Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Ein Trend Micro Whitepaper | April 2013
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Inhalt Die Fakten im Überblick ................................................................................................................................................. 2 Was ist Cloud-Computing?.............................................................................................................................. 2 Servicemodelle.................................................................................................................................................. 3 Implementierungsmodelle.............................................................................................................................. 5 Sicherheitsverantwortlichkeiten nach Cloud-Servicemodell .................................................................................. 5 Sicherheitsverantwortung gemeinsam mit Cloud-Serviceanbietern...................................................................... 6 Administrative Kontrollen............................................................................................................................... 6 Physische Kontrollen........................................................................................................................................ 6 Logische Kontrollen.......................................................................................................................................... 7 Cloud-Sicherheit und IaaS – eine gemeinsame Verantwortung............................................................................... 7 Schritte für einen sicheren Einstieg in die Cloud....................................................................................................... 8 Schritt 1 – Zugang über IAM statt direkt über das AWS-Root-Konto...................................................... 8 Schritt 2 – Richtlinien für sichere Kennwörter........................................................................................... 8 Schritt 3 – Multi-Faktor-Authentifizierung für privilegierte Benutzer................................................... 8 Schritt 4 – Einrichtung eines sicheren Amazon Machine Image (AMI).................................................. 9 Schritt 5 – Schutz des Gast-Betriebssystems............................................................................................. 9 Schritt 6 – Restriktive Firewall-Richtlinien und HOSTBASIERTE Firewalls..........................................10 Schritt 7 – Schutz von Anwendungen durch ein HOSTBASIERTES System zur Abwehr von Eindringlingen...............................................................................................................................10 Schritt 8 – Integritätsüberwachung von Dateien und Protokollierung..................................................11 Schritt 9 – Vertrauliche Daten verschlüsseln..............................................................................................11 Schritt 10 – Schwachstellenbewertungen...................................................................................................12 Schritt 11 – Penetrationstests........................................................................................................................12 Schritt 12 – Kontinuierliches Handeln und dauerhafte Sicherheit ........................................................13 Fazit....................................................................................................................................................................................13 So schützt Sie Trend Micro auf Ihrem Weg in die Cloud..........................................................................................13 Zusätzliche Referenzen..................................................................................................................................................14 Abbildungsverzeichnis Abbildung 1 – Grafische Definition von Cloud-Computing nach NIST .................................................................... 3 Abbildung 2 – Kontrolle seitens des Kunden und des Serviceanbieters................................................................ 4 Abbildung 3 – Sicherheitsverantwortung im SPI-Modell.......................................................................................... 5 Abbildung 4 – Modell der geteilten Zuständigkeiten................................................................................................. 7 Abbildung 5 – Sicherheitsgruppen...............................................................................................................................10 Abbildung 6 – Tiefgreifendes Sicherheitsmodell.......................................................................................................12 1
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Die Fakten im Überblick Cloud-Computing scheint wie aus dem Nichts aufgetaucht zu sein, ist aber eigentlich bereits seit Jahrzehnten ein bekanntes IT-Konzept. Entstanden ist Cloud-Computing aus dem „Time Sharing“-Modell der 1950er Jahre, bei dem Ressourcen gemeinsam verwendet wurden, und hat sich zur „Grid Computing“-Technologie der 1990er Jahre hin entwickelt. Durch Breitbandverbindungen wurde das Internet schnell allgegenwärtig und heute verlagern Unternehmen aller Größen ihre IT-Aktivitäten in die Cloud. Die Einführung der Cloud vollzieht sich in einem rasanten Tempo, zumal Services durch technologische Fortschritte wie High-Speed-Internet und hocheffiziente Fertigung unterstützt werden. Durch diese Fortschritte konnten Speicherkosten gesenkt werden, und Serviceanbieter die Erwartungen der Kunden erfüllen und noch übertreffen. Durch die rasante Einführung der Cloud müssen sich Anwender jedoch mit einzigartigen und komplexen Sicherheitsaspekten auseinandersetzen. Unternehmen müssen nun bei der Einführung eines Cloud-Computing-Modells die Auswirkungen auf ihr Risikoprofil, d. h. Aspekte der Datensicherheit, des Datenschutzes und der