Einführung in das Cloud Hardening

Die Speicherung sensibler Daten in der Cloud erweitert Ihre Angriffsfläche erheblich — und Gegner nutzen die Möglichkeiten, die die Cloud-Adoption bietet. Tatsächlich hat eine 2022 Netwrix survey eine 10%ige Zunahme von Angriffen auf die Cloud-Infrastruktur festgestellt.

Cloud-Härtung ist der Prozess der Risikominderung für Ihre Cloud-Systeme durch das Einrichten und Aufrechterhalten sicherer Konfigurationen und das Identifizieren und Minderung anderer Schwachstellen. Erfahren Sie, warum Cloud-Härtung sowohl für die Sicherheit als auch für die Einhaltung von Vorschriften unerlässlich ist und welche die größten Bedrohungen in der Cloud heute sind. Entdecken Sie dann die Schritte, die Sie unternehmen müssen, um Ihre Cloud zu härten, unabhängig von Ihrem Bereitstellungsmodell (IaaS, PaaS oder SaaS) oder Cloud-Typ (öffentlich, privat oder hybrid).

Wie Cloud-Härtung die Sicherheit erhöht

Cloud-Härtung beinhaltet die Sicherung der Konfiguration und Einstellungen Ihres Systems, um IT-Schwachstellen zu reduzieren und das Risiko eines Kompromisses zu verringern. Ein wichtiger Schritt beim Härtungsprozess ist es, alle nicht wesentlichen Komponenten aus den Systemen zu entfernen. Indem Sie nicht wesentliche Programme, Kontofunktionen, Anwendungen, Ports, Berechtigungen und Zugänge entfernen, bieten Sie Angreifern und Malware weniger Möglichkeiten, in Ihre Cloud-Umgebung einzudringen.

Beachten Sie jedoch, dass das Härten der Cloud kein einmaliges Ereignis ist – Sie müssen ständig auf Abweichungen von Ihren Sicherheitskonfigurationen achten sowie regelmäßig Ihre Grundlinien überprüfen und aktualisieren, da sich die Bedrohungslandschaft verändert und sich die besten Praktiken weiterentwickeln.

Natürlich ist die Absicherung der Cloud nur ein Teil einer umfassenderen Sicherheitsstrategie, die auch die Implementierung von Tools umfassen sollte, um potenzielle Bedrohungen umgehend zu erkennen und darauf zu reagieren, sowie sicherzustellen, dass Systeme nach einem Vorfall schnell wiederhergestellt werden können.

Wie Cloud-Härtung bei der Einhaltung von Compliance hilft

Regierungen weltweit haben Vorschriften erlassen, die Standards für Data Security beinhalten — diese gelten unabhängig davon, wo die Daten gehostet werden. Hier sind die wichtigsten, die man kennen sollte:

• HIPAA (Health Information Portability and Accountability) ist ein US-Standard zum Schutz von geschützten Gesundheitsinformationen (PHI). Die Abschnitte Security Rule und Privacy Rule geben Zugriffsmaßnahmen und Richtlinien für elektronische Gesundheitstransaktionen vor und verpflichten Gesundheitsorganisationen, Sicherheitsverletzungen zu melden.
• PCI DSS (Payment Card Industry Data Security Standard) dient dem Schutz von Karteninhaberdaten. Er umfasst Anforderungen an die Multi-Faktor-Authentifizierung (MFA) und Datenverschlüsselung und verlangt von den betroffenen Organisationen, Penetrationstests zur Verbesserung der Sicherheit durchzuführen.
• FERPA (Family Educational Rights and Privacy Act) befasst sich mit dem Datenschutz und der Sicherheit von Schülerdaten, einschließlich personenbezogener Daten (PII). Die FERPA-Anforderungen umfassen Themen wie die Verschlüsselung, Verwendung, Weitergabe und Vernichtung von Daten.
• GDPR (Datenschutz-Grundverordnung) ist eine Norm der Europäischen Union, die für Organisationen überall gilt, die Informationen von EU-Bürgern speichern oder verarbeiten. Ihre Bestimmungen betreffen die Datenspeicherung, Nutzung, Aufbewahrung, Zugriff und mehr. 
• SOX (Sarbanes-Oxley Act von 2002) hilft dabei, die Öffentlichkeit vor unternehmerischem Fehlverhalten zu schützen, indem es alle US-amerikanischen börsennotierten Unternehmen dazu verpflichtet, das Risiko von betrügerischen Buchhaltungs- und Finanzaktivitäten zu mindern. Unter anderem legt SOX die Verpflichtungen bezüglich der Datenintegrität, der Prüfung, der Zugriffskontrolle und der Änderungskontrolle fest. 
• FISMA (Federal Information Security Management Act) verlangt von US-Bundesbehörden, Vermögenswerte und Informationen zu schützen, indem sie einen Sicherheitsplan erstellen, umsetzen und einhalten, der jährlich überprüft werden muss. Darüber hinaus fordert das Gesetz, dass die betroffenen Behörden nur Datenzentren — einschließlich Cloud-Anbieter — nutzen, die FISMA-konform sind.
• ISO 27017 ist ein Unterabschnitt von ISO 27000, der Richtlinien bezüglich der Informationssicherheitskontrollen bereitstellt, die auf die Bereitstellung und Nutzung von Cloud-Diensten anwendbar sind. Er behandelt Themen wie gemeinsame Rollen und Verantwortlichkeiten, die Absicherung von virtuellen Maschinen und die Ausrichtung des Sicherheitsmanagements für physische und virtuelle Netzwerke.

Neben Gesetzen müssen Organisationen möglicherweise (oder wählen) ein Rahmenwerk für Cybersecurity-Kontrollen zu adoptieren. Insbesondere CCM (Cloud Controls Matrix) deckt kritische Aspekte der Cloud-Technologie in 17 Bereichen ab, wie Anwendungs- und Schnittstellensicherheit, Audit und Zusicherung, Änderungskontrolle und Konfigurationsmanagement sowie Bedrohungs- und Schwachstellenmanagement.

Obwohl eine Organisation mehreren Gesetzen unterliegen kann, basieren die meisten von ihnen auf denselben grundlegenden Best Practices, sodass dieselben Sicherheitskontrollen – wie Cloud-Härtung – Ihnen helfen können, gleichzeitig die Einhaltung vieler Vorschriften zu erreichen.

Top-Bedrohungen für die Sicherheit in der öffentlichen Cloud

Die Cloud-Sicherheitsbedrohungen, die Cybersicherheitsexperten laut einer Umfrage aus dem Jahr 2022, am meisten Sorgen bereiten, sind:

• Fehlkonfiguration von Cloud-Plattformen (62%)
• Datenexfiltration (51%)
• Unsichere APIs und andere Schnittstellen (52%)
• Unbefugter Zugriff (50%)
• Entführung von Diensten, Konten oder Datenverkehr (44%)
• Externe Datenfreigabe (39%)
• Cyberangriffe, die von ausländischen Staaten gesponsert werden (37%)

Hardening in verschiedenen Cloud-Modellen

Die Absicherung der Cloud wird immer empfohlen. Allerdings variiert die Aufteilung der Verantwortung zwischen Ihrer Organisation und dem Cloud-Dienstanbieter (CSP) für deren Implementierung je nach Cloud-Modell: IaaS, PaaS oder SaaS.

Infrastructure as a Service (IaaS)

IaaS involves renting basic infrastructure components from a CSP, such as virtual machines on Azure or EC2, or EBS on AWS. With IaaS, cloud hardening is mostly in your hands. While the CSP) will handle physical security and firmware updates, you are responsible for the configuration of your provisioned virtual components. In particular, you are responsible for:

• Identity and Daten-Governance, einschließlich Benutzerzugriffsmanagement und Änderungskontrolle
• Konfigurieren und Absichern von Betriebssystemen
• Datenverschlüsselung
• Anwendungsebene-Einstellungen
• Zugriffskontrollen im Netzwerk sowohl auf Netzwerkebene als auch auf der Ebene einzelner Komponenten
• Sicherheitstests
• Auditierung und Protokollierung

PaaS (Platform as a Service)

Im PaaS-Modell kontrolliert die Organisation die Plattform und Ausführungsressourcen, um Anwendungen zu entwickeln, zu testen und zu implementieren. Beispiele hierfür sind Red Hat OpenShift, AWS Elastic Beanstalk und Google App Engine.

In diesem Cloud-Betriebsmodell ist der CSP verantwortlich für das Absichern des Betriebssystems, der Middleware und der Laufzeitumgebung, da diese vom CSP verwaltet werden. Ihre Organisation ist jedoch weiterhin verantwortlich für:

• Identitäts- und Daten-Governance, einschließlich Benutzerzugriffsmanagement und Änderungskontrolle
• Schutz von Clients und Endpunkten
• Netzwerksteuerungen auf Netzwerkebene
• Anwendungsebene-Einstellungen
• Sicherheitstests
• Auditierung und Protokollierung

SaaS (Software as a Service)

Im SaaS-Modell, zu dem Microsoft 365 und Salesforce gehören, werden alle Komponenten vom CSP verwaltet, was noch mehr Verantwortung auf sie überträgt. Die Verantwortung Ihrer Organisation ist jedoch nicht unbedeutend; sie umfasst die Konfiguration:

• Benutzerkonten und Zugriffsverwaltungsregeln
• Anwendungsebene-Einstellungen
• Protokollierung und Auditing

Cloud-Bereitstellungsmodelle

Ihre Wahl des cloud deployment model — privat, öffentlich oder hybrid — beeinflusst auch Ihre Planung der Cloud-Sicherheit.

