- Anzeige -


Sie sind hier: Startseite » Markt » Tipps und Hinweise

Sicherung von Cloud Assets


CyberArk warnt vor Cyber-Attacken auf Cloud Computing-Umgebungen
Attacke gegen Managed Services und Cloud Provider

- Anzeigen -





Privilegierte Benutzerkonten und Zugangsdaten für die Administration von Cloud Services sind attraktive Ziele für Cyber-Angreifer. Viele Unternehmen unterschätzen die Gefahr, warnt CyberArk. Erst im Mai 2017 hat das Bundesamt für Verfassungsschutz (BfV) in seinem "Cyber-Brief" vor einer aktuellen Angriffskampagne gegen IT-Dienstleister gewarnt. Betroffen seien vor allem Managed Services und Cloud Provider. Auch wenn solche Angriffe bisher vorwiegend in den USA, Japan, Großbritannien und Indien zu beobachten seien, gebe es Hinweise, dass zunehmend auch Deutschland betroffen ist.

"Die Einschätzung des BfV teilen wir voll und ganz. Viele Unternehmen gehen davon aus, dass sie bei einer Auslagerung der IT in die Cloud aller Sorgen hinsichtlich Sicherheit ledig sind. Ein Trugschluss, und zwar ein äußerst gefährlicher", erklärt Michael Kleist, Regional Director DACH bei CyberArk in Düsseldorf. "An der Implementierung konsistenter Sicherheitsmaßnahmen über Cloud- und On-Premises-Umgebungen hinweg führt kein Weg vorbei."

Eine zentrale Maßnahme zur Abwehr von Attacken ist laut CyberArk die Sicherung privilegierter Benutzerkonten und Zugangsdaten, die in vielen Fällen das erste Ziel von Angreifern sind; zu nennen sind hier beispielsweise privilegierte Zugangsdaten, die für die Administration von Cloud Computing-Services wie Infrastructure-as-a-Service (IaaS) oder Database as a Service genutzt werden.

Der Begriff "privilegierte Zugangsdaten" ist dabei weit zu fassen, es geht nicht nur um Administrator-Passwörter, sondern zum Beispiel auch um APIs, SSH-Keys und Application Accounts, also in Applikationen eingebettete

Bei Public Clouds erfolgt der Zugang von Unternehmen zur Cloud Computing-Infrastruktur oft automatisch über Schnittstellen und APIs mit privilegierten Zugangsdaten. Möglich ist aber auch ein manueller Zugriff auf Cloud-Services über Management-Konsolen. In beiden Fällen aber gilt: Der privilegierte Zugang muss adäquat verwaltet, gesichert und überwacht werden.

Die Sicherung von Cloud Assets muss für ein Unternehmen immer mit der Sicherung administrativer Privilegien beginnen, das heißt, privilegierte und administrative Zugangsdaten, die für die Zugriffsauthentifizierung auf Managementkonsolen und APIs verwendet werden, sollten immer in einem sicheren Vault gespeichert werden und nach jeder Verwendung geändert werden.

Ebenso wichtig ist die Eliminierung der in Applikationen, Konfigurationsdateien oder Skripten eingebetteten Credentials, die für den Zugriff auf andere Systeme, etwa Datenbanken, benötigt werden. Solche Zugangsdaten wie Passwörter, Zertifikate oder API-Schlüssel finden sich oft sogar in Klartext. Die damit verbundene Gefahr liegt auf der Hand. Somit sollten auch alle statischen Passwörter beseitigt und sämtliche Application Accounts – wie privilegierte Zugangsdaten von IT-Administratoren auch – zentral abgelegt, verwaltet und regelmäßig geändert werden.

"Unternehmen verkennen oft, dass bei der Cloud-Sicherheit eine geteilte Verantwortlichkeit gilt", so Kleist. "Klar ist der Provider verantwortlich für die Sicherheit der Cloud; dazu gehören die Computing-, Storage- und Netzwerk-Ressourcen, die physikalische Infrastruktur und die sichere Bereitstellung von Services. Aber auch das auslagernde Unternehmen muss sich seiner Verantwortung bewusst sein und die sichere Nutzung von Cloud Services gewährleisten, vor allem hinsichtlich der Sicherung der privilegierten Zugangsdaten von IT-Administratoren, Applikationen und Konfigurationsdateien. (CyberArk: ra)

