Datenrisiken minimieren AWS-Cloud-Umgebung effektiv schützen

Anbieter zum Thema

Varonis Systems (Deutschland) GmbH

netfiles GmbH

Cloudgermany.de GmbH

STACKIT GmbH & Co. KG

Bei vielen Sicherheitsverantwortlichen schwingt bei der Cloud-Nutzung immer die Angst um die Datensicherheit mit. Nicht ganz zu Unrecht: Unbekannte unternehmensweite Einstellungen oder einfache Fehlkonfigurationen können die Unternehmensdaten gefährden.

Wie alle Cloud-Anbieter basiert auch AWS auf dem Modell der geteilten Verantwortung. Das bedeutet, dass AWS für die Sicherheit der Cloud sorgt, einschließlich der physischen Sicherheit der Rechenzentren, der Hard- und Software sowie der Netzwerkinfrastruktur. Für die Sicherheit in der Cloud, wie Identitäts- und Zugriffsverwaltung oder Netzwerk- und Datensicherheit in der Umgebung, sind jedoch die Kunden verantwortlich.

AWS verwaltet Zugriffsberechtigungen mithilfe von IAM (Identity and Access Management) und ermöglicht es Sicherheitsverantwortlichen, Richtlinien zu erstellen, die festlegen, welche Aktionen Benutzer oder Services für bestimmte Ressourcen durchführen können. Diese Richtlinien werden mit Benutzern, Gruppen oder Rollen verknüpft. AWS überprüft sie, um zu entscheiden, ob eine Anfrage zugelassen oder abgelehnt werden soll. Dieses Modell steuert also, wer was in der AWS-Umgebung tun darf. Sicherheitsteams müssen diesen Ansatz verstehen, um vertrauliche Informationen zu schützen und die Risiken der gegenwärtigen Cloud-Bedrohungen zu minimieren. Hierzu umfasst die AWS-Architektur sieben Prinzipien, um die Datensicherheit stärken.

Nicht weniger, sondern mehr Cloud Security ist notwendig

Wenige Angriffe auf die Cloud: Wird mit der Cloud-Sicherheit übertrieben?

Ein starkes Identitätsfundament implementieren

Der erste Grundsatz besteht darin, eine solide Identitätsgrundlage zu schaffen. Dazu gehören die folgenden Maßnahmen:

• Umsetzung des Least-Privilege-Modells. Dieser Grundsatz beschränkt den Zugriff der Benutzer auf das, was für ihre Aufgabe erforderlich ist. Wenn Benutzer beispielsweise Lese- und Schreibzugriff auf einen S3-Bucket erhalten, obwohl nur Lesezugriff erforderlich ist, verstößt dies gegen diesen Grundsatz.

• Keine Nutzung des Root-Kontos für tägliche Aufgaben. Root-Benutzeranmeldeinformationen bieten unbegrenzten Zugriff auf ein Konto und alle seine Ressourcen. Deshalb ist die Verwendung für tägliche Routineaufgaben enorm riskant. Stattdessen sollten IAM-Benutzer und -Rollen mit eingeschränkten Rechten verwendet werden. Zudem sollten MFA für das Root-Konto aktiviert und die Anmeldedaten des Root-Benutzers sicher gespeichert sein.

• Strikte Aufgabentrennung. Sicherheitsverantwortliche sollten eine Aufgabentrennung mit entsprechender Autorisierung für jede Interaktion mit AWS-Ressourcen erzwingen und den privilegierten Zugriff beschränken. Hierdurch reduziert sich der Explosionsradius, also der Schaden, den ein kompromittiertes Konto verursachen kann, enorm.

• Zentralisierung der Identitätsverwaltung und Beseitigung von langfristigen statischen Anmeldedaten. Die Verwendung temporärer Berechtigungsnachweise reduziert das Risiko für die Umgebung deutlich.

• Regelmäßige Audits der Zugriffsberechtigungen. Auf diese Weise können überflüssige Berechtigungen identifiziert und eliminiert sowie Konfigurationsfehler erkannt werden.

Transparenz ermöglichen

Eine einfache Nachverfolgbarkeit ist grundlegend. Sicherheitsverantwortliche sollten eine umfassende Protokollierung und Überwachung implementieren und Echtzeitwarnungen einrichten, um über Aktionen und Änderungen in der Umgebung auf dem Laufenden zu bleiben. Darüber hinaus sollten Logs und Metriken in Systeme integriert werden, die automatisch Untersuchungen durchführen und entsprechende Maßnahmen einleiten.

Sicherheit auf allen Ebenen schaffen

Ein „Defense-in-Depth“-Ansatz setzt auf mehrschichtige Sicherheitskontrollen und stellt so sicher, dass beim Ausfall einer Schicht die anderen weiterhin Schutz bieten. Auf diese Weise wird die Gesamtsicherheit erhöht und das Risiko von Sicherheitsverletzungen verringert. Der Ansatz umfasst die Implementierung von Schutzmaßnahmen am Netzwerkrand, in der Virtual Private Cloud (VPC), bei Load Balancern, im Betriebssystem, in Anwendungen und im Code.

Sicherheit von der Cloud bis zum Edge

Warum das Modell der geteilten Verantwortung erweitert werden muss

Bewährte Sicherheitsverfahren automatisieren

Sicherheitsverantwortliche sollten Infrastructure as Code (IaC) nutzen, programmgesteuerte Sicherheitskontrollen implementieren und Sicherheitsprozesse und -reaktionen automatisieren. Intelligente Data Security Posture Management (DSPM)-Lösungen sind darüber hinaus in der Lage, kontinuierlich sensitive Daten in den Cloud- und On-Premises-Umgebungen zu erkennen, zu klassifizieren und zu schützen. Ein proaktiver Ansatz stellt dabei sicher, dass sensitive Daten nicht versehentlich preisgegeben werden, und erhöht die Sicherheit der IaC-Implementierungen.

Daten bei der Übertragung und im Ruhezustand schützen

Die Verschlüsselung von Daten bei der Übertragung und im Ruhezustand ermöglicht die Implementierung geeigneter Zugriffskontrollen. Dabei spielt die Klassifizierung eine Schlüsselrolle. Nur wenn die Daten korrekt nach ihrer Sensitivität klassifiziert sind, können Sicherheitsverantwortliche entsprechende abgestufte Schutzmaßnahmen durchsetzen.

Menschen von den Daten fernhalten

Durch den Einsatz von Mechanismen und Werkzeugen kann der direkte Zugriff oder eine manuelle Datenverarbeitung reduziert oder beseitigt werden. Dadurch wird das Risiko einer falschen Handhabung, ungewünschten Änderungen sowie menschlicher Fehler beim Umgang mit sensitiven Daten verringert.

Auf Sicherheitsereignisse vorbereitet sein

In der gegenwärtigen Bedrohungslandschaft muss man mit Sicherheitsereignissen rechnen. Um sich auf Vorfälle vorzubereiten, sollten Sicherheitsverantwortliche Richtlinien und Prozesse einführen, die mit den Anforderungen des Unternehmens übereinstimmen. Sie sollten zudem regelmäßig Sicherheitsübungen und -simulationen durchführen. So kann sichergestellt werden, dass die Mitarbeitenden ihre Rolle bei der Minimierung der Wahrscheinlichkeit eines Sicherheitsverstoßes verstehen.

(ID:50342553)