Cloud Security Management – Eine Einführung

Chris Evans

icon of book with security content and bulleted list

 

Cyberkriminelle sind pausenlos auf der Jagd nach Ihren Daten. Dankbar nehmen sie alles, was sie stehlen, missbrauchen oder zur Erpressung nutzen können. Ob Kleinunternehmen oder große Konzerne – auf jeden haben sie es abgesehen. Umso wichtiger ist es, Ihre Daten mit einem vielschichtigen und umfassenden Ansatz zu schützen.

Sie kennen vermutlich bereits die Methoden, mit denen Daten klassischerweise lokal geschützt werden, etwa Kennwörter für Administratoren und Benutzer, zuverlässig konfigurierte Firewalls und entsprechende Virenschutzsoftware. Aber wie können Daten in einer komplexen Cloud-Umgebung geschützt werden?

In diesem Leitfaden finden Sie die Antwort. Außerdem zeigen wir Ihnen die Best Practices für Cloud Security Management und wie Security-Experten Sie in diesem Bereich unterstützen können.

 

Was ist Cloud-Sicherheit?

Das Ziel von Cloud-Security ist dasselbe wie bei der herkömmlichen Security vor Ort: wertvolle Daten zu schützen. Dabei kommen eigene Verfahren und Technologien zum Einsatz, die Ihre sensiblen Daten in der Cloud-Umgebung vor internen wie externen Gefahren schützen.

 

Was macht Cloud-Security besonders?

Der Hauptunterschied zwischen klassischer Security vor Ort und Cloud-Security liegt in der Natur der Cloud. Die Cloud befindet sich nicht in Ihrem Rechenzentrum oder in Ihrem Büro, wo Sie Zugriff darauf hätten. Sie befindet sich „irgendwo“ und lässt sich nicht direkt anfassen oder darauf zugreifen.

Daher greifen hier die herkömmlichen Infrastruktur-Kontrollen und internen Tools nicht. Bei der lokalen Sicherung richten Sie einen Server ein, schließen ihn an, und sofort übernimmt er alle Firewalls, IPs und Regeln, die bereits in Ihrer Umgebung vorhanden sind.

Bei einer Cloud übernehmen neue Systeme keine dieser vorhandenen Schutzmaßnahmen. Dementsprechend müssen Sie schon im Vorfeld Security aufbauen, denn wenn Ihre Cloud-Infrastruktur erst einmal „live“ ist, steht sie der Welt offen. Sobald Sie jedoch für Clouds geeignete Tools und Lösungen integriert haben, gewinnen Sie eine Transparenz, wie sie herkömmliche Security-Maßnahmen nicht bieten. Auf Clouds ausgelegte Security-Lösungen erlauben es Ihnen, den Netzwerkfluss zu überwachen, Schwachstellen zu erkennen, Bedrohungsanalysen zu integrieren und sogar KI-Lernmethoden rund um Ihre Cloud-Infrastruktur und -Systeme zu implementieren.

 

Was ist Cloud Security Management?

Cloud Security Management ähnelt vom Prinzip her dem lokalen Security Management. Es geht darum, zu verstehen, welche Security Controls bestehen und wie Sie Ihre Umgebung, Systeme und Daten schützen können. Dazu kommt die Überlegung, was im Hinblick auf das Management getan werden muss, um diese Transparenz zu erhalten.

So müssen sie bei jeder neu einzurichtenden Instanz in der Cloud sicherstellen, dass dafür die richtigen Agenten und Richtlinien genutzt werden. Außerdem müssen die bereits entwickelten Controls aktiv sein.

Die Cloud-Security lässt sich (die korrekte Cloud-Nutzung vorausgesetzt) wesentlich einfacher gestalten als herkömmliche Security. Zu verdanken ist das der Möglichkeit, viele der Anforderungen und Workflows zu automatisieren. Früher hätte die IT beispielsweise einen neuen Server eingerichtet und dabei vielleicht gar keine Agenten installiert. Das hätten Sie dann womöglich einige Zeit lang erst gar nicht bemerkt. In der Cloud hingegen können Sie den gesamten Prozess automatisieren und Installationen spezifizieren, anstatt dafür Mitarbeiter-Workload einzusetzen oder unzählige Versuchsläufe zu fahren.

 

Wie sieht die Verwaltung der Cloud-Security aus?

Zum Schutz der Daten müssen Sie Angreifern mehrere Sicherheitsebenen entgegensetzen. Nicht nur werden die Daten mit Schlüsseln gesichert, diese Schlüssel selbst werden auch „weggesperrt“. Cyberkriminelle nehmen bewusst schwache Systeme ins Visier. Machen Sie es ihnen also so schwer wie möglich.

