In fünf Schritten Datenpannen in der Cloud vermeiden

Sophos gibt Unternehmen Tipps zum Schutz von Daten in der Cloud. Wichtig dabei: wissen, wofür man selbst verantwortlich ist. [...]

Beispiele für einen unautorisierten Zugriff auf Cloud-Server-Daten waren vor einiger Zeit die persönlichen Daten von mehr als 10,6 Millionen Hotelgästen der MGM-Ressorts, die in einem Hacking-Forum veröffentlicht wurden. Sophos zeigt geeignete Maßnahmen auf, die Unternehmen ergreifen können, um nicht Opfer eines Angriffs auf die Public Cloud zu werden. Wichtig ist hierbei insbesondere auch, zu wissen, für welche sicherheitsrelevanten Aspekte Unternehmen beim Speichern von Daten in der Public Cloud selbst verantwortlich sind.

Public-Cloud-Anbieter wie AWS, Azure und Google bieten Kunden ein hohes Maß an Flexibilität bei der Erstellung ihrer Cloud-Umgebungen. Eine Konsequenz all dieser Flexibilität ist jedoch, dass die Anbieter die virtuellen Netzwerke, virtuellen Maschinen oder Daten ihrer Kunden in der Cloud nicht vollständig schützen können. Stattdessen führen sie ein Shared Responsibility-Modell aus – sie gewährleisten die Sicherheit der Cloud, während die Unternehmen als Kunden wiederum für alles verantwortlich sind, was sie in der Cloud platzieren.

Aspekte wie der physische Schutz im Rechenzentrum, die virtuelle Trennung von Kundendaten und Umgebungen – all dies wird von den Public-Cloud-Anbietern erledigt.
Sicherlich erhalten Unternehmen einige grundlegende Empfehlungen, etwa den Firewall-Typ, um den Zugriff auf ihre Umgebung zu regeln. Wenn diese jedoch nicht richtig konfiguriert wird, und beispielsweise Ports für die ganze Welt offenstehen, liegen Problem wie auch Verantwortung beim Kunden selbst. Es ist also wichtig, sich klar zu machen, wofür man selbst verantwortlich ist und entsprechend zu handeln.

Sophos beschreibt fünf Schritte, die das Risiko eines Cloud-basierten Angriffs minimieren und Daten in der Cloud schützen können.

Schritt 1: Anwenden von lokalen Sicherheitskenntnissen

Die Sicherheit vor Ort ist das Ergebnis jahrzehntelanger Erfahrung und Forschung. Wenn Cloud-basierte Server vor Infektionen und Datenverlust geschützt sein sollen, macht es Sinn, geeignete Sicherheitsmechanismen aus der traditionellen Infrastruktur auch für die Cloud anzupassen:

• Firewall der nächsten Generation: Um zu verhindern, dass Bedrohungen auf Cloud-basierte Server gelangen, sollte eine Web Application Firewall (WAF) am Cloud-Gateway installiert werden. Auch auf IPS (zur Unterstützung der Compliance) und die Kontrolle ausgehender Inhalte ist zu achten, um Server- beziehungsweise VDI-Umgebungen zu schützen.
• Hier sind Lösungen wie die Sophos XG Firewall hilfreich, die Cloud- und Hybridumgebungen schützen.  Mit vorkonfigurierten virtuellen Maschinen in Azure und AWS können sie schnell einsatzbereit sein.
• Server-Host-Schutz: Genau wie auf den physischen Servern, sollte auch auf Cloud-basierten Servern ein effektiver Cybersicherheitsschutz zum Einsatz kommen.
• Lösungen mit Künstlicher Intelligenz wie etwa Sophos Intercept X für Server schützen AWS- und Azure-Workloads vor den neuesten Bedrohungen.
• Endpunktsicherheit und E-Mail-Schutz: Während sich das Netzwerk möglicherweise in der Cloud befindet, bleiben Laptops und andere Geräte hingegen in einem traditionellen physischen Umfeld, und es bedarf lediglich einer Phishing-E-Mail oder Spyware, um Benutzeranmeldeinformationen für die Cloud-Konten zu stehlen.

Unternehmen sollten sicherstellen, dass die Endpunkt- und E-Mail-Sicherheit auf allen Geräten auf dem neuesten Stand sind, um den unbefugten Zugriff auf Cloud-Konten zu verhindern.

Schritt 2: Identifizieren aller Cloud-Assets

Wenn man Daten in der Public Cloud nicht sehen kann, kann man diese auch nicht sichern. Aus diesem Grund ist einer der wichtigsten Faktoren für die Cloud-Sicherheit die komplette Sichtbarkeit der Infrastruktur und des Verkehrsflusses. Auf diese Weise können Anomalien im Verkehrsverhalten identifiziert werden, z. B. Datenexfiltration.

Schritt 3: Erstellen eines vollständigen Inventars

Wichtig ist ein vollständiges Inventar des gesamten Cloud-Umgebung, einschließlich Server- und Datenbankinstanzen, Speicherdiensten, Datenbanken, Containern und Funktionen ohne Server.

Neben dem Inventar sollten auch Schwachstellen beleuchtet werden. Mögliche Risikobereiche sind:

• Datenbanken mit Ports, die für das öffentliche Internet geöffnet sind und auf die Angreifer zugreifen können
• Öffentliche Cloud-Speicherdienste
• Öffentliche virtuelle Festplatte/Laufwerke sowie Elastic Search-Domänen

Schritt 4: Regelmäßige Überprüfung der Identitäten und Zugriffsrechte

Benutzerrollen, Berechtigungen und der rollenbasierte Zugriff auf Cloud-Dienste muss aktiv verwaltet werden. Das Ausmaß und die Verflechtung des Zugriffs von Einzelpersonen und Gruppen auf Dienste stellen eine enorme Herausforderung dar und Angreifer werden diese Sicherheitslücke ausnutzen.

Unternehmen sollten sicherstellen, dass sie über alle Zugriffstypen und deren Rechte zu Cloud-Diensten detailliert Bescheid wissen. So kann ein überprivilegierter Zugriff identifiziert werden, um die Richtlinien entsprechend anzupassen. Wenn ein Hacker diese Anmeldeinformationen erst einmal erhalten hat, kann er weit und breit in Cloud-Konten nach vertraulichen Daten suchen.

Schritt 5: Überwachen des Netzwerkverkehrs

Die kontinuierliche Suche nach verräterischen Anzeichen für eine Verletzung im Netzwerkverkehr ist wichtig. Ungewöhnliche Lastspitzen sind ein Schlüsselindikator für die Datenexfiltration.

Aufgrund der Dynamik In der Cloud sind Verkehr und Ressourcen jedoch häufig sehr dynamisch, sodass selbst Experten Schwierigkeiten haben können, alle Datenbewegungen zu verfolgen und einzuschätzen. Die Künstliche Intelligenz (KI) ist hilfreich, um ein Bild davon zu erstellen, was „normaler“ Datenverkehr ist. Wenn Aktivitäten außerhalb von „normal“ stattfinden, kann die KI sofort auf ungewöhnliches und möglicherweise böswilliges Verhalten aufmerksam machen oder sogar automatisiert reagieren.