Was ist Cloud-Security?

Cloud-Security umfasst eine Reihe von Maßnahmen zum Schutz einer Public- oder Private-Cloud-Umgebung gegen interne und externe Sicherheitsbedrohungen.

Cloud-Computing ist eine Methode zur Speicherung von Daten, Infrastruktur und Anwendungen über das Internet. Cloud-Security ist ein Mittel zum Schutz der Cloud vor Angriffen, sowohl von außen als auch von innen. Sie basiert in der Regel auf einer Reihe von Steuerungen, Verfahren und Richtlinien, die zusammenwirken, um alle Assets innerhalb der Cloud zu schützen. Wenn diese Protokolle implementiert sind, können sie auch zur Compliance und zur Reduzierung des Verwaltungsaufwands beitragen.

Cloud-Security ist im Grunde genommen IT-Sicherheit – allerdings an einem zentralisierten Ort. Die Maßnahmen und der damit verbundene Schutz sind dieselben, aber die Cloud-Security wird in Software gehostet. Software für Cloud-Computing ist leicht skalierbar, portabel und dynamisch, sodass sie auf eine Umgebung reagieren und damit verbundene Workflows flankieren kann. Dadurch wird auch das Risiko eines Datenverlusts oder einer Korruption exponentiell verringert.

Zero-Trust und warum Sie darauf setzen sollten

Sicherheitsexperten sollten grundsätzlich keinem Element innerhalb oder außerhalb des Netzes automatisch vertrauen. Zero-Trust-Richtlinien setzen das Prinzip der geringsten Berechtigungen durch, d. h. Benutzer erhalten nur den geringstmöglichen Umfang an Zugriff und Ressourcen, den sie für die Erfüllung ihrer Aufgaben benötigen. Darüber hinaus kommt die Mikrosegmentierung zum Einsatz, bei der die Cloud-Security durch die Schaffung sicherer Zonen, in denen die Workloads voneinander getrennt werden, aufgebrochen wird.

  • Interne Private Cloud: wird von internen Mitarbeitern genutzt, die die virtuelle Umgebung betreiben.
  • Private Cloud eines Public-Cloud-Providers: Ein Dritter stellt die Computing-Umgebung für einer Umgebung für einen Kunden bereit.
  • Public Cloud: Software-as-a-Service (SaaS), Infrastructure-as-a-Service (IaaS) und Platform-as-a-Service.
  • Hybrid Cloud: Die Systeme von Private und Public Clouds werden sowohl von öffentlichen als auch von privaten Providern gemeinsam genutzt und die Kosten, Gemeinkosten und Workloads entsprechend aufgeteilt.

Zentralisierte Sicherheit

Cloud-Security zentralisiert die Sicherheitsmaßnahmen auf die gleiche Weise wie Cloud-Computing die Daten zentralisiert. Die Analyse des Datenverkehrs, die Überwachung von Netzwerkereignissen und die Webfilterung können zentral verwaltet werden und erfordern weniger Richtlinien- und Software-Updates. Auf diese Weise können die IT-Prozesse gestrafft werden und die Zeit, die ansonsten für das Monitoring diverser Systeme aufgewendet werden muss, steht für technischere Aufgaben zur Verfügung.

Umgelenkte Kosten

Cloud-Security reduziert den Bedarf an spezieller Hardware, was die Kosten, einschließlich des Verwaltungsaufwands, drastisch senken kann. IT-Teams mussten im Hinblick auf Sicherheitsbedrohungen bislang reaktiv arbeiten, was mehr Zeit erfordert als die proaktiven Sicherheitsmaßnahmen der Cloud-Security, die ein ständiges Monitoring bietet und nahezu keine menschliche Interaktion erfordert.

Weniger Administrationsaufwand

Cloud-Security reduziert den Bedarf an menschlicher Interaktion und Intervention. Es gibt keine manuellen Sicherheitskonfigurationen und -aktualisierungen, die Zeit und andere wertvolle Ressourcen verschlingen würden. Die gesamte Sicherheitsverwaltung wird automatisch und an einem zentralen Ort verwaltet.

Zuverlässigkeit

Mit den geeigneten Lösungen für das Cloud-Computing können Benutzer problemlos und sicher von verschiedenen Standorten aus auf Assets zugreifen.

Es gibt mehrere Möglichkeiten, wie, wo und warum Schwachstellen entstehen:

Vergrößerte Angriffsfläche

Cloud-Umgebungen werden zunehmend zum Ziel von Hackerangriffen, die unzureichend gesicherte Schwachstellen ausnutzen wollen, um auf Daten zuzugreifen und Prozesse zu unterbrechen. Zu den gängigsten Angriffsmethoden gehören Malware, Zero-Day-Angriffe und die Übernahme von Accounts.

