Cloud Sicherheit Flashcards
Cloud Computing Vorteile
- Flexible Nutzung von IT-Ressourcen
- Skalierbarkeit
- Eventuell geringere Kosten
- Verfügbarkeit
- Kein Know-how zur Wartung der Systeme benötigt
Cloud Computing Nachteile
- Eventuell höhere Kosten
- Cloud Know-how benötigt
- Veränderung des Risikos
Shared Responsibility Model
Das Shared Responsibility Model legt die Sicherheitsverpflichtungen eines Cloud-Computing-Anbieters und seiner Nutzer-Kunden fest, um die Verantwortlichkeiten zu regeln.
- On-Premise Infrastruktur: Unternehmen hat die volle Verantwortung
- Cloud Infrastruktur: Cloud-Dienstleister und Unternehmen teilen sich die Verantwortung
Cloud Computing Modelle: Private Cloud
- eigenes Rechenzentrum
- Zugriff über Intranet
- mehr Kontrolle über Sicherheitsrichtlinien und Compliance
- Gesamte Verantwortung liegt bei der betreibenden Organisation
- aufwendiger, teurer
Prinzipien des Cloud Computing
- On-Demand Self Service: Provisionierung der Ressourcen läuft ohne menschliche Interaktion mit dem Service Provider ab
- Resource Pooling:
-> Ressourcen des Anbieters liegen in einem Pool vor, aus dem sich viele Anwender bedienen können - Measured Service:
-> Ressourcennutzung kann gemessen und überwacht werden - Broad Network Access:
-> Cloud-Services sind mit Standard-Mechanismen über das Netzwerk verfügbar - Rapid Elasticity:
-> Services können schnell und elastisch (teilw. automatisch) zur Verfügung gestellt werden
Ebenen von Cloudservices
- Infrstructure as a Service: Bereitstellung einer virtualisierten Infrastruktur
- Platform as a Service: Bereitstellung einer Entwicklerplattform
- Function as a Service: Bereitstellung von Funktionsinhalten
- Software as a Service: Bereitstellung einer Anwendung
Cloud Infrastruktur: Virtualisierung
- Aufteilen von Ressourcen auf verschiedene Nutzer
- IT-Services und -Funktionen werden von der Hardware getrennt
- sobald virtuelle Ressourcen zentralisierten Pools zugewiesen sind, werden sie als Clouds bezeichnet
Sicherheitsbedenken bei der Cloud Nutzung
- Kontrollverlust
- Änderungen von Rahmenbedingungen
- Vendor Lock-In (Wechsel zu anderen Cloud-Anbietern schwer möglich)
- Verlust der Vertraulichkeit
- Unzureichende Schutzmaßnahmen
- Gefahr durch Identitätsdiebstahl
- Verletzung geltender Vorgaben
- Weitergabe der Daten an Sub-Dienstleister
Sichere Nutzung von Cloud-Diensten nach BSI
- Machbarkeitsstudie
- Kosten-Nutzen-Abschätzung
- Risikoanalyse
- Analyse der Angriffsvektoren
- Migrationsplan
- Definition wichtiger Begriffe
Cloud Computing Compliance Criteria Catalogue (C5)
- Anforderungskatalog für die Bewertung der Sicherheit von Cloud-Diensten vom BSI
- Anforderungen sind nicht auf einzelne Cloud-Servicemodelle und -arten beschränkt
- Besteht aus: Sicherheitsanforderungen, Transparenzkritierien, Anforderungen für einen belastbaren Nachweis
- Ziel: Definition einer allgemein anerkannten Baseline für Cloudsicherheit
Threat Modelling
Ziel einer Bedrohungsmodellierung ist es, Bedrohungen und Gegenmaßnahmen für ein technisches System zu identifizieren und zu verstehen, um die Assets einer Organisation zu schützen.
- Was bauen wir?
- Was kann schiefgehen?
- Was werden wir dagegen tun?
- Haben wir unsere Arbeit gut genug gemacht?
Service Level Agreements
- Welche Funktionen umfasst ein Service (und welche nicht)?
- Wie lässt es sich messen, ob ein Dienst die geforderten Funktionen erfüllt?
- Welche Sicherheitsanforderungen gelten für einen Service?
