Beispiele für einen unautorisierten Zugriff auf Cloud-Server-Daten waren vor einiger Zeit die persönlichen Daten von mehr als 10,6 Millionen Hotelgästen der MGM-Ressorts, die in einem Hacking-Forum veröffentlicht wurden. Sophos zeigt geeignete Maßnahmen auf, die Unternehmen ergreifen können, um nicht Opfer eines Angriffs auf die Public Cloud zu werden. Wichtig ist hierbei insbesondere auch, zu wissen, für welche sicherheitsrelevanten Aspekte Unternehmen beim Speichern von Daten in der Public Cloud selbst verantwortlich sind.
Public-Cloud-Anbieter wie AWS, Azure und Google bieten Kunden ein hohes Maß an Flexibilität bei der Erstellung ihrer Cloud-Umgebungen. Eine Konsequenz all dieser Flexibilität ist jedoch, dass die Anbieter die virtuellen Netzwerke, virtuellen Maschinen oder Daten ihrer Kunden in der Cloud nicht vollständig schützen können. Stattdessen führen sie ein Shared Responsibility-Modell aus – sie gewährleisten die Sicherheit der Cloud, während die Unternehmen als Kunden wiederum für alles verantwortlich sind, was sie in der Cloud platzieren.
Aspekte wie der physische Schutz im Rechenzentrum, die virtuelle Trennung von Kundendaten und Umgebungen – all dies wird von den Public-Cloud-Anbietern erledigt.
Sicherlich erhalten Unternehmen einige grundlegende Empfehlungen, etwa den Firewall-Typ, um den Zugriff auf ihre Umgebung zu regeln. Wenn diese jedoch nicht richtig konfiguriert wird, und beispielsweise Ports für die ganze Welt offenstehen, liegen Problem wie auch Verantwortung beim Kunden selbst. Es ist also wichtig, sich klar zu machen, wofür man selbst verantwortlich ist und entsprechend zu handeln.
Sophos beschreibt fünf Schritte, die das Risiko eines Cloud-basierten Angriffs minimieren und Daten in der Cloud schützen können.
Schritt 1: Anwenden von lokalen Sicherheitskenntnissen
Die Sicherheit vor Ort ist das Ergebnis jahrzehntelanger Erfahrung und Forschung. Wenn Cloud-basierte Server vor Infektionen und Datenverlust geschützt sein sollen, macht es Sinn, geeignete Sicherheitsmechanismen aus der traditionellen Infrastruktur auch für die Cloud anzupassen:
Hier sind Lösungen wie die Sophos XG Firewall hilfreich, die Cloud- und Hybridumgebungen schützen. Mit vorkonfigurierten virtuellen Maschinen in Azure und AWS können sie schnell einsatzbereit sein.
Lösungen mit Künstlicher Intelligenz wie etwa Sophos Intercept X für Server schützen AWS- und Azure-Workloads vor den neuesten Bedrohungen.
Unternehmen sollten sicherstellen, dass die Endpunkt- und E-Mail-Sicherheit auf allen Geräten auf dem neuesten Stand sind, um den unbefugten Zugriff auf Cloud-Konten zu verhindern.
Schritt 2: Identifizieren aller Cloud-Assets
Wenn man Daten in der Public Cloud nicht sehen kann, kann man diese auch nicht sichern. Aus diesem Grund ist einer der wichtigsten Faktoren für die Cloud-Sicherheit die komplette Sichtbarkeit der Infrastruktur und des Verkehrsflusses. Auf diese Weise können Anomalien im Verkehrsverhalten identifiziert werden, z. B. Datenexfiltration.
Schritt 3: Erstellen eines vollständigen Inventars
Wichtig ist ein vollständiges Inventar des gesamten Cloud-Umgebung, einschließlich Server- und Datenbankinstanzen, Speicherdiensten, Datenbanken, Containern und Funktionen ohne Server.
