Bitte wählen Sie die Bereiche, die Sie exportieren möchten:
Schulung PostgreSQL Security und Härtung
Schulungsformen
Offene Schulung
- 2 Tage
- 4 gesicherte Termine
- Köln / Online
- 1.440,00 p. P. zzgl. MwSt.
- Dritter Mitarbeitende kostenfrei
- Learning & Networking in einem. Garantierte Durchführung ab 1 Teilnehmenden.
Inhouse-/Firmenschulung
- 2 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
Individualschulung
- 2 Tage - anpassbar
- Termin nach Wunsch
- In Ihrem Hause oder bei der GFU
- Preis nach Angebot
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
Beschreibung
In diesem Seminar nehmen Sie zuerst den Ist-Stand einer Instanz auf, mit Katalogabfragen, dem CIS PostgreSQL Benchmark und dem Open-Source-Prüfwerkzeug pg-harden (https://github.com/glueck-it/pg-harden) . Danach sichern Sie die Instanz Schicht für Schicht ab: SCRAM-SHA-256 und Zertifikate statt MD5, TLS mit Prüfung des Servers, Rollen nach dem Prinzip der geringsten Rechte, Row-Level Security für die Trennung von Mandanten, Audit-Logging mit pgAudit und Verschlüsselung dort, wo sie gegen den jeweiligen Angriff tatsächlich hilft. Am Ende jedes Themenblocks läuft dieselbe Prüfung erneut, sodass jede Änderung belegt ist.
Geübt wird an einer Übungsinstanz mit typischen Schwachstellen gewachsener Installationen, die im Lauf des Seminars nacheinander behoben werden. Zum Abschluss erstellen Sie einen priorisierten Härtungsplan für die eigene Umgebung. Ein optionaler dritter Tag vertieft Single Sign-on, dynamische Zugangsdaten und den Betrieb in Kubernetes.
Noch nicht das, was Sie suchen? Wir haben bestimmt einen passenden PostgreSQL Kurs für Sie im Seminarportfolio.
Schulungsziel
Nach dem Seminar können Sie den Sicherheitszustand einer PostgreSQL-Instanz mit Benchmark und Katalogabfragen reproduzierbar erheben und als Befundliste festhalten. Sie stellen pg_hba.conf und TLS so ein, dass nur verschlüsselte, vorgesehene Verbindungen ankommen, und weisen das nach. Sie spüren MD5-Passwörter auf, stellen auf SCRAM-SHA-256 um und richten eine zertifikatsbasierte Anmeldung ein. Eine Anwendung bauen Sie vom Superuser auf ein Rollenmodell nach dem Prinzip der geringsten Rechte um und vergleichen Soll und Ist der Rechte per Abfrage. Sie prüfen Funktionen mit SECURITY DEFINER auf Schwachstellen, trennen Mandanten mit Row-Level Security und setzen für Tabellen mit personenbezogenen Daten ein Objekt-Audit mit pgAudit auf.
Details
Inhalt
- Ziele und Erwartungen der Teilnehmenden
- Klärung individueller Lernziele und Erwartungen für ein praxisnahes und relevantes Seminar
- Bestandsaufnahme und Bedrohungsmodell
- Angriffsflächen einer Instanz: Netz, Anmeldung, Rechte, Code in der Datenbank, Betriebssystem, Sicherungen
- Bedrohungsmodell für die eigene Umgebung: wer greift von wo mit welchem Ziel zu
- Ist-Stand automatisiert erheben: CIS PostgreSQL Benchmark, DISA STIG, Bewertung mit pgdsat, Prüfung mit Änderungsplan und Vorher-Nachher-Vergleich mit pg-harden (https://github.com/glueck-it/pg-harden)
- Die Konfiguration als Prüfquelle: pg_settings, pg_file_settings, pg_hba_file_rules, pg_ident_file_mappings
- Patch-Stand: Minor Releases, Support-Ende einer Hauptversion, Sicherheitsmeldungen (CVE) verfolgen
- Netzwerk, Verbindungen und TLS
- listen_addresses, Unix-Domain-Sockets (unix_socket_permissions, unix_socket_group), Firewall und Administration nur über VPN oder ein privates Netz
- TLS erzwingen: hostssl, ssl_min_protocol_version auf TLS 1.3, ssl_ciphers, ssl_tls13_ciphers, ssl_groups
