Einführung in die Cloud Security

Durch das stetige Wachstum der Cloud-Infrastrukturen ist die Cloud Security zu einem unvermeidbaren Thema geworden. Die Cloud bringt viele Vorteile wie Skalierbarkeit, den Wechsel von Kapitalkosten zu Betriebskosten, die Möglichkeit Ressourcen nach Bedarf zu nutzen und die Vielzahl von Cloud-Angeboten zu nutzen (SaaS, PaaS, IaaS). Doch diese flexiblen und agilen Cloud-Lösungen bringen auch Sicherheitsrisiken mit sich. Die Ausnutzung der Risiken kann zu hohen finanziellen und rechtlichen Konsequenzen führen, sowie der Reputation des Unternehmens schaden.

Umso wichtiger ist es in der heutigen digitalen Welt, ein umfassendes Verständnis für Cloud Security zu entwickeln und geeignete Maßnahmen zu ergreifen, um Ihre Daten und Systeme zu schützen. Dieser Blog beschreibt die grundlegenden Prinzipien und Best Practices der Cloud-Sicherheit, die Unternehmen helfen können, ihre Cloud-Umgebungen sicher und effizient zu nutzen.

Das Shared Responsibility Model

Eines der wichtigsten Konzepte in der Cloud Security ist das Shared Responsibility Model. Es beschreibt, wie die Sicherheitsverantwortung zwischen dem Cloud-Anbieter und dem Cloud-Kunden aufgeteilt wird. Dieses Modell ist von entscheidender Bedeutung, um sicherzustellen, dass alle Sicherheitsaspekte in der Cloud abgedeckt sind. Bei der folgenden Auflistung sehen Sie, wer in welchem Punkt die Verantwortung trägt.

Verantwortung des Cloud-Anbieters

• Physische Sicherheit: Das beinhaltet die physische Sicherheit in den Rechenzentren, in denen die Cloud-Dienste gehostet werden. Dazu gehören die Zutrittskontrolle, der Brandschutz und die Wartung der Server.
  
• Netzwerksicherheit: Der Anbieter muss dafür schauen, dass die Integrität, die Verfügbarkeit und der Schutz des Netzes gewährleistet sind.
  
• Hypvervisor und Infrastruktur: Dies ist die Sicherheit der, die die physische Infrastruktur ableitet und in den virtuellen Maschinen aufteilt.

Verantwortung des Cloud-Kunden

• Datenmanagement und Sicherheit: Der Kunde muss die Integrität und Sicherheit der Daten, die in der Cloud gespeichert werden, sicherstellen. Ein Beispiel dafür ist die Verschlüsselung von Daten im Ruhezustand.
  
• Zugriffsmanagement und Identitätsverwaltung: Dies muss logischerweise auch der Kunde übernehmen. Er muss bestimmen, wer Zugriff auf welche Ressourcen haben darf. Der Anbieter stellt dafür einige Tools bereit, wie die MFA (Multifaktorauthentifizierung) und RBAC (Role-Based Access Control).

Nun wird zu jedem Modell ein Beispiel aufgezeigt:

SaaS: Bei Microsoft 365 übernimmt der Anbieter die Verantwortung für die Anwendung und Infrastruktur, während der Kunde die Benutzerkonten verwaltet.

PaaS: Ein Beispiel für PaaS ist die Google-App-Engine oder der Microsoft Azure App Service. Der Anbieter ist verantwortlich für die Virtualisierung, die Netzwerksicherheit und das Betriebssystem. Der Kunde übernimmt die Sicherheit der Anwendung durch Sicherheitsrichtlinien und die Sicherheitskonfiguration sowie das Zugriffsmanagement.

IaaS: In diesem Modell ist der Anbieter zum Beispiel Azure oder AWS verantwortlich für die physische Infrastruktur und des Netzwerk, sowie für die Serverhardware und die virtuellen Maschinen. Der Kunde sorgt für die Sicherheit, also die Datenverschlüsselung, die Zugriffsverwaltung und die Überwachung.

Zugangskontrollen und Identitätsmanagement

Ein essenzieller Bestandteil der Cloud Security sind Zugangskontrollen und Identitätsmanagement. Da Cloud-Dienste den Zugriff von verschiedenen Endpunkten und Nutzern ermöglichen, ist es umso wichtiger, diese Tools richtig zu nutzen. Sie dienen der Kontrolle und der Überwachung des Zugriffs sowie dem Vermeiden des unbefugten Zutritts.

Zugangskontrolle

Die Zugangskontrolle stellt sich die grundlegende Frage, wer was tun darf. Für die Konfiguration der Zugriffskontrollen in der Cloud gibt es verschiedene Tools, die von den Anbietern zur Verfügung gestellt werden.

• Multifaktorauthentifizierung (MFA): MFA ist mittlerweile sehr weit verbreitet, da es eine einfache Methode ist, die Zugangskontroller in einem System zu verbessern. MFA erfordert von dem Nutzer, dass sie sich nicht nur mit einem Passwort authentifizieren, sondern noch eine zweite Sicherheitsmassnahme verwenden. Das könnte zum Beispiel ein einmalig generierter Code (TAN) sein oder biometrische Identifikation.

• Role-Based Access Control (RBAC): Die Bedingung bei RBAC ist die Rolle eines Nutzers innerhalb einer Organisation. Jeder Benutzer erhält nur die Berechtigungen, die er für seine Tätigkeit braucht. Zum Beispiel erhält ein Arbeiter von der Abteilung A nur die Berechtigungen von Abteilung A und nicht die von Abteilung B. Somit wird das Risiko eines unerlaubten Datenzugriffs minimiert.

• Least Priveledge-Prinzip: Dieses Prinzip besagt, dass Nutzer nur die nötigsten Berechtigungen erhalten. Ein Praktikant erhält zum Beispiel nicht die Owner-Rolle, sondern nur die Reader-Rolle, da diese für seine Tätigkeiten genügt.

Identitätsmanagement

Nebst der Zugangskontrolle ist das Identitätsmanagement ebenfalls entscheidend, um sicherzustellen, dass nur autorisierte Personen Zugang zu den Cloud-Ressourcen haben.

• Zentralisierte Identitätsverwaltung: Die zentrale Verwaltung der Identitäten bringt viele Vorteile mit sich. Es vereinfacht das Steuern der Berechtigungen und Zugriffsrichtlinien. Dies erhöht die Sicherheit. Beispiele dafür sind AWS Identity and Access und Entra ID (früher Azure Active Directory).

• Verwaltung der externen Nutzer / Automatisierte Benutzerstellung: Heutzutage ist es nicht unüblich, externen Partnern, Kunden oder Lieferanten Zugriff auf bestimmte Cloud-Dienste zu gewähren. Identity Federation ermöglicht es, ohne das Erstellen eines separaten Accounts Zugriff für Externe zu ermöglichen. In diesem Szenario kommen auch die automatisierte Benutzerstellung und Deaktivierung ins Spiel. Durch die Automation wird die Verwaltung vereinfacht und gekündigte Mitarbeiter oder Externe, die Ihre Arbeit erledigt haben, verlieren automatisch den Zugriff.

Fazit

Cloud Security ist zentral für eine korrekte Nutzung der Cloud. Das Verständnis des Shared Responsibility Model ist wichtig, um zu verstehen, für welche Sicherheitsaspekte der Cloud-Anbieter und welche der Cloud-Nutzer zuständig sind. Effektive Zugangskontrollen und ein funktionales Identitätsmanagement stellen sicher, dass nur autorisierte Nutzer auf die Ressourcen zugreifen. Für eine langfristige Sicherheit in der Cloud braucht es kontinuierliche Sicherheitsanpassungen und stetige Implementierung der Best-Practices.