Infrastruktur- oder Plattform-Dienste sind nicht sicher genug

7 Tipps für mehr Security in der Public Cloud

| Autor: Elke Witmer-Goßner

Unternehmen sollten alle existierenden Möglichkeiten sowohl der Cloud-Anbieter als auch der speziellen Security-Lösungen nutzen.
Unternehmen sollten alle existierenden Möglichkeiten sowohl der Cloud-Anbieter als auch der speziellen Security-Lösungen nutzen. (Bild: © stokkete - stock.adobe.com)

Trotz aller Vorsichtsmaßnahmen auf allen Seiten: Eine reale Bedrohungslage für Public Clouds bleibt existent. Aber es ist möglich, die Datensicherheit auch in der Public Cloud hoch zu halten. Security-Spezialist Sophos gibt wertvolle Tipps.

Viele Unternehmen nutzen bereits heute eine Mischstruktur aus On-Premise-Installationen, Private Cloud und eben auch Public Cloud. Anbieter von Cloud-Diensten betreiben dabei einen immensen Aufwand, um ihre Infrastruktur und Kundendaten zu schützen – mehr als die meisten Unternehmen für die hauseigene Infrastruktur. Daher führt die Nutzung cloud-basierter IT-Sicherheitslösungen in der Regel auch zu einem Gewinn an Sicherheit.

Dies gilt allerdings vor allem für Public-Cloud-Dienste im Bereich Software-as-a-Service und Business-Process-as-a-Service. Geht es aber um Infrastruktur- oder Plattform-Dienste (mit prominenten Vertretern wie Amazon Web Services, Microsoft Azure oder Google Cloud), sind die Sicherheitssorgen begründbar. Dies aber nicht etwa, weil die von den Plattformanbietern bereitgestellten Infrastrukturen an sich verwundbar sind, sondern weil die Konfiguration von Public-Cloud-Infrastrukturen und -Diensten besondere Sorgfalt und Expertise auf Seiten der nutzenden Unternehmen erfordern. Es geht also um Know-how, Erfahrung und Best Practise.

Hohe Hacker-Aktivität in Public Cloud

Im Rahmen einer 30-tägigen Studie hat Sophos untersucht, wie sehr Public-Cloud-Server Hackerangriffen ausgesetzt sind. Hierfür wurden in den weltweit beliebtesten Amazon-Web-Services (AWS)-Datenzentren in Frankfurt, London, Paris, Mumbai, Ohio, Sao Paolo, Singapur, Sidney Kalifornien und Irland sogenannte Honeypots eingerichtet. Diese simulierten den auf den allermeisten Linux-Servern erreichbaren Secure-Shell-(SSH)-Dienst, um SSH-Anmeldeversuche zu messen. Das Resultat: Bereits in den ersten 30 Tagen der Studie wurden insgesamt mehr als fünf Millionen Angriffsversuche auf das globale Honeypot-Netz verzeichnet, darunter knapp 440.000 Angriffsversuche allein in Frankfurt.

Mit der IT-Security beauftragte IT Manager stehen vor der Aufgabe, sämtliche Daten, Berechtigungen, Anwendungen, Zugriffe etc. in (IT-)Sicherheit zu bringen. Im ersten Schritt gilt hierbei, alle Security-Optionen, die der Public-Cloud-Anbieter im Portfolio hat, zu prüfen und gegebenenfalls zu nutzen. Darüber hinaus sind weitere Sicherheitsmaßnahmen ratsam, die das Unternehmen selbst im Griff hat. Cloud Optix von Sophos beispielsweise erlaubt hierfür eine kontinuierliche Security-Analyse der genutzten Cloud-Umgebung, um gegebenenfalls auch Sicherheitsschwachstellen zu identifizieren. Mit Hilfe von KI-Algorithmen überwacht es die Sicherheit bei der Verarbeitung von Daten in der Cloud, von Konfigurationen und den Netzwerkverkehr. Besonders wichtig ist dabei die automatische Erkennung von Gefahren auf einer zentralen Konsole. Security-Teams haben damit die Möglichkeit, innerhalb von Minuten auf Sicherheitsrisiken zu reagieren und die Reaktionszeit von Tagen oder Wochen auf nur wenige Minuten zu senken.

Prävention vor Reaktion

Beachtet man bereits vor der Nutzung der Public Cloud sieben wichtige Aspekte, dann sind die Vorteile der Public Cloud auch unter Security-Gesichtspunkten in greifbarer Reichweite:

  • 1. Gemeinsame Verantwortung: Das Modell der gemeinsamen Verantwortung bedeutet, dass der Public-Cloud-Anbieter für die Sicherheit der Cloud insoweit verantwortlich ist, dass er insbesondere den physischen Schutz im Rechenzentrum sowie die virtuelle Trennung von Kundendaten und Umgebungen gewährleistet. Als Nutzer der Public Cloud ist man also für alles, was in der Cloud abgelegt wird, verantwortlich.
  • 2. Multi-Cloud-Planung: Man sollte bei der Planung der Public-Cloud- Sicherheitsstrategie davon ausgehen, dass man mehrere Public-Cloud-Anbieter nutzen wird – wenn nicht jetzt, dann sehr wahrscheinlich irgendwann in der Zukunft.
  • 3. Transparenz: Was man nicht sehen kann, kann man auch nicht schützen. Deshalb ist es für die Security enorm wichtig, volle Transparenz über die gesamte cloud-basierte Infrastruktur, die Konfigurationseinstellungen, API-Aufrufe und den Benutzerzugriff zu haben.
  • 4. Kontinuierliche Compliance: Durch die Dynamik der Public Cloud lässt sich Compliance mit vielen Richtlinien nur durch eine kontinuierliche Überwachung sicherstellen. Am besten ist die Compliance fest in tägliche Abläufe integriert – inklusive Echtzeit-Snapshots der Netzwerktopologie und Echtzeit-Warnmeldungen bei Änderungen.
  • 5. Automatische Sicherheitskontrollen: Cyberkriminelle setzen bei ihren Angriffen zunehmend auf Automatisierung. Es gilt den Hackern einen Schritt voraus zu sein: Geeignete Maßnahmen sind die Automatisierung der Abwehr, die Beseitigung von Schwachstellen und die Anomalie-Erkennung.
  • 6. Schutz aller Umgebungen: Bekannte Datenpannen betreffen meist Produktionsumgebungen in der Cloud. Für Aktivitäten wie Cryptojacking nehmen sich Angreifer aber genauso gerne die Entwicklungs- oder Q&A-Umgebung vor.
  • 7. Auf bewährtes setzen: IT-Sicherheit für lokale Systeme ist das Ergebnis jahrzehntelanger Erfahrung und Forschung. Der Schutz durch Firewalls und Server-Security vor Infektionen und Datenverlusten ist daher auch für cloud-basierte Server wichtig. Nicht zu vergessen ist der stets aktuelle Schutz für Endpoints und E-Mail auf allen Geräten, damit Unbefugte keinen Zugriff auf Ihre Cloud-Accounts erhalten.

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46128398 / Sicherheit)