Infrastructure-as-a-Service (IaaS) findet immer mehr Zuspruch in Unternehmen aller Größenordnungen. Viele Unternehmen haben inzwischen ihre Server und lokalen Endgeräte vollständig durch IaaS-Services ersetzt. Einigen Quellen zufolge handelt es sich um das am schnellsten wachsende Cloud-Segment. Diese Entwicklung ist nicht überraschend, da die Vorteile von IaaS auf der Hand liegen. Die Sicherheit der in der Cloud betriebenen Services hängt jedoch von der Sicherheit der Cloud-Infrastruktur ab. Es lohnt sich daher, einen Blick auf die potenziellen IaaS-Sicherheitsprobleme zu werfen, die auftreten können. Vor allem sollte man wissen, wie man sie verhindern kann.
Der Kunde trägt bei IaaS etwas mehr Verantwortung als bei PaaS oder SaaS. Der Grund: Der Kunde hat hier die Kontrolle über den Workload. Je mehr Kontrolle man über die Infrastruktur hat, desto größer ist auch die Verantwortung, die mit der Gewährleistung der IaaS-Sicherheit einhergeht. Zwar sind die konkreten Vorgehensweisen von Fall zu Fall sehr unterschiedlich, doch gibt es einige allgemeingültige Grundsätze, die zur Vermeidung grundlegender Risiken beitragen und auf die wir im folgenden Artikel eingehen werden.
IaaS-Sicherheitsprobleme
- Datenlecks: Die Sicherheit der in der Cloud gespeicherten Daten muss immer gewährleistet sein. Dazu müssen sowohl die Anbieter als auch die Kunden wissen, wie auf die Daten zugegriffen wird, und sicherstellen, dass nur befugte Benutzer Zugriffsrechte auf die Daten haben. Die Verwendung der Daten muss daher jederzeit überwacht werden. Die Implementierung zusätzlicher Sicherheitsmaßnahmen wie die Multi-Faktor-Authentifizierung stellt zu diesem Zweck ebenfalls ein hilfreiches Mittel dar.
- Datenverlust: Nicht minder bedrohlich als ein Datenleck ist ein vollständiger Datenverlust, der durch verschiedene schädliche Vorfälle auftreten kann. Deshalb ist die Erstellung von Backups und deren korrekte Speicherung von größter Bedeutung.
- Authentifizierungsprobleme und mangelnde Transparenz: Schwache Passwörter, eine unzureichende Überprüfung oder eine mangelhafte Verwaltung der Zugriffsrechte können verhängnisvolle Folgen haben und u. a. zu Datenlecks führen. Dies geschieht vor allem dann, wenn Benutzern mehr Rechte zugewiesen werden, als sie eigentlich benötigen.
- Darüber hinaus können Insider (z. B. ehemalige Mitarbeiter) dem Unternehmen schaden und versuchen, Daten durch Spyware oder Datenmanipulation zu stehlen. Im Falle von IaaS kann dies sogar zur Vernichtung der gesamten Infrastruktur und der Daten führen.
- Einem Bericht von SailPoint zufolge verlieren Unternehmen im Geschäftsalltag oft aus den Augen, wer Zugang zur cloudbasierten IaaS-Infrastruktur hat. Die Studie zeigt auch, dass bis zu 45 % der Cyberangriffe auf fehlende Transparenz und unzureichende Zugangskontrollen zurückzuführen sind.
- Cyberangriffe: Die Häufigkeit und Raffinesse von Cyberangriffen aller Art nimmt weiter zu. Dazu gehören auch Denial-of-Service-Angriffe (DoS), die mit der zunehmenden Verbreitung der Cloud immer häufiger vorkommen. Da sie große Mengen an Rechenleistung verbrauchen, können sie geschäftskritische Dienste verlangsamen (oder sogar ganz zum Erliegen bringen).
Wie kann die Sicherheit von Infrastructure-as-a-Service gewährleistet werden?
Das grundlegende und zugleich wichtigste IaaS-Sicherheitsprinzip besteht darin, unerlaubten Zugriff zu verhindern, indem man Benutzern ausschließlich erforderliche Berechtigungen erteilt, Konten (insbesondere jene mit bevorzugtem Zugriff) überprüft und inaktive Konten löscht. Im Falle von IaaS bezieht sich dies auf den Zugriff auf das Betriebssystem und die darauf installierten Anwendungen. Auch der administrative Zugang und der Zugang zu IaaS-Kontroll- und -Anbieterfunktionen – Backup, Datenwiederherstellung und Schlüsselverwaltung – sollten bedacht werden. All diese Zugänge müssen sorgfältig kontrolliert und verwaltet werden: Wer erhält zu welchem Zweck Zugang?
Führende Anbieter auf dem Markt geben enorme Summen aus, um ihren Kunden die bestmögliche IaaS-Sicherheit zu bieten. Dabei stehen sie immer im Wettbewerb um die größte Anzahl an Konformitätszertifikaten. Dennoch sollte der Kunde, bevor er eine Entscheidung trifft, sicherstellen, dass er das Sicherheitskonzept des IaaS-Anbieters versteht. Der Schutz der Server und Daten sollte dabei immer oberste Priorität haben. Ein gutes Konzept sollte Folgendes umfassen:
- Sicherung des physischen Zugangs: Der Zugang zu Servern und anderen Räumlichkeiten sollte sehr streng überwacht werden.
- Einhaltung der Vorschriften: Der Anbieter sollte stets in der Lage sein, die Einhaltung der einschlägigen Vorschriften, z. B. zum Datenschutz, nachzuweisen.
- Hardware: Der Kunde sollte die Gerätedaten des Anbieters, insbesondere die Sicherheitsvorrichtungen, überprüfen können.
ALSO unterstützt Sie mit einer umfassenden Beratung, verschiedenen Services und individuellen Lösungen beim Schutz vor Cyberbedrohungen und Herausforderungen, die auch die IaaS-Sicherheit betreffen. Um Ihnen die Arbeit zu erleichtern, haben wir den ALSO Security Circle erstellt, der einen Überblick über die Themen gibt, die Sie beachten müssen, um die Sicherheit Ihrer Kunden zu gewährleisten.