- Zertifikate verwalten: eigene Zertifizierungsstelle, Sperrlisten (CRL), Rotation per Reload ohne Neustart, Schlüssel mit ssl_passphrase_command
- Client-Seite: sslmode=verify-full statt require oder prefer, sslrootcert=system, sslnegotiation=direct, require_auth gegen Downgrade
- Mit pg_stat_ssl prüfen, welche Verbindungen verschlüsselt sind, und unverschlüsselte aufspüren
- Verbindungsgrenzen: max_connections, reserved_connections, superuser_reserved_connections, CONNECTION LIMIT je Rolle
- Brute Force und hängende Sitzungen: authentication_timeout, auth_delay, statement_timeout, idle_session_timeout, idle_in_transaction_session_timeout
- Pooler und Hochverfügbarkeit in der Kette: PgBouncer mit TLS und SCRAM, REST-Schnittstelle von Patroni absichern
- Authentifizierung
- pg_hba.conf lesen wie eine Firewall: Reihenfolge, Include-Dateien, reguläre Ausdrücke, reject-Regeln
- Getrennte Regeln für Anwendung, Administration und Replikation; Superuser nur lokal per peer, nicht über das Netz
- SCRAM-SHA-256 statt MD5: password_encryption, Umstellung im laufenden Betrieb, Clients und Treiber auf SCRAM prüfen, Abkündigung von MD5
- Zertifikatsbasierte Anmeldung: cert, clientcert=verify-full, Benutzer-Mapping in pg_ident.conf
- Single Sign-on mit OAuth 2.0 / OpenID Connect (OIDC) über ein Validator-Modul, etwa an Entra ID oder Keycloak
- Kerberos/GSSAPI gegen Active Directory, verschlüsselt per hostgssenc
- LDAP und RADIUS als Altlast: Risiken und Wege zur Ablösung
- Passwortrichtlinien: passwordcheck, credcheck, VALID UNTIL, Ablaufwarnung
- Kurzlebige Zugangsdaten statt gespeicherter Passwörter: HashiCorp Vault bzw. OpenBao (Database Secrets Engine), IAM-Token bei Cloud-Diensten
- Server-zu-Server ohne hinterlegtes Passwort: SCRAM-Passthrough für postgres_fdw und dblink
- Rollen und Rechte nach dem Prinzip der geringsten Rechte
- Login- und Gruppenrollen, GRANT ... WITH INHERIT / WITH SET, NOINHERIT
- Ohne Superuser arbeiten: vordefinierte Rollen wie pg_read_all_data, pg_monitor, pg_read_all_stats, pg_signal_backend, pg_maintain, pg_checkpoint, pg_use_reserved_connections
- CREATEROLE entschärfen: createrole_self_grant und wer wen verwalten darf
- Rollentrennung in der Anwendung: Eigentümer, Migration, Anwendung, Nur-Lesen, Monitoring
- Schema-Isolation: public-Schema, REVOKE ... FROM PUBLIC, sichere search_path-Muster
- Default Privileges, Rechte auf Spaltenebene
- Rechte inventarisieren und gegen das Soll prüfen: pg_permissions, Katalogabfragen
- ALTER SYSTEM sperren mit allow_alter_system, Konfiguration als Code
- Code in der Datenbank als Angriffsfläche
- SECURITY DEFINER mit fixiertem search_path - und wann SECURITY INVOKER reicht
- Views mit security_barrier und security_invoker, Funktionen mit LEAKPROOF
- Hochrisiko-Funktionen: COPY ... PROGRAM, pg_read_server_files, lo_import/lo_export, nicht vertrauenswürdige Sprachen (plpython3u, plperlu)
- Extensions als Lieferkette: Paketquelle, trusted-Flag, shared_preload_libraries prüfen
- SQL-Injection im dynamischen SQL: format() mit %I und %L, EXECUTE ... USING
- Kontrollierte Rechteausweitung mit set_user, Sitzungsregeln über Login-Event-Trigger
- Row-Level Security
- ENABLE und FORCE ROW LEVEL SECURITY, PERMISSIVE und RESTRICTIVE Policies
- USING und WITH CHECK: Regeln für Lesen und Schreiben getrennt festlegen
- Mandantentrennung (Multi-Tenancy) über Sitzungsvariablen - und was ein Transaction-Pooler daran ändert
- Sichtbarkeit nach Rolle und nach Vertraulichkeitsstufe der Daten
- Wer RLS umgeht: BYPASSRLS, Tabelleneigentümer, Superuser
