Als Christina Shannon im vergangenen Jahr ihre neue Position als Global Chief Information Security Officer (CISO) bei Catalina USA antrat, war sie verblüfft, ein Unternehmen mit mehr als 40 Cloud-Umgebungen vorzufinden.
Das Marketingunternehmen, das dafür bekannt ist, Gutscheine auf der Grundlage der Einkäufe der Kunden an der Kasse zu erstellen, hatte bereits seit einiger Zeit den Übergang von Papier zu digitalen Medien vollzogen. As part of that shift, the company wanted to provide shopping discounts on smartphones, which meant moving 100% to the cloud.
Aus Shannons Sicht bedeutete dies, dass das IT-Sicherheitsteam damit beginnen musste, cloudnative Sicherheitstools zu implementieren, um seine Fähigkeit zur Erkennung, zum Schutz und zur Wiederherstellung von Ressourcen über mehrere Clouds hinweg zu verbessern.
„Ich geriet in eine Situation, in der wir all diese Cloud-Umgebungen hatten, und mein Sicherheitsteam befasste sich mit keiner davon“, erinnert sich Shannon. „Sie haben sich lediglich damit befasst, was sich in einem Rechenzentrum befand, und dabei die Hälfte der für die Quantifizierung von Cyberrisiken erforderlichen Transparenz im Bereich der „ “ außer Acht gelassen.“
Der Einsatz von Cloud-Computing birgt Sicherheitsrisiken
Catalina ist nicht die Einzige. Während Unternehmen in Scharen in die Cloud wechseln, haben viele dabei versäumt, zuvor solide Sicherheitsstrategien einzuführen, um ihre Ressourcen über mehrere Cloud-Umgebungen hinweg zu schützen.
Dies stellt ein ernstes Problem dar, da 73 % der Unternehmen – die sich nicht an die Plattform eines einzelnen Cloud-Dienstanbieters (CSP) binden möchten – ihre Daten mittlerweile in mehreren öffentlichen Clouds wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud speichern, wie aus einer Umfrage von Splunk im Rahmen der „ “ hervorgeht (). Das Fehlen von Sicherheitsvorkehrungen zur Bewältigung der zunehmenden Verbreitung von Cloud-Umgebungen hat dazu beigetragen, dass 45 % der Unternehmen in den letzten 12 Monaten von datenbezogenen Sicherheitsverletzungen in der Cloud oder nicht bestandenen Audits betroffen waren, wie aus der 2022 . Thales-Studie zur Cloud-Sicherheit hervorgeht.
Eine derart unkontrollierte Komplexität kann für jede IT-Sicherheitsabteilung zum Albtraum werden, da sie zu Fehlkonfigurationen in der Cloud und bei Firewalls führt, die opportunistischen Hackern Einfallstore öffnen. Tatsächlich heißt es laut Gartner unter , dass 99 % der Cloud-Sicherheitsvorfälle bis einschließlich 2025 „auf das Verschulden des Kunden zurückzuführen sein werden“. Twitch, , Uber, , Imperva sowie eine Vielzahl von Unternehmen, deren Cloud-Systeme aufgrund von Konfigurationsfehlern angegriffen wurden, können dies unter
bestätigen.
Die Umsetzung bewährter Verfahren zur Cybersicherheit sowohl in lokalen als auch in Cloud-Infrastrukturen ist keine leichte Aufgabe. Die Umsetzung kann Jahre in Anspruch nehmen, was zum Teil daran liegt, dass sich digitale Umgebungen ständig verändern. Und selbst wenn ein Unternehmen seine eigenen Abläufe im Griff hat, haben Partner ihre Clouds, Netzwerke und Produkte möglicherweise nicht ausreichend abgesichert.
[Lesen Sie auch: So begegnen Sie Risiken durch Dritte]
„Wenn Unternehmen Multicloud-Umgebungen einführen, müssen sie
bedenken, dass Cyberangriffe oft deshalb erfolgreich sind, weil sie
eine umfangreiche Lieferkette von Technologieanbietern ausnutzen“, sagt Nataraj Nagaratnam, Chief Technology Officer (CTO) für Cloud-Sicherheit bei IBM. „Angesichts dieser Komplexität können böswillige Akteure leicht
Schwachstellen ausnutzen, die durch Fehlkonfigurationen oder
unsichere Vorgehensweisen entstanden sind.“
Für jede Cloud ist eine spezielle Cybersicherheit erforderlich
Experten weisen darauf hin, dass es wichtig ist, sich bewusst zu machen, dass jede Cloud wahrscheinlich ihre eigenen Sicherheitsherausforderungen und -lösungen mit sich bringt. Pauschale Ansätze und Werkzeuge werden daher nicht funktionieren.
