Aufrufe
vor 1 Jahr

Cybersecurity 2019

  • Text
  • Bedrohungen
  • Angriffe
  • Mitarbeiter
  • Systeme
  • Malware
  • Cyber
  • Sicherheit
  • Schweiz
  • Cybersecurity
  • Unternehmen

DOSSIER KOMPAKT IN

DOSSIER KOMPAKT IN KOOPERATION MIT TREND MICRO Fünf Elemente einer erfolgreichen Multi-Cloud-Security Zahlreiche Unternehmen setzen auf eine Multi-Cloud-Strategie. Die Nutzung mehrerer Cloud- Plattformen kann zahlreiche betriebliche und wirtschaftliche Vorteile bringen. Jedoch ist es von grösster Bedeutung, diese auch effektiv zu sichern – nicht zuletzt aus Compliance-Gründen. Um Multi-Cloud-Umgebungen effektiv abzusichern, ist ein plattformunabhängiger und standardisierter Sicherheitsansatz erforderlich. Wie aber kann eine solche Sicherheitsstrategie aussehen? Der Autor Daniel Schmutz, Head of Channel & Marketing Schweiz & Österreich, Trend Micro 1. Gemeinsame Verantwortung Sicherheit liegt in der gemeinsamen Verantwortung von Unternehmen und Cloud-Service-Providern (CSP). Als Faustregel gilt das Shared-Responsibility-Modell (Grafik), wonach der CSP für die Sicherheit der Cloud zuständig ist und der Kunde für die Sicherheit in der Cloud. Hier ist «Virtual Patching» gefragt, das Intrusion-Detection- und -Prevention-Technologien nutzt, um Schwachstellen abzuschirmen, bevor ein Patch zur Verfügung steht. Auf diese Weise sind Unternehmen ständig geschützt. 2. Von perimeter- zu hostbasierter Sicherheit Ein moderner Cloud-Sicherheits-Ansatz sollte hostbasiert sein. Statt den Verkehr am Perimeter zu blockieren, wird per Mikrosegmentierung festgelegt, welcher Verkehr auf einer granularen Ebene, wie der einzelnen virtuellen Maschine, erlaubt ist. Dabei ist es möglich, einfach hoch oder herunter zu skalieren, was automatisiert werden sollte. Das einfache Starten neuer Workloads stellt dabei einen wesentlichen Vorteil der Public Cloud dar, birgt aber auch potenzielle Bedrohungen. Um Schatten-IT zu vermeiden, ist es deshalb wichtig, eine ganzheitliche Sicht auf die gesamte Umgebung zu haben, einschliesslich der Workloads bei Public-Cloud-Anbietern. 3. Virtuelles Patching Um alle Server in einer Multi-Cloud-Infrastruktur wirksam zu schützen, bedarf es zentralisierter, hostbasierter Sicherheit. Shared responsibility Content and Applications Platform, Applications Operating System, Network & Firewall Configuration Data Encryption Foundation Services Compute Storage Database Networking Global Infrastructure Network traffic protection Domains, Availabiltity Zones Regions Customer! Cloud Provider Das «Shared-Responsibility-Modell» regelt die Verantwortung zwischen Cloud-Service-Provider und Kunde. 4. Sicherheit auf Applikationsebene Moderne Cloud-Sicherheits-Lösungen können Veränderungen in der Software erkennen. Sobald das Modul zur Applikationskontrolle aktiviert ist, werden alle Softwareänderungen protokolliert und Events erzeugt, wenn neue oder geänderte Software auf dem Dateisystem erkannt wird. Werden Änderungen auf dem Host erkannt, kann die Software zugelassen oder blockiert und optional der Computer oder Server gesperrt werden. Anwendungen lassen sich aber auch auf Netzwerkebene durch Intrusion Prevention schützen. Das Intrusion-Prevention- Modul überprüft dafür eingehenden und ausgehenden Datenverkehr, um verdächtige Aktivitäten zu erkennen und zu blockieren. Dies verhindert die Ausnutzung von bekannten und Zero-Day-Schwachstellen und kann auch Webanwendungen schützen. 5. Richtlinien und Automatisierung Richtlinien stellen in der Cloud-Security ein wichtiges Werkzeug dar. Um optimalen Nutzen aus einer Multi-Cloud zu ziehen, ist es wichtig, Prozesse für Bestellungen, Konfiguration oder Upgrades von Dienstleistung bestmöglich zu automatisieren. Auf diese Weise lässt sich nicht nur die Bereitstellung der Umgebungen beschleunigen, sondern sie werden auch automatisch skalierbar und «selbstheilend». Durch richtlinienbasierte Automatisierung wird selbstständig die aktuelle Unternehmensrichtlinie angewendet und die Umgebungen mit den geltenden Sicherheitsregeln versehen. Eine Multi-Cloud-Strategie kann einen wichtigen Beitrag zur Innovation und Wertschöpfung leisten. Jedoch müssen Unternehmen dazu sicherstellen, dass die richtigen Massnahmen ergriffen wurden und die Kontrolle über die Cloud bewahrt ist. 84 CYBERSECURITY

