Seminar Wazuh Intensiv – Cloud, Container, Compliance und Exposure Management

Beschreibung

Der Intensivpfad verbindet dynamische Cloud- und Containerlandschaften mit kontinuierlichen technischen Kontrollen. Konten, Projekte, Cluster, Namespaces und Workloads werden in ein nachvollziehbares Mandanten- und Metadatenmodell überführt.

Erfassung und Erkennung werden mit Kontrollnachweis und Exposure-Prozess verknüpft. Damit entstehen nicht nur Alarme, sondern auch überprüfbare Aussagen zu Konfiguration, Softwarebestand, Abweichung und Behebung.

Zielgruppe

Cloud Security, Kubernetes- und Plattformbetrieb, DevSecOps, Wazuh-Administration, Vulnerability Management und technische Compliance

Voraussetzungen

Grundkenntnisse in mindestens einer Cloud-Plattform, Linux, Containern, Kubernetes, Identitätsmodellen und Wazuh

Lernziele

• Cloud- und Containerdaten mit minimalen Rechten erfassen
• Kubernetes-Audit, Laufzeit- und Workloadkontext korrelieren
• SCA- und FIM-Kontrollen selbst entwickeln und validieren
• Schwachstellen risikobasiert priorisieren und nachverfolgen
• Nachweise, Ausnahmen und Betriebsqualität kontinuierlich steuern

Inhaltsübersicht

1. Cloud-Datenquellen und Verantwortungsmodell planen
2. AWS-Audit- und Sicherheitsdaten anbinden
3. Azure-Aktivitäts- und Identitätsdaten anbinden
4. Google-Cloud-Auditdaten anbinden
5. Cloud-Workloads mit Agenten überwachen
6. Container- und Kubernetes-Bedrohungsmodell erstellen
7. Docker-Hosts und Containerereignisse überwachen
8. Kubernetes-Auditdaten erfassen und auswerten
9. Erkennungs- und Reaktionsabläufe für Container entwickeln
10. Eigene SCA-Policy entwickeln und testen
11. Technische Kontrollen auf Regelwerke abbilden
12. FIM-Schutzumfang risikobasiert festlegen
13. Änderungsursachen mit Who-data nachvollziehen
14. Schwachstellenerkennung konfigurieren und prüfen
15. Funde technisch triagieren
16. Kontinuierliche Kontrollüberwachung etablieren

Seminarinhalte

1. Cloud-Datenquellen und Verantwortungsmodell planen

Cloud-Konten, Abonnements, Projekte, Regionen und Workloads in ein einheitliches Überwachungsmodell überführen.

1. Identitäten, Plattformdienste, Netzwerk-, Speicher- und Workload-Ereignisse je Cloud inventarisieren.
2. Festlegen, welche Daten über native Auditdienste und welche über Agenten erfasst werden.
3. Zugriffsrollen, Geheimnisse, Abrufintervalle und Datenresidenz dokumentieren.
4. Mehrmandanten- und Umgebungsgrenzen in Gruppen, Tags und Indizes abbilden.
5. Kontrolltests für Vollständigkeit, Verzögerung und Ausfall einer Quelle definieren.

2. AWS-Audit- und Sicherheitsdaten anbinden

Relevante Konto- und Dienstereignisse kontrolliert erfassen und für Regeln normalisieren.

1. CloudTrail-, Konfigurations-, Identitäts- und Sicherheitsereignisse nach Anwendungsfall auswählen.
2. Speicher- beziehungsweise Transportpfad, Leseberechtigung und Verschlüsselung vorbereiten.
3. Abrufmodul mit getrennten technischen Zugangsdaten konfigurieren.
4. Testaktivitäten erzeugen und Zeitstempel, Konto, Region, Quelle und Aktion prüfen.
5. Lücken, Duplikate und Abruffehler über Betriebskennzahlen überwachen.

3. Azure-Aktivitäts- und Identitätsdaten anbinden

Administrative, Identitäts- und Ressourcenereignisse aus Azure-Umgebungen strukturiert übernehmen.

1. Abonnements, Mandanten und relevante Protokollkategorien inventarisieren.
2. Technische Anwendung und minimale Leserechte für die Datenerfassung einrichten.
3. Transport- oder Abfrageweg mit sicheren Geheimnissen konfigurieren.
4. Kontrollereignisse für Anmeldung, Rollenänderung und Ressourcenänderung erzeugen.
5. Feldzuordnung, Verzögerung und Fehlerbehandlung dokumentieren.

4. Google-Cloud-Auditdaten anbinden

Projekt- und Organisationsereignisse aus der Google Cloud nachvollziehbar in die Analyse integrieren.

