Cloud Security: Praxisorientierte Methoden und Lösungen für sicheres Cloud Computing

Cloud Security: Praxisorientierte Methoden und Lösungen für sicheres Cloud Computing

Herausgegeben von

Christiana Köhler-Schute

Mit Beiträgen von

Aarno Aukio, VSHN AG; Dominik Birgelen, oneclick AG; Michael Doujak, Ergon Informatik AG; Elmar Eperiesi-Beck, eperi GmbH; Tino Hirschmann, Deutsche Telekom Security GmbH; Christian Lechner, All for One Group SE; Prof. Dr. Heiko Meyer, KMS Vertrieb und Services AG; Valeri Milke, Insentis GmbH; Marcel Reviol, Deutsche Telekom Security GmbH; Andreas Schindler, All for One Group SE; Ralf Stadler, Tech Data Advanced Solutions DACH; Dr. Simon Woldeab, fuentis AG

KS-Energy-Verlag

ISBN 978-3-945622-19-3

ISBN 978-3-945622-17-9 (Print)

ISBN 978-3-945622-18-6 (eBook / PDF)

Bibliografische Informationen der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über http://dnb.d-nb.de abrufbar.

Jede Verwertung, die nicht ausdrücklich vom Urheberrechtsgesetz zugelassen ist, bedarf der vorherigen Zustimmung des Verlages.

KS-Energy-Verlag, Berlin 2021

Rüdesheimer Platz 8

14197 Berlin

Telefon: +49 30 827 021 42

www.ks-energy-verlag.de

Titelfoto: © kirania – stock.adobe.com

Vorwort

Als ich im Februar vor 10 Jahren mein erstes Buch zum Thema Cloud Computing herausgegeben habe, führte dieses Segment noch ein Nischendasein. Heute gilt Cloud Computing als Motor der Digitalisierung. Neue Geschäftsmodelle werden durch Cloud-Lösungen erst möglich, mobile Zugriffe auf IT-Ressourcen vereinfacht und eine schnellere Skalierbarkeit der IT-Leistungen erreicht. Cloud Computing wird von den meisten Unternehmen in Anspruch genommen und durch die Pandemie nochmal befeuert. Der Trend geht in Richtung Hybrid und Multi Cloud, um die Vorteile unterschiedlicher Provider und Lösungen für das Unternehmen optimal nutzen zu können.

Auch wenn laut einer repräsentativen Studie des Bitkom Public-Cloud-Lösungen weniger anfällig sind für Sicherheitsvorfälle als die eigene IT im Unternehmen¹, häufen sich mit der zunehmenden Nutzung von Cloud Computing Cyberangriffe. Und auch andere Faktoren stellen ein Sicherheitsrisiko für das Cloud Computing dar – angefangen von technischen Störungen über Fehlkonfigurationen, Datenverlust, mangelnde Awareness der Mitarbeiter bis hin zu Compliance-Verletzungen.

Die Verantwortung für die Sicherheit schultern sowohl die Cloud-Nutzer als auch die Cloud-Anbieter. Als grobe Richtlinie gilt das Prinzip: Der Kunde trägt die Verantwortung für „Security in the Cloud“ und der Cloud-Anbieter für „Security of the Cloud“. Es ist im Sinne beider Parteien, gemeinsam die Sicherheit zu verbessern, um jedwede Folgeschäden abzuwenden.

Durch die Cloud-Nutzung verändert sich die Bedrohungslage, und traditionelle Sicherheitskonzepte und -lösungen wie klassische Anti-Malware-Technologien oder Firewalls lassen sich nicht kurzerhand auf das Cloud-Umfeld übertragen bzw. bieten nicht mehr ausreichenden Schutz. Cloud-Sicherheit erfordert neue Konzepte und hochentwickelte Technologien.

