Im Interview: Steve Rymell, Leiter Technologie bei Airbus CyberSecurity„Hybride Architekturen bringen deutlich mehr Komplexität“

Die Digitale Transformation fordert viele Unternehmen heraus: Es gilt die IT-Infrastruktur auf ein Level zu hieven, das den Anforderungen an Innovation und Agilität entspricht. Dabei tritt auch der „Multicloud-Einsatz“ auf den Plan. Doch dürfen Unternehmen das Thema Cyber Security nicht unterschätzen. Steve Rymell, Leiter Technologie bei Airbus CyberSecurity, verdeutlicht im Interview mit line-of.biz (LoB), auf welche Aspekte sich Anwender unbedingt fokussieren sollten.

LoB: Hybride Architekturen verbinden die eigene IT und Public Clouds. Welche Auswirkungen hat das auf die Sicherheit des gesamten Konstrukts?
Rymell: Im Zuge der Digitalisierung und der damit verbundenen Wettbewerbsfähigkeit werden Anforderungen wie Verfügbarkeit, Skalierbarkeit und Automatisierung immer wichtiger. Deswegen werden immer mehr Dienste in Cloud Infrastrukturen verlagert. Firmen verwenden dabei oftmals ihre bestehende IT Infrastruktur und verbinden diese mit den gehosteten Diensten in der Cloud. In der eigenen IT Infrastruktur kann einfacher auf Sicherheitsrichtlinien eingewirkt werden als in Public Clouds. Für die grundlegende Infrastruktur der Cloud sind die Provider verantwortlich, somit wird ein Stück Verantwortung in Sicherheitsfragen an den Cloud Provider abgegeben, somit kann kein direkter Einfluss mehr genommen werden. Bevor sich eine Firma dazu entscheidet, Dienste in eine Public Cloud auszulagern, muss aber zunächst eine Bewertung aus der Sicherheitsperspektive stattfinden.

LoB: Was sind dabei typische Fragestellungen?
Rymell: Es geht um Themen wie „Auf welche Art werden die Schnittstellen der beiden Infrastrukturen abgesichert?“ „Können bestehende Identity und Access Management Lösungen verwendet werden, bzw. werden auch andere Services aus der eigenen Infrastruktur von Diensten der Public Cloud benötigt?“ „Müssen Daten, die in der Cloud entstehen, besonders geschützt werden?“ „ Wie können die Richtlinien der Datenschutzgrundverordnung eingehalten werden?“ „Sind die Applikationen bereits für Public Cloud Infrastrukturen ausgelegt?“ „Auf welche Art und Weise können die oftmals hoch dynamischen Anwendungen überwacht werden?“ „Wie können Network Bottlenecks zwischen der eigenen statischen IT Infrastruktur und der hoch dynamischen Public Cloud Infrastruktur vermieden werden?“ Um hier die richtigen Antworten geben zu können, müssen die Prozesse in Form eines IT Sicherheitskonzepts ausgearbeitet werden, bevor damit begonnen wird, beide Infrastrukturen zu implementieren.

LoB: Wie sieht es in diesem Kontext mit der Komplexität aus – lässt sich das alles beherrschen?
Rymell: Mit zunehmender Verbreitung hybrider Architekturen steigt auch die Komplexität, d.h. die potenzielle Angriffsfläche vergrößert sich dramatisch, während die Absicherung der Perimeter am Rande des Netzwerkes an Bedeutung verliert. Die CISOs stehen nun vor der Herausforderung, dass die Kontroll- und Sicherheitsverantwortung zu einem gemeinsamen Anliegen verbunden werden. Angesichts einer sich ständig verändernden und anspruchsvolleren Bedrohungslandschaft müssen sie daher ihre Richtlinien und Technologieentscheidungen überprüfen um eine integrierte, ganzheitliche und praktikable Sicherheitsstrategie zu schaffen.

Multicloud verkompliziert die Aufgabenstellung

LoB: Noch komplexer wird es bei Multicloud-Konzepten. Was ist da zusätzlich zu beachten?
Rymell: Grundsätzlich versteht man unter Multicloud die Verbindung mehrerer Cloud Implementierungen des gleichen Typs, beispielsweise die Anbindung zwischen zwei Public Cloud- oder zwei Private Cloud-Implementierungen. Prinzipiell ist die Vorgehensweise ähnlich wie bei der ersten Frage. Ähnliche Fragestellungen müssen berücksichtigt werden und in Form eines Sicherheitskonzeptes ausgearbeitet werden. Erst dann sollte die Implementierung der beiden Infrastrukturen stattfinden. Multicloud-Konzepte erhöhen die Komplexität durch die Unterstützung mehrerer Tools, APIs und interner Protokolle. In solchen Szenarien ist es wahrscheinlich, dass je nach Art des verwendeten Cloud-Dienstes, d.h. IaaS, PaaS oder SaaS, unterschiedliche Sicherheitspraktiken erforderlich sind, da es unerlässlich ist, eine vollständige Risikonutzenanalyse durchzuführen.