1. Organisationen, Ordner, Projekte und benötigte Auditkategorien abgrenzen.
2. Dienstkonto und minimale Berechtigungen für den vorgesehenen Transportweg einrichten.
3. Nachrichten- oder Abfragepfad konfigurieren und Verarbeitungstakt festlegen.
4. Testereignisse für Identitäts-, IAM- und Ressourcenänderungen auslösen.
5. Projektbezug, Principal, Methode, Ressource und Zeitstempel im Ergebnis kontrollieren.

5. Cloud-Workloads mit Agenten überwachen

Betriebssystem- und Anwendungsdaten aus virtuellen Maschinen und persistenten Workloads ergänzend erfassen.

1. Workload-Klassen, Image-Prozess und automatische Bereitstellung bestimmen.
2. Agentenparameter ohne fest eingebaute Geheimnisse in Image oder Bootstrap integrieren.
3. Gruppen nach Cloud, Konto, Umgebung und Workload-Rolle zuweisen.
4. Skalierung, kurzlebige Instanzen und ordnungsgemäße Außerbetriebnahme berücksichtigen.
5. Agentenabdeckung und verwaiste Einträge regelmäßig abgleichen.

6. Container- und Kubernetes-Bedrohungsmodell erstellen

Control Plane, Worker, Laufzeit, Images, Workloads und Lieferkette als getrennte Schutzobjekte betrachten.

1. Clusterrollen, Namespaces, Knoten, Registries und administrative Zugänge inventarisieren.
2. Bedrohungen für Identität, Privilegien, Secrets, Netzwerk und Persistenz priorisieren.
3. Datenquellen pro Schicht und erwartete Erkennungen zuordnen.
4. Grenzen kurzlebiger Workloads und fehlender Hostsicht dokumentieren.
5. Ein Abdeckungsmodell mit Verantwortlichkeiten erstellen.

7. Docker-Hosts und Containerereignisse überwachen

Host-, Laufzeit- und Containerdaten so erfassen, dass Start, Stopp, Imagewechsel und privilegierte Aktionen sichtbar werden.

1. Agentenposition und Zugriff auf Laufzeitinformationen sicher festlegen.
2. Docker-Ereignisse und relevante Protokolle aktivieren.
3. Testcontainer mit kontrollierten Zustandsänderungen ausführen.
4. Container-ID, Image, Name, Aktion und Hostbezug im Ereignis prüfen.
5. Zugriffsrechte und Datenvolumen auf das erforderliche Maß begrenzen.

8. Kubernetes-Auditdaten erfassen und auswerten

API-Server-Aktivitäten für administrative und sicherheitsrelevante Änderungen nutzbar machen.

1. Audit-Ziele und benötigte Stufen für Authentisierung, Autorisierung und Ressourcenänderungen festlegen.
2. Audit-Policy und Transportweg mit kontrolliertem Datenvolumen konfigurieren.
3. Testaktionen für Rollenbindung, Secret-Zugriff und Pod-Erstellung durchführen.
4. Benutzer, Verb, Ressource, Namespace, Entscheidung und Quelladresse prüfen.
5. Rauschquellen über eng begrenzte Policy- und Regeltuningmaßnahmen reduzieren.

9. Erkennungs- und Reaktionsabläufe für Container entwickeln

Verdächtige Laufzeit- und Clusteraktivitäten mit kontrollierter Eindämmung verbinden.

1. Szenarien wie privilegierter Container, ungewöhnliche Shell und unzulässige Rollenbindung priorisieren.
2. Ereignisse aus Audit, Laufzeit, Host und Anwendung korrelieren.
3. Regeln mit Namespace-, Workload- und Identitätskontext testen.
4. Reaktionsoptionen von Ticket über Isolierung bis zur Skalierung auf null bewerten.
5. Jede automatische Aktion mit Schutzgrenzen, Freigabe und Rückweg versehen.

10. Eigene SCA-Policy entwickeln und testen

Unternehmensspezifische Konfigurationsanforderungen in wartbare technische Checks überführen.

1. Anforderung, Plattform, Sollwert und Nachweismethode für jeden Check festlegen.
2. Datei-, Prozess-, Paket- oder Konfigurationsprüfung mit eindeutiger Logik formulieren.
3. Policy auf positiven, negativen und nicht anwendbaren Testsystemen ausführen.
4. Beschreibungen und Remediation-Hinweise fachlich prüfen.
5. Version, Freigabe und Rückwärtskompatibilität der Policy verwalten.

11. Technische Kontrollen auf Regelwerke abbilden

Erkennungen und SCA-Prüfungen nachvollziehbar mit internen und externen Kontrollanforderungen verbinden.

