Häufige Cloud-Fehlkonfigurationen und wie man sie vermeidet

Unternehmen verlagern ihren IT-Betrieb zunehmend auf IaaS (Infrastructure-as-a-Service)-Lösungen. Gartner schätzt, dass bis 2022 etwa 60 % der Unternehmen Cloud-verwaltete Angebote nutzen werden, was einer Verdoppelung der erfassten Nutzung im Jahr 2018 entspricht.

Cloud-Angebote wie Amazon Web Services (AWS) sind in der Regel sicher. Da IaaS jedoch ein gemeinsames Sicherheitsmodell verwendet, besteht eine große Wahrscheinlichkeit von Problemen mit der Datensicherheit, einschließlich Bedenken hinsichtlich der Cybersicherheit und der Arbeitslast. Fehlkonfigurationen bei der Migration zu Cloud-nativen Umgebungen können unbeabsichtigt zu Cybersicherheitslücken führen.

Fehlkonfigurationen sind nicht nur ein theoretisches Problem des Cloud Computing. Die Studie von McAfee zur Unternehmenssicherheit zeigt, dass ein typisches Unternehmen monatlich mit etwa 3.500 Vorfällen konfrontiert ist. In der Studie gaben 90 % der Unternehmen an, dass sie IaaS-Sicherheitsprobleme hatten.

Daher kann die richtige Konfiguration der Cloud-Migration zukünftige IaaS-Sicherheitsprobleme erheblich reduzieren und Ihre digitale Transformation vorantreiben.

Fehlkonfiguration der Cloud - eine große Sicherheitsbedrohung

Cloud-Fehlkonfigurationen beziehen sich auf alle Störungen, Lücken oder Fehler, die Ihre Umgebung während der Cloud-Einführung Risiken aussetzen könnten. Diese Cyberbedrohungen treten in Form von Sicherheitsverletzungen, externen Hackern, Ransomware, Malware oder Insider-Bedrohungen auf, die Schwachstellen nutzen, um auf Ihr Netzwerk zuzugreifen.

Die NSA betrachtet Cloud-Fehlkonfigurationen als eine der führenden Schwachstellen in einer Cloud-Umgebung. Obwohl diese Risiken oft weniger groß sind, geht die Prävalenz der Probleme in der Regel durch die Decke.

Fehlkonfigurationen sind ein Cloud-Computing-Problem, da Multi-Cloud-Umgebungen ziemlich kompliziert sein können und es schwierig sein kann, Fehler zu erkennen und manuell zu beheben. Laut einer Gartner-Umfrage sind diese Probleme für 80 % aller Datensicherheitsverletzungen verantwortlich, und bis 2025 werden bis zu 99 % der Ausfälle in Cloud-Umgebungen auf menschliche Fehler zurückzuführen sein.

Dies ist schwierig, wenn man bedenkt, dass es keine einmalige Lösung für Probleme mit Cloud-Fehlkonfigurationen wie Cloud-Lecks gibt. Es wäre jedoch hilfreich, Sicherheitsverfahren in der Build-Phase zu implementieren. DevOps- und Sicherheitsteams müssen also zusammenarbeiten.

Erfahren Sie mehr über die häufigsten Fehlkonfigurationen, die Datenschutzverletzungen verursachen >

Häufige Cloud-Fehlkonfigurationen und ihre Lösungen

Lassen Sie uns einen detaillierten Einblick in die häufigsten Cloud-Fehlkonfigurationen geben, mit denen Sie sich wahrscheinlich bei der Migration zu einer Cloud-Umgebung auseinandersetzen müssen.

1. Uneingeschränkte eingehende Ports

Alle Ports, die für das Internet offen sind, können potenziell problematisch sein. Cloud-Dienste verwenden meist UDP- oder TCP-Ports mit hoher Anzahl, um Expositionsrisiken zu vermeiden, aber entschlossene Hacker können sie immer noch ausspionieren. Verschleierung kann hilfreich sein, reicht aber allein nicht aus.

