Cloud Security – Datensicherheit in der Wolke

Bedrohungsakteure nehmen natürlich die schwächsten und am wenigsten geschützten Punkte in der IT-Infrastruktur von Unternehmen ins Visier. Der Check Point Security Report 2019 enthüllt die wichtigsten Cyber-Angriffstrends, die von Hackern genutzt werden. Eines der Hauptziele: Enterprise Clouds. Die wesentlichsten Erkenntnisse aus dem Security Report: 18 Prozent der Unternehmen hatten im vergangenen Jahr einen Cloud-Sicherheitsvorfall. Die häufigsten Ereignisse waren Datenlecks und/oder -verletzungen, Übernahme von Zugangsdaten/-konten und Infektionen mit Schadprogrammen. Durch die Analyse dieser Entwicklungen können Organisationen ein besseres Verständnis für die Bedrohungen entwickeln, denen sie potenziell ausgesetzt sind, und mehr darüber erfahren, wie sie Schaden in der eigenen Infrastruktur verhindern können.

Der Security Report gibt auch Auskunft über die vier grössten Bedrohungen in der Public Cloud: IT-Experten bewerteten die Fehlkonfiguration von Cloud-Plattformen, die zu Datenverlust oder -verletzungen führt, mit 62 Prozent als grösstes Problem. Gefolgt wird es vom unberechtigten Zugriff auf Cloud-Ressourcen (55%), unsicheren Schnittstellen sowie APIs (50%) und der Übernahme von Zugangsdaten/-konten (47%). Was uns nachdenklich machen sollte: 30 Prozent der IT-Experten sind der Meinung, dass die Sicherheit in der Verantwortung des Cloud-Service-Providers liegt. Im Bereich Cloud-Sicherheit gibt es aber klar das Modell der «shared responsibilities»: Der Cloud-Provider ist verantwortlich für die Sicherheit der Cloud-Infrastruktur, die er zur Verfügung stellt; das Unternehmen muss sich um die Daten und Applikationen in der Cloud kümmern. Das Ergebnis hingegen spricht eine völlig andere Sprache.

Neben Kosten- und Zeitersparnis sprechen auch Mobilität und geografische Unabhängigkeit, schnelle Skalierbarkeit und organisatorische Flexibilität dafür, wichtige Anwendungen über eine Cloud zu organisieren. Dennoch sind Sicherheitsbedenken immer noch das grösste Hemmnis, insbesondere dann, wenn Unternehmen mit kritischen Business-Informationen, Kommunikationsdaten, Kundendaten beziehungsweise personenbezogenen Daten in die Cloud gehen wollen.

In den meisten Fällen greifen mehrere Nutzer auf die Cloud zu, was eine Verschlüsselung der Daten, die Kontrolle von Zugriffen und die damit verbundenen Rechte und das Identitätsmanagement unabdingbar machen. Hierfür können sowohl Cloud-Nutzer als auch Anbieter Massnahmen aus einem Baukasten von Regeln, Prozessen und technischen Möglichkeiten etablieren, um sicherzustellen, dass Daten sicher verwaltet und genutzt werden können, Anwendungen ausreichend geschützt sind und gesetzliche Vorgaben eingehalten werden.

Cloud Security umfasst Sicherheit für Daten, Plattformen, Anwendungen, Netzwerkstrukturen und -zugänge sowie Server, die physische Sicherheit des Rechenzentrums und eine umfassende Kontrolle von Schlüsseln und Zugangsprivilegien. Schadprogramme und Angriffswege entwickeln sich ständig weiter, was eine Vernachlässigung der Cloud Security somit undenkbar macht. Auch die damit verbundene Hardware (Anbieterseite) muss gesichert werden – und das bereits beim Design. Sicherheitslücken, die in der Hardware- Architektur verankert sind, können ohne einen Austausch der Hardware auch mit nachträglichen Updates nicht geschlossen werden – Stichwort Meltdown oder Spectre. Die betroffenen Chips sind zu Millionen ab Werk verbaut.

Traditionell sind die Sicherheitssegmente eng mit der Hardware verbunden, was wiederum zu einer manuellen und sehr prozessintensiven Netzwerkkonfiguration und -verwaltung führt. Möchte man Sicherheit in virtuellen Umgebungen bereitstellen, müssen physische Grenzen und Vorgänge logisch aufgebaut und automatisiert werden. Eine weitere Herausforderung sind die mittlerweile hoch entwickelten Cyber-Attacken der fünften Generation.

Unternehmen setzen in den meisten Fällen noch auf Sicherheitsvorkehrungen, die Attacken der zweiten oder dritten Generation entsprechen und diese abwehren können. Bei Cyber-Angriffen der fünften Generation handelt es sich aber bereits um moderne Hacking-Tools, die den Kriminellen ein schnelles Vorgehen und eine weitreichende Infizierung von Unternehmen und deren Netzwerken ermöglichen. Um diese Multi-Vektor-Angriffe abwehren zu können, bedarf es einer integrierten und einheitlichen Sicherheitsstruktur – frühere Generationen der Security-Technologien, die ausschliesslich auf die Erkennung von Angriffen ausgelegt sind, sind modernen Attacken hingegen meist nicht gewachsen.

Im Idealfall baut eine Cloud-Security-Lösung auf unterschiedlichen Prinzipien auf. Sicherheitsdienste sollten automatisch in das Netzwerk eingefügt und entsprechend konfiguriert werden. IT-Tools sollten problemlos in die Cloud integriert und Sicherheitsrichtlinien implizit angepasst werden können, um die Anzahl der Anwendungen nach Bedarf sicher zu erhöhen. Neben der Compliance ist auch die Transparenz im Fall eines Angriffs eine wichtige Eigenschaft. Es muss erkannt werden, welche Unternehmenseinheit von welchem Problem betroffen ist, um eine entsprechende Problembehebung und Analysen durchführen zu können. Ausserdem sollte das Sicherheitsmanagement zentral und einheitlich aufgesetzt werden, um laufend über alle Vorgänge zeitnah zu informieren und entsprechende Massnahmen einleiten zu können.

Eine Sicherheitsstruktur in einem Unternehmen basiert also idealerweise auf einer Kombination von abschreckenden, verhindernden, vorbeugenden, detektierenden und korrigierenden Verfahren. Das bedeutet, dass sowohl Warnhinweise an die Cyber-Kriminellen vor dem unerlaubten Eindringen abgegeben, als auch präventive, reagierende und Folgen reduzierende Massnahmen ergriffen werden, um auf diese Weise die Vorteile einer Cloudbasierten Infrastruktur zu nutzen. Eine automatisierte Bereitstellung und Orchestrierung sowie eine zentrale Verwaltung der physischen und der virtuellen Umgebung sind die wesentlichen Merkmale einer gut funktionierenden Sicherheitsstruktur.