Cloud Security Teil 2: Sicherheitsrisiko Cloud Computing Angriffsarten und Angreifertypen in Cloud-Computing-Systemen

Autor / Redakteur: Angelika Ruppel (Fraunhofer SIT) / Peter Schmitz

Angriffe auf Webanwendungen sind keine Seltenheit und auch Cloud-Computing-Systeme sind nicht davor geschützt. Neben passiven und aktiven Angriffen auf Cloud-Computing-Systeme kann man Gefahren zusätzlich zwischen internen und externen Bedrohungen unterscheiden. Security-Insider.de zeigt Ihnen die Angriffsarten und die Angreifertypen, die eine Bedrohung für Cloud-Systeme darstellen und demonstriert Best-Practice-Ansätze, die Kunden und Cloud-Anbieter anwenden sollten.

Firmen zum Thema

Cloud-Systeme sind ein interessantes Ziel für Angreifer, da dort große Mengen sensibler Daten lagern. Konsumenten und Anbieter müssen sich also umso mehr vor Angriffen schützen.
Cloud-Systeme sind ein interessantes Ziel für Angreifer, da dort große Mengen sensibler Daten lagern. Konsumenten und Anbieter müssen sich also umso mehr vor Angriffen schützen.
( Archiv: Vogel Business Media )

Passive Angriffe zeichnen sich dadurch aus, dass der Angreifer Informationen erlangt, ohne in das IT-System einzugreifen. Ein Beispiel hierfür ist das Mithören bzw. Mitschneiden von Informationen über das Netzwerk. Da der Angreifer nicht aktiv in das IT-System eingreift, sondern nur passiv zuhört, ist es sehr schwer einen solchen Angriff zu erkennen.

Um diese Arten von Angriffen zu verhindern müssen die übertragenen Daten verschlüsselt werden oder/und weitere Maßnahmen (z.B. keine Übertragung wichtiger Daten an den Cloud-Anbieter oder Ersetzen wichtiger Daten durch Platzhalter) eingesetzt werden, die das Mithören erschweren. Passive Angriffe bedrohen die Schutzziele Vertraulichkeit und Authentizität.

In Cloud-Computing-Systemen ist eine verschlüsselte Übertragung der Daten vom Konsumenten zum Anbieter weit verbreitet und sollte für alle Daten stets verwendet werden. Bestehen die Optionen einer unverschlüsselten und einer verschlüsselten Übertragung von Informationen, so kann beispielsweise durch entsprechende Firewall-Regeln eine SSL Verbindung über HTTPS erzwungen werden. Der verschlüsselte Kanal endet jedoch meist beim Übergang des öffentlichen in das private Netzwerk des Cloud-Anbieters. Im privaten Netzwerk des Cloud-Anbieters sind die Daten meist unverschlüsselt und werden häufig unverschlüsselt abgespeichert. Innerhalb der privaten Netzwerke des Anbieters sind ggf. passive Angriffe möglich, so dass der Anbieter Vorkehrungen, z.B. durch Isolierung des Datenverkehrs einzelner Benutzer, treffen sollte.

Seite 2: Aktive Angriffe: Gefährlich aber gut zu entdecken

Bei aktiven Angriffen tritt der Angreifer selbst in Erscheinung indem er z.B. Daten modifiziert oder löscht oder Sicherheitslücken bzw. die Verfügbarkeit von Diensten oder auch beteiligten Diensten sabotiert. Diese Angriffe können auffallen und Spuren hinterlassen, so dass eine Erkennung des Angriffs und vielleicht sogar des Angreifers möglich ist. Außerdem können aktive Angriffe als Vorbereitung für passive Angriffe eingesetzt werden, indem der Datenstrom z.B. so umgelenkt wird, dass der Angreifer daraufhin passiv mithören kann. Die Schutzziele Verfügbarkeit, Integrität und Authentizität sind durch aktive Angriffe bedroht.

