Cloud-native Sicherheitsmaßnahmen Cloud-native Sicherheit von Anfang an planen

Anbieter zum Thema

FTAPI Software GmbH

Cloud-native Anwendungen stehen hinter den Erfolgsgeschichten der digitalen Transformation auf der ganzen Welt, und das aus gutem Grund. Der Cloud-Native-Ansatz bietet viele Vorteile, kann aber auch Risiken bergen. Deshalb lohnt es sich, von Anfang an über Cloud-native Sicherheit nachzudenken.

Schätzungen zufolge konzentrieren sich bereits 75 Prozent der Unternehmen auf die Entwicklung von Cloud-nativen Anwendungen und sehen darin viele Vorteile. Mit einem Cloud-Native-Ansatz können Unternehmen Kosten senken, Wachstum und Innovation vorantreiben und Software schneller auf den Markt bringen. Gleichzeitig bewahren sie die nötige Agilität, um mit den sich permanent ändernden geschäftlichen Bedingungen Schritt zu halten.

Der Cloud-Native-Ansatz bietet viele Vorteile, kann aber auch Risiken bergen. Der Übergang zu einem Cloud-, Hybrid-Cloud- oder Multi-Cloud-Ansatz eröffnet Cyberkriminellen neue Angriffsvektoren. Stark beanspruchte Sicherheitsteams können auch mit weiteren Herausforderungen konfrontiert werden, die von der Umsetzung unternehmensweiter Richtlinien bis hin zu Budgetbeschränkungen reichen. Viele Unternehmen sind der Ansicht, dass sich die Angriffsfläche ihres Unternehmens durch die Umstellung auf die Cloud erheblich vergrößert hat. 59 Prozent sind sogar der Meinung, dass ihr Unternehmen durch die Umstellung insgesamt unsicherer geworden ist.

Um diese Herausforderungen zu meistern, müssen sich die Unternehmen auf die vier Cs der Cloud-nativen Sicherheit konzentrieren: Sie müssen sicherstellen, dass Sicherheitsmaßnahmen auf jeder Ebene implementiert werden, mit Anbietern von Open-Source-Lösungen und -Plattformen zusammenarbeiten, um sich auf technische Stacks zu stützen, die diese Maßnahmen effizient und konsistent über ihr gesamtes Cloud-natives Ökosystem hinweg umsetzen. Auf diese Weise können sie einige der häufigsten Probleme angehen, die wir überall sehen, und gleichzeitig wachsen und Cloud-nativ bleiben.

Was sind die vier Cs der Cloud-nativen Sicherheit?

Cloud, Cluster, Container und Code, wie im Kubernetes cloud native-Sicherheitsmodell definiert, bilden die vier C’s. Zusammen schützen sie die Cloud-Ressourcen mit einem mehrschichtigen Verteidigungsansatz.

Was die Cloud-Ebene betrifft, so sind die Anbieter von Cloud-Services für die Sicherung der Infrastruktur verantwortlich, die die Cloud-Umgebung unterstützt. Es ist Aufgabe des Unternehmens, die Cloud-Dienste zu konfigurieren, einschließlich der Anmeldedaten und Automatisierungseinstellungen, um die Sicherheit des Dienstes zu gewährleisten. Typische Sicherheitsprobleme, die die Cloud-Ebene betreffen, sind Fehlkonfigurationen und automatisierte Angriffe. Angreifer können Fehlkonfigurationen ausnutzen, die auf Fehler oder Nachlässigkeit zurückzuführen sind, wie z. B. unveränderte Standardeinstellungen oder schwacher Zugriffsschutz.

Die Cluster-Ebene besteht aus Kubernetes-Komponenten, die ebenfalls geschützt werden müssen. Jeder Cluster enthält mehrere Pods, die frei miteinander kommunizieren. Hat ein Angreifer also Zugriff auf einen Pod, kann er leicht in die angeschlossenen Pods eindringen. Starke Cluster-Netzrichtlinien können helfen, den Datenverkehr zu begrenzen und Sicherheitsprotokolle zu stärken.

Die nächste Ebene sind Container. Sie bestehen aus Container-Images, die Schwachstellen aufweisen können, nach denen aber gescannt werden kann. Unternehmen übersehen häufig Probleme wie die Sicherheit von Images, die Verwendung externer Bibliotheken oder Registrierungen – die selbst unsicher sein können – und schwache Datenschutzkonfigurationen. Es ist wichtig, Container regelmäßig zu aktualisieren, um die Anfälligkeit für Schwachstellen zu minimieren.

Die letzte der vier „C“-Ebenen ist der Code. Diese Ebene zu sichern, bedeutet die höchste Sicherheitsstufe zu erreichen. Typische Sicherheitsprobleme in diesem Bereich sind unzureichende Risikobewertungen und Schwachstellen in Software-Abhängigkeiten von Drittanbietern. Unternehmen sollten ein Tool zur statischen Codeanalyse (SCA) verwenden. Damit lässt sich nicht nur ein unsicherer Code identifizieren, sondern auch gewährleisten, dass sichere Programmierungsverfahren schnell implementiert werden.

