IT-Sicherheit als Designprinzip

In segmentierten Cloud-Umgebungen ist es notwendig, wirksame Security-Mechanismen bereits in jedem kleinsten Cloud-Bestandteil zu verankern. IT-Sicherheit ist keine separate Herausforderung, die sich durch eine nachträglich umgelegte Schutzhülle lösen ließe. Der Schutz der Software-Anwendung muss stattdessen als integraler Bestandteil des Systemdesigns von Anfang an im Entwicklungsprozess miteingeplant werden und alle Ebenen und Bestandteile der Cloud-Anwendungsarchitektur umfassen.

Authentisierung und Authentifizierung erfordern in verteilten Cloud-Szenarien einen anwendungs- und plattformübergreifenden Ansatz. Für Software-Anbieter, die native Cloud-Systeme über eine eigene Plattform zur Verfügung stellen, empfiehlt es sich, für einen robusten Zugriffsschutz ein plattformeigenes und -weites Identity und Access Management zu implementieren. Wenn die Plattform beispielsweise in der Microsoft Azure Cloud betrieben wird, werden Rollen und Zugriffsrechte aus dem Azure Active Directory importiert. Als technologische Basis für ein plattformeigenes Identitätsmanagement bietet sich Auth0 aufgrund seiner Multiproviderfähigkeit an. Theoretisch könnten sich User künftig also auch mit einer Bank-ID in Buchhaltungs- oder Warenwirtschaftsmodule einloggen. Hinsichtlich der Themen „Datenschutz“ und „Informationssicherheit“ ist es empfehlenswert, auf eine durchgängige End-to-End-Verschlüsselung zu setzen. Hierbei sind zwei Szenarien für den aus- und eingehenden Datenverkehr in Cloud-Rechenzentren zu unterscheiden: Für die Client-Kommunikation mit dem Server via Internet, etwa bei der Nutzung von Onedrive for Business, kommen ausschließlich SSL/TLS-Verbindungen mit 2.048-Bit-Verschlüsselung zum Einsatz. Das zweite Szenario betrifft Datenbewegungen zwischen zwei oder mehreren Rechenzentren, um die Datensicherheit durch Geore-dundanz zu maximieren. Egal ob klassische SQL-Server-Transaktion oder BLOB-Deltas für Multi-Target-Anwendungen – Datenströme dieser Art sollten gehärtet durch eine zusätzliche Verschlüsselung und nur über ein privates Netzwerk transportiert werden. Darüber hinaus garantieren SSL-Zertifikate die Echtheit von Quelle und Ziel des verschlüsselten Datentransfers.

Dies ist ein Artikel aus unserer Print-Ausgabe 10/2021. Bestellen Sie ein kostenfreies Probe-Abo.

Mosaikartig zusammengesetzte Cloud-Anwendungen, deren Servicebausteine auf ganz verschiedenen, geografisch mitunter weiträumig verteilten Servern laufen, sind in besonderer Weise anfällig für DDoS-Angriffe: Wenn es Cyberkriminellen gelänge, nur einen dieser Server z.B. per IP-Stressing in die Knie zu zwingen, können fehlende Dienste eine komplette Cloud-Anwendung lahmlegen. Genauso wie das Monitoring sollten daher auch unterschiedliche DDoS-Schutzvorkehrungen schon auf der Ebene der Serviceinfrastruktur implementiert sein. Eine Möglichkeit sind beispielsweise selbstlernende DDoS-Protection-Services für die fortlaufende Überwachung und Untersuchung des gesamten Datenverkehrs. Die zugrunde-liegenden Algorithmen decken verdächtige Verkehrsmuster und andere Indikatoren auf, die auf einen möglicherweise bevorstehenden DDoS-Angriff hindeuten.

Die Verlagerung von On-premises-Work-Loads in die Cloud verlangt ein neues Entwicklungsparadigma, das bei der Entwicklung jedes einzelnen Servicebestandteils verteilter Anwendungen IT-Security als Designprinzip zugrunde legt. Außerdem muss auch die physische Plattform gegen Cyberangriffe abgesichert sein. Bei der Beurteilung der Frage, inwieweit dies für eine konkrete Lösung zutrifft, können sich Unternehmen an Zertifikaten wie FISMA, ISO und SOC orientieren.

Bildquelle: Sage GmbH