Private Cloud

Eine private Cloud dient einer einzelnen Organisation, wobei die Dienste in einem privaten Netzwerk aufrechterhalten werden. Dadurch hat Ihre Organisation die volle Kontrolle über die Infrastruktur. Dieses Bereitstellungsmodell bietet umfangreiche Flexibilität und Anpassungsmöglichkeiten, erfordert jedoch auch mehr Ressourcen und Fachwissen für die Verwaltung und Instandhaltung.

Da Sie der Eigentümer sind, tragen Sie die vollständige Verantwortung für Folgendes:

• Bereitstellung und Wartung von Hardware und Software
• Gewährleistung der physischen Sicherheit Ihrer Infrastruktur
• Implementierung geeigneter Sicherheitskontrollen zum Schutz vor Bedrohungen und Angriffen

Öffentliche Cloud

In einem Public-Cloud-Modell besitzt und betreibt ein CSP die gesamte unterstützende Infrastruktur und Software, und die Dienste werden über das Internet bereitgestellt. Da eine öffentliche Cloud als Multi-Tenant-Umgebung betrieben wird, bietet sie in der Regel niedrigere Kosten und eine bessere Skalierbarkeit als eine private Cloud. Allerdings hat Ihre Organisation weniger Kontrolle über die Infrastruktur und ist von den Sicherheitsmaßnahmen abhängig, die vom Anbieter implementiert werden.

Dementsprechend müssen Sie sicherstellen, dass die Sicherheitszusagen und die regulatorische Konformität des CSP mit Ihren Sicherheits- und Compliance-Anforderungen übereinstimmen. Insbesondere liegt es an Ihnen zu:

• Untersuchen Sie die Sicherheitszusagen des Anbieters gründlich
• Lesen und verstehen Sie die Prüfungs- und regulatorischen Compliance-Anforderungen des CSP
• Verstehen Sie klar die Aufteilung der Verantwortlichkeiten.

Hybrid Cloud

Eine Hybrid-Cloud ist eine Kombination aus öffentlichen und privaten Clouds. Nicht überraschend kann sie daher am komplexesten zu sichern sein. Insbesondere müssen Sie neben der Verwaltung der Sicherheitsbedenken für jeden Cloud-Typ sicherstellen, dass konsistente Sicherheitsrichtlinien über alle Ihre Clouds hinweg angewendet werden und dass jede Änderung der Sicherheitslage in einer Cloud auf die anderen Clouds repliziert wird. Wenn es beispielsweise eine Sicherheitsänderung an einem in Ihrer privaten Cloud verwendeten Image gibt, wird diese Änderung dann auch an die öffentliche Cloud weitergegeben?

Empfehlungen für das Cloud-Hardening

Verwenden Sie CIS Benchmarks

Um Organisationen dabei zu helfen, sichere Konfigurationen zu etablieren, bietet das Center of Internet Security (CIS) die CIS benchmarks. Diese Sicherheitskonfigurationsanleitungen umfassen eine breite Palette von Technologien, einschließlich Betriebssystemen, Netzwerkgeräten, Servern und Desktop-Software — sowie Cloud-Anbieter. Durch die Implementierung der CIS benchmarks können Sie konfigurationsbasierte Sicherheitsanfälligkeiten in Ihren digitalen Vermögenswerten reduzieren.

Ein hervorragender Einstieg ist es, die Server-Images Ihrer Organisation gemäß den CIS-Härtungsrichtlinien zu härten oder gehärtete Images von den AWS-, Azure- oder Google Cloud-Marktplätzen zu erwerben. Integrieren Sie dann Ihr Antivirus, Änderungserkennung und andere Sicherheitslösungen in die gehärteten Images.