Neben dem Inventar sollten auch Schwachstellen beleuchtet werden. Mögliche Risikobereiche sind:
Benutzerrollen, Berechtigungen und der rollenbasierte Zugriff auf Cloud-Dienste muss aktiv verwaltet werden. Das Ausmaß und die Verflechtung des Zugriffs von Einzelpersonen und Gruppen auf Dienste stellen eine enorme Herausforderung dar und Angreifer werden diese Sicherheitslücke ausnutzen.
Unternehmen sollten sicherstellen, dass sie über alle Zugriffstypen und deren Rechte zu Cloud-Diensten detailliert Bescheid wissen. So kann ein überprivilegierter Zugriff identifiziert werden, um die Richtlinien entsprechend anzupassen. Wenn ein Hacker diese Anmeldeinformationen erst einmal erhalten hat, kann er weit und breit in Cloud-Konten nach vertraulichen Daten suchen.
Schritt 5: Überwachen des Netzwerkverkehrs
Die kontinuierliche Suche nach verräterischen Anzeichen für eine Verletzung im Netzwerkverkehr ist wichtig. Ungewöhnliche Lastspitzen sind ein Schlüsselindikator für die Datenexfiltration.
Aufgrund der Dynamik In der Cloud sind Verkehr und Ressourcen jedoch häufig sehr dynamisch, sodass selbst Experten Schwierigkeiten haben können, alle Datenbewegungen zu verfolgen und einzuschätzen. Die Künstliche Intelligenz (KI) ist hilfreich, um ein Bild davon zu erstellen, was „normaler“ Datenverkehr ist. Wenn Aktivitäten außerhalb von „normal“ stattfinden, kann die KI sofort auf ungewöhnliches und möglicherweise böswilliges Verhalten aufmerksam machen oder sogar automatisiert reagieren.
Mit Tools wie Sophos Cloud Optix können sehr einfach alle Cloud-Datenbanken und Workloads angezeigt werden. Außerdem lassen sich potenzielle Schwachstellen in der Architektur identifizieren und damit potenzielle Sicherheitslücken vermeiden.
Public-Cloud-Anbieter wie AWS, Azure und Google bieten Kunden ein hohes Maß an Flexibilität bei der Erstellung ihrer Cloud-Umgebungen. Eine Konsequenz all dieser Flexibilität ist jedoch, dass die Anbieter die virtuellen Netzwerke, virtuellen Maschinen oder Daten ihrer Kunden in der Cloud nicht vollständig schützen können. Stattdessen führen sie ein Shared Responsibility-Modell aus – sie gewährleisten die Sicherheit der Cloud, während die Unternehmen als Kunden wiederum für alles verantwortlich sind, was sie in der Cloud platzieren.
Aspekte wie der physische Schutz im Rechenzentrum, die virtuelle Trennung von Kundendaten und Umgebungen – all dies wird von den Public-Cloud-Anbietern erledigt.
Sicherlich erhalten Unternehmen einige grundlegende Empfehlungen, etwa den Firewall-Typ, um den Zugriff auf ihre Umgebung zu regeln. Wenn diese jedoch nicht richtig konfiguriert wird, und beispielsweise Ports für die ganze Welt offenstehen, liegen Problem wie auch Verantwortung beim Kunden selbst. Es ist also wichtig, sich klar zu machen, wofür man selbst verantwortlich ist und entsprechend zu handeln.
Sophos beschreibt fünf Schritte, die das Risiko eines Cloud-basierten Angriffs minimieren und Daten in der Cloud schützen können.
Schritt 1: Anwenden von lokalen Sicherheitskenntnissen
Die Sicherheit vor Ort ist das Ergebnis jahrzehntelanger Erfahrung und Forschung. Wenn Cloud-basierte Server vor Infektionen und Datenverlust geschützt sein sollen, macht es Sinn, geeignete Sicherheitsmechanismen aus der traditionellen Infrastruktur auch für die Cloud anzupassen:
- Firewall der nächsten Generation
Hier sind Lösungen wie die Sophos XG Firewall hilfreich, die Cloud- und Hybridumgebungen schützen. Mit vorkonfigurierten virtuellen Maschinen in Azure und AWS können sie schnell einsatzbereit sein.