Datenverfügbarkeit, bedenken. Komplizierter wird diese Bewertung noch durch den Umstand, dass sie im Rahmen der ultimativen Sicherheit von Cloud-Installationen eine Partnerschaft mit dem Anbieter der Cloud-Services eingehen. Aspekte wie physischer Schutz, Integrität der Konfiguration und Sicherheitsprüfung des Personals liegen nun in den Händen des Anbieters, den die meisten Unternehmen, die die Cloud nutzen, nie zu Gesicht bekommen. Nach der Umfrage von North Bridge aus dem Jahr 2012 zur Zukunft von Cloud-Computing nennen Unter nehmen als einen Grund für den Verzicht auf die Einführung von Clouds am häufigsten Bedenken in puncto Datensicherheit und Datenschutz. Die Forscher gehen davon aus, dass Cloud-Sicherheit einer der Haupt antriebsfaktoren für den Einsatz von Cloud-Computing sein wird. Auch der Bericht von Gartner mit dem Titel „Global IT Council for Cloud Services“ hat gezeigt, dass über 50 % der Unternehmen sich beim Übergang in die Cloud an erster Stelle Sorgen um die Sicherheit machen. Es überrascht daher nicht, dass nach einer Studie von TechNavio der globale Markt für Cloud-Sicherheitssoftware im Jahr 2014 voraussichtlich 963,4 Millionen US‑Dollar erreichen soll. Die Kunden verstehen zunehmend, wie wichtig die Sicherheit in der Cloud ist. Daher werden Sie von den Cloud-Anbietern fordern, dem Thema Sicherheit Priorität einzuräumen, um sich damit vom übrigen Markt abzuheben und sich einen Wettbewerbsvorsprung zu verschaffen. Amazon Web Services (AWS) hat durch die Schaffung einer soliden Grundlage mit umfangreichen administrativen, physischen und logischen Kontrollen – von strengen Richtlinien für den physischen Zugriff auf Rechenzentren bis hin zu gut durchdachten Verfahren für die Verwaltung von Konfigurationsänderungen – hohe Standards für die gesamte Branche im Bereich Infrastructure as a Service (IaaS) gesetzt. Eine sichere Grundlage ist allerdings erst der Anfang. Für eine sichere End-to-End-Computerumgebung müssen Unternehmen beim Schutz von Systemen, Anwendungen und Daten eine aktive Rolle im gemeinsamen AWS‑Sicherheitsmodell übernehmen. Dieses Whitepaper erläutert, für welchen Teil die Kunden bei diesem gemeinsamen Modell verantwortlich sind, und beschäftigt sich mit einigen der empfohlenen Sicherheitsverfahren, die zu einer sicheren Computerumgebung in der Cloud beitragen können. Was ist Cloud-Computing? „Cloud-Computing“ ist derzeit in aller Munde, und häufig wird der Begriff auf ganz unterschiedliche Computerinstallationen angewendet. Um Cloud-Computing in seinen verschiedenen Ausprägungen zu begreifen, muss man sich mit den Ansätzen beschäftigen. Das US-amerikanische National Institute of Standards and Technology (NIST) definiert Cloud-Computing anhand von fünf wesentlichen Eigenschaften, drei Cloud-Servicemodellen und vier Cloud-Implementierungs modellen. Die Abbildung auf der nächsten Seite zeigt eine Grafik zu Cloud-Computing nach NIST. 2
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Das Modell definiert eine Reihe von Service- und Implementierungsmodellen, die relevant für die Beurteilung sind, welcher Partner für welche Form der Sicherheit verantwortlich ist. Ressourcen- Schnelle Nutzungsabhängiger Self-Service Pooling Flexibilität Service nach Bedarf Wesentliche Eigenschaften Ressourcen-Pooling Software as a Service Platform as a Service Infrastructure as a Service- (SaaS) (PaaS) Service (PaaS) modelle Implementierungs- Öffentlich Privat Hybrid Community modelle Abbildung 1 – Grafische Definition von Cloud-Computing nach NIST Servicemodelle Die drei häufigsten Servicemodelle für Cloud-Computing sind die folgenden: INFRASTRUCTURE AS A SERVICE (IAAS) Den Kunden werden Verarbeitungs-, Speicher- und weitere grundlegende Computerressourcen zur Verfügung gestellt, auf denen sie beliebige Softwareprogramme, wie Betriebssysteme und Anwendungen, installieren und ausführen können. Die eigentliche Cloud-Infrastruktur verwalten und steuern die Kunden nicht. Sie kontrollieren jedoch die Betriebssysteme, den Speicherplatz sowie die installierten Anwendungen. (Beispiele: AWS von Amazon und Terremark) PLATFORM AS A SERVICE (PAAS) Die Kunden können in der Cloud-Infrastruktur eigene Anwendungen oder Anwendungen Dritter installieren und dabei Programmiersprachen, Bibliotheken, Services und Tools nutzen, die von dem jeweiligen Anbieter unterstützt werden. Die eigentliche Cloud-Infrastruktur, einschließlich Netzwerke, Server, Betriebssysteme oder Speicherplatz, verwalten und steuern die Kunden nicht. Sie kontrollieren jedoch die installierten Anwendungen und möglicherweise die Konfigurationseinstellungen der Hostumgebung, in der die Anwen dungen ausgeführt werden. (Beispiele: Google AppEngine und Microsoft Azure) 3
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services SOFTWARE AS A SERVICE (SAAS) Die Kunden können Anwendungen des Anbieters nutzen, die in der Cloud-Infrastruktur ausgeführt werden. Der Zugriff auf die Anwendungen erfolgt über verschiedene Client-Geräte, d. h. entweder über eine Thin‑Client-Schnittstelle wie einen Webbrowser (z. B. webbasierte E-Mails) oder eine Programmschnittstelle. Die Kunden verwalten oder steuern die darunter liegende Cloud-Infrastruktur, wie Netzwerke, Server, Betriebssysteme, Speicherplatz oder individuelle Anwendungsfunktionen nicht, können jedoch möglicher weise mit Einschränkungen auf benutzerspezifische Konfigurationseinstellungen von Anwendungen zugreifen. (Beispiele: Salesforce.com, Trend Micro Hosted Mail Service) Das folgende Diagramm des PCI Security Standards Council ist ein gutes Beispiel dafür, wie sich bei den verschiedenen Modellen Kunde und Serviceanbieter die Kontrolle teilen. Client CSP (Cloud Service Provider) Servicemodelle Cloud-Ebene IaaS PaaS SaaS Daten Schnittstellen (APIs, GUIs) Anwendungen Lösungs-Stack (Programmiersprachen) Betriebssysteme Virtuelle Maschinen Virtuelle Netzwerkinfrastruktur Hypervisoren Verarbeitung und Speicher Datenspeicherung (Festplatten, Wechseldatenträger, Backups usw.) Netzwerk (Schnittstellen und Geräte, Kommunikationsinfrastruktur) Physische Einrichtungen / Rechenzentren Abbildung 2 – Kontrolle seitens des Kunden und des Serviceanbieters 4
