Cloud-Sicherheit durch Live-Überwachung Warum brauchen Cloud-Umgebungen Live-Überwachung statt Momentaufnahmen?

Anbieter zum Thema

FTAPI Software GmbH

In modernen Cloud-Umgebungen ist es entscheidend, zwischen statischen und aktiven Risiken zu unterscheiden, um sensible Daten wirksam zu schützen. Nur durch ein umfassendes Verständnis dieser Unterschiede und den Einsatz geeigneter Sicherheitsmaßnahmen kann ein effektiver Schutz der Daten gewährleistet werden.

Um moderne Cloud-Umgebungen zu schützen, muss die Sicherungsmethode so dynamisch sein wie der Datenverkehr, den man überwachen will. Dafür gibt es verschiedene Methoden und Ansätze. Wer jederzeit geschützt sein möchte, muss den Unterschied zwischen statischen und aktiven Risiken kennen. Um den Unterschied zwischen den Risikotypen zu verstehen, kann man sich als Metapher ein Haus vorstellen, das man einbruchssicher machen will.

Was würde man beispielsweise von einem Haussicherheitssystem halten, das lediglich stichprobenartig überprüft, ob Türen und Fenster verschlossen sind? Zwar würde ein solches Sicherheitssystem eine Visualisierung des Hauses liefern und Aufschluss darüber geben, wie ein Krimineller potenziell in das Haus und von einem Raum zum anderen gelangen könnte. Das exemplarische Haus verfügt jedoch nicht über Kameras an der Türklingel oder den Fenstern, die in Echtzeit Alarm schlagen, wenn sich jemand Verdächtiges nähert oder gar versucht einzubrechen. Mit anderen Worten: Zwar bietet das Beispiel-System einen statischen Überblick der Hausstruktur, dafür aber keinerlei Echtzeit-Überwachung der aktiven Risiken rund um Türen, Fenster und Räume.

Möchte man Grundstück und Habseligkeiten wirklich im Auge behalten und sichern, verlässt man sich daher lieber auf eine Live-Überwachung mittels Videoübertragung, die möglichst latenzfrei zeigt, was in welchem Raum und an den Eingängen gerade passiert. Es gibt keinen Grund, im digitalen Raum anders zu verfahren, wenn es um die Sicherung sensibler Daten und virtueller Umgebungen geht. Daher darf sich kein IT-Verantwortlicher mit der statischen Überprüfungen der Sicherheitslage zufrieden geben, wenn es um aktive Risiken in der Cloud-Umgebung geht.

Statisches und aktives Risiko – eine wichtige Unterscheidung

Um aktive Cloud-Risiken zu verstehen, muss man statische Risiken verstehen. Diese sind ein direktes Ergebnis statischer Überprüfungen, bei denen es sich um eine Momentaufnahme der Cloud-Umgebung handelt, die in der Regel alle paar Stunden erstellt und zur Bewertung der derzeitigen Sicherheitslage verwendet wird. Herkömmliche Tools für das Cloud Security Posture Management (CSPM) verwenden statische Überprüfungen und können statische Risiken aufdecken, wie:

• kritische Schwachstellen,

• Fehlkonfigurationen,

• Versagen von Richtlinien/Kontrollen,

• Gefährdung des Netzwerks,

• Datenexplosion.

Bei dem Umstieg zur aktiven Risikobewertung geht es keineswegs darum, statische Risikobewertungen zu ersetzen, diese sind nach wie vor wichtig. Besagte Fehlkonfigurationen von Cloud-Speicherbereichen werden häufig mit Datenschutzverletzungen in Verbindung gebracht.

Wer sich jedoch nur auf statische Risiken verlässt und glaubt, die Cloud ist damit resilient, der wiegt sich in falscher Sicherheit. Zwar bleiben diese Risiken in traditionellen CSPM statisch, ändern sich nicht sehr oft und werden meist nicht ausgenutzt. Das Problem bei statischen Risiken ist jedoch, dass man Aktivitäten und Veränderungen in Echtzeit übersieht – um bei der ursprünglichen Metapher zu bleiben: Es besteht die Gefahr, den Einbrecher zu übersehen, wenn man lediglich das statische Risiko beobachtet.

In den meisten Cloud-Umgebungen gibt es zudem oft Hunderte, wenn nicht Tausende statischer Risiken, die bei jedem Scan immer wieder auftauchen und Unmengen an Warnungen erzeugen, die die Priorisierung erschweren.

