Herausforderungen für Multi-Cloud- und Hybrid-Cloud-Sicherheit

Die Ausführung von Workloads über AWS, Azure, GCP und On-Prem-Infrastrukturen bietet Ihrem Unternehmen eine höhere betriebliche Flexibilität. Dennoch ergeben sich daraus auch ernsthafte Herausforderungen für die Cloud-Sicherheit, insbesondere in Multi-Cloud- oder Hybrid-Cloud-Umgebungen.

Jede Umgebung hat ihr eigenes Identitätsmodell, ihre eigene Richtliniensprache, ihren eigenen Protokollierungsansatz und ihren eigenen Kontrollrahmen, was eine konsistente Governance schwierig macht.

Security-Teams jonglieren oft mit widersprüchlichen Konfigurationen wie Cloud-nativen Verschlüsselungsvorgaben, Cloud-Identitätsverbundeinstellungen und Protokollierungsschemata.

Diese Unterschiede bergen Risiken, wie z. B. Lücken im Versicherungsschutz und ein erhöhtes Risiko von Versäumnissen und menschlichen Fehlern.

Eine Fehlkonfiguration in AWS hat vielleicht keine unmittelbaren Auswirkungen, aber wenn eine Verbindung zu einer Azure-Identität mit zu vielen Berechtigungen oder einer falsch konfigurierten On-Prem-Dateifreigabe hergestellt wird, kann die Gefährdung eskalieren.

Diese Komplexität nimmt mit der Größe der Teams zu. Mit unterschiedlichen DevOps-Pipelines, Tools und Sicherheitspositionen in verschiedenen Umgebungen lassen sich Fehlkonfigurationen in der Cloud und bei Identitäten immer schwerer erkennen und beheben. Das Ergebnis ist eine fragmentierte Angriffsfläche, auf der Lateral Movement für Angreifer einfacher ist.

AWS, Azure und GCP bieten zwar ähnliche Sicherheitsprinzipien, aber die Umsetzung ist unterschiedlich.

AWS setzt auf Richtlinien für die Identitäts- und Zugriffsverwaltung (IAM), Azure verwendet rollenbasierte Zugriffskontrolle (RBAC) und GCP verwaltet den Zugriff über Servicekonten und Berechtigungen auf Ressourcenebene.

Diese Unterschiede führen zu anbieterspezifischen Risiken.

• AWS kann Wildcard-Berechtigungen wie s3:* zulassen, wodurch ein breiter Datenzugriff ermöglicht wird.
• Azure kann veraltete Benutzerobjekte oder unzureichend erzwungene Zugriffsbeschränkungen zulassen.
• GCP verwendet häufig standardmäßig freizügige Dienstkonten, die selten mit den geringsten Rechten übereinstimmen.

Das Risiko einer hybriden Cloud steigt, wenn Dienste diese Plattformen überbrücken. So kann eine GCP-Funktion beispielsweise Telemetriedaten von einer virtuellen Azure-Maschine abrufen, indem sie einen API-Schlüssel verwendet, der in einem nicht verwalteten Geheimdienstmanager gespeichert ist.

Wenn ein Angreifer den Schlüssel kompromittiert, gewährt er Zugang zu Systemen in beiden Clouds.

Beim Modell der geteilten Verantwortung kümmert sich Ihr Cloud-Anbieter um die Infrastruktur, aber Sie sichern Dinge wie Identitäten, Workloads und Konfigurationen.

Die Herausforderungen bei der Cloud-Sicherheit sind häufig auf Konfigurationsschwankungen und eine uneinheitliche Durchsetzung von Identitäten zurückzuführen.

Zu den häufigsten Problemen gehören:

• Uneingeschränkter Zugang zu Speicher, Containern oder APIs
• Übermäßige IAM-Privilegien, veraltete Dienstkonten oder verwaiste Zugriffsschlüssel
• Unüberwachte Verkehrsströme zwischen Clouds oder zwischen Cloud- und On-Prem-Systemen
• Lücken in der MFA-Durchsetzung oder SSO-Föderation
• Sich überschneidende Rollendefinitionen in verschiedenen Umgebungen

In der Praxis kommen diese Mängel zusammen. Ein Speicher-Bucket in AWS kann für das Internet offen gelassen werden. Das allein ist schon riskant. Wenn jedoch ein Azure-Dienstprinzipal mit ungenutzten administrativen Rechten darauf zugreift und auf beiden Seiten keine Protokolle aktiviert sind, können Angreifer Daten unbemerkt exfiltrieren.

