Webinar-Rückblick: Die fehlende Geschichte hinter jedem Cloud-Sicherheitsvorfall

Snyks Chief Architect Josh Stella hat kürzlich ein Webinar zum Thema Cloud-Sicherheit veranstaltet. Stella war Mitgründer und CEO von Fugue, einem Unternehmen für Cloud-Sicherheit und Compliance, das von Snyk übernommen wurde. Dank der Fähigkeiten von Fugue kann Snyk seine entwicklerorientierte Sicherheitsplattform auf den Bereich Cloud-Sicherheit ausweiten.

In seinem Vortrag sprach Stella über die fehlende Geschichte hinter jedem Cloud-Sicherheitsvorfall: wie, wann und wo Angreifer in der Cloud vorgehen. Außerdem stellte er eine Methode vor, mit der sich Cloud-Ressourcen vor modernen Angriffen schützen lassen.

In diesem Blogbeitrag stellen wir einige der wichtigsten Erkenntnisse aus der Präsentation vor.

Wie die Cloud die Sicherheit verändert hat

Zunächst ist es wichtig zu verstehen, wie Cloud Computing die Sicherheitsanforderungen verändert hat. Früher waren Rechenzentren relativ isoliert und hardwarebasiert. Daher war der Schutz des Netzwerkrands ein wirksamer Ansatz. Im Gegensatz dazu ist die heutige Cloud-Infrastruktur softwaredefiniert: Alle Kunden eines Cloud-Anbieters nutzen dieselbe Hardware.

Der Vorteil einer softwaredefinierten Cloud ist ihre hohe Dynamik und Programmierbarkeit. So können Unternehmen viele verschiedene Funktionen automatisieren, darunter auch die Cloud-Sicherheit. Diese Flexibilität bringt jedoch Komplexität mit sich, denn moderne Cloud-Umgebungen bestehen aus Hunderttausenden Komponenten, und Cloud-Anbieter stellen Hunderte von Diensten bereit.

Die Herausforderung: Die Konfiguration dieser Komponenten und Dienste wird zunehmend von Entwicklern mithilfe von Infrastructure as Code übernommen. Dadurch müssen Entwicklungsteams auch mehr Verantwortung für die Cloud-Sicherheit tragen.

Auch Angreifer gehen heute anders vor

Die Cloud hat auch die Vorgehensweise von Angreifern verändert. Vor dem Cloud-Zeitalter wählten Hacker ein Ziel aus und suchten dann langsam und systematisch nach Schwachstellen, um einen Angriff vorzubereiten. Heute nutzen Hacker automatisierte Tools, um Schwachstellen zu finden, ein Ziel auszuwählen und es anschließend schnell anzugreifen.

Das bedeutet, dass Sicherheit durch Verschleierung nicht funktioniert. Sobald eine IP-Adresse öffentlich erreichbar ist oder ein DNS-Eintrag veröffentlicht wird, wird danach innerhalb weniger Minuten gesucht. Sie haben keine Stunden oder Tage Zeit, bevor Sie zu einem potenziellen Ziel für Hacker werden.

Viele Berichte über bekannte Cloud-Sicherheitsvorfälle sind irreführend, wenn sie den Eindruck erwecken, die Ursache sei eine einzelne Schwachstelle oder Fehlkonfiguration. Tatsächlich gehen die meisten Vorfälle auf mangelhafte Systemarchitekturen zurück, die die Kontrollebene nicht ausreichend schützen. Angreifer dringen möglicherweise zunächst über einen einzelnen falsch konfigurierten Cloud-Server in ein System ein. Anschließend versuchen sie, sich lateral durch das System zu bewegen, um wertvolle Daten zu finden und zu exfiltrieren.

Die fünf Grundlagen der Cloud-Sicherheit

Der Schutz des Netzwerkrands war für herkömmliche Rechenzentren sinnvoll, reicht aber nicht mehr aus, um Angreifer in den heutigen Cloud-Umgebungen aufzuhalten. Laut Stella bilden fünf Grundlagen einen kontinuierlichen Kreislauf zur Verbesserung der Cloud-Sicherheit.

1. Kennen Sie Ihre Umgebung

Die eigene Umgebung zu kennen, ist sowohl für Angriffe auf Cloud-Systeme als auch für deren Schutz entscheidend. Es ist zum Beispiel wichtig zu wissen, wie sich Schwachstellen in einer bestimmten Cloud-Umgebung konkret auswirken, um Sicherheitsrisiken in der Cloud zu minimieren.

2. Prävention und sicheres Design

Da Fehlkonfigurationen zu den wichtigsten Einstiegspunkten für Angreifer zählen, sollten Sie sie bei der Entwicklung von Infrastructure-as-Code-Lösungen und CI/CD-Pipelines finden und beheben. Wenn Sie bereits in der Entwurfsphase eine sichere Cloud-Architektur berücksichtigen, können Sie außerdem verhindern, dass Angreifer sich lateral durch ein System bewegen, falls es ihnen gelingt, dessen Netzwerkrand zu überwinden.

3. Befähigen Sie Ihre Entwickler

Entwickler können sich durch Schulungen und Zertifizierungen mit sicherem Design vertraut machen. Am besten vermitteln Sie Best Practices für Cloud-Sicherheit jedoch durch Automatisierung und geeignete Tools. IaC-Sicherheitstools unterstützen Entwickler mit konkreten Sicherheitsempfehlungen direkt in ihren bestehenden DevOps-Workflows.

4. Richtlinien als Code

Richtlinien als Code sind Software, die festlegen kann, was in Infrastructure-as-Code-Umgebungen und laufenden Cloud-Umgebungen sicher und unsicher ist. So können Sicherheitsteams Sicherheitsrichtlinien automatisch bereitstellen und durchsetzen – und zwar skalierbar über den gesamten Software Development Lifecycle (SDLC) hinweg.

5. Messen Sie, was zählt

Jedes Unternehmen möchte andere Sicherheitskennzahlen erfassen. Daher ist es wichtig, festzustellen, was für das eigene Unternehmen am wichtigsten ist, und diese Aspekte zu quantifizieren. Vielleicht möchten Sie erfassen, wie viele Schwachstellen Sie vor der Bereitstellung beheben, wie stark Sie die Freigabezeiten für Deployments verkürzen oder wie sehr Sie die Produktivität im Cloud Engineering steigern. Messungen helfen dabei, Fortschritte zu sichern und wichtige Erkenntnisse in die erste Phase dieses fünfstufigen Kreislaufs zurückzuführen.

Snyks Kunden, die bei der Cloud-Sicherheit besonders erfolgreich sind, setzen kontinuierlich auf diese fünf Maßnahmen.

Entwicklerorientierte Cloud-Sicherheit mit Snyk

Snyk kennt die Herausforderungen, denen Entwickler im Bereich Cloud-Sicherheit gegenüberstehen, und möchte sie dabei weiter entlasten. Indem Snyk Cloud Security Posture Management in den DevSecOps-Workflow integriert, hilft das Unternehmen Organisationen, ihre Cloud-Umgebung besser zu verstehen, sicherere Systeme zu entwerfen und Entwickler dabei zu unterstützen, sicherere Software bereitzustellen.

Möchten Sie mehr erfahren? Sehen Sie sich das vollständige Webinar an:Die fehlende Geschichte hinter jedem Cloud-Sicherheitsvorfall – was Sie wissen und tun müssen.