AWS-Sicherheit: Der umfassende Leitfaden zur Cloud-Sicherheit von Amazon

Das AWS-Sicherheitsmodell

Unternehmen, die Public-Cloud-Plattformen wie AWS nutzen, müssen sich ihrer Verantwortung für die Sicherheit bewusst sein. AWS verfolgt ein Modell der geteilten Verantwortung: Der Cloud-Anbieter sichert seine eigene Cloud-Infrastruktur, während die Kunden für den Schutz ihrer Daten und Workloads verantwortlich sind.

AWS sichert die Infrastrukturebene mit Firewalls, Verschlüsselung, Transport Layer Security (TLS) zwischen Services und weiteren Verfahren ab. Bei einigen verwalteten AWS-Services erstreckt sich die Sicherheitsverantwortung auch auf die Serviceebene. Wie wir im nächsten Abschnitt sehen werden, bietet AWS Services und Funktionen, mit denen Unternehmen ihre Anwendungen und Workloads absichern können. Die Verantwortung dafür liegt letztlich jedoch beim Kunden. Erfahren Sie mehr in unseren 8 Best Practices für AWS-Sicherheit.

AWS-Sicherheitsservices und -funktionen

Da Unternehmen, die AWS nutzen, auch die Verantwortung für die Cloud-Sicherheit übernehmen müssen, bietet Amazon zahlreiche Services und Sicherheitsfunktionen, die bei der Umsetzung von Sicherheitsrichtlinien helfen. Dazu gehören unter anderem folgende Cloud-Sicherheitsoptionen:

• Netzwerksicherheit: AWS bietet Kunden verschiedene Möglichkeiten, sich über private oder dedizierte Verbindungen sicher mit der Infrastruktur zu verbinden. Auch die Kommunikation zwischen verschiedenen AWS-Services wird mit TLS für die Verschlüsselung während der Übertragung abgesichert. Kunden können die Konfiguration flexibel anpassen. Diese und viele weitere Optionen ermöglichen es Kunden, den Datenschutz zu verbessern und den Netzwerkzugriff zu kontrollieren.

• Verschlüsselung: AWS bietet integrierte Verschlüsselung für verschiedene Datenbankservices und alle weiteren ruhenden Daten auf der Plattform. Darüber hinaus stellt AWS APIs bereit, mit denen sich Verschlüsselung und Datenschutz in beliebige Services integrieren lassen, die in einer AWS-Umgebung bereitgestellt werden. Mit dem AWS Key Management Service lassen sich außerdem kryptografische Schlüssel für die Verschlüsselung in AWS-Services und -Anwendungen einfacher verwalten.

• Konfigurationsmanagement: AWS bietet Tools, mit denen Unternehmen Ressourcen einfacher und schneller gemäß ihren Standards und Best Practices konfigurieren können. Dazu gehören Deployment-Tools zum Erstellen und Entfernen von AWS-Ressourcen sowie Inventar- und Konfigurationsmanagement-Tools, mit denen sich diese Ressourcen im Zeitverlauf nachverfolgen lassen.

• Identitäts- und Zugriffsmanagement (IAM): AWS bietet Funktionen zum Definieren von Benutzerkonten und Rollen. In Kombination mit sicheren Anmeldeoptionen wie AWS Multi-Faktor-Authentifizierung oder AWS IAM Identity Center (dem Nachfolger von AWS SSO) können Unternehmen den Benutzerzugriff auf Cloud-Ressourcen, Service-APIs und die AWS-Konsole verwalten und durchsetzen.

• Überwachung und Protokollierung: Mit AWS CloudTrail können Unternehmen Aktionen über AWS-APIs und die AWS-Konsole nachverfolgen. AWS GuardDuty kann außerdem böswillige Aktivitäten überwachen und das Unternehmen über AWS CloudWatch benachrichtigen. AWS CloudWatch ermöglicht die standardisierte Protokollierung über alle AWS-Services hinweg.

