Compliance-Management: Cloud-Apps absichern – mit oder ohne Agenten
Wer Container und Infrastrukturen bei Hyperscalern absichern möchte, steht vor der Wahl zwischen agentenlosen und agentenbasierten Werkzeugen.
(Bild: Cathrin Kapell / iX)
- Christoph Puppe
Die IT-Sicherheit befindet sich in einem permanenten Spannungsfeld zwischen der Notwendigkeit granularer Kontrolle und dem Drang nach operativer Geschwindigkeit. Während Containerorchestrierung per Kubernetes und Serverless-Architekturen die Deployment-Frequenz in den Minutenbereich drücken, hinken klassische Sicherheitskonzepte oft Monate hinterher. Der Markt antwortet mit der Fusion ehemals getrennter Disziplinen – Cloud Security Posture Management (CSPM) und Cloud Workload Protection Platform (CWPP) – zur Cloud-native Application Protection Platform (CNAPP).
Allerdings eine schlechte Nachricht für Firmen, die souverän bei EU-Anbietern hosten: Keine CNAPP-Lösung analysiert die mittelständischen Anbieter wie Scaleway, OHV, STACKIT et cetera. Für selbst oder bei mittelständischen Anbietern betriebene Kubernetes-Cluster sieht es besser aus, hier helfen die auf CWPP spezialisierten Werkzeuge.
- Zur Absicherung von Cloud-native-Infrastrukturen hat man die Wahl zwischen agentenlosen Scannern und agentenbasierten Wächtern und somit zwischen reiner Sichtbarkeit und aktiver Gefahrenabwehr zur Laufzeit.
- Compliance ist Pflicht: Alle MaĂźnahmen sollten auf den BSI-Grundschutz abgestimmt sein.
- Die finanzielle Stabilität und die R&D-Quote der Anbieter sind kritische Indikatoren für die Zukunftsfähigkeit; die Implosion der Bewertung von Lacework dient als Warnsignal gegen einen vorschnellen Vendor Lock-in.
Fragte die erste CSPM-Tool-Generation noch systematisch Cloud-APIs ab, um den Ist- gegen den Sollzustand zu prüfen, hat sich die Bedrohungslage fundamental verschoben. Angreifer nutzen nicht mehr nur simple Fehlkonfigurationen, sondern komplexe Identitätsketten und Schwachstellen innerhalb der Laufzeitumgebung aus. Die bloße API-Abfrage, die einen offenen Port meldet, ist wertlos geworden ohne den Kontext, welcher Prozess dort lauscht, welche Bibliotheken geladen sind und welche Rechte die damit verknüpfte Serviceidentität besitzt.
Das war die Leseprobe unseres heise-Plus-Artikels "Compliance-Management: Cloud-Apps absichern – mit oder ohne Agenten". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
