Sie sind hier: Startseite » Markt » Tipps und Hinweise

In fünf Schritten zu mehr Sicherheit in der Cloud


Entwickeln Unternehmen Anwendungen für die Cloud, stoßen sie oft auf das Konzept von DevOps und CI/CD-Pipelines. Aber wie gehen Sicherheit und DevOps zusammen?
Die Dynamik der Public Cloud schafft dazu eine komplexe Steuerungsebene, in der zu schützende Daten in einer Umgebung wahrgenommen werden, die das Sicherheitsteam nicht kontrollieren oder überwachen kann


Der beschleunigte Wandel der technischen Infrastruktur, die digitale Transformation und die zunehmende Cloud-Nutzung verändern die Herausforderungen für Unternehmen, ihre kritischen Vermögenswerte zu sichern, erheblich. Cloud-Security gewinnt somit immer mehr an Bedeutung.

Die Dynamik der Public Cloud schafft dazu eine komplexe Steuerungsebene, in der zu schützende Daten in einer Umgebung wahrgenommen werden, die das Sicherheitsteam nicht kontrollieren oder überwachen kann. Die großen Plattformen Amazon, Google und Microsoft nehmen einen immer größeren Anteil des Cloud-Markts ein. Grund genug für Hacker, diese Plattformen aktuell sehr genau ins Visier zu nehmen, um deren Schwachstellen zu finden. Welche Maßnahmen können Unternehmen ergreifen, um ihre Cloud-Umgebung besser zu schützen?

1. Zero Trust
Um Unternehmenssysteme in dieser grundsätzlich offenen Struktur der Cloud abzusichern, sollte die Haltung Zero Trust (Kein Vertrauen) gelten. Sie bedeutet in diesem Zusammenhang, dass der Nutzer sowohl seine Identität als auch die Sicherheit des Standorts und der Umgebung seines Geräts nachweisen muss, ehe er die Cloud nutzt. Je nach Kontext kann das Sicherheitsniveau variieren, von der einfachen Identifizierung und Verschlüsselung für risikoarme SaaS-Lösungen bis hin zur umfassenden Verifizierung der Geräte. Diese höchste Sicherheitsstufe bietet sich bei risikoreichen Anwendungen, die eine lokale Datenspeicherung oder einen administrativen Zugang benötigen, an. Dabei werden alle Zugriffe vom Security Operations Centre (SOC) protokolliert und geprüft, damit es keine Sicherheitsrisiken gibt.

2. Verschlüsselung
Alle in der Cloud gespeicherten Daten sollten verschlüsselt werden. Zwar sichern die Cloud-Anbieter ihre Systeme bestmöglich ab. Dennoch: Die Cloud ist ein offenes System, das viele verschiedene Kunden – wenn auch in ihrem eigenen Bereich – gemeinsam nutzen. Kommt es im schlimmsten Fall zum kompletten Systemversagen, können Unternehmensdaten zu anderen Kunden oder auch in die Öffentlichkeit gelangen. Umso essenzieller ist hier die Verschlüsselung. Dies gilt nicht nur für die Speicherung, sondern auch während der Übertragung von Daten. Sie sollten nur dann entschlüsselt werden, wenn dies für die Verarbeitung unbedingt nötig ist. Nur so lässt sich gewährleisten, dass Daten nicht mit einem Man-in-the-Middle-Angriff abgefangen werden, für den derzeit 95 Prozent der HTTPS-Server anfällig sein sollen.

3. DevSecOps
Entwickeln Unternehmen Anwendungen für die Cloud, stoßen sie oft auf das Konzept von DevOps und CI/CD-Pipelines. Aber wie gehen Sicherheit und DevOps zusammen? Zusätzlich zu Akzeptanztests sollten Unternehmen automatisierte Sicherheitstests, Sicherheitsupdates mit Patches für bekannte Schwachstellen, Static Application Security Testing (SAST) und Dynamic Application Security Testing (DAST) in ihren CI/CD-Prozess einführen. Hinzu kommen standardmäßig in die Container integrierte Sicherheitsscanner. Durch diese Schritte können sie den Prozess verbessern, um die Sicherheit zu erhöhen und Schwachstellen schneller zu erkennen.

