Seminar Postfix Intensivseminar – Sicherheit, Authentifizierung und Mail-Security

Inhaltsverzeichnis

• Seminarprofil
• Zielgruppe
• Voraussetzungen
• Seminarziele
• Seminarinhalte
• Praxisübungen

Seminarprofil

Fünftägiger Sicherheits-Gesamtpfad mit Härtung, TLS, Zertifikaten, SASL, SPF, DKIM, DMARC, postscreen, Policy Services, Inhaltsfilterung, Virenschutz und Incident Response.

Die Themen werden in einer zusammenhängenden Laborumgebung schrittweise aufgebaut. Jede Konfigurationsstufe wird mit Positiv- und Negativtests, Protokollauswertung sowie einer nachvollziehbaren Rückfallmöglichkeit abgesichert. Der Umfang ist auf die fachlich notwendige Dauer abgestimmt und vermeidet sowohl oberflächliche Schnellverfahren als auch unnötige Wiederholungen.

Zielgruppe

Postfix-, Linux- und Mail-Security-Administratoren sowie Security- und Incident-Response-Teams

Voraussetzungen

Gute Postfix-, Linux-, SMTP-, DNS- und TLS-Grundkenntnisse

Seminarziele

• Mailwege, Vertrauenszonen, Schutzgüter und Angreifer erfassen.
• Relay-, Empfänger- und Absenderprüfungen sicher anordnen.
• Server- und Client-TLS getrennt konfigurieren und testen.
• MTA-STS über einen Policy-Resolver anbinden.
• Submission 587 und SMTPS 465 mit TLS-Pflicht aktivieren.
• SPF-Quellen inventarisieren und wartbare Richtlinie entwerfen.
• Postscreen-Dienstkette für öffentlichen Port 25 aufbauen.
• Rspamd-Milter oder vergleichbare Inhaltsbewertung integrieren.

Seminarinhalte

Tag 1: Bedrohungsmodell und Basishärtung

1. Schritt 1: Mailwege, Vertrauenszonen, Schutzgüter und Angreifer erfassen.
2. Schritt 2: Öffentliche Annahme, Submission, interne Relays und Verwaltung trennen.
3. Schritt 3: Listener, Dienste, Dateirechte, Netzpfade und Secrets minimieren.
4. Schritt 4: Relay-, Empfänger- und Absenderprüfungen sicher anordnen.
5. Schritt 5: Rate Limits und Protokollierung für Abuse-Erkennung aufbauen.
6. Schritt 6: Härtungsbaseline mit Positiv- und Negativtests abnehmen.

Tag 2: TLS, Zertifikate und sichere Zustellung

1. Schritt 1: Server- und Client-TLS getrennt konfigurieren und testen.
2. Schritt 2: Zertifikatsketten, private Schlüssel, SNI und Rotation einrichten.
3. Schritt 3: Zielbezogene TLS-Policy-Maps und DANE-Tests umsetzen.
4. Schritt 4: MTA-STS über einen Policy-Resolver anbinden.
5. Schritt 5: TLS-RPT und REQUIRETLS in Monitoring und Tests integrieren.
6. Schritt 6: Handshake-, Namens- und Vertrauensfehler analysieren.

Tag 3: SASL sowie SPF, DKIM und DMARC

1. Schritt 1: Submission 587 und SMTPS 465 mit TLS-Pflicht aktivieren.
2. Schritt 2: Dovecot-SASL anbinden und Relayfreigabe an Authentifizierung koppeln.
3. Schritt 3: Brute Force und kompromittierte Konten über Limits und Monitoring erkennen.
4. Schritt 4: SPF-Quellen inventarisieren und wartbare Richtlinie entwerfen.
5. Schritt 5: DKIM-Signierung über Milter integrieren und Schlüsselrotation planen.
6. Schritt 6: DMARC-Alignment auswerten und Policy stufenweise einführen.

Tag 4: Postscreen, Policy und Inhaltskontrolle

1. Schritt 1: Postscreen-Dienstkette für öffentlichen Port 25 aufbauen.
2. Schritt 2: Pre-Greeting-, Pipelining- und DNS-basierte Prüfungen aktivieren.
3. Schritt 3: SMTP-Restriktionen und Policy Service mit definiertem Timeout anbinden.
4. Schritt 4: Rspamd-Milter oder vergleichbare Inhaltsbewertung integrieren.
5. Schritt 5: Before- und After-Queue-Modelle samt Reinjektion vergleichen.
6. Schritt 6: False Positives, Filterlatenz und Ausfallverhalten untersuchen.

Tag 5: Malware-Schutz, Monitoring und Incident Response

1. Schritt 1: Malware-Scanner und geschützte Quarantäne in die Filterkette einbinden.
2. Schritt 2: Fail-open und Fail-closed für Scanner- und Filterausfall festlegen.
3. Schritt 3: Kennzahlen für TLS, Authentifizierung, Ablehnungen, Filter und Queue definieren.
4. Schritt 4: Kompromittiertes Konto und Malware-Fund als kombinierte Störung bearbeiten.
5. Schritt 5: Queue bereinigen, Secrets rotieren und Ursache dokumentieren.
6. Schritt 6: Mail-Security-Kette mit Angriffstest und Betriebs-Runbook abnehmen.

Praxisübungen

• Laboraufgabe zu Bedrohungsmodell und Basishärtung: Härtungsbaseline mit Positiv- und Negativtests abnehmen.
• Laboraufgabe zu TLS, Zertifikate und sichere Zustellung: Handshake-, Namens- und Vertrauensfehler analysieren.
• Laboraufgabe zu SASL sowie SPF, DKIM und DMARC: DMARC-Alignment auswerten und Policy stufenweise einführen.
• Laboraufgabe zu Postscreen, Policy und Inhaltskontrolle: False Positives, Filterlatenz und Ausfallverhalten untersuchen.
• Laboraufgabe zu Malware-Schutz, Monitoring und Incident Response: Mail-Security-Kette mit Angriffstest und Betriebs-Runbook abnehmen.
• Kontrollierte Fehlersimulation mit dokumentierter Ursache, Korrektur und Rückfall.
• Abnahme des vollständigen Mailflusses anhand von Queue-ID, SMTP-Antwort und Protokollkette.
• Erstellung einer kompakten Betriebscheckliste für wiederkehrende Prüfungen und Änderungen.