Krasovski Dimitri | shutterstock.com
Eine wachsende Zahl von Unternehmen setzt inzwischen auf eine Multicloud-Strategie – in erster Linie, um Workloads genau dort auszuführen, wo es für den jeweiligen Anwendungsfall am günstigsten ist. Und zwar ohne zusätzliche Komplexitäten zu schaffen. Das kann diverse Vorteile realisieren, zum Beispiel in Zusammenhang mit Compliance und Verfügbarkeit. Multicloud-Initiativen können jedoch auch neue Sicherheitslücken entstehen lassen, die diese Benefits im Handumdrehen wieder zunichte machen.
Sicherheit in Multicloud-Umgebungen zu gewährleisten, ist unabhängig von der Unternehmensgröße eine nicht zu unterschätzende Herausforderung. Glücklicherweise können einige relativ simple Methoden und Best Practices dazu beitragen, Angreifer fernzuhalten und Cloud-übergreifend eine sichere, widerstandsfähige Infrastruktur aufzubauen. Welche das sind, haben wir im Gespräch mit einigen Sicherheitsexperten herausgearbeitet.
1. Zentrale Autorität aufbauen
IT-Sicherheit liegt bekanntlich in der Verantwortung der gesamten Belegschaft. Dennoch macht es Sinn, ein zentrales Team (oder eine zentrale Rolle) einzurichten, das die Übersicht über sämtliche Security-Angelegenheiten wahrt – und diese strategisch steuert. Dieser Überzeugung ist auch Trevor Young, Chief Product Officer beim Sicherheitsdienstleister Security Compass: “Dieses Team beziehungsweise diese Rolle sollte koordinieren und eng mit Anwendungs-Teams und Cloud-Ownern zusammenarbeiten.”
Die zentrale Autorität in Sachen IT-Sicherheit ist dafür zuständig:
- eine umfassende Sicherheitsstrategie zu definieren,
- einheitliche Richtlinien und Standards einzuziehen,
- Cloud-übergreifende Security-Tools auszuwählen und zu managen, sowie
- Compliance in sämtlichen Cloud-Umgebungen sicherzustellen.
2. Einheitliche Governance etablieren
Ein einheitliches Security-Governance-Modell, das alle Cloud-Umgebungen umfasst und durch zentralisiertes Identity Management, Automatisierung und Policy Enforcement unterstützt wird, ist mit Blick auf Multicloud-Umgebungen ebenfalls ratsam. Nigel Gibbons, Director und Senior Advisor beim Sicherheitsdienstleister NCC Group, outet sich als Anhänger dieses Ansatzes und fasst seine Vorteile zusammen: “Das kann Komplexität reduzieren und Silos auflösen. Zudem reduziert es blinde Flecken, setzt das Least-Privilege-Prinzip durch, ermöglicht es, Bedrohungen in Echtzeit zu erkennen und optimiert die Compliance.”
Um Risiken über sämtliche Clouds hinweg zuverlässig zu erfassen, empfiehlt Gibbons CISOs und ihren Teams, sich eng mit DevOps-, Plattform- und Compliance-Teams abzustimmen.
3. Scope erweitern
Wenn Sie nur auf eine Cloud setzen, liegt der Fokus meist auf dessen spezifischen Security-Tools und -Services – die Sie im Laufe der Zeit vermutlich immer besser durchdringen. Sind Sie dagegen in mehreren Clouds unterwegs, steigt das Komplexitätslevel drastisch. Denn dann gilt es nicht nur, sich mit mehreren, proprietären Sicherheitsmodellen, Diensten und Terminologien auseinanderzusetzen, wie Security-Compass-Experte Young festhält: “Man kann sich nicht einfach auf die nativen Tools eines Cloud-Anbieters verlassen und erwarten, dass diese alle wichtigen Aspekte abdecken. Eine Multicloud-Umgebung erfordert eine breitere, herstellerunabhängige Strategie.”
Laut dem Experten müssen Anwender, die die Security-Tools der einzelnen Cloud-Anbieter ohne einheitliche Strategie einsetzen, mit zahlreichen Problemen rechnen – beispielweise:
- inkonsistenten Richtlinien,
- Lücken in der Abdeckung oder
- Security-Events, die sich nicht Cloud-übergreifend korrelieren lassen.
“Das ist, als hätte man diverse verschiedene Wachleute, die nicht miteinander kommunizieren, aber verschiedene Teile desselben Gebäudes bewachen sollen. Es kommt zwangsläufig zu Sicherheitslücken”, stellt Young in Aussicht.
4. Trust Boundary konstruieren
“Hören Sie ganz generell auf damit, in Clouds zu denken”, empfiehlt Steve Tcherchian, CISO beim Sicherheitsanbieter XYPRO, und erklärt: “Behandeln Sie jede Umgebung – egal ob AWS, Azure, On-Prem oder Legacy-Mainframe – als Teil einer singulären, einheitlichen Trust Boundary und richten Sie Kontrollmaßnahmen rund um Identitäten, Datenflüsse und Kontexte ein – nicht um Plattformen.”