LoB: Welche Tools sind für Anwenderunternehmen unbedingt nötig – und warum?
Rymell: Im Gegensatz zu den eigenen Rechenzentren eines Unternehmens ist der volle Zugriff auf die Cloud-Umgebungen, die von Drittanbietern betrieben werden, nicht möglich. Cloud-Anbieter bieten zwar grundlegende Metriken an, verfügen aber oft nicht über genügend Kontext und detaillierte Einblicke für die Echtzeit-Überwachung der betrieblichen Abläufe und die Erkennung von Bedrohungen. Cloud Application Security Brokers (CASBs) schließen diese und andere Sicherheitslücken bei der Nutzung von Cloud Services durch Unternehmen. CASBs bieten detaillierte Einblicke in und Kontrolle über Benutzeraktivitäten, konsistente Richtlinien und Governance zeitgleich über mehrere Cloud-Services für Benutzer oder Geräte hinweg.

LoB: Wie lassen sich mit Firewalls die Sicherheitsvorgaben umsetzen?
Rymell: Firewalls sind ein wichtiges Werkzeug für ein Unternehmen zur Erreichung seiner Sicherheitsziele. Firewalls werden verwendet, um Systeme mit unterschiedlichen Trust Levels zu segmentieren; so können Kommunikationsarten und -themen an den Grenzen dieser Trust Zones gesteuert werden. Die offensichtlichste Anwendung ist die Kontrolle des externen Zugangs in das interne Netzwerk eines Unternehmens. Es ist aber auch ratsam, mehrere Sicherheitszonen innerhalb eines internen Netzwerks zu haben – das bedeutet, dass ein Angreifer, wenn er Zugang zu einem Bereich eines Netzwerks erhält, trotzdem daran gehindert wird, sich durch das gesamte Unternehmensnetzwerk zu bewegen. Beispiele für verschiedene Trust Zones können sein: verschiedene Abteilungen (z.B. Buchhaltung & Personal), verschiedene Funktionen – z.B. IT & OT – und die Trennung der wertvollen kommerziellen und proprietären Daten — und somit der wertvollste Besitz des Unternehmens).

LoB: Welche Auswirkungen hat das Thema IIoT für die Sicherheitskonzeption im produzierenden Gewerbe?
Rymell: Sicherheits-Engineering ist eine klar definierte Disziplin, in der Systeme so analysiert und modelliert werden, dass geforderte Sicherheitsstandards zuverlässig und konsistent eingehalten werden. Viele Anwendungen von IIoT sind bislang hauptsächlich darauf konzipiert zusätzliche Informationen in ein System einzubringen, um Themen wie Effizienz, Nutzung und Wartung zu optimieren. Es ist vorrangig wichtig, dass bei der Einführung von IIoT-Geräten in den Bereich sicherheitskritischer Anwendungen die gleichen Standards bei der Zertifizierung der Geräte (z.B. Zuverlässigkeits- und Fehlerstatistiken) für eine bestimmte Funktion angewendet werden und dass der gleiche Analyse- und Modellierungsgrad zum Einsatz kommt. Diese Analyse sollte auch die zusätzliche Cyber-Angriffsfläche berücksichtigen, die beim Hinzufügen dieser IIoT-Geräte in eine Betriebsumgebung entstehen kann.

LoB: Welche Protokolle müssen Firewalls im industriellen Einsatzbereich zusätzlich abdecken?
Rymell: Industrielle Firewalls müssen in der Lage sein, Protokolle zu verstehen, die in den Datenpaketen, die sie verarbeiten, kommuniziert werden. Einfachere Firewalls vom IT-Typ suchen typischerweise nach Indikatoren wie Quell- und Zieladresse und Portnummer, um zu entscheiden, ob das Paket den Sicherheitsparametern entspricht. Auch industrielle Firewalls müssen diese vorrangige Überprüfung durchführen, aber sie muss durch eine Deep-Packet-Inspektion ergänzt werden, um den Kontext der Übertragung zu verstehen. Versucht der Nutzer, ein Befehlspaket zum Starten einer Pumpe oder zum Öffnen eines Ventils zu senden? Darf dieser Nutzer/Endpunkt diese Art von Änderung am System vornehmen? Diese zusätzlichen Inspektionsebenen können wertvolle Sicherheitsfunktionen bieten, einige industrielle Firewalls können so auch eine IDS/IPS-Funktion übernehmen und die Systemsicherheit weiter erhöhen. (rhh)

Airbus CyberSecurity