Prüftools zur automatisierten Untersuchung großer Cloud-Umgebungen
Prüftools wie ScoutSuite oder Prowler helfen beim Aufspüren von Sicherheitslücken in Cloudumgebungen wie Microsoft Azure oder Amazon Web Services (AWS).
- Viktor Rechel
"Die Cloud" ist noch immer für viele Unternehmen die erste Wahl, wenn es darum geht, ihre Systeme effizient auszulagern, Ressourcen zu sparen, auf externes Know-how zu setzen und eine sicherere Umgebung zu betreiben. Vor allem im Hinblick auf Sicherheitsaspekte vertrauen die Unternehmen dabei häufig auf die Betreiber der Cloud-Plattform und deren Know-how in Sachen sicherer Betrieb von IT-Umgebungen.
Das Shared Responsibility Model beschreibt jedoch die Problematik, dass bei Cloud-Umgebungen von Anbietern wie Microsoft Azure, Amazon Web Services (AWS), Google Cloud Platform (GCP) und anderen nicht gewährleistet ist, dass der Betreiber sein (ungewisses) Know-how auch für die Absicherung der Kundenumgebungen einbringt. Stattdessen stehen Unternehmen bei den eigenen Komponenten auch selbst in der Pflicht. Bei Cloud-Umgebungen und den darin enthaltenen Funktionen gilt nicht immer das Security-by-Default-Prinzip.
- Unternehmen müssen trotz der Sicherheitsmaßnahmen von Cloud-Anbietern wie AWS, Azure oder GCP selbst Verantwortung für die Absicherung ihrer Cloud-Umgebungen übernehmen.
- Automatisierung ist unverzichtbar. Tools wie ScoutSuite und Prowler helfen, Schwachstellen aufzudecken.
- Während ScoutSuite für kleinere Umgebungen und erste Prüfungen geeignet ist, empfiehlt sich Prowler für komplexere Set-ups mit mehreren Cloud-Providern und regelmäßigen Audits.
Eigenverantwortliche Prüfungen müssen sicherstellen, dass die Konfiguration ausreichend sicher gewählt ist. Die Ansprüche des Unternehmens und der Prozesse können sich unterscheiden, wodurch eine eigene Bewertung notwendig ist. Für Cloud-Umgebungen müssen mindestens die gleichen Ansprüche wie bei internen Systemen gelten – im Zweifel aufgrund der exponierten Lage auch höhere Ansprüche.
Das war die Leseprobe unseres heise-Plus-Artikels "Prüftools zur automatisierten Untersuchung großer Cloud-Umgebungen". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