Wichtig für die Erkennung aktiver Angriffe ist ein entsprechendes Security Monitoring auf Seiten des Anbieters und auch auf Seiten des Kunden. Technologien zur Erkennung von Angriffen sind bspw. Firewalls, Honeypots, IDS oder IPS.

Schutzmaßnahmen gegen interne und externe Angriffe

Zum Schutz vor passiven und aktiven Angriffen sollten regelmäßige Untersuchungen des Systems durchgeführt werden. Neben automatisierten Tests sollten auch manuelle Überprüfungen der Sicherheit eines Cloud-Computing-Systems durchgeführt werden, wie es bspw. das Sicherheitslabor des Fraunhofer SIT durchführt.

Angreifer können sowohl nach internen und externen Angreifern unterschieden werden, als auch nach ihrer Intention. Angriffe können z.B. aus Spaß, Interesse, Unzufriedenheit oder auch aus kommerziellen oder terroristischen Gründen erfolgen. Hierbei kann das Cloud-Computing-System als Werkzeug für die Ausführung eines Angriffs verwendet werden oder es ist das Ziel eines Angriffs.

Möchte ein Angreifer mit Hilfe von Botnetzen ein System angreifen, so kann er Cloud-Computing-Systeme sehr gut als Werkzeug benutzen, da sich hierfür eine Vielzahl von Ressourcen verwenden lassen können. Im Folgenden werden kurz interne und externe Angreifer und deren Intention beschrieben.

Seite 3: Bedrohung von innen: Mitarbeiter als interne Angreifer

Bedrohung von innen: Mitarbeiter als interne Angreifer

Zu den internen Angreifern gehören neben den (temporären oder externen) Mitarbeitern, Dienstleistern, Kooperationspartner oder Praktikanten des Cloud-Computing-Anbieters auch die Kunden des Cloud-Computing-Anbieters.

Mitarbeiter können verschiedene Intentionen haben, einen Cloud-Computing-Anbieter oder dessen Kunden zu schädigen, wie bspw. wegen Verärgerung, Unzufriedenheit oder weil dem Mitarbeiter gekündigt wurde. Aber auch durch Fremdmotivation, wie bspw. durch Erpressung oder Bestechung von außerhalb kann ein Mitarbeiter zum internen Angreifer werden.

Hat sich ein Mitarbeiter das Ziel gesetzt dem Cloud-Computing-Provider zu Schaden, so kann er dies durch diverse Maßnahmen herbeiführen. Beispiele hierfür sind die Modifikation oder das Herunterfahren von virtuellen Maschinen, Herunterfahren von Hosts, Löschung von Daten, Dekonnektierung wichtiger Netzelemente oder die Manipulation von Konfigurationsdateien.

Zum Schutz vor Angriffen sollte ein Cloud-Computing-Anbieter die Trennung von Funktionen und Rollen, sowie Sicherheitsrichtlinien einhalten. Die Umsetzung des 4-Augen-Prinzips, bei dem vor jedem Zugriff noch weitere Bestätigungen erforderlich sind, die von einer zweiten Person autorisiert werden müssen, kann ebenfalls hilfreich sein.

Kunden eines Cloud-Computing-Anbieters können diesem ebenfalls durch verschiedene Maßnahmen Schaden zufügen. Die Intention von Kunden kann ebenfalls sehr vielseitig sein: Verärgerung, Unzufriedenheit oder auch aus Spaß oder Interesse am Stören der Verfügbarkeit des Systems. Zu den Gefährdungen durch Angriffe von Kunden zählen bspw. die Übernahme der Kontrolle anderer virtueller Maschinen, Abhören von Kommunikationen zwischen virtuellen Maschinen, Zugriff auf das Dateisystem des Hosts oder unberechtigte Zugriffe auf Daten im Speicher.

Zum Schutz vor Angriffen auf die virtuellen Maschinen sollten sichere Hypervisoren eingesetzt werden und die Netze durch den Einsatz von VPNs, VLANs und Firewalls sicher getrennt und geschützt werden. Auch das Härten von Betriebssystemen und Anwendungen ist ein wichtiger Bestandteil, hierbei sollten nicht benötigte Funktionen entfernt werden. Ebenfalls ist die Trennung der Daten ein sehr wichtiger Aspekt, damit Kunden nicht auf Daten ihres „Nachbarn“ zugreifen können.

Seite 4: Bedrohung von Außen: Verschiedene Arten von externen Angreifern

Bedrohung von Außen: Verschiedene Arten von externen Angreifern

Unter den externen Angreifern existieren drei verschiedene Typen, die häufig verwechselt oder gar nicht erst unterschieden werden: die Hacker, die Cracker und die Script Kiddies. Diese Angreifer unterscheiden sich jedoch zum Teil sehr stark voneinander. Im Folgenden werden diese drei Typen und ihre Unterschiede beschrieben.

Unter der Bezeichnung Hacker werden Technikenthusiasten verstanden, die umfangreiche computertechnische Grundlagenkenntnisse besitzen und im Falle der Computersicherheit zusätzlich sicherheitstechnische Kenntnisse haben. Hacker sehen ihre Herausforderung in der Überwindung von Sicherheitsmechanismen, um Schwachstellen zu erkennen. Durch die Umgehung der Sicherheitsmechanismen können somit Zugriffe auf Netzwerke, Virtuelle Maschinen, gesicherte Komponenten oder fremde Dateien erlangt werden.

Im Gegensatz zu Crackern oder Script-Kiddies greifen Hacker ihre Ziele nicht an, sondern begnügen sich mit der Überwindung der Sicherheitsmechanismen, um deren Schwachstellen aufzuzeigen, trotzdem ist nicht zu vergessen, dass auch Hacker sich im rechtlich illegalen Bereich bewegen, wenngleich sie der Hacker-Ethik unterworfen sind, in der festgelegt ist was ein Hacker tun darf und was nicht.

Cracker können das gleiche Fähigkeitsniveau wie Hacker erreichen, jedoch geht es ihnen beim Angriff auf ein IT-System nicht darum Schwachstellen im System aufzuweisen, sondern sich einen Vorteil zu verschaffen oder Chaos zu stiften. Vorteile kann er sich z.B. verschaffen, wenn er sich Zugriff auf Cloud-Ressourcen oder Cloud-Services ermöglicht, ohne deren Verbrauch bezahlen zu müssen.

Der Cracker handelt wie der Hacker, jedoch stehen hier die kommerziellen Interessen des Crackers im Vordergrund und dessen krimineller Hintergrund. Durch Angriffe auf Webserver, Veränderung von Daten und DoS-Angriffe versucht der Cracker Schaden am Cloud-Computing-System anzurichten. Durch DoS-Angriffe kann die Verfügbarkeit des Cloud-Computing-Systems soweit verringert werden, dass weitere Kunden des Anbieters keinen Zugriff mehr auf ihre Dienste haben.

Der dritte Typ sind die Script-Kiddies, diese sind im Vergleich zu Hackern und Crackern unerfahren und können die wenigsten Kenntnisse von Computern und deren Sicherheitsmechanismen vorweisen. Meist führen sie ihre Angriffe rein zufällig und unter Verwendung von Skripten oder gebrauchsfertigen Softwareprogrammen durch, deren Funktionsweise sie nicht kennen und deren Folgen sie sich nicht bewusst sind.

Daten in der Cloud entziehen sich der direkten Kontrolle des eigentlichen Besitzers, so dass die beschriebenen Arten von Angriffen ein ernstzunehmendes Sicherheitsrisiko darstellen, dem mit den entsprechenden Technologien begegnet werden muss. Kunden müssen sich ebenfalls bewusst machen, dass Angriffe nicht nur von außerhalb stattfinden, sondern auch intern in einem Cloud-Computing-System stattfinden können.

(ID:2043746)