In der sich rasant entwickelnden Cybersecurity-Landschaft hat sich Cloud Security als nächste zentrale Frontlinie herauskristallisiert. Da Organisationen zunehmend Cloud-Technologie einsetzen, waren robuste und umfassende Cloud-Security-Massnahmen nie wichtiger. Ein aufkommender Trend, der in diesem Bereich Wellen schlägt, sind Cloud-Native Application Protection Platforms (CNAPP). In diesem Blogbeitrag erklären wir, warum traditionelle Sicherheitsansätze für die Cloud nicht gut geeignet sind, stellen CNAPP als neuen Typ von Cloud-Security-Plattform vor und beleuchten die besondere Position von Microsoft Security in diesem Cybersecurity-Bereich.
Wir bei baseVISION unterstützen Sie auf Ihrer Cloud-Security-Journey. Dafür haben wir ein Service-Angebot rund um Microsoft Defender for Cloud aufgebaut, das Ihnen hilft, Ihre Cloud-Ressourcen, -Anwendungen und -Daten End-to-End zu schützen.
Cloud Security ist wichtiger denn je
Die Einführung von Cloud-Technologie hat die Arbeitsweise von Unternehmen verändert, aber auch neue Sicherheitsherausforderungen mit sich gebracht. Diese Verlagerung hat die Angriffsfläche vergrössert – insbesondere für jene, die On-Premises- (Hybrid-) und Multicloud-Ressourcen verwalten. Alarmierend: 86 % der Security-Entscheidungsträger glauben, dass ihre aktuellen Cybersecurity-Strategien nicht ausreichen, um mit ihren Multicloud-Umgebungen Schritt zu halten. Wie sieht es in Ihrer Organisation aus? Haben Sie den Überblick über alle Cloud-Umgebungen, die von Ihren IT- und Fachabteilungen bereitgestellt werden? Das Sicherheitsprinzip „Man kann nicht schützen, was man nicht kennt“ gilt in jeder Umgebung. Steuern Sie die Security-Posture Ihrer Cloud-Ressourcen und der Control Plane, um Breaches zu verhindern? Viele bedeutende Sicherheitsvorfälle entstehen durch mangelhafte Hygiene im Konfigurationsmanagement von Cloud-Workloads und -Services. Können Ihr SOC und Ihr Incident-Response-Team Angriffe auf Ihre Cloud-Umgebungen erkennen und darauf reagieren?
Wir haben beobachtet, dass viele Organisationen vor einigen Jahren begonnen haben, Cloud-Lösungen in ihre Innovationsstrategien aufzunehmen. Unabhängige Teams – meist ausserhalb der IT- und Security-Abteilungen – nutzten leicht zugängliche Cloud-Services für Projekte, die sich oft zu wichtigen Produktivsystemen mit sensiblen Daten entwickelten. Währenddessen richtete die IT-Abteilung eine governte Landing Zone ein, doch zuvor bereitgestellte Systeme häuften erhebliche Risiken an.
Zwei häufige Situationen, die uns in der Arbeit mit Kunden begegnen, sind:
1. Die Zugriffskontrollen auf der Cloud Control Plane sind zu permissiv, und es ist kein sauberes RBAC-Modell definiert und implementiert. Identitäten haben oft mehr Berechtigungen als nötig. Das Prinzip der geringsten Privilegien (Least Privilege) einzuhalten ist angesichts der enormen Zahl an Rollen und Berechtigungen auf Cloud-Plattformen schwierig. Die Empfehlung im Screenshot unten zeigt ein Benutzerkonto, das nur 65 von fast 6000 zugewiesenen Berechtigungen tatsächlich nutzt.
2. PaaS-artige Services, auf die nur aus einem virtuellen Netzwerk heraus zugegriffen werden sollte, sind dem öffentlichen Internet ausgesetzt – oft ohne minimale Sicherheitsmassnahmen wie IP-Whitelisting oder starke Authentifizierungsmechanismen
Über traditionelle Sicherheitsansätze hinausgehen
«In der Cloud sind die Angriffsmuster anders: weniger traditionelle, endpunktfokussierte Angriffe und viel mehr Angriffe, die auf die Vernetzung software-basierter Infrastruktur abzielen.»
Traditionelle Sicherheitstools decken nur Teilaspekte der Cloud Security ab und sind für Cloud-basierte Workloads und Services nicht gut geeignet. Viele setzen auf Netzwerk-Scanning, das in einer dynamischen, kurzlebigen Umgebung wie der Cloud nur minimal wirksam ist, oder auf Agents, die die Performance beeinträchtigen und die Kosten inakzeptabel erhöhen. Viele traditionelle Tools senden zudem zahlreiche einzelne Alerts und Signale, ohne den Kontext (wer, was, wann, wo und warum) für eine schnelle Reaktion in Cloud-basierten Anwendungen und Workloads zu liefern2. Während einige traditionelle Angriffe konzeptionell auch die Cloud betreffen können, müssen sich die Erkennungsmechanismen verschieben. Ein Angreifer kann über die Azure-Management-Ebene einen schädlichen Befehl ausführen, der Azure Blob Storage verändert, oder Berechtigungen eskalieren und auf Credentials für Services zugreifen, die von einem Azure-Kubernetes-Services-Cluster genutzt werden3. Keine traditionelle EDR- oder Security-Monitoring-Lösung würde dies in Echtzeit erkennen oder blockieren. Die MITRE ATT&CK Cloud Matrix bietet einen Überblick über alle Cloud-basierten Angriffstechniken, die Ihre Sicherheitstools erkennen und auf die sie reagieren sollten.
