Seminar TUXEDO OS – Sicherheit, LUKS-Verschlüsselung und Hardening

Das Seminar entwickelt eine risikobasierte Sicherheitsbaseline für mobile und stationäre TUXEDO-OS-Arbeitsplätze. Physischer Zugriff, Datenträgerverschlüsselung, Konten, administrative Rechte, Netzwerk, Paketquellen, Anwendungsberechtigungen, Protokollierung, Backup und Wiederherstellung werden kontrolliert abgesichert.

Inhaltsverzeichnis

• Lernziele und fachliche Einordnung
• Schrittweise Seminarinhalte
• Praxisübungen und Laborszenarien
• Zielgruppe und Voraussetzungen
• Didaktik und Arbeitsweise

Lernziele

• Schutzbedarf und Bedrohungen für Linux-Arbeitsplätze bewerten.
• LUKS und sichere Installationsvarianten korrekt planen.
• Konten, sudo, Dateirechte und Polkit härten.
• Netzwerk, Paketquellen und Anwendungen nach Minimalprinzip absichern.
• Audit-, Backup- und Incident-Prozesse dokumentieren und testen.

Schrittweise Seminarinhalte

1. Bedrohungsmodell und Sicherheitsbaseline

Schwerpunkt: Geräteverlust, physischer Zugriff, Schadsoftware, kompromittierte Konten, unsichere Netze, Lieferkette, Datenklassen, Mindeststandard und Ausnahmen.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Bedrohungsmodell und Sicherheitsbaseline“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: Geräteverlust, physischer Zugriff, Schadsoftware, kompromittierte Konten, unsichere Netze, Lieferkette, Datenklassen, Mindeststandard und Ausnahmen.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis ein freigegebenes Bedrohungs- und Baseline-Modell dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

2. LUKS, Partitionierung und Bootschutz

Schwerpunkt: Vollverschlüsselung, Dual Boot, Wiederherstellungsschlüssel, Passphrase, EFI, Bootloader, Suspend, Swap, Datensicherung und sichere Neuinstallation.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „LUKS, Partitionierung und Bootschutz“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: Vollverschlüsselung, Dual Boot, Wiederherstellungsschlüssel, Passphrase, EFI, Bootloader, Suspend, Swap, Datensicherung und sichere Neuinstallation.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis eine dokumentierte und getestete Verschlüsselungskonfiguration dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

3. Benutzer, sudo, ACL und Polkit

Schwerpunkt: Konten-Lifecycle, Gruppen, administrative Delegation, sudoers, umask, Dateirechte, ACL, grafische Privilegien, Notfallzugriff und Rezertifizierung.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Benutzer, sudo, ACL und Polkit“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: Konten-Lifecycle, Gruppen, administrative Delegation, sudoers, umask, Dateirechte, ACL, grafische Privilegien, Notfallzugriff und Rezertifizierung.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis ein minimal berechtigtes Konten- und Administrationsmodell dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

4. Netzwerk, Firewall und Fernzugriff

Schwerpunkt: WLAN-Sicherheit, VPN, DNS, Zeit, Host-Firewall, SSH-Schlüssel, Serverhärtung, Remote Desktop, Zertifikate und Protokollierung.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Netzwerk, Firewall und Fernzugriff“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: WLAN-Sicherheit, VPN, DNS, Zeit, Host-Firewall, SSH-Schlüssel, Serverhärtung, Remote Desktop, Zertifikate und Protokollierung.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis eine gehärtete Netzwerk- und Fernzugriffsbasis dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

5. Paketvertrauen und Anwendungsisolation

Schwerpunkt: signierte APT-Quellen, TUXEDO-Repositories, Fremdquellen, Sicherheitsupdates, Flatpak-Sandbox, Berechtigungsportale, Browserprofile und Secrets.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Paketvertrauen und Anwendungsisolation“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: signierte APT-Quellen, TUXEDO-Repositories, Fremdquellen, Sicherheitsupdates, Flatpak-Sandbox, Berechtigungsportale, Browserprofile und Secrets.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis einen kontrollierten Softwarevertrauens- und Berechtigungsprozess dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

6. Audit, Datenschutz und Nachweisführung

Schwerpunkt: Journal, Authentisierungsereignisse, sudo-Protokolle, Paketänderungen, Dateizugriff, Datenschutz, Aufbewahrung, Integrität und regelmäßige Kontrollen.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Audit, Datenschutz und Nachweisführung“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: Journal, Authentisierungsereignisse, sudo-Protokolle, Paketänderungen, Dateizugriff, Datenschutz, Aufbewahrung, Integrität und regelmäßige Kontrollen.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis einen prüfbaren Audit- und Kontrollplan dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

7. Backup, Incident Response und Recovery

Schwerpunkt: verschlüsselte Backups, Offsite-Kopie, Systemabbild, Snapshot, Geräteverlust, Kontosperrung, Schlüsselwechsel, Neuinstallation, WebFAI und Nachkontrolle.

1. Ausgangszustand, Anforderungen und Risiken für den Themenblock „Backup, Incident Response und Recovery“ erfassen und die relevanten Abhängigkeiten dokumentieren.
2. Die fachliche oder technische Umsetzung in einer kontrollierten Reihenfolge durchführen und dabei folgende Aspekte berücksichtigen: verschlüsselte Backups, Offsite-Kopie, Systemabbild, Snapshot, Geräteverlust, Kontosperrung, Schlüsselwechsel, Neuinstallation, WebFAI und Nachkontrolle.
3. Funktion, Berechtigungen, Protokollierung und Benutzerwirkung mit definierten Positiv- und Negativtests prüfen.
4. Einen typischen Fehler- oder Abweichungsfall erzeugen, die Ursache systematisch eingrenzen und einen sicheren Rückweg beziehungsweise Workaround testen.
5. Als Arbeitsergebnis ein integriertes Security- und Wiederherstellungsrunbook dokumentieren, fachlich abnehmen und in einen wiederholbaren Betriebsstandard überführen.

Praxisübungen und Laborszenarien

• Erstellung einer Sicherheitsbaseline für einen mobilen Arbeitsplatz.
• Installation beziehungsweise Prüfung eines LUKS-verschlüsselten Systems mit Recovery-Dokumentation.
• Härtung von sudo, SSH und Host-Firewall mit Negativtests.
• Simulation eines Geräteverlusts mit Kontosperrung, Datenwiederherstellung und Nachkontrolle.

Zielgruppe und Voraussetzungen

Zielgruppe: Informationssicherheit, Linux-Administration, Desktop-Betrieb, Datenschutz, Revision und technische Projektleitung.

Voraussetzungen: Grundkenntnisse in Linux-Administration, Netzwerken und Datensicherung.

Didaktik und Arbeitsweise

Kurze Fachimpulse werden unmittelbar durch Demonstrationen, strukturierte Konfigurationsschritte, praktische Übungen und kontrollierte Fehlerfälle vertieft. Jede Übung verwendet definierte Ausgangswerte, Prüfpunkte und Dokumentationsanforderungen, damit die erarbeiteten Abläufe als Betriebsstandard wiederholbar bleiben.