“„Ich geriet in eine Situation, in der wir all diese Cloud-Umgebungen hatten, und mein Sicherheitsteam befasste sich mit keiner davon.“Christina Shannon, CISO, Catalina USA
„Die größte Herausforderung bei der Absicherung von Multicloud-Umgebungen besteht darin, zu erkennen, dass jeder Cloud-Dienst grundlegende Sicherheitsfunktionen auf leicht unterschiedliche Weise implementiert und überwacht“, sagt John Pescatore, Leiter des Bereichs „Emerging Security Trends“ beim SANS Institute. „Ihre Sicherheitsmaßnahmen müssen entsprechend angepasst werden, damit sie in diesem Zusammenhang funktionieren.“
Bei öffentlichen Clouds sollten Unternehmen zunächst die von den CSPs selbst bereitgestellten Tools nutzen. Microsoft Azure bietet beispielsweise integrierte Kontrollmechanismen und Dienste in den Bereichen Identitätsmanagement, Daten, Netzwerke und Anwendungen. AWS bietet unterdessen grundlegende Datenschutzfunktionen, Identitäts- und Zugriffsmanagement (IAM), Managed Detection and Response (MDR) sowie Netzwerk- und Anwendungsschutz.
Bewältigung der Sicherheitsherausforderungen in Multicloud-Umgebungen durch einen ganzheitlichen Ansatz
Obwohl CSP-Tools zuverlässig sind, funktionieren sie am besten in ihren eigenen Cloud-Umgebungen.
Die meisten Unternehmen benötigen eine Kombination aus sich ergänzenden Tools und Verfahren, um eine umfassende Multicloud-Abdeckung zu erreichen. Ein ganzheitlicher Ansatz gewinnt zunehmend an Bedeutung – dies ist auf den Aufstieg von „ “ und der Containerisierung zurückzuführen, die Anwendungen voneinander isolieren, sowie auf die zunehmende Verbreitung von Microservices, die die Elemente einer Anwendung lose miteinander verknüpfen. Diese Strategien tragen dazu bei, dass Anwendungen in verschiedenen Clouds ausgeführt werden können, und alle müssen entsprechend gesichert werden.
Um die Transparenz und Sicherheit in einer Multi-Cloud-Umgebung zu gewährleisten, empfehlen Experten neben dem Einsatz von CSP-Tools einige weitere Maßnahmen.
- Integrieren Sie Sicherheit in DevOps. Philip Bues, Forschungsleiter bei IDC Cloud Security, stellt fest, dass viele Unternehmen über mehrere interne Entwickler verfügen, die Code für private und öffentliche Clouds schreiben, der zwar aus funktionaler Sicht hervorragend funktioniert, aber nicht unbedingt von Haus aus sicher ist. Er erklärt, dass jede Cloud-Sicherheitsstrategie eine Komponente namens „: Shift Left“ beinhalten sollte, womit gemeint ist, dass mehr Betriebs- und Sicherheitstests bereits in den frühesten Phasen der Entwicklung jeder cloudbasierten Software oder jedes cloudbasierten Dienstes durchgeführt werden.
- Führen Sie eine Endgeräteschutzplattform ein. In 94 % der Unternehmen sind bis zu 20 % der Endgeräte unbekannt. Heutzutage greift jeder dieser Endpunkte auf eine öffentliche oder private Cloud zu und ist dadurch der Gefahr ausgesetzt, dass Daten nicht sicher sind. Endpoint-Schutzplattformen (EPPs) bieten eine Kombination aus Sicherheitshygiene, Bedrohungserkennung und Reaktion auf Sicherheitsvorfälle sowie Funktionen für das IT- -Asset-Management und das Betriebsmanagement.
