robybret - Fotolia

Neue Angriffsvektoren durch die Migration in die Cloud

Die Cloud-Nutzung erfordert einen Umbau der Sicherheitsmechanismen, denn immer mehr Informationen befinden sich außerhalb der Reichweite von klassischen Schutzwerkzeugen.

Das Thema Cloud-Migration löst bei vielen IT-Entscheidern Sicherheitsbedenken aus und trotzdem belegt eine aktuelle Umfrage des BITKOM, dass bereits 65 Prozent aller Unternehmen auf entsprechende Technologien setzen. Laut der Cloud-Monitor-Umfrage nutzen vor allem größere Unternehmen mit mehr als 2000 Mitarbeitern die Wolke.

Um Organisationen bei der Umsetzung ihrer Cloud-Strategie zu helfen, hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) in diesem Jahr zudem einen Anforderungskatalog Cloud Computing Compliance Controls Catalogue (C5) verabschiedet. Dort wird festgelegt, welche Anforderungen die Cloud-Anbieter erfüllen müssen beziehungsweise auf welche Anforderungen der Cloud-Anbieter mindestens verpflichtet werden sollte.     

Der Aufwand, die eigene Cloud-Strategie aufzubauen, ist für viele Unternehmen jedoch sehr hoch. Viele greifen deshalb auf Infrastructure-as-a-Service (IaaS) zurück, um die Effizienz von Business-Prozessen zu erhöhen und durch neue Innovation wettbewerbsfähiger zu sein. Zudem können so Risiken und langfristige Kapitalbindung vermieden werden. Das Analystenhaus Gartner geht davon aus, dass die Nutzung von IaaS-Angeboten weltweit allein im Jahr 2017 um 38,6 Prozent wachsen wird – dies entspricht 34,6 Milliarden US-Dollar.

Digitaler Wandel verändert Risikosituation

Dieser Trend wirkt sich drastisch auf die IT-Sicherheit aus. Wichtig ist, dass Sicherheitsmechanismen ebenfalls grundlegend umgebaut werden, denn immer mehr Informationen befinden sich außerhalb der Reichweite von klassischen Schutzwerkzeugen: Rechenzentren können nicht mehr von der Unternehmens-IT verwaltet werden, gleichzeitig gibt es neue Gefahren und immer ausgeklügeltere Möglichkeiten für Cyberangriffe. Fehlende Patches auf einzelnen Servern sind beispielsweise ein Einfallstor, um ganze Netzwerke oder die gesamte Public Cloud zu infizieren. Schädlinge können sich über einzelne virtuelle Maschinen verteilen und über VPNs sogar Firmennetzwerke befallen.

Organisationen müssen die richtige Balance beim Schutz der Infrastruktur (inklusive Dienstleister) und Absicherung von Daten (speziell Kundeninformationen) in der Cloud finden. Public Clouds werden von Millionen Kunden gleichzeitig genutzt, deshalb sind die richtige Abstimmung von Schutzmechanismen, Verwaltung und Sicherheitsprotokollen wichtig. Neben der Infrastruktur müssen Cloud Fabrics, Hypervisors, Services und Tenants geschützt werden.

Cloud-Anbieter nutzen starke Sicherheitskontrollen zwischen den einzelen Nodes, allerdings fehlt ihnen häufig die Fähigkeit, um Gefahren im „normalen“ Traffic der Kunden zu sehen. Stattdessen greifen sie in der Regel auf einfache Portfilter oder Access Control Listen (ACL) zurück, um dadurch Cloud-Umgebungen zu segmentieren.

Dies macht es für Sicherheitsverantwortliche und IT-Abteilungen schwierig, dasselbe Schutzniveau wie bei On-Premises-Ansätzen zu gewährleisten. Solche Shared-Responsibility-Modelle sind schwierig umzusetzen, daher greifen viele Unternehmen auf die Built-in-Zugangskontrollen von Cloud Service Providern (CSP) zurück. Dabei werden ausgewählte Ports (typischerweise Port 80 und 443) für die Kommunikation mit dem Internet geöffnet – ohne Sicherheitsmechanismen, um Bedrohungen und Malware abzuwehren.

Offene Tür für Cyberattacken

Cyberkriminelle sind sich dieser Schwachpunkte bewusst und haben entsprechende Tools für automatisierte Attacken erstellt. Distil Networks kommt nach einer Untersuchung zu dem Schluss, dass 88 Prozent aller Websites durch nicht-genehmigte Scans nach Schwachstellen abgetastet wurden. Dabei suchen die Angreifer nach IP-Adressen und neuen Servern, um Zugang zum Netzwerk oder gleich zu Cloud-Anbietern zu bekommen.

Die gesammelten Informationen dienen nicht nur zur Bestimmung der direkt verbundenen Hosts, sondern bieten auch einen Überblick wie die Endpunkte weiter miteinander vernetzt sind. Damit umgehen die Hacker Standard-Ports-Blockaden. Weiter geht der Bericht davon aus, dass im Jahr 2016 20 Prozent aller Verkehr auf Webseiten auf solche Prüfungen zurückgehen. Die gesammelten Daten nutzen die Kriminellen für Angriffe und andere Aktivitäten wie das Ausspionieren von Bankdaten oder Man-in-the-Middle-Attacken.

„IT-Sicherheit ist im Wandel hin zu einem dynamischen und flexiblen Vorgang. Manuelle Prozesse passen nicht mehr in die Realität von Cloud-Umgebungen.“

Dietmar Schnabel, Check Point

IT-Verantwortliche sind sich häufig dieser akuten Gefahr nicht bewusst. Über wenige Umwege schaffen die Angreifer es recht einfach, in Unternehmensnetzwerke zu gelangen. Daher sollte immer eine mehrschichtige Sicherheitsstrategie für die Cloud aufgesetzt werden, bei der Netzwerke genauso abgesichert werden, wie die Workloads darin. Außerdem müssen Daten ebenfalls vor Angriffen und ausgeklügelten Schädlingen geschützt werden.

Fazit

IT-Sicherheit ist im Wandel hin zu einem dynamischen und flexiblen Vorgang. Manuelle Prozesse passen nicht mehr in die Realität von Cloud-Umgebungen. Moderne Technologie ändert die Spielregeln der IT-Sicherheit und Unternehmen sollten kein unnötiges Risiko eingehen. Cyberkriminelle lernen schnell und haben aufgerüstet, um Schwachpunkte in Netzwerken zu finden. Zudem sammeln sie Informationen und entwickeln Kompetenzen, um zielgenau Attacken zu starten.

Egal, ob Privat oder Public Cloud, Organisationen müssen neue und bekannte Angriffsvektoren absichern, denn durch zunehmende Vernetzung haben Schwachstellen in einzelnen Endpunkten immer größere Auswirkungen.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

So können Unternehmen Cloud-Dienste sicher nutzen

Unternehmensdaten bei der Cloud-Nutzung schützen

Regeln für eine sichere PaaS-Nutzung

Artikel wurde zuletzt im September 2017 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

Erfahren Sie mehr über SaaS-Sicherheit: Cloud-Services und -Systeme

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Mit dem Absenden dieser Daten erklären Sie sich bereit, E-Mails von TechTarget und seinen Partnern zu erhalten. Wenn Ihr Wohnsitz außerhalb der Vereinigten Staaten ist, geben Sie uns hiermit Ihre Erlaubnis, Ihre persönlichen Daten zu übertragen und in den Vereinigten Staaten zu verarbeiten. Datenschutz

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close