Eine Studie von Sophos, Anbieter von Lösungen für IT-Sicherheit, zeigt auf, dass eine reale Bedrohungslage für die Datensicherheit in der Public Cloud existiert. Mehr Sicherheit in der Public Cloud geht – Sophos gibt sieben wichtige Tipps.
(Bild: Pixabay)
Inhalt dieses Grundlagen-Artikels:
Die Cloud bietet – optimal eingesetzt – zahlreiche Vorteile wie hohe Flexibilität oder eine Optimierung von Ressourcen und Budgets. Viele Unternehmen nutzen bereits heute eine Mischstruktur aus On-Premise-Installationen, Private Cloud und eben auch Public Cloud. Anbieter von Cloud-Diensten betreiben dabei einen sehr großen Aufwand, um ihre Infrastruktur und Kundendaten zu schützen – laut Sophos sogar mehr als die meisten Unternehmen für die hauseigene Infrastruktur.
Grundsätzlich führt die Nutzung cloud-basierter IT-Sicherheitslösungen daher oft sogar zu einem Sicherheitsgewinn. Dies gilt allerdings vor allem für Public-Cloud-Dienste im Bereich Software-as-a-Service (z. B. Dienste zur Mediensteuerung und Monitoring von AV-Technik) und Business-Process-as-a-Service.
Geht es um Infrastruktur- oder Plattform-Dienste (mit prominenten Vertretern wie Amazon Web Services, Microsoft Azure oder Google Cloud), sind die Sicherheitssorgen begründbar. Dies aber nicht etwa, weil die von den Plattformanbietern bereitgestellten Infrastrukturen an sich verwundbar sind, sondern weil die Konfiguration von Public-Cloud-Infrastrukturen und -Diensten besondere Sorgfalt und Expertise auf Seiten der nutzenden Unternehmen erfordern. Es geht also um Know-how, Erfahrung und Best Practise.
>> zurück zur Übersicht
Hohe Hacker-Aktivität in Public Cloud
Sophos hat im Rahmen einer 30-tägigen Studie mit zehn Honeypots untersucht, wie sehr Public-Cloud-Server Hackerangriffen ausgesetzt sind. Hierfür wurden in den weltweit beliebtesten Amazon-Web-Services(AWS)-Datenzentren in Frankfurt, London, Paris, Mumbai, Ohio, Sao Paolo, Singapur, Sidney, Kalifornien und Irland Honeypots eingerichtet. Diese simulierten den auf den allermeisten Linux-Servern erreichbaren Secure Shell (SSH)-Dienst, um SSH-Anmeldeversuche zu messen. Das Resultat: Bereits in den ersten 30 Tagen der Studie wurden insgesamt mehr als fünf Millionen Angriffsversuche auf das globale Honeypot-Netz verzeichnet, darunter knapp 440.000 Angriffsversuche allein in Frankfurt.
>> zurück zur Übersicht
Prävention für die Public Cloud
Mit der IT-Security beauftragte IT-Manager stehen vor der Aufgabe, sämtliche Daten, Berechtigungen, Anwendungen, Zugriffe etc. in (IT-) Sicherheit zu bringen. Im ersten Schritt sollten dabei alle Security-Optionen, die der Public-Cloud-Anbieter im Portfolio hat, geprüft und gegebenenfalls genutzt werden. Darüber hinaus sind weitere Sicherheitsmaßnahmen ratsam, die das Unternehmen selbst verantwortet. KI-basierierte Lösungen wie zum Beispiel Cloud Optix von Sophos erlauben hierfür eine kontinuierliche Security-Analyse der genutzten Cloud-Umgebung, um gegebenenfalls auch Sicherheitsschwachstellen zu identifizieren. Besonders wichtig ist dabei die automatische Erkennung von Gefahren auf einer zentralen Konsole. Security-Verantwortliche haben damit die Möglichkeit, innerhalb von Minuten auf Sicherheitsrisiken zu reagieren.
>> zurück zur Übersicht
Tipps für mehr Security in der Public Cloud
Beachtet man bereits vor der Nutzung der Public Cloud sieben wichtige Aspekte, dann sind die Vorteile der Public Cloud auch unter Security-Gesichtspunkten in greifbarer Reichweite:
Gemeinsame Verantwortung: Dies bedeutet, dass der Public-Cloud-Anbieter für die „Sicherheit der Cloud“ verantwortlich ist und damit insbesondere für den physischen Schutz im Rechenzentrum sowie für die virtuelle Trennung von Kundendaten und Umgebungen. Als Nutzer der Public Cloud ist man für die „Sicherheit in der Cloud“ verantwortlich, sprich für alles, was in der Cloud abgelegt wird.
Multi-Cloud-Planung: Man sollte bei der Planung der Public-Cloud-Sicherheitsstrategie davon ausgehen, dass man mehrere Public-Cloud-Anbieter nutzen wird – wenn nicht jetzt, dann sehr wahrscheinlich irgendwann in der Zukunft.
Transparenz: Was man nicht sehen kann, kann man auch nicht schützen. Deshalb ist es für die Security enorm wichtig, volle Transparenz über die gesamte cloudbasierte Infrastruktur, die Konfigurationseinstellungen, API-Aufrufe und den Benutzerzugriff zu haben.
