Verbesserung der operativen Sicherheit in der Cloud

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Wenn Sie die Kosten für den Cloud-Betrieb niedrig halten möchten, sollten Sie Ihre Sicherheitspraktiken bei der Verwaltung Ihrer Betriebsabläufe überprüfen.

Heutzutage richtet sich die Aufmerksamkeit im Bereich Sicherheit vor allem auf Anwendungsprotokolle und Schwachstellen im Anwendungs-Stack selbst. Das ist nicht überraschend, da die meisten Sicherheitsverletzungen darauf zurückzuführen sind, dass Schwachstellen in gängigen Plattformen und Frameworks eine Vielzahl leicht angreifbarer Ziele bieten.

Aber wir sollten die zunehmend leichter zugängliche Verwaltungsseite des Betriebs nicht außer Acht lassen. Mit der Verlagerung von Anwendungen in die Public Cloud haben wir häufig aus den Augen verloren, wie wichtig es ist, den Verwaltungsdatenverkehr vor unbefugtem Zugriff zu schützen. In lokalen Umgebungen war das einfach. Das Verwaltungsnetzwerk war für die Öffentlichkeit nicht zugänglich. Wir hielten es in einem nicht routingfähigen Netzwerk abgeschottet, auf das nur intern zugegriffen werden konnte. Da wir sowohl Anwendungen als auch die Infrastruktur ihrer Anwendungsdienste in die Cloud migriert haben, benötigen wir nun eine öffentlich zugängliche Verwaltung, weil die Administratoren aus der Ferne arbeiten.

Wir sind zwar von Telnet auf SSH umgestiegen (abgesehen von all den IoT-Geräten, die noch nachziehen müssen) und achten sogar auf die sichere Erstellung von Passwörtern, haben uns aber nicht unbedingt damit befasst, wie wir Cloud-native-Sicherheitsfunktionen in Verbindung mit unseren eigenen Verfahren besser nutzen können.

Der Einsatz von Sicherheitsdiensten des Cloud-Anbieters kann die Betriebskosten für die Geschäftstätigkeit in der Cloud erheblich beeinflussen – insbesondere bei der Verwaltung der Infrastruktur für Anwendungsdienste.

Die Bedrohung ist real

Falls Sie noch keine Gelegenheit hatten, den Artikel von F5 Labs über die am häufigsten angegriffenen Benutzernamen und Passwörter zu lesen, sollten Sie das nachholen. Darin erfahren Sie, dass SSH ein besonders häufig angegriffener Dienst ist – sogar häufiger als jeder andere.

Aus dem Artikel:

Gemessen am Angriffsvolumen investieren Angreifer mehr Zeit und Aufwand in Angriffe auf SSH als in Angriffe auf jeden anderen Onlinedienst. Brute-Force-Angriffe auf administrative Zugänge zu Produktivanwendungen über SSH kommen 2,7-mal häufiger vor als Angriffe auf die Anwendung selbst über HTTP (bei denen Angreifer versuchen, Schwachstellen in Webanwendungen auszunutzen).

Und warum auch nicht? Die administrative Kontrolle über die Infrastruktur von Anwendungsdiensten verleiht einem viel Macht – einschließlich der Möglichkeit, Richtlinien zu ändern, die andernfalls einen einfachen Zugriff auf Webanwendungen verhindern könnten. Im Fall von Kubernetes – das häufig ins Visier genommen wird, weil keinerlei Anmeldedaten erforderlich sind – geht es darum, Zugriff zu erlangen, um auf Kosten anderer Ressourcen zu nutzen.

Aber Sie kennen sich mit Sicherheit aus und verlangen für jeden Zugriff auf die Infrastruktur starke Passwörter. Ihr SSH-Passwort ist so sicher, dass Sie jedes Mal kurz innehalten und überlegen müssen, wie es lautet, bevor Sie es eingeben.

Nun zur offensichtlichsten Feststellung des Jahrhunderts: Starke Passwörter verhindern keine Angriffe. Sie erschweren lediglich erfolgreiche Angriffe. Man kann niemanden davon abhalten, einen Angriff zu starten. Das ist schlicht unmöglich. Man kann einen Angriff nur erkennen und verhindern, dass er erfolgreich ist.

Doch in der Zwischenzeit verursacht dieser Angriff reale Betriebskosten. Denn Sie setzen auf intelligente Sicherheitsmaßnahmen, und all diese fehlgeschlagenen Versuche werden protokolliert. Ausnahmslos. Jeder. Einzelne.

Und mit jedem fehlgeschlagenen Versuch, den Sie blockieren, verbrauchen Sie Ressourcen. Bandbreite. Speicherplatz. Rechenleistung.

Nutzen Sie cloudnative Dienste zur Ergänzung Ihrer Sicherheitsmaßnahmen

Alle großen Cloud-Anbieter (und wahrscheinlich auch die kleineren) stellen grundlegende Netzwerksicherheitskontrollen bereit, mit denen sich der Verwaltungszugriff auf die Infrastruktur von Anwendungsdiensten beschränken lässt. AWS-Sicherheitsgruppen (SGs) und Azure-Netzwerksicherheitsgruppen (NSGs) funktionieren ähnlich wie eine Firewall: Sie filtern den ein- und ausgehenden Datenverkehr einer Instanz. Für den Verwaltungszugriff können sie ein wichtiges Werkzeug in Ihrem Sicherheitsarsenal sein. Indem Sie den Zugriff auf bekannte IP-Adressen (oder festgelegte Adressbereiche) beschränken, können Sie das Angriffsvolumen, das Ihre Infrastruktur erreicht, drastisch reduzieren. So lassen sich die Kosten niedrig halten, da eine übermäßige Nutzung von Rechenleistung, Bandbreite und Speicher verhindert wird.

Dasselbe Prinzip spricht auch für den Einsatz von Web Application Firewalls in der Cloud – sowohl zum Schutz von Anwendungen als auch im Sinne bewährter Betriebspraktiken. Ziel ist es, den Angriff zu stoppen, bevor er übermäßig viele Ressourcen beanspruchen kann. Selbst wenn der Angriff gescheitert wäre, können bereits die Angriffsversuche automatische Skalierungsvorgänge auslösen, die dem Unternehmen Kosten verursachen oder die Verfügbarkeit für legitime Nutzer beeinträchtigen. Beides ist unerwünscht.

Generell gilt: Je näher an der Quelle Sie einen Angriff stoppen können, desto besser sind Sie geschützt und desto geringer sind die Kosten für das Unternehmen.

Ergänzen. Nicht ersetzen.

Der Schlüssel zum Einsatz cloudnativer Dienste in Ihrer Sicherheitspraxis lautet „Ergänzen“. Starke SSH-Passwörter zu verwenden, ist gut. Sie mit einer strikten Zugriffskontrolle zu kombinieren, ist besser. Geben Sie jedoch niemals bewährte Verfahren für starke Passwörter zugunsten von Sicherheitsgruppen allein auf. Nutzen Sie beides zusammen, um die Sicherheit zu gewährleisten und die Kosten des Geschäftsbetriebs in der Cloud zu begrenzen.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie