Dieser Artikel ist Teil unseres Guides: Sicherheit für hybride IT-Infrastrukturen gewährleisten

Cloud Security: Regeln für die sichere PaaS-Nutzung

Der Sicherheitsaspekt kommt bei der Entscheidung für Cloud-Dienste oft zu kurz. Ein paar Regeln können die Security bei der PaaS-Nutzung erhöhen.

Sich Arbeitsspeicher und Speicherplatz mit Fremden teilen, obwohl die Software Sicherheit vorschreibt – was soll da schon schief gehen? Im Zusammenhang mit der Nutzung von Platform-as-a-Service-Angeboten werden diese Bedenken von Sicherheitsexperten häufiger diskutiert. Und da entsprechende Cloud-Dienste zunehmend an Beliebtheit gewinnen, ist dies durchaus ein guter Zeitpunkt, diese Aspekte einmal zu beleuchten.

Der Hypervisor ist und bleibt einer der effektivsten Angriffsvektoren, wenn Cloud-Dienste angegriffen werden. Dies gilt sowohl für Platform-as-a-Service (PaaS) als auch für Infrastructure-as-a-Service (IaaS). Den Hypervisor zu knacken, gehört in Hackerkreisen zu den erstrebenswerten Zielen. Ist der Hypervisor doch mehr oder minder das Gegenstück zum Root- oder Admin-Konto bei traditionellen Systemen.

Wenn die durch den Hypervisor verwendete Hard- und Firmware erfolgreich angegriffen wurde, bekommt der Angreifer nicht nur leichten Zugang. Es ist zudem schwierig, den Angriff zu entdecken. Meist existiert für diese Schicht keine Monitoring-Software, die dies entsprechend anzeigen würde. Hinzu kommt, dass ein Hacker, der in Lage ist, einen Hypervisor zu kompromittieren, auch einfach entsprechende Logging oder Monitoring-Dienste deaktivieren kann. Oder noch schlimmer, den Überwachungssystemen falsche Informationen zu liefern.

Die virtuelle Umgebung, die für PaaS verwendet wird, muss sowohl vor Angriffen auf die physische wie auf die virtuelle Umgebung geschützt werden. Schwachstellen in der Software der physischen Umgebung bleiben auch in der virtuellen Umgebung ausnutzbar. Schließlich ist die virtuelle Umgebung praktisch nur eine andere Ausprägung der physischen Umgebung. Exploits, die speziell auf virtuelle Umgebungen abzielen, wie im Jahr 2012 der Crisis/MORCUT-Schädling, sind leider ebenfalls Realität.

Darüber hinaus sind die unteren Schichten einer PaaS-Umgebung, sprich die Speicherzuordnungen, zu beachten. Wenn virtuelle Umgebungen erzeugt werden, wird entsprechend Speicherplatz und Arbeitsspeicher zugeordnet. Leider ist der Umgang von Objekten im Speicher nicht immer ganz fehlerfrei, beziehungsweise die Freigabe entsprechender Objekte. Das ist ja schon bei traditonellen Betriebssystemen wie Windows eines der häufigsten Probleme. Ein an der richtigen Speicherstelle geschickt platziertes Objekt kann sich dann wie ein Rootkit verhalten und Umgebungen in jeder Instanz beeinflussen.

In mandantenfähigen Cloud-Umgebungen teilen sich mehrere Kunden jeweils eine Plattform. Angriffe über Mandanten hinweg sind zumindest eine Problematik, die im Hinblick auf die Sicherheit berücksichtigt werden sollte. Fehler in der Konfiguration einer PaaS-Lösung machen einen Gutteil der Sicherheitsprobleme aus. Fehlkonfigurationen können zu Datenverlust führen, die saubere Trennung von Mandanten beeinflussen oder eine Rechteausweitung durch autorisierte Benutzer zulassen.

