Zukunftsgerichtete Ansätze für Sicherheit in der Cloud

Der Paradigmenwechsel hin zu Cloud Computing hat neue Konzepte hervorgebracht, die den Infrastrukturwandel und die Sicherheitsbedürfnisse von Unternehmen auf technischer und Prozessebene berücksichtigen – weg vom reinen Perimeterschutz. Oder, wie es Raffael Peluso zusammenfasst: «In Multi-Cloud-Umgebungen rücken die Prozesse an den Schnittstellen der Zusammenarbeit zwischen verschiedenen Bereichen ins Zentrum.» Die wichtigsten Ansätze:

• DevSecOps (Development, Security, Operations) bringt die agile Entwicklung und Pflege von Applikationen mit Sicherheitsmassnahmen und dem Betrieb zusammen. Das bedeutet, dass Security in jede Phase des Software-Lifecycles integriert ist und das entsprechende Testing automatisiert erfolgt innerhalb der CI/CD-Pipeline. Die Prüfung umfasst Applikations-Code und IaC (Infrastructure as Code, automatisierte Konfiguration von Ressourcen). Dieser auch als «shift left» bezeichnete Prozess stellt auch bei kurzen Entwicklungs- und Deployment-Zyklen die Einhaltung der Security-Vorgaben sicher. Zudem hilft DevSecOps, die Security Awareness bei den IT-Fachleuten zu verbessern, weil IT-Sicherheit fester Bestandteil jedes Prozessschrittes wird.
• Cloud Workload Protection (CWP) schützt VMs und Container im laufenden Betrieb. CWP umfasst dabei sowohl den Schutz vor Cyberattacken als auch ein Monitoring allfälliger Sicherheitslücken und sorgt damit für Cloud-übergreifende Transparenz über den Sicherheitszustand der Workloads.
• Cloud Security Posture Management (CSPM) stellt gewissermassen die Compliance-Ebene zu CWP dar. Während sich CWP um den technischen Schutz sorgt, prüft CSPM Workloads auf Konfigurationsfehler und die Einhaltung von Sicherheitsvorgaben (Policies). Das ermöglicht ein zentrales Monitoring der Compliance-Vorgaben.
• Cloud Infrastructure Entitlement Management (CIEM) kümmert sich um die zentrale und einheitliche Verwaltung von Identitäten und Berechtigungen in hybriden und Multi-Cloud-Umgebungen. Damit vereinfacht CIEM ein komplexes Identity- und Access-Management (IAM) über die unterschiedlichen Tools der verschiedenen Cloud-Anbieter hinweg.

Für Lösungen, die solche Security-Funktionalitäten kombinieren, hat das Marktforschungsunternehmen Gartner den Begriff «Cloud Native Application Protection Platform» (CNAPP) geprägt. CNAPP kombiniert traditionelle Sicherheitsmassnahmen wie Malware-Prüfung und Vulnerability Scanning mit Methoden, die die spezifischen Sicherheitsanforderungen in Cloud-Umgebungen jeglicher Art abdecken. Dazu zählen die oben erwähnten Ansätze wie DevSecOps, CWP oder CSPM.

Damit bietet CNAPP Unternehmen eine Plattform, um an zentraler Stelle technische und organisatorische Massnahmen zur Einhaltung der Compliance umzusetzen. Das schafft die nötige Transparenz und Visibilität für den sicheren Betrieb hybrider und Multi-Cloud-Umgebungen über Anbietergrenzen hinweg. Da CNAPP-Lösungen ohnehin Cloud-basiert sind, werden sie üblicherweise vom Anbieter oder einem MSSP als Service bezogen.

Grosser Vorteil von CNAPP ist, dass es als zentrale Plattform allen Nutzergruppen eine einheitliche Sicht bietet und alle auf dem gleichen, aktuellen Stand sind. Dadurch kann beispielsweise das Cloud-Infrastruktur- oder DevOps-Team sofort auf Fehlkonfigurationen reagieren. Und bei Security Events wird das Security Operations Center (SOC) alarmiert, das geeignete Massnahmen zur Reaktion auf einen allfälligen Incident trifft.

Zur besseren Erkennung von Schwachstellen und Fehlkonfigurationen setzen CNAPP-Lösungen vermehrt auf Machine Learning und andere Formen der künstlichen Intelligenz. Aufgrund der Dynamik im Markt für (generative) AI-getriebene Lösungen heisst es für Unternehmen, die Entwicklung zu beobachten. Und vor einem Entscheid abzuklären, ob die angebotene AI-Funktionalität effektiv die eigenen Bedürfnisse abdeckt.

Welche Sicherheitsmassnahmen in hybriden und Multi-Cloud-Umgebungen umgesetzt werden und wie lässt sich aus bewährten Vorgehensweisen für Cloud-Sicherheit ableiten. Grundsätzlich gelten diese Best Practices unabhängig von der Komplexität der Cloud-Landschaft. Technische Massnahmen wie Verschlüsselung, Klassifizierung von Daten, Multifaktor-Authentifizierung und dergleichen sind als Grundschutz ohnehin Pflicht. 

CNAPP bietet über den Grundschutz hinaus zusätzliche technische und organisatorische Schutzmassnahmen, wie sie in komplexen Cloud-Umgebungen benötigt werden. «DevSecOps ist entscheidend für die durchgängige Sicherheit», sagt dazu Raffael Peluso. «Dazu ein Security-Awareness-Training, das auch die IT-Fachleute mit einschliesst.»

Diese Massnahmen tragen dazu bei, einen ganzheitlichen Blick über die IT-Landschaft des Unternehmens zu erhalten. Im laufenden Betrieb schärft ein kontinuierliches Monitoring diesen Blick, beispielsweise mit Cloud Workload Protection. Dazu kommt die Überprüfung der Massnahmen, so Raffael Peluso: «Mit einem kontinuierlichen Monitoring und regelmässigen Audits erkennen Unternehmen Abweichungen und schaffen Transparenz in der Cloud-Umgebung.» Damit gelingt es Unternehmen, in verschiedenen Wolkenstrukturen nicht nur eine Herausforderung zu sehen, sondern den gewünschten Nutzen daraus zu ziehen. 

Lesen Sie im ersten Artikel, mit welchen Herausforderungen bei der Datensicherheit in hybriden und Multi-Cloud-Umgebungen sich CISOs beschäftigen müssen. Laden Sie jetzt beide Artikel herunter.