Die 8 wichtigsten Best Practices für AWS-Sicherheit
18. Oktober 2022
0 Min. LesezeitDie Sicherheit in AWS zu verwalten, ist nichts für schwache Nerven. Mit Infrastructure-as-a-Service- (IaaS), Platform-as-a-Service- (PaaS) und Software-as-a-Service-Angeboten (SaaS) können Unternehmen, die AWS nutzen, auf eine Vielzahl von Anwendungen und Cloud-Services in großer Zahl zurückgreifen, die konfiguriert und abgesichert werden müssen.
Noch komplexer wird es dadurch, dass diese Ressourcen in einer Multi-Cloud- oder Hybridumgebung mit anderen lokalen und Cloud-Plattformen betrieben werden können, die Daten sicher integrieren und übertragen müssen.
Die Verwaltung der Sicherheit in AWS ist jedoch nicht schwierig, sofern Sie über Richtlinien, Standards und Verfahren verfügen – intern wie extern – und diese konsequent einhalten und durchsetzen. Dazu gehört, in Ihrer IT-Organisation ein umfassendes Verständnis des Modells der geteilten Verantwortung von AWS und der branchenweit anerkannten Best Practices zu fördern.
In diesem Beitrag erläutern wir die Bedeutung und Aufteilung der Verantwortlichkeiten im AWS-Modell der geteilten Verantwortung, gehen die wichtigsten Bestandteile einer AWS-Cybersicherheitsstrategie durch und stellen die acht wichtigsten Best Practices vor, mit denen Sie Ihre Daten, Ihren Code und Ihre Cloud-Workloads schützen.
Das AWS-Modell der geteilten Verantwortung verstehen
Unternehmen gehen oft davon aus, dass ihr Cloud-Anbieter auch umfassende Sicherheit gewährleistet, weil er ihre Umgebung hostet. Sicherheitsteams jeder Größe müssen sich unbedingt mit dem AWS-Modell der geteilten Verantwortung vertraut machen. Dieses Modell legt fest, dass AWS für die Sicherheit der Infrastruktur verantwortlich ist und Kunden für die Sicherheit aller Inhalte innerhalb dieser Infrastruktur.
Was bedeutet das in der Praxis? Ihre Organisation ist dafür verantwortlich, Ihre S3-Buckets zu konfigurieren, Zugriffe zu verwalten, den Netzwerkverkehr zu schützen und sicherzustellen, dass Ihr Code während des gesamten Entwicklungszyklus sicher ist. Auch wenn AWS die Infrastruktur absichert, kann vieles schiefgehen, wenn Sie nicht proaktiv dafür sorgen, dass alles, was Sie entwickeln, sicher konfiguriert ist.
Wie gehen Sie also vor? Beginnen Sie mit einer AWS-Cloud-Sicherheitsstrategie.
Eine AWS-Sicherheitsstrategie erstellen
Wahrscheinlich hat Ihre Organisation eine übergeordnete Sicherheitsstrategie (falls nicht, finden Sie hier einen Leitfaden mit Schritt-für-Schritt-Anleitung von TechTarget). Wenn Ihre gesamte Infrastruktur auf AWS aufbaut, berücksichtigt Ihre Strategie vermutlich alle Besonderheiten von AWS. Wurde AWS jedoch erst kürzlich eingeführt, haben Sie eine Migration durchgeführt oder arbeiten Sie in einer Hybrid- oder Multi-Cloud-Umgebung, sollten Sie AWS-Sicherheits-Best-Practices in diese Strategie integrieren.
Cloud-Sicherheit – und insbesondere die Cloud-Sicherheit von AWS – ist ein eigenes Thema. Der Vorteil der Cloud: Sie ist elastisch und skalierbar. Sie können Ressourcen nach Bedarf hoch- und herunterfahren und ganz nach Ihren Wünschen aufbauen. Der Nachteil: Dadurch wird Sicherheit deutlich komplexer als bei lokalen Systemen. Eine veraltete Cybersicherheitsstrategie schützt Ihre AWS-Ressourcen nicht angemessen. Nehmen Sie sich also die Zeit, eine Strategie zu entwickeln, die den vielfältigen Einsatzmöglichkeiten der Cloud gerecht wird.