4. Runtime Application Self-Protection (RASP)
Die Selbstvalidierung über eine effektive RASP-Lösung erweitert die Prinzipien von Zero Trust bis in den Anwendungscode und verhindert die böswillige Nutzung der Applikation. Sie prüft, was jeder Prozess oder jede Funktion produzieren soll und vergleicht dies mit dem tatsächlichen Output der Anwendung. Es gibt viele RASP-Produkte, die so konzipiert sind, dass sie eine herkömmliche Web Application Firewall durch die Analyse des tatsächlichen Anwendungscodes ergänzen. Sie können entweder in einen Monitor- und Alarmmodus oder alternativ in einen Blockiermodus versetzt werden, der einen automatischen Schutz der Anwendung ohne menschliches Zutun ermöglicht. RASP-Lösungen sind in den Anwendungscode integriert und können somit in containerisierten und serverlosen Lösungen eingesetzt werden – und das ohne Kompatibilitätsprobleme.

5. Security Operations Center (SOC)
Ein rund um die Uhr aktives SOC ist für Unternehmen von entscheidender Bedeutung. Automatisierte Tools bilden eine gute Basis, stellen aber nur einen Teil der Security-Strategie dar. Ein gut ausgestattetes SOC erkennt Sicherheitsvorfälle sofort und kann auf erfahrene Analysten zurückgreifen, die ein Unternehmen jederzeit schützen. Mit ihrer Unterstützung können auch fortgeschrittene und anhaltende Bedrohungen identifiziert und abgewehrt werden. Das SOC-Team hat Zugriff auf alle Datenfeeds aus Authentifizierungen und kann die Informationen aggregieren und analysieren. Mit Hilfe von Sicherheitstechnologien schützt ein SOC-Team die Anwendungen in Echtzeit und verhindert somit Datendiebstahl.

Dennoch: Ein durchschnittliches SOC-Team erhält täglich 10.000 Warnungen. Umso wichtiger sind qualifizierte Personen mit ausgezeichneten Analysefähigkeiten. Nur wenige Unternehmen können einen solchen Service aus eigener Kraft stemmen. Ein Managed Security Partner wie Rackspace mit seinem Service Rackspace Managed Security (RMS) kann Organisationen hier auf operativer und finanzieller Ebene entlasten und dabei unterstützen, die Komplexität des Themas Cloud-Security zu reduzieren. Unabhängig von der entsprechenden Cloud Computing-Umgebung erkennt dieser Bedrohungen, reagiert darauf und minimiert die Risiken durch Bereitstellung von Expertise und zukunftssicheren Tools. (Rackspace: ra)

eingetragen: 16.10.19
Newsletterlauf: 26.11.19

Rackspace Technology: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>



Meldungen: Tipps und Hinweise

  • Effektive Datenstrategie erfordert Taten

    Daten sind der Treibstoff, der Unternehmen voranbringt. Viele Firmen haben jedoch immer noch Schwierigkeiten, aus der Fülle an Informationen, über die sie verfügen, einen Mehrwert zu schöpfen. Laut einer aktuellen Cloudera-Studie sind sogar 62 Prozent der deutschen IT-Entscheider besorgt, dass die Daten in ihrem Unternehmen außer Kontrolle geraten.

  • Vier Wege, die Cloud bestmöglich zu nutzen

    Cloud-Strategie schön und gut, aber was, wenn Unternehmen das volle Potenzial von Cloud-Plattformen hinsichtlich Kosten, Sicherheit und Compliance gar nicht ausschöpfen? Wer sich gegen Cloud-Optimierung entscheidet, fällt langfristig zurück und verliert dabei womöglich noch eine Menge Geld.

