Sicher in der Cloud dank automatisierter Security-Strategien

«Wir sind kein Ziel für Cyberangriffe», meinen viele Unternehmen heutzutage immer noch. Sie sind sich sicher: Mit der bestehenden On-Premises-Infrastruktur haben es Angreifer von aussen schwer. Doch die zunehmende Vernetzung, die Digitalisierung und nicht zuletzt die rasanten Entwicklungen im Bereich der künstlichen Intelligenz, derer sich auch Cyberkriminelle bedienen, führen laut ­Microsoft Digital Defense Report 2022 zu immer komplexeren Vorgehensweisen der Angreifer. Zudem wird die kriminelle Cyberökonomie zunehmend industrialisiert. Die Folge: Angriffe über das Internet sind eine alltägliche Bedrohung für jedes Unternehmen und können immense Schäden verursachen. Entgegen der weit verbreiteten Meinung, die Cloud sei hier viel anfälliger für Angriffe, sind es im unternehmerischen IT-Alltag eher Lücken in den eingesetzten Sicherheitsmassnahmen und -tools sowie im Lifecycle-Management der IT-Ressourcen, die beispielsweise Ransomware-Angriffen zum Erfolg verhelfen.

Ist On-Premises sicherer als die Cloud?

Die Sicherheit einer Umgebung im eigenen Rechenzen­trum kann daher trügerisch sein. Auch wenn die Gesamtkosten unter Umständen überschaubarer sind, lassen sich die monatlichen Kosten über den gesamten Lebenszyklus transparenter kalkulieren, wenn die Daten in die Cloud ausgelagert werden. Hinzu kommt, dass bei On-Prem-Umgebungen die Unternehmen selbst für die Aktualität der Software und die Sicherheitsvorkehrungen verantwortlich sind. Angesichts des aktuellen Fachkräftemangels eine echte Herausforderung. Veraltete Hard- und Software, nicht Compliance-konforme Sicherheitslösungen oder ein eher stiefmütterlich gepflegtes Identitäts- und Rechtemanagement können schnell zu Sicherheitslücken führen. Stehen die Server im eigenen Haus, muss sich die Unternehmens-IT zudem selbst um Wartung und Updates kümmern.

Sicherheit durch die Bordmittel der Cloud-Anbieter

Anders sieht es bei Cloud-Lösungen aus. Professionelle Public-Cloud-Anbieter wie Amazon AWS, Google Cloud oder Microsoft Azure bieten Sicherheits- und Compliance-Kontrollen, die automatisch Sicherheitslücken schliessen und gegen Bedrohungen vorgehen. Aufgaben, die herkömmliche Einzelanwendungen in der Summe kaum oder nur mit sehr hohem Aufwand leisten können. Die Sicherheitsservices der Cloud-Anbieter gehen dabei gegen alle gängigen Angriffsszenarien vor und bieten unter anderem ein zuverlässiges Identitäts- und Zugriffsmanagement, das den aktuellen Unternehmensrichtlinien entspricht. Sie steuern Authentifizierungen und Autorisierungen und nutzen verfügbare Daten wie Identität, Standort und dessen Plausibilität, Geräteintegrität, Datenklassifizierung, Anomalien, Service oder Workload. Berechtigungen schränken die in der Cloud integrierten Sicherheitslösungen über den Benutzerzugriff mit JIT/JEA (Just-in-Time/Just-Enough-Access) ein. Sie beziehen sich auf risikobasierte, adaptive Richtlinien und Informationsschutz für die Daten und Dateien des Unternehmens. Bei all dem gilt automatisch: Einfach nichts und niemandem vertrauen – auch «Zero Trust» genannt.

Alle setzen auf Zero Trust

Zero Trust ist heute Bestandteil aller professionellen Public Clouds, die damit die Vorgehensweise in puncto Security revolutionieren. Denn bisher wird in einem On-Prem-Netzwerk der Zugang zur IT eher durch den Zugang selbst beschränkt und verschiedene Sicherheitsanwendungen ergänzen dies durch weitere Kontrollen. Das macht Unternehmen aber unnötig unflexibel. Kommt dann noch der Faktor «Mensch» hinzu, entstehen schnell Cybergefahren, die nur noch eingedämmt, aber nicht mehr im Vorfeld bekämpft werden können. Dynamische Unternehmen hingegen benötigen einen bedingten Zugriff (Conditional Access Framework), dessen Policy Engine sowohl die Richtliniendefinition als auch die Richtlinienerzwingung (Policy Enforcement) abdeckt. Genau dieses Sicherheitsframework bieten die Cloud-Anbieter – automatisch und voll integriert.

