So bekämpfen Sie die Geißel der Cloud-Fehlkonfigurationen

Ein offengelegter Cloud-Datenspeicher mit persönlichen Daten von Spielern der australischen Fußballnationalmannschaft unterstreicht die wachsende Bedrohung durch Cloud-Fehlkonfigurationen. Entsprechend IBMIm vergangenen Jahr waren sie bei 11 % der Datenschutzverletzungen die Ursache für den Erstzugriff. Durch die Implementierung von Best Practices wie regelmäßigen Sicherheitsüberprüfungen, strengeren Zugriffskontrollen und Verschlüsselung sowie der Einhaltung von Industriestandards wie ISO 27001 kann dieses Risiko jedoch gemindert werden.

Was ist bei Football Australia passiert?

Im Februar haben Forscher von Cybernews bestätigt Sie hatten ein Datenleck beim australischen Fußballverband aufgedeckt. Der Vorfall wurde durch falsch konfigurierte Amazon Web Services (AWS)-Schlüssel verursacht und 127 sensible Daten-Buckets offengelegt.

Besorgniserregend war, dass in einem dieser Container keinerlei Sicherheitsvorkehrungen getroffen wurden und er personenbezogene Daten (PII) wie Verträge und Pässe von Spielern der australischen Fußballnationalmannschaft enthielt. Zu den weiteren offengelegten Daten gehörten Angaben zu Fans, die Tickets für Spiele gekauft hatten, Quellcodes und Skripte für die digitale Infrastruktur sowie andere Informationen zur Infrastruktur der Organisation. Football Australia behauptet, die Sicherheitslücke geschlossen zu haben, nachdem es eine Warnung der Forscher erhalten hatte.

Cloud-Fehlkonfigurationen sind eine Epidemie

Für unterbesetzte oder überlastete IT-Teams kann es schwierig sein, mit dem rasanten Tempo der Cloud-Innovation Schritt zu halten und sicherzustellen, dass die von ihren Unternehmen genutzten Dienste ordnungsgemäß konfiguriert sind.

„Cloud-Fehlkonfigurationen sind aus verständlichen Gründen weit verbreitet. „Das rasante Tempo der Cloud-Innovation hat die Komplexität rapide erhöht“, sagt Kelly Indah, Sicherheitsanalystin bei Increditools, gegenüber ISMS.online. „AWS allein bietet über 200 Dienste mit jeweils mehreren Konfigurationsoptionen. Viele Unternehmen hatten angesichts dieses Technologie-Tsunamis Schwierigkeiten, ihre internen Fähigkeiten auf dem neuesten Stand zu halten.“

Indah beschreibt auch die Selbstgefälligkeit einiger IT-Experten als Hauptursache für Cloud-Fehlkonfigurationen und warnt: „Die nahtlose Einfachheit der Cloud hat dazu geführt, dass einige die Sorgfalt unterschätzen, die bei der ordnungsgemäßen Absicherung von Umgebungen erforderlich ist.“

Darüber hinaus glauben IT-Experten manchmal fälschlicherweise, dass der Cloud-Anbieter für alle Cybersicherheitsangelegenheiten verantwortlich sei, so Sean Wright, Leiter der Anwendungssicherheit bei Featurespace.

Die Realität sieht jedoch so aus, dass sowohl Anbieter als auch Benutzer eine „gemeinsame Verantwortung“ tragen Cloud sichern Infrastruktur. Wright teilt ISMS.online mit, dass sich Cloud-Anbieter in der Regel um Infrastrukturprobleme wie Hardware, Netzwerk und Software kümmern, während der Benutzer für die Verwaltung von Cloud-Konten und die Gewährleistung sicherer Konfigurationen verantwortlich ist.

Wenn Personen ohne entsprechende Schulung Cloud-Plattformen nutzen, treten zwangsläufig Probleme wie Fehlkonfigurationen auf.

„Bei so vielen verfügbaren Diensten kann es leicht passieren, dass etwas falsch läuft“, argumentiert Wright.

Vance Tran, Mitbegründer von Pointer Clicker, sagt, dass schnelle Cloud-Innovationen dazu geführt haben, dass Anbieter neue Funktionen „schneller veröffentlichen, als Unternehmen Richtlinien aktualisieren und Mitarbeiter schulen können“.

„Darüber hinaus verteilen Unternehmen die Verantwortlichkeiten auf viele Stakeholder ohne ausreichende Kontrolle, was die Aufsicht und Verantwortlichkeit für das Sicherheitskonfigurationsmanagement zu einer Herausforderung macht“, sagt er gegenüber ISMS.online.

Verschiedene Arten von Fehlkonfigurationen

Wenn es darum geht, diese Herausforderung anzugehen, sollten sich IT- und Cybersicherheitsteams einiger häufiger Cloud-Fehlkonfigurationen bewusst sein. Dazu gehören offengelegte Schlüssel und Anmeldeinformationen – laut Football Australia – falsch konfigurierte Zugriffskontrollen, offene Port- und Firewall-Regeln sowie unverschlüsselte sensible Daten im Ruhezustand und bei der Übertragung, sagt Tran von Pointer Clicker.

Eine Reihe von Sicherheitsproblemen können entstehen, wenn IT-Teams zu vielen Menschen den Zugriff auf Cloud-Dienste erlauben oder wenn sie veraltete Ports wie FTP auf ihren Cloud-Hosts verwenden, argumentiert Stephen Pettitt, Vertriebsleiter von M247. Er sagt, dass solche Probleme das Leben von IT-Fachleuten „noch schwieriger“ machen.

Laut Matt Middleton-Leal, Geschäftsführer EMEA Nord bei Qualys, ist es eine wiederkehrende Fehlkonfiguration der Cloud, sensible Daten versehentlich für jedermann zugänglich zu machen.

„Zum Beispiel sind 31 % der AWS S3-Buckets öffentlich zugänglich, was sie potenziellen Sicherheitslücken und Angriffen aussetzt“, sagt er gegenüber ISMS.online. „Öffentliche S3-Buckets machen auch andere Dienste offen – zum Beispiel können EC2-Instanzen und RDS-Datenbanken gefährdet sein, wenn ihre Zugriffsschlüssel, Anmeldeinformationen oder Sicherungsdateien in einem unsicheren S3-Bucket gespeichert werden.“

Indah von Increditools fügt hinzu, dass häufige Probleme wie öffentlich zugängliche Cloud-Speicher-Buckets und das Versäumnis, strengere Zugriffskontrollen durchzusetzen, „eine offene Einladung für Cyberkriminelle darstellen“.

Best Practices können helfen

Wright von Featurespace rät Unternehmen, sicherzustellen, dass nur ausreichend geschulte Fachkräfte Cloud-Plattformen und -Dienste nutzen dürfen. Gelingt dies nicht, rät er zum Aufbau eines Expertenteams, das für eine sichere Cloud-Implementierung sorgen kann.

Tran von Pointer Clicker fügt hinzu, dass Zero-Trust-Sicherheitsmodelle und Netzwerksegmentierung viele Risiken einer Cloud-Fehlkonfiguration mindern können. Die regelmäßige Überprüfung von Cloud-Diensten auf Fehlkonfigurationen und der Einsatz automatisierter Sicherheitstools wie Amazon GuardDuty würden Sicherheitsteams auch dabei helfen, Schwachstellen schnell zu erkennen, fügt er hinzu.

Ein weiterer wichtiger Schritt besteht darin, sicherzustellen, dass funktionsübergreifende Teams gemeinsame Sicherheitsmodelle verstehen.

„Mit der Cloud ist Sicherheit jedermanns Aufgabe“, argumentiert Tran. „Mit der richtigen Kultur und den richtigen Prozessen können selbst kleine Unternehmen in einer sich ständig verändernden Landschaft den Überblick behalten.“

Einführung eines weltweit anerkannten Branchenrahmens wie ISO 27001 kann laut Rob Warcup, Partner bei Leading Edge Cyber, auch die Wahrscheinlichkeit von Cloud-Fehlkonfigurationen verringern. Er sagt gegenüber ISMS.online: „ISO 27001 ist ein großartiger Rahmen, um sicherzustellen, dass alle Grundlagen abgedeckt sind, einschließlich Abschnitt „6.2 Informationssicherheitsbewusstsein, Bildung und Schulung“ und Abschnitt 5.1 Richtlinien für Informationssicherheit.“

Laut Indah von Increditools können Unternehmen durch proaktive Maßnahmen wie regelmäßige Audits, Angriffssimulationen, Schulungen zum Sicherheitsbewusstsein, strenge Zugriffskontrollen und Datenverschlüsselung Fehlkonfigurationen in der Cloud verhindern.

„Mit Wachsamkeit und einem kontinuierlichen Engagement für Best Practices für die Cloud-Sicherheit können Unternehmen verhindern, dass Datendiebstahl Tür und Tor geöffnet wird“, behauptet sie. „Strafen Sie Ihre Cloud-Konfigurationen, bevor Sie zur nächsten Warnung werden.“

Wie Football Australia kürzlich herausfand, können Cloud-Fehlkonfigurationen schwerwiegende Folgen haben. Regelmäßige Überprüfungen auf Sicherheitslücken und die Einhaltung branchenweit anerkannter Sicherheitsstandards wie ISO 27001 sollten Unternehmen dabei helfen, Risiken in diesem schnell wachsenden Teil ihrer Unternehmensangriffsfläche besser zu verwalten.