10 - Sicherheitshandbuch

Revisionshistorie

Inhaltsverzeichnis

1. Zugriffsschutz (RBAC)
2. TLS/SSL-Konfiguration
3. Netzwerksicherheit
4. Haertung des Cribl-Servers
5. Geheimnis-Management
6. Audit-Logging
7. Schwachstellen-Management und Update-Prozess
8. Compliance-relevante Einstellungen

1. Zugriffsschutz (RBAC)

1.1 Rollenkonzept

Cribl Stream verfuegt ueber ein rollenbasiertes Zugriffsmodell (Role-Based Access Control, RBAC). Im IceDataEmphasise-PoC werden folgende Rollen definiert:

1.2 Lokale Benutzer konfigurieren

Im PoC werden lokale Benutzer verwendet (keine LDAP/SAML-Integration):

# Cribl Stream UI: Settings → Access Management → Users
# Neuen Benutzer anlegen:
# - Username: operator1
# - Role: reader
# - Passwort: Mindestens 12 Zeichen, Gross-/Kleinbuchstaben, Zahl, Sonderzeichen

1.3 Mindestprivilegien-Prinzip (Least Privilege)

• Jeder Benutzer erhaelt die minimale Rolle, die fuer seine Aufgabe erforderlich ist
• Die admin-Rolle ist auf maximal 2 namentlich benannte Personen beschraenkt
• Fuer den taeglichen Betrieb wird die Rolle reader verwendet
• Konfigurationsaenderungen erfordern die Rolle editor und werden im Audit-Log protokolliert
• Service-Accounts (api_only) sind an spezifische Automatisierungszwecke gebunden

1.4 Berechtigungspruefung

• Quartalsweise Review aller Cribl-Benutzer und deren Rollen
• Deaktivierung nicht mehr benoetigter Konten innerhalb von 24 Stunden
• Dokumentation der Berechtigungsvergabe im IT-Service-Management-System
• Vier-Augen-Prinzip bei Vergabe der admin-Rolle

2. TLS/SSL-Konfiguration

2.1 Uebersicht der TLS-Endpunkte

2.2 TLS-Konfiguration fuer Cribl Stream UI

# Zertifikate hinterlegen unter /opt/cribl/certs/
/opt/cribl/certs/
  server.crt    # Server-Zertifikat (PEM)
  server.key    # Privater Schluessel (PEM, unverschluesselt)
  ca-bundle.crt # CA-Zertifikatskette (PEM)

# In Cribl UI: Settings → Global Settings → API Server
# TLS Settings:
#   Certificate: /opt/cribl/certs/server.crt
#   Private Key: /opt/cribl/certs/server.key
#   CA Certificate: /opt/cribl/certs/ca-bundle.crt
#   Minimum TLS Version: TLSv1.2

2.3 TLS-Anforderungen

2.4 Zertifikats-Erneuerung

# Zertifikatslaufzeit pruefen
openssl x509 -enddate -noout -in /opt/cribl/certs/server.crt

# Warnung: 30 Tage vor Ablauf muss ein neues Zertifikat beantragt werden
# Automatisierung via Cron:
0 8 * * 1 openssl x509 -checkend 2592000 -noout -in /opt/cribl/certs/server.crt || \
  echo "WARNUNG: Cribl-Zertifikat laeuft in weniger als 30 Tagen ab" | \
  mail -s "Cribl TLS Certificate Expiry Warning" admin@example.de

3. Netzwerksicherheit

3.1 Firewall-Regeln

Die folgenden Ports muessen auf dem Cribl-Server geoeffnet sein. Alle anderen Ports werden durch die Host-Firewall (iptables/nftables) blockiert.

