Umorientierung in der Cloud-Sicherheit Was Assume Breach für die Cloud Security bedeutet

Anbieter zum Thema

Insider Research

Fsas Technologies GmbH

netfiles GmbH

Cloud-Sicherheit muss nicht nur vor dem nächsten Cyberangriff schützen. Die Security-Strategie für die Cloud sollte davon ausgehen, dass die Cyberattacke bereits erfolgt ist und nur noch nicht entdeckt wurde. Doch was folgt aus dem Security-Ansatz „Assume Breach“ für die Cloud? Reicht Zero Trust als Antwort? Wir geben einen Überblick.

Die Angst vor unentdeckten Cloud-Vorfällen

95 Prozent der Unternehmen befürchten, dass ihre Cloud-Sicherheit unzureichend ist, wenn es um die Erkennung und Reaktion bei Cybervorfällen geht, so eine Umfrage von Permiso Security. Diese Sorge dürfte nicht unbegründet sein, denn Detection and Response (DR) ist bei IT-Infrastrukturen generell noch nicht ausgeprägt genug.

Bei Nutzung von Public-Cloud-Diensten kommt hinzu, dass bestehende Lösungen im Bereich Detection and Response oft noch den Fokus auf Endpoints legen (EDR, Endpoint Detection and Response). Die Erweiterung von DR unter anderem auf die Cloud-Dienste mit XDR (Extended Detection and Response) entwickelt sich bei vielen Unternehmen erst noch.

Auf Nummer (Cloud-)Sicher gehen

Wenn Unternehmen unsicher sind, ob sie Cloud-Attacken wirklich erkennen und abwehren können, wäre die logische Konsequenz, zur Sicherheit von einem solchen Cyberangriff auf die Cloud-Dienste auszugehen. Wenn man als Unternehmen aber das tut, reichen die bisherigen Bemühungen rund um Prevention und Protection nicht mehr aus, denn sowohl die Prävention als auch der Cloud-Schutz hätten dann ja nicht richtig funktioniert.

Trotzdem kreisen viele Strategien der Cloud-Sicherheit um die Gedanken der Vorfallsvermeidung und des Schutzes vor Cyberattacken. Hier ist jedoch eine Umorientierung der Cloud-Sicherheit angebracht.

Was Assume Breach bedeutet

Hinter Assume Breach steckt der Gedanke: „Verteidigung unter der Annahme, dass ein Gegner bereits in der Umgebung präsent ist“. Daraus folgt: Alle Benutzer, Geräte, Datenflüsse und Zugriffsanfragen genau prüfen. Protokollierung, Prüfung und Überwachung aller Konfigurationsänderungen, Ressourcenzugriffe und Netzwerkaktivitäten.

Der Security-Ansatz Assume Breach ändert die Sichtweise in der Cybersicherheit und muss auch in der Cloud-Sicherheit stärker zum Tragen kommen. So findet man zum Beispiel in der „Executive Order on Improving the Nation’s Cybersecurity“ die Verbindung zwischen Assume Breach und Zero Trust: „Das Sicherheitsmodell der Zero-Trust-Architektur geht davon aus, dass ein Verstoß unvermeidlich ist oder wahrscheinlich bereits stattgefunden hat. Deshalb beschränkt es den Zugriff ständig auf das Notwendige und sucht nach anomalen oder böswilligen Aktivitäten“.

Die Zero-Trust-Architektur integriert dazu eine umfassende Sicherheitsüberwachung, granulare risikobasierte Zugangskontrollen und eine Systemsicherheitsautomatisierung auf koordinierte Weise in allen Aspekten der Infrastruktur, um sich auf den Echtzeitschutz von Daten in einer dynamischen Bedrohungsumgebung zu konzentrieren, so das Weiße Haus.

Ist also die einzige Folge aus dem „Assume Breach“-Ansatz, dass in der Cloud Zero Trust gelten sollte? Nicht ganz.

Die Anomalie wird „ganz normal“

Wenn man annimmt, dass ein Angriff bereits erfolgt ist, der Angreifende also bereits in der Cloud aktiv ist, kann man nicht davon ausgehen, dass sich eine Attacke als Abweichung von den „normalen“ Aktivitäten in der Cloud abzeichnet. Wenn zum Beispiel ein KI-basierter Monitoring-Dienst den Normalzustand der Cloud-Aktivitäten lernt, könnte in dem gelernten Muster bereits das Treiben des Datendiebs enthalten sein.

Entsprechend muss bei der Bestimmung des Normalzustandes in der Cloud auch davon ausgegangen werden, dass sich bereits in der Anlernzeit des Monitoring-Systems Anzeichen für bösartige Aktivitäten finden. Der Normalzustand muss also aktiv hinterfragt werden.

Die Suche nach Bedrohungen in der Cloud muss also aktiver werden, wie dies bei Threat Hunting geschieht. Zudem muss die Security bereits Bedrohungswissen mitbringen und sich nicht rein auf interne Threat Intelligence stützen, denn diese „interne“ Intelligenz könnte getrübt sein, wenn die Angreifenden bereits in der Cloud sind.

Ist die Cloud ein sicherer oder unsicherer Ort?

Ein weiterer Aspekt: Wenn man in der Cloud-Sicherheit dem Gedanken „Assume Breach“ folgt, sollte man nicht ohne weiteres sensible Daten in die Cloud übertragen, denn dort könnte ja bereits eine Angreifergruppe auf die Daten warten.

Nach „Assume Breach“ muss man also von einer unsicheren Cloud ausgehen. Dabei geht es nicht darum, ob die Cloud sicherer oder unsicherer als On-Premises ist, in jedem Fall besteht das Risiko, dass die Daten im Zuge der Cloud-Migration in Gefahr geraten könnten, denn die Cloud kann ein bereits kompromittierter Ort sein.

Folgen für Cloud-Migration und Hybrid Clouds

Blickt man also auf Cloud-Migration und die Aufteilung der Daten bei Hybrid-Cloud-Konzepten, kann es nicht einfach die Idee sein, die kritischen Daten in die Cloud zu übertragen, weil man diese für sicherer hält als die interne IT.

Vielmehr müssen die Daten und die Anwendungen überall zusätzlich geschützt sein, auch in der Cloud. Cloud-Sicherheit reicht bei „Assume Breach“ nicht für Datensicherheit, die Daten müssen ihre Security also mitbringen. Cloud-Sicherheit muss also zwingend mehrstufig sein, wenn man Assume Breach ernst nimmt.

(ID:49761168)