Das sind die Themen des Buches:

• Technologischer und organisatorischer Wandel durch Cloud Computing

• Veränderte Bedrohungslage durch Cloud-Nutzung

• Verantwortlichkeiten in der Cloud-Nutzung – das Shared-Responsibility-Modell

• Vorgehensweise zur Cloud-Migration unter sicherheitsrelevanten Aspekten

• Vorgehensmodelle und Umsetzungskonzepte für sichere Hybrid, Public und Multi Clouds

• Sicherheitskonzepte und -maßnahmen der Cloud-Anbieter

• Datenschutz und DSGVO-konforme Datenverschlüsselung

• Umsetzung von Zero-Trust-Architekturen

• Kritische Infrastrukturen: Grundlagen, Anforderungen und sicherheitsrelevante Umsetzungskonzepte

• Best Practices zur automatischen Identifizierung und Behebung von Sicherheitslücken in AWS und in Microsoft Azure

Branchen- und anwendungsbezogene Beispiele aus der Praxis runden das Buch ab.

Das Buch richtet sich an Cloud-Nutzer, die sich auf strategischer, organisatorischer und operationaler Ebene mit den Themen Cloud Computing und IT-Sicherheit auseinandersetzen, aber auch an IT-Dienstleister und Berater sowie Studierende und Dozenten, die Kenntnisse im Umfeld von Cloud Computing erwerben oder vermitteln wollen.

Zwölf hochkarätige Autoren konnten dazu gewonnen werden, sich mit Beiträgen am Gelingen des Buches zu beteiligen. Ihnen gilt mein Dank.

Inhaltsverzeichnis

Cover

Titel

Impressum

Vorwort

Management Abstract

Herausforderung Cloud Security: Wandel in Technologie und Organisation

Tino Hirschmann und Marcel Reviol

1 Wandel der IT

1.1 Historie

1.2 Cloud

2 Wege in die Cloud

2.1 Vorgehensmodelle für die Cloud-Migration

3 Wandel der IT-Organisation

3.1 Veränderte Verantwortlichkeiten

3.2 Veränderte Governance durch Cloud-Nutzung

3.3 Übersicht zum Ansatz mit „Security by Design“

3.4 Sicherheit in agilen Entwicklungsprozessen

4 Veränderte Bedrohungslage durch Cloud-Nutzung

4.1 Exponierte Lage

4.2 Cloud-Technologie und Governance

4.3 Vertrauen in den Cloud Provider

Der integrierte Ansatz bei der Migration in die Cloud: Security by Default

Christian Lechner und Andreas Schindler

1 Einführung

2 Hacks and Attacks: Cloud versus On-Premises

3 Gefahren abwehren: Wir gehen in die Cloud!?

4 Trotz Maßnahmen und geteilter Verantwortung – können Unternehmen Cloud-Services trauen?

5 Umfassende Sicherheitsanalyse im Vorfeld klärt Handlungsbedarfe

6 Conditional Access – nur ein Aspekt für den Schutz von Daten

7 Migration in die Cloud am Beispiel eines Unternehmens aus dem Maschinenbau

8 Fazit

Sicher in die Cloud

Ralf Stadler

1 Neue Security-Herausforderungen durch die Cloud und wie sie sich erfolgreich meistern lassen

1.1 Sicherheitsverantwortung in der Cloud

1.2 Auflösung des klassischen Perimeters

1.3 Unabhängige Sicherheitsnachweise

1.4 Gefahr für die Cloud aus dem Internet der Dinge

1.5 Dienstleistungen für ein Cloud-gerechtes 360-Grad-Security-Konzept

2 Warum Digitalisierungsprojekte einen umfassenden Security-Ansatz erfordern

2.1 Flexible Arbeitsmodelle: Perimeter löst sich auf

2.2 Hohe Sicherheit durch Zwei- und Multi-Faktor-Authentifizierung

2.3 Noch komfortabler mit Token

2.4 Risikobasierte Authentifizierung

3 Offene Hybrid Multi Cloud

3.1 Chancen und Risiken in Multi Clouds

3.2 Multi-Cloud-Netzwerke absichern

3.3 Security eingebaut: die IBM-Cloud

3.4 Flexible Erweiterungen für die Cloud: IBM Cloud Paks

3.5 Noch mehr Sicherheit in hybriden Multi Clouds: IBM Cloud Paks for Security

4 Arbeiten in der Cloud

4.1 Mittelstand besonders im Fokus

4.2 Komplettschutz inklusive: Microsoft 365

4.3 Effektiver Cloud-Betrieb

Anwendungsbereitstellung über die oneclick™ Cloud-Plattform: Ein schlagkräftiges Mittel gegen Cyberkriminalität