 

Das Least-Privilege-Prinzip

Einen grundlegenden Ansatz, den Sie auf jeden Fall verfolgen sollten – unabhängig davon, ob es sich um eine Cloud, lokale Systeme oder sogar einzelne PCs handelt –, ist das sogenannte „Least-Privilege-Prinzip“ (Principle of Least Privilege; PoLP). Grundsätzlich gilt: Wenn ein System gewisse Prozesse nicht ausführen muss, sollte es dazu auch nicht berechtigt sein.

Ein Beispiel: Ein Server, der nur Daten in einer SQL-Datenbank verarbeitet, benötigt keinen Webbrowser. Indem Sie Systemen von vornherein bestimmte Berechtigungen nicht gewähren, vermeiden Sie bereits viele gängige Angriffsziele – und je weniger es davon gibt, desto sicherer wird Ihre Security, bei minimalem Aufwand und Kosten.

 

Zero Trust

Genauso sollten Sie Personen in Ihrem Unternehmen keine Berechtigungen für Aktionen geben, die sie gar nicht brauchen. Seien Sie durchweg misstrauisch gegenüber internen und externen Elementen („Zero Trust“). Trauen Sie niemandem.

Stellen Sie sich zum Beispiel vor, Sie haben ein Haus mit einer Tür, und diese Tür hat ein Schloss. Ihre Security ist das Schloss an der Haustür. Den Schlüssel zu Ihrer Haustür geben Sie nur Menschen, denen Sie vertrauen. Damit gilt automatisch jeder, der es durch die Tür ins Haus schafft, als vertrauenswürdig. Alle, die draußen sind, nicht. So funktioniert die herkömmliche Perimeter-Security.

Nehmen wir aber einmal an, Sie sind mit den Menschen, denen Sie vertrauen, im Haus. Auf einmal verschwindet eine Person in Ihr Schlafzimmer und kommt 20 Minuten lang nicht mehr heraus. Sie fragen sich, was die Person da wohl macht. Also sehen Sie nach und stellen fest, dass sie Wertsachen von Ihnen stiehlt.

Somit ist der Schutz durch das Schloss an der Haustür zwar wichtig, allerdings müssen Sie auch innerhalb Ihrer eigenen vier Wände alles überwachen, validieren und prüfen – insbesondere jene Bereiche, in denen Sie die wertvollsten Gegenstände aufbewahren. Das bedeutet „Zero Trust“. Sie vertrauen nichts und niemandem, niemals. Unerwünschte Aktivitäten werden bestmöglich unterbunden.

 

Patching

Patches werden von vielen sträflich vernachlässigt. Die meisten der großen Datenpannen in den letzten zwei Jahrzehnten, die nicht mit Zero-Day-Exploits zusammenhingen, waren darauf zurückzuführen, dass jemand es versäumt hatte, einen kritischen Patch innerhalb einer angemessenen Zeitspanne aufzuspielen. In jüngster Zeit kam es zu vielen Datenpannen, nachdem das Patching jahrelang verschlafen wurde. Online verfügbare Open-Source-Tools ermöglichen es jedem, sich Zugang zu Ihrem System zu verschaffen, wenn Sie diese extrem wichtigen Updates nicht installieren.

Patches tragen also entscheidend zur Risikominimierung in der Cloud bei. Security-Lösungen speziell für die Cloud informieren Sie detailliert darüber, wenn Systeme nicht mehr aktuell sind, damit Sie sie auf dem neuesten Stand halten können.

 

Cloud Security Management mit Technologie von Rackspace

Beim Cloud Security Management sind Sie nicht auf sich allein gestellt. Rackspace Technology begleitet Sie bei jedem Schritt und entlastet Ihr In-House-Team, das sich dadurch auf andere wichtige Bereiche konzentrieren kann.

Durch unsere Erfahrung mit tausenden Kunden und unsere zahlreichen Partner können wir Sie bei der Planung und Umsetzung einer Strategie für Cloud-Security unterstützen, damit Ihr Unternehmen sicher bleibt.

Kennen Sie Ihren aktuellen Score Ihres Cybersicherheitsrisikos? Beantworten Sie 15 Fragen zur Selbsteinschätzung. Anschließend kann ein Cloud-Experte mit Ihnen die Ergebnisse besprechen, Ihre Fragen beantworten und Best Practices zur Behebung der erkannten Sicherheitslücken empfehlen.

 

Ihren Cybersicherheitsrisikoscore entdecken