Ihre Strategie sollte unter anderem Folgendes umfassen:
Transparenz in Ihren Cloud-Umgebungen
Zero-Trust-Richtlinien und -Verfahren
Cloud-native Sicherheitstools und -Plattformen
DevSecOps-Strategien, die Sicherheit in Entwicklungs-Workflows integrieren
Regelmäßige Patches und Updates für alle Technologien
Sicherheitsautomatisierung und Cloud-Automatisierung, wo immer möglich
Eine „Assume-breach“-Mentalität
Mehrschichtige Verteidigung durch Cybersicherheitsmaßnahmen
Sobald Sie Ihre Strategie festgelegt haben, können Sie sie mithilfe von AWS-Sicherheits-Best-Practices umsetzen. Diese Liste ist zwar nicht vollständig, doch die folgenden acht AWS-Best-Practices haben sich für Unternehmen in der Cloud als besonders wertvoll erwiesen.
1. Cloud-Sicherheitskontrollen implementieren und durchsetzen
Die grundlegendsten und wichtigsten Sicherheitskontrollen für Ihre AWS-Umgebungen sind Zugriffskontrollen. Gewähren Sie den Personen in Ihrer Organisation, die Zugriff benötigen, nur die minimal erforderlichen Cloud-Berechtigungen und beschränken oder entziehen Sie den Zugriff für alle anderen – insbesondere für Personen außerhalb Ihrer Organisation. Das ist grundlegend für ein gutes Identity and Access Management (IAM).
Das erreichen Sie mit folgenden Maßnahmen:
Multi-Faktor-Authentifizierung (MFA) verlangen
Single Sign-On (SSO) aktivieren
IAM-Benutzer erstellen, statt Anmeldedaten des Root-Benutzers für AWS-Konten gemeinsam zu nutzen
Starke Passwörter verlangen: mindestens 14 Zeichen mit einer Kombination aus Groß- und Kleinbuchstaben, Zahlen und Symbolen
Überprüfen Sie außerdem regelmäßig die Zugriffsrechte, um sicherzustellen, dass niemand mehr oder weniger Zugriff hat als erforderlich.
2. Planung der Bedrohungsabwehr und Incident Response
„Von einem Sicherheitsvorfall ausgehen“ – dieses Motto (in letzter Zeit leider auch im wörtlichen Sinne) begleitet Cybersicherheitsexperten seit mehr als einem Jahrzehnt. In diesem kürzlich erschienenen Artikel von Forbes erklärt der Autor Yaki Faitelson: „Jedes System, jedes Konto und jede Person kann jederzeit ein potenzieller Angriffsvektor sein. Bei einer so großen Angriffsfläche müssen Sie davon ausgehen, dass Angreifer mindestens einen Vektor überwinden – falls ihnen das nicht bereits gelungen ist.“
Das verdeutlicht, wie dringend ein umfassender Incident-Response-Plan benötigt wird. Ein guter Plan begrenzt die Kollateralschäden – oder den „Explosionsradius“, wie Faitelson es nennt – eines Cyberangriffs. Idealerweise kommt es gar nicht erst zu einem Sicherheitsvorfall. Ein umfassender Incident-Response-Plan beschreibt jedoch genau, wann und wo ein Vorfall am wahrscheinlichsten ist, wie Sie ihn möglichst schnell erkennen, welche Maßnahmen zur Eindämmung erforderlich sind und wie sich Ihre Organisation davon erholt. Lesen Sie unseren Artikel zu AWSSicherheitsrisiken, um zu erfahren, auf welche Probleme Sie vorbereitet sein sollten.
3. Erkennung, Überwachung und Alarmierung
Da Bedrohungen in vielen verschiedenen Formen auftreten, sind solide Prozesse und Lösungen für Erkennung, Überwachung und Alarmierung ein wesentlicher Bestandteil der AWS-Anwendungssicherheit. AWS bietet verschiedene Tools, die Sie bei der Entwicklung Ihrer Strategie unterstützen können, darunter:
Amazon GuardDuty – Verwaltete Bedrohungserkennung, die Ihre Workloads auf ungewöhnliche Aktivitäten überwacht, die auf böswillige Aktivitäten hindeuten könnten.
