Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

Die Seite wird erstellt Sibylle-Hortensia Haas
 
WEITER LESEN
Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services
Bewährte Methoden für
Sicherheit und Compliance bei
Amazon Web Services

                      Ein Trend Micro Whitepaper | April 2013
Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Inhalt

  Die Fakten im Überblick ................................................................................................................................................. 2

                 Was ist Cloud-Computing?.............................................................................................................................. 2

                 Servicemodelle.................................................................................................................................................. 3

                 Implementierungsmodelle.............................................................................................................................. 5

  Sicherheitsverantwortlichkeiten nach Cloud-Servicemodell .................................................................................. 5

  Sicherheitsverantwortung gemeinsam mit Cloud-Serviceanbietern...................................................................... 6

                 Administrative Kontrollen............................................................................................................................... 6

                 Physische Kontrollen........................................................................................................................................ 6

                 Logische Kontrollen.......................................................................................................................................... 7

  Cloud-Sicherheit und IaaS – eine gemeinsame Verantwortung............................................................................... 7

  Schritte für einen sicheren Einstieg in die Cloud....................................................................................................... 8

                 Schritt 1 – Zugang über IAM statt direkt über das AWS-Root-Konto...................................................... 8

                 Schritt 2 – Richtlinien für sichere Kennwörter........................................................................................... 8
                 Schritt 3 – Multi-Faktor-Authentifizierung für privilegierte Benutzer................................................... 8

                 Schritt 4 – Einrichtung eines sicheren Amazon Machine Image (AMI).................................................. 9

                 Schritt 5 – Schutz des Gast-Betriebssystems............................................................................................. 9

                 Schritt 6 – Restriktive Firewall-Richtlinien und HOSTBASIERTE Firewalls..........................................10

                 Schritt 7 – Schutz von Anwendungen durch ein HOSTBASIERTES System zur Abwehr von

                                    Eindringlingen...............................................................................................................................10

                 Schritt 8 – Integritätsüberwachung von Dateien und Protokollierung..................................................11

                 Schritt 9 – Vertrauliche Daten verschlüsseln..............................................................................................11

                 Schritt 10 – Schwachstellenbewertungen...................................................................................................12

                 Schritt 11 – Penetrationstests........................................................................................................................12

                 Schritt 12 – Kontinuierliches Handeln und dauerhafte Sicherheit ........................................................13

  Fazit....................................................................................................................................................................................13

  So schützt Sie Trend Micro auf Ihrem Weg in die Cloud..........................................................................................13

  Zusätzliche Referenzen..................................................................................................................................................14

  Abbildungsverzeichnis

  Abbildung 1 – Grafische Definition von Cloud-Computing nach NIST .................................................................... 3

  Abbildung 2 – Kontrolle seitens des Kunden und des Serviceanbieters................................................................ 4

  Abbildung 3 – Sicherheitsverantwortung im SPI-Modell.......................................................................................... 5

  Abbildung 4 – Modell der geteilten Zuständigkeiten................................................................................................. 7

  Abbildung 5 – Sicherheitsgruppen...............................................................................................................................10

  Abbildung 6 – Tiefgreifendes Sicherheitsmodell.......................................................................................................12

                                                                                                                                                                                                1
Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Die Fakten im Überblick
  Cloud-Computing scheint wie aus dem Nichts aufgetaucht zu sein, ist aber eigentlich bereits seit Jahrzehnten
  ein bekanntes IT-Konzept. Entstanden ist Cloud-Computing aus dem „Time Sharing“-Modell der 1950er Jahre,
  bei dem Ressourcen gemeinsam verwendet wurden, und hat sich zur „Grid Computing“-Technologie der
  1990er Jahre hin entwickelt. Durch Breitbandverbindungen wurde das Internet schnell allgegenwärtig und
  heute verlagern Unternehmen aller Größen ihre IT-Aktivitäten in die Cloud.

  Die Einführung der Cloud vollzieht sich in einem rasanten Tempo, zumal Services durch technologische
  Fortschritte wie High-Speed-Internet und hocheffiziente Fertigung unterstützt werden. Durch diese
  Fortschritte konnten Speicherkosten gesenkt werden, und Serviceanbieter die Erwartungen der Kunden
  erfüllen und noch übertreffen. Durch die rasante Einführung der Cloud müssen sich Anwender jedoch
  mit einzigartigen und komplexen Sicherheitsaspekten auseinandersetzen. Unternehmen müssen nun bei
  der Einführung eines Cloud-Computing-Modells die Auswirkungen auf ihr Risikoprofil, d. h. Aspekte der
  Datensicherheit, des Datenschutzes und der Datenverfügbarkeit, bedenken.

  Komplizierter wird diese Bewertung noch durch den Umstand, dass sie im Rahmen der ultimativen Sicherheit
  von Cloud-Installationen eine Partnerschaft mit dem Anbieter der Cloud-Services eingehen. Aspekte wie
  physischer Schutz, Integrität der Konfiguration und Sicherheitsprüfung des Personals liegen nun in den
  Händen des Anbieters, den die meisten Unternehmen, die die Cloud nutzen, nie zu Gesicht bekommen.

  Nach der Umfrage von North Bridge aus dem Jahr 2012 zur Zukunft von Cloud-Computing nennen Unter­
  nehmen als einen Grund für den Verzicht auf die Einführung von Clouds am häufigsten Bedenken in puncto
  Datensicherheit und Datenschutz. Die Forscher gehen davon aus, dass Cloud-Sicherheit einer der Haupt­
  antriebsfaktoren für den Einsatz von Cloud-Computing sein wird. Auch der Bericht von Gartner mit dem Titel
  „Global IT Council for Cloud Services“ hat gezeigt, dass über 50 % der Unternehmen sich beim Übergang
  in die Cloud an erster Stelle Sorgen um die Sicherheit machen. Es überrascht daher nicht, dass nach
  einer Studie von TechNavio der globale Markt für Cloud-Sicherheitssoftware im Jahr 2014 voraussichtlich
  963,4 Millionen US‑Dollar erreichen soll. Die Kunden verstehen zunehmend, wie wichtig die Sicherheit in der
  Cloud ist. Daher werden Sie von den Cloud-Anbietern fordern, dem Thema Sicherheit Priorität einzuräumen,
  um sich damit vom übrigen Markt abzuheben und sich einen Wettbewerbsvorsprung zu verschaffen.

  Amazon Web Services (AWS) hat durch die Schaffung einer soliden Grundlage mit umfangreichen
  administrativen, physischen und logischen Kontrollen – von strengen Richtlinien für den physischen Zugriff
  auf Rechenzentren bis hin zu gut durchdachten Verfahren für die Verwaltung von Konfigurationsänderungen –
  hohe Standards für die gesamte Branche im Bereich Infrastructure as a Service (IaaS) gesetzt. Eine
  sichere Grundlage ist allerdings erst der Anfang. Für eine sichere End-to-End-Computerumgebung müssen
  Unter­nehmen beim Schutz von Systemen, Anwendungen und Daten eine aktive Rolle im gemeinsamen
  AWS‑Sicherheitsmodell übernehmen.

  Dieses Whitepaper erläutert, für welchen Teil die Kunden bei diesem gemeinsamen Modell verantwortlich
  sind, und beschäftigt sich mit einigen der empfohlenen Sicherheitsverfahren, die zu einer sicheren
  Computerumgebung in der Cloud beitragen können.

  Was ist Cloud-Computing?
  „Cloud-Computing“ ist derzeit in aller Munde, und häufig wird der Begriff auf ganz unterschiedliche
  Computerinstallationen angewendet. Um Cloud-Computing in seinen verschiedenen Ausprägungen zu
  begreifen, muss man sich mit den Ansätzen beschäftigen.

  Das US-amerikanische National Institute of Standards and Technology (NIST) definiert Cloud-Computing
  anhand von fünf wesentlichen Eigenschaften, drei Cloud-Servicemodellen und vier Cloud-Implementierungs­
  modellen. Die Abbildung auf der nächsten Seite zeigt eine Grafik zu Cloud-Computing nach NIST.

                                                                                                                 2
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Das Modell definiert eine Reihe von Service- und Implementierungsmodellen, die relevant für die Beurteilung
  sind, welcher Partner für welche Form der Sicherheit verantwortlich ist.

           Ressourcen-             Schnelle        Nutzungsabhängiger        Self-Service
             Pooling              Flexibilität           Service             nach Bedarf
                                                                                            Wesentliche
                                                                                            Eigenschaften
                                        Ressourcen-Pooling

          Software as a Service         Platform as a Service        Infrastructure as a    Service-
                 (SaaS)                        (PaaS)                  Service (PaaS)       modelle

                                                                                            Implementierungs-
            Öffentlich             Privat               Hybrid              Community
                                                                                            modelle

  Abbildung 1 – Grafische Definition von Cloud-Computing nach NIST

  Servicemodelle
  Die drei häufigsten Servicemodelle für Cloud-Computing sind die folgenden:

  INFRASTRUCTURE AS A SERVICE (IAAS)
  Den Kunden werden Verarbeitungs-, Speicher- und weitere grundlegende Computerressourcen zur Verfügung
  gestellt, auf denen sie beliebige Softwareprogramme, wie Betriebssysteme und Anwendungen, installieren
  und ausführen können. Die eigentliche Cloud-Infrastruktur verwalten und steuern die Kunden nicht.
  Sie kontrollieren jedoch die Betriebssysteme, den Speicherplatz sowie die installierten Anwendungen.
  (Beispiele: AWS von Amazon und Terremark)

  PLATFORM AS A SERVICE (PAAS)
  Die Kunden können in der Cloud-Infrastruktur eigene Anwendungen oder Anwendungen Dritter installieren
  und dabei Programmiersprachen, Bibliotheken, Services und Tools nutzen, die von dem jeweiligen Anbieter
  unterstützt werden. Die eigentliche Cloud-Infrastruktur, einschließlich Netzwerke, Server, Betriebssysteme
  oder Speicherplatz, verwalten und steuern die Kunden nicht. Sie kontrollieren jedoch die installierten
  Anwendungen und möglicherweise die Konfigurationseinstellungen der Hostumgebung, in der die An­wen­
  dungen ausgeführt werden.
  (Beispiele: Google AppEngine und Microsoft Azure)

                                                                                                                3
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  SOFTWARE AS A SERVICE (SAAS)
  Die Kunden können Anwendungen des Anbieters nutzen, die in der Cloud-Infrastruktur ausgeführt werden.
  Der Zugriff auf die Anwendungen erfolgt über verschiedene Client-Geräte, d. h. entweder über eine
  Thin‑Client-Schnittstelle wie einen Webbrowser (z. B. webbasierte E-Mails) oder eine Programmschnittstelle.
  Die Kunden verwalten oder steuern die darunter liegende Cloud-Infrastruktur, wie Netzwerke, Server,
  Betriebssysteme, Speicherplatz oder individuelle Anwendungsfunktionen nicht, können jedoch möglicher­
  weise mit Einschränkungen auf benutzerspezifische Konfigurationseinstellungen von Anwendungen
  zugreifen.
  (Beispiele: Salesforce.com, Trend Micro Hosted Mail Service)

  Das folgende Diagramm des PCI Security Standards Council ist ein gutes Beispiel dafür, wie sich bei den
  verschiedenen Modellen Kunde und Serviceanbieter die Kontrolle teilen.

                                                                                                Client

                                                                                                CSP (Cloud
                                                                                                Service Provider)

                                                                               Servicemodelle
              Cloud-Ebene
                                                                        IaaS        PaaS             SaaS

    Daten

    Schnittstellen (APIs, GUIs)

    Anwendungen

    Lösungs-Stack (Programmiersprachen)

    Betriebssysteme

    Virtuelle Maschinen

    Virtuelle Netzwerkinfrastruktur

    Hypervisoren

    Verarbeitung und Speicher

    Datenspeicherung
    (Festplatten, Wechseldatenträger, Backups usw.)

    Netzwerk
    (Schnittstellen und Geräte,
    Kommunikationsinfrastruktur)

    Physische Einrichtungen / Rechenzentren

  Abbildung 2 – Kontrolle seitens des Kunden und des Serviceanbieters

                                                                                                                    4
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Implementierungsmodelle
  Die Kunden nutzen die Services ihrer Anbieter ebenfalls unterschiedlich. In der Regel lassen sich die
  folgenden drei Modelle ableiten.

  ÖFFENTLICH
  Diese Form der Cloud-Infrastruktur ist für die Öffentlichkeit oder eine große Branchengruppe zugänglich.
  Unternehmen, die diesen Cloud-Service anbieten, sind in der Regel Eigentümer der Infrastruktur, die sie
  verwalten und betreiben.

  VIRTUELL PRIVAT ODER LOKAL VIRTUALISIERT
  Die Cloud-Infrastruktur wird für ein Unternehmen allein betrieben. Sie kann von dem Unternehmen selbst
  oder von Dritten verwaltet werden und sich lokal am Standort des Unternehmens oder extern befinden.

  HYBRID-IT
  Die Cloud-Infrastruktur besteht aus mindestens zwei Clouds (privat, Community oder öffentlich), die
  eigenständig bleiben, jedoch durch standardisierte oder proprietäre Technologien verbunden sind.
  Die jeweilige Technologie ermöglicht die Portabilität von Daten und Anwendungen (z. B. Cloud-Bursting
  für eine ausgeglichene Verteilung der Lasten auf die einzelnen Clouds).

  Für jedes Cloud-Modell und jeden Cloud-Kunden gibt es unzählige spezifische Sicherheitsmerkmale. Bei den
  Sicherheitsaufgaben der Anbieter gibt es je nach Cloud-Modell große Unterschiede.

  Sicherheitsverantwortlichkeiten nach Cloud-Servicemodell
  Um die Sicherheitsanforderungen der Arbeitslasten in der Cloud bewältigen zu können, müssen Unternehmen
  zunächst wissen, wer für den Schutz dieser Arbeitslasten zuständig ist. Die Rollen und Verantwortlichkeiten
  richten sich nach den verschiedenen Cloud-Computing-Servicemodellen.

                                                                         Der Cloud-Anbieter eines IaaS-Modells
                                                                         ist in der Regel für die Sicherheit der
                                    IAM & Anwendungs­         WENIGER
                                        kontrollen                       betreffenden Infrastruktur ver­
       Mehr
                                                                         antwortlich, wohingegen bei einem
                                                                         SaaS-Modell der Cloud-Anbieter die
        C          On-Demand-Apps (allgemein & speziell)        C        Infrastruktur und die Anwendungen
        L        Salesforce.com, Trend Micro HouseCall usw.     L
        O
                                                                         schützen muss. Die Verantwortung der
                                                                O
        U                                                       U
                                                                         Anbieter für die Implementierung
        D                           Betriebssystem- &           D        von Sicherheitskontrollen wächst mit
        -                          Middleware-Kontrollen
                                                                -        jeder höheren Stufe im SPI-Modell
        A                                                       N        (d. h. SaaS, PaaS, IaaS). Die Verant­
        N              Entwicklerplattform & Tools für          U
        B            benutzerdefinierte Anwendungen                      wortung des Cloud-Kunden nimmt ab,
                                                                T
        I
                 Google AppEngine und Microsoft Azure usw.
                                                                Z
                                                                         je weiter man im SPI-Modell nach
        E                                                       E        unten geht. Die Abbildung auf der
        T                                                       R        linken Seite zeigt dieses Konzept der
        E                         Physische & Netzwerk­
                                        kontrollen                       Zuständigkeiten.
        R

                   Rechenleistung, Speicher- & Netzwerk­                 Abbildung 3 – Sicherheitsverantwortung im
                                ressourcen                     Mehr
                                                                         SPI-Modell
     WENIGER           Amazon EC2, Terremark usw.

                                                                     Das IaaS-Modell, zu dem auch Amazon
                                                                     Web Services (AWS) gehört, bietet
  beispielsweise Unternehmen größtmögliche Freiheit bei der Nutzung der Vorteile von Cloud-Computing,

                                                                                                                     5
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  erfordert aber von den Kunden eine aktive Rolle beim Schutz ihrer eigenen Daten und Anwendungen. Daher
  ist bei der Wahl von AWS als Anbieter wichtig, bewährte Methoden zur Risikoabwehr zu kennen und zu wissen,
  ob sich das angebotene IaaS-Modell in einer öffentlichen oder privaten virtuellen Cloud (PVC) befindet.

  Sicherheitsverantwortung gemeinsam mit Cloud-Serviceanbietern
  Die besonderen Bedrohungen, denen Cloud-Computing-Installationen ausgesetzt sind, sind nicht neu.
  Lediglich die Maßnahmen zur Bedrohungsabwehr und die Zuständigkeiten sind andere. „Bedrohungen von
  innen“ treten beispielsweise nicht nur in einem herkömmlichen IT-Modell auf, sondern auch in einem Cloud-
  Computing-Modell. Bei Cloud-Services stellt der Cloud-Serviceanbieter die Hauptkontrollmechanismen, wie
  administrative und physische Kontrollen bereit, die diese Art von Bedrohungen abwehren können.

  Entscheidet sich ein Unternehmen seine Daten zu schützen, wird mindestens eine der drei Kontrollformen
  implementiert.

  ADMINISTRATIVE KONTROLLEN
  Administrative Kontrollen (auch als Verfahrenskontrollen bezeichnet) umfassen genehmigte schriftliche
  Richtlinien, Verfahren, Standards und Leitfäden. Administrative Kontrollen bilden den Rahmen für den
  Geschäftsbetrieb und das Mitarbeitermanagement. Werden Arbeitslasten in einer traditionellen
  IT‑Infrastruktur eines Unternehmens ausgeführt, geht man von einer vertrauenswürdigen Umgebung aus,
  die sich entweder physisch direkt im Unternehmen befindet und/oder unmittelbar von dem Unternehmen
  verwaltet wird. Die Netzwerkinfrastruktur unterliegt einer vollständigen Kontrolle. Dazu gehören auch der
  physische Zugriff auf die Installation, Hintergrundprüfungen bei der Einstellung neuer Mitarbeiter und die
  Implementierung von Verfahren der Änderungsverwaltung.

  Bei der Migration in die Cloud befinden sich Anwendungen und Daten in einer Umgebung, die das Unter­
  nehmen nicht unmittelbar kontrolliert. Die Infrastruktur wird separat verwaltet, gewartet und von dem Cloud-
  Anbieter extern gehostet. Statt die IT-Umgebung direkt durch die Implementierung verschiedener, von dem
  Unternehmen definierter Mechanismen zu steuern, erfolgt die Kontrolle nun durch den Cloud-Serviceanbieter
  und nach seinem entsprechenden Service Level Agreement (SLA).

  Daher ist es für Unternehmen bei der Wahl eines Cloud-Anbieters wichtig zu wissen, ob spezielle administrative
  Kontrollen, Branchenzertifizierungen und Bescheinigungen Dritter vorhanden sind. Für AWS finden Sie diese
  Informationen unter www.amazon.com/aws.

  PHYSISCHE KONTROLLEN
  Physische Kontrollen überwachen und steuern die Umgebung von Arbeitsplatzrechnern und Computer­
  anlagen. Sie überwachen und kontrollieren auch den Zugriff auf und von diesen Anlagen. Administrative und
  technische Kontrollen hängen letztlich von den richtigen physischen Sicherheitskontrollen ab. Verwaltungs­
  richtlinien, die den Zugriff auf Rechenzentren nur autorisierten Mitarbeitern gestatten, gehen ins Leere,
  wenn es keine physischen Zugriffskontrollen gibt, die den Zugang nicht berechtigter Mitarbeiter verhindern.
  Bei einem herkömmlichen IT-Modell ist das Unternehmen für die physischen Kontrollen zum Schutz der
  Computeranlagen verantwortlich. Die Netzwerk- und Arbeitsplatzumgebung ist davon getrennt und wird
  durch entsprechende Maßnahmen geschützt.

  Beim Übergang zu Cloud-Services ist der Cloud-Anbieter für die Implementierung physischer Kontrollen
  zuständig. Wichtig ist es, die spezifischen physischen Kontrollen zu kennen und diese so anzupassen, dass
  die Anforderungen des Unternehmens erfüllt werden. Die AWS-Infrastruktur befindet sich zum Beispiel in
  von Amazon kontrollierten Rechenzentren auf der ganzen Welt. Wo sich diese Rechenzentren genau befinden,
  wissen innerhalb von AWS nur Personen, die für den Zutritt einen legitimen Geschäftsgrund haben. Die
  Rechen­zentren selbst werden über eine Vielzahl von physischen Kontrollen geschützt, die allesamt einen
  nicht autorisierten Zugang verhindern. So gibt es beispielsweise Sicherheitspersonal, mehrere
  Authentifizierungs­verfahren und eine Zwei-Faktor-Authentifizierung.

                                                                                                                   6
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  LOGISCHE KONTROLLEN
  Bei logischen Kontrollen (auch als technische Kontrollen bezeichnet) wird der Zugang zu Informationen und
  Computersystemen mithilfe von Softwareprogrammen und Daten überwacht und gesteuert. Zu den logischen
  Kontrollen zählen beispielsweise Kennwörter, Netzwerk- und hostbasierte Firewalls, Systeme zur Abwehr von
  Eindringlingen, Zugriffskontrolllisten und die Datenverschlüsselung.

  Die Kontrolle über die Implementierung von logischen Kontrollen ist unterschiedlich und richtet sich nach
  dem Cloud-Servicemodell. Bei IaaS-Cloud-Servicemodellen haben Sie die vollständige Kontrolle über die
  Realisierung der zu den Systemen (d. h. Instanzen) gehörenden logischen Kontrollen.

  Bei der Auswahl von logischen Kontrollen zum Schutz von Instanzen
  sollten Sie sich die folgenden Fragen stellen:

  • Ist die gewählte Kontrolle bedarfsabhängig skalierbar?
  • Ist sie „cloudfähig“ und so in die API des Anbieters integriert, das ein Skalieren der Instanzen nach oben
    und unten sofort sichtbar wird?
  • Lässt sie sich aus der bestehenden IT-Infrastruktur heraus auf die Cloud-Infrastruktur erweitern, um
    Sicherheitsrichtlinien konsistent durchsetzen und eine einzige Schnittstelle zur Richtlinienverwaltung
    bereitstellen zu können?
  • Ist sie in der Lage, neue Ressourcen automatisch zu erkennen und die erforderlichen Zugriffs­kontrollen
    zu installieren?
  • Können Sicherheitsrichtlinien umgesetzt werden, sobald die Instanz online geht, um so Sicherheits­
    lücken zu reduzieren?
  • Lässt sie sich in Tools zur Cloud-Verwaltung integrieren? Ist die gewählte Kontrolle „cloudfähig“, wenn
    beispielsweise eine Verschlüsselungslösung eingesetzt wird, die Daten im Speicher verschlüsselt?

  Die Vorteile von technologischen Lösungen, die eine zentrale Verwaltung von aktuellen internen
  Infrastrukturen und der Cloud ermöglichen, liegen auf der Hand.

                                                                                  Cloud-Sicherheit und
                           ANWENDUNG
                                                           Sicherheit des Gast-   IaaS – eine gemeinsame
         S
                                                            Betriebssystems,
                                                               Identitäts- &
                                                                                  Verantwortung
     S   I                 MIDDLEWARE                     Zugangs­management,
     I                                                        Anwendungs­         Unternehmen, die die Vorteile
                                                                sicherheit,
         E                                                                        von Cloud-Anbietern nutzen,
     C                                                       Überwachung &
               GAST-BETRIEBSSYSTEM (virtualisiert)                Audits
     H                                                                            übernehmen auch Verantwortung
     E                                                                            in puncto Sicherheit. Das neben­
     R                                                                            stehende Modell zeigt noch
     H   A                                                                        ausführlicher die Bereiche, für
                HYPERVISOR (Host-Betriebssystem)          Physische Sicherheit,
     E   M                                                   Virtualisierungs­    die Unternehmen zuständig sind,
                                                            sicherheit, Schutz
     I   A                                                    der Umgebung,       wenn sie eine IaaS-Architektur
              COMPUTER      NETZWERK       SPEICHER        Netzwerksicherheit,
     T   Z                                                    administrative
                                                                                  wie AWS einsetzen, sowie
         O     GLOBALE PHYSISCHE ARCHITEKTUR
                                                                 Kontrolle,       die zugehörigen Sicherheits­
                                                             Zertifizierung &
         N       (Regionen & Availability Zones)            Akkreditierungen      kontrollen und Sicherheits­
                                                                                  verfahren.

  Abbildung 4 – Modell der geteilten Zuständigkeiten                         AWS bietet Sicherheit bis zum
                                                                             Hypervisor, stellt also Kontrollen
  für physische Sicherheit sowie Umgebungs- und Virtualisierungssicherheit bereit. Der Cloud-Kunde ist für
  die Sicherheitskontrollen des IT‑Systems zuständig. Dazu gehören u. a. das Gast-Betriebssystem, Middleware-
  Technologien und -anwendungen.

                                                                                                                     7
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Schritte für einen sicheren Einstieg in die Cloud
  AWS-Kunden tragen die Verantwortung für ihre Arbeitslasten, die in AWS ausgeführt werden. Sie müssen
  unter anderem ihre Instanzen schützen, die dort laufenden Anwendungen und ihre AWS-Anmeldedaten.
  Amazon stellt Tools wie AWS IAM (Identity & Access Management), MFA (Multi-Factor Authentication),
  Sicherheitsgruppen und AWS Cloud-HSM bereit, und unterstützt damit die Kunden bei ihren Sicherheits­
  aufgaben. Darüber hinaus empfiehlt Amazon den Einsatz von Sicherheitslösungen anderer Hersteller, um
  für alle Arbeitslasten eine rundum sichere Umgebung zu schaffen.

  Im Folgenden werden einige der bewährten Methoden erläutert, mit denen sich AWS-Anmeldedaten, Gast-
  Betriebssysteme, Anwendungssoftware und/oder die Konfiguration der AWS-Sicherheitsgruppen-Firewall
  besser schützen lassen. Mit diesen Methoden lässt sich eine sichere Computerumgebung aufbauen.

  SCHRITT 1 – ZUGANG ÜBER IAM STATT DIREKT ÜBER DAS AWS-ROOT-KONTO
  Für den Zugriff auf AWS wird zunächst ein AWS-Konto erstellt. Mit diesem Root-Konto kann auf alle AWS-
  Ressourcen einschließlich Rechnungsdaten zugegriffen werden. Es wird empfohlen, statt dieses Kontos den
  AWS IAM-Service zu verwenden, um für die Interaktion mit AWS Benutzer, Benutzergruppen und -rollen
  anzulegen.

  AWS-Konten lassen sich einfach und noch sicherer verwalten, wenn die Kunden Benutzer und Gruppen
  erstellen und diesen spezifische Berechtigungen nach funktionalen Anforderungen zuweisen. Die Zuweisung
  von Berechtigungen, über die die Benutzer auf AWS-Ressourcen zugreifen, erfolgt auf die gleiche Weise wie
  in einem traditionellen IT-Modell, d. h. durch die Erteilung von Berechtigungen auf Gruppenebene. Gruppen­
  bezogene Berechtigungen lassen sich einfacher verwalten als Berechtigungen für einzelne Benutzer. Gruppen
  können nach Position (z. B. Administratoren, Manager, Tester usw.) angelegt werden. Jeder Gruppe werden
  die entsprechenden Berechtigungen zugewiesen. Dann erfolgt die Zuordnung der IAM-Benutzer zu diesen
  Gruppen.

  Beim Erstellen von Sicherheitsrichtlinien (verschiedene Berechtigungen) für die Steuerung des Zugriffs auf
  AWS-Ressourcen sollte das „Least-Privilege-Modell“ verwendet werden. Dieses Modell erfordert vom Kunden
  einigen Rechercheaufwand. So müssen die verschiedenen Berechtigungen korrekt bestimmt werden, damit
  die Benutzer ihre tätigkeitsbezogenen Aufgaben erfüllen können. Die Benutzer können auch AWS IAM-
  Gruppen verwenden und so das Sicherheitsverfahren der Aufgabentrennung umsetzen. Amazon stellt als Teil
  der AWS-Lösung Standard-Richtlinienvorlagen mit definierten Berechtigungen bereit. Diese Vorlagen lassen
  sich für gängige Anwendungsfälle wie Administratorzugriff und reinen Lesezugriff verwenden.

