CYB/140T - CNDv3 - 3 Academia Seried ED 3 Vol 2

If you guard a network for a living, this is your job description in book form. It maps to the CND certification, so it doubles as exam prep and a desk reference. Security analysts, sysadmins, and SOC newcomers get the most out of it, especially anyone handed firewall rules or SIEM dashboards without a manual.

1. 1Modulen zur Härtung der Windows-Sicherheit

   Härte Windows, bevor es jemand anderes tut

   Du startest einen Windows-Server, der monatelang unangetastet lief. Das Buch führt dich durch ihn wie durch eine Checkliste mit Konsequenzen: Patch-Stände, Benutzerkontensteuerung, Passwortrichtlinie, Auditing. Jede Einstellung, die du änderst, verschließt eine Tür, die ein Eindringling zuerst probieren würde. Am Ende des Moduls sieht die Maschine für Nutzer gleich aus, liest sich für einen Angreifer aber wie ein verschlossenes Gebäude.

   Die Idee

   Härtung ist absichtlich langweilig. Der Wert entsteht, wenn man sie systematisch betreibt, statt den neuesten Schlagzeilen zur Bedrohungslage hinterherzujagen. Ein Verteidiger, der die Standardeinstellungen, die Registry und die Audit-Richtlinie kennt, bemerkt, wenn etwas abweicht – und Abweichung ist meist das erste Anzeichen für Ärger. Für viele Admins ist die Überraschung, wie viel Sicherheit schlicht Konfigurationshygiene ist statt cleverer Erkennung.

   Probier es aus: Such dir in dieser Woche einen Windows-Server aus, der dir gehört, und gehe seine Passwortrichtlinie, seinen Patch-Stand und seine Audit-Einstellungen durch; notiere jede Standardeinstellung, die du unverändert gelassen hast.

2. 2Modulen zur Härtung der Linux-Sicherheit

   Linux gibt dir die Schlüssel, wenn du weißt, wo du suchen musst

   Ein Linux-Rechner steht im Eck des Racks und liefert still Dateien aus. Der Kurs behandelt ihn als ein System, das man befragen kann: Dateiberechtigungen, sudo-Regeln, laufende Dienste, Kernel-Parameter. Du lernst, was du nicht brauchst zu entfernen und was bleibt zu protokollieren. Die Szene endet mit einem schlankeren Server, bei dem jede wichtige Aktion eine Spur hinterlässt.

   Die Idee

   Linux-Sicherheit belohnt Menschen, die lesen. Konfigurationsdateien, Permission-Bits und Startskripte verraten dir genau, was eine Maschine tun wird – du kannst also Missbrauch vorhersehen und verhindern. Angreifer lieben unbeaufsichtigte Dienste und weltweit beschreibbare Dateien; ein Verteidiger, der diese beiden Dinge prüft, beseitigt die meisten leichten Einstiegspunkte. Die Gewohnheit überträgt sich auf jedes Unix-ähnliche System, das du je verwalten wirst.

   Probier es aus: Führe auf einem Linux-Host eine Dienst- und Rechteprüfung durch: Liste die lauschenden Ports auf und suche dann nach weltweit beschreibbaren Dateien außerhalb der Temp-Verzeichnisse.

3. 3Modulen zur Netzwerkverkehrsüberwachung und zu Firewalls

   Firewall-Regeln sind Politik, nicht Rohrleitungen

   Stell dir eine Firewall-Konsole mit hunderten Regeln vor, manche älter als der Admin, der sie pflegt. Das Buch lehrt dich, jede Regel als eine schriftliche Entscheidung zu behandeln: wer mit wem sprechen darf, über welchen Port und warum. Du lernst, Regeln zu ordnen, Treffer zu protokollieren und auszumisten, was keinen Zweck mehr erfüllt. Der Lohn ist eine Regelbasis, die du einem Auditor in einer Sitzung erklären kannst.

   Die Idee

   Eine Firewall ist das Gesetzbuch des Netzwerks, und Gesetze, die du nicht erklären kannst, kannst du nicht verteidigen. Die Reihenfolge der Regeln zählt, weil Firewalls meist den ersten Treffer anwenden – eine schlampige Regel kann also stillschweigend eine sorgfältige überstimmen. Regeln in festen Abständen zu prüfen, macht aus einer geerbten Unordnung eine bewusste Richtlinie. Diese Disziplin bezahlt sich an dem Tag zurück, an dem du beweisen musst, was dein Netzwerk wann erlaubt hat.

   Probier es aus: Exportiere deine Firewall-Regeln und markiere jede, die du nicht mit einem geschäftlichen Grund begründen kannst; entwirf Löschungen für die verwaisten.

4. 4Modulen zur Netzwerkverkehrsüberwachung

   Beobachte die Leitung, nicht nur die Alarme

   Ein Dashboard leuchtet grün, während etwas Seltsames über die Leitung kriecht. Der Kurs setzt dich an einen Paketmitschnitt und lehrt dich, Gespräche zwischen Hosts zu lesen: wer initiiert hat, welches Protokoll, wie viel Daten bewegt wurden. Du lernst Baseline-Denken: Normaler Verkehr hat eine Form, und Anomalien stechen hervor, sobald du die Form kennst. Die Szene schließt damit, dass du eine Übertragung entdeckst, die kein Alarm je markiert hat.

   Die Idee

   Alarme sagen dir, was ein Tool erwartet hat; der Verkehr sagt dir, was tatsächlich geschah. Baselines sind das Gedächtnis des Verteidigers, und ohne sie sieht jedes Paket gleich unschuldig aus. Mitschnitte direkt lesen zu lernen heißt, dass du einen Alarm in Minuten verifizieren oder abweisen kannst, statt ihn nach oben weiterzuleiten. Es baut auch die Intuition auf, die später das SIEM-Tuning wie Redigieren anmuten lässt statt wie Raten.

   Probier es aus: Zeichne zehn Minuten Verkehr in deinem eigenen Netzwerk auf und schreibe einen Satz, der die drei geschäftigsten Gespräche beschreibt, die du siehst.

5. 5Modulen zur Einbruchserkennung und -abwehr

   Ein IDS ist ein Wachhund, den du dressieren musst

   Am ersten Tag flutet die IDS-Konsole mit Warnungen, und der Versuchung, sie stummzuschalten, widersteht kaum jemand. Das Buch führt dich stattdessen durch die Grundlagen von Signaturen, Platzierung und Feinabstimmung, damit das Bellen wieder etwas bedeutet. Du lernst den Unterschied zwischen Erkennung und Prävention und wo beides im Netzwerk hingehört. Das Modul endet mit weniger Alarmen, von denen jede einzelne lesenswert ist.

   Die Idee

   Erkennungstools scheitern lange am Rauschen, bevor sie an Blindheit scheitern. Die Platzierung entscheidet, was ein Sensor überhaupt sehen kann, und die Feinabstimmung entscheidet, ob ein Mensch die Ausgabe überlebt. Prävention stoppt das Offensichtliche, Erkennung erwischt das Clevere, und ein reifer Betrieb fährt beides mit klaren Rollen. Die unbequeme Wahrheit: Ein undressierter IDS dressiert dich, ihn zu ignorieren – was schlimmer ist, als keinen zu haben.

   Probier es aus: Sieh dir eine Woche IDS-Alarme an und zähle, bei wie vielen du handeln würdest; mit dieser Zahl argumentierst du für Zeit zur Feinabstimmung.

6. 6Modulen zur Bedrohungsantizipation und Angriffsfläche

   Sag den Angriff voraus, bevor er eintrifft

   Statt auf einen Alarm zu warten, bittet der Kurs dich, für eine Stunde wie der Eindringling zu denken. Du kartierst deine eigene Angriffsfläche: exponierte Dienste, Fernzugriffspfade, Verbindungen zu Drittanbietern. Jeder Punkt bekommt ein Bedrohungsmodell, eine Wahrscheinlichkeit und eine Gegenmaßnahme. Die Übung endet mit einer kurzen Liste von Korrekturen, sortiert danach, was ein Angreifer tatsächlich zuerst versuchen würde.

   Die Idee

   Die Verteidigung verbessert sich am schnellsten, wenn du übst, der Angreifer zu sein. Bedrohungsmodellierung klingt akademisch, bis du sie auf einen Server und eine Woche anwendest – dann wird daraus eine To-do-Liste mit Prioritäten. Deine exponierte Fläche zu kennen sagt dir auch, welche Alarme zählen, denn ein Alarm auf einem exponierten Dienst wiegt schwerer als einer auf einem nicht erreichbaren Host. Antizipation macht aus Sicherheit Reaktion: Planung.

   Probier es aus: Liste jeden Dienst auf, den dein Netzwerk ins Internet exponiert, und ordne sie danach, wie sehr eine Kompromittierung dort schmerzen würde.

7. 7Modulen zum Datenschutz und zur Datensicherung

   Backups sind der Plan; die Wiederherstellung ist der Test

   Ein Dateiserver stirbt, und alle stellen fest, dass die Backups liefen, aber nie wiederhergestellt wurden. Der Kurs führt durch Backup-Typen, Zeitpläne und die Wiederherstellungsübungen, die echten Schutz von Wunschdenken unterscheiden. Du lernst, die Backups selbst zu schützen, denn Ransomware jagt sie zuerst. Die Szene endet mit einer Wiederherstellung unter der Stoppuhr, denn Geschwindigkeit gehört zum Design.

   Die Idee

   Ein Backup, das du nie wiederhergestellt hast, ist ein Gerücht. Recovery-Time- und Recovery-Point-Objectives geben der Praxis Zahlen, sodass du Zeitpläne und Aufbewahrung am Geschäftsbedarf ausrichten kannst statt an Gewohnheit. Moderne Angreifer zielen gezielt auf Backup-Infrastruktur, was Isolation und Zugriffskontrolle zum Teil des Backup-Designs machen, nicht zum Nachgedanken. Die Disziplin ist unspektakulär und entscheidend in jeder Ransomware-Geschichte, die du je lesen wirst.

   Probier es aus: Stelle diese Woche eine Datei aus deinem ältesten Backup-Satz wieder her und notiere, wie lange der gesamte Prozess dauerte.

8. 8Modulen zum Incident Response

   Reagiere mit Absicht, nicht mit Adrenalin

   Ein verdächtiger Login taucht zur Unzeit auf, und der Raum spaltet sich zwischen Steckerziehen und stummem Beobachten. Der Kurs gibt dir eine Abfolge statt einer Stimmung: erkennen, eindämmen, ausmerzen, wiederherstellen und lernen. Du übst, den Vorfall einzugrenzen, Beweise zu sichern und zu kommunizieren, während sich die Lage noch bewegt. Die Übung endet mit einer schriftlichen Zeitleiste, der alle zustimmen – was seltener ist, als es klingt.

   Die Idee

   Incident Response ist eine eingeübte Fähigkeit, kein Persönlichkeitsmerkmal. Ein schriftlicher Plan mit Rollen und einem Entscheidungsbaum verhindert, dass die erste Stunde mit Debatten verbraucht wird. Eindämmungsentscheidungen haben Abwägungen: Ein System offline zu nehmen kann Beweise zerstören oder einen Angreifer alarmieren, der noch andere Stützpunkte hat. Teams, die während des Vorfalls Zeitleisten schreiben, nicht danach, liefern Berichte, die rechtlicher und Management-Prüfung standhalten.

   Probier es aus: Schreibe eine einseitige Checkliste für die erste Stunde bei vermuteter Kompromittierung und pinne sie dorthin, wo dein Team sie um 3 Uhr morgens findet.

9. 9Module zu Log-Überwachung und Beweismitteln

   Logs sind Zeugenaussagen; behandle sie wie Beweismittel

   Wochen nach einem Einbruch will jemand wissen, was passiert ist, und die einzigen Zeugen sind die Logs. Der Kurs zeigt dir, wie du sie zentralisierst, ihre Integrität schützt und Aufbewahrungsfristen setzt, die länger durchhalten als die Geduld des Angreifers. Du lernst Zeitsynchronisation und Korrelation, denn verstreute Zeitstempel verlangsamen jede Untersuchung. Das Modul endet mit einer Abfrage, die den Pfad eines Eindringlings aus drei verschiedenen Log-Quellen rekonstruiert.

   Die Idee

   Logs verfallen schnell: überschrieben, verstreut oder manipuliert, werden sie genau dann wertlos, wenn du sie brauchst. Zentrale Sammlung mit Integritätskontrollen macht aus einzelnen Geräten einen einzigen, abfragbaren Zeugen. Korrelierte Zeitstempel erlauben es dir, Ereignisse über Systeme hinweg zu ordnen – so erzählst du eine Geschichte, die eine Führungskraft oder ein Gericht akzeptiert. Aufbewahrungsrichtlinien sind eine rechtliche und betriebliche Entscheidung, also triff sie bewusst und nicht durch Zufall auf der Festplatte.

   Probier es aus: Prüfe, dass jeder kritische Server seine Logs an einen zentralen Ort sendet und dass die Uhren überall übereinstimmen.

