Seminar Wazuh Plattformhärtung, Zertifikate und Zugriffsschutz

Beschreibung

Die Plattform selbst wird als hochkritisches Sicherheits- und Nachweissystem betrachtet. Härtung beginnt mit Assets, privilegierten Identitäten und Vertrauensgrenzen und endet mit positiven und negativen Abnahmetests.

Sicherheitsmaßnahmen werden schrittweise eingeführt, damit notwendige Datenpfade nicht unbemerkt blockiert werden. Zertifikate, Servicekonten und Notfallzugänge erhalten einen dokumentierten Lebenszyklus.

Zielgruppe

Security Engineering, Wazuh-Administration, Linux- und Netzwerkbetrieb, PKI-Verantwortung und technische Revision

Voraussetzungen

Praktische Wazuh-Administration, Linux, Netzwerksegmentierung, TLS/PKI und Berechtigungskonzepte

Lernziele

• Bedrohungen und Vertrauensgrenzen der zentralen Plattform bewerten
• Netzwerkpfade auf erforderliche Kommunikation begrenzen
• TLS, Zertifikate und Schlüssel über den Lebenszyklus absichern
• Konten, Rollen und Geheimnisse nach Minimalprinzip verwalten
• Betriebssystemhärtung und Administrationsaudit regressionssicher abnehmen

Inhaltsübersicht

1. Bedrohungsmodell für die Wazuh-Plattform erstellen
2. Netzwerkzugriffe minimieren und segmentieren
3. TLS, Zertifikate und Schlüssellebenszyklus härten
4. Konten, Rollen und Mandantengrenzen absichern
5. Geheimnisse und Zugangsdaten schützen
6. Betriebssysteme der zentralen Komponenten härten
7. Administrative Aktivitäten protokollieren und überwachen
8. Härtung mit Negativ- und Regressionstests abnehmen

Seminarinhalte

1. Bedrohungsmodell für die Wazuh-Plattform erstellen

Zentrale Komponenten, Administrationswege, Datenbestände und Vertrauensgrenzen systematisch bewerten.

1. Assets, privilegierte Identitäten, Schlüsselmaterial und schützenswerte Konfiguration inventarisieren.
2. Angriffswege über Netzwerk, Betriebssystem, API, Dashboard und Lieferkette erfassen.
3. Bedrohungen nach Eintrittswahrscheinlichkeit, Auswirkung und Erkennbarkeit priorisieren.
4. Präventive, detektive und korrektive Kontrollen zuordnen.
5. Restrestrisiken und akzeptierte Annahmen dokumentieren.

2. Netzwerkzugriffe minimieren und segmentieren

Nur erforderliche Kommunikationspfade zwischen Agenten, zentralen Komponenten und Administration zulassen.

1. Ist-Verbindungen anhand von Konfiguration und Netzbeobachtung erfassen.
2. Quellen, Ziele, Ports, Protokolle und Richtung je Dienstbeziehung dokumentieren.
3. Administrationszugänge von Datenverkehr und Benutzerzugriff trennen.
4. Firewallregeln schrittweise verschärfen und nach jedem Schritt Funktionstests ausführen.
5. Abgewiesene Verbindungen überwachen und Ausnahmen befristet genehmigen.

3. TLS, Zertifikate und Schlüssellebenszyklus härten

Vertrauenswürdige Identitäten und verschlüsselte Kommunikation über den gesamten Lebenszyklus sicherstellen.

1. Zertifikatsinventar mit Zweck, Namen, Aussteller, Ablauf und Eigentümer erstellen.
2. Schlüsselstärke, Dateiberechtigungen und sichere Ablage prüfen.
3. Vertrauensketten und Hostnamen aus Sicht aller Kommunikationspartner validieren.
4. Erneuerung und Austausch zunächst in einer Testumgebung durchführen.
5. Ablaufwarnung, Notfalltausch und Widerrufsprozess operationalisieren.