3.2 iptables-Beispielkonfiguration

# Grundlegende Firewall-Regeln fuer den Cribl-Server
# Loopback erlauben
iptables -A INPUT -i lo -j ACCEPT

# Bestehende Verbindungen erlauben
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# SSH (nur aus Admin-Netzwerk)
iptables -A INPUT -p tcp --dport 22 -s 10.0.0.0/24 -j ACCEPT

# Cribl Stream UI (nur aus Admin-Netzwerk)
iptables -A INPUT -p tcp --dport 9000 -s 10.0.0.0/24 -j ACCEPT

# Cribl Edge Kommunikation (Tailscale-Netzwerk)
iptables -A INPUT -p tcp --dport 9420 -s 100.64.0.0/10 -j ACCEPT
iptables -A INPUT -p tcp --dport 4200 -s 100.64.0.0/10 -j ACCEPT

# Tailscale WireGuard
iptables -A INPUT -p udp --dport 41641 -j ACCEPT

# Alles andere verwerfen
iptables -A INPUT -j DROP

3.3 Tailscale-VPN

Die Kommunikation zwischen Cribl Stream, den Edge Nodes und dem Splunk-Indexer erfolgt ueber ein Tailscale-VPN (WireGuard-basiert). Dies bietet:

• Ende-zu-Ende-Verschluesselung: WireGuard mit Curve25519, ChaCha20-Poly1305
• Zero-Trust-Netzwerk: Jeder Node authentifiziert sich individuell
• ACLs: Tailscale Access Control Lists beschraenken den Zugriff zwischen Nodes
• NAT-Traversal: Kein Portforwarding oder oeffentliche IP erforderlich

# Tailscale-Status pruefen
tailscale status

# ACL-Konfiguration (Beispiel in tailscale admin console):
{
  "acls": [
    {"action": "accept", "src": ["tag:cribl-edge"], "dst": ["tag:cribl-stream:9420"]},
    {"action": "accept", "src": ["tag:cribl-stream"], "dst": ["tag:splunk:8088,9997"]},
    {"action": "accept", "src": ["tag:admin"], "dst": ["tag:cribl-stream:9000,22"]}
  ]
}

4. Haertung des Cribl-Servers

4.1 CIS-Benchmark-Referenz

Die Haertung des Cribl-Servers orientiert sich am CIS Benchmark for Debian/Ubuntu Linux. Die folgenden Massnahmen sind fuer den Cribl-Server relevant:

4.2 Betriebssystem-Haertung

# SSH-Haertung (/etc/ssh/sshd_config)
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
ClientAliveInterval 300
ClientAliveCountMax 2
AllowUsers mpauli cribl-admin

# Unnoetige Dienste deaktivieren
sudo systemctl disable --now avahi-daemon
sudo systemctl disable --now cups
sudo systemctl disable --now bluetooth

# Dateiberechtigungen fuer Cribl
sudo chmod 0750 /opt/cribl/
sudo chmod 0640 /opt/cribl/local/cribl/auth/*.json
sudo chown -R cribl:cribl /opt/cribl/

4.3 Cribl-spezifische Haertung

• Dedizierter Service-Account: Cribl laeuft unter dem Benutzer cribl (nicht root)
• Kein Shell-Login: Der cribl-Benutzer hat /usr/sbin/nologin als Shell
• API-Rate-Limiting: Maximal 100 Anfragen pro Minute pro IP
• Session-Timeout: UI-Sitzungen laufen nach 30 Minuten Inaktivitaet ab
• Git-Integration deaktiviert: Im PoC wird die Konfiguration nicht ueber das Cribl-interne Git verwaltet (externes Repository wird verwendet)

5. Geheimnis-Management

5.1 Grundprinzip: Keine Secrets in Git

5.2 .env-Konzept

Alle sensiblen Konfigurationswerte werden ueber Umgebungsvariablen aus der .env-Datei bezogen. Diese Datei ist in .gitignore eingetragen.

# .env (Beispielstruktur - nicht die echten Werte!)
SPLUNK_HOST=splunk.example.internal
SPLUNK_HEC_TOKEN=xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
SPLUNK_HEC_PORT=8088
SPLUNK_S2S_PORT=9997
CRIBL_ADMIN_PASSWORD=CHANGE_ME_ON_FIRST_LOGIN
TAILSCALE_AUTH_KEY=tskey-auth-xxxxx

5.3 Secrets-Schutz auf Dateisystemebene

# Dateiberechtigungen fuer .env
chmod 0600 /home/mpauli/IceDataEmphasise/.env
chown root:root /home/mpauli/IceDataEmphasise/.env

# Dateiberechtigungen fuer TLS-Schluessel
chmod 0600 /opt/cribl/certs/server.key
chown cribl:cribl /opt/cribl/certs/server.key

