Verinice - Übung: Webserver mit WAF und Firewall

Schritt 1 – Organisation anlegen

• Im linken Bereich „Model Browser“ mit Right Click → New → Organization eine neue Organisation anlegen.
• Name: Online Platform
• Diese Organisation ist das Dach für Prozesse, IT-Systeme und Anwendungen.

Schritt 2 – Prozesse hinzufügen

• Rechtsklick auf Online Platform → New → Business Process
• Anlegen der relevanten Geschäftsprozesse:
  • Website Delivery
  • Form Handling
  • Secure Access

Schritt 3 – IT-Systeme modellieren

• Rechtsklick auf Online Platform → New → IT System
• Anlegen der Systeme:
  • Webserver: Apache2 mit anfälligen Testseiten (SQLi, XSS)
  • WAF: NGINX mit ModSecurity und aktiviertem OWASP CRS
    • TLS-Endpunkt: SSL/TLS-Terminierung
    • Blockieren gefährlicher URIs
  • Firewall: OPNsense mit Zugriffskontrollregeln
    • Nur Port 443/TCP freigegeben
    • Admin-Zugriff nur aus internen Netzen

Schritt 4 – Anwendungen verknüpfen

• Rechtsklick auf Webserver → New → Application
• Beispiele:
  • Apache2-Testanwendung mit Schwachstellen (SQLi, XSS)
  • NGINX Reverse Proxy / WAF
  • OPNsense Firewall-Konsole

Schritt 5 – Gefährdungen zuordnen

• Rechtsklick auf ein IT-System (z. B. Webserver) → New → Threat
• Typische Gefährdungen:
  • SQL-Injection auf dem Apache-Webserver
  • Cross-Site-Scripting (XSS)
  • Umgehung oder Fehlkonfiguration von WAF-Regeln
  • TLS-Misskonfiguration (schwache Cipher, fehlendes HSTS)
  • Denial-of-Service-Angriffe auf Port 443
  • Fehlkonfiguration der Firewall (z. B. offener Admin-Port)

Schritt 6 – Maßnahmen dokumentieren

• Rechtsklick auf eine Gefährdung → New → Safeguard
• Maßnahmen zuordnen:
  • Patchmanagement für Apache2
  • Aktivierung des OWASP CRS in ModSecurity
  • Blockieren definierter kritischer URIs
  • TLS-Härtung (nur sichere Cipher, HSTS, Zertifikatsüberwachung)
  • Rate-Limiting und Connection-Limits auf OPNsense
  • Regelmäßige Überprüfung der Firewall-Regeln
  • Zentrales Monitoring der Logs (WAF + Firewall)
  • Durchführung regelmäßiger Penetrationstests

Schritt 7 – Reports erstellen

• Menü: File → Generate Report
• Beispielreports:
  • Risk Analysis
  • Safeguards Status
• Ergebnisse dienen zur Diskussion in der Schulung.

Ergebnis der Übung

• In verinice wurde eine Organisation mit Prozessen, IT-Systemen, Gefährdungen und Maßnahmen modelliert.
• Teilnehmer erkennen die Zusammenhänge zwischen Assets, Bedrohungen und Schutzmaßnahmen.
• Es entsteht eine kleine, aber vollständige Risikoanalyse für ein praxisnahes Szenario.