Cloud Security Posture Management erklärt

Warum ist CSPM wichtig?

Wenn viele Unternehmen in die Cloud wechseln, gehen sie davon aus, dass der Cloud-Anbieter – sei es Amazon Web Services (AWS), Google Cloud, Microsoft Azure oder ein anderer – vollständig für die Cloud-Sicherheit verantwortlich ist. Doch jeder uns bekannte Cloud-Sicherheitsvorfall wurde durch Fehlkonfigurationen in der Cloud verursacht, für die Cloud-Kunden und nicht die Anbieter verantwortlich waren.

Mit CSPM können Unternehmen Sicherheits- und Compliance-Risiken mithilfe automatisierter Prüfungen erkennen und mindern. Cloud-Nutzer können potenzielle Fehlkonfigurationen erkennen, die zu Datenschutzverletzungen führen können. Mehr als die Hälfte der Befragten unserer Umfrage zum Stand der Cloud-nativen Anwendungssicherheit war von einem Vorfall aufgrund einer Fehlkonfiguration oder bekannter Schwachstellen betroffen – ein deutliches Zeichen dafür, dass eine CSPM-Lösung für umfassende Cloud-Sicherheit unverzichtbar ist.

Was verursacht Fehlkonfigurationen in der Cloud-Sicherheit?

Eine Fehlkonfiguration in der Cloud liegt vor, wenn geeignete Kontrollen für Anwendungen, Container, Infrastruktur und andere Softwarekomponenten nicht implementiert werden. Solche Probleme treten häufig auf, wenn Unternehmen keinen vollständigen Überblick über ihre gesamte Infrastruktur und die Interaktionen zwischen Containern, Kubernetes und Cloud-Diensten haben. In manchen Fällen verwenden Unternehmen auch standardmäßige Sicherheitseinstellungen oder Zugangsdaten, die aus Sicherheitssicht nicht immer ausreichend sind.

Das Modell der geteilten Verantwortung

Wie bereits erwähnt, sind Cloud-Anbieter nicht allein für die Sicherheit verantwortlich. Vielmehr teilen sich der Cloud-Anbieter und das Unternehmen, das öffentliche Cloud-Dienste nutzt, die Verantwortung.

Dieses Modell der geteilten Verantwortung hängt von der Art der Infrastruktur ab, die ein Unternehmen nutzt. Für die Sicherheit einer lokalen Infrastruktur ist das Unternehmen vollständig verantwortlich, bei einer Cloud-Infrastruktur trägt es weniger Verantwortung:

• Infrastructure as a Service (IaaS): Der Cloud-Anbieter verwaltet die physische Hardware, Infrastruktur, das Netzwerk und den Speicher.

• Platform as a Service (PaaS): Zusätzlich zur Infrastruktur verwaltet der Cloud-Anbieter auch das Betriebssystem, die Umgebung und alles Weitere, was für den Betrieb von Anwendungen benötigt wird.

• Software as a Service (SaaS): Der Cloud-Anbieter verwaltet die Infrastruktur, die Plattform und die Software selbst.

Auch wenn der Cloud-Anbieter beim Wechsel von IaaS zu SaaS zunehmend mehr Verantwortung übernimmt, ist das Unternehmen weiterhin dafür verantwortlich, die Interaktion der Nutzer mit der Cloud durch geeignete Konfigurationen abzusichern.

CSPM-Anwendungsfälle

CSPM ist ein Cybersicherheitstool mit zahlreichen Anwendungsfällen, darunter Bedrohungserkennung, Reaktion auf Sicherheitsvorfälle, Compliance und Absicherung der Infrastruktur.

Bedrohungserkennung

CSPM kann Bedrohungen proaktiv in mehreren Cloud-Umgebungen erkennen. Durch die kontinuierliche Bedrohungserkennung erhalten Unternehmen einen zentralen Überblick über Fehlkonfigurationen und verdächtige Aktivitäten, sodass sie ihre Gefährdung bewerten und minimieren können.

Reaktion auf Sicherheitsvorfälle

Eine weitere wichtige Funktion einer CSPM-Lösung ist die Erkennung von Anzeichen für eine Kompromittierung, etwa wenn ein Angreifer angenommene IAM-Rollen ändert oder die Verschlüsselung deaktiviert. Zudem kann sie das Unternehmen auf Schwachstellen durch Fehlkonfigurationen aufmerksam machen. Dank der Funktionen zur Reaktion auf Sicherheitsvorfälle können Unternehmen erkannte Bedrohungen zentral einsehen und schnell sowie effizient abwehren.

Compliance

CSPM-Lösungen können außerdem die kontinuierliche Überwachung und Berichterstellung zur Einhaltung von HIPAA, SOC 2 und anderen Vorschriften ermöglichen. So können Unternehmen Verstöße gegen Compliance-Vorgaben bei der Nutzung öffentlicher Cloud-Dienste vermeiden und interne Sicherheitsrichtlinien durchsetzen.