eingetragen: 27.09.17
Home & Newsletterlauf: 17.10.17


CyberArk: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>



Meldungen: Tipps und Hinweise

  • Sichere SD-WAN-Bereitstellung

    Unternehmen, deren Standorte landes- oder weltweit verteilt sind, verbinden diese häufig seit Jahren, wenn nicht seit Jahrzehnten, per MPLS-Leitungen (Multiprotocol Label Switching). Doch vor allem durch den steigenden Einsatz von Cloud Computing-Technologien ist diese Architektur mittlerweile veraltet. User, Daten und Anwendungen sind heutzutage weit verstreut, Angestellte arbeiten von überall aus und nutzen eine Vielzahl an Geräten. Vor dieser Entwicklung war die Implementierung von Sicherheitskontrollen relativ einfach dahingehend, dass ein definierter Perimeter um alle zu schützenden Vermögenswerte eines Unternehmens existierte. So konnten IT-Teams eine Vielzahl von Sicherheitstechnologien zentral einsetzen. Remote-Standorte wurden in diesen Sicherheitsbereich einbezogen, indem der gesamte Verkehr über MPLS zu einer großen zentralen Firewall umgeleitet wurde, die für die Traffic-Regulierung und Durchsetzung der Sicherheitsrichtlinien sorgte.

  • Herausfinden, was migriert werden muss

    Mehr als 70 Prozent aller Unternehmen beschäftigen sich aktuell mit Microservices. Viele haben sie bereits im Einsatz, andere bereiten gerade die Migration vor - und das mit gutem Grund. Sie versprechen sich davon eine schnellere Weiterentwicklung ihrer Anwendungen, mehr Flexibilität, mehr Leistungsfähigkeit und eine bessere Skalierbarkeit. Wer den Umstieg jedoch unbedacht angeht, schafft mehr Probleme als er löst. Gregor Keller, Sales Engineering Manager bei AppDynamics, nennt als Application-Performance-Expertin die drei größten Herausforderungen, die ihnen tagtäglich begegnen.

  • Technische Umsetzung von IoT-Projekten

    Viele Unternehmen zögern noch bei der Umsetzung von Internet of Things (IoT)-Projekten. Sie verrennen sich in technischen Überlegungen, statt sich auf das zu fokussieren, worauf es eigentlich ankommt: Mit angemessenem Aufwand schnell einen wirtschaftlichen Nutzen zu erzielen. Mehr Mut ist gefragt. Die folgenden vier Tipps helfen dabei. Unternehmen beginnen ein IoT-Projekt häufig mit einem Proof of Concept, um die technische Machbarkeit zu prüfen. Was Sie dabei verkennen: Die Basistechnologie ist heute so weit fortgeschritten, dass sie kein limitierender Faktor mehr ist. Man braucht sich darüber gar nicht so sehr den Kopf zu zerbrechen.

  • Autonome Unternehmen managen Daten effizienter

    Autonome Fahrzeuge sind - zumindest in den Medien - sehr präsent, auch bei Menschen, die sich nicht zu den Autoliebhabern zählen. Ein ähnlich spannendes Thema ist das "autonome Unternehmen" - was im Gegensatz zu autonomen Fahrzeugen jedoch unmittelbar vor der Tür, steht. Denn der Einsatz modernster Technologien in der Unternehmens-IT ist weitaus unproblematischer als autonome Fahrzeuge auf die Straße zu bringen. Analog zu selbstfahrenden Autos nutzen auch autonome Unternehmen künstliche Intelligenz, maschinelles Lernen und das Internet der Dinge (IoT), um Unternehmenssysteme und Businessprozesse zu steuern. Die maschinell gewonnene Erfahrung aus tausenden ähnlicher Prozesse stellt sicher, dass die IT optimal läuft. Menschliche Eingriffe sind nur im Ausnahmefall erforderlich.

  • Backup und Disaster Recovery

    Zeitgemäßes Backup und Wiederherstellung stellen keine technischen Herausforderungen mehr dar, sondern sind vor allem wirtschaftlich zu definierende Prozesse. Umfrageergebnisse unter Kunden und Partnern von Arcserve zeigen zudem, dass ein einfacher, umfassender Schutz der Daten im Zusammenspiel mit der IT-Sicherheit zu den neuen Anforderungen an Sicherungen gehört. Arcserve nennt fünf Richtlinien, um Datensicherheit sicher, effizient und im Zusammenspiel von Backup und IT-Sicherheit zu gestalten und diese auch dokumentieren zu können. Die Ergebnisse einer internationalen Befragung von Arcserve aus dem Frühjahr 2018 unter 600 Kunden und Partnern in fünfzehn Ländern erlauben es, die zeitgemäßen Erwartungen der Unternehmen an ihre Backup-Lösungen abzulesen.

  • One-fits-all fuktioniert nicht bei Cloud-Konzepten

    Bei der Cloud-Nutzung zählt das verarbeitende Gewerbe zu den Top-Anwendern. Zu diesem Schluss gelangt die von der Rackspace Germany GmbH in Auftrag gegebene Studie "Cloud und Cloud Managed Services im Manufacturing-Umfeld". Durchgeführt hat sie das Marktforschungsunternehmen Pierre Audoin Consultants (PAC). 59 Prozent der befragten Unternehmen haben demnach bereits Cloud-Lösungen im IoT-Umfeld im Einsatz. Aus gutem Grund: Für die Cloud-Nutzung sprechen für die Mehrheit der Unternehmen die Flexibilität, Agilität und Skalierbarkeit im Betrieb (84 Prozent), die Optimierung der Employee Experience bzw. der Customer Experience (84 Prozent) und die Erhöhung der Kosteneffizienz (83 Prozent). Dabei arbeiten die meisten Unternehmen mit Multi-Cloud-Lösungen, die das Beste aus dem Angebot der jeweiligen Cloud Computing-Anbieter kombinieren.

