Die größten Bedrohungen für die Sicherheit beim Cloud-Computing

Wer Cloud-Computing nutzt, sollte die damit einhergehenden Sicherheitsbedrohungen kennen. Ein Überblick über die wichtigsten Risiken.

Cloud-Computing kommt inzwischen in fast allen IT-Bereichen zum Einsatz und dieser Trend dürfte auch weiterhin anhalten. Daher nutzen auch die meisten Unternehmen inzwischen cloudbasierte Services in irgendeiner Form. Deswegen ist es wichtig zu verstehen, dass Cloud-Computing nicht nur Vorteile, sondern durchaus auch Sicherheitsbedrohungen mit sich bringt. Wer in die Cloud umzieht, muss diese kennen und adressieren.

Als Grundsatz sollten Unternehmen bedenken, dass man sich bei der Lösung von Problemen nicht alleine auf Cloud-Anbieter verlassen sollte. Stattdessen sollte eine aktive Kommunikation mit dem jeweiligen Cloud-Anbieter im Vordergrund stehen, um eventuell auftretende Probleme gemeinsam aus der Welt zu schaffen.

In diesem Tipp sehen wir uns die wichtigsten Bedrohungen an, über die sich Unternehmen vor einem Umzug in die Cloud bewusst sein sollten.

Risiken und Bedrohungen beim Cloud-Computing

Verlegt man gewisse Aufgaben in die Cloud, müssen Unternehmen die Bedrohungen des Cloud Computing adressieren, um die Sicherheit der gesamten Umgebung zu gewährleisten. Zu den wichtigsten Sicherheitsbedrohungen beim Thema Cloud-Computing gehören:

  • Einfach Benutzung: Cloud-Services sind für Unternehmen sehr einfach zu nutzen. Allerdings können auch Angreifer sehr leicht von den Vorzügen der Cloud Gebrauch machen, um beispielsweise Spamming, Malware-Verteilung, C&C-Server (Command & Control), DDoS-Angriffe (Distributed Denial of Service), Passwort- und Hash-Cracking und so weiter zu betreiben.
  • Anfällige Datenübertragung: Werden Daten von den Clients zur Cloud übertragen, müssen diese angemessen mittels SSL/TLS verschlüsselt sein. Somit können Angreifer zumindest theoretisch keine unverschlüsselten Daten abgreifen. Möglich ist aber durchaus die Kompromittierung durch Man-in-the-Middle-Angriffe, die zudem nur schwer nachweisbar sind.
  • Unsichere APIs: Manche cloudbasierten Web-Services sind durch Programmierschnittstellen Angriffen ausgesetzt, da diese von überall aus dem Internet verfügbar sind. Böswillige Angreifer mit dem Authentifizierungs- und Autorisierungs-Token können dann auf diese Schnittstellen im Namen des Kunden zugreifen. Somit sind sie natürlich auch in der Lage, die Daten der Kunden zu manipulieren. Für einen Cloud-Anbieter ist es zwingend notwendig, sichere APIs zur Verfügung zu stellen, um die Angriffsfläche so gering wie möglich zu halten.
  • Böswillige Insider: Angestellte des Cloud-Anbieters haben möglicherweise vollständigen Zugriff auf Unternehmensdaten und -ressourcen. Daher braucht der jeweilige Cloud-Anbieter wirksame Sicherheitsmaßnahmen, um die Aktionen der Mitarbeiter, wie zum Beispiel den Zugriff auf Kundendaten, nachverfolgen zu können. Cloud-Anbieter folgen allerdings nicht immer den besten Sicherheitsleitfäden oder Security-Richtlinien. Aus diesem Grund können Angestellte vertrauliche Kundeninformationen abgreifen, ohne dabei erwischt zu werden.
  • Probleme mit gemeinsam genutzten Technologien: Cloud-Anbieter verwenden eine skalierbare Infrastruktur, um mehrere Mandanten zu unterstützen. Diese teilen sich die darunterliegende Infrastruktur mit den multiplen Schichten. Jede Ebene lässt sich aber auch mithilfe verschiedener Techniken angreifen. Dazu gehört zum Beispiel das Ausnutzen einer Schwachstelle in einem Hypervisor, der Ausbruch aus der Sandbox einer virtuellen Maschine (VM), unautorisierter Zugriff auf gemeinsam genutzte Daten durch Side-Channel-Angriffe und so weiter.
  • Datenverlust: Manchmal haben virtuelle Maschine unbeabsichtigt Zugriff auf die Daten einer anderen VM auf dem gleichen physischen Host. Das könnte zu einer Datensicherheitsverletzung führen. Betreibt man mehrere virtuelle Maschinen, die unterschiedlichen Firmen gehören, auf dem gleichen physischen Server, könnte ein Unternehmen Zugriff auf die Daten eines anderen erlangen. Diese Angriffe sind auch als Side-Channel-Angriffe bekannt. In diesem Fall werden Daten von gemeinsam genutzten Komponenten wie zum Beispiel dem Cache des Prozessors abgegriffen.
  • Hijacking des Kontos oder des Services: Ist der Cloud-Zugriff lediglich durch ein Passwort geschützt und ein Angreifer kennt das Kennwort oder verschafft es sich, dann ist der Zugriff auf die Unternehmensressourcen natürlich ein leichtes Spiel. Aus diesem Grund ist es besser, man verwendet nach Möglichkeit Zwei-Faktor-Authentifizierung. Somit muss ein Angreifer auch Zugriff auf den zweiten Authentifikations-Faktor erhalten, also beispielsweise auf das Telefon des Anwenders, falls eine SMS-Nachricht als zusätzlicher Authentifikations-Faktor aktiviert wurde. Nur dann kann er auf den Cloud-Service zugreifen.
  • Unbekanntes Risiko-Profil: Wenn Unternehmen in die Cloud migrieren, müssen Sie ein präzises Risiko-Profil ihrer Systeme und Infrastruktur haben. Das gilt auch für die Off-Premise-Infrastruktur. Erforderlich sind das regelmäßige Einspielen von Sicherheitsupdates und natürlich das Log-Monitoring, zudem sollten IDS/IPS (Intrusion Detection/Prevention System) immer nach böswilligem Traffic Ausschau halten und mithilfe von SIEM vereint man diese Daten schließlich an einer zentralen Stelle. Diverse unbekannte Angriffstechniken könnten außerdem im Internet lauern, die man bisher noch nicht entdeckt hat.
  • DoS (Denial of Service): Ein Angreifer kann Cloud-Services stören, indem er einen DoS-Angriff gegen diese ausführt. Somit würde der jeweilige Cloud-Service temporär unerreichbar. Es gibt mehrere Möglichkeiten, wie ein Angreifer einen Service in einer virtualisierten Cloud-Umgebung stören kann, indem er gemeinsam genutzte Ressourcen wie zum Beispiel CPU, RAM, Festplattenplatz oder Netzwerkbandbreite nutzt.
  • Mangelndes Verständnis: Unternehmen sollten vor dem Umzug in die Cloud Zeit und Ressourcen in Schulungen investieren. Nichts ist schlimmer, als wenn ein Unternehmen nicht weiß, auf was es sich einlässt. Unternehmen und Cloud-Anbieter sollten sich darauf einigen, wer sich um welche Services kümmert. Bietet der Cloud-Anbieter beispielsweise keine Backup-Strategie an, sollte das Unternehmen diesen Teil übernehmen. Anwender sollten die Sicherheitsbedrohungen von Cloud-Umgebungen verstehen, damit sie sich entsprechend verteidigen können. Deswegen sind angemessene Schulungen der Angestellten ein wichtiger Aspekt, um die Security bei einem Umzug in die Cloud zu erhöhen.

Dies sind die häufigsten Bedrohungen in Bezug auf Cloud Computing in einer Enterprise-Umgebung. Bevor Sie irgendeinen Service in die Cloud umziehen, sollten Sie sich über all diese Faktoren Gedanken machen. Die Migration kann anschließend der Cloud-Anbieter oder das Unternehmen selbst durchführen. In den meisten Fällen bedarf es allerdings einer Kooperation der beiden, um maximale Sicherheit sicherzustellen.

Das Unternehmen sollte sich bei Absicherung der Umgebung nicht blind auf den Cloud-Anbieter verlassen. Die Kommunikation zwischen Unternehmen und Cloud-Anbieter ist ein notwendiger Schritt, um die Sicherheit in der Cloud zu verbessern. Im ersten Schritt sollte man sich zunächst mit den möglichen Bedrohungen auseinandersetzen, erst danach können die Probleme adressiert werden. Zusätzlich ist eine Backup-Strategie notwendig, um die Daten bei einem Festplattenausfall ausreichend zu sichern.

Über den Autor:
Dejan Lukan hat ein umfangreiches Wissen über Systemadministration von Linux- und BSD-Systemen. Zu seinen Fachgebieten zählen Security-Audits, Netzwerkadministration, Penetration-Tests, Reverse Engineering, Malware-Analyse, Fuzzing, Debugging und Antiviren-Bekämpfung. Er beherrscht über ein Dutzend Programmiersprachen und schreibt auf seiner Website Beiträge zum Thema IT-Sicherheit.

Folgen Sie SearchSecurity.de auch auf Facebook, Twitter und Google+!

Artikel wurde zuletzt im März 2015 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

Erfahren Sie mehr über SaaS-Sicherheit: Cloud-Services und -Systeme

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Mit dem Absenden dieser Daten erklären Sie sich bereit, E-Mails von TechTarget und seinen Partnern zu erhalten. Wenn Ihr Wohnsitz außerhalb der Vereinigten Staaten ist, geben Sie uns hiermit Ihre Erlaubnis, Ihre persönlichen Daten zu übertragen und in den Vereinigten Staaten zu verarbeiten. Datenschutz

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close