Cloud-Computing: Herausforderungen für die Sicherheit

Die teilweise oder sogar vollständige Verlagerung von Unternehmens-Workloads in die Cloud kann für Unternehmen außerordentliche Vorteile in Bezug auf Agilität, Skalierbarkeit und Flexibilität erschließen. 

Tatsächlich haben laut des Keysight-Berichts „The State of Cloud Monitoring“ fast 87 Prozent der Unternehmen weltweit ihre Cloud-basierte Arbeitslast im letzten Jahr erhöht.

Der Bericht weist jedoch auf eine gewichtige Herausforderung hin – die mangelnde Sichtbarkeit in Bezug auf die Cloud-Infrastrukturen und den Netzverkehr. Fast 70 Prozent der Befragten gaben an, dass die Überwachung öffentlicher Clouds schwieriger ist als die Überwachung von Rechenzentren oder privaten Cloud-Umgebungen. Unterdessen gaben weniger als 20 Prozent der Befragten an, tatsächlich Zugang zu den Daten zu haben, die sie für die genaue Kontrolle öffentlicher Cloud-Umgebungen benötigen.

Die Rolle des menschlichen Versagens

Gleichzeitig hat Gartner vorausgesagt, dass „bis 2022 mindestens 95 Prozent der Sicherheitsfehler in der Cloud auf die Schuld des Kunden zurückzuführen sein werden.“ Mit anderen Worten: Falsche Konfigurationen, manuelle Fehler und eine mangelnde Transparenz werden zur Ursache für fast alle Zwischenfälle in der Cloud.

Tatsächlich haben insbesondere Fehlkonfigurationen in den letzten Jahren an Bedeutung gewonnen. Im Jahr 2017 wurde berichtet, dass die Informationen fast aller registrierten Wähler aus Chicago, USA, für die Öffentlichkeit zugänglich waren, weil der für Election Systems & Software (ES&S) arbeitende Ingenieur versehentlich einen S3-Speicherservers von Amazon Web Services (AWS) im Internet offen zugänglich ließ. Die Daten waren herunterladbar und sollen die persönlichen Details von bisher mehr als 1,8 Millionen Wählern aus Chicago kompromittiert haben. Im selben Jahr erlitt die Marketing-Analytik-Firma Alteryx einen ähnlichen Zwischenfall: 123 Millionen eigene Kundendatensätze und Millionen von Kundendatensätzen von Verizon wurden ungeschützt gespeichert – wiederum wegen eines versehentlich falsch konfigurierten Amazon S3-Speicherservers.

Über welche Art von Fehlkonfigurationen sprechen wir? Besonders über einen Mangel an Zugriffskontrolle und Zugriffsverwaltung. Das kann den Zugang zu sensiblen Bereichen eines Unternehmensnetzwerks weit öffnen. Unsichere AWS-S3-Speicherserver können zudem leicht versehentlich offen liegen, was es Kriminellen im Internet sehr einfach macht, sie zu finden und ihre Inhalte herunterzuladen – oder sogar heimlich zu verändern.

Zusammengefasst bringen folgende Hürden die Unternehmen in Schwierigkeiten: Das Versäumnis, die bereitgestellten Kontrollen des Cloud-Anbieters auszuwählen und zu aktivieren oder das Fehlen eigener Prüfungs- und Steuerungskontrollen. Außerdem mangelndes Verständnis des IT-Modells der ‚Geteilten Verantwortung‘ zwischen Cloud-Anbieter und Cloud-Kunden, welches besagt, dass der Anbieter für die Absicherung der Cloud-Infrastruktur zuständig ist, der Kunde aber für den Schutz seiner Dateien und aufgesetzten Anwendungen. Zuletzt schlicht ein Mangel an Fachwissen, Fähigkeiten und Erfahrung bei der Nutzung einer Cloud und dem Einsatz von Cloud-Lösungen.

Diese Hindernisse müssen beseitigt werden, denn Cloud-Sicherheitsvorfälle können enorm schädigend sein: von Ausfallzeiten, die den täglichen Betrieb stören und direkte Auswirkungen auf das Geschäftsergebnis haben, bis hin zu schwerwiegenden Sicherheitsverletzungen und dem Diebstahl hochsensibler Daten.

Worauf zu achten ist

Zur Bewältigung der genannten Herausforderungen sollten sich Unternehmen für eine Lösung entscheiden, die eine vollständige Transparenz des Netzverkehrs und umfangreiche Kontrolle der IT-Sicherheit ermöglicht; die außerdem für die Konformität mit Regularien und gesetzlichen Vorgaben in Bezug auf die Benutzung einer öffentlichen Cloud-Umgebungen sorgt – Stichwort: Datenschutz und Auditierung.

Zudem die Verwaltung von Sicherheitsrichtlinien der Firewalls und Änderungen daran übernimmt, beispielsweise im Zuge einer Mikrosegmentierung des Netzwerkes, und dabei eine Risikoanalyse durchführt, um Fehlkonfigurationen zu reduzieren. Eine Lösung, die ohne Umstände auch mit Hybrid- und Multi-Cloud-Umgebung umgehen kann und hilft, menschliche Leichtsinnsfehler künftig zu vermeiden.

Das Schlagwort für eine solche Sicherheitslösung lautet: Security-Automatisierung. Sie benötigt eine zentrale Konsole, über die sie steuerbar ist und muss alle Anforderungen und Arbeiten automatisiert umsetzen können. Das entlastet die IT-Abteilungen, wodurch diese sich auf große und wichtige Projekte konzentrieren können.

Zu den Schlüsselelementen jeder Cloud-Sicherheitslösung gehören:

• Kontinuierliche Cloud-Sichtbarkeit: Umfangreicher Einblick in die Multi-Cloud-Umgebung und Aufdeckung potentieller Schwachstellen oder Risiken.
• Automatisierte und zentralisierte Cloud-Sicherheitsverwaltung: Kontrollen auf mehreren Ebenen, einschließlich Cloud-nativer Sicherheitsgruppen und Verwaltung weiterer Cloud-Sicherheitsprodukte, wie Azure-Firewalls oder Lösungen von Drittanbietern.
• Konsistentes Risiko- und Compliance-Management: Einfache Verwaltung und Durchsetzung von Unternehmens- oder Regulierungsrichtlinien auf allen Systemen und kontinuierliche Analyse von Risiken sowie Fehlkonfigurationen.
• Schneller Einsatz: Cloud-native SaaS-Lösung, die einen einfachen Einstieg ermöglicht und schnell implementiert werden kann.

Eine robuste Verwaltung und Automatisierung der Netzwerksicherheit in komplexen Cloud-Umgebungen sind für Unternehmen kritische Ziele, die sie erreichen sollten, denn: Firmen, die Arbeitslasten in Cloud-Umgebungen verschieben, müssen die Sicherheit in diesen Umgebungen unbedingt automatisiert gewährleisten, weil sie sonst nicht in der Lage sind, die Agilität ihrer Mitarbeiter zu erhöhen und kontinuierliche Sicherheit zu gewährleisten. Der Verwaltungsaufwand tausender Sicherheitsrichtlinien und segmentierter Netzwerke ist für den manuellen Betrieb zu hoch und zu fehleranfällig. Hinzu kommen Compliance und Auditing.

Eine Security-Automatisierung arbeitet präziser, wesentlich kostengünstiger und rund um die Uhr und hilft dem gesamten Unternehmen dabei, die Abschirmung der IT-Umgebungen, aller Daten und Anwendungen zu garantieren.