Automatisiertes Cloud Konfigurations- & Compliance-Management

Security Herausforderung in modernen, flexiblen Cloud Umgebungen

Fehlkonfigurationen – Unterschätztes Risiko mit großen Auswirkungen 

Jede der marktführenden Cloud Plattformen, ob Amazon Web Services (AWS), Google Cloud Platform (GCP) oder Microsoft Azure, bietet ihren Kunden die Möglichkeit, komplexe Technologien mit wenigen Mausklicks verfügbar zu machen. Im Arbeitsalltag können hierbei aufgrund von Unachtsamkeit oder fehlender Awareness sowie durch nicht ausreichend geschulte Mitarbeiter Fehlkonfigurationen entstehen. Diese Fehlkonfigurationen können teils verheerende Folgen für Unternehmen und deren Kunden haben. Eine mögliche Konsequenz ist der unberechtigte Zugriff auf sensible Informationen, wie personenbezogene oder firmeninterne Daten, durch Dritte. Dies kann einen nicht unbeträchtlichen finanziellen Schaden für die jeweiligen Firmen bedeuten oder auch die Reputation der Firma maßgeblich beschädigen. Eine Fehlkonfiguration der Cloud- und Sicherheitsfunktionen gefährdet in einem hohen Ausmaß die drei wesentlichen Sicherheitsziele Confidentiality, Integrity & Availability (z. dt. Vertraulichkeit, Integrität & Verfügbarkeit). Angreifer können mit Hilfe von automatisierten Scans nach solchen Sicherheitslücken Ausschau halten und diese ausnutzen, um Datenzugriff zu erlangen, in firmeninterne Netzwerke einzudringen oder nachgelagerte Angriffe gegen die Firmen und Dritte durchzuführen.

Zeitgemäßes Reaktionsverhalten durch Automatisierung

Im Allgemeinen besteht der Prozess für die Behandlung von Sicherheitslücken aus mehreren Schritten. Diese umfassen die Identifikation, die Auswertung bzw. Analyse und die anschließende Reaktion auf einen Vorfall. Die schnelle und einfache Bereitstellung von Cloud-Technologien erfordert jedoch ein effizienteres Handeln. Bedrohungen, welche u. a. durch Fehlkonfigurationen entstehen, müssen sofort erkannt, behandelt und auf die gesamte Cloud-Umgebung angewandt werden.

Manuelle Prozesse erfüllen diese Anforderungen nicht. Daher ist es empfehlenswert, sich die Flexibilität von Cloud-Umgebungen zu Nutze zu machen und die händische Intervention von Cloud-Anwendern auf ein Minimum zu beschränken. Die Automatisierung einschlägiger Prozesse mit dem Forcieren konformer Konfigurationen erhöht nicht nur das Sicherheitsniveau bedeutend, sondern schafft erst die Möglichkeit, das volle Potenzial von Cloud-Umgebungen auszuschöpfen.  

Compliance Management als integrativer Ansatz

Um regulatorische und organisatorische Anforderungen in einem umfassenden IT-Security Konzept einzuhalten, müssen verschiedene Standards und Best Practices berücksichtigt werden. Genutzte Cloud-Services müssen hierbei unter der Beachtung von Cloud-Spezifika nahtlos in bestehende Rahmenwerke integriert werden. Geschieht dies nicht, ist die Compliance zu nationalen und internationalen Standards und Gesetzen, wie beispielsweise der ISO27001, NIST oder der Datenschutz-Grundverordnung (DSGVO) der EU, nicht mehr sichergestellt. Dies kann neben dem Vertrauensverlust bei Kunden und Lieferanten auch rechtliche Konsequenzen nach sich ziehen.

Aus branchenweit etablierten IT-Sicherheitsstandards, wie zum Beispiel ISO 27001 und NIST-800, lassen sich Maßnahmen (Controls) ableiten, deren Erfüllung einen Indikator für die IT-Sicherheit einer Organisation darstellt. Dabei ist es essenziell, ein einheitliches sowie an die Anforderungen der eigenen Organisation angepasstes Control Framework zu etablieren und dessen stetige Einhaltung zu überwachen.  

