Grundprinzipien der Cloud-Sicherheit

1. Cloud-Sicherheit im Überblick

---

Was ist Cloud-Sicherheit?

Cloud-Sicherheit ist ein Cybersecurity-Fachgebiet und umfasst sämtliche Tools, Ressourcen, Prozesse und Richtlinien zum Schutz Ihrer Cloud-Infrastruktur, einschließlich Daten, Systemen, Anwendungen und Ressourcen, die in der Cloud gespeichert bzw. bereitgestellt werden. Verfahren der Cloud-Sicherheit lassen sich auch auf Elemente einer Hybrid-Umgebung anwenden, in denen ein Mix aus On-Prem- und cloudbasierten Systemen vorhanden ist.

Mit einem Cloud-Sicherheitsprogramm können Sie alle Assets in Ihrer Cloud-Infrastruktur bewerten und sind dadurch in der Lage, sämtliche Schwachstellen, Sicherheitslücken, Fehlkonfigurationen und anderen Sicherheitsprobleme zu erfassen, zu entschärfen und zu beheben, damit Ihre Cloud-Infrastruktur jederzeit geschützt ist.

Cloud-Sicherheit ist auch als Cloud Computing-Sicherheit bekannt. Ziel ist es, all Ihre Daten in der Cloud zu schützen und Sie dabei zu unterstützen, regulatorische und gesetzliche Bestimmungen, Compliance-Anforderungen und andere Standards zu erfüllen.

Verfahren für die Cloud-Sicherheit können außerdem eingesetzt werden, um den Zugriff auf Cloud-Systeme zu beschränken und zu kontrollieren sowie andere Sicherheits- und Konfigurationsregeln für Cloud-Umgebungen zu verwalten.

Die Verantwortung für Cloud-Sicherheit hängt von der gewählten Infrastruktur ab, doch im Allgemeinen sollte Ihr Unternehmen mit dem Anbieter Ihrer Cloud-Sicherheitslösung zusammenarbeiten, um Ihre Cloud-Umgebung gemeinsam zu schützen.

Wie funktioniert Cloud-Sicherheit?

Im Zusammenhang mit Cloud-Sicherheit werden verschiedene Kontrollen, Prozesse und Richtlinien angewendet, um Ihre Cloud-Umgebung zu schützen und unbefugten Zugriff auf all Ihre Systeme, Daten und Anwendungen zu verhindern, die sich darin befinden.

Für effektive Cybersecurity benötigen Sie vollständigen Einblick in Ihre gesamte Cloud-Infrastruktur, einschließlich Serverless Computing, Containern und Microservices. Zudem sollten Sie über eine Cloud-Sicherheitslösung verfügen, die es Ihnen ermöglicht, all Ihre Cloud-Assets kontinuierlich zu überwachen und zu analysieren.

Sie können Ihren Ansatz für Cloud-Sicherheit individuell gestalten – basierend auf einer Reihe von Faktoren, die sich speziell auf die besonderen Merkmale und Anforderungen Ihres Unternehmens beziehen. Beispielhaft sind hier einige Strategien aufgeführt, die Sie im Zusammenhang mit Cloud-Sicherheit einsetzen können:

• Netzwerk-Monitoring und Next-Generation-Firewalls, um eingehende und ausgehende Daten in Ihrer Cloud-Umgebung zu kontrollieren. Das Ziel besteht darin, eine Verteidigung aufzubauen, die den Zugriff auf Ihre Daten durch unbefugte Benutzer aus einem externen Netzwerk verhindert.
• Kontinuierliche Asset-Erfassung, Bewertung sowie Threat-Intelligence, um Schwachstellen, Sicherheitslücken und andere Sicherheitsprobleme aufzudecken. Das Ziel besteht darin, Schwachstellen zu erfassen, damit Sie sie priorisieren und Pläne zu ihrer Behebung erarbeiten können.
• Identitäts- und Zugriffsverwaltung, um sicherzustellen, dass nur autorisierte Benutzer auf Daten in der Cloud zugreifen können.
• Verschlüsselung, um Ihre Daten bei der Übertragung und im Ruhezustand zu verschlüsseln.
• Segmentierung, um bestimmte Datenbestände oder Systeme zu isolieren, damit Angreifer bei einem erfolgreichen Angriff weniger umfangreichen Zugriff haben.
• Penetrationstests, um zu ermitteln, ob unbefugter Zugriff auf Ihre Cloud-Umgebung erlangt werden kann, sodass Sie die entsprechenden Probleme beheben und einem Übergriff verhindern können.
• Protokollierung sämtlicher Aktivitäten und entsprechende Berichterstattung.
• Data Loss Prevention, um den Zugriff auf Daten zu unterbinden, wenn verdächtige Aktivitäten festgestellt werden.
• Prüfungen und Hardening der Konfiguration.
• Antivirus-Programme, um eine Infektion mit Malware sowie deren Verbreitung zu verhindern.

Worin unterscheidet sich Cloud-Sicherheit von klassischer IT-Cybersecurity?

Cloud-Sicherheit und klassische IT-Cybersecurity verbinden einige gemeinsame Zielsetzungen, wie etwa der ständige Schutz von Daten, Systemen und Anwendungen. Doch zwischen den beiden Verfahren gibt es zahlreiche Unterschiede.

Herkömmliche Verfahren der IT-Sicherheit funktionieren in Cloud-Umgebungen nicht besonders gut und führen zu blinden Flecken, die Ihr Unternehmen gefährden können. Der Grund dafür: Im Gegensatz zu vielen traditionellen IT-Umgebungen (etwa Server und Computer in einer kontrollierten Umgebung), die sich durch einen Sicherheitsperimeter einfacher schützen lassen, ist die Cloud dynamisch und ändert sich häufig. Im Allgemeinen lassen sich Zugangspunkte innerhalb einer kontrollierten On-Prem-Umgebung leichter schützen als in einer dynamischen Cloud.

Zudem nimmt das Ausmaß an Vernetzung der Cloud immer weiter zu, sodass Sicherheitsprobleme, die ihren Ausgangspunkt in der Cloud haben, in Ihre On-Prem-Umgebung gelangen könnten und umgekehrt. Hinzu kommt, dass Sicherheitsprobleme, die ihren Ursprung in einer gemeinsam genutzten oder einer Public Cloud-Umgebung haben, bei unzureichendem Schutz ohne Ihr Wissen in Ihre Systeme oder Daten gelangen können. Wenn sich ein böswilliger Akteur Zugang zu einer Komponente in einer gemeinsam genutzten Umgebung verschafft, könnten Sie gefährdet sein.