Regeln für die PaaS-Nutzung

Gegen das Hyperjacking, also Angriffe auf den Hypervisor, kann der Cloud-Kunde selbst relativ wenig tun. Aber, wenn man ein paar Punkte beachtet, lässt sich der Schaden minimieren oder zumindest auch quantifizieren, der durch einen möglichen PaaS-Angriff entstehen können. Folgende Regeln sollen beachtet werden, wenn PaaS-Umgebungen genutzt werden. Diese decken zwar nicht alle Angriffsvektoren ab, helfen aber die Risiken zumindest beherrschbarer zu machen.

PaaS-Sicherheitsregel 1: Bewerten Sie die Daten. Bevor die Cloud-Nutzung beginnt und auch noch bevor ein Vertrag mit dem Provider geschlossen wird, sollten Sie den Wert der Daten bestimmen, die dort gespeichert werden sollen. Vereinfacht gesagt, haben einige Daten nichts in der Cloud-Umgebung verloren. Dies gilt auch für verschlüsselte Daten, da bereits einige Angriffsvektoren per Man-in-the-Middle-Attacke den Austausch von Schlüsseln angegriffen haben. Berücksichtigen Sie dabei auch den Wert von Mitarbeiterdaten, die sonst in der Betrachtung oft außen vor bleiben.

PaaS-Sicherheitsregel 2: Verschlüsseln Sie die Daten. Zwar garantiert die Verschlüsselung keine absolute Sicherheit, aber es wird zumindest der Datenschutz gewährleistet. Es gilt zu berücksichtigen, dass die Verschlüsselung aber den Zugang zu den Daten erschwert. Zudem können Man-in-the-middle-Angriffe diesen Schutz aushebeln. Womit wieder Regel 1 greift.

PaaS-Sicherheitsregel 3: Setzen Sie das Prinzip der minimalen Rechte um. Alle Nutzer, sollten nur diejenigen Rechte haben, die sie für die tägliche Arbeit benötigen. Das sollte prinzipiell natürlich auch für jede interne Umgebung gelten. Aber da gerade auch beim Cloud-Modell Fehler passieren und Schwachstellen auftreten, liefert dies genügend Gründe für begrenzte Rechte. Wenn Fehler auftreten, ist es umso wichtiger, dass im Vorfeld Regel 1 beachtet wurde.

PaaS-Sicherheitsregel 4: Lesen, verstehen und verhandeln Sie die Service Level Agreements (SLA). Die Service Level Agreements gehen weit über Verfügbarkeit und Performance hinaus und sind direkt mit dem Wert der Daten verknüpft. Wenn die Daten verloren gehen, beinhalten die SLAs den entsprechenden Wert, der ersetzt werden muss. Der Cloud Service Provider muss über entsprechende Sicherheiten verfügen, um den in Regel 1 bestimmten Wert der Daten im Falle eines Falles abdecken zu können.

Der Cloud Service Provider muss nachweisen, dass er in Sachen Sicherheit für seine Umgebung der Sorgfaltspflicht nachgekommen ist. Sicherheitsüberprüfungen sind allerdings nicht in der Lage, ausgefeilte Zero-Day-Angriffe zu erkennen. Derlei Überprüfungen berücksichtigen nur bekannte Schwachstellen. Sind die eigenen Sicherheitsanforderungen höher als die des Providers, sollte wieder Regel 1 greifen.

Es ist wichtig, die ganz spezifische Bedrohungslandschaft der eigenen Cloud-Nutzung zu verstehen, um die entsprechenden Entscheidungen treffen zu können. In einigen Fällen kann ein Wechsel in die Cloud auch die Sicherheitslage verbessern. In anderen Situationen sorgt eine Cloud-Migration hingegen eher für zusätzliche Probleme. Es ist in jedem Fall wichtig, zunächst den Wert der Daten zu bestimmen und erst danach die weitere Vorgehensweise festzulegen.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

Cloud-Sicherheit in bestehende Infrastrukturen integrieren.

Risiko Zugangsdaten: IAM für Cloud-Anwendungen.

Die Klassifizierung von Daten in der Cloud erhöht die Sicherheit.

Die am häufigsten ausgenutzten Software-Schwachstellen.

Artikel wurde zuletzt im Oktober 2016 aktualisiert

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close