Amazon Macie – Bietet KI-gestützte Erkennung, Kategorisierung und den Schutz sensibler Daten in Ihren Umgebungen und sendet Warnmeldungen, wenn ein unbefugter Zugriff vermutet wird.
AWS Config Rules – Dieses Tool vergleicht die Konfiguration einer Ressource mit Ihren vorab festgelegten Konfigurationsregeln, damit Sie mögliche Compliance-Probleme erkennen können.
Amazon CloudWatch – Überwachungsservice für AWS-Ressourcen und alle Anwendungen, die Sie auf AWS ausführen.
AWS Security Hub – Bietet eine umfassende Übersicht über Ihre Umgebung und priorisiert alle Sicherheitswarnungen von AWS-Services wie Amazon GuardDuty, Amazon Inspector und Amazon Macie sowie von anderen Lösungen Drittanbieter.
4. Ihre Daten mit Verschlüsselung schützen
Regulierungsbehörden schreiben Verschlüsselung unter vielen Umständen vor. Sie bietet Ihren ruhenden Daten aber auch eine zusätzliche Schutzschicht. Sollten Ihre Zugriffskontrollen versagen, schützt die Verschlüsselung Ihre Daten vor allen, die sie sich angeeignet haben – unabhängig von deren Absichten.
AWS bietet Verschlüsselung für fast alle Services und außerdem ein flexibles Schlüsselmanagement. So können Sie entscheiden, ob AWS Ihre Schlüssel verwaltet oder Sie die vollständige Kontrolle behalten. Unabhängig von Ihrer Entscheidung sollten Sie ein Verschlüsselungs- und Schlüsselverwaltungssystem entwickeln oder einführen, damit verschlüsselte Daten und Entschlüsselungsschlüssel getrennt voneinander und nach sicheren, strengen Verfahren gespeichert werden.
5. Sichern Sie Ihre Daten
Dringt ein Angreifer in ein System ein, kann sein Ziel von der Entfernung oder dem Diebstahl von Daten bis hin zum Lahmlegen des Systems reichen. Unabhängig vom Ergebnis sind Datensicherungen entscheidend, damit Sie verlorene Informationen wiederherstellen können.
AWS Backup ist die einfachste Lösung, um Ihre Daten sicher aufzubewahren und wiederherstellen zu können. Der Service ist in der kostenlosen Amazon-EC2-Stufe verfügbar und unterstützt zahlreiche weitere Services, darunter S3-Buckets, EBS-Volumes und DynamoDB-Tabellen. Sie können Ihre Backups ganz einfach über die Konsole automatisieren, Sicherungsrichtlinien und -anforderungen erstellen und diese Richtlinien anschließend mithilfe des Tagging-Systems auf andere AWS-Ressourcen anwenden.
6. AWS auf dem neuesten Stand halten
Es steht außer Frage, dass Patches und Updates für die Sicherheit Ihrer Cloud-Umgebungen unverzichtbar sind. Manche IT-Verantwortlichen schieben sie dennoch auf oder räumen ihnen gegenüber dringlicheren Aufgaben eine niedrigere Priorität ein. Lassen Sie das in Ihrer Organisation nicht zu.
Sie müssen Ihre AWS-Server mit Patches aktuell halten, auch wenn sie nicht öffentlich zugänglich sind. Veraltete Infrastruktur öffnet Hackern Tür und Tor. Ein versäumter Sicherheitspatch sollte nicht darüber entscheiden, ob der Tag in der Cybersicherheit ruhig bleibt oder es zu einem Sicherheitsvorfall kommt. Wenn Ihnen die Zeit fehlt, können Sie AWS Patch Manager nutzen, um Patches für Betriebssysteme und Anwendungen automatisiert einzuspielen, oder einen Serviceanbieter damit beauftragen. Diese einfache Best Practice konsequent umzusetzen, ist unverzichtbar.