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Implementierungsmodelle Die Kunden nutzen die Services ihrer Anbieter ebenfalls unterschiedlich. In der Regel lassen sich die folgenden drei Modelle ableiten. ÖFFENTLICH Diese Form der Cloud-Infrastruktur ist für die Öffentlichkeit oder eine große Branchengruppe zugänglich. Unternehmen, die diesen Cloud-Service anbieten, sind in der Regel Eigentümer der Infrastruktur, die sie verwalten und betreiben. VIRTUELL PRIVAT ODER LOKAL VIRTUALISIERT Die Cloud-Infrastruktur wird für ein Unternehmen allein betrieben. Sie kann von dem Unternehmen selbst oder von Dritten verwaltet werden und sich lokal am Standort des Unternehmens oder extern befinden. HYBRID-IT Die Cloud-Infrastruktur besteht aus mindestens zwei Clouds (privat, Community oder öffentlich), die eigenständig bleiben, jedoch durch standardisierte oder proprietäre Technologien verbunden sind. Die jeweilige Technologie ermöglicht die Portabilität von Daten und Anwendungen (z. B. Cloud-Bursting für eine ausgeglichene Verteilung der Lasten auf die einzelnen Clouds). Für jedes Cloud-Modell und jeden Cloud-Kunden gibt es unzählige spezifische Sicherheitsmerkmale. Bei den Sicherheitsaufgaben der Anbieter gibt es je nach Cloud-Modell große Unterschiede. Sicherheitsverantwortlichkeiten nach Cloud-Servicemodell Um die Sicherheitsanforderungen der Arbeitslasten in der Cloud bewältigen zu können, müssen Unternehmen zunächst wissen, wer für den Schutz dieser Arbeitslasten zuständig ist. Die Rollen und Verantwortlichkeiten richten sich nach den verschiedenen Cloud-Computing-Servicemodellen. Der Cloud-Anbieter eines IaaS-Modells ist in der Regel für die Sicherheit der IAM & Anwendungs WENIGER kontrollen betreffenden Infrastruktur ver Mehr antwortlich, wohingegen bei einem SaaS-Modell der Cloud-Anbieter die C On-Demand-Apps (allgemein & speziell) C Infrastruktur und die Anwendungen L Salesforce.com, Trend Micro HouseCall usw. L O schützen muss. Die Verantwortung der O U U Anbieter für die Implementierung D Betriebssystem- & D von Sicherheitskontrollen wächst mit - Middleware-Kontrollen - jeder höheren Stufe im SPI-Modell A N (d. h. SaaS, PaaS, IaaS). Die Verant N Entwicklerplattform & Tools für U B benutzerdefinierte Anwendungen wortung des Cloud-Kunden nimmt ab, T I Google AppEngine und Microsoft Azure usw. Z je weiter man im SPI-Modell nach E E unten geht. Die Abbildung auf der T R linken Seite zeigt dieses Konzept der E Physische & Netzwerk kontrollen Zuständigkeiten. R Rechenleistung, Speicher- & Netzwerk Abbildung 3 – Sicherheitsverantwortung im ressourcen Mehr SPI-Modell WENIGER Amazon EC2, Terremark usw. Das IaaS-Modell, zu dem auch Amazon Web Services (AWS) gehört, bietet beispielsweise Unternehmen größtmögliche Freiheit bei der Nutzung der Vorteile von Cloud-Computing, 5
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services erfordert aber von den Kunden eine aktive Rolle beim Schutz ihrer eigenen Daten und Anwendungen. Daher ist bei der Wahl von AWS als Anbieter wichtig, bewährte Methoden zur Risikoabwehr zu kennen und zu wissen, ob sich das angebotene IaaS-Modell in einer öffentlichen oder privaten virtuellen Cloud (PVC) befindet. Sicherheitsverantwortung gemeinsam mit Cloud-Serviceanbietern Die besonderen Bedrohungen, denen Cloud-Computing-Installationen ausgesetzt sind, sind nicht neu. Lediglich die Maßnahmen zur Bedrohungsabwehr und die Zuständigkeiten sind andere. „Bedrohungen von innen“ treten beispielsweise nicht nur in einem herkömmlichen IT-Modell auf, sondern auch in einem Cloud- Computing-Modell. Bei Cloud-Services stellt der Cloud-Serviceanbieter die Hauptkontrollmechanismen, wie administrative und physische Kontrollen bereit, die diese Art von Bedrohungen abwehren können. Entscheidet sich ein Unternehmen seine Daten zu schützen, wird mindestens eine der drei Kontrollformen implementiert. ADMINISTRATIVE KONTROLLEN Administrative Kontrollen (auch als Verfahrenskontrollen bezeichnet) umfassen genehmigte schriftliche Richtlinien, Verfahren, Standards und Leitfäden. Administrative Kontrollen bilden den Rahmen für den Geschäftsbetrieb und das Mitarbeitermanagement. Werden Arbeitslasten in einer traditionellen IT‑Infrastruktur eines Unternehmens ausgeführt, geht man von einer vertrauenswürdigen Umgebung aus, die sich entweder physisch direkt im Unternehmen befindet und/oder unmittelbar von dem Unternehmen verwaltet wird. Die Netzwerkinfrastruktur unterliegt einer vollständigen Kontrolle. Dazu gehören auch der physische Zugriff auf die Installation, Hintergrundprüfungen bei der Einstellung neuer Mitarbeiter und die Implementierung von Verfahren der Änderungsverwaltung. Bei der Migration in die Cloud befinden sich Anwendungen und Daten in einer Umgebung, die das Unter nehmen nicht unmittelbar kontrolliert. Die Infrastruktur wird separat verwaltet, gewartet und von dem Cloud- Anbieter extern gehostet. Statt die IT-Umgebung direkt durch die Implementierung verschiedener, von dem Unternehmen definierter Mechanismen zu steuern, erfolgt die Kontrolle nun durch den Cloud-Serviceanbieter und nach seinem entsprechenden Service Level Agreement (SLA). Daher ist es für Unternehmen bei der Wahl eines Cloud-Anbieters wichtig zu wissen, ob spezielle administrative Kontrollen, Branchenzertifizierungen und Bescheinigungen Dritter vorhanden sind. Für AWS finden Sie diese Informationen unter www.amazon.com/aws. PHYSISCHE KONTROLLEN Physische Kontrollen überwachen und steuern die Umgebung von Arbeitsplatzrechnern und Computer anlagen. Sie überwachen und kontrollieren auch den Zugriff auf und von diesen Anlagen. Administrative und technische Kontrollen hängen letztlich von den richtigen physischen Sicherheitskontrollen ab. Verwaltungs richtlinien, die den Zugriff auf Rechenzentren nur autorisierten Mitarbeitern gestatten, gehen ins Leere, wenn es keine physischen Zugriffskontrollen gibt, die den Zugang nicht berechtigter Mitarbeiter verhindern. Bei einem herkömmlichen IT-Modell ist das Unternehmen für die physischen Kontrollen zum Schutz der Computeranlagen verantwortlich. Die Netzwerk- und Arbeitsplatzumgebung ist davon getrennt und wird durch entsprechende Maßnahmen geschützt. Beim Übergang zu Cloud-Services ist der Cloud-Anbieter für die Implementierung physischer Kontrollen zuständig. Wichtig ist es, die spezifischen physischen Kontrollen zu kennen und diese so anzupassen, dass die Anforderungen des Unternehmens erfüllt werden. Die AWS-Infrastruktur befindet sich zum Beispiel in von Amazon kontrollierten Rechenzentren auf der ganzen Welt. Wo sich diese Rechenzentren genau befinden, wissen innerhalb von AWS nur Personen, die für den Zutritt einen legitimen Geschäftsgrund haben. Die Rechenzentren selbst werden über eine Vielzahl von physischen Kontrollen geschützt, die allesamt einen nicht autorisierten Zugang verhindern. So gibt es beispielsweise Sicherheitspersonal, mehrere Authentifizierungsverfahren und eine Zwei-Faktor-Authentifizierung. 6
