Schutz für Cloud-native Anwendungen im laufenden Betrieb

Cloud-native Sicherheit beginnt vor dem Start einer Anwendung. Container-Images werden geprüft, Berechtigungen eingeschränkt und Plattformrichtlinien legen fest, ob ein Container mit erweiterten Rechten laufen oder auf Ressourcen des zugrunde liegenden Systems zugreifen darf. Netzwerkregeln und schreibgeschützte Dateisysteme begrenzen zusätzlich, was im Betrieb möglich ist.

Diese Massnahmen sind die Grundlage, beantworten aber vor allem die Frage, was eine Anwendung grundsätzlich tun darf. Sie kann trotz korrekter Konfiguration über eine Schwachstelle kompromittiert werden. Ein Angreifer bewegt sich dann möglicherweise innerhalb der erlaubten Rechte, liest Zugangsdaten, startet neue Prozesse oder baut Verbindungen zu unerwarteten Zielen auf.

Was Runtime Security beobachtet

Runtime Security betrachtet deshalb das tatsächliche Verhalten nach dem Start. Auf Betriebssystemebene lässt sich erkennen, wenn ein Prozess Dateien öffnet, Programme startet, Berechtigungen verändert oder Netzwerkverbindungen aufbaut. Zusammen mit Informationen aus der Container-Plattform entsteht der nötige Kontext: Welche Anwendung war betroffen, in welcher Umgebung lief sie und mit welcher Identität wurde gehandelt? Typische Hinweise sind eine unerwartet gestartete Kommandozeile, der Zugriff auf Zugangsdaten, Veränderungen an Protokolldateien oder Verbindungen zu bisher unbekannten Adressen. Ein einzelnes Ereignis ist jedoch selten ein Beweis für einen Angriff. Eine Kommandozeile kann beispielsweise auch im Rahmen einer Fehleranalyse gestartet werden.

Kontext statt Alarmmenge

Aussagekräftig wird Runtime Security durch die Kombination mehrerer Signale. Wenn ein Webdienst, der normalerweise nur seinen Anwendungsprozess ausführt und mit einer internen Datenbank kommuniziert, plötzlich eine Kommandozeile startet, Zugangsdaten liest und danach eine externe Verbindung aufbaut, entsteht ein deutlich belastbareres Angriffssignal. Entscheidend ist nicht die Anzahl der Meldungen, sondern ihre Einordnung in das normale Verhalten der Anwendung.

Von der Erkennung zur Reaktion

Erkannte Aktivitäten können an bestehende Überwachungs- und Alarmierungsprozesse weitergegeben werden. Je nach Eindeutigkeit und Kritikalität reicht die Reaktion von einer Prüfung durch den Bereitschaftsdienst über das Sichern zusätzlicher Informationen bis zur Einschränkung der Kommunikation oder Isolation der betroffenen Anwendung.

Automatische Gegenmassnahmen sind möglich, sollten aber auf klaren, getesteten Regeln beruhen. Eine falsche Isolation kann einen geschäftskritischen Dienst ebenso beeinträchtigen wie eine zu späte Reaktion. Neue Regeln sollten deshalb zunächst im Beobachtungsbetrieb geprüft und an das normale Verhalten der Anwendungen angepasst werden.

Ergänzung statt Ersatz

Runtime Security ersetzt weder sichere Images noch Plattformhärtung, Identitätsmanagement oder Netzwerkse­gmentierung. Sie schliesst die Lücke zwischen Konfiguration und tatsächlichem Verhalten. Ihr Nutzen liegt darin, auffällige Aktivitäten im laufenden Betrieb sichtbar zu machen, verständlich einzuordnen und eine gezielte Reaktion zu ermöglichen.