Basiswissen IaaS-Sicherheit
Den Cloud-Gefahren begegnen
Die Nutzung einer IaaS-Plattform (Infrastructure as a Service) bringt hinsichtlich der IT-Sicherheit diverse Herausforderungen mit sich, die es zu bewältigen gilt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bietet mit dem IT-Grundschutz eine Orientierung, um ein gesundes Maß an Sicherheit zu erreichen. Die Nutzung zusätzlicher Dienste außerhalb des internen Netzwerks ist als Erweiterung der eigenen IT Infrastruktur zu betrachten und mit in das Sicherheitskonzept aufzunehmen.
Die Gefahren, denen eine IaaS-Plattform ausgesetzt ist, unterscheiden sich im Grunde nicht stark von denen, die auch in traditionellen oder virtualisierten Infrastrukturen zu berücksichtigen sind. Hierzu zählen Gefahrenquellen wie "höhere Gewalt", aber auch Angriffe von Hackern mit dem Ziel der gezielten Wirtschaftsspionage oder aus "sportlichem" Interesse. Ebenso können durch den unachtsamen oder ungeschulten Umgang der Mitarbeiter, organisatorische Mängel, fehlende Notfallkonzepte und mangelnde Absicherung der erweiterten IT-Infrastruktur Gefahren entstehen.
Von "höherer Gewalt" wie Überschwemmung, Brand oder Erdbeben kann man sich nur schwer schützen. Daher sollte ein Unternehmen bei der Wahl eines IaaS-Anbieters darauf achten, dass dieser Sicherheitsvorkehrungen getroffen hat, damit zum Beispiel im Fall einer Überschwemmung die Kundensysteme möglichst keinen Schaden erleiden. Hierzu zählt ein zweiter RZ-Standort, der Abbilder des ersten Standortes beinhaltet. Der Betreiber sollte mindestens tagesaktuelle Sicherungen der Kundensysteme erstellen und diese außerhalb des RZs speichern, sodass er die Backups im Notfall zur Wiederherstellung heranziehen kann.
Hacker-Angriffe gilt es im erweiterten, externen Netzwerk ebenso zu berücksichtigen wie im internen. Somit sind zum einen Client-seitige Endgeräte-Sicherheitslösungen unabdingbar - unabhängig davon, ob es sich um ein Windows- oder Linux-Betriebssystem handelt. Einige Sicherheitslösungshersteller erlauben hier nicht nur eine zentrale Verwaltung aller Systeme im internen Netzwerk, sondern bieten zudem die Möglichkeit, auch entfernte Systeme in dieselbe Verwaltungsoberfläche mit aufzunehmen. Der Endgeräteschutz muss aus mehreren Komponenten bestehen, darunter Antivirus, Host Intrusion Prevention, Firewall, Anwendungskontrolle, Gerätekontrolle und Web-Schutz. Des Weiteren ist das erweiterte Netzwerk an sich zu sichern. Hier empfiehlt es sich, Security Gateways im IaaS-Netzwerk einzurichten und gemäß den Anforderungen darin betriebener Systeme zu konfigurieren.
Ein längst bekanntes Sicherheitsrisiko sind zu schwache Passwörter. Laut diversen Studien nutzen nach wie vor zahlreiche Anwender schwache Passwörter wie "123456". Dabei ist die Lösung für sichere Passwörter recht trivial: Diese sollten mindestens 8 Zeichen lang sein, Sonderzeichen und Zahlen sowie Klein- und Großbuchstaben enthalten. Des Weiteren sollte man die Passwörter regelmäßig - zum Beispiel alle drei Monate - ändern.
Ein weiterer wichtiger Aspekt ist die Definition von Sicherheitsricht- und -leitlinien, Notfallkonzepten und Handlungsanweisungen. Fehlen diese, dann ist man im Notfall oft zu "panischen" und undefinierten Handlungen gezwungen. Außerdem dauern die Analyse und das Beheben von Sicherheitsvorfällen länger, was mit höheren Ausfallzeiten oder gar Datenverlust verbunden sein kann. Als Gegenmaßnahme sind die erforderlichen Richt- und Leitlinien, Konzepte und Anweisungen einzuführen sowie Verantwortliche zu benennen. Des Weiteren ist es ein Muss, regelmäßig - zum Beispiel einmal im Jahr - Notfallübungen durchzuführen, um die Funktionsfähigkeit und den Wirkungsgrad der Konzepte zu testen. Dabei solle man unter anderem folgende Fragen beantworten: Was passiert, wenn die ausgelagerten IaaS-Systeme nicht verfügbar sind? Welche Geschäftsbereiche sind davon betroffen? Welchen Einfluss hat der Ausfall auf das Tagesgeschäft? Welche Kunden sind betroffen? Wieviel Zeit ist erforderlich, um die Funktionsfähigkeit wiederherzustellen? Greifen die definierten Aktionen oder sind sie zu überarbeiten? Was kostet der Systemausfall pro Stunde oder Tag? Das IT-Sicherheits-Management erlaubt es, das Thema IT-Sicherheit aus einem ganzheitlichen Blickwinkel zu betrachten. Hier nimmt ein Unternehmen Bereiche wie Infrastruktur, Notfallvorsorge, Hard- und Software, Organisation und Strategie, aber auch das Personal unter die Lupe. Stechen bei der Analyse der einzelnen Bereiche Sicherheitsmängel hervor, kann es diesen mit geeigneten Sicherheitsmaßnahmen entgegenwirken. Bei der Analyse untersucht es die internen wie auch externen (IaaS-)Systeme auf ihre Relevanz und Sensibilität hin. Dabei solle man unter anderem folgende Fragen beantworten: Laufen auf dem System sensible, unternehmenskritische Anwendungen? Wird auf dem System mehr als eine Anwendung betrieben? Wie steht es um die Sicherheit des Systems gegenüber Angriffen? Werden regelmäßig Sicherungen der Daten/des Systems (Systemabbild) erstellt?