- Seitenkanäle und Performance: Fehlermeldungen, LEAKPROOF, Indexe auf der Mandantenspalte
- Audit-Logging und Protokollierung
- Bordmittel gezielt einsetzen: log_connections mit Einzelstufen, log_disconnections, log_line_prefix, log_statement, log_parameter_max_length
- Logdateien schützen: log_file_mode, Ablage und Rechte im Dateisystem
- Was ungewollt im Log landet: Passwörter in ALTER ROLE, Parameterwerte, Abfragetexte in pg_stat_activity und pg_stat_statements
- pgAudit: Klassen (READ, WRITE, FUNCTION, ROLE, DDL, MISC), Session- und Object-Audit, rollenbasiertes Objekt-Audit, Filter gegen Protokollflut
- Strukturierte Logs (jsonlog) an ein SIEM übergeben: syslog, Fluent Bit, Vector; Auswertung mit pgBadger
- Aufbewahrung, Manipulationsschutz und Datenminimierung im Audit-Log
- Verschlüsselung und Schutz der Daten
- Encryption at Rest mit Volume-Verschlüsselung (LUKS, BitLocker, Cloud-KMS): wogegen sie schützt und wogegen nicht
- Ausblick Transparent Data Encryption (TDE): bisher nur mit angepasstem Server, etwa pg_tde in der Percona-Distribution
- Spaltenverschlüsselung mit pgcrypto gegen Verschlüsselung in der Anwendung; Schlüsselverwaltung als eigentliche Aufgabe
- Passwörter in Anwendungstabellen richtig speichern: crypt() mit gen_salt('bf')
- Pseudonymisierung und Anonymisierung von Test- und Analysedaten mit PostgreSQL Anonymizer
- Datenprüfsummen (data_checksums) gegen stille Beschädigung
- Sicherungen als Weg für Datenabfluss: verschlüsseltes pgBackRest-Repository, WAL-Archiv, pg_dump-Dateien, restrict_nonsystem_relation_kind
- Replikation absichern: wer replizieren darf, über welchen Zugang (pg_hba.conf) und was mit verwaisten Slots geschieht
- Betrieb, Container und Cloud
- Betriebssystem: Dienstbenutzer, Rechte auf PGDATA, data_directory_mode, SELinux
- Container und Kubernetes: CloudNativePG, Betrieb ohne root, Secrets, Network Policies
- Managed PostgreSQL: was der Anbieter übernimmt und was beim Betreiber bleibt (Shared Responsibility)
- Härtung automatisieren: Konfiguration als Code, Abweichungen erkennen, Prüfung als wiederkehrender Lauf, der Befunde über den Exit-Code meldet, etwa in einer Build-Pipeline (CI)
- Workshop: Härtungsplan für die eigene Umgebung
- Bestandsaufnahme einer Instanz mit pg-harden und Benchmark, Änderungsplan mit dokumentiertem Rückweg je Korrektur
- Befunde priorisieren: Sofortmaßnahmen, mittelfristige und strategische Maßnahmen
- Nachweise für Prüfungen: NIS2-Umsetzungsgesetz, ISO 27001, BSI IT-Grundschutz (Baustein Relationale Datenbanken), Anforderungen aus der DSGVO
- Gegenseitige Prüfung der Pläne mit Fragen aus Sicht von Angreifern und Auditoren
- Optionaler dritter Tag: Praxistag
- Single Sign-on mit OAuth 2.0 / OIDC an einem Identity-Provider durchspielen, Anmeldung per psql
- Dynamische Zugangsdaten mit Vault bzw. OpenBao: Rollen, Ablauf, Widerruf
- Einen gehärteten Cluster mit CloudNativePG aufsetzen
- Inhouse: die eigene Instanz gegen den Benchmark prüfen und den Härtungsplan daran ausrichten
Zielgruppe & Vorkenntnisse
Das Seminar richtet sich an PostgreSQL-Administratoren, die eine Instanz für ein Audit oder nach einem Sicherheitsvorfall belastbar absichern müssen, an Security Engineers und Informationssicherheitsbeauftragte, an Datenschutzbeauftragte und Compliance-Verantwortliche, die Zugriffsprotokolle, Verschlüsselung und Mandantentrennung beurteilen müssen, sowie an Entwickler mit DBA-Verantwortung, deren Anwendung Rollen, Row-Level Security oder Funktionen mit erweiterten Rechten nutzt.
