Security Engineering on AWS

• Tag 1: Grundlagen, Identität und Zugriff
• 1. Sicherheit auf AWS und Verantwortung
  
  • Shared-Responsibility-Modell und die Sicherheitssäule des Well-Architected Framework
  • Sicherheitsentwurfsprinzipien und typische Einfallstore
  • Der Sicherheits-Lebenszyklus von Prävention bis Reaktion
  
  
• 2. IAM-Richtlinien und ihre Auswertung
  
  • Identitätsbasierte und ressourcenbasierte Richtlinien
  • Die Auswertungslogik von IAM-Richtlinien verstehen
  • Berechtigungsgrenzen und das Prinzip der geringsten Rechte
  • Häufige Fehlkonfigurationen erkennen
  
  
• 3. Rollen, Föderation und temporärer Zugriff
  
  • Kontenübergreifende Rollen und temporäre Anmeldeinformationen mit STS
  • Zentrale Anmeldung mit IAM Identity Center und Föderation
  
  
• 4. Identität in der Organisation
  
  • AWS Organizations als Rahmen für viele Konten
  • Service Control Policies (SCP) und Resource Control Policies (RCP)
  • Präventive Leitplanken entwerfen
  
  
• Praxis-Übung (Tag 1): Eine kontenübergreifende Rolle mit Berechtigungsgrenze und minimalen Rechten einrichten, den Zugriff über eine SCP präventiv einschränken und die Auswertung anhand eines konkreten Zugriffsversuchs nachvollziehen.
• Tag 2: Datenschutz und Netzwerksicherheit
• 5. Verschlüsselung und Schlüsselverwaltung
  
  • Verschlüsselung im Ruhezustand und bei der Übertragung
  • KMS: Schlüsseltypen, Schlüsselrichtlinien, Grants und Rotation
  • CloudHSM für dedizierte Hardware-Anforderungen
  • Zertifikate mit ACM und der Private CA
  
  
• 6. Geheimnisse und sensible Daten
  
  • Anmeldeinformationen mit Secrets Manager verwalten und rotieren
  • Sensible Daten in S3 mit Amazon Macie erkennen
  
  
• 7. Netzwerksicherheit in der VPC
  
  • Segmentierung mit Sicherheitsgruppen und Netzwerk-ACLs
  • Privater Zugriff mit VPC-Endpunkten
  • Datenverkehr mit VPC Flow Logs sichtbar machen
  
  
• 8. Schutz am Rand
  
  • Web Application Firewall (WAF) gegen Angriffe auf Webanwendungen
  • AWS Shield gegen DDoS und AWS Network Firewall zur Segmentierung
  • Route 53 Resolver DNS Firewall
  
  
• Praxis-Übung (Tag 2): Eine Anwendung mit KMS-Verschlüsselung und TLS absichern, ein Geheimnis mit automatischer Rotation einrichten und den eingehenden Verkehr über WAF und Sicherheitsgruppen eingrenzen.
• Tag 3: Erkennung, Reaktion und Governance
• 9. Protokollierung und Überwachung
  
  • CloudTrail, CloudWatch und AWS Config
  • Zentrale Protokollierung und der Amazon Security Lake
  • Logs auswerten mit CloudWatch Logs Insights und Athena
  
  
• 10. Bedrohungserkennung
  
  • Amazon GuardDuty und die erweiterte Bedrohungserkennung
  • Schwachstellen mit Amazon Inspector finden
  • Befunde in AWS Security Hub zusammenführen
  • Ursachenanalyse mit Amazon Detective
  
  
• 11. Reaktion auf Sicherheitsvorfälle
  
  • Reaktionspläne und Playbooks nach dem AWS Incident Response Guide
  • Kompromittierte Ressourcen isolieren und forensisch sichern
  • Automatisierte Reaktion mit EventBridge, Lambda und Systems Manager
  
  
• 12. Governance und aktuelle Themen
  
  • Standards und Baselines mit AWS Control Tower und den Security-Hub-Standards
  • Sicherheit generativer KI: Amazon Bedrock und Guardrails einordnen
  • Der Weg zur Zertifizierung AWS Certified Security - Specialty (SCS-C03)
  
  
• Praxis-Übung (Tag 3, Peer-Review): GuardDuty, Security Hub und Detective aktivieren, einen simulierten Befund untersuchen und eine automatisierte Reaktion mit EventBridge und Systems Manager auslösen; das Ergebnis einer anderen teilnehmenden Person gegen vollständige Erkennung, nachvollziehbare Untersuchung und wirksame Reaktion vorlegen.
  
  
  
  

• IT-Sicherheitsverantwortliche und Cloud-Architekten, die AWS-Workloads absichern
• Systemadministratoren und DevOps-Fachkräfte mit Sicherheitsverantwortung auf AWS
• Security-Analystinnen und -Analysten, die Erkennung und Reaktion auf AWS betreiben
• Teilnehmende, die die Zertifizierung AWS Certified Security - Specialty anstreben

Voraussetzungen: Die Teilnehmenden bringen praktische AWS-Grundkenntnisse mit - etwa auf dem Niveau von AWS Security Essentials oder eines Associate-Kurses - sowie ein Grundverständnis von IT-Sicherheit, Verschlüsselung und Netzwerken. Erfahrung mit der AWS-Konsole und -Kommandozeile ist hilfreich.