Mangelnde Transparenz und Kontrolle

Wenn Cloud-Provider die volle Kontrolle haben und ihren Kunden die Infrastruktur nicht offenlegen, kann es für Cloud-Kunden schwierig sein, ihre Assets zu quantifizieren oder ihre Umgebungen zu visualisieren.

Ständig wechselnde Workloads

Herkömmliche Sicherheitstools können zu Problemen führen, da sie in der Regel nicht in der Lage sind, Richtlinien in dynamischen Cloud-Umgebungen durchzusetzen. Cloud-Assets werden schnell und dynamisch verändert, was diese Situation noch verschärfen kann.

DevOps, DevSecOps und Automatisierung

DevOps und DevSecOps halten in Unternehmen allmählich Einzug und werden Teil ihrer Kultur. Beide Systeme sind automatisiert und basieren auf der Einbettung von Sicherheitssteuerungen und -protokollen in jedem Schritt des Entwicklungsprozesses, was bedeutet, dass Änderungen der Sicherheit nach der Produktentwicklung den Zyklus unterminieren und die Markteinführungszeit verlängern können.

Was ist DevOps?

Granulare Verwaltung von Berechtigungen und Schlüsseln

Bei unsachgemäß konfigurierten Schlüsseln können Sitzungen einem Sicherheitsrisiko ausgesetzt sein. Darüber hinaus können Cloud-Programme einem Account standardmäßig zu viele Berechtigungen einräumen, was gegen das Prinzip der geringsten Berechtigung verstößt.

Komplexe Umgebungen

Unternehmen favorisieren in der Regel Hybrid- und Multicloud-Umgebungen. Diese Methoden erfordern meist Tools, die für alle Arten von Cloud-Modellen, einschließlich Public und Private, geeignet sind. Die Bereitstellung oder Konfiguration dieser Tools ist nicht immer einfach.

Cloud-Compliance und -Governance

Unternehmen müssen sicherstellen, dass ihre Prozesse die Anforderungen von Akkreditierungsprogrammen wie HIPAA, FDPR, PCI 3.2 und NIST 800-53 erfüllen. Dies kann sich als schwieriges Unterfangen erweisen, da Cloud-Umgebungen nicht immer transparent sind. Für Audits und die Sicherstellung der kontinuierlichen Compliance sind in der Regel spezielle Tools erforderlich.

Public Clouds sind zwar im Allgemeinen sicher, haben aber nicht den gleichen Isolationsfaktor wie Private Clouds. Sie werden von mehreren Unternehmen gemietet, d. h. ein Unternehmen kann Serverplatz von einem System mieten, das auch andere Mandanten mit eigenem Serverplatz beherbergt. Das Hosting-Unternehmen überwacht in der Regel die Sicherheitsmaßnahmen und sorgt dafür, dass jedes Unternehmen über ein angemessenes Maß an Datensicherheit verfügt.

Der Aspekt der Mehrmandanten-Nutzung kann jedoch eine eigene Gefahr darstellen. Wenn ein anderer Mandant Schädlinge einschleust oder unvorsichtig handelt, können sich Angriffe wie Distributed-Denial-of-Service-Angriffe (DDoS) schnell ausbreiten.

Verschlüsselung und Sicherheit werden je nach Bedarf auf verschiedene Workloads auf unterschiedlichen Ebenen angewandt. Hybrid Clouds erlauben eine bessere Eindämmung von Risiken – die Kombination von zwei Cloud-Umgebungen ermöglicht eine Diversifizierung und die Möglichkeit, Workloads je nach Anforderung an bestimmten Orten zu platzieren. So können beispielsweise sensiblere Workloads und Daten in einer Private Cloud gespeichert werden, während Standard-Workloads in einer Public Cloud untergebracht werden können. Trotz der damit einhergehenden Nachteile wie der größeren Angriffsfläche und der Datenmigration ist die Diversifizierung mit einer Hybrid-Cloud eine gute Möglichkeit, Sicherheitsrisiken zu mindern.

Granulare, richtlinienbasierte IAM- und Authentifizierungssteuerungen in komplexen Infrastrukturen
Es empfiehlt sich, innerhalb von Gruppen und Rollen zu arbeiten, anstatt auf der Ebene der individuellen Identitäts- und Zugriffsverwaltung. Mit Gruppen und Rollen lassen sich geschäftliche Anforderungen und Regeln leichter aktualisieren– im Idealfall werden die Grundsätze der geringsten Berechtigungen auf jede Gruppe oder Rolle angewendet. Ein funktionierendes Identitäts- und Zugriffsmanagement verfügt über strenge Kennwortrichtlinien und Zeitlimits für Berechtigungen.