Cloud-Sicherheit bietet zahlreiche Vorteile. Doch dieselben Faktoren, die Cloud-Sicherheit kostengünstig, skalierbar und zugänglich machen, können zu Sicherheitsproblemen beitragen. Die Cloud ist durch zahlreiche Probleme Gefahren ausgesetzt – angefangen bei einer schwachen Identitäts- und Zugriffsverwaltung bis hin zur Nutzung von Standard-Passwörtern, Lateral Movement nach einem Übergriff, Schwächen in Anwendungscode, Schwachstellen und anderen Sicherheitsproblemen.

Außerdem zählen Cloud-Umgebungen zu den Hauptangriffszielen, weil Bedrohungsakteure wissen, dass darin riesige Datenmengen gehostet werden.

Und obwohl es eine Reihe von Unterschieden zwischen Cloud-Sicherheit und traditioneller Informationssicherheit gibt, was die Risiken betrifft, so bringen Cloud-Sicherheit und herkömmliche Cybersecurity auch unterschiedliche Vorteile mit sich.

Hier einige Beispiele:

• Cloud-Sicherheit kann einfacher und schneller bereitgestellt werden. Mit einem SaaS-Modell (Software as a Service) müssen Sie keine zusätzliche Hardware oder andere Appliances zum Schutz Ihrer Cloud-Infrastruktur erwerben. Umgekehrt erweist sich vor Ort installierte Informationstechnologie häufig als kostspielig und zeitaufwendig: Sie müssen Hardware und Software evaluieren, kaufen, liefern lassen, einrichten und konfigurieren und Ihre Mitarbeiter entsprechend schulen.
• Cloud-Sicherheitslösungen sind kostengünstiger als komplexe On-Premises-Lösungen, mit denen zusätzlich zum Kaufpreis oftmals weitere Kosten wie etwa Wartungs- und Upgrade-Gebühren einhergehen. Hinzu kommen die Zeit und Ressourcen, die Ihre IT- und Sicherheitsteams zur Implementierung und Verwaltung aufwenden. Mit einem Subscription-Modell für Cloud-Sicherheit beispielsweise können diese Kosten beträchtlich gesenkt werden. Außerdem lässt sich ein solches Modell problemlos anpassen, um mit dem Wachstum Ihres Unternehmens Schritt zu halten.
• Klassische IT-Cybersecurity strapaziert interne Ressourcen, was heutzutage durch den Mangel an qualifizierten Fachkräften für wichtige Positionen noch verschlimmert wird. Je nachdem, ob Sie ein Public Cloud-, Private Cloud- oder Hybrid Cloud-Modell nutzen, können Aufgaben im Zusammenhang mit Cloud-Sicherheit zwischen Ihrem IT-Team und Cloud-Provider aufgeteilt oder an einen externen Anbieter übertragen und von diesem verwaltet werden.
• Lösungen für Cloud-Sicherheit sind besser geeignet, um umfassende Transparenz über Ihre Cloud-Infrastruktur und On-Premises-Umgebungen zu erlangen. Klassische IT-Cybersecurity ist auf Monitoring vor Ort und in Ihrem Netzwerk beschränkt.

Warum ist Cloud-Sicherheit wichtig?

Da immer mehr Unternehmen auf Cloud Computing-Lösungen setzen, nimmt Cloud-Sicherheit an Bedeutung zu. Der Grund dafür ist, dass viele traditionelle Sicherheitsverfahren, die für On-Prem-Infrastrukturen eingesetzt werden, nicht den umfassenden Einblick bieten, der für sich schnell verändernde Cloud-Umgebungen erforderlich ist.

Aufgrund der dort gespeicherten Datenvolumen befinden sich Cloud-Umgebungen im Fadenkreuz der Cyberangreifer – und folglich entwickeln sich Bedrohungen kontinuierlich weiter. Deshalb benötigen Sie Cloud-Sicherheit, wenn Sie ein Public Cloud-, Private Cloud- oder Hybrid Cloud-Modell nutzen.

Hier einige der zahlreichen Gründe, warum Cloud-Sicherheit wichtig ist:

• Sicherheitsbedrohungen nehmen zu und verändern sich ständig.
• Integrierte Sicherheitsverfahren können einfacher an zentraler Stelle verwaltet werden.
• Cloud-Sicherheit liefert Ihnen Erkenntnisse, die traditionelle IT-Sicherheit nicht bieten kann, einschließlich Einblick in kurzlebige und temporäre Assets wie Serverless Computing, Container und Microservices.
• Cloud-Sicherheit ist skalierbar und kann mit der Weiterentwicklung und Veränderungen in Ihrem Unternehmen Schritt halten.
• Cloud-Sicherheit kann dazu beitragen, Kosten zu senken und die Belastung für ohnehin schon ausgelastete IT-Mitarbeiter zu senken.
• Sie können viele Ihrer gängigen Sicherheitsverfahren automatisieren und zeitaufwendige, sich wiederholende manuelle Aufgaben eliminieren.
• Sie können die Sicherheit Ihrer Daten gewährleisten und dafür sorgen, dass eine Vielzahl von autorisierten Geräten und Benutzern von jedem Standort aus darauf zugreifen können.
• Sie können allen Benutzern, die auf Ihre Cloud zugreifen, das gleiche Maß an Sicherheit und User Experience bieten, unabhängig davon, wo sie sich befinden – im Gegensatz zur klassischen IT, die häufig Security-Stacks für Remote- und andere Standorte erfordert.

Was ist der Unterschied zwischen Public Cloud und Private Cloud?

Public und Private Clouds haben einige Gemeinsamkeiten, sind aber dennoch unterschiedlich. Der Hauptunterschied besteht darin, dass eine Public Cloud von mehreren Unternehmen gemeinsam über das Internet genutzt wird. Eine Private Cloud hingegen ist nur für ein einziges Unternehmen bestimmt und wird über ein privates Netzwerk genutzt.

Einige Unternehmen entschließen sich dazu, ein Hybrid Cloud-Modell mit Public Cloud- und Private Cloud-Services zu nutzen. Die wichtigsten Daten und Anwendungen für den Betrieb befinden sich dann oftmals in einer Private Cloud und der übrige Teil in einer Public Cloud.

