Schwaches Identity and Access Management als die Ursache für erfolgreiche AngriffeTipps zur Sicherung von Cloud-Umgebungen

Das Identity and Access Management (IAM) wird in der Cloud oft noch stiefmütterlich behandelt, warnen die Sicherheitsspezialisten von Radware. Und dies, obwohl nach einer eigenen Studie bereits 70 Prozent aller Produktivanwendungen in öffentlichen Clouds betrieben werden. Das bedeutet, dass Cloud-Sicherheit zunehmend zum Synonym für Cyber-Sicherheit wird. Laut Gartner werden bis 2023 drei Viertel aller Sicherheitsmängel in der Cloud auf eine unzureichende Verwaltung von Identitäten, Zugriffen und Berechtigungen zurückzuführen sein.

In der öffentlichen Cloud gehostete Workloads sind jetzt per Definition remote. Der gesamte Zugriff erfolgt über eine Remote-Verbindung unter Verwendung von Mechanismen und APIs, die vom Hosting-Anbieter der öffentlichen Cloud bereitgestellt werden. Administratoren haben keine physische Kontrolle mehr über ihre Ressourcen, und der gesamte Zugriff auf ihre Ressourcen erfolgt aus der Ferne.

Hacker, böswillige Akteure und andere nicht autorisierte Dritte können jedoch grundsätzlich über dieselben standardisierten Protokolle, APIs und Zugriffsmethoden auf dieselben Ressourcen zugreifen. Der Schutz vor Bedrohungen in der öffentlichen Cloud beginnt daher laut Radware mit der Sicherung von Berechtigungen und dem Identitäts- und Zugriffsmanagement. In der Praxis zeigen sich hauptsächlich die folgenden Herausforderungen:

• Übermäßige Berechtigungen für Benutzer, die nicht benötigt werden,
• Fehlkonfigurationen von Cloud-Umgebungen und Sicherheitsrichtlinien des Kunden,
• öffentliche Freigabe von Assets ohne angemessene (oder gar keine) Sicherheitskontrollen sowie
• „exzessive Berechtigungen“.

Die Verwaltung von Zugriffsrechten ist ein wichtiges Thema für die IT-Sicherheit, unabhängig davon, wo Anwendungen gehostet werden. Um möglichst agiles Arbeiten zu ermöglichen, erteilen Cloud-Administratoren den Benutzern jedoch häufig weitreichende Berechtigungen.

Tatsächlich nutzen die meisten Benutzer nur einen kleinen Teil davon und haben keinen geschäftlichen Bedarf an allen Berechtigungen. Dies stellt eine schwerwiegende Sicherheitslücke dar, wenn diese Benutzeranmeldeinformationen in böswillige Hände fallen; Angreifer hätten dann umfassenden Zugriff auf sensible Daten und Ressourcen.

IAM-Fehlkonfigurationen

Aufgrund des schnellen Wandels in der Cloud und der Ungewissheit, wer für welche Sicherheitsaspekte verantwortlich ist, sind viele Organisationen anfällig für Fehlkonfigurationen in der Cloud. IAM ist dabei für viele ein besonderes Problem, da es etliche Konfigurationsmöglichkeiten und potenzielle Fallstricke gibt, darunter Passwortrichtlinien, Fehlkonfigurationen bei der Benutzerauthentifizierung, Protokollierungs- und Berichtslücken usw.

Öffentliche Zugänglichkeit

Das nächste Problem ist die öffentliche Exposition von Assets, also die versehentliche Offenlegung von Workloads ohne angemessene Sicherheitsmaßnahmen. Durch die Verlagerung in die Cloud befinden sich Systeme und Anwendungen außerhalb des unmittelbaren Einflussbereichs des Unternehmens. Ein zentrales Problem ist daher der Schutz vor der öffentlichen Zugänglichkeit dieser Ressourcen und die Gewährleistung, dass nur diejenigen Zugriff haben, die auch Zugriff haben sollen.

Die Migration in die Cloud wird jedoch häufig von dem Wunsch nach mehr Agilität und Flexibilität angetrieben. Das hat zur Folge, dass Unternehmen den Zugang zu ihren Systemen nicht immer richtig absichern. Laut Gartner wird bis 2021 die Hälfte aller Unternehmen unwissentlich und fälschlicherweise IaaS-Speicherdienste, -Anwendungen oder -APIs direkt dem öffentlichen Internet ausgesetzt haben.

„Wenn mehr als zwei Drittel aller produktiven Anwendungen in der Cloud laufen, gibt es für sie keinen Perimeter-Schutz mehr“, so Michael Gießelbach, Regional Manager DACH bei Radware. „Hier nimmt das Identity and Access Management eine Schlüsselposition bei der gesamten Cybersecurity ein. Wer Zugangsrechte nicht auf das Nötigste beschränkt und die Zugangsdaten nicht adäquat sichert, präsentiert Angreifern seine Anwendungen auf dem Silbertablett.“ (rhh)

Radware