  • Anforderungen an IT-Strukturen anspruchsvoller

    Die Anforderungen der Digitalisierung führen dazu, dass IT-Fachkräfte in vielen Betrieben überlastet sind. Nur bei wenigen Unternehmen - davon hauptsächlich Großkonzerne - hat es sich als strategisch klugen Schritt erwiesen, die gesamte IT auszulagern ("Outsourcing") und von einer externen Firmentochter oder einem Dienstleister managen zu lassen. Für Klein- und Mittelständische Unternehmen KMU bietet sich eine andere Lösung an: Das Auslagern von IT-Prozessen und Teilbereichen an sogenannte Managed Service Provider (MSP). Eigene Mitarbeiter werdenso entlastet und können sich wieder ihren Kernaufgaben widmen. Der europäische IT-Security Hersteller Eset nennt in seinem Artikel "Warum Unternehmen auf MSP setzen sollten" fünf entscheidende Vorteile von MSPs, die gerade kleine und mittelständische Unternehmen (KMU) nutzen sollten.

  • Multi-Cloud: Nicht für jedes Unternehmen

    Multi-Cloud-Umgebungen stellen für kleine und mittelständische Unternehmen nicht immer die beste Lösung dar. Der IT-Dienstleister Consol zeigt, für wen sich eine Multi-Cloud eignet. Jeder Cloud-Anbieter bringt seine eigenen Stärken und Schwächen mit. Daher zielen immer mehr Unternehmen auf einen Best-of-Breed-Ansatz ab, in dem sie die besten Eigenschaften der einzelnen Cloud Computing-Anbieter in einem Multi-Cloud-Ansatz vereinen. Hierbei laufen die Anwendungen der Unternehmen bei verschiedenen Public-Cloud-Anbietern. "Nach der Einschätzung und den Erfahrungswerten von Consol ist ein Multi-Cloud-Modell aber nicht für jedes Unternehmen die beste Lösung, im Gegenteil. Gerade für kleinere und mittlere Unternehmen kann die bessere Strategie sein, sich auf einen einzigen Anbieter zu konzentrieren", erklärt Lukas Höfer, Senior IT-Consultant bei Consol in München.

  • Herausforderung Netzwerk-Edge

    Digitalisierung und IoT gehören zu den meistdiskutierten Themen für die strategische Weiterentwicklung von Geschäftsprozessen in Unternehmen und die Bereitstellung neuer Angebote. Weniger diskutiert wird die Infrastruktur, die für die Umsetzung dieser Entwicklungen nötig ist. Das Netzwerk ist nicht nur die Basis für die heute erforderliche Agilität und unterbrechungsfreie Konnektivität, sondern auch der Wegbereiter für digitale Initiativen. Dabei spielt die Netzwerk-Edge eine Schlüsselrolle mit der Unternehmen einen Wettbewerbsvorteil erzielen können. Denn hier verbinden sich Mitarbeiter, Kunden und Partner miteinander. Den Edge-Bereich optimal zu handhaben kann daher heute den entscheidenden Faktor für Geschäftserfolge oder Niederlagen ausmachen. Netzwerkspezialist Extreme Networks hat die fünf größten Herausforderungen zusammengefasst, die Unternehmen hierbei bewältigen müssen und zeigt auf, wie Weiterentwicklungen in der Netzwerktechnologie dabei helfen können.

  • Fünf Sicherheitslücken durch hybride IT

    Prozesse sowohl im eigenen Rechenzentrum als auch in der Cloud zu betreiben, kann gefährlich sein - wenn zentrale Policies fehlen oder nicht durchgesetzt werden. Selbst wenn auf lokalen Rechenzentren optimale Sicherheit herrscht, können mangelhaft geschützte Cloud Computing-Anbieter das System als Ganzes gefährden. Travis Greene, Director of Strategy, IT Operations bei Micro Focus, hat fünf Punkte zusammengestellt, die Unternehmen mit hybrider IT beachten sollten. Im traditionellen Wasserfallmodell erfolgt das Security Testing häufig am Ende des Entwicklungszyklus - nach den unvermeidlichen Verzögerungen im Entwicklungsprozess oft unter Zeitdruck. Die Testingphase wird dennoch meist abgeschlossen. Ein verspätetes Deployment nimmt man in Kauf, wenn von der Stabilität der Anwendung der Umsatz abhängt.