- Server-Host-Schutz
Lösungen mit Künstlicher Intelligenz wie etwa Sophos Intercept X für Server schützen AWS- und Azure-Workloads vor den neuesten Bedrohungen.
- Endpunktsicherheit und E-Mail-Schutz
Unternehmen sollten sicherstellen, dass die Endpunkt- und E-Mail-Sicherheit auf allen Geräten auf dem neuesten Stand sind, um den unbefugten Zugriff auf Cloud-Konten zu verhindern.
Schritt 2: Identifizieren aller Cloud-Assets
Wenn man Daten in der Public Cloud nicht sehen kann, kann man diese auch nicht sichern. Aus diesem Grund ist einer der wichtigsten Faktoren für die Cloud-Sicherheit die komplette Sichtbarkeit der Infrastruktur und des Verkehrsflusses. Auf diese Weise können Anomalien im Verkehrsverhalten identifiziert werden, z. B. Datenexfiltration.
Schritt 3: Erstellen eines vollständigen Inventars
Wichtig ist ein vollständiges Inventar des gesamten Cloud-Umgebung, einschließlich Server- und Datenbankinstanzen, Speicherdiensten, Datenbanken, Containern und Funktionen ohne Server.
Neben dem Inventar sollten auch Schwachstellen beleuchtet werden. Mögliche Risikobereiche sind:
- Datenbanken mit Ports, die für das öffentliche Internet geöffnet sind und auf die Angreifer zugreifen können
- Öffentlich Cloud-Speicherdienste
- Öffentliche virtuelle Festplatte/Laufwerke sowie Elastic Search-Domänen
Benutzerrollen, Berechtigungen und der rollenbasierte Zugriff auf Cloud-Dienste muss aktiv verwaltet werden. Das Ausmaß und die Verflechtung des Zugriffs von Einzelpersonen und Gruppen auf Dienste stellen eine enorme Herausforderung dar und Angreifer werden diese Sicherheitslücke ausnutzen.
Unternehmen sollten sicherstellen, dass sie über alle Zugriffstypen und deren Rechte zu Cloud-Diensten detailliert Bescheid wissen. So kann ein überprivilegierter Zugriff identifiziert werden, um die Richtlinien entsprechend anzupassen. Wenn ein Hacker diese Anmeldeinformationen erst einmal erhalten hat, kann er weit und breit in Cloud-Konten nach vertraulichen Daten suchen.
Schritt 5: Überwachen des Netzwerkverkehrs
Die kontinuierliche Suche nach verräterischen Anzeichen für eine Verletzung im Netzwerkverkehr ist wichtig. Ungewöhnliche Lastspitzen sind ein Schlüsselindikator für die Datenexfiltration.
Aufgrund der Dynamik In der Cloud sind Verkehr und Ressourcen jedoch häufig sehr dynamisch, sodass selbst Experten Schwierigkeiten haben können, alle Datenbewegungen zu verfolgen und einzuschätzen. Die Künstliche Intelligenz (KI) ist hilfreich, um ein Bild davon zu erstellen, was „normaler“ Datenverkehr ist. Wenn Aktivitäten außerhalb von „normal“ stattfinden, kann die KI sofort auf ungewöhnliches und möglicherweise böswilliges Verhalten aufmerksam machen oder sogar automatisiert reagieren.
Mit Tools wie Sophos Cloud Optix können sehr einfach alle Cloud-Datenbanken und Workloads angezeigt werden. Außerdem lassen sich potenzielle Schwachstellen in der Architektur identifizieren und damit potenzielle Sicherheitslücken vermeiden.