Hier einige weitere Merkmale, in denen sich Public Clouds und Private Clouds unterscheiden:

• Private Clouds sind dediziert, sicher und in diesem Zusammenhang häufig mit Wartungskosten verbunden.
• Public Clouds weisen im Allgemeinen keine zusätzlichen Wartungskosten auf, da sie gemeinsam mit Dritten genutzt werden.
• Public Cloud-Modelle warten mit einer Vielzahl von Preisoptionen auf und bieten Flexibilität bei Ausgaben.
• Private Clouds lassen sich an die spezifischen Anforderungen Ihres Unternehmens anpassen, was zusätzliche Vorteile in Bezug auf Compliance-Anforderungen und gesetzliche Vorschriften mit sich bringen kann.
• Public Clouds eignen sich gut für Softwareentwicklung, Anwendungsnutzung und Kommunikationsdienste, während eine Private Cloud besser für sensible Daten wie personenbezogene Daten (PII) und geschützte Gesundheitsinformationen (PHI) geeignet sein kann.
• Sie können maßgeschneiderte Sicherheitslösungen für eine Private Cloud einsetzen, was für Compliance-Zwecke von Vorteil sein kann, doch in einer Private Cloud stehen Ihnen möglicherweise weniger Sicherheitsoptionen zur Verfügung.

Was ist eine Hybrid Cloud?

Hybrid Cloud Computing bietet Unternehmen Flexibilität, wenn Lösungen standortfern bereitgestellt werden. Bei einigen Hybrid Cloud-Modellen kommt ein Mix aus Public Cloud und Private Cloud zum Einsatz, andere wiederum können auch einige On-Prem-Ressourcen umfassen.

Ihr Unternehmen kann sich aus vielen Gründen für ein Hybrid Cloud-Modell entscheiden. Oftmals hängt diese Entscheidung von gesetzlichen Vorschriften und Compliance-Anforderungen ab, da einige Daten spezifische Sicherheitsprotokolle erfordern, die zwar in einer Private Cloud, nicht aber in einer Public Cloud umsetzbar sind. Bei anderen Daten und Anwendungen könnte in puncto Sicherheit hingegen größere Flexibilität bestehen, sodass sie für eine Public Cloud gut geeignet sind. Eine Hybrid Cloud-Lösung ist eine gute Option, um die Eindämmung von Risiken zu unterstützen: Ihre sensibelsten Daten können Sie in einer kontrollierten Umgebung aufbewahren und die Public Cloud stattdessen für Workloads verwenden, die weniger strenge Sicherheitsmaßnahmen erfordern.

Hier einige der zahlreichen Vorteile, die für eine Hybrid Cloud-Lösung sprechen:

• Sie behalten die Kontrolle über das gewünschte Maß an Sicherheit, was die Einhaltung von gesetzlichen Vorschriften unterstützt.
• Eine Hybrid Cloud-Lösung könnte kostengünstiger sein, als sämtliche Daten in einer Private Cloud aufzubewahren.
• Eine Hybrid Cloud-Lösung ist eine flexible und skalierbare Alternative, die anpassbar ist und mit der Weiterentwicklung und Veränderungen in Ihrem Unternehmen Schritt hält.
• Eine Hybrid Cloud-Lösung ermöglicht eine geplante, skalierte Migration in die Cloud, ohne dass alles auf einmal verlagert werden muss.

Sind Public Clouds sicher?

Ja, Public Clouds sind sicher. Der feine Unterschied besteht hier darin, welche Art von Sicherheitsmaßnahmen Sie einsetzen müssen – insbesondere im Hinblick auf Compliance-Standards und gesetzliche Bestimmungen, die in einer Public Cloud-Umgebung im Vergleich zu einer Private Cloud unter Umständen schwieriger einzuhalten sind. Public Clouds eignen sich nicht für jedes Unternehmen und jeden Datentyp, bieten aber sichere Alternativen zum Hosting vor Ort.

Keine Umgebung ist zu 100 % sicher, auch nicht Ihre On-Premises-Umgebung. Risiken gibt es immer. Doch die meisten Public Cloud-Anbieter verbessern ihre Sicherheitsverfahren kontinuierlich und lernen aus Exploits, die Daten gefährden.

Wenn Sie eine Geschäftsbeziehung mit einem Public Cloud-Anbieter eingehen, werden Sie vermutlich ein Service Level Agreement (SLA) oder einen sonstigen Vertrag unterzeichnen, aus dem hervorgeht, wer für welche Sicherheitskomponenten verantwortlich ist. Vergewissern Sie sich, dass sich beide Parteien über die Erwartungen im Klaren sind, und stellen Sie sicher, im Zuge der Geschäftsbeziehung sowie bei der Unterzeichnung von weiteren Verträgen oder Verlängerungen regelmäßig nachzufassen. Wenn Sie auf einen Public Cloud-Anbieter setzen, der die für Ihr Unternehmen geltenden gesetzlichen Vorschriften erfüllt, sollten Sie sich die Dokumentation des Compliance-Audits vorlegen lassen.

Ist die Cloud sicherer als On-Premises-Systeme?

In einer Studie gaben fast 90 % der Befragten an, dass Ihr Unternehmen eine gewisse Art von Public Cloud-Infrastruktur nutzt. Etwa 40 % waren überzeugt, Public Clouds würden mehr Sicherheit bieten, als mit den Sicherheitsvorkehrungen in ihren On-Prem-Umgebungen erreicht werden könnte, während weitere 35 % der Ansicht waren, die Public Cloud sei etwas sicherer als On-Prem-Umgebungen.

Aufgrund dieser Zuversicht und Zuverlässigkeit verlagern immer mehr Unternehmen geschäftskritische Anwendungen in die Cloud: 9 von 10 Unternehmen setzen bereits Software as a Service (SaaS) ein. Weitere 76 % der Befragten nutzen Infrastructure as a Service (IaaS) und 70 % Platform as a Service (PaaS).

Abstimmung der Cloud-Sicherheit auf den Cybersecurity Lifecycle

Durch die Abstimmung auf den Cybersecurity Lifecycle können sich zahlreiche Vorteile für Ihr Cloud-Sicherheitsprogramm ergeben.

Aus der Ponemon-Umfrage „The Economic Value of Prevention in the Cybersecurity Lifecycle“ geht hervor, dass sich sowohl Kosten, Ressourcen und Zeit einsparen als auch Beeinträchtigungen und Reputationsschäden abwenden lassen, wenn Angriffe gar nicht erst in Ihre Umgebung gelangen und Schäden anrichten können.

Prävention ist einer der komplexesten Bestandteile des Cybersecurity Lifecycle, aber dennoch unerlässlich. Durch Prävention eines Zero-Day-Angriffs können Unternehmen beispielsweise fast 1 Million USD sparen (der Durchschnitt beträgt 775.000 USD). Und für fast 20 % der Befragten gehört eine unsichere Cloud-Plattform zu den größten Sicherheitsbedenken.

Im NIST Cybersecurity Framework werden die fünf Kernfunktionen des Cybersecurity Lifecycle bestimmt: Identifizierung, Schutz, Erkennung, Reaktion und Wiederherstellung. Jede Funktion besteht aus Kategorien und Unterkategorien, die diese Funktionen in eine Linie mit Aktivitäten bringen, die Sie für den Aufbau und die Verbesserung Ihrer Cloud-Sicherheitsprozesse einsetzen können.

Die Funktionen und damit verbundene Inhalte werden nachstehend genauer erläutert:

• Identifizierung: Asset-Management, Geschäftsumgebung, Governance, Risikobewertung, Risikomanagementstrategie und Risikomanagement in der Supply Chain
• Schutz: Identitätsmanagement und Zugangskontrolle, Sensibilisierung und Schulung, Datensicherheit, Prozesse und Verfahren zum Informationsschutz, Wartung und Schutztechnologie
• Erkennung: Anomalien und Ereignisse, kontinuierliches Monitoring der Sicherheit und Erkennungsprozesse
• Reaktion: Reaktionsplanung, Kommunikation, Analyse, Risikominderung und Verbesserung
• Wiederherstellung: Wiederherstellungsplanung, Verbesserungen, Kommunikation

Wie lassen sich die Komponenten des Cybersecurity Lifecycle also effektiv auf Ihren Ansatz für Cloud-Sicherheit anwenden? Sehen. Vorhersagen. Handeln.

Die Exposure Management-Plattform von Tenable umfasst eine Reihe von Lösungen und Ressourcen für cloudbasierte Sicherheit und kann Ihnen zusätzliche Einblicke in Ihre Cloud-Assets – einschließlich Gefährdungen – bieten, damit Sie Cyberrisiken priorisieren und die Behebung von Sicherheitsproblemen in Ihrer Cloud-Umgebung planen können. Sie basiert auf dem einzigartigen Ansatz von Tenable, der es Ihnen ermöglicht, alles zu sehen, wichtige Ereignisse vorherzusagen und gezielt zu handeln, um Risiken zu beseitigen.

2. Cloud-Angriffe und damit verbundene Risiken

---

Welche Sicherheitsrisiken und -herausforderungen bestehen im Bereich des Cloud Computing?

Cloud Computing bietet Ihrem Unternehmen ein hohes Maß an Flexibilität und Skalierbarkeit, birgt aber eine Reihe von Sicherheitsrisiken. Jedes Mal, wenn Sie Daten und Workloads aus der On-Premises-Umgebung verlagern, geht dies mit einem gewissen Kontrollverlust einher.

Amazon Web Services (AWS) beispielsweise nutzt ein Shared Responsibility-Modell, dem zufolge AWS für die physische Sicherheit der Cloud und Sie für Ihre Daten und Workloads verantwortlich sind.

Ferner aggregieren die meisten Cloud-Provider Daten und Services in ihren Systemen, wodurch Angreifer häufig mit weniger Aufwand auf mehr Daten zugreifen können. Dies wiederum bedeutet, dass Cloud-Umgebungen den Wert eines Hacking-Ziels erhöhen können.

Weitere potenzielle Risiken sind blinde Flecken in Ihrer Cloud-Umgebung, eine Nichteinhaltung von gesetzlichen Vorschriften oder Compliance-Verpflichtungen, ein Serviceverlust bei Ausfällen aufseiten Ihres Cloud-Providers oder im Falle der Trennung Ihrer Cloud-Verbindung, unbefugter Zugriff auf Ihre Daten durch Mitarbeiter Ihres Cloud-Providers oder aber die Möglichkeit, dass Ihre in der Cloud gespeicherten Daten verloren gehen.

Hier einige häufige Sicherheitsrisiken und -herausforderungen im Zusammenhang mit Cloud Computing-Umgebungen:

• Mangelnde Sichtbarkeit: Unternehmen, die herkömmliche Verfahren der IT-Cybersecurity auf Cloud-Umgebungen anwenden, haben häufig mit mangelnder Sichtbarkeit zu kämpfen, was zu blinden Flecken führt und das Cyberrisiko erhöht.
• Fehlende Abstimmung: Ganz gleich, ob es sich um gänzlich verschiedene Ansätze für Assets oder Umgebungen oder um ein mangelndes Verständnis dessen handelt, wie Geschäfts- und Cybersecurity-Ziele zusammenwirken sollten: Durch eine fehlende Abstimmung im gesamten Unternehmen und über sämtliche Prozesse hinweg können Sie für Cloud-Risiken anfällig sein.
• Sich ausweitende Angriffsoberflächen: Immer mehr Unternehmen führen Cloud-Lösungen wie SaaS und PaaS ein, ohne sich vollständig über das für Cloud-Ressourcen eingesetzte Shared Responsibility-Modell im Klaren zu sein. Durch ein mangelndes Verständnis dessen, wer wofür verantwortlich ist und welche Risiken zuerst und wie genau angegangen werden sollten, ergeben sich Risiken für Cloud-Umgebungen.
• Umgebungsbedingte Komplexitäten: Cloud-Umgebungen sind komplex – völlig unabhängig davon, ob es sich dabei um Public Cloud-, Private Cloud-, Community Cloud- oder Hybrid Cloud-Lösungen handelt. Die Cloud ist eine großartige Alternative für Unternehmen, die nahtlose Integrationen und Abläufe für eine Vielzahl von Services und Anwendungen benötigen. Doch diese Komplexitäten erfordern cloudspezifische Sicherheitsmaßnahmen.
• Erhöhtes Interesse von Angreifern: Die meisten Hacker verfolgen dasselbe Ziel – so viel Geld wie möglich aus einem Angriff zu erwirtschaften. Da sich in gemeinsam genutzten Public Clouds häufig mehr Daten und kritische Systeme als auf einem On-Prem-Server befinden, richten Angreifer ihr Augenmerk zunehmend auf Cloud-Umgebungen.
• Höhere Wahrscheinlichkeit einer lateralen Ausbreitung von Angriffen: Traditionelle IT-Sicherheit beruht darauf, einen Perimeter um Ihre Daten und Assets zu errichten. Wenn es Ihnen gelingt, Ihr Netzwerk zu schützen, verringern Sie die Wahrscheinlichkeit eines Angriffs. Da Public Clouds aber gemeinsam genutzte Komponenten aufweisen, kann sich das Risiko für Ihr Unternehmen erhöhen, wenn es bei einem anderen Unternehmen in der gemeinsamen Umgebung zur Ausnutzung einer Sicherheitslücke oder Schwachstelle kommt.
• DevOps- und DevSecOps-Risiken: Einer der Vorteile der Cloud besteht für Unternehmen darin, dass sie DevOps- und DevSecOps-Workloads automatisieren und schnell hochfahren können. Doch wenn in den Frühphasen des Entwicklungszyklus keine geeigneten Sicherheitskontrollen implementiert werden, kann dies nach der Migration in die Produktionsumgebung erhöhte Sicherheitsrisiken zur Folge haben.
• Verwirrung durch Verantwortungsverlagerung: Aufgrund des Shared Responsibility-Modells, das durch Cloud-Umgebungen entstand, kann es mitunter zu Verwirrung bei der Frage kommen, wer für welche Sicherheitsaufgaben verantwortlich ist. Im Zusammenhang mit Compliance-Standards und gesetzlichen Bestimmungen ist dies ein kritisches Problem, da Ihr Unternehmen seine Compliance-Verantwortung nicht an unabhängige Partner übertragen kann.
• Herausforderungen bei der Zugangskontrolle: Jedes Mal, wenn Sie Daten und Anwendungen an einen anderen Standort verlagern, erhöht sich das Risiko, dass jemand auf Ihre Daten zugreifen kann. Neben Risiken durch Hacker könnte in einer Cloud-Umgebung auch die Gefahr bestehen, dass Mitarbeiter Ihres CSP unbefugten Zugriff auf Ihre Daten erhalten.