Wenn Sie zu einer Multi-Cloud-Umgebung migrieren, stellen Sie sicher, dass Sie die gesamte Bandbreite der offenen Ports kennen, und schränken Sie dann diejenigen ein oder sperren Sie sie, die nicht unbedingt erforderlich sind.

2. Uneingeschränkte ausgehende Ports

Diese Ports bieten Möglichkeiten für Sicherheitsereignisse wie Datenexfiltration, laterale Bewegungen und interne Netzwerkscans, sobald es zu einer Systemkompromittierung kommt. Das Gewähren von ausgehendem Zugriff auf RDP oder SSH ist eine häufige Fehlkonfiguration in der Cloud. Anwendungsserver müssen selten SSH mit anderen Netzwerkservern verbinden, daher ist es nicht erforderlich, offene ausgehende Ports für SSH zu verwenden.

Stellen Sie sicher, dass Sie den Zugriff auf ausgehende Ports einschränken und das Prinzip der geringsten Rechte verwenden, um die ausgehende Kommunikation einzuschränken.

3. Verwaltung von "Geheimnissen"

Dieses Konfigurationsproblem kann für Ihre Organisation schädlich sein. Die Sicherung von Geheimnissen wie API-Schlüsseln, Passwörtern, Verschlüsselungsschlüsseln und Administratoranmeldeinformationen ist unerlässlich. Die meisten Unternehmen nutzen diese jedoch offen über kompromittierte Server, schlecht konfigurierte Cloud-Buckets, HTML-Code und GitHub-Repositories. Dies ist genauso riskant, wie den Riegelschlüssel Ihres Hauses an Ihrer Haustür kleben zu lassen.

Sie können dies umgehen, indem Sie ein Inventar aller Ihrer Unternehmensgeheimnisse in der Cloud führen und regelmäßig bewerten, wie sie gesichert sind. Andernfalls könnten Bedrohungsakteure leicht in Ihre Systeme eindringen, auf Ihre Daten zugreifen und Ihre Cloud-Ressourcen überrennen, um irreversiblen Schaden anzurichten.

Sie können auch Lösungen und Services für die Verwaltung von Geheimnissen wie Hashicorp Vault, AWS Secrets Manager, Azure Key Vault und AWS Parameter Store verwenden.

4. Deaktivierte Überwachung und Protokollierung

Überraschenderweise gelingt es den meisten Unternehmen nicht, die Telemetriedaten und -protokolle zu konfigurieren, zu aktivieren oder zu überprüfen, die von Public Clouds angeboten werden, die anspruchsvoll sein können. Es wäre hilfreich, jemanden zu haben, der für regelmäßige Überprüfungen und die Kennzeichnung sicherheitsrelevanter Vorfälle verantwortlich ist.

Dieser wertvolle Tipp gilt nicht nur für IaaS Public Clouds. Sie erhalten die gleichen Informationen auch von Storage-as-a-Service-Anbietern, die Sie ebenfalls regelmäßig überprüfen müssen. Eine Wartungswarnung oder ein Update-Bulletin kann tiefgreifende Auswirkungen auf die Sicherheit Ihres Unternehmens haben, aber es hilft nicht, wenn niemand darauf achtet.

5. ICMP offen gelassen

Das ICMP (Internet Control Message Protocol) meldet Fehler von Netzwerkgeräten, ist aber ein häufiges Ziel für Bedrohungsakteure. Dies liegt daran, dass das Protokoll zwar anzeigen kann, ob Ihr Server reaktionsschnell und online ist, Cyberkriminelle es aber auch verwenden können, um einen Angriff zu lokalisieren.

Darüber hinaus ist es auch ein Angriffsvektor für Denial-of-Service (DDoS) und viele Arten von Malware. Eine Ping-Flood oder ein Ping-Sweep kann Ihre Server mit ICMP-Nachrichten überlasten. Obwohl es sich um eine veraltete Angriffsstrategie handelt, ist sie immer noch effektiv. Stellen Sie also sicher, dass Ihre Cloud-Konfiguration ICMP blockiert.

