Cloud Computing auf Nummer Sicher Gute Wege, die Multicloud abzusichern

Das Absichern einer Multicloud-Umgebung ist eine komplexe Herausforderung – und nichtsdestotrotz das Gebot der Stunde. Was sind denn die Best Practices und wer hat die besten Tools?

Das Aufkommen der Multicloud ist ein Zugeständnis an das hohe Innovationstempo der Cloud-Hyperscaler und an die wachsenden Anforderungen hinsichtlich der betrieblichen Agilität.

Der Begriff Multicloud beschreibt den Einsatz mehrerer Cloud-Computing-Dienste von unterschiedlichen Anbietern innerhalb einer Anwenderorganisation. Anstatt alle Workloads, Anwendungen und Daten auf einer einzigen Cloud-Plattform zu hosten, nutzen Unternehmen Public Clouds unterschiedlicher Anbieter – wie etwa Amazon Web Services (AWS), Microsoft Azure, Google Cloud Platform (GCP) oder andere – und deren zugehörige SDKs und APIs. Die Gründe für diese Strategie sind vielfältig.

Durch die Nutzung mehrerer Cloud-Anbieter können Unternehmen die besten Dienste aus dem Portfolio verschiedener Hyperscaler optimal kombinieren. Diese Strategie minimiert die Abhängigkeit von einzelnen Anbietern, mildert die Auswirkungen von Ausfällen (Stichwort: Failover) und bietet die Flexibilität, regulatorische Anforderungen wie die DSGVO durch gezielte Provider-Auswahl zu erfüllen.

Die Multicloud-Sicherheitsstrategie benötigt einen langen Atem

Die Multicloud ist aber kein Spaziergang; die Strategie erfordert vielmehr erhebliche Anstrengungen. Denn die Diversifizierung des technologischen und organisatorischen Unterbaus wirft den Verantwortlichen erhebliche Herausforderungen auf.

Die Integration unterschiedlicher Sicherheitsfeatures und APIs der Cloud-Anbieter stellt Unternehmen vor komplexe Herausforderungen. Während Azure Conditional Access mit einer benutzerfreundlichen Oberfläche punktet, erfordern AWS IAM Conditions fundierte JSON-Kenntnisse. Google Cloud bietet mit Policy Tags eine einzigartige Möglichkeit zur Datenzugriffssteuerung, jedoch trumpft sie nicht mit Benutzerfreundlichkeit auf. Eine harmonisierte Sicherheitsstrategie erfordert daher zusätzliche Tools oder Abstraktionsschichten, um die Integration zu erleichtern und Sicherheitslücken zu vermeiden.

Viele Wege führen zur Zugriffskontrolle

Microsoft hat beispielsweise mit einem Feature namens Conditional Access (CA) im Rahmen von Azure Active Directory (Azure AD) dynamische Zugriffsrichtlinien für kontextbasierte Zugriffssteuerung implementiert, die sich auf andere Clouds nicht ohne Weiteres übertragen lassen.

Eine Besonderheit ist die Integration von Microsoft Defender for Identity, das Bedrohungen auf Benutzerebene analysiert und an Conditional Access weiterleitet. Dank der benutzerfreundlichen Oberfläche können Benutzer ohne tiefgehende technische Kenntnisse Richtlinien erstellen und verwalten, etwa um den Zugriff von nicht registrierten Geräten oder riskanten IP-Bereichen zu blockieren.

Beim Anmeldeversuch eines Benutzers prüft Azure AD anhand der hinterlegten Richtlinien und der sogenannten Signale, ob der Zugriff den festgelegten Bedingungen entspricht. Diese dynamische und kontextbasierte Zugriffssteuerung zielt darauf ab, die Sicherheitslage des Unternehmens zu verbessern, ohne die Benutzerfreundlichkeit und Produktivität zu beeinträchtigen.

Auch auf AWS und Google Cloud (IAM Conditions) können Unternehmen solche bedingten Zugriffskontrollen definieren und Zugriffsentscheidungen kontextabhängig treffen.

