Die Migration in die Cloud geht mit vielen Vorteilen einher – von einer hohen Skalierbarkeit, über mehr Agilität und organisatorische Flexibilität bis hin zu geringeren Investitionskosten. Gleichzeitig kann sie aber auch zu Intransparenz führen, die die Sicherheit von Anwendungen und Daten gefährdet. Bei der Absicherung ihrer virtuellen privaten Cloud (VPC) müssen Security- und Netzwerkteams daher auf einen ganzheitlichen Sicherheitsansatz setzen, der mehr als nur den Perimeter unter Kontrolle hält.
Stellen Sie sich folgendes Szenario vor: Sie beschließen, Ihr fünfjähriges Kind für einen Ausflug in einen Freizeitpark zu fahren. Sie schnallen es in den Kindersitz, den Sie aufgrund seiner hohen Sicherheit gekauft haben, auf dem Rücksitz Ihres Autos, welches ebenfalls aufgrund hoher Sicherheitsstandards ausgewählt wurde. Anschließend fahren Sie umsichtig zu Ihrem Zielort, dem Freizeitpark. Dort angekommen schicken Sie Ihr Kind durch den Eingang und winken ihm nach, während es sich allein auf den Weg zu einem Fahrgeschäft macht.

Sobald Ihr Kind auf der anderen Seite des Eingangs aus Ihrem Blickfeld verschwunden ist, müssen Sie feststellen, dass Sie keine Kontrolle mehr über die Sicherheit Ihres Kindes haben. Sie haben keine Ahnung, welche konkreten Gefahren auf der anderen Seite warten, wissen aber, dass Ihrem Kind fortan kein Erwachsener mehr zur Seite steht, der es im Blick hat und im Ernstfall beschützt. Würden Sie sich darauf einlassen? Wohl kaum!

Inter-VPC-Security: Der Perimeter-Ansatz

Auf die Welt des Cloud-Computings übertragen, lässt sich dieses Szenario mit dem „Freilassen“ unserer wertvollen Assets in die Cloud vergleichen. Auch dies geht oft mit einem Verlust von Sichtbarkeit und damit Kontrolle einher. Dies liegt vor allem daran, dass sich viele Unternehmen ausschließlich auf eine Perimeter-Firewall und Gruppenkonfigurationen verlassen, um ihre Cloud-Umgebung zu schützen. Sie nehmen es hin, dass sie darüber hinaus so gut wie keine Sichtbarkeit haben. Konkret bedeutet das, keine Information über die vielen Fehlkonfigurationen in der Cloud, falsch gesicherte Buckets, unsichere Ports, übermäßig offene Netzwerke usw. Diesen Ansatz bezeichnet man auch als Inter-VPC-Sicherheit. D.h. man sichert ausschließlich den Perimeter der virtuellen privaten Cloud ab, hat aber keine weitere Kontrolle. Insbesondere nicht darüber, wer und was innerhalb der Cloud mit wem kommuniziert.

Warum reiner Perimeterschutz die Agilität der Cloud hemmt & Kosten verursacht

Laut der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) liegt die Hauptursache für Kompromittierungen von Cloud-Umgebungen in mangelnder Cyber-Hygiene und daraus resultierenden Phishing-Angriffen. Demnach verschaffe sich der Großteil der böswilligen Akteure Zugriff auf sensible Daten, indem sie sich Egress- und Ingress-Verkehrsströme zunutze machen. Auf diese Weise wird der Perimeterschutz vollständig umgangen und die Angreifer sind in der Lage, das Netzwerk zu durchkämmen, um ihre Berechtigungen zu erhöhen und Daten zu exfiltrieren. Dieses Problem wird durch die Geschwindigkeit von Änderungen in Cloud-Umgebungen noch verstärkt. Typische Firewall-Änderungen erfordern einen Genehmigungsprozess, der häufig manuell erfolgt und mehrere Autorisierungsebenen mit verschiedenen Verantwortlichen auf verschiedenen Ebenen umfasst – vom Netzwerk- über Cloud- und Operations- bis hin zum Sicherheitsteam. Dies alles wirkt sich wiederum nachteilig auf die Geschwindigkeit und Agilität der Cloud aus, von der wir eigentlich profitieren wollen. Dieses Problem lässt sich letztlich nur durch eine Automatisierung von zuvor definierten Sicherheitsrichtlinien lösen, die eine Verlangsamung von kritischen Firewall-Änderungen verhindert.

Damit jedoch noch nicht genug: Die Verwendung traditioneller Sicherheitsmethoden zur Absicherung einer hochgradig agilen Cloud-Umgebung erhöht nämlich auch die Kosten für die Cloud-Nutzung, da sie zusätzliche Fähigkeiten erforderlich macht. Diese Kosten entstehen dabei vor allem durch Investitionen in Personal oder Schulungen zur Sicherung der Cloud oder durch den Mehraufwand, der durch die Arbeit mit verschiedenen Tools einhergeht. Für einige Unternehmen wird der gefürchtete Vendor-Lock-in, d.h. eine Lieferantenbindung, dann zur Realität, da sie gezwungen sind, den Weg des geringsten Widerstands einzuschlagen.

Intra-VPC-Security: Wenn Sichtbarkeit, Leitplanken und Schutzmaßnahmen zusammenspielen

Um diesen sehr realen Bedrohungen entgegenzuwirken, müssen Unternehmen auf einen Dreiklang der Sicherheit setzen: Dieser besteht aus Sichtbarkeit, Leitplanken und Schutzmaßnahmen. Sichtbarkeit, um den Überblick zu haben, was und wer mit wem in der Cloud spricht. Leitplanken zum Definieren und Warnen vor Verstößen. Und zu guter Letzt proaktive Maßnahmen, um die durch Fehlkonfigurationen und mangelnde Sichtbarkeit verursachten Risiken zu reduzieren. Dieser Dreiklang ist letztlich wie eine Art Bodyguard, der sicherstellt, dass alle Anwendungen und Daten (oder – im Fall unseres Eingangsbeispiels – das Kind) überall sicher und geschützt sind. Dieser Ansatz, auch Intra-VPC-Sicherheit genannt, geht also weit über den reinen Perimeterschutz hinaus, da er umfassende Transparenz über alle Hybrid- oder Multi-Cloud-Bereitstellungen bietet.

Wollen Security- und Netzwerkteams sicherstellen, dass alle Elemente Ihrer Cloud – d.h. innerhalb und außerhalb – vor Angriffen, Kompromittierungen und Datenexfiltration geschützt sind, müssen sie auf eine Kombination aus Inter- und Intra-VPS-Security setzen.