Traditionelle IT-Sicherheit beruht darauf, die gesamte Angriffsfläche zu betrachten und zu überwachen, um Schwachstellen zu erkennen und Sicherheitsrisiken zu beseitigen. Da sich eine Cloud-native Infrastruktur jedoch ständig weiterentwickelt, ist es schwierig, sich einen vollständigen Überblick zu verschaffen und für eine sichere Umgebung zu sorgen. IT-Teams müssen die Sicherheit von Anfang an in den Entwicklungszyklus einbeziehen – dies ist die stärkste Taktik, die ein Unternehmen anwenden kann, um Angriffe auf jeder Ebene der vier Cs zu verhindern.

Da sich eine Cloud-native Infrastruktur jedoch ständig weiterentwickelt, ist es schwierig, einen vollständigen Überblick zu behalten. IT-Teams müssen die Sicherheit von Anfang an in den Entwicklungszyklus einbeziehen, entsprechend der Ausarbeitung der OWASP-Stiftung. Dies ist die stärkste Taktik, die ein Unternehmen anwenden kann, um Angriffe auf jeder Ebene der vier Cs zu verhindern.

Die Herausforderung annehmen

Unternehmen können bei der Implementierung von Cloud-nativen Sicherheitsmaßnahmen auf Schwierigkeiten stoßen. Einer der häufigsten Gründe dafür ist das Unvermögen, einheitliche Richtlinien durchzusetzen, oft aufgrund der fehlenden Infrastruktur. Cloud-native Umgebungen bestehen aus einer Vielzahl von Tools zahlreicher Anbieter, was es schwierig macht, Sicherheitsrichtlinien zu zentralisieren und einheitlich anzuwenden. Für ein effektives Cloud-Sicherheitsmanagement ist indes Transparenz erforderlich. Daher müssen IT-Teams nach Tools suchen, die die gesamte Cloud-Infrastruktur in einer einfach zu verwaltenden Plattform konsolidieren, anstatt auf unterschiedliche Tools zu setzen.

Eine heterogene IT-Landschaft erfordert ein entsprechend tief gestaffeltes Verteidigungskonzept, und Daten sind von zentraler Bedeutung für einen besseren Schutz der Unternehmen. Unternehmen, die in die Cloud migrieren, müssen verstehen, wie wichtig Datenanalyse, Intrusion Detection und Threat Intelligence für den Schutz sensibler Daten sind – vor allem, wenn es so viele Daten zu analysieren gibt. Cloud-Intelligence-Tools können Ereignisse analysieren und täglich Daten sammeln und interpretieren, bevor es zu einem Vorfall kommt. Damit spielen sie eine entscheidende Rolle bei der proaktiven Sicherung einer Cloud-nativen Infrastruktur.

Wie man mit Fehlkonfigurationen umgeht, ist in Cloud-nativen Umgebungen äußerst wichtig. Anwenderfehler sind das Einfallstor für Cyberkriminelle. Für Sicherheitsexperten bedeutet dies, dass sie sich für Sicherheitstools entscheiden sollten, die automatisch nach Fehlkonfigurationen suchen, da andernfalls Datenverluste, Ausfallzeiten und andere Gefahren drohen. Die Härtung von Systemen durch den Einsatz automatisierter Tools ist von entscheidender Bedeutung - vor allem, wenn Kubernetes auf Host-Betriebssysteme trifft, da hier zwei verschiedene Ebenen bestehen, auf denen Fehlkonfigurationen zu Problemen führen können.

Die Cloud-native Zukunft absichern

Für alle Unternehmen, die für ihre Anwendungen einen Cloud-nativen Ansatz verfolgen, lässt sich aus den obigen Ausführungen ein wichtiger Punkt ableiten: Sie sollten die Sicherheit von Anfang an einbeziehen. Dies bedeutet, dass die Sicherheitsprotokolle auf jeder Ebene der vier Cs und des Entwicklungszyklus zuverlässig sein müssen und dass Strategien vorhanden sein müssen, in deren Rahmen automatisierte Tools und zentralisierte Richtlinien zum Einsatz kommen. Ist dies der Fall, werden Unternehmen bald feststellen, dass die Vorteile die Herausforderungen bei weitem überwiegen.

In diesem Zusammenhang sollten ein Open-Source-Anbieter und ein Open-Source-Plattformanbieter gewährleisten, dass umfassende Sicherheitsstrategien in Cloud-nativen Umgebungen durch einen mehrschichtigen Ansatz umgesetzt werden, der Folgendes umfasst:

Die Sicherheit der Infrastruktur muss über den gesamten technischen Stack hinweg aufrechterhalten werden – vom Betriebssystemkern bis zu den darauf laufenden Anwendungen. IT-Teams müssen dafür sorgen, dass Anwendungen mit den richtigen Sicherheitseinstellungen gestartet werden. Dazu dienen geeignete Bedrohungs- und Betriebsmodellierung sowie eine durchgängige Automatisierung. Eine weitere Maßnahme ist die Bereitstellung einer hochsicheren Kubernetes-Distribution mit einer Reihe von Sicherheitserweiterungen. Dies zielt darauf ab, eine Vielzahl von Angriffsflächen abzudecken. Infrastructure-as-Code-Tools sollten zur Verwaltung und zum Schutz von Cloud-Infrastrukturen eingesetzt werden. Schließlich und endlich gilt es, eine Sicherheitsautomatisierung in alle Produkte und Dienstleistungen zu integrieren. Dies schließt automatisierte Tests, Schwachstellen-Scans und Konformitätsprüfungen ein.

Über den Autor: Cedric Gegout ist VP Product Manager bei Canonical.

(ID:49787834)