Teilnahmevoraussetzungen
Sie sollten PostgreSQL bereits administriert haben: Installation, Konfigurationsdateien, Benutzer anlegen und pg_hba.conf ändern. Idealerweise haben Sie das Seminar „PostgreSQL Administration“ (S611) besucht oder vergleichbare Praxiserfahrung. Ein Grundverständnis von Netzwerk und TLS (Zertifikat, Zertifizierungsstelle, Port, Firewall) wird vorausgesetzt.
Ihre Schulung
In Präsenz | Online |
|---|---|
| Lernmethode | |
Ausgewogene Mischung aus Theorie und praktischen Übungen auf persönlichem Schulungs-PC. | Wie auch bei unseren Präsenz-Seminaren: Ausgewogene Mischung aus Theorie und praktischen Übungen. Trainer durchgehend präsent. |
| Unterlagen | |
Seminarunterlagen oder Fachbuch inklusive. Das Fachbuch wählt der Trainer passend zum Seminar aus - Ihren individuellen Buch-Wunsch berücksichtigen wir auf Nachfrage gerne. | Seminarunterlagen oder Fachbuch inklusive (via DHL). Das Fachbuch wählt der Trainer passend zum Seminar aus - Ihren individuellen Buch-Wunsch berücksichtigen wir auf Nachfrage gerne. |
| Arbeitsmaterialien | |
DIN A4 Block, Notizblock, Kugelschreiber, USB-Stick, Textmarker, Post-its | |
| Teilnahmezertifikat | |
Nach Abschluss des Seminars erhalten Sie das Teilnahmezertifikat inkl. Inhaltsverzeichnis per E-Mail als PDF. | |
Organisation
In Präsenz | Online | |
|---|---|---|
| Teilnehmendenzahl | ||
min. 1, max. 8 Personen | ||
| Garantierte Durchführung | ||
Ab 1 Teilnehmenden* | ||
| Schulungszeiten | ||
| ||
| Ort der Schulung | ||
 GFU SchulungszentrumAm Grauen Stein 27 51105 Köln-Deutz oder online im Virtual Classroom oder europaweit bei Ihnen als Inhouse-Schulung Um ein optimales Raumklima zu gewährleisten, haben wir das Schulungszentrum mit 17 hochmodernen Trotec TAC V+ Luftreinigern ausgestattet. Diese innovative Filtertechnologie (H14 zertifiziert nach DIN EN1822) sorgt dafür, dass die Raumluft mehrfach pro Stunde umgewälzt wird und Schadstoffe zu 99.995% im HEPA-Filter abgeschieden und infektiöse Aerosole abgetötet werden. Zusätzlich sind alle Räume mit CO2-Ampeln ausgestattet, um jederzeit eine hervorragende Luftqualität sicherzustellen. | ||
| Räumlichkeiten | ||
Helle und modern ausgestattete Räume mit perfekter Infrastruktur | Bequem aus dem Homeoffice von überall | |
| Preisvorteil | ||
Dritter Mitarbeitende nimmt kostenfrei teil. Eventuell anfallende Prüfungskosten für den dritten Teilnehmenden werden zusätzlich berechnet - auch bei Seminaren inkl. Prüfungsgebühr. Hinweis: Um den Erfolg der Schulung zu gewährleisten, sollte auch der dritte Teilnehmende die erwarteten Vorkenntnisse mitbringen. | ||
| All-Inclusive | ||
Gebäck, Snacks und Getränke ganztägig, Mittagessen im eigenen Restaurant, täglich 6 Menüs, auch vegetarisch | Eine Auswahl unserer Frühstücks-Snacks und Nervennahrungs-Highlights senden wir Ihnen mit den Seminarunterlagen via DHL zu. | |
| Barrierefreiheit | ||
Das GFU-Schulungszentrum (Am Grauen Stein 27) ist barrierefrei | - | |
Buchen ohne Risiko
| Rechnungsstellung |
Erst nach dem erfolgreichen Seminar. Keine Vorkasse. |
| Stornierung |
Kostenfrei bis zum Vortag des Seminars |
| Vormerken statt buchen |
Sichern Sie sich unverbindlich Ihren Seminarplatz schon vor der Buchung - auch wenn Sie selbst nicht berechtigt sind zu buchen |
Kostenfreie Services
In Präsenz | Online |
|---|---|
|
|
Buchungsmöglichkeiten
Online oder in Präsenz teilnehmen
Sie können sowohl Online als auch in Präsenz am Seminar teilnehmen. Klicken Sie bei Ihrer Buchung oder Anfrage einfach die entsprechende Option an.