Dominik Birgelen

1 Einführung

2 Ziele von Cyberkriminellen und stark ansteigende Bedrohungslage

3 Zero Trust: Traue niemandem außerhalb und innerhalb des Netzwerks

4 oneclick™ Plattform vereinfacht die Anwendungsbereitstellung und bietet ein Höchstmaß an IT-Sicherheit

5 So sicher, dass es bei der Anwendungsbereitstellung über oneclick™ eine integrierte Cyber Assurance ohne Fallprüfung gibt

Zero Trust ist eine Reise

Michael Doujak und Aarno Aukio

1 Sicherheitsrisiken in einer immer digitaleren Welt

1.1 Weiterentwicklung der Geräte

1.2 Weiterentwicklung der Anwendungen

1.3 Von der Perimetersicherheit zu Zero Trust

1.4 Containerisierung und SaaS

1.5 DevOps

1.6 Angriffe sind die neue Normalität

2 Digitalisierung der Informationssicherheit

2.1 Die Grundlagen von Zero Trust

2.2 Blaupause für eine Zero-Trust-Architektur

2.3 Sicherheitsvorteile von Zero Trust

2.4 Betriebliche Vorteile von Zero Trust

3 Grenzen von Zero Trust

3.1 Identitäts- und Zugriffsverwaltung als zentraler Service

3.2 Trennen Sie sich nicht vom zentralen Gateway

4 Zero Trust ist eine Reise

5 Schlussfolgerung

Datenschutzkonforme Cloud-Nutzung – Best Practices für alle Unternehmensgrößen

Elmar Eperiesi-Beck

1 Paradigmenwechsel: vom Systemschutz zum Datenschutz

2 Formale Betrachtung der aktuellen Gefahrenlage

3 Sicherheitsmaßnahmen der Cloud-Anbieter

4 Anwendungen in der Praxis

4.1 Sicherheit für Microsoft 365

4.2 IoT-Sicherheit

4.3 Privacy Preserving Analytics

4.4 Schnittstellenschutz

5 Fazit

Herausforderungen für Kritische Infrastrukturen (KRITIS)

Dr. Simon Woldeab

1 Welche Regularien sind zu berücksichtigen?

1.1 Einführung

1.2 IT-Sicherheitsgesetz

1.3 KRITIS-V

1.4 NIS-Richtlinie

2 Wer ist betroffen?

2.1 Kritische Infrastruktur-Sektoren

2.2 Schwellenwerte

3 Welche Anforderungen sind umzusetzen?

3.1 Einleitung

3.2 Anforderungskatalog für KRITIS (C5)

3.3 Branchenspezifische Anforderungen

4 Wie sieht ein Umsetzungskonzept aus?

4.1 Einleitung

4.2 Einsatz integriertes ISMS

4.3 Anwendungsfall: Einsatz ISMS für ein Klinikum

IT-Sicherheit im klinischen Umfeld

Prof. Dr. Heiko Meyer

1 Einleitung

2 Anforderungen an IT-Systeme in der Gesundheitswirtschaft

2.1 Begriffsdefinition Gesundheitswirtschaft

2.2 Aspekte zur IT-Sicherheit in der Gesundheitswirtschaft

2.3 Gesetzliche Vorgaben in der Gesundheitswirtschaft

3 Angriffsarten

3.1 Malware

3.2 Data Leaks

3.3 Passwörter

3.4 Vernetzte Medizintechnikprodukte

4 Softwareanwendungen in der Gesundheitswirtschaft

4.1 On-Premises-Lösungen

4.2 Cloud-Lösungen

4.3 Hybrid-Cloud-Lösungen

5 IT-Sicherheit in der Cloud

5.1 HIPAA-Compliance

5.2 Sichere Datenübertragung

5.3 Pseudonymisierung von Daten

5.4 Authentisierung

6 Zusammenfassung

6.1 Verbesserung der IT-Sicherheit durch Cloud-Lösungen

6.2 Mehrwert für die Patienten

6.3 Betriebswirtschaftliche Aspekte

7 Chancen für die Medizin

Best Practices zur automatischen Identifizierung und Behebung der häufigsten kritischen Sicherheitslücken in AWS