Der Aufstieg von CNAPP
Aus dem Bedürfnis, die einzigartige Risikofläche Cloud-basierter Workloads und Services zu adressieren, entstand eine grosse Zahl isolierter Sicherheitstools:
- Cloud Security Posture Management (CSPM) ermöglicht ein kontextbezogenes Security-Posture-Management über Clouds hinweg. Diese Art des Managements erlaubt die kontinuierliche Erkennung und Behebung von Fehlkonfigurationen.
- Cloud Workload Protection (CWP) und Cloud Detection and Response (CDR) konzentrieren sich darauf, Bedrohungen in Cloud-Umgebungen durch kontinuierliches Monitoring, fortschrittliche Analytik und Incident-Response-Fähigkeiten zu identifizieren und zu mindern.
- Cloud Infrastructure Entitlement Management (CIEM) konzentriert sich auf die Verwaltung und Absicherung von Identitäten und ihren Berechtigungen in Cloud-Umgebungen. Es stellt sicher, dass Nutzer und Services das angemessene Zugriffsniveau haben, und reduziert so das Risiko überprivilegierter Zugriffe und möglicher Sicherheitsverletzungen.
- Da Entwickler zunehmend für den Aufbau von Cloud-Infrastruktur und Containern verantwortlich sind, ist das Security-Tooling in den Software-Development-Lifecycle „nach links verschoben“ („shifted left“). Methoden wie Software Composition Analysis, Exposure Scanning (CVEs, Secrets), Infrastructure-as-Code-(IaC-)Scanning sowie statische oder dynamische Quellcode-Analyse werden in gängige Entwicklungs-Toolsets wie Code-Repositories, Build-Server und Container-Registries integriert, um Schwachstellen in Software-Artefakten und Infrastruktur früh im Software-Development-Lifecycle zu identifizieren.
Ein isoliertes Toolset zwingt Security-Teams dazu, Events, Alerts, Empfehlungen und andere Signale manuell zusammenzusetzen, um Korrelationen zu erkennen und den nötigen Überblick zu gewinnen. Ein einheitlicherer Ansatz ist erforderlich. Dies führte zum Aufstieg der Cloud-Native Application Protection Platforms (CNAPP). CNAPPs konsolidieren die genannten Funktionen in einer Plattform und bieten so eine einheitlichere und umfassendere Sicherheitslösung.
Platform Native Security
Security sollte eingebaut sein, nicht nachträglich aufgesetzt – „built-in, not bolted-on“. Dieses Prinzip gilt nicht nur für die Workloads und Anwendungen in der Cloud, sondern auch für die zugrunde liegende Cloud-Plattform selbst. Microsoft Azure ist seit Langem führend bei der Integration einer breiten Palette von Sicherheitsfunktionen. Die Entwicklung des Azure Security Center, heute bekannt als Microsoft Defender for Cloud, unterstreicht dieses Engagement. Wenig überraschend wurde Microsoft im Gartner 2023 Market Guide4 als repräsentativer CNAPP-Anbieter und im Forrester Infrastructure-as-a-Service Platform Native Security Report5 als Leader genannt.
Die Entwicklung von Microsoft CNAPP
Seit dem Launch 2016 hat sich Microsoft Defender for Cloud von einer Azure-zentrierten Lösung zu einer vollwertigen CNAPP entwickelt. Heute bietet die Lösung Fähigkeiten über Azure, AWS und Google Cloud Platform hinweg. Azure Arc erweitert diese Unterstützung auf Kubernetes-Cluster, Microsoft-SQL-Server sowie Windows- und Linux-Server – unabhängig von ihrem Standort.
Ja, eine CNAPP ist per Definition bereits eine hochintegrierte Sammlung von Cloud-Security-Fähigkeiten. Doch Microsoft Defender for Cloud geht beim Integrationsgrad noch einen Schritt weiter. Es ist in das Microsoft-Security-Ökosystem eingebettet und mit Microsoft Sentinel, Defender External Attack Surface Management, Microsoft Entra Permissions Management, GitHub Advanced Security und vielen weiteren verbunden. Microsoft Defender for Cloud ist nun auch Teil von Microsoft Defender XDR, und Security-Teams können Alerts und Incidents direkt im Microsoft Defender XDR Portal einsehen. Das liefert noch reichhaltigeren Kontext für Untersuchungen, die sich über Cloud-Ressourcen, Geräte und Identitäten im gesamten IT-Bestand erstrecken6.
