Strategien gegen eine Kamikaze-Cloud-Migration Wolke 7 geht nicht ohne Sicherheit

Anbieter zum Thema

Vogel IT-Medien GmbH

Fujitsu Technology Solutions GmbH

Schwarz IT KG

RAPID7

Die Cloud ist tot, es lebe die Multi-Cloud. Kaum ein Unternehmen setzt bei der Migration in die Cloud langfristig auf nur einen Cloud-Anbieter – nicht nur, um unabhängig zu bleiben, sondern auch, weil manche Anforderungen von diesem, andere von jenem besser erfüllt werden.

Und da auch niemand das Risiko eingeht, von jetzt auf gleich sämtliche On-Premises-Lösungen in den Ruhestand zu schicken, dominieren heute hybride Umgebungen, in denen multiple Clouds und eigene Rechenzentren mehr oder weniger harmonisch miteinander koexistieren.

Die Entscheidung für die Implementierung und den Betrieb einer Anwendung in der Cloud ist selten eine technische. Die IT-Verantwortlichen und Techniker treffen bestenfalls die Entscheidung, welches Cloud-Angebot für die jeweilige Anwendung das am besten geeignete ist. Der Antrieb für die Cloud-Migration kommt dagegen nahezu immer von den Business-Verantwortlichen. Zwar haben diese mittlerweile gelernt, dass die Cloud nicht unbedingt Kosten spart (ein Irrglaube, der zu Beginn dieser Entwicklung durchaus vorherrschend war), aber es ist trotzdem attraktiv, Investitionen durch Betriebskosten zu ersetzen – ein Modell, das man bei Produktionsmitteln oder im Fuhrpark unter der Bezeichnung Leasing seit Jahrzehnten verfolgt.

Zudem bietet die Cloud ein hohes Maß an Flexibilität. Niemand möchte sich beim Fuhrpark auf nur einen Hersteller festlegen, weil dieser vielleicht für manche Einsatzbereiche kein geeignetes Fahrzeug hat, und auch in der Cloud hat sich mittlerweile ein Best-of-Breed-Ansatz durchgesetzt. Was von AWS am besten unterstützt wird, entwickelt und hostet man bei Amazon, wo Azure Vorteile hat, kommt Microsoft zum Zuge, und auch andere Anbieter wie Google, Oracle oder auch lokale Anbieter haben ihre spezifischen Stärken, die durchaus auch einfach in einer gewachsenen Kundenbeziehung bestehen können.

Best of Breed ist nicht immer der Königsweg

Allerdings birgt dieser Best-of-Breed-Ansatz mit multiplen Clouds und gegebenenfalls noch On-Premises-Systemen einige Probleme. So haben die meisten Unternehmen heute noch wenig Erfahrung mit der Integration der unterschiedlichen Plattformen in eine nahtlose Infrastruktur. Die IT-Mitarbeiter vom Entwickler über den Administrator bis hin zum Security Consultant kennen ihre On-Premises-Lösungen im Detail, stehen aber in der Cloud oder gar in multiplen Clouds vor völlig neuen Herausforderungen.

Dies beginnt damit, dass sie ohne entsprechende (neue) Tools keinen umfassenden Einblick in ihre Umgebung haben. Das hat einerseits zur Folge, dass niemand einen Überblick darüber hat, welche und wie viele Ressourcen in der Cloud genutzt werden, was zu bösen Überraschungen bei der monatlichen Rechnung der Cloud Provider führen kann. Insbesondere Entwickler tendieren dazu, im Rahmen der Entwicklung benötigte Cloud-Ressourcen nicht wieder zu deaktivieren, wenn die Anwendung in Produktion gegangen ist. Aber um kein Developer Bashing zu betreiben – das gleiche gilt für andere Cloud-Ressourcen, die nur temporär im Rahmen eines Projekts benötigt wurden.

Vor allem aber ist fehlende Visibility ein ganz erhebliches Sicherheitsrisiko, denn wer nicht jederzeit genau weiß, was wo in seiner IT-Infrastruktur passiert, ist in hohem Maße anfällig für Angriffe von Cyberkriminellen, Wettbewerbern, nationalstaatlich gesponserten Hackern oder einfach nur unzufriedenen Kunden oder Mitarbeitern. Eine einzige gestohlene Kombination von Benutzername und Passwort kann leicht den Diebstahl vertraulicher Informationen oder eine Ransomware-Attacke zur Folge haben, in der sechs- oder siebenstellige Lösegelder gefordert werden, um den Zugriff auf die eigenen Daten und Anwendungen wiederherzustellen – natürlich ohne Garantie.