Ohne eine einheitliche Identity Governance ist es für Teams schwierig, Berechtigungen zu prüfen oder ungenutzten Zugriff zu widerrufen. Dies schwächt Ihre Fähigkeit, eine Rechteausweitung oder ein Lateral Movement während eines Angriffs zu verhindern.

Um Cloud-Risiken vorzubeugen, brauchen Sie einen klaren Überblick über alle Umgebungen, aber die meisten Teams verwenden unzusammenhängende Tools.

Sie wechseln zwischen Dashboards, führen für jede Cloud unterschiedliche Scans durch und verwalten sich überschneidende Richtlinien, was zu blinden Flecken führt, die Abläufe verlangsamt und zusätzliche Arbeit verursacht.

Stärkung der Multi-Cloud-Sichtbarkeit:

• Standardisierung der Protokollerfassung in verschiedenen Clouds und Senden von Daten an ein zentrales SIEM
• Abbildung der Rollen- und Identitätsnutzung über Plattformen hinweg, um übermäßige Erlaubnis zu erkennen
• Scannen von Infrastructure-as-Code-Vorlagen vor der Bereitstellung, um Drift as Code zu verhindern
• Implementierung einheitlicher Verfahren zur Kennzeichnung und Inventarisierung von Assets in Clouds und On-Prem
• Nutzung gemeinsamer Cloud-Compliance-Frameworks wie NIST CSF, ISO/IEC 27001 und FedRAMP als Leitfaden für die Entwicklung von Richtlinien und die Berichterstattung

Eine einheitliche Sichtbarkeit ist eine Notwendigkeit für die Risikominderung in der Hybrid Cloud. Wirtschaftsprüfer und Aufsichtsbehörden erwarten den Nachweis, dass Ihre Cloud-Kontrollen über Regionen und Plattformen hinweg einheitlich funktionieren. Ohne einen Cloud-übergreifenden Kontext ist der Nachweis von Verschlüsselung, Segmentierung und Zugriffskontrolle schwierig.

Eine starke Multi-Cloud-Sicherheitsstrategie wendet konsistente Praktiken in verschiedenen Umgebungen an, auch wenn Ihre Tools unterschiedlich sind.

Einige vorgeschlagene Best Practices zur Reduzierung des Hybrid-Cloud-Risikos:

• Einführung föderierter Identitäten zur Vereinheitlichung der Zugriffskontrolle und zur Verringerung der Ausbreitung von Anmeldeinformationen
• Verwendung von Single Sign-On (SSO) und bedingtem Zugriff in allen Umgebungen
• Überprüfung von Dienstkonten, Rollen und Berechtigungen auf unnötigen Zugriff
• Überwachung toxischer Kombinationen von Fehlkonfigurationen, Identitäten und sensiblen Daten
• Implementieren Sie Policy as Code, um in Cloud- und On-Prem-Infrastrukturen die gleichen Durchsetzungsregeln anzuwenden.
• Einbindung von Runtime-Telemetrie zur Korrelation von Konfigurationsstatus und Verhalten

Dieser Ansatz stärkt Ihre Fähigkeit, die geringsten Rechte durchzusetzen, und reduziert das Rauschen in den Pipelines zur Erkennung. Anstatt den Warnmeldungen verschiedener Tools nachzujagen, konzentriert sich Ihr Team auf die wirklichen Herausforderungen der Cloud-Sicherheit.

Suchen Sie nach Möglichkeiten, diese Verbindungen in Echtzeit abzubilden? Erfahren Sie, wie Exposure Management in der Cloud dazu beiträgt, den Risikokontext zu vereinheitlichen und Exploit-Pfade zu unterbrechen, bevor Angreifer sich seitwärts bewegen können.