Um konsistente Sicherheit für die hybride Cloud zu erreichen, schauen Sie sich die Cloud an
Schon 2009, als die Cloud gerade ihren Aufstieg als die Technologie erlebte, die am ehesten alles verändern würde, begannen viele von uns, sich mit dem Problem der Konsistenz auf Infrastrukturebene auseinanderzusetzen. Unter dem Stichwort „Infrastruktur 2.0“ untersuchten wir die Rolle der Programmierbarkeit (APIs, Vorlagen, Konfigurationsmodelle) und die Frage, wie eine konsistente Bereitstellung und Durchsetzung von Richtlinien in einer Welt erreicht werden kann, die wir damals als „Intercloud“-Welt bezeichneten .
Heute bezeichnen wir dies als Hybrid- oder Multi-Cloud, und die Frage bleibt weiterhin bestehen: Wie erreichen wir Richtlinienkonsistenz in einer Umgebung, die traditionelle Infrastrukturmodelle mit Cloud-Computing kombiniert?
Und es ist immer noch ein Problem. CloudPassage, ein Anbieter von verwalteter Cloud-Sicherheit, hat eine Umfrage in Auftrag gegeben , die über 1.000 Antworten zum Thema Cloud und Sicherheit einbrachte. Das Ergebnis war, dass „Konsistenz über die gesamte IT-Infrastruktur hinweg“ und „kontinuierlicher Schutz“ die wichtigsten Faktoren zum Schutz der Cloud-Infrastruktur sind; 60 % bzw. 58 % der Befragten stimmten dem zu. Auf die Frage nach Methoden zum Schließen der Cloud-Sicherheitslücke, die Unternehmen weiterhin plagt, wurde als Methode mit Abstand die „Fähigkeit zur Durchsetzung konsistenter, kontinuierlicher Sicherheitsrichtlinien“ genannt.
Dieser Wunsch nach Richtliniengleichheit zwischen Cloud und lokalen Systemen zeigte sich erneut, als We (das ist das Unternehmens-Wir) in diesem Jahr unsere jährliche Umfrage zum Stand der Application durchführte. 48 % der über 3.000 Befragten angaben darin, dass „Sicherheits- und Audit-Gleichheit mit lokalen Systemen“ eine der drei wichtigsten Sicherheitsanforderungen für die Einführung der Cloud sei.
Das Problem, das wir bereits 2009 lösen wollten, bleibt bestehen: Wie erreichen wir Richtliniengleichheit für die gesamte Infrastruktur vor Ort und in der Cloud, ohne die Sicherheit auf das absolute Minimum zu reduzieren, um so ein möglichst breites Spektrum an Optionen zu unterstützen? Schließlich gibt es zwischen den Konfigurationsmodellen der verschiedenen Anbieter bereits erhebliche Unterschiede. Durch die Einbeziehung von Cloud Computing wird die Vielfalt der Modelle und Methoden zur Verwaltung und Kontrolle der Sicherheit noch weiter erhöht. Eine Standard-App-Sicherheitsrichtlinie, die beispielsweise zur Implementierung einer WAF-Richtlinie (Web Application Firewall) vor Ort verwendet wird, kann von einem Cloud-Anbieter nicht einfach wiederverwendet werden. Es muss eine eindeutige Richtlinie erstellt werden, die dann gepflegt, verwaltet und geprüft werden muss. Um in solchen Situationen Parität zu erreichen, muss sorgfältig darauf geachtet werden, dass beide Richtlinien in beiden Umgebungen die gleiche Sicherheit erzwingen.
Das ist nicht nachhaltig. Es ist betrieblich schwierig, verwaltungstechnisch kostspielig und birgt ein hohes Fehlerpotenzial. Kostspielige Fehler.
Eine Möglichkeit, die gewünschte Konsistenz zu erreichen, besteht darin, sich mit der Cloud selbst zu befassen, also mit den Sicherheitsdiensten, die als Dienst in der Cloud angeboten werden können . Solche Dienste sind im Allgemeinen der Application vorgelagert und für die Überprüfung und Bereinigung verantwortlich, bevor Application die Application erreichen können. DDoS-Prävention, WAF-Dienste, Spam-Abwehr und Malware-Erkennung fallen alle in die Kategorie der Upstream Application , die effektiv auf einen Cloud-basierten Dienst ausgelagert werden können, um die Konsistenz der Richtlinien für alle Applications sicherzustellen, unabhängig davon, ob sie sich in der Cloud oder vor Ort befinden. Ähnlich wie ein CDN Caching-Dienste auslagert, sorgen diese Security-as-a-Service-Optionen für Konsistenz in Multi-Cloud-Umgebungen, da sie für mehrere Applications und Umgebungen dieselben Richtlinien oder Basisrichtlinien verwenden können.
Die Notwendigkeit einer konsistenten Durchsetzung von Richtlinien, insbesondere der Sicherheitsrichtlinien, wird nur noch zunehmen, da das Internet der Dinge immer weiter verbreitet ist und Unternehmen ihre Präsenz nicht nur in der Cloud, sondern in vielen Clouds weiter ausbauen. Abwechslung ist vielleicht die Würze des Lebens, doch aus Sicherheitsgründen verderben zu viele Köche den Brei. Und wenn mir noch eine weitere Redewendung einfallen würde, die ich in meine Metaphern einbauen könnte, würde ich es tun, denn sie veranschaulicht auf existenzielle Weise die Herausforderung, die bewältigt werden muss.
Sicherheit ist schon jetzt schwierig genug. Das Hinzufügen weiterer Umgebungen, weiterer Systeme und weiterer und unterschiedlicher Richtlinien macht es nur noch schwieriger. Und in einer Welt, in der ein Mangel an Sicherheitstalenten herrscht, ist es sinnvoll, nach Lösungen zu suchen und diese zu nutzen, die es in einer Welt, in der immer mehr Dinge auf der Welt vielfältiger werden, nicht nur einfacher machen, Sicherheitsrichtlinien bereitzustellen und zu verwalten, sondern auch durchzusetzen.