Was sind Cloud-Angriffe?

Durch einen Angriff auf die Cloud versuchen Angreifer, Schwachstellen oder andere Sicherheitslücken in Ihrer Cloud-Umgebung auszunutzen.

Angreifer können auf unterschiedliche Weise versuchen, in Ihre Cloud-Umgebung einzudringen. Sie könnten beispielsweise Malware einschleusen, um auf Daten zuzugreifen, die in der Cloud gespeichert sind. Sobald sie in Ihre Cloud-Umgebung eingedrungen sind, können sie sich seitwärts durch andere Komponenten fortbewegen (Lateral Movement) und andere Systeme in Mitleidenschaft ziehen.

Hier einige andere Arten von Cloud-Angriffen und Angriffsvektoren:

• Denial of Service (DoS)
• Brute-Force-Angriffe
• Wrapping-Angriffe
• Übernahme von Services
• Keine oder schwache Verschlüsselung
• Man-in-the-Middle-Angriffe
• Advanced Persistent Threats (APTs)
• Bedrohungen durch böswillige Insider
• Bösartige Skripts
• Phishing, Malware und Ransomware
• Unbefugter Zugriff oder Credential Stealing
• Fehlkonfigurationen
• Einschleusung von Malware

Wer ist für Cloud-Sicherheit verantwortlich?

Wer für die Cloud-Sicherheit verantwortlich ist, hängt davon ab, welches Modell Sie wählen. Doch in der Regel bemühen sich alle Cloud Service Provider (CSP), ihren Kunden sichere Cloud-Umgebungen zu bieten. In sämtlichen Cloud-Umgebungen sind Sie jedoch selbst dafür verantwortlich, Ihre Daten abzusichern und zu verwalten, wer Zugriff auf Ihre Cloud-Assets hat.

Je nachdem, für welchen Service oder welches Modell Sie sich entscheiden, sollten Sie damit rechnen, die Verantwortung für Cloud-Sicherheit auf mehrere Schultern zu verteilen (Shared Responsibility-Modell). Wenn Sie im Hinblick auf IaaS beispielsweise auf einen CSP setzen, ist dieser für den Schutz der Anlagen, Hardware, Software, Infrastruktur sowie des Zugangs verantwortlich. Parallel dazu sind Sie für die Sicherheit Ihrer Daten und Anwendungen zuständig und haben die Kontrolle darüber, wer Zugriff hat und welche Betriebssysteme eingesetzt werden. Als PaaS-Kunde tragen Sie die Verantwortung dafür, die Sicherheit Ihrer Daten, Systeme und Anwendungen zu gewährleisten und den Benutzerzugriff zu kontrollieren. Und auch bei einem SaaS-Modell liegt die Verantwortung für die Kontrolle des Benutzerzugangs und die Absicherung der Daten bei Ihnen.

3. Ebenen und Tools der Cloud-Sicherheit

---

Welche Ebenen des Cloud Computing gibt es?

Cloud Computing besteht aus mehreren Ebenen, die zur Komplexität der Cloud-Sicherheit beitragen. Wenn Sie diese Ebenen verstehen und geeignete Kontrollen zu ihrer Absicherung wählen, kann dies zur Sicherheit Ihrer Cloud-Umgebung beitragen. Hier ein kurzer Blick auf einige dieser Ebenen:

• Richtlinien und Verfahren: Richtlinien und Verfahren sind das Herzstück Ihres Cloud-Sicherheitsprogramms. Es könnte hilfreich sein, ein Compliance-Framework für Cloud-Sicherheit, z. B. das vom Center for Internet Security (CIS), einzusetzen, das Sie bei der Festlegung von Richtlinien und der Einrichtung von Kontrollen unterstützt.
• Physische Sicherheit: Hierzu gehören physische Zugangskontrollen, die einen unbefugten Zugang zu Ihren Anlagen verhindern, z. B. Schlüssel, Multifaktor-Authentifizierung oder andere Sicherheitsmaßnahmen.
• Netzwerksicherheit: Netzwerksicherheit kann auf zwei Ebenen angegangen werden: Perimetersicherheit und interne Sicherheit. Perimetersicherheit gewährleistet, dass der gesamte Netzwerkverkehr bestimmte überwachte Punkte in Ihrer Umgebung durchläuft. Interne Sicherheitsmaßnahmen konzentrieren sich hingegen auf ein- und ausgehende Daten in Ihrer Cloud-Umgebung.
• Anwendungssicherheit: Sie sind dafür verantwortlich, dass Ihre Daten sicher sind und unbefugter Zugriff beschränkt wird – selbst bei der Nutzung von SaaS. Dies kann auf Anwendungsebene geschehen, wo Sie Kontrollen wie Firewalls, Verschlüsselung und andere Methoden zur Erkennung von Eindringversuchen (Intrusion Detection) einsetzen können, um Anwendungen und Daten zu schützen.
• Virtualisierung: Es ist zwingend notwendig, diese Ebene während des gesamten Lebenszyklus abzusichern, unter anderem durch Zugangskontrollen und kontinuierliches Monitoring der Angriffsvektoren in der Cloud.
• Orchestrierung: Auf dieser Ebene automatisieren Sie Ihre Workflows und Prozesse und stellen dadurch im Allgemeinen sicher, dass gänzlich verschiedene Systeme, die dauerhaft oder vorübergehend in Ihrer Cloud vorhanden sind, effektiv und sicher miteinander interagieren.