Aktive Cloud-Risiken

Aus diesem Grund brauchen CISOs einen Überblick der aktiven Risiken und müssen diese nach Prioritäten ordnen. Ein aktives Cloud-Risiko umfasst Echtzeit-Aktivitäten und dynamische Veränderungen in Ihrer Umgebung, wie:

• Riskantes Identitätsverhalten Beispiel: Benutzer, der sich aktiv ohne MFA anmeldet.

• Konfigurationsänderungen in Echtzeit Beispiel: Verbindung zu einem bekannten bösartigen Netzwerk.

• Benutzte Berechtigungen Beispiel: Zugriff mit hohen Berechtigungen, der ohne vorherige Verwendung aktiviert wurde.

• Eingesetzte Pakete mit kritischen Schwachstellen Beispiel: ein aktiv laufendes Softwarepaket mit hohen CVSS-Schwachstellen.

• Workload-Bedrohungen Beispiel: Hochladen eines öffentlichen Verschlüsselungsschlüssels.

Aktive Risiken sind potenziell schwerwiegende Ereignisse, die in Echtzeit in der Cloud-Umgebung stattfinden. Derartige Risiken müssen umgehend von IT-Sicherheitsverantwortlichen priorisiert werden. Indem die kritischsten Risiken priorisiert werden, können Rauschen und Alarmmüdigkeit reduziert werden.

Bekämpfung aktiver Cloud-Risiken mit Runtime Insights

Eine bessere Lösung besteht darin, aktive Cloud-Risiken mithilfe von Laufzeiterkenntnissen aufzudecken und zu bekämpfen. Eine solche Lösung sollte über statische Überprüfungen hinausgehen und in der Lage sein, aktive Cloud-Risiken zu erkennen – zum Beispiel Konfigurationsänderungen in Echtzeit, verdächtige Benutzeraktivitäten, genutzte Berechtigungen und Pakete mit Schwachstellen sowie Workload-Bedrohungen. So gewinnt man Echtzeiteinblicke in die dringendsten und bedrohlichsten Gefahren in der Cloud-Umgebung. Das Aufdecken aktiver Risiken allein reicht jedoch nicht aus.

Viel wichtiger ist es, dass Laufzeiterkenntnisse zur Anreicherung statischer Risikoerkenntnisse und zur Überlagerung aktiver Risikoinformationen verwendet werden, um bei der Priorisierung, Untersuchung und Behebung komplexer Probleme und miteinander verbundener Risiken zu unterstützen. Die risikoreichsten Kombinationen aus statischen und aktiven Risiken werden in eine Rangfolge gebracht und nach Prioritäten geordnet an die Spitze gestellt. Von dort aus können die miteinander verbundenen Risiken (sowohl statische als auch aktive) mithilfe der Angriffspfadanalyse aufgeschlüsselt und visualisiert werden, um die Untersuchung zu beschleunigen. Innerhalb desselben Workflows können zudem Abhilfemaßnahmen bereitgestellt werden, die helfen, das Problem schnell zu beheben.

Denn letztlich kommt es auf Schnelligkeit an. Jüngste Feststellungen zeigen, dass Angreifer in der Cloud ihre Coups mittlerweile in zehn Minuten abwickeln und Schaden anrichten können.

Wer akuten Bedrohungen also schnellstmöglich den Garaus machen will, sollte seine Cloud-Sicherheitsarchitektur nach der 5/5/5-Faustregel ausrichten. Die gibt für die Eindämmung akuter Gefahren folgendes vor: fünf Sekunden für die Erkennung, fünf Minuten für die Korrelation der Erkenntnisse und das Verständnis der Vorgänge und weitere fünf Minuten für die Reaktion. Das mögen straff gesetzte Limits sein, doch wenn Hacker sich die Geschwindigkeit der Cloud zunutze machen, dürfen die Sicherheitsteams nicht hinterherhinken.

Wer statische und aktive Risiken in der Cloud gleichermaßen im Auge behält und in der Lage ist, auch Echtzeit-Gefahren schnell Einhalt zu gebieten, muss sich auch in Cloud-Umgebungen keine Sorgen um Workloads und Datensicherheit machen. Schließlich ist es in der Cloud ähnlich wie bei dem Eigenheim: Je besser und umfangreicher die Überwachung gegenüber Einbrechern ist, desto leichter lässt sich das darin gelagerte Hab und Gut vor diesen schützen.

(ID:50209733)