Anwender, die ihre Sicherheitsstrategie “pro Cloud” konzipierten, hätten damit bereits ihre Kontrollmöglichkeiten fragmentiert und dürften sich schwertun, das wieder zu bereinigen, ist der CISO überzeugt: “Mit Clouds verhält es sich ein bisschen wie mit Klempnerarbeit: Sicherheitsentscheider und -teams, die zu stark auf Cloud-native Tools fixiert sind, improvisieren am Ende oft abenteuerliche Lösungen, die nicht wirklich zusammenpassen und zeitnah lecken.”
5. Verantwortung übernehmen
Obwohl Multicloud-Security nicht nur Sicherheitsentscheider angeht, ist Ensar Seker, CISO beim Threat-Intelligence-Spezialisten SOCRadar, davon überzeugt, dass seiner Berufsgattung am Ende des Tages der wesentliche Teil der Accountability zuteil werden sollte: “Letztendlich muss der CISO sicherstellen, dass Technologie-unabhängige Sicherheitsrichtlinien auf- sowie konsequent durchgesetzt werden und mit der Risikotoleranz des Unternehmens in Einklang stehen.”
Dabei sei insbesondere entscheidend, Silos zwischen Teams aufzubrechen und sicherzustellen, dass die Cloud-übergreifende Transparenz unter einer einheitlichen SecOps-Funktion zentralisiert ist, so Seker. “Multicloud ist nicht nur eine Technologiestrategie, sondern sichert auch betriebliche Resilienz. Anwender sollten in Cloud-Bedrohungsinformationen investieren, die übergreifende Angriffsmuster widerspiegeln. Zudem empfiehlt sich der Einsatz von Laufzeitüberwachung und Policy Drift Detection, um kontinuierliche Sicherheit zu gewährleisten.”
6. Kollaborative Management-Umgebung fördern
Effektives Security-Management erfordert auch, dass Sicherheitsteams und andere wichtige Stakeholder zusammenwirken. “Nur so lassen sich sämtliche Maßnahmen auf die übergeordneten Business-Ziele abstimmen”, unterstreicht Brandyn Fisher, Director of Security Services bei Centric Consulting. Je nach Organisationsstruktur und Komplexität des Anwenderunternehmens umfasse diese Zusammenarbeit in der Regel Lösungsarchitekten, Cloud-Spezialisten und Systemadministratoren, so Fisher. Er fügt hinzu: “Der effektivste Ansatz ist eine klare Aufteilung der Verantwortlichkeiten.”
In der Regel definiere das Sicherheitsteam die Anforderungen und Governance-Rahmenbedingungen, während die Umsetzung ein technisches Team übernehme, so der Chefberater. “Dieser ausgewogene Ansatz schafft klare Zuständigkeiten und fördert gleichzeitig die funktionsübergreifende Kollaboration, die für ein umfassendes Sicherheitsmanagement in multiplen Cloud-Umgebungen erforderlich ist.”
Angesichts der rasanten Entwicklung der Cloud-Technologie könne man dabei leicht in Selbstzufriedenheit verfallen, warnt Fisher und rät: “Es ist essenziell, wachsam zu bleiben und proaktiv zu handeln. Sie sollten deshalb die Skills Ihrer Teams im Rahmen von Branchenkonferenzen, Schulungen und der aktiven Beteiligung an Experten-Communities kontinuierlich weiterentwickeln.”
7. Einheitliche Response-Strategie einziehen
Eine einheitliche, bedrohungszentrische Detection-and-Response-Strategie die in allen Cloud-Umgebungen funktioniert, ist nach Auffassung von Mitchem Boles, Field CISO beim Plattformanbieter Intezer, ein wirksames Mittel, um selbst die raffiniertesten Angreifer abzuwehren: “Indem sie Warnmeldungen und Verhaltensmuster von AWS, Azure, Google Cloud Platform und anderen Anbietern in einem zentralisierten System korrelieren, können sich Sicherheitsteams auf echte Bedrohungen fokussieren, statt von Warnmeldungen erschlagen zu werden.”
So ermögliche dieser Ansatz den Security-Teams, schneller zu reagieren und parallel den manuellen Aufwand für die Triage in komplexen Umgebungen reduzieren, hält Boles fest.
8. Cloud-Zugriff kontrollieren
Geht es nach Jaymes David, Chief Technology Evangelist beim Digital-Workplace-Anbieter Kasm Technologies, sollte Ihr Fokus vor allem darauf liegen, die Angriffsfläche Ihrer Multicloud-Umgebung zu reduzieren.
“Beschränken Sie den Zugriff auf Cloud-Ressourcen durch kurzlebige, isolierte Sitzungen. Das minimiert die Wahrscheinlichkeit, dass sich Malware im System halten kann oder sich jemand unbefugt Zugang verschafft. Sitzungsaufzeichnungen, SIEM-Integration, DLP oder Wasserzeichen tragen zu einem starken Sicherheitskonzept bei, das nachverfolgbar, durchsetzbar und überprüfbar ist”, so der Evangelist. (fm)
Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.