1. Kontrollkatalog und Geltungsbereich für die Zielumgebung bestimmen.
2. Pro Kontrolle Datenquelle, Prüfmethode, Frequenz und Verantwortlichkeit zuordnen.
3. Wazuh-Regeln und SCA-Checks mit Kontrollkennungen versehen.
4. Mehrfachzuordnungen und Lücken in einer Kontrollmatrix sichtbar machen.
5. Die Matrix fachlich freigeben und bei Änderungen versionieren.

12. FIM-Schutzumfang risikobasiert festlegen

Kritische Dateien und Verzeichnisse überwachen, ohne durch ungerichtete Vollerfassung unnötige Last und Alarmflut zu erzeugen.

1. System-, Anwendungs-, Konfigurations-, Zertifikats- und Skriptpfade nach Schutzbedarf inventarisieren.
2. Änderungsrate, Eigentümer, Wartungsfenster und zulässige Prozesse je Pfad dokumentieren.
3. Ein- und Ausschlüsse sowie Dateitypen bewusst definieren.
4. Überwachungsmodus und Prüffrequenz nach Plattform und Änderungsdynamik auswählen.
5. Abdeckung und erwartete Teständerungen in einer FIM-Matrix festhalten.

13. Änderungsursachen mit Who-data nachvollziehen

Neben dem Objekt auch Benutzer-, Prozess- und Aktionskontext einer Änderung erfassen.

1. Plattformvoraussetzungen und notwendige Auditfunktionen prüfen.
2. Who-data für einen begrenzten Testpfad aktivieren.
3. Änderungen mit unterschiedlichen Benutzern und Prozessen erzeugen.
4. Benutzer, Prozess, Objekt, Aktion und Zeitbezug im Alarm verifizieren.
5. Berechtigungen, Auditlast und mögliche Lücken dokumentieren.

14. Schwachstellenerkennung konfigurieren und prüfen

Inventardaten zuverlässig mit aktuellen Schwachstelleninformationen korrelieren.

1. Zentrale Konfiguration und Verbindung zum Indexer kontrollieren.
2. Erkennungsstatus und interne Gesundheitsmeldungen prüfen.
3. Auf dem Referenzsystem einen Paketstand ändern und Aktualisierung beobachten.
4. Betroffenheit, Paket, Version, Schweregrad und Status im Dashboard verifizieren.
5. Fehlerfälle für fehlende Daten, nicht unterstützte Plattform und unterbrochene Verbindung testen.

15. Funde technisch triagieren

Aus einer Trefferliste priorisierte, überprüfte Maßnahmen ableiten.

1. Assetkritikalität, Exposition, Paketfunktion und Ausnutzbarkeit erfassen.
2. Installierte Version und tatsächliche Nutzung auf dem Endpoint verifizieren.
3. Mehrfachfunde und abhängige Pakete zu einem Bearbeitungsfall bündeln.
4. Priorität und Frist anhand technischer und geschäftlicher Kriterien festlegen.
5. Entscheidung mit Evidenz und Eigentümer dokumentieren.

16. Kontinuierliche Kontrollüberwachung etablieren

Einmalige Prüfungen in einen wiederkehrenden, messbaren Kontrollprozess überführen.

1. Prüffrequenz und Priorität je Kontrolle anhand Risiko und Änderungsdynamik bestimmen.
2. Trend für Erfolgsquote, Abweichungsdauer und Wiederholungsfehler aufbauen.
3. Schwellenwerte für Eskalation und Service-Level definieren.
4. Änderungen an Policies und Regeln vor Freigabe mit Regressionstests prüfen.
5. Kontrollreview mit Betrieb, Security und Compliance regelmäßig durchführen.

Praxislabor

1. Ein Cloud- und Clusterinventar mit Mandanten-, Konto-, Projekt- und Namespacezuordnung erstellen.
2. Auditdaten aus drei Cloud-Plattformen sowie Docker- und Kubernetes-Ereignisse kontrolliert anbinden.
3. Ein Cloud-/Container-Erkennungsszenario mit Workload- und Identitätskontext testen.
4. Eigene SCA- und FIM-Kontrollen mit positiven, negativen und nicht anwendbaren Fällen entwickeln.
5. Schwachstellenfund, technische Triage, Behebung, Nachweis und befristete Ausnahme als Gesamtprozess durchführen.

Betriebliche Qualitätssicherung

• Minimale Leserechte und getrennte technische Identitäten je Plattform
• Kontrollereignisse für jede Datenquelle und jeden Mandanten
• Versionierte Policies mit Regressionstests
• Kennzahlen für Abdeckung, Aktualität, Abweichungsdauer und Remediation