Migration ohne Sicherheit ist Kamikaze

Die Absicherung von Cloud-, Multi-Cloud- und hybriden Infrastrukturen ist daher eines der wesentlichen Probleme von Unternehmen bei der Migration. Die Anforderungen an das IT- und Security-Personal steigen exponentiell, aber der Markt ist leergefegt – qualifizierte Mitarbeiter sind kaum zu bekommen, und wenn, dann zu erheblichen Kosten. Die eigenen Mitarbeiter, die bisher ihre On-Premises-Lösung unterhalten und eine funktionierende Perimeter-Sicherung aufgebaut haben, stehen daher vor einer Flut neuer Herausforderungen, denn den Perimeter gibt es in der Cloud nicht mehr.

Dabei müssen sie und vor allem ihr CISO (Chief Information Security Officer) sich auch in der neuen Infrastruktur um eine Vielzahl anspruchsvoller und nun sogar noch anspruchsvollerer Aufgaben kümmern, die da wären:

Visibility: Unternehmen nutzen die Cloud, um Innovation und digitale Transformation zu fördern. Den meisten Security und Operations Teams fehlt jedoch ein einheitlicher Überblick über die verschiedenen Cloud-Dienste, die von ihren Entwicklern, aber auch ihren Endanwendern genutzt werden. Nur die kontinuierliche Überwachung aller Cloud- und Container-Dienste kann umfassende Einblicke in die verbundenen Risiken gewähren.

Sicherheit: Wenn man keinen Perimeter mehr verteidigen kann, muss die Sicherheitsstrategie darauf ausgerichtet werden, dass Angreifer tatsächlich in das eigene Netzwerk eindringen können, und man sollte immer von der Annahme ausgehen, dass sie das bereits getan haben. Es gilt also, Strategien zu entwickeln und Maßnahmen zu ergreifen, die solche Angreifer frühzeitig erkennen, um den Schaden zu minimieren. Eine wesentliche Rolle spielt hierbei zudem das Access & Identity Management, mit dem die Zugriffsrechte humaner wie nicht-humaner Benutzer auf das absolut notwendige Minimum beschränkt werden, um den potenziellen Schaden bei Missbrauch so klein wie möglich zu halten und Rechteeskalation zu verhindern.

Compliance: Heute unterliegen nicht nur KRITIS- und börsennotierte Unternehmen umfassenden Compliance-Vorschriften, ob das nun PCI-DSS in der Finanzbranche, die DSGVO als allgemeine Datenschutzrichtlinie oder ganz spezielle Vorschriften für das Risikomanagement sind. Die Einhaltung all dieser Normen muss auch in Multi-Cloud-Umgebungen gewährleistet sein, um Kundendaten zu schützen und das Unternehmen selbst vor Imageschäden und teils sehr hohen Bußgeldern zu bewahren.

Schatten-IT: Normen und Vorgaben schränken Freiheit und Kreativität ein und gefühlt manchmal auch die Produktivität. Kein Wunder, dass viele Anwender stetig nach Wegen suchen, solche Vorgaben zu umgehen – ohne auch nur darüber nachzudenken, dass sie ihr Unternehmen damit enormen Risiken aussetzen, weil niemand auch nur annähernd weiß, was sie da tun. Nicht gewartete Anwendungen, nicht autorisierte Kommunikationskanäle oder gar unregistrierte Hardware im Homeoffice oder im OT-Netzwerk (Operational Technology) müssen identifiziert werden, um sie entweder in das Sicherheitskonzept zu integrieren oder zu deaktivieren.