Was ist Agentless Assessment?

Die Überprüfung von Cloud-Instanzen auf Schwachstellen funktioniert nicht nach demselben Prinzip wie das Scannen traditioneller Infrastruktur. Automatische Skalierung sorgt dafür, dass Instanzen schnell bereitgestellt und auch wieder entfernt werden und zudem über viele Regionen verteilt sind. Damit Sicherheit und Konformität Ihrer Cloud-Umgebungen gewahrt bleiben, müssen Sie unbedingt dazu in der Lage sein, diese nahezu in Echtzeit auf nicht konforme Konfigurationen und Drift zu überprüfen.

Die Agentless Assessment-Funktion von Tenable Cloud Security ermöglicht es Ihren Sicherheitsteams, sämtliche Cloud-Assets schnell und einfach zu erfassen und zu bewerten. Daten werden kontinuierlich über Live-Scans aktualisiert, die durch jedes protokollierte Änderungsereignis ausgelöst werden können. Wenn das branchenführende Team von Tenable Research eine neue Schwachstelle hinterlegt, können Ihre Sicherheitsteams mithilfe der Live Results-Funktion von Tenable Cloud Security feststellen, ob die betreffende Schwachstelle im aktuellen Asset-Bestand vorliegt, ohne dazu einen neuen Scan durchführen zu müssen. Für Agentless Assessment sind keine Agents von Tenable oder Cloud-Anbietern erforderlich, sodass es keine Auswirkungen auf die Ressourcen gibt und Sie keine Agents in neue Bereitstellungen einbinden müssen.

Was ist ein Container?

Ein Container ähnelt einer virtuellen Maschine. In der Cloud können Sie mithilfe eines Containers eine isolierte Umgebung aufbauen, in der Anwendungen gebündelt und zusammen mit dazugehörigen Bibliotheken und Abhängigkeiten ausgeführt werden. Einfach ausgedrückt: Container sind eigenständige „Pakete“, die bereits alles enthalten, was Sie zur Ausführung einer Anwendung benötigen.

Container sind schlank und einfach bereitzustellen. Sie können Entwicklern helfen, die Softwarebereitstellung zu beschleunigen. Sie können Container außerdem dazu verwenden, Anwendungen innerhalb einer dedizierten Umgebung von anderen Anwendungen zu isolieren. Entwicklern bietet dies eine großartige Arbeitsumgebung, da keine Probleme im Zusammenhang mit Abhängigkeiten oder Ressourcen auftreten können.

Im Durchschnitt bleibt ein Container etwa zweieinhalb Tage bestehen – und diese Zeitspanne wird immer kürzer. Da Container kurzlebig sind, können sie von herkömmlichen Prozessen der IT-Cybersecurity (z. B. periodische Scans statt kontinuierlichem Monitoring) übersehen werden, wodurch Gefährdungen in Ihrer Cloud-Umgebung zurückbleiben.

Container bieten Virtualisierung auf Betriebssystemebene und trennen Anwendungen, sodass es keine widersprüchlichen Abhängigkeiten oder Ressourcenprobleme gibt, sofern Sie diese nicht entsprechend eingerichtet haben.

Was ist Container-Sicherheit?

Container-Sicherheit umfasst alle Prozesse, Tools, Richtlinien und Ressourcen, mit deren Hilfe Sie sicherstellen, dass Ihr Container sicher und wie vorgesehen betrieben wird. Durch Container-Sicherheit erhalten Sie nahtlosen und sicheren Zugriff auf Container-Images und können sich zudem ein Bild davon machen, ob Malware-, Konfigurations-, Schwachstellen- oder Sicherheitsprobleme vorliegen.

Container sind im Allgemeinen kurzlebig. Deshalb werden sie im Rahmen von herkömmlichen Prozessen der IT-Sicherheit (z. B. bei periodischen Scans) häufig nicht erfasst, was zu blinden Flecken in der Angriffsoberfläche führt. Container bringen weitere Sicherheitsherausforderungen mit sich, wie etwa mangelndes Credentialed Scanning, Probleme bei der Behebung von Schwachstellen in der Produktion und fehlende IP-Adressen.

Effektive Container-Sicherheit sollte Folgendes bieten:

• Erfassung und Behebung von Schwachstellen vor der Anwendungsbereitstellung
• Vollständigen Einblick in Container-Sicherheit
• DevOps-Unterstützung mit Sicherheitstests in unter 30 Sekunden
• Gewissheit für Entwickler, dass ihr Code qualitativ hochwertig ist
• Unterstützung für Entwickler, damit sie Sicherheitsprobleme vor der Bereitstellung erfassen und beseitigen können
• Erhöhte Produktivität sowie Zeit- und Kosteneinsparungen

Was ist Cloud-Verschlüsselung?

Cloud-Verschlüsselung ist ein Prozess, mit dem sowohl ein- als auch ausgehende Daten in der Cloud bereits vor der Übertragung verschlüsselt werden. Cloud-Verschlüsselung kann auch für Daten im Ruhezustand eingesetzt werden, während diese in der Cloud gespeichert sind.

Cloud-Verschlüsselung ist eine gute Sicherheitspraxis, da sie verhindert, dass unbefugte Benutzer ohne Entschlüsselungsschlüssel auf Ihre Daten zugreifen können. Sie gewährleistet Endgeräteschutz, was bedeutet, dass Ihre ein- und ausgehenden Daten in der Cloud sicher sind.

In einer Public Cloud oder Community Cloud kann durch Cloud-Verschlüsselung auch sichergestellt werden, dass andere Konten (sogenannte „Tenants“) innerhalb der gemeinsam genutzten Umgebung nicht auf Ihre Daten zugreifen können.

Zahlreiche Compliance-Anforderungen und gesetzliche Vorschriften (z. B. HIPAA und PCI DSS) sehen ein gewisses Maß an Cloud-Verschlüsselung vor, um Datensicherheit zu gewährleisten. Dies kann dazu beitragen, eine Exfiltration und Entwendung von Daten zu verhindern, und zudem die Wahrscheinlichkeit reduzieren, dass ein böswilliger Akteur Ihre Daten modifiziert oder beschädigt.

