Threat Modeling, IT-/OT-Segmentierung, Snort Detection und reproduzierbare Validierung eines Drupal-Detection-Profils.
Dieses Repository bündelt defensive Security-Arbeiten aus dem Hochschulkontext in einer für die öffentliche Nachvollziehbarkeit neu aufbereiteten Form. Im Mittelpunkt stehen Methodik, reproduzierbare Labs, Validierung und die Grenzen der entwickelten Maßnahmen – nicht die Veröffentlichung von Kursmaterial.
| Projekt | Inhalt |
|---|
| Threat Modeling | STRIDE-Analyse, MITRE-ATT&CK-Zuordnung, abstrahiertes DFD und Risikoregister |
| IT-/OT-Netzwerksegmentierung | Default-Deny-Gateway mit iptables, Logging und kontrollierter Verifikation |
| Snort Detection | Regeln für Reconnaissance, ICMP und wiederholte SSH-Verbindungen |
| CVE-2026-9082 Detection Lab | Nuclei-Profil mit positiver, gepatchter und nicht betroffener Negativkontrolle |
Die Fallstudie untersucht eine anonymisierte Produktionsumgebung mit verbundenen IT- und OT-Systemen. Assets, Kommunikationspfade und Trust Boundaries werden erfasst, mit STRIDE analysiert und relevanten Techniken aus MITRE ATT&CK Enterprise und ICS zugeordnet. Ein qualitatives Risikomodell priorisiert insbesondere Lateral Movement und Produktionsausfälle.
Ein Gateway trennt Office- und simuliertes OT-/SCADA-Segment. Die
Forwarding-Policy folgt dem Whitelist-Prinzip: etablierter Rückverkehr und
explizit erlaubte Dienste passieren, unerlaubter Verkehr wird vor dem DROP
protokolliert. Nmap, kontrollierter Testverkehr, Firewall-Counter und Logs
verifizieren Regeln und Rückwege.
Die Snort-Konfiguration definiert ein passendes HOME_NET und erkennt im Lab
TCP-/UDP-Reconnaissance, ICMP zum OT-Segment sowie wiederholte
SSH-Verbindungsversuche. Die Regeln demonstrieren Detection Engineering;
Schwellenwerte müssen für produktive Netze angepasst werden.
Das Nuclei-Template wird gegen drei lokale Instanzen geprüft:
| Ziel | Datenbank | Erwartung |
|---|---|---|
| verwundbare Drupal-Version | PostgreSQL | Detection |
| gepatchte Drupal-Version | PostgreSQL | keine Detection |
| verwundbare Drupal-Version | MariaDB | keine Detection |
Die MariaDB-Instanz ist eine wichtige Negativkontrolle: Sie nutzt dieselbe Drupal-Version wie die positive Kontrolle, ist vom PostgreSQL-spezifischen Query-Pfad jedoch nicht betroffen. Dadurch wird geprüft, ob das Profil mehr als eine bloße Versionskennung leistet.
iptables · Snort · Nuclei · Docker Compose · Drupal · PostgreSQL · MariaDB
Meine Arbeit umfasste insbesondere:
iptables- und Snort-Regeln;Die Unterprojekte dokumentieren Voraussetzungen, Konfiguration und Testschritte. Das Drupal-Lab verwendet Docker Compose und Nuclei; das Segmentierungs-Lab benötigt isolierte Linux-Systeme oder VMs mit administrativen Rechten. Lange HTTP-Rohantworten und Desktop-Metadaten sind bewusst nicht Teil der öffentlichen Evidenz.
Aktive Prüfungen dürfen ausschließlich gegen eigene oder ausdrücklich freigegebene Systeme erfolgen. Das Nuclei-Profil ist detection-orientiert, extrahiert keine Daten und verändert keine Anwendungseinträge. Auch nichtdestruktive Requests können Logs erzeugen. Firewall-Skripte dürfen nur in isolierten Labs ausgeführt werden, da sie aktive Regeln ersetzen.
Die Arbeiten entstanden im Rahmen eines Security-Operations-Moduls an der THWS. Veröffentlicht werden neu formulierte eigene Analysen und Lab-Artefakte, nicht die Aufgabenstellung, Vorlesungsfolien, bereitgestellte Netzpläne oder vollständige Abgaben.