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services LOGISCHE KONTROLLEN Bei logischen Kontrollen (auch als technische Kontrollen bezeichnet) wird der Zugang zu Informationen und Computersystemen mithilfe von Softwareprogrammen und Daten überwacht und gesteuert. Zu den logischen Kontrollen zählen beispielsweise Kennwörter, Netzwerk- und hostbasierte Firewalls, Systeme zur Abwehr von Eindringlingen, Zugriffskontrolllisten und die Datenverschlüsselung. Die Kontrolle über die Implementierung von logischen Kontrollen ist unterschiedlich und richtet sich nach dem Cloud-Servicemodell. Bei IaaS-Cloud-Servicemodellen haben Sie die vollständige Kontrolle über die Realisierung der zu den Systemen (d. h. Instanzen) gehörenden logischen Kontrollen. Bei der Auswahl von logischen Kontrollen zum Schutz von Instanzen sollten Sie sich die folgenden Fragen stellen: • Ist die gewählte Kontrolle bedarfsabhängig skalierbar? • Ist sie „cloudfähig“ und so in die API des Anbieters integriert, das ein Skalieren der Instanzen nach oben und unten sofort sichtbar wird? • Lässt sie sich aus der bestehenden IT-Infrastruktur heraus auf die Cloud-Infrastruktur erweitern, um Sicherheitsrichtlinien konsistent durchsetzen und eine einzige Schnittstelle zur Richtlinienverwaltung bereitstellen zu können? • Ist sie in der Lage, neue Ressourcen automatisch zu erkennen und die erforderlichen Zugriffskontrollen zu installieren? • Können Sicherheitsrichtlinien umgesetzt werden, sobald die Instanz online geht, um so Sicherheits lücken zu reduzieren? • Lässt sie sich in Tools zur Cloud-Verwaltung integrieren? Ist die gewählte Kontrolle „cloudfähig“, wenn beispielsweise eine Verschlüsselungslösung eingesetzt wird, die Daten im Speicher verschlüsselt? Die Vorteile von technologischen Lösungen, die eine zentrale Verwaltung von aktuellen internen Infrastrukturen und der Cloud ermöglichen, liegen auf der Hand. Cloud-Sicherheit und ANWENDUNG Sicherheit des Gast- IaaS – eine gemeinsame S Betriebssystems, Identitäts- & Verantwortung S I MIDDLEWARE Zugangsmanagement, I Anwendungs Unternehmen, die die Vorteile sicherheit, E von Cloud-Anbietern nutzen, C Überwachung & GAST-BETRIEBSSYSTEM (virtualisiert) Audits H übernehmen auch Verantwortung E in puncto Sicherheit. Das neben R stehende Modell zeigt noch H A ausführlicher die Bereiche, für HYPERVISOR (Host-Betriebssystem) Physische Sicherheit, E M Virtualisierungs die Unternehmen zuständig sind, sicherheit, Schutz I A der Umgebung, wenn sie eine IaaS-Architektur COMPUTER NETZWERK SPEICHER Netzwerksicherheit, T Z administrative wie AWS einsetzen, sowie O GLOBALE PHYSISCHE ARCHITEKTUR Kontrolle, die zugehörigen Sicherheits Zertifizierung & N (Regionen & Availability Zones) Akkreditierungen kontrollen und Sicherheits verfahren. Abbildung 4 – Modell der geteilten Zuständigkeiten AWS bietet Sicherheit bis zum Hypervisor, stellt also Kontrollen für physische Sicherheit sowie Umgebungs- und Virtualisierungssicherheit bereit. Der Cloud-Kunde ist für die Sicherheitskontrollen des IT‑Systems zuständig. Dazu gehören u. a. das Gast-Betriebssystem, Middleware- Technologien und -anwendungen. 7
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Schritte für einen sicheren Einstieg in die Cloud AWS-Kunden tragen die Verantwortung für ihre Arbeitslasten, die in AWS ausgeführt werden. Sie müssen unter anderem ihre Instanzen schützen, die dort laufenden Anwendungen und ihre AWS-Anmeldedaten. Amazon stellt Tools wie AWS IAM (Identity & Access Management), MFA (Multi-Factor Authentication), Sicherheitsgruppen und AWS Cloud-HSM bereit, und unterstützt damit die Kunden bei ihren Sicherheits aufgaben. Darüber hinaus empfiehlt Amazon den Einsatz von Sicherheitslösungen anderer Hersteller, um für alle Arbeitslasten eine rundum sichere Umgebung zu schaffen. Im Folgenden werden einige der bewährten Methoden erläutert, mit denen sich AWS-Anmeldedaten, Gast- Betriebssysteme, Anwendungssoftware und/oder die Konfiguration der AWS-Sicherheitsgruppen-Firewall besser schützen lassen. Mit diesen Methoden lässt sich eine sichere Computerumgebung aufbauen. SCHRITT 1 – ZUGANG ÜBER IAM STATT DIREKT ÜBER DAS AWS-ROOT-KONTO Für den Zugriff auf AWS wird zunächst ein AWS-Konto erstellt. Mit diesem Root-Konto kann auf alle AWS- Ressourcen einschließlich Rechnungsdaten zugegriffen werden. Es wird empfohlen, statt dieses Kontos den AWS IAM-Service zu verwenden, um für die Interaktion mit AWS Benutzer, Benutzergruppen und -rollen anzulegen. AWS-Konten lassen sich einfach und noch sicherer verwalten, wenn die Kunden Benutzer und Gruppen erstellen und diesen spezifische Berechtigungen nach funktionalen Anforderungen zuweisen. Die Zuweisung von Berechtigungen, über die die Benutzer auf AWS-Ressourcen zugreifen, erfolgt auf die gleiche Weise wie in einem traditionellen IT-Modell, d. h. durch die Erteilung von Berechtigungen auf Gruppenebene. Gruppen bezogene Berechtigungen lassen sich einfacher verwalten als Berechtigungen für einzelne Benutzer. Gruppen können nach Position (z. B. Administratoren, Manager, Tester usw.) angelegt werden. Jeder Gruppe werden die entsprechenden Berechtigungen zugewiesen. Dann erfolgt die Zuordnung der IAM-Benutzer zu diesen Gruppen. Beim Erstellen von