Seminar ThingsBoard CE/PE – Security, Authentifizierung und Plattformhärtung

Das Seminar entwickelt ein durchgängiges Sicherheitsmodell für Plattform, Benutzer, Geräte, Schnittstellen und Betrieb. Bedrohungsanalyse, Rollen, Identitätsverfahren, TLS, Geräte-Credentials, Secrets, sichere Konfiguration, Protokollierung, Schwachstellenmanagement und Incident Response werden zu überprüfbaren Schutzmaßnahmen verbunden.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung.
• Schrittweise Seminarinhalte.
• Praxisübungen und Laborszenarien.
• Zielgruppe und Voraussetzungen.
• Didaktik und Arbeitsweise.

Lernziele

• Schutzbedarf, Bedrohungen und Vertrauensgrenzen einer IoT-Plattform systematisch bewerten.
• Benutzer-, Administrator-, Geräte- und Dienstidentitäten sicher authentisieren und autorisieren.
• TLS, Zertifikate, Secrets, Netzwerkzonen und Konfigurationen nach Härtungsprinzipien umsetzen.
• Protokollierung, Audit, Erkennung und Reaktion für sicherheitsrelevante Ereignisse etablieren.
• Sicherheitskontrollen durch Tests, Reviews, Patchprozesse und dokumentierte Ausnahmen dauerhaft betreiben.

Schrittweise Seminarinhalte

1. Schutzbedarf und Bedrohungsmodell

Schwerpunkt: Assets, Datenklassen, Administratoren, Geräteflotte, APIs, Dashboardnutzer, Angriffsflächen, Vertrauensgrenzen, Missbrauchsfälle und Risikopriorisierung.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Schutzbedarf und Bedrohungsmodell“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Assets, Datenklassen, Administratoren, Geräteflotte, APIs, Dashboardnutzer, Angriffsflächen, Vertrauensgrenzen, Missbrauchsfälle und Risikopriorisierung modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein priorisiertes Bedrohungs- und Schutzbedarfsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

2. Benutzeridentitäten und Rollen

Schwerpunkt: Systemadministrator, Tenant Administrator, Customer User, Rollen in PE, minimale Rechte, starke Anmeldung, Session-Schutz, Rezertifizierung und Notfallzugriff.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Benutzeridentitäten und Rollen“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Systemadministrator, Tenant Administrator, Customer User, Rollen in PE, minimale Rechte, starke Anmeldung, Session-Schutz, Rezertifizierung und Notfallzugriff modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis ein belastbares Benutzer- und Berechtigungsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

3. Geräteidentitäten und Credentials

Schwerpunkt: Access Token, Basic Credentials, X.509, Schlüsselgenerierung, sichere Speicherung, Provisioning, Rotation, Sperrung, Geräteersatz und Bestandsabgleich.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Geräteidentitäten und Credentials“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Access Token, Basic Credentials, X.509, Schlüsselgenerierung, sichere Speicherung, Provisioning, Rotation, Sperrung, Geräteersatz und Bestandsabgleich modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen vollständigen Credential-Lifecycle für Geräte dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

4. TLS, Zertifikate und Kommunikationsschutz

Schwerpunkt: HTTPS, MQTT über TLS, Zertifikatsketten, Hostnamen, Keystores, Clientzertifikate, Cipher, Erneuerung, Widerruf und Fehlerszenarien.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „TLS, Zertifikate und Kommunikationsschutz“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von HTTPS, MQTT über TLS, Zertifikatsketten, Hostnamen, Keystores, Clientzertifikate, Cipher, Erneuerung, Widerruf und Fehlerszenarien modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine geprüfte TLS- und Zertifikatsarchitektur dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

5. Netzwerk- und Plattformhärtung

Schwerpunkt: Segmentierung, Firewall, Reverse Proxy, Ingress, administrative Zugänge, Dienstkonten, Betriebssystem, Container, Datenbank, Queue, Dateirechte und sichere Standardwerte.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Netzwerk- und Plattformhärtung“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Segmentierung, Firewall, Reverse Proxy, Ingress, administrative Zugänge, Dienstkonten, Betriebssystem, Container, Datenbank, Queue, Dateirechte und sichere Standardwerte modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis eine umsetzbare technische Härtungsbaseline dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

6. Secrets, APIs und Erweiterungen

Schwerpunkt: Passwörter, API-Tokens, Integrationsschlüssel, Umgebungsvariablen, Secret Stores, Rotation, Custom Widgets, Skripte, Eingabevalidierung und Abhängigkeitsrisiken.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Secrets, APIs und Erweiterungen“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Passwörter, API-Tokens, Integrationsschlüssel, Umgebungsvariablen, Secret Stores, Rotation, Custom Widgets, Skripte, Eingabevalidierung und Abhängigkeitsrisiken modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen sicheren Secret- und Erweiterungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

7. Audit, Monitoring und Incident Response

Schwerpunkt: Anmeldeereignisse, Rollenänderungen, Gerätefehler, API-Missbrauch, Zertifikatsprobleme, Logschutz, Korrelation, Alarmierung, Beweissicherung und Eskalation.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Audit, Monitoring und Incident Response“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Anmeldeereignisse, Rollenänderungen, Gerätefehler, API-Missbrauch, Zertifikatsprobleme, Logschutz, Korrelation, Alarmierung, Beweissicherung und Eskalation modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen Sicherheitsmonitoring- und Reaktionsleitfaden dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

8. Patchen, Tests und Sicherheitsgovernance

Schwerpunkt: Inventar, Schwachstellenbewertung, Updates, Teststufen, Security Review, Konfigurationsscan, Penetrationstestplanung, Ausnahmen, Nachweisführung und Verbesserungszyklus.

1. Ausgangslage, Schutzbedarf, technische Randbedingungen und Abnahmekriterien für den Themenblock „Patchen, Tests und Sicherheitsgovernance“ erfassen.
2. Relevante Komponenten, Entitäten, Rollen, Schnittstellen und Abhängigkeiten anhand von Inventar, Schwachstellenbewertung, Updates, Teststufen, Security Review, Konfigurationsscan, Penetrationstestplanung, Ausnahmen, Nachweisführung und Verbesserungszyklus modellieren.
3. Die erforderliche Konfiguration oder Prozessfolge in einer kontrollierten Laborumgebung schrittweise umsetzen und jeden Zwischenstand protokollieren.
4. Funktion, Berechtigungen, Datenfluss, Protokollierung, Fehlerverhalten und Grenzfälle mit definierten Positiv- und Negativtests prüfen.
5. Als Arbeitsergebnis einen kontinuierlichen Sicherheits- und Patchprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebs- oder Entwicklungsstandard überführen.

Praxisübungen und Laborszenarien

• Erstellung eines Bedrohungsmodells für Benutzer-, Geräte- und API-Zugriffe.
• Aufbau eines rollenbasierten Zugriffskonzepts mit Negativtests.
• Konfiguration und Prüfung eines TLS-geschützten Gerätekanals mit Zertifikatsfehlerfällen.
• Härtungsreview einer Beispielinstallation einschließlich Secrets, Netzwerk und Protokollierung.
• Simulation eines Credential-Missbrauchs mit Incident- und Sperrprozess.

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Security Engineering, Plattform- und Systemadministration, IoT-Architektur, DevOps und technischer Betrieb.

Voraussetzungen: Grundkenntnisse in Netzwerken, TLS, Identitäts- und Berechtigungsmanagement sowie ThingsBoard-Architektur.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen. Dadurch entstehen nachvollziehbare Abläufe, die sich auf Entwicklungs-, Test- und Produktionsumgebungen übertragen lassen.