Eine neue Studie von Palo Alto Networks zeigt auf, wie Schwachstellen bei der Entwicklung von Cloud-Infrastrukturen zu erheblichen Sicherheitsrisiken führen. So untersuchte die Forschungsabteilung Unit 42, warum Fehlkonfigurationen in der Cloud so häufig vorkommen. Obwohl Infrastructure-as-Code (IaC) den Vorteil bietet, Sicherheitsstandards durchzusetzen, wird dies offensichtlich noch nicht genutzt. Ohne die richtigen Sicherheitstools und -prozesse werden Infrastrukturbausteine in der Cloud mit einer Vielzahl von Schwachstellen erstellt.
Laut Sergej Epp, CSO Central Europe bei Palo Alto Networks gehören zu den wichtigsten Ergebnissen der Studie:
Mehr als 199.000 unsichere Templates im Einsatz: Die Forscher von Unit 42 identifizierten Schwachstellen mit hoher und mittlerer Schwere. Eine einzige Fehlkonfiguration reicht aus, um eine ganze Cloud-Umgebung zu kompromittieren. Frühere Untersuchungen von Unit 42 zeigen, dass 65 Prozent der Cloud-Sicherheitsvorfälle auf einfache Fehlkonfigurationen zurückzuführen sind.
43 Prozent der Cloud-Datenbanken sind nicht verschlüsselt: Die Verschlüsselung von Daten verhindert nicht nur, dass Angreifer gespeicherte Informationen lesen können, sie ist auch eine Anforderung von Compliance-Standards wie HIPAA.
Bei 60 Prozent der Cloud-Speicherdienste ist die Protokollierung deaktiviert: Dabei ist die Speicherprotokollierung von entscheidender Bedeutung, um das Ausmaß des Schadens bei Cloud-Sicherheitsvorfällen zu bestimmen.
Cyberkriminelle Gruppen nutzen die Cloud für Cryptojacking: Gruppen wie Rocke, 8220 Mining Group und Pacha stehlen systematisch Cloud-Ressourcen, um für Monero über öffentliche Mining-Pools oder ihre eigenen Pools zu „schürfen“.
Die Studie macht deutlich, dass die Sicherheitsrisiken bei der Entwicklung von Cloud-Infrastrukturen nicht zu unterschätzen sind. Infrastructure-as-Code bietet aus Sicherheitsperspektive jedoch auch Vorteile. So besteht die Möglichkeit, Sicherheit frühzeitig in den Softwareentwicklungsprozess einzubringen und sie in die Bausteine der Cloud-Infrastruktur eines Unternehmens einzubetten. Unterstützung hierzu bietet eine umfassende Sicherheitslösung für Cloud-native Anwendungen während des gesamten Entwicklungszyklus, für jede beliebige Cloud. Eine Cloud Native Security Platform (CNSP) muss alle Schlüsselbereiche wie Sichtbarkeit, Governance und Compliance, Computing-Sicherheit, Netzwerkschutz und Identitätssicherheit mit entsprechenden Funktionen abdecken. Da es sehr schwierig ist, das zu schützen, was nicht sichtbar oder bekannt ist, muss eine CNSP neben Containern, Serverless-Implementierungen und CI/CD-Pipelines auch Sichtbarkeit in öffentlichen, privaten und hybriden Clouds bieten.
Sicherheit im Cloud-Bereich erfordert zudem die strikte Durchsetzung von Standards in öffentlichen, privaten und hybriden Cloud-Umgebungen. Wenn ein Unternehmen noch keinen Cloud-Sicherheitsstandard hat, sind die vom Center for Internet Security (CIS) erstellten Benchmarks (cisecurity.org/cis-benchmarks) empfehlenswert. Eine weitere Maßnahme ist der „Shift Left“-Sicherheitsansatz. Dabei geht es darum, die Sicherheit hin zum frühestmöglichen Zeitpunkt im Entwicklungsprozess zu verschieben. Dies bedeutet, mit DevOps-Teams zusammenzuarbeiten, um Sicherheitsstandards in IaC-Templates einzubetten. Davon profitieren schließlich sowohl DevOps- als auch Security-Teams. Fehlkonfigurationen in der Cloud stellen ein erhebliches Sicherheitsproblem dar, das aber beherrschbar ist mit einer geeigneten – Cloud-nativen – Sicherheitsplattform und der konsequenten Umsetzung von Best Practices.
Der Online-Stellenmarkt für ICT Professionals