Cybersicherheit Schulung für IT-Profis: Härtung, Nmap, Wireshark

Angriffe verstehen: Grundlagen für den Betrieb

• Cybersicherheit im IT-Betrieb: Schutzziele, Angriffsfläche und gestaffelte Verteidigung
• Eine kurze Geschichte der Hacker: von Telefon-Phreaking zu organisierter Kriminalität
• Cyber Kill Chain und MITRE ATT&CK: Erkennungspunkte für Administrator:innen
• Stuxnet als Fallstudie: Angriff auf Industriesteuerungen entlang der Kill Chain
• Gängige Angriffsformen: Phishing, Passwortangriffe, Ausnutzen ungepatchter Dienste
• Schadsoftware-Typen: Viren, Würmer, Trojaner, Spyware, Adware und Infostealer
• Ransomware im Ablauf: Erstzugang, Rechteausweitung, Backups löschen, verschlüsseln
• Aktuelle Trends: Angriffe auf VPN-Gateways und Edge-Geräte, Identitätsdiebstahl, KI-Phishing

Virenschutz und Endpunkterkennung

• Microsoft Defender Antivirus: Echtzeit-, Cloud- und Manipulationsschutz konfigurieren
• Malware erkennen mit Defender: Schnell-, Voll- und Offline-Überprüfung, Quarantäne
• Status und Scans per PowerShell steuern: Get-MpComputerStatus, Start-MpScan
• Geplante Scans mit der Aufgabenplanung bzw. zentral per Gruppenrichtlinie oder Intune
• Regeln zur Verringerung der Angriffsfläche und kontrollierter Ordnerzugriff gegen Ransomware
• Von Antivirus zu EDR: Verhaltensanalyse, Geräteisolation, Telemetrie – Defender for Endpoint
• Andere Lösungen und Linux-Endpunkte: Drittanbieter-EDR, ClamAV für Dateiserver

Firewalls unter Windows und Linux

• Warum Firewalls: Paketfilter, zustandsbehaftete Prüfung, Host- und Netzwerk-Firewall
• Grundlagen der Windows Defender Firewall: Netzwerkprofile, Standardregeln, Ausnahmen
• Erweiterte Sicherheit: eingehende und ausgehende Regeln, Bereiche, IPsec-Verbindungsregeln
• Firewall-Regeln per PowerShell und Gruppenrichtlinie verteilen
• Firewall-Protokolle auswerten: pfirewall.log, Ereignisanzeige und Weiterleitung ins SIEM
• Linux iptables: Tabellen, Ketten, Regeln – verbreitet in Bestandssystemen
• Einfache iptables-Firewall einrichten: SSH und Webdienst erlauben, Rest verwerfen
• nftables als Nachfolger: Regelsätze, Migration mit iptables-translate, firewalld und ufw

Netzwerk inventarisieren mit Nmap

• Rechtlicher Rahmen: Scans nur im eigenen Netz und mit schriftlicher Freigabe
• Erste Schritte mit Nmap: Host-Erkennung, Port-Zustände, TCP-Connect- und SYN-Scan
• Dienst- und Versionserkennung, Betriebssystemerkennung und Ausgabe als XML
• Nmap Scripting Engine: sichere Prüfskripte für TLS, SMB und HTTP gezielt einsetzen
• Scan-Ergebnisse mit dem Soll-Inventar abgleichen und unbekannte Dienste klären

Verbindungen und Dienste prüfen

• Erste Schritte mit netcat bzw. ncat: Ports öffnen, Verbindungen testen
• Dateien mit netcat übertragen – und warum Klartextkanäle im Betrieb tabu sind
• Verbindung zu Diensten herstellen: Banner lesen, TLS mit openssl s_client prüfen
• Einfachen netcat-Honeypot als Frühwarnung einrichten; OpenCanary als Alternative

Schwachstellen scannen und bewerten

• Greenbone (OpenVAS) installieren, Feed aktualisieren; Nessus Essentials als Alternative (nur nicht kommerziell, bis 5 IPs)
• Scan-Richtlinie einrichten: Zielbereich, authentifizierte Scans, Ausschlüsse
• Greenbone-Scan ausführen und Ergebnisse nach CVSS, EPSS und KEV-Katalog priorisieren
• Befunde im isolierten Labor verifizieren und Fehlalarme sauber aussortieren
• Vom Befund zur Behebung: Patch, Konfigurationsänderung oder dokumentierte Ausnahme

Webanwendungen aus Betriebssicht

• Bedrohungen auf Anwendungsebene: OWASP Top 10 als Überblick, WAF und Reverse Proxy
• SQL-Injection in einer absichtlich verwundbaren Übungsanwendung nachvollziehen und abwehren
• Cross-Site-Scripting erkennen, Content Security Policy als Schutzschicht
• Automatisiert prüfen mit ZAP: Spider, passiver und aktiver Scan, Bericht
• Webverkehr über einen Prüfproxy untersuchen: Anfragen, Cookies, Sicherheitsheader

Netzwerkprotokolle mitlesen und verstehen

• Datenkommunikation erklärt: OSI- und TCP/IP-Modell, Ports, Kapselung
• Pakete mit Wireshark und tcpdump erfassen: Schnittstelle, Mitschnittfilter, Ringpuffer
• Anzeigefilter und Statistiken: Gesprächspartner, Protokollhierarchie, Auffälligkeiten
• Protokolle verstehen: ARP, DNS, DHCP, HTTP, TLS-Handshake und SMB im Mitschnitt
• Unsichere Protokolle finden: Telnet, FTP, SMBv1, LLMNR – und was sie ersetzt

Praxisprojekt: Netz und Server einer Autovermietung mit drei Stationen absichern und prüfen

• Prüfauftrag und Freigabe festlegen: Zielbereich, Zeitfenster, Ansprechpartner
• Stationsrechner, Buchungsserver und Kunden-WLAN mit Nmap inventarisieren
• Authentifizierten Schwachstellenscan durchführen und die fünf wichtigsten Befunde beheben
• Firewall-Regeln für Windows- und Linux-Server festziehen und per Mitschnitt kontrollieren
• Kurzbericht für die Geschäftsführung mit Restrisiken und Wiederholungsplan