Infrastruktur absichern

Zur Absicherung der Infrastruktur kann CSPM Fehlkonfigurationen in Konfigurationsdateien erkennen. So können Unternehmen besser nachvollziehen, wie verschiedene Cloud-Dienste miteinander interagieren. Außerdem wird verhindert, dass Anwendungen in unsicheren Cloud-Umgebungen bereitgestellt werden.

CSPM und DevSecOps

Da Infrastructure as Code (IaC) für die Entwicklung und Verwaltung von Cloud-Infrastrukturen immer beliebter wird, übernehmen Entwickler zunehmend Verantwortung für Cloud-Umgebungen. Daher müssen Entwicklungs-, DevOps- und Sicherheitsteams die Verantwortung für die Cloud- und Infrastruktursicherheit gemeinsam tragen.

Dieser DevSecOps-Ansatz integriert Sicherheit in den gesamten Softwareentwicklungslebenszyklus (SDLC), einschließlich automatisierter IaC-Bereitstellungen. Da Cloud-Infrastruktur mithilfe von Konfigurationsdateien bereitgestellt und verwaltet wird, können bei IaC-Bereitstellungen Fehlkonfigurationen auftreten. CSPM kann IaC-Bereitstellungen überwachen, anfällige Konfigurationen erkennen und Entwicklungsteams dabei unterstützen, diese Sicherheitsprobleme zu beheben.

Policy as Code (PaC) ist ein weiteres Tool, das sich im Rahmen eines DevSecOps-Ansatzes mit einer CSPM-Lösung kombinieren lässt. PaC prüft anderen Code und laufende Umgebungen auf unerwünschte Bedingungen oder unsichere Konfigurationen. PaC ermöglicht Sicherheitsautomatisierung und unterstützt alle Beteiligten an der Cloud dabei, sicher zu arbeiten – ohne Unklarheiten oder Meinungsverschiedenheiten darüber, welche Regeln gelten und wie sie in jeder Phase des Softwareentwicklungslebenszyklus (SDLC) anzuwenden sind.

CSPM-Lösungen lassen sich mit einer Sicherheitsplattform für Cloud-native Anwendungen kombinieren, um sowohl die Anwendungen selbst als auch die Cloud-first-Umgebungen, in denen sie ausgeführt werden, besser abzusichern. Durch die kürzlich erfolgte Übernahme von Fugue durch Snyk erhalten Unternehmen mehr Kontext zu den Auswirkungen von Fehlkonfigurationen in der Cloud. So können Entwicklungsteams diese einfacher beheben. Viele Funktionen von Fugue haben wir bereits in das Produkt Snyk IaC integriert; weitere werden folgen.

Häufig gestellte Fragen

Warum brauchen wir CSPM?

Die meisten Unternehmen verfügen über Cloud-Sicherheitsprozesse, um absichtliche Angriffe durch externe Angreifer und interne Akteure zu erkennen. Es gibt jedoch auch unbeabsichtigte Sicherheitsrisiken. Fehlkonfigurationen in der Cloud – etwa die Verwendung von Standardeinstellungen oder unzureichenden Zugriffskontrollen – können Unternehmen weiterhin angreifbar machen. Cloud Security Posture Management (CSPM) erkennt Fehlkonfigurationen in der gesamten Cloud-Infrastruktur automatisch, von Containern und Kubernetes bis hin zu Multi-Cloud-Umgebungen.

Was ist der Unterschied zwischen CSPM und CASB?

Ein Cloud Access Security Broker (CASB) setzt Sicherheitsrichtlinien durch, wenn Unternehmen Cloud-Ressourcen nutzen. Die CASB-Lösung fungiert als Firewall und stellt sicher, dass Nutzer im Einklang mit den Unternehmensrichtlinien mit der Cloud interagieren. Im Gegensatz dazu sorgt eine Cloud-Security-Posture-Management-Lösung (CSPM) dafür, dass Cloud-Ressourcen sicher konfiguriert sind, indem sie potenzielle Fehlkonfigurationen automatisch erkennt.

Was ist der Unterschied zwischen CSPM und CWPP?

Eine Cloud Workload Protection Platform (CWPP) ist eine Sicherheitslösung, die Workloads in älteren Rechenzentren, Private Clouds und öffentlichen Cloud-Umgebungen schützt. Cloud Security Posture Management (CSPM) konzentriert sich auf Cloud-Umgebungen, während CWPP Workloads unabhängig davon schützt, wo sie bereitgestellt werden. Beide Cybersicherheitstools dienen jedoch dem Schutz sensibler Daten in der Cloud.