-Konten und Ressourcenaufnahme

1. Schritt 1: Relevante Konten, Subscriptions, Regionen und Ressourcentypen vollständig erfassen.
2. Schritt 2: Lesezugriffe, Vertrauensbeziehungen und technische Freigaben mit dem Cloud-Team vorbereiten.
3. Schritt 3: Kleine Testanbindung einrichten und erkannte Ressourcen gegen das Cloudinventar prüfen.
4. Schritt 4: Rollout durchführen und fehlende oder unerwartete Ressourcen als Klärfälle nachverfolgen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 3: Cloud-Credentials und Berechtigungsgrenzen

1. Schritt 1: Technische Identität und minimal erforderliche Berechtigungen je Cloud-Plattform definieren.
2. Schritt 2: Schlüssel, Rollen oder Vertrauensbeziehungen sicher anlegen und zeitlich kontrollieren.
3. Schritt 3: Berechtigungen mit Positiv- und Negativtests auf Datenzugriff und Funktionsumfang prüfen.
4. Schritt 4: Rotation, Sperrung, Protokollierung und Notfallverfahren dokumentieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 4: Container-Registries und Imagebestand

1. Schritt 1: Registries, Repositories, Tags, Digests und Verantwortliche in einen prüfbaren Bestand überführen.
2. Schritt 2: Zugriff auf private Registries mit minimalen Leserechten konfigurieren.
3. Schritt 3: Imageauswahl nach Releasezustand, Einsatzumgebung und Kritikalität festlegen.
4. Schritt 4: Veraltete, ungenutzte oder unbekannte Images erkennen und zur Bereinigung übergeben.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 5: Container-Image-Scans und Befundzuordnung

1. Schritt 1: Scan eines repräsentativen Images auslösen und Komponenten sowie Pakete inventarisieren.
2. Schritt 2: Findings auf Image, Tag, Digest, Basisschicht und betroffene Komponente zurückführen.
3. Schritt 3: Mehrfachmeldungen über gemeinsame Basisschichten oder Pakete zusammenfassen.
4. Schritt 4: Fix durch aktualisierte Basis, Paketupdate oder Neuaufbau planen und erneut prüfen.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 6: Cloud- und Container-Findings priorisieren

1. Schritt 1: Fehlkonfiguration, verwundbare Komponente, öffentliche Exposition und Identitätsrisiko unterscheiden.
2. Schritt 2: Assetkritikalität, Erreichbarkeit, Laufzeitstatus und Deployment-Nähe als Kontext ergänzen.
3. Schritt 3: Maßnahmen nach Plattformteam, Anwendungsteam, Pipeline oder Governance-Owner zuweisen.
4. Schritt 4: Behebung in Cloudinventar, Image und laufender Umgebung vollständig verifizieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Kapitel 7: Einbindung in Build- und Betriebsprozesse

1. Schritt 1: Prüfpunkte vor Merge, Build, Registry-Freigabe und Deployment festlegen.
2. Schritt 2: Schwellenwerte für Blockierung, Warnung und dokumentierte Ausnahme definieren.
3. Schritt 3: Ergebnisse über API, Bericht oder Workflow an Entwicklung und Plattformbetrieb übergeben.
4. Schritt 4: Ausnahmeablauf, erneute Prüfung und Nachweisführung in den Releaseprozess integrieren.

Praxis: Die Schritte werden an einem abgegrenzten Beispielszenario umgesetzt, geprüft und in einer wiederverwendbaren Arbeitsunterlage dokumentiert.

Zielgruppe

Cloud Security, Container- und Plattformbetrieb, DevSecOps, Vulnerability Management, Cloud Engineering und technische Projektleitung.

Voraussetzungen

Grundlagen zu AWS oder Azure, Containern, Registries, Rollen- und Berechtigungsmodellen sowie CI/CD. Ein abgegrenzter Testzugang ist erforderlich.

Methodik

Fachlicher Kurzvortrag, geführte Demonstration, schrittweise Konfiguration, Analyse realitätsnaher Befunde, praktische Übungen am System sowie dokumentierte Kontroll- und Abnahmeschritte.