Zugriffsmanagement über verschiedene Plattformen – es ist kompliziert

Vom Konzept her sind sich die Herangehensweisen ähnlich. Doch die Implementierungen, die Syntax und die zugrunde liegende Logik sind spezifisch auf die jeweilige Plattform zugeschnitten. AWS setzt vorrangig auf eine Mischung aus verschiedenen Sicherheitsdiensten – aus IAM, AWS SSO, Cognito und anderen –, um Zugriffskontrollen umzusetzen. AWS IAM Conditions bieten die höchste Granularität, sind jedoch anspruchsvoll in der Implementierung und adressieren die Bedürfnisse technisch versierter Teams.

Eine besondere Stärke von Google Cloud ist die Integration von Policy Tags. Dieses Feature ermöglicht es, Zugriffskontrollen direkt mit Datenressourcen zu verknüpfen. Für Unternehmen, die Multicloud-Umgebungen nutzen, bietet Google mit Workforce Identity Federation eine Möglichkeit, Identitätszugriffe konsistent und sicher über verschiedene Plattformen hinweg zu verwalten.

Die fehlende einheitliche Transparenz der Betriebsabläufe in den verschiedenen Clouds trägt zur Verunsicherung bei. Sie erschwert sowohl das Zugriffsmanagement als auch die Kapazitätsplanung und damit die Kostenkontrolle. Und die fehlende einheitliche Sicht auf den Multicloud-Betrieb erschwert die zeitnahe Erkennung von Schwachstellen und Sicherheitsvorfällen. Ein hybrider Sicherheitsansatz verspricht Abhilfe: eine Kombination aus Cloud-nativen Tools mit zentralisierten cloud-anbieteragnostischen Stellschrauben.

Die Integration mehrerer Cloud-Anbieter in eine Multicloud-Landschaft stellt die Anwenderorganisationen vor erhebliche Herausforderungen im Hinblick auf die Gewährleistung der Cybersicherheit. Unternehmen streben danach, Cloud-übergreifende Sicherheitsrichtlinien und Standards zu definieren, die alle Plattformen der Multicloud lückenlos umspannen. Viele Anwenderorganisationen entscheiden sich für eine zentralisierte Identitätsverwaltung und zentralisierte Überwachung.

Multi-Hype und „multi-hyper“

Die Best Practices für eine cybersichere Multicloud umfassen ein ziemlich breit gefächertes Repertoire an „hyperskalierten“ Maßnahmen. Es beinhaltet:

• multicloud-fähige Benutzerauthentifizierung mit SSO (Single Sign-On), föderierten Identitätsmanagement-Systemen und zusätzlichen Verifikationsschritten im Rahmen der Mehrfaktor-Authentifizierung (MFA);

• konsistente Zugriffskontrollen über verschiedene Clouds hinweg;

• lückenlose Verschlüsselung von Daten im Ruhezustand und während der Übertragung sowie die Verschlüsselung kritischer Daten und Arbeitslasten während der Verarbeitung im Rahmen einer cloud-anbieteragnostischen Plattform für vertrauenswürdiges Computing (wie sie beispielsweise die Enclaive GmbH aus Berlin für die Multicloud anbietet);

• multicloud-fähiges Schlüsselmanagement;

• Netzwerksicherheit für Virtual Private Clouds (VPC) mit Firewalls und allem Drum und Dran;

• kontinuierliche Überwachung und Schwachstellenmanagement unter Einbezug von regelmäßigen Audits und Penetrationstests (mit Erlaubnis des Cloud-Anbieters);

• Vulnerability Management der Softwareversorgungskette durch automatisierte Tools zur Erkennung und Behebung von Schwachstellen wie Socket.io;

• Management regulatorischer Anforderungen mit umfassender Dokumentation und kontinuierlicher Berichterstattung zum Nachweis der Einhaltung von Compliance-Anforderungen.

Die Verantwortlichen haben damit schon beide Hände voll zu tun.

Schwachstellen sehen, bevor sie wirken

In der Praxis greifen Unternehmen auf diverse spezialisierte Lösungen zur Gewährleistung der Cybersicherheit in der Multicloud. Eine solche Lösung hat das junge Start-up Mitigant aus Potsdam im Köcher.