  SCHRITT 2 – RICHTLINIEN FÜR SICHERE KENNWÖRTER
  Die Notwendigkeit von Richtlinien für sichere Kennwörter liegt auf der Hand. Nichtsdestotrotz ist es überaus
  wichtig, dass Kennwörter weder erraten noch geknackt werden können. Die Rolle, die Kennwörter beim
  Schutz von Kundensystemen spielen, wird häufig unterschätzt oder außer Acht gelassen. Kennwörter sind die
  erste Verteidigungslinie beim Schutz vor einem unberechtigten Systemzugriff. Bei Amazon können Kunden
  Kennwortrichtlinien definieren und umsetzen. Sie bestimmen beispielsweise die Mindestlänge des Kennworts
  und ob das Kennwort ein nicht-alphabetisches Zeichen enthalten muss. Die Kunden sollten Richtlinien
  für sichere Kennwörter definieren und implementieren. Daher müssen die Benutzer ihre Anmeldedaten
  regelmäßig, z. B. alle 90 Tage, aktualisieren.

  SCHRITT 3 – MULTI-FAKTOR-AUTHENTIFIZIERUNG FÜR PRIVILEGIERTE BENUTZER
  Bei der Umsetzung von Richtlinien für sichere Kennwörter im Rahmen der Authentifizierung und bei Ver­
  wendung des AWS IAM-Services für die Festlegung von Autorisierungsebenen sollte bei privilegierten
  Benutzern und Benutzern mit Administratorrechten die Multi-Faktor-Authentifizierung (MFA) in Betracht
  gezogen werden. AWS MFA ist eine zusätzliche Sicherheitsebene, die eine erweiterte Kontrolle über AWS-
  Kontoeinstellungen bietet. Weiterhin lassen sich mit MFA die AWS-Services und -Ressourcen verwalten.

                                                                                                                 8
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Viele Unternehmen benötigen heute zusätzliche Sicherheitskontrollen, wenn Benutzer als Administratoren
  weitreichenden Zugriff auf das System haben. Daher sollten die AWS-Ressourcen geschützt werden, indem
  AWS MFA für alle privilegierten Benutzer aktiviert wird. Ein privilegierter Benutzer könnte auf Instanzen
  zugreifen und aufgrund seiner Berechtigungen Betriebsabläufe zum Erliegen bringen. So hat beispiels­weise
  ein privilegierter Benutzer Zugriff auf AWS-Ressourcen und Berechtigungen, mit denen er Produktions­
  instanzen beenden kann.

  Ist MFA aktiviert, müssen diese Benutzer beim Zugriff auf AWS-Websites oder -Services einen einzigartigen
  Authentifizierungscode ihres Authentifizierungsgerätes eingeben. Damit bietet AWS MFA zusätzliche
  Sicherheit und verhindert, dass nicht autorisierte Personen, die E-Mail-Adressen und Kennwörter kennen, die
  Systemkontrollen umgehen können.

  Amazon bietet bei MFA zwei Aktivierungsoptionen: über Hardware-Token-Geräte von Drittanbietern oder über
  Software-Tokens und einen virtuellen Token-Service mit einer AWS MFA-kompatiblen Anwendung auf einem
  Smartphone, Tablet-PC oder Computer.

  SCHRITT 4 – EINRICHTUNG EINES SICHEREN AMAZON MACHINE IMAGE (AMI)
  Ein Amazon Machine Image (AMI) ist eine vorkonfigurierte Betriebssystemvorlage oder eine angepasste
  Konfigurations-AMI zum Erstellen einer virtuellen Maschine auf Amazon EC2 (Elastic Compute Cloud).
  Der Kunde trägt die Verantwortung dafür, dass vor der Verwendung einer AMI-Instanz zum Hosten von
  Anwendungen die erforderlichen Sicherheitsprüfungen durchgeführt werden. Der Kunde hat vollständigen
  Root-Zugriff oder die administrative Kontrolle über dieses virtuelle System. AWS besitzt für Instanzen
  des Kunden keine Zugriffsrechte, kann sich nicht bei dem Gast-Betriebssystem anmelden und somit keine
  Garantie für die Integrität oder Sicherheit einer solchen Instanz übernehmen. Die Kunden sollten daher das
  Betriebssystem in mehreren Schritten soweit optimieren und schützen, dass nur die benötigten Anwendungen
  und Services aktiviert sind.

  Damit lässt sich die Angriffsfläche verringern, wenn die ausgeführten Softwareservices gestrafft werden
  und die Konfiguration von Instanzen auf das absolute Minimum beschränkt wird – zum Beispiel durch die
  Deaktivierung des kennwortbasierten Zugriffs auf Hosts, die Verwendung einer Multi-Faktor-Authentifizierung
  für den Zugriff auf kritische Instanzen und die Deaktivierung der Anmeldung bei „Root“-Konten per
  Fernzugriff.

  SCHRITT 5 – SCHUTZ DES GAST-BETRIEBSSYSTEMS
  Amazon verfügt über einen überaus stabilen Prozess zur Implementierung und Verwaltung administrativer
  und physischer Kontrollen sowie zum Schutz der Virtualisierungs- oder Hypervisor-Ebene (Host-Betriebs­
  system). Die Kunden sind jedoch dafür zuständig, ihre AWS-Instanzen kontinuierlich zu warten, diese
  mit Sicherheitskontrollen vor Angriffen zu schützen und die Wirksamkeit von Kontrollen regelmäßig zu
  überprüfen.

  Amazon EC2 stellt Tools wie AWS-Sicherheitsgruppen zur Verfügung, mit denen sich cloudbasierte Server
  schützen lassen. Die Kunden sollten diese grundlegenden Tools nutzen, um einen Basisschutz bereitzustellen,
  und im Anschluss weitere Sicherheitsmaßnahmen über technische Lösungen realisieren, z. B. Virenschutz,
  hostbasierte Firewalls, hostbasierter Schutz vor Eindringlingen, Integritätsüberwachung von Dateien,
  Logüberprüfung, Verschlüsselungs- und Schlüsselverwaltung.

  Der Schutz des Gast-Betriebssystems umfasst auch regelmäßige Sicherheitsupdates und Betriebssystem­
  patches. So kann beispielsweise die Aktualisierung von Sicherheitspatches für Instanzen, auf denen
  Webanwendungen permanent ausgeführt werden, äußerst schwierig und kostspielig sein. Um die Patch-
  Verwaltung zu vereinfachen, sollten Kunden Lösungen zur Abschirmung von Schwachstellen, sogenanntes
  „virtuelles Patching“ einsetzen. Damit werden die Ziele in puncto Anwendungsverfügbarkeit erreicht, ohne
  dass die Sicherheit beeinträchtigt wird.

                                                                                                                9
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  SCHRITT 6 – RESTRIKTIVE FIREWALL-RICHTLINIEN UND HOSTBASIERTE FIREWALLS
  Amazon EC2 stellt zum Schutz von cloudbasierten Servern Tools wie die AWS EC3-Firewall bereit. Jede
  Amazon EC2-Instanz wird durch mindestens eine Sicherheitsgruppe mit unterschiedlichen Firewall-Regeln
  geschützt. Diese Regeln legen für das Netzwerk fest, welche Daten zu den jeweiligen Instanzen gelangen.
  Die Firewall arbeitet standardmäßig im DENY-Modus, und die Kunden müssen explizit alle benötigten Ports
  öffnen, um eingehende Datenströme zuzulassen.

