Bis es knallt

ITD: Herr Epp, welche Verantwortung tragen Cloud-Anbieter, wenn es um die Datensicherheit in der Wolke geht?
Sergej Epp: Vorab ist zu sagen, dass meiner Meinung nach die Public-Cloud-Angebote der etablierten Player sicherer sind als 99 Prozent der Lösungen „Marke Eigenbau“ in einzelnen Unternehmen. Die großen Hyperscaler haben in der Vergangenheit sehr viel Geld in das Thema „Sicherheit“ investiert und verfügen über hervorragende Experten. Dennoch gilt es, sich bewusst zu machen, dass auch weiterhin das Shared-Responsibility-Modell gilt – die Kunden der Cloud-Anbieter sind also nicht komplett von ihrer Sicherheitsverantwortung entbunden. Um es mit einem Bild zu beschreiben: Ich kann zwar ein sicheres Haus haben, sollte aber nicht vergessen, selbst die Türen oder Fenster zu schließen oder das Überwachungssystem anzumachen. Die Cloud-Anbieter weisen darauf ganz deutlich hin, dass die Benutzer weiterhin für die Sicherheit der Konfiguration und Benutzung ihrer Services verantwortlich sind.

ITD: Was sollten besonders die Cloud-Nutzer beachten?
Epp: Die Cloud hat die traditionelle IT in vielen Unternehmen auf den Kopf gestellt und die Art und Weise, wie IT bezogen und genutzt wird, nachhaltig geändert. Eine der Folgen ist aber auch: Oft kaufen Geschäftsbereiche bzw. einzelne Abteilungen eigenständig Cloud-Services ein, ohne dabei Bereiche wie IT-Sicherheit oder Compliance zu involvieren. Die Folgen können fatal sein, wenn beispielsweise ganz banale Regeln für Cyberhygiene nicht beachtet werden. So kommt es leider zu oft vor, dass Entwickler die eigenen Applikationen aus öffentlich zur Verfügung stehenden Infrastructure as Templates oder Containern bauen, ohne diese auf Sicherheitslücken hin zu überprüfen. Ein anderer – häufiger – Fehler aus Sicherheitsperspektive ist es, wenn kritische Microservices direkt mit dem Internet verbunden werden oder wenn sogar Datenbanken unverschlüsselt im Internet abgelegt werden. Konkrete Zahlen liefert eine Untersuchung von Unit42, unserer Abteilung für Threat- und Security-Analysen. Demnach sind 42 Prozent aller Cloud-Formation-Templates nicht sicher, 51 Prozent öffentlich auffindbaren Docker-Container nutzen unsicher Grundeinstellungen und ganze 43 Prozent der Datenbanken in der Cloud sind unverschlüsselt. Vor diesem Hintergrund ist es kein Wunder, dass man regelmäßig von neuen, großen Datenhacks in der Cloud hört und liest. Beachtet man die Sicherheitsgrundlagen, dann ist die Wahrscheinlich, in der Cloud gehackt zu werden, eher gering, aber wenn man solche Banalitäten nicht beachtet, dann kann der Traum von Cloud schnell in einem Albtraum enden.

ITD: Was sind die Besonderheiten von Sicherheitslösungen „aus der Cloud für die Cloud“?
Epp: Hier müssen wir erst einmal einen Schritt zurückgehen: Wenn die eigene IT und Daten in Public-Cloud-Umgebungen gehostet werden, da liegt es nahe, dass die Cybersicherheit in die Public Cloud nachziehen muss. Damit gewährleistet man, dass man so nah wie möglich an den Daten ist und mit der Geschwindigkeit der Cloud-Anpassungen nachkommen kann. Oder können Sie in Ihrem Datacenter genauso schnell neue IT-Ressourcen schaffen? Leider ist das noch für viele Unternehmen nicht klar geworden. Wir sehen noch viele Organisationen, die ihre IT-Ressourcen zwar in die Cloud verlagern, dann aber mit Mühe und Not versuchen, die Logs aus der Public Cloud in das eigene Rechenzentrum zu schicken, das aber oft mit den Anforderungen nicht skaliert. Wenn dieser Schritt getan wurde, ist es wichtig sicherzustellen, dass die Sicherheitslösungen aus der Cloud den eigenen Anforderungen gerecht werden. Zum einen sollte man sicherstellen, dass alle möglichen Disaster-Recovery- und Business-Continuity-Szenarien berücksichtigt werden. Es gilt vor allem, die Sicherheitslösungen von der eigenen IT zu trennen, damit man im Fall von einem Ransomware- oder APT-Szenario weiterhin seinen Aufgaben im SOC nachgehen kann. Dafür ist das SOC ja schließlich da. Zum anderen gilt es, die Datenschutzanforderungen zu überprüfen: Wer hat vom Hersteller aus Zugriff auf die Daten? Wo sind die Daten gespeichert? Diese Überprüfung kann man auch durch standardisierte Zertifizierungen wie ISO2700X, ISO 2770X, SOC2 oder C5 abfragen.

Dies ist ein Artikel aus unserer Print-Ausgabe 1-2/2021. Bestellen Sie ein kostenfreies Probe-Abo.

ITD: Warum sind Account-Details besonders sensibel, wenn es um Cloud-Sicherheit geht, und welche Schwachstellen haben hybride Cloud-Modelle?
Epp: Bei einer Red-Team-Übung bei einem Kunden und einem der größten Software-as-as-Service-Unternehmen der Welt konnten unsere Experten über eine einzelne falsche IAM-Konfiguration die gesamte Infrastruktur des SaaS-Betreibers übernehmen und jede andere Sicherheitskontrolle überbrücken. Kurz gesagt: Fällt ein Account mit hohem Berechtigungslevel in die falschen Hände, dann gibt es für den Angreifer fast keine Hürden und Einschränkungen mehr, was natürlich fatal ist. In hybriden Cloud-Umgebungen ist vor allem die Fragmentierung der Policys und Sicherheitskontrollen ein sehr großes Risiko. Es ist schon eine immense Hürde für eine Cloud-Umgebung, vernünftige, effiziente und detaillierte Policies zu definieren und diese beispielsweise in die Prozesse von den DevOps-Bereichen einzubinden. Wenn die Sicherheitsbereiche dazu noch mit einem „Zoo“ an Produkten und Prozessen konfrontiert werden, dann werden schnell Schwachstellen und Lücken übersehen – bis es knallt.

Bildquelle: Palo Alto Networks