Auf Zero-Trust basierende Sicherheitssteuerungen für Cloud-Netzwerke in logisch isolierten Netzwerken und Mikro-Segmenten
Logische Isolierung von Ressourcen innerhalb eines Cloud-Netzwerks und Mikrosegmentierung von Ressourcen mithilfe von Subnetzen, um eine Sicherheitsrichtlinie auf Subnetzebene festzulegen. Verwenden Sie statische benutzerdefinierte Konfigurationen und ein dediziertes WAN zur Anpassung des Zugriffs für Benutzer.

Durchsetzung von Richtlinien zum Schutz virtueller Server und von Prozessen wie Change Management und Software-Updates
Cloud-Anbieter wenden bei der Einrichtung eines virtuellen Servers konsequent Compliance-Regeln an.

Absicherung aller Anwendungen (und insbesondere von verteilten Cloud-nativen Apps) mit einer Webanwendungs-Firewall der nächsten Generation
Granulare Inspektion und Steuerung des Datenverkehrs von Servern, automatische Updates von WAF-Regeln und Microservices, die Workloads ausführen.

Verbesserter Datenschutz
Verschlüsselung auf allen Übertragungsebenen, kontinuierliches Risikomanagement, sichere Kommunikation und Einhaltung der Standards für die Datenspeicherung.

Threat Intelligence zur Erkennung und Bekämpfung von bekannten und unbekannten Bedrohungen in Echtzeit
Cloud-Anbieter vergleichen aggregierte Protokolldaten mit internen und externen Daten, um den verschiedenen Strömen nativer Protokolle einen Kontext hinzuzufügen. Ferner stehen KI-Systeme zur Erkennung von Anomalien zur Verfügung, die Bedrohungen für forensische Analysen aufspüren können, um den Grad der Bedrohung zu bestimmen. Mithilfe von Echtzeitwarnungen kann eine Bedrohungslandschaft visualisiert werden, um die Reaktionszeit zu verkürzen.

  • SaaS: Die Kunden müssen ihre Daten und den Benutzerzugriff selbst sichern.
  • PaaS: Die Kunden sichern ihre eigenen Daten, Benutzerzugriffe und Anwendungen.
  • IaaS: Die Kunden sichern ihre Daten, den Benutzerzugriff, die Betriebssysteme, den virtuellen Netzwerkverkehr und die Anwendungen.

Verwenden Sie vertrauenswürdige Software

Setzen Sie ausschließlich Software aus bekannten und vertrauenswürdigen Quellen ein. Es ist wichtig zu wissen, welche Software in der Cloud bereitgestellt wird, woher sie stammt und ob sie möglicherweise bösartigen Code enthält.

Informieren Sie sich über Compliance-Vorschriften

Es gibt strenge Compliance-Vorschriften zur Regelung der Verwendung von Daten, einschließlich personenbezogener Daten und Finanzdaten. Informieren Sie sich über die einschlägigen Vorschriften und machen Sie sich ein Bild davon, ob die Cloud-Umgebung bei der Wahrung der Compliance für Sie hilfreich sein kann oder nicht.

Verwalten Sie Lebenszyklen

Mithilfe des Lebenszyklusmanagements lassen sich verwaiste Instanzen vermeiden. Veraltete Instanzen können ein Sicherheitsrisiko darstellen, da keine Sicherheitspatches bereitgestellt werden.

Berücksichtigen Sie die Portabilität

Workloads sollten immer in eine andere Cloud migriert werden können, auch wenn dies nicht geplant ist.

Nutzen Sie kontinuierliches Monitoring

Das ständige Monitoring von Arbeitsplätzen kann dazu beitragen, Sicherheitsverletzungen zu verhindern.

Wählen Sie die geeigneten Mitarbeiter aus

Alle Mitarbeiter sollten vertrauenswürdig und hoch qualifiziert sein. Es ist wichtig, dass alle Mitarbeiter mit den Feinheiten der Cloud-Security vertraut sind. Wenn Sie sich für einen Drittanbieter entscheiden, müssen Sie sich vergewissern, dass dessen Team gut ausgestattet und sachkundig ist.

Erste Schritte mit SecOps

Sicherheitsbedrohungen identifizieren, priorisieren und schneller reagieren.