4. Konten, Rollen und Mandantengrenzen absichern

Administrative und analytische Rechte nach Aufgaben trennen und regelmäßig überprüfen.

1. Personen-, Service- und Notfallkonten inventarisieren.
2. Rollen für Plattformbetrieb, Detection Engineering, SOC-Analyse und Read-only-Zugriff definieren.
3. Minimalrechte und Datenbereich je Rolle konfigurieren.
4. Positive und negative Zugriffstests mit repräsentativen Konten durchführen.
5. Rezertifizierung, Deaktivierung und Notfallzugang dokumentieren.

5. Geheimnisse und Zugangsdaten schützen

Passwörter, API-Zugangsdaten und private Schlüssel aus Konfigurationen und Skripten herauslösen.

1. Alle Speicherorte und Nutzungswege sensibler Werte erfassen.
2. Dateirechte, Prozesszugriff und Backupbehandlung prüfen.
3. Geheimnisse über den vorgesehenen geschützten Mechanismus bereitstellen.
4. Rotation mit Abhängigkeits- und Rückfallplan testen.
5. Protokolle und Fehlerausgaben auf unbeabsichtigte Offenlegung kontrollieren.

6. Betriebssysteme der zentralen Komponenten härten

Angriffsfläche reduzieren, ohne für den Betrieb notwendige Funktionen zu blockieren.

1. Pakete, Dienste, Benutzer, Dateirechte und Mount-Optionen inventarisieren.
2. Nicht benötigte Dienste deaktivieren und administrative Zugänge begrenzen.
3. Dateisystem- und Diensthärtung gegen Anforderungen von Indexer, Server und Dashboard prüfen.
4. Änderungen in kleinen Schritten mit Dienst- und Datenflusstests ausrollen.
5. Abweichungen und produktnotwendige Ausnahmen nachvollziehbar dokumentieren.

7. Administrative Aktivitäten protokollieren und überwachen

Änderungen an Konfiguration, Rollen, Regeln und Plattformdiensten nachvollziehbar machen.

1. Kritische administrative Aktionen und erforderlichen Detailgrad festlegen.
2. Betriebssystem-, API-, Dashboard- und Konfigurationsereignisse zusammenführen.
3. Kontrolländerungen mit unterschiedlichen Rollen durchführen.
4. Benutzer, Aktion, Zielobjekt, Ergebnis und Zeitbezug prüfen.
5. Manipulationsschutz, Aufbewahrung und regelmäßige Auswertung festlegen.

8. Härtung mit Negativ- und Regressionstests abnehmen

Sicherheitsmaßnahmen belegen, ohne die Überwachungsfunktion unbemerkt zu beeinträchtigen.

1. Sollkontrollen und zugehörige Testfälle in einer Härtungsmatrix erfassen.
2. Unzulässige Verbindungen, Rollen und Anmeldungen gezielt testen.
3. Erlaubte Agenten-, API-, Indexer- und Dashboardpfade parallel verifizieren.
4. Performance und Fehlermeldungen vor und nach der Härtung vergleichen.
5. Abnahme, Restpunkte und Wiederholungsintervall dokumentieren.

Praxislabor

1. Ein Bedrohungsmodell mit privilegierten Pfaden und Schutzkontrollen erstellen.
2. Eine Kommunikationsmatrix in restriktive Firewallregeln überführen.
3. Zertifikatsinventar und kontrollierten Erneuerungstest durchführen.
4. Rollen mit positiven und negativen Zugriffstests validieren.
5. OS-Härtung schrittweise ausrollen und Datenfluss nach jeder Änderung prüfen.

Betriebliche Qualitätssicherung

• Keine gemeinsamen Administrations- und Servicekonten
• Ablaufüberwachung und Notfalltausch für Zertifikate
• Getrennter, protokollierter Notfallzugang
• Härtungsmatrix mit erlaubten und unzulässigen Funktionstests