6. Unsichere automatisierte Backups

Insider-Bedrohungen für Ihre Cloud-Umgebung sind ein allgegenwärtiges Cybersicherheitsrisiko. Laut McAfee haben etwa 92 % der Unternehmen die Anmeldeinformationen ihrer Mitarbeiter im Darknet verkauft. Ein Bereich, in dem Insider-Bedrohungen besonders schädlich sein können, ist die unzureichende Sicherung automatisierter Cloud-Daten.

Möglicherweise haben Sie Ihre Stammdaten geschützt, aber schlecht konfigurierte Backups bleiben versehentlich anfällig und Insider-Bedrohungen ausgesetzt.

Stellen Sie bei der Migration in die Cloud sicher, dass Ihre Backups verschlüsselt sind, egal ob im Ruhezustand oder während der Übertragung. Überprüfen Sie außerdem die Berechtigungen, um den Zugriff auf die Sicherungen einzuschränken.

7. Zugriff auf die Speicherung

Die meisten Cloud-Benutzer sind der Meinung, dass "authentifizierte Benutzer" nur diejenigen abdecken, die bereits in den relevanten Anwendungen oder Organisationen in Bezug auf Speicher-Buckets authentifiziert sind. Leider ist dies nicht der Fall.

"Authentifizierte Benutzer" bezieht sich auf jede Person mit AWS-Authentifizierung, im Wesentlichen auf jeden AWS-Client. Aufgrund dieses Missverständnisses und der daraus resultierenden Fehlkonfiguration der Steuerungseinstellungen kann es vorkommen, dass Ihre Speicherobjekte vollständig für den öffentlichen Zugriff verfügbar sind. Seien Sie besonders vorsichtig, wenn Sie den Zugriff auf Speicherobjekte so festlegen, dass er nur den Personen in Ihrer Organisation gewährt wird.

8. Fehlende Bestätigung

Dieser Cloud-Konfigurationsfehler ist ein Metaproblem: Die meisten Unternehmen erstellen und implementieren keine Systeme, um Fehlkonfigurationen zu identifizieren, wann immer sie auftreten. Unabhängig davon, ob es sich um einen externen Prüfer oder eine interne Ressource handelt, benötigen Sie jemanden, der überprüft, ob Berechtigungen und Dienste ordnungsgemäß konfiguriert und bereitgestellt werden.

Erstellen Sie einen Zeitplan, der sicherstellt, dass die Validierung wie am Schnürchen erfolgt, da Fehler unvermeidlich sind, wenn sich die Cloud-Umgebung weiterentwickelt. Sie benötigen auch einen strengen Prozess der regelmäßigen Überprüfung von Cloud-Konfigurationen. Andernfalls können Sie eine Sicherheitslücke hinterlassen, die Cyberkriminelle ausnutzen können.

9. Unbegrenzter Zugriff auf Nicht-HTTPS/HTTP-Ports

Webserver dienen dazu, Webdienste und Websites im Internet zu hosten, zusammen mit anderen Diensten wie RDP oder SSH für Datenbanken oder Verwaltung. Sie müssen jedoch den Zugriff auf jeden Teil des Internets blockieren.

Falsch konfigurierte Ports können Ihre Cloud-Infrastruktur für böswillige Akteure öffnen, die versuchen, die Authentifizierung mit Brute-Force zu erzwingen oder auszunutzen. Wenn Sie diese Ports für das Internet öffnen, stellen Sie sicher, dass Sie sie so beschränken, dass sie Datenverkehr von bestimmten Adressen, z. B. Ihrem Büro, akzeptieren.

10. Übermäßig freizügiger Zugriff auf virtuelle Maschinen, Container und Hosts

Würden Sie einen virtuellen oder physischen Server in Ihrem Rechenzentrum direkt mit dem Internet verbinden, ohne ihn durch eine Firewall oder einen Filter zu schützen? Wahrscheinlich würden Sie das nicht tun, aber genau das tun die Menschen in ihren Cloud-Infrastrukturen ständig.

Einige der häufigsten Beispiele sind:

Aktivieren von Legacy-Protokollen und Ports wie FTP auf Cloud-Hosts
Legacy-Protokolle und -Ports wie rexec, rsh und telnet in physischen Servern, die virtuell gemacht und in die Cloud verschoben wurden
Bereitstellen von etcd (Port 2379) für Kubernetes-Cluster für das öffentliche Internet

Sie können diesen Fehler bei der Cloud-Konfiguration vermeiden, indem Sie wichtige Ports sichern und veraltete, unsichere Protokolle in Ihrer Cloud-Umgebung auf die gleiche Weise deaktivieren (oder zumindest sperren), wie Sie es auch bei Ihrem lokalen Rechenzentrum tun würden.

11. Aktivieren von zu vielen Cloud-Zugriffsberechtigungen

Ein großer Vorteil von Cloud Computing ist die einfache Skalierbarkeit. Diese Einfachheit der Erweiterung ist jedoch nicht ohne Nachteile. Wenn Cloud-Umgebungen immer größer und komplexer werden, verlieren Administratoren schnell den Überblick über die Systemkontrollen.

Mangelnde Transparenz erschwert es Administratoren, Berechtigungen zu überprüfen und den Zugriff einzuschränken. Möglicherweise ist es auch einfacher, Standardberechtigungseinstellungen für alle Benutzer zu aktivieren, um einen Zustrom von Zugriffsanfragen zu vermeiden.

Unnötige Berechtigungen erhöhen das Risiko von Insider-Bedrohungen, die zu Cloud-Lecks und Datenschutzverletzungen führen können.

Unternehmen sollten sich um die Einführung der neuen SASE-Architektur (Secure Access Service Edge) bemühen, die eine effizientere Cloud-Sicherheit ermöglicht, einschließlich der Verwendung von Cloud Access Service Brokers (CASBs) und Cloud Security Posture Management (CSPM)-Lösungen zur Verwaltung von Benutzerberechtigungen in Multi-Cloud-Umgebungen.

12. Subdomain-Hijacking (auch bekannt als baumelndes DNS)

Eine häufige Ursache für diese Art von Cyberangriffen ist, wenn ein Unternehmen eine Subdomain von seinem virtuellen Host (z. B. AWS, Azure, Github usw.) löscht, aber vergisst, die zugehörigen Datensätze aus dem Domain Name System (DNS) zu löschen.

Sobald der Angreifer die ungenutzte Subdomain entdeckt, kann er sie über die Hosting-Plattform erneut registrieren und Benutzer auf ihre eigenen bösartigen Webseiten umleiten.

Ein solches Hijacking kann zu Malware-Injektionen oder Phishing-Angriffen auf ahnungslose Benutzer führen und dem ursprünglichen Subdomain-Besitzer einen schweren Reputationsschaden zufügen.

Um Subdomain-Hijacking zu vermeiden, sollten Unternehmen immer daran denken, DNS-Einträge für alle Domains und Subdomains zu löschen, die nicht mehr verwendet werden.

13. Fehlkonfigurationen, die für Ihr(e) Cloud-Anbieter spezifisch sind

Während Fehlkonfigurationen wie offene Ports und übermäßig freizügiger Zugriff auf alle Cloud-Anbieter anwendbar sind, gibt es viele Fehlkonfigurationen, die spezifischer für die von Ihnen verwendeten Dienste sind. Die standardmäßigen Einstellungen für den öffentlichen Zugriff für S3-Buckets sind beispielsweise ein bekannter AWS-Fehler.

Unternehmen sollten Cloud-Fehlkonfigurationen speziell für ihre Cloud-Dienstanbieter untersuchen.

Im Folgenden sind einige häufig bekannte Fehlkonfigurationen für beliebte Cloud-Anbieter verlinkt.

