Seminar Wagtail: Sicherheit und Hardening

Das Seminar erstellt ein anwendbares Sicherheitskonzept für Wagtail-Anwendungen und setzt technische, organisatorische und betriebliche Schutzmaßnahmen praktisch um.

Inhaltsübersicht

1. Schutzbedarf und Bedrohungsmodell
2. Sichere Django- und Wagtail-Konfiguration
3. Authentisierung, Sitzungen und Konten
4. Autorisierung und redaktionelle Grenzen
5. Eingaben, Uploads und Inhalte
6. Abhängigkeiten und Lieferkette
7. Logging, Alarmierung und Incident Response

Seminarprofil

Die Inhalte verbinden fachliche Einordnung, geführte Demonstrationen und eigenständige Übungen. Jeder Themenblock baut auf den vorherigen Arbeitsschritten auf; Konfigurationen und Implementierungen werden unmittelbar anhand definierter Qualitätskriterien überprüft. Zwei Tage sind erforderlich, um Bedrohungsmodell, Konfiguration, Authentisierung, Berechtigungen, Uploads, Abhängigkeiten, Protokollierung und Incident-Abläufe mit Prüfungen zu verbinden.

Zielgruppe und Voraussetzungen

Zielgruppe: Wagtail- und Django-Entwickler, DevOps-Teams, Sicherheitsverantwortliche und technische Administratoren.

Voraussetzungen: Sichere Django- und Webgrundlagen sowie Verständnis für Deployment, HTTP, Benutzerverwaltung und Datenbanken.

Seminarinhalte

Kapitel 1: Schutzbedarf und Bedrohungsmodell

Das Kapitel ordnet Schutzbedarf und Bedrohungsmodell in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Daten, Funktionen und privilegierte Rollen; 2. Angriffsflächen von Frontend, Admin, API und Infrastruktur; 3. Missbrauchsfälle und realistische Angreifermodelle; 4. Priorisierte Maßnahmen nach Risiko und Wirksamkeit

1. Schritt 1: Daten, Funktionen und privilegierte Rollen als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Angriffsflächen von Frontend, Admin, API und Infrastruktur reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Missbrauchsfälle und realistische Angreifermodelle unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Priorisierte Maßnahmen nach Risiko und Wirksamkeit mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 2: Sichere Django- und Wagtail-Konfiguration

Das Kapitel ordnet Sichere Django- und Wagtail-Konfiguration in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Debug-Modus, Hosts, Schlüssel und Umgebungsvariablen; 2. HTTPS, sichere Cookies und Transportvorgaben; 3. Security Header und vertrauenswürdige Ursprünge; 4. Startprüfungen und sichere Produktionsdefaults

1. Schritt 1: Debug-Modus, Hosts, Schlüssel und Umgebungsvariablen als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: HTTPS, sichere Cookies und Transportvorgaben reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Security Header und vertrauenswürdige Ursprünge unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Startprüfungen und sichere Produktionsdefaults mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 3: Authentisierung, Sitzungen und Konten

Das Kapitel ordnet Authentisierung, Sitzungen und Konten in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Passwortregeln und Mehrfaktor-Strategien; 2. Session-Lebensdauer und Abmeldung; 3. Schutz privilegierter Konten und Notfallzugänge; 4. Eintritt, Rollenwechsel, Sperrung und Austritt

1. Schritt 1: Passwortregeln und Mehrfaktor-Strategien als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Session-Lebensdauer und Abmeldung reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Schutz privilegierter Konten und Notfallzugänge unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Eintritt, Rollenwechsel, Sperrung und Austritt mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 4: Autorisierung und redaktionelle Grenzen

Das Kapitel ordnet Autorisierung und redaktionelle Grenzen in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Gruppen, Seitenrechte und Sammlungen; 2. Schutz eigener Admin-Ansichten und Aktionen; 3. Objektbezogene Prüfungen in Services und APIs; 4. Negativtests für horizontale und vertikale Rechteausweitung

1. Schritt 1: Gruppen, Seitenrechte und Sammlungen als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Schutz eigener Admin-Ansichten und Aktionen reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Objektbezogene Prüfungen in Services und APIs unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Negativtests für horizontale und vertikale Rechteausweitung mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 5: Eingaben, Uploads und Inhalte

Das Kapitel ordnet Eingaben, Uploads und Inhalte in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Serverseitige Validierung und sichere Ausgabe; 2. Dateitypen, Größen, Speicherorte und Prüfprozesse; 3. Embeds, Rich Text und kontrollierte HTML-Funktionen; 4. Schutz vor Spam, Missbrauch und Ressourcenerschöpfung

1. Schritt 1: Serverseitige Validierung und sichere Ausgabe als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Dateitypen, Größen, Speicherorte und Prüfprozesse reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Embeds, Rich Text und kontrollierte HTML-Funktionen unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Schutz vor Spam, Missbrauch und Ressourcenerschöpfung mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 6: Abhängigkeiten und Lieferkette

Das Kapitel ordnet Abhängigkeiten und Lieferkette in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Inventar direkter und transitiver Pakete; 2. Versionierung, Schwachstellenprüfung und Aktualisierung; 3. Bewertung von Wagtail-Paketen und Wartungsstatus; 4. Reproduzierbare Builds und kontrollierte Artefakte

1. Schritt 1: Inventar direkter und transitiver Pakete als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Versionierung, Schwachstellenprüfung und Aktualisierung reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Bewertung von Wagtail-Paketen und Wartungsstatus unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Reproduzierbare Builds und kontrollierte Artefakte mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.

Kapitel 7: Logging, Alarmierung und Incident Response

Das Kapitel ordnet Logging, Alarmierung und Incident Response in den Gesamtzusammenhang ein und überführt die vier Teilthemen in einen nachvollziehbaren Arbeitsablauf.

Inhaltsverzeichnis des Kapitels: 1. Sicherheitsrelevante Ereignisse und Audit-Spuren; 2. Datensparsame Protokolle und Zugriffsschutz; 3. Alarmierung, Triage und Eindämmung; 4. Wiederherstellung, Ursachenanalyse und Maßnahmenverfolgung

1. Schritt 1: Sicherheitsrelevante Ereignisse und Audit-Spuren als messbare Betriebsanforderung formulieren und belastbare Ausgangswerte erfassen.
2. Schritt 2: Datensparsame Protokolle und Zugriffsschutz reproduzierbar konfigurieren, automatisieren und versionskontrolliert dokumentieren.
3. Schritt 3: Alarmierung, Triage und Eindämmung unter Last-, Fehler-, Wiederanlauf- oder Ausfallszenarien praktisch testen.
4. Schritt 4: Wiederherstellung, Ursachenanalyse und Maßnahmenverfolgung mit Monitoring, Alarmierung und standardisierten Betriebsabläufen absichern.