Kontinuierliche Compliance: Durch die Dynamik der Public Cloud lässt sich Compliance mit vielen Richtlinien nur durch eine kontinuierliche Überwachung sicherstellen. Am besten ist die Compliance fest in tägliche Abläufe integriert – inklusive Echtzeit-Snapshots der Netzwerktopologie und Echtzeit-Warnmeldungen bei Änderungen.
Automatische Sicherheitskontrollen: Cyberkriminelle setzen bei ihren Angriffen zunehmend auf Automatisierung. Es gilt, den Hackern einen Schritt voraus zu sein: Geeignete Maßnahmen sind die Automatisierung der Abwehr, die Beseitigung von Schwachstellen und die Anomalie-Erkennung.
Schutz aller Umgebungen: Bekannte Datenpannen betreffen meist Produktionsumgebungen in der Cloud. Für Aktivitäten wie Cryptojacking nehmen sich Angreifer aber genauso gerne die Entwicklungs- oder Q&A-Umgebung vor.
Auf Bewährtes setzen: IT-Sicherheit für lokale Systeme ist das Ergebnis jahrzehntelanger Erfahrung und Forschung. Der Schutz durch Firewalls und Server-Security vor Infektionen und Datenverlusten ist daher auch für cloudbasierte Server wichtig. Nicht zu vergessen ist der stets aktuelle Schutz für Endpoints und E-Mail auf allen Geräten, damit Unbefugte keinen Zugriff auf ihre Cloud-Accounts erhalten.
>> zurück zur Übersicht
Die verschiedenen Cloud-Services
Cloud-Services unterscheiden sich hauptsächlich darin, welcher Dienstleister/Hersteller/Organisation die Services anbietet und an welche Zielgruppe sie sich richten. Die Fraunhofer-Allianz Cloud Computing* erläutert den Unterschied zwischen Public Clouds, Private Clouds, Hybrid Clouds und Community Clouds folgendermaßen:
Die Public Cloud oder öffentliche Cloud ist ein Angebot eines frei zugänglichen Providers, der seine Dienste offen über das Internet für jedermann zugänglich macht. Webmailer-Dienste oder die bekannten Google-Docs sind ebenso Beispiele für Public-Cloud-Angebote wie die kostenpflichtigen Services eines Microsoft Office 365 oder eines SAP Business by Design. Aber auch spezielle Cloud-Dienste für AV können als Public Cloud angesehen werden.
Dem gegenüber stehen Private-Cloud-Dienste. Aus Gründen von Datenschutz und IT-Sicherheit ziehen es Unternehmen häufig vor, ihre IT-Dienste weiterhin selbst zu betreiben und ausschließlich ihren eigenen Mitarbeitern zugänglich zu machen. Werden diese so angeboten, dass der Endnutzer im Unternehmen cloudtypische Mehrwerte nutzen kann, wie z. B. eine skalierbare IT-Infrastruktur oder installations- und wartungsfreie IT-Anwendungen, die über den Webbrowser in Anspruch genommen werden können, dann spricht man von einer Private Cloud. Häufig werden diese Mehrwerte aber in so bezeichneten IT-Infrastrukturen nicht oder nur teilweise erreicht.
Mit Hybrid Clouds werden Mischformen dieser beiden Ansätze bezeichnet. So laufen bestimmte Services bei öffentlichen Anbietern über das Internet, während datenschutzkritische Anwendungen und Daten im Unternehmen betrieben und verarbeitet werden. Die Herausforderung liegt hier in der Trennung der Geschäftsprozesse in datenschutzkritische und -unkritische Workflows. Voraussetzung ist eine saubere und konsequente Klassifizierung der im Unternehmen vorhandenen und verarbeiteten Daten.
Einen eher seltenen Spezialfall stellen die so genannten Community Clouds dar. So werden Cloud-Infrastrukturen bezeichnet, die von mehreren Unternehmen – z. B. im Kontext eines Projekts – genutzt und bereitgestellt werden, um gemeinsam auf bestimmte Dienste zugreifen zu können. Diese sind jedoch nicht öffentlich verfügbar, sondern beschränken sich auf einen definierten Nutzerkreis.
* Wie auch anderen Allianzen von Fraunhofer besteht die Fraunhofer-Allianz Cloud Computing aus Fachgruppen verschiedener Fraunhofer-Institute, die mit ihren Einzelkompetenzen ein gemeinsames, integratives Geschäftsfeld bearbeiten. Mitglieder der Fraunhofer-Allianz Cloud Computing sind die Fraunhofer-Institute Fraunhofer FOKUS, Fraunhofer IAO, Fraunhofer IIS, Fraunhofer IML, Fraunhofer ISST und Fraunhofer ITWM. Zu den Themenbereichen der Allianz zählen Betriebs- und Geschäftsmodelle, Prozessmanagement, Ressourcenplanung, Anwendungsentwicklung, Life Cycle Management für Cloud Services und Umgebungen.
Quelle: Fraunhofer IAO
>> https://www.cloud.fraunhofer.de/de/faq/publicprivatehybrid.html
>> zurück zur Übersicht
Web-Links
>> www.sophos.com
>> www.cloud.fraunhofer.de
// [10714]