Sicherheitsprobleme und -bedenken bei AWS

Die Cloud und das Modell der geteilten Verantwortung bringen besondere Herausforderungen für die Cloud-Sicherheit mit sich. Eine davon ist, eine starke Anwendungssicherheit für Software zu gewährleisten, die auf der AWS-Plattform bereitgestellt wird.

Konkret müssen Unternehmen, die Software auf AWS ausführen, die Risiken der verschiedenen Komponenten ihrer AWS-Deployments berücksichtigen – vom Quellcode und den Open-Source-Abhängigkeiten bis hin zu den Containern und Infrastructure-as-Code-Konfigurationen (IaC), mit denen sie bereitgestellt werden.

Vorteile der AWS-Sicherheit

• Schützen Sie Ihre Daten: Die AWS-Infrastruktur wurde mit robusten Sicherheitsmaßnahmen entwickelt, um Ihre Privatsphäre zu schützen. Alle Daten werden sicher in hochmodernen AWS-Rechenzentren gespeichert.

• Vereinfachen Sie die Compliance: AWS unterstützt zahlreiche Compliance-Programme innerhalb seiner Infrastruktur und hilft Ihnen so, regulatorische Anforderungen mit bereits ausgefüllten Compliance-Abschnitten zu erfüllen.

• Senken Sie Ihre Kosten: Reduzieren Sie Ihre Ausgaben, indem Sie die AWS-Rechenzentren nutzen. Erreichen Sie höchste Sicherheitsstandards, ohne in eigene Einrichtungen investieren und diese verwalten zu müssen.

• Skalieren Sie nahtlos: Die AWS-Sicherheit skaliert mit Ihrer Cloud-Nutzung und schützt Ihre Daten unabhängig von der Größe und dem Wachstum Ihres Unternehmens.

Tools zum Scannen von AWS auf Schwachstellen

Ein wichtiger Aspekt bei der Absicherung von AWS ist das Scannen auf Schwachstellen. So ist es beispielsweise entscheidend, Terraform-Dateien auf Fehlkonfigurationen zu überprüfen, um die Sicherheit von Amazon EKS zu stärken. Dadurch können Unternehmen potenzielle Schwachstellen in Konfigurationsdateien erkennen, bevor diese zum Erstellen tatsächlicher AWS-Infrastrukturressourcen verwendet werden.

Snyk ist ein Advanced Technology Partner von AWS und hat den AWS Security Competency-Status erreicht, um Anwendungen abzusichern, die auf der AWS-Plattform bereitgestellt werden. Snyk lässt sich mit AWS-Services während des gesamten Softwareentwicklungslebenszyklus (SDLC) integrieren.

AWS auf Schwachstellen scannen – mit Snyk

Wie Snyk zu AWS passt

In den frühen Phasen des SDLC lässt sich Snyk integrieren in von AWS verwaltete Services für die Quellcodeverwaltung (AWS CodeCommit), Continuous Integration (AWS CodeBuild) und Continuous Delivery (AWS CodePipeline), um Probleme bereits während der Entwicklung zu erkennen.

Für die Sicherheit von Container-Images lässt sich Snyk in die verwalteten Services für die Container-Orchestrierung (Amazon EKS) und die Container-Registry (Amazon ECR) integrieren. So können Entwicklungsteams Schwachstellen in Containern erkennen und die Risiken containerisierter Anwendungen reduzieren.

Snyk kann YAML- und JSON-Vorlagendateien für den IaC-Service der Plattform (AWS CloudFormation) scannen, mit dem Unternehmen AWS-Ressourcen bereitstellen und verwalten, um potenzielle Fehlkonfigurationen zu erkennen. Snyk lässt sich außerdem in die Services für Serverless-Computing (AWS Lambda) und Serverless-Container (AWS Fargate) integrieren, um Schwachstellen in Open-Source-Code zu erkennen, der auf dieser Infrastruktur bereitgestellt wird.