Klicken Sie hier, um mehr über häufige Amazon AWS-Fehlkonfigurationen zu erfahren.

Klicken Sie hier, um mehr über häufige Microsoft Azure-Fehlkonfigurationen zu erfahren.

Klicken Sie hier, um mehr über häufige Google Cloud-Fehlkonfigurationen zu erfahren.

So schützen Sie Ihre Daten vor Cloud-Fehlkonfigurationen

Die folgenden Expertenempfehlungen helfen Ihnen, Ihre Cloud-Umgebung sicher zu konfigurieren und ihre Sicherheit zu gewährleisten:

Vergessene Services - Entwicklungs- und Betriebsteams erstellen meist neue Cloud-Anwendungen und -Server, konfigurieren sie und überprüfen die Konfiguration dann nicht erneut. Stellen Sie sicher, dass Sie wissen, wo sich Ihre Cloud-Services und -Assets befinden und wie sie sich befinden.

Entwicklung von Richtlinien und Vorlagen: IT-Führungskräfte müssen funktionierende Sicherheitseinstellungen in die grundlegenden Konfigurationseinstellungen ihrer Umgebungen übertragen, damit zukünftige Instanzen einer Cloud-Infrastruktur oder -Anwendung von den Erfahrungen aus der Vergangenheit profitieren können.

Automatisieren Sie Sicherheits- und Konfigurationsprüfungen - Agile Entwicklungsansätze nutzen eine umfassende Automatisierung, um sicheren Code zu erstellen und bereitzustellen. Stellen Sie daher sicher, dass Sie Ihre laufende Infrastruktur und Anwendungen auf Sicherheit und Compliance überprüfen. Hier kann Automatisierung von Vorteil sein.

Nutzen Sie Anbieter-Tools - Sie müssen verstehen, in welchem Ausmaß Sie Ihre Sicherheitsverantwortung mit dem Cloud-Anbieter teilen. Bei Infrastructure-as-a-Service-Clouds liegt mehr Verantwortung beim Kunden, während der Cloud-Service-Provider in erster Linie SaaS-Angebote verwaltet.

Durchführung von Risikobewertungen - Cybersicherheitsrisikobewertungen helfen Ihnen, potenzielle Bedrohungen in Ihrem Cloud-Speicher und anderen Infrastrukturbereichen zu identifizieren, wenn Sie Ihre Daten und Abläufe in die Cloud migrieren.

Bedrohungen existieren auch bei hervorragender Konfiguration

Wenn Sie sich über die verschiedenen Fehlkonfigurationen während der Cloud-Migration informieren und diese vermeiden, können Sie die meisten Sicherheitslücken identifizieren und beseitigen. Es ist jedoch fast unmöglich, Cloud-Sicherheitsrisiken zu beseitigen. Dies ist ein Hauptgrund, warum die Überwachung des Netzwerkverkehrs unerlässlich ist.

Entscheidungsträger können eine kontinuierliche Überwachung nutzen, die den gesamten Umfang ihres Unternehmensnetzwerks abdeckt, von jedem Gerät am Edge bis zum Cloud-Kern, um Inkonsistenzen oder ungewöhnliche Aktivitäten zu erkennen, die auf Sicherheits- und Fehlkonfigurationsprobleme hinweisen.

Netzwerkadministratoren können wichtige Cybersicherheitskennzahlen bewerten und wirksame Abhilfemaßnahmen für diese Probleme ergreifen, bevor sie Cloud-Datenschutzverletzungen, DDoS-Angriffe, Ransomware- und Malware-Injektionen oder andere Cyberangriffe mit weitreichenden Auswirkungen verursachen.

Eine automatisierte Lösung wie UpGuard kann dazu beitragen, Ihre Angriffsfläche zu minimieren und Cloud-Gefährdungen von Drittanbietern durch Echtzeitüberwachung und optimierte Behebungsworkflows zu verwalten.