Cloud Sicherheit Flashcards
Cloud Computing Vorteile
- Flexible Nutzung von IT-Ressourcen
- Skalierbarkeit
- Eventuell geringere Kosten
- Verfügbarkeit
- Kein Know-how zur Wartung der Systeme benötigt
Cloud Computing Nachteile
- Eventuell höhere Kosten
- Cloud Know-how benötigt
- Veränderung des Risikos
Shared Responsibility Model
Das Shared Responsibility Model legt die Sicherheitsverpflichtungen eines Cloud-Computing-Anbieters und seiner Nutzer-Kunden fest, um die Verantwortlichkeiten zu regeln.
- On-Premise Infrastruktur: Unternehmen hat die volle Verantwortung
- Cloud Infrastruktur: Cloud-Dienstleister und Unternehmen teilen sich die Verantwortung
Cloud Computing Modelle: Private Cloud
- eigenes Rechenzentrum
- Zugriff über Intranet
- mehr Kontrolle über Sicherheitsrichtlinien und Compliance
- Gesamte Verantwortung liegt bei der betreibenden Organisation
- aufwendiger, teurer
Prinzipien des Cloud Computing
- On-Demand Self Service: Provisionierung der Ressourcen läuft ohne menschliche Interaktion mit dem Service Provider ab
- Resource Pooling:
-> Ressourcen des Anbieters liegen in einem Pool vor, aus dem sich viele Anwender bedienen können - Measured Service:
-> Ressourcennutzung kann gemessen und überwacht werden - Broad Network Access:
-> Cloud-Services sind mit Standard-Mechanismen über das Netzwerk verfügbar - Rapid Elasticity:
-> Services können schnell und elastisch (teilw. automatisch) zur Verfügung gestellt werden
Ebenen von Cloudservices
- Infrstructure as a Service: Bereitstellung einer virtualisierten Infrastruktur
- Platform as a Service: Bereitstellung einer Entwicklerplattform
- Function as a Service: Bereitstellung von Funktionsinhalten
- Software as a Service: Bereitstellung einer Anwendung
Cloud Infrastruktur: Virtualisierung
- Aufteilen von Ressourcen auf verschiedene Nutzer
- IT-Services und -Funktionen werden von der Hardware getrennt
- sobald virtuelle Ressourcen zentralisierten Pools zugewiesen sind, werden sie als Clouds bezeichnet
Sicherheitsbedenken bei der Cloud Nutzung
- Kontrollverlust
- Änderungen von Rahmenbedingungen
- Vendor Lock-In (Wechsel zu anderen Cloud-Anbietern schwer möglich)
- Verlust der Vertraulichkeit
- Unzureichende Schutzmaßnahmen
- Gefahr durch Identitätsdiebstahl
- Verletzung geltender Vorgaben
- Weitergabe der Daten an Sub-Dienstleister
Sichere Nutzung von Cloud-Diensten nach BSI
- Machbarkeitsstudie
- Kosten-Nutzen-Abschätzung
- Risikoanalyse
- Analyse der Angriffsvektoren
- Migrationsplan
- Definition wichtiger Begriffe
Cloud Computing Compliance Criteria Catalogue (C5)
- Anforderungskatalog für die Bewertung der Sicherheit von Cloud-Diensten vom BSI
- Anforderungen sind nicht auf einzelne Cloud-Servicemodelle und -arten beschränkt
- Besteht aus: Sicherheitsanforderungen, Transparenzkritierien, Anforderungen für einen belastbaren Nachweis
- Ziel: Definition einer allgemein anerkannten Baseline für Cloudsicherheit
Threat Modelling
Ziel einer Bedrohungsmodellierung ist es, Bedrohungen und Gegenmaßnahmen für ein technisches System zu identifizieren und zu verstehen, um die Assets einer Organisation zu schützen.
- Was bauen wir?
- Was kann schiefgehen?
- Was werden wir dagegen tun?
- Haben wir unsere Arbeit gut genug gemacht?
Service Level Agreements
- Welche Funktionen umfasst ein Service (und welche nicht)?
- Wie lässt es sich messen, ob ein Dienst die geforderten Funktionen erfüllt?
- Welche Sicherheitsanforderungen gelten für einen Service?
- Was ist eine Schnittstelle, welche Software/Protokolle werden im Zusammenhang verwendet?
- Welche Authentisierungsmittel werden zur Benutzung der Cloud verwendet?
- Wie erfolgt die Benutzer- und Rechteverwaltung?
- Welche Meldewege stehen bei Störungen zwischen Anbieter und Nutzer zur Verfügung?
- Portierbarkeit/Migration: Wann und wie muss der Anbieter Daten/Anwendungen des Nutzers zurückgeben?
Identitäts- und Zugriffsmanagement bei der Nutzung von Cloud-Diensten
- Mindestanforderungen an Passwörter
- Protokollierung der Ereignisse
- Löschen von Accounts
- MFA
- Anmeldung per SSO
- Rollenkonzept
Logging und Monitoring
- Auswahl relevanter Ereignisse
-> Systemabstürze
-> Löschung von Objekten
-> Fehlgeschlagene Login-Versuche
-> verdächtige Logins autorisierter Nutzer - Auswahl relevanter Informationen
-> IP-Adresse
-> Nutzername
-> Zeit und Datum des Events
-> verwendetes Protokoll
-> Port
-> Art der Verbindung
–> Logs physischer Netzwerkdaten liegen beim Cloud Service Provider
Cloud Lösungen
- Microsoft Azure
- Alibaba Cloud
- aws
- Oracle Cloud
- Google Cloud
- IBM Cloud