Ein kurzer Vergleich

Amazon Web Services beispielsweise setzte eine Reihe von AWS-Identitäts- und Netzwerkservices mit zentralen Zero-Trust-Bausteinen ein, in denen Compliance-Richtlinien und Zugriffsrechte definiert werden können. Google nennt sein Zero-Trust-Modell, mit dem alle Mitarbeitenden sicher von überall ohne VPN-Verbindung arbeiten können, «BeyondCorp». Die einheitliche Plattform für Identitäts-, Zugriffs-, Anwendungs- und Endpunktverwaltung (IAM/EMM) ist Cloud Identity. In der Microsoft Azure Cloud wiederum werden Unternehmensdaten durch integrierte Sicherheitslösungen geschützt. Das dahinterstehende Zero-Trust-Konzept prüft jeden Zugriff auf Nutzer, Geräte, Systeme oder Daten sorgfältig und behandelt ihn zunächst so, als käme er aus einem unsicheren Netzwerk. Neben der expliziten Kontrolle der verfügbaren Datenpunkte überprüft die Sicherheitslösung alle Richtlinien und geht automatisch immer davon aus, dass Sicherheitsverletzungen jederzeit auftreten können (Assume-Breach-Paradigma). So erkennt das System Bedrohungen und stoppt sie, bevor Schaden entsteht.

Palette von Sicherheitslösungen sorgt für eine sichere Cloud

Wie hoch die Sicherheitsstandards in der Cloud mittlerweile sind, zeigt das Beispiel von Microsoft Azure. Für das Identitätsmanagement, den Schutz von Geräten, Anwendungen, E-Mails und Daten bieten Microsoft 365 Defender für Endpunkte und Azure Defender für die Azure Work­loads und Ressourcen sowie Azure Sentinel als SIEM- und SOAR-System (Security Information and Event Management / Security Orchestration, Automation and Response) ein einheitliches Bedrohungsmanagement. Die Lösungen erkennen Bedrohungen und können vor diesen und vor verdächtigem Verhalten schützen. 

Die Sicherheitslösungen der Cloud sind einfach zu verwalten

Für all dies benötigt ein Unternehmen, das sich für eine Cloud-Lösung entschieden hat, lediglich geringe interne Sicherheitsexpertise, da unternehmenseigene Richtlinien durch einen externen IT-Sicherheitsspezialisten implementiert werden können. Den Rest erledigen die Automatismen der Cloud-Lösung. Nichtsdestotrotz entbinden die Automatisierung und die definierten Playbooks das Unternehmen nicht von der Verantwortung, die qualifizierten Sicherheitshinweise und Alarme fundiert zu bewerten und zu bearbeiten. Das «Grundrauschen» der Sicherheitsmeldungen ist signifikant verringert und weniger hochqualifizierte Sicherheitsressourcen zur Bearbeitung der Events im Unternehmen sind notwendig. Die gesamte Cloud-Umgebung ist so ideal geschützt und bietet stabile Workloads. Der ganzheitliche Ansatz der Cloud-Anbieter trägt dazu bei, alle Ressourcen vor Angriffen zu bewahren und mit der zunehmenden Professionalisierung der Cyberkriminalität Schritt zu halten. Cloud-Anbieter wie Microsoft investieren zu diesem Zweck erheblich in ihre Ressourcen und die Sicherheit ihrer Dienste. Sind die Sicherheitsfunktionen richtig eingestellt und die Mitarbeitenden für das Thema sensibilisiert, können Unternehmen jederzeit da­rauf vertrauen, dass Geräte, Daten und Anwendungen in der Cloud sicher sind. Und wer sich sicher fühlt, arbeitet produktiver und effizienter.