Ausschließen von Fehlkonfigurationen, nahezu in Echtzeit

Mit der Integration von Fortress und damit der Etablierung eines soliden Control-Frameworks wird der Cloud-Anwender befähigt, all diese Herausforderungen effizient anzugehen. Als sicher geltende Cloud Konfigurationen werden mit Ihnen abgestimmt und Ihre Cloud-Umgebung dazu befähigt, diese automatisiert umzusetzen. Selbstverständlich werden Sie bei der Definition und Anwendung entsprechender Einstellungen vollumfassend von uns unterstützt. Grundlage dessen ist eine im Vorfeld durchgeführte und auf Ihre Sicherheitsbedürfnisse angepasste Schutzbedarfsanalyse aller für Sie relevanten Cloud-Services. Somit ist sichergestellt, dass sämtliche betrachteten Cloud-Konfigurationen an die jeweiligen Sicherheitsanforderungen angepasst angewandt werden. Ein einfaches Beispiel hierbei ist das Unterscheiden angewandter Regeln zwischen Test- und Produktivumgebung. Nach der Definition der SOLL-Konfigurationen für betreffende Cloud-Services werden diese automatisch in weniger als zwei Minuten angewandt. Dies gilt sowohl für die Initial-Konfiguration beim Erstellen, als auch für Änderungen an im Betrieb befindlicher Services.

Vollumfängliches und transparentes Compliance-Management

Unsere Unterstützungsleistungen bei der Definition geeigneter Konfigurationen gehen noch einen Schritt weiter: Die Auswahl erfolgt basierend auf technischen Maßnahmen (Controls), abgeleitet aus einem großen Rahmenwerk verschiedenster IT-Sicherheitsstandards und branchenetablierter Best Practices. Dies ermöglicht die direkte Zuordnung von Ihren regulatorischen oder organisatorischen Anforderungen zu in der Praxis automatisch angewandten Regelsets. Somit lässt sich die Compliance zu sämtlichen technisch abbildbaren Maßnahmen für die gesamte Cloud-Umgebung automatisiert erwirken und einfach nachvollziehen. Das frei gestaltbare Dashboard zeigt Ihnen transparent, welche technischen Regeln innerhalb ihrer Cloud-Umgebung umgesetzt wurden. Dies gibt nicht nur einen Überblick über automatisch behobene Schwachstellen, sondern ermöglicht Ihnen außerdem, Compliance zu den von Ihnen gewünschten Standards anschaulich nachzuverfolgen und im Falle eines Audits nachzuweisen. Weiterhin können Sie die gesammelten Informationen verwenden, um zielgerichtet Schulungsbedarfe Ihrer Mitarbeiter zu erkennen. Die bei Bedarf von uns etablierte Knowledge Base stellt jedem Mitarbeiter individualisiert Informationen zur Verfügung, womit Sie eine der wichtigsten nicht-technischen Anforderungen aus vielen IT-Security Standards erfüllen: Effizientes und zielgerichtetes Awareness-Training für Ihre Mitarbeiter.  

Funktionsweise & Komponenten von Fortress

Das Einspielen sicherer Konfigurationen und das Compliance-Scanning finden vollautomatisiert, nahezu in Echtzeit statt. Schutzmechanismen der Cloud-Dienste werden auf diese Weise effizient unterstützt und sorgen für eine Entlastung der eigenen IT-Administration. Bei einer Fehlkonfiguration und der darauf automatisiert ablaufenden Korrektur, erhält der Verursacher/Prozessverantwortliche per E-Mail eine Benachrichtigung über den Vorfall. Optional können hierbei Verweise auf relevante Knowledge-Base-Einträge und einschlägige Policies hinzugefügt werden.

Zur Implementierung von Fortress wird auf Cloud-native Dienste zurückgegriffen. Hierbei werden nur zwei Komponenten benötigt: Event-Hub und Serverless Funktionen. Mit dem Event-Hub wird jedes Erstellungs- und Änderungs-Event erfasst und nachfolgend mit zuvor implementierten Regelsets / Konfigurationen, entsprechend der Compliance-Anforderungen, abgeglichen. Insofern eine Konfiguration gegen eine der Regeln verstößt, folgt daraufhin mit Hilfe der Serverless-Funktion die Korrektur der Fehlkonfiguration, die Übermittlung an das Dashboard und optional die Erstellung eines Tickets (z. B. in ServiceNow) sowie eine Benachrichtigung an den Initiator/Prozessverantwortlichen.