  Häufig enthalten die Firewall-Richtlinien allzu großzügige Regeln, die Sicherheitslücken erzeugen. Die
  Kunden sollten ihre Firewall-Richtlinien enger fassen und nur die Kommunikation zulassen, die unbedingt
  notwendig ist. Sie sind für ein instanzenorientiertes, restriktives Datenverkehrsmanagement- und
  Sicherheitskonzept zuständig. Die Kunden sollten zum Beispiel den Fernzugriff (RDP oder SSH) nicht
  für alle Produktionsinstanzen öffnen, sondern stattdessen „Bastion Hosts“ für den Fernzugriff auf
  Produktionsinstanzen verwenden und den administrativen Zugriff auf den „Bastian Host“ des externen
  Netzwerks beschränken.

  Die AWS EC2-Sicherheitsgruppen bieten den Kunden eine Basis-Firewall mit Semi-Stateful-Schutzfunktionen,
  die nur den eingehenden Datenverkehr überwacht (außer bei Verwendung der AWS VPC-Services). Sie
  verhindert nicht, dass ein Server ausgehende Datenströme initiiert, und besitzt keine Protokollierungs­
  optionen für konfigurierte Regeln, die in bestimmten Fällen wichtig sein könnten, so zum Beispiel bei der
  Fehlersuche und Überwachung. Den Kunden wird empfohlen, diese Sicherheitsgruppen zu verwenden, um
  den ausgehenden Datenverkehr einzuschränken, und weitere Sicherheitsverfahren zu implementieren. Hier
  können Technologien wie hostbasierte Firewalls eingesetzt werden, die die Netzwerksicherheit für Amazon
  EC2 erhöhen. Die Kunden sollten eine hostbasierte bidirektionale Stateful-Firewall mit Protokollierungs-
  und Warnfunktionen wählen. Damit können sie ein Sicherheitsprofil mit umfassenden Abwehrmechanismen
  erstellen.
                                                          AWS betreibt ein privates Netzwerk
                                                          mit SSH-Unterstützung für sicheren
                                         Web-Ebene        Zugriff zwischen Ebenen und ist
                                                          konfigurierbar für beschränkten
                                                                                               SCHRITT 7 – SCHUTZ VON ANWEN-
                                   EC2                    Zugriff zwischen Ebenen              DUNGEN DURCH EIN HOSTBASIER-
                                                       Anwendungsebene                         TES SYSTEM ZUR ABWEHR VON EIN-
                                                 EC2
                                                                                               DRINGLINGEN
                                                                   Datenbank-Ebene
                                                                                                       Es reicht jedoch nicht aus, restriktive
                                                             EC2
   Nur Port 80 und 443
                                                                          EBS-Datenträger              Firewall-Richtlinien zu definieren und die
     offen fürs Internet
                                                                                                       AWS EC2-Firewall um eine hostbasierte
       Entwicklungspersonal hat SSH-
                                                                                                       Firewall zu ergänzen. Die herkömmlichen
       Zugriff auf Anwendungs-Ebene,                                                                   Firewalls reduzieren die Angriffsfläche,
            die als Bollwerk dient

                        Autorisierter SSH-Zugriff für Dritte auf
                                                                                                       müssen aber dennoch den Datenverkehr
                          AWS-Ressourcen, z. B. Datenbank-                                             auf offenen Ports zulassen. Wenn die
                             Ebene, kann gewährt werden
                                                     Alle anderen Internet-
                                                                                                       Kunden zum Beispiel eine webbasierte
                                                      Ports standardmäßig         Amazon EC2           Anwendung ausführen, und die Firewall-
                                                            blockiert       Sicherheitsgruppe Firewall
                                                                                                       Richtlinien lassen den Datenverkehr über
  Abbildung 5 – Sicherheitsgruppen                                                                     Port 80 oder Port 443 der Anwendung
                                                                                                       zu, wird dieser Datenverkehr von der
  Firewall nicht blockiert. Die Firewall verfügt nicht über intelligente Funktionen, mit denen festgestellt werden
  kann, ob der zugelassene Datenverkehr auch wirklich rechtmäßig ist. Der Schutz von Anwendungen umfasst
  viele wichtige Elemente, von sicheren Codeverfahren bis hin zu Penetrationstests. Dies könnte ganz einfach
  bedeuten, dass man ein Verfahren einsetzt, das den Zugriff auf verschlüsselte sensible Daten nur bei Bedarf
  zulässt und die Daten nicht zwischenspeichert.

  Heute fordern die Kunden von Unternehmen kurze Entwicklungszyklen sowie mehr und noch vielfältigere
  Funktionen. Dies führt möglicherweise dazu, dass Anwendungsversionen freigegeben werden, die nicht
  richtig geschützt sind und dem Ruf des Kundenunternehmens schaden können. Die Webanwendung
  eines Unternehmens, auf die extern über das Internet zugegriffen werden kann und die mit internen oder
  Fremdtechnologien interagiert, ist unweigerlich anfällig für Sicherheitslücken.

                                                                                                                                                    10
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Zu den häufigsten potenziellen Schwachstellen von Webanwendungen gehören SQL-Injection und Cross-Site-
  Scripting (XSS). Um Anwendungen vor solchen Angriffen zu schützen, sollten die Kunden Schutztechnologien
  für Webanwendungen wie hostbasierte Systeme zur Abwehr von Eindringlingen (HIPS) in Betracht ziehen.
  Eine gute HIPS-Lösung kann durch virtuelles Patching helfen, die Herausforderungen bei der Patch-
  Verwaltung zu bewältigen. Sie schützt vor bekannten Zero-Day-Angriffen und schirmt verschiedene Schwach­
  stellen in Systemen und Anwendungen ab. Bei der Wahl einer HIPS-Lösung sollten die Kunden ihre Computer­
  anwendung mit den Regelsätzen des Herstellers abgleichen, um ausreichend geschützt zu sein. Wenn zum
  Beispiel die Computerumgebung auf Linux basiert und der Regelsatz des Herstellers bei Linux eingeschränkt
  ist, ist die Lösung dieses Herstellers für die Computerarchitektur wohl nicht optimal.

  SCHRITT 8 – INTEGRITÄTSÜBERWACHUNG VON DATEIEN UND PROTOKOLLIERUNG
  Der nächste Schritt besteht darin, die Integrität von kritischen Systemdateien, Anwendungskonfigurations­
  dateien und Anwendungsprotokollen kontinuierlich sicherzustellen. Bei der Datensicherheit wird die
  Integritätsüberwachung von Dateien immer wichtiger. Sie weist frühzeitig auf ein infiziertes System hin
  und ist bei verschiedenen Compliance-Standards wie PCI ein Muss. Die Kunden sollten Lösungen zur
  Integritätsüberwachung von Dateien und zur Protokollanalyse implementieren, um unbefugte Änderungen
  an Systemkomponenten (Dateien, Registrierung, Services, Prozesse und kritische Systemdateien) zu
  erkennen. Die Protokollierung ist ein weiteres wichtiges Element der Datensicherheit. Ohne Protokolle
  können Sicherheitsvorfälle nicht erfasst werden. Vorfälle lassen sich nicht erkennen, wenn Protokoll-
  und Sicherheitsereignisse nicht überwacht werden. Wichtig ist, dass Protokollierungsfunktionen für alle
  Komponenten, die einen Einblick in Computerumgebungen ermöglichen, aktiviert werden. Dazu gehören
  Betriebssysteme, Firewalls, Antiviren-Software, IPS-Software und Anwendungsprotokolle.