7. Regulatorische Compliance planen
Insbesondere in stark regulierten Branchen wie dem Gesundheitswesen, dem Finanzdienstleistungssektor und dem öffentlichen Dienst müssen Sie die Datenschutz- und Sicherheitsgesetze für personenbezogene Daten (PII), Finanzdaten und den Datenschutz einhalten.
AWS unterstützt Sicherheits- und Compliance-Standards wie HIPAA/HITECH, FedRAMP, DSGVO und FIPS 140-2. Aufgrund des Modells der geteilten Verantwortung liegt es jedoch weiterhin an Ihnen, dafür zu sorgen, dass Ihre Daten, Cloud-Workloads und Infrastrukturkonfigurationen den Vorgaben der Aufsichtsbehörden entsprechen und die Cloud-Compliance gewährleisten.
8. Sicherheit über Ihren gesamten Entwicklungs-Workflow hinweg skalieren
Eine AWS-Sicherheitsstrategie ist unvollständig, wenn sie nur Ihre Cloud-Infrastruktur berücksichtigt. Ebenso wichtig ist eine Strategie, die alle Entwicklungsphasen abdeckt – von der Programmierung der Infrastruktur über das Schreiben des Anwendungscodes bis hin zur Laufzeit.
Infrastructure as Code und Code-Scanning-Lösungen wie Snyk integrieren wirksame Sicherheitsmaßnahmen in Ihre AWS-Entwicklungs-Workflows. Mit Snyk AWS Scanning erkennen Sie Sicherheitslücken und Fehler bereits während der Entwicklung. So können Sie Probleme erkennen und beheben, bevor Ihre Anwendungen überhaupt die Produktionsumgebung erreichen.
Starten Sie mit einer cloud-nativen Sicherheitslösung
Während lokale Infrastrukturen zunehmend der Vergangenheit angehören, wird cloud-native Sicherheit in modernen Organisationen eine zentrale Rolle spielen. In unserem Bericht zu Cloud Native Application Security (CNAS) stuften 99 % der Befragten Sicherheit als Bestandteil ihrer cloud-nativen Strategie ein.
Die NSA nennt Fehlkonfigurationen als einen weiteren wichtigen Bereich der cloud-nativen Sicherheit: „Cloud-Service-Provider (CSPs) bieten häufig Tools für die Verwaltung von Cloud-Konfigurationen. Fehlkonfigurationen von Cloud-Ressourcen sind jedoch weiterhin die häufigste Cloud-Sicherheitslücke.“ Über 56 % der Befragten in Snyks CNAS-Bericht hatten bereits einen Vorfall mit Fehlkonfigurationen oder bekannten, nicht gepatchten Sicherheitslücken in ihren cloud-nativen Anwendungen, darunter AWS. Mit einer IaC-Sicherheitslösung wie Snyk IaC lassen sich Fehlkonfigurationen erkennen, bevor sie in die Produktionsumgebung gelangen – eine zusätzliche Schutzschicht für Ihre Sicherheit.
Um die heutigen Herausforderungen der Cloud-Sicherheit wirklich zu bewältigen, müssen Sie Cloud-native-Sicherheitslösungen einsetzen. So ist die Sicherheit von Beginn des Entwicklungsprozesses bis zur Produktion integriert. Gleichzeitig sorgen mehrere Sicherheitsebenen und eine kontinuierliche Überwachung für den Schutz vor neuen Schwachstellen.
Unternehmen stehen heute vor größeren Cybersicherheitsherausforderungen als je zuvor. Mit einer soliden AWS-Sicherheitsstrategie, einer Cloud-native-Sicherheitslösung und den acht in diesem Artikel vorgestellten Best Practices schaffen Sie gute Voraussetzungen, um Ihre Anwendungen und Ihr Unternehmen vor Bedrohungen aller Art zu schützen.
Weitere Informationen zu Best Practices für AWS-Sicherheit und zur Arbeit mit AWS-Sicherheitstools finden Sie hier.
