Welche Cloud-native Application Protection Platform für DevOps-Teams CNAPP – mit oder ohne Agent?

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Mimecast Germany GmbH

TXOne Networks

In den DevOps-Teams herrscht derzeit eine große Debatte: Welcher CNAPP-, sprich „Cloud-native Application Protection Platform“-Ansatz eignet sich am besten, um Cloud-Umgebungen zu schützen? Ist ein agentenbasierter oder agentenloser Ansatz die beste Strategie?

Cloud-Umgebungen und deren Sicherheitsanforderungen werden dynamischer und komplexer, da moderne Anwendungen sich durch gemischte Workloads, Multi-Cloud-Umgebungen und unterschiedliche Laufzeiten auszeichnen. Folglich unterscheidet sich auch die Absicherung der modernen IT-Infrastruktur von heute wesentlich von der vor einigen Jahren. Dieser Wandel zwingt DevOps-Teams dazu, sich Gedanken über den besten Ansatz zur Sicherung dieser dynamischen Umgebung zu machen.

Welcher Ansatz ist also in der heutigen Zeit der beste für Unternehmen? Ist ein agentenbasierter Sicherheitsansatz mit einem Sensor auf jedem Host sinnvoll? Oder ist doch der agentenlose Ansatz besser, bei dem auf den Systemen keine Agenten installiert werden müssen und die Überwachungslösungen in die Cloud-Kontrollebene integriert sind? Die Antwort lautet: beides.

Angesichts der sich ständig weiterentwickelnden Bedrohungslandschaft sollten Unternehmen nach einer CNAPP-Lösung suchen, die agentenloses und agentenbasiertes Scannen einsetzt, um ihre Sicherheitsanforderungen zu erfüllen. DevOps-Teams haben es mit Angreifern zu tun, die nicht nur schneller geworden sind – bei 30 Prozent der Angriffe beträgt die Breakout-Time weniger als 30 Minuten – sondern auch raffinierter.

Die Bedrohungsakteure von heute versuchen gezielt, in die Cloud-Umgebungen von Unternehmen einzudringen. Und dieser Trend geht weiter. Laut CrowdStrike-Daten werden die Angriffe auf Cloud-Workloads bis 2022 um 288 Prozent zunehmen. Bei der Absicherung ihrer Cloud-Umgebungen gegen diese modernen Bedrohungen stoßen DevOps-Teams auf eine Reihe von Hindernissen.

Zu den größten Herausforderungen gehören:

• Mangelnde Sichtbarkeit: Der dynamische Aufbau von hybriden und Multi-Cloud-Umgebungen macht die Sicherheitsüberwachung komplex und öffnet der Schatten-IT Tür und Tor. Da viele Unternehmen die Zuständigkeiten zwischen DevOps-, Sicherheits- und IT-Teams aufteilen, können blinde Flecken entstehen, wenn sich Angreifer lateral über die Umgebungen von der Cloud zum Endpunkt bewegen.

• Shared Responsibility Model: Häufig wissen Unternehmen nicht genau, wer für die Sicherung von Cloud-Workloads sowie aller damit verbundenen Anwendungen, Daten oder Aktivitäten zuständig ist. Dies kann dazu führen, dass Unternehmen unwissentlich Workloads in der Cloud betreiben, die nicht vollständig geschützt sind. Das macht sie anfällig für Angriffe, die auf das Betriebssystem, Daten oder Applikationen abzielen.

• Erhöhte Kosten und Arbeitsaufwand: Die Verwendung mehrerer Cloud-Sicherheitstools kann zu fragmentierten Ansätzen führen, die die Kosten und die Komplexität erhöhen. Tatsächlich werden 99 Prozent der Cloud-Ausfälle durch Fehler wie Cloud-Fehlkonfigurationen vom Kunden verschuldet. Wenn DevOps-Teams zwischen verschiedenen Cloud-Sicherheits-Tools wechseln müssen, verwenden sie oft mehrere Dashboards, was ihre Reaktionszeit beeinträchtigen kann.

Wie kann also ein CNAPP-Ansatz, der sowohl agentenbasiert als auch agentenlos ist, DevOps-Teams helfen, diese Herausforderungen zu meistern?

Schutz der Cloud mit agentenbasierten und agentenlosen CNAPP-Funktionen

Wir wissen, dass agentenbasierte Sicherheit bei der Verteidigung von On-Premises-Umgebungen den DevOps-Teams eine ausreichende Abdeckung der Endpunkte bietet und es ihnen ermöglicht, Workloads lückenlos zu überwachen. Dies ist von entscheidender Bedeutung, wenn es darum geht, unbefugten Zugriff auf Dateiverzeichnisse zu verhindern, Malware zu erkennen und verdächtige Endpunkte und Images zu blockieren.

DevOps-Teams können von agentenbasierten Lösungen wie Cloud Workload Protection (CWP) profitieren, um von Endpunkten und Cloud-Workloads generierte Ereignisdaten zu sammeln. Dieser Ansatz nutzt Agenten, die auch in Cloud-Workloads und Containern eingesetzt werden. Werden sie mit Cloud-nativen Angriffsindikatoren (IOAs), maschinellem Lernen und proaktiver, praktischer Bedrohungssuche ergänzt, gewährleisten sie eine vollständige Abdeckung.

Für Cloud- und Hybrid-Umgebungen eignet sich jedoch ein dualer agenten- und agentenloser Ansatz besonders gut, da er DevOps-Teams die nötige Flexibilität bietet, um unabhängig von der jeweiligen Umgebung den benötigten Schutz bereitzustellen.

In Umgebungen, in denen keine Agenten bereitgestellt werden können, können agentenlose Lösungen für DevOps-Teams, die sich auf Cloud Security Posture Management (CSPM) konzentrieren, nützlich sein. Sie bieten Einblicke in potenzielle Risiken und Schwachstellen, die Missachtung von Vorschriften und den Schutz der Kontrollebene. Darüber hinaus reduziert der Einsatz von agentenlosen CSPM-Lösungen die Reibung und Komplexität in Multi-Cloud-Umgebungen und Konten.

Ein weiterer Bereich, in dem ein hybrider Ansatz für DevOps-Teams von Vorteil ist, ist die Erkennung von Cloud-Ressourcen und die Identifizierung von Fehlkonfigurationen. Agentenlose CSPM-Lösungen können in das Cloud Infrastructure Entitlement Management (CIEM) integriert werden, um die Visibilität zu verbessern, Bedrohungen zu priorisieren, die Alarmmüdigkeit zu verringern und Probleme schneller zu beheben.

Diese Funktionen lassen sich schnell und einfach implementieren und bilden die Grundlage für ein starkes Cloud-Sicherheitsprogramm. Wenn man dies mit einem agentenbasierten CWP-Ansatz kombiniert, verfügen die Sicherheitsteams über den End-to-End-Schutz und die Erkenntnisse, die sie von ihrer CNAPP-Lösung benötigen, um schneller zu reagieren und DevOps-Teams eine sichere Entwicklung in der Cloud zu ermöglichen.

Da moderne Angreifer immer raffinierter werden, ist es unerlässlich, dass DevOps-Teams über eine flexible Sicherheitsstrategie verfügen, um das richtige Maß an Schutz vor sich entwickelnden Cloud-Bedrohungen zu erhalten. Mit anpassungsfähigen Funktionen können Unternehmen ihren Sicherheitsansatz an die Anforderungen ihrer Cloud-Umgebung anpassen.

* Amol Kulkarni ist Chief Product & Engineering Officer bei CrowdStrike.

(ID:49474549)