Wie baseVISION Sie auf Ihrer Cloud-Security-Journey unterstützt
Die Einführung von Microsoft CNAPP ist keine einmalige Aufgabe, sondern eine Journey, die sich an Ihrer gesamten Cloud-Adoption-Strategie ausrichten sollte. Deshalb bieten wir eine Reihe von Services rund um Defender for Cloud an, die auf unterschiedliche Phasen einer Cloud-Journey zugeschnitten sind.
- Microsoft Defender for Cloud Workshop: Wir stellen die Plattform vor, tauchen in ihre Komponenten ein und geben einen Überblick über Microsoft Defender for Cloud. Gewinnen Sie wertvolle Einblicke in die Funktionen und realen Anwendungsfälle, um Ihr Verständnis zu vertiefen und sich auf eine erfolgreiche Implementierung vorzubereiten.
- CSPM Enablement: Dies ist der Grundstein für die Einführung von CNAPP. Es umfasst das Aufsetzen von Defender for Cloud und Defender CSPM, das grossflächige Onboarding der Umgebung sowie eine erste Bewertung der Security-Posture. Aus den gewonnenen Erkenntnissen können wir nächste Schritte und Prioritäten empfehlen.
- Cloud Native Workload Protection Enablement: Services wie Azure Storage, Key Vault und App Services abstrahieren viele Verantwortlichkeiten und Komplexitäten. Security in der Cloud bleibt jedoch eine geteilte Verantwortung. Wir begleiten Sie bei der Nutzung der Cloud-nativen Schutzfunktionen von Defender for Cloud und befähigen Sie, Bedrohungen wirksam zu jagen, zu erkennen, zu untersuchen und darauf zu reagieren.
- Defender for Servers Implementation: Erweitern Sie die Endpoint-Detection-and-Response-Fähigkeiten von Defender for Endpoint auf Ihre Windows- und Linux-Server.
- DevOps Security: Heute produziert nahezu jede Organisation Software – ob durch eigene Entwicklung, Low-Code-Plattformen oder interne Tools und Skripte. Defender for Cloud bietet die nötigen Tools, um Security früher in den Entwicklungsprozess zu integrieren, und kombiniert Daten aus Build- und Runtime-Phasen. Diese Integration ermöglicht es Ihnen, Anwendungen und Ressourcen „from code to cloud“ über verschiedene Pipeline-Umgebungen hinweg zu schützen, darunter Azure DevOps, GitHub und GitLab.
Technologie allein kann Cybersecurity-Probleme nicht lösen. Das gilt gleichermassen für Cloud Security. Mit unserer umfangreichen Erfahrung über verschiedene Branchen hinweg und bewährten Methoden aus unserem Security Operations Center helfen wir Ihnen, auch die menschlichen und prozessualen Aspekte anzugehen.
Weitere Details finden Sie in unserem Service-Katalog: https://www.basevision.ch/product/microsoft-defender-for-cloud/
Fazit
Wir hoffen, dieser Blogbeitrag hat Ihnen Einblicke in die Herausforderungen und Chancen der Cloud Security gegeben und gezeigt, wie CNAPP Ihnen zu einem ganzheitlichen und proaktiven Schutz Ihrer Cloud-nativen Anwendungen verhelfen kann. Microsoft Security ist in diesem Bereich führend und bietet eine umfassende, integrierte Plattform, die nativ in Azure verankert ist und Multicloud-Umgebungen abdeckt. Wenn Sie mehr über unsere Services oder Microsoft Defender for Cloud erfahren möchten, kontaktieren Sie bitte Marco Reinli.
In diesem Blogbeitrag haben wir nur an der Oberfläche des umfangreichen Themas Cloud Security gekratzt. Bleiben Sie dran für unsere künftigen Beiträge, in denen wir tiefer in dieses Thema eintauchen.
Referenzen
(1) Mathew Davis, Microsoft Cloud Security Priorities and Practices Research, Emerald Research Group, March 2022
(2) SANS, 2024 Cloud-Native Application Protection Platform (CNAPP) Buyers Guide
(3) “WireServing” Up Credentials: Escalating Privileges in Azure Kubernetes Services, Mandiant, August 2024, https://cloud.google.com/blog/topics/threat-intelligence/escalating-privileges-azure-kubernetes-services
(4) Gartner, Market Guide for Cloud-Native Application Protection Platforms, March 2023
(5) Microsoft, Forrester names Microsoft a Leader in 2023 Infrastructure-as-a-Service Platform Native Security report, May 2023, https://www.microsoft.com/en-us/security/blog/2023/05/03/forrester-names-microsoft-a-leader-in-2023-infrastructure-as-a-service-platform-native-security-report/
(6) Microsoft Learn, Microsoft Defender for Cloud in the Microsoft Defender portal, https://learn.microsoft.com/en-us/defender-xdr/microsoft-365-security-center-defender-cloud