Publikation von Christoph Puppe
Cloud-Security – das Ende der Mythen
Mythen entstehen, wo Wissen fehlt, und zu Beginn der Cloud-Transformation fehlte es fast überall: Die einen sahen das Abendland untergehen, die anderen erwarteten Wundermedizin gegen jedes Sicherheitsproblem. Der Beitrag räumt mit beiden Lagern auf und beginnt bei der Datenlage, deren Schwäche er selbst benennt: Das Dunkelfeld unbemerkter Vorfälle ist ein Mehrfaches des Hellfelds, und für Cloud-Schwachstellen existiert nicht einmal eine CVE-Nummerierung; wer suchen will, ist auf die von Wiz initiierte cloudvulndb.org angewiesen. Dass die Überwachung der Cloud praktisch keine Zero-Days entdeckt, lässt zwei Lesarten zu, und die unbequeme lautet: Niemand bemerkt die Angreifer. Die Zahlen dämpfen beide Mythen zugleich. Laut IBM-Report sind in 82 Prozent der Datenpannen Cloud-Dienste involviert, aber nur in 11 Prozent war eine Fehlkonfiguration der initiale Vektor; Phishing (16 Prozent) und gestohlene Zugangsdaten (15 Prozent) führen die Liste an. Für die Anbieterseite sprechen Patch-Geschwindigkeit in Stunden statt Jahren, Sicherheitsabteilungen mit Tausenden Mitarbeitern und eine DDoS-Resilienz, die On-Premises unerreichbar ist: Google Cloud allein peert mit rund 30 TBit, wo 10 GBit ins Internet lokal schon viel sind. Gegen den Heiligen-Gral-Mythos stehen zwei Azure-Verwundbarkeiten mit Zugriff über Mandantengrenzen hinweg und die vielen tausend versehentlich veröffentlichten S3-Speicher. Die Empfehlungen gelten darum umgebungsunabhängig: FIDO2-Hardware-Token mindestens für privilegierte Accounts, weil Identität oft der letzte Perimeter ist; Überwachung der Konfiguration; konsequentes Patchen; private Netze mit Trennung nach Aufgabe und Risiko. Das Fazit erklärt die Grundsatzfrage für erledigt: Multi- und Hybrid-Cloud haben sich durchgesetzt, gebraucht wird eine Sicherheitsstrategie über alle Standorte statt Grundsatzdiskussionen. Wer alles richtig macht, wird seltener gehackt, egal wo; die Kompetenz der eigenen Leute entscheidet.