« Die Verantwortung liegt nicht nur beim Cloud-Anbieter » Wer muss sich darum kümmern, dass die Daten in der Cloud sicher sind? Der, der die Cloud betreibt, oder der, der seine Daten in die Cloud schob? Beide, sagt Michael Unterschweiger, Regional Director Schweiz & Österreich bei Trend Micro. Interview: Coen Kaat DOSSIER KOMPAKT IN KOOPERATION MIT TREND MICRO Wer trägt die Verantwortung, wenn die Daten in der Cloud liegen? Der Kunde oder der Cloud- Dienstleister? Michael Unterschweiger: Zur Klärung dieser Frage hat sich für Public und Hybrid Clouds das Shared-Responsibility-Modell durchgesetzt. Das bedeutet, dass sich Kunde und Cloud-Service-Provider die Zuständigkeit für die Sicherheit teilen: Der Cloud-Service-Provider ist für die Sicherheit der Cloud selbst verantwortlich. Dazu gehört ausser der physikalischen Sicherheit der Hardware auch die grundlegende Sicherheit der Software von Computing- und Storage-Workloads auf der Virtualisierungsebene. Der Kunde trägt hingegen die Verantwortung für die Sicherheit innerhalb der Cloud, also etwa für den Schutz von Anwendungen, Updates und Patching von Gastbetriebssystemen, für die Authentifizierung, die Verschlüsselung von Daten oder die Konfiguration von Firewalls. Michael Unterschweiger, Regional Director Schweiz & Österreich, Trend Micro. Das Shared-Responsibility-Modell klingt schön und gut. Aber ist das in der Praxis auch so klar abgegrenzt? Die Abgrenzung funktioniert in der Regel sehr gut. Dies liegt nicht zuletzt daran, dass die grossen Cloud-Anbieter es ihren Kunden möglichst einfach machen wollen, ihre Anwendungen und Daten zu schützen. So können Kunden zeitgemässe, Cloudnative Sicherheitslösungen wie Trend Micro Deep Security direkt aus den Marketplaces der Dienstleister beziehen und sehr einfach ausrollen und nutzen. sich heutige Cloud-Sicherheitslösungen nahtlos über hybride Infrastrukturen ausrollen und flexibel an die aktuellen Workloads anpassen. Dabei ist für den Kunden kein Unterschied spürbar. Ein Vorteil der hybriden Cloud besteht zudem in der Möglichkeit, sensible Daten und Anwendungen im eigenen Rechenzentrum zu behalten, etwa um Compliance-Vorgaben zu erfüllen. Gleichzeitig können andere Prozesse von der grösseren Flexibilität der Public Cloud profitieren. Wie sicher sind die Daten in der Cloud? Gerade die Clouds der grossen Dienstleister sind sehr sicher. Es liegt im eigenen Interesse dieser Anbieter, ein hohes Schutzniveau aufrechtzuerhalten und strenge Sicherheitsrichtlinien zu erfüllen. Insofern ist die oftmals noch vorhandene Angst vor der Public Cloud unbegründet. Doch auch Private Clouds lassen sich sicher gestalten. Mit modernen Sicherheitslösungen für On-Premise-Infrastrukturen können diese ebenso wirkungsvoll abgesichert werden. Wie unterscheiden sich Public- und Hybrid-Cloud- Lösungen in Bezug auf die Sicherheit? Während in der Public Cloud geteilte Verantwortlichkeiten gelten, sind die Betreiber von On-Premise-Infrastrukturen selbst für deren Sicherheit verantwortlich. Davon abgesehen lassen Was sollte ein Nutzer unternehmen, um seine Daten und Prozesse in der Cloud abzusichern? Die wichtigste Regel ist, sich überhaupt mit der Sicherheit zu beschäftigen. Der grösste Fehler ist, der leider noch immer häufig gemacht wird, die Verantwortung allein beim Cloud-Dienstleister zu sehen. Die Annahme, eine Public oder Hybrid Cloud sei ein Rundum-Sorglos-Paket, ist schlicht falsch. Zunächst sollte der eigene Sicherheitsbedarf ermittelt und ein Sicherheitskonzept erstellt werden, das sowohl den eigenen Verantwortungsbereich als auch den des Cloud-Providers beinhaltet. Dabei müssen auch die branchen- und unternehmensspezifischen Compliance-Vorgaben beachtet werden. Das Ausrollen der Sicherheit geht dann mit modernen Lösungen vergleichsweise einfach. Bei allen Schritten kann ein Partner, etwa ein Systemhaus oder Managed Service Provider, wertvolle Unterstützung bieten. CYBERSECURITY 85

Archiv