Valeri Milke

1 Vorwort und Aufbau der Best Practices

1.1 Sicherheitsbezogene AWS-Services

1.2 Relevanteste AWS-Services

1.3 Shared Responsibility Model

2 Best-Practice-Maßnahmen

2.1 Best Practises – architektonische Aspekte

2.2 Best Practises – sicherheitsbezogene AWS-Services

2.3 Best Practices für die am häufigsten eingesetzten AWS-Services

3 Tool-Set zur automatischen Identifizierung und Behebung

3.1 Open Source

3.2 Kommerziell

Best Practices zur automatischen Identifizierung und Behebung der häufigsten kritischen Sicherheitslücken in Microsoft Azure

Valeri Milke

1 Vorwort

1.1 Shared Responsibility Model

1.2 Sicherheitsbezogene Azure-Services

1.3 Relevante Azure-Services

2 Best-Practices-Maßnahmen

2.1 Best Practices – architektonische Aspekte

2.2 Best Practises – sicherheitsbezogene Azure-Services

2.3 Best Practices für die relevantesten Azure-Services

3 Tool-Set zur automatischen Identifizierung und Behebung

3.1 Open Source

4 Fazit

Unternehmensdarstellungen

Autorenporträts

Abbildungsverzeichnis:

Abbildung 1: Verantwortungsschnitt IT-Security im Shared Responsibility Model

Abbildung 2: Leitfäden zur Verbesserung der IT-Sicherheit

Abbildung 3: Bausteine eines IT-Security-Betriebskonzeptes

Abbildung 4: Funktionen für einen sicheren Zugriff

Abbildung 5: IBM Cloud Pak For Security Architecture

Abbildung 6: Die auf vier Säulen basierende Sicherheitstrategie von Microsoft

Abbildung 7: Zero-Trust-Komponenten im Cloud-Umfeld

Abbildung 8: Zero-Trust-Architektur

Abbildung 9: Das Shared-Responsibility-Modell nach Microsoft

Abbildung 10: KRITIS-Sektoren und Anlagenkategorien

Abbildung 11: Tool-gestützte Umsetzung Klinik-Infrastruktur, fuentis Suite

Abbildung 12: Tool-gestützte Umsetzung B3S-Katalog Gesundheitsversorgung, fuentis Suite

Abbildung 13: AWS Shared Responsibility Model

Abbildung 14: Shared Responsibility Model in the cloud

Abbildung 15: Architektur der Remotedesktop-Dienste

Tabellen:

Tabelle 1: 4-Stufen-Vorgehensmodell Cloud-Migration mit Sicherheitsmerkmalen

Tabelle 2: Bemessungskriterien und Schwellenwerte der Anlagenkategorien

Management Abstract

Tino Hirschmann und Marcel Reviol, Deutsche Telekom Security, nehmen in ihrem einleitenden Beitrag Herausforderung Cloud Security: Wandel in Technologie und Organisation den Leser auf eine kurze Zeitreise mit, um insbesondere jüngeren Lesern den Wandel der IT zu verdeutlichen. Sie geben einführend einen Überblick über Cloud-Services und -Modelle, erläutern das Shared-Responsibility-Modell und beschreiben vier grundsätzliche Vorgehensmodelle zu Anwendungsmigration in die Cloud. Sie stellen auf der Basis von Security by Design sieben Grundregeln auf, die dazu beitragen, die Angriffsfläche von Attacken zu minimieren. Zum Schluss diskutieren sie sicherheitsrelevante Maßnahmen als Reaktion auf eine veränderte Bedrohungslage durch die Cloud-Nutzung und lassen ihre Erfahrungen einfließen.