Implementieren Sie bewährte Sicherheitspraktiken

Um Ihre Cloud-Umgebung weiter gegen Bedrohungen abzusichern, implementieren Sie die folgenden Praktiken:

• Least privilege — Gewähren Sie jedem Server die minimal notwendigen Berechtigungen und Privilegien, um seine vorgesehene Funktion auszuführen. Dies hilft, den Schaden zu begrenzen, der durch böswillige Akteure oder versehentliche Fehler verursacht werden könnte.
• Minimaler Zugriff — Beschränken Sie den Zugriff auf Cloud-Server aus dem Netzwerk und installieren Sie nur die erforderlichen Betriebssystemkomponenten und Anwendungen auf jeder Instanz. Dies erschwert es böswilligen Akteuren, Zugang zu sensiblen Informationen zu erlangen.
• Konfigurations- und Änderungsmanagement — Erstellen Sie eine Basis-Serverkonfiguration und verfolgen Sie alle Abweichungen von dieser Basis.
• Protokollierung der Überwachung — Konfigurieren Sie jedes Asset so, dass es Protokolldaten über alle Zugriffsversuche und alle Änderungen sicher generiert und speichert.
• Compliance-Audit und Berichterstattung — Implementieren Sie angemessene Sicherheitskontrollen und stellen Sie sicher, dass Sie Auditoren den Nachweis der Compliance erbringen können.
• Vulnerability Management— Bewerten Sie regelmäßig Ihre Cloud-Umgebungen auf Schwachstellen und wenden Sie Sicherheitspatches und Updates umgehend an.
• Netzwerksegmentierung — Teilen Sie Cloud-Umgebungen in kleinere, isolierte Segmente auf, um die potenzielle Auswirkung eines Sicherheitsvorfalls zu begrenzen.
• Verschlüsselung — Verschlüsseln Sie Daten im Ruhezustand und Daten während der Übertragung, um sie vor unbefugtem Zugriff zu schützen.

Fazit

Die Vorteile von Cloud-Diensten sind erheblich, einschließlich Kosteneinsparungen, einfacher Skalierbarkeit und leistungsstarker Funktionalität. Aber Sie müssen immer noch die Sicherheit Ihrer Daten und Anwendungen gewährleisten. Mit den oben genannten Informationen können Sie Ihrer Organisation helfen, ihre Cloud-Umgebungen besser abzusichern, um das Geschäftswachstum voranzutreiben.

FAQs

1. Wie härten Sie die Cloud-Infrastruktur?

Sichern Sie Systemkonfigurationen und -einstellungen, um ihre Anfälligkeit für Kompromittierungen zu verringern. Entfernen Sie alle nicht unbedingt notwendigen Softwareprogramme und Dienstprogramme, um die Möglichkeiten für Angreifer zu reduzieren, in Ihre Systeme einzudringen.

2. Was sind Techniken zur Netzwerk-Härtung?

Zu den grundlegenden Sicherheitsbest Practices gehören der geringstmögliche Zugriff, das Prinzip der geringsten Rechte, Konfigurationsmanagement, Änderungsmanagement und Überwachung & Protokollierung.

3. Was ist Host-Härtung in der Sicherheit?

Die Absicherung von Hosts beinhaltet das Entfernen von nicht wesentlichen Komponenten, Programmen, Konten, Anwendungen, Diensten, Ports, Berechtigungen und Zugriffen von einem Host, um dessen Schwachstellen zu verringern. Die Absicherung von Hosts kann auch Folgendes umfassen:

• Unnötige Netzwerkdienste abschalten und Authentifizierung für alle beibehaltenen Dienste durchsetzen.
• Installation und Konfiguration einer Host-Firewall.
• Anwendungen nur Benutzern zur Verfügung stellen, die sie benötigen und nur dann, wenn sie sie benötigen.
• Benutzer sollten mit niedrigeren Privilegien arbeiten und höhere Privilegien nur bei Bedarf erhalten.
• Regelmäßiges Testen von Systemen auf Schwachstellen und deren Behebung.
• Durchsetzung starker Passwörter und Passwortrotation.
• Automatisierung regelmäßiger Sicherheitsupdates und -upgrades.

4. Was sind die Vorteile von Cloud-Härtung?

Cloud-Härtung bietet eine Vielzahl von Vorteilen, einschließlich:

• Reduzierung der Angriffsfläche Ihrer Cloud-Infrastruktur
• Verbesserung der allgemeinen Sicherheitslage Ihrer Organisation
• Hilft dabei, die Einhaltung von Vorschriften und Standards sicherzustellen
• Minimierung des Risikos von data breaches und unbefugtem Zugriff
• Senkung der Kosten für Sicherheitsvorfälle und mögliche Compliance-Strafen
• Verbesserung der Effizienz und Leistung von Cloud-basierten Systemen

5. Wie oft sollte das Cloud-Härten durchgeführt werden?

Die Absicherung der Cloud sollte regelmäßig als Teil eines fortlaufenden Sicherheits- und Compliance-Programms durchgeführt werden. Es ist wichtig, Ihre Sicherheitskonfiguration und -praktiken regelmäßig zu überprüfen und zu aktualisieren, um sicherzustellen, dass Ihre Cloud-Infrastruktur sicher bleibt.