Gesicherte offene Termine
| Termin | Ort | Preis | ||
|---|---|---|---|---|
| 2027 | ||||
| 25.01.-26.01.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 19.04.-20.04.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 06.09.-07.09.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
| 29.11.-30.11.2027 Plätze vorhanden Köln / Online 1.440,00 | Köln / Online | 1.440,00 | Buchen Vormerken | |
- Lernumgebung in der Cloud
- Inhalte werden auf Wunsch an die Anforderungen Ihres Teams angepasst.
- Lernumgebung in der Cloud
- 1 Teilnehmender = Fokus aufs Fachliche und maximaler Raum für individuelle Fragen.
- Alle folgenden Schulungsformen können auch Online als Virtual Classroom durchgeführt werden.
- Eine Offene Schulung findet zu einem festgelegten Zeitpunkt im voll ausgestatteten Schulungszentrum oder Online/Remote statt. Sie treffen auf Teilnehmende anderer Unternehmen und profitieren vom direkten Wissensaustausch.
- Eine Inhouse-/Firmen-Schulung geht auf die individuellen Bedürfnisse Ihres Unternehmens ein. Sie erhalten eine kostenfreie Beratung von Ihrem Seminarleiter und können Inhalte und Dauer auf Ihren Schulungsbedarf anpassen. Inhouse-Schulungen können Europaweit durchgeführt werden.
- Bei einer Individual-Schulung erhalten Sie eine 1-zu-1 Betreuung und bestimmen Inhalt, Zeit und Lerntempo. Der Dozent passt sich Ihren Wünschen und Bedürfnissen an.
Sie können unsere Schulungen auch als Remote Schulung im Virtual Classroom anfragen.
In drei Schritten zum Online Seminar im Virtual Classroom:
- Seminar auswählen und auf "Buchen" klicken
- Wählen Sie bei "Wie möchten Sie teilnehmen?" einfach "Online" aus.
- Formular ausfüllen und über den Button "Jetzt buchen" absenden.
Unser Kundenservice meldet sich bei Ihnen mit der Buchungsbestätigung.
Unsere Online Schulungen finden im Virtual Classroom statt. Ein Virtual Classroom bündelt mehrere Werkzeuge, wie Audio-Konferenz, Text-Chat, Interaktives Whiteboard, oder Application Sharing.
Vorteile von Virtual Classroom:
- Sie erhalten 1 zu 1 die gleiche Lernumgebung, die Sie auch vor Ort bei uns vorfinden
- Die technische Vorbereitung wird von den GFU-Technikern vorgenommen
- Sie erhalten remote Zugriff auf Ihren persönlichen Schulungs-PC im GFU-Seminarraum
- Die Virtual Classroom Lösung lässt sich auch im Browser betreiben
- Die GFU-Technik leistet wie gewohnt Soforthilfe bei Problemen
- Die Schulungsunterlagen bekommen Sie via DHL zugeschickt
- Sie sparen Reisekosten und Zeit
- 25. Jan. - 26. Jan. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 19. Apr. - 20. Apr. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 06. Sep. - 07. Sep. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- 29. Nov. - 30. Nov. ✓ Noch einige Plätze frei ▶ Köln + Online/Remote
- Auch als Inhouse-Schulung, bundesweit mit Termin nach Wunsch und individuellen Inhalten
- Buchen ohne Risiko! Kostenfreie Stornierung bis zum Vortag des Seminars
Die Seminare der GFU finden in angenehmer Atmosphäre statt und sind perfekt organisiert. Profitieren Sie von dem Rundum-Service der GFU!
Machen Sie sich keinen Kopf um die Anreise! Unser Shuttle fährt Sie. Oder Sie parken einfach auf einem extra für Sie reservierten Parkplatz.
Hotelzimmer gesucht? Wir organisieren Ihnen eins. Ihr Vorteil: Sie sparen Zeit und Geld!
Stornierung bei offenen Seminaren kostenfrei bis einen Tag vor Schulungsbeginn.
Unsere Techniker sind immer zur Stelle, egal ob online oder vor Ort.