Die Frage, ob Unternehmen Cloud-Services trauen können, beantworten Christian Lechner und Andreas Schindler, All for One Group, mit einem klaren „Ja“. Sie stellen in ihrem Beitrag Der integrierte Ansatz bei der Migration in die Cloud: Security by Default ihre Vorgehensweise für die Cloud-Migration vor, die auf einer vollständig integrierten Sicherheitsarchitektur beruht. Zur Veranschaulichung ihrer Vorgehensweise berichten sie über ein Cloud-Projekt bei einem Maschinenbauer mit dem Ziel, digitale Produkte schnell entwickeln und bereitstellen zu können. Zum Schluss fassen sie ihre Erfahrungen aus Cloud-Projekten zusammen.

Ralf Stadler, Tech Data, erörtert in seinem Beitrag Sicher in die Cloud Maßnahmen und Lösungen zur Sicherung von Anwendungen in Public, Multi und Hybrid Clouds. Zunächst begründet er, warum die im eigenen Rechenzentrum genutzten lokalen Security Tools und Sicherheitskonzepte nicht auf das Cloud-Umfeld übertragen werden können, und welche Maßnahmen ergriffen werden sollten. Er beschreibt verschiedene Lösungen beginnend mit der Authentifizierungslösung RSA SecurID und YubiKey sowie mit der IBM-Lösung IBM Cloud Paks for Security, welche sicherheitsrelevante Informationen über alle Datenquellen, Systeme in einem Hybrid-Multi-Cloud-Umfeld automatisiert zusammenführen und auswerten. Er stellt die Microsoft 365 Business Premium-Lösung und weitere Tools vor, die insbesondere KMUs im Remote-Arbeitsumfeld Schutz bieten.

Dominik Birgelen, oneclick, stellt in seinem Beitrag Anwendungsbereitstellung über die oneclick™ Cloud-Plattform: Ein schlagkräftiges Mittel gegen Cyberkriminalität die Cloud-Plattform seines Unternehmens vor, welche als Vermittlungs- bzw. Trennschicht zwischen Benutzer und Unternehmensressource fungiert. Streaming-Server dienen als eine Art Sicherheitsschleuse mit Verschlüsselungen und weiteren Sicherheitsmechanismen zwischen Benutzer und Unternehmensressourcen, unabhängig davon, von wem diese bezogen werden. Inkludiert ist eine Cyberversicherung mit vorgeprüften Sicherheitsmaßnahmen ohne vorherige Fallprüfungen beim Anwenderunternehmen.

„Vertrauen ist gut, Kontrolle ist besser“: Das ist das Motto von Zero Trust. Es sieht vor, dass jede einzelne Anfrage und Zugriffe auf Ressourcen als nicht vertrauenswürdig gelten, bis das Gegenteil bewiesen ist. Mit Auflösung des Perimetersschutzes – als klassischer Ansatz für die Netzwerksicherheit – gilt Zero Trust u.a. im Cloud-Umfeld als ein probates Modell, welches auf großes Interesse stößt. Michael Doujak, Ergon Informatik, und Aarno Aukio, VSHN, erläutern in ihrem Beitrag Zero Trust ist eine Reise ein Migrations-Konzept für die Umsetzung einer Zero-Trust-Architektur in Unternehmen. Sie erörtern die technischen und betrieblichen Vorteile einer Zero-Trust-Architektur, zeigen aber auch die Grenzen von Zero Trust auf. Zur stufenweisen Umsetzung dieser Architektur beschreiben sie ein Modell, welches aus einem API-Gateway aus dem Perimeterschutz – als Aufgabenverteiler zwischen Perimeter und neu eingeführten Microgateways –, Microgateways für den Zero-Trust-Ansatz und einer IAM-Lösung besteht.