- Was ist eine Schnittstelle, welche Software/Protokolle werden im Zusammenhang verwendet?
- Welche Authentisierungsmittel werden zur Benutzung der Cloud verwendet?
- Wie erfolgt die Benutzer- und Rechteverwaltung?
- Welche Meldewege stehen bei Störungen zwischen Anbieter und Nutzer zur Verfügung?
- Portierbarkeit/Migration: Wann und wie muss der Anbieter Daten/Anwendungen des Nutzers zurückgeben?
Identitäts- und Zugriffsmanagement bei der Nutzung von Cloud-Diensten
- Mindestanforderungen an Passwörter
- Protokollierung der Ereignisse
- Löschen von Accounts
- MFA
- Anmeldung per SSO
- Rollenkonzept
Logging und Monitoring
- Auswahl relevanter Ereignisse
-> Systemabstürze
-> Löschung von Objekten
-> Fehlgeschlagene Login-Versuche
-> verdächtige Logins autorisierter Nutzer - Auswahl relevanter Informationen
-> IP-Adresse
-> Nutzername
-> Zeit und Datum des Events
-> verwendetes Protokoll
-> Port
-> Art der Verbindung
–> Logs physischer Netzwerkdaten liegen beim Cloud Service Provider
Cloud Lösungen
- Microsoft Azure
- Alibaba Cloud
- aws
- Oracle Cloud
- Google Cloud
- IBM Cloud
C5: Sicherheitsanforderungen
- Sicherheitsanforderungen: basiert auf gängigen Standards (ISO 27001, IT-Grundschutz, CSA Cloud Controls Matrix)
C5: Transparenzkriterien
Cloud-Anbieter müssen dem Nutzer alle wichtigen Informationen für die Auswahl eines Cloudanbieters vorlegen
C5: Anforderungen an einen belastbaren Nachweis
- Audits müssen von Wirtschaftsprüfern durchgeführt werden
- Anforderungen an Prüfteam und Auditbereich werden definiert
Definition Cloud Computing
Dynamisch an den Bedarf angepasstes Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen über ein Netz. Angebot und Nutzung dieser Dienstleistungen erfolgen dabei ausschließlich über definierte technische Schnittstellen und Protokolle. Umfasst Plattformen, Infrastruktur und Software.
Cloud Computing Modelle: Public Cloud
- Eigentum des Dienstleisters
- Zugriff über Internet
- kein Einfluss auf Speicherort, Sicherheit- und Complianceaspekte
Cloud Computing Modelle: Hybrid Cloud
- Mischform aus Public/Private
- Cloud-Infrastrukturen werden über Schnittstellen gemeinsam genutzt
Cloud Computing Modelle: Community Cloud
- Nutzergruppen schließen sich zusammen
- wird intern oder extern betrieben
Cloud Infrastruktur: Netzwerk
- Auf Basis physischer Netzwerkressourcen wird ein virtuelles Netzwerk aufgebaut
- Cloud-Ressourcen werden den Benutzern über ein Netzwerk zur Verfügung gestellt, damit sie nach Bedarf remote auf Cloud Services oder Apps zugreifen können
- typische Cloud-Netzwerkkonfigurationen besteht aus mehreren Subnetzen, die jeweils unterschiedliche Sichtbarkeitsebenen aufweisen
- Cloud Nutzer definiert seine Netztopologie über ein Software-defined Network
Cloud Infrastruktur: Hardware
- Switches, Router, Load Balancer, etc.
- statt klassischer Firewalls werden eher “Security Groups” verwendet, die über Paketfilter und Richtlinien den Traffic steuern
Cloud Infrastruktur: Virtuelle Maschinen
- aus einzelnen Hardwaresystemen werden mehrere simulierte Umgebungen erstellt
Cloud Infrastruktur: Container
- besteht aus ein oder mehrere Prozesse, die vom Rest des Systems isoliert sind
- Anwendung kann mit allen Abhängigkeiten verpackt werden
- ressourcenarmer als VM
- kann nur ein Betriebssystem simulieren
ISO 27017
- Ergänzung zu ISO 27002 mit Empfehlungen für Cloudnutzer und/oder Cloudanbieter