Die meisten bekannten CSPs bieten Cloud-Verschlüsselung als Sicherheitsvorkehrung an, doch Sie können auch eigene Verschlüsselungsprotokolle ergänzen, um zusätzliche Sicherheit zu erreichen.

Was ist ein Cloud Security Gateway?

Ein Cloud Security Gateway ist eine in der Cloud gehostete Lösung, die als Zwischenschicht zwischen Ihren Cloud-Anwendungen und Ihren Benutzern fungiert.

Ein Cloud Security Gateway kann zur Durchsetzung von Richtlinien zwischen Ihren Cloud-Anwendungen und Ihrem Unternehmen konfiguriert werden. Auf diese Weise kann Ihr Sicherheitsteam nachvollziehen, wie Sie die Cloud nutzen, welche Cloud-Sicherheitsverfahren vorhanden sind und wie diese Verfahren auf Ihre On-Premises-Kontrollen abgestimmt sind. Cloud Security Gateways werden auch als Cloud Access Security Broker bezeichnet.

Cloud Security Gateways können eingesetzt werden, um Datenverkehr zu filtern, sodass sich beispielsweise Malware nicht in Ihren Systemen ausbreiten und andere Ressourcen infizieren kann.

Cloud Security Gateways setzen alle Ihre Richtlinien durch – und da von der Filterung bis zur Durchsetzung alles in der Cloud geschieht, benötigen Sie für diese Sicherheitsebene keinerlei zusätzlichen On-Premises-Appliances.

Identitäts- und Zugriffsverwaltung (IAM) in der Cloud

Im Zusammenhang mit dem Shared Responsibility-Modell für Cloud-Sicherheit gehören der Schutz Ihrer Daten und die Kontrolle des Zugriffs auf diese Daten und Cloud-Umgebungen zu den zahlreichen Aufgaben, für die Ihr Unternehmen verantwortlich ist.

Die Identitäts- und Zugriffsverwaltung (IAM) in der Cloud ähnelt der Identitäts- und Zugriffsverwaltung vor Ort – mit dem Unterschied, dass erstere speziell auf Kontrollen für Ihre Cloud-Umgebung abzielt. IAM in der Cloud verschafft Ihnen einen einheitlichen Überblick über Ihre Cloud-Sicherheitsrichtlinien. Dadurch haben Sie Kontrolle darüber, wer auf Ihre Cloud zugreifen kann, worauf Zugriff besteht und wie dieser Zugriff bei Bedarf aufgehoben wird.

Bei IAM in der Cloud geht es darum, Rollen und Zugänglichkeit festzulegen und zu verwalten. Sie sollten sicherstellen, dass die richtigen Benutzer über die richtigen Zugriffsrechte verfügen, damit sie nur auf die Informationen zugreifen können, die für ihre Rolle erforderlich sind.

Achten Sie bei der Auswahl einer Cloud-Sicherheitslösung darauf, dass der jeweilige Anbieter es Ihnen ermöglicht, die Identitäts- und Zugriffsverwaltung innerhalb der Plattform einzusehen und zu steuern. Die Lösung sollte dies zudem auf granularer Ebene ermöglichen, damit Sie Ihre Zugangskontrollen im Detail einsehen können und beispielsweise Einblick in Ressourcentypen und IP-Adressen, Sicherheitsinformationen zu Geräten und vieles mehr haben. Darüber hinaus sollten Sie mit der Lösung neue Benutzerrollen erstellen, Rollen ändern, sämtliche Aktivitäten von Benutzern nachverfolgen und Berichte zu diesen Aktivitäten prüfen können.

4. Cloud-Sicherheitslösungen

---

Auswahl einer Cloud-Sicherheitslösung

Die Einführung einer neuen Software- oder Sicherheitslösung war schon immer ein langwieriger und mühsamer Prozess, der ohne sachgerechte Recherche und Planung zu zahlreichen Hindernissen führen kann, die der Implementierung im Wege stehen und Akzeptanz- und Nutzungsraten beeinträchtigen. Doch die Auswahl einer Cloud-Sicherheitslösung muss nicht derart frustrierend sein.

Durch Voraussicht und Planung schlagen Sie schnell den richtigen Weg ein und finden die beste Cloud-Sicherheitslösung für Ihr Unternehmen.

Hier einige Tipps:

• Legen Sie ein Ziel fest: Was soll Ihre Lösung bewirken? Wie lässt sich dieses Ziel auf Ihre geschäftlichen Ziele und Vorgaben abstimmen?
• Führen Sie sich Ihre „Must-haves“ vor Augen: Was muss die Lösung leisten, damit Sie all Ihre Ziele erreichen?
• Befassen Sie sich im Detail mit den Produktfunktionen: Inwiefern verbessert die Lösung die Sicherheit und inwiefern reduziert sie Risiken?
• Seien Sie sich über Compliance-Anforderungen und andere gesetzliche Vorschriften im Klaren: Können Sie sich mit der Lösung ein Bild davon machen, inwieweit Ihr Unternehmen bestehende Anforderungen erfüllt und wo Defizite vorhanden sind, und kann die Lösung Sicherheitslücken identifizieren und Ihnen bei der Priorisierung von Remediation-Plänen helfen?
• Informieren Sie sich über Skalierbarkeit und Forschung: Kann die Lösung mit Ihrem Unternehmen wachsen und wie wird sichergestellt, dass sie stets präzise und zeitnahe Risikodaten liefert, wenn sich Ihre Anforderungen im Laufe der Zeit verändern?

Und abschließend einige weitere Fragen, die Sie bei der Zusammenstellung Ihrer engeren Auswahlliste für potenzielle Anbieter von Cloud-Sicherheitslösungen berücksichtigen sollten:

• Wie führt die Lösung Bewertungen durch, wie beispielsweise Malware-Erkennung, Web-App-Scanning, Schwachstellen-Scans, Konfigurationsprüfungen usw.?
• Wie verfährt der Anbieter bei der Lizenzierung? Deckt die Lizenzgebühr bereits alles ab oder fallen zusätzliche Gebühren für Module an, die Sie möglicherweise benötigen?
• Welche Scanning-Funktionen bietet die Lösung für Assets? Welche Asset-Typen können gescannt werden?
• Kann die Lösung Schwachstellen priorisieren?
• Verfügt die Lösung über ein leicht verständliches Dashboard, das umfassende Einblicke in Ihre Angriffsoberfläche bietet?
• Bietet die Lösung eine Vielzahl von anpassbaren Berichterstattungsfunktionen?
• Wie werden Zugangsdaten in der Lösung verwaltet?
• Stützt sich die Lösung bei der Priorisierung von Schwachstellen in erster Linie auf das CVSS oder verfügt sie über zusätzliche Tools, die Ihnen Aufschluss darüber geben, von welchen Schwachstellen tatsächlich ein Risiko für Ihr Unternehmen ausgeht?
• Wie steht es um die Schwachstellen-Abdeckung des Anbieters? Kann er neue Schwachstellen aufdecken und entsprechende Updates zur Verfügung stellen, wenn Schwachstellen gefunden werden?
• Wie verfährt der Anbieter bei Updates und Upgrades von Produkten? Erfolgen sie automatisch? Wie häufig gibt es Updates und Upgrades?
• Wie funktioniert die Lösung in bestimmten in der Cloud gehosteten Umgebungen wie AWS, Azure oder GCP?
• Gewährt der Anbieter Testphasen oder Testversionen, um das Produkt vor dem Kauf auszuprobieren?
• Welche Art von Support stellt der Anbieter zur Verfügung, um Sie dabei zu unterstützen, Ihre Cloud-Sicherheitsziele zu erreichen?

5. Prozesse der Cloud-Sicherheit

---

Implementierung eines Cloud-Sicherheitsprogramms

Bei der Implementierung eines Cloud-Sicherheitsprogramms gibt es fünf Schritte, mit denen Sie einen Ansatz für risikobasiertes Schwachstellen-Management verfolgen können, der unmittelbar auf den Cybersecurity Lifecycle abgestimmt ist.

Schritt 1: Erfassen

• Verschaffen Sie sich mit Cloud-Konnektoren für Cloud Service Provider wie etwa AWS, Azure und GCP umfassende Einblicke in kurzlebige Assets. Cloud-Konnektoren stellen sicher, dass Sie alle kurzlebigen Assets in Ihren Cloud-Umgebungen erkennen.
• Erkennen Sie Assets frühzeitig in Ihrem Softwareentwicklungszyklus, damit Sie Schwachstellen oder andere Sicherheitsprobleme vor der Bereitstellung erfassen können.
• Scannen Sie Ihre gesamte Cloud-Infrastruktur, um ein umfassendes Inventar all Ihrer Assets anzulegen und Asset-Lizenzen 24 Stunden nach der Außerbetriebnahme einer Cloud-Instanz neu zuzuweisen.

Schritt 2: Bewerten

• Bewerten Sie Ihre Cloud-Umgebung mithilfe von Best Practices für Cloud-Sicherheit.
• Decken Sie Schwachstellen in Ihrem gesamten Cloud-Stack auf.
• Setzen Sie mehrere Sensortypen ein, um vollständige Sichtbarkeit zu gewährleisten, einschließlich aktiver Scanner, passiver Monitore, Agents und Image-Bewertungen.

Schritt 3: Priorisieren

• Geben Sie Informationen zur Schwachstellenpriorität direkt an Ihr DevOps-Team weiter.
• Übertragen Sie Informationen zu Schwachstellen und Fehlkonfigurationen automatisch in Ihr SIEM-System.

Schritt 4: Beheben

• Verfolgen Sie einen Shift-Left-Ansatz, um Schwachstellen zu beheben, bevor sie in Produktionsumgebungen gelangen.
• Erstellen Sie schon im Vorfeld der Bereitstellung sichere Images von Maschinen und Containern.
• Integrieren Sie risikobasiertes Schwachstellen-Management in Ihre CI/CD-Systeme.
• Weisen Sie Schwachstellen über Bugtracker- und Remediation-Tools verantwortliche Mitarbeiter zu und behalten Sie Schwachstellen im Blick.

Schritt 5: Messen

• Tauschen Sie Informationen zu Ihrem Cloud-Sicherheitsprogramm mit Ihren Tech-Teams und wichtigen Stakeholdern aus – in einer Sprache, die sie verstehen.
• Berechnen Sie Ihr Cyberrisiko mittels fortschrittlicher Analysen und risikobasierter Exposure-Bewertung und tauschen Sie sich mit anderen darüber aus.
• Vergleichen Sie Ihr Cyberrisiko mit anderen Geschäftsbereichen Ihres Unternehmens oder mit ähnlichen Unternehmen.

Wenn Sie mehr über die Implementierung von Cloud-Sicherheit für Ihr Unternehmen erfahren möchten und wie Tenable Sie dabei unterstützen kann, besuchen Sie unsere Cloud Security Posture Management-Lösungsseite.

Best Practices für Cloud-Sicherheit

Wenn Sie eine Public Cloud-, Private Cloud-, Hybrid Cloud- oder Community Cloud-Lösung einsetzen, ist es unerlässlich, Cloud-Sicherheit in Ihr Cybersecurity-Programm einzubinden. Grund dafür sind die wachsenden und miteinander vernetzten Angriffsoberflächen der heutigen Zeit: Eine Sicherheitsverletzung auf einer Angriffsoberfläche kann sich schnell auf andere ausbreiten.

Hinzu kommt, dass herkömmliches Schwachstellen-Management – beispielsweise Prozesse, die Sie unter Umständen in Ihrer On-Premises-Umgebung einsetzen – in der Cloud nicht besonders gut (oder gar nicht) funktioniert. Cloud-Assets sind dynamisch und können wenige Minuten, ein paar Stunden oder über Tage in Ihrer Umgebung vorhanden sein. Wenn Sie beim Schwachstellen-Management auf periodisches Asset-Scanning setzen, werden diese kurzlebigen Assets vermutlich übersehen.

Weiter erschwert wird Cloud-Sicherheit durch die Tatsache, dass Sie und Ihr Cloud-Provider gemeinsam für Sicherheitsaufgaben verantwortlich sind – je nachdem, welche Services und Modelle Sie einsetzen.

Wo also anfangen? Hier fünf Tipps, mit deren Hilfe Sie einige Best Practices der Cloud-Sicherheit noch heute umsetzen und implementieren können:

1. Nutzen Sie Cloud-Konnektoren für einen kontinuierlichen Einblick in all Ihre Cloud Computing-Assets.
2. Stellen Sie mehrere Sensoren für eingehendere Bewertungen bereit.
3. Konfigurieren Sie Ihre Cloud-Infrastruktur anhand von Best Practices.
4. Erstellen Sie Prognosen zu kritischen Schwachstellen, die zuerst behoben werden müssen.
5. Fördern Sie Prozessverbesserungen und setzen Sie andere Personen über Cyberrisiken in Kenntnis.

Möchten Sie sich eingehender mit den Best Practices für Cloud-Sicherheit befassen? Sehen Sie sich am besten das Webinar 5 Must Haves for Hybrid-Cloud Security an.