  • Erste Schritte im EnEfG-Assessment

    Mit dem Inkrafttreten des Energieeffizienzgesetzes (EnEfG) im November 2023 stehen Betreiber von Rechenzentren vor der Herausforderung, ihre Anlagen an neue, strengere Energieeffizienzvorschriften anzupassen. Prior1 reagiert mit einem speziell entwickelten Assessment-Service, der auch dazu dient, die Effizienz von Rechenzentren zu steigern.

  • IT-Services an Cloud-Anbieter auslagern

    Mit einer neuen Aufsichtsmitteilung hat die BaFin im Januar ihre Regelungen für Finanzdienstleister konkretisiert, die IT-Services an Cloud-Anbieter auslagern. Die bislang gültige "Orientierungshilfe" aus dem Jahr 2018 wurde hierbei wesentlich erweitert und auch um Hinweise zur Umsetzung des Digital Operational Resilience Act (DORA) ergänzt.

  • Cloud-gestützte Gen-AI-Modellen

    Nach dem Auslaufen der Sonderkonjunktur durch Corona ist Künstliche Intelligenz der Toptreiber für weiteres Wachstum im Hyperscaler-Markt. In Europa und insbesondere auch in Deutschland geht diese Rechnung aber nur auf, wenn Unternehmen ihre KI-Modelle in Sovereign-Cloud-Umgebungen entwickeln und implementieren können.

  • So profitieren Versicherer von der Cloud

    Unternehmen nahezu aller Branchen schlagen verstärkt den Weg in die Cloud ein. Auch bei Versicherungen ist ein klarer Trend zum Einsatz von Cloud-Services erkennbar. In stark regulierten Branchen wie der Finanzdienstleistungsindustrie oder dem Versicherungswesen wurde in der Vergangenheit die Cloud-Nutzung nur zögerlich in Angriff genommen. Diese Zeiten haben sich allerdings geändert.

  • SaaS braucht ein umfassendes Sicherheitskonzept

    Cloud-basierte Software-as-a-Service (SaaS)-Angebote sind schnell und einfach zu beziehen, weshalb einzelne Fachabteilungen dies oftmals tun - ohne die interne IT-Abteilung zu involvieren. Wolfgang Kurz, CTO bei indevis, weiß, welche Cyberrisiken das birgt und gibt drei Tipps, wie Unternehmen die Vorteile von SaaS nutzen können, ohne dabei den Angriffsvektor zu erhöhen.

  • Für wen lohnt sich Colocation?

    Unternehmen stellen hohe Anforderungen an ihr Rechenzentrum, die sie jedoch oftmals in Eigenregie gar nicht erfüllen können. Denn Planung und Bau eines modernen und energieeffizienten Rechenzentrums sind komplex, nicht viel anders sieht es in puncto Betrieb aus. Colocation, auch Serverhousing genannt, ist eine Alternative. NTT Ltd., ein führendes IT-Infrastruktur- und Dienstleistungsunternehmen, beantwortet die wichtigsten Fragen.

  • SaaS-Anwendungsdaten sichern

    Subbiah Sundaram, SVP Product bei HYCU, erklärt, warum Unternehmen dafür sorgen müssen, dass sie Software-as-a-Service (SaaS)-Anwendungsdaten sichern und wiederherstellen können.

  • Einführung von SaaS-Anwendungen

    Cloud-basierte Software-as-a-Service (SaaS)-Angebote sind schnell und einfach zu beziehen, weshalb einzelne Fachabteilungen dies oftmals tun - ohne die interne IT-Abteilung zu involvieren. Wolfgang Kurz, CTO bei indevis, weiß, welche Cyberrisiken das birgt und gibt drei Tipps, wie Unternehmen die Vorteile von SaaS nutzen können, ohne dabei den Angriffsvektor zu erhöhen.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen