Cloud-Sicherheit durch agentenbasierte Lösungen

Das Prinzip der geringsten Privilegien (Principle of Least Privilege, kurz PoLP) ist ebenso wie Zero Trust ein Eckpfeiler zeitgemäßer IT-Sicherheit. Vor dem Hintergrund zunehmender Supply-Chain-Angriffe gilt es sicherzustellen, dass diese Prinzipien auch für Sicherheitslösungen gelten. PoLP bedeutet, dass Unternehmen Identitäten nur die Berechtigungen für Ressourcen gewähren sollten, die für die Erfüllung ihrer Aufgaben erforderlich sind. Zero Trust geht noch einen Schritt weiter und besagt, niemals einem Benutzer oder Dienst implizit zu vertrauen. Ist die Identität eines Benutzers nachgewiesen, erhält er nur Zugriff auf die spezifischen Ressourcen, die er zu diesem Zeitpunkt auch benötigt. Die Anwendung dieser Grundsätze ist im Zeitalter der verteilten IT von entscheidender Bedeutung, um sich vor Supply-Chain-Angriffen zu schützen. Schließlich kann ein einziger angegriffener Dienst  Zehntausende von Unternehmen auf einmal gefährden.

Sicherheitsagent: Freund oder Feind?

Betrachtet man die Installationsanleitung für fast jeden Agenten, wird deutlich, dass er als privilegierter Dienst ausgeführt wird, der in der installierten Umgebung praktisch alles tun kann. Diese Praxis verstößt jedoch  gegen das Prinzip der geringsten Privilegien. Es liegt in der Natur der Sache, dass Sicherheits-Tools einen breiten Zugang benötigen, aber das heißt nicht, dass sie unbegrenzten Zugang haben sollten. Ein Sicherheitstool, das einen Host auf Schwachstellen oder Malware überprüft, benötigt nicht die gleichen Berechtigungen wie der Host selbst. Ein Sicherheits-Tool, das einen Server mit Zugriff auf privilegierte Datenspeicher schützt, benötigt ebenso keinen Zugriff auf die Datenspeicher. Ein Agent, der auf einem Server läuft, der an das Internet angebunden ist, muss nicht auch mit dem Internet kommunizieren. 

Ein Sicherheitsanbieter könnte von Angreifern gehackt werden, die sich Zugang zu Kundenumgebungen verschaffen wollen. Ebenso könnte die Lösung des Anbieters ein Open-Source-Tool enthalten, das sich später als bösartig herausstellt. Idealerweise sollten Sicherheitsagenten daher mit den minimalen Berechtigungen laufen, die zur Erfüllung ihrer Aufgabe erforderlich sind. 

Der ungehinderte Zugriff des Sicherheitsagenten kann in einer Cloud-Umgebung Schaden anrichten, indem er diese für einen Supply-Chain-Angriff öffnet. Ein solcher Agent verwendet möglicherweise eine bestimmte Bibliothek zum Parsen von JSON, PDF und anderen Dateitypen. Trotz guter interner Sicherheitspraktiken enthält die Bibliothek eine Schwachstelle für die Remote-Code-Ausführung (RCE). Ein Angreifer könnte nun Dateien erstellen, um diese Sicherheitslücke auszunutzen. Die Dateien könnten Nutzdaten enthalten, die ein bösartiges Tool installieren, mit einem Command-and-Control (CnC)-Server kommunizieren oder die Daten auf dem Host verschlüsseln und eine Nachricht senden, um etwa Lösegeld zu fordern. Dies geschieht nicht nur bei einem gezielten Angriff, sondern auch, wenn Angreifer diese infizierenden Dateien weiterverbreiten.

Nutzt ein Sicherheitsagent eine anfällige Bibliothek, ist dies ein bevorzugtes Ziel für Angreifer. Diese können die Nutzlast mit vollen Berechtigungen ausführen – mit der Fähigkeit, Dateien zu verschlüsseln, mit einem CnC-Server zu kommunizieren und sich sogar seitlich durch die Cloud-Umgebung zu bewegen. Wie lässt sich dann die Cloud-Umgebung zuverlässig schützen? Die Antwort liegt im Einsatz einer agentenlosen Cloud-Sicherheitslösung. 

Das Prinzip der geringsten Privilegien

Eine agentenlose Cloud Native Application Protection Platform (CNAPP) bietet neben höherer Sicherheit auch noch weitere Vorteile wie eine schnelle Bereitstellung, vollständige Sichtbarkeit und kontextbezogene Einblicke. Darüber hinaus hält sich eine solche Plattform vollständig an das PoLP-Prinzip und beschränkt die Privilegien auf ein absolutes Minimum. Anstelle von Agenten kommt etwa im Fall von Orca Security die Side-Scanning-Technologie zum Einsatz, um Cloud-Workloads „out of band“ zu scannen. Anders als bei agentenbasierten Lösungen werden die Berechtigungen der gescannten Workloads dabei nicht weitervererbt. Side-Scanning kann etwa eine Cloud-Umgebung scannen, in der ein Banking-System ohne Zugriffsberechtigung auf die Kundendaten ausgeführt wird. Wenn etwa eine RCE-Schwachstelle ausgenutzt wird, sind die Auswirkungen weitaus geringer als bei agentenbasierten Sicherheitslösungen.

Der Side-Scanner läuft ohne aktivierte Internetkonnektivität, sodass keine CnC-Kommunikation möglich ist. Er hat keinen Schreibzugriff auf Daten und greift nur auf einen schreibgeschützten Snapshot zu. Da die Side-Scanning-Technologie auf dedizierten Instanzen mit sehr eingeschränktem Netzwerkzugriff ausgeführt wird, ist ihre Anfälligkeit deutlich geringer. Die Instanzen werden auch nicht zwischen Scans oder Assets wiederverwendet, was die Angriffsfläche weiter reduziert. Neben der Einhaltung von PoLP bietet das Side-Scanning-Prinzip weitere Vorteile, darunter vollständige Sichtbarkeit und Abdeckung aller Cloud-Assets. Dies gilt auch für inaktive, angehaltene und gestoppte Workloads, verwaiste Systeme und Geräte oder Betriebssysteme, die keine Agenten unterstützen können.

Cloud-Sicherheit neu gedacht

Nach wie vor ist das Prinzip der geringsten Privilegien ein bewährtes Verfahren, weil es die Angriffsfläche effektiv reduziert. Anbieter von agentenbasierten Sicherheitslösungen halten sich jedoch in der Regel nicht an PoLP, da ihre Agenten die Berechtigungen ihrer Hosts übernehmen. Es ist daher höchste Zeit für einen neuen Ansatz, der vollständige Sichtbarkeit bietet, ohne zugleich das Risiko zu erhöhen.

Bildquelle: Getty Images / iStock / Getty Images Plus