Elmar Eperiesi-Beck, eperi, hat den Schwerpunkt seines Beitrages Datenschutzkonforme Cloud Nutzung – Best Practices für alle Unternehmensgrößen auf eine datenzentrische Sicht gelegt. „Nicht länger geht es nur um die Sicherheit der Anwendungen. Entscheidend ist der Schutz der darin befindlichen sensiblen Daten“, so der Autor.

Zunächst befasst er sich mit Schutzzielen im Kontext mit Cloud-Computing, die die Sicherheit der IT messbar und die aktuelle Gefahrenlage bewertbar machen. Der Autor erläutert die Sicherheitsmaßnahmen der Cloud-Anbieter, die häufig bereits im Angebot integriert sind oder zugebucht werden können. Zur Beurteilung, ob diese Maßnahmen ausreichend sind, führt er Kriterien an, die es bei der Bewertung zu berücksichtigen gilt. Um den Anforderungen an die Datensicherheit und den Datenschutz gerecht zu werden, plädiert er dafür, die Datenverschlüsselung selbst in die Hand zu nehmen. Er erläutert die verschiedenen Arten der Verschlüsselung und führt zum Schluss mehrere Praxisbeispiele an, die durch den Einsatz von Verschlüsselungslösungen datenschutzgerecht umgesetzt werden konnten.

Kritische Infrastrukturen werden als besonders schützenswürdig eingestuft. Durch die zunehmende Digitalisierung werden die Anlagen und Systeme angreifbarer, und die meldepflichtigen IT-Sicherheitsvorfälle haben im letzten Jahr deutlich zugenommen.

Dr. Simon Woldeab, fuentis, gibt in seinem Beitrag Herausforderungen für Kritische Infrastrukturen (KRITIS) zunächst einen Überblick über die derzeitige Gesetzeslage und den entsprechenden Richtlinien. Er listet die KRITIS-Sektoren und Anlagenkategorien sowie die entsprechenden Bemessungsgrundlagen und Schwellenwerte auf und erläutert sie. Er geht auf den Anforderungskatalog des BSI ein und diskutiert das Thema „Stand der Technik“ im Zusammenhang mit den branchenspezifischen Sicherheitsstandards (B3S). Zum Schluss veranschaulicht er am Beispiel Krankenhaus den Einsatz eines ISMS unter Einbindung von KRITIS-Standards.

Prof. Dr. Heiko Meyer, KMS Vertrieb und Services, geht in seinem Beitrag IT-Sicherheit im klinischen Umfeld darauf ein, warum Kliniksysteme zukünftig als Cloud-Lösung betrieben werden sollten. Er erörtert, warum Hybrid-Cloud-Systeme von Vorteil für Kliniken sind, und gibt Hinweise, wie klinische IT-Systeme sicher in der Cloud betrieben werden können. Dabei werden die gesetzlichen Besonderheiten des Gesundheitswesens näher beschrieben, spezielle Mechanismen zum Schutz der Daten vorgestellt und die daraus resultierenden Vorteile aus betriebswirtschaftlicher und medizinischer Sicht für Patienten, Ärzte, Klinikmanagement sowie Forschung und Wissenschaft erörtert.

Valeri Milke, Insentis, befasst sich in zwei Beiträgen sowohl mit Best Practices zur automatischen Identifizierung und Behebung der häufigsten kritischen Sicherheitslücken in AWS als auch mit Best Practices zur automatischen Identifizierung und Behebung der häufigsten kritischen Sicherheitslücken in Microsoft Azure. Er legt die Schwerpunkte jeweils auf übergeordnete architektonische Aspekte, auf die wichtigsten sicherheitsbezogenen sowie auf die am häufigsten eingesetzten AWS- und Azure-Services. In tabellarischer Form stellt er den Services detailliert die entsprechenden Handlungsempfehlungen und Maßnahmen gegenüber. Der Autor stellt weitere Tools vor, die die automatisierte Identifizierung von Sicherheitslücken im AWS- und Azure-Umfeld unterstützen. In seinem zweiten Beitrag gibt er zum Abschluss allgemeingültige Hinweise für ein sicheres Cloud Computing.