Mit Mitigant können Anwenderorganisationen alle ihre Cloud-Dienste – darunter AWS, Azure, Google Cloud und andere – in einem zentralen Dashboard überwachen.

So behalten Administratoren den Überblick über alle sicherheitsrelevanten Ereignisse, Konfigurationsänderungen und Compliance-Anforderungen in ihren Multicloud-Umgebungen. Durch kontinuierliche Überwachung lassen sich ungewöhnliche Aktivitäten und potenzielle Sicherheitsvorfälle erkennen. Die Plattform führt regelmäßige Sicherheitsüberprüfungen und Schwachstellenanalysen durch, um potenzielle Risiken in den Cloud-Konfigurationen frühzeitig zu identifizieren. Die automatisierten Scans und Audits dienen als Basis für eine umfassende Risikobewertung und die Auswahl der erforderlichen Maßnahmen.

Definition: Cloud-Angriffstaktiken, -techniken und -verfahren

Was ist Cloud Attack Emulation?

Mitigant beherrscht Konfigurationsmanagement und Policy Enforcement. Bei nicht konformen Einstellungen oder Sicherheitsabweichungen kann die Plattform automatische Korrekturmaßnahmen einleiten, um die Systeme unverzüglich wieder in einen sicheren Zustand zu versetzen. Durch den kontinuierlichen Abgleich mit aktuellen Bedrohungsdaten kann Mitigant potenzielle Angriffsvektoren identifizieren und automatisierte Incident-Response-Abläufe einleiten und greift den Sicherheitsverantwortlichen mit detaillierten Anleitungen zur schnellen Schadensbegrenzung unter die Arme.

Wirksame Multicloud-Überwachung mit Palo Alto und Datadog

Auch der eine oder andere der etablierten Anbieter bemüht sich um die Bereitstellung leistungsstarker Lösungen zum Absichern der Multicloud. Dazu zählen unter anderem Prisma Cloud von Palo Alto Networks und Datadog.

Prisma Cloud von Palo Alto Networks kombiniert Funktionen zur Sicherheitsüberwachung, Compliance-Analyse und Risikoerkennung über mehrere Cloud-Anbieter hinweg. Sie ermöglicht ein umfassendes Cloud-Sicherheitsmanagement mit Fokus auf Workload-Schutz, Zugriffskontrolle und Netzwerksicherheit. Besonders hervorzuheben ist die Fähigkeit von Prisma Cloud, automatisierte Richtlinien durchzusetzen und Sicherheitsvorfälle in Echtzeit zu erkennen und zu beheben.

Datadog, eine führende Monitoring- und Sicherheitsplattform, bietet integrierte Lösungen für die Überwachung der Performance, Sicherheit und Integrität von Multicloud-Umgebungen. Die Plattform zeichnet sich durch ihre Cloud übergreifende Transparenz aus und unterstützt Administratoren dabei, potenzielle Schwachstellen zu identifizieren und Sicherheitsrichtlinien konsistent umzusetzen. Durch umfangreiche Integrationen und Dashboards erleichtert Datadog die Analyse von Sicherheitsvorfällen und das Schwachstellenmanagement in komplexen Multicloud-Umgebungen.

Mitigant trumpft gegenüber diesen Lösungen im Hinblick auf die Bedürfnisse kleinerer oder mittelgroßer Unternehmen. Mitigant bündelt alle sicherheitsrelevanten Ereignisse und Compliance-Parameter in einem einzigen Interface, während die Konkurrenzplattformen typischerweise mehrere Module oder zusätzliche Integrationen benötigen, um vergleichbare Informationen bereitzustellen. harmonisiert Sicherheitsrichtlinien über mehrere Plattformen — wie AWS, Azure, GCP — hinweg, ohne die Komplexität zu erhöhen. Mitigant ist schlanker und agiler, was sich besonders für kleinere und mittelgroße Unternehmen auszahlt. Es bietet ein kosteneffizientes Preismodell. Zu den besonderen Pluspunkten zählt Spezialisierung auf europäische Anforderungen.

* Das Autorenduo Anna Kobylinska und Filipe Martins arbeitet für McKinley Denali, Inc., USA.

(ID:50343581)