10. 10Module zu Schwachstellenmanagement

    Schwachstellen altern; Management ist die Heilung

    Ein Scanner kippt zweitausend Funde auf ein kleines Team, und die Moral sinkt noch vor dem Mittagessen. Das Buch sortiert den Haufen neu – nach Risikobewertung, Asset-Wert und Ausnutzbarkeit –, damit das Team zuerst die gefährlichen wenigen behebt. Du lernst den Zyklus: scannen, priorisieren, beheben, verifizieren, wiederholen. Die Szene endet mit einem Dashboard, das Trendlinien zeigt statt einer roten Wand.

    Die Idee

    Schwachstellenmanagement ist von Natur aus eine Tretmühle, und der einzige nachhaltige Ansatz ist Priorisierung. Nicht jeder Fund verdient heute Nacht einen Patch; Asset-Kritikalität und reale Ausnutzbarkeit trennen das Dringende vom Späteren. Verifikation schließt den Kreis, denn eine nie getestete Behebung ist nur eine Hoffnung mit Ticketnummer. Teams, die die mittlere Zeit bis zur Behebung messen, werden schneller besser als Teams, die null Funde jagen.

    Probier es aus: Nimm deine neuesten Scan-Ergebnisse und markiere die fünf Funde, die du zuerst beheben würdest, wenn du nur fünf beheben könntest.

11. 11Module zu Sicherheitsrichtlinien und Governance

    Kontrollen zählen nur, wenn jemand sie prüft

    Ein Richtliniendokument fristet sein Dasein auf einer Freigabe, zweimal im Jahr bewundert. Der Kurs verbindet es mit den Kontrollen, die du täglich konfigurierst: Passwortregeln, Zugriffsüberprüfungen, Änderungsmanagement. Du lernst, jede Kontrolle auf die Richtlinie zurückzuführen, die sie durchsetzt, und die Lücken zu auditieren. Die Szene endet mit einer Richtlinie, die das Netzwerk endlich so beschreibt, wie es wirklich ist.

    Die Idee

    Governance klingt nach Papierkram, bis dir auffällt, dass jede technische Kontrolle eine ausführbare Richtlinie ist. Wenn Richtlinie und Konfiguration auseinanderdriften, finden es die Prüfer vor den Angreifern – oder schlimmer, danach. Regelmäßige Zugriffsüberprüfungen und Änderungsmanagement halten beides zusammen, und diese Deckungsgleichheit macht Sicherheit gegenüber der Führung erklärbar. Die besten Verteidiger können jede Firewall-Regel und jede Kontoberechtigung auf eine schriftliche Absicht zurückführen.

    Probier es aus: Wähle eine Sicherheitsrichtlinie deiner Organisation aus und prüfe eine technische Kontrolle, die sie durchsetzt; halte jede Abweichung fest.

12. 12kursweite Module zu Rollen und Zusammenarbeit

    Verteidigung ist ein Teamsport mit einer gemeinsamen Sprache

    Der Kurs kehrt immer wieder zu einem Bild zurück: ein Netzwerk, verteidigt von Menschen, die miteinander reden. Admins, Analysten und das Management halten je ein Stück der Wahrheit, und die Zertifizierung existiert, um ihnen einen gemeinsamen Wortschatz zu geben. Du übst Übergaben, Eskalation und Berichterstattung in klaren Worten, mit denen ein Manager etwas anfangen kann. Das Schlussbild ist ein Team, das beim Start eines Vorfalls wie einer agiert.

    Die Idee

    Die meisten Sicherheitsverletzungen sind Teamversagen, bevor sie technisches Versagen sind – verursacht durch Übergaben, die nie stattfanden, oder Warnungen, die niemand eskalierte. Ein gemeinsamer Wortschatz verkürzt den Weg von der Erkennung zur Entscheidung. Nach oben berichten in Geschäftssprache – Ausfallzeit, Daten, Kosten – verschafft der Sicherheit das Budget und die Befugnis, die sie braucht. Solches Training existiert gerade deshalb, weil Netzwerke von Organisationen verteidigt werden, nicht von einsamen Zauberern.

    Probier es aus: Geh in deinem nächsten Teammeeting einen aktuellen Alert von Anfang bis Ende durch und benenne, wer ihn an jedem Schritt berührt hat.

Network administrators and junior SOC analysts who want a structured, certification-aligned grounding in defense. Also ideal for sysadmins suddenly handed security duties who need a map of the whole territory.