Cloud Security aus der Praxis

Viele Schweizer Unternehmen haben in den vergangenen Jahren Teile ihrer IT-Infrastruktur in die Cloud verlagert, meist zu Microsoft Azure. Die Migration wurde häufig zügig umgesetzt, ohne die IT-Sicherheit ausreichend an die neuen Rahmenbedingungen anzupassen. So entstehen Sicherheitslücken, die Angreifer gezielt ausnutzen: ungeprüfter Datenverkehr, fehlende Transparenz bei Vorfällen und uneinheitliche Sicherheitsrichtlinien.

In unseren Cloud-Security-Projekten begegnen uns dabei immer wieder dieselben drei Herausforderungen. Hier zeigen wir, welche Erfahrungen wir gesammelt haben und welche Technologien sich bewährt haben.

Ist Ihre Azure-Umgebung genauso geschützt wie Ihr Rechenzentrum?

Der häufigste Weg in die Cloud ist eine hybride Umgebung: Das eigene Rechenzentrum bleibt bestehen, während Azure hinzukommt. Die Verbindung ist schnell eingerichtet, die Anpassung der Sicherheitsmassnahmen wird jedoch häufig aufgeschoben.

In unseren Projekten stellen wir immer wieder fest, dass Azure dadurch zu einer Erweiterung des internen Netzwerks wird, jedoch ohne die Sicherheitskontrollen, die On-Premises selbstverständlich sind. Der Datenverkehr auf der Verbindung zum Rechenzentrum (Backhaul) wird nicht überprüft, innerhalb von Azure (East-West) fehlt eine Segmentierung, und der Verkehr ins Internet (North-South) läuft oft ungeschützt über öffentliche IP-Adressen. Wird ein System in Azure kompromittiert, kann ein Angreifer unbemerkt Daten abfliessen lassen oder sich bis ins interne Firmennetz vorarbeiten.

Unsere Lösung: Wir setzen eine Next-Generation Firewall als zentralen Kontrollpunkt in Azure ein und schützen so alle Verbindungen, ob Backhaul, East-West oder North-South, nach denselben Regeln wie On-Premises.

Wissen Sie, was in Ihrer Cloud tatsächlich passiert?

Bei einem Sicherheitsvorfall stellt sich zuerst die Frage: Was ist genau passiert? In vielen Cloud-Umgebungen lässt sich das kaum beantworten, und je länger die Analyse dauert, desto grösser wird der Schaden.

Die Flow Logs in der Cloud zeigen meist nur Quell-IP, Ziel-IP, Port, Protokoll und ob eine Verbindung erlaubt oder blockiert wurde. Die Firewall-Dienste der Cloud-Anbieter ergänzen je nach Ausbaustufe Domainnamen, vollständige URLs und Bedrohungsmeldungen. Welche Applikation sich tatsächlich hinter einer Verbindung verbirgt, bleibt jedoch häufig unklar.

Unsere Lösung: Wir ergänzen diese um die von einer Next-Generation Firewall erzeugten Logdaten und schaffen so echte Visibilität. Jede Verbindung wird mit der erkannten Applikation und ihrem Inhalt protokolliert. Unsere Kunden sehen auf einen Blick, welche Anwendungen genutzt werden, welche Datenmengen wohin fliessen und wo Bedrohungen auftreten. Vorfälle lassen sich so deutlich schneller nachvollziehen, und alle Logs können zentral an ein bestehendes SIEM weitergeleitet werden.

Haben Sie eine Gesamtsicht über alle Cloud-Umgebungen?

Neben Azure kommen häufig weitere Plattformen wie AWS oder Google Cloud zum Einsatz, jede mit eigenen Sicherheitswerkzeugen, Konsolen und Regelwerken. In unseren Projekten sehen wir, dass Sicherheitsrichtlinien dadurch mehrfach gepflegt werden und mit der Zeit voneinander abweichen. Ein einheitliches Sicherheitsniveau lässt sich so kaum gewährleisten.

Unsere Lösung: Wir setzen auf eine Firewall-Plattform, die sich nahtlos in alle grossen Cloud-Umgebungen einfügt. Über ein zentrales Management definieren wir die Sicherheitsrichtlinien einmalig und setzen sie im Rechenzentrum sowie in allen Clouds einheitlich durch.

Weshalb setzen wir auf Palo Alto Networks?

Die Firewall-Dienste der Cloud-Anbieter haben sich in den letzten Jahren deutlich weiterentwickelt. Die Azure Firewall bietet in der Premium-Variante heute etwa Intrusion Prevention, URL-Filterung und die Inspektion von verschlüsseltem Datenverkehr. In hybriden und Multi-Cloud-Umgebungen bietet Palo Alto Networks aus unserer Erfahrung jedoch entscheidende Vorteile.

• Eine Plattform für alle Umgebungen. Ob im Rechenzentrum, als virtuelle Firewall oder als Cloud-Dienst: Palo Alto setzt überall auf dieselbe Technologie, Policies lassen sich direkt übertragen.
• Sicherheit auf Applikations- und Benutzerebene. Die Firewalls der Cloud-Anbieter filtern nach IP-Adressen, Ports sowie Domainnamen oder URLs. Palo Alto erkennt die verwendete Applikation unabhängig vom Port und ordnet jede Verbindung dem Benutzer zu. Das schafft deutlich mehr Einsicht in den Datenverkehr.
• Integrierte Threat Prevention. Intrusion Prevention, Malware-Analyse, URL-Filterung und DNS Security sind direkt integriert. Die Cloud-Anbieter decken je nach Variante einen Teil davon ab, eine Sandbox-Analyse unbekannter Dateien fehlt dort jedoch.
• Zentrales Management. Über Panorama oder den cloudbasierten Strata Cloud Manager lassen sich sämtliche Firewalls zentral verwalten, On-Premises wie in der Cloud.

Wie kann Asecus unterstützen?

Asecus unterstützt Schweizer Unternehmen seit 1997 beim Schutz vor Cyberattacken. Unser interdisziplinäres Team verfügt über umfassende Erfahrung in der IT-Sicherheit von On-Premises-, Cloud- und hybriden Umgebungen. Wir betreuen über 160 aktive Kunden aus unterschiedlichsten Branchen.

Unsere wichtigste Erkenntnis: Eine Next-Generation Firewall bringt den grössten Nutzen, wenn sie gezielt dort eingesetzt wird, wo die Bordmittel der Cloud an ihre Grenzen stossen. Dabei gehen wir wie folgt vor:

1. Bestandesaufnahme: Wir analysieren die bestehende Umgebung, die Datenflüsse und die Anforderungen.

2. Architektur: Wir definieren, wo die Firewall die Bordmittel der Cloud sinnvoll ergänzt.

3. Umsetzung: Wir integrieren die Firewalls und überführen die Policies, ohne den laufenden Betrieb zu beeinträchtigen.

4. Betrieb: Wir begleiten unsere Kunden und passen die Sicherheitsmassnahmen kontinuierlich an.