Seminar Wazuh Cloud-Sicherheit für AWS, Azure und Google Cloud

Beschreibung

Cloudüberwachung wird plattformübergreifend aufgebaut, ohne die Unterschiede von Konten, Mandanten, Projekten und nativen Auditdiensten zu verdecken. Die Datenwege werden mit minimalen Rechten und nachvollziehbarer Mandantenzuordnung geplant.

Neben der Anbindung stehen Datenqualität und verwertbare Erkennungen im Mittelpunkt. Auditdaten werden mit Agententelemetrie aus Cloud-Workloads korreliert und in einen belastbaren Betriebsprozess überführt.

Zielgruppe

Cloud Security, SOC, Wazuh-Administration, Cloud-Plattformbetrieb, DevSecOps und Security Architecture

Voraussetzungen

Grundkenntnisse mindestens einer Cloud-Plattform, Identitäts- und Berechtigungsmodelle, JSON und Wazuh-Grundlagen

Lernziele

• Cloud-Datenquellen und Verantwortungsgrenzen modellieren
• Audit- und Identitätsdaten aus drei Cloud-Plattformen anbinden
• Workload-Agenten automatisiert und mandantengerecht zuordnen
• Cloud-spezifische Erkennungen mit Endpoint-Kontext korrelieren
• Abrufgesundheit, Berechtigungen und Datenvolumen überwachen

Inhaltsübersicht

1. Cloud-Datenquellen und Verantwortungsmodell planen
2. AWS-Audit- und Sicherheitsdaten anbinden
3. Azure-Aktivitäts- und Identitätsdaten anbinden
4. Google-Cloud-Auditdaten anbinden
5. Cloud-Workloads mit Agenten überwachen
6. Cloud-spezifische Erkennungen und Korrelationen entwickeln
7. Cloud-Überwachung betreiben und Qualität sichern

Seminarinhalte

1. Cloud-Datenquellen und Verantwortungsmodell planen

Cloud-Konten, Abonnements, Projekte, Regionen und Workloads in ein einheitliches Überwachungsmodell überführen.

1. Identitäten, Plattformdienste, Netzwerk-, Speicher- und Workload-Ereignisse je Cloud inventarisieren.
2. Festlegen, welche Daten über native Auditdienste und welche über Agenten erfasst werden.
3. Zugriffsrollen, Geheimnisse, Abrufintervalle und Datenresidenz dokumentieren.
4. Mehrmandanten- und Umgebungsgrenzen in Gruppen, Tags und Indizes abbilden.
5. Kontrolltests für Vollständigkeit, Verzögerung und Ausfall einer Quelle definieren.

2. AWS-Audit- und Sicherheitsdaten anbinden

Relevante Konto- und Dienstereignisse kontrolliert erfassen und für Regeln normalisieren.

1. CloudTrail-, Konfigurations-, Identitäts- und Sicherheitsereignisse nach Anwendungsfall auswählen.
2. Speicher- beziehungsweise Transportpfad, Leseberechtigung und Verschlüsselung vorbereiten.
3. Abrufmodul mit getrennten technischen Zugangsdaten konfigurieren.
4. Testaktivitäten erzeugen und Zeitstempel, Konto, Region, Quelle und Aktion prüfen.
5. Lücken, Duplikate und Abruffehler über Betriebskennzahlen überwachen.

3. Azure-Aktivitäts- und Identitätsdaten anbinden

Administrative, Identitäts- und Ressourcenereignisse aus Azure-Umgebungen strukturiert übernehmen.

1. Abonnements, Mandanten und relevante Protokollkategorien inventarisieren.
2. Technische Anwendung und minimale Leserechte für die Datenerfassung einrichten.
3. Transport- oder Abfrageweg mit sicheren Geheimnissen konfigurieren.
4. Kontrollereignisse für Anmeldung, Rollenänderung und Ressourcenänderung erzeugen.
5. Feldzuordnung, Verzögerung und Fehlerbehandlung dokumentieren.

4. Google-Cloud-Auditdaten anbinden

Projekt- und Organisationsereignisse aus der Google Cloud nachvollziehbar in die Analyse integrieren.

1. Organisationen, Ordner, Projekte und benötigte Auditkategorien abgrenzen.
2. Dienstkonto und minimale Berechtigungen für den vorgesehenen Transportweg einrichten.
3. Nachrichten- oder Abfragepfad konfigurieren und Verarbeitungstakt festlegen.
4. Testereignisse für Identitäts-, IAM- und Ressourcenänderungen auslösen.
5. Projektbezug, Principal, Methode, Ressource und Zeitstempel im Ergebnis kontrollieren.

5. Cloud-Workloads mit Agenten überwachen

Betriebssystem- und Anwendungsdaten aus virtuellen Maschinen und persistenten Workloads ergänzend erfassen.

1. Workload-Klassen, Image-Prozess und automatische Bereitstellung bestimmen.
2. Agentenparameter ohne fest eingebaute Geheimnisse in Image oder Bootstrap integrieren.
3. Gruppen nach Cloud, Konto, Umgebung und Workload-Rolle zuweisen.
4. Skalierung, kurzlebige Instanzen und ordnungsgemäße Außerbetriebnahme berücksichtigen.
5. Agentenabdeckung und verwaiste Einträge regelmäßig abgleichen.

6. Cloud-spezifische Erkennungen und Korrelationen entwickeln

Fehlkonfigurationen und verdächtige Identitäts- oder Ressourcenaktivitäten kontextbezogen erkennen.

1. Priorisierte Szenarien wie ungewöhnliche Anmeldung, Rechteerweiterung und Schutzabschaltung auswählen.
2. Felder und Normalisierung über die Cloud-Plattformen hinweg vergleichen.
3. Regeln mit Konto-, Region-, Identitäts- und Ressourcenbezug erstellen.
4. Korrelation zwischen Cloud-Auditdaten und Workload-Ereignissen testen.
5. Fehlalarme durch genehmigte Automatisierungen und Wartungsfenster begrenzen.

7. Cloud-Überwachung betreiben und Qualität sichern

Berechtigungen, Abrufe, Datenmengen und Kostenwirkungen dauerhaft kontrollieren.

1. Gesundheitsprüfungen für Quellen, Warteschlangen, API-Kontingente und letzte erfolgreiche Abholung definieren.
2. Änderungen an Mandanten, Projekten und Protokollkonfigurationen in den Betriebsprozess aufnehmen.
3. Datenvolumen und Suchnutzung nach Cloud und Quelle auswerten.
4. Fehler mit Verantwortlichkeit, Eskalation und Wiederanlauf dokumentieren.
5. Regelmäßigen Abdeckungs- und Berechtigungsreview terminieren.

Praxislabor

1. Ein Mehrmandantenmodell mit Konto-, Abonnement- und Projektzuordnung entwerfen.
2. Je Cloud einen sicheren Erfassungsweg mit minimaler Leseberechtigung konfigurieren.
3. Kontrollereignisse für Anmeldung, Rollenänderung und Ressourcenänderung erzeugen.
4. Ein cloudübergreifendes Erkennungsszenario mit Workload-Kontext testen.
5. Gesundheitskennzahlen für letzte Abholung, Fehler und Datenvolumen erstellen.

Betriebliche Qualitätssicherung

• Getrennte technische Identitäten und minimale Berechtigungen
• Kontrollereignisse je Cloud-Plattform
• Nachweis von Vollständigkeit, Verzögerung und Mandantenzuordnung
• Runbook für Berechtigungs-, Kontingent- und Transportfehler