Cloud-Security
Penetrationstests im Zeitalter der Cloud
Da zunehmend mehr Unternehmen ihre Daten der Cloud anvertrauen, müssen sie damit einhergehend auch alternative Wege gehen, um die Sicherheit der neuen Infrastrukturen zu erheben.
Angesichts der steigenden Anzahl an Hackerangriffen tun Unternehmen gut daran, die Sicherheit ihrer IT-Systeme und Infrastrukturen regelmäßig zu evaluieren. Da dem Thema Sicherheit aufgrund der finanziellen Folgen von Cyber-Angriffen wachsende Bedeutung zukommt, entsteht auch auf Ebene der Firmenspitze ein Bewusstsein für Handlungsbedarf. Unternehmen möchten die Sicherheitslage ihrer IT einschätzen können und sicherheitsrelevante Entscheidungen im Kontext der vorhandenen Infrastruktur fällen. Um moderne Angriffsvektoren möglichst lückenlos auszuschalten, sind Cyber Security Assessments auch auf Infrastrukturen in der Cloud auszuweiten.
Im Zuge der zunehmenden Cloudifizierung müssen Unternehmen dabei abwägen, ob die klassischen Penetration Tests (kurz Pentests) dafür nach wie vor ein adäquates Mittel sind. Im Rahmen solcher Pentests werden fingierte Attacken auf IT-Systeme, Netzwerke und Anwendungen ausgeführt, um potenzielle Lücken der Infrastruktur aufzuspüren. Es kommen dabei ähnliche Tools und Techniken, wie sie auch von Hackern verwendet werden, zum Einsatz, um über Schwachstellen in Systeme einzudringen. Durch den dadurch gewonnenen Einblick ist der CISO im Unternehmen in der Lage, aufgedeckte Schwachstellen und Lücken zu schließen. Auch wenn durch ein solches Vorgehen Angriffe und Datendiebstahl nie gänzlich ausgeschaltet werden können, ermöglicht es doch eine bessere Risikoabwägung für die Unternehmen.
Mit der Einführung der Cloud gehen neue Anforderungen an eine solche Sicherheitsevaluierung der unternehmensweiten IT-Infrastruktur einher, da die Netzwerke die Unternehmensgrenzen überschreiten. Anwendungen und Daten werden nicht mehr ausschließlich innerhalb des Perimeters vorgehalten. Unternehmen müssen sicherstellen, dass sie die Daten, die in die Cloud geschickt werden, klassifiziert haben und angemessene Sicherheitsmaßnahmen für diese Daten existieren. Es gilt also zu evaluieren, ob sicherheitsspezifische Vorkehrungen getroffen wurden, die das Risiko von Datenverlusten minimieren. Wer ist aber für die Sicherheitsüberprüfung der Cloud-Infrastrukturen zuständig und wie kann sie durchgeführt werden, um den heutigen Sicherheitsanforderung hinsichtlich der Überprüfung aller Umgebungen gerecht zu werden, unabhängig davon, wo Anwendungen und Daten vorgehalten werden? Ist die Cloud die Black Box oder muss der Anbieter in die Prüfung einbezogen werden?
- Penetrationstests im Zeitalter der Cloud
- Vorgehensweise: Trust but Verify
Lesen Sie mehr zum Thema