[Lesen Sie auch: Forensik-Teams müssen schnell handeln, um Sicherheitsverletzungen zu beheben]
- Ziehen Sie die MDR-Technologie in Betracht. Shannon berichtet, dass eine der ersten Maßnahmen ihres Sicherheitsteams nach ihrer Ankunft darin bestand, herauszufinden, welche der 40 Clouds von Catalina die wichtigsten Ressourcen enthielten. „Dort war die Wahrscheinlichkeit von Sicherheitsverletzungen am größten“, sagt sie. Anschließend setzten sie eine Kombination aus cloud-nativen Sicherheitstools ein, um diese Standorte besser zu überwachen, zu verwalten und zu schützen. Shannons Team wollte die Sicherheit von der Cloud auf die Endgeräte ausweiten und setzte daher MDR-Tools zusätzlich zum Endgeräteschutz von „ “ ein.
- Räumen Sie dem Schwachstellenmanagement Priorität ein. Brian Bobo, CISO bei Greenway Health, einem mittelständischen Anbieter von Software für elektronische Patienten en ( ), nutzt ebenfalls MDR und EPP. Er ist jedoch der Ansicht, dass auch Technologien für das Schwachstellenmanagement erforderlich sind, um bekannte Schwachstellen in einem System zu identifizieren, zu klassifizieren und zu beheben. „Die meisten Unternehmen widmen dem Schwachstellenmanagement nicht so viel Aufmerksamkeit, wie sie es meiner Meinung nach sollten“, sagt Bobo. „Meiner Meinung nach sollte das Schwachstellenmanagement oberste Priorität haben, selbst wenn Sie sonst nichts anderes tun.“ „Sie können über die beste Technologie der Welt verfügen, doch schon eine einzige Sicherheitslücke kann es einem Angreifer ermöglichen, all das zu umgehen und Ihr System zu kompromittieren.“
- Bewerten Sie Lösungen für die Verwaltung von Kryptoschlüsseln. Um sicherzustellen, dass kontrolliert werden kann, wer Daten entschlüsseln darf, ist es laut Nagaratnam von IBM wichtig, Verschlüsselungsschlüssel über ein einziges Dashboard einsehen, bereitstellen und verwalten zu können. Diese einheitliche Übersicht kann dazu beitragen, die Abläufe zu vereinfachen und es Unternehmen ermöglichen, Workloads sicher in verschiedenen Umgebungen auszuführen. Außerdem könne dies den IT- und Rechtsabteilungen dabei helfen, die Einhaltung der Vorschriften zur Datenhoheit schneller nachzuweisen, fügt er hinzu.
[Lesen Sie auch: „Regulierungswahn“ setzt multinationale Unternehmen unter Druck]
- Führen Sie Penetrationstests durch. Shannon empfiehlt zudem, regelmäßig Penetrationstests durchzuführen, um zu überprüfen, wie gut die derzeitigen Sicherheitsmaßnahmen funktionieren. „Ich identifiziere bestimmte Risiken für das Unternehmen, die mir Sorge bereiten, und prüfe dann, wie unsere Situation im Hinblick auf Penetrationstests aussieht“, sagt sie. „Ich habe beispielsweise gerade eine solche Analyse durchgeführt, um zu ermitteln, wie hoch die Wahrscheinlichkeit ist, dass ein Angriff durch die Ransomware ‚ ‘ aufgrund einer Schwachstelle in der Cloud auftritt.“ Shannon hatte erfahren, dass das Unternehmen die Sicherungskopien für den Fall eines Angriffs segmentiert hatte, wollte dies jedoch nachweisen. Daher führte sie einen Penetrationstest durch, um festzustellen, wie leicht jemand seine Zugriffsrechte erweitern könnte, um einen systemweiten Angriff zu starten.
Das Fazit hinsichtlich der Absicherung einer Multi-Cloud-Infrastruktur lautet: Unternehmen müssen bewährte Verfahren und Tools bereits ab dem Zeitpunkt der Konzeption und Programmierung von Umgebungen sowie über deren gesamten Lebenszyklus hinweg einsetzen. Wolken schlafen nie. Und da Angriffe rund um die Uhr und über verschiedene Zeitzonen hinweg stattfinden, tun dies auch die Hacker, die sie angreifen, nicht.