Risikominderung: Mit der Migration in Multi-Cloud-Umgebungen wächst die Angriffsfläche der gesamten IT-Infrastruktur nicht nur erheblich, sondern sie verschwimmt zudem sehr leicht. Was muss geschützt werden, wo, wovor und von wem? Es ist extrem wichtig, die Risiken genau zu kennen und auch Einigkeit mit dem oder den Cloud-Providern zu erzielen, wer welche Schutzmaßnahmen ergreift. Hier wird in der Regel das Prinzip der geteilten Verantwortung gelten – die Cloud-Provider sichern die Infrastruktur, die sie zur Verfügung stellen, während der Schutz von Daten und Anwendungen Sache des Kunden ist. Hier gibt es allerdings öfters noch Missverständnisse und damit falsche Erwartungen an die Cloud-Provider. Aber gerade in Multi-Cloud-Umgebungen wird deutlich, dass keiner von ihnen Kontrolle über die Anwendungen des Kunden haben und diese vor anwendungsspezifischen Attacken schützen kann. Gerade die Anwendungssicherheit kann man daher nicht an Cloud-Provider delegieren.

Ein weiteres großes Problem in komplexen Multi-Cloud-Umgebungen sind Fehlkonfigurationen. Auch für erfahrene Sicherheitsspezialisten und Administratoren ist es schwierig, in der neuen Welt den kompletten Überblick zu bewahren. Sie benötigen daher dringend geeignete Tools, um die Richtlinienverwaltung über alle Plattformen hinweg zu konsolidieren und unerwünschte oder nicht konforme Konfigurationen zu entdecken und zu beseitigen.

Sicherheit kann man nicht nachkaufen

Was einmal in der Welt ist, ist in der Welt. Es ist vergebliche Liebesmüh, eine vom Design her unsichere Anwendung nach dem Rollout noch irgendwie zu sichern – wie bereits erwähnt, haben wir keinen Perimeter mehr, über den wir das mit ein paar Firewall-Regeln versuchen könnten. Die Sicherheit von Anwendungen muss daher möglichst früh in der CI/CD Pipeline adressiert werden, und zwar auf Basis einer einheitlichen Risikobewertung aller Stakeholder. Sicherheitsteams benötigen daher Tools, mit denen sie über die gesamte CI/CD-Pipeline hinweg einheitlich definieren können, was „gut“ ist, damit sie potenzielle Risiken von Infrastructure-as-Code-Vorlagen (IaC) schon vor ihrer Entwicklung oder Bereitstellung bewerten können.

Schon in traditionellen On-Premises-Umgebungen waren einzelne Warnmeldungen immer zweifelhaft. Eine Vielzahl von Tools, ob Firewall, Intrusion Detection System oder auch nur das gute alte Antivirus-Programm liefern mehr Alerts, als das Security-Team sinnvoll bearbeiten kann. Welche paar Prozent dieser Warnmeldungen tatsächlich Aufmerksamkeit brauchen, ist schwer bis unmöglich zu entscheiden, da ein Großteil der Alarme False Positives sind. Die wirklichen Sicherheitsrisiken sind so nur schwer erkennbar.

Dieses Problem potenziert sich in der Cloud, in der einzelne Alerts ihre Bedeutung nahezu vollständig verlieren. Erst die Kontextualisierung über alle Ebenen der Infrastruktur, der Workloads und der Daten hinweg sowie eine Orchestrierung der Security Tools ermöglichen eine exakte Risikobewertung in Multi-Cloud-Umgebungen.

Automatisierung ist der Schlüssel

Wie auch immer man die IT-Sicherheit in Multi-Cloud-Umgebungen betrachten will: Automatisierung ist der Schlüssel zum Erfolg. Mit beschränkten Ressourcen – sowohl in Bezug auf Manpower als auch Expertise – können Security-Teams die Sicherheit in hybriden Umgebungen heute ohne umfassende Tool-Unterstützung nicht mehr sicherstellen.

Das liegt einerseits daran, dass Angreifer zunehmend auf Künstliche Intelligenz setzen, und andererseits an der schieren Anzahl von Alarmmeldungen der unterschiedlichsten Sicherheitssysteme, die manuell unmöglich bearbeitet werden können. Nur hochgradig automatisierte und orchestrierte Sicherheitstools geben CISOs und ihrem Team heute die Möglichkeit, Angreifern energisch, positiv und erfolgversprechend gegenüberzutreten.

* Der Autor Hermann Haage ist Enterprise Cloud Security Specialist bei Rapid7.

(ID:48483480)