Dieser Artikel ist Teil unseres Guides: Sicherheit für hybride IT-Infrastrukturen gewährleisten

Cloud-Sicherheit verbessern und Unternehmensdaten schützen

Wenn Unternehmensdaten bei Cloud-Providern durchgereicht werden, sollten sie geschützt sein. Und der Anbieter ist entsprechend sorgfältig auszuwählen.

Im Februar 2017 entdeckte Googles bekannter Sicherheitsforscher Tavis Ormandy einen kritischen Fehler beim Cloud-Service-Provider Cloudflare. Durch diese Schwachstelle waren theoretisch sensible Daten von Millionen Webseiten im Internet zugänglich. Diese Webseiten wurden auf dem Content Delivery Network (CDN) von Cloudflare gehosted. Durch diesen Fehler könnten die Daten Unbefugten zugänglich gewesen sein, solange die Schwachstelle bestand. Nach Angaben von Cloudflare gab es allerdings keine Datenverstöße.

Aber dieser Vorfall hat einige grundsätzliche Sicherheits- und Datenschutzfragen im Zusammenhang mit Man-in-the-middle-Proxy-Modellen aufgeworfen. Diese können ja bei besagten CDNs als auch bei CASBs (Cloud Access Security Broker) zum Einsatz kommen.

Was ist eigentlich bei Cloudflare vorgefallen? Es haben wohl einige der Cloudflare-Edge-Server Speicherinhalte aufgrund eines HTML-Parsing-Fehlers offengelegt. Solange die Schwachstelle nicht bekannt war, durchsuchten Suchmaschinen wie Google eben jene Speicherinhalte, die aus Sicht des Providers als sensibel einzustufen waren. Das Sicherheitsteam von Cloudflare musste daher nicht nur Funktionen deaktivieren, die potentiell zu einer Offenlegung von Daten führen können, sondern auch die Ursache allen Übels finden. Zudem mussten die Suchmaschinen benachrichtigt werden, die unter Umständen versehentlich auf diese Inhalte zugegriffen haben und so sensible Daten hätten speichern können.

Datensicherheit bei CDN-Nutzung verbessern

Schlussendlich stellt sich für Sicherheitsverantwortliche die Frage, wie sie Daten, die ein CDN oder andere Security-as-a-Service-Lösungen passieren, schützen können. Es existieren mehrere Ansätze, um die Situation zu verbessern.

Bevor man sich für einen entsprechenden Cloud-Provider oder Sicherheitsdienstleister entscheidet, sollte man sich einige Fragen stellen. Welche Überwachungsansätze gibt es im Hinblick auf Datenleckszenarien? Wie sehen der Standardprozess und die Kommunikation aus, wenn der Provider über eine Schwachstelle informiert wird?

Dies sollte vertraglich festgehalten werden, damit Kundenunternehmen bestmöglich im Falle eines Falles benachrichtigt werden. Ganz empfehlenswerte Anregungen für die richtigen Fragen im Hinblick auf die Risiken in Sachen Cloud, finden sich beispielsweise bei der Cloud Security Alliance.

Unternehmen sollten zudem ihre eigenen Möglichkeiten im Hinblick auf die Absicherung der Daten auf den Prüfstand stellen. Sie können einen Dienst nutzen, um den Datenverkehr mit Hilfe eines MPLS-VPN zu kontrollieren. Wer bereits eine entsprechende Lösung verwendet, kann das Risiko beim Datenübergang verringern, in dem der Datenverkehr durch ein semi-privates Netzwerk kontrolliert wird. Dies alles setzt natürlich wiederum voraus, dass man dem Anbieter des MPLS-Dienstes vertraut.

Und natürlich können beziehungsweise sollten Unternehmen ihre Daten verschlüsseln, bevor diese an die Cloud-Umgebung übergeben werden. Verschlüsselung ist im Hinblick auf die Man-in-the-middle-Problematik oder Daten-Hijacking die effektivste Schutzmethode, da die Daten die fremden Netzwerkumgebungen dann nur verschlüsselt passieren. Darüber hinaus können Unternehmen ihre Daten an einem lokalen Netzwerk-Gateway tokenisieren oder anderweitig manipulieren, bevor diese an die Cloud-Umgebung weitergereicht werden.

Unabhängig davon, wie die Daten abgesichert werden, ist die Auswahl des entsprechenden Cloud-Dienstleisters der entscheidende Faktor. Stellen Sie die richtigen, kritischen Fragen. Achten Sie insbesondere darauf, wie der Vorfallreaktionsplan des Anbieters aussieht und ob dieser beispielsweise ein Art Bug-Bounty-Programm unterhält.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

Nächste Schritte

Kostenloses E-Handbook: Ratgeber Cloud-Sicherheit

Cloud Security: Regeln für die sichere PaaS-Nutzung

Cloud Access Security Broker: Sichere Cloud-Nutzung gewährleisten

Bei der Cloud-Migration die Sicherheit berücksichtigen

Artikel wurde zuletzt im Mai 2017 aktualisiert

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close