5.4 .gitignore-Eintraege

# Sensible Dateien (in .gitignore)
.env
.env.*
*.key
*.pem
*.p12
credentials/
secrets/

5.5 Rotation von Geheimnissen

5.6 Notfall: Secret in Git eingecheckt

1. Sofort: Secret rotieren (neues Token/Passwort generieren)
2. Git-Historie bereinigen:

   # Mit git-filter-repo (empfohlen)
   git filter-repo --path .env --invert-paths
   git push --force-with-lease origin main

3. Vorfall dokumentieren im Incident-Management-System
4. Review: .gitignore pruefen und Pre-Commit-Hooks einrichten

6. Audit-Logging

6.1 Cribl-internes Audit-Log

Cribl Stream protokolliert alle administrativen Aktionen im Audit-Log unter /opt/cribl/log/audit.log. Folgende Ereignisse werden erfasst:

6.2 Audit-Log an Splunk weiterleiten

Zur zentralen Auswertung und Langzeitaufbewahrung wird das Audit-Log an Splunk weitergeleitet. Dies erfolgt ueber eine dedizierte File-Monitor-Quelle in Cribl Edge:

# Source-Konfiguration fuer Audit-Log
{
  "id": "cribl_audit",
  "type": "file_monitor",
  "filename": "/opt/cribl/log/audit.log",
  "sourcetype": "cribl:audit",
  "index": "idx_security"
}

6.3 Aufbewahrung

• Lokal: 90 Tage auf dem Cribl-Server (Rotation durch Cribl)
• Splunk: 365 Tage im idx_security-Index
• Archiv: Nach Ablauf der Splunk-Aufbewahrung in Langzeitarchiv (gemaess Aufbewahrungspflichten)

7. Schwachstellen-Management und Update-Prozess

7.1 Informationsquellen

7.2 Patch-Klassifizierung

7.3 Cribl-Update-Prozedur

1. Release Notes und Changelog pruefen
2. Change-Antrag stellen (Standard-Change fuer Minor Updates)
3. Backup erstellen (siehe Betriebshandbuch, Abschnitt 6)
4. Update im Wartungsfenster durchfuehren:

   # Cribl Stream Update
   sudo systemctl stop cribl
   cd /opt/cribl
   sudo curl -Lo cribl-update.tar.gz "https://cdn.cribl.io/dl/latest-x64"
   sudo tar xzf cribl-update.tar.gz --strip-components=1
   sudo chown -R cribl:cribl /opt/cribl/
   sudo systemctl start cribl
   
   # Verifikation
   curl -s http://localhost:9000/api/v1/system/info | jq '.version'

5. Funktionspruefung (Checkliste aus Betriebshandbuch)
6. Change-Ticket schliessen

7.4 Betriebssystem-Updates

# Woechentliche Sicherheitsupdates (automatisiert via unattended-upgrades)
sudo apt update && sudo apt upgrade -y --only-upgrade

# Kernel-Updates erfordern Neustart und Wartungsfenster
sudo apt install linux-image-amd64
# Neustart im naechsten Wartungsfenster planen

8. Compliance-relevante Einstellungen

8.1 Regulatorischer Rahmen

Als Proof of Concept fuer eine regulierte deutsche Bank unterliegt das System den folgenden regulatorischen Anforderungen:

8.2 Compliance-Mapping

8.3 Audit-Vorbereitung

Fuer eine Audit-Pruefung (intern oder extern) sollten folgende Nachweise bereitgestellt werden koennen:

• Aktuelle Benutzerliste mit Rollenzuordnung (Cribl + Splunk)
• Nachweis der letzten Berechtigungspruefung (quartalsweise)
• TLS-Zertifikate mit Gueltigkeitsdaten
• Firewall-Regelwerk (aktuell und dokumentiert)
• Audit-Log-Auszuege der letzten 90 Tage
• Backup-Protokolle (Nachweis der Durchfuehrung)
• Patch-Status: Installierte Versionen von Cribl, Betriebssystem, Abhaengigkeiten
• Change-Management-Tickets fuer alle Konfigurationsaenderungen
• Dokumentation der Datenfluesse (Quelle → Pipeline → Destination → Index)
• Ergebnis des letzten Restore-Tests
• Eskalationsmatrix und Kontaktliste (aktuell)

8.4 DORA-spezifische Anforderungen