Security muss neu gedacht werden

Da die grössten Sicherheitsrisiken nicht von Lücken bei den Cloud Anbietern ausgehen, muss vielmehr im eigenen Verantwortungsbereich darauf geachtet werden, dass die Cloud sicher angewendet wird. Dabei ist ein Umdenken bezüglich der Bedrohungssituation gegenüber dem eigenen Rechenzentrum notwendig.
Im on-premises Environment sind Services wie z.B. Datenbanken, Virtuelle Maschinen, File-Shares, oder PoC Implementierungen durch die Perimeter Firewall vor Zugriffen aus dem Internet geschützt. Ein falsch konfigurierter Service (z.B. eine Datenbank mit einem Standard Passwort) ist nicht direkt im Internet exponiert. In der Cloud jedoch kann man durch einen unbedarften Klick einen Service direkt in das Internet exponieren und stellt damit einen potentiellen Angriffspunkt her. Exponierte File-Shares erweisen sich dabei als der häufigste Grund für Security Vorfälle in der Cloud.
Um solche und weitere Sicherheitsrisiken zu adressieren, sind Security Awareness, Know-How und die konsequente Anwendung der Sicherheitsmechanismen notwendig, welche die Cloud Anbieter bereitstellen. Die Security muss dabei ganzheitlich in den vier nachfolgend beschriebenen Dimensionen gedacht werden.

Cloud Governance mit Policies umsetzen
Mit dem Cloud Governance Konzept gilt es die strategischen Richtlinien festzulegen, wie die Cloud eingesetzt werden soll. Dabei sind auch die Security Aspekte zu betrachten: in welcher geografischen Region müssen Daten gespeichert werden, die Security-Klassifikation von Daten und Applikationen, mit welchen Rollen dürfen Entwickler auf Cloud Ressourcen zugreifen. Viele dieser Aspekte lassen sich auf den Public Cloud Plattformen automatisiert über formale Policies überwachen bzw. erzwingen.
Sichere Netzwerkarchitektur als Basis
Über die Architektur lässt sich der Angriffsvektor auf die Cloud Ressourcen minimieren. Durch einen Perimeter in der Cloud Infrastruktur kann sichergestellt werden, dass sämtlicher ein- und ausgehender Internet Netzwerktraffic über diesen Perimeter geroutet wird. Ein VPN Kanal vom Perimeter zum on-premises Netzwerk ermöglicht es, aus der Cloud sicher auf on-premises Ressourcen zugreifen zu können. Zusätzlich sollte die Firewall von PaaS Ressourcen so eingeschränkt werden, dass nur authentisierte und autorisierte Ressourcen aus einem gewünschten Netzwerk darauf zugreifen können.
Automatisierung mit IaC und Compliance Checks sind ein Muss
Jede Cloud Plattform bietet ein Portal, in dem Ressourcen angelegt und gemanagt werden können. Diese Portale eignen sich gut, um sich mit den Möglichkeiten und Konfigurationsoptionen vertraut zu machen. Für das Deployment einer produktiven Applikation in der Cloud, stellen die Portale ein Sicherheitsrisiko dar. Ein vergessener oder falscher Klick kann ein Sicherheitsfeature ausser Kraft setzen. Darum müssen die Provisionierung und Deployments über Infrastructure as Code (IaC) und CI/CD Pipelines automatisiert werden. Doch auch die Automatisierung schützt noch nicht vor Deployments, die gegen Governance Richtlinien verstossen. IaC Code muss daher mittels Compliance Regeln bzw. Policies überprüft werden, ob die auferlegte Governance eingehalten wird.
Kontinuierliche Compliance Checks
Zusätzlich zu den Anstrengungen um Governance, Architektur und Automatisierung muss das Cloud Environment mittels Continuous Compliance überwacht werden, damit die festgelegten Sicherheitsvorgaben im gesamten Lebenszyklus der Cloud Applikationen eingehalten werden. Über Continuous Compliance lassen sich z.B. exponierte Schnittstellen, nicht geänderte Standard Passwörter, vorgeschriebene Netzwerkrouten oder vorgeschriebene Mindeststandards bei der Konfiguration von Cloud Ressourcen überwachen. Im Unterschied zu Penetration Tests, welche eine Momentaufnahme darstellen, wird mittels Continuous Compliance das Cloud Environment laufend automatisch überprüft und damit die Governance sichergestellt.

Hast du auch einen spannenden Use Case? Let's talk!

Gerald Reif