  Die Kunden können zwischen vielen Lösungen wählen, von hostbasierten Lösungen bis hin zu MSSP. Wenn
  Kunden bereits eine Überwachungssoftware einsetzen und Protokolle auf einem zentralen Server sammeln,
  sind die Instanzen, die in der Cloud ausgeführt werden, lediglich weitere Ressourcen, die überwacht werden
  müssen. Möglicherweise sind Änderungen an der Firewall-Konfiguration erforderlich, damit Protokolle aus
  der Cloud-Umgebung auf dem lokalen zentralen Protokollserver gespeichert werden können. Außerdem muss
  der Übertragungspfad der Daten geschützt werden.

  SCHRITT 9 – VERTRAULICHE DATEN VERSCHLÜSSELN
  Wichtig ist, dass die Kunden Sicherheitsprüfungen durchführen, die Natur, Vertraulichkeit und Klassifizierung
  der Datenströme bewerten sowie die möglichen Folgen einer Verlagerung vertraulicher Daten in die
  öffentliche Cloud akzeptieren. Vertrauliche Daten können Identitäts- oder Anmeldedaten von Benutzern sowie
  personenbezogene Daten (PII) wie Sozialversicherungsnummern umfassen.

  Werden die Daten in die öffentliche Cloud verlagert, unterliegen sie eventuell unbekannten gesetzlichen
  Vorschriften. Daher ist es wichtig, dass die Kunden ihren Cloud-Anbieter anweisen, die Daten in einer
  bestimmten Region zu speichern. Wenn zum Beispiel ein europäisches Unternehmen Daten in einer zu
  den USA gehörenden Region speichert, unterliegen die Daten dem US-amerikanischen Patriot Act. Nach
  diesem Antiterrorgesetz kann die US-Regierung auf Daten zugreifen, die innerhalb der amerikanischen
  Landesgrenzen gespeichert sind. Bei Amazon können Kunden, die AWS-Services nutzen, direkt angeben, in
  welcher geografischen Region ihre Daten gespeichert werden sollen. Die Kunden sollten Amazon explizit
  informieren, in welcher für die Geschäftstätigkeit geeigneten Region die Datenspeicherung vorzugsweise
  erfolgen soll.

  Befinden sich die Daten einmal in der Cloud, ob in einer öffentlichen Cloud oder einer PVC-Umgebung, sollten
  die Kunden eine Verschlüsselung der Daten in Betracht ziehen, sowohl während der Übertragung als auch im
  Speicher. Wenn die Kunden zum Beispiel vertrauliche Daten zwischen ihrer Webanwendung und dem Browser
  der Benutzer austauschen müssen, sollten sie den Übertragungskanal immer über SSL verschlüsseln. IPSec
  oder SSL sollte dann verwendet werden, wenn die Kunden die Kommunikation von Server zu Server schützen
  müssen, zum Beispiel zwischen ihrem Anwendungswebserver und ihrer Datenbank.

                                                                                                                  11
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Bei der Entscheidung für eine Verschlüsselungsanwendung zum Schutz vertraulicher Daten im Speicher,
  ob für eine Open-Source-Lösung oder eine in das Betriebssystem integrierte Lösung (z. B. Microsoft
  Encrypting File System (EFS), eCryptfs oder eine kommerzielle Lösung), müssen die Kunden jede Lösung
  dahingehend bewerten, ob sie zu ihren Sicherheitsverfahren passt. Reicht es für die Erfüllung der
  Sicherheitsanforderungen aus, einzelne Dateien zu verschlüsseln, oder muss der gesamte Datenträger
  verschlüsselt werden? Weitere wichtige Aspekte bei der Auswahl einer Lösung sind die Schlüsselverwaltung
  und die Aufbewahrungsmethode dieser Schlüssel. Ist es nach den Sicherheitsverfahren erforderlich, die
  Kodierungsschlüssel ausschließlich lokal aufzubewahren? Wenn ja, können Lösungen, die in Betriebssystemen
  integriert sind, nicht verwendet werden, denn dort müssen die Kodierungsschlüssel immer im System
  gespeichert sein.

  In diesem Zusammenhang wird ein Modell diskutiert, das Daten, Anwendungen, Hosts und Netzwerke voll­
  ständig schützt. Bei Verwendung dieses Sicherheitsmodells implementieren die Kunden für ihre Daten
  Sicherheitskontrollen, die aufeinander aufbauen. Damit sind die Daten geschützt, auch wenn eine Sicherheits­
  kontrolle ausfällt. Wenn beispielsweise ein Eindringling die Firewall überwindet, greift das hostbasierte System
  zur Abwehr von Eindringlingen.

  SCHRITT 10 – SCHWACHSTELLENBEWERTUNGEN

                                                                                      Physische Sicherheit
                                                                     Sicherheitspersonal, Sperren, Zugangskontrollen, Schutz der Umgebung

                                                                                       Netzwerksicherheit
                                                                              Netzwerksegmentierung, IDS/IPS auf Netzwerkebene

                                                                                          Host-Sicherheit
                                                                    Serveroptimierung, hostbasierte Firewall, Virenschutz, Patch-Verwaltung,
                                                                   Abwehr von Eindringlingen, Integrität von Dateien & Protokollüberwachung

    S                                                                               Anwendungssicherheit
    I                                                              Abwehr von Eindringlingen, Schwachstellenbewertungen & Penetrationstests
    E

                                                                                          Datensicherheit
                                                                            Datenverschlüsselung und sichere Kommunikation (SSL)

  Abbildung 6 – Tiefgreifendes Sicherheitsmodell

  Das Hauptziel einer Schwachstellenbewertung (Vulnerability Assessment, VA) ist es, möglichst viele
  Schwach­stellen aufzudecken, über die ein Angreifer dem Unternehmen Schaden zufügen könnte. Diese
  Schwach­stellen­bewertung kann für Netzwerke, Systeme oder Webanwendungen des Kunden durchgeführt
  werden. Schwachstellenbewertungen lassen sich mit vielen Tools, Services oder Verfahren, die Tools und
  Services kombinieren, durchführen. Die Bewertung sollte von einem entsprechend geschulten internen oder
  externen Sicherheitsexperten vorgenommen werden, auch wenn die Kunden bereits ein Tool zur Schwach­
  stellen­bewertung einsetzen. Geschulte Sicherheitsexperten finden womöglich mehr Sicherheits­lücken und
  sind den Kunden bei der Feinabstimmung vorhandener Sicherheitskontrollen oder der Einführung neuer
  Kontrollmechanismen behilflich.

  SCHRITT 11 – PENETRATIONSTESTS
  Nachdem die Kunden das gewünschte Sicherheitsprofil für ihre laufenden Instanzen erstellt haben, sollten
  sie die Sicherheit ihrer Systeme mittels Penetrationstests überprüfen. Damit lassen sich Sicherheitslücken
  im System, auch Schwachstellen im Betriebssystem und in Anwendungen, ohne Gefährdung der Installation
  aufdecken.

  Schwachstellenbewertungen zeigen den Kunden zwar, wo Sicherheitslücken bestehen, verdeutlichen aber
  nicht die möglichen Folgen, sollten diese Sicherheitslücken ausgenutzt werden. Eine Schwachstellensuche
  zeigt beispielsweise eine Gefährdung durch SQL-Injection. Bei dem Versuch, diese Sicherheitslücke bei einem

                                                                                                                                               12
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Penetrationstest auszunutzen, könnten personenbezogene Daten oder Daten offen gelegt werden, die für das
  Unternehmen noch kein Risiko darstellen.

  Penetrationstests sind sinnvoll, um die Effektivität von Abwehrmechanismen zu überprüfen. Die Kunden
  können besser feststellen, ob ihre Sicherheitskontrollen echten Angriffen standhalten. Amazon weiß, wie
  überaus wichtig Penetrationstests in einer sicheren Anwendungsumgebung sind und hat daher eine
  Richtlinie eingeführt, nach der Kunden die Genehmigung zur Durchführung von Penetrationstests anfordern
  können. Der PCI Data Security Standard, FISMA, NIST und andere gesetzliche Vorschriften und Branchen­
  bestimmungen sehen ebenfalls Penetrationstests zwingend vor.

  SCHRITT 12 – KONTINUIERLICHES HANDELN UND DAUERHAFTE SICHERHEIT
  Bei herkömmlichen IT-Computing-Modellen ist Sicherheit eine kontinuierliche Aufgabe. Das gilt auch für
  Cloud-Computing-Modelle. Die Kunden müssen am Ball bleiben und ihre Sicherheitsverfahren konsequent
  und dauerhaft umsetzen. Die Verantwortung der Kunden endet nicht mit der Entscheidung für AWS als
  bevorzugtem Anbieter, der Erstellung eines Sicherheitssystems und der Verlagerung von Arbeitslasten
  in die Cloud. Wahrscheinlicher ist, dass die Kunden neue Arbeitslasten in die Cloud übertragen und neue
  Services erwerben, um ihre geschäftlichen Anforderungen zu bewältigen. Wenn sich die Anforderungen
  der Kunden ändern, müssen sie die Veränderungen unter Sicherheitsaspekten bewerten sowie aktualisierte
  oder neue Kontrollen zum Schutz ihrer Installationen einführen. Die Kunden müssen Sicherheitsverwaltung
  als einen kontinuierlichen Prozess begreifen, der möglicherweise beinhaltet, implementierte Kontrollen zu
  dokumentieren und Änderungen zu überwachen.

  Fazit
  Die Cloud bietet viele attraktive Möglichkeiten, um die Agilität und Flexibilität von Unternehmen zu
  verbessern. Wenn Unternehmen diese Vorteile für sich nutzen, müssen sie auch dauerhaft Verantwortung für
  unzählige Sicherheitsaspekte übernehmen. Diese Aspekte sollten nicht davon abschrecken, Cloud-Computing
  einzusetzen. Unternehmen müssen sich aber über die Verantwortung, die dieses Modell der geteilten
  Sicherheit mit sich bringt, im Klaren sein und ihre Sicherheitsverfahren an die neue Umgebung anpassen.

  So schützt Sie Trend Micro auf Ihrem Weg in die Cloud
  Trend Micro ist sich bewusst, dass bei einem umfassenden Einstieg in die Cloud einzigartige Sicherheits­
  herausforderungen bewältigt werden müssen, die die wirtschaftlichen und operativen Vorteile nicht
  gefährden dürfen. Trend Micro arbeitet eng mit Amazon Web Services zusammen, um flexible und skalierbare
  Sicherheitslösungen bereitstellen zu können, die mit der AWS-Umgebung kompatibel sind. Beide Unter­
  nehmen unterstützen Firmen dabei, Sicherheitsbedenken als Haupthindernis bei der Verlagerung von
  Anwendungen in zuverlässige Cloud-Serviceprogramme zu verstehen und zu überwinden.

  Trend Micro bietet unzählige Sicherheitsfunktionen, die für das Modell der geteilten Sicherheit in der
  Cloud erforderlich sind. Diese Funktionen spiegeln die Flexibilität der Cloud wider – schnelle Verteilung und
  automatische Verwaltung.

  Weitere Informationen zu Trend Micro Lösungen für die Cloud finden Sie unter

  HTTP://WWW.TRENDMICRO.DE/TECHNOLOGIE-INNOVATIONEN/INDEX.HTML

                                                                                                                  13
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services

  Zusätzliche Referenzen
  The NIST Definition of Cloud Computing – Special Publication 800-145

  http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf

  Amazon Web Services: Sicherheitsprozesse im Überblick

  http://d36cz9buwru1tt.cloudfront.net/pdf/AWS_Security_Whitepaper.pdf

  Security Guidance for Critical Areas of Focus in Cloud Computing

  https://cloudsecurityalliance.org/guidance/csaguide.v3.0.pdf

  2012 Future of Cloud Computing Survey Results – North Bridge

  http://northbridge.com/2012-cloud-computing-survey

  Cloud Security Market Swelling – TechNavio Research

  http://www.telecomasia.net/content/cloud-security-market-swelling-41-cagr

  AWS IAM Best Practices

  http://docs.amazonwebservices.com/IAM/latest/UserGuide/IAMBestPractices.html

  Informationssicherheit

  http://de.wikipedia.org/wiki/Informationssicherheit

  Sicherheitsgruppen: ein schneller Überblick

  http://aws.typepad.com/aws/security/

  Blog zur Cloud-Sicherheit von Trend Micro

  http://www.trendmicro.de/produkte/deep-security/index.html

  Webinar von Trend Micro & Amazon Web Services zu PCI & Cloud

  http://www.trendmicro.com/cloudpci

                                                                                        14
Über TREND MICRO
Trend Micro, der international führende Anbieter für Cloud-Security, ermöglicht Unternehmen und
Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security
mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte
Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management
erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und
Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des Trend Micro
Smart Protection Network basierenden Technologien, Lösungen und Dienstleistungen wehren
Bedrohungen dort ab, wo sie entstehen: Im Internet. Unterstützt werden sie dabei von mehr als
1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit
Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an.

http://www.trendmicro.de/
http://blog.trendmicro.de/
http://www.twitter.com/TrendMicroDE

                                                                                      TREND MICRO DEUTSCHLAND GMBH

                                                                                      Zeppelinstraße 1
                                                                                      85399 Hallbergmoos
                                                                                      Tel: +49 811 88990-700
                                                                                      Fax: +49 811 88990-799
                                                                                      www.trendmicro.com

  © 2013 Trend Micro Incorporated. Alle Rechte vorbehalten. Trend Micro, das Trend Micro T-Ball-Logo und Smart Protection Network sind Marken
  oder eingetragene Marken von Trend Micro Incorporated. Alle anderen Firmen- bzw. Produktnamen sind Unternehmenskennzeichen oder einge-
  tragene Marken ihrer jeweiligen Eigentümer. Die in diesem Dokument enthaltenen Informationen können sich ohne vorherige Ankündigung ändern.
Sie können auch lesen