IT-Sicherheits-Management
Beim IT-Sicherheits-Management ist zu berücksichtigen, dass es sich um kein einmaliges Projekt, sondern um einen Prozess handelt, den das Unternehmen leben und regelmäßig - zum Beispiel einmal im Jahr - überprüfen muss. Dabei nimmt es nicht nur Verbesserungen vor, sondern auch Veränderungen wie eine Expansion des Unternehmens und Neuanschaffungen in den Sicherheitsprozess mit auf.
So schreiben Sicherheitsricht- und -leitlinien vor, welche Anforderungen neue Systeme erfüllen müssen, damit sie in das IaaS- und somit auch das interne Netzwerk aufgenommen werden dürfen. Solange die definierten Anforderungen an ein System nicht erfüllt sind, darf dieses auch nicht in die Infrastruktur integriert werden. Aufgaben in den einzelnen Bereichen der IT-Infrastruktur sollte nur das dafür vorgesehene Personal durchführen. In großen Unternehmen ist es ratsam, ein IT-Sicherheitsteam zu bilden, das für alle Angelegenheiten des IT-Sicherheitsprozesses verantwortlich ist. In diesem Kontext sollte ein Unternehmen bei der Wahl eines IaaS-Anbieters darauf achten, dass dieser wie auch seine Lieferanten nach ISO 27001 zertifiziert sind.
Konfiguration
Mittlerweile haben sich auf dem Markt einige interessante IaaS-Plattformen etabliert. Wie unterschiedlich diese auch in der Umsetzung und Verwaltung sein mögen, bestehen sie doch immer aus den gleichen Hauptkomponenten: Compute, Storage und Network. Die Herausforderung bei der Einführung dieser Komponenten besteht darin, die Basis-Betriebssysteme - meist Linux - der einzelnen Komponenten und die Komponenten selbst sicher zu konfigurieren.
Für die Betriebssysteme bedeutet dies eine möglichst kleine Installation mit nur den benötigten Softwarepaketen und regelmäßigen Paketaktualisierungen. Enterprise-Linux-Derivate wie Red Hat, Centos oder Fedora verfügen zudem über die Kernel-Erweiterung "SE Linux" (Security-Enhanced Linux), die es erlaubt, Programme mittels Richtlinien (Policies) bei der Ausführung zu beschränken. Es ist auch zu achten, für den Aufbau Long-Term-Support-Versionen der Betriebssysteme zu wählen, die über mindestens drei Jahre mit Patches und Sicherheits-Updates versorgt werden. Sonst läuft man Gefahr, dass die Systeme gegenüber Angriffen nicht ausreichend geschützt sind.
Die Komponenten einer IaaS-Lösung liegen nach der Installation in einer Basiskonfiguration vor, die es an die eigenen Bedürfnisse anzupassen gilt. Der "Super-Administrator" der Plattform muss Benutzer anlegen - hier erlauben es manche Plattformen mittels LDAP (Lightweight Directory Access Protocol), Benutzer aus bestehenden Directories zu importieren und Rollen wie auch Mandanten zu definieren (Multi-User- und Multi-Mandantenfähigkeit). So stehen nicht jedem Benutzer volle Administrationsrechte zur Verfügung. Ein weiterer Aspekt ist das Lifecycle-Management aller im Einsatz befindlichen Systeme und deren Komponenten. Nach Ablauf des Support-Zeitraums werden diese nicht mehr mit Aktualisierungen versorgt. Hier muss man rechtzeitig Schritte zur Aktualisierung und Migration auf neue Systeme unternehmen können.
Absicherung der Infrastruktur
Im Zuge des Aufbaus einer IaaS-Plattform ist es nahezu unumgänglich, ein Security Gateway (SG) einzusetzen. Ein SG bietet Einstellungsmöglichkeiten für Sicherheitsmodule wie Firewall, Fernzugriff, Angriffsabwehr, Domain Name System (DNS), Antivirus, HIPS (Host Intrusion Prevention System) oder auch erweiterte Bedrohungserkennung. So erlaubt ein SG zum Beispiel, Einstellungen für die Anbindung externer Netzwerke (VPN, Secure Shell, Remote Desktop, IPSec) vorzunehmen. Zur Angriffsabwehr wiederum bieten mittlerweile die meisten SGs die Möglichkeit, verschiedenartige Attacken zu erkennen und abzuwehren, darunter DDoS- (Distributed Denial of Service) oder auch Man-in-the-Middle-Angriffe.
AV- und HIPS-Scanner erlauben es, Schädlinge im IaaS-Netzwerk wie auch beim Zugriff auf das Internet zu erkennen und abzuwehren. Einige SG-Hersteller bieten zudem die Möglichkeit, schleichende Angriffe auf das Netzwerk und die im Netzwerk befindlichen Systeme zu erkennen und abzuwehren. Durch den Einsatz solcher Sicherheitsmodule profitiert die IT-Infrastruktur zusätzlich im Hinblick auf die Sicherheit.
Lesen Sie mehr zum Thema
