Seminar Umbraco – Security und Systemhärtung

Sicherheit entsteht aus mehreren Schichten: Transport, Browserrichtlinien, Identitäten, Berechtigungen, Anwendungscode, Pakete, Infrastruktur und betriebliche Reaktion. Einzelne Schutzmaßnahmen ohne Gesamtbild hinterlassen häufig unerwartete Lücken.

Das Seminar arbeitet mit einer absichtlich unzureichend abgesicherten Übungsinstallation. Die Risiken werden eingeordnet, schrittweise reduziert und anschließend mit technischen sowie organisatorischen Kontrollen überprüft.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

Ziel ist ein nachvollziehbares Härtungskonzept mit priorisierten Maßnahmen, verifizierbaren Einstellungen und einem handlungsfähigen Vorfallprozess.

Zielgruppe

Umbraco-Entwickler, Administratoren, DevOps-Teams, Sicherheitsverantwortliche und technische Projektleitungen.

Voraussetzungen

Grundkenntnisse in Websicherheit, HTTP, ASP.NET Core, Umbraco-Administration und Systembetrieb.

Seminarinhalte

Die Themen werden in aufeinander aufbauenden Arbeitsschritten behandelt. Jeder Schritt wird demonstriert, in der Übungsumgebung umgesetzt und anhand festgelegter Prüfkriterien kontrolliert.

Tag 1 – Bedrohungsmodell, Transport und Identitäten

Der erste Tag schützt die öffentlich und administrativ erreichbaren Zugänge.

1. Schritt 1: Schutzbedarf, Angriffsflächen, Datenflüsse, privilegierte Funktionen und realistische Bedrohungen für die konkrete Installation erfassen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
2. Schritt 2: Transportverschlüsselung, Weiterleitung, Proxyinformationen und sichere Cookies korrekt konfigurieren und auf Fehlkonfiguration prüfen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
3. Schritt 3: Security Header und Content Security Policy schrittweise einführen und notwendige Ausnahmen auf das geringste Maß begrenzen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
4. Schritt 4: Backoffice-Pfad, Anmeldung, Zwei-Faktor-Verfahren, Sitzungsdauer, Wiederherstellung und Sperrregeln sicher gestalten. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
5. Schritt 5: Benutzergruppen, Startknoten und minimale Berechtigungen mit Negativtests und dokumentierter Rezertifizierung absichern. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.

Tag 2 – Anwendung, Betrieb und Vorfallbehandlung

Der zweite Tag härtet Code, Abhängigkeiten und betriebliche Reaktion.

1. Schritt 1: Geheimnisse, Verbindungen, Servicekonten, Dateizugriffe und umgebungsspezifische Werte aus Quellcode und öffentlich erreichbaren Bereichen entfernen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
2. Schritt 2: Pakete, Eigenentwicklungen, Uploads, Formulare, APIs und externe Integrationen nach Eingabe-, Ausgabe- und Berechtigungsrisiken prüfen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
3. Schritt 3: Protokolle und Alarme für Anmeldefehler, Rechteänderungen, ungewöhnliche Anfragen und sicherheitsrelevante Ausnahmen konfigurieren. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
4. Schritt 4: Datensparsamkeit, Aufbewahrung, Löschung, Export und Zugriff auf personenbezogene Informationen technisch unterstützen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.
5. Schritt 5: Vorfall mit Erkennung, Eindämmung, Beweissicherung, Wiederherstellung, Geheimniswechsel und Nachkontrolle praktisch durchspielen. Die Umsetzung wird unmittelbar geprüft, fachlich eingeordnet und mit den notwendigen Betriebs- oder Qualitätsregeln dokumentiert.

Praxisübungen

• Erstellung eines priorisierten Bedrohungs- und Maßnahmenregisters für eine Beispielinstallation.
• Konfiguration und Prüfung von Transport, Security Headern und einer schrittweise verschärften Inhaltsrichtlinie.
• Negativtests für Backoffice-Rollen, APIs, Uploads und geschützte Inhalte.
• Durchführung einer Vorfallübung mit Kontensperre, Geheimniswechsel, Wiederherstellung und Nachweisführung.

Methodik

Kurze Fachvorträge wechseln mit Live-Demonstrationen, geführten Umsetzungen und selbstständigen Übungen. Zwischenstände werden anhand nachvollziehbarer Prüfschritte kontrolliert. Typische Fehlkonfigurationen und Störungsszenarien werden bewusst einbezogen, damit nicht nur der Normalfall, sondern auch Diagnose, Korrektur und sichere Rücknahme beherrscht werden.