Sicherheitsrichtlinien (verschiedene Berechtigungen) für die Steuerung des Zugriffs auf AWS-Ressourcen sollte das „Least-Privilege-Modell“ verwendet werden. Dieses Modell erfordert vom Kunden einigen Rechercheaufwand. So müssen die verschiedenen Berechtigungen korrekt bestimmt werden, damit die Benutzer ihre tätigkeitsbezogenen Aufgaben erfüllen können. Die Benutzer können auch AWS IAM- Gruppen verwenden und so das Sicherheitsverfahren der Aufgabentrennung umsetzen. Amazon stellt als Teil der AWS-Lösung Standard-Richtlinienvorlagen mit definierten Berechtigungen bereit. Diese Vorlagen lassen sich für gängige Anwendungsfälle wie Administratorzugriff und reinen Lesezugriff verwenden. SCHRITT 2 – RICHTLINIEN FÜR SICHERE KENNWÖRTER Die Notwendigkeit von Richtlinien für sichere Kennwörter liegt auf der Hand. Nichtsdestotrotz ist es überaus wichtig, dass Kennwörter weder erraten noch geknackt werden können. Die Rolle, die Kennwörter beim Schutz von Kundensystemen spielen, wird häufig unterschätzt oder außer Acht gelassen. Kennwörter sind die erste Verteidigungslinie beim Schutz vor einem unberechtigten Systemzugriff. Bei Amazon können Kunden Kennwortrichtlinien definieren und umsetzen. Sie bestimmen beispielsweise die Mindestlänge des Kennworts und ob das Kennwort ein nicht-alphabetisches Zeichen enthalten muss. Die Kunden sollten Richtlinien für sichere Kennwörter definieren und implementieren. Daher müssen die Benutzer ihre Anmeldedaten regelmäßig, z. B. alle 90 Tage, aktualisieren. SCHRITT 3 – MULTI-FAKTOR-AUTHENTIFIZIERUNG FÜR PRIVILEGIERTE BENUTZER Bei der Umsetzung von Richtlinien für sichere Kennwörter im Rahmen der Authentifizierung und bei Ver wendung des AWS IAM-Services für die Festlegung von Autorisierungsebenen sollte bei privilegierten Benutzern und Benutzern mit Administratorrechten die Multi-Faktor-Authentifizierung (MFA) in Betracht gezogen werden. AWS MFA ist eine zusätzliche Sicherheitsebene, die eine erweiterte Kontrolle über AWS- Kontoeinstellungen bietet. Weiterhin lassen sich mit MFA die AWS-Services und -Ressourcen verwalten. 8
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Viele Unternehmen benötigen heute zusätzliche Sicherheitskontrollen, wenn Benutzer als Administratoren weitreichenden Zugriff auf das System haben. Daher sollten die AWS-Ressourcen geschützt werden, indem AWS MFA für alle privilegierten Benutzer aktiviert wird. Ein privilegierter Benutzer könnte auf Instanzen zugreifen und aufgrund seiner Berechtigungen Betriebsabläufe zum Erliegen bringen. So hat beispielsweise ein privilegierter Benutzer Zugriff auf AWS-Ressourcen und Berechtigungen, mit denen er Produktions instanzen beenden kann. Ist MFA aktiviert, müssen diese Benutzer beim Zugriff auf AWS-Websites oder -Services einen einzigartigen Authentifizierungscode ihres Authentifizierungsgerätes eingeben. Damit bietet AWS MFA zusätzliche Sicherheit und verhindert, dass nicht autorisierte Personen, die E-Mail-Adressen und Kennwörter kennen, die Systemkontrollen umgehen können. Amazon bietet bei MFA zwei Aktivierungsoptionen: über Hardware-Token-Geräte von Drittanbietern oder über Software-Tokens und einen virtuellen Token-Service mit einer AWS MFA-kompatiblen Anwendung auf einem Smartphone, Tablet-PC oder Computer. SCHRITT 4 – EINRICHTUNG EINES SICHEREN AMAZON MACHINE IMAGE (AMI) Ein Amazon Machine Image (AMI) ist eine vorkonfigurierte Betriebssystemvorlage oder eine angepasste Konfigurations-AMI zum Erstellen einer virtuellen Maschine auf Amazon EC2 (Elastic Compute Cloud). Der Kunde trägt die Verantwortung dafür, dass vor der Verwendung einer AMI-Instanz zum Hosten von Anwendungen die erforderlichen Sicherheitsprüfungen durchgeführt werden. Der Kunde hat vollständigen Root-Zugriff oder die administrative Kontrolle über dieses virtuelle System. AWS besitzt für Instanzen des Kunden keine Zugriffsrechte, kann sich nicht bei dem Gast-Betriebssystem anmelden und somit keine Garantie für die Integrität oder Sicherheit einer solchen Instanz übernehmen. Die Kunden sollten daher das Betriebssystem in mehreren Schritten soweit optimieren und schützen, dass nur die benötigten Anwendungen und Services aktiviert sind. Damit lässt sich die Angriffsfläche verringern, wenn die ausgeführten Softwareservices gestrafft werden und die Konfiguration von Instanzen auf das absolute Minimum beschränkt wird – zum Beispiel durch die Deaktivierung des kennwortbasierten Zugriffs auf Hosts, die Verwendung einer Multi-Faktor-Authentifizierung für den Zugriff auf kritische Instanzen und die Deaktivierung der Anmeldung bei „Root“-Konten per Fernzugriff. SCHRITT 5 – SCHUTZ DES GAST-BETRIEBSSYSTEMS Amazon verfügt über einen überaus stabilen Prozess zur Implementierung und Verwaltung administrativer und physischer Kontrollen sowie zum Schutz der Virtualisierungs- oder Hypervisor-Ebene (Host-Betriebs system). Die Kunden sind jedoch dafür zuständig, ihre AWS-Instanzen kontinuierlich zu warten, diese mit Sicherheitskontrollen vor Angriffen zu schützen und die Wirksamkeit von Kontrollen regelmäßig zu überprüfen. Amazon EC2 stellt Tools wie AWS-Sicherheitsgruppen zur Verfügung, mit denen sich cloudbasierte Server schützen lassen. Die Kunden sollten diese grundlegenden Tools nutzen, um einen Basisschutz bereitzustellen, und im Anschluss weitere Sicherheitsmaßnahmen über technische Lösungen realisieren, z. B. Virenschutz, hostbasierte Firewalls, hostbasierter Schutz vor Eindringlingen, Integritätsüberwachung von Dateien, Logüberprüfung, Verschlüsselungs- und Schlüsselverwaltung. Der Schutz des Gast-Betriebssystems umfasst auch regelmäßige Sicherheitsupdates und Betriebssystem patches. So kann beispielsweise die Aktualisierung von Sicherheitspatches für Instanzen, auf denen Webanwendungen permanent ausgeführt werden, äußerst schwierig und kostspielig sein. Um die Patch- Verwaltung zu vereinfachen, sollten Kunden Lösungen zur Abschirmung von Schwachstellen, sogenanntes „virtuelles Patching“ einsetzen. Damit werden die Ziele in puncto Anwendungsverfügbarkeit erreicht, ohne dass die Sicherheit beeinträchtigt wird. 9
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services SCHRITT 6 – RESTRIKTIVE FIREWALL-RICHTLINIEN UND HOSTBASIERTE FIREWALLS Amazon EC2 stellt zum Schutz von cloudbasierten Servern Tools wie die AWS EC3-Firewall bereit. Jede Amazon EC2-Instanz wird durch mindestens eine Sicherheitsgruppe mit unterschiedlichen Firewall-Regeln geschützt. Diese Regeln legen für das Netzwerk fest, welche Daten zu den jeweiligen Instanzen gelangen. Die Firewall arbeitet standardmäßig im DENY-Modus, und die Kunden müssen explizit alle benötigten Ports öffnen, um eingehende Datenströme zuzulassen. Häufig enthalten die Firewall-Richtlinien allzu großzügige Regeln, die Sicherheitslücken erzeugen. Die Kunden sollten ihre Firewall-Richtlinien enger fassen und nur die Kommunikation zulassen, die unbedingt notwendig ist. Sie sind für ein instanzenorientiertes, restriktives Datenverkehrsmanagement- und Sicherheitskonzept zuständig. Die Kunden sollten zum Beispiel den Fernzugriff (RDP oder SSH) nicht für alle Produktionsinstanzen öffnen, sondern stattdessen „Bastion Hosts“ für den Fernzugriff auf Produktionsinstanzen verwenden und den administrativen Zugriff auf den „Bastian Host“ des externen Netzwerks beschränken. Die AWS EC2-Sicherheitsgruppen bieten den Kunden eine Basis-Firewall mit Semi-Stateful-Schutzfunktionen, die nur den eingehenden Datenverkehr überwacht (außer bei Verwendung der AWS VPC-Services). Sie verhindert nicht, dass ein Server ausgehende Datenströme initiiert, und besitzt keine Protokollierungs optionen für konfigurierte Regeln, die in bestimmten Fällen wichtig sein könnten, so zum Beispiel bei der Fehlersuche und Überwachung. Den Kunden wird empfohlen, diese Sicherheitsgruppen zu verwenden, um den ausgehenden Datenverkehr einzuschränken, und weitere Sicherheitsverfahren zu implementieren. Hier können Technologien wie hostbasierte Firewalls eingesetzt werden, die die Netzwerksicherheit für Amazon EC2 erhöhen. Die Kunden sollten eine hostbasierte bidirektionale Stateful-Firewall mit Protokollierungs- und Warnfunktionen wählen. Damit können sie ein Sicherheitsprofil mit umfassenden Abwehrmechanismen erstellen. AWS betreibt ein privates Netzwerk mit SSH-Unterstützung für sicheren Web-Ebene Zugriff zwischen Ebenen und ist konfigurierbar für beschränkten SCHRITT 7 – SCHUTZ VON ANWEN- EC2 Zugriff zwischen Ebenen DUNGEN DURCH EIN HOSTBASIER- Anwendungsebene TES SYSTEM ZUR ABWEHR VON EIN- EC2 DRINGLINGEN Datenbank-Ebene Es reicht jedoch nicht aus, restriktive EC2 Nur Port 80 und 443 EBS-Datenträger Firewall-Richtlinien zu definieren und die offen fürs Internet AWS EC2-Firewall um eine hostbasierte Entwicklungspersonal hat SSH- Firewall zu ergänzen. Die herkömmlichen Zugriff auf Anwendungs-Ebene, Firewalls reduzieren die Angriffsfläche, die als Bollwerk dient Autorisierter SSH-Zugriff für Dritte auf müssen aber dennoch den Datenverkehr AWS-Ressourcen, z. B. Datenbank- auf offenen Ports zulassen. Wenn die Ebene, kann gewährt werden Alle anderen Internet- Kunden zum Beispiel eine webbasierte Ports standardmäßig Amazon EC2 Anwendung ausführen, und die Firewall- blockiert Sicherheitsgruppe Firewall Richtlinien lassen den Datenverkehr über Abbildung 5 – Sicherheitsgruppen Port 80 oder Port 443 der Anwendung zu, wird dieser Datenverkehr von der Firewall nicht blockiert. Die Firewall verfügt nicht über intelligente Funktionen, mit denen festgestellt werden kann, ob der zugelassene Datenverkehr auch wirklich rechtmäßig ist. Der Schutz von Anwendungen umfasst viele wichtige Elemente, von sicheren Codeverfahren bis hin zu Penetrationstests. Dies könnte ganz einfach bedeuten, dass man ein Verfahren einsetzt, das den Zugriff auf verschlüsselte sensible Daten nur bei Bedarf zulässt und die Daten nicht zwischenspeichert. Heute fordern die Kunden von Unternehmen kurze Entwicklungszyklen sowie mehr und noch vielfältigere Funktionen. Dies führt möglicherweise dazu, dass Anwendungsversionen freigegeben werden, die nicht richtig geschützt sind und dem Ruf des Kundenunternehmens schaden können. Die Webanwendung eines Unternehmens, auf die extern über das Internet zugegriffen werden kann und die mit internen oder Fremdtechnologien interagiert, ist unweigerlich anfällig für Sicherheitslücken. 10
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Zu den häufigsten potenziellen Schwachstellen von Webanwendungen gehören SQL-Injection und Cross-Site- Scripting (XSS). Um Anwendungen vor solchen Angriffen zu schützen, sollten die Kunden Schutztechnologien für Webanwendungen wie hostbasierte Systeme zur Abwehr von Eindringlingen (HIPS) in Betracht ziehen. Eine gute HIPS-Lösung kann durch virtuelles Patching helfen, die Herausforderungen bei der Patch- Verwaltung zu bewältigen. Sie schützt vor bekannten Zero-Day-Angriffen und schirmt verschiedene Schwach stellen in Systemen und Anwendungen ab. Bei der Wahl einer HIPS-Lösung sollten die Kunden ihre Computer anwendung mit den Regelsätzen des Herstellers abgleichen, um ausreichend geschützt zu sein. Wenn zum Beispiel die Computerumgebung auf Linux basiert und der Regelsatz des Herstellers bei Linux eingeschränkt ist, ist die Lösung dieses Herstellers für die Computerarchitektur wohl nicht optimal. SCHRITT 8 – INTEGRITÄTSÜBERWACHUNG VON DATEIEN UND PROTOKOLLIERUNG Der nächste Schritt besteht darin, die Integrität von kritischen Systemdateien, Anwendungskonfigurations dateien und Anwendungsprotokollen kontinuierlich sicherzustellen. Bei der Datensicherheit wird die Integritätsüberwachung von Dateien immer wichtiger. Sie weist frühzeitig auf ein infiziertes System hin und ist bei verschiedenen Compliance-Standards wie PCI ein Muss. Die Kunden sollten Lösungen zur Integritätsüberwachung von Dateien und zur Protokollanalyse implementieren, um unbefugte Änderungen an Systemkomponenten (Dateien, Registrierung, Services, Prozesse und kritische Systemdateien) zu erkennen. Die Protokollierung ist ein weiteres wichtiges Element der Datensicherheit. Ohne Protokolle können Sicherheitsvorfälle nicht erfasst werden. Vorfälle lassen sich nicht erkennen, wenn Protokoll- und Sicherheitsereignisse nicht überwacht werden. Wichtig ist, dass Protokollierungsfunktionen für alle Komponenten, die einen Einblick in Computerumgebungen ermöglichen, aktiviert werden. Dazu gehören Betriebssysteme, Firewalls, Antiviren-Software, IPS-Software und Anwendungsprotokolle. Die Kunden können zwischen vielen Lösungen wählen, von hostbasierten Lösungen bis hin zu MSSP. Wenn Kunden bereits eine Überwachungssoftware einsetzen und Protokolle auf einem zentralen Server sammeln, sind die Instanzen, die in der Cloud ausgeführt werden, lediglich weitere Ressourcen, die überwacht werden müssen. Möglicherweise sind Änderungen an der Firewall-Konfiguration erforderlich, damit Protokolle aus der Cloud-Umgebung auf dem lokalen zentralen Protokollserver gespeichert werden können. Außerdem muss der Übertragungspfad der Daten geschützt werden. SCHRITT 9 – VERTRAULICHE DATEN VERSCHLÜSSELN Wichtig ist, dass die Kunden Sicherheitsprüfungen durchführen, die Natur, Vertraulichkeit und Klassifizierung der Datenströme bewerten sowie die möglichen Folgen einer Verlagerung vertraulicher Daten in die öffentliche Cloud akzeptieren. Vertrauliche Daten können Identitäts- oder Anmeldedaten von Benutzern sowie personenbezogene Daten (PII) wie Sozialversicherungsnummern umfassen. Werden die Daten in die öffentliche Cloud verlagert, unterliegen sie eventuell unbekannten gesetzlichen Vorschriften. Daher ist es wichtig, dass die Kunden ihren Cloud-Anbieter anweisen, die Daten in einer bestimmten Region zu speichern. Wenn zum Beispiel ein europäisches Unternehmen Daten in einer zu den USA gehörenden Region speichert, unterliegen die Daten dem US-amerikanischen Patriot Act. Nach diesem Antiterrorgesetz kann die US-Regierung auf Daten zugreifen, die innerhalb der amerikanischen Landesgrenzen gespeichert sind. Bei Amazon können Kunden, die AWS-Services nutzen, direkt angeben, in welcher geografischen Region ihre Daten gespeichert werden sollen. Die Kunden sollten Amazon explizit informieren, in welcher für die Geschäftstätigkeit geeigneten Region die Datenspeicherung vorzugsweise erfolgen soll. Befinden sich die Daten einmal in der Cloud, ob in einer öffentlichen Cloud oder einer PVC-Umgebung, sollten die Kunden eine Verschlüsselung der Daten in Betracht ziehen, sowohl während der Übertragung als auch im Speicher. Wenn die Kunden zum Beispiel vertrauliche Daten zwischen ihrer Webanwendung und dem Browser der Benutzer austauschen müssen, sollten sie den Übertragungskanal immer über SSL verschlüsseln. IPSec oder SSL sollte dann verwendet werden, wenn die Kunden die Kommunikation von Server zu Server schützen müssen, zum Beispiel zwischen ihrem Anwendungswebserver und ihrer Datenbank. 11
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Bei der Entscheidung für eine Verschlüsselungsanwendung zum Schutz vertraulicher Daten im Speicher, ob für eine Open-Source-Lösung oder eine in das Betriebssystem integrierte Lösung (z. B. Microsoft Encrypting File System (EFS), eCryptfs oder eine kommerzielle Lösung), müssen die Kunden jede Lösung dahingehend bewerten, ob sie zu ihren Sicherheitsverfahren passt. Reicht es für die Erfüllung der Sicherheitsanforderungen aus, einzelne Dateien zu verschlüsseln, oder muss der gesamte Datenträger verschlüsselt werden? Weitere wichtige Aspekte bei der Auswahl einer Lösung sind die Schlüsselverwaltung und die Aufbewahrungsmethode dieser Schlüssel. Ist es nach den Sicherheitsverfahren erforderlich, die Kodierungsschlüssel ausschließlich lokal aufzubewahren? Wenn ja, können Lösungen, die in Betriebssystemen integriert sind, nicht verwendet werden, denn dort müssen die Kodierungsschlüssel immer im System gespeichert sein. In diesem Zusammenhang wird ein Modell diskutiert, das Daten, Anwendungen, Hosts und Netzwerke voll ständig schützt. Bei Verwendung dieses Sicherheitsmodells implementieren die Kunden für ihre Daten Sicherheitskontrollen, die aufeinander aufbauen. Damit sind die Daten geschützt, auch wenn eine Sicherheits kontrolle ausfällt. Wenn beispielsweise ein Eindringling die Firewall überwindet, greift das hostbasierte System zur Abwehr von Eindringlingen. SCHRITT 10 – SCHWACHSTELLENBEWERTUNGEN Physische Sicherheit Sicherheitspersonal, Sperren, Zugangskontrollen, Schutz der Umgebung Netzwerksicherheit Netzwerksegmentierung, IDS/IPS auf Netzwerkebene Host-Sicherheit Serveroptimierung, hostbasierte Firewall, Virenschutz, Patch-Verwaltung, Abwehr von Eindringlingen, Integrität von Dateien & Protokollüberwachung S Anwendungssicherheit I Abwehr von Eindringlingen, Schwachstellenbewertungen & Penetrationstests E Datensicherheit Datenverschlüsselung und sichere Kommunikation (SSL) Abbildung 6 – Tiefgreifendes Sicherheitsmodell Das Hauptziel einer Schwachstellenbewertung (Vulnerability Assessment, VA) ist es, möglichst viele Schwachstellen aufzudecken, über die ein Angreifer dem Unternehmen Schaden zufügen könnte. Diese Schwachstellenbewertung kann für Netzwerke, Systeme oder Webanwendungen des Kunden durchgeführt werden. Schwachstellenbewertungen lassen sich mit vielen Tools, Services oder Verfahren, die Tools und Services kombinieren, durchführen. Die Bewertung sollte von einem entsprechend geschulten internen oder externen Sicherheitsexperten vorgenommen werden, auch wenn die Kunden bereits ein Tool zur Schwach stellenbewertung einsetzen. Geschulte Sicherheitsexperten finden womöglich mehr Sicherheitslücken und sind den Kunden bei der Feinabstimmung vorhandener Sicherheitskontrollen oder der Einführung neuer Kontrollmechanismen behilflich. SCHRITT 11 – PENETRATIONSTESTS Nachdem die Kunden das gewünschte Sicherheitsprofil für ihre laufenden Instanzen erstellt haben, sollten sie die Sicherheit ihrer Systeme mittels Penetrationstests überprüfen. Damit lassen sich Sicherheitslücken im System, auch Schwachstellen im Betriebssystem und in Anwendungen, ohne Gefährdung der Installation aufdecken. Schwachstellenbewertungen zeigen den Kunden zwar, wo Sicherheitslücken bestehen, verdeutlichen aber nicht die möglichen Folgen, sollten diese Sicherheitslücken ausgenutzt werden. Eine Schwachstellensuche zeigt beispielsweise eine Gefährdung durch SQL-Injection. Bei dem Versuch, diese Sicherheitslücke bei einem 12
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Penetrationstest auszunutzen, könnten personenbezogene Daten oder Daten offen gelegt werden, die für das Unternehmen noch kein Risiko darstellen. Penetrationstests sind sinnvoll, um die Effektivität von Abwehrmechanismen zu überprüfen. Die Kunden können besser feststellen, ob ihre Sicherheitskontrollen echten Angriffen standhalten. Amazon weiß, wie überaus wichtig Penetrationstests in einer sicheren Anwendungsumgebung sind und hat daher eine Richtlinie eingeführt, nach der Kunden die Genehmigung zur Durchführung von Penetrationstests anfordern können. Der PCI Data Security Standard, FISMA, NIST und andere gesetzliche Vorschriften und Branchen bestimmungen sehen ebenfalls Penetrationstests zwingend vor. SCHRITT 12 – KONTINUIERLICHES HANDELN UND DAUERHAFTE SICHERHEIT Bei herkömmlichen IT-Computing-Modellen ist Sicherheit eine kontinuierliche Aufgabe. Das gilt auch für Cloud-Computing-Modelle. Die Kunden müssen am Ball bleiben und ihre Sicherheitsverfahren konsequent und dauerhaft umsetzen. Die Verantwortung der Kunden endet nicht mit der Entscheidung für AWS als bevorzugtem Anbieter, der Erstellung eines Sicherheitssystems und der Verlagerung von Arbeitslasten in die Cloud. Wahrscheinlicher ist, dass die Kunden neue Arbeitslasten in die Cloud übertragen und neue Services erwerben, um ihre geschäftlichen Anforderungen zu bewältigen. Wenn sich die Anforderungen der Kunden ändern, müssen sie die Veränderungen unter Sicherheitsaspekten bewerten sowie aktualisierte oder neue Kontrollen zum Schutz ihrer Installationen einführen. Die Kunden müssen Sicherheitsverwaltung als einen kontinuierlichen Prozess begreifen, der möglicherweise beinhaltet, implementierte Kontrollen zu dokumentieren und Änderungen zu überwachen. Fazit Die Cloud bietet viele attraktive Möglichkeiten, um die Agilität und Flexibilität von Unternehmen zu verbessern. Wenn Unternehmen diese Vorteile für sich nutzen, müssen sie auch dauerhaft Verantwortung für unzählige Sicherheitsaspekte übernehmen. Diese Aspekte sollten nicht davon abschrecken, Cloud-Computing einzusetzen. Unternehmen müssen sich aber über die Verantwortung, die dieses Modell der geteilten Sicherheit mit sich bringt, im Klaren sein und ihre Sicherheitsverfahren an die neue Umgebung anpassen. So schützt Sie Trend Micro auf Ihrem Weg in die Cloud Trend Micro ist sich bewusst, dass bei einem umfassenden Einstieg in die Cloud einzigartige Sicherheits herausforderungen bewältigt werden müssen, die die wirtschaftlichen und operativen Vorteile nicht gefährden dürfen. Trend Micro arbeitet eng mit Amazon Web Services zusammen, um flexible und skalierbare Sicherheitslösungen bereitstellen zu können, die mit der AWS-Umgebung kompatibel sind. Beide Unter nehmen unterstützen Firmen dabei, Sicherheitsbedenken als Haupthindernis bei der Verlagerung von Anwendungen in zuverlässige Cloud-Serviceprogramme zu verstehen und zu überwinden. Trend Micro bietet unzählige Sicherheitsfunktionen, die für das Modell der geteilten Sicherheit in der Cloud erforderlich sind. Diese Funktionen spiegeln die Flexibilität der Cloud wider – schnelle Verteilung und automatische Verwaltung. Weitere Informationen zu Trend Micro Lösungen für die Cloud finden Sie unter HTTP://WWW.TRENDMICRO.DE/TECHNOLOGIE-INNOVATIONEN/INDEX.HTML 13
Trend Micro | Bewährte Methoden für Sicherheit und Compliance bei Amazon Web Services Zusätzliche Referenzen The NIST Definition of Cloud Computing – Special Publication 800-145 http://csrc.nist.gov/publications/nistpubs/800-145/SP800-145.pdf Amazon Web Services: Sicherheitsprozesse im Überblick http://d36cz9buwru1tt.cloudfront.net/pdf/AWS_Security_Whitepaper.pdf Security Guidance for Critical Areas of Focus in Cloud Computing https://cloudsecurityalliance.org/guidance/csaguide.v3.0.pdf 2012 Future of Cloud Computing Survey Results – North Bridge http://northbridge.com/2012-cloud-computing-survey Cloud Security Market Swelling – TechNavio Research http://www.telecomasia.net/content/cloud-security-market-swelling-41-cagr AWS IAM Best Practices http://docs.amazonwebservices.com/IAM/latest/UserGuide/IAMBestPractices.html Informationssicherheit http://de.wikipedia.org/wiki/Informationssicherheit Sicherheitsgruppen: ein schneller Überblick http://aws.typepad.com/aws/security/ Blog zur Cloud-Sicherheit von Trend Micro http://www.trendmicro.de/produkte/deep-security/index.html Webinar von Trend Micro & Amazon Web Services zu PCI & Cloud http://www.trendmicro.com/cloudpci 14
Über TREND MICRO Trend Micro, der international führende Anbieter für Cloud-Security, ermöglicht Unternehmen und Endanwendern den sicheren Austausch digitaler Informationen. Als Vorreiter bei Server-Security mit mehr als zwanzigjähriger Erfahrung bietet Trend Micro client-, server- und cloud-basierte Sicherheitslösungen an. Diese Lösungen für Internet-Content-Security und Threat-Management erkennen neue Bedrohungen schneller und sichern Daten in physischen, virtualisierten und Cloud-Umgebungen umfassend ab. Die auf der Cloud-Computing-Infrastruktur des Trend Micro Smart Protection Network basierenden Technologien, Lösungen und Dienstleistungen wehren Bedrohungen dort ab, wo sie entstehen: Im Internet. Unterstützt werden sie dabei von mehr als 1.000 weltweit tätigen Sicherheits-Experten. Trend Micro ist ein transnationales Unternehmen mit Hauptsitz in Tokio und bietet seine Sicherheitslösungen über Vertriebspartner weltweit an. http://www.trendmicro.de/ http://blog.trendmicro.de/ http://www.twitter.com/TrendMicroDE TREND MICRO DEUTSCHLAND GMBH Zeppelinstraße 1 85399 Hallbergmoos Tel: +49 811 88990-700 Fax: +49 811 88990-799 www.trendmicro.com © 2013 Trend Micro Incorporated. Alle Rechte vorbehalten. Trend Micro, das Trend Micro T-Ball-Logo und Smart Protection Network sind Marken oder eingetragene Marken von Trend Micro Incorporated. Alle anderen Firmen- bzw. Produktnamen sind Unternehmenskennzeichen oder einge- tragene Marken ihrer jeweiligen Eigentümer. Die in diesem Dokument enthaltenen Informationen können sich ohne vorherige Ankündigung ändern.
Sie können auch lesen