Das Cloud-Sicherheitsmodell, üblicherweise als Modell der geteilten Verantwortung bezeichnet, teilt die Sicherheitspflichten zwischen dem Cloud-Anbieter und dem Kunden auf. Der Anbieter sichert die physischen Rechenzentren, die Hardware und die Kernplattform. Der Kunde sichert seine eigenen Daten, den Benutzerzugang und die Konfiguration der von ihm genutzten Dienste. Die Aufteilung verschiebt sich je nachdem, ob Sie IaaS, PaaS oder SaaS verwenden.
Wer sichert was in der Cloud
Der Anbieter ist für die Sicherheit der Cloud verantwortlich, also für Gebäude, Hardware, Netzwerk und die Virtualisierungsschicht. Sie sind für die Sicherheit in der Cloud verantwortlich, also dafür, was Sie darauf betreiben und wie Sie es konfigurieren. Kein Servicemodell überträgt die Verantwortung für Ihre Daten oder Benutzerkonten auf den Anbieter.
Wie verändert sich die Aufteilung je nach Servicetyp
Je mehr der Anbieter verwaltet, desto weniger müssen Sie selbst absichern.
| Schicht | IaaS | PaaS | SaaS |
|---|---|---|---|
| Physisch und Netzwerk | Anbieter | Anbieter | Anbieter |
| Betriebssystem | Sie | Anbieter | Anbieter |
| Laufzeit und Anwendung | Sie | Sie | Anbieter |
| Daten und Zugriff | Sie | Sie | Sie |
Ihr Anteil an Daten und Zugriff sinkt nie auf null, weshalb Identitäten und Berechtigungen in jedem Modell Beachtung erfordern.
Was sind die häufigsten Schwachstellen
Die meisten Vorfälle entstehen durch Fehlkonfiguration, nicht durch Angriffe auf den Anbieter. Öffentlich zugängliche Speicher-Buckets, zu weit gefasste Berechtigungen, ungenutzte Zugriffsschlüssel und fehlende Protokollierung tauchen immer wieder auf. Zugangsdaten in Code-Repositories sind eine weitere häufige Ursache.
Welche Kontrollen sollte jedes Team einrichten
Eine kurze Liste deckt den größten Teil des Risikos ab.
- Single Sign-on und Multi-Faktor-Authentifizierung für alle Nutzer.
- Berechtigungen nach dem Prinzip der minimalen Rechtevergabe, die regelmäßig überprüft werden.
- Verschlüsselung ruhender und übertragener Daten mit verwalteten Schlüsseln.
- Zentrale Protokollierung und Benachrichtigungen bei ungewöhnlichen Aktivitäten.
- Infrastruktur als Code definiert, damit Einstellungen wie jede andere Änderung überprüft werden.
- Regelmäßige Backups mit getesteter Wiederherstellung.
Welchen Bezug hat das zu einer Migration
Eine Migration überführt Systeme in ein Modell, in dem diese Pflichten ab dem ersten Tag gelten. Planen Sie die Kontostruktur, Zugriffsregeln und Protokollierung, bevor der erste Workload migriert wird, wie der Leitfaden zur Cloud-Migration beschreibt. Die Wahl der Hosting-Form verändert ebenfalls Ihren Anteil, was unter Vor- und Nachteile von Web-Hosting-Formen behandelt wird.
Wie beginnt man mit der Absicherung eines neuen Cloud-Kontos
Beginnen Sie mit der Kontostruktur. Trennen Sie Produktion von Test, weisen Sie jedem Bereich eigene Konten oder Projekte zu und aktivieren Sie die Protokollierung, bevor irgendetwas ausgeführt wird. Erstellen Sie Rollen für Personen und Dienste, und ersetzen Sie langlebige Zugriffsschlüssel überall dort, wo eine Rolle sie ersetzen kann.
Fügen Sie anschließend Schutzmaßnahmen hinzu, die für alles gelten, etwa das standardmäßige Blockieren öffentlicher Speicher und das Erzwingen von Verschlüsselung. Solche Schutzmaßnahmen verhindern Fehler, bevor sie die Produktion erreichen, was kostengünstiger ist, als sie später in einem Review zu entdecken.
Woran erkennt man, dass es funktioniert
Testen Sie Ihre Kontrollen nach einem festen Zeitplan. Versuchen Sie, ein Backup wiederherzustellen, überprüfen Sie, wer Administratorrechte besitzt, führen Sie einen Scan nach öffentlich zugänglichen Ressourcen durch und üben Sie die Schritte bei einem geleakten Zugangsdaten-Vorfall. Eine Kontrolle, die nie getestet wurde, ist eine Annahme.
Halten Sie ein kurzes schriftliches Runbook für die erste Stunde eines Vorfalls bereit, einschließlich der Angabe, wer entscheidet, welche Schlüssel zu widerrufen sind und wo sich die Logs befinden.
Was bedeutet das, wenn Sie Engineers einstellen
Cloud-Sicherheit erfordert Ingenieure, die Konfiguration als Code behandeln und sorgfältig überprüfen. Miyagami vermittelt erfahrene Ingenieure über die Seiten DevOps engineers und AWS engineers, in Vollzeit ab €5.600 pro Monat bei einer Mindestlaufzeit von drei Monaten. Jeder Ingenieur wird von einem AI-native Tech Lead geprüft, der täglich mit KI arbeitet, wie auf how we vet erläutert. Wir sind ISO 27001-zertifiziert und arbeiten DSGVO-konform mit EU-Datenhaltung.
Kurze Antworten
Was ist das Modell der geteilten Verantwortung?
Es ist die Aufteilung der Sicherheitsaufgaben zwischen dem Cloud-Anbieter und dem Kunden. Der Anbieter sichert die Plattform, und der Kunde sichert das, was er darauf betreibt.
Wer ist für Daten in der Cloud verantwortlich?
Der Kunde, in jedem Service-Modell. Der Anbieter verwaltet nicht, wer in Ihrem Unternehmen Zugriff auf Ihre Daten hat.
Was verursacht die meisten Cloud-Sicherheitsvorfälle?
Fehlkonfigurationen und schwache Zugriffskontrollen, wie öffentlich zugängliche Storage-Buckets und zu weitreichende Berechtigungen.
Ändert sich das Modell je nach Service-Typ?
Ja. Die größte Verantwortung tragen Sie bei IaaS und die geringste bei SaaS.
