Fabian IkizogluDevOps Engineer · Stuttgart

Fabian
Ikizoglu

Ich baue die Pipelines, sichere die Systeme — und versuche ab und zu, sie zu knacken.

  • DevOps Engineer
  • Ex-Fullstack-Entwickler
  • Security-Bastler
Scrollen

(01) Über mich

Tagsüber verwandle ich Infrastruktur in Code: Cluster, Pipelines und alles dazwischen. Davor habe ich die Apps geschrieben, die darauf laufen — mir sind also beide Seiten des Deploy-Buttons wichtig.

Nach Feierabend beschäftige ich mich mit Security: Web Application Firewalls, Detection mit einem SIEM und Labore, in denen ein Team angreift, während das andere die Logs aufleuchten sieht.

Now
DevOps Engineer
Acht S GmbH
Before
Fullstack-Entwickler

Stack

Werkzeuge, zu denen ich greife — vom Cluster bis zur Komponente.

KubernetesDockerHelmTerraformAnsibleGitHub ActionsGitLab CIOpen Telekom CloudHetznerKubernetesDockerHelmTerraformAnsibleGitHub ActionsGitLab CIOpen Telekom CloudHetzner
Self-hostedTypeScriptJavaScriptGoPythonReactNext.jsAstroExpressSelf-hostedTypeScriptJavaScriptGoPythonReactNext.jsAstroExpress
HonoElastic SIEMOWASP CorazaModSecurityOWASP CRSNmapMetasploitHonoElastic SIEMOWASP CorazaModSecurityOWASP CRSNmapMetasploit

(03) Bachelorarbeit

Automatisierte Installation und Evaluierung der Web Application Firewall OWASP Coraza in einem IT-Security-Labor für den Lehrbetrieb

Ein vollautomatisiertes, reproduzierbares Security-Labor für den Lehrbetrieb. Ein Befehl provisioniert N Nodes mit Ansible: Einer wird zum Elastic-Stack-SIEM, jeder Node erhält einen Elastic Agent und absichtlich verwundbare Webanwendungen laufen hinter einer Web Application Firewall. Ein Red Team greift an, ein Blue Team verteidigt — und nebenbei wird OWASP Coraza mit ModSecurity verglichen.

  1. Schritt 01ProvisionierungAnsible-Rollen setzen N Lab-Nodes von Grund auf auf — jedes Semester.
  2. Schritt 02SIEMEin Node wird zum Elastic Stack: Elasticsearch, Kibana, Fleet.
  3. Schritt 03AgentsElastic Agents registrieren sich auf jedem Node und liefern Logs.
  4. Schritt 04ZieleVerwundbare Web-Apps laufen hinter OWASP Coraza oder ModSecurity.
  5. Schritt 05ÜbungRed Team greift an, Blue Team erkennt und reagiert — live im Kurs.

Coraza gegen ModSecurity

Beide Engines, bewertet im selben Ansible-provisionierten Labor mit dem OWASP Core Rule Set.

Engine

CorazaModerne Go-Implementierung, als Bibliothek einbettbar

ModSecurityEtablierte C++-Engine (libmodsecurity v3) mit langer Historie

Regelwerk

CorazaNutzt das OWASP Core Rule Set, SecLang-kompatibel

ModSecurityReferenzplattform für das OWASP Core Rule Set

Automatisierung

CorazaAufwendigeres Setup: Es gibt kein Apache-Modul, daher läuft Caddy als Reverse-Proxy mit dem Coraza-Modul — trotzdem vollständig mit Ansible automatisiert

ModSecurityEinfacheres Deployment und deutlich mehr frei verfügbare Ressourcen und Dokumentation

Betrieb

CorazaLiefert die wichtigsten Bedrohungsdaten; CRS-Regeln verhalten sich identisch und werden im selben Caddyfile wie WAF und Proxy angepasst

ModSecurityDas Referenzverhalten: dieselben CRS-Regeln und Erkennungen, mit denen das Labor ursprünglich gebaut wurde

Erkenntnisse

  1. 01Der Wechsel von ModSecurity zu Coraza machte das Deployment aufwendiger (Caddy als Reverse-Proxy, kleinere Community), doch das Ansible-Setup funktioniert wie zuvor und bleibt in einem abgeschotteten Lehrnetz einfach.
  2. 02Coraza kann ModSecurity noch nicht vollständig ersetzen, liefert aber die wichtigsten Bedrohungsdaten, und das OWASP Core Rule Set funktioniert identisch — bei einfachen Angriffen wie XSS oder SQLi gibt es keinen Unterschied.
  3. 03Eine WAF auf jedem Anwendungshost (Zero Trust) ist sicherer als eine gemeinsame WAF (SPOE). Für die Lehre ist ein Hybrid ideal: Studierende greifen erst das Zero-Trust-Setup an, dann SPOE und schließlich beides kombiniert.

Ausgewählte Arbeiten

Dinge, die ich gebaut, kaputt gemacht und neu gebaut habe.

  • 01 — Monitoring · Go + React2026

    Monito

    Ein selbst gehostetes Monitoring-Tool im Stil von Uptime Kuma, mit optionalem Agent, den man auf einem Node installiert, um Systeminfos, Container-Status, Speicher und mehr zu melden. Go-Backend, React-Frontend in TypeScript.

    • Go
    • React
    • TypeScript
    • Monitoring
    • Agent
  • 02 — Terminal-UI · Go2026

    servcli

    Eine Terminal-Oberfläche für Sysadmins, um Server an einem Ort zu verwalten: Zeiterfassung, Monitoring-Checks, Zertifikatsablauf, ein Kanban-Board für To-dos, SSH-Sitzungsverlauf und Alerting.

    • Go
    • TUI
    • SSH
    • Monitoring
    • Alerting
  • 03 — Bachelorarbeit · Security-Labor

    SecLab

    Mit Ansible provisioniertes Red-vs.-Blue-Lehrlabor mit Elastic SIEM und einem WAF-Vergleich zwischen OWASP Coraza und ModSecurity.

    • Ansible
    • Elastic Stack
    • Coraza
    • ModSecurity

(05) Security-Ecke

Security ist das, was ich mache, wenn mich niemand dafür bezahlt. Angefangen mit meiner Bachelorarbeit — und seitdem nicht mehr aufgehört.

Noch keine Zertifikate oder Ranglisten zum Angeben — nur Neugier, ein Labor und jede Menge Logs.

  1. 01

    Web Application Security

    WAFs, die OWASP Top 10 und warum Regelwerke schwieriger sind, als sie aussehen.

  2. 02

    Detection & SIEM

    Aus verrauschten Logs Signale machen, mit denen das Blue Team wirklich arbeiten kann.

  3. 03

    DevSecOps

    Scannen, Signieren und Härten als selbstverständlicher Teil jeder Pipeline.

  4. 04

    CTFs

    Gerade erst angefangen — Write-ups folgen, sobald es etwas Lesenswertes gibt.

Ansässig in Deutschland · MEZ

Kontakt

So erreichst du mich am besten.

E-Mail ↗

Ortszeit · Stuttgart

Tipp: Öffne die Konsole.