Serverless Computing und IT-Sicherheit Herausforderungen bei der Absicherung serverloser Systeme

Anbieter zum Thema

Arvato Systems

Vogel IT-Akademie

TXOne Networks

Check Point Software Technologies GmbH

Infrastrukturen ohne Server sind ein neuer Ansatz für die Anwendungs­architektur und -bereitstellung. Die IT-Sicherheit zu bewahren wird einfacher und schwieriger zugleich. In diesem Beitrag soll es um die wichtigen Fragen gehen: Was wird besser, was wird eine Herausforderung und was ändert sich lediglich in seiner Beschaffenheit?

Serverlose Systeme sind im Grunde genommen eine Weiterentwicklung des Cloud Computing Modells Platform-as-a-Service (PaaS). Während bei diesem Modell noch Server benötigt werden, verzichtet der serverlose Ansatz komplett auf die Hardware. Einige der oft zitierten Vorteile sind eine automatisierte Skalierung und Verwaltung von Rechen-Kapazitäten: Neue Ressourcen können schnell bereitgestellt werden, im Vordergrund steht der Sourcecode und die Cloud-Plattform übernimmt die Verwaltung der Server-Infrastruktur. Dagegen stehen natürlich eine Reihe von Nachteilen, wie der Kontrollverlust über die Daten, das Festlegen auf eine Plattform und die Tatsache, dass Betriebssysteme nicht mehr eigenständig geändert werden können.

Was wird besser?

In Bezug auf die IT-Sicherheit ergeben sich beim serverless computing neue Herausforderungen, die es zu bewältigen gilt. Dennoch kann ein Wechsel zu einer serverlosen Anwendungsarchitektur die Sicherheit der eigenen Systeme auf jeden Fall verbessern – jedoch muss der Umstieg richtig durchgeführt werden.

1. Cloud-Provider kümmern sich um die Sicherheit von Betriebssystem, Laufzeit und Patching

Für die meisten Verantwortlichen sind die Cloud-Anbieter für die Sicherheit des Systems und das Aktualisieren des Betriebssystems sowie der Laufzeiten verantwortlich. Diese Verlagerung der Verantwortung auf den Cloud-Anbieter ist in Bezug auf die Sicherheit für viele Unternehmen und angesichts ihrer Kapazitäten sicher ein Gewinn.

2. Kleinere Mikrodienste für fein-granulares IAM

Statt eines großen Containers, der viele Funktionen ausführt und beherbergt, ist es sicherer, auf kleinere Mikrodienste umzusteigen. Es ermöglicht fein-granulares Identity and Access Management in der eigenen IT-Umgebung zu betreiben, um Zugriffe genauer zu kontrollieren. Sicherheitsrichtlinien und Policies lassen sich auf detaillierterer Ebene umzusetzen. Das wiederum führt dazu, dass die Angriffsfläche erheblich verkleinert wird.

3. Serverlos macht Schluss mit langwierigen Angriffen

Serverlose Funktionen laufen einige Sekunden lang und verschwinden. Die Container werden wiederverwertet. Dass serverlose Funktionen kommen und gehen und keinen Speicher benötigen, ist ein Zugewinn für die IT-Sicherheit. Langwierige Angriffe sind damit vorbei, denn Angreifer können nicht mehr in das Netzwerk eindringen, eine Basis einrichten und monatelang Daten und Kreditkartennummern unbemerkt stehlen.

Natürlich gibt es weiterhin Möglichkeiten für Angreifer, längerfristige Angriffe zu versuchen, wie das Stehlen von Konten oder die Kompromittierung von Funktionen. Diese Funktionen ermöglichen es den Akteuren, eigene Funktionen zu erstellen oder Berechtigungen zu ändern. Länger angelegte Angriffe können also an sich weiterhin vorkommen, jedoch nicht mehr in Form eines Angreifers, der bereits im Netzwerk sitzt und sich dort über Monate versteckt hält.

4. Mehr Sichtbarkeit beim Anwendungsverhalten

In einem serverlosen System wird alles verkleinert und in die Cloud verlagert. Daher profitieren IT-Abteilungen in den Protokollen und Kontrollprogrammen von mehr Transparenz. Sie sehen deutlicher, welche Funktionen miteinander interagieren, auf welche Ressourcen zugegriffen wird und wie häufig.

Was wird schwieriger?

Es gibt jedoch einige Dinge, die durch serverlose Systeme schwieriger werden: entweder, weil sich das Umfeld verändert hat oder weil die Technologien, die früher verwendet wurden, nicht kompatibel sind.

1. Die Sichtbarkeit der serverlosen Sicherheit

Die Zahl zusammenhängender Informationen und zu verwaltender Ressourcen steigt mit dem „serverless computing“. Das erschwert es, die Daten und ihre Informationen auszuwerten und macht diese Aufgabe zur Herausforderung.

Wenn ein Unternehmen zehn Container betreibt, weiß es, welche in Betrieb sind. Wenn es jedoch 1.000 Funktionen umsetzt, ist es schwieriger festzustellen, ob sich alles so verhält, wie es sein soll. Bei einer Milliarde von Ereignissen in Log-Files wird es schnell unübersichtlich – dabei können essenzielle Informationen untergehen.

2. Die mögliche Angriffsfläche wird plötzlich größer: Mehr Funktionen bedeuten mehr Protokolle und mehr Angriffswege

Jede Funktion kann ein Einstiegspunkt für Angreifer sein. Einige sind für Hacker leichter zugänglich als andere, daher müssen Unternehmen sicherstellen, dass ein Cyberkrimineller die Funktionen nicht nach seinem Gutdünken ausführen kann – weder zu einem bestimmten Zeitpunkt, noch auf eine bestimmte Weise.

Das gilt auch für Protokolle. Klassische Webanwendungen haben eine Vordertür mit einem Load Balancer und sprechen in HTTPS. In diesem Zusammenhang gibt es viele verschiedene Ereignisse und Auslöser, alle mit eigenen Protokollen und JSON-Strukturen und verschiedenen Möglichkeiten, wie externe Angreifer sie aktivieren könnten.

3. Die Erosion des Firmen-Perimeters

Bisher kannten Anwendungen eine klare Grenze: Das Äußere und das Innere eines Firmennetzwerks waren getrennt und an dieser Grenze konnte die Sicherheit gewährleistet werden. Es ist zwar nicht ideal, dass die Sicherheit ausschließlich am Perimeter verbleibt, aber es ist dadurch möglich, eine Mauer wie um eine Burg herum zu ziehen – durch Technologien und Produkte, wie eine Web Application Firewall (WAF).

Serverlose Apps sind sozusagen poröser und feinkörniger. Es ist schwieriger zu erkennen, wo deren Grenze liegt: Jede Funktion? Jede Ressource? Die gesamte Anwendung? Das müssen Unternehmen stets beachten.

4. Mehr Ressourcen bringen mehr zu managende Berechtigungen mit sich

Eigentlich ist das vorteilhaft, weil es fein-granulare Berechtigungen ermöglicht. Jedoch müssen sich Unternehmen mit dieser Menge an Berechtigungen zuerst auseinandersetzen, um davon profitieren zu können. Statt zehn Containern die mit drei Tabellen und vier Buckets sprechen, existieren plötzlich Tausende Funktionen, die mit einer ganzen Reihe von Ressourcen und untereinander kommunizieren. Regeln für diese Interaktionen festzulegen, ist eine Herausforderung.

5. Das Einsatzgebiet von serverloser Sicherheit

Es ist schwierig zu bestimmen, wo die klassischen Sicherheitslösungen, wie WAF, Perimeter-Firewall und IDS in diesem Konzept eingesetzt werden. Sie zwischen Angreifern und Ressourcen zu platzieren, ist in serverlosen Umgebungen aufgrund der verschwommenen Umgebungsgrenzen nicht einfach zu bewerkstelligen.

Was sollte sich ändern?

Schließlich ändern sich mit dem Wechsel zu serverless Computing einige Dinge. Unter dem Strich sind sie nicht besser oder schlechter geworden. Sie werden aber zum Problem, wenn Unternehmen diese Dinge nicht anpassen.

1. Angreifer

Angreifer ändern sich mit Technologien und Plattformen, sie passen ihr Vorgehen außerdem an. Bei serverlosen Architekturen ist es nicht anders. Die Ziele der Angriffe haben sich daher nicht geändert, aber die Art und Weise, wie die Attacken durchgeführt werden – teils drastisch. Eine Hilfestellung hierzu ist das eBook: Serverlose Sicherheitsfibel: Top-Risiken und wie man sie vermindern kann.

2. Geschwindigkeit der Anwendung

Die Agilität der Entwickler wird zunehmen, wenn sich die granularen Änderungen durch Funktionen entfalten. Dies führt zu häufigeren DevOps-Zyklen in der Cloud und damit zu mehr potenziellen Auswirkungen auf das Posture Management. Darum steigt die Notwendigkeit einer genauen Auditierung, um sehr häufig die Netzwerkumgebungen auf mögliche Fehlkonfigurationen zu prüfen.

3. Rechnungsstellung

Bei serverlosen Architekturen bezahlen Unternehmen nur für das, was sie benutzen. Das spart Geld, denn ungenutzte Ressourcen kosten nichts. Wenn jedoch ein Sicherheitsprogramm nur eine Sekunde zum Processing hinzufügt, müssen die Firmen diese mit allen Anfragen pro Monat multiplizieren.

4. Cloud-Sicherheit ist meist Anwendungssicherheit

Die Unternehmen geben im Zuge von serverloser Architektur die Kontrolle zu einem großen Teil an die Cloud-Plattform ab und das Netzwerk wird wesentlich weniger relevant. Daher muss ein Großteil der Sicherheitsbemühungen nun die Absicherung auf der Anwendungsebene umfassen.

Fazit: Vorteile serverloser Architekturen erfordern Anpassungen

Serverlose Systeme als neue Anwendungsarchitektur erschaffen eine neue und einzigartige Sicherheitslandschaft. Die Art und Weise, wie Unternehmen ihre Anwendungen schützen, muss sich entsprechend ändern, das zeigen die hier angestellten Gedanken und gegebenen Erklärungen deutlich. Wer nur die IT-Infrastruktur umstellt und die Sicherheit ignoriert oder glaubt, seine althergebrachten Sicherheitslösungen einfach mitnehmen zu können, ist lediglich wenige Schritte von der nächsten Sicherheitslücke im eigenen System entfernt.

Über die Autorin: Christine Schönig ist Regional Director Security